9.1　策略與規程

9.1.1　一般要求

9.1.1.1　評估內容

詳見GB/T31168－2014中9.1.1的a）和b）。

9.1.1.2　評估方法

9.1.1.2.1 對a）的評估方法為：

——檢查系統維護策略與規程等相關文檔，查看其是否定義了所分發的人員或角色；

——訪談云服務商定義的人員或角色，詢問其是否收到過相應的策略與規程；

1）檢查系統維護策略（包括遠程維護策略），查看其是否涉及：目的、范圍、角色、責任、管理層承諾、內部協調、合規性等內容；

2）檢查系統維護規程，查看其是否有推動系統維護策略及有關安全措施的實施的內容。

9.1.1.2.2 對b）的評估方法 為：

——檢查系統維護策略與規程等相關文檔，查看其是否定義了審查和更新的頻率；

——檢查審查和更新記錄，查看其是否按照定義的頻率審查和更新。

9.1.2　增強要求

無。