ISMS-1-01信息安全总体方针和安全策略.pdf

XX公司

——信息安全总体方针和安全策略

文件编码：ISMS-1-01

版本：V1.0

发布日期：X年X月X日

文档信息

基本信息

保密级

文档名称信息安全总体方针和安全策略内部

别

牵头部信息安全领导小

文档编号ISMS-1-01

门组

分发范围全体人员

版本修订

生效日期版本号版本说明制作复审批准

X年X月X日V1.0制度制定姓名姓名姓名

注：文档基本信息记录本文档提交时的当前有效的基本控制信息，当前版

本文档注有效期将在新版本文档生效时自动结束。文档版本小于1.0时，表示

该版本文档为草案，仅可作为参照资料之目的。

第一章总则

第一条为了进一步深入贯彻落实国家政策文件要求，加强XX公司信

息安全管理工作，切实提高XX公司信息系统安全保障能力，特制定

本指引。

第二条本指引适合于XX公司。

第三条XX公司信息安全管理遵循如下原则：

(一)主要领导负责原则：XX公司主要领导负责信息安全管理工作，

统筹规划信息安全管理目标和策略，建立信息安全保障队伍并合理配

置资源；

(二)全员参与原则：XX公司全员参与信息系统的安全管理工作，将

信息安全与本职工作相结合，相互协同工作，认真落实信息安全管理

要求，共同保障信息系统安全；

(三)合规性原则：信息安全管理制度遵循国际信息安全管理标准，

以国家信息安全法律、法规、标准、规范为根本依据，全面符合相关

主管部门和XX公司的各类要求。

(四)监督制约原则：信息系统安全管理组织结构、组织职责、岗位

职责、工作流程层面、执行层面建立相互监督制约机制，降低因缺乏

约束而产生的安全风险。

(五)规范化原则：通过建立规范化的工作流程，在执行层面对信息

系统安全工作进行合理控制，降低由于工作随意性而产生的安全风险，

同时提升信息安全管理制度的可操作性。

(六)持续改进原则：通过不断的持续改进，每年组织XX公司管理层

对制度的全面性、适用性和有效性进行论证和审定，并进行版本修订。

第四条本指引适用于XX公司全体人员。

第二章信息安全保障框架及目标

第五条参照国内外相关标准，并结合XX公司已有网络与信息安全体

系建设的实际情况，最终形成依托于安全保护对象为基础，纵向建立

安全管理体系、安全技术体系、安全运行体系和安全管理中心的“三

个体系，一个中心，三重防护”的安全保障体系框架。

(一)“三个体系”：信息安全管理体系、信息安全技术体系和信息安

全运行体系，把信息安全标准的控制点和XX公司实际情况相结合形

成相适应的体系结构框架；

(二)“一个中心”：信息安全管理中心，实现“自动、平台化”的安

全工作管理、统一技术管理和安全运维管理；

(三)“三重防护”：安全计算环境防护措施、安全区域边界防护措施

和安全网络通信防护措施，把安全技术控制措施与安全保护对象相结

合。

第六条XX公司安全保障框架：

(一)安全管理体系：信息安全管理体系重点落实安全管理制度、安

全管理机构和人员安全管理的相关控制要求，并结合XX公司的实际

情况形成符合行