【文章內(nèi)容簡介】 ................................................................................................................................. 37 2．用戶訪問管理 ................................................................................................................................................. 37 3．網(wǎng)絡(luò)安全方針 ................................................................................................................................................. 37 4．可移動(dòng)計(jì)算機(jī)工作及遠(yuǎn)程工作方針 ......................................................................................................... 38 十六、系統(tǒng)開發(fā)及維護(hù) ...................................................................................................................................... 40 1．總則 ................................................................................................................................................................... 40 2．系統(tǒng)安全要求建立 ........................................................................................................................................ 40 3．系 統(tǒng)文件安全 ................................................................................................................................................. 40 4．開發(fā)與支持過程的安全 ............................................................................................................................... 40 5．技術(shù)脆弱性管理 ............................................................................................................................................. 40 十七、信息安全事件管理 .................................................................................................................................. 42 1．總則 ................................................................................................................................................................... 42 2．報(bào)告安全事件及薄弱環(huán)節(jié) ........................................................................................................................... 42 3．信息安全事件處理和改進(jìn) ........................................................................................................................... 42 十八、業(yè)務(wù)連續(xù)性管理 ...................................................................................................................................... 43 1．總則 ................................................................................................................................................................... 43 2．業(yè)務(wù)連續(xù)性管理總體策略 ........................................................................................................................... 43 十九、符合性管理 ............................................................................................................................................... 44 1．總則 ................................................................................................................................................................... 44 2．符合性管理 ...................................................................................................................................................... 44 附錄一、信息安全組織架構(gòu) ............................................................................................................................. 45 信息安全管理方針手冊(cè) 第 5 頁，共 45 頁 5 修訂文檔歷史記錄 日期 版本 說明 作者 2020418 創(chuàng)建 XXX 信息安全管理方針手冊(cè) 第 6 頁，共 45 頁 6 一、 編制說明 1． 前言 XXXX（集團(tuán)）有限公司（以下簡稱 XXXX）是以軟件技術(shù)和服務(wù)為核心，從事 XX 業(yè)務(wù) 服務(wù)、系統(tǒng)集成、數(shù)據(jù)處理等多個(gè)信息技術(shù)業(yè)務(wù)領(lǐng)域的股份公司 。隨著公司 XX 業(yè)務(wù) 服務(wù)業(yè)務(wù)的不斷發(fā)展，客戶對(duì)信息安全的要求也日趨嚴(yán)格與系統(tǒng)化，而隨著信息技術(shù)革命和經(jīng)濟(jì)全球化的發(fā)展，企業(yè)間的競爭已經(jīng)轉(zhuǎn)為技術(shù)和信息的競爭。隨著公司業(yè)務(wù)的快速增長、 IT規(guī)模的不斷擴(kuò)大以及客戶要求的不斷提升，公司業(yè)務(wù)是否能高效的運(yùn)作、核心客戶群的維持已經(jīng)越來越依賴于我們是否有穩(wěn)定、安全的信息系統(tǒng)，以保護(hù)公司和客戶的知識(shí)資產(chǎn)。 鑒于信息安全在公司運(yùn)營管理中越來越重要的地位，公司高層領(lǐng)導(dǎo)不斷要求要高度重視信息安全管理和控制工作，加大信息安全投資和人力資源配置。為此，公司成立了信息安全管理委員會(huì)以及信 息安全管理工作小組，負(fù)責(zé)在公司全范圍建立有效的信息安全管理體系，以確保信息安全機(jī)制有效運(yùn)行。《信息安全管理方針手冊(cè)》作為公司信息安全方面的最高層文件，是公司各項(xiàng)信息安全工作開展的依據(jù)，各部門應(yīng)該嚴(yán)格遵照?qǐng)?zhí)行，并可根據(jù)本文件規(guī)定制定或修訂本部門的相關(guān)管理規(guī)定。 2． 目的 本方針手冊(cè)明確公司在信息安全工作方面的總體要求，指導(dǎo)各項(xiàng)信息安全工作的開展，包括： 為建立信息及信息處理設(shè)施管理程序、作業(yè)規(guī)程提供指南； 為處理各類信息安全事件提供指南，以預(yù)防及降低安全事件所造成的損失； 教育公司員工，讓其了解公司信息資產(chǎn)的 保密性、完整性和可用性及其相關(guān)的保護(hù)方法。 3．適用范圍 本適用性聲明書適用于 XX 集團(tuán)及其所有公司。 4． 引用文件 ISO27001： 2020 信息技術(shù) – 安全技術(shù) 信息安全管理體系 – 規(guī)范 ISO17799： 2020 信息技術(shù) – 安全技術(shù) – 信息安全管理體系實(shí)施細(xì)則 信息安全管理方針手冊(cè) 第 7 頁，共 45 頁 7 5．手冊(cè)控制 手冊(cè)編制與批準(zhǔn) 信息安全方針手冊(cè)由 集團(tuán)信息中心 負(fù)責(zé)信息安全管理人員編制。 信息安全管理委員會(huì)成員負(fù)責(zé)對(duì)信息安全方針手冊(cè)的內(nèi)容進(jìn)行審查，最終由 信息安全管理委員會(huì)主任 批準(zhǔn)。 發(fā)行版本 信息安全方針手冊(cè)的版本狀態(tài)分別在封面和每一頁中給出，按 阿拉伯?dāng)?shù)字 、 、??順序依次遞增。 信息安全方針手冊(cè)每章節(jié)的修訂狀況通過“本節(jié) 修訂 ”標(biāo)識(shí)，在手冊(cè)內(nèi)容的每一頁上標(biāo)識(shí)其所在章節(jié)的“本節(jié) 修訂 ”。當(dāng)修改某章節(jié)時(shí)，更新一次該章節(jié)的“本節(jié) 修訂 ”，“本節(jié) 修訂 ”按阿拉伯?dāng)?shù)字順序遞增。 信息安全方針手冊(cè)發(fā)布滿三年或全部章節(jié)均已發(fā)生修改時(shí)，將重新發(fā)布手冊(cè)，并更改手冊(cè)的版本編號(hào)。 發(fā)放控制 發(fā)出的信息安全方針手冊(cè)分為“受控”和“非受控”兩種 。 受控信息安全方針手冊(cè)由 信息中心 按公司《 信息安全體系 文件控制程序》的規(guī)定進(jìn)行發(fā)放控制。 非受控信息安全方針手冊(cè)經(jīng)信息安全管理者代表批準(zhǔn)后，由 行政部門 統(tǒng)一發(fā)放，手冊(cè)修改時(shí)，將不再對(duì)其進(jìn)行跟蹤控制。 信息安全方針手冊(cè)的有效正本由 信息安全辦公室委托行政辦公室 負(fù)責(zé)保管。 手冊(cè)修改 當(dāng)信息安全方針手冊(cè)需要修改時(shí)，必須經(jīng)信息安全管理委員會(huì)審查，并由 信息管理委員會(huì)主任 批準(zhǔn)。 每次手冊(cè)的修改都必須在“信息安全手冊(cè)修改記錄”列明該次修改原因或內(nèi)容摘要、日期及標(biāo) 志。 定期審核 公司通過定期的管理評(píng)審和內(nèi)部信息安全審核，對(duì)信息安全方針進(jìn)行審核，確保信息安全方針的充分性和完整性。 信息安全管理方針手冊(cè) 第 8 頁，共 45 頁 8 二、信息安全術(shù)語 1． 前言 本章節(jié)對(duì)與信息安全管理體系相關(guān)的術(shù)語進(jìn)行定義，以避免在使用過程中由于定義混淆造成對(duì)管理要求的誤解。 2．信息安全術(shù)語 信息 (Information):信息是一種具有價(jià)值、需要進(jìn)行恰當(dāng)保護(hù)的資產(chǎn)，信息以多種方式呈現(xiàn)，如以印刷品、手寫稿或電子方式等保存，以郵件、電子郵件、投影方式等進(jìn)行傳遞。 敏感信息 (Sensitive Information): 需要某種等級(jí)保護(hù)的信息，由于有意或無意的泄密、修改或破壞，可能對(duì)公司業(yè)務(wù)運(yùn)作造成很大損失或危害 計(jì)算機(jī)信息系統(tǒng) (Computer Information System):是指由計(jì)算機(jī)及其相關(guān)和配套的設(shè)備、設(shè)施（含網(wǎng)絡(luò)）構(gòu)成的，按照一定的應(yīng)用目標(biāo)和規(guī)則對(duì)信息進(jìn)行采集、加工、存儲(chǔ)、傳輸、檢索等處理的人機(jī)系統(tǒng) 信息安全 (Information Security):為保證信息的完整性、可用性和保密性所需的全面管理、規(guī)程和控制。信息安全包括所以下三個(gè)基本要素： 1） 保密性 – 使信息不泄露給非授權(quán)的個(gè)人、實(shí)體或過程 ,不為其所用。 2） 完整性 – 確保信息及其信息系統(tǒng)免遭破壞及篡改，即系統(tǒng)中的信息與原文檔相同，信息處理設(shè)施能正常運(yùn)作。 3） 可用性 被授權(quán)實(shí)體所需的資源可被訪問與使用，即攻擊者不能占用相關(guān)資源而阻礙授權(quán)者的工作。 拒絕服務(wù)（ Denial of Service） : 妨礙信息訪問或延遲操作時(shí)間。 威脅（ Threat） :導(dǎo)致發(fā)生某一非期望事件的可能性，此