熱線：ISO27001策略與規(guī)程編寫的八項原則
發(fā)布時間：2020-08-19 作者：廣匯聯(lián)合 來源：廣匯聯(lián)合
假如你正在準(zhǔn)備實施ISO27001國際信息安全管理標(biāo)準(zhǔn)，可能會對需要準(zhǔn)備多少文檔，以及文檔中要寫入哪些策略和規(guī)程而為難。開始很簡單，只需按照ISO27001標(biāo)準(zhǔn)檢查需要準(zhǔn)備哪些文檔。如果某文檔屬于強制性文檔，那就無需多想，只要想符合ISO27001標(biāo)準(zhǔn)，那就必須得寫。然而，有些文檔并非強制性的，可能就不知該寫還是不該寫了。例如，是否需要實施備份策略？是否需要實施分類策略？是否需要實施自帶設(shè)備辦公策略？那么下面幾條原則將對您有所幫助：
【風(fēng)險原則】首先必須進行風(fēng)險評估，看是否有必要實施該項控制（參見“ISO27001實施基本邏輯：信息安全運行機制”)。如果無風(fēng)險，自然也就無需為其準(zhǔn)備文檔；即使有風(fēng)險，也并不意味著必須編寫文檔，但至少需要搞清楚該項控制是否為必需。
【依從原則】有時相關(guān)規(guī)定或合同要求編寫相關(guān)文檔。例如，有規(guī)定可能要求編寫分類策略，或客戶要求與員工簽署《保密協(xié)議》等。
【公司規(guī)模】小公司需要的文檔會少一些，所以對于小公司，應(yīng)當(dāng)避免為每個小的流程編寫規(guī)程文檔。例如，一個只有20名員工的小公司，就沒必要為信息安全管 理體系準(zhǔn)備50多個文檔。當(dāng)然，如果是一個擁有10000名員工的跨國集團，為相關(guān)規(guī)程編寫策略，再為每個規(guī)程編寫操作細(xì)則，就會變得非常必要。
【重要性原則】流程或活動越重要，就越有必要編寫策略或規(guī)程對其進行描述。因為為了避免運行故障，需要確保每個人都能理解該如何實施該流程或活動。
【參與人數(shù)】流程或活動參與的人數(shù)越多，就越有必要形成文檔。例如，參與人數(shù)有100人，僅通過口頭傳達相關(guān)流程的實施就會變得非常困難，要是編寫一個可 以說明全部細(xì)節(jié)的規(guī)程文檔，就會變得簡單多了。反過來講，參與人數(shù)只有5個人，開個會或許就能把整個流程的工作解釋清楚，也就沒必要編寫規(guī)程文檔。但有一 種例外，那就是參與流程的只有一個人，就有可能需要形成文檔。因為除了參與人之外，沒人知道該如何實施，一旦該人缺席，至少還可以依照文檔使流程繼續(xù)下去。
【復(fù)雜性原則】流程或活動越復(fù)雜，就越有必要為其編寫文檔，至少也應(yīng)該有個檢查清單。例如，按照準(zhǔn)確步驟進行100步的操作是不可能僅靠記憶來進行實施的。
【成熟性原則】如果一項流程或活動脈絡(luò)明晰、經(jīng)過完美的調(diào)試并運行多年，每個人都知道該如何實施，可能就沒必要再為其形成文檔。
【頻次原則】如果某項活動很少實施，可能就需要形成文檔，因為您可能會忘記該如何實施該活動。尋找恰當(dāng)?shù)钠胶鈸?有的文檔越多，文檔就越詳細(xì)，文檔的維護難度以及員工的遵從難度也就越大。相反地，擁有的文檔越少、內(nèi)容越短，可能就無法準(zhǔn)確描述要做的事情。大多數(shù)情況 下，建議大家不要好高騖遠(yuǎn)。如果沒有絕對必要建立新文檔，那就不要建立；如果沒有必要極具明細(xì)地描述一些流程，那就簡明扼要。請記住，不必要的文檔只會給你帶來麻煩。
