5.2　資源分配

5.2.1　一般要求

5.2.1.1　評估內容

詳見GB/T31168－2014中5.2.1的a）、b）和c）。

5.2.1.2　評估方法

5.2.1.2.1 對a）的評估方法為：

——檢查系統開發與供應鏈安全策略與規程等相關文檔，查看其是否有在規劃系統建設時考慮系統安全需求的要求；

——檢查系統規劃階段相關文檔，查看其是否明確指出該系統的安全需求。

5.2.1.2.2 對b）的評估方法為：

——檢查系統開發與供應鏈安全策略與規程等相關文檔，查看其是否有確定并分配為保護信息系統和服務所需的資源，并在預算管理過程中予以重點考慮的要求；

——檢查工作計劃、預算管理過程文檔，查看其是否有保護信息系統和服務所需資源（如有關資金、場地、人力等）的內容；

——訪談信息安全的第一負責人或系統安全負責人等相關人員，詢問保護信息系統和服務所需資源的落實情況。

5.2.1.2.3 對c）的評估方法為：

——檢查系統開發與供應鏈安全策略與規程等相關文檔，查看其是否有在工作計劃和預算文件中，將信息安全作為單列項予以考慮的要求；

——檢查工作計劃和預算文件，查看其是否將信息安全作為單列項予以說明。

5.2.2　增強要求

無。