漏洞扫描管理：
a) 管理员应定期进行漏洞扫描，客户端和服务器可使用相关工具进行漏洞扫描。
b) 根据漏洞扫描结果，管理员应及时修补系统漏洞。
渗透测试管理：
a) 技术符合性检查应由有经验的系统工程师手动执行（如需要，利用合适的软件工具支持），或者由技术*用自动工具来执行，此工具可生成供后续解释的技术报告。
b) 如果使用渗透测试或脆弱性评估，则应格外小心，因为这些活动可能导致系统安全的损害。这样的测试应预先计划，形成文件，且重复执行。
审核注意事项：
应与合适的管理者商定审核要求；
应商定和控制检查范围；
检查应限于对软件和数据的只读访问；
非只读的访问应仅用于对系统文件的单独拷贝，当审核完成时，应擦除这些拷贝，或者按照审核文件要求，具有保留这些文件的义务，则要给予适当的保护；
应明确地识别和提供执行检查所需的资源；
应识别和商定特定的或另外的处理要求；
应监视和记录所有访问，以产生参照踪迹；对关键数据或系统，应考虑使用时间戳参照踪迹；
应将所有的制度、要求和职责形成文件；执行审核的人员应独立于审核活动
为方便理解业务连续性管理过程，将采用分级的方式进行表述。业务连续性管理概要过程主要从整体上描述，不会体现具体的细节和涵盖所有的人员。
1) 制定业务连续性框架
通过对一系列应对方式（包括资源获取方式）的策略评估，确定业务连续性框架，为每一服务选择了合适的响应方式，使得组织可以在中断发生中或发生后能够按预定的条件持续提供服务。
2) 制定应急预案
开发具体的服务连续性应对措施，建立事故管理和业务连续性、业务恢复计划的管理框架，以详细描述在事故发生中或发生后维持和恢复运行的步骤。
3) 演练与维护
通过业务连续性的演练、维护和评审使得组织保证服务连续性策略和计划完成、更新和准确的程度。
分析潜在不符合项的原因
1) 信息安全工作小组利用对潜在不符合项情况以及各部门日常发现报告的重大安全隐患（安全薄弱点)，确定可能需要采取预防措施的问题和需求，组织相关部门进行原因分析，分析确定潜在不符合及其原因，评价防止不符合发生的措施的需求。
2) 采取预防措施应与潜在问题的影响程度相适应，对于以下情况的潜在不符合应采取预防措施：
可能造成信息安全事故；
可能影响客户满意程度、造成客户抱怨与投诉；
可能影响企业形象与经济利益；
可能造成生产经营业务中断。
1. 目的和范围
为了对信息安全管理体系运行出现的不符合事项（信息安全事故、审核中出现的不符合等）或潜在不符合事项进行分析、纠正，并为防止潜在不符合项的发生，采取预防措施，以消除造成实际或潜在的不符合项的原因，持续改进信息安全管理体系，特制定纠正和预防措施管理制度。
本制度适用于信息安全管理体系各项活动中发生或可能发生的所有不符合项的纠正和预防措施的管理。
2. 引用文件
1) 下列文件中的条款通过本规定的引用而成为本规定的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励各部门研究是否可使用这些文件的版本。凡是不注日期的引用文件，其版本适用于本标准。
2) GB/T 22080-2008/ISO/IEC 27001:2013 信息技术-安全技术-信息安全管理体系要求
3) GB/T 22081-2008/ISO/IEC 27002:2013 信息技术-安全技术-信息安全管理实施细则
4) 《文件控制制度》
5) 《信息安全交流控制制度》
-/gbacfji/-
http://lsjsqd.b2b168.com
