5.2.12  信息安全事件管理

信息安全事件管理包含1個控制目標7個控制措施。

　　組織應建立信息安全事件管理制度，明確信息安全事件的職責和處理規程，以確保快速、有效和有序地響應信息安全事件。應與管理人員商定信息安全事件管理的目標，應確保信息安全事件管理責任人理解處理組織信息安全事件時的優先級。

所有雇員、承包方人員和第三方人員都應該知道他們有責任盡可船L地報告任何信息安全事態。他們還應該知道報告信息安全事態的流程和聯系人員及聯系方式。

為了預防信息安全事件，所有雇員和承包商應注意并報告任何觀察到或可疑的系統或服務中的信息安全弱點，盡可能快地將這些事情報告給組織制定的安全管理者，或者直接報告給服務提供者。報告機制應盡可能容易、可訪問和可利用。雇員、承包商不要試圖去證明被懷疑的安全弱點。需要告知雇員和承包商自行測試弱點可能被看作是潛在的系統誤用，還可能導致信息系統或服務的損害，并引起測試人員的法律責任。