02信息安全适用性声明SOA.doc

文档编号：XXXX-ITISMS-A-02

XXXX有限公司

信息安全适用性声明SOA

拟制

编制小组

审核

XXX

批准

XXX

日期

2023.1.10

日期

2023.1.10

日期

2023.1.10

修订记录

日期

版本

修订内容概要

拟制

审核

批准

2023.1.10

A/0

新版发行

编制小组

XXX

XXX

XXXX有限公司对本文件资料享受著作权及其它专属权利，未经书面许可，不得将该等文件资料（其全部或任何部分）披露予任何第三方，或进行修改后使用。

条款号

条款内容

控制目标

控制措施

是否

选择

选择/删除理由

涉及文件和记录

A.5.1

信息安全策略

应定义信息安全策略和专题策略，由管理层批准，发布，传达给相关人员和利益相

关方并得到他们的认可，并在计划的时间间隔和发生重大变化时进行审查。

信息安全策略集应被定义，由管理者批准，并发布、传达给所有员工和外部相关方。

应按计划的时间间隔或当重大变化发生时进行信息安全策略评审，以确保其持续的适宜性、充分性和有效性。

是

信息安全管理需求

信息安全方针

信息安全目标

A.5.2

信息安全角色和责任

应根据组织需求定义和分配信息安全角色和职责。。

所有的信息安全责任应予以定义和分配。

是

信息安全管理需求

信息安全管理手册；信息安全职能分配表；部门职责

A.5.3

职责分离

相互冲突的职责和相互冲突的责任领域应该被分离。

应分离冲突的职责及其责任范围，以减少未授权或无意的修改或者不当使用组织资产的机会。

是

信息安全管理需求

信息系统访问与使用监控管理程序、用户访问管理程序

A.5.4

管理者职责

管理者应要求所有人员根据组织的既定信息安全策略、专题策略和程序来应用信息安全。

管理者应宜要求所有员工和合同方按照组织已建立的策略和规程应用信息安全。

组织所有员工和相关的合同方，应按其工作职能，接受适当的意识教育和培训，及组织策略及规程的定期更新的信息。

应有正式的、且已被传达的违规处理过程以对信息安全违规的员工采取措施。

是

信息安全管理需求

员工聘用管理程序

公司岗位职责

A.5.5

与职能机构的联系

组织应当与相关职能机构建立并保持联系。

应维护与相关职能机构的适当联系。

是

信息安全管理需求

相关政府部门联系表

A.5.6

与特定相关方的联系

应维护与特定相关方、其他专业安全论坛和专业协会的适当联系。

应维护与特定相关方、其他专业安全论坛和专业协会的适当联系。

是

信息安全管理需求

相关利益团体联系表

A.5.7

威胁情报

应收集并分析与信息安全威胁相关的信息，以产生威胁情报。

收集和分析关于现有或新出现的威胁的信息，组织可以使用威胁情报来预防、检测或响应威胁。组织可以生成威胁情报，但更常

见的是接收和利用其他来源生成的威胁情报。

是

信息安全管理需求

信息系统访问与使用监控管理程序

A.5.8

项目管理中的信息安全

项目管理中应纳入信息安全。

应关注项目管理中的信息安全问题，无论何种类型的项目。

是

信息安全管理需求

信息系统访问与使用监控管理程序

A.5.9

信息和其他相关资产清单

应开发和维护信息和其他相关资产（包括所有者）的清单。

信息应按照法律要求、价值、重要性及其对未授权泄露或修改的敏感性进行分级。

是

信息安全管理需求

信息分类管理程序

信息处理设施安装使用管理程序

计算机管理程序

A.5.10

信息和其他相关资产的可接受使用

员工和其他相关方在变更或终止其雇佣关系、合同或协议时，应归还其拥有的所有组织资产。

应按照组织采用的信息分级方案，制定并实现一组适当的信息标记规程。

是

信息安全管理需求

信息分类管理程序

A.5.11

资产归还

所有员工和外部用户在任用、合同或协议终止时，应归还其占用的所有组织资产。

所有员工和外部用户在任用、合同或协议终止时，应归还其占用的所有组织资产。

是

信息安全管理需求

员工聘用管理程序；员工离职管理程序；

A.5.12

信息的分级

应根据组织的信息安全需求，基于机密性、完整性、可用性和利益相关方的要求，对信息进行分类。

信息应按照法律要求、价值、重要性及其对未授权泄露或修改的敏感性进行分级。

是

信息安全管理需求

信息分类管理程序

A.5.13

信息的标记

应当根据组织采用的信息分类方案，制定并实施一套适当的信息标签程序。

应按照组织采用的信息分级方案，制定并实现一组适当的信息标记规程。

是

信息安全管理需求

信息分类管理程序

A.5.14

信息传输

组织内部以及组织与其他方之间所有类型的信息传递设施都应当有信息传递的规

则、程序或协议。

应有正式的传输策略、规程和控制，以保护通过使用各种类型通信设施进行的信息传输。

协议应解决组织与外部方之间业务信息的安全传输。

应适当保护包含在电子消