13.11　人員處罰

13.11.1　一般要求

13.11.1.1　評估內容

詳見GB/T31168－2014中13.11.1的a）和b）。

13.11.1.2　評估方法

13.11.1.2.1 對a）的評估方法為：

——檢查安全組織與人員策略與規程等相關文檔，查看其是否有對于違反信息安全策略與規程的人員啟用處罰程序的規定；

——訪談系統安全負責人或人事管理相關人員等相關人員，詢問其對違反信息安全策略與規程人員的處罰情況；

——檢查處罰程序等相關文檔，查看其是否按要求制定；

——檢查處罰記錄和通知，查看是否按要求進行處罰。

13.11.1.2.2 對b）的評估方法為：

——檢查安全組織與人員策略與規程等相關文檔，查看其是否定義了啟動處罰程序時，在所定義的期限內通知的人員或角色；

——檢查處罰記錄和通知等相關文檔，查看是否按照定義的期限通知了所定義的人員，且指明受處罰人員及處罰原因；

——訪談所定義的人員或角色，詢問其接收處罰通知的情況。

13.11.2　增強要求

無。