信息安全过程方法和PDCA循环

关于信息安全该采用什么样的科学管理理论方法,业界有不少的方法论。对此,昆明亭长朗然科技有限公司信息安全意识专员董志军表示:尽管方法论的来头都不少,但是管理理论大同小异。早期(2002版)的BS7799第2部分在ISMS的设计和部署上第一次促进了“过程方法”的采用。这种方法就是广为人知的“Plan-Do- Check-Act(PDCA),PDCA是英语单词Plan(计划)、Do(执行)、Check(检查)和Act(行动)的第一个字母,译成中文为:计 划、实施、检查和改进”,对于进行质量和经营管理的人们来讲很熟悉。

PDCA循环是由美国统计学家戴明博士在1950年代提出来的,所以也俗称“戴明环”。它指出,业务流程应该处理一个连续的反馈回路,使管理人员能 够识别和改变这一进程中需要改进的部分。这个过程,或者对过程的改进,首先要进行规划,然后实施,再衡量绩效,并将绩效同计划进行比较,以发现偏差或确定潜在的改进点,并且汇报给管理层以便做出采取实际行动的决定。

PDCA和ISO 27001
ISO 27001在第0.2章节认可了这种模式,并且描述了如何将其应用于信息安全环境中。ISO 27001的附件B交叉引用了经合组织关于PDCA模型的准则。ISO 27001采用了PDCA的过程模型,并将其应用于架构所有ISMS的过程。

将PDCA循环应用在过程方法中意味着,按照流程设计的基本准则,流程中应该有输入和输出。ISMS的需求作为其输入“有兴趣的各方对信息安全的需求和期望,通过各种必要的行动和过程,产生满足这些要求和期望的信息安全结果”。

在战术层面应用PDCA循环
这意味着,PDCA循环模型有两个层面上的应用:在战略层面上,对ISMS自身的整体开发;在战术层面上,对每一个ISMS的过程的开发。

ISO 27001条文中的PDCA四个循环阶段
标准的简介中描述了在战略层面上,将PDCA循环应用到ISMS的开发。PDCA循环和标准中确定了的ISMS的开发阶段之间的对应关系如下:

计划阶段(建立ISMS1):
*   定义ISMS的范围和信息安全方针;
*   定义风险评估的系统性方 法;
*   识别风险;
*   应用组织确定的系统性方法评估风险;
*   识别并评估可选的风险处理方式;
*   选择控制目标与控制方式;
*   准备适用性申明SOA。

实施阶段(实施和运作ISMS):
*   实施特定的管理程序;
*   实施所选择的控制,执行风险应对计划;
*   为受影响的员工提供必要的培训和提升安全意识
*   运作管理;
*   实施能够促进安全事件检测和响应的程序和其他控制。

检查阶段(监督和审查ISMS):
*   执行程序,检测错误和违背方针的行为;
*   定期评审ISMS的有效性;
*   评审剩余风险和可接受风险的等级;
*   执行管理程序以确定规定的安全程序是否适当,是否符合标准,以及是否按照预期的目的进行工作;
*   定期对ISMS进行正式评审,以确保范围保持充分性,以及ISMS过程的持续改进得到识别并实施;
*   记录并报告所有活动和事件。 改进阶段(维护和改进ISMS):
*   测量ISMS绩效;
*   识别ISMS的改进措施,并有效实施;
*   采取适当的纠正和预防措施;
*   必要时修改ISMS,确保修改达到既定的目标;
*   持续检查、测试和改进的“持续改进”过程。

最后的话
PDCA循环是久经考验的信息安全管理工作过程方法,四个阶段的划分具有一定的理想主义色彩,在实际执行中,大的方向可以按照四个循环阶段进行。不过,也不能过于拘泥于形式。比如,宣称这个月只做计划,就把当前的所有安全控制措施停掉,显然也不现实。正确的方法是大循环套小循环,不断螺旋向前。

此外,为保障各阶段的工作质量,需要让人们深刻理解具体过程中各项工作的科学精神要义,只有这样,信息安全工作才能流程化、制度化、规范化。毕竟,信息安全管理的核心要素是人员、流程和技术,PDCA各个阶段的这些工作都要由人来参与,特别是实施和改进阶段,要求最终用户极大的参与度。

昆明亭长朗然科技有限公司专注于帮助各类型客户强化信息安全科普知识的沟通,我们有丰富的信息安全意识宣教经验以及成功案例,欢迎需要提升信息安全管理水准的组织机构联系我们,洽谈信息安全管理意识方面的合作。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898

保持和改进信息安全管理体系

在获得了信息安全管理体系的评审之后,组织机构可以暂时放松并庆祝一下。但是,不要以为从此就可以高枕无忧,对此,昆明亭长朗然科技有限公司信息安全管理顾问专员董志军表示说:保持和改进信息安全管理体系,维护ISMS认证证书的有效性,需要组织证明其尽职尽责。

保持和改进相关的内容非常简短,它反映了ISO 27001条款的简单需求,即PDCA中的A,相关条款列出了从前面C监控和评审活动中学习到的所有东西的要求,它们需要得到实施。它也和ISO 27002有密切关联,包括持续改进、纠正措施、预防措施,它描述了这项活动的目的和它一定要成为组织信息安全管理体系日常管理工作中的必不可少的一部分。

管理评审

这里也和管理评审有关系,管理评审应该导致“采取适当的纠正和预防措施”,以及随时随地推进可能影响ISMS的变革,和改进的建议。

需要注意的是纠正性和预防性措施应基于风险评估的结果区分优先级别。

分析和评估风险对任何组织都是必需的核心竞争力,对实现和维护ISO 27001标准认可的认证非常重要。标准的最后语句也指出:“对非符合项的预防措施通常要比纠正行动更具成本效益。”它总结了标准基于风险的,具有成本效益的,常识性的方法。

绩效评估

信息安全管理体系的认证审核内容当然也会包括此“行动”(PDCA之A)步骤,以考察组织对方法论的理解和执行情况。正式版的ISO 27004专门用于指导对信息安全管理的绩效评估。这一标准提供各类组织如何衡量和报告他们的信息安全管理体系的有效性的方法。它涵盖ISO 27001中定义的信息安全管理流程和ISO 27002中定义的安全控制。

为了便于评估信息安全管理体系的有效性的,ISO 27004提供用于开发和使用的测量和评估指南和建议,包括信息安全管理体系策略和目标,以及ISO27001中特别指定的安全控制。
ISO 27004标准也适用于实施信息安全管理体系的各类规模的组织。

这些衡量应该允许信息安全活动得到有针对性的评估、各个阶段的信息安全活动达到得的各项水准得到监控,各类不同的组织也可以得到相应的参照值,并进行信息安全有效性的评比。

美国国家标准技术研究所NIST也有发布相关的信息安全绩效评估指南,编号文档:SP800-55。它是开发信息安全管理体系的衡量和矩阵的指南。

补充之话

信息安全管理体系是一个动态的不断循环改进的过程,信息安全管理者需要注意不断改进工作,并保持工作记录,以证明在不断维持和改进信息安全管理体系。简单说,就是要按科学的方式工作,并且“秀”出来。很多从信息安全技术转至管理岗位的人员,对文档和记录的注重度不够,这就会在后续审计工作时遇到麻烦,需引起警惕。

昆明亭长朗然科技有限公司以帮助提升客户职员的信息安全意识为己任,创作了大量的知识内容,同时,针对管理层,我们也设计和制作了相关的安全管理知识课程,欢迎有兴趣的信息安全管理负责人员联系我们,共同研究和探讨安全管理治理话题。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898