信息中心信息安全管理手冊(cè)-(編輯修改稿)
2024-12-08 10:32 本頁面
【文章內(nèi)容簡介】 圍 本手冊(cè)按照 ISO/IEC 27001： 2020 《信息安全管理體系要求》，結(jié)合 廣州市 xx 區(qū)政府 科信局 信息系統(tǒng) 的實(shí)際編制而成，符合 ISO/IEC 27001： 2020 標(biāo)準(zhǔn)的全部要求。 本 管理制度 適用于 廣州市 xx 區(qū)政府 科信局 的電子政務(wù)應(yīng)用管理。 (七 ) 引用標(biāo)準(zhǔn) 下列文件和標(biāo)準(zhǔn)通過本手冊(cè)的引用，均為本手冊(cè)的條文。本手冊(cè)使用時(shí)所示文件和標(biāo)準(zhǔn)均為有效版本。當(dāng)引用文件和標(biāo)準(zhǔn)被修訂時(shí)，使用其最新版本 : ? ISO/IEC 27001： 2020《信息安全管理體系要求》 ? ISO/IEC 17799： 2020《信息安全管理實(shí)用規(guī)則》 ? GB/T 222392020《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》 (八 ) 信息安全管理體系（ ISMS） 1. 總體 要求 廣州市 xx 區(qū)政府 科信局 依據(jù) ISO/IEC 27001： 2020 《信息安全管理體系要求》，建立信息安全管理體系，并形成相關(guān)的信息安全管理體系文件，由 廣州市xx 區(qū)政府 科信局 批準(zhǔn)發(fā)布后在 廣州市 xx 區(qū)政府 科信局 范圍內(nèi)實(shí)施并保持，利用內(nèi)部審核、管理評(píng)審、糾正和預(yù)防措施以及持續(xù)改進(jìn)的手段，確保信息安全管理體系的有效性 。 2. 建立和管理信息安全管理體系 (1). 建立信息安全管理體系 ? ISMS 范圍 根據(jù) 廣州市 xx 區(qū)政府 科信局 業(yè)務(wù)特點(diǎn)、組織機(jī)構(gòu)、物理位置的不同，確定廣州市 xx 區(qū)政府 科信局 信息安全管理體系的范圍為： ? 廣州市 xx 區(qū)政府 的所有部門和正式工作人員； ? 廣州市 xx 區(qū)政府 科信局 主要負(fù)責(zé) 廣州市 xx 區(qū) 政府信息化建設(shè)工作，負(fù)責(zé)運(yùn)行、維護(hù)和管理覆蓋全區(qū)的電子政務(wù)專網(wǎng)、資源平臺(tái)和多個(gè)重要電子政務(wù)業(yè)務(wù)應(yīng)用系統(tǒng)。 ? 與 廣州市 xx 區(qū)政府 科信局 業(yè)務(wù)活動(dòng)相關(guān)的應(yīng)用系統(tǒng)及其包含的全部信息資產(chǎn)，其中應(yīng)用系統(tǒng)包括：”門戶網(wǎng)站”等；信息資產(chǎn)包括：與上述業(yè)務(wù)應(yīng)用系統(tǒng)相關(guān)的數(shù)據(jù)、硬件、軟件、服務(wù)及文檔等。 ? 廣州市 xx 區(qū)政府 科信局 的辦 公場(chǎng)所和上述業(yè)務(wù)應(yīng)用系統(tǒng)所處機(jī)房，其中機(jī)房包括 廣州市 xx 區(qū)政府 科信局 政府機(jī)房。 ? ISMS 方針 根據(jù) 信息安全管理的需求 ，確定 廣州市 xx 區(qū)政府 科信局 的信息安全方針和主要信息安全策略。信息安全方針為： ? 全員參與 ? 明確責(zé)任 ? 預(yù)防為主 ? 快速響應(yīng) ? 風(fēng)險(xiǎn)管控 ? 持續(xù)改進(jìn) ? 風(fēng)險(xiǎn)評(píng)估 在體系建立過程中， 廣州市 xx 區(qū)政府 科信局 確定 信息安全風(fēng)險(xiǎn)評(píng)估方法，對(duì) 廣州 xx 區(qū) 科信局 電子政務(wù)信息系 統(tǒng)實(shí)施風(fēng)險(xiǎn)評(píng)估，識(shí)別電子政務(wù)信息系統(tǒng)所面臨的風(fēng)險(xiǎn)。 ? 風(fēng)險(xiǎn)處置 在風(fēng)險(xiǎn)評(píng)估后， 廣州市 xx 區(qū)政府 科信局 根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果，確定風(fēng)險(xiǎn)處置的策略， 包括： ? 采用 風(fēng)險(xiǎn) 控制措施，以降低面臨的信息安全風(fēng)險(xiǎn) ； ? 在滿足信息安全方針和風(fēng)險(xiǎn)接受準(zhǔn)則的前提下，有意識(shí)地、客觀地接受風(fēng)險(xiǎn) ； ? 避免風(fēng)險(xiǎn) ； ? 轉(zhuǎn)移相關(guān)業(yè)務(wù)風(fēng)險(xiǎn)到其他方面 ， 如： 購買產(chǎn)品維保 ， 運(yùn)維服務(wù)外包 等 ； 廣州 xx 區(qū) 科信局 根據(jù)風(fēng)險(xiǎn)處置策略 ， 制定風(fēng)險(xiǎn)控制措施，對(duì)已識(shí)別出的風(fēng)險(xiǎn)進(jìn)行分類處理， 并對(duì)殘余風(fēng)險(xiǎn)進(jìn)行了批準(zhǔn)。 ? 適用性聲明 在風(fēng)險(xiǎn)處置活動(dòng)實(shí)施后， 廣州市 xx 區(qū)政府 科信局 從 以下幾方面準(zhǔn)備 了體系 適用性聲明： ? 從 ISO/IEC 27001 標(biāo)準(zhǔn)中附錄 A 給出 的控制目標(biāo)和控制措施，以及選擇的理由； ? 當(dāng)前實(shí)施的控制目標(biāo)和控制措施； ? 對(duì)附 錄 A 中任何控制目標(biāo)和控制措施的刪減，以及刪減的合理性說明。 (2). 實(shí)施和運(yùn)行信息安全管理體系 廣州市 xx 區(qū)政府 科信局 在實(shí)施和運(yùn)行信息安全管理體系中所開展的工作包括： ? 通過風(fēng)險(xiǎn)管理方法來控制 電子政務(wù) 信息系統(tǒng)中存在的信息安全風(fēng)險(xiǎn)， 配置資源、明確 職責(zé)和優(yōu)先級(jí)別 ， 實(shí)施適當(dāng)?shù)墓芾泶胧? ? 實(shí)施各 信息安全管理體系 文件中包括的控制措施，以達(dá)到各控制目標(biāo) ； ? 測(cè)量各 信息安全管理體系 文件中控制措施實(shí)施的有效性，明確對(duì)測(cè)量結(jié)果的分析和評(píng)估準(zhǔn)則，并作為持續(xù)改進(jìn)的輸入 ； ? 實(shí)施培訓(xùn)和意識(shí)教育計(jì)劃 ； ? 管理 ISMS 的資源 ； ? 實(shí)施能迅速檢測(cè)安全事件 和響應(yīng)安全事故的程序，具體要求參見《信息安全事 件 管理 辦法 》 。 (3). 監(jiān)視和評(píng)審信息安全管理體系 廣州市 xx 區(qū)政府 科信局 將 對(duì)信息安全管理 體系 進(jìn)行監(jiān)視，并定期或不定期的進(jìn)行內(nèi)審和管理評(píng)審，包括： ? 執(zhí)行監(jiān)視和評(píng)審程序 以及 其它 相關(guān) 措施，以 達(dá)到 ： ? 迅速檢測(cè) 信息安全管理體系運(yùn)行 過程中的 缺陷和弱點(diǎn) ； ? 迅速識(shí)別潛在的和已發(fā)生的 信息 安全違規(guī)和事故； ? 確保管理者分配給 各 人員的 信息 安全活動(dòng)或通過信息技術(shù)實(shí)施的 信息 安全活動(dòng)能如期執(zhí)行； ? 確定 信息 安全措施 的 有效性。 ? 在內(nèi)審結(jié)果、信息安全事故、有效性測(cè)量結(jié)果、所有相關(guān)方的建議和反饋的基礎(chǔ)上， 定期進(jìn)行 信息安全 管理評(píng)審，以判斷信息安全管
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1