信息安全管理方針和策略

1、1、信息平安管理方針和策略范圍公司依據(jù)ISO/IEC27001:2021信息平安管理體系標(biāo)準(zhǔn)的要求編制?信息平安管理手冊?，并包括了風(fēng)險(xiǎn)評估及處置的要求。規(guī)定了公司的信息平安方針及管理目標(biāo)，引用了信息平安管理體系的內(nèi)容。1.1標(biāo)準(zhǔn)性引用文件以下參考文件的局部或整體在本文檔中屬于標(biāo)準(zhǔn)化引用，對于本文件的應(yīng)用必不可少。但凡注日期的引用文件，只有引用的版本適用于本標(biāo)準(zhǔn)；但凡不注日期的引用文件，其最新版本包括任何修改適用于本標(biāo)準(zhǔn)。ISO/IEC 27000，信息技術(shù)平安技術(shù)信息平安管理體系概述和詞匯。1.2術(shù)語和定義ISO/IEC 27000中的術(shù)語和定義適用于本文件。1.3公司環(huán)境1.3.1理解公司

2、及其環(huán)境公司確定與公司業(yè)務(wù)目標(biāo)相關(guān)并影響實(shí)現(xiàn)信息平安管理體系預(yù)期結(jié)果的能力的外部和內(nèi)部問題，需考慮：明確外部狀況：社會、文化、政治、法律法規(guī)、金融、技術(shù)、經(jīng)濟(jì)、自然和競爭環(huán)境，無論國際、國內(nèi)、區(qū)域，還是本地的；影響組織目標(biāo)的主要動力和趨勢；與外部利益相關(guān)方的關(guān)系，外部利益相關(guān)方的觀點(diǎn)和價(jià)值觀。明確內(nèi)部狀況：治理、組織結(jié)構(gòu)、作用和責(zé)任；方針、目標(biāo)，為實(shí)現(xiàn)方針和目標(biāo)制定的戰(zhàn)略；基于資源和知識理解的能力如：資金、時(shí)間、人員、過程、系統(tǒng)和技術(shù)；與內(nèi)部利益相關(guān)方的關(guān)系，內(nèi)部利益相關(guān)方的觀點(diǎn)和價(jià)值觀；組織的文化；信息系統(tǒng)、信息流和決策過程正式與非正式；組織所采用的標(biāo)準(zhǔn)、指南和模式；合同關(guān)系的形式與范圍。明

3、確風(fēng)險(xiǎn)管理過程狀況：確定風(fēng)險(xiǎn)管理活動的目標(biāo)；確定風(fēng)險(xiǎn)管理過程的職責(zé)；確定所要開展的風(fēng)險(xiǎn)管理活動的范圍以及深度、廣度，包括具體的內(nèi)涵和外延；以時(shí)間和地點(diǎn)，界定活動、過程、職能、工程、產(chǎn)品、效勞或資產(chǎn)；界定組織特定工程、過程或活動與其他工程、過程或活動之間的關(guān)系；確定風(fēng)險(xiǎn)評價(jià)的方法；確定評價(jià)風(fēng)險(xiǎn)管理的績效和有效性的方法；識別和規(guī)定所必須要做出的決策；確定所需的范圍或框架性研究，它們的程度和目標(biāo)，以及此種研究所需資源。確定風(fēng)險(xiǎn)準(zhǔn)那么：可以出現(xiàn)的致因和后果的性質(zhì)和類別，以及如何予以測量；可能性如何確定；可能性和或后果的時(shí)間范圍；風(fēng)險(xiǎn)程度如何確定；利益相關(guān)方的觀點(diǎn)；風(fēng)險(xiǎn)可接受或可容許的程度；多種風(fēng)險(xiǎn)的組

4、合是否予以考慮，如果是，如何考慮及哪種風(fēng)險(xiǎn)組合宜予以考慮。1.3.2理解相關(guān)方的需求和期望信息平安管理小組應(yīng)確定信息平安管理體系的相關(guān)方及其信息平安要求，相關(guān)的信息安全要求。對于利益相關(guān)方，可作為信息資產(chǎn)識別，并根據(jù)風(fēng)險(xiǎn)評估的結(jié)果，制定相應(yīng)的控制措施，實(shí)施必要的管理。相關(guān)方的要求可包括法律法規(guī)要求和合同義務(wù)。1.3.3確定信息平安管理體系范圍精品文檔本公司ISMS的范圍包括a物理范圍：b業(yè)務(wù)范圍：計(jì)算機(jī)軟件開發(fā)，計(jì)算機(jī)系統(tǒng)集成相關(guān)信息平安管理活動。c內(nèi)部管理結(jié)構(gòu)：辦公室、財(cái)務(wù)部、研發(fā)部、商務(wù)部、工程部、運(yùn)維部。d外部接口：向公司提供各種效勞的第三方1.3.4信息平安管理體系本公司按照ISO/I

5、EC27001:2021標(biāo)準(zhǔn)的要求建立一個(gè)文件化的信息平安管理體系。同時(shí)考慮該體系的實(shí)施、維持、持續(xù)改善，確保其有效性。ISMS體系所涉及的過程基于PDCA模式。1.4領(lǐng)導(dǎo)力總經(jīng)理應(yīng)通過以下方式證明信息平安管理體系的領(lǐng)導(dǎo)力和承諾：a確保信息平安方針和信息平安目標(biāo)已建立，并與公司戰(zhàn)略方向一致；b確保將信息平安管理體系要求融合到日常管理過程中；c確保信息平安管理體系所需資源可用；d向公司內(nèi)部傳達(dá)有效的信息平安管理及符合信息平安管理體系要求的重要性;e確保信息平安管理體系到達(dá)預(yù)期結(jié)果；f指導(dǎo)并支持相關(guān)人員為信息平安管理體系有效性做出奉獻(xiàn)；g促進(jìn)持續(xù)改良；h支持信息平安管理小組及各部門的負(fù)責(zé)人，在其職責(zé)范圍內(nèi)展現(xiàn)領(lǐng)導(dǎo)力。1.5規(guī)劃1.5.1應(yīng)對風(fēng)險(xiǎn)和時(shí)機(jī)的措施1.5.1.1總那