前言
資訊安全管理非買來即用的產品，而是持續改善的管理循環。本文依據 BS 7799/ISO 27001 架構，說明如何建立安全管理體系、進行自我評估與落實執行。
安全管理前提：政策與審計
- 涵蓋實體（機房管制）、邏輯（存取控制）、行政（人員安全）三面向政策。
- 建立審計機制，依審計結論採取修正行動。
- 高密級環境需採取比低密級更嚴格的管理措施。
BS 7799-2:2002 九步驟實施流程
- 定義 ISMS 範圍
- 訂定安全政策
- 確定系統化風險評估方法
- 識別風險
- 評估風險
- 識別並評價風險處理選項
- 選擇控制目標與措施
- 編製適用性聲明
- 高層管理批准剩餘風險
參考標準：北京市黨政機關資訊安全管理辦法
涵蓋組織領導、方案審查、服務單位資質、產品准入、保密制度、監控應急、內容管理、人員培訓、宣教、監督檢查、法律責任等面向，範圍廣泛可作為實務參考。
自我評估方法
- 對照 BS 7799 附錄 A 控制項逐項檢查。
- 引入外部風險評估服務，識別高風險點、定位特定安全需求。
- 依評估結果優先處理高風險，持續監控安全狀態變化。
落實安全管理三大關鍵
1. 訂定切合實況的安全策略
- 避免脫離實際的理想化範本，策略需「符合現狀、簡單易行、變動最小」。
- 融入企業既有文化，配備適當監督機制。
2. 執行資訊系統安全評估
依公認標準對系統效能、效率、安全性進行監測評估，建立風險管理意識，作為安全體系建設基礎。
3. 認知安全管理是動態持續過程
- 攻防技術日新月異，需分階段調整策略。
- 建立 PDCA（計畫-執行-檢查-行動）循環機制：持續改善、政策訂定、管理審查、文件管制、內部稽核。
- 安全管理核心在於「風險評估與控制」，將組織損失降至最低。
結語
資訊安全管理體系非一蹴可幾，需在評估基礎上訂定策略、制度，再配套選用安全產品。企業不再是「做不做」的選擇，而是「必須盡早實施」的必然趨勢。
