13.4　安全規章制度

13.4.1　一般要求

13.4.1.1　評估內容

詳見GB/T31168－2014中13.4.1的a）、b）和c）。

13.4.1.2　評估方法

13.4.1.2.1 對a）的評估方法為：

——檢查信息安全規章制度，查看其是否與安全組織與人員的相關策略、規程相符；

——訪談系統安全負責人、外部服務提供商、開發商或客戶等內外部相關人員，詢問傳達信息安全規章制度的情況。

13.4.1.2.2 對b）的評估方法為：

——檢查安全組織與人員策略與規程等相關文檔，查看其是否定義了評審和更新信息安全規章制度的頻率，是否要求在信息安全策略或計劃發生變更時或按所定義的頻率評審和更新信息安全規章制度；

——檢查評審和更新記錄，查看其是否按要求進行了信息安全規章制度的評審和更新；

——訪談系統安全負責人等相關人員，詢問信息安全規章制度的評審和更新的情況。

13.4.1.2.3 對c）的評估方法為：

——檢查安全組織與人員策略與規程等相關文檔，查看其是否定義了監督檢查信息安全規章制度落實情況的機制；

——訪談系統安全負責人等相關人員，詢問所定義機制的落實情況。

13.4.2　增強要求

無。