信息安全管理手册

江苏XXXX科技有限公司编号XX-ISMS-01版本A/0密级内部限制受控是信息安全管理手册生效日期核准审查制订2016.3.1修改记录序号修改原因修改内容修改人/时间批准人/时间备注目录0.1、信息安全管理手册发布令0.2、管理者代表任命书0.3、公司简介0.4、信息安全方针0.5、信息安全目标1、范围2、引用标准3、术语和定义4、信息安全管理体系4.1组织环境4.2理解相关方的需求和期望4.3明确信息安全管理体系的范围4.4信息安全管理体系5、领导5.1领导和承诺5.2方针5.3组织角色、职责和权力6、计划6.1处置风险和机遇6.2信息安全目标的计划和实现7、支持7.1资源7.2能力7.3意识7.4沟通7.5文档要求8、实施8.1运行计划和控制8.2信息安全风险评估8.3信息安全风险处置9、绩效评价9.1监视、测量、分析和评价9.2内部审核9.3管理评审10、改进10.1不符合项和纠正措施10.2持续改进附件：附件一：信息安全职能分配表附件二：信息安全职责附件三：信息安全管理体系程序文件清单附件四：信息安全管理体系作业指导书文件清单0.1信息安全管理手册发布令为提高江苏XXXX科技有限公司的信息安全管理水平，保障企业经营、服务和日常管理活动，防止由于信息系统的中断、数据的丢失、敏感信息的泄密所导致的业务中断或安全事故，公司开展贯彻ISO/IEC27001:2013《信息技术-安全技术-信息安全管理体系要求》标准的工作，建立文件化的信息安全管理体系，制定了江苏XXXX科技有限公司《信息安全管理手册》（以下简称手册）。本手册是企业的法规性文件，是指导企业建立并实施信息安全管理体系的纲领和行动准则，用于贯彻企业的信息安全管理方针、管理目标，实现信息安全管理体系有效运行、持续改进，是江苏XXXX科技有限公司信息安全管理工作长期遵循的准则。全体职工必须严格按照手册的要求，自觉执行管理方针，贯彻实施本手册的各项规定，努力实现江苏XXXX科技有限公司的管理目标和管理承诺。本手册自颁布之日起生效执行。江苏XXXX科技有限公司总经理：二〇一六年三月一日0.2管理者代表任命书兹委任担任江苏XXXX科技有限公司ISO27001信息安全管理体系管理者代表。他将履行以下职责及权限：1、负责公司ISO27001的推行认证工作，负责组织信息安全管理体系建立、实施和维持，确保公司的信息安全管理体系运作符合信息安全管理体系标准；2、信息安全管理体系内部审核的策划、组织及实施；3、批准信息安全管理体系程序文件；4、代表公司就信息安全的有关事项和外部进行联络。总经理：日期：二〇一六年三月一日0.3、公司简介公司组织架构如下图所示：总经理信息安全委员会管理者代表销售部技术部研发部综合部财务部0.4信息安全方针实施风险管理，确保信息安全，保障业务可持续发展。信息安全方针含义:a.根据本公司业务信息安全的特点、法律法规要求，建立风险评估程序，确定风险接受准则。定期进行风险评估，以识别本公司风险的变化。本公司或环境发生重大变化时，随时评估。应根据风险评估的结果，采取相应措施，降低风险。b.在日常企业生产和管理中，对信息安全予以重视，全面识别和分析全部信息资产，系统考虑企业信息系统薄弱点、可能存在的威胁，考虑成本、利益、风险的综合平衡，对资产进行分类保护，以适宜的成本达到系统保护的要求。c.建立健全信息安全监督和保证体系，明确各级、各岗位的信息安全责任，以人为本，坚持全员、全方位、全过程信息安全管理。通过测量和监控，持续改进，保证信息安全管理体系的有效运行，做到制度执行有记录、记录记载可追溯，最终保障企业生产、经营、管理和服务的持续和安全，实现企业发展目标。0.5、信息安全目标：本公司信息安全目标：1)安全事件发生次数：重大安全事件目标值：0次/年；较大安全事件目标值：不大于4次/年；一般安全事件目标值：不大于8次/年。2)信息泄密次数：保证各种需要保密的资料（包括电子文档、光盘等）不被泄密，确保秘密、机密信息不泄漏给非授权人员。信息泄密次数目标值：0次/年各部门信息安全目标：部门部门信息安全目标统计方式监测频率综合部1、人员招聘手续办理完成率100%；2、人员教育或培训实施率100%；3、人员离职手续办理完成率100%；4、办公环境消防设施配置率100%；5、办公环境消防设施点检率100%；6、每年至少组织实施完成1次信息安全内审，且资料齐全；7、每年至少组织实施完成1次信息安全管理评审，且资料齐全；8、每年至少进行1次信息安全体系文件评审及更新；9、每年至少组织实施完成1次风险评估。1、查看全部员工入职手续办理情况；2、查看培训计划及培训实施情况；3、查看实际人员离职及手续办理情况；4、现场检查办公环境消防器材配备情况；5、现场检查办公环境消防器材的检修情况；7、按照信息安全内审计划执行内审及改进，及时整理信息安全内审资料；8、按照信息安全管理评审计划执行评审及改进，及时整理信息安全管理评审资料；9、每年集中对信息安全管理体系文件进行评审，必要时进行更新；10、每年组织各相关部门进行风险评估回顾、对新增或发生变化的信息资产进行风险评估。每年研发部1、网络非正常中断每月≤1次。2、主机系统非正常中断每月≤1次。1、以每月的网络中断事件为依据2、以每月的主机系统中断事件为依据每半年其他部门重要文档及数据被正确保管及使用，机密信息泄露次数为0次每半年检查一次日常工作文件及数据是否被正确保管及使用，以及机密信息泄露相关事件。每年1、范围1.1总则为了建立、实施、运行、监视、评审、保持和改进文件化的信息安全管理体系（简称ISMS），确定信息安全方针和目标，对信息安全风险进行有效管理，确保全体员工理解并遵照执行信息安全管理体系文件、持续改进信息安全管理体系的有效性，特制定本手册。1.2应用1.2.1覆盖范围本信息安全管理手册规定了江苏XXXX科技有限公司信息安全管理体系的建立和管理、管理职责、内部审核、管理评审和体系持续改进等方面内容。1.2.2删减说明本信息安全管理手册采用了ISO/IEC27001:2013标准正文的全部内容，对附录A的删减见《适用性声明SoA》。2、规范性引用文件ISO/IEC27001:2013《信息技术-安全技术-信息安全管理体系要求》ISO/IEC27002:2013《信息技术-安全技术-信息安全管理实施细则》3、术语和定义3.3.1ISO/IEC27001:2013《信息技术-安全技术-信息安全管理体系要求》、ISO/IEC27002:2013《信息技术-安全技术-信息安全管理实施细则》规定的术语和定义适用于本《信息安全管理手册》。3.3.2本组织、本公司、我司：指江苏XXXX科技有限公司。4、信息安全管理体系4.1组织环境组织外部环境包括如下几个方面，但并不局限于此：——文化、政治、法律、规章、金融、技术、经济、自然环境以及竞争环境，无论是国际、国内、区域或地方；——影响组织目标的主要驱动因素和发展趋势；——外部利益相关者的观点和价值观。组织内部环境包括如下几个方面，但并不局限于此：——资源与知识的理解能力（如：资本、时间、人力、流程、系统和技术）；——信息系统、信息流动以及决策过程（包括正式和非正式的）；——内部利益相关者；——政策，为实现的目标及战略；——观念、价值观、文化；——组织通过的标准以及参考模型；以上相关因素将影响公司实现信息安全管理体系的预期成果。4.2理解相关方的需求和期望a)与本公司信息安全管理体系有关的相关方有：供方、合同方、顾客及其他第三方访问者。b)各相关方对我司的信息安全需求，包括了信息安全相关法律法规要求和合同规定的义务。4.3本公司信息安全管理体系的范围和边界本公司根据业务特征、组织结构、地理位置、资产和技术定义了范围和边界，本公司信息安全管理体系的范围包括：a)业务范围：。。。。。。的设计开发和服务的信息安全管理活动；b)信息系统范围：所述活动、系统及支持性系统包含的全部信息资产；c)组织范围：与所述业务有关的部门和所有员工；d)地理范围：。4.4信息安全管理体系本公司按照ISO/IEC27001:2013《信息技术-安全技术-信息安全管理体系-要求》规定，参照ISO/IEC27002:2013《信息技术-安全技术-信息安全管理实用规则》，建立、实施、运行、监视、评审、保持和改进文件化的信息安全管理体系。5领导5.1领导和承诺本公司通过以下行动证明公司实施了与信息安全管理体系有关的领导工作与承诺：a)确保建立与组织战略目标一致的信息安全方针和信息安全目标；b)确保信息安全管理体系要求集成到组织的管理流程；c)确保提供信息安全管理体系需要的各项资源；d)传达信息安全管理的重要性及信息安全管理体系要求；e)确保信息安全管理体系实现其预期目标；f)指导和支持信息安全团队；g)促使持续改进；h)支持其他相关的管理者在其职责范围内履行管理职责。5.2方针为了满足适用法律法规及相关方要求，维持公司经营和管理的正常进行，实现业务可持续发展的目的。本公司根据组织的业务特征、组织结构、地理位置、资产和技术定义了ISMS方针，见本信息安全管理手册第0.4条款。该信息安全方针符合以下要求：1)为信息安全目标建立了框架，并为信息安全活动建立整体的方向和原则；2)考虑业务及法律或法规的要求，及合同的安全义务；3)与组织战略和风险管理相一致的环境下，建立和保持ISMS；4)建立了风险评价的准则；5)经最高管理者批准。5.3组织角色、职责和权力5.3.1信息安全组织机构本公司成立了由最高管理者、管理者代表及各部门负责人组成的信息安全委员会，其职责是实现信息安全管理体系方针和本公司承诺，负责制订、落实信息安全管理工作计划，建立健全企业的信息安全管理体系，保持其有效、持续运行。本公司采取相关部门代表组成的运行分析会议的方式，进行信息安全协调和协作，以：a)确保安全活动的执行符合信息安全方针；b)确定怎样处理不符合；c)批准信息安全的方法和过程，如风险评估、信息分类；5.3.2信息安全职责和权限本公司总经理为信息安全最高管理者，对信息安全全面负责，主要包括：a)组织制定信息安全方针及目标，任命管理者代表，明确管理者代表的职责和权限。b）确保在内部传达满足客户、法律法规和公司信息安全管理要求的重要性。c）为信息安全管理体系配备必要的资源。各部门负责人为本部门信息安全管理责任者，全体员工都应按保密承诺的要求自觉履行信息安全保密义务；各部门有关信息安全职责分配见《信息安全管理职能分配表》。各部门应按照《信息安全适用性声明》中规定的安全目标、控制措施（包括安全运行的各种控制程序）的要求实施信息安全控制措施。6.1处置风险和机遇6.1.1总则为实现公司信息安全管理体系方针和目标，我司参考组织环境中的问题和相关方的需求和，来决定需要被处置的风险和机遇：a)确保信息安全管理体系可以实现其预期目标；b)避免或减少不良影响；c)实现持续改进。公司对以下方面进行规划：a)处置风险和机遇的行动；b)如何1)将实施行动整合到信息安全管理体系流程中；2)评价行动的有效性。6.1.2信息安全风险评估公司制定《信息安全风险评估控制程序》，建立识别适用于信息安全管理体系和已经识别的业务信息安全、法律和法规要求的风险评估方法，建立接受风险的准则并识别风险的可接受等级。所选择的风险评估方法应确保风险评估能产生可比较的和可重复的结果。信息安全风险评估的流程见图2.风险评估流程图。公司实施信息安全风险评估流程，从而：a)建立和维护信息安全风险标准，包括：1)风险接受标准；2)实施信息安全风险评估的标准；b)确保信息安全风险评估活动产生一致性，产生有效的和可比较的结果；c)识别信息安全风险：1)在信息安全管理体系范围内，通过信息安全风险评估流程，识别由于信息的机密性、完整性和可用性的丧失带来的风险；2)识别风险的属主；d)分析信息安全风险：1)评估在信息安全风险评估中识别的风险产生的潜在后果；2)评估在信息安全风险评估中识别的风险转化为事件的可能性；3)确定风险的等级；e