2. 信息安全管理体系（ISMS）简介
📘 2.1 ISMS 的定义
信息安全管理体系（Information Security Management System，简称 ISMS） 是一套基于风险方法的、系统化的管理框架，用于建立、实施、运行、监视、评审、维护和改进组织的信息安全。它不仅仅是技术工具的堆砌，而是将人员、流程、技术三者有机整合，通过策略、制度、组织架构来保障信息的机密性、完整性、可用性（CIA三元组）。
💡 通俗理解：
ISMS 就像给组织的信息资产装上一套“智能安保系统”——有门禁（访问控制）、有监控（审计日志）、有应急预案（事件响应），并且定期演练和升级。
📜 2.2 ISMS 的起源与 ISO 27001 标准
ISMS 的概念最早源于 20 世纪 90 年代，英国标准协会（BSI）发布了 BS 7799 标准，后经国际标准化组织（ISO）采纳并修订，于 2005 年正式发布 ISO/IEC 27001:2005，现行版本为 ISO/IEC 27001:2022。
🔄 2.3 PDCA 循环模型
ISMS 的核心运行机制基于 PDCA（Plan-Do-Check-Act）循环模型，也称为“戴明环”。它将 ISMS 的持续改进过程分为四个阶段，确保体系始终适应内外部环境变化。
📋 Plan（策划）
- 确定 ISMS 范围与方针
- 风险评估与处置计划
- 设定安全目标
⚙️ Do（实施）
- 执行安全控制措施
- 培训与意识提升
- 文档化与记录
🔍 Check（检查）
- 内部审核与管理评审
- 监视与测量
- 不符合项识别
🚀 Act（改进）
- 纠正与预防措施
- 持续改进 ISMS
- 更新风险评估
📌 PDCA 在 ISMS 中的典型应用示例：
Plan : 识别公司核心数据库风险，制定备份策略与访问控制规则
Do : 部署加密软件、设置强密码策略、安排员工培训
Check : 每月审计日志、每季度渗透测试、检查备份恢复成功率
Act : 根据测试结果更新策略，修补漏洞，优化备份流程🧩 2.4 本节知识速览
专注课程资料整理