ISMS手册-信息安全管理体系手册

最新ISO27001信息安全管理体系全套文件（手册+程序文件+作业规范）系程序文件目录信息安全管理体系作业文件目录1 适用本程序适用于公司信息安全事故、薄弱点、故障和风险处置的管理。

2 目的为建立一个适当信息安全事故、薄弱点、故障风险处置的报告、反应与处理机制，减少信息安全事故和故障所造成的损失，采取有效纠正与预防措施，正确处置已经评价出风险，特制定本程序。

3 职责3.1 各系统归口管理部门主管相关安全风险的调查、处理及纠正措施管理。

3.2 各系统使用人员负责相关系统安全事故、薄弱点、故障和风险的评价、处置报告。

4 程序4.1 信息安全事故定义与分类：4.1.1 信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等原因直接造成下列影响（后果)之一，均为信息安全事故：a) 企业秘密、机密及国家秘密泄露或丢失；b) 服务器停运4 小时以上；c) 造成信息资产损失的火灾、洪水、雷击等灾害；d) 损失在十万元以上的故障/事件。

4.1.2 信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等原因直接造成下列影响（后果)之一，属于重大信息安全事故：a) 企业机密及国家秘密泄露；b) 服务器停运8 小时以上；c) 造成机房设备毁灭的火灾、洪水、雷击等灾害；d) 损失在一百万元以上的故障/事件。

4.1.3 信息安全事件包括：a) 未产生恶劣影响的服务、设备或者实施的遗失；b) 未产生事故的系统故障或超载；c) 未产生不良结果的人为误操作；d) 未产生恶劣影响的物理进入的违规e) 未产生事故的未加控制的系统变更；f) 策略、指南和绩效的不符合；g) 可恢复的软件、硬件故障；h) 未产生恶劣后果的非法访问。

4.2 故障与事故的报告渠道与处理4.2.1 故障、事故报告要求故障、事故的发现者应按照以下要求履行报告任务：a) 各个信息管理系统使用者，在使用过程中如果发现软硬件故障、事故，应该向该系统归口管理部门报告；如故障、事故会影响或已经影响线上生产，必须立即报告相关部门，采取必要措施，保证对生产的影响降至最低；b) 发生火灾应立即触发火警并向安全监督部报告，启动消防应急预案；c) 涉及企业秘密、机密及国家秘密泄露、丢失应向行政部报告；d) 发生重大信息安全事故，事故受理部门应向信息安全管理者代表和有关公司领导报告。

ISMS信息安全管理体系文件(全面)4第2页2.2 术语和定义下列文件中的条款通过本《ISMS信息安全管理体系文件》的引用而成为本《ISMS信息安全管理体系文件》的条款。

凡是注日期的引用文件，其随后所有的修改单或修订版均不适用于本体系文件，然而，信息安全管理委员会应研究是否可使用这些文件的最新版本。

凡是不注日期的引用文件、其最新版本适用于本信息安全管理手册。

ISO/IEC 27001，信息技术-安全技术-信息安全管理体系-概述和词汇2.3引用文件ISO/IEC 27001中的术语和定义适用于本手册。

本公司：上海海湃计算机科技有限公司信息系统：指由计算机及其相关的和配套的设备、设施（含网络）构成的，且按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

计算机病毒：指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。

信息安全事件：指导致信息系统不能提供正常服务或服务质量下降的技术故障事件、利用信息系统从事的反动有害信息和涉密信息的传播事件、利用网络所从事的对信息系统的破坏窃密事件。

相关方：关注本公司信息安全或与本公司信息安全绩效有利益关系的组织个人。

主要为：政府、上级部门、供方、用户等。

2.3.1组织环境，理解组织及其环境本公司在系统开发、经营、服务和日常管理活动中，确定与其目标相关并影响其实现信息安全管理体系预期结果的能力的外部和内部问题。

2.3.2 理解相关方的需求和期望组织应确定：1）与信息安全管理体系有关的相关方2）这些相关方与信息安全有关的要求。

2.3.3 确定信息安全管理体系的范围本公司应确定信息安全管理体系的边界和适用性，本公司信息安全管理体系的范围包括：1）本公司的认证范围为：防伪票据的设计、开发所涉及的相关人员、部门和场所的信息安全管理活动。

2）与所述信息系统有关的活动3）与所述信息系统有关的部门和所有员工；4）所述活动、系统及支持性系统包含的全部信息资产。

文档密级：一般文档状态：［］草案［V］正式发布［］正在修订受控状态：［V］受控［］非受控1. 目的和适用范围目的1.2. 适用范围2.2.1.引用标准...2.2.引用文件...2.3.定义和术语引用标准、文件、术语及定义2.3.1. 术语2.3.2. 缩写3. 信息安全管理体系3.1. 总要求3.2. 建立和管理ISMS建立ISMS ...321.3.2.2. ISMS实施及运作4.3.2.3.3.2.3.1.3.2.3.2.3.2.3.3.3.2.4.ISMS的监督检查与评审控制措施管理评审残余风险的评审ISMS保持与改进3.3. 文件要求信息安全管理方针目录错误!未定义书签。

错误!未定义书签。

错误!未定义书签。

错误!未定义书签。

错误!未定义书签。

错误!未定义书签。

错误！未定义书签。

错误！未定义书签。

错误！未定义书签。

错误!未定义书签。

错误!未定义书签。

131.目的和适用范围1.1. 目 的对信息安全风险进行有效管理，确保全体员工理解并遵照执行信息安全管理体系文件、 改进ISMS 的有效性，参考《管理手册》，特制定本手册。

12适用范围结合《管理手册》，本《信息安全管理手册》规定了本公司信息安全管理体系涉及的生 产、营销、服务和日常管理等方面内容。

整个信息安全管理体系（ISMS ）的覆盖范围包括:本公司涉及营销、生产服务和日常管理的重要信息系统和生产系统;基于军工、人力资源和社会保障、医疗卫生、公积金、民政、食药监、金融等领域 的系统建设和维护服务e ）所述活动、系统及支持性系统包含的全部信息资产。

£027001:2013 《信息技术、安全技术、信息安全管理体系要求》In formati on tech no logy . Security tech niq ues .In formatio n security man ageme nt systems . Requireme nts—Code of p ractice for in formati on Security manageme nt为了建立、健全本公司信息安全管理体系（简称ISMS ），确定信息安全方针和目标,持续b) 与所述信息系统有关的活动;C ） 与所述信息系统有关的部门和所有正式员工, a) d) 2.弓 用标准、文件2.1.引 用标准1、 2、 ISO27002:2005《信息技术一一信息安全管理实施细则》In formati on tech no logy22引用文件《管理手册》3.定义和术语3.1.术语本手册中使用术语的定义采用ISO / IEC 27000 的术语和定义。

信息安全管理手册版本号：V1.0目录01 颁布令 (1)02 管理者代表授权书 (2)03 企业概况 (3)04 信息安全管理方针目标 (3)05 手册的管理 (6)信息安全管理手册 (7)1 范围 (7)1.1 总则 (7)1.2 应用 (7)2 规范性引用文件 (8)3 术语和定义 (8)3.1 本公司 (8)3.2 信息系统 (8)3.3 计算机病毒 (8)3.4 信息安全事件 (8)3.5 相关方 (8)4 信息安全管理体系 (9)4.1 概述 (9)4.2 建立和管理信息安全管理体系 (9)4.3 文件要求 (15)5 管理职责 (18)5.1 管理承诺 (18)5.2 资源管理 (18)6 内部信息安全管理体系审核 (19)6.1 总则 (19)6.2 内审策划 (19)6.3 内审实施 (19)7 管理评审 (21)7.1 总则 (21)7.2 评审输入 (21)7.3 评审输出 (21)7.4 评审程序 (22)8 信息安全管理体系改进 (23)8.1 持续改进 (23)8.2 纠正措施 (23)8.3 预防措施 (23)01 颁布令为提高我公司的信息安全管理水平，保障公司业务活动的正常进行，防止由于信息安全事件（信息系统的中断、数据的丢失、敏感信息的泄密）导致的公司和客户的损失，我公司开展贯彻GB/T22080-2008idtISO27001:2005《信息技术-安全技术-信息安全管理体系要求》国际标准工作，建立、实施和持续改进文件化的信息安全管理体系，制定了《信息安全管理手册》。

《信息安全管理手册》是企业的法规性文件，是指导企业建立并实施信息安全管理体系的纲领和行动准则，用于贯彻企业的信息安全管理方针、目标，实现信息安全管理体系有效运行、持续改进，体现企业对社会的承诺。

《信息安全管理手册》符合有关信息安全法律、GB/T22080-2008idtISO27001:2005《信息技术-安全技术-信息安全管理体系-要求》标准和企业实际情况，现正式批准发布，自2015年 12月 23 日起实施。

信息安全管理体系建立方法以BS7799的管理思想介绍通用安全管理体系建立的方法；信息安全管理包括诸多方面，如风险管理、工程管理、业务连续性管理等，每项管理的要点均有不同。

后续将详细介绍不同部分的管理。

1 信息安全管理体系概述1.1什么是信息安全管理体系信息安全管理体系，即Information Security Management System(简称ISMS)，是组织在整体或特定范围内建立的信息安全方针和目标，以及完成这些目标所用的方法和体系。

它是直接管理活动的结果，表示为方针、原则、目标、方法、计划、活动、程序、过程和资源的集合。

BS7799－2是建立和维持信息安全管理体系的标准，标准要求组织通过确定信息安全管理体系范围，制定信息安全方针，明确管理职责，以风险评估为基础选择控制目标与控制措施等一系列活动来建立信息安全管理体系；体系一旦建立，组织应按体系的规定要求进行运作，保持体系运行的有效性；信息安全管理体系应形成一定的文件，即组织应建立并保持一个文件化的信息安全管理体系，其中应阐述被保护的资产、组织风险管理方法、控制目标与控制措施、信息资产需要保护的程度等内容。

1. ISMS的范围ISMS的范围可以根据整个组织或者组织的一部分进行定义，包括相关资产、系统、应用、服务、网络和用于过程中的技术、存储以及通信的信息等，ISMS的范围可以包括：●组织所有的信息系统；●组织的部分信息系统；●特定的信息系统。

此外，为了保证不同的业务利益，组织需要为业务的不同方面定义不同的ISMS。

例如，可以为组织和其他公司之间特定的贸易关系定义ISMS，也可以为组织结构定义ISMS，不同的情境可以由一个或者多个ISMS表述。

2.组织内部成功实施信息安全管理的关键因素●反映业务目标的安全方针、目标和活动；●与组织文化一致的实施安全的方法；●来自管理层的有形支持与承诺；●对安全要求、风险评估和风险管理的良好理解；●向所有管理者及雇员推行安全意思；●向所有雇员和承包商分发有关信息安全方针和准则的导则；●提供适当的培训与教育；●用于评价信息安全管理绩效及反馈改进建议，并有利于综合平衡的测量系统。

XXXXXXXX有限公司信息安全管理手册目录1 目的 (5)2 范围 (5)3 总体安全目标 (5)4 信息安全 (5)5 信息安全组织 (5)5.1 信息安全组织 (5)5.2 信息安全职责 (6)5.3 信息安全操作流程 (7)6 信息资产分类与控制 (8)6.1 信息资产所有人责任 (8)6.1.1 信息资产分类 (8)6.1.2 信息资产密级 (9)6.2 信息资产的标识和处理 (9)7 人员的安全管理 (10)7.1 聘用条款和保密协议 (10)7.1.1聘用条款中员工的信息安全责任 (10)7.1.2商业秘密 (11)7.2 人员背景审查 (12)7.2.1 审查流程 (13)7.2.2 员工背景调查表 (13)7.3 员工培训 (14)7.3.1 培训周期 (14)7.3.2 培训效果检查 (14)7.4 人员离职 (15)7.4.1离职人员信息交接流程 (15)7.5 违规处理 (15)7.5.1信息安全违规级别 (15)7.5.2信息安全违规处理流程 (16)7.5.3违规事件处理流程图 (17)8 物理安全策略 (17)8.1场地安全 (17)8.1.1 FBI受控区域的划分 (18)8.1.1.1受控区域级别划分 (18)8.1.1.2 重要区域及受控区域管理责任划分 (18)8.1.1.3 物理隔离 (18)8.1.2出入控制 (19)8.1.3名词解释 (19)8.1.4人员管理 (19)8.1.4.1人员进出管理流程 (19)8.1.4.1.1公司员工 (19)8.1.4.1.2来访人员 (20)8.1.5 卡证管理规定 (23)8.1.5.1卡证分类 (23)8.1.5.2卡证申请 (23)8.1.5.3卡证权限管理 (24)8.2设备安全 (24)8.2.1设备安全规定 (24)8.2.2设备进出管理流程 (26)8.2.2.1设备进场 (26)8.2.2.2 设备出场 (27)8.2.3BBB办公设备进出管理流程 (28)8.2.3.1设备进场 (28)8.2.3.2设备出场 (29)8.2.4特殊存储设备介质管理规定 (30)8.2.5 FBI场地设备加封规定 (31)8.2.6 FBI场地设备报修处理流程 (31)9 IT安全管理 (31)9.1网络安全管理规定 (31)9.2系统安全管理规定 (32)9.3病毒处理管理流程 (32)9.4权限管理 (33)9.4.1权限管理规定 (33)9.4.2配置管理规定 (33)9.4.3员工权限矩阵图 (35)9.5数据传输规定 (36)9.6业务连续性 (36)9.7 FBI机房、实验室管理 (37)9.7.1门禁系统管理规定 (37)9.7.2服务器管理规定 (37)9.7.3网络管理规定 (38)9.7.4监控管理规定 (38)9.7.5其它管理规定 (38)10信息安全事件和风险处理 (39)10.1信息安全事件调查流程 (39)10.1.1信息安全事件的分类 (39)10.1.2信息安全事件的分级 (39)10.1.3安全事件调查流程 (40)10.1.3.1 一级安全事件处理流程 (40)10.1.3.2 二级安全事件处理流程 (41)10.1.3.3 三级安全事件处理流程 (42)10.1.4 信息安全事件的统计分析和审计 (42)11检查、监控和审计 (43)11.1检查规定 (43)11.2监控 (43)11.2.1视频监控 (43)11.2.2系统、网络监控 (44)11.3审计 (46)11.3.1审计规定 (46)11.3.2审计内容 (46)12奖励与处罚 (46)12.1奖励 (46)12.1.1奖励等级 (47)12.2处罚 (47)12.2.1处罚等级 (47)一级处罚 (47)常见一级处罚 (47)二级处罚 (48)常见二级处罚 (48)三级处罚 (48)常见三级处罚 (48)四级处罚 (49)常见四级处罚 (49)1 目的为了规范和明确XXXXXXXX有限公司业务发展的信息安全管理方面的总体要求，特制定本规定。

I S M S手册-信息安全管理体系手册精品管理制度、管理方案、合同、协议、一起学习进步信息安全管理IT服务管理体系手册发布令本公司按照ISO20000:2005《信息技术服务管理—规范》和ISO27001：2005《信息安全管理体系要求》以及本公司业务特点编制《信息安全管理&IT 服务管理体系手册》，建立与本公司业务相一致的信息安全与IT服务管理体系，现予以颁布实施。

本手册是公司法规性文件，用于贯彻公司信息安全管理方针和目标，贯彻IT服务管理理念方针和服务目标。

为实现信息安全管理与IT服务管理，开展持续改进服务质量，不断提高客户满意度活动，加强信息安全建设的纲领性文件和行动准则。

是全体员工必须遵守的原则性规范。

体现公司对社会的承诺，通过有效的PDCA活动向顾客提供满足要求的信息安全管理和IT服务。

本手册符合有关信息安全法律法规要求以及ISO20000:2005《信息技术服务管理—规范》、ISO27001：2005《信息安全管理体系要求》和公司实际情况。

为能更好的贯彻公司管理层在信息安全与IT服务管理方面的策略和方针，根据ISO20000:2005《信息技术服务管理—规范》和ISO27001：2005《信息安全管理体系要求》的要求任命XXXXX为管理者代表，作为本公司组织和实施“信息安全管理与IT服务管理体系”的负责人。

直接向公司管理层报告。

全体员工必须严格按照《信息安全管理&IT服务管理体系手册》要求，自觉遵守本手册各项要求，努力实现公司的信息安全与IT服务的方针和目标。

管理者代表职责：a) 建立服务管理计划；b) 向组织传达满足服务管理目标和持续改进的重要性；e) 确定并提供策划、实施、监视、评审和改进服务交付和管理所需的资源，如招聘合适的人员，管理人员的更新；1．确保按照ISO207001:2005标准的要求，进行资产识别和风险评估，全面建立、实施和保持信息安全管理体系；按照ISO/IEC 20000 《信息技术服务管理－规范》的要求，组织相关资源，建立、实施和保持IT服务管理体系，不断改进IT服务管理体系，确保其有效性、适宜性和符合性。

信息安全管理体系信息安全管理体系（Information Security Management System，ISMS）是指将信息安全管理的职责与要求以及相关措施组织起来，形成一套可持续运行的、全面的信息安全管理体系。

下面将对信息安全管理体系从目标、要素和实施过程三个方面进行介绍。

信息安全管理体系的目标是确保信息系统的安全性，保护组织内部的信息资产免受未授权访问、使用、泄露、破坏和篡改等威胁。

通过建立和实施信息安全管理体系，可以有效地预防和减少信息安全事件的发生，降低信息资产的风险，并为组织提供一个安全、稳定和可靠的信息技术环境。

信息安全管理体系的要素包括政策、组织、资源、风险评估、风险处理、安全控制、培训和沟通以及监测和改进等。

首先，组织应制定一份明确的信息安全政策，明确信息安全目标和要求，并加以落实。

其次，组织应设立相应的信息安全组织机构，明确各级别的信息安全责任，并配备相应的信息安全资源。

此外，风险评估和风险处理是信息安全管理体系的核心要素，组织应通过风险评估来识别和评估信息资产的威胁和风险，并采取相应的措施进行控制和处理。

此外，还需要对员工进行信息安全培训和沟通，并建立监测机制和改进措施，以不断提高信息安全管理的效果。

信息安全管理体系的实施过程主要包括策划、实施、运行、监控和改进等阶段。

首先，策划阶段是制定信息安全目标和计划的阶段，确定信息安全政策和要求，并进行风险评估和控制。

其次，实施阶段是落实信息安全政策和控制措施的阶段，包括组织资源、建立安全控制措施和制定相关流程和程序等。

然后，运行阶段是对信息安全管理体系进行持续运营和监管的阶段，包括培训、监控、事件处理和沟通等。

最后，改进阶段是对信息安全管理体系进行持续改进和优化的阶段，通过对监控结果和风险评估的分析，采取相应的改进措施，不断提高信息安全管理的效果和效率。

综上所述，信息安全管理体系是确保信息系统安全的一套可持续运行的管理体系。

信息安全管理IT服务管理体系手册发布令本公司按照ISO20000:2005《信息技术服务管理—规范》和ISO27001：2005《信息安全管理体系要求》以及本公司业务特点编制《信息安全管理&IT服务管理体系手册》，建立与本公司业务相一致的信息安全与IT服务管理体系，现予以颁布实施。

本手册是公司法规性文件，用于贯彻公司信息安全管理方针和目标，贯彻IT服务管理理念方针和服务目标。

为实现信息安全管理与IT服务管理，开展持续改进服务质量，不断提高客户满意度活动，加强信息安全建设的纲领性文件和行动准则。

是全体员工必须遵守的原则性规范。

体现公司对社会的承诺，通过有效的PDCA活动向顾客提供满足要求的信息安全管理和IT服务。

本手册符合有关信息安全法律法规要求以及ISO20000:2005《信息技术服务管理—规范》、ISO27001：2005《信息安全管理体系要求》和公司实际情况。

为能更好的贯彻公司管理层在信息安全与IT服务管理方面的策略和方针，根据ISO20000:2005《信息技术服务管理—规范》和ISO27001：2005《信息安全管理体系要求》的要求任命XXXXX 为管理者代表，作为本公司组织和实施“信息安全管理与IT服务管理体系”的负责人。

直接向公司管理层报告。

全体员工必须严格按照《信息安全管理&IT服务管理体系手册》要求，自觉遵守本手册各项要求，努力实现公司的信息安全与IT服务的方针和目标。

管理者代表职责：a) 建立服务管理计划；b) 向组织传达满足服务管理目标和持续改进的重要性；e) 确定并提供策划、实施、监视、评审和改进服务交付和管理所需的资源，如招聘合适的人员，管理人员的更新；1．确保按照ISO207001:2005标准的要求，进行资产识别和风险评估，全面建立、实施和保持信息安全管理体系；按照ISO/IEC 20000 《信息技术服务管理－规范》的要求，组织相关资源，建立、实施和保持IT服务管理体系，不断改进IT服务管理体系，确保其有效性、适宜性和符合性。

信息安全管理体系建立方法以BS7799的管理思想介绍通用安全管理体系建立的方法；信息安全管理包括诸多方面,如风险管理、工程管理、业务连续性管理等,每项管理的要点均有不同。

后续将详细介绍不同部分的管理.1 信息安全管理体系概述1.1什么是信息安全管理体系信息安全管理体系,即Information Security Management System(简称ISMS)，是组织在整体或特定范围内建立的信息安全方针和目标,以及完成这些目标所用的方法和体系.它是直接管理活动的结果,表示为方针、原则、目标、方法、计划、活动、程序、过程和资源的集合。

BS7799－2是建立和维持信息安全管理体系的标准,标准要求组织通过确定信息安全管理体系范围，制定信息安全方针,明确管理职责,以风险评估为基础选择控制目标与控制措施等一系列活动来建立信息安全管理体系；体系一旦建立，组织应按体系的规定要求进行运作，保持体系运行的有效性；信息安全管理体系应形成一定的文件,即组织应建立并保持一个文件化的信息安全管理体系，其中应阐述被保护的资产、组织风险管理方法、控制目标与控制措施、信息资产需要保护的程度等内容。

1. ISMS的范围ISMS的范围可以根据整个组织或者组织的一部分进行定义,包括相关资产、系统、应用、服务、网络和用于过程中的技术、存储以及通信的信息等，ISMS的范围可以包括：●组织所有的信息系统；●组织的部分信息系统；●特定的信息系统。

此外，为了保证不同的业务利益，组织需要为业务的不同方面定义不同的ISMS。

例如，可以为组织和其他公司之间特定的贸易关系定义ISMS，也可以为组织结构定义ISMS，不同的情境可以由一个或者多个ISMS表述。

2.组织内部成功实施信息安全管理的关键因素●反映业务目标的安全方针、目标和活动;●与组织文化一致的实施安全的方法；●来自管理层的有形支持与承诺；●对安全要求、风险评估和风险管理的良好理解；●向所有管理者及雇员推行安全意思;●向所有雇员和承包商分发有关信息安全方针和准则的导则；●提供适当的培训与教育;●用于评价信息安全管理绩效及反馈改进建议，并有利于综合平衡的测量系统.3.建立ISMS的步骤不同的组织在建立与完善信息安全管理体系时，可根据自己的特点和具体的情况，采取不同的步骤和方法。

如何建立和实施信息安全管理体系什么是ISMS 如何建立ISMS 企业ISMS如何建立和实施信息安全管理体系学习成芳老师讲解的《信息安全管理体系内容》～本人收益颇多。

构建信息安全管理体系的主要任务包括划定体系范围、设立体系方针、确定风险评估的方法、按照方法执行风险评估、对评估结果制定处理方案,选择附录A中的控制目标和措施制定方案～达到控制、终止、降低、接受、转嫁风险等,～获得管理层审批、授权、承诺和配备资源等～准备适用性声明SOA,将风险处理计划转换成实施计划～有序有节奏地部署计划～并进行组织教育和培训～提升人员的意识和能力～部署和运行过程中不断设立监控点～设立审核流程～设立管理评审环节～找出改进空间和差距～并给予改进。

课程还讲解了信息安全管理体系构建过程中的文件化要求、内部审核、管理评审及认证评审等。

下面结合学习本次课程所得～谈谈如何建立和实施ISMS。

一、建立和实施ISMS需要什么条件,当前～建立和实施ISMS的组织仍是少数～主要集中在一些大型企业。

其中的重要原因是建立和实施ISMS是一项艰苦而细致的工作～需要认证机构,如BSI,和认证组织,如企业,间积极协作和密切配合。

首先～组织领导层应高度重视～并对ISMS的建立和实施做出承诺～同时配备必要资源～如人力、物力和财力资源等,其次～企业内部全体员工也要在体系建立和实施过程中给予充分配合和支持。

二、建立和实施ISMS需要哪些步骤,按照信息安全管理体系要求～同时根据过程控制方法,PDCA,的指导实践～建立和实施ISMS大致可分成五个阶段～以下大致说明如下:- 1 -,一, 调研计划阶段该阶段的主要任务包括组建班子～培训ISO27001标准～调查信息系统状况～研究分析差距～制定实施计划等。

1、组建班子组织应充分考虑班子的人员结构和知识结构～组建班子以建立和实施管理ISMS。

同时～班子内部进行必要分工～还须任命一名信息安全经理～全面负责信息安全管理体系的建立、实施、改善和对外联络等工作。

信息安全管理体系管理手册ISMS-M-yyyy版本号：A/1受控状态：■受控□非受控日期：2016年1月8日实施日期：2016年1月8日修改履历版本制订者修改时间更改内容审核人审核意见变更申请单号A /0编写组2016-1-08定版审核人A同意A /1编写组2017-1-15定版审核人B同意第29 页第29 页00 目录00 目录 (3)01 颁布令 (5)02 管理者代表授权书 (6)03 企业概况 (7)04 信息安全管理方针目标 (9)05 手册的管理 (11)06 信息安全管理手册 (12)1 范围 (12)1.1 总则 (12)1.2 应用 (12)2 规范性引用文件 (12)3 术语和定义 (12)3.1 本公司 (13)3.2 信息系统 (13)3.3 计算机病毒 (13)3.4 信息安全事件 (13)3.5 相关方 (13)4 组织环境 (13)4.1 组织及其环境 (13)4.2 相关方的需求和期望 (13)4.3 确定信息安全管理体系的范围 (14)4.4 信息安全管理体系 (14)5 领导力 (14)5.1 领导和承诺 (14)5.2 方针 (15)5.3 组织角色、职责和权限 (15)6 规划 (15)6.1 应对风险和机会的措施 (15)第29 页6.2 信息安全目标和规划实现 (18)7 支持 (18)7.1 资源 (18)7.2 能力 (19)7.3 意识 (19)7.4 沟通 (19)7.5 文件化信息 (19)8 运行 (20)8.1 运行的规划和控制 (20)8.2 信息安全风险评估 (21)8.3 信息安全风险处置 (21)9 绩效评价 (21)9.1 监视、测量、分析和评价 (21)9.2 内部审核 (22)9.3 管理评审 (23)10 改进 (23)10.1 不符合和纠正措施 (23)10.2 持续改进 (24)附录A 信息安全管理组织结构图 (25)附录B 信息安全管理职责明细表 (26)附录C 信息安全管理程序文件清单 (28)第29 页01 颁布令为提高**公司**的信息安全管理水平，保障我公司业务活动的正常进行，防止由于信息系统的中断、数据的丢失、敏感信息的泄密所导致的公司和客户的损失，我公司开展贯彻ISO/IEC27001:2013《信息技术-安全技术-信息安全管理体系要求》国际标准工作，建立、实施和持续改进文件化的信息安全管理体系，制定了**公司** 《信息安全管理手册》。