信息安全管理過程-資料下載頁
2025-04-12 05:35本頁面
【正文】 與相關(guān)人員進行交流；c）進行對檢查內(nèi)容進行分析，召開內(nèi)審小組首次會議、末次會議，宣布審核意見和不符合報告；d）審核組長編制審核報告。 對審核中提出的不符合項報告，責(zé)任部門應(yīng)編制糾正措施，由行政部門組織對受審部門的糾正措施的實施情況進行跟蹤、驗證。 按照《記錄管理程序》的要求，保存審核記錄。 內(nèi)部審核報告，應(yīng)作為管理評審的輸入之一。七、 管理評審，以確保其持續(xù)的適宜性、充分性和有效性。，包括安全方針和安全目標。，記錄應(yīng)加以保持。管理評審的輸入要包括以下信息：a)信息安全管理體系審核和評審的結(jié)果；b)相關(guān)方的反饋；c)用于改進信息安全管理體系業(yè)績和有效性的技術(shù)、產(chǎn)品或程序；d)預(yù)防和糾正措施的狀況；e)以往風(fēng)險評估沒有充分強調(diào)的脆弱性或威脅；f)有效性測量的結(jié)果；g)以往管理評審的跟蹤措施；h)任何可能影響信息安全管理體系的變更；i)改進的建議。管理評審的輸出應(yīng)包括與下列內(nèi)容相關(guān)的任何決定和措施：a) 信息安全管理體系有效性的改進；b) 更新風(fēng)險評估和風(fēng)險處理計劃；c) 必要時，修訂影響信息安全的程序和控制措施，以反映可能影響信息安全管理體系的內(nèi)外事件，包括以下方面的變化：1) 業(yè)務(wù)要求；2) 安全要求；3) 影響現(xiàn)有業(yè)務(wù)要求的業(yè)務(wù)過程；4) 法律法規(guī)要求；5) 合同責(zé)任； 6) 風(fēng)險等級和（或）風(fēng)險接受準則。d) 資源需求；e) 改進測量控制措施有效性的方式。 行政部門根據(jù)信息安全管理體系運行情況和內(nèi)、外審的結(jié)果，針對評審輸入信息要求，制定《管理評審計劃》，送交總經(jīng)理批準后，通知相關(guān)職能部門準備及提供評審資料?！豆芾碓u審計劃》，準備相關(guān)的信息、資料，對信息安全管理體系文件的適宜性、充分性及有效性做出評價，提出改進措施。 最高管理者主持召開管理評審會議，并根據(jù)評審結(jié)果，做出管理評審結(jié)論性評價，對信息安全管理體系中存在主要問題確定糾正和預(yù)防措施責(zé)成有關(guān)部門落實整改。 管理評審應(yīng)形成《管理評審報告》，《管理評審報告》由管理者代表審核，最高管理者批準。 根據(jù)“管理評審報告”提出的要求，管理者代表組織各相關(guān)部門制定糾正、預(yù)防措施，并對實施情況進行協(xié)調(diào)、監(jiān)督、檢查。八、 信息安全管理體系改進本公司制定和實施《糾正措施管理程序》、《預(yù)防措施管理程序》《內(nèi)部審核管理程序》等文件，通過下列途徑持續(xù)改進信息安全管理體系的有效性：a) 通過信息安全管理體系方針的建立與實施，對持續(xù)改進做出正式的承諾；b) 通過建立信息安全管理體系目標明確改進的方向；c) 通過內(nèi)部審核不斷發(fā)現(xiàn)問題，尋找體系改進的機會并予實施，詳見《內(nèi)部審核管理程序》；d) 通過數(shù)據(jù)分析不斷尋求改進的機會，并做出適當(dāng)?shù)母倪M活動安排，詳見《糾正措施管理程序》；e) 通過實施糾正和預(yù)防措施實現(xiàn)改進，詳見《糾正措施管理程序》和《預(yù)防措施管理程序》；f) 通過管理評審輸出的有關(guān)改進措施的實施實現(xiàn)改進，詳見本手冊第7章。 行政部門負責(zé)建立并實施《糾正措施管理程序》，采取糾正措施，消除與信息安全管理體系要求不符合的原因，以防止再發(fā)生。 《糾正措施管理程序》應(yīng)規(guī)定以下方面的要求：a) 識別存在的不符合；b) 確定不符合的原因；c) 評價確保不符合不再發(fā)生的措施要求；d) 確定和實施所需的糾正措施；e) 記錄所采取措施的結(jié)果；f) 評審所采取的糾正措施。 行政部門建立并實施《預(yù)防措施管理程序》，規(guī)定采取以下措施，以消除潛在與信息安全管理體系要求不符合的原因，防止其發(fā)生。 所采取的預(yù)防措施應(yīng)與潛在問題的影響程度相適應(yīng)。 《預(yù)防措施管理程序》應(yīng)規(guī)定以下方面的要求：a)識別潛在的不符合及其原因；b)評價預(yù)防不符合發(fā)生的措施要求；c)確定并實施所需的預(yù)防措施；d)記錄所采取措施的結(jié)果；e)評審所采取的預(yù)防措施。 公司風(fēng)險評估小組應(yīng)定期進行風(fēng)險評估，以識別變化的風(fēng)險，并通過關(guān)注變化顯著的風(fēng)險來識別預(yù)防措施要求。預(yù)防措施的優(yōu)先級應(yīng)基于風(fēng)險評估結(jié)果來確定。 附錄（規(guī)范性附錄）信息安全管理組織結(jié)構(gòu)圖信息安全委員會（最高管理者）信息安全內(nèi)審小組 管理者代表信息安全執(zhí)行代表（各部門）19
公司管理相關(guān)推薦
鄂ICP備17016276號-1