ISO27001信息安全管理体系相关方需求和期望分析表

ISO标准——IEC 27001:2013信息安全管理体系——要求Reference numberISO/IEC 27001:2013(E1范围 1 Scope本国际标准规定了在组织背景下建立、实施、维护和持续改进信息安全管理体系。

本标准还包括信息安全风险评估和处置要求,可裁剪以适用于组织。

本国际标准的要求是通用的,适用于所有的组织,不考虑类型、规模和特征。

当组织声称符合本国际标准时,任何条款4-10的排除是不可接受的。

This International Standard specifies the requirements for establishing, implementing, maintaining and continually improvingan information security management system within the contextof the organization. This International Standard also includes requirements for the assessment and treatment of information security risks tailored to the needs of the organization. The requirements set out in this International Standard are generic and are intended to be applicable to all organizations, regardless of type, size or nature. Excluding any of the requirements specified in Clauses 4 to 10 is not acceptable when an organization claims conformity to this International Standard.2 规范性引用文件下列参考文件是本文件的标准参考,也是应用本文件必不可缺的。

信息安全管理体系文件内审核查表审核日期：2017/5/7-8被审核部门总经理审核成员审核日期2017-5-7 审核主题 4.1/4.2/4.3/4.4/5.1/5.2/5.3/6.1/6.2/9.3/A5.1.1/A5.1.2核查要素/条款核查事项核查记录符合项观察项不符合项4.1 理解组织及其环境现在客户越来越重视本单位的信息安全，要求服务提供商具备一定的信息安全管理水平；目前信息安全威胁不断增加，本组织的核心资产也要进行安全防护，保证核心资产的安全性、保密性、可用性。

√4.2 理解相关方的需求和期望公司客户对服务提供商的信息安全提出了更高的要求，在公司给客户提供服务的过程中，客户要求保证公司接触到的客户的信息资产的安全。

在服务合同中都有相关安全条款。

√4.3 确定信息安全管理体系范围在手册的4.3章确定了信息安全的组织、业务、物理范围。

√4.4 信息安全管理体系按ISO/IEC 27001:2013《信息技术-安全技术-信息安全管理体系-要求》规定，建立、实施、保持和持续改进信息安全管理体系。

包含了4级文件：手册、程序文件、管理制度、记录。

√5.1 领导力和承诺-领导层制定了信息安全方针、目标和计划；建立信息安全的角色和职责；向组织传达满足信息安全目标、符合信息安全方针、履行法律责任和持续改进的重要性；提供充分的资源，以建立、实施、运作、监视、评审、保持并改进, 决定接受风险的准则和风险的可接受等级；√5.2 方针信息安全管理方针为：数据保密、信息完整、控制风险、持续改进、全员参与、提高绩效、客户满意。

√5.3 组织的角色，职责和权限组织制定了《信息安全职责划分与标准条款对照表》，明确了每个部门角色的职责√6.1 应对风险和机会的措施进行了信息安全风险评估，并针对高优先级的风险制定了处置计划。

√6.2 信息安全目标和实现规划公司在相关职能和层次上建立了与信息安全方针保持一致的信息安全目标，并在全公司发布，参见信息安全方针目标文件√9.3 ISMS管理评审--有《管理评审控制程序》，管理评审计划、管理评审报告等记录√被审核部门总经理审核成员审核日期2017-5-7 审核主题 4.1/4.2/4.3/4.4/5.1/5.2/5.3/6.1/6.2/9.3/A5.1.1/A5.1.2A5.1.1 信息安全方针文件信息安全方针文件已由管理者批准、发布并传递给所有员工和外部相关方。