数据仓库信息安全管理标准体系说明.docxVIP

供给商信息安全管理体系说明 信息安全管理手册之信息安全管理方针和策略 范围 企业依据ISO/IEC27001:20XX信息安全管理体系标准要求编制《信息安全管理手册》，并包含了风险评定及处理要求。要求了企业信息安全方针及管理目标，引用了信息安全管理体系内容。 1.1规范性引用文件 下列参考文件部分或整体在本文档中属于标准化引用，对于本文件应用必不可少。通常注日期引用文件，只有引用版本适适用于本标准；通常不注日期引用文件，其最新版本（包含任何修改）适适用于本标准。 ISO/IEC 27000，信息技术——安全技术——信息安全管理体系——概述和词汇。 术语和定义 ISO/IEC 27000中术语和定义适适用于本文件。 企业环境 了解企业及其环境 企业确定和企业业务目标相关并影响实现信息安全管理体系预期结果能力外部和内部问题，需考虑： 明确外部情况： 社会、文化、政治、法律法规、金融、技术、经济、自然和竞争环境，不管国际、中国、区域，还是当地； 影响组织目标关键动力和趋势； 和外部利益相关方关系，外部利益相关方见解和价值观。 明确内部情况： 治理、组织结构、作用和责任； 方针、目标，为实现方针和目标制订战略； 基于资源和知识了解能力（如：资金、时间、人员、过程、系统和技术）； 和内部利益相关方关系，内部利益相关方见解和价值观； 组织文化； 信息系统、信息流和决议过程（正式和非正式）；