信息安全管理過程-wenkub
2023-04-27 05:35:22 本頁面
【正文】 e) 經(jīng)最高管理者批準。物理范圍：本公司根據(jù)組織的業(yè)務(wù)特征、組織結(jié)構(gòu)、地理位置、資產(chǎn)和技術(shù)定義了信息安全管理體系的物理范圍和信息安全邊界。四、 信息安全管理體系本公司在軟件開發(fā)、經(jīng)營、服務(wù)和日常管理活動中，按GB/T220802008 idtISO27001:2005《信息技術(shù)安全技術(shù)信息安全管理體系要求》規(guī)定，參照GB/T220812008idtISO27002:2005《信息技術(shù)安全技術(shù)信息安全管理實用規(guī)則》標準，建立、實施、運行、監(jiān)視、評審、保持和改進文件化的信息安全管理體系。指編制或者在計算機程序中插入的破壞計算機功能或者毀壞數(shù)據(jù)，影響計算機使用，并能自我復(fù)制的一組計算機指令或者程序代碼。凡是不注日期的引用文件、其最新版本適用于本信息安全管理手冊。 應(yīng)用本信息安全管理手冊規(guī)定了公司的信息安全管理體系要求、管理職責、內(nèi)部審核、管理評審和信息安全管理體系改進等方面內(nèi)容。本信息安全管理手冊適用于公司業(yè)務(wù)活動所涉及的信息系統(tǒng)、資產(chǎn)及相關(guān)信息安全管理活動。三、 術(shù)語和定義GB/T220802008idtISO27001:2005《信息技術(shù)安全技術(shù)信息安全管理體系要求》、GB/T220812008idtISO27002:2005《信息技術(shù)安全技術(shù)信息安全管理實用規(guī)則》規(guī)定的術(shù)語和定義適用于本《信息安全管理手冊》。指導致信息系統(tǒng)不能提供正常服務(wù)或服務(wù)質(zhì)量下降的技術(shù)故障事件、利用信息系統(tǒng)從事的反動有害信息和涉密信息的傳播事件、利用網(wǎng)絡(luò)所從事的對信息系統(tǒng)的破壞竊密事件。信息安全管理體系使用的過程基于圖1所示的PDCA模型。本公司信息安全管理體系的物理范圍為本公司位于重慶市內(nèi)的所有運維場所，包含客戶方以及公司內(nèi)部。為實現(xiàn)信息安全管理體系方針，本公司承諾：a) 在各層次建立完整的信息安全管理組織機構(gòu)，確定信息安全目標和控制措施；明確信息安全的管理職責b) 識別并滿足適用法律、法規(guī)和相關(guān)方信息安全要求；c) 定期進行信息安全風險評估，信息安全管理體系評審，采取糾正預(yù)防措施，保證體系的持續(xù)有效性；d）采用先進有效的設(shè)施和技術(shù)，處理、傳遞、儲存和保護各類信息，實現(xiàn)信息共享；e) 對全體員工進行持續(xù)的信息安全教育和培訓，不斷增強員工的信息安全意識和能力；f) 制定并保持完善的業(yè)務(wù)連續(xù)性計劃，實現(xiàn)可持續(xù)發(fā)展。資產(chǎn)包括數(shù)據(jù)、硬件、軟件、人員、服務(wù)、文檔。 識別和評價風險處理的選擇行政部門組織有關(guān)部門根據(jù)風險評估的結(jié)果，形成《信息安全不可接受風險處理計劃》，該計劃明確了風險處理責任部門、負責人、目的、范圍以及處置策略。c)本公司根據(jù)信息安全管理的需要，可以選擇標準之外的其他控制措施。該聲明包括以下方面的內(nèi)容：a)所選擇控制目標與控制措施的概要描述，以及選擇的原因；b)對GB/T220802008idtISO27001:2005附錄A中未選用的控制目標及控制措施理由的說明（本公司未涉及此項業(yè)務(wù)）。本公司體系推進由行政部門負責，其主要負責制訂、落實貫標工作計劃，對單位、部門貫標工作進行檢查、指導和協(xié)調(diào)，建立健全企業(yè)的信息安全管理體系，保持其有效、持續(xù)運行。無論信息安全管理者代表在其他方面的職責如何，對信息安全負有以下職責：a) 建立并實施信息安全管理體系必要的程序并維持其有效運行；b) 對信息安全管理體系的運行情況和必要的改善措施向信息安全委員會或最高責任者報告。，由總經(jīng)理主持，每年至少一次對信息安全管理體系的有效性進行評審，其中包括信息安全范圍、方針、目標的符合性及控制措施有效性的評審，考慮安全審核、事件、有效性測量的結(jié)果，以及所有相關(guān)方的建議和反饋。，以確保范圍的充分性，并識別信息安全管理體系過程的改進，管理評審的具體要求，見本手冊第7章。包括獲取外部信息安全專家的建議、信息安全政府行政主管部門的聯(lián)系及識別顧客對信息安全的要求等；d) 對信息安全目標及分解進行適當?shù)墓芾?，確保改進達到預(yù)期的效果。對《信息安全管理手冊》、程序文件、管理規(guī)定、作業(yè)指導書和為保證信息安全管理體系有效策劃、運行和控制所需的受控文件的編制、評審、批準、標識、發(fā)放、使用、修訂、作廢、回收等管理工作做出規(guī)定，以確保在使用場所能夠及時獲得適用文件的有效版本。 （事件）的記錄。、意識和能力行政部門制定并實施《人力資源管理程序》文件，確保被分配信息安全管理體系規(guī)定職
公司管理相關(guān)推薦
鄂ICP備17016276號-1