ISO 27001的信息安全事件管理该怎么做，从分级到复盘

信息安全事件管理在标准里跨了几个条款，涉及运行、监视测量和改进。企业常把它理解成出了问题再处理，实际要求更靠前：要提前定义什么是事件、怎么分级、谁来响应、什么时候升级、事后怎么复盘。

一、先把事件分级定下来

分级的作用是决定资源投入和响应时效。常见的分法按影响范围和严重程度划分，例如核心系统不可用、涉及大量个人信息泄露、影响多个客户，这类属于高级别；单个用户终端感染、个别账号异常登录，这类属于低级别。

分级标准要事先写清楚并经过批准，宜配几个典型场景示例，便于值班人员快速判断。分级标准也需要定期回顾，因为业务和技术环境会变化。

二、明确响应角色与联络方式

需要明确谁接收报告、谁做判断、谁负责处置、谁负责对外沟通。联系方式要定期核对，尤其是节假日和夜间。规模小的企业可以合并角色，但不能没有人负责。

三、响应流程要可执行

流程大致是接收与记录、初步判断与分级、隔离与遏制、消除与恢复、验证与关闭、复盘与改进。里面有几个容易漏的环节。一是证据留存，处置前先做必要的记录和备份，避免破坏现场。二是外部通报，涉及个人信息泄露、影响客户服务的，要按法律和合同约定的时限通报。三是恢复验证，恢复后要确认业务与安全状态正常。

四、演练不能只做桌面推演

桌面推演成本低，适合梳理流程。但只做桌面推演，实际操作中仍会手忙脚乱。建议按周期安排一到两个场景做实际操作，例如从离线备份恢复一套关键系统，或者模拟一次账号失陷后的隔离与排查。演练后要记录发现的问题并跟踪整改。

五、复盘要落到改进项

复盘的重点不是追责，而是找出流程或控制上的缺口。可以围绕几个问题展开：事件是怎么被发现的，发现时间是否可以更早；响应过程哪些环节卡住了；现有控制为什么没能拦住；同类事件在别的系统有没有可能发生。结论要转成具体的改进事项，纳入纠正措施流程并跟踪到验证。

六、指标不要只统计数量

常见的指标包括事件数量、平均发现时间、平均处置时间、重复发生的事件占比、演练完成情况。其中重复发生的占比更能说明改进是否有效，值得关注。指标要进入管理评审，作为体系有效性判断的输入之一。

七、把事件管理与相关过程连起来

事件管理与变更管理、问题管理、供应商管理有接口。重大变更之后往往是事件高发期；反复出现的问题应该转为问题管理去追根因；由供应商引起的事件要在供应商评估中体现。把这些接口打通，事件管理才不会变成消防队。

厦门格略咨询，企业资质一站式服务平台。13年专业咨询公司，3000+服务案例累计；服务内容：各类ISO体系辅导，CMMI、CCRC、ITSS、ISO27001、ISO20000、FSC、IATF16949、EcoVadis评级、ISO22000等辅导，各类补贴项目申报。

地址:厦门火炬高新区软件园三期集美大道1997号608室

联系电话：0592-6270869

公司官网：www.fjgelue.com