資訊安全管理政策制定過程：

（1）計畫：建立資訊安全管理系統環境及風險評鑑。

（2）執行：建立資訊安全管理系統之實施與操作組織。

（3）檢查：資訊安全管理系統之監控與審查組織。

（4）行動：改進資訊安全管理系統組織應持續進行。

其中在計畫：建立資訊安全管理系統環境及風險評鑑部分可細分為：

（1）定義資訊安全管理系統之範圍與政策。

（2）定義風險評鑑之系統化方法。

（3）鑑別各項風險。

（4）採用定義風險評鑑之系統化方法中評鑑各項風險。

（5）鑑別並評估風險處理之選項作法。

（6）選擇控制目標與控制措施以處理風險。

在執行：建立資訊安全管理系統之實施與操作組織部分可細分為：

（1）實施所選之控制措施。

（2）鑑別適當管理措施與優先順序，以便管理資訊安全風險，並達到所鑑別的安全目標，計畫內容包括投資的考慮以及角色與責任的分派。

（3） 實施所選之控制措施。

（4）作業管理。

（5）管理資源。

（6）實施能加速偵測安全事件並予以回應處理之作業程序及其他控制措施。

在檢查：資訊安全管理系統之監控與審查組織部分可細分為：

（1）執行作業程序與其他控制措施，以便立即偵測系統處理結果之錯誤、立即鑑別安全系統失效及遭他人破壞成功之事件、促使管理階層決定委託他人或由系統自動處理之安全措施是否已如預期實行、根據業務優先順序，決定採取哪些措施解決安全漏洞、從其他組織與本身之安全經驗吸取教訓。

（2）定期審查資訊安全管理系統之有效性，並考慮安全稽核、事件、股東與利害關係團體之建議與反映意見。

（3）審查殘餘風險與可接受風險等級，並考慮組織、技術、企業目標、程序和外部事件，包括已鑑別之威脅與社會環境變化。

（4）執行管理流程，以決定是否有指定之安全作業流程，是否符合本標準，且是否達到預期功能。

（5）定期執行正式的資訊安全管理系統審查，以確保範圍保持適當，以及資訊安全管理系統過程之各項改進均已鑑別與實施。

（6）記錄與報告所有對資訊安全管理系統有效性或績效有衝擊之活動與事件。

在行動：改進資訊安全管理系統組織應持續進行部分可細分為：

（1）測量資訊安全管理系統之績效以符合安全政策與目標。

（2）鑑別資訊安全管理系統之改善方式並有效實施。

（3）採取適當矯正和預防措施。

（4）與所有相關機構就結果和各項措施進行溝通並徵詢意見。

（5）必要時修改資訊安全管理系統。

（6）確保各項修改措施達到預期目標。

2