【正文】 4．1因公司戰(zhàn)略調(diào)整、客戶(hù)需求或改進(jìn)活動(dòng)等引起的手冊(cè)內(nèi)容的變更，按公司總經(jīng)理指示，技術(shù)服務(wù)事業(yè)部組織相關(guān)部門(mén)對(duì)涉及變更的內(nèi)容進(jìn)行更新，并經(jīng)公司總經(jīng)理批準(zhǔn)后發(fā)布。作為公司日常運(yùn)營(yíng)的依據(jù)及提供給外部認(rèn)證機(jī)構(gòu)的手冊(cè)均為“有效文件”形式。2．1．2《IT服務(wù)管理手冊(cè)》由公司管理者代表批準(zhǔn)后發(fā)布。1．3術(shù)語(yǔ)和定義1．3．1本手冊(cè)應(yīng)用ISO/IEC 20000中的術(shù)語(yǔ)及定義。手冊(cè)描述公司的信息安全管理體系的總要求，以確保公司的信息安全管理體系能夠達(dá)到ISO27001：2005信息安全管理標(biāo)準(zhǔn)的要求；滿足本公司向客戶(hù)提供IT服務(wù)所需的IT基礎(chǔ)設(shè)施和IT技術(shù)支持服務(wù)，適用于向客戶(hù)或認(rèn)證機(jī)構(gòu)證實(shí)，本公司具備提供符合客戶(hù)需求的IT服務(wù)能力和服務(wù)質(zhì)量。19．定期對(duì)業(yè)務(wù)持續(xù)性計(jì)劃進(jìn)行測(cè)試和更新。15．全體員工有報(bào)告信息安全隱患、威脅、薄弱點(diǎn)、事故的責(zé)任，一旦發(fā)現(xiàn)信息安全事件，應(yīng)立即按照規(guī)定的途徑進(jìn)行報(bào)告。12．采用先進(jìn)的風(fēng)險(xiǎn)評(píng)估技術(shù)和軟件，定期進(jìn)行風(fēng)險(xiǎn)評(píng)估，以識(shí)別本公司風(fēng)險(xiǎn)的變化。以提高安全意識(shí)。特殊崗位的人員應(yīng)規(guī)定特別的安全責(zé)任。3．公司總經(jīng)理任命管理者代表負(fù)責(zé)建立、實(shí)施、檢查、改進(jìn)信息安全管理體系，保證信息安全管理體系的持續(xù)適宜性和有效性。3． 確保在整個(gè)組織內(nèi)提高信息安全風(fēng)險(xiǎn)的意識(shí)；4． 審核風(fēng)險(xiǎn)評(píng)估報(bào)告、風(fēng)險(xiǎn)處理計(jì)劃；5． 批準(zhǔn)發(fā)布程序文件；6． 主持信息安全管理體系內(nèi)部審核，任命審核組長(zhǎng)，批準(zhǔn)內(nèi)審工作報(bào)告；向最高管理者報(bào)告信息安全管理體系的業(yè)績(jī)和改進(jìn)要求，包括信息安全管理體系運(yùn)行情況、內(nèi)外部審核情況。全體員工必須嚴(yán)格按照《信息安全管理amp。體現(xiàn)公司對(duì)社會(huì)的承諾，通過(guò)有效的PDCA活動(dòng)向顧客提供滿足要求的信息安全管理和IT服務(wù)。IT服務(wù)管理體系手冊(cè)》，建立與本公司業(yè)務(wù)相一致的信息安全與IT服務(wù)管理體系，現(xiàn)予以頒布實(shí)施。本手冊(cè)是公司法規(guī)性文件，用于貫徹公司信息安全管理方針和目標(biāo)，貫徹IT服務(wù)管理理念方針和服務(wù)目標(biāo)。本手冊(cè)符合有關(guān)信息安全法律法規(guī)要求以及ISO20000:2005《信息技術(shù)服務(wù)管理—規(guī)范》、ISO27001：2005《信息安全管理體系要求》和公司實(shí)際情況。IT服務(wù)管理體系手冊(cè)》要求，自覺(jué)遵守本手冊(cè)各項(xiàng)要求，努力實(shí)現(xiàn)公司的信息安全與IT服務(wù)的方針和目標(biāo)。7．推動(dòng)公司各部門(mén)領(lǐng)導(dǎo)，積極組織全體員工，通過(guò)工作實(shí)踐、教育培訓(xùn)、業(yè)務(wù)指導(dǎo)等方式不斷提高員工對(duì)滿足客戶(hù)需求的重要性的認(rèn)知程度，以及為達(dá)到公司服務(wù)管理目標(biāo)所應(yīng)做出的貢獻(xiàn)。4．在公司內(nèi)部建立信息安全組織機(jī)構(gòu)，信息安全管理委員會(huì)和信息安全協(xié)調(diào)機(jī)構(gòu)，保證信息安全管理體系的有效運(yùn)行。對(duì)崗位調(diào)動(dòng)或離職人員，應(yīng)及時(shí)調(diào)整安全職責(zé)和權(quán)限。9．全體員工及相關(guān)方人員必須履行安全職責(zé)，執(zhí)行安全方針、程序和安全措施。本公司或環(huán)境發(fā)生重大變化時(shí)，隨時(shí)評(píng)估。16．接受信息安全事件報(bào)告的主管部門(mén)應(yīng)記錄所有報(bào)告，及時(shí)做出相應(yīng)的處理，并向報(bào)告人員反饋處理結(jié)果。九、違反信息安全要求的懲罰20．對(duì)違反信息安全方針、職責(zé)、程序和措施的人員，按規(guī)定進(jìn)行處理。本公司的體系程序是手冊(cè)的支持性文件，是對(duì)體系運(yùn)作的具體描述。1．3．2本手冊(cè)應(yīng)用ISO/IEC27001中的術(shù)語(yǔ)及定義。2．2手冊(cè)的分發(fā)2．2．1技術(shù)服務(wù)事業(yè)部負(fù)責(zé)手冊(cè)的發(fā)放、更新、管理與存檔。2．3．2當(dāng)手冊(cè)內(nèi)容變更時(shí)，“有效文件”形式的手冊(cè)應(yīng)及時(shí)予以更新和發(fā)放。2．4．2更新后的手冊(cè)，應(yīng)及時(shí)地發(fā)放給公司內(nèi)部原手冊(cè)持有者，并收回舊版的手冊(cè)。不得隨意向其他與公司業(yè)務(wù)無(wú)關(guān)的第三方傳播，如需提供公司以外的第三方參考，應(yīng)經(jīng)技術(shù)服務(wù)事業(yè)部提交公司主管副總經(jīng)理審核后，報(bào)公司總經(jīng)理批準(zhǔn)?！籼峁┏浞值馁Y源以保證信息安全管理體系的制定、實(shí)施、運(yùn)作、監(jiān)控、維護(hù)和改善。進(jìn)行業(yè)務(wù)持續(xù)性風(fēng)險(xiǎn)評(píng)估，編寫(xiě)、測(cè)試并實(shí)施業(yè)務(wù)持續(xù)性計(jì)劃和災(zāi)難恢復(fù)計(jì)劃，以保證公司關(guān)鍵業(yè)務(wù)的連續(xù)，不受重大故障和災(zāi)難的影響?！艚⑽锢戆踩途W(wǎng)絡(luò)安全管理制度，以確保信息的安全性?！艨刂茖?duì)內(nèi)外部網(wǎng)絡(luò)服務(wù)的訪問(wèn)，保護(hù)網(wǎng)絡(luò)服務(wù)的安全性與可用性。為了加強(qiáng)對(duì)信息安全管理體系運(yùn)作的管理，江蘇金馬揚(yáng)名信息技術(shù)有限公司公司成立信息安全管理委員會(huì)，其職責(zé)見(jiàn)下列明細(xì)表。4綜合管理部我公司信息安全管理體系的歸口管理部門(mén)。4. 安全區(qū)域的保衛(wèi)管理部門(mén)，負(fù)責(zé)安全區(qū)域的管理。8. 參與涉密及司法介入的信息安全事件的調(diào)查。備注：以上職能劃分，適用所有信息安全管理體系文件。一個(gè)完整的服務(wù)項(xiàng)目必須包含服務(wù)臺(tái)、事件管理、業(yè)務(wù)關(guān)系管理、信息安全管理、供應(yīng)商管理和IT財(cái)務(wù)管理。由項(xiàng)目經(jīng)理負(fù)責(zé)相應(yīng)流程的實(shí)施、管理和控制。2）、負(fù)責(zé)從服務(wù)臺(tái)接受事件報(bào)告開(kāi)始，分配相應(yīng)的職能小組進(jìn)行事件處理，直至找到問(wèn)題的根本原因的整個(gè)過(guò)程的管理和協(xié)調(diào)。3．6．2．1．2能力要求：熟悉服務(wù)部的各種服務(wù)管理流程，具有較強(qiáng)的內(nèi)部協(xié)調(diào)能力。 技術(shù)服務(wù)事業(yè)部負(fù)責(zé)組織相關(guān)部門(mén)，通過(guò)會(huì)議、評(píng)審、書(shū)面報(bào)告、培訓(xùn)等方式，及時(shí)有效溝通工作，達(dá)到IT服務(wù)管理目標(biāo)和持續(xù)改進(jìn)的需求，并在公司中積極貫徹實(shí)施IT服務(wù)管理的重要性。3．6．4文件要求3．6．4．1公司的文件管理體系分為A、B、C、D四層，即A層為管理手冊(cè)、B層為程序文件、C層為工作流程或規(guī)定、D層為記錄。3．6．4．5記錄 — 在開(kāi)展具體業(yè)務(wù)工作過(guò)程中產(chǎn)生的記錄類(lèi)文件，主要是為具體工作結(jié)果提供各種可追溯性證據(jù)。4信息安全管 公司根據(jù)整體業(yè)務(wù)活動(dòng)（軟件開(kāi)發(fā)、經(jīng)營(yíng)、服務(wù)和日常管理活動(dòng)）和所面臨的風(fēng)險(xiǎn)，按ISO/IEC 27001:2005《信息技術(shù)安全技術(shù)信息安全管理體系要求》規(guī)定，參照ISO/IEC 27002:2005《信息技術(shù)安全技術(shù)信息安全管理實(shí)用規(guī)則》標(biāo)準(zhǔn)，建立、實(shí)施、運(yùn)作、監(jiān)控、維護(hù)并改進(jìn)文件化的信息安全管理體系。物理范圍：本公司根據(jù)組織的業(yè)務(wù)特征、組織結(jié)構(gòu)、地理位置、資產(chǎn)和技術(shù)定義了信息安全管理體系的物理范圍和信息安全邊界。該信息安全方針?lè)弦韵乱螅篴) 為信息安全目標(biāo)建立了框架，并為信息安全活動(dòng)建立整體的方向和原則；b) 考慮業(yè)務(wù)及法律或法規(guī)的要求，及合同的安全義務(wù)；c) 與組織戰(zhàn)略和風(fēng)險(xiǎn)管理相一致的環(huán)境下，建立和保持信息安全管理體系；d) 建立了風(fēng)險(xiǎn)評(píng)價(jià)的準(zhǔn)則；e) 經(jīng)最高管理者批準(zhǔn)。信息安全風(fēng)險(xiǎn)評(píng)估采用信息安全風(fēng)險(xiǎn)管理軟件（Inforiskmanager）進(jìn)行，以保證所選擇的風(fēng)險(xiǎn)評(píng)估方法應(yīng)確保風(fēng)險(xiǎn)評(píng)估能產(chǎn)生可比較的和可重復(fù)的結(jié)果。同時(shí)，根據(jù)《信息安全風(fēng)險(xiǎn)管理程序》，識(shí)別了對(duì)這些資產(chǎn)的威脅、可能被威脅利用的脆弱性、識(shí)別資產(chǎn)價(jià)值、保密性、完整性和可用性、合規(guī)性損失可能對(duì)資產(chǎn)造成的影響。網(wǎng)絡(luò)管理部根據(jù)信息安全方針、業(yè)務(wù)發(fā)展要求及風(fēng)險(xiǎn)評(píng)估的結(jié)果，組織有關(guān)部門(mén)制定了信息安全目標(biāo)，并將目標(biāo)分解到有關(guān)部門(mén)（見(jiàn)《信息安全適用性聲明》）：a)信息安全控制目標(biāo)獲得了信息安全最高責(zé)任者的批準(zhǔn)。 最高管理者通過(guò)本手冊(cè)對(duì)實(shí)施和運(yùn)行信息安全管理體系進(jìn)行了授權(quán)。 信息安全組織機(jī)構(gòu)本公司成立了的信息安全領(lǐng)導(dǎo)機(jī)構(gòu)信息安全委員會(huì)，其職責(zé)是實(shí)現(xiàn)信息安全管理體系方針和本公司承諾。總經(jīng)理指定了信息安全管理者代表。 、內(nèi)部審核、事故（事件）報(bào)告調(diào)查處理、電子監(jiān)控、定期技術(shù)檢查等控制措施并報(bào)告結(jié)果以實(shí)現(xiàn)：a)及時(shí)發(fā)現(xiàn)處理結(jié)果中的錯(cuò)誤、信息安全體系的事故（事件）和隱患；b)及時(shí)了解識(shí)別失敗的和成功的安全破壞和事件、信息處理系統(tǒng)遭受的各類(lèi)攻擊；c)使管理者確認(rèn)人工或自動(dòng)執(zhí)行的安全活動(dòng)達(dá)到預(yù)期的結(jié)果；d)使管理者掌握信息安全活動(dòng)和解決安全破壞所采取的措施是否有效；e)積累信息安全方面的經(jīng)驗(yàn)。，內(nèi)部審核的具體要求，見(jiàn)本手冊(cè)第6章。我公司開(kāi)展以下活動(dòng)，以確保信息安全管理體系的持續(xù)改進(jìn)：a) 實(shí)施每年管理評(píng)審、內(nèi)部審核、安全檢查等活動(dòng)以確定需改進(jìn)的項(xiàng)目；b) 按照《內(nèi)部審核管理程序》、《糾正措施管理程序》、《預(yù)防措施管理程序》的要求采取適當(dāng)?shù)募m正和預(yù)防措施；吸取其他組織及本公司安全事故（事件）的經(jīng)驗(yàn)教訓(xùn)，不斷改進(jìn)安全措施的有效性；c) 通過(guò)適當(dāng)?shù)氖侄伪３衷趦?nèi)部對(duì)信息安全措施的執(zhí)行情況與結(jié)果進(jìn)行有效的溝通。 ISMS所要求的文件應(yīng)予以保護(hù)和控制，應(yīng)編制形成文件的程序以規(guī)定以下方面所需的管理措施：a) 文件發(fā)布前得到批準(zhǔn)以確保文件是充分的； b) 必要時(shí)對(duì)文件進(jìn)行評(píng)審與更新并再次批準(zhǔn)； c) 確保文件的更改和現(xiàn)行修訂狀態(tài)得到識(shí)別； d) 確保在使用處可獲得適用文件的適用版本； e) 確保文件保持合法并易于識(shí)別； f) 確保外來(lái)文件得到識(shí)別； g) 確保文件的分發(fā)是受控的； h) 防止作廢文件的非預(yù)期使用； i) 若因任何原因而保留作廢文件時(shí)對(duì)這些文件進(jìn)行適當(dāng)?shù)臉?biāo)識(shí)； 應(yīng)建立并保持記錄，以提供符合要求和ISMS有效運(yùn)行的證據(jù)。 保持過(guò)程業(yè)績(jī)的記錄以及與ISMS有關(guān)的安全事件的記錄。 相關(guān)文件：《信息安全方針和目標(biāo)》《部門(mén)職責(zé)》《管理評(píng)審程序》《系統(tǒng)風(fēng)險(xiǎn)評(píng)估方法》 資源管理 公司應(yīng)確定和提供以下方面所需的資源 a) 建立建立、實(shí)施、運(yùn)行、監(jiān)控、維護(hù)和改進(jìn)ISMS b) 確保信息安全程序支持業(yè)務(wù)需求； c) 識(shí)別并確定法律法規(guī)要求和合同安全責(zé)任； d) 通過(guò)正確應(yīng)用所有實(shí)施的控制措施的來(lái)維持足夠的安全； e) 必要時(shí)進(jìn)行評(píng)估，并對(duì)評(píng)估結(jié)果采取適當(dāng)?shù)膶?duì)應(yīng)措施； f) 必要時(shí)改進(jìn)ISMS的有效性。 內(nèi)部審核程序應(yīng)進(jìn)行計(jì)劃，并考慮受審核過(guò)程的狀況、重要性和受審核的區(qū)域以及上次審核結(jié)果，應(yīng)規(guī)定審核準(zhǔn)則、范圍、頻次和方式，審核員的選擇和審核活動(dòng)應(yīng)保證審核過(guò)程的客觀和公正，審核員不能審核自己的工作。相關(guān)文件：《內(nèi)部審核控制程序》7 ISMS管理評(píng)審 管理者應(yīng)按策劃的時(shí)間間隔評(píng)審公司的ISMS（至少一年一次），以確保其持續(xù)的適宜性、充分性和有效性。 管理評(píng)審的輸出應(yīng)包括與以下方面有關(guān)的任何決定和措施 a) ISMS有效性的改進(jìn) b) 風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)處理計(jì)劃的更新 c) 必要時(shí)修訂影響信息安全的程序和控制措施，以反映可能影響ISMS的內(nèi)外事件，包括以下變化 1 業(yè)務(wù)需求； 2 安全需求； 3 影響已有業(yè)務(wù)需求的業(yè)務(wù)過(guò)程； 4 法律法規(guī)環(huán)境； 5 合同義務(wù)； 6 風(fēng)險(xiǎn)和/或風(fēng)險(xiǎn)接受準(zhǔn)則。 a) 識(shí)別ISMS實(shí)施和運(yùn)行的不符合項(xiàng)； b) 確定不符合的原因； c) 評(píng)價(jià)確保不符合不再發(fā)生所需的措施； d) 決定和實(shí)施所需的糾正措施； e) 記錄所采取措施的結(jié)果； f) 評(píng)審所采取的糾正措施。應(yīng)根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果來(lái)確定預(yù)防措施的優(yōu)先級(jí)。A（改進(jìn)） — 采取措施以持續(xù)改進(jìn)流程的性能。 服務(wù)部根據(jù)公司IT服務(wù)管理職能關(guān)系架構(gòu)圖中的所分配的職責(zé)并依據(jù)條款49中所規(guī)定的服務(wù)管理過(guò)程向客戶(hù)提供IT服務(wù)。技術(shù)服務(wù)事業(yè)部負(fù)責(zé)組織IT服務(wù)項(xiàng)目的立項(xiàng)工作，并按照項(xiàng)目管理規(guī)定對(duì)項(xiàng)目計(jì)劃周期內(nèi)的工作任務(wù)、目標(biāo)、績(jī)效要求進(jìn)行分解，制訂項(xiàng)目實(shí)施計(jì)劃和費(fèi)用預(yù)算，并進(jìn)行跟蹤、檢查?？蛻?hù)滿意度。技術(shù)服務(wù)事業(yè)部按照《服務(wù)質(zhì)量改進(jìn)管理程序》的要求，組織IT服務(wù)管理體系的管理評(píng)審活動(dòng)，以確保IT服務(wù)要求得到有效的實(shí)施和維護(hù)。服務(wù)部按管理評(píng)審的要求，確定服務(wù)改進(jìn)的測(cè)量、報(bào)告和溝通流程和內(nèi)容。新服務(wù)或變更服務(wù)的策劃與實(shí)施制訂新服務(wù)或變更服務(wù)計(jì)劃銷(xiāo)售部門(mén)負(fù)責(zé)與客戶(hù)溝通，服務(wù)部配合，收集客戶(hù)對(duì)現(xiàn)有SLA的滿意度水平。服務(wù)部應(yīng)報(bào)告新服務(wù)或變更服務(wù)按計(jì)劃實(shí)施所達(dá)到的結(jié)果，服務(wù)部按《發(fā)布管理程序》，執(zhí)行實(shí)施發(fā)布評(píng)審，比較實(shí)際結(jié)果與期望結(jié)果的一致性。公司應(yīng)該根據(jù)當(dāng)前的服務(wù)能力對(duì)《服務(wù)目錄》進(jìn)行更新與維護(hù)?！斗?wù)級(jí)別協(xié)議》包含以下內(nèi)容：服務(wù)的簡(jiǎn)述、術(shù)語(yǔ)表、客戶(hù)職責(zé)、服務(wù)部門(mén)職責(zé)和義務(wù)、服務(wù)目標(biāo)、服務(wù)時(shí)間、工作量限制（最大及最小工作量），支持和相關(guān)服務(wù)、影響和優(yōu)先級(jí)描述、授權(quán)細(xì)節(jié)，及授權(quán)人員聯(lián)系信息、有效期或SLA變更控制機(jī)制（包含升級(jí)和通知流程）、服務(wù)中斷采取的糾正措施，計(jì)劃和協(xié)調(diào)中斷，包括通知事件及頻率、溝通的簡(jiǎn)述，包括報(bào)告、投訴程序、在SLA中規(guī)定條款的例外情況。服務(wù)部擬制內(nèi)部服務(wù)報(bào)告，對(duì)計(jì)劃間隔內(nèi)的客戶(hù)服務(wù)狀況、問(wèn)題趨勢(shì)、服務(wù)數(shù)據(jù)、SLA目標(biāo)實(shí)現(xiàn)等進(jìn)行匯總、統(tǒng)計(jì)和分析，組織召開(kāi)月度服務(wù)質(zhì)量分析會(huì)議，形成會(huì)議紀(jì)要后發(fā)放?？捎眯院虸T服務(wù)持續(xù)性管理服務(wù)部應(yīng)按照《可用性與IT服務(wù)持續(xù)性管理程序》的要求，擬制《可用性與IT服務(wù)持續(xù)性計(jì)劃》，根據(jù)客戶(hù)業(yè)務(wù)優(yōu)先級(jí)、服務(wù)級(jí)別協(xié)議和評(píng)估的風(fēng)險(xiǎn)，按設(shè)計(jì)的工作量計(jì)劃維護(hù)有效的服務(wù)能力，并與《服務(wù)級(jí)別協(xié)議》的目標(biāo)保持一致。在遠(yuǎn)程的安全地點(diǎn)，所有IT服務(wù)持續(xù)性文件應(yīng)存儲(chǔ)和維護(hù)至少一份，與其他必要的設(shè)備保存在一起。當(dāng)業(yè)務(wù)環(huán)境發(fā)生重大變化時(shí)，服務(wù)部應(yīng)重新組織評(píng)審、修訂《可用性與IT服務(wù)持續(xù)性計(jì)劃》?？捎眯曰顒?dòng)包括：監(jiān)控和記錄服務(wù)的可用性?？紤]、評(píng)估供應(yīng)商的影響。在預(yù)算期間出現(xiàn)的服務(wù)變更引起的預(yù)算變化，相關(guān)部門(mén)應(yīng)按《IT財(cái)務(wù)管理程序》的要求執(zhí)行預(yù)算變更申請(qǐng)。容量管理技術(shù)服務(wù)事業(yè)部負(fù)責(zé)現(xiàn)有IT服務(wù)系統(tǒng)容量水平的規(guī)劃，根據(jù)《容量管理程序》的要求，制訂《容量管理計(jì)劃》，應(yīng)在計(jì)劃中描述業(yè)務(wù)需求，包括：當(dāng)前和預(yù)計(jì)的容量和性能需求。對(duì)數(shù)據(jù)和流程進(jìn)行預(yù)先分析。技術(shù)服務(wù)事業(yè)部應(yīng)根據(jù)服務(wù)特點(diǎn)、服務(wù)量、服務(wù)報(bào)告和客戶(hù)業(yè)務(wù)等信息，組織對(duì)《容量管理計(jì)劃》進(jìn)行評(píng)審，并保留評(píng)審相關(guān)的紀(jì)錄。理解能力和約束條件。服務(wù)部與客戶(hù)建立有效的互動(dòng)、溝通關(guān)系，以便及時(shí)了解客戶(hù)的需求或重大變更，并依據(jù)需求進(jìn)行響應(yīng)。并確保：供應(yīng)商了解其對(duì)本公司承擔(dān)的責(zé)任。了解所有供應(yīng)商的業(yè)績(jī)并采取相應(yīng)改進(jìn)措施。合同管理流程、授權(quán)級(jí)別和合同結(jié)束計(jì)劃。商務(wù)部負(fù)責(zé)擬制公司《合格供應(yīng)商名單》，并負(fù)責(zé)《合格供應(yīng)商名單》的維護(hù)和管理。如果爭(zhēng)議無(wú)法通過(guò)正常途徑解決時(shí)，應(yīng)交由更高級(jí)別的解決途