爱华网C（检查）—监视并评审信息安全管理体系
检查阶段，又叫学习阶段，是PDCA循环的关键阶段，是信息安全管理体系要分析运行效果，寻求改进机会的阶段。如果发现一个控制措施不合理、不充分，就要采取纠正措施，以防止信息系统处于不可接受风险状态。组织应该通过多种方式检查信息安全管理体系是否运行良好，并对其业绩进行监视，可能包括下列管理过程：
1、执行程序和其他控制以快速检测处理结果中的错误；快速识别安全体系中失败的和成功的破坏；能使管理者确认人工或自动执行的安全活动达到预期的结果；按照商业优先权确定解决安全破坏所要采取的措施；接受其他组织和组织自身的安全经验。
2、常规评审信息安全管理体系的有效性；收集安全审核的结果、事故、以及来自所有股东和其他相关方的建议和反馈，定期对信息安全管理体系有效性进行评审。
3、评审剩余风险和可接受风险的等级；注意组织、技术、商业目标和过程的内部变化，以及已识别的威胁和社会风尚的外部变化，定期评审剩余风险和可接受风险等级的合理性。
4、审核是执行管理程序、以确定规定的安全程序是否适当、是否符合标准、以及是否按照预期的目的进行工作。审核的就是按照规定的周期（最多不超过一年）检查信息安全管理体系的所有方面是否行之有效。审核的依据包括BS 7799-2:2002标准和组织所发布的信息安全管理程序。应该进行充分的审核策划，以便审核任务能在审核期间内按部就班的展开。
管理者应该确保有证据证明：a.信息安全方针仍然是业务要求的正确反映；b.正在遵循文件化的程序（信息安全管理体系范围内），并且能够满足其期望的目标；c.有适当的技术控制（例如防火墙、实物访问控制），被正确的配置，且行之有效；d.剩余风险已被正确评估，并且是组织管理可以接受的；e.前期审核和评审所认同的措施已经被实施；
审核会包括对文件和记录的抽样检查，以及口头审核管理者和员工。
5、正式评审：为确保范围保持充分性，以及信息安全管理体系过程的持续改进得到识别和实施，组织应定期对信息安全管理体系进行正式的评审（最少一年评审一次）。
6、记录并报告能影响信息安全管理体系有效性或业绩的所有活动、事件。
A（措施）—改进信息安全管理体系
经过了策划、实施、检查之后，组织在措施阶段必须对所策划的方案给以结论，是应该继续执行，还是应该放弃重新进行新的策划？当然该循环给管理体系带来明显的业绩提升，组织可以考虑是否将成果扩大到其他的部门或领域，这就开始了新一轮的PDCA循环。
在这个过程中组织可能持续的进行一下操作：a.测量信息安全管理体系满足安全方针和目标方面的业绩。b.识别信息安全管理体系的改进，并有效实施。c.采取适当的纠正和预防措施。d.沟通结果及活动，并与所有相关方磋商。e.必要时修订信息安全管理体系。f.确保修订达到预期的目标。
在这个阶段需要注意的是，很多看起来单纯的、孤立的事件，如果不及时处理就可能对整个组织产生影响，所采取的措施不仅具有直接的效果，还可能带来深远的影响。组织需要把措施放在信息安全管理体系持续改进的大背景下，以长远的眼光来打算，确保措施不仅致力于眼前的问题，还要杜绝类似事故再发生或者降低其在放生的可能性。
不符合、纠正措施和预防措施是本阶段的重要概念。
不符合：是指实施、维持并改进所要求的一个或多哥管理体系要素缺乏或者失效，或者是在客观证据基础上，信息安全管理体系符合安全方针以及达到组织安全目标的能力存在很大不确定性的情况。
纠正措施：组织应确定措施，以消除信息安全管理体系实施、运作和使用过程中不符合的原因，防止再发生。组织的纠正措施的文件化程序应该规定以下方面的要求：a.识别信息安全管理体系实施、运作过程中的不符合；b.确定不符合的原因；c.评价确保不符合不再发生的措施要求；d.取定并实施所需的纠正措施；e.记录所采取措施的结果；f.评审所采取措施的有效性。
预防措施：组织应确定措施，以消除潜在不符合的原因，防止其发生。预防措施应与潜在问题的影响程度相适应。
预防措施的文件化程序应该规定以下方面的要求：a.识别潜在不符合及其原因；b.确定并实施所需的预防措施；c.记录所采取措施的结果；d.评审所采取的预防措施；e.识别已变化的风险，并确保对发生重大变化的风险予以关注。
