ISO27001信息备份管理细则

ISO 27001:2011信息安全管理体系简介一、ISO 27001的产生背景和发展历程ISO27001是什么？ISO27001是有关信息安全管理的国际标准。

最初源于英国标准BS7799，经过十年的不断改版，终于在2005年被国际标准化组织（ISO）转化为正式的国际标准，于2005年10月15日发布为ISO/IEC 27001:2005。

该标准可用于组织的信息安全管理体系的建立和实施，保障组织的信息安全，采用PDCA过程方法，基于风险评估的风险管理理念，全面系统地持续改进组织的安全管理。

其正式名称为：《ISO/IEC 27001:2005 信息技术-安全技术-信息安全管理体系-要求》ISO 27001源于英国标准BS7799的第二部分，即BS7799-2 《信息安全管理体系规范》。

英国标准BS7799是在BSI/DISC的BDD/2信息安全管理委员会指导下制定完成。

ISO 27001发展历程简要归纳如下：●1993年，BS 7799标准由英国贸易工业部立项。

●1995年，BS 7799-1《信息安全管理实施细则》首次出版，标准提供了一套综合的、由信息安全最佳惯例组成的实施细则，其目的是作为确定各类信息系统通用控制范围的唯一参考基准，并且适用于大、中、小型组织。

●1998年，英国公布BS 7799-2《信息安全管理体系规范》，本标准规定信息安全管理体系要求与信息安全控制要求，它是一个组织信息安全管理体系评估的基础，可以作为认证的依据。

●1999年，在BSI/DISC(British Standards Institute/Delivering InformationSolutions to Customers) BDD/2的指导下对BS 7799这两部分进行了修订和扩展，取代了BS 7799-1:1995和BS 7799-2:1998。

BS 7799:1999涵盖了以前版本的所有内容，并在原有的基础上扩展了新的控制，新版本考虑了信息处理技术，尤其是在网络和通信领域应用的最新发展，例如电子商务、移动计算、远程工作等领域的控制。

XXXXXX软件有限公司人性化科技提升业绩信息资产分类分级管理程序目录1.目的和范围 (2)2.引用文件 (2)3.职责和权限 (3)4.信息资产的分类分级 (3)4.1信息资产的分类 (3)4.2信息资产的分级管理 (4)4.3信息资产分类指导 (5)5.信息分级标识 (5)5.1分级标识编号 (5)5.2公司绝密、机密信息定义 (6)5.3各密级知晓范围 (6)5.4分级标识编号可作为分级标识使用 (7)6.公司秘密信息使用管理 (8)6.1涉密信息的保管 (8)6.2涉密信息的访问限制 (9)6.3涉密信息的使用 (10)6.4涉密信息发送 (12)6.5涉密信息的废弃处置 (13)7.保密原则 (14)1.目的和范围为降低公司重要资产因遗失、损坏、篡改、外泄等事件带来的潜在风险，这些风险将对公司的信誉、经营活动、经济利益等造成较大或重大损失，需要规范信息资产保护方法和管理要求，特制订本管理制度。

本规定适用于本公司信息资产的安全管理，适用对象为本公司员工和所有外来人员。

特殊岗位或特殊人员，另有规定的从其规定。

公司信息资产是指一切关系公司安全和利益，在保护期内只限一定范围内人员知悉、操作、维护的事物、文档、项目、数据等资源。

2.引用文件1)下列文件中的条款通过本规定的引用而成为本规定的条款。

凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励各部门研究是否可使用这些文件的最新版本。

凡是不注日期的引用文件，其最新版本适用于本标准。

2)GB/T 22080-2016/ISO/IEC 27001:2013 信息技术-安全技术-信息安全管理体系要求3)GB/T 22081-2016/ISO/IEC 27002:2013 信息技术-安全技术-信息安全管理实施细则4)《备份管理规定》5)《访问控制程序》6)《文件控制程序》3.职责和权限本管理规定作为全公司范围信息类资产的最低管理要求，各部门或各项目组，均可以根据客户要求，添加补充策略，并在本部门、本项目组内实施，与本规定一起，作为信息安全管理的工作指南。

信息资产管理规定（版本号：V1.1）更改控制页目录1目的 (2)2范围 (2)3术语定义 (2)4职责 (2)4.1管理者代表 ............................................................................ 错误!未定义书签。

4.2信息安全经理 (2)4.3各部门 (2)5内容 (3)5.1角色和责任 ............................................................................ 错误!未定义书签。

5.2信息资产类型 (3)5.3信息资产分级标准 (4)5.3.1信息资产密级确定方式 (5)5.3.2信息资产密级标注规定 (6)5.4信息资产处理和保护 (6)6相关文件 (8)7相关记录 (8)1目的本规定旨在对XXX内部重要的信息资产进行分类分级，对不同级别的信息资产提出恰当的处理原则，以便对信息的分发和流转进行恰当的控制，确保信息资产的保密性、完整性和可用性。

2范围本规定适用于整个xxx公司。

本规定所涉及的信息包括各种存储或者存在形式，包括但不限于电子信息、纸质数据文件、语音和图像等。

3术语定义责任人（Owner）：信息资产的创建者，或者主要用户所在组织、单位或部门的负责人。

信息资产责任人对所属信息资产负直接责任。

保管者（Custodian）：受信息资产责任人委托，对信息资产进行日常的管理。

用户（User）：信息资产的使用者，除了公司内部员工，也可能是因为业务需要而访问公司信息的客户或第三方组织。

4职责4.1信息安全经理负责确定信息资产的分类标准；负责制定信息资产的赋值规则；组织并指导各部门正确识别信息资产。

4.2各部门5内容5.1信息资产分类及维护信息资产责任人应该指导进行相关资产的调查，资产调查以业务流程为线索，包括各类输入、中间环节和输出信息，所有这些信息资产都为业务流程的运转提供支持。

ISO27001信息保密控制程序1 目的为更好的管理IT信息内的业务、发文、经营等活动产生的各类信息，确保信息受到适当级别的保护，避免不恰当使用或泄漏以避免信息遭受经济损失或法律纠纷，特制定本管理程序。

2 范围本文件适用于下列涉密事项的管理：2.1 IT信息重大决策中的秘密事项。

2.2 IT信息未付诸实施的经营战略、方向、规划、项目及决策。

2.3 IT信息掌握的合同、协议、意向书及可行性报告、主要会议纪要/记录。

2.4 IT信息财务预决算报告及各类财务报表、统计报表。

2.5 IT信息掌握的尚未进入市场或政府机构尚未公开的各类信息。

2.6 IT信息人事档案及人事信息。

2.7 其他驻场工作人员或其他组织确定保密的事项。

3 相关文件无4 职责4.1 IT信息机密的管理最高责任者为总经理。

4.2 文档管理员负责管理IT信息门的秘密及敏感信息。

4.3 全体员工都附有遵守保密承诺、保守信息秘密的义务。

5 程序5.1 秘密事项的等级本程序中所指的秘密事项分：机密事项、秘密事项、敏感信息事项共3类。

5.1.1 “机密事项”是指：不可对外公开、若泄露或被篡改会对经营造成严重损害，或者由于业务上的需要仅限有关人员知道的事项；5.1.2 “秘密事项”是指：不可对外公开、若泄露或被篡改会对经营造成损害，或者由于业务上的需要仅限有关人员知道的事项；5.1.3 “敏感信息事项”是指：为了日常的业务能顺利进行而向员工公开、但不可向信息以外人员随意公开的事项。

以上3类事项以下简称秘密事项。

5.1.4 一般事项秘密事项以外，仅用来传递信息、昭示承诺或对外宣传所涉及的事项。

5.2 秘密的指定5.2.1 IT信息机密事项由总经理指定，信息秘密由产生该事项的相关负责人员或其授权人员指定，经总经理确认后将认定为秘密。

敏感信息由产生该事项的相关副总经理级人员或其授权人员指定。

指定秘密事项时，应参考本文件所附的示例，并充分考虑该事项的性质及重要程度等因素。

ISO27001--信息安全策略信息安全策略1.目的本文档旨在确立公司的信息安全策略，以保护公司的信息资产免受未经授权的访问、使用、泄露、破坏等风险。

2.范围该策略适用于公司的所有信息系统、网络、设备和人员，包括全职、兼职、临时员工、实生、合同工等。

3.职责与权限公司的信息安全由全体员工共同负责，但具体职责和权限如下：高层管理人员负责制定和审批信息安全政策，指导和监督信息安全工作。

信息安全管理员负责制定和实施信息安全管理制度，管理信息安全事件和漏洞。

各部门负责制定和执行本部门的信息安全管理制度，保障本部门的信息安全。

全体员工应当积极参与信息安全工作，遵守公司的信息安全规定，及时报告信息安全事件和漏洞。

4.相关文件公司的信息安全管理制度包括以下文件：信息安全政策信息安全管理手册信息安全事件管理办法信息安全培训计划5.术语定义信息资产：指公司拥有的任何形式的信息，包括但不限于文档、数据、软件、硬件、网络和设备。

信息安全：指保护信息资产免受未经授权的访问、使用、泄露、破坏等风险的措施和方法。

信息安全事件：指可能导致信息资产受到损失或泄露的事件，包括但不限于黑客攻击、病毒感染、数据丢失等。

信息安全漏洞：指可能导致信息资产受到损失或泄露的系统漏洞、软件漏洞、人员漏洞等。

6.信息安全策略公司的信息安全策略包括以下方面：确立信息安全管理制度，包括信息安全政策、信息安全管理手册等文件。

确保信息资产的机密性、完整性和可用性，采取相应的技术和管理措施。

加强对信息安全事件和漏洞的管理和应对，及时发现、报告和处理问题。

加强员工的信息安全意识和培训，提高员工的信息安全素质。

定期评估和改进信息安全管理制度和措施，确保其有效性和适应性。

6.1 信息安全组织策略信息安全组织策略是确保组织内部信息安全的基础。

该策略应该明确规定信息安全管理的组织结构、职责和权限，确保信息安全管理工作的顺利实施。

同时，该策略还应该制定信息安全管理的标准和规范，确保信息安全管理工作的合规性和规范性。

修订日期：2019.12.18修订日期：2019.12.18信息安全风险评估管理程序1 适用本程序适用于本公司信息安全管理体系（ISMS）范围内信息安全风险评估活动。

2 目的本程序规定了本公司所采用的信息安全风险评估方法。

通过识别信息资产、风险等级评估，认知本公司的信息安全风险，在考虑控制成本与风险平衡的前提下选择合适控制目标和控制方式将信息安全风险控制在可接受的水平，保持本公司业务持续性发展，以满足本公司信息安全管理方针的要求。

3 范围本程序适用于第一次完整的风险评估和定期的再评估。

在辨识资产时，本着尽量细化的原则进行，但在评估时我司又会把资产按照系统进行规划。

辨识与评估的重点是信息资产，不区分物理资产、软件和硬件。

4 职责4.1 成立风险评估小组办公室负责牵头成立风险评估小组。

4.2 策划与实施风险评估小组每年至少一次，或当体系、组织、业务、技术、环境等影响企业的重大事项发生变更、重大事故事件发生后，负责编制信息安全风险评估计划，确认评估结果，形成《信息安全风险评估报告》。

4.3 信息资产识别与风险评估活动各部门负责本部门使用或管理的信息资产的识别，并负责本部门所涉及的信息资产的具体安全控制工作。

4.3.1 各部门负责人负责本部门的信息资产识别。

4.3.2 办公室经理负责汇总、校对全公司的信息资产。

修订日期：2019.12.184.3.3 办公室负责风险评估的策划。

4.3.4 信息安全小组负责进行第一次评估与定期的再评估。

5 程序5.1 风险评估前准备5.1.1 办公室牵头成立风险评估小组，小组成员至少应该包含：信息安全管理体系负责部门的成员、信息安全重要责任部门的成员。

5.1.2风险评估小组制定信息安全风险评估计划，下发各部门内审员。

5.1.3必要时应对各部门内审员进行风险评估相关知识和表格填写的培训。

5.2 信息资产的识别5.2.1 本公司的资产范围包括：5.2.1.1信息资产1)数据文档资产：客户和公司数据，各种介质的信息文件包括纸质文件。

数据备份管理办法第一章总则第一条目的：为了加强数据安全管理，进一步规范数据的传输、归档、处置安全管理、以及数据备份行为，确保各类数据的完整性、保密性和可用性，特制定本管理办法。

第二条范围：本管理办法适用于成都万江港利科技有限公司。

第三条定义：本管理办法所指的数据指计算机系统存储的信息，包括战略规划信息、业务决策信息、市场信息、客户信息、项目信息、操作信息、系统信息、财务信息、管理和控制信息、人事信息等。

第二章数据的备份管理第四条数据备份采取定期备份与动态备份相结合的原则。

定期备份按一定周期有计划进行；动态备份是指当操作系统、应用系统发生较大变动后，实时进行的备份。

操作系统和数据库数据定期进行备份，在系统变更或较大应用调整前进行一次操作系统和应用软件备份，并同时同步备份机上相关内容；对系统和应用的配置备份定期进行。

第五条数据备份采用0级备份或增量备份。

数据备份策略的制定应综合系统性能、存储容量、数据量增长速度、业务需求、备份方式、存储介质、存储介质型号、有效期等因素。

备份策略的制定应考虑在特殊日、版本升级日增加备份（主要系统的数据备份见附件）。

第六条数据备份时，要仔细检查备份作业或备份程序的执行结果，核实目标备份与源备份内容一致，确保备份数据的完整性和正确性。

第七条数据备份时，应及时记录备份情况，包括备份作业，备份周期、时间、内容、数据保存期限，介质型号、介质容量、业务种类、转存情况、异地备份记录、相关变更记录等信息，并进行当日备份的问题记录。

第八条数据备份介质使用磁带、磁盘或光盘等存储介质，一般采取定期循环、覆盖使用的策略，但对关键的帐务类数据，备份介质须永久保存。

第九条对数据的保管，应编制数据存储介质保管清单，清单内容应包括介质编号、备份内容、备份时间和保留期限等重要信息。

第十条存放备份数据的介质必须具有明确的标识。

标识必须使用统一的命名规范，注明介质编号、备份内容、备份时间和有效期等。

第十一条按照数据保存期限，对于到期的数据存储介质应及时进行清理，并将清理后的存储介质转为可用介质。

XXXXXX软件有限公司人性化科技提升业绩个人电脑和存储设备分类分级管理规定目录目标 (2)适用范围 (2)一、设备分类 (2)二、设备分级 (2)1、笔记本电脑分类 (3)2、设备分级 (3)3、人个电脑和存储设备管理规定 (4)4、个人电脑的运行配置的更新 (5)6、数据保密和安全管理 (6)7、日常管理 (6)8、领取流程 (7)9、维护、维修与赔偿 (7)10、归还 (8)11、注意事项 (9)目标个人电脑和存储设备目前已经成为员工办公的主要设备，需要对这些设备进行分级，根据不同权限，规范各类设备的使用，以提高公司对这些设备使用的信息安全管理水平。

适用范围本规定适用于所有员工。

一、设备分类个人电脑和存储设备在硬件管理大类里同属于三级硬件包括台式机、笔记本、手机、移动存储等办公终端或存储设备，标记为H3（见《硬件资产分级管理制度》），按照其上存储的或操作的信息重要性和安全级别的不同，可以划分了一至五级，标记为M1~M5（当设备没有存放或操作任何信息资产时，标记为M5)。

为了便于识别不同设备的风险，将上述设备分为以下细类并给予相应的标记。

1、台式机和固定存储：指不可移动的个人电脑和存储设备。

标记为FX（固定）。

2、移动机：指笔记本、手机移动设备。

标记为MP（移动个人）。

3、可读写的移动存储：指所有可读写的移动存储，包括优盘、移动硬盘、可读写的光盘等。

标记为MW（移动可写）4、只读移动存储：一旦写入即不可擦除的移动设备，如只读光盘等。

标记为MR（移动只读）。

5、其他硬件设备：除H3类硬件设备外，其他固定设备包括服务器、网络交换机(H1、H2、H4)等，标记缺省为FX(即可以不作标记)。

二、设备分级1、笔记本电脑分类1) 自备笔记本电脑为了方便员工高效工作，公司允许员工自备笔记本电脑办公。

2) 公司配备笔记本电脑对于符合以下条件的员工可以向公司提出申请配备笔记本电脑：●经理级别以上管理人员。

●经常需要在公司办公地点以外使用电脑的员工。