某計算機網(wǎng)絡(luò)有限公司信息安全管理手冊-文庫吧資料
2025-04-25 04:04本頁面
【正文】 維項目實施能力已通過ISO9001認證。 附錄1組織概況佛山市三維計算機網(wǎng)絡(luò)有限公司，為四川依米康環(huán)境科技股份有限公司（股票代碼：300249）控股的企業(yè)，是一家集動力環(huán)境監(jiān)控、數(shù)據(jù)部基礎(chǔ)設(shè)施管理、物流監(jiān)控、醫(yī)療自動化等信息系統(tǒng)的研究、咨詢、設(shè)計、開發(fā)、應(yīng)用、服務(wù)為一體的國家高新技術(shù)企業(yè)，在機房監(jiān)控、數(shù)據(jù)部智能化管理、物流監(jiān)管信息平臺、智能化卡口監(jiān)控、智能化手術(shù)室、節(jié)能等領(lǐng)域擁有多項軟硬件創(chuàng)新技術(shù)和系列自主知識產(chǎn)權(quán)產(chǎn)品。我公司信息安全管理小組定期組織進行風(fēng)險評估，以識別變化的風(fēng)險，并通過關(guān)注變化顯著的風(fēng)險來識別預(yù)防措施要求。預(yù)防措施的實施按《預(yù)防措施控制程序》進行。 預(yù)防措施本公司信息安全管理小組處理預(yù)防措施，潛在不符合事項的相關(guān)部門采取預(yù)防措施，以消除潛在與信息安全管理體系要求不符合或不期望事項發(fā)生的原因，防止其發(fā)生。糾正措施的實施按《糾正措施控制程序》進行。8 信息安全管理體系改進 持續(xù)改進本公司依據(jù)《糾正措施控制程序》和《預(yù)防措施控制程序》的要求,通過使用信息安全方針、信息安全目標、審核結(jié)果、監(jiān)控事件的分析、糾正和預(yù)防措施以及管理評審（見本手冊第7章），持續(xù)改進信息安全管理體系的有效性。 評審輸出管理評審的輸出應(yīng)包括與下列內(nèi)容相關(guān)的任何決定和措施：a) 信息安全管理體系有效性的改進；b) 更新風(fēng)險評估和風(fēng)險處理計劃；c) 必要時，修訂影響信息安全的程序和控制措施，以反映可能影響信息安全管理體系的內(nèi)外事件，包括以下方面的變化：1) 業(yè)務(wù)要求；2) 安全要求；3) 影響現(xiàn)有業(yè)務(wù)要求的業(yè)務(wù)過程；4) 法律法規(guī)要求；5) 合同責(zé)任；6) 風(fēng)險等級和（或）風(fēng)險接受準則。管理評審的結(jié)果應(yīng)清晰地形成文件，記錄應(yīng)加以保持。7 管理評審 總則總經(jīng)理應(yīng)每年進行一次管理評審，以確保信息安全管理體系持續(xù)的適宜性、充分性和有效性，管理評審按《管理評審程序》進行。 不符合處理對審核中提出的不符合項，責(zé)任部門應(yīng)制定糾正措施，由信息安全管理小組對糾正措施的實施情況進行跟蹤、驗證，將結(jié)果記入《不符合項報告及糾正報告單》。各部門選擇符合內(nèi)部審核員條件的候選人，參加內(nèi)部審核員培訓(xùn)并考試合格，填寫《內(nèi)部審核員評定表》，經(jīng)信息安全管理者代表批準，方取得內(nèi)部審核員資格。 內(nèi)審員內(nèi)部審核員必須是熟悉本公司信息安全管理情況，參加內(nèi)部審核員培訓(xùn)并考核合格的人員。審核員不應(yīng)審核自己的工作。每次審核前，信息安全管理小組應(yīng)編制《內(nèi)部審核計劃》，確定審核的準則、范圍、日程和審核組。 內(nèi)審策劃信息安全管理小組策劃審核的過程、區(qū)域的狀況、重要性以及以往審核的結(jié)果，對審核工作進行策劃。6 內(nèi)部信息安全管理體系審核 總則 要求本公司信息安全管理小組按《內(nèi)部審核管理程序》的要求策劃和實施信息安全管理體系內(nèi)部審核以及報告結(jié)果和保持記錄?？梢酝ㄟ^：a) 確定承擔(dān)信息安全管理體系各工作崗位的職工所必要的能力；b) 提供職業(yè)技術(shù)教育和技能培訓(xùn)或采取其他的措施來滿足這些需求；c) 評價所采取措施的有效性；d) 保留教育、培訓(xùn)、技能、經(jīng)驗和資格的記錄。 資源管理 資源的提供本公司確定并提供實施、保持信息安全管理體系所需資源；采取適當(dāng)措施，使影響信息安全管理體系工作的員工是有能力勝任的，以保證：a) 建立、實施、運作、監(jiān)視、評審、保持和改進信息安全管理體系；b) 確保信息安全程序支持業(yè)務(wù)要求；c) 識別并指出法律法規(guī)要求和合同安全責(zé)任；d) 通過正確應(yīng)用所實施的所有控制來保持充分的安全；e) 必要時，進行評審，并對評審的結(jié)果采取適當(dāng)措施；f) 需要時，改進信息安全管理體系的有效性。 歸檔需要歸檔的記錄，按《記錄控制程序》執(zhí)行，屬于電子數(shù)據(jù)的記錄，按《重要信息備份管理程序》執(zhí)行。 分類信息安全管理體系的記錄按出處可分為以下四類：a) 程序文件所要求的記錄；b) 工作標準和作業(yè)文件所要求的記錄；c) 規(guī)章制度、規(guī)定所要求的記錄；d) 其他證實信息安全管理體系符合標準要求和有效運行的記錄。 職責(zé)信息安全管理小組按《記錄控制程序》的要求，對記錄的標識、儲存、保護、檢索、保管、廢棄等進行管理。 外來文件管理外來文件包括信息安全法律、行政法規(guī)、部門規(guī)章、地方法規(guī)，按以下規(guī)定執(zhí)行：a) 信息安全適用的法律法規(guī)按照《信息安全法律法規(guī)管理程序》規(guī)定執(zhí)行；b) 外來的文件按照《文件控制程序》和其他相關(guān)規(guī)定執(zhí)行；c) 外來標準按本公司標準化管理的相關(guān)規(guī)定進行。對《信息安全管理手冊》、程序文件、管理規(guī)定、作業(yè)指導(dǎo)書和為保證信息安全管理體系有效策劃、運行和控制所需的受控文件的編制、評審、批準、標識、發(fā)放、使用、修訂、作廢、回收等管理工作做出規(guī)定，以確保在使用場所能夠及時獲得適用文件的有效版本。對《信息安全管理體系手冊》、程序文件、管理規(guī)定、作業(yè)指導(dǎo)書和為保證信息安全管理體系有效策劃、運行和控制所需的受控文件的編制、評審、批準、標識、發(fā)放、使用、修訂、作廢、回收等工作實施控制，以確保在使用場所能夠及時獲得適用文件的有效版本。 文件要求 總則本公司信息安全管理體系文件包括：a) 文件化的信息安全方針，在《信息安全管理體系手冊》中描述,選擇的控制目標在《信息安全適用性聲明SoA》中描述；b) 《信息安全管理體系手冊》（本手冊，包括信息安全適用范圍及引用的標準）；c) ISO/IEC 27001:2005標準中規(guī)定需文件化的程序；d) 本手冊涉及的相關(guān)支持性程序性文件，例如《信息安全風(fēng)險管理程序》；e) 為確保有效策劃、運作和控制信息安全過程所制定的文件化操作程序；f) 《風(fēng)險處理計劃》以及信息安全管理體系要求的記錄類；g) 相關(guān)的法律、法規(guī)和信息安全標準；h) 《信息安全適用性聲明SoA》。 保持與持續(xù)改進信息安全管理體系我公司開展以下活動，以確保信息安全管理體系的持續(xù)改進：a) 實施每年管理評審、內(nèi)部審核、安全檢查等活動以確定需改進的項目；b) 按照本手冊第6章和第8章的要求采取適當(dāng)?shù)募m正和預(yù)防措施；吸取其他組織及本公司安全事故的經(jīng)驗教訓(xùn)，不斷改進安全措施的有效性；c) 通過適當(dāng)?shù)氖侄伪３衷趦?nèi)部對信息安全措施的執(zhí)行情況與結(jié)果進行有效的溝通。 更新計劃考慮監(jiān)視和評審活動的發(fā)現(xiàn)，更新信息安全計劃。 風(fēng)險再評估信息安全管理小組組織有關(guān)部門按照《信息安全風(fēng)險管理程序》的要求，對風(fēng)險處理后的殘余風(fēng)險進行定期評審，以驗證殘余風(fēng)險是否達到可接受的水平，對以下方面變更情況應(yīng)及時進行風(fēng)險評估：a) 組織；b) 技術(shù)；c) 業(yè)務(wù)目標和過程；d) 已識別的威脅；e) 實施控制的有效性；f) 外部事件，例如法律或規(guī)章環(huán)境的變化、合同責(zé)任的變化以及社會環(huán)境的變化。 檢查和測量在管理標準中，對安全措施的實施規(guī)定了檢查和測量的要求。 管理評審根據(jù)以上活動的結(jié)果以及來自相關(guān)方的建議和反饋，由總經(jīng)理主持，每年至少一次對信息安全管理體系的有效性進行評審，其中包括信息安全管理體系的范圍、方針、目標的符合性及控制措施有效性的評審，考慮信息安全審核、事件、有效性測量的結(jié)果，以及所有相關(guān)方的建議和反饋。 控制措施各部門應(yīng)按照《信息安全適用性聲明》中規(guī)定的安全目標、控制措施（包括信息安全運行的各種管理標準、規(guī)章制度）的要求實施信息安全控制措施。各部門負責(zé)人為本部門信息安全管理責(zé)任者，全體員工都應(yīng)按保密承諾的要求自覺履行信息安全保密義務(wù)。 信息安全職責(zé)和權(quán)限本公司總經(jīng)理為信息安全最高責(zé)任者。本公司的信息安全職能由信息安全管理小組承擔(dān)，其主要職責(zé)是：負責(zé)制訂、落實信息安全工作計劃，對單位、部門信息安全工作進行檢查、指導(dǎo)和協(xié)調(diào)，建立健全企業(yè)的信息安全管理體系，保持其有效、持續(xù)運行。 信息安全組織機構(gòu)本公司成立信息安全領(lǐng)導(dǎo)機構(gòu)——信息安全管理小組，其職責(zé)是實現(xiàn)信息安全管理體系方針和本公司承諾。該聲明包括以下方面的內(nèi)容：a) 所選擇控制目標與控
公司管理相關(guān)推薦
鄂ICP備17016276號-1