报告与治理结构

组织结构

管理层
  ├── 信息安全官 (ISB)
  │     ├── 风险分析与ISMS
  │     ├── 事件管理与BSI联络
  │     ├── 审计与合规
  │     └── 培训与安全意识
  ├── IT主管
  │     ├── IT运维（服务器、网络、云）
  │     ├── 软件开发
  │     └── 服务台/支持
  └── 数据保护官 (DSB)
        └── DSGVO合规

ISB -- 角色与权限

方面	描述
报告路径	直接向管理层汇报（独立于IT主管）
职责	ISMS运营、风险分析、事件协调、BSI报告、审计协调
权限	安全事件发生时可下达即时措施指令，向管理层升级
独立性	ISB不得同时对被审查的系统承担运营责任

报告结构

定期报告

报告	内容	接收方	频率	形式
安全KPI仪表板	补丁合规率、MTTD/MTTR、MFA覆盖率、未关闭发现	ISB	持续	仪表板
月度报告	KPI趋势、新漏洞、事件概览、措施状态	ISB + IT主管	每月	简要报告
季度报告	综合汇总、风险状况、审计结果、预算	管理层	每季度	演示文稿
年度报告	综合评估、审计结果、同比分析、改进计划	管理层	每年	书面报告

事件驱动报告

触发条件	接收方	期限	形式
关键安全事件	管理层 + ISB	立即	口头 + 书面后续
§32 BSI报告	管理层	与报告同步	书面
关键审计发现	管理层	48小时内	书面
威胁态势重大变化	管理层 + IT	及时	简报

文档义务

以下文件须持续维护并随时可查：

文件	责任人	审查周期
信息安全政策	ISB，管理层批准	每年
风险分析和风险处置计划	ISB	每年 + 事件驱动
资产清单	IT + ISB	持续
事件响应预案	ISB + IT	每年 + 事件后
备份和DR文档	IT运维	每年 + 变更后
权限矩阵	IT + 业务部门	每半年
培训记录	HR + ISB	持续
审计报告和发现跟踪器	ISB	每次审计后
BSI报告文档	ISB	每次事件
供应商评估	ISB + 采购	每年