ISMS 資訊安全管理制度

ISO的原則

（1）寫下你說你要做的。
（2）依據你所寫的去做。
（3）證明你已依照你所說的與所寫的去做；
 就是求實的精神，即「怎麼說，就怎麼寫，依照所寫的去做」。

在2000年的改版過程中，ISO 9004：2000 首度揭露了八項品質管理原則

一：顧客導向（Customer focus）
一家獲利良好的企業，應隨時因應市場變化，發掘消費者需求，才能生產暢銷商品。

 二：領導統御（Leadership）
企業必須精準傳達公司最高品質政策，並確保每一位員工都能確實了解。進而達到公司上下團結一心、充滿熱情和活力共同完成任務。

三：全員參與（Involvement of people）
一家充滿競爭力的公司，員工應該被鼓勵意見表達，並且也該授予某種程度的自主權以解決問題。

 四：流程方法（Process approach） 一個運作良好的企業應建立標準作業程序並且書面化，以免不同員工針對同一件工作內容各自行動而導致紊亂。

 五：系統管理（System approach to management） 企業領導者必需掌握各項工作流程是否運作順暢？以及隨時協調部門之間的工作環結運型無誤。

六： 持續改善（Continual improvement） 一旦完成企業年度營運目標的擬定之後，必須在實施過程中，持續找出可以改善的地方。
PDCA

 七：事實決策（Factual approach to decision making）
一個健全運作的企業，任何的決策都不該出自於主事者的個人好惡與主觀判斷。

八：供應商互利關係（Mutually beneficial supplier relationships）
一家企業若能有善降低採購成本，並且能夠確保生產材料不虞匱乏，才是一家有效率的公司。

ISMS 資訊安全管理制度

資訊安全管理制度ISO27001 也是遵循這一個體系，附錄加入資訊安全制度之指引。

• 機密性(Confidentiality) 確保資訊只有獲得授權的人才能存取。
• 完整性(Integrity) 確保資訊在維護與處理過程中沒有遭到變動與竄改。
• 可用性(Availability) 確保經授權的使用者在需要時，可以適時取得資訊。
• 其實要建立好資安應該從思想到制度、最後形成組織文化。如果只是應付檢查、而非真正想落實；書面文件一堆；沒有真正去實行、那麼只能祈禱不發生事情就好了……