关于信息安全该采用什么样的科学管理理论方法，业界有不少的方法论。对此，昆明亭长朗然科技有限公司信息安全意识专员董志军表示：尽管方法论的来头都不少，但是管理理论大同小异。早期（2002版）的BS7799第2部分在ISMS的设计和部署上第一次促进了“过程方法”的采用。这种方法就是广为人知的“Plan-Do- Check-Act(PDCA)，PDCA是英语单词Plan(计划)、Do(执行)、Check(检查)和Act(行动)的第一个字母，译成中文为：计 划、实施、检查和改进”，对于进行质量和经营管理的人们来讲很熟悉。

PDCA循环是由美国统计学家戴明博士在1950年代提出来的，所以也俗称“戴明环”。它指出，业务流程应该处理一个连续的反馈回路，使管理人员能 够识别和改变这一进程中需要改进的部分。这个过程，或者对过程的改进，首先要进行规划，然后实施，再衡量绩效，并将绩效同计划进行比较，以发现偏差或确定潜在的改进点，并且汇报给管理层以便做出采取实际行动的决定。

PDCA和ISO 27001
ISO 27001在第0.2章节认可了这种模式，并且描述了如何将其应用于信息安全环境中。ISO 27001的附件B交叉引用了经合组织关于PDCA模型的准则。ISO 27001采用了PDCA的过程模型，并将其应用于架构所有ISMS的过程。

将PDCA循环应用在过程方法中意味着，按照流程设计的基本准则，流程中应该有输入和输出。ISMS的需求作为其输入“有兴趣的各方对信息安全的需求和期望，通过各种必要的行动和过程，产生满足这些要求和期望的信息安全结果”。

在战术层面应用PDCA循环
这意味着，PDCA循环模型有两个层面上的应用：在战略层面上，对ISMS自身的整体开发；在战术层面上，对每一个ISMS的过程的开发。

ISO 27001条文中的PDCA四个循环阶段
标准的简介中描述了在战略层面上，将PDCA循环应用到ISMS的开发。PDCA循环和标准中确定了的ISMS的开发阶段之间的对应关系如下：

计划阶段（建立ISMS1)：
*   定义ISMS的范围和信息安全方针；
*   定义风险评估的系统性方 法；
*   识别风险；
*   应用组织确定的系统性方法评估风险；
*   识别并评估可选的风险处理方式；
*   选择控制目标与控制方式；
*   准备适用性申明SOA。

实施阶段(实施和运作ISMS)：
*   实施特定的管理程序；
*   实施所选择的控制，执行风险应对计划；
*   为受影响的员工提供必要的培训和提升安全意识
*   运作管理；
*   实施能够促进安全事件检测和响应的程序和其他控制。

检查阶段(监督和审查ISMS)：
*   执行程序，检测错误和违背方针的行为；
*   定期评审ISMS的有效性；
*   评审剩余风险和可接受风险的等级；
*   执行管理程序以确定规定的安全程序是否适当，是否符合标准，以及是否按照预期的目的进行工作；
*   定期对ISMS进行正式评审，以确保范围保持充分性，以及ISMS过程的持续改进得到识别并实施；
*   记录并报告所有活动和事件。 改进阶段(维护和改进ISMS)：
*   测量ISMS绩效；
*   识别ISMS的改进措施，并有效实施；
*   采取适当的纠正和预防措施；
*   必要时修改ISMS，确保修改达到既定的目标；
*   持续检查、测试和改进的“持续改进”过程。

最后的话
PDCA循环是久经考验的信息安全管理工作过程方法，四个阶段的划分具有一定的理想主义色彩，在实际执行中，大的方向可以按照四个循环阶段进行。不过，也不能过于拘泥于形式。比如，宣称这个月只做计划，就把当前的所有安全控制措施停掉，显然也不现实。正确的方法是大循环套小循环，不断螺旋向前。

此外，为保障各阶段的工作质量，需要让人们深刻理解具体过程中各项工作的科学精神要义，只有这样，信息安全工作才能流程化、制度化、规范化。毕竟，信息安全管理的核心要素是人员、流程和技术，PDCA各个阶段的这些工作都要由人来参与，特别是实施和改进阶段，要求最终用户极大的参与度。

昆明亭长朗然科技有限公司专注于帮助各类型客户强化信息安全科普知识的沟通，我们有丰富的信息安全意识宣教经验以及成功案例，欢迎需要提升信息安全管理水准的组织机构联系我们，洽谈信息安全管理意识方面的合作。

昆明亭长朗然科技有限公司

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898