ISMS纠正预防措施控制程序.docVIP

PAGE / NUMPAGES ISMS纠正预防措施控制程序 1 适用 本程序适用于对本公司为消除信息安全不符合/潜在不符合原因所采取的纠正/预防措施的控制。 2 目的 为对不符合/潜在不符合进行分析、采取措施，并予以消除，以逐步改进和完善信息安全管理体系，特制定本程序。 3 职责 DXC为公司信息安全管理体系纠正/预防措施的归口管理部门，负责组织相关部门进行信息安全数据的收集及分析，确定不符合/潜在不符合原因，评价纠正/预防措施的需求，组织相关部门制定纠正/预防措施，并由行政部负责跟踪验证。 4 程序 4.1 纠正/预防措施信息来源有： a. 公司内外安全事件记录、事故报告、薄弱点报告； b. 日常管理检查及技术检查中指出的不符合； c. 信息安全监控记录； d. 内、外部审核报告及管理评审报告中的不符合项； e. 相关方的建议或抱怨； f. 风险评估报告； g. 其他有价值的信息等。  4.2 DXC每半年组织相关部门利用4.1条款所规定的信息来源，分析确定不符合/潜在不符合及其原因，评价防止不符合发生的措施的需求，并形成《信息安全风险评估报告》。采取纠正/预防措施应与潜在问题的影响程度相适应，对于以下情况的不符合/潜在不符合应采取纠正/预防措施： a. 可能造成信息安全事故； b. 可能影响顾客满意程度、造成顾客抱怨与投诉； c. 可能影响本公司的企业形象与经济利益