0006信息安全管理體系程序文-監(jiān)視和測(cè)量管理程序

*******有限公司信息平安管理體系文件監(jiān)視和測(cè)量管理程序ISMS-0006-2017受控狀態(tài)受才空分發(fā)號(hào)版本A/0持有人編制:審核:批準(zhǔn):2017-1-10發(fā)布2017-1-102017-1-10發(fā)布修訂履歷版本變更履歷變更人/變更日期審核人/審核日期批準(zhǔn)人/批準(zhǔn)日期A/0初次發(fā)布監(jiān)視和測(cè)量管理程序1目的通過對(duì)各項(xiàng)控制措施滿足控制目標(biāo)的實(shí)現(xiàn)程度及法律、法規(guī)符合性的監(jiān)視、測(cè)量與分析，為籌劃、實(shí)施、持續(xù)改進(jìn)信息平安管理體系提供依據(jù)。范圍本程序適用于對(duì)本公司區(qū)域內(nèi)所有業(yè)務(wù)職能部門的平安特性控制、績(jī)效及管理體系運(yùn)行的監(jiān)視和測(cè)量。3職責(zé).1管理者代表1.1負(fù)責(zé)掌握信息平安管理體系的總體運(yùn)行情況，并向總經(jīng)理匯報(bào)，對(duì)總經(jīng)理負(fù)責(zé)。2負(fù)責(zé)每半年組織對(duì)本公司職能部門目標(biāo)、指標(biāo)的完成情況進(jìn)行考核。3.2行政財(cái)務(wù)部3.2.1負(fù)責(zé)本程序的編制、修訂和監(jiān)督實(shí)施。3.2.2負(fù)責(zé)定期對(duì)各職能市場(chǎng)部門進(jìn)行監(jiān)視和測(cè)量，對(duì)各職能市場(chǎng)部門的監(jiān)視和測(cè)量執(zhí)行情況進(jìn)行監(jiān)督、檢查和指導(dǎo)，為糾正和預(yù)防提供信息。2.3負(fù)責(zé)提供的顧客信息平安滿意程度信息，并進(jìn)行匯總、分析和傳遞。4工作程序4.1監(jiān)視和測(cè)量的范圍及依據(jù)根據(jù)本公司業(yè)務(wù)范圍內(nèi)信息資產(chǎn)的控制范圍，確定監(jiān)視和測(cè)量范圍。1.2測(cè)量的范圍一般包括：a）控制措施的實(shí)現(xiàn)過程；b）關(guān)鍵特性；控制措施實(shí)現(xiàn)目標(biāo)程度；適用法律、法規(guī)的符合性；業(yè)務(wù)持續(xù)性控制措施；事故、事件和其它不良的績(jī)效；c）不可接受風(fēng)險(xiǎn)計(jì)劃中確定的措施；d）顧客信息平安的滿意程度。1.3監(jiān)視和測(cè)量的依據(jù)是法律法規(guī)、技術(shù)標(biāo)準(zhǔn)、顧客合同、適用性聲明、管理手冊(cè)、程序文件等。監(jiān)視和測(cè)量的要求應(yīng)按照國(guó)家及地方技術(shù)規(guī)范規(guī)定和顧客要求的檢驗(yàn)和試驗(yàn)工程、標(biāo)準(zhǔn)、方法進(jìn)行監(jiān)視和測(cè)量。監(jiān)視和測(cè)量的實(shí)施3.1本公司行政財(cái)務(wù)部根據(jù)各職能部門確立的監(jiān)視和測(cè)量范圍，確定監(jiān)視和測(cè)量的依據(jù)、工程、關(guān)鍵特性、頻次、使用的儀器設(shè)備等。3.2監(jiān)視和測(cè)量可選擇的方法a.對(duì)控制過程進(jìn)行日常檢查；b.信息平安措施狀況的抽查；c.設(shè)備裝置的檢查；d.作業(yè)環(huán)境的監(jiān)視；e.記錄檢查。3.3控制過程的監(jiān)視和測(cè)量a.行政財(cái)務(wù)部負(fù)責(zé)組織控制措施實(shí)施過程的監(jiān)視和測(cè)量。b.信息處理設(shè)備進(jìn)場(chǎng)/入庫前必須按照采購計(jì)劃，對(duì)物資設(shè)備的數(shù)量、規(guī)格、信息平安要求進(jìn)行驗(yàn)證，審核產(chǎn)品證明文件的符合性。驗(yàn)證方法應(yīng)符合《信息處理設(shè)備管理程序》，并保存相應(yīng)的原始記錄。c.使用前必須經(jīng)過復(fù)驗(yàn)、檢驗(yàn)的物資，按相應(yīng)的標(biāo)準(zhǔn)、規(guī)范進(jìn)行復(fù)驗(yàn)。d.未經(jīng)監(jiān)視和測(cè)量的信息處理硬件軟件或勞務(wù)不得投入使用，對(duì)驗(yàn)證不合格的，按照《技術(shù)薄弱點(diǎn)管理程序》執(zhí)行。e.因工作急需，未經(jīng)檢驗(yàn)和試驗(yàn)放行（硬件、軟件）或轉(zhuǎn)序（勞務(wù)），必須具備放行和轉(zhuǎn)序后一旦發(fā)現(xiàn)問題能夠追回的條件。f.緊急放行或例外轉(zhuǎn)序后，應(yīng)及時(shí)進(jìn)行檢驗(yàn)和測(cè)試，發(fā)現(xiàn)問題及時(shí)追回或處理。g.為控制措施目標(biāo)所需的主動(dòng)監(jiān)視和測(cè)量，以巡檢、設(shè)施監(jiān)控、統(tǒng)計(jì)分析等適用的方法進(jìn)行。3.4本公司不可接受風(fēng)險(xiǎn)處置計(jì)劃關(guān)鍵特性和績(jī)效的監(jiān)視和測(cè)量，由行政財(cái)務(wù)部按照計(jì)劃籌劃的時(shí)間間隔，對(duì)特性的效果與網(wǎng)管協(xié)商測(cè)試方法，執(zhí)行本程序。對(duì)不易測(cè)評(píng)績(jī)效的關(guān)鍵特性，采用觀察現(xiàn)場(chǎng)表現(xiàn)的監(jiān)視和測(cè)量方式。有必要時(shí)，可委托有資格的外部檢測(cè)機(jī)構(gòu)實(shí)施。對(duì)事故、事件和其他不良績(jī)效的測(cè)量，由行政財(cái)務(wù)部組織，事發(fā)單位協(xié)同，利用統(tǒng)計(jì)報(bào)告并結(jié)合《技術(shù)薄弱點(diǎn)管理程序》進(jìn)行分析和改進(jìn)。3.5管理體系運(yùn)行過程的監(jiān)視和測(cè)量3.5.1管理體系運(yùn)行要遵守法律、法規(guī)的要求。行政財(cái)務(wù)部要對(duì)本公司各職能部門適用的法律、法規(guī)、標(biāo)準(zhǔn)、規(guī)范的獲取和識(shí)別，進(jìn)行監(jiān)視和測(cè)量。3.5.2管理體系運(yùn)行過程的檢查職能市場(chǎng)部門要每半年對(duì)管理管理體系的目標(biāo)、指標(biāo)及管理體系運(yùn)行情況進(jìn)行監(jiān)視和測(cè)量。3.5.3以上的監(jiān)視和測(cè)量由檢查部門填寫《信息平安法律法規(guī)符合性評(píng)估報(bào)告》。3.6顧客信息平安滿意程度的監(jiān)視和測(cè)量3.6.1顧客信息平安滿意程度信息的收集與傳遞a.顧客信息平安滿意程度信息包括滿意信息和不滿意信息，顧客滿意程度信息的收集最好采取書面問卷形式，特殊情況下也可采用口頭方式。b.行政財(cái)務(wù)部協(xié)助總經(jīng)理與顧客進(jìn)行溝通，收集招投標(biāo)階段、工程實(shí)施階段、交付使用后服務(wù)階段來自顧客的對(duì)信息平安滿意程度信息，并在內(nèi)部進(jìn)行傳遞，作為方針、目標(biāo)、管理評(píng)審的依據(jù)。c.對(duì)顧客投訴的問題和回訪中發(fā)現(xiàn)的問題，由研發(fā)部指定問題工程負(fù)責(zé)人組織有關(guān)人員對(duì)問題進(jìn)行復(fù)查，與顧客共同分析原因，按照《技術(shù)薄弱點(diǎn)管理程序》、《糾正措施管理程序》、《預(yù)防措施管理程序》及時(shí)做出處理。證據(jù)收集當(dāng)本公司與其他公司或某個(gè)人（包括內(nèi)部與外部人員）發(fā)生法律糾紛時(shí)，涉及法律糾紛的部門應(yīng)立即書面報(bào)告行政財(cái)務(wù)部，由行政財(cái)務(wù)部會(huì)同該部門進(jìn)行證據(jù)收集，準(zhǔn)備實(shí)施法律訴訟；證據(jù)收集應(yīng)符合以下要求：a.所呈證據(jù)應(yīng)符合國(guó)家有關(guān)的證據(jù)法規(guī)；b.符合用于提供可接受證據(jù)的任何已發(fā)布的標(biāo)準(zhǔn)或法規(guī)；c.對(duì)已收集到的證據(jù)進(jìn)行平安的保管，防止未經(jīng)授權(quán)的更改或破壞；d.收集到的證據(jù)符合法庭所要求的形式。4.3.8控制目標(biāo)的符合性主要通過實(shí)施定期評(píng)估的方法來實(shí)現(xiàn)，頻次與法律法規(guī)符合性評(píng)價(jià)相同，具體方法如下：a）歷史統(tǒng)計(jì)模式：雖然完成了某些控制措施，但看不到控制措施被采用的證據(jù)，而只能看到現(xiàn)在管理的狀態(tài)，經(jīng)過統(tǒng)計(jì)現(xiàn)在狀態(tài)的績(jī)效與原有績(jī)效的比擬，可以推導(dǎo)出是否到達(dá)了控制目標(biāo)的要求和是否按照要求才去了措施。b）文本審閱模式：文本審閱法是通過翻閱控制措施要求的相關(guān)的文件、檔案來了解控制措施過程，獲得書證。C）實(shí)地觀察模式：通過實(shí)地查看某些控制措施的實(shí)施過程，