ISO 27001 资讯安全管理系统 【解析】(四十)

(五)监控量测流程
下图为典型监控量测的流程：

定义监控量测资讯需求
从第三方需求、组织策略与方向、资讯安全政策与目标及风险处理决定需要监控量测的项目，检验资讯安全管理系统的流程、活动，例如：控制措施、法规命令要求及风险处理所需的资讯再区分优先顺序，记录这些需求的来源及要求。创建与维持监控量测
根据前面的需求以及组织本身的需要，创建监控量测项目并维持运作，在适当时候更新这些监控量测，完成相关文件纪录，维持高阶管理者的参与，确保监控量测的正确运作。建立监控量测程序
确认需要蒐集的资讯、蒐集的方式、负责的人员、报告的方式及整个与监控量测有关的程序。执行监控量测
依照前面所建立的程序执行监控与量测。分析监控量测结果
分析所获得的监控量测资讯，与之前的需求比对。评估效能及有效性
评估监控量测项目的效能及有效性，审查其适切性。