信息安全适用性声明修改版.docx

信息安全适用性声明修改版.docx

《信息安全适用性声明修改版.docx》由会员分享，可在线阅读，更多相关《信息安全适用性声明修改版.docx（33页珍藏版）》请在冰豆网上搜索。

ISMS-2001

适用性声明

编号：

ISMS-P-2001

状态：

受控

编写：

200X年XX月XX日

审核：

200X年XX月XX日

批准：

200X年XX月XX日

发布版次：

第A/0版

200X年XX月XX日

生效日期

200X年XX月XX日

分发：

各部门（或XXX）

接受部门：

变更记录

变更日期

版本

变更说明

编写

审核

批准

2009-XX-XX

A/0

初始版本

XXX

XXX

XXX

目录

1目的与范围 4

2相关文件 4

3职责 4

4声明 4

A.5安全方针 5

A.6安全组织 5

A.7资产管理 7

A.8人力资源安全 7

A.9实物与环境安全 7

A.10通信和操作管理 7

A.11访问控制 7

A.12信息系统获取、开发和维护 7

A.13信息安全事件管理 7

A.14业务持续性管理 7

A.15符合性 7

信息安全适用性声明

1目的与范围

本声明描述了在ISO27001:

2005附录A中，适用于本公司信息安全管理体系的目标/控制、是否选择这些目标/控制的理由、公司现行的控制方式、以及实施这些控制所涉及的相关文件。

2相关文件

ISMS-1001《信息安全管理手册》

3职责

《信息安全适用性声明》由XXX编制、修订，由管理者代表批准。

4声明

本公司按GB/T22080-2008idtISO/IEC27001:

2005建立信息安全管理体系。

根据公司风险评估的结果和风险可接受水平，GB/T22080-2008idtISO/IEC27001:

2005附录A的下列条款被选择（或不选择）用于本公司信息安全管理体系，共删除X条控制措施。

XXXXXX有限公司 第33页共33页

A.5安全方针

标准

条款号

标题

目标/

控制

是否

选择

选择理由

控制描述

相关文件

A.5.1

信息安全方针

目标

YES

依据业务要求和相关法律法规为信息安全提供管理方向和支持，并表明管理层对信息安全的承诺。

A.5.1.1

信息安全方针文件

控制

YES

信息安全管理实施的需要。

信息安全方针文件应由管理阶层核准，并通过培训、张贴布告于宣传栏、网站等形式公布与传达给所有聘雇人员与相关外部团体。

A.5.1.2

信息安全方针的评审与评价

控制

YES

确保方针持续的适宜性。

按照计划的时间间隔（如每年）或当重大变化发生时利用管理评审对方针的进行评审以确保它持续的适宜性、充分性和有效性，必要时对方针进行修订。

A.6安全组织

标准

条款号

标题

目标/

控制

是否

选择

选择理由

控制描述

相关文件

A.6.1

内部组织

目标

YES

建立一个有效的信息安全管理组织机构。

A.6.1.1

信息安全管理承诺

控制

YES

确定评审安全承诺及处理重大安全事故，确定与安全有关重大事项所必须的职责分配及确认、沟通机制。

管理者应通过清晰的说明、可证实的承诺、明确的信息安全职责分配来积极支持组织内的安全。

公司成立信息安全管理委员会，由公司领导、信息安全管理者代表、各主要部门负责人组成。

信息安全管理委员会至少每半年召开一次，或者当信息安全管理体系发生重大变化或当管理者代表认为有必要时召开。

信息安全管理者代表负责决定召开会议的时机及会议议题，行政部负责准备会议日程的安排。

会议主要议题包括：

a）评审信息安全承诺；

b）确认风险评估的结果；

c）对与信息安全管理有关的重大更改事项，如组织机构调整、关键人事变动、信息系统更改等，进行决策；

e）评审与处理重大信息安全事故；

f）审批与信息安全管理有关的其他重要事项。

A.6.1.2

信息安全的协调

控制

YES

公司涉及信息安全部门众多，组织机构复杂，需要一个有效沟通与协调机制。

公司成立信息安全管理协调小组，由信息安全管理者代表、保密办以及信息安全体系内审员组成。

协调小组每季度召开一次协调会议（特殊情况随时召开会议），对上一季度的信息安全管理工作进行总结，解决体系运行中存在的问题，并布置下一季度的信息安全工作。

由保密办负责组织安排并做好会议记录。

A.6.1.3

信息安全职责的分配

控制

YES

保持特定资产和完成特定安全过程的职责需确定。

公司设立信息安全管理者代表，全面负责公司ISMS的建立、实施与保持工作。

对每一项重要信息资产指定信息安全责任人。

与ISMS有关各部门的信息安全职责应予以描述，关于具体的信息安全活动的职责在程序及作业文件中予以明确。

在哪个文件里描述职责，《信息安全组织》么？

A.6.1.4

信息处理设施的授权程序

为什么在这个域中？

控制

YES

本公司有新信息处理设备（设施）使用时，实施使用授权程序。

对各自负责管理的信息系统，根据使用者需求提出新设施（包括软件）的采购技术规格，由XXX部进行技术选型，并组织验收，确保与原系统的兼容。

明确信息处理设施的使用部门接受新设施的信息安全负责人为XXX部，XXX部人员需要讲解新设施的正确使用方法。

A.6.1.5

信息安全保密性协议

控制

YES

为更好掌握信息安全的技术及听取安全方面的有益建议，需与内外部经常访问我公司信息处理设施的人员订立保密性协议。

本公司的正式员工和借用员工聘用、任职期间及离职的安全考察与保密控制以及其他相关人员（合同方、临时员工）的安全考察与控制。

a）保密信息的形式：

标明“秘密”、“受控”字样的资料，以及相关的文件、数据、分析报告、算法、样品、实物、规格说明软盘等，未标明“秘密”、“受控”字样的即为公开文件；

b）乙方仅能够在甲方规定的范围内使用保密信息、或者向甲方书面认可的第三方披露甲方认可可披露范围内的保密信息；

c）乙方不得向其他任何第三方披露任何从甲方处收到或合法获知的保密信息。

A.6.1.6

与政府部门的联系

控制

YES

与法律实施部门、标准机构等组织保持适当的联系是必须的，以获得必要的安全管理、标准、法律法规方面的信息。

信息部就电话/网络通讯系统的安全问题与市信息主管部门及标准制定部门保持联系，其他部门与相应的政府职能部门及社会服务机构保持联系，以便及时掌握信息安全的法律法规，及时获得安全事故的预防和纠正信息，并得到相应的支持。

信息安全交流时，确保本公司的敏感信息不传给未经授权的人。

A.6.1.7

与特定利益团体的联系

控制

YES

为更好掌握信息安全的新技术及安全方面的有益建议，需获得内外部信息安全专家的建议。

本公司设内部信息安全顾问，必要时聘请外部专家，与特定利益群体保持沟通，解答有关信息安全的问题。

顾问与专家名单由本公司信息安全委员会提出，管理者代表批准。

内部信息安全顾问负责：

a）按照专业分工负责解答公司有关信息安全的问题并提供信息安全的建议；

b）收集与本公司信息安全有关的信息、新技术变化，经本部门负责人审核同意，利用本公司电子邮件系统或采用其它方式传递到相关部门和人员；

c）必要时，参与信息安全事故的调查工作。

A.6.1.8

信息安全的独立评审

控制

YES

为验证信息安全管理体系实施的有效性及符合性，公司定期进行内部审核，审核需要客观公正性。

信息安全管理体系的内部审核员由有审核能力和经验的人员组成（包括IT方面的专家），并接受ISMS内部审核员培训且考评合格。

内部审核员在现场审核时保持审核的独立性，并不审核自己的工作。

内审员获得授权，在审核期间不受行政的领导的限制，直接对审核组长负责。

A.6.2

外部各方

目标

YES

识别外部各方访问、处理、管理、通信的风险，明确对外部各方访问控制的要求，并控制外部各方带来的风险。

A.6.2.1

与外部各方相关风险的识别

控制

YES

本公司存在诸如设备供应商来公司维修设备、顾客访问公司信息网络系统等第三方访问的情况，应采取必要的安全措施进行控制。

第三方物理访问须经公司被访问部门的授权，进入工作区应进行登记。

公司与长期访问的第三方签订保密协议。

访问特别安全区域时由专人陪同，第三方逻辑访问（如信息系统、数据库）应按照访问控制要求进行控制。

A.6.2.2

处理与顾客有关的安全问题

控制

YES

在正式的合同中规定必要的安全要求是必须的。

应在允许顾客访问组织的信息或资产前强调所有的安全要求。

公司与长期访问的顾客签订保密协议，明确规定信息安全要求，顾客方访问同样适用物理、逻辑访问控制措施。

A.6.2.3

处理第三方协议中的安全问题

控制

YES

与本公司存在相关服务主要有XXXXXX、XXX。

公司外包责任部门识别外包活动的风险，明确外包活动的信息安全要求，凡涉及存取、处理、通讯或管理组织的信息或信息处理设施，或在信息处理设施上附加产品或服务者，应在外包合同中明确规定信息安全要求。

A.7资产管理

标准

条款号

标题

目标/

控制

是否

选择

选择理由

控制描述

相关文件

A.7.1

资产责任

目标

YES

对本公司重要信息资产（包括顾客要求保密的数据、软件及产品）进行有效保护。

A.7.1.1

资产清单

控制

YES

公司需建立重要资产清单并实施保护。

保密办组织各部门按业务流程识别所有信息资产，根据重要信息资产判断准则确定公司的重要信息资产，形成重要信息资产清单，并明确资产负责人。

A.7.1.2

资产负责人

控制

YES

需要对重要信息处理设施有及重要信息指定责任人。

所有与信息及信息处理设施有关的资产应由组织指定相应的部门或人员负责。

如本公司保密办可以组织相关部门指定资产负责人。

A.7.1.3

资产的可接受使用

控制

YES

识别与信息系统或服务相关的资产的合理使用规则，并将其文件化，予以实施。

制定相应的业务系统应用管理制度，重要设备有使用说明书，规定了资产的合理使用规则。

使用或访问组织资产的员工、合作方以及第三方用户应该了解与信息处理设施和资源相关的信息和资产方面的限制。

并对信息资源的使用，以及发生在其责任下的使用负责。

A.7.2

信息分类

目标

YES

本公司根据信息的敏感性对信息进行分类，明确保护要求、优先权和等级，以明确对信息资产采取适当的保护。

A.7.2.1

分类指南

控制

YES

本公司的信息安全涉及信息的敏感性，适当的分类控制是必要的。

本公司的信息密级划分为三级（公开、受控、机密）或四级（公开、内部、机密、极其机密）。

不同密级事项的界定，由涉及秘密事项产生部门按照相应的原则进行分类。

A.7.2.2

信息的标识和处理

控制

YES

按分类方案进行标注并规定信息处理的安全的要求。