随着各界对信息安全管理重视程度的加强，越来越多的组织依据ISO27001标准来建立自身的信息安全管理体系(ISMS)，对ISMS有效性如何进行测量，本文分享一些知识和经验。

一、为什么需要进行有效性测量?

我们为什么要对ISMS的有效性进行测量呢?换句话说，进行ISMS有效性测量的意义及价值是什么，我们从以下几个角度来评述。

1、对信息安全管理目标的考核

组织在建立ISMS时都会依据组织业务的发展、各利益相关方安全要求及组织的信息安全管理水平等，来设定自身信息安全管理的目标，通过有效性测量，不但可以很好的对信息安全目标达到的程度进行考核，准确的衡量ISMS的绩效，而且还能够为管理层对信息安全管理的资源投入提供数据依据。

2、ISMS持续改进的重要依据

在建立ISMS时，通常都会进行风险评估及风险处理措施的实施，如果不进行有效行测量，就不能反映出当前组织的各安全措施的效果如何，即无法表现出信息安全的改进在哪些方面。通过有效性测量，能够更充分的反映出当前组织的信息安全存在问题及问题的严重程度，为今后的信息安全的工作重点提供有力的依据。

3、信息安全管理工作的绩效考核

有效性测量结果不仅是衡量ISMS绩效的重要标准，也是对信息安全管理组织工作绩效的一个有利的侧面展示，通过有效性测量的数据，不但可以使管理者清晰的了解信息安全管理工作，而且还能增强信息安全管理工作人员的信心。

4、满足标准(ISO27001)的符合性要求

众所周知，ISO27001标准中明确要求组织定义测量体系，并实施之获得数据，衡量所实施ISMS的有效性。通过ISMS有效性测量工作，不仅仅充分的满足了标准的要求，而且是推动ISMS持续改进的动力。

二、进行有效性测量需要注意什么?

在对ISMS进行有效性测量的时候，我们应该遵循什么样的原则呢?我认为只要遵循“有依据、可操作、能比较”这三点原则，那么设计出来的有效性测量体系就是比较好的。这三点原则说明如下：

1. 有依据

有效性测量的过程中，不是为了测量而测量，不是为了标准而测量，各项指标的设定一定要有理有据，每个测量的指标都应当能够具体反映出ISMS的运行状态。

2. 可操作

一个不能操作的测量指标体系是没有意义的，所以有效性测量指标体系一定是清晰、明确，具体可操作的，而同时又是容易收集、不能花费太大的成本的，否则设计再好的测量指标体系都无法真正的贯彻执行。

3. 能比较

有效性测量的结果一定是可比较的，可以通过量化的数值、图形化的参考来展现测量的结果，这样能够清晰、直观的观察到ISMS的状态趋势。

三、如何进行有效性测量体系的设计?

前面我们谈到了进行有效性测量的必要性以及建立测量指标体系的原则，那么如何建立一个有效性测量的体系呢?下面我结合ISMS建设的PDCA四个阶段来做一个说明各阶段的重要活动。

1、ISMS的Plan策划阶段

随着整个ISMS的策划，有效性测量的工作其实已经可以开展，这个阶段主要是收集有效性测量的需求，为有效性测量提供输入，是进行有效性测量指标体系设计的基础。具体的活动如下：

1） ISMS目标建立：有效性测量一定要与组织的业务目标相关，是为了组织的核心业务目标而测量的，这是进行有效性测量的第一要点。在ISMS策划阶段建立组织ISMS的业务目标时，一定使ISMS的目标能够反映组织的业务目标，并且这个目标需要遵守SMART原则，即要具体(Specific)，可量化(Measurable)， (责任编辑：环球精益网)