信息安全管理過程-資料下載頁
2025-04-12 05:35本頁面
【正文】 與相關(guān)人員進(jìn)行交流；c）進(jìn)行對(duì)檢查內(nèi)容進(jìn)行分析，召開內(nèi)審小組首次會(huì)議、末次會(huì)議，宣布審核意見和不符合報(bào)告；d）審核組長編制審核報(bào)告。 對(duì)審核中提出的不符合項(xiàng)報(bào)告，責(zé)任部門應(yīng)編制糾正措施，由行政部門組織對(duì)受審部門的糾正措施的實(shí)施情況進(jìn)行跟蹤、驗(yàn)證。 按照《記錄管理程序》的要求，保存審核記錄。 內(nèi)部審核報(bào)告，應(yīng)作為管理評(píng)審的輸入之一。七、 管理評(píng)審，以確保其持續(xù)的適宜性、充分性和有效性。，包括安全方針和安全目標(biāo)。，記錄應(yīng)加以保持。管理評(píng)審的輸入要包括以下信息：a)信息安全管理體系審核和評(píng)審的結(jié)果；b)相關(guān)方的反饋；c)用于改進(jìn)信息安全管理體系業(yè)績(jī)和有效性的技術(shù)、產(chǎn)品或程序；d)預(yù)防和糾正措施的狀況；e)以往風(fēng)險(xiǎn)評(píng)估沒有充分強(qiáng)調(diào)的脆弱性或威脅；f)有效性測(cè)量的結(jié)果；g)以往管理評(píng)審的跟蹤措施；h)任何可能影響信息安全管理體系的變更；i)改進(jìn)的建議。管理評(píng)審的輸出應(yīng)包括與下列內(nèi)容相關(guān)的任何決定和措施：a) 信息安全管理體系有效性的改進(jìn)；b) 更新風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)處理計(jì)劃；c) 必要時(shí)，修訂影響信息安全的程序和控制措施，以反映可能影響信息安全管理體系的內(nèi)外事件，包括以下方面的變化：1) 業(yè)務(wù)要求；2) 安全要求；3) 影響現(xiàn)有業(yè)務(wù)要求的業(yè)務(wù)過程；4) 法律法規(guī)要求；5) 合同責(zé)任； 6) 風(fēng)險(xiǎn)等級(jí)和（或）風(fēng)險(xiǎn)接受準(zhǔn)則。d) 資源需求；e) 改進(jìn)測(cè)量控制措施有效性的方式。 行政部門根據(jù)信息安全管理體系運(yùn)行情況和內(nèi)、外審的結(jié)果，針對(duì)評(píng)審輸入信息要求，制定《管理評(píng)審計(jì)劃》，送交總經(jīng)理批準(zhǔn)后，通知相關(guān)職能部門準(zhǔn)備及提供評(píng)審資料?！豆芾碓u(píng)審計(jì)劃》，準(zhǔn)備相關(guān)的信息、資料，對(duì)信息安全管理體系文件的適宜性、充分性及有效性做出評(píng)價(jià)，提出改進(jìn)措施。 最高管理者主持召開管理評(píng)審會(huì)議，并根據(jù)評(píng)審結(jié)果，做出管理評(píng)審結(jié)論性評(píng)價(jià)，對(duì)信息安全管理體系中存在主要問題確定糾正和預(yù)防措施責(zé)成有關(guān)部門落實(shí)整改。 管理評(píng)審應(yīng)形成《管理評(píng)審報(bào)告》，《管理評(píng)審報(bào)告》由管理者代表審核，最高管理者批準(zhǔn)。 根據(jù)“管理評(píng)審報(bào)告”提出的要求，管理者代表組織各相關(guān)部門制定糾正、預(yù)防措施，并對(duì)實(shí)施情況進(jìn)行協(xié)調(diào)、監(jiān)督、檢查。八、 信息安全管理體系改進(jìn)本公司制定和實(shí)施《糾正措施管理程序》、《預(yù)防措施管理程序》《內(nèi)部審核管理程序》等文件，通過下列途徑持續(xù)改進(jìn)信息安全管理體系的有效性：a) 通過信息安全管理體系方針的建立與實(shí)施，對(duì)持續(xù)改進(jìn)做出正式的承諾；b) 通過建立信息安全管理體系目標(biāo)明確改進(jìn)的方向；c) 通過內(nèi)部審核不斷發(fā)現(xiàn)問題，尋找體系改進(jìn)的機(jī)會(huì)并予實(shí)施，詳見《內(nèi)部審核管理程序》；d) 通過數(shù)據(jù)分析不斷尋求改進(jìn)的機(jī)會(huì)，并做出適當(dāng)?shù)母倪M(jìn)活動(dòng)安排，詳見《糾正措施管理程序》；e) 通過實(shí)施糾正和預(yù)防措施實(shí)現(xiàn)改進(jìn)，詳見《糾正措施管理程序》和《預(yù)防措施管理程序》；f) 通過管理評(píng)審輸出的有關(guān)改進(jìn)措施的實(shí)施實(shí)現(xiàn)改進(jìn)，詳見本手冊(cè)第7章。 行政部門負(fù)責(zé)建立并實(shí)施《糾正措施管理程序》，采取糾正措施，消除與信息安全管理體系要求不符合的原因，以防止再發(fā)生。 《糾正措施管理程序》應(yīng)規(guī)定以下方面的要求：a) 識(shí)別存在的不符合；b) 確定不符合的原因；c) 評(píng)價(jià)確保不符合不再發(fā)生的措施要求；d) 確定和實(shí)施所需的糾正措施；e) 記錄所采取措施的結(jié)果；f) 評(píng)審所采取的糾正措施。 行政部門建立并實(shí)施《預(yù)防措施管理程序》，規(guī)定采取以下措施，以消除潛在與信息安全管理體系要求不符合的原因，防止其發(fā)生。 所采取的預(yù)防措施應(yīng)與潛在問題的影響程度相適應(yīng)。 《預(yù)防措施管理程序》應(yīng)規(guī)定以下方面的要求：a)識(shí)別潛在的不符合及其原因；b)評(píng)價(jià)預(yù)防不符合發(fā)生的措施要求；c)確定并實(shí)施所需的預(yù)防措施；d)記錄所采取措施的結(jié)果；e)評(píng)審所采取的預(yù)防措施。 公司風(fēng)險(xiǎn)評(píng)估小組應(yīng)定期進(jìn)行風(fēng)險(xiǎn)評(píng)估，以識(shí)別變化的風(fēng)險(xiǎn)，并通過關(guān)注變化顯著的風(fēng)險(xiǎn)來識(shí)別預(yù)防措施要求。預(yù)防措施的優(yōu)先級(jí)應(yīng)基于風(fēng)險(xiǎn)評(píng)估結(jié)果來確定。 附錄（規(guī)范性附錄）信息安全管理組織結(jié)構(gòu)圖信息安全委員會(huì)（最高管理者）信息安全內(nèi)審小組 管理者代表信息安全執(zhí)行代表（各部門）19
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1