信息安全管理過(guò)程-wenkub
2023-04-27 05:35:22 本頁(yè)面
【正文】 e) 經(jīng)最高管理者批準(zhǔn)。物理范圍：本公司根據(jù)組織的業(yè)務(wù)特征、組織結(jié)構(gòu)、地理位置、資產(chǎn)和技術(shù)定義了信息安全管理體系的物理范圍和信息安全邊界。四、 信息安全管理體系本公司在軟件開(kāi)發(fā)、經(jīng)營(yíng)、服務(wù)和日常管理活動(dòng)中，按GB/T220802008 idtISO27001:2005《信息技術(shù)安全技術(shù)信息安全管理體系要求》規(guī)定，參照GB/T220812008idtISO27002:2005《信息技術(shù)安全技術(shù)信息安全管理實(shí)用規(guī)則》標(biāo)準(zhǔn)，建立、實(shí)施、運(yùn)行、監(jiān)視、評(píng)審、保持和改進(jìn)文件化的信息安全管理體系。指編制或者在計(jì)算機(jī)程序中插入的破壞計(jì)算機(jī)功能或者毀壞數(shù)據(jù)，影響計(jì)算機(jī)使用，并能自我復(fù)制的一組計(jì)算機(jī)指令或者程序代碼。凡是不注日期的引用文件、其最新版本適用于本信息安全管理手冊(cè)。 應(yīng)用本信息安全管理手冊(cè)規(guī)定了公司的信息安全管理體系要求、管理職責(zé)、內(nèi)部審核、管理評(píng)審和信息安全管理體系改進(jìn)等方面內(nèi)容。本信息安全管理手冊(cè)適用于公司業(yè)務(wù)活動(dòng)所涉及的信息系統(tǒng)、資產(chǎn)及相關(guān)信息安全管理活動(dòng)。三、 術(shù)語(yǔ)和定義GB/T220802008idtISO27001:2005《信息技術(shù)安全技術(shù)信息安全管理體系要求》、GB/T220812008idtISO27002:2005《信息技術(shù)安全技術(shù)信息安全管理實(shí)用規(guī)則》規(guī)定的術(shù)語(yǔ)和定義適用于本《信息安全管理手冊(cè)》。指導(dǎo)致信息系統(tǒng)不能提供正常服務(wù)或服務(wù)質(zhì)量下降的技術(shù)故障事件、利用信息系統(tǒng)從事的反動(dòng)有害信息和涉密信息的傳播事件、利用網(wǎng)絡(luò)所從事的對(duì)信息系統(tǒng)的破壞竊密事件。信息安全管理體系使用的過(guò)程基于圖1所示的PDCA模型。本公司信息安全管理體系的物理范圍為本公司位于重慶市內(nèi)的所有運(yùn)維場(chǎng)所，包含客戶(hù)方以及公司內(nèi)部。為實(shí)現(xiàn)信息安全管理體系方針，本公司承諾：a) 在各層次建立完整的信息安全管理組織機(jī)構(gòu)，確定信息安全目標(biāo)和控制措施；明確信息安全的管理職責(zé)b) 識(shí)別并滿(mǎn)足適用法律、法規(guī)和相關(guān)方信息安全要求；c) 定期進(jìn)行信息安全風(fēng)險(xiǎn)評(píng)估，信息安全管理體系評(píng)審，采取糾正預(yù)防措施，保證體系的持續(xù)有效性；d）采用先進(jìn)有效的設(shè)施和技術(shù)，處理、傳遞、儲(chǔ)存和保護(hù)各類(lèi)信息，實(shí)現(xiàn)信息共享；e) 對(duì)全體員工進(jìn)行持續(xù)的信息安全教育和培訓(xùn)，不斷增強(qiáng)員工的信息安全意識(shí)和能力；f) 制定并保持完善的業(yè)務(wù)連續(xù)性計(jì)劃，實(shí)現(xiàn)可持續(xù)發(fā)展。資產(chǎn)包括數(shù)據(jù)、硬件、軟件、人員、服務(wù)、文檔。 識(shí)別和評(píng)價(jià)風(fēng)險(xiǎn)處理的選擇行政部門(mén)組織有關(guān)部門(mén)根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果，形成《信息安全不可接受風(fēng)險(xiǎn)處理計(jì)劃》，該計(jì)劃明確了風(fēng)險(xiǎn)處理責(zé)任部門(mén)、負(fù)責(zé)人、目的、范圍以及處置策略。c)本公司根據(jù)信息安全管理的需要，可以選擇標(biāo)準(zhǔn)之外的其他控制措施。該聲明包括以下方面的內(nèi)容：a)所選擇控制目標(biāo)與控制措施的概要描述，以及選擇的原因；b)對(duì)GB/T220802008idtISO27001:2005附錄A中未選用的控制目標(biāo)及控制措施理由的說(shuō)明（本公司未涉及此項(xiàng)業(yè)務(wù)）。本公司體系推進(jìn)由行政部門(mén)負(fù)責(zé)，其主要負(fù)責(zé)制訂、落實(shí)貫標(biāo)工作計(jì)劃，對(duì)單位、部門(mén)貫標(biāo)工作進(jìn)行檢查、指導(dǎo)和協(xié)調(diào)，建立健全企業(yè)的信息安全管理體系，保持其有效、持續(xù)運(yùn)行。無(wú)論信息安全管理者代表在其他方面的職責(zé)如何，對(duì)信息安全負(fù)有以下職責(zé)：a) 建立并實(shí)施信息安全管理體系必要的程序并維持其有效運(yùn)行；b) 對(duì)信息安全管理體系的運(yùn)行情況和必要的改善措施向信息安全委員會(huì)或最高責(zé)任者報(bào)告。，由總經(jīng)理主持，每年至少一次對(duì)信息安全管理體系的有效性進(jìn)行評(píng)審，其中包括信息安全范圍、方針、目標(biāo)的符合性及控制措施有效性的評(píng)審，考慮安全審核、事件、有效性測(cè)量的結(jié)果，以及所有相關(guān)方的建議和反饋。，以確保范圍的充分性，并識(shí)別信息安全管理體系過(guò)程的改進(jìn)，管理評(píng)審的具體要求，見(jiàn)本手冊(cè)第7章。包括獲取外部信息安全專(zhuān)家的建議、信息安全政府行政主管部門(mén)的聯(lián)系及識(shí)別顧客對(duì)信息安全的要求等；d) 對(duì)信息安全目標(biāo)及分解進(jìn)行適當(dāng)?shù)墓芾恚_保改進(jìn)達(dá)到預(yù)期的效果。對(duì)《信息安全管理手冊(cè)》、程序文件、管理規(guī)定、作業(yè)指導(dǎo)書(shū)和為保證信息安全管理體系有效策劃、運(yùn)行和控制所需的受控文件的編制、評(píng)審、批準(zhǔn)、標(biāo)識(shí)、發(fā)放、使用、修訂、作廢、回收等管理工作做出規(guī)定，以確保在使用場(chǎng)所能夠及時(shí)獲得適用文件的有效版本。 （事件）的記錄。、意識(shí)和能力行政部門(mén)制定并實(shí)施《人力資源管理程序》文件，確保被分配信息安全管理體系規(guī)定職
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1