ISO27001信息安全管理评审整套记录汇编.docx
《ISO27001信息安全管理评审整套记录汇编.docx》由会员分享，可在线阅读，更多相关《ISO27001信息安全管理评审整套记录汇编.docx（11页珍藏版）》请在冰豆网上搜索。
ISO27001信息安全管理评审整套记录汇编
ISO27001信息安全管理体系
管理评审整套资料汇编
文件清单
1管理评审计划
2管理评审报告
3管理评审会议记录
4管理评审纠正预防措施计划表
5技术部管理评审材料
6销售部管理评审材料
7综合管理部管理评审材料
管理评审计划
ISMS-0107-JL01编号：
202103
为验证公司信息安全管理体系的适宜性、充分性和有效性，评价和寻求信息安全管理体系改进的机会和变更的需要（包括安全方针和安全目标），根据《信息安全管理手册》的要求，公司在2021年3月30日进行管理评审。
本次会议由总经理负责主持，管理者代表、公司各部门负责人参加。
本次管理评审的内容包括：
1.信息安全管理体系审核和评审的结果；
2.相关方的反馈；
3.用于改进信息安全管理体系业绩和有效性的技术、产品或程序；
4.预防和纠正措施的状况；
5.风险评估没有充分强调的脆弱性或威胁；
6.有效性测量的结果；
7.内审不符合项的跟踪验证；
8.任何可能影响信息安全管理体系的变更；
9.改进的建议；
参加管理评审的部门应该按照计划要求准备本部门在信息安全管理体系实施中有关材料，并在会议上汇报。
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
编制：
***审核：
***批准：
***
日期：
2021.03.25日期：
2021.03.25日期：
2021.03.25
深圳市****科技有限公司
管理评审报告
ISMS-0107-JL04
编制：
审核：
批准：
2021年03月30日
为验证公司信息安全管理体系的适宜性、充分性和有效性，评价和寻求信息安全管理体系改进的机会和变更的需要（包括安全方针和安全目标），根据《信息安全管理手册》和2021年度管理评审计划的要求，于2021年03月30日在公司召开了2021年度管理评审会议。
本次会议由总经理负责主持，公司各部门负责人均参加。
本次管理评审的内容包括：
1.信息安全管理体系审核和评审的结果；
2.相关方的反馈；
3.用于改进信息安全管理体系业绩和有效性的技术、产品或程序；
4.预防和纠正措施的状况；
5.风险评估没有充果；分强调的脆弱性或威胁；
6.有效性测量的结
7.内审不符合项的跟踪验证；
8.任何可能影响信息安全管理体系的变更；
9．对策略集适宜性、充分性和有效性进行评审。
10.改进的建议。
管理评审会议上，管理者代表以及各部门负责人将信息安全管理体系的建立以及实施情况进行总结，并对下阶段工作提出要求。
管理评审内容具体如下：
一、信息安全管理体系审核和评审的结果
管理者代表曹飞澎在会上对管理体系的建立和运行情况进行了分析汇报，体系建设和运行情况如下：
1．我公司成立信息安全管理小组，落实了人员组成和职责。
2．体系实施前期，信息安全管理委员会对我公司各部门进行调查，现场了解现有关信息资产状况及风险管理要求，现有的信息安全管理文件及执行情况，收集相关的安全信息，明确信息安全管理体系目前存在的问题和需要改进的方向。
3．参加内部审核员培训，培训多名信息安全内部审核员，组成本公司信息安全管理体系的内部审核员队伍。
4．制订了信息安全管理体系风险评估工作计划，组建了风险评估小组，对公司现行的业务进行系统分析，完成信息安全风险评估报告。
5．对存在的风险制订风险处置计划，落实责任人员和完成时间，对风险处理计划的执行情况进行监督检查。
6．完成体系文件的编写、审核和发布，形成完善的信息安全管理文件体系。
7．开展了内审工作，验证体系执行的符合性，并对文件的有效性进行验证。
在内审后又一次对信息安全管理体系文件进行修改和完善。
8．完成残余风险的分析，并由总经理批准接受。
其他风险通过有效控制，达到可接受的风险等级。
9．完成策略集适宜性、充分性和有效性评审，确认策略集是适宜的、充分的和有效的。
二、相关方的反馈
我公司信息系统属内部网络，体系实施以来信息安全管理状况不断完善，未收到内部的有关投诉和上级批评。
三、用于改进信息安全管理体系业绩和有效性的技术、产品或程序
通过对管理层、业务部、综合部、软件部的资产识别，并对识别的信息资产进行评价。
通过本次风险评估，本公司的主要信息资产为信息系统数据、涉密文档资料，主要风险为三级风险，涉及信息系统安全管理方面、涉密文档管理方面。
但对于即时通讯软件和人员的流员可能性的风险，根据公司目前的规模和状况，识别成高风险，并申请了残余风险，这些风险会随着公司规模的扩大和管理的提升相应减小。
对识别的风险通过制订文件、有效设定账号口令、加强培训和管理等控制方法进行有效控制。
四、预防和纠正措施的状况
公司通过各种手段对存在的问题进行改正。
体系运行中，公司通过内部审核发现存在问题，并对存在问题的原因进行分析，制订相应的纠正措施，各部门进行有效控制。
通过实施验证，发现纠正措施实施有效，对防止问题的再次发生，起到有效预防作用。
五、风险评估没有充分强调的脆弱性或威胁
随着新的应用系统的不断投入使用，信息化程度越来越高，以及员工信息安全意识的提高，可能会对风险有新的认识或产生新的风险，因此应按规定周期连续进行风险评估。
六、有效性测量的结果
为完成公司的信息安全目标，公司通过多种渠道进行检测和分析，如制订文件，明确达成目标中所遇到的风险的监控，包括对风险处置计划执行的监测，风险等级的分析检测，网络访问的检查，技术符合性的监测、安全日志审核以及安全事件的监督，对体系运行的管理评审测量表和检查表等。
通过各种手段的监测，我公司信息安全达到预定的目标，目前没有发生重大信息安全事件。
七、内审不符合项的跟踪验证
为验证公司信息安全活动符合性和有效性，组织了信息安全管理体系的内审。
内审中共发现信息安全管理体系存在2个不符合项，完成了不符合项的整改，纠正措施有效，没有发现严重不符合项存在。
通过内审，对标准以及体系文件进行了再学习，员工对信息安全有了更进一步的理解，执行起来也更为顺畅。
通过整改，消除了日常工作中的一些信息安全隐患，规范了我公司的信息安全管理工作。
。
本次内部审核，我们认为公司的信息安全管理体系已经建立并实施，体系运行正常有效。
八、任何可能影响信息安全管理体系的变更
目前公司的体系运行正常，不存在影响信息安全管理体系的变更。
九、改进的建议
虽然公司建立了系统化的信息安全管理控制体系，大大提高了信息安全风险的掌控能力。
但以下方面我们仍需提高：
序号
改进内容
改进方案
负责人
完成日期
验证人
实施情况
1
继续加强风险评估工作，包括供应商风险（关键备货）、通信安全、设备运营管控等风险评估，强化评估体系建设。
公司管理者代表结合实际工作，梳理信息安全风险关键点，组织销售部、技术部、综合管理部的员工，开展风险评估体系化工作。
2021年4月30
2
遵守甲方制度要求，总经理负责检查和巡检项目经理制度落实情况。
包括计算机屏保设置、手机放入手机柜、不先带入移动存储设备等。
按照项目进行巡检。
总经理带部门经理执行。
2021年4月30
3
围绕数字化管理的相关法律法规，结合信息技术和安全技术的相关管理规范，开展数字化的质量控制、挂接质量等信息系统相关的深入培训。
综合管理部组织员工开展学习，组织培训，加强员工信息安全意识；提高设备的信息服务水平；强化设备的信息安全登记、监督、管控水平。
2021年4月30
4
基于V1.0版本，实施管理体系，公司形成持续改进机制。
努力实现信息技术相关的管理体系间（27001）融合。
在管理者代表的组织下，推进管理体系持续改进，努力结合公司实际运行管理情况，实现体系间融合，或版本升级。
2021年4月30
报告人/日期：
***2021-03-30
总经理批准/日期：
***2021-03-30
管理评审会议记录
时间：
2021.03.30
地点：
公司
参加者：
各部门人员及管理层
记录者：
一、评审输入
1）ISMS审核和评审结果。
2）相关方反馈。
3）可以用于组织改进其ISMS业绩和有效性的技术、产品或程序。
4）预防和纠正措施的实施情况。
5）风险评估中未充分强调的脆弱性和威胁。
6）有效的测量结果。
7）内审不符合项的跟踪验证。
8）任何可能影响ISMS的变更。
9）信息系统审计的内容。
10）改进建议
二、各部门工作汇报以及测量表的评审
三、结论
肯定公司ISMS管理体系实施的有效性。
对于前次风险评估的过程认定为有效，特别是对两项残余风险的判定。
公司目前没有任何大的变更会影响到信息安全管理方针、目标、策略集的修改。
通过对ISMS管理体系实施情况的测量，建议在以下方面的实施上，有所改进。
1）加大IT安全方面的投入力度，如可控制即时通讯软件的网管软件等。
2）加强公司员工信息安全的培训，注意培训的效果。
3）加强笔记本电脑的使用管理。
4）目前虽然没有发生任何安全事故，但是需要加强预防措施。
四、相关材料
《管理评审测量表》
《纠正和预防措施通知单》
《信息安全风险评估报告》
《内部审核报告》
《业务持续性及影响分析报告》
附录：
会议签到表
序号
姓名
部门
序号
姓名
部门
1
管理层
2
综合管理部
3
技术部
4
销售部
5
6
2021年管理评审
纠正/预防措施计划表
日期
2021-03-30
提出部门
技术部
存
在
问
题
1.加大公司IT方面的投入，如增加硬件防火墙、网管软件等，有效控制USB、即时通讯软件所带来的风险，加强笔记本的使用管理。
2.定期举办针对信息安全的培训，让员工对各程序的理解加深并在实际工作中尽量避免出现违规情况。
3.根据业务和信息化发展及时更新相关程序的要求，使体系不断改进，持续有效。
纠
正
预
防
措
施
1.配置专门的网络管理员对公司的网络安全进行统一管理，定期维
护，定期检查。
并且建立《信息设备设施一览表》对公司的信息设
备进行管控，如借用需填写《信息处理设施移交记录》
2.立即制定ISO/IEC27000标准培训及企业如何进行信息安全管理。
对纠正预防措施的验证情况
经验证，相关文件已建立；
培训已实施且效果良好，措施有效。
管理者代表：
2021/03/30
培训及效果确认记录
培训日期
2021/03/28
培训地点
会议室
培训内容
标准/手册学习
培训方式
讲课
主讲人
主持人
拟参加人员
全体人员
主要内容记录：
介绍ISO/IEC27000标准及基本的术语和定义，讲解标准条款的理解和应用，管理体系的策划和文件的编制。
考核方式：
提问
培训效果评价：
■有效□一般，部分人员需继续加强□差：
需重新组织
其他说明：
评价人员：
2021年技术部信息安全体系管理评审材料
自贯标以来，技术部按照公司信息安全体系的要求以及所承担的责任，严格认真地执行体系所赋予的责任，做了大量的工作，取得了一定的成效，下面就贯标以来实施部、运维部的工作做一总结：
一、信息安全体系实施情况
1、认真学习信息安全基本知识和ISO27001：
2013信息安全体系标准，以及信息安全体系文件，加深我们的信息安全意识。
按照公司下达的目标，并在工作中自觉加以贯彻执行。
2加强测试人员培训，需求管理，达到公司的信息安全目标，
二、部门分解目标的完成情况
目标
为了保证公司信息安全方针、目标的实现，完成本部门的分解目标，使公司的产品信息安全有可靠的人力资源作保证，公司的信誉和服务信息安全有可靠的保证，公司最近也未能收到客户的投诉经过反馈，公司产品客户都反应不错。
技术部***
2021年3月30日
2021年业务部信息安全体系管理评审材料
自贯标以来，销售部按照公司信息安全体系的要求以及所承担的责任，严格认真地执行体系所赋予的责任，做了大量的工作，取得了一定的成效，下面就贯标以来业务部的工作做一总结：
一、信息安全体系实施情况
1、认真学习信息安全基本知识和ISO27001：
2013信息安全体系标准，以及信息安全体系文件，加深我们的信息安全意识。
按照公司下达的目标，并在工作中自觉加以贯彻执行。
2销售人员按标准要求进行合同评审，并进行顾客满意度定期回访。
都比较满意，达到公司的信息安全目标，
二、部门分解目标的完成情况
目标
为了保证公司信息安全方针、目标的实现，完成本部门的分解目标，使公司的产品信息安全有可靠的人力资源作保证，公司的信誉和服务信息安全有可靠的保证，公司最近也未能收到客户的投诉经过反馈，公司产品客户都反应不错。
销售部***
2021年3月30日
2021年综合部信息安全体系管理评审材料
自贯标以来，综合管理部按照公司信息安全体系的要求以及所承担的责任，严格认真地执行体系所赋予的质量责任，做了大量的工作，取得了一定的成效，下面就贯标以来研发部的工作做一总结：
一、ISO27001：
2013体系实施情况
1、认真学习信息安全基本知识和ISO27001：
2013信息安全体系标准、信息安全体系文件、公司方针、目标，加深我们的质量意识。
按照公司下达的研发部质量目标，在工作中自觉加以认真贯彻执行。
认真学习《文件控制程序》、《记录控制程序》、《管理评审控制程序》、《内部审核控制程序》、及部门岗位职责及相关的管理制度，使研发部管理走上了规范化管理的轨道。
通过信息安全体系的建立、实施运行和持续改进，使管理工作迈上了新台阶，确实对我们的管理工作有很大的指导促进作用。
今后，还要继续学习，认真实施信息安全体系对研发部的要求，不断改进本部门的工作，严格对体系、过程和产品质量进行监督控制，为公司的产品质量的提高奠定坚实的基础，为提高公司的信息安全水平、为公司的发展壮大而努力！
综合管理部****
2021年3月30日
升级会员 