ISO 27001在第0.2章节认可了这种模式,并且描述了如何将其应用于信息安全环境中。ISO 27001的附件B交叉引用了经合组织关于PDCA模型的准则。ISO 27001采用了PDCA的过程模型,并将其应用于架构所有ISMS的过程。
这意味着,PDCA循环模型有两个层面上的应用:在战略层面上,对ISMS自身的整体开发;在战术层面上,对每一个ISMS的过程的开发。
标准的简介中描述了在战略层面上,将PDCA循环应用到ISMS的开发。PDCA循环和标准中确定了的ISMS的开发阶段之间的对应关系如下:
* 定义ISMS的范围和信息安全方针;
* 定义风险评估的系统性方 法;
* 识别风险;
* 应用组织确定的系统性方法评估风险;
* 识别并评估可选的风险处理方式;
* 选择控制目标与控制方式;
* 准备适用性申明SOA。
* 实施特定的管理程序;
* 实施所选择的控制,执行风险应对计划;
* 为受影响的员工提供必要的培训和提升安全意识
* 运作管理;
* 实施能够促进安全事件检测和响应的程序和其他控制。
* 执行程序,检测错误和违背方针的行为;
* 定期评审ISMS的有效性;
* 评审剩余风险和可接受风险的等级;
* 执行管理程序以确定规定的安全程序是否适当,是否符合标准,以及是否按照预期的目的进行工作;
* 定期对ISMS进行正式评审,以确保范围保持充分性,以及ISMS过程的持续改进得到识别并实施;
* 记录并报告所有活动和事件。
* 测量ISMS绩效;
* 识别ISMS的改进措施,并有效实施;
* 采取适当的纠正和预防措施;
* 必要时修改ISMS,确保修改达到既定的目标;
* 持续检查、测试和改进的“持续改进”过程。