2002版的 BS7799第2部分在 ISMS 的设计和部署上次促进了―过程方法‖的采用。这种方法就是广为人知的―Plan-Do- Check-Act(PDCA)，PDCA 是英语单词 Plan(计划)、Do(执行)、Check(检查)和 Act(行动)的个字母，译成中文为：计 划、实施、检查和改进‖，对于进

行质量和经营管理的人们来讲很熟悉。

PDCA 循环是由美国统计学家戴明博士在1950年代提出来的，所以也俗称―戴明环‖。它指出，业务流程应该处理一个连续的反馈回路，使管理人员能 够识别和改变这一进程中需要改进的部分。这个过程，或者对过程的改进，首先要进行规划，然后实施，再衡量绩效，并将绩

效同计划进行比较，以发现偏差或确定 潜在的改进点，并且汇报给管理层以便做出采取实际行动的决定。

PDCA 和 和 ISO27001

ISO 27001在第0.2章节认可了这种模式，并且描述了如何将其应用于信息安全环境中。ISO27001的附件 B交叉引用了经合组织关于 PDCA模型的准则。ISO 27001采用了 PDCA的过程模型，并将其应用于架构所有 ISMS 的过程。

将 PDCA循环应用在过程方法中意味着，按照流程设计的基本准则，流程中应该有输入和输出。ISMS 的需求作为其输入―有兴趣的各方对信息安全的需求和期望，通过各种必要的行动和过程，产生满足这些要求和期望的信息安全结果‖。