PDCA过程模式被ISO 9001、ISO 14001等国际管理体系标准广泛采用，是保证管理体系持续改进的有效模式。依据BS 7799-2:2002建立信息安全管理体系时，过程方法鼓励其用户强调下列内容的重要性：

　　1、理解组织的信息安全要求，以及为信息安全建立方针和目标的需求；

　　2、在管理组织整体业务风险背景下实施和运行控制；

　　3、监控并评审信息安全管理体系的业绩和有效性；

　　4、在目标测量的基础上持续改进。

　　BS 7799-2:2002的PDCA过程模式

　　BS 7799-2:2002所采用的过程模式如图1所示，“计划-实施-检查-措施”四个步骤可以应用于所有过程。PDCA过程模式可简单描述如下：

　　图1 PDCA过程模式

　　◆ 策划：依照组织整个方针和目标，建立与控制风险、提高信息安全有关的安全方针、目标、指标、过程和程序。

　　◆ 实施：实施和运作方针（过程和程序）。

　　◆ 检查：依据方针、目标和实际经验测量，评估过程业绩，并向决策者报告结果。

　　◆ 措施：采取纠正和预防措施进一步提高过程业绩。

　　四个步骤成为一个闭环，通过这个环的不断运转，使信息安全管理体系得到持续改进，使信息安全绩效(performance)螺旋上升。

　　应用PDCA建立、保持信息安全管理体系

　　P（策划）—建立信息安全管理体系环境（context）&风险评估

　　要启动PDCA循环，必须有“启动器”：提供必须的资源、选择风险管理方法、确定评审方法、文件化实践。设计策划阶段就是为了确保正确建立信息安全管理体系的范围和详略程度，识别并评估所有的信息安全风险，为这些风险制定适当的处理计划。策划阶段的所有重要活动都要被文件化，以备将来追溯和控制更改情况。

　　1．确定范围和方针

　　信息安全管理体系可以覆盖组织的全部或者部分。无论是全部还是部分，组织都必须明确界定体系的范围，如果体系仅涵盖组织的一部分这就变得更重要了。组织需要文件化信息安全管理体系的范围，信息安全管理体系范围文件应该涵盖：a.确立信息安全管理体系范围和体系环境所需的过程；b.战略性和组织化的信息安全管理环境；c.组织的信息安全风险管理方法；d.信息安全风险评价标准以及所要求的保证程度；e.信息资产识别的范围。

　　信息安全管理体系也可能在其他信息安全管理体系的控制范围内。在这种情况下，上下级控制的关系有下列两种可能：

　　◆ 下级信息安全管理体系不使用上级信息安全管理体系的控制：在这种情况下，上级信息安全管理体系的控制不影响下级信息安全管理体系的PDCA活动；

　　◆ 下级信息安全管理体系使用上级信息安全管理体系的控制：在这种情况下，上级信息安全管理体系的控制可以被认为是下级信息安全管理体系策划活动的“外部控制”。尽管此类外部控制并不影响下级信息安全管理体系的实施、检查、措施活动，但是下级信息安全管理体系仍然有责任确认这些外部控制提供了充分的保护。

　　安全方针是关于在一个组织内，指导如何对信息资产进行管理、保护和分配的规则、指示，是组织信息安全管理体系的基本法。组织的信息安全方针，描述信息安全在组织内的重要性，表明管理层的承诺，提出组织管理信息安全的方法，为组织的信息安全管理提供方向和支持。

查看 吴昌伦 王毅刚 的所有文章 进入营销论坛与作者交流