信息安全管理制度执行记录表保障信息安全.docVIP

一、适用工作场景

本工具适用于企业、事业单位及组织机构在日常信息安全管理工作中的制度执行情况记录，具体场景包括：定期信息安全制度检查、专项安全活动执行跟踪、新员工入职安全培训考核、系统权限管理合规性审查、数据安全操作流程验证、外部人员（如合作方、访客）信息安全协议履行监督等。通过系统化记录，保证各项信息安全管理制度落地执行，为安全审计、合规评估及责任追溯提供依据。

二、详细操作流程

（一）前期准备

明确执行依据：根据组织现行的《信息安全管理制度》《数据安全管理规范》《员工信息安全行为准则》等文件，确定本次执行检查的具体条款及范围（如“密码管理规范”“终端安全防护”“外部设备使用限制”等）。

组建执行小组：至少指定2名执行人员，其中1名为主执行人（负责现场检查与记录填写），1名为复核人（负责记录准确性核查），保证执行过程客观公正。

准备工具材料：包括《信息安全管理制度执行记录表》（模板见下文）、检查清单（对应制度条款细化检查项）、笔、便携式存储设备（如需拷贝系统日志）、相机（如需记录现场情况，需提前获得相关授权）。

（二）现场执行与记录

身份核验与告知：到达执行现场后，向被检查人员（如工、主管）说明检查目的、依据及流程，出示相关授权文件（如《信息安全检查通知书》），核对被检查人员身份信息。

逐项检查核对：根据检查清单，对应制度条款逐项执行检查，例如：

检查员工电脑密码是否符合“长度不少于8位且包含字母、数字、特殊字符”的要求；

核查敏感数据存储位置是否加密，是否违规使用个人U盘拷贝；

确认外部访客是否签署《信息安全承诺书》，是否全程由专人陪同。

记录执行情况：对每项检查结果进行客观记录，填写《信息安全管理制度执行记录表》中的“执行项目”“执行情况”字段：

若“符合”，需简要说明执行情况（如“密码符合复杂度要求，定期更新”）；

若“不符合”，需详细描述问题（如“电脑未安装杀毒软件，病毒库未更新”），并同步拍摄现场照片（作为附件备查）。

现场沟通确认：检查完成后，向被检查人员反馈初步结果，对不符合项进行确认，双方无异议后，由被检查人在记录表上签字（若被检查人员为外部人员，需由陪同人员签字确认）。

（三）审核与整改

内部审核：执行小组在完成现场记录后1个工作日内，对记录内容进行复核，重点检查“执行情况”描述是否准确、问题描述是否清晰、签字手续是否齐全，确认无误后由主执行人和复核人签字。

问题整改跟踪：对记录中的“不符合项”，由信息安全管理部门下发《信息安全整改通知书》，明确整改内容、责任人（如*主管）、整改期限（一般不超过5个工作日），并跟踪整改进度。

整改验证：整改期限届满后，执行小组需对整改结果进行复查，填写“整改措施”“验证结果”字段（如“已安装杀毒软件并更新病毒库，验证通过”），并由责任人与复查人签字确认，形成闭环管理。

（四）归档与管理

记录汇总：每月末将本月《信息安全管理制度执行记录表》及附件（如检查照片、整改通知书）汇总整理，按“部门-日期-执行类型”分类编号。

归档保存：纸质记录需存入信息安全档案柜，保存期限不少于3年；电子记录需加密存储于指定服务器，访问权限仅限信息安全管理人员，防止信息泄露。

分析与报告：每季度对记录表进行统计分析，总结制度执行中的高频问题（如“终端密码合规率不足80%”），形成《信息安全制度执行分析报告》，提交管理层作为制度优化依据。

三、标准记录表单

信息安全管理制度执行记录表

执行日期

执行部门/岗位

执行人

复核人

被检查人员/部门

2023年10月25日

信息安全管理部

*工

*主管

研发部*经理

序号

执行项目（对应制度条款）

执行情况（符合/不符合）

不符合项描述（若符合则填“无”）

整改措施

责任人

整改期限

验证结果（通过/未通过）

验证人

验证日期

1

《密码管理规范》第3条：终端密码需每30天更新

符合

无

-

-

-

-

-

-

2

《数据安全管理规范》第5条：敏感数据禁止通过个人邮箱传输

不符合

*工通过个人邮箱发送包含客户信息的Excel文件

删除邮件文件，参加数据安全专项培训

*工

2023-10-27

通过（邮件已删除，培训签到确认）

*主管

2023-10-28

3

《外部人员安全管理规定》第2条：访客需全程陪同

符合

无

-

-

-

-

-

-

附件清单：1.外部访客《信息安全承诺书》（签字版）；2.个人邮箱发送敏感数据截图（已脱敏处理）

被检查人员签字：__________日期：2023年10月25日

执行小组签字：主执行人：__________复核人：__________日期：2023年10月26日

四、使用要点提示

记录真实性：现场检查需基于客观事实，不得主观臆断或虚构记录，问题描述需具体（如“未安装杀毒软件”而非“安全意识不足”），避免模糊表述。