在战术层面应用 PDCA  循环

这意味着，PDCA 循环模型有两个层面上的应用：在战略层面上，对 ISMS 自身的整体开发；

在战术层面上，对每一个 ISMS 的过程的开发。

ISO 27001 条文中的 PDCA  四个循环阶段

标准的简介中描述了在战略层面上，将 PDCA循环应用到 ISMS 的开发。PDCA 循环和标准中确定了的 ISMS 的开发阶段之间的对应关系如下：

计划阶段（建立 ISMS，章节4.2.1)：

* 定义 ISMS 的范围和信息安全方针；

* 定义风险评估的系统性方 法；

* 识别风险；

* 应用组织确定的系统性方法评估风险；

* 识别并评估可选的风险处理方式；

* 选择控制目标与控制方式；

* 准备适用性申明 SOA。

实施阶段(实施和运作 ISMS，章节4.2.2)：

* 实施特定的管理程序；

* 实施所选择的控制，执行风险应对计划；

* 为受影响的员工提供必要的培训和提升安全意识

* 运作管理；

* 实施能够促进安全事件检测和响应的程序和其他控制。

检查阶段(监督和审查 ISMS，章节4.2.3)：

* 执行程序，检测错误和违背方针的行为；

* 定期评审 ISMS 的有效性；

* 评审剩余风险和可接受风险的等级；

* 执行管理程序以确定规定的安全程序是否适当，是否符合标准，以及是否按照预期的目的进行工作；

* 定期对 ISMS 进行正式评审，以确保范围保持充分性，以及 ISMS 过程的持续改进得到识别并实施；

* 记录并报告所有活动和事件。

改进阶段(维护和改进 ISMS，章节4.2.4)：

* 测量 ISMS 绩效；

* 识别 ISMS 的改进措施，并有效实施；

* 采取适当的纠正和预防措施；

* 必要时修改 ISMS，确保修改达到既定的目标；

* 持续检查、测试和改进的―持续改进过程。