ISO27001手册信息安全管理手册 - 图文

02信息安全方针批准令

信息安全管理体系方针

1.总体方针：

满足客户要求，实施风险管理，确保信息安全，实现持续改进。 2.诠释：

一、信息安全管理机制

1．我们通过计算机及网络设备提供软件开发业务、IT系统集成业务等服务，因此，信息资产的安全性对我们来说是非常重要的事情。为了保证各种信息资产的保密性、完整性、可用性，给客户提供更加安心的服务，我们依据ISO/IEC 27001:2005标准，建立信息安全管理体系，全面保护公司的信息安全，并承诺如下：

一、信息安全管理组织

1. 总经理对信息安全全面负责，批准信息安全方针，确定安全要求，提供资源。

2. 信息安全管理者代表负责建立、实施、检查、改进信息安全管理体系，保证信息安全管理体系的持续适宜

性和有效性。

3. 在公司内部建立息安全组织机构：信息安全委员会及信息安全工作小组，负责信息安全管理体系的运行。 4. 与上级部门、地方政府、相关专业部门建立定期经常性的联系，了解安全要求和发展动态，获得对信息安

全管理的支持。 二、人员安全

1. 信息安全需要全体员工的参与和支持，全体员工都有保护信息安全的职责，在劳动合同、岗位职责中应包

含对信息安全的要求。特殊岗位的人员应规定特别的安全责任。对岗位调动或离职人员，应及时调整安全职责和权限。

2. 对公司的相关方，如：软硬件供应商、服务商、保卫、消防、清洁等人员，也要明确安全要求和安全职责。 3. 定期对全体员工进行信息安全相关教育和培训，包括：技能、职责等，以提高安全意识。 4. 全体员工及相关方人员必须履行安全职责，执行安全方针、程序和安全措施。 三、识别法律、法规、合同中的安全

1. 及时识别顾客、合作方、相关方、法律法规对信息安全的要求，采取措施，保证满足安全要求。 四、风险评估

1． 根据公司业务信息安全的特点、法律法规要求，建立风险评估程序，确定风险接受准则。 2． 定期进行风险评估，以识别公司风险的变化。公司或环境发生重大变化时，随时评估。 3． 应根据风险评估的结果，采取相应措施，降低风险。 五、报告安全事件

1． 公司建立报告安全事件的渠道和相应部门。

2． 全体员工有报告安全隐患、威胁、薄弱点、事故的责任，一旦发现安全事件，应立即按照规定的途径

进行报告。

3． 接受报告的相应部门应记录所有报告，及时相应处理，并向报告人员反馈处理结果。 六、监督检查

1． 定期对信息安全进行定期或不定期的监督检查，包括：日常检查、专项检查、技术性检查、内部审核

等，

2． 对信息安全方针及其他信息安全政策进行定期评审（至少一年一次）或不定期评审 七、业务持续性

1． 公司根据风险评估的结果，建立业务持续性计划，减少信息系统的中断发生的几率，防止关键业务过

程受严重的信息系统故障或者灾难的影响，并确保能够及时恢复。 2． 定期对业务持续性计划进行测试演练和更新。 八、违反信息安全要求的惩罚

1． 对违反安全方针、职责、程序和措施的人员，按规定进行处理。

2009年1月 5 日

XXXX有限公司

总经理：

03任 命 书

为贯彻执行信息安全管理体系，满足ISO/IEC 27001:2005《信息技术-安全技术-信息安全管理体系要求》标准的要求，加强领导，特任命行政部经理XXX为XXXXX有限公司信息安全管理者代表。

授权信息安全管理者代表有如下职责和权限：

1． 确保按照标准的要求，进行资产识别和风险评估，全面建立、实施和保持信息安全管理体系； 2． 负责与信息安全管理体系有关的协调和联络工作； 3． 确保在整个组织内提高信息安全风险的意识； 4． 审核风险评估报告、风险处理计划； 5． 批准发布程序文件；

6． 主持信息安全管理体系内部审核，任命审核组长，批准内审工作报告；

7． 向最高管理者报告信息安全管理体系的业绩和改进要求，包括信息安全管理体系运行情况、内外审核情况。 本授权书自任命日起生效执行。

04公司介绍

一、 公司简介

首批通过认定的软件企业、江苏省高新技术企业；通过ISO9000质量体系认定，通过CMMI L3认证评估；建筑智能化设计甲级、施工三级；江苏省软件和集成电路专项基金项目开发承担者。公司自建自用的软件园占地面积1公顷、建筑面积4300平方米，设施齐全，条件优良。

专业从事电子政务软件、建筑行业软件的开发，年纯软件销售额超过2300万元。开发平台主要采用微软的.NET技术，及其它的微软系列开发工具。主要软件产品有：政府版OA、网站大师、数据整合、报表统计、系列造价软件等，其中套装软件累计销售20000多套，同时为200多个政府部门完成了700多个定制项目，业绩在业内领先。

经过8年摸索，公司现已进入快速扩张期，已在江苏各地及上海、安徽、山东、浙江设有数十个分支机构或服务点，拟建立更多的销售服务点。公司注册资本1000万元，员工总人数超过150人，本科学历为主体，平均年龄27周岁。

二、 股权结构

公司管理者 公司骨干员工 、

三、 部门划分

董事会下的总经理负责制。 主要部门有：

行政部：负责公司财务、人事、采购、资质管理、后勤等工作。 拓展部：技术研究，方案设计，售前支持。 开发部：公司所有软、硬件产品的开发。 测试部：公司所有软、硬件产品的测试。

市场部：市场推广，产品销售。又分为各软件事业部和地区办事处。 实施部：售后支持，硬件施工，软件安装、调试、培训和服务。

四、 指导思想

? 推广和使用先进技术 ? 为社会提供有益的服务和产品 ? 创造物质财富 ? 培养一批中产阶级

五、 长期目标

? 建立良好的工作硬环境 ? 引导公司内部和谐的人际关系 ? 提供优厚的薪酬待遇