【51CTO.com 综合性信息】许多公司都现已构建了信息安全管理体系，来达到服务要求或顶层管理方法机构的规定，在其中不缺经典案例，但我们都是会面对一个相同的问题，那便是如何把信息安全管理体系（ISMS）不断的运转下来，持续的PDCA做到持续改善的目地，正如大家过去工作经验常说的那般：信息安全性并不是一场健身运动，反而是一个坚持不懈的主题活动，是确保网络安全防护运作的管理方面，信息安全性应反映在日常工作中的每一个关键点之中。
ISO27001是世界上常用的信息安全管理体系规范，大家以这种规范规定为例子，来简易解释一下创建信息安全管理体系及其之后还要做的工作中：最先要得到高管的适用并明确创建信息安全管理体系的范畴，公司还必须搞好各种各样提前准备和方案策划工作中，包含培训学习、制定目标、现况调查，及其人力资源和資源领域的配制；
随后在这个区域内搜集信息资产以輔助风险评估，鉴别出风险性后挑选适用的风险性解决对策并开展解决，从总体和全局性的角度，从信息系统软件的全部方面开展总体安全性基本建设，并将其文本文档化，维持文档化的信息安全管理体系，做为组织实施风险管控、点评和改善信息安全管理体系、完成持续改善不可或缺的根据。
信息安全管理体系文档定编进行之后，机构应依照文档的调节规定做好审批与准许并公布执行，在获得领导阶层对残留风险性的准许和对执行运作ISMS的受权，并提前准备适用范围申明（SoA），在管理体系运作一段时间后开展内部审计、有效性测量和管理评审，并制订改正防范措施，此后必须对资产开展持续的升级，并不断开展风险评估、解决……及其之后的各种各样工作中。
传统式我们是靠体系管理自身来支撑点这一系列工作中的，ISMS基本建设的执行工作人员，除开要具有必需的知识与技能和监管观念外，还需要遭遇很多实际、繁杂和枯燥乏味的工作中，例如对信息资产的搜集和保护全过程，及其对它进行风险评估时的很多创意文案工作中这些。假如能輔助以信息智能管理系统对风险评估全过程做好管理方法，将是一种发展趋势，现在企业管理中ERP早已获得普遍认同和运用，生产加工、品质监管、财务会计、国际商务、人力资源、顾客关系管理、电商物流等，早已可以融合在一套根据互联网的、软件开发平台统一的、灵便配备工作流程的信息系统软件之中，而信息安全管理体系基本建设与维护保养，一样也能够根据相近的形式开展管理方法。
现阶段谷安天下产品研发的IT风险管理体系（ITRM）恰好是可以达到管理体系维护保养要求的一款手机软件：将创建和维护保养ISMS的全过程干固在系统中，内嵌多领域多规则知识库系统，对ISMS范畴轻轻松松管理方法，例如规则范畴、组织结构、资产明细、步骤界定、业务流程界定等，适用安全大检查和差别剖析，全方位适用风险评估、服务体系、内部审计、有效性测量、管理评审等一系列工作中，确保这一系列工作中的连续运作和不断完善，并造成多种多样的表格和汇报。
下边就简易谈一谈维护保养信息安全管理体系全过程中几类重要的工作与ITRM系统软件的融合之道：
一、鉴别业务流程的转变
世界环境变幻莫测，因而一个机构的业务流程伴随着销售市场、政冶、高新科技等领域的快速发展而转变是十分常规且肯定的。殊不知我们在创建信息安全管理体系时需划分的监管范畴是一定的，后面在管理体系运维管理全过程中最先应当关心的便是业务流程的转变，随后才算是后面别的关键点的工作中。在一个机构内维护保养信息安全性的目标便是确保项目的可靠运作，因而从***实际意义上说业务流程是大家维护的目标。而业务流程的变动对信息安全管理体系的直接影响是很大的，很有可能会造成安全性基本方针方面的全局性转变，因此小编把业务流程放到***位。
ITRM系统软件将业务流程做为一个操纵目标开展鉴别和维护保养，恰好是为了更好地达到信息安全管理体系维护保养的主要规定：
#p#
二、鉴别组织结构的转变
机构环境因素会产生变化，相对应的机构内部结构一样很有可能依据业务流程的变动而产生变化，尤其是管理层的转变，很有可能会直接影响到对体系管理的支撑幅度等层面。
组织结构是ITRM系统软件在开展风险评估时的基本，系统软件可以对组织结构的灵便调节，而且对后面风险评估等一系列工作中都将造成巨大危害。在ITRM系统软件中组织结构是新项目范畴的要素之一。
#p#
三、鉴别资产、技术性、场地、新危害等领域的外在转变
这种是做资产风险评估的基本，也是规范中所需求的。资产明细必须确保一定的可靠性和精确性，这很有可能必须一定的劳动量，通常大伙儿全是应用文本文档（Excel文件格式）对资产明细开展管理方法，一开始搜集资产时，这类形式是特别便捷的，但在日后升级的时候会变得较为不便。
ITRM系统软件在对资产开展维护保养时，适用大批量导入和分管理权限，客户可以将采集到的资产一次性的导入操作系统中，此后在系统软件中做好维护保养，不论是加上、改动、删掉，系统软件都可以维护保养着一份精确平稳的现阶段版本号的资产明细，与此同时客户还可以查看资产的內容；而分管理权限资产，可以将资产管理方法下放进单位，由部门管理人员对本单位的资产开展维护保养，本单位只可以对自身单位的资产及隐患开展维护保养，对别的职能部门的资产和风险性则没有权利查询。这大大简化了机构级专职安全员的工作中，并能将风险管控的观念贯彻落实到各个单位之中，与此同时优化了资产变动的汇报步骤，单位管理人员将变动的资产立即的升级到操作系统中，机构级管理人员随时随地可以开展定期检查更改，因而机构的风险性情况可以随时随地维持***，使机构可以快速精准的对安全风险开展回应和解决。
#p#
四、风险评估和处理
在创建完信息安全管理体系之后，要依据机构要求按时再次开展风险评估和解决，自然各项任务的基本是前边提及的各项工作中都早已进行，而风险评估的方式 在之后通常不容易产生很大的转变，安全性运营专员在做了一次风险评估后就能把握风险评估的方式，之后大多数是维护保养风险清单的工作中。对安全风险的解决有可能会由于自然环境的变动及工艺的发展趋势不断创新，因此安全性运营专员还必须坚持学习来提升自己的业务水平。
ITRM系统核心作用之一便是风险评估控制模块，系统软件中干固了风险评估科学方法论和实际工作内容，与此同时还对于差异领域，把谷安天下很多年来积攒的资询工作经验归纳成风险性强烈推荐放到知识库系统中，客户可以选择自己领域的知识库系统，在入录完资产后就能见到对于行业最易于发生的风险性，客户立在巨人的肩膀上再开展风险评估将会出现更快的精确性和高效率。
#p#
五、内部审计以及他安全大检查
完备的检测体制是保障体系一切正常有效运转的方式，通常机构会按照自己状况制订管理规定，标准查验体制和内部审计体制。在管理体系运维管理全过程中，查验是十分关键的一项工作中，要在确保业务流程一切正常运转的情况下，高效率、全方位、客观性地查验机构内部结构在实施环节中的具体情况，便于制订改正和防范措施，并对体系管理开展需要的改善。此外内部审计和安全大检查的全过程实际上也是十分非常值得讨论的，怎样确切的寻找问题点，怎样对不符项开展追踪改善，改进实际效果怎样这些，不仅要很多的文件工作中，也必须持续跟进智能时代的脚步，掌握现阶段***的技术性。
ITRM系统软件自带了内部审计步骤和安全大检查作用，可以为内部结构审批与安全大检查工作中给予輔助与纪录。
#p#
六、有效性测量
每每提及ISMS的有效性测量时，大伙儿都是会觉得有一些迷惘或心有余而力不足，但有句话称为“你不能改善你不能测量的物品”，这充分证明了有效性测量的必要性，由于有效性测量可以对信息安全管理目标开展考评，是ISMS持续改善的重要环节，也是对信息安全性管理的绩效考评，与此同时达到合乎性的规定。并且有效性测量管理体系必须融进到ISMS管理体系的PDCA全过程中，最先有效性测量的总体目标要与ISMS的Plan环节制订的总体目标符合，并搜集充足的材料信息；在ISMS的Do运行环节要对于有效性测量管理体系开展总体设计，对有效性测量的需求量完成剖析，溶解测量指标值，制订测量指标值收集计划方案，搜集指标值并开展纪录；在ISMS的check环节，依据有效性测量的結果对ISMS开展点评，此外也必须对有效性测量管理体系自身开展点评；在ISMS的Act改善环节，对ISMS及测量评价指标体系各自开展改善，使之能够更好地为ISMS服务项目。 ITRM系统软件可以对ISMS管理体系的有效性测量工作中，将有效性测量的总体目标、年度工作计划、测量指标值、测量方案、测量結果等全过程干固在系统软件中，并在知识库系统中预置了普遍的有效性测量指标值。
七、管理评审
按时对ISMS开展管理评审，以保证ISMS范畴维持充足，ISMS全过程的改善获得鉴别。
ITRM系统软件自带了管理评审的工作内容，可以对管理评审工作中给予輔助与纪录。
八、改正防止，持续改善
纠正措施是要清除与ISMS规定不符的缘故，并避免再次出现；防范措施是明确对策清除潜在性的不符的缘故，避免其产生。而持续改善则是根据应用信息安全性方针、安全计划、审批結果、监控事情的剖析、纠正和预防措施及其管理评审等方法，持续改进ISMS的实效性。
ITRM系统软件自带了纠正预防措施的工作内容，可以对纠正防止工作中给予輔助与纪录，这也是保障体系持续改进的方式 之一。
以上这八项主题活动仅仅维护信息安全管理体系中较为主要的几类务必要做的工作中，并且是持续周而复始的，假如能获得谷安天下ITRM系统软件的支撑点，可能非常大的缓解劳动量，提高效率和精确性。自然这也是这仅仅对管理体系开展维护的手段之一，将来大家还将讨论大量的管理体系维护工作经验和手段，来确保信息的真真正正安全性。