不符合、糾正措施和預防措施是信息安全管理系統的重要概念。

    不符合：是指實施、維持并改進所要求的一個或多個信息安全管理體系要素缺乏或者失效，或者是在客觀證據基礎上，信息安全管理體系符合安全方針以及達到組織安全目標的能力存在很大不確定性的情況。

    糾正措施：組織應確定措施，以消除信息安全管理體系實施、運作和使用過程中不符合的原因，防止再發生。組織的糾正措施的文件化程序應該規定以下方面的要求：

    識別信息安全管理體系實施、運作過程中的不符合； 確定不符合的原因； 評價確保不符合不再發生的措施要求； 取定并實施所需的糾正措施； 記錄所采取措施的結果； 評審所采取措施的有效性，預防措施：組織應確定措施，以消除潛在不符合的原因，防止其發生。預防措施應與潛在問題的影響程度相適應。預防措施的文件化程序 應該規定以下方面的要求：

    識別潛在不符合及其原因； 確定并實施所需的預防措施； 記錄所采取措施的結果； 評審所采取的預防措施； 識別已變化的風險，并確保對發生重大變化的風險作出判斷并且予以關注。

http://icp.zhiyuanit.com