《（安全生产）ITSMSA信息安全适用性声明最全版》由会员分享，可在线阅读，更多相关《（安全生产）ITSMSA信息安全适用性声明最全版（32页珍藏版）》请在金锄头文库上搜索。
1、（安全生产）ITSMSA信息安全适用性声明适用性声明编号：ISMS-P-2001状态：受控编写：200X年XX月XX日审核：200X年XX月XX日批准：200X年XX月XX日发布版次：第A/0版200X年XX月XX日生效日期200X年XX月XX日分发：各部门（或XXX）接受部门：变更记录变更日期版本变更说明编写审核批准2009-XX-XXA/0初始版本XXXXXXXXX目录1 目的和范围42 相关文件43 职责44 声明4A.5安全方针5A.6安全组织5A.7资产管理7A.8人力资源安全7A.9实物和环境安全7A.10通信和操作管理7A.11访问控制7A.12信息系统获取、开发和维护7A.13
2、信息安全事件管理7A.14业务持续性管理7A.15符合性7信息安全适用性声明1目的和范围本声明描述了在ISO27001:2005附录A中，适用于本X公司信息安全管理体系的目标/控制、是否选择这些目标/控制的理由、X公司现行的控制方式、以及实施这些控制所涉及的相关文件。2相关文件ISMS-1001信息安全管理手册3职责信息安全适用性声明由XXX编制、修订，由管理者代表批准。4声明本X公司按GB/T22080-2008idtISO/IEC27001:2005建立信息安全管理体系。根据X公司风险评估的结果和风险可接受水平，GB/T22080-2008idtISO/IEC27001:2005附录A的下
3、列条款被选择（或不选择)用于本X公司信息安全管理体系，共删除X条控制措施。A.5安全方针标准条款号标题目标/控制是否选择选择理由控制描述相关文件A.5.1信息安全方针目标YES为信息安全提供管理方向和支持，且表明管理层对信息安全的承诺。A.5.1.1信息安全方针文件控制YES信息安全管理实施的需要。信息安全方针由X公司总经理制定，在信息安全管理手册中描述，由X公司总经理批准发布。通过培训、发放信息安全管理手册等方式传达到每壹员工。采用张贴布告于宣传栏、网站等形式传达到各主管部门、客户群等外部相关方。ISMS-1001信息安全管理手册A.5.1.2评审和评价控制YES确保方针持续的适宜性。每年利
4、用管理评审对方针的适宜性进行评价，必要时对方针进行修订。ISMS-P-2004管理评审控制程序A.6安全组织标准条款号标题目标/控制是否选择选择理由控制描述相关文件A.6.1内部组织目标YES建立壹个有效的信息安全管理组织机构。A.6.1.1信息安全管理承诺控制YES确定评审安全承诺及处理重大安全事故，确定和安全有关重大事项所必须的职责分配及确认、沟通机制。X公司成立信息安全管理委员会，由X公司领导、信息安全管理者代表、各主要部门负责人组成。信息安全管理委员会至少每半年召开壹次，或者当信息安全管理体系发生重大变化或当管理者代表认为有必要时召开。信息安全管理者代表负责决定召开会议的时机及会议议题
5、，行政部负责准备会议日程的安排。会议主要议题包括：a)评审信息安全承诺；b)确认风险评估的结果；c)对和信息安全管理有关的重大更改事项，如组织机构调整、关键人事变动、信息系统更改等，进行决策；e)评审和处理重大信息安全事故；f)审批和信息安全管理有关的其他重要事项。ISMS-1001信息安全管理手册A.6.1.2信息安全的协调控制YESX公司涉及信息安全部门众多，组织机构复杂，需要壹个有效沟通和协调机制。X公司成立信息安全管理协调小组，由信息安全管理者代表和XXX部、XXX部信息安全体系内审员组成。协调小组每季度召开壹次协调会议（特殊情况随时召开会议），对上壹季度的信息安全管理工作进行总结，解
6、决体系运行中存在的问题，且布置下壹季度的信息安全工作。会议由XXX负责组织安排且做好会议记录。有关信息安全管理委员会会议记录（会议纪要）A.6.1.3信息安全职责的分配控制YES保持特定资产和完成特定安全过程的职责需确定。X公司设立信息安全管理者代表，全面负责X公司ISMS的建立、实施和保持工作。对每壹项重要信息资产指定信息安全责任人。和ISMS有关各部门的信息安全职责在信息安全管理手册中予以描述，关于具体的信息安全活动的职责在程序及作业文件中予以明确。A.6.1.4信息处理设施的授权程序控制YES本X公司有新信息处理设备（设施）使用时，实施使用授权程序。对各自负责管理的信息系统，根据使用者需
7、求提出新设施（包括软件）的采购技术规格，由XXX部进行技术选型，且组织验收，确保和原系统的兼容。明确信息处理设施的使用部门接受新设施的信息安全负责人为XXX部，XXX部人员需要讲解新设施的正确使用方法。ISMS-P-2010信息处理设备管理程序A.6.1.5信息安全保密性协议控制YES为更好掌握信息安全的技术及听取安全方面的有意建议，需和内外部经常访问我X公司信息处理设施的人员订立保密性协议。本X公司的正式员工和借用员工聘用、任职期间及离职的安全考察和保密控制以及其他相关人员（合同方、临时员工）的安全考察和控制。a)保密信息的形式：标明“秘密”、“受控”字样的资料，以及相关的文件、数据、分析报
8、告、算法、样品、实物、规格说明软盘等，未标明“秘密”、“受控”字样的即为公开文件；b)乙方仅能够在甲方规定的范围内使用保密信息、或者向甲方书面认可的第三方披露甲方认可可披露范围内的保密信息；c)乙方不得向其他任何第三方披露任何从甲方处收到或合法获知的保密信息。ISMS-P-2020密级控制程序A.6.1.6和政府部门的联系控制YES和法律实施部门、标准机构等组织保持适当的联系是必须的，以获得必要的安全管理、标准、法律法规方面的信息。XXX部就电话/网络通讯系统的安全问题和市信息主管部门及标准制定部门保持联系，其他部门和相应的政府职能部门及社会服务机构保持联系，以便及时掌握信息安全的法律法规，及
9、时获得安全事故的预防和纠正信息，且得到相应的支持。信息安全交流时，确保本X公司的敏感信息不传给未经授权的人。ISMS-1001信息安全管理手册XXXXA.6.1.7和特定利益团体的联系控制YES为更好掌握信息安全的新技术及安全方面的有益建议，需获得内外部信息安全专家的建议。本X公司设内部信息安全顾问，必要时聘请外部专家，和特定利益群体保持沟通，解答有关信息安全的问题。顾问和专家名单由本X公司信息安全委员会提出，管理者代表批准。内部信息安全顾问负责：a)按照专业分工负责解答X公司有关信息安全的问题且提供信息安全的建议；b)收集和本X公司信息安全有关的信息、新技术变化，经本部门负责人审核同意，利用
10、本X公司电子邮件系统或采用其它方式传递到相关部门和人员；c)必要时，参和信息安全事故的调查工作。信息安全内部顾问名单和信息安全外部专家名单A.6.1.8信息安全的独立评审控制YES为验证信息安全管理体系实施的有效性及符合性，X公司定期进行内部审核，审核需要客观公正性。信息安全管理体系的内部审核员由有审核能力和经验的人员组成（包括IT方面的专家），且接受ISMS内部审核员培训且考评合格。内部审核员在现场审核时保持审核的独立性，且不审核自己的工作。内审员获得授权，在审核期间不受行政的领导的限制，直接对审核组长负责。ISMS-P-2003内部审核管理程序A.6.2外部各方目标YES识别外部各方访问、
11、处理、管理、通信的风险，明确对外部各方访问控制的要求，且控制外部各方带来的风险。A.6.2.1和外部各方相关风险的识别控制YES本X公司存在诸如设备供应商来X公司维修设备、顾客访问X公司信息网络系统等第三方访问的情况，应采取必要的安全措施进行控制。第三方物理访问须经X公司被访问部门的授权，进入工作区应进行登记。X公司和长期访问的第三方签订保密协议。访问特别安全区域时由专人陪同，具体执行物理访问控制程序。第三方逻辑访问，按照用户访问控制程序要求进行控制。ISMS-P-2011物理访问控制程序ISMS-P-2012用户访问控制程序A.6.2.2处理和顾客有关的安全问题控制YES在正式的合同中规定必
12、要的安全要求是必须的。X公司和长期访问的顾客签订保密协议，明确规定信息安全要求，顾客方访问同样适用物理、逻辑访问控制措施。ISMS-P-2011物理访问控制程序ISMS-P-2012用户访问控制程序A.6.2.3处理第三方协议中的安全问题控制YES和本X公司存在相关服务主要有XXXXXX、XXX。X公司外包责任部门识别外包活动的风险，明确外包活动的信息安全要求，在外包合同中明确规定信息安全要求。ISMS-P-2010信息处理设备管理程序A.7资产管理标准条款号标题目标/控制是否选择选择理由控制描述相关文件A.7.1资产责任目标YES对本X公司重要信息资产（包括顾客要求保密的数据、软件及产品）进
13、行有效保护。A.7.1.1资产清单控制YESX公司需建立重要资产清单且实施保护。XXX部按照ISMS-P-2002信息安全风险评估管理程序组织各部门按业务流程识别所有信息资产，根据重要信息资产判断准则确定X公司的重要信息资产，重要信息资产清单，且明确资产负责人。ISMS-P-2002信息安全风险评估管理程序重要信息资产清单A.7.1.2资产负责人控制YES需要对重要信息处理设施有及重要信息指定责任人。XX部组织相关部门依据ISMS-P-2002信息安全风险评估管理程序指定资产负责人。ISMS-P-2002信息安全风险评估管理程序A.7.1.3资产的可接受使用控制YES识别和信息系统或服务相关的
14、资产的合理使用规则，且将其文件化，予以实施。制定相应的业务系统应用管理制度，重要设备有使用说明书，规定了资产的合理使用规则。使用或访问组织资产的员工、合作方以及第三方用户应该了解和信息处理设施和资源相关的信息和资产方面的限制。且对信息资源的使用，以及发生在其责任下的使用负责。ISMS-P-2010信息处理设备管理程序A.7.2信息分类目标YES本X公司根据信息的敏感性对信息进行分类，明确保护要求、优先权和等级，以明确对信息资产采取适当的保护。A.7.2.1分类指南控制YES本X公司的信息安全涉及信息的敏感性，适当的分类控制是必要的。本X公司的信息密级划分为：公开信息、受控信息、企业秘密三级。不同密级事项的界定，由涉及秘密事项产生部
