信息安全管理過程

1、信息安全管理手冊文件編號版本編制編制日期審核審核日期批準(zhǔn)批準(zhǔn)日期.變更記錄日期版本編制 / 修改者修訂類型描述注：修訂類型：A增加， M修改， D刪除.一、范圍1.1 總則為了建立、實(shí)施、運(yùn)行、監(jiān)視、評審、保持和改進(jìn)文件化的信息安全管理體系（簡稱 ISMS），確定信息安全方針和目標(biāo)，對信息安全風(fēng)險進(jìn)行有效管理，確保全體員工理解并遵照執(zhí)行信息安全管理體系文件、 持續(xù)改進(jìn)信息安全管理體系的有效性， 特制定本手冊。1.2 應(yīng)用本信息安全管理手冊規(guī)定了公司的信息安全管理體系要求、管理職責(zé)、內(nèi)部審核、管理評審和信息安全管理體系改進(jìn)等方面內(nèi)容。本信息安全管理手冊適用于公司業(yè)務(wù)活動所涉及的信息系統(tǒng)、資產(chǎn)及相

2、關(guān)信息安全管理活動，具體見條款規(guī)定。二、規(guī)范性引用文件下列文件中的條款通過本信息安全管理手冊的引用而成為本信息安全管理手冊的條款。凡是注日期的引用文件， 其隨后所有的修改單或修訂版均不適用于本標(biāo)準(zhǔn)，然而，行政部門應(yīng)研究是否可使用這些文件的最新版本。凡是不注日期的引用文件、 其最新版本適用于本信息安全管理手冊。三、術(shù)語和定義GB/T22080-2008idtISO27001:2005信息技術(shù) - 安全技術(shù) - 信息安全管理體系 - 要求、GB/T22081-2008idtISO27002:2005信息技術(shù) - 安全技術(shù) - 信息安全管理實(shí)用規(guī)則 規(guī)定的術(shù)語和定義適用于本信息安全管理手冊。3.1

3、本公司指公司所屬各部門。.3.2 信息系統(tǒng)指由計算機(jī)及其相關(guān)的和配套的設(shè)備、設(shè)施（含網(wǎng)絡(luò)）構(gòu)成的，且按照一定的應(yīng)用目標(biāo)和規(guī)則對信息進(jìn)行采集、加工、存儲、傳輸、檢索等處理的人機(jī)系統(tǒng)。3.3 計算機(jī)病毒指編制或者在計算機(jī)程序中插入的破壞計算機(jī)功能或者毀壞數(shù)據(jù)，影響計算機(jī)使用，并能自我復(fù)制的一組計算機(jī)指令或者程序代碼。3.4 信息安全事件指導(dǎo)致信息系統(tǒng)不能提供正常服務(wù)或服務(wù)質(zhì)量下降的技術(shù)故障事件、利用信息系統(tǒng)從事的反動有害信息和涉密信息的傳播事件、利用網(wǎng)絡(luò)所從事的對信息系統(tǒng)的破壞竊密事件。3.5 相關(guān)方關(guān)注本公司信息安全或與本公司信息安全績效有利益關(guān)系的組織和個人。主要為：政府、供方、銀行、用戶、電

4、信等。四、信息安全管理體系4.1 概述本公司在軟件開發(fā)、經(jīng)營、服務(wù)和日常管理活動中，按GB/T22080-2008idtISO27001:2005 信息技術(shù)- 安全技術(shù)- 信息安全管理體系- 要求規(guī)定，參照GB/T22081-2008idtISO27002:2005信息技術(shù) - 安全技術(shù) - 信息安全管理實(shí)用規(guī)則標(biāo)準(zhǔn)，建立、實(shí)施、運(yùn)行、監(jiān)視、評審、保持和改進(jìn)文件化的信息安全管理體系。信息安全管理體系使用的過程基于圖1 所示的 PDCA模型。.圖 1 信息安全管理體系模型4.2 建立和管理信息安全管理體系建立信息安全管理體系信息安全管理體系的范圍和邊界本公司根據(jù)業(yè)務(wù)特征、組織結(jié)構(gòu)、地理位置、資產(chǎn)

5、和技術(shù)定義了范圍和邊界，本公司信息安全管理體系的范圍包括：a) 本公司涉及軟件開發(fā)、營銷、服務(wù)和日常管理的業(yè)務(wù)系統(tǒng)；b) 與所述信息系統(tǒng)有關(guān)的活動；c) 與所述信息系統(tǒng)有關(guān)的部門和所有員工；d) 所述活動、系統(tǒng)及支持性系統(tǒng)包含的全部信息資產(chǎn)。組織范圍：本公司根據(jù)組織的業(yè)務(wù)特征和組織結(jié)構(gòu)定義了信息安全管理體系的組織范圍，見本手冊附錄 A（規(guī)范性附錄）信息安全管理體系組織機(jī)構(gòu)圖。物理范圍：.本公司根據(jù)組織的業(yè)務(wù)特征、組織結(jié)構(gòu)、地理位置、資產(chǎn)和技術(shù)定義了信息安全管理體系的物理范圍和信息安全邊界。本公司信息安全管理體系的物理范圍為本公司位于重慶市內(nèi)的所有運(yùn)維場所，包含客戶方以及公司內(nèi)部。信息安全管理體

6、系的方針為了滿足適用法律法規(guī)及相關(guān)方要求，維持軟件開發(fā)和經(jīng)營的正常進(jìn)行，實(shí)現(xiàn)業(yè)務(wù)可持續(xù)發(fā)展的目的。本公司根據(jù)組織的業(yè)務(wù)特征、組織結(jié)構(gòu)、地理位置、資產(chǎn)和技術(shù)定義了信息安全管理體系方針，見本信息安全管理手冊第0.4 條款。該信息安全方針符合以下要求：a) 為信息安全目標(biāo)建立了框架，并為信息安全活動建立整體的方向和原則；b) 考慮業(yè)務(wù)及法律或法規(guī)的要求，及合同的安全義務(wù)；c) 與組織戰(zhàn)略和風(fēng)險管理相一致的環(huán)境下，建立和保持信息安全管理體系；d) 建立了風(fēng)險評價的準(zhǔn)則；e) 經(jīng)最高管理者批準(zhǔn)。為實(shí)現(xiàn)信息安全管理體系方針，本公司承諾：a) 在各層次建立完整的信息安全管理組織機(jī)構(gòu)，確定信息安全目標(biāo)和控制措

7、施；明確信息安全的管理職責(zé)b) 識別并滿足適用法律、法規(guī)和相關(guān)方信息安全要求；c) 定期進(jìn)行信息安全風(fēng)險評估，信息安全管理體系評審，采取糾正預(yù)防措施，保證體系的持續(xù)有效性；d）采用先進(jìn)有效的設(shè)施和技術(shù)，處理、傳遞、儲存和保護(hù)各類信息，實(shí)現(xiàn)信息共享；e) 對全體員工進(jìn)行持續(xù)的信息安全教育和培訓(xùn)，不斷增強(qiáng)員工的信息安全意識和能力；f) 制定并保持完善的業(yè)務(wù)連續(xù)性計劃，實(shí)現(xiàn)可持續(xù)發(fā)展。風(fēng)險評估的方法.行政部門負(fù)責(zé)制定 信息安全風(fēng)險評估管理程序，建立識別適用于信息安全管理體系和已經(jīng)識別的業(yè)務(wù)信息安全、法律和法規(guī)要求的風(fēng)險評估方法，建立接受風(fēng)險的準(zhǔn)則并識別風(fēng)險的可接受等級。信息安全風(fēng)險評估執(zhí)行信息安全風(fēng)

8、險評估管理程序，以保證所選擇的風(fēng)險評估方法應(yīng)確保風(fēng)險評估能產(chǎn)生可比較的和可重復(fù)的結(jié)果。識別風(fēng)險在已確定的信息安全管理體系范圍內(nèi)，本公司按信息安全風(fēng)險評估管理程序，對所有的資產(chǎn)進(jìn)行了識別，并識別了這些資產(chǎn)的所有者。資產(chǎn)包括數(shù)據(jù)、硬件、軟件、人員、服務(wù)、文檔。對每一項資產(chǎn)按自身價值、信息分類、保密性、完整性、可用性、法律法規(guī)符合性要求進(jìn)行了量化賦值，形成了資產(chǎn)識別清單。同時，根據(jù)信息安全風(fēng)險評估管理程序，識別了對這些資產(chǎn)的威脅、可能被威脅利用的脆弱性、識別資產(chǎn)價值、保密性、完整性和可用性、合規(guī)性損失可能對資產(chǎn)造成的影響。分析和評價風(fēng)險本公司按信息安全風(fēng)險評估管理程序，采用人工分析法，分析和評價風(fēng)險

9、：a) 針對重要資產(chǎn)自身價值、保密性、完整性和可用性、合規(guī)性損失導(dǎo)致的后果進(jìn)行賦值；b) 針對每一項威脅、薄弱點(diǎn)，對資產(chǎn)造成的影響，考慮現(xiàn)有的控制措施，判定安全失效發(fā)生的可能性，并進(jìn)行賦值；c) 根據(jù)信息安全風(fēng)險評估管理程序計算風(fēng)險等級；d) 根據(jù)信息安全風(fēng)險評估管理程序及風(fēng)險接受準(zhǔn)則，判斷風(fēng)險為可接受或需要處理。識別和評價風(fēng)險處理的選擇行政部門組織有關(guān)部門根據(jù)風(fēng)險評估的結(jié)果，形成信息安全不可接受風(fēng)險處理計劃，該計劃明確了風(fēng)險處理責(zé)任部門、負(fù)責(zé)人、目的、范圍以及處置策略。對于信息安全風(fēng)險，應(yīng)考慮控制措施與費(fèi)用的平衡原則，選用以下適當(dāng)?shù)拇胧篴) 消減風(fēng)險（通過適當(dāng)?shù)目刂拼胧┙档惋L(fēng)險發(fā)生的可能性

10、）；.b) 接受風(fēng)險（風(fēng)險值不高或者處理的代價高于風(fēng)險引起的損失，公司決定接受該風(fēng)險 / 殘余風(fēng)險）；c) 規(guī)避風(fēng)險（決定不進(jìn)行引起風(fēng)險的活動，從而避免風(fēng)險）；d) 轉(zhuǎn)移風(fēng)險（通過購買保險、外包等方法把風(fēng)險轉(zhuǎn)移到外部機(jī)構(gòu)）。選擇控制目標(biāo)與控制措施行政部門根據(jù)信息安全方針、 業(yè)務(wù)發(fā)展要求及風(fēng)險評估的結(jié)果，組織有關(guān)部門制定了信息安全目標(biāo)，并將目標(biāo)分解到有關(guān)部門（見適用性聲明）：a) 信息安全控制目標(biāo)獲得了信息安全最高責(zé)任者的批準(zhǔn)。b) 控制目標(biāo)及控制措施的選擇原則來源于GB/T22080-2008idtISO27001:2005 信息技術(shù)- 安全技術(shù)- 信息安全管理體系- 要求附錄A，具體控制措施

11、參考GB/T22081-2008idtISO27002:2005 信息技術(shù) - 安全技術(shù) - 信息安全管理實(shí)用規(guī)則。c) 本公司根據(jù)信息安全管理的需要，可以選擇標(biāo)準(zhǔn)之外的其他控制措施。對風(fēng)險處理后的殘余風(fēng)險，得到了公司最高管理者的批準(zhǔn)。最高管理者通過本手冊對實(shí)施和運(yùn)行信息安全管理體系進(jìn)行了授權(quán)。適用性聲明行政部門負(fù)責(zé)編制適用性聲明（SOA）。該聲明包括以下方面的內(nèi)容：a) 所選擇控制目標(biāo)與控制措施的概要描述，以及選擇的原因；b) 對 GB/T22080-2008idtISO27001:2005 附錄 A 中未選用的控制目標(biāo)及控制措施理由的說明（本公司未涉及此項業(yè)務(wù)）。實(shí)施及運(yùn)作信息安全管理體系

12、為確保信息安全管理體系有效實(shí)施，對已識別的風(fēng)險進(jìn)行有效處理，本公司開展以下活動：a) 形成信息安全不可接受風(fēng)險處理計劃，以確定適當(dāng)?shù)墓芾泶胧?、職?zé)及安全控制措施的優(yōu)先級；b) 為實(shí)現(xiàn)已確定的安全目標(biāo)、實(shí)施信息安全不可接受風(fēng)險處理計劃，明確各崗位的信息安全職責(zé)；c) 實(shí)施所選擇的控制措施，以實(shí)現(xiàn)控制目標(biāo)的要求；.d) 確定如何測量所選擇的控制措施的有效性， 并規(guī)定這些測量措施如何用于評估控制的有效性以得出可比較的、可重復(fù)的結(jié)果；e) 進(jìn)行信息安全培訓(xùn)，提高全員信息安全意識和能力；f) 對信息安全體系的運(yùn)作進(jìn)行管理；g) 對信息安全所需資源進(jìn)行管理；h) 實(shí)施控制程序，對信息安全事件（或征兆）進(jìn)行

13、迅速反應(yīng)。信息安全組織機(jī)構(gòu)本公司成立了信息安全領(lǐng)導(dǎo)機(jī)構(gòu) - 信息安全委員會，其職責(zé)是實(shí)現(xiàn)信息安全管理體系方針和本公司承諾。 具體職責(zé)是： 研究決定貫標(biāo)工作涉及到的重大事項； 審定公司信息安全方針、目標(biāo)、工作計劃和重要文件； 為貫標(biāo)工作的有序推進(jìn)和信息安全管理體系的有效運(yùn)行提供必要的資源。本公司體系推進(jìn)由行政部門負(fù)責(zé)，其主要負(fù)責(zé)制訂、落實(shí)貫標(biāo)工作計劃，對單位、部門貫標(biāo)工作進(jìn)行檢查、指導(dǎo)和協(xié)調(diào)，建立健全企業(yè)的信息安全管理體系， 保持其有效、持續(xù)運(yùn)行。本公司由相關(guān)部門代表組成信息安全委員會，采用聯(lián)席會議（協(xié)調(diào)會）的方式，進(jìn)行信息安全協(xié)調(diào)和協(xié)作，以：a) 確保安全活動的執(zhí)行符合信息安全方針；b) 確定

14、怎樣處理不符合；c) 批準(zhǔn)信息安全的方法和過程，如風(fēng)險評估、信息分類；d) 識別重大的威脅變化，以及信息和相關(guān)的信息處理設(shè)施對威脅的暴露；e) 評估信息安全控制措施實(shí)施的充分性和協(xié)調(diào)性；f) 有效的推動組織內(nèi)信息安全教育、培訓(xùn)和意識；g) 評價根據(jù)信息安全事件監(jiān)控和評審得出的信息，并根據(jù)識別的信息安全事件推薦適當(dāng)?shù)拇胧?。信息安全職?zé)和權(quán)限本公司總經(jīng)理為信息安全最高責(zé)任者?？偨?jīng)理指定了信息安全管理者代表。無論信息安全管理者代表在其他方面的職責(zé)如何，對信息安全負(fù)有以下職責(zé)：.a) 建立并實(shí)施信息安全管理體系必要的程序并維持其有效運(yùn)行；b) 對信息安全管理體系的運(yùn)行情況和必要的改善措施向信息安全委員

15、會或最高責(zé)任者報告。各部門負(fù)責(zé)人為本部門信息安全管理責(zé)任者， 全體員工都應(yīng)按保密承諾的要求自覺履行信息安全保密義務(wù)；各部門、人員有關(guān)信息安全職責(zé)分配見附錄C（規(guī)范性附錄）信息安全管理職責(zé)明細(xì)表和相應(yīng)的程序文件。各部門應(yīng)按照適用性聲明中規(guī)定的安全目標(biāo)、控制措施（包括安全運(yùn)行的各種控制程序）的要求實(shí)施信息安全控制措施。監(jiān)督與評審信息安全管理體系本公司通過實(shí)施不定期安全檢查、內(nèi)部審核、事故（事件）報告調(diào)查處理、電子監(jiān)控、定期技術(shù)檢查等控制措施并報告結(jié)果以實(shí)現(xiàn)：a) 及時發(fā)現(xiàn)處理結(jié)果中的錯誤、信息安全體系的事故（事件）和隱患；b) 及時了解識別失敗的和成功的安全破壞和事件、信息處理系統(tǒng)遭受的各類攻擊；

16、c) 使管理者確認(rèn)人工或自動執(zhí)行的安全活動達(dá)到預(yù)期的結(jié)果；d) 使管理者掌握信息安全活動和解決安全破壞所采取的措施是否有效；e) 積累信息安全方面的經(jīng)驗(yàn)。根據(jù)以上活動的結(jié)果以及來自相關(guān)方的建議和反饋，由總經(jīng)理主持，每年至少一次對信息安全管理體系的有效性進(jìn)行評審，其中包括信息安全范圍、 方針、目標(biāo)的符合性及控制措施有效性的評審，考慮安全審核、事件、有效性測量的結(jié)果，以及所有相關(guān)方的建議和反饋。管理評審的具體要求，見本手冊第7 章。行政部門應(yīng)組織有關(guān)部門按照信息安全風(fēng)險評估管理程序的要求，對風(fēng)險處理后的殘余風(fēng)險進(jìn)行定期評審，以驗(yàn)證殘余風(fēng)險是否達(dá)到可接受的水平，對以下方面變更情況應(yīng)及時進(jìn)行風(fēng)險評估：

17、a) 組織；b) 技術(shù)；c) 業(yè)務(wù)目標(biāo)和過程；.d) 已識別的威脅；e) 實(shí)施控制的有效性；f) 外部事件，例如法律或規(guī)章環(huán)境的變化、 合同責(zé)任的變化以及社會環(huán)境的變化。按照計劃的時間間隔進(jìn)行信息安全管理體系內(nèi)部審核，內(nèi)部審核的具體要求，見本手冊第 6 章。定期對信息安全管理體系進(jìn)行管理評審，以確保范圍的充分性，并識別信息安全管理體系過程的改進(jìn)，管理評審的具體要求，見本手冊第7 章?？紤]監(jiān)視和評審活動的發(fā)現(xiàn)，更新安全計劃。記錄可能對信息安全管理體系有效性或業(yè)績有影響的活動和事情。保持與持續(xù)改進(jìn)信息安全管理體系我公司開展以下活動，以確保信息安全管理體系的持續(xù)改進(jìn)：a) 實(shí)施每年管理評審、內(nèi)部審核

18、、安全檢查等活動以確定需改進(jìn)的項目；b) 按照內(nèi)部審核管理程序、糾正措施管理程序、預(yù)防措施管理程序的要求采取適當(dāng)?shù)募m正和預(yù)防措施； 吸取其他組織及本公司安全事故 （事件）的經(jīng)驗(yàn)教訓(xùn)，不斷改進(jìn)安全措施的有效性；c) 通過適當(dāng)?shù)氖侄伪３衷趦?nèi)部對信息安全措施的執(zhí)行情況與結(jié)果進(jìn)行有效的溝通。包括獲取外部信息安全專家的建議、 信息安全政府行政主管部門的聯(lián)系及識別顧客對信息安全的要求等；d) 對信息安全目標(biāo)及分解進(jìn)行適當(dāng)?shù)墓芾?，確保改進(jìn)達(dá)到預(yù)期的效果。4.3 文件要求總則本公司信息安全管理體系文件包括：a) 文件化的信息安全方針、控制目標(biāo)，在信息安全管理手冊中描述；b) 信息安全管理手冊（本手冊，包括信息

19、安全適用范圍及引用的標(biāo)準(zhǔn)）；c) 本手冊要求的 信息安全風(fēng)險評估管理程序 、業(yè)務(wù)持續(xù)性管理程序 、糾正措施管理程序等支持性程序；.d) 信息安全管理體系引用的支持性程序。如：文件和資料管理程序、記錄管理程序、內(nèi)部審核管理程序等；e) 為確保有效策劃、運(yùn)作和控制信息安全過程所制定的文件化操作程序；f) 信息安全風(fēng)險評估報告、 信息安全不可接受風(fēng)險處理計劃以及信息安全管理體系要求的記錄類文件；g) 相關(guān)的法律、法規(guī)和信息安全標(biāo)準(zhǔn)；h) 適用性聲明（ SOA）。文件控制行政部門制定并實(shí)施 文件和資料管理程序 ，對信息安全管理體系所要求的文件進(jìn)行管理。對信息安全管理手冊、程序文件、管理規(guī)定、作業(yè)指導(dǎo)書

20、和為保證信息安全管理體系有效策劃、 運(yùn)行和控制所需的受控文件的編制、 評審、批準(zhǔn)、標(biāo)識、發(fā)放、使用、修訂、作廢、回收等管理工作做出規(guī)定，以確保在使用場所能夠及時獲得適用文件的有效版本。文件控制應(yīng)保證：a) 文件發(fā)布前得到批準(zhǔn)，以確保文件是充分的；b) 必要時對文件進(jìn)行評審、更新并再次批準(zhǔn)；c) 確保文件的更改和現(xiàn)行修訂狀態(tài)得到識別；d) 確保在使用時，可獲得相關(guān)文件的最新版本；e) 確保文件保持清晰、易于識別；f) 確保文件可以為需要者所獲得， 并根據(jù)適用于他們類別的程序進(jìn)行轉(zhuǎn)移、 存儲和最終的銷毀；g) 確保外來文件得到識別；h) 確保文件的分發(fā)得到控制；i) 防止作廢文件的非預(yù)期使用；j)

21、 若因任何目的需保留作廢文件時，應(yīng)對其進(jìn)行適當(dāng)?shù)臉?biāo)識。.記錄控制信息安全管理體系所要求的記錄是體系符合標(biāo)準(zhǔn)要求和有效運(yùn)行的證據(jù)。行政部門負(fù)責(zé)制定并維持易讀、易識別、可方便檢索又考慮法律、法規(guī)要求的記錄管理程序，規(guī)定記錄的標(biāo)識、儲存、保護(hù)、檢索、保管、廢棄等事項。信息安全體系的記錄應(yīng)包括本手冊第4.2條中所列出的所有過程的結(jié)果及與ISMS相關(guān)的安全事故（事件）的記錄。各部門應(yīng)根據(jù)記錄管理程序的要求采取適當(dāng)?shù)姆绞酵咨票９苄畔踩涗?。五、管理職?zé)5.1 管理承諾我公司管理者通過以下活動，對建立、實(shí)施、運(yùn)作、監(jiān)視、評審、保持和改進(jìn)信息安全管理體系的承諾提供證據(jù)：a) 建立信息安全方針 ( 見本手冊第

22、 0.4 章) ；b) 確保信息安全目標(biāo)得以制定（見本手冊第0.4 章、適用性聲明、 信息安全不可接受風(fēng)險處理計劃及相關(guān)記錄）；c) 建立信息安全的角色和職責(zé)（見本手冊附錄E）；d) 向組織傳達(dá)滿足信息安全目標(biāo)、 符合信息安全方針、 履行法律責(zé)任和持續(xù)改進(jìn)的重要性；e) 提供充分的資源，以建立、實(shí)施、運(yùn)作、監(jiān)視、評審、保持并改進(jìn)信息安全管理體系 ( 見本手冊第 5.2 章) ；f) 決定接受風(fēng)險的準(zhǔn)則和風(fēng)險的可接受等級 ( 見信息安全風(fēng)險評估管理程序及相關(guān)記錄 ) ；g) 確保內(nèi)部信息安全管理體系審核（見本手冊第6 章）得以實(shí)施；h) 實(shí)施信息安全管理體系管理評審（見本手冊第7 章）。.5.2

23、 資源管理資源的提供本公司確定并提供實(shí)施、 保持信息安全管理體系所需資源； 采取適當(dāng)措施， 使影響信息安全管理體系工作的員工的能力是勝任的，以保證：a) 建立、實(shí)施、運(yùn)作、監(jiān)視、評審、保持和改進(jìn)信息安全管理體系；b) 確保信息安全程序支持業(yè)務(wù)要求；c) 識別并指出法律法規(guī)要求和合同安全責(zé)任；d) 通過正確應(yīng)用所實(shí)施的所有控制來保持充分的安全；e) 必要時進(jìn)行評審，并對評審的結(jié)果采取適當(dāng)措施；f) 需要時，改進(jìn)信息安全管理體系的有效性。培訓(xùn)、意識和能力行政部門制定并實(shí)施 人力資源管理程序 文件，確保被分配信息安全管理體系規(guī)定職責(zé)的所有人員，都必須有能力執(zhí)行所要求的任務(wù)?？梢酝ㄟ^：a) 確定承擔(dān)信

24、息安全管理體系各工作崗位的職工所必要的能力；b) 提供職業(yè)技術(shù)教育和技能培訓(xùn)或采取其他的措施來滿足這些需求；c) 評價所采取措施的有效性；d) 保留教育、培訓(xùn)、技能、經(jīng)驗(yàn)和資歷的記錄。本公司還確保所有相關(guān)人員意識到其所從事的信息安全活動的相關(guān)性和重要性，以及如何為實(shí)現(xiàn)信息安全管理體系目標(biāo)做出貢獻(xiàn)。六、內(nèi)部信息安全管理體系審核6.1 總則行政部門負(fù)責(zé)建立并實(shí)施內(nèi)部審核管理程序，內(nèi)部審核管理程序應(yīng)包括策劃和實(shí)施審核以及報告結(jié)果和保持記錄的職責(zé)和要求。并按照策劃的時間間隔進(jìn)行內(nèi)部審核，以確定其信息安全管理體系的控制目標(biāo)、控制措施、過程和程序是否：.a) 符合本標(biāo)準(zhǔn)的要求和相關(guān)法律法規(guī)的要求；b) 符

25、合已識別的信息安全要求；c) 得到有效地實(shí)施和維護(hù)；d) 按預(yù)期執(zhí)行。6.2 內(nèi)審策劃行政部門應(yīng)考慮擬審核的過程和區(qū)域的狀況和重要性以及以往審核的結(jié)果，對審核方案進(jìn)行策劃。應(yīng)編制內(nèi)審年度計劃，確定審核的準(zhǔn)則、范圍、頻次和方法。每次審核前，行政部門應(yīng)編制內(nèi)審計劃， 確定審核的準(zhǔn)則、范圍、日程和審核組。審核員的選擇和審核的實(shí)施應(yīng)確保審核過程的客觀性和公正性。審核員不應(yīng)審核自己的工作。6.3 內(nèi)審實(shí)施應(yīng)按審核計劃的要求實(shí)施審核，包括：a）進(jìn)行首次會議，明確審核的目的和范圍，采用的方法和程序；b）實(shí)施現(xiàn)場審核，檢查相關(guān)文件、記錄和憑證，與相關(guān)人員進(jìn)行交流；c）進(jìn)行對檢查內(nèi)容進(jìn)行分析，召開內(nèi)審小組首次會

26、議、末次會議，宣布審核意見和不符合報告；d）審核組長編制審核報告。對審核中提出的不符合項報告，責(zé)任部門應(yīng)編制糾正措施， 由行政部門組織對受審部門的糾正措施的實(shí)施情況進(jìn)行跟蹤、驗(yàn)證。按照記錄管理程序的要求，保存審核記錄。內(nèi)部審核報告，應(yīng)作為管理評審的輸入之一。七、管理評審7.1 總則行政部門負(fù)責(zé)每年下半年組織信息安全管理體系管理評審，以確保其持續(xù)的適宜性、充分性和有效性。.管理評審應(yīng)包括評價信息安全管理體系改進(jìn)的機(jī)會和變更的需要，包括安全方針和安全目標(biāo)。管理評審的結(jié)果應(yīng)清晰地形成文件，記錄應(yīng)加以保持。7.2 評審輸入管理評審的輸入要包括以下信息：a) 信息安全管理體系審核和評審的結(jié)果；b) 相關(guān)

27、方的反饋；c) 用于改進(jìn)信息安全管理體系業(yè)績和有效性的技術(shù)、產(chǎn)品或程序；d) 預(yù)防和糾正措施的狀況；e) 以往風(fēng)險評估沒有充分強(qiáng)調(diào)的脆弱性或威脅；f) 有效性測量的結(jié)果；g) 以往管理評審的跟蹤措施；h) 任何可能影響信息安全管理體系的變更；i) 改進(jìn)的建議。7.3 評審輸出管理評審的輸出應(yīng)包括與下列內(nèi)容相關(guān)的任何決定和措施：a) 信息安全管理體系有效性的改進(jìn)；b) 更新風(fēng)險評估和風(fēng)險處理計劃；c) 必要時，修訂影響信息安全的程序和控制措施，以反映可能影響信息安全管理體系的內(nèi)外事件，包括以下方面的變化：1) 業(yè)務(wù)要求；2) 安全要求；3) 影響現(xiàn)有業(yè)務(wù)要求的業(yè)務(wù)過程；4) 法律法規(guī)要求；5) 合同責(zé)任；6) 風(fēng)險等級和（或）風(fēng)險接受準(zhǔn)則。.d) 資源需求；e) 改進(jìn)測量控制措施有效性的方式。7.4 評審程序行政部門根據(jù)信息安全管理體系運(yùn)行情況和內(nèi)、外審的結(jié)果，針對評審輸入信息要求，制定管理評審計劃，送交總經(jīng)理批準(zhǔn)后，通知相關(guān)職能部門準(zhǔn)備及提供評審資料。相關(guān)部門按管理評審計劃，準(zhǔn)備相關(guān)的信息、資料，對信息安全管理體系文件的適宜性、充分性及有效性做出評價，提出改進(jìn)措施。最高管理者主持召開管理評審會議， 并根據(jù)評