信息系统安全管理体系内部评估流程.docxVIP

信息系统安全管理体系内部评估流程

1角色与职责

角色

职责

信息安全委员会（SIC）

批准年度内部评估计划、审议重大不符合与改进资源。

信息安全主管（CISO）

发布计划、任命评估组长、批准纠正措施、跟踪关闭。

内部评估组长

编制实施方案、组织评估会议、编制报告、提出改进建议。

内审员

按检查表实施访谈、抽样、测试、记录客观证据。

受评部门负责人

提供资源与证据、确认不符合、制定并实施纠正措施。

管理层代表

对评估发现的系统性问题提供管理承诺与资源。

2评估流程

2.1流程总览

2.2活动详述

2.2.1年度规划

CISO在每年12月依据风险变化、外部认证周期、管理评审输出制定