3.??Competence Management

·ISO26262要求:?組織應(yīng)確保執(zhí)行安全生命周期活動(dòng)的人員具有與其職責(zé)相匹配的技能水平、能力和資質(zhì)。 ·ISO21434要求：組織應(yīng)確保實(shí)施信息安全的人員有相應(yīng)的資質(zhì)和意識(shí)。 【導(dǎo)入建議】制訂每個(gè)角色的職責(zé)，并根據(jù)職責(zé)，提出相應(yīng)的能力要求。人員的能力要求，建議從教育背景、專業(yè)技能和經(jīng)驗(yàn)、信息安全項(xiàng)目經(jīng)驗(yàn)、人員資質(zhì)證書等方面要求。 ?

對(duì)從事信息安全相關(guān)的角色進(jìn)行能力管理。從組織層面，可以采取一些行動(dòng)，管理從業(yè)人員資質(zhì)。比如： ·人員招聘時(shí)，JD里包括信息安全相關(guān)的能力要求 ·新員工入職培訓(xùn)，信息安全課程作為必選課 ·信息安全內(nèi)部課程，定期為相關(guān)人員舉辦培訓(xùn) ·信息安全人員資質(zhì)考核和證書 在項(xiàng)目層面，對(duì)分配到項(xiàng)目組的成員評(píng)定人員能力水平，如果不能滿足相應(yīng)的需求，采取措施（e.g.?培訓(xùn)，以老帶新…）提升人員能力。

4.??Quality Management System

·ISO26262要求：執(zhí)行安全生命周期活動(dòng)的組織，應(yīng)有滿足質(zhì)量標(biāo)準(zhǔn)如IATF16949或等同標(biāo)準(zhǔn)的質(zhì)量體系。 ·ISO21434要求：組織應(yīng)建立和維護(hù)滿足國(guó)際標(biāo)準(zhǔn)的質(zhì)量體系，支持信息安全工程。包括：變更管理、文檔管理、配置管理和需求管理。 【導(dǎo)入建議】此部分可以在現(xiàn)有的相關(guān)流程指南中，增加信息安全相關(guān)內(nèi)容： ·變更管理：對(duì)于變更進(jìn)行判斷，是否和信息安全相關(guān)。如果是和信息安全相關(guān)的變更，CCB成員需要包括信息安全經(jīng)理，并且變更關(guān)閉時(shí)，信息安全經(jīng)理參與判斷是否可以關(guān)閉。 ·文檔管理和配置管理：信息安全相關(guān)的產(chǎn)出物，要納入公司的文檔管理和配置管理之中。比如：信息安全要求規(guī)范，納入基線管理。 ·需求管理：信息安全需求，也是產(chǎn)品需求的一種，要納入公司的需求管理之中。從信息安全角度，需要考慮引入信息安全的等級(jí)，每條需求，分配一個(gè)信息安全的等級(jí)（CAL）。CAL = Cybersecurity Assurance Level ? 華菱咨詢成立于2001年，是長(zhǎng)三角，珠三角、京津冀和西南地區(qū)具有影響力的咨詢機(jī)構(gòu)。專注于標(biāo)準(zhǔn)體系咨詢、產(chǎn)品認(rèn)證咨詢、企業(yè)管理項(xiàng)目咨詢以及相關(guān)教育訓(xùn)練的顧問公司。公司已在北京、上海、深圳、杭州、、江西、西安設(shè)立了分支機(jī)構(gòu)。經(jīng)過20多年的發(fā)展，現(xiàn)已成為江蘇省咨詢協(xié)會(huì)理事單位、蘇州工商聯(lián)咨詢協(xié)會(huì)理事單位、北京企業(yè)管理咨詢協(xié)會(huì)會(huì)員單位、上海認(rèn)證協(xié)會(huì)會(huì)員單位、上海咨詢協(xié)會(huì)會(huì)員單位、廣東省咨詢協(xié)會(huì)會(huì)員單位；同時(shí)也被評(píng)為江蘇省和廣東省優(yōu)秀管理咨詢機(jī)構(gòu)。