iso27001信息安全管理手冊-資料下載頁
2025-04-14 12:31本頁面
【正文】 評估管理程序》及相關(guān)記錄)；g) 確保內(nèi)部信息安全管理體系審核（見本手冊第6章）得以實施； h) 實施信息安全管理體系管理評審（見本手冊第7章）。資源管理資源的提供本公司確定并提供實施、保持信息安全管理體系所需資源；采取適當措施，使影響信息安全管理體系工作的員工的能力是勝任的，以保證：a) 建立、實施、運作、監(jiān)視、評審、保持和改進信息安全管理體系；b) 確保信息安全程序支持業(yè)務(wù)要求；c) 識別并指出法律法規(guī)要求和合同安全責任；d) 通過正確應(yīng)用所實施的所有控制來保持充分的安全；e) 必要時進行評審，并對評審的結(jié)果采取適當措施；f) 需要時，改進信息安全管理體系的有效性。培訓、意識和能力行政中心制定并實施《人力資源管理程序》文件，確保被分配信息安全管理體系規(guī)定職責的所有人員，都必須有能力執(zhí)行所要求的任務(wù)?？梢酝ㄟ^：a)確定承擔信息安全管理體系各工作崗位的職工所必要的能力；b)提供職業(yè)技術(shù)教育和技能培訓或采取其他的措施來滿足這些需求；c)評價所采取措施的有效性；d)保留教育、培訓、技能、經(jīng)驗和資歷的記錄。本公司還確保所有相關(guān)人員意識到其所從事的信息安全活動的相關(guān)性和重要性，以及如何為實現(xiàn)信息安全管理體系目標做出貢獻。內(nèi)部信息安全管理體系審核總則行政中心負責建立并實施《內(nèi)部審核管理程序》，《內(nèi)部審核管理程序》應(yīng)包括策劃和實施審核以及報告結(jié)果和保持記錄的職責和要求。并按照策劃的時間間隔進行內(nèi)部審核，以確定其信息安全管理體系的控制目標、控制措施、過程和程序是否：a) 符合本標準的要求和相關(guān)法律法規(guī)的要求；b) 符合已識別的信息安全要求；c) 得到有效地實施和維護；d) 按預期執(zhí)行。內(nèi)審策劃，對審核方案進行策劃。應(yīng)編制內(nèi)審年度計劃，確定審核的準則、范圍、頻次和方法。，行政中心應(yīng)編制內(nèi)審計劃，確定審核的準則、范圍、日程和審核組。審核員的選擇和審核的實施應(yīng)確保審核過程的客觀性和公正性。審核員不應(yīng)審核自己的工作。內(nèi)審實施 應(yīng)按審核計劃的要求實施審核，包括：a）進行首次會議，明確審核的目的和范圍，采用的方法和程序；b）實施現(xiàn)場審核，檢查相關(guān)文件、記錄和憑證，與相關(guān)人員進行交流；c）進行對檢查內(nèi)容進行分析，召開內(nèi)審小組首次會議、末次會議，宣布審核意見和不符合報告；d）審核組長編制審核報告。 對審核中提出的不符合項報告，責任部門應(yīng)編制糾正措施，由行政中心組織對受審部門的糾正措施的實施情況進行跟蹤、驗證。 按照《記錄管理程序》的要求，保存審核記錄。 內(nèi)部審核報告，應(yīng)作為管理評審的輸入之一。 管理評審總則，以確保其持續(xù)的適宜性、充分性和有效性。，包括安全方針和安全目標。，記錄應(yīng)加以保持。評審輸入管理評審的輸入要包括以下信息：a) 信息安全管理體系審核和評審的結(jié)果；b) 相關(guān)方的反饋；c) 用于改進信息安全管理體系業(yè)績和有效性的技術(shù)、產(chǎn)品或程序；d) 預防和糾正措施的狀況；e) 以往風險評估沒有充分強調(diào)的脆弱性或威脅；f) 有效性測量的結(jié)果；g) 以往管理評審的跟蹤措施；h) 任何可能影響信息安全管理體系的變更；i) 改進的建議。評審輸出管理評審的輸出應(yīng)包括與下列內(nèi)容相關(guān)的任何決定和措施：a) 信息安全管理體系有效性的改進；b) 更新風險評估和風險處理計劃；c) 必要時，修訂影響信息安全的程序和控制措施，以反映可能影響信息安全管理體系的內(nèi)外事件，包括以下方面的變化：1) 業(yè)務(wù)要求；2) 安全要求；3) 影響現(xiàn)有業(yè)務(wù)要求的業(yè)務(wù)過程；4) 法律法規(guī)要求；5) 合同責任； 6) 風險等級和（或）風險接受準則。d) 資源需求；e) 改進測量控制措施有效性的方式。評審程序 行政中心根據(jù)信息安全管理體系運行情況和內(nèi)、外審的結(jié)果，針對評審輸入信息要求，制定《管理評審計劃》，送交總經(jīng)理批準后，通知相關(guān)職能部門準備及提供評審資料?！豆芾碓u審計劃》，準備相關(guān)的信息、資料，對信息安全管理體系文件的適宜性、充分性及有效性做出評價，提出改進措施。 最高管理者主持召開管理評審會議，并根據(jù)評審結(jié)果，做出管理評審結(jié)論性評價，對信息安全管理體系中存在主要問題確定糾正和預防措施責成有關(guān)部門落實整改。 管理評審應(yīng)形成《管理評審報告》，《管理評審報告》由管理者代表審核，最高管理者批準。 根據(jù)“管理評審報告”提出的要求，管理者代表組織各相關(guān)部門制定糾正、預防措施，并對實施情況進行協(xié)調(diào)、監(jiān)督、檢查。 信息安全管理體系改進持續(xù)改進本公司制定和實施《糾正措施管理程序》、《預防措施管理程序》《內(nèi)部審核管理程序》等文件，通過下列途徑持續(xù)改進信息安全管理體系的有效性：a) 通過信息安全管理體系方針的建立與實施，對持續(xù)改進做出正式的承諾；b) 通過建立信息安全管理體系目標明確改進的方向；c) 通過內(nèi)部審核不斷發(fā)現(xiàn)問題，尋找體系改進的機會并予實施，詳見《內(nèi)部審核管理程序》；d) 通過數(shù)據(jù)分析不斷尋求改進的機會，并做出適當?shù)母倪M活動安排，詳見《糾正措施管理程序》；e) 通過實施糾正和預防措施實現(xiàn)改進，詳見《糾正措施管理程序》和《預防措施管理程序》；f) 通過管理評審輸出的有關(guān)改進措施的實施實現(xiàn)改進，詳見本手冊第7章。糾正措施 行政中心負責建立并實施《糾正措施管理程序》，采取糾正措施，消除與信息安全管理體系要求不符合的原因，以防止再發(fā)生。 《糾正措施管理程序》應(yīng)規(guī)定以下方面的要求：a) 識別存在的不符合；b) 確定不符合的原因；c) 評價確保不符合不再發(fā)生的措施要求；d) 確定和實施所需的糾正措施；e) 記錄所采取措施的結(jié)果；f) 評審所采取的糾正措施。預防措施 行政中心建立并實施《預防措施管理程序》，規(guī)定采取以下措施，以消除潛在與信息安全管理體系要求不符合的原因，防止其發(fā)生。 所采取的預防措施應(yīng)與潛在問題的影響程度相適應(yīng)。 《預防措施管理程序》應(yīng)規(guī)定以下方面的要求：a) 識別潛在的不符合及其原因；b) 評價預防不符合發(fā)生的措施要求；c) 確定并實施所需的預防措施；d) 記錄所采取措施的結(jié)果；e) 評審所采取的預防措施。 公司風險評估小組應(yīng)定期進行風險評估，以識別變化的風險，并通過關(guān)注變化顯著的風險來識別預防措施要求。預防措施的優(yōu)先級應(yīng)基于風險評估結(jié)果來確定。
公司管理相關(guān)推薦
鄂ICP備17016276號-1