【導讀】的組織架構外建立服務管理職能關系架構。服務部根據(jù)IT服務管理程序要求對所有服務合同按照項目進行管理與運行，由項目。一個完整的服務項目必須包含服。務臺、事件管理、業(yè)務關系管理、信息安全管理、供應商管理和IT財務管理。服務級別管理以及服務報告可由服務部經(jīng)理依照與用戶簽署的服務合同進行選擇裁剪。3．6．2．1針對服務部當前組織架構及人員狀況，將不再為每一具體流程分配流程經(jīng)理。為此將13個流程，按其必要程度分成必選流程和可裁剪流程兩大模塊。對項目組成員主要是組織、協(xié)調、安排相應工作任務的完成，根本原因的整個過程的管理和協(xié)調。3）、負責各系統(tǒng)的配置管理、變更和發(fā)布控制。3．6．2．1．2能力要求：熟悉服務部的各種服務管理流程，具有較強的內(nèi)部協(xié)調能力。

　　

【正文】 信息安全管理 amp。IT 服務管理體系手冊 版本 /修改狀態(tài) 第 13 頁 共 47 頁 1 信息安全管理 手冊說明 1． 1 公司簡介 XX 編制依據(jù)和目的 本手冊在遵循 ISO9001： 2021 《 信息安全管理體系要求 》 與 ISO/IEC 20210 《信息技術服務管理－規(guī)范》的要求 編制而成，包括了 ISO27001： 2021 的全部要求 ，對附錄 A 的刪減見《適用性聲明 SoA》。 手冊描述 公司 的信 息安全管理體系的總要求，以確保 公司 的信息安全管理體系能夠達到 ISO27001： 2021 信息安全管理標準的要求 ；滿足 本公司向客戶提供 IT 服務 所需的 IT基礎設施 和 IT 技術支持 服務 ， 適用于向客戶或認證機構證實，本公司具備提供符合客戶需求的 IT 服務能力和服務 質量。 本公司的 體系 程序是手冊的支持性文件，是對 體系 運作的具體描述 。 適用范圍 信息安全管理 amp。IT 服務管理體系手冊 適用于本公司提供 安全 管理體系認證服務 與 IT服務 有 關的所有部門和活動。 1． 3 術語和定義 1． 3． 1 本手冊應用 ISO/IEC 20210 中的術語及定義。 1． 3． 2本手冊應用 ISO/IEC27001 中的術語及定義。 2 信息安全管理 amp。IT 服務管理 手冊的管理 2． 1 手冊的編制、批準和發(fā)布 編 碼 JIN/QM 信息安全管理 amp。IT 服務管理體系手冊 版本 /修改狀態(tài) 第 14 頁 共 47 頁 2． 1． 1按照公司業(yè)務發(fā)展戰(zhàn)略和客戶需求，經(jīng)公司管理者代表批準，技術服務事業(yè)部組織相關人員，結合本公司業(yè)務特點，根據(jù) ISO/IEC 20210 標準的要求編寫。 2． 1． 2《 IT 服務管理手冊》由公司管理者代表批準后發(fā)布。 2． 2 手冊的分發(fā) 2． 2． 1技術服務事業(yè)部負責 手冊的發(fā)放、更新、管理與存檔。 2． 2． 2公司各部門負責手冊的使用和保管。 2． 3 手冊的受控狀態(tài) 2． 3． 1書面形式的 手冊分 “ 有效文件 ” 和 “ 保留文件 ” 兩 種形式。作為公司日常運營的依據(jù)及提供給 外部認證機構的手冊均為 “ 有效文件 ” 形式。 2． 3． 2當手冊內(nèi)容變更時 ， “ 有效文件 ” 形 式的手冊應及時予以更新和發(fā)放。 2． 3． 3“ 有效文件 ” 形式的 文件在更新后，如需保存原來的版本，以便于追溯 ，則應當用 “ 保留 文件 ” 的 標 識予以區(qū)分。 2． 3． 4電子形式的手冊由技術服務事業(yè)部在工作流轉系統(tǒng)中進行管理。 2． 4 手冊的變更 2． 4． 1因公司戰(zhàn)略調整、客戶需求或改進活動等引起的手冊內(nèi)容的變更，按公司總經(jīng)理指示，技術服務事業(yè)部組織相關部門對涉及變更的內(nèi)容進行更新，并經(jīng)公司總經(jīng)理批準后發(fā)布。 2． 4． 2更新后的手冊，應及時地發(fā)放給公司內(nèi)部原手冊持有者，并收回舊版的手冊。對電子形式的手冊，由技術服務事業(yè)部按工作流轉系統(tǒng)中的管理規(guī)則進行更新和歸檔管理。 2． 5公司內(nèi)部手冊持有者的責任 2． 5． 1與公司或部門內(nèi)部的相關人員溝通、學習手冊的要求并遵照執(zhí)行。 2． 5． 2妥善保管，不得私自更改、曲解手冊的內(nèi)容。不得隨意向其他與公司業(yè)務無關的第三方傳播，如需提供公司以外的第三方參考，應經(jīng)技術服務事業(yè)部提交公司主管副總經(jīng)理審核后，報公司總經(jīng)理批準。 編 碼 JIN/QM 信息安全管理 amp。IT 服務管理體系手冊 版本 /修改狀態(tài) 第 15 頁 共 47 頁 3 公司架構和安全承諾 公司行政組織架構 總 經(jīng) 理 商務部 生技部 綜合管理 部 研 發(fā) 實 施 質管部 質量保證 測 試 市 場 銷 售 物 流 財 務 人力資源 采 購 倉 庫 培 訓 文 檔 編 碼 JIN/QM 信息安全管理 amp。IT 服務管理體系手冊 版本 /修改狀態(tài) 第 16 頁 共 47 頁 公司 信息安全管理 體系 組織架構 圖 注：每個虛線框內(nèi)為一 個信息安全小組，部門的負責人為安全組長， 各崗位 負責人為該崗位的安全員。 總 經(jīng) 理 管理者代表 商務部 生技部 綜合管理 部 副管理者代表 研 發(fā) 實 施 質 管 部 質量保證 測 試 客戶服務部 銷 售 物 流 財 務 人力資源 采 購 倉 庫 培 訓 文 檔 安全委員會 編 碼 JIN/QM 信息安全管理 amp。IT 服務管理體系手冊 版本 /修改狀態(tài) 第 17 頁 共 47 頁 3． 3 公司 IT 服務管理職能關系架構圖 服 務 部問 題 管 理 配 置 管 理 變 更 管 理 發(fā) 布 管 理 可 用 性 與 連 續(xù) 性 管 理能 力 管 理 管 理服 務 級 別管 理服 務 報 告業(yè) 務 關 系 管 理 信 息 安 全 管 理 供 應 商 管 理服 務 臺 / 事 件管 理I T 財 務 管 理項 目 經(jīng) 理 信息安全承諾 ◆ 公司成立 安全 管理委員會來領導信息安全工作 ，并確定相應的職責和作用 。 ◆ 制訂信息安全方針和信息安全目標，建立和完善公司的信息安全管理體系。 ◆ 提供充分的資源以保證信息安全管理體系的制定、實施、運作、 監(jiān)控、 維護和改善。 ◆ 對公司信息資產(chǎn)實行有效管理，確保信息的機密性，維持信息的完整性和可用性，防范對信息的未經(jīng)授權訪問。對公司信息資產(chǎn)進行風險評估，制定風險可接受標準，對公司不能接受的風險進行處置。 ◆ 建立業(yè)務持續(xù)性管理 流程 。進行業(yè)務持續(xù)性 風險評估 ，編寫、 測試并 實施業(yè)務持續(xù)性計劃和災難恢復計劃 ， 以保證公司 關鍵 業(yè)務的連續(xù)，不受重大故障和災難的影響。 ◆確保 公司所有員工都接受信息安全的教育培訓，提高信息安全意識。 ◆ 保護公司、客戶、相關合作 方 的信息安全。 ◆ 建立公司信息安全組織架構，明確信息安全責任，確定報告可疑的和發(fā)生的信息安全事故 及事件 的流程，對違反安全制度的人員進行懲罰。 ◆ 建立物理安全和網(wǎng)絡安全管理制度，以確保信息的安全性。 ◆ 保護公司軟件和信息的完整性，防止病毒與各種惡意軟件的入侵。 ◆ 任何人在未經(jīng)審批的情況下，禁止將信息資產(chǎn)帶離公司。 ◆ 公司 所有員工都要嚴格遵守公司的安全方針、程序和制度。 ◆ 控制對內(nèi)外部網(wǎng)絡服務的訪問，保護網(wǎng)絡服務的安全性與可用性 。 ◆ 對用戶賬號、口令和權限進行嚴格管理，防止對信息系統(tǒng)的非授權訪問。 ◆ 對重要信息進行備份保護，以保證信息的可用性。 ◆ 定期對信息安全管理體系進行內(nèi)審和管理評審。 編 碼 JIN/QM 信息安全管理 amp。IT 服務管理體系手冊 版本 /修改狀態(tài) 第 18 頁 共 47 頁 信息 安全 管理委員會 為了加強對信息安全管理體系運作的管理， 江蘇金馬揚名信息技術 有限公司 公司成立 信息安全 管理委員會 ， 其職責見下列明細表。 信息安全管理職責明細表 序號 單位 /部門 信息安全職責 1 信息安全 管理委員會 信息 安全管理委員會是我公司信息安全最高組織機構，負責本單位網(wǎng)絡與信息安全重大事項的決策和協(xié)調，并對全公司信息安全工作負責 。 2 總經(jīng)理 信息安全第一責任人，制定信息安全方針，對信息安全全面負責。 3 管理者代表 經(jīng)總經(jīng)理授權負責建立、實施、檢查、改進信息安全管理體系。 4 綜合管理部 我公司信息安全管理體系的歸口管理部門。 1. 負責管理體系的建立、實施、保持、測量和改進。 2. 負責文件控制、記錄控制、內(nèi)部審核的組織、管理評審的組織和體系的改進。 3. 負責本公司保密工作的管理。 4. 安全區(qū)域的保衛(wèi)管理部門，負責安全區(qū)域的管 理。 5. 負責全公司人員安全管理，包括人員聘用管理，保密協(xié)議簽署，員工的能力、意識和培訓，員工離職管理。 6. 負責涉密信息上網(wǎng)、涉密計算機運行、檢修、報廢的監(jiān)督管理。 7. 對信息安全日常工作實施動態(tài)考核，將信息安全管理作為企業(yè)管理的重要工作內(nèi)容。 8. 參與涉密及司法介入的信息安全事件的調查。 5 生產(chǎn)技術部 是我公司信息系統(tǒng)安全管理部門。 負責局域網(wǎng)上所承擔的各類信息系統(tǒng)的管理職能； 負責我公司信息系統(tǒng)安全日常管理。 6 其他部門 認真執(zhí)行信息安全管理的方針、標準、安全策略和規(guī)范，做好內(nèi)部培 訓。 備注：以上職能劃分， 適用所有信息安全管理體系文件。 信息 安全 管理委員會組成人員： 姓名 部門 職務 備注 編 碼 JIN/QM 信息安全管理 amp。IT 服務管理體系手冊 版本 /修改狀態(tài) 第 19 頁 共 47 頁 3． 6 服務管理職能說明 3． 6． 1 為保證 IT 服務管理體系的順利實施，以及實施后得到持續(xù)的管理和維護，在現(xiàn)有的組織架構外 建立 服務管理職能關系架構 。 IT 服務管理 職能關系架構 ，并不替代現(xiàn)有的按技術類別進行的分工，現(xiàn)有的按技術類別進的分工，在將來的 IT 服務管理體系中仍將發(fā)揮其作用。 服務部根據(jù) IT 服務管理程序要求對所有服務合同按照項目進行管理與運行，由 項目經(jīng)理按照 服務管理職能關系架構中的要求對項目執(zhí)行管理。 一個完整的服務項目必須包含服務臺、事件管理、業(yè)務關系管理、信息安全管理、供應商管理和 IT 財務管理。對于上圖虛線框內(nèi)的的問題管理、發(fā)布管理、配置管理、變更管理、可用性和連續(xù)性管理、容量管理、服務級別管理以及服務報告可由服務部經(jīng)理依照與用戶簽署的服務合同進行選擇裁剪。 3． 6． 2 角色分配說明 3． 6． 2． 1 針對服務部當前組織架構及人員狀況，將不再為每一 具體 流程分配流程經(jīng)理。為此將 13個流程，按其必要程度分成必選流程和可裁剪流程兩大模塊。由項目經(jīng)理負責相應 流程的實施、管理和控制。對項目組成員主要是組織、協(xié)調、安排相應工作任務的完成，可能并不是由自己去完成。 3． 6． 2． 1． 1 項目經(jīng)理 職責說明： 1）、負責 IT 服務項目的立項工作，按照服務合同要求負責相應流程的實施、管理和控制。組織、協(xié)調、安排項目組成員完成相應工作任務。 2）、 負責從服務臺接受事件報告開始，分配相應的職能小組進行事件處理，直至找到問題的根本原因的整個過程的管理和協(xié)調。 3）、負責各系統(tǒng)的配置管理、變更和發(fā)布控制。 4）、負責系統(tǒng)的可用性規(guī)劃和管理、負責安排系統(tǒng)連續(xù)性的計劃和演練，并負責系統(tǒng) 容量的規(guī)劃和監(jiān)控。 5）、主要負責與用戶的溝通，對供應商的管理，以及項目的預 /決算的管理。 3． 6． 2． 1． 2 能力要求： 熟悉服務部的各種服務管理流程，具有較強的內(nèi)部協(xié)調能力。 由 管理者代表 授權技術服務事業(yè)部總監(jiān)，按 ISO/IEC 20210 的要求，負責協(xié)調和組織所有與 IT 服務有關 的活動，通過 管理 和 實施 各 項 活動，使 IT 服務業(yè)務 的質量得到有效的保持和維護。 技術服務事業(yè)部 組織制訂、批準和發(fā)布公司 IT 服務策略、服務目標，并使其成為公司關注的焦點，成為公司協(xié)調、統(tǒng)一、凝聚公司的所有活動和資源的準則，成為建立、實施、保持并改進 IT服務管理體系的宗旨。 3． 6． 3公司 IT 服務策略： 編 碼 JIN/QM 信息安全管理 amp。IT 服務管理體系手冊 版本 /修改狀態(tài) 第 20 頁 共 47 頁 客戶至上、全員參與、創(chuàng)新高效、系統(tǒng)管理、追求卓越 公司 IT 服務目標： 公司通過服務質量改進程序確定年度服務質量目標 公司的 IT 服務目標按 ISO/IEC 20210 的要求，與公司的業(yè)務相結合，并通過流程績效不斷提高和改進。 技術服務事業(yè)部 負責組織 相關 部門，通過會議、評審、書面報告、培訓等方式，及時有效溝通 工作 ，達到 IT 服務管理目標和持續(xù)改進的需