下载文档原格式
最新ISO27001-2013信息安全管理体系管理手册、程序文件ISO27001-2013信息安全管理体系管理手册ISMS-M-yyyy 版本号：A/0受控状态： ■ 受 控 □ 非受控日期： 2019年1月8日 实施日期： 2019年1月8日修改履历00 目录00 目录 (2)01 颁布令 (1)02 管理者代表授权书 (1)03 企业概况 (1)04 信息安全管理方针目标 (1)05 手册的管理 (1)06 信息安全管理手册 (1)1 范围 (1)1.1 总则 (1)1.2 应用 (1)2 规范性引用文件 (1)3 术语和定义 (1)3.1 本公司 (1)3.2 信息系统 (1)3.3 计算机病毒 (2)3.4 信息安全事件 (2)3.5 相关方 (2)4 组织环境 (2)4.1 组织及其环境 (2)4.2 相关方的需求和期望 (2)4.3 确定信息安全管理体系的范围 (2)4.4 信息安全管理体系 (3)5 领导力 (3)5.1 领导和承诺 (3)5.2 方针 (4)5.3 组织角色、职责和权限 (4)6 规划 (4)6.1 应对风险和机会的措施 (4)6.2 信息安全目标和规划实现 (6)7 支持 (7)7.1 资源 (7)7.2 能力 (7)7.3 意识 (8)7.4 沟通 (8)7.5 文件化信息 (8)8 运行 (9)8.1 运行的规划和控制 (9)8.2 信息安全风险评估 (9)8.3 信息安全风险处置 (10)9 绩效评价 (10)9.1 监视、测量、分析和评价 (10)9.2 内部审核 (11)9.3 管理评审 (12)10 改进 (12)10.1 不符合和纠正措施 (12)10.2 持续改进 (13)附录A 信息安全管理组织结构图 (1)附录B 信息安全管理职责明细表 (1)附录C 信息安全管理程序文件清单 (1)01 颁布令为提高**公司**的信息安全管理水平，保障我公司业务活动的正常进行，防止由于信息系统的中断、数据的丢失、敏感信息的泄密所导致的公司和客户的损失，我公司开展贯彻ISO/IEC27001:2013《信息技术-安全技术-信息安全管理体系要求》国际标准工作，建立、实施和持续改进文件化的信息安全管理体系，制定了**公司** 《信息安全管理手册》。
1.相关方需求和期望管理程序1.1. 制定目的明确与公司质量环境管理体系有关的相关方，并确定这些相关方的需求与期望。
以做为公司生产和服务的行动指南，提供满足相关需求和法律法规的产品和服务。
1.2. 适用范围公司整个生产经营过程。
1.3. 职责权限1、各部门负责相关方的要求及期望的识别2、行政部负责对各部门识别的相关方的要求及期望进行统计3、行政部负责将要求及期望作为风险分析及目标的输入。
1.4. 术语定义无1.5. 工作程序1、总经理（或授权人员），于体系导入之初，组织业务部、软件部、硬件部、客服部（市场部）、工程部确定与公司质量管理体系有关的相关方，包括但不仅限于：核心客户、供方、所在地政府机关、第三方认证（检测）机构、内部员工及总公司等。
2、总经理（或授权人员）组织行政部、财务部、采购部、质检度、生产部、软件部、硬件部、客服部、市场部、项目部等部门，向本部门所主导联系的相关方发放《相关方的需求和期望清单》，识别相关方的需求与期望。
3、总经理（或授权人员）组织行政部、财务部、采购部、质检度、生产部、软件部、硬件部、客服部、市场部、项目部等部门，对识别出的相关方的需求与期望进行汇总，形成《相关方的需求和期望清单》，确定相关方合理的需求与期望，并制定相对的制度，以落实到公司的紧固件生产和服务过程中；4、总经理委托行政部，每半年召开一次相关方需求和期望达成程度分析会议，各部门应汇报本部门所主导联系的相关方需求和期望的达成状况、未达成事项及实施对策。
由业务员汇总后呈报总经理决策。
5、总经理（或授权人员）组织行政部、财务部、采购部、质检度、生产部、软件部、硬件部、客服部、市场部、项目部等部门，于每年年尾或次年年初，对确定的相关方的需求与期望进行评审，是否已达成。
并将达成情况做为管理评审的输入资料。
6、总经理（或授权人员），每年年初重新对相关方发放《相关方的需求和期望清单》并进行识别，以了解相关方的需求与期望是否发生变化，及时更新《相关方的需求和期望清单》。
修订日期：2019.12.18修订日期：2019.12.18信息安全风险评估管理程序1 适用本程序适用于本公司信息安全管理体系（ISMS）范围内信息安全风险评估活动。
2 目的本程序规定了本公司所采用的信息安全风险评估方法。
通过识别信息资产、风险等级评估，认知本公司的信息安全风险，在考虑控制成本与风险平衡的前提下选择合适控制目标和控制方式将信息安全风险控制在可接受的水平，保持本公司业务持续性发展，以满足本公司信息安全管理方针的要求。
3 范围本程序适用于第一次完整的风险评估和定期的再评估。
在辨识资产时，本着尽量细化的原则进行，但在评估时我司又会把资产按照系统进行规划。
辨识与评估的重点是信息资产，不区分物理资产、软件和硬件。
4 职责4.1 成立风险评估小组办公室负责牵头成立风险评估小组。
4.2 策划与实施风险评估小组每年至少一次，或当体系、组织、业务、技术、环境等影响企业的重大事项发生变更、重大事故事件发生后，负责编制信息安全风险评估计划，确认评估结果，形成《信息安全风险评估报告》。
4.3 信息资产识别与风险评估活动各部门负责本部门使用或管理的信息资产的识别，并负责本部门所涉及的信息资产的具体安全控制工作。
4.3.1 各部门负责人负责本部门的信息资产识别。
4.3.2 办公室经理负责汇总、校对全公司的信息资产。
修订日期：2019.12.184.3.3 办公室负责风险评估的策划。
4.3.4 信息安全小组负责进行第一次评估与定期的再评估。
5 程序5.1 风险评估前准备5.1.1 办公室牵头成立风险评估小组，小组成员至少应该包含：信息安全管理体系负责部门的成员、信息安全重要责任部门的成员。
5.1.2风险评估小组制定信息安全风险评估计划，下发各部门内审员。
5.1.3必要时应对各部门内审员进行风险评估相关知识和表格填写的培训。
5.2 信息资产的识别5.2.1 本公司的资产范围包括：5.2.1.1信息资产1)数据文档资产：客户和公司数据，各种介质的信息文件包括纸质文件。
文件制修订记录1.0目的为了使组织内部不同层次和职能之间更充分了解并尽量满足顾客需求及其环境信息的有效交流。
2.0适用范围适用于我公司的活动、产品或服务范围内相关信息的沟通交流。
3.0定义顾客：接受产品的组织或个人。
相关方：关注组织环境表现（行为）或受其环境表现（行为）影响的个人或团体。
4.0职责4.1人力资源部负责对全公司员工管理方面的培训并确认效果。
4.2市场部确保外部信息的接收、处理及回答等有效实施。
4.3各部门经理确保内部信息沟通按程序有效实施。
4.4管理者代表负责与质量对内外有关事宜的联络5.0工作程序5.1内外部沟通目的5.1.1有助于阐明公司对质量/环境的承诺；5.1.2提高对公司方针、目标指标的认识；5.1.3有助于员工了解公司管理体系的表现；5.1.4促进公众对公司管理表现及所做努力的理解和认同；5.1.5及时将对管理体系进行监视、审核和评审的结果传达给公司内部有关人员。
5.2内外部沟通内容5.2.1公司简介；5.2.2方针、目标指标；5.2.3管理过程；5.2.4绩效评价、管理体系有效性；5.2.5需要改进的地方；5.2.6独立验证的情况等；5.3环境信息交流5.3.1内部环境信息交流5.3.1.1环境管理建议处理a.员工有任何关于管理的建议，须联络至文控中心呈管理者代表处理，由管理者代表委派文控中心进行沟通处理；b.处理结果由文控中心转达信息至原建议者；c.如果建议有改进管理体系的效益，应于管理评审会议中讨论；d.所有建议及处理结果均应留下记录，记录正本由文控中心统一管理。
5.3.1.2方针、目标的贯彻管理者代表和文控中心可通过以下方式贯彻其效果：a.利用文件宣传贯彻；b.借由公司集会广告而之；c.在内部进行宣传贯彻。
5.3.2外部环境信息交流5.3.2.1外部环境管理建议处理a.人力资源部负责收集外界（不包括公司客户）对公司环境管理事务的任何建议。
销售部负责收集公司客户对公司环境管理事务的任何建议；b.接收方式可为电话、传真、信件、口述或其它可行方式，接收时应告知建议者处理流程大约所需时间；c.人力资源部应将接收的信息联络至文控中心处理；d.处理结果应呈管理者代表批准后告知提议者；e.建议及处理结果的联络记录由文控中心统一管理；f.外部相关方及供应商若须了解或取得本公司环境方针时，文控中心须予以说明或提供。
最新ISO27001信息安全管理体系全套程序文件信息安全管理体系程序文件目录1 适用本程序适用于公司信息安全事故、薄弱点、故障和风险处置的管理。
2 目的为建立一个适当信息安全事故、薄弱点、故障风险处置的报告、反应与处理机制，减少信息安全事故和故障所造成的损失，采取有效的纠正与预防措施，正确处置已经评价出的风险，特制定本程序。
3 职责3.1 各系统归口管理部门主管相关的安全风险的调查、处理及纠正措施管理。
3.2 各系统使用人员负责相关系统安全事故、薄弱点、故障和风险的评价、处置报告。
4 程序4.1 信息安全事故定义与分类：4.1.1 信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等原因直接造成下列影响（后果)之一，均为信息安全事故：a) 企业秘密、机密及国家秘密泄露或丢失；b) 服务器停运4 小时以上；c) 造成信息资产损失的火灾、洪水、雷击等灾害；d) 损失在十万元以上的故障/事件。
4.1.2 信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等原因直接造成下列影响（后果)之一，属于重大信息安全事故：a) 企业机密及国家秘密泄露；b) 服务器停运8 小时以上；c) 造成机房设备毁灭的火灾、洪水、雷击等灾害；d) 损失在一百万元以上的故障/事件。
4.1.3 信息安全事件包括：a) 未产生恶劣影响的服务、设备或者实施的遗失；b) 未产生事故的系统故障或超载；c) 未产生不良结果的人为误操作；d) 未产生恶劣影响的物理进入的违规e) 未产生事故的未加控制的系统变更；f) 策略、指南和绩效的不符合；g) 可恢复的软件、硬件故障；h) 未产生恶劣后果的非法访问。
4.2 故障与事故的报告渠道与处理4.2.1 故障、事故报告要求故障、事故的发现者应按照以下要求履行报告任务：a) 各个信息管理系统使用者，在使用过程中如果发现软硬件故障、事故，应该向该系统归口管理部门报告；如故障、事故会影响或已经影响线上生产，必须立即报告相关部门，采取必要措施，保证对生产的影响降至最低；b) 发生火灾应立即触发火警并向安全监督部报告，启动消防应急预案；c) 涉及企业秘密、机密及国家秘密泄露、丢失应向行政部报告；d) 发生重大信息安全事故，事故受理部门应向信息安全管理者代表和有关公司领导报告。
ISO27001产品概述；ISO/IEC27001 信息安全管理体系（ISMS——information security management system)是信息安全管理的国际标准。
最初源于英国标准BS7799，经过十年的不断改版，最终再2005年被国际标准化组织（ISO）转化为正式的国际标准，目前国际采用进一步更新的ISO/IEC27001:2013作为企业建立信息安全管理的最新要求。
该标准可用于组织的信息安全管理建设和实施，通过管理体系保障组织全方面的信息安全，采用PDCA过程方法，基于风险评估的风险管理理念，全面系统地持续改进组织的信息安全管理。
Plan规划：信息安全现状调研与诊断、定义ISMS的范围和方针、定义风险评估的系统性方针、资产识别与风险评估方法、评价风险处置的方法、明确控制目标并采取控制措施、输出合理的适用性声明（SOA）；DO：实施控制的管理程序、实施所选择的控制措施、管理运行、资源提供、人员意识和能力培训；Check:执行监视和测量管理程序、实施检查措施并定期评价其有效性、评估残余风险和可接受风险的等级、ISMS内部审核、ISMS管理评审、记录并报告所有活动和事态事件；Act：测量ISMS业绩、收集相关的改进建议并处置、采取适当的纠正和预防措施、保持并改进ISMS确保持续运行。
条件：1) 企业需持有工商行政管理部门颁发的《企业法人营业执照》、《生产许可证》、《组织机构代码证》、《税务登记证》等有效资质文件；2) 申请方应按照国际有效标准（ISO/IEC27001:2013）的要求在组织内建立信息安全管理体系，并实施运行至少3个月以上；3) 至少完成一次内部审核，并进行了有效的管理评审；4) 提供企业业务相关的必备资质：如系统集成资质、安防资质等，并且保证资质的有效性和合法性。
材料1) 法律地位证明文件（如企业法人营业执照、事业单位法人代码证书、社团法人登记证等），组织机构代码证复印件加盖公章。
