13.1　策略與規程

13.1.1　一般要求

13.1.1.1　評估內容

詳見GB/T31168－2014中13.1.1的a）和b）。

13.1.1.2　評估方法

13.1.1.2.1 對a）的評估方法為：

——檢查安全組織與人員策略與規程等相關文檔，查看其是否定義了所分發的人員或角色；

——訪談所定義的人員或角色，詢問其是否收到過相應的策略與規程；

1）檢查安全組織與人員策略，查看其是否涉及：目的、范圍、角色、責任、管理層承諾、內部協調、合規性等內容。

2）檢查安全組織與人員相關規程，查看其是否有推動安全組織與人員策略及有關安全措施的實施的內容。

13.1.1.2.2 對b）的評估方法為：

——檢查安全組織與人員策略與規程等相關文檔，查看其是否定義了審查和更新頻率；

——檢查審查和更新記錄，查看其是否按照定義的頻率進行審查和更新。

13.1.2　增強要求

無。