ISO27001：2013特权访问管理策略

信息安全管理手册版本号：V1.0目录01颁布令 (1)02管理者代表授权书 (2)03企业概况 (3)04信息安全管理方针目标 (3)05手册的管理 (6)信息安全管理手册 (7)1范围 (7)1.1总则 (7)1.2应用 (7)2规范性引用文件 (8)3术语和定义 (8)3.1本公司 (8)3.2信息系统 (8)3.3计算机病毒 (8)3.4信息安全事件 (8)3.5相关方 (8)4信息安全管理体系 (9)4.1概述 (9)4.2建立和管理信息安全管理体系 (9)4.3文件要求 (15)5管理职责 (18)5.1管理承诺 (18)5.2资源管理 (18)6内部信息安全管理体系审核 (19)6.1总则 (19)6.2内审策划 (19)6.3内审实施 (19)7管理评审 (21)7.1总则 (21)7.2评审输入 (21)7.3评审输出 (21)7.4评审程序 (22)8信息安全管理体系改进 (23)8.1持续改进 (23)8.2纠正措施 (23)8.3预防措施 (23)01颁布令为提高我公司的信息安全管理水平，保障公司业务活动的正常进行，防止由于信息安全事件（信息系统的中断、数据的丢失、敏感信息的泄密）导致的公司和客户的损失，我公司开展贯彻GB/T22080-2008idtISO27001:2013《信息技术-安全技术-信息安全管理体系要求》国际标准工作，建立、实施和持续改进文件化的信息安全管理体系，制定了《信息安全管理手册》。

《信息安全管理手册》是企业的法规性文件，是指导企业建立并实施信息安全管理体系的纲领和行动准则，用于贯彻企业的信息安全管理方针、目标，实现信息安全管理体系有效运行、持续改进，体现企业对社会的承诺。

《信息安全管理手册》符合有关信息安全法律、GB/T22080-2008idtISO27001:2013《信息技术-安全技术-信息安全管理体系-要求》标准和企业实际情况，现正式批准发布，自2015年12月23日起实施。

XXXXXX软件有限公司人性化科技提升业绩软件开发安全管理办法目录1.目的 (2)2.适用范围 (2)3.依据标准和文件 (2)4.职责分工 (2)5.术语和定义 (3)6. 管理细则 (3)6.1.开发条件及方式 (3)6.2.软件开发项目管理 (3)6.3.开发安全管理 (4)1.目的为规范公司的开发管理，进一步加强应用系统软件开发过程及开发交付的安全性，特制定本管理办法。

2. 适用范围适用于公司软件开发过程的安全管理。

3. 依据标准和文件GB/T 22080-2016/ISO/IEC 27001:2013《信息技术安全技术信息安全管理体系要求》GB/T 22081-2016/ISO/IEC 27002:2013《信息技术安全技术信息安全管理实用规则》4. 职责分工信息安全工作小组：负责组织编写并推广本管理办法；各开发部各产品（项目）或系统开发组：负责软件开发。

测试部：开发完成后的测试和试运行。

系统服务部：正式运行的维护工作。

5. 术语和定义1)缓冲区溢出：指当计算机向缓冲区内填充数据位数时超过了缓冲区本身的容量溢出的数据覆盖在合法数据上；通过往程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，造成程序崩溃或使程序转而执行其它指令，以达到攻击的目的。

2)静态代码分析：指在不运行代码的方式下，通过词法分析、语法分析、控制流分析等技术对程序代码进行扫描，验证代码是否满足规范性、安全可靠性、可维护性等指标的一种代码分析技术。

6. 管理细则6.1. 开发条件及方式6.1.1.开发条件符合开发条件的软件项目应该是能够有效利用现有的资源，开拓新业务；或能有效地提高生产效率，减少工作中机械繁琐操作的项目。

6.1.2. 开发方式软件开发可以采用下列三种开发方式之一：a)自主开发：由需求部门或公司自主开发。

6.2. 软件开发项目管理软件开发项目的整体流程包括项目建议及审批、需求分析、系统设计、系统实现、测试及试运行、系统验收、上线运行维护升级等阶段。

最新ISO27001-2013信息安全管理体系管理手册、程序文件ISO27001-2013信息安全管理体系管理手册ISMS-M-yyyy 版本号：A/0受控状态： ■ 受 控 □ 非受控日期： 2019年1月8日 实施日期： 2019年1月8日修改履历00 目录00 目录 (2)01 颁布令 (1)02 管理者代表授权书 (1)03 企业概况 (1)04 信息安全管理方针目标 (1)05 手册的管理 (1)06 信息安全管理手册 (1)1 范围 (1)1.1 总则 (1)1.2 应用 (1)2 规范性引用文件 (1)3 术语和定义 (1)3.1 本公司 (1)3.2 信息系统 (1)3.3 计算机病毒 (2)3.4 信息安全事件 (2)3.5 相关方 (2)4 组织环境 (2)4.1 组织及其环境 (2)4.2 相关方的需求和期望 (2)4.3 确定信息安全管理体系的范围 (2)4.4 信息安全管理体系 (3)5 领导力 (3)5.1 领导和承诺 (3)5.2 方针 (4)5.3 组织角色、职责和权限 (4)6 规划 (4)6.1 应对风险和机会的措施 (4)6.2 信息安全目标和规划实现 (6)7 支持 (7)7.1 资源 (7)7.2 能力 (7)7.3 意识 (8)7.4 沟通 (8)7.5 文件化信息 (8)8 运行 (9)8.1 运行的规划和控制 (9)8.2 信息安全风险评估 (9)8.3 信息安全风险处置 (10)9 绩效评价 (10)9.1 监视、测量、分析和评价 (10)9.2 内部审核 (11)9.3 管理评审 (12)10 改进 (12)10.1 不符合和纠正措施 (12)10.2 持续改进 (13)附录A 信息安全管理组织结构图 (1)附录B 信息安全管理职责明细表 (1)附录C 信息安全管理程序文件清单 (1)01 颁布令为提高**公司**的信息安全管理水平，保障我公司业务活动的正常进行，防止由于信息系统的中断、数据的丢失、敏感信息的泄密所导致的公司和客户的损失，我公司开展贯彻ISO/IEC27001:2013《信息技术-安全技术-信息安全管理体系要求》国际标准工作，建立、实施和持续改进文件化的信息安全管理体系，制定了**公司** 《信息安全管理手册》。

ISO27001：2013软件管理规定XXXXXX软件有限公司人性化科技提升业绩软件管理规定目录1. 目的和范围 (2)2. 引用文件 (2)3. 职责和权限 (2)4. 软件管理 (2)4.1.收集 (2)4.2.登记 (2)4.3.商业软件的归档和存放 (2)4.4.开源软件的管理 (3)4.5.软件使用 (5)5 相关记录 (5)目的和范围为加强公司设备安装软件的管理，特制定本规定。

1.引用文件2.职责和权限1）系统服务部：是办公软件的归口管理部门，负责每个季度对公司办公软件的安装情况进行检查。

2）各开发和测试部：是开发类软件的管理部门。

3.软件管理4.1. 收集公司内软件来源主要有以下几个方面：a)购买商业软件；b)自主开发的内部应用软件；c)免费软件的下载；d)系统服务部分发的办公软件。

4.2. 登记信息安全工作小组登记分发的办公软件、公司购买的商业软件的安装情况。

各部门负责《电脑防病毒及软件表》的填写。

4.3. 商业软件的归档和存放1)购买的商业软件由公司自行归档和存放。

2)购买的商业软件统一存放于指定位置。

磁盘文件存放于指定存储空间中，由专人负责整理，各软件建立独立的文件夹，标识明确清晰，并做好软件的备份工作。

光盘统一存放入文件柜中，并有明显易辨认的标识，便于整理和取用。

4.4. 开源软件的管理4.4.1开源软件的选择依据：(1)开源协议谨慎使用GPL 协议，GPL 协议规定使用了该开源库的代码也必须遵循GPL 协议，即开源和免费。

(2) 功能、文档、稳定性、扩展性功能是否能满足业务需求，是否足够稳定(稳定性测试)、文档是否齐全、扩展性是否足够。

性能要求较高库需要性能对比测试。

(3) 源码修改a. 个性化业务带来的修改尽量使用Wrap 方式，而不要直接改源码。

实在绕不开，可在Git 上打上Tag，并注明详细原因。

b. 通用需求的修改按源项目要求修改代码，反馈回开源社区，请求合并进主分支。