ISMS-1002信息安全适用性声明.docVIP

信息平安适用性声明

编号：ISMS-1002

状态：受控

编写：行政部

2012年10月15日

印峰

2012年10月15日

邓庆平

2012年10月15日

发布版次：第A/0版

2012年10月15日

生效日期

2012年10月15日

分发：各部门

接受部门：

变更记录

变更日期

版本

变更说明

编写

审核

批准

2012年10月15日

A/0

初始版本

行政部

印峰

邓庆平

目录

TOC\o1-3\h\z\u1目的与范围 4

2相关文件 4

3职责 4

4声明 4

A.5平安方针 5

A.6平安组织 5

A.7资产管理 9

A.8人力资源平安 10

A.9实物与环境平安 12

A.10通信和操作管理 16

A.11访问控制 24

A.12信息系统获取、开发和维护 30

A.13信息平安事件管理 34

A.14业务持续性管理 35

A.15符合性 37

信息平安适用性声明

1目的与范围

本声明描述了在ISO27001:2005附录A中，适用于本公司信息平安管理体系的目标/控制、是否选择这些目标/控制的理由、公司现行的控制方式、以及实施这些控制所涉及的相关文件。

2相关文件

ISMS-1001《信息平安管理手册》

3职责

《信息平安适用性声明》由行政部编制、修订，由管理者代表批准。

4声明

本公司按ISO27001:2005建立信息平安管理体系。

根据公司风险评估的结果和风险可接受水平，ISO27001:2005附录A的以下条款被选择〔或不选择)用于本公司信息平安管理体系。

A.5平安方针

标准

条款号

标题

目标/

控制

是否选择

选择理由

控制描述SoC

相关文件

信息平安方针

目标

YES

为信息平安提供管理方向和支持，并说明管理层对信息平安的承诺。

信息平安方针文件

控制

YES

信息平安管理实施的需要。

信息平安方针由公司总经理制定，在《信息平安管理手册》中描述，由公司执行总经理批准发布。通过培训、发放《信息平安管理手册》等方式传到达每一员工。采用张贴布告于宣传栏、网站等形式传达给社区、主管部门、客户群等外部相关方。

ISMS-1001《信息平安管理手册》.3ISMS方针

评审与评价

控制

YES

确保方针持续的适宜性。

每年利用管理评审对方针的适宜性进行评价，必要时对方针进行修订。

ISMS-2004《管理评审控制程序》

A.6平安组织

标准

条款号

标题

目标/控制

是否选择

选择理由

控制描述SoC

相关文件

内部组织

目标

YES

建立一个有效的信息平安管理组织机构。

信息平安管理承诺

控制

YES

确定评审平安承诺及处理重大平安事故，确定与平安有关重大事项所必须的职责分配及确认、沟通机制。

公司成立信息平安管理委员会，由公司领导、信息平安管理者代表、各主要部门负责人组成。管理委员会每半年召开一次会议。信息平安管理者代表负责决定召开会议的时机及会议议题，行政部负责准备会议日程的安排。会议主要议题包括：

a)评审信息平安承诺；

b)确认风险评估的结果；

c)对与信息平安管理有关的重大更改事项，如组织机构调整、关键人事变动、信息系统更改等，进行决策；

e)评审与处理重大信息平安事故；

f)审批与信息平安管理有关的其他重要事项。

会议纪要《关于成立公司信息平安管理委员会和信息平安管理协调小组的决定》

有关信息平安管理委员会会议记录〔会议纪要〕

信息平安的协调

控制

YES

公司涉及信息平安部门众多，组织机构复杂，需要一个有效沟通与协调机制。

公司成立信息平安管理协调小组，由信息平安管理者代表〔行政部经理〕和研发部、行政部信息平安体系内审员组成。

协调小组每季度召开一次协调会议〔特殊情况随时召开会议)，对上一季度的信息平安管理工作进行总结，解决体系运行中存在的问题，并布置下一季度的信息平安工作。会议由行政专员负责组织安排并做好会议记录。

《关于成立公司信息平安管理委员会和信息平安管理协调小组的决定》

有关信息平安管理论坛会议记录〔会议纪要〕

信息平安职责的分配

控制

YES

保持特定资产和完成特定平安过程的职责需确定。

公司设立信息平安管理者代表，全面负责公司ISMS的建立、实施与保持工作。对每一项重要信息资产指定信息平安责任人。

与ISMS有关各部门的信息平安职责在本《信息平安管理手册》中予以描述，关于具体的信息平安活动的职责在程序及作业文件中予以明确。

ISMS-1001《信息平安管理手册》及相关岗位描述

信息处理设施的授权程序

控制

YES

本公司有新信息处理设备〔设施)采购及使用的活动，需对采购质量进行控制，并建立使用授权程序。

研发部参与对信息处理设施的供