第1 页共3 页
信息安全管理手册iso27001 信息安全管理手册V1.0 版本号：
信息安全管理手册iso27001 录目 1 ................................................................ 颁布令 01 2 ...................................................... 管理者代表授权书 02 3 ............................................................. 企业概况 03 3 .................................................. 信息安全管理方针目标 04 6 ............................................................ 手册的管理05 7 ......................................................... 信息安全管理手册7 (1) 范围 7 ............................................................. 1.1 总则7 ............................................................. 1.2 应用8 (2) 规范性引用文件 8 ........................................................... 3 术语和定义.8 ........................................................... 3.1 本公司 8 ......................................................... 3.2 信息系统 8 ....................................................... 3.3 计算机病毒 8 ..................................................... 信息安全事件3.4 8 ........................................................... 相关方3.5 9 . ..................................................... 4 信息安全管理体系9 ............................................................. 4.1 概述9 ....................................... 4.2 建立和管理信息安全管理体系 15 ........................................................ 4.3 文件要求18 ............................................................ 管理职
相关方需求和期望控制程序 （ISO9001：2015） 1. 目的 为满足ISO 9001：2015标准的要求，正确理解、协调和持续满足相关方的需求和期望，以实现预期的结果。 2. 范围 适用于公司对组织相关方包括：顾客、供方、员工和股东及政府监管部门和其它民间组织等的需求和期望的识别、理解、分析、评价和协调、控制管理。 3. 职责 总经理办公司为本程序的归口管理部门。负责相关方需求和期望控制程序文件的修编管理和组织实施。 人力行政部负责公司员工和股东及政府监管部门和其它民间组织等的需求和期望的监测、分析、评价和协调、控制。 营销部负责产品和服务的用户和顾客的需求和期望的监测、分析、评价和协调、控制。 采购部负责外部供方需求和期望的监测、分析、评价和协调、控制。技术质量部负责用户和顾客、政策法规和政府监管部门、其它民间组织的需求和期望的评价和协调、控制。
生产部负责用户和顾客、政策法规和政府监管部门、周边居民和其它民间组织的需求和期望的评价和协调、控制。 4. 工作要求 工作程序 人力行政部编制提交“相关方需求和期望分析、评价和控制、管理计划”，经管理者代表审核，总经理批准后组织实施。 相关部门按要求收集相关信息和数据，进行相应的需求和期望分析、评价，提交评价结果和协调控制措施。 人力行政部组织相关方需求和期望分析、评价会议，总经理、管理者代表和相关部门主管参加审议。 人力行政部根据会议审议结果，汇总编制相关方需求和期望满足情况分析评价报告，制定协调、控制管理措施。报经总经理签批后实施。相关方需求和期望分析、评价时机选择 a.通常在质量管理体系策划和管理评审认为必要时进行； b.在组织宗旨、战略、内外部环境、组织及其背景、相关方的需求和期望发生重大改变时进行。 评价人员 参与相关方需求和期望分析、评价、控制管理的人员应为相关方需求和期望评价管理知识培训合格的部门主管。
目录 前言 (3 0 引言 (4 0.1 总则 (4 0.2 与其他管理系统标准的兼容性 (4 1. 范围 (5 2 规范性引用文件 (5 3 术语和定义 (5 4 组织景况 (5 4.1 了解组织及其景况 (5 4.2 了解相关利益方的需求和期望 (5 4.3 确立信息安全管理体系的范围 (6 4.4 信息安全管理体系 (6 5 领导 (6 5.1 领导和承诺 (6 5.2 方针 (6 5.3 组织的角色,职责和权限 (7 6. 计划 (7 6.1 应对风险和机遇的行为 (7
6.2 信息安全目标及达成目标的计划 (9 7 支持 (9 7.1 资源 (9 7.2 权限 (9 7.3 意识 (10 7.4 沟通 (10 7.5 记录信息 (10 8 操作 (11 8.1 操作的计划和控制措施 (11 8.2 信息安全风险评估 (11 8.3 信息安全风险处置 (11 9 性能评价 (12 9.1监测、测量、分析和评价 (12 9.2 内部审核 (12 9.3 管理评审 (12 10 改进 (13 10.1 不符合和纠正措施 (13 10.2 持续改进 (14 附录A(规范参考控制目标和控制措施 (15
参考文献 (28 前言 0 引言 0.1 总则 本标准提供建立、实施、保持和持续改进信息安全管理体系的要求。采用信息安全管理体系是组织的一项战略性决策。组织信息安全管理体系的建立和实施受组织的需要和目标、安全要求、所采用的过程、规模和结构的影响。所有这些影响因素可能随时间发生变化。 信息安全管理体系通过应用风险管理过程来保持信息的保密性、完整性和可用性,并给相关方建立风险得到充分管理的信心。 重要的是,信息安全管理体系是组织的过程和整体管理结构的一部分并集成在其中,并且在过程、信息系统和控制措施的设计中要考虑到信息安全。信息安全管理体系的实施要与组织的需要相符合。 本标准可被内部和外部各方用于评估组织的能力是否满足自身的信息安全要求。 本标准中表述要求的顺序不反映各要求的重要性或实施顺序。条款编号仅为方便引用。 ISO/IEC 27000参考信息安全管理体系标准族(包括ISO/IEC 27003[2]、ISO/IEC 27004[3]、ISO/IEC 27005[4]及相关术语和定义,给出了信息安全管理体系的概述和词汇。 0.2 与其他管理体系标准的兼容性
ISO标准——IEC 27001:2005 信息安全管理体系—— 规范与使用指南 Reference number ISO/IEC 27001:2005(E)
0简介 0.1总则 本国际标准的目的是提供建立、实施、运作、监控、评审、维护和改进信息安全管理体系（ISMS）的模型。采用ISMS应是一个组织的战略决定。组织ISMS的设计和实施受业务需求和目标、安全需求、应用的过程及组织的规模、结构的影响。上述因素和他们的支持系统预计会随事件而变化。希望根据组织的需要去扩充ISMS的实施，如，简单的环境是用简单的ISMS解决方案。 本国际标准可以用于内部、外部评估其符合性。 0.2过程方法 本国际标准鼓励采用过程的方法建立、实施、运作、监控、评审、维护和改进一个组织的ISMS的有效性。 一个组织必须识别和管理许多活动使其有效地运行。通过利用资源和管理，将输入转换为输出的活动，可以被认为是一个过程。通常，一个过程的输出直接形成了下一个过程的输入。 组织内过程体系的应用，连同这些过程的识别和相互作用及管理，可以称之这“过程的方法”。 在本国际标准中，信息安全管理的过程方法鼓励用户强调以下方面的重要性： a)了解组织信息安全需求和建立信息安 全策略和目标的需求； b)在组织的整体业务风险框架下，通过 实施及运作控制措施管理组织的信息 安全风险； c)监控和评审ISMS的执行和有效性； d)基于客观测量的持续改进。 本国际标准采用了“计划-实施-检查-改进”（PDCA）模型去构架全部ISMS流程。图1显示ISMS如何输入相关方的信息安全需求和期望，经过必要的处理，产生满足需求和期望的产品信息安全输出，图1阐明与条款4、5、6、7、8相关。 采用PDCA模型将影响OECD《信息系统和网络的安全治理》（2002）中陈述的原则，0 Introduction 0.1 General This International Standard has been prepared to provide a model for establishing, implementing, operating, monitoring, reviewing, maintaining and improving an Information Security Management System (ISMS). The adoption of an ISMS should be a strategic decision for an organization. The design and implementation of an organization’s ISMS is influenced by their needs and objectives, security requirements, the processes employed and the size and structure of the organization. These and their supporting systems are expected to change over time. It is expected that an ISMS implementation will be scaled in accordance with the needs of the organization, e.g. a simple situation requires a simple ISMS solution. This International Standard can be used in order to assess conformance by interested internal and external parties. 0.2 Process approach This International Standard adopts a process approach for establishing, implementing, operating, monitoring, reviewing, maintaining and improving an organization's ISMS. An organization needs to identify and manage many activities in order to function effectively. Any activity using resources and managed in order to enable the transformation of inputs into outputs can be considered to be a process. Often the output from one process directly forms the input to the next process. The application of a system of processes within an organization, together with the identification and interactions of these processes, and their management, can be referred to as a “process approach”. The process approach for information security management presented in this International Standard encourages its users to emphasize the importance of: a) understanding an organization’s information security requirements and the need to establish policy and objectives for information security; b) implementing and operating controls to manage an organization's information security risks in the context of the organization’s overall business risks; c) monitoring and reviewing the performance and effectiveness of the ISMS; and d) continual improvement based on objective measurement. This International Standard adopts the "Plan-Do-Check-Act" (PDCA) model, which is applied to structure all ISMS processes. Figure 1 illustrates how an ISMS takes as input the information security requirements and expectations of the interested parties and through the necessary actions and processes produces information security outcomes that meets those requirements and expectations. Figure 1 also illustrates the links in the processes presented in Clauses 4, 5, 6, 7 and 8. The adoption of the PDCA model will also reflect the principles as set out in the
工程项目的主要利益相关方及其要求和期望 工程项目管理的目标就是综合运用各种知识、技能、手段和方法去满足或超出利益相关者对某个工程项目的合理要求及期望。因此，首先要认真识别和理解同工程项目密切相关各方的不同要求和期望(包括范围、进度、费用、质量以及其他目标)。相关各方总体利益是一致的，但关注的焦点不同，有时还在一些问题上有冲突，需要加以协调。至少需要从以下五个层面来理解： 一是工程项目具有哪些利益相关方；二是他们具有哪些方面的要求和期望；三是他们每一个方面的具体要求和期望是什么；四是这些要求和期望具有什么样的冲突；五是如何运用各种知识、技能、手段和方法去协调这些冲突，并满足或超出他们的合理要求及期望。 (一)工程项目利益相关方 工程项目利益相关方是指影响项目目标的实现，或者受到项目实施过程影响的所有个体、群体和组织。工程项目管理团队必须清楚谁是本工程项目的利益相关方，明确他们的要求和期望是什么，然后对这些要求和期望进行管理和施加影响，确保工程项目获得成功。工程项目利益相关方有许多不同的名称和类型，对利益相关方的命名和分组可以帮助识别主要利益相关方，图1-2列出了工程项目的主要利益相关方。 (二)工程项目主要利益相关方的要求和期望 下面是各主要利益相关方的要求和期望： (1)业主——投资少，收益高，时间短，质量合格。 (3)承包商——优厚的利润，及时提供施工图纸，最小限度的变动，原材料和设备及时送达工地，公众无抱怨，可自己选择施工方法，不受其他承包商的干扰，按时支付工程进度款，迅速批准开工，及时提供服务。 (4)供应商——规格明确，从订货到发货的时间充裕，有较高的利润率，最低限度的非标准件使用量，质量要求合理。
相关方需求及期望清单序号相关方 1顾客需求和期望 产品质量有保障 价格合理 交付及时 产品安全性能好信息来源 定期与客户沟通对应的措施或方法 1.识别客户特殊要求清单； 2.将客户要求转化为内部要求进行监控； 3.对内部过程绩效进行统计和分析； 4.定期对客户进行满意度调查监视部监视指标门业务部1.顾客满意度调查 2.准时交货率监视频评审结果率持续进行措施已实施且可行备注2股东或投资 方持续盈利 财务透明 1.改善作业环境 2.提供培训机会公司财务年报公司每年进行年度财务核算，根据每年的收入与支出状况进行比较与分析。财务部同期投入产出比每年目前公司营运正常。 3员工员工调查表及座 谈会1.车间安装风冷水循环系统，缓解夏季高温影响。 2.策划员工年度培训计划管理部员工抱怨处理及时率持续进行1.措施可行并已完成。
2.已制定培训计划并实施。 4银行信用度高银行信用反馈单银行每年根据公司的信用状况进行评价，并进行反馈。财务部信用等级证明每年AAA级5外部供方和 合作伙伴互惠互利、 付款及时、 订单稳定外部供方反馈1.与供方制定采购协议，说明付款方式； 2.提前与客户进行沟通，做好合同/订单评审/预算，并及时通知供方。采购部外部投诉次数持续进行目前运营良好，未出现拖欠货款现象。6法律法规及 监管机关遵守法规政府环保网站或 安监局公布的违 法企业名录公司制定安全生产制度，并定期进行检查管理部违规通报次数持续进行目前没有接到政府部门开具的罚单，不存在违规现象7非政府组织，环境保护、道德 如社区 行为社区或周边工厂 的投诉1.公司有进行环评申报，且已通过。 2.环保网站进行危废处理申报，并定期进行处理。管理部外部投诉次数持续进行目前未接到相关部门或社区或周边工厂的投诉，运行良好。
官方网站：https://www.doczj.com/doc/fd5451684.html, 信息安全管理体系 一、申请依据 1、BS 7799-2:2002 《信息安全管理体系规范》； 2、ISO/IEC17799:2000《信息技术-信息安全管理实施细则》。 二、申请信息安全管理体系认证的企业类型 1、中华人民共和国境内登记注册的企业法人或事业法人。 三、申请条件 1、中国企业持有工商行政管理部门颁发的《企业法人营业执照》、《生产许可证》或等效文件； 2、外国企业持有关机构的登记注册证明； 3、申请方的信息安全管理体系已按ISO/IEC27001:2005标准的要求建立，并实施运行3个月以上； 4、至少完成一次内部审核，并进行了管理评审； 5、信息安全管理体系运行期间及建立体系前的一年内未受到主管部门行政处罚。 四、申请材料 1、组织法律证明文件，如营业执照及年检证明复印件; 2、组织机构代码证书复印件、税务登记证复印件;
官方网站：https://www.doczj.com/doc/fd5451684.html, 3、申请认证组织的信息安全管理体系有效运行的证明文件(如体系文件发布控制表，有时间标记的记录等复印件; 4、申请组织的简介： 5、申请组织的体系文件： 6、申请组织体系文件与GB/T22080-2008/ISO/IEC 27001:2005要求的文件对照说明; 7、申请组织内部审核和管理评审的证明资料; 8、申请组织记录保密性或敏感性声明; 9、认证机构要求申请组织提交的其他补充资料。 五、申请流程 1、提交申请材料； 2、申请评审； 3、签订认证合同； 4、阶段审查； 5、认证决定； 6、认证取证。 六、服务标准
官方网站：https://www.doczj.com/doc/fd5451684.html, 1、服务模式：全包模式——由专家上门现场进行业务评估、指导填报申请书、4-6人项目组负责全套资料编制（咨询客户只需要提供法定材料及必要技术文档）、指导并监督落实运行记录、现场审查指导与支持（可专人现场协同）、发证跟踪、取证。 2、服务承诺：包过模式——在客户充分配合情况下，一次通过现场审查，包取证，承诺不过咨询费用全退。 八、时间期限 1、申请书递交期限：15-30天内； 2、全套资料交付：15天内； 3、通过现场审查：15天内（具体以认证机构为准）。 九、收费标准 1、认证费：无； 2、咨询服务费：与企业规模有关，具体详情欢迎来电咨询四川首翔科技有限公司。 四川首翔科技有限公司（首翔军民融合公共服务平台）是经政府权威认定的具有军民融合服务资质的全国性军民融合公共服务平台，专业面向全国企业事业单位提供保密教育培训、企业保密管理咨询和军民融合科技咨询服务、涉密场所（保密室）工程建设、安全保密产品和涉密运维服务。
9001:2015相关方的需求和期望分析表风险及机遇的识别风险及机遇的评估 相关方需求和期望发生可能性 风险和机遇等级 ×严重性 风险：客户对产品质量标准提高，以及对供 1. 产品质量符合顾客 应周期和售后服务的期望值提升，给公司生 客户的需要求 产、质量和售后管理提出新的要求4×4=16高 求 2. 及时交货 机遇：市场竞争的加剧，公司管理水平的提 3.价格合理 升，会给公司带来潜在的发展机遇 风险：公司运行中可能会对第三方产生不利 第三方的体系运作的有效性、充的影响，或是第三方的要求公司目前无法满 2×3=6一般要求分性和符合性足，由此造成的冲突 机遇：第三方要求会完善公司的管理水平风险及机遇应对措施 1.业务部加强与客户进行质量标 准制定的沟通，统一双方的标准 和检测方法 2.生产部门做好生产计划的安 排，保证生产计划的执行 3.业务部门加大客户交流沟通， 及时处理客户的需求和意见 各职能部门加强与第三方的沟 通，对第三方的要求及时进行处 理，必要时及时提交公司高层进 行资源配置，降低第三的抱怨 执行情况 执行部门时限 品管部、业务部全年 生产部、生产车 全年 间 办公室、业务部全年 办公室、管理者 全年 代表、品管部 风险：监管部门监管力度的加大，如公司执 行不规范，可能存在被查处的风险 遵规守法4×3=12一般机遇：行业生产环境的变化，给公司带来新 的发展机遇1. 各级部门严格按照公司的规生产车间、物控 全年章制度开展相关工作部、品管部 办公室、管理者 2.职能部门加大公司内部制度 代表、品管部、全年执行情况的检查 生产制
1.长期合作、双赢供应商的 2.进料合格率高要求 3.及时付款 1获得培训计划 员工 2获得较高收入 评分依据：发生可能性：经常发生 风险：原材料市场不稳定，希望签订的年度 对公司影响较大的大宗原材料总经理、采购部、合同和保底价格，带来的采购和资金风险2×3=6 一般全年 做好年度采购计划物控部机遇：原材料可能会降低 风险：公司优秀人才离职，对公司是比较大 1. 各部门要及时关注员工的心 理变换，注意工作方式，创造良的损失。员工业务素质在一定程度上存在参 好的工作环境，提高员工的归属差不齐的情况，加上绩效考核不能有效落实， 感 3×3=9 公司各级部门全年会对工作完成质量造成不好的影响。一般 机遇：公司目前主要人员还算稳定，各项绩 2. 企业管理部做好人员的储备； 3. 各职能部门加强绩效考核的 效考核能顺利开展，为公司的发展提供一个 有效开展，通过考核促进员工的比较好的基础。 工作积极性，提高业务素质。 5 有时发生 4 偶尔发生 3 很少发生 2 极少发生 1 严重程度：非常严重5严重4较严重3一般2轻等级依据《风险和机遇控制程序》 编制人：日期：审核人：审核日期：
信息安全管理手册 （ISO27001-2013） 目录 0.1、信息安全管理手册发布令 0.2、管理者代表任命书 0.3、公司简介 0.4、信息安全方针 0.5、信息安全目标 1、范围 2、引用标准 3、术语和定义 4、信息安全管理体系 4.1 组织环境 4.2 理解相关方的需求和期望 4.3 明确信息安全管理体系的范围 4.4 信息安全管理体系 5、领导 5.1 领导和承诺 5.2 方针 5.3 组织角色、职责和权力 6、计划 6.1 处置风险和机遇 6.2 信息安全目标的计划和实现 7、支持 7.1 资源 7.2 能力 7.3 意识 7.4 沟通
7.5 文档要求 8、实施 8.1 运行计划和控制 8.2 信息安全风险评估 8.3 信息安全风险处置 9、绩效评价 9.1 监视、测量、分析和评价 9.2 内部审核 9.3 管理评审 10、改进 10.1 不符合项和纠正措施 10.2 持续改进 附件： 附件一：信息安全职能分配表 附件二：信息安全职责 附件三：信息安全管理体系程序文件清单 附件四：信息安全管理体系作业指导书文件清单
0.1 信息安全管理手册发布令 为提高XXXXX科技有限公司的信息安全管理水平，保障企业经营、服务和日常管理活动，防止由于信息系统的中断、数据的丢失、敏感信息的泄密所导致的业务中断或安全事故，公司开展贯彻ISO/IEC 27001:2013《信息技术-安全技术-信息安全管理体系要求》标准的工作，建立文件化的信息安全管理体系，制定了XXXXX科技有限公司《信息安全管理手册》（以下简称手册）。 本手册是企业的法规性文件，是指导企业建立并实施信息安全管理体系的纲领和行动准则，用于贯彻企业的信息安全管理方针、管理目标，实现信息安全管理体系有效运行、持续改进，是XXXXX科技有限公司信息安全管理工作长期遵循的准则。 全体职工必须严格按照手册的要求，自觉执行管理方针，贯彻实施本手册的各项规定，努力实现XXXXX科技有限公司的管理目标和管理承诺。 本手册自颁布之日起生效执行。 XXXXX科技有限公司总经理： 二〇一六年三月一日
理解相关方需求和期望 控制程序 WEIHUA system office room 【WEIHUA 16H-WEIHUA WEIHUA8Q8-
理解相关方需求和期望 控制程序 前言 本程序是按照《轨道交通行业质量管理体系要求》、《环境管理体系要求及使用指南》(ISO/TS22163、ISO14001:2015)要求基础上建立的，本程序强调过程方法在理解相关方需求和期望控制活动中的运用，且在工作流程图中得以体现。 本程序文件由质量课提出，归口质量课。
识别、监视和评审与公司质量、环境管理体系有关的相关方及其需求和期望，制定应对措施以满足相关方需求和期望。 2.适用范围
适用于组织质量、环境管理体系的相关方及其需求和期望的识别、监视和评审、应对措施制定等系列控制活动。 3.引用标准 ISO9001:2015 《质量管理体系要求》 ISO/TS22163 《轨道交通行业质量管理体系要求》 ISO14001:2015 《环境管理体系要求及使用指南》 4.术语（定义） 相关方：与质量、环境管理体系有关的个人或组织。包括顾客、社会团体、外部供方、监管机构、非政府组织、工会、银行、合伙人、竞争对手、和所在地区的组织或个人等。 5.职责 管理者代表及总经理分别负责审核和批准相关方及其需求和期望的识别、评价、风险和机会分析及应对措施。 质量课：组织相关部门负责人对质量、环境管理体系相关方及其需求和期望（即要求）进行识别、评价、分析风险和机会及策划应对措施，负责更新相关记录。 各部门：配合进行相关方需求和期望的识别、评价、风险和机会分析及应对措施拟定，负责对相关方及其需求和期望的监视和评审。
相关方需求与期望控制程序 1 目的 为保证公司的管理体系的正常运行，通过对管理体系可能产生影响的相关方进行控制管理，以达到控制产品质量和环境污染的目的。 2 适用范围 适用于与公司管理体系有关的、涉及相关方的所有相关部门。 3 职责 3.1工程部负责对采购材料的相关方进行评价和控制。 3.2 行政部负责了解及组织评审客户对环境、质量方面的要求。 3.3 行政部对进入公司的外来人员的环境管理工作和周围居民的协调管理工作，以及与上级相关部门的联系工作。 4 工作程序 4.1 采购控制 4.1.1 采购在对相关方进行评价，确定相关方时，不但要从资质、信誉、质量等方面进行考虑，而且要考虑所供应材料的环境影响因素，在质量、价格、信誉等都符合的条件下，应优先选择环境管理好的合格相关方。 4.1.2 采购合同签订前，应向相关方宣传公司方针，必要时在合同中明确规定环境保护要求的有关条款及赔偿措施。 4.1.3 采购的材料（特别是危险化学物品）在装卸、运输过程中要采取必要的防护措施，以防渗漏、爆炸、扬散、流失及二级污染的措施。 4.1.4 对化学危险品，特别是首次采购的原料，由采购向相关方索要危险化学品的MSDS，对化学危险品的性能和环境安全进行控制和预防。 4.2 合同管理控制
4.2.1 行政部在服务活动中，在对客户信息的分析研究中，在注意产品质量的同时，应充分考虑客户对环境保护方面的要求，并以此不断改进，提高产品的性能。 4.2.2 在合同评审中，行政部应充分考虑环境影响因素，必要时要在合同中明确规定环境保护要求的条款。 4.3 外来人员的管理控制 4.3.1 门卫负责对外来人员和车辆进出厂门的登记工作，对进入生产区域的外来人员须由公司相关人员带领。 4.3.2 对于进入厂区的外来人员，相关部门应主动对其说明公司的环保要求，并进行督促、检查。 4.3.3 对临时工、外来民工、外来安装施工人员及来公司参观的外来人员，行政部应主动说明公司的环保要求，以使其自觉遵守公司的环保要求。 4.4 上级相关部门和周围居民 4.4.1 行政部负责同上级相关部门，如环保局、消防大队、乡镇局、技术监督局等协调工作，及时了解有关的信息，负责上级部门来公司检查、验收等接待汇报工作。 4.4.2 行政部负责收集、整理相邻单位、周围居民等相关方的合理抱怨、投诉和要求，并予以答复。对合理抱怨、要求应转给相关部门予以处理，若部门不能单独处理，应向管理者代表反映，直到问题的圆满解决。 4.5 在本程序中所形成的记录由各相关主管部门负责管理，并执行《文件管理制度》。 5 引用文件 6 相关记录
好好学习社区 更多优惠资料下载：https://www.doczj.com/doc/fd5451684.html, 德信诚培训网 相关方需求和期望一览表 公司确定了与质量管理体系有关的相关方，识别了相关方的要求，对相关方及其要求的相关信息进行监视和测量，每年最低进行一次更新，以便理解和满足顾客要求和其他相关方的需求和期望。 序号 相关方 需求和期望 采取措施 1 顾 客 / 最 终 消费者 提供的产品和服务满足 约定 要求， 提供高质量、价格适宜 的产品和及时、高满意的售后 服务 1、建立实施和保持质量管理体系，保证产品和服务质量 2、充分识别顾客/最终消费者的要求，增强顾客满意度 3、监视顾客感受，增强售后服务，及时解决顾客问题反馈 4、提高生产效率，降低成本，为顾客提供高质、低价和安全的产品 5、提高企业质量风险意识，增强企业的产品和服务抗风险能力 2 员工 稳定增长的收入和福利、职业 成长、职业安全 1、加强员工技能培训，建立良好的激励机制和晋升机制 2、建立良好企业文化和公司氛围，注重安全管理，提升员工的归属感，保障员工的合法权益 3 政府 遵纪守法、履行社会责任 1、充分识别并严格执行与适用于公司体系的法律和法规，包括行业规范、标准等要求 4 外 部 供 方 / 外包方 稳定的业务关系、互利共赢 1、与外部供方建立长期、良好、稳定的互利关系 2、与其共享资源和能力，鼓励其进行改进和提升质量绩效 5 竞争对手 互通有无，互利共赢 1、与竞争企业勤沟通，按照类别做特色产品； 2、技术互相交流，互相支持，避免恶性竞争。 6 社会/社区 积极投入公益与社区建设 环境保护、社会公益 积极履行社会责任、义务 编审： 批准： 日期：
作业指导书 “相关方需求与期望识别与确定” 制订部门: 经理部 生效日期:2015.10.25 章 ※※※※※※※※※※※※※※※※※※※※ 文件审批及变更记录
1.目的 明确与公司质量管理体系有关的相关方，并确定这些相关方的需求与期望。以做为公司生产和服务的行动指南，提供满足相关需求和法律法规的产品和服务。 2.适用范围 公司整个生产经营过程 3.内容： 3.1总经理（或授权人员），于体系导入之初，组织销售部、品质部、采购部、经理部、 技术部确定与公司质量管理体系有关的相关方，包括但不仅限于：核心客户、供方、所在地政府机关、第三方认证（检测）机构、内部员工及总公司等。 3.2总经理（或授权人员）组织销售部、品质部、采购部、经理部、技术部等部门，向 本部门所主导联系的相关方发放《相关方需求与期望征询表》，识别相关方的需求与期望； 3.3总经理（或授权人员）组织销售部、品质部、采购部、经理部、技术部等部门，对 识别出的相关方的需求与期望进行汇总，形成《相关方需求和期望确定表》，确定相关方合理的需求与期望，并制定相对的制度，以落实到公司的紧固件生产和服务过程中； 3.4总经理委托品质部，每半年召开一次相关方需求和期望达成程度分析会议，各部门 应汇报本部门所主导联系的相关方需求和期望的达成状况、未达成事项及实施对策。 由品质部汇总后呈报总经理决策。 3.5总经理（或授权人员）组织销售部、采购部、经理部、技术部等部门，于每年年尾 或次年年初，对确定的相关方的需求与期望进行评审，是否已达成。并将达成情况做为管理评审的输入资料。 3.6总经理（或授权人员），每年年初重新对相关方发放《相关方需求与期望征询表》并 进行识别，以了解相关方的需求与期望是否发生变化，及时更新《相关方需求和期望确定表》。 4.相关记录： 4.1 《相关方需求与期望征询表》 4.2 《相关方需求和期望确定表》
ISO27001信息安全管理手册 版本号：V1.0 受控状态： ■ 受 控 □ 非受控 日期： 2019年X 月X 日 实施日期： 2019年X 月X 日
目录 目录 (2) 01 颁布令 (1) 02 管理者代表授权书 (2) 03 公司概况 (3) 04 信息安全管理方针目标 (4) 05 手册的管理 (6) 信息安全管理手册 (7) 1 范围 (7) 1.1总则 (7) 1.2应用 (7) 2 规范性引用文件 (8) 3 术语和定义 (8) 3.1本公司 (8) 3.2信息系统 (8) 3.3计算机病毒 (8) 3.4信息安全事件 (8) 3.5相关方 (8) 4 信息安全管理体系 (9) 4.1概述 (9) 4.2建立和管理信息安全管理体系 (9) 4.3文件要求 (15) 5 管理职责 (18) 5.1管理承诺 (18) 5.2资源管理 (18) 6 内部信息安全管理体系审核 (19) 6.1总则 (19) 6.2内审策划 (19) 6.3内审实施 (19) 7 管理评审 (21)
7.1总则 (21) 7.2评审输入 (21) 7.3评审输出 (21) 7.4评审程序 (22) 8 信息安全管理体系改进 (23) 8.1持续改进 (23) 8.2纠正措施 (23) 8.3预防措施 (23)
01 颁布令 为提高我公司的信息安全管理水平，保障公司业务活动的正常进行，防止由于信息安全事件（信息系统的中断、数据的丢失、敏感信息的泄密）导致的公司和客户的损失，我公司开展贯彻GB/T22080-2008idtISO27001:2005《信息技术-安全技术-信息安全管理体系要求》国际标准工作，建立、实施和持续改进文件化的信息安全管理体系，制定了《信息安全管理手册》。 《信息安全管理手册》是企业的法规性文件，是指导企业建立并实施信息安全管理体系的纲领和行动准则，用于贯彻企业的信息安全管理方针、目标，实现信息安全管理体系有效运行、持续改进，体现企业对社会的承诺。 《信息安全管理手册》符合有关信息安全法律、GB/T22080-2008idtISO27001:2005《信息技术-安全技术-信息安全管理体系-要求》标准和企业实际情况，现正式批准发布，自2015年 12月 23 日起实施。企业全体员工必须遵照执行。 全体员工必须严格按照《信息安全管理手册》的要求，自觉遵循信息安全管理方针，贯彻实施本手册的各项要求，努力实现公司信息安全管理方针和目标。 总经理： 2015年 12 月 23 日
信息安全管理手册 版本号：V1.0
目录 01 颁布令 (1) 02 管理者代表授权书 (2) 03 企业概况 (3) 04 信息安全管理方针目标 (3) 05 手册的管理 (6) 信息安全管理手册 (7) 1 范围 (7) 1.1 总则 (7) 1.2 应用 (7) 2 规范性引用文件 (8) 3 术语和定义 (8) 3.1 本公司 (8) 3.2 信息系统 (8) 3.3 计算机病毒 (8) 3.4 信息安全事件 (8) 3.5 相关方 (8) 4 信息安全管理体系 (9) 4.1 概述 (9) 4.2 建立和管理信息安全管理体系 (9) 4.3 文件要求 (15) 5 管理职责 (18) 5.1 管理承诺 (18) 5.2 资源管理 (18) 6 内部信息安全管理体系审核 (19) 6.1 总则 (19) 6.2 内审策划 (19) 6.3 内审实施 (19) 7 管理评审 (21)
7.1 总则 (21) 7.2 评审输入 (21) 7.3 评审输出 (21) 7.4 评审程序 (22) 8 信息安全管理体系改进 (23) 8.1 持续改进 (23) 8.2 纠正措施 (23) 8.3 预防措施 (23)
01 颁布令 为提高我公司的信息安全管理水平，保障公司业务活动的正常进行，防止由于信息安全事件（信息系统的中断、数据的丢失、敏感信息的泄密）导致的公司和客户的损失，我公司开展贯彻GB/T22080-2008idtISO27001:2005《信息技术-安全技术-信息安全管理体系要求》国际标准工作，建立、实施和持续改进文件化的信息安全管理体系，制定了《信息安全管理手册》。 《信息安全管理手册》是企业的法规性文件，是指导企业建立并实施信息安全管理体系的纲领和行动准则，用于贯彻企业的信息安全管理方针、目标，实现信息安全管理体系有效运行、持续改进，体现企业对社会的承诺。 《信息安全管理手册》符合有关信息安全法律、GB/T22080-2008idtISO27001:2005《信息技术-安全技术-信息安全管理体系-要求》标准和企业实际情况，现正式批准发布，自2015年 12月 23 日起实施。企业全体员工必须遵照执行。 全体员工必须严格按照《信息安全管理手册》的要求，自觉遵循信息安全管理方针，贯彻实施本手册的各项要求，努力实现公司信息安全管理方针和目标。 总经理： 2015年 12 月 23 日
ISO27001信息安全风险评估程序 1.目的 本文件为公司执行信息安全风险评估提供指导和规范。 本程序的运行结果产生《风险评估报告-（加注日期）》。 公司依据风险评估报告编制风险处理计划。 2.适用范围 本程序适用风险评估所涉及的所有部门。 风险评估工作组成员据此执行风险评估活动。 其他相应员工据此理解风险评估的过程，完成自己职责范围内风险评估相关工作。 3.风险评估的实施频率及评审 公司规定风险评估活动要定期进行，常规的风险评估每年执行一次，执行风险评估前应对本程序进行评审。 遇到以下情况，公司也将启动风险评估： 增加了大量新的信息资产； 业务环境发生了重大的变化； 发生了重大信息安全事件。 4.风险评估方法 根据GB/T22080-2008/ISO/IEC27001:2005和ISO/IEC TR 13335-3，公司采用“详细风险分析方法（Detailed Risk Approach）”来实施风险评估，该方法主要包括： 风险分析：识别资产、威胁、脆弱性、影响和可能性 风险评价：风险＝影响×可能性 5.风险评估流程 公司风险评估流程如下图所示：
5.1.确定风险评估范围 在执行风险评估前，由信息安全领导小组负责，确定本次风险评估的范围，并明确传达给风险评估工作组。 5.2.建立风险评估工作组 在执行风险评估前，由信息安全领导小组负责，建立风险评估工作组，并明确工作组成员职责。 5.3.识别风险
5.3.2.识别威胁及威胁可利用的脆弱性（依下表）。 5.4.分析和评价风险 5.4.1.分析和评价风险发生后对公司的影响（依下表）。 风险发生后对公司影响的赋值准则 5.4.2.分析和评价风险发生的可能性（依下表）。
1 2 3 4 5 信息安全管理手册 版本号：V1.0 6 7 8 9 10 11 12
13 14 01 颁布令 (1) 15 02 管理者代表授权书 (2) 16 03 企业概况 (3) 17 04 信息安全管理方针目标 (4) 18 05 手册的管理 (8) 19 信息安全管理手册 (10) 20 1 ............................................................... 范围10 21 1.1 总则 (10) 22 1.2 应用 (10) 23 2 ..................................................... 规范性引用文件11 24 3 ......................................................... 术语和定义11 25 3.1 本公司 (11) 26 3.2 信息系统 (11) 27 3.3 计算机病毒 (11) 28 3.4 信息安全事件 (12) 29 3.5 相关方 (12) 30 4 .................................................... 信息安全管理体系13
31 4.1 概述 (13) 32 4.2 建立和管理信息安全管理体系 (13) 33 4.3 文件要求 (21) 34 5 ........................................................... 管理职责27 35 5.1 管理承诺 (27) 36 5.2 资源管理 (27) 37 6 ............................................ 内部信息安全管理体系审核28 38 6.1 总则 (29) 39 6.2 内审策划 (29) 40 6.3 内审实施 (29) 7 ........................................................... 管理评审31 41 42 7.1 总则 (31) 43 7.2 评审输入 (31) 7.3 评审输出 (32) 44 45 7.4 评审程序 (32) 46 8 ................................................ 信息安全管理体系改进34 47 8.1 持续改进 (34) 48 8.2 纠正措施 (34) 49 8.3 预防措施 (35)