logo资料库

最新ISO27001信息安全管理体系全套文件(手册+程序文件+作业规范)-2019年整理.doc

发布时间：2022-06-06 发布人：admin 分类：说明书 资料大小：0.87M 资料格式：doc 举报 版权申诉
第1页 / 共159页
第2页 / 共159页
第3页 / 共159页
第4页 / 共159页
第5页 / 共159页
第6页 / 共159页
第7页 / 共159页
第8页 / 共159页
资料共159页，剩余部分请下载后查看
    1 适用与目的
    2信息处理设施的分类
    3 职责
    4 信息处理设施的引进和安装
    4.1引进依赖
    4.2进行技术选型
    4.3编写购入规格书
    4.4定货
    4.5开箱检查，安装、调试，验收
    5 信息处理设施的日常维护管理
    5.1计算机设备管理
    5.2计算机设备维护
    5.3计算机调配与报废管理
    5.4报废处理
    5.5笔记本电脑安全管理
    5.6计算机安全使用的要求
    5.7网络安全使用的要求
    6 信息处理设施的日常点检
    6.1 计算机的日常点检
    6.2 网络设备的管理与维护
    6.3 点检策略
    6.4 资料的保存
    6.5 网络扫描工具的安全使用管理
    7 其它要求
    8 相关文件
    9 记录
    1 目的
    2 范围
    3 定义
    4 职责
    5 程序
    5.1 计算机信息系统的安保
    5.2 计算机应用与管理违规行为处罚规定
    5.3 计算机信息类违规处罚
    5.4 奖惩记录
    5.5 证据的收集
    5.6 证据的保存及提供
    6 记录
    1. 目的
    2. 范围
    3. 职责与权限
    4. 相关文件
    5. 术语定义
    6. 适用性声明
    A.5信息安全方针
    A.6信息安全组织
    A.7 人力资源安全
    A.8资产管理
    A.9 访问控制
    A.10 加密技术
    A.11物理和环境安全
    A.12操作安全
    A.13通信安全
    A.14系统的获取、开发及维护
    A.15供应商关系
    A.16 通信安全事件管理
    A.17 业务连续性管理中的信息安全
    A.18符合性
    6.1.3资产（A）赋值
    1 适用
    2 目的
    3 职责
    4 工作程序
    5 相关文件
    附件二 用户测试报告
    1 适用
    2 目的
    3 职责
    4 程序
    4.1外来人员分类
    4.2安全区域分类
    4.3访问的授权
    4.4 门禁出入规定
    4.4.1 员工门禁管理
    4.4.2 来宾门禁管理
    4.4.3 人员出入管理
    4.5 访问接待管理办法
    4.5.1 参观级别
    4.5.2 接待管理
    4.6 员工出入、会客及接待管理
    4.7第三方访客、供应商接待管理
    5 安全培训
    6 安全保密规定
    6.1拍照
    6.2安全保密协议
    7 在安全区域工作的安全要求
    1 目的
    2 范围
    3 相关文件
    4 职责
    5 程序
    5.1 各系统安全登录程序
    5.2 用户身份标识和鉴别
    5.3 口令管理
    5.4 系统实用工具的使用
    5.5 登录会话限制
    6 相关文件
    7 相关记录
    1目的
    2适用范围
    3职责与权限
    3.1 公司高管
    3.2 管理者代表
    3.3 主管体系建设部门（人事部）
    3.4 各部门
    4程序和工作流程
    4.1 制定年度管理评审计划
    4.1.1 年度管理评审计划
    4.1.2 年度管理评审计划的内容
    4.1.3 管理评审的频次
    4.2 管理评审的准备
    4.2.1《管理评审计划》
    4.2.2资料准备
    4.3 管理评审输入
    4.4 管理评审会议
    4.5 管理评审输出
    4.6 管理评审报告
    5相关支持性文件
    6相关记录
    1 适用
    2 目的
    3 职责
    4 程序
    5 记录
    1 目的
    2 范围
    3 定义
    4 职责
    5 程序
    5.1 监控策略
    5.2 日志的配置最低要求
    5.3 管理过程
    6 记录
    目的
    2. 适用范围
    3. 职责
    4. 文件和资料编号/版本 规定
    5. 工作程序
    6. 相关支持性文件
    7. 记录
    1 适用
    2 目的
    为对不符合/潜在不符合进行分析、采取措施，并予以消除，以逐步改进和完善信息安全管理体系，特制定本程序
    3 职责
    4 程序
    1目的 Objective
    2适用范围 Scope
    3定义
    4管理细则
    4.1基本管理原则
    4.2防火墙系统配置细则
    4.3防火墙策略管理配置细则
    4.4策略申请流程
    4.5职责
    5奖惩
    6本规定的维护与解释
    7支持文件 Supporting Document
    总则
    机房出入管理规定
    机房卫生规定
    机房设备管理规定
    值班管理规定
    机房消防、安全管理规定
    附则
    目的
    二、适用范围
    三、职责
    四、要求
    目 录
    01 颁布令
    02 管理者代表授权书
    05 手册的管理
    信息安全管理手册
    范围
    总则
    应用
    覆盖范围：
    删减说明
    规范性引用文件
    术语和定义
    本公司
    信息系统
    计算机病毒
    信息安全事件
    相关方
    信息安全管理体系
    概述
    建立和管理信息安全管理体系
    建立信息安全管理体系
    实施及运作信息安全管理体系
    监督与评审信息安全管理体系
    保持与持续改进信息安全管理体系
    文件要求
    总则
    文件控制
    记录控制
    管理职责
    管理承诺
    资源管理
    资源的提供
    培训、意识和能力
    内部信息安全管理体系审核
    总则
    内审策划
    内审实施
    管理评审
    总则
    评审输入
    评审输出
    评审程序
    信息安全管理体系改进
    持续改进
    纠正措施
    预防措施
    最新 ISO27001 信息安全管理体系全套文件 （手册+程序文件+作业规范） 公司名称： 日 期：
    信息安全管理体系程序文件目录 文件编号 文件名称 XX-ISMS-01 事故事件薄弱点与故障管理程序 XX-ISMS-02 业务持续性管理程序 XX-ISMS-03 企业商业技术秘密管理程序 XX-ISMS-04 信息处理设施引进实施管理程 XX-ISMS-05 信息安全人员考察与保密管理程序 XX-ISMS-06 信息安全惩戒管理程序 XX-ISMS-07 信息安全适用性声明 XX-ISMS-08 信息安全风险评估管理程序 XX-ISMS-09 内审管理程序 XX-ISMS-10 恶意软件控制程序 XX-ISMS-11 更改控制程序 XX-ISMS-12 物理访问管理程序 XX-ISMS-13 用户访问控制程序 XX-ISMS-14 管理评审控制程序 XX-ISMS-15 系统开发与维护控制程序 XX-ISMS-16 系统访问与使用监控管理程序 XX-ISMS-17 计算机账户及密码管理程序 XX-ISMS-18 文件和资料管理程序 XX-ISMS-19 重要信息备份管理程序 XX-ISMS-20 预防措施程序 1 / 159
    信息安全管理体系作业文件目录 文件编号 文件名称 XX-ISMS-SOP-01 防火墙安全管理规定 XX-ISMS-SOP-02 介质销毁管理规定 XX-ISMS-SOP-03 信息机房管理制度 XX-ISMS-SOP-04 信息中心安全事件报告和处置管理制度 XX-ISMS-SOP-05 信息中心密码管理制度 XX-ISMS-SOP-06 信息系统访问权限说明 XX-ISMS-SOP-07 档案鉴定销毁工作规定 XX-ISMS-SOP-08 移动介质使用管理规定 XX-ISMS-SOP-09 XX-ISMS-SOP-10 复印室管理制度 重要文件加密解密管理制度 2 / 159
    东莞市 XXX 有限公司 文件名称 事故事件薄弱点与故障管理程序 版 次 A/0 页码 文件编号 XX-ISMS-01 日 期 2017.11.01 1 / 3 1 适用 本程序适用于公司信息安全事故、薄弱点、故障和风险处置的管理。 2 目的 为建立一个适当信息安全事故、薄弱点、故障风险处置的报告、反应与处理机制，减少信息 安全事故和故障所造成的损失，采取有效的纠正与预防措施，正确处置已经评价出的风险， 特制定本程序。 3 职责 3.1 各系统归口管理部门主管相关的安全风险的调查、处理及纠正措施管理。 3.2 各系统使用人员负责相关系统安全事故、薄弱点、故障和风险的评价、处置报告。 4 程序 4.1 信息安全事故定义与分类： 4.1.1 信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等 原因直接造成下列影响（后果)之一，均为信息安全事故： a) 企业秘密、机密及国家秘密泄露或丢失； b) 服务器停运 4 小时以上； c) 造成信息资产损失的火灾、洪水、雷击等灾害； d) 损失在十万元以上的故障/事件。 4.1.2 信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等原 因直接造成下列影响（后果)之一，属于重大信息安全事故： a) 企业机密及国家秘密泄露； b) 服务器停运 8 小时以上； c) 造成机房设备毁灭的火灾、洪水、雷击等灾害； d) 损失在一百万元以上的故障/事件。 4.1.3 信息安全事件包括： a) 未产生恶劣影响的服务、设备或者实施的遗失； b) 未产生事故的系统故障或超载； c) 未产生不良结果的人为误操作； d) 未产生恶劣影响的物理进入的违规 1 / 159
    东莞市 XXX 有限公司 文件名称 事故事件薄弱点与故障管理程序 版 次 A/0 页码 文件编号 XX-ISMS-01 日 期 2017.11.01 2 / 3 e) 未产生事故的未加控制的系统变更； f) 策略、指南和绩效的不符合； g) 可恢复的软件、硬件故障； h) 未产生恶劣后果的非法访问。 4.2 故障与事故的报告渠道与处理 4.2.1 故障、事故报告要求 故障、事故的发现者应按照以下要求履行报告任务： a) 各个信息管理系统使用者，在使用过程中如果发现软硬件故障、事故，应该向该系统归 口管理部门报告；如故障、事故会影响或已经影响线上生产，必须立即报告相关部门，采取 必要措施，保证对生产的影响降至最低； b) 发生火灾应立即触发火警并向安全监督部报告，启动消防应急预案； c) 涉及企业秘密、机密及国家秘密泄露、丢失应向行政部报告； d) 发生重大信息安全事故，事故受理部门应向信息安全管理者代表和有关公司领导报告。 4.2.2 故障、事故的响应 故障、事故处理部门接到报告以后，应立即进行迅速、有效和有序的响应，包括采取以下适 当措施： a) 报告者应保护好故障、事故的现场，并采取适当的应急措施，防止事态的进一步扩大； b) 按照有关的故障、事故处理文件（程序、作业手册）排除故障，恢复系统或服务，必要 时，启动业务持续性管理计划。 5 相关/支持性文件 5.1《预防措施控制程序》 5.2 《信息密级划分、标注及处理控制程序》 5.3《信息安全奖励、惩戒规定》 5.4 I《法律法规与符合性评估程序》 6 记录保存期限 6.1《信息安全风险评估报 3 / 159
    东莞市 XXX 有限公司 文件名称 事故事件薄弱点与故障管理程序 版 次 A/0 页码 文件编号 XX-ISMS-01 日 期 2017.11.01 3 / 3 6.2《纠正/预防措施申请书》 6.3《信息安全事故调查处理报告》 6.4《信息安全薄弱点报告》 3 / 159
    业务持续性管理程序 版 次 A/0 页码 XX-ISMS-02 日 期 2017.11.01 1 / 2 文件名称 文件编号 1 目的与范围 本程序规定了当发生重大信息安全事件或灾难时，为保护公司业务活动免受影响，迅速恢复 已中断的业务活动，实现公司业务持续发展而实施的管理活动。 这些活动包括：建立业务持续性管理程序；进行业务持续性和影响分析；编制业务持续性战 略计划；制订业务持续性管理实施计划并实施；对业务持续性管理计划进行定期测试和评审 等。 本程序适应于本公司应用软件的开发和系统集成的活动等主要业务的持续性管理。 2 相关文件 2.1《信息安全管理手册》 2.2《信息资产的识别与风险评估管理程序》 2.3《事故、薄弱点与故障管理程序》 3 职责 3.1 公司常务副总经理负责公司业务中断的恢复的总指挥与总协调。 3.2 集成部负责编制、修订公司业务持续性管理程序，并协调、推进公司业务持续性管理活 动。 3.3 各部门负责部门相关系统的故障处理及与之相关的作业中断的恢复。 3.4 技术部负责项目实施过程中设备及软件系统的故障处理及与之相关的作业中断的恢复。 3.5 集成部负责后勤系统设备及网络系统的故障处理及与之相关的作业中断的恢复。 3.6 行政部负责本部门管理系统及与之相关的作业中断的恢复。 3.7 公司各部门在发生重大信息安全事件或灾难时，负责保护本部门使用的信息系统及业务 数据，及时恢复中断的业务活动。 4 工作程序 4.1 业务持续性管理过程 公司业务持续性管理过程规定如下： 1 / 159
    文件名称 文件编号 业务持续性管理程序 版 次 A/0 页码 XX-ISMS-02 日 期 2017.11.01 2 / 2 4.2 业务持续性和影响的分析 4.2.1 公司在首次信息安全风险评估后进行业务持续性和影响的分析。 4.2.2 业务持续性和影响的分析由集成部组织，技术部、行政部、生产部及管理者代表指定 的相关部门分别开展以下活动： a)对本部门的信息安全进行风险评估； b)识别出对本部门业务持续性造成严重影响的主要事件，如设备故障、火灾等； c)分析这些事件一旦发生对公司业务活动造成的影响和损失，以及恢复业务所需费用等； d)编写本部门《业务持续性和影响分析报告》（格式见 ISMS-4341)。 4.2.3《业务持续性和影响分析报告》应包括以下内容： a)识别关键业务的管理过程； b)可能引起公司业务活动中断的主要事件； c)主要事件对本部门管理的信息系统的影响； d)信息系统故障或中断对公司业务活动的影响； e)关于系统恢复或替换的费用考虑。 5 记录 5.1《业务持续性和影响分析报告》 5.2《业务持续性管理战略计划》 5.3《业务持续性管理实施计划》 5.4《业务持续性管理计划测试报告》 5.5《业务持续性管理计划评审报告 2 / 159
    分享到：
    赞 收藏

    相关推荐

    资料库

    安全技术

    共收录1285份资料，累计4个分类，关注成员有19位，主要包括：网络攻防,系统安全,其它,网络安全

    热门标签

    网络攻防 系统安全 其它 网络安全

    最新资料