【正文】 支持人員不應(yīng)當(dāng)自由訪問源程序庫；d) 源程序庫的更新和向程序員發(fā)布的源程序，應(yīng)由指定的程序庫管理員根據(jù)授權(quán)來完成。ISMSP2014《系統(tǒng)開發(fā)與維護(hù)控制程序》開發(fā)和支持過程的安全目標(biāo)YES確保應(yīng)用系統(tǒng)軟件和信息的安全。更改控制程序控制YES為防止未授權(quán)或不充分的更改，避免系統(tǒng)故障與中斷，需要實(shí)施嚴(yán)格更改控制。為使信息系統(tǒng)的損害降至最小，對(duì)應(yīng)用系統(tǒng)軟件在開發(fā)過程中的任何更改，須進(jìn)行適當(dāng)?shù)臏y試與評(píng)審，經(jīng)開發(fā)軟件負(fù)責(zé)人批準(zhǔn)后予以實(shí)施。操作系統(tǒng)（OS）及應(yīng)用系統(tǒng)的升級(jí)須經(jīng)過系統(tǒng)主管部門測試、評(píng)審與批準(zhǔn)后方可進(jìn)行。ISMSP2008《更改控制程序》ISMSP2014《系統(tǒng)開發(fā)與維護(hù)控制程序》操作系統(tǒng)（OS)更改后對(duì)應(yīng)用的程序評(píng)審控制YES操作系統(tǒng)的不充分更改對(duì)應(yīng)用系統(tǒng)會(huì)造成嚴(yán)重的影響。當(dāng)操作系統(tǒng)（OS）發(fā)生更改時(shí)，操作系統(tǒng)更改對(duì)應(yīng)用系統(tǒng)的影響應(yīng)由系統(tǒng)主管部門進(jìn)行評(píng)審，確保對(duì)應(yīng)用程序的作業(yè)或安全措施無不利影響。ISMSP2008《更改控制程序》ISMSP2010《信息處理設(shè)備管理程序》軟件包的更改限制控制YES軟件包的更改會(huì)引入薄弱點(diǎn)，導(dǎo)致內(nèi)部控制故障，應(yīng)進(jìn)行嚴(yán)格限制。本公司不鼓勵(lì)修改軟件包，如果有必要進(jìn)行更改，更改部門在實(shí)施前進(jìn)行風(fēng)險(xiǎn)評(píng)估，確定必須的控制措施，保留原始軟件，并在完全一樣的復(fù)制軟件上進(jìn)行更改，更改實(shí)施前須得到系統(tǒng)主管部門的授權(quán)。ISMSP2008《更改控制程序》信息泄漏控制YES軟件的采購、使用或修改會(huì)有隱藏通道和特洛伊代碼的威脅，應(yīng)采取措施予以控制對(duì)軟件的采購、使用、變更及開發(fā)過程進(jìn)行控制和檢查，以防止可能的隱藏通道和特洛伊木馬。ISMSP2029《惡意軟件控制程序》外包軟件開發(fā)控制YES本公司存在軟件外包開發(fā)的活動(dòng)，應(yīng)予以控制。本公司不外包定制軟件。購買成品軟件安裝使用前須進(jìn)行測試，以防止隱藏通道及特洛伊碼的存在。ISMSP2014《系統(tǒng)開發(fā)與維護(hù)控制程序》ISMSP2033《事故、事件、薄弱點(diǎn)與故障管理程序》技術(shù)薄弱點(diǎn)管理目標(biāo)YES降低由已經(jīng)公布的薄弱點(diǎn)所帶來破壞的風(fēng)險(xiǎn)。技術(shù)薄弱點(diǎn)的控制控制YES及時(shí)獲得正在使用信息系統(tǒng)的技術(shù)薄弱點(diǎn)的相關(guān)信息，應(yīng)評(píng)估對(duì)這些薄弱點(diǎn)的暴露程度，并采取適當(dāng)?shù)姆椒ㄌ幚硐嚓P(guān)風(fēng)險(xiǎn)。XX部門對(duì)技術(shù)薄弱點(diǎn)應(yīng)進(jìn)行風(fēng)險(xiǎn)評(píng)估，進(jìn)行專項(xiàng)分析，制訂風(fēng)險(xiǎn)處理計(jì)劃，根據(jù)風(fēng)險(xiǎn)處理計(jì)劃采取對(duì)應(yīng)的技術(shù)和管理措施。ISMSP2033《事故、事件、薄弱點(diǎn)與故障管理程序》標(biāo)準(zhǔn)條款號(hào)標(biāo) 題目標(biāo)/控制是否選擇選擇理由控制描述相關(guān)文件報(bào)告信息安全事件和弱點(diǎn)目標(biāo)YES保證與信息系統(tǒng)相關(guān)聯(lián)的信息安全事情和弱點(diǎn)的溝通，溝通的方式應(yīng)允許采取及時(shí)糾正措施。報(bào)告信息安全事件控制YES安全事件、事故有可能發(fā)生，一旦發(fā)生必須報(bào)告。安全事情、事故一經(jīng)發(fā)生，事情、事故發(fā)現(xiàn)者、事情、事故責(zé)任者應(yīng)立即向主管部門報(bào)告，主管部門和責(zé)任部門應(yīng)及時(shí)對(duì)事情、事故進(jìn)行反應(yīng)處理。所有員工有報(bào)告安全事情、事故的義務(wù)。ISMSP2033《事故、事件、薄弱點(diǎn)與故障管理程序》ISMSP2007《糾正/預(yù)防措施控制程序》報(bào)告安全弱點(diǎn)控制YES安全薄弱點(diǎn)是不可避免的,建立報(bào)告制度是預(yù)防發(fā)生的最好途徑之一。各部門及全體員工應(yīng)按照要求及時(shí)識(shí)別安全薄弱點(diǎn)及可能的安全威脅，一旦發(fā)現(xiàn)應(yīng)及時(shí)向有關(guān)人員或部門報(bào)告并記錄，主管部門或安全管理負(fù)責(zé)人應(yīng)采取有效的預(yù)防措施，防止威脅的發(fā)生。ISMSP2033《事故、事件、薄弱點(diǎn)與故障管理程序》信息安全事件和改進(jìn)的管理目標(biāo)YES保證應(yīng)用于信息安全事件管理的方法的一致和有效。責(zé)任和程序控制YES建立管理責(zé)任和程序以保證對(duì)信息安全事件快速、有效和有序地做出響應(yīng)。事故主管部門接到報(bào)告以后，應(yīng)立即進(jìn)行迅速、有效和有序的反應(yīng)。ISMSP2033《事故、事件、薄弱點(diǎn)與故障管理程序》ISMSP2007《糾正/預(yù)防措施控制程序》對(duì)信息安全事件的總結(jié)控制YES只有對(duì)事故進(jìn)行有效鑒定，才能從中吸取教訓(xùn)，防止再發(fā)生。事故發(fā)生后，主管部門對(duì)事故發(fā)生的原因、類型、損失進(jìn)行鑒定，提出防止此類事故再次發(fā)生的措施或建議，形成事故調(diào)查分析及處理報(bào)告，責(zé)成有關(guān)部門實(shí)施糾正措施。事故和處理過程結(jié)果應(yīng)予以記錄，重大事故應(yīng)提交信息安全管理委員會(huì)評(píng)審。具體執(zhí)行《事故、薄弱點(diǎn)與故障管理程序》。ISMSP2033《事故、事件、薄弱點(diǎn)與故障管理程序》ISMSP2007《糾正/預(yù)防措施控制程序》證據(jù)的收集控制YES當(dāng)信息安全事件發(fā)生后對(duì)個(gè)人或組織的后續(xù)行為涉及到法律行為時(shí)，所提供的證據(jù)應(yīng)符合相關(guān)的證據(jù)法規(guī)。XX部負(fù)責(zé)發(fā)生法律糾紛與訴訟的證據(jù)收集，并確保證據(jù)收集應(yīng)符合以下要求： a) 所呈證據(jù)應(yīng)符合國家有關(guān)的證據(jù)法規(guī)； b) 符合用于提供可接受證據(jù)的任何已發(fā)布的標(biāo)準(zhǔn)或法規(guī)； c) 對(duì)已收集到的證據(jù)進(jìn)行安全的保管，防止未經(jīng)授權(quán)的更改或破壞； d) 收集到的證據(jù)符合法庭所要求的形式。ISMSP2033《事故、事件、薄弱點(diǎn)與故障管理程序》ISMSP2006《記錄管理程序》標(biāo)準(zhǔn)條款號(hào)標(biāo) 題目標(biāo)/控制是否選擇選擇理由控制描述相關(guān)文件業(yè)務(wù)持續(xù)性管理的內(nèi)容目標(biāo)YES抵消業(yè)務(wù)活動(dòng)受到干擾的影響，并防止關(guān)鍵業(yè)務(wù)處理受大的信息系統(tǒng)故障或者災(zāi)難的影響，確保能夠及時(shí)恢復(fù)基本運(yùn)行。業(yè)務(wù)持續(xù)性管理過程中包含的信息安全控制YES為保持公司業(yè)務(wù)的可持續(xù)性發(fā)展，應(yīng)建立商業(yè)持續(xù)性管理過程。公司建立并實(shí)施《業(yè)務(wù)持續(xù)性管理程序》，在發(fā)生災(zāi)難或安全故障時(shí)，實(shí)施持續(xù)性管理計(jì)劃，確保關(guān)鍵業(yè)務(wù)及時(shí)得到恢復(fù)。ISMSP2034《業(yè)務(wù)持續(xù)性管理程序》業(yè)務(wù)持續(xù)性和風(fēng)險(xiǎn)分析控制YES業(yè)務(wù)持續(xù)性計(jì)劃的制定，是建立在適當(dāng)風(fēng)險(xiǎn)評(píng)估的分析基礎(chǔ)上。為達(dá)到公司儲(chǔ)存數(shù)據(jù)、培訓(xùn)、測試等業(yè)務(wù)的持續(xù)性目標(biāo)，IT部組織有關(guān)部門在適當(dāng)?shù)娘L(fēng)險(xiǎn)評(píng)估的基礎(chǔ)上，進(jìn)行災(zāi)難及系統(tǒng)中斷影響分析，識(shí)別出造成關(guān)鍵業(yè)務(wù)中斷的主要事件及其影響。在災(zāi)難及系統(tǒng)中斷影響分析的基礎(chǔ)上，確定業(yè)務(wù)持續(xù)性總體處理方法。ISMSP2034《業(yè)務(wù)持續(xù)性管理程序》編制和實(shí)施實(shí)施持續(xù)性計(jì)劃控制YES為確保本公司與設(shè)計(jì)、制造、銷售、測試等關(guān)鍵業(yè)務(wù)中斷能及時(shí)恢復(fù)，應(yīng)編寫并實(shí)施業(yè)務(wù)持續(xù)性計(jì)劃。有關(guān)部門應(yīng)編制《持續(xù)性管理戰(zhàn)略計(jì)劃》，由信息安全管理者代表批準(zhǔn)，以便在儲(chǔ)存數(shù)據(jù)、培訓(xùn)、測試等關(guān)鍵業(yè)務(wù)發(fā)生中斷或故障后，實(shí)施持續(xù)性管理計(jì)劃，以保證公司關(guān)鍵業(yè)務(wù)中斷的及時(shí)恢復(fù)。持續(xù)性計(jì)劃應(yīng)對(duì)應(yīng)急措施和有關(guān)部門與人員的職責(zé)給予明確規(guī)定。ISMSP2034《業(yè)務(wù)持續(xù)性管理程序》業(yè)務(wù)持續(xù)性策劃框架控制YES不同的業(yè)務(wù)持續(xù)性計(jì)劃之間應(yīng)保持一致性。應(yīng)保持獨(dú)立的業(yè)務(wù)持續(xù)性計(jì)劃的框架，以確定各種計(jì)劃的一致性并確定檢測和維護(hù)的優(yōu)先權(quán)。ISMSP2034《業(yè)務(wù)持續(xù)性管理程序》業(yè)務(wù)持續(xù)性計(jì)劃的測試、保持和重新評(píng)估控制YES為保持業(yè)務(wù)持續(xù)性計(jì)劃的時(shí)效和有效性，應(yīng)定期試驗(yàn)、維護(hù)和評(píng)審。每年XX部組織有關(guān)部門采取適宜的測試方法對(duì)《持續(xù)性管理戰(zhàn)略計(jì)劃》進(jìn)行測試，并保持測試記錄；每次測試后，XX部組織與計(jì)劃有關(guān)的部門對(duì)計(jì)劃的時(shí)效和有效性進(jìn)行評(píng)審，必要時(shí)，對(duì)業(yè)務(wù)持續(xù)性計(jì)劃進(jìn)行修改。ISMSP2034《業(yè)務(wù)持續(xù)性管理程序》標(biāo)準(zhǔn)條款號(hào)標(biāo) 題目標(biāo)/控制是否選擇選擇理由控制描述相關(guān)文件符合法律、法規(guī)要求目標(biāo)YES避免違反任何民法、刑法、規(guī)章或契約義務(wù)以及任何安全要求。識(shí)別適用的法律法規(guī)控制YES為遵守適用的相關(guān)法律法規(guī)，應(yīng)對(duì)其進(jìn)行識(shí)別并將其要求文件化。XX部負(fù)責(zé)組織收集與信息安全有關(guān)的法律法規(guī)并對(duì)適用性評(píng)價(jià)，確定其實(shí)用范圍和具體適用條款，形成適用的法律法規(guī)清單，將法律法規(guī)一起通過網(wǎng)絡(luò)傳達(dá)給有關(guān)部門并予以執(zhí)行。品管部負(fù)責(zé)每半年應(yīng)對(duì)法律法規(guī)的有效性進(jìn)行重新評(píng)價(jià)，保持適用的法律、法規(guī)的有效最新版本。每年對(duì)法律法規(guī)的符合性進(jìn)行評(píng)價(jià)。ISMSP2015《監(jiān)視和測量管理程序》知識(shí)產(chǎn)權(quán)控制YES軟件的使用與復(fù)制涉及知識(shí)產(chǎn)權(quán)問題（軟件著作權(quán)），應(yīng)使用正版軟件。本公司嚴(yán)格執(zhí)行國家有關(guān)知識(shí)產(chǎn)權(quán)方面的法律法規(guī)，保證使用合法的正版軟件，并通過以下方法進(jìn)行控制：a) 確定獲得合法軟件的途徑；b) 每年進(jìn)行一次軟件資產(chǎn)清查，確保正在使用的軟件已經(jīng)被適當(dāng)?shù)氖跈?quán)；c) 保留許可證、手冊(cè)等擁有者的證明和證件；d) 確保用戶數(shù)不超過所允許的上限；e) 只允許安裝認(rèn)可的軟件和特許的產(chǎn)品；f) 嚴(yán)禁員工私自安裝任何軟件。ISMSP2015《監(jiān)視和測量管理程序》ISMSP2010《信息處理設(shè)備管理程序》組織記錄的保護(hù)控制YES記錄的保持應(yīng)符合法律法規(guī)要求。各部門應(yīng)按照有關(guān)法律、法規(guī)要求，明確規(guī)定重要記錄的保存期限并提供適當(dāng)?shù)谋Ｗo(hù)，防止丟失、損壞和偽造。ISMSP2015《監(jiān)視和測量管理程序》數(shù)據(jù)保護(hù)和個(gè)人信息的保密控制YES應(yīng)按國家有關(guān)法規(guī)或規(guī)章對(duì)員工的個(gè)人檔案、養(yǎng)老基金賬戶等數(shù)據(jù)或信息進(jìn)行管理與保護(hù)。對(duì)處理與個(gè)人數(shù)據(jù)與信息有關(guān)的部門應(yīng)按照國家有關(guān)規(guī)定對(duì)個(gè)人信息進(jìn)行妥善管理與保護(hù)，防止丟失或泄露個(gè)人秘密。ISMSP2015《監(jiān)視和測量管理程序》防止信息處理設(shè)施的誤用控制YES防止濫用信息處理設(shè)施以符合法律法規(guī)要求。本公司對(duì)所有員工傳達(dá)國家關(guān)于《計(jì)算機(jī)信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)保密管理規(guī)定》、《中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》、《計(jì)算機(jī)信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護(hù)管理辦法》等法規(guī)要求，并要求員工嚴(yán)格遵守，防止計(jì)算機(jī)犯罪活動(dòng)。ISMSP2015《監(jiān)視和測量管理程序》ISMSP2010《信息處理設(shè)備管理程序》密碼技術(shù)控制條例控制NO本公司沒有涉及國家密碼產(chǎn)品，本條款不適用。安全策略、標(biāo)準(zhǔn)和技術(shù)的符合評(píng)審目標(biāo)YES確保系統(tǒng)符合組織的安全策略和標(biāo)準(zhǔn)。符合安全策略和標(biāo)準(zhǔn)控制YES確保體系有效實(shí)施，定期評(píng)審是必須的。每年XX部組織至少一次信息安全管理體系內(nèi)部審核，每次審核的范圍覆蓋與信息安全管理體系有關(guān)的所有部門與安全區(qū)域，確保職責(zé)范圍內(nèi)的所有安全程序正確完成，符合安全方針和標(biāo)準(zhǔn)。ISMSP2003《內(nèi)部審核管理程序》技術(shù)符合性檢查控制YES為驗(yàn)證信息系統(tǒng)保證符合安全技術(shù)標(biāo)準(zhǔn)，必要的技術(shù)檢查是需要的。內(nèi)部審核活動(dòng)應(yīng)包括對(duì)各信息系統(tǒng)的技術(shù)性審核，內(nèi)部審核組至少擁有一名具有一定信息安全技術(shù)的內(nèi)部專家，技術(shù)性審核應(yīng)在被監(jiān)督的情況下進(jìn)行。但不鼓勵(lì)利用漏洞掃描等工具對(duì)網(wǎng)絡(luò)系統(tǒng)進(jìn)行定期技術(shù)性檢查，鼓勵(lì)用管理軟件和自身的日志進(jìn)行監(jiān)督。ISMSP2015《監(jiān)視和測量管理程序》系統(tǒng)審核考慮因素目標(biāo)YES使對(duì)/來自系統(tǒng)審核過程的有效性最大，干擾性最小。系統(tǒng)審核控制控制YES對(duì)作業(yè)系統(tǒng)的審核應(yīng)事先策劃，避免對(duì)作業(yè)系統(tǒng)造成不良影響。正式審核之前，審核組應(yīng)明確技術(shù)性審核的項(xiàng)目與要求，防止審核活動(dòng)本身造成不必要的安全風(fēng)險(xiǎn)。ISMSP2003《內(nèi)部審核管理程序》系統(tǒng)審核工具的保護(hù)控制YES本公司存在漏洞掃描工具，應(yīng)控制其安全使用。XX部對(duì)漏洞掃描工具進(jìn)行管理，使用者應(yīng)被授權(quán)，檢查工作在監(jiān)督的情況下進(jìn)行，審核活動(dòng)應(yīng)被記錄。ISMSP2012《用戶訪問控制程序》ISMSP2010《信息處理設(shè)備管理程序》