下载文档原格式
XXX科技有限公司
记录控制程序
编号：ISMS-B-03
版本号：V1.0
编制：日期：
审核：日期：
批准：日期：
受控状态
1 目的
为确保对信息安全记录的标识、贮存、保护、检索、保存期限和处置实施有效管理，特制定本程序。
2 范围
本程序适用于本组织证实信息安全管理体系符合要求和有效运行的记录管理。
3 职责
综合管理部负责信息安全记录的管理。
4 相关文件
《信息安全管理手册》
《商业秘密管理程序》
《重要信息备份管理程序》
《信息安全记录分类与保存期限清单》
5 程序
5.1 记录的标识
5.1.1 标识
信息安全记录应有追溯标识（如流水号），追溯标识由各职能部门确定。
文件编号按照《[SANDSTONE-ISMS-B-02]文件控制程序》“5.4 文件标识”中定义的规则进行。
5.1.2 密级
记录的密级分类按《商业秘密管理程序》规定进行，涉密信息应将密级标识。
XXXXXX软件有限公司人性化科技提升业绩个人电脑和存储设备分类分级管理规定目录目标 (2)适用范围 (2)一、设备分类 (2)二、设备分级 (2)1、笔记本电脑分类 (3)2、设备分级 (3)3、人个电脑和存储设备管理规定 (4)4、个人电脑的运行配置的更新 (5)6、数据保密和安全管理 (6)7、日常管理 (6)8、领取流程 (7)9、维护、维修与赔偿 (7)10、归还 (8)11、注意事项 (9)目标个人电脑和存储设备目前已经成为员工办公的主要设备，需要对这些设备进行分级，根据不同权限，规范各类设备的使用，以提高公司对这些设备使用的信息安全管理水平。
适用范围本规定适用于所有员工。
一、设备分类个人电脑和存储设备在硬件管理大类里同属于三级硬件包括台式机、笔记本、手机、移动存储等办公终端或存储设备，标记为H3（见《硬件资产分级管理制度》），按照其上存储的或操作的信息重要性和安全级别的不同，可以划分了一至五级，标记为M1~M5（当设备没有存放或操作任何信息资产时，标记为M5)。
为了便于识别不同设备的风险，将上述设备分为以下细类并给予相应的标记。
1、台式机和固定存储：指不可移动的个人电脑和存储设备。
标记为FX（固定）。
2、移动机：指笔记本、手机移动设备。
标记为MP（移动个人）。
3、可读写的移动存储：指所有可读写的移动存储，包括优盘、移动硬盘、可读写的光盘等。
标记为MW（移动可写）4、只读移动存储：一旦写入即不可擦除的移动设备，如只读光盘等。
标记为MR（移动只读）。
5、其他硬件设备：除H3类硬件设备外，其他固定设备包括服务器、网络交换机(H1、H2、H4)等，标记缺省为FX(即可以不作标记)。
二、设备分级1、笔记本电脑分类1) 自备笔记本电脑为了方便员工高效工作，公司允许员工自备笔记本电脑办公。
2) 公司配备笔记本电脑对于符合以下条件的员工可以向公司提出申请配备笔记本电脑：●经理级别以上管理人员。
●经常需要在公司办公地点以外使用电脑的员工。
XXXXXX软件有限公司人性化科技提升业绩个人电脑和存储设备分类分级管理规定目录目标 (2)适用范围 (2)一、设备分类 (2)二、设备分级 (2)1、笔记本电脑分类 (3)2、设备分级 (3)3、人个电脑和存储设备管理规定 (4)4、个人电脑的运行配置的更新 (5)6、数据保密和安全管理 (6)7、日常管理 (6)8、领取流程 (7)9、维护、维修与赔偿 (7)10、归还 (8)11、注意事项 (9)目标个人电脑和存储设备目前已经成为员工办公的主要设备，需要对这些设备进行分级，根据不同权限，规范各类设备的使用，以提高公司对这些设备使用的信息安全管理水平。
适用范围本规定适用于所有员工。
一、设备分类个人电脑和存储设备在硬件管理大类里同属于三级硬件包括台式机、笔记本、手机、移动存储等办公终端或存储设备，标记为H3（见《硬件资产分级管理制度》），按照其上存储的或操作的信息重要性和安全级别的不同，可以划分了一至五级，标记为M1~M5（当设备没有存放或操作任何信息资产时，标记为M5)。
为了便于识别不同设备的风险，将上述设备分为以下细类并给予相应的标记。
1、台式机和固定存储：指不可移动的个人电脑和存储设备。
标记为FX（固定）。
2、移动机：指笔记本、手机移动设备。
标记为MP（移动个人）。
3、可读写的移动存储：指所有可读写的移动存储，包括优盘、移动硬盘、可读写的光盘等。
标记为MW（移动可写）4、只读移动存储：一旦写入即不可擦除的移动设备，如只读光盘等。
标记为MR（移动只读）。
5、其他硬件设备：除H3类硬件设备外，其他固定设备包括服务器、网络交换机(H1、H2、H4)等，标记缺省为FX(即可以不作标记)。
二、设备分级1、笔记本电脑分类1) 自备笔记本电脑为了方便员工高效工作，公司允许员工自备笔记本电脑办公。
2) 公司配备笔记本电脑对于符合以下条件的员工可以向公司提出申请配备笔记本电脑：●经理级别以上管理人员。
●经常需要在公司办公地点以外使用电脑的员工。
管理程序名称涉及部门及角色相关文件[RC-IS-C-01]管理评审程序总经理、综合管理部《信息安全管理手册》《文件控制程序》《记录控制程序》[RC-IS-C-02]内部审核管理程序综合管理部、信息安全管理小组、其他各部门《信息安全管理手册》[RC-IS-C-03]纠正措施控制程序综合管理部、信息安全管理小组《信息安全管理手册》《文件控制程序》[RC-IS-C-04]预防措施控制程序综合管理部、信息安全管理小组《信息安全管理手册》《文件控制程序》[RC-IS-C-05]文件控制程序总经理、信息安全管理小组负责人、信息安全管理小组《信息安全管理手册》《信息安全适用性声明》《商业秘密管理程序》《信息安全法律法规管理程序》[RC-IS-C-06]记录控制程序安全管理小组《信息安全管理手册》《信息安全管理文件标识规范》《商业秘密管理程序》《重要信息备份管理程序》《信息安全记录分类与保存期限清单》[RC-IS-C-07]信息安全法律法规管理程序综合管理部、各部门《信息安全管理手册》《文件控制程序》[RC-IS-C-08]信息分类管理程序综合管理部《中华人民共和国保守国家秘密法》《信息安全管理手册》[RC-IS-C-09]信息安全风险管理程序信息安全管理小组、风险评估小组、各部门《信息安全管理手册》《商业秘密管理程序》[RC-IS-C-10]安全区域管理程序综合管理部、其他部门《信息安全管理手册》《安全区域管理程序》[RC-IS-C-11]信息安全事件管理程序技术服务部、各系统使用人员《信息安全管理手册》《信息安全奖惩管理程序》[RC-IS-C-12]信息安全沟通协调管理程序信息安全管理小组、其他部门《信息安全管理手册》《组织管理》《职责权限》《信息安全法律法规管理程序》[RC-IS-C-13]网络设备安全配置管理程序技术服务部《信息安全管理手册》《信息系统访问与使用监控管理程序》[RC-IS-C-14]信息处理设施安装使用管理程序综合管理部《信息安全管理手册》《产品开发管理规范》《项目开发管理规范》[RC-IS-C-15]信息处理设施维护管理程序综合管理部《信息安全管理手册》[RC-IS-C-16]用户访问管理程序综合管理部、技术服务部《信息安全管理手册》《口令策略》[RC-IS-C-17]第三方服务管理程序综合管理部、商务拓展部、其他相关部门《信息安全管理手册》《相关方信息安全管理程序》《安全区域管理程序》《信息系统访问与使用监控管理程序》[RC-IS-C-18]相关方信息安全管理程序综合管理部、各相关部门《安全区域管理程序》《物理访问策略》《用户访问管理程序》[RC-IS-C-19]业务持续性管理程序综合管理部、各相关部门《信息安全事件管理程序》[RC-IS-C-20]可移动介质管理程序综合管理部、可移动介质使用部门《信息安全管理手册》[RC-IS-C-21]商业秘密管理程序母公司、全体员工《中华人民共和国保守国家秘密法》《信息安全管理手册》《保密协议》《安全区域管理程序》《物理访问策略》《信息安全事件管理程序》[RC-IS-C-22]知识产权管理程序商务拓展部、各部门《商业秘密管理程序》[RC-IS-C-23]变更管理程序IT技术服务部、其它部门《信息安全管理手册》《变更管理安全策略》[RC-IS-C-25]恶意软件管理程序 IT技术服务部、其他各部门《信息安全管理手册》《重要信息备份管理程序》《计算机管理程序》[RC-IS-C-26]电子邮件管理程序 IT技术服务部、综合管理部《信息安全管理手册》《信息系统访问与使用监控管理程序》《电子邮件使用准则》[RC-IS-C-28]计算机管理程序IT技术服务部无[RC-IS-C-32]人事管理流程综合管理部[RC-IS-C-33]信息系统开发管理程序产品研发部、技术服务部《信息安全管理手册》《软件变更管理程序》《第三方服务管理程序》《恶意软件管理程序》《项目开发管理规范》《产品开发管理规范》[RC-IS-C-39]信息安全奖惩管理程序各部门、综合管理部、总经理办《员工行为规范》《信息安全管理手册》《信息安全事件管理程序》[RC-IS-C-41]信息系统访问与使用监控管理程序IT技术服务部《信息安全管理手册》《信息安全事件管理程序》[RC-IS-C-42]信息系统验收管理程序信息安全管理小组《信息安全管理手册》《软件开发管理程序》《变更管理程序》[RC-IS-C-44]重要信息备份管理程序 IT部、各部门《信息安全管理手册》《可移动介质管理程序》《信息处理设施维护管理程序》《信息备份安全策略》[RC-IS-C-50]办公环境维护管理规[RC-IS-C-51]固定资产管理办法[RC-IS-C-53]测试管理工作规范[RC-IS-C-54]机房管理规范技术服务部《设备管理规定》记录文件《管理评审计划》《信息安全管理体系运行情况报告》《管理评审通知单》《管理评审会议签到表》《管理评审会议记录》《管理评审报告》《年度内审计划》《内部审核计划》《内部审核方案》《审核组长（成员）任命书》《内部审核员评定表》《信息安全重要岗位评定表》《不符合项报告及纠正报告单分布表》《不符合项报告及纠正报告单》《内部审核报告》《内部审核报告发放记录》《不符合项报告及纠正报告单》《不符合项报告及纠正报告单分布表》《纠正与预防措施报告》《信息安全文件一览表》《文件发放/回收一览表》《文件修改通知单》《外来文件清单》《信息安全记录一览表》《记录借阅登记表》《记录销毁记录表》《信息安全法律法规及要求清单》《资产清单》《信息安全风险评估计划》《资产清单》（含《重要资产清单》）《信息安全风险评估表》（含《风险处理计划》）《信息安全风险评估报告》《剩余风险评估报告》《机房进出登记表》《员工外出登记》《应聘登记表》《外来人员登记表》《信息安全事件调查处理报告》《信息安全专家名单》无《采购计划书》《采购合同》《验收报告》《重要资产清单》《设施报废记录》《访问权限复核记录》《进出登记表》《第三方服务合同》《第三方服务保密协议》《知识产权声明书》《第三方变更报告》《相关方保密协议》《相关方一览表》(主要是供方一览表)《业务风险分析报告》《业务持续性管理计划》《演练报告以及改进》《可移动介质使用登记表》《可移动介质使用清单》《项目资料复印登记表》《项目资料借阅登记表》《涉密文件借阅/复印登记表》《变更跟踪表》《设施报废记录》《个人计算机日常检查表》《电子邮箱一览表》无《系统访问权限说明书》《重要信息备份周期一览表》《软件使用手册》《惩戒申报单》《奖励建议书》《日志审核记录》《用户手册》《验收报告》《测试报告》《缺陷记录》《重要信息备份周期一览表》《重要信息备份记录》。
质量记录分类及保存期限规定
1 目的
加强质量记录的控制,保证记录的有效性。
2 适用范围
本标准适用于程序文件所涉及的各类质量记录。
3 管理职责
各有关部门按本规定对质量记录进行分类、装订、造册并保存。
4 工作程序
4.1 质量记录的分类
4.1.1 质量记录按性质分为证明质量体系有效运行和产品符合规定要求两大类质量记录。
4.1.2 按保存期限分为永久、十年、五年、三年四类。
4.2 质量记录的保存部门
4.2.1 附表中列出的保存部门是质量手册中规定的主要职责部门。
4.2.2 同一种质量记录除了主要职责部门外,相关的部门也应该加以保存。
4. 3 质量记录保存期限
4.3.1 附表中所列部门应按表中规定期限对质量记录进行保存。
4.3.2 同一种质量记录除了主要职责部门按规定保存外,相关部门也应按附表规定进行保存。
见附录A:《质量记录保存期限表》
5 检查与考核
由体系中心每年检查考核一次。
《质量记录分类及保存期限规定》。
