ISO 27036-2

这是一篇关于ISO 27036-2的思维导图，主要内容包括：系统生命周期【15288框架】，供应关系生命周期下的信息安全。

ISO 27036-2

• 系统生命周期【15288框架】
  • 协定过程组（供需）
    • 供应商角度-供应过程
      • 建立收购方关系策略，该策略应： 1、基于供应商的信息安全风险承受能力； 2、明确在规划、准备、管理和终止产品或服务供应过程中所采用的信息安全基线。
    • 需求方角度-采购过程
  • 组织的项目使能过程组（供需）
    • 生命周期模型管理过程
      • 在管理供应商关系中的信息安全时，建立生命周期模型管理流程。
    • 基础设施管理过程
      • 提供支持组织在供应商关系中管理信息安全的必要基础设施。
    • 项目组合管理过程
      • 建立一个流程，用于考虑每个涉及供应商或收购方的项目在信息安全和整体业务使命方面的影响和依赖关系。
    • 人力资源管理过程
      • 确保收购方和供应商获得必要的人力资源，包括筛选要求、保密要求、培训和意识提升，以确保人员能力定期维护并与供应商关系中的信息安全需求保持一致。
    • 质量管理过程
      • 在管理供应商关系中的信息安全时，建立质量管理流程。
    • 知识管理过程
      • 在管理供应商关系中的信息安全时，建立质量管理流程。
  • 技术管理过程组（供需）
    • 1、项目规划过程
      • 在管理供应商关系中的信息安全时，建立项目规划流程。
    • 2、项目评估和控制过程
      • 在管理供应商关系中的信息安全时，建立项目评估与控制流程。
    • 3、决策管理过程
      • 在管理供应商关系中的信息安全时，建立决策管理过程。
    • 4、风险管理过程
      • 持续处理供应商关系中的信息安全风险，并在其整个生命周期中进行管理，包括定期重新评估或在发生重大业务、法律、监管、架构、政策和合同变更时进行评估。
    • 5、配置管理过程
      • 在管理供应商关系中的信息安全时，建立配置管理过程。
    • 6、信息管理过程
      • 将信息安全整合到现有信息管理流程中，以考虑在供应商关系中交换的信息的敏感性。
    • 7、测量过程
      • 收集、分析并报告与产品或服务采购或供应相关的信息安全措施，以展示供应商关系中信息安全的成熟度并支持流程的有效管理。
    • 8、质量保证过程
      • 在管理供应商关系中的信息安全时，建立质量保证流程。
  • 技术过程组（供需）
    • 业务或使命分析过程
      • 在业务和任务分析流程中建立考虑信息安全的流程。
    • 架构定义过程
      • 建立技术框架，以满足供应商关系目的的持续产品或服务采购。
• 供应关系生命周期下的信息安全
  • 供应商关系规划过程（需求方）
  • 供应商选择过程（供需）
    • 响应采购方的招标文件，考虑所供应产品或服务相关的信息安全风险以及采购方招标文件中定义的信息安全要求（例如ITT、RFP）。
  • 供应关系协议过程（供需）
    • 建立并达成供应商关系协议，涵盖以下内容： 1、采购方与供应商在信息安全方面的角色与责任； 2、信息安全、ICT安全、人员安全及物理安全方面的必要安全控制措施； 3、当产品或服务此前由与供应商不同的主体运营或制造时，需遵循的过渡流程； 4、信息安全变更管理； 5、信息安全事件管理； 6、合规监控与执行； 7、终止流程。
  • 供应商管理过程（供需）
    • 在供应商关系执行期间，根据供应商关系协议维护信息安全，并特别考虑以下内容： 1、支持采购方在产品或服务供应过渡时，该产品或服务此前由采购方或不同供应商运营或制造； 2、培训受供应商关系协议中定义的信息安全要求影响的人员； 3、管理可能对产品或服务供应产生信息安全影响的变更和事件； 4、支持收购方开展合规监控与执行活动。
  • 供应商关系终止过程（供需）
    • a）在终止过程中保护产品或服务供应，以避免终止通知后出现任何信息安全、法律及监管影响。 b)按照终止计划终止产品或服务供应