5.1 制度和體系

5.1 制度和體系

建立并施行滿足信息安全服務所需的管理制度或管理體系。具體要求如下：

a) 應確定一名高層管理者全面負責信息安全服務相關管理制度或管理體系的建立、實施、運行、監視、評審、保持和改進；

b) 應按照GB/T 24405.1-2009和GB/T 22080-2008要求建立管理制度或管理體系，并保證與所提供的信息安全服務類別相適宜且有效；

c) 應將服務項目納入與管理制度或管理體系相符合的管理流程或管理工具中，并定期對制度執行情況進行內部檢查，保證服務質量的持續改進；

d) 應對組織內部所有相關人員進行管理制度或管理體系的教育、培訓和考核；

e) 應遵循需求方相關的管理制度和業務流程。