ISMS文件和资料管理程序
ISMS-01-02文件控制程序
ISMS-01-02文件控制程序变更履历目录1.目的确保生产经营全过程的有效策划、运行和控制所需的文件、资料（包括外来文件）受控，对质量、环境、安全管理体系（以下简称综合管理体系）运行有关的文件、资料进行有效控制。
2.范围适用于综合管理体系运行有关的文件、资料，包括外来文件，如法律法规、技术标准、相关提供的文件、规章制度等。
3. 职责3.1信息安全工作小组是综合管理手册、程序文件的归口管理部门；负责手册、程序文件的编制，环境、安全管理体系覆盖的程序文件及有关的法律法规及其它要求的收集、更新。
3.2技术部是技术文件及外来技术文件的归口管理部门；负责产品标准的获取、更新、贯彻执行；技术文件的发放、回收、保留、并做好相关记录。
3.4 行政部门负责外来行政类及政策类文件的收集及公司外部公文的发放工作，负责外来文件的收集、发放、保存，并做好相关记录。
3.5规定了信息安全管理手册、策略文件、方针目标文件由信息安全小组以及有关部门共同编写,总经理审批、发布。
3.6程序文件和各类三层文件由相关责任部门编写,各部门领导参与审核，管理者代表批准、发布4. 工作程序4.1文件分类4.1.1文件分为：管理文件、技术文件、外来文件管理文件分为：手册、程序文件、管理制度（包括管理制度及管理标准）、记录表单等。
4.1.2 外来文件1）国家、行业、地方颁发的适用的法律法规、政策等文件；2）有关标准（如产品标准，国际标准等）、国家和行业技术标准、产品图样和规范；3）顾客提供的知识产权保护（如图样、规范等）；4.2 文件的编制和收集1）手册、程序文件由体系中心负责编制、更改，各部门协助。
按文件编码规定编号。
2) 管理制度、管理标准由归口部门编制，部门主管审核，有关责任部门会签后报体系中心编号、标准化检查后，报归口负责人批准。
3) 技术类文件由相关业务部门编写并按编号规则编号，部门负责人审核，部门主管副总经理批准，各部门负责将文件相关信息登记到部门【受控文件清单】中。
ISMS记录管理程序
ISMS记录管理程序1.适用本程序适用于本公司产生的记录的管理。
2.目的为支持信息安全体系的运作而明确记录的管理。
3.管理方法本公司采用X级层次文件编写法。
所有信息安全管理的记录均以ISMS作为开头，其后由4-5个数字构成编号。
首数字代表本文件层次：4为表格记录；第二、三两个数字全部对应需要填写此表格的程序文件或作业指导书，后两个数字为自然序列号；以此类推。
如：ISMS-4061记录清单。
其中“ISMS”表示信息安全类文件；首数字“4”表示第4层次文件，即：表格；第二、三两个数字“06”对应第06号标识的程序文件“ISMS-2006记录控制程序”（详见《文件和资料管理程序》）；最后一位数字“1”代表自然序列号。
在每个记录文件的页眉右上角标记出文件的编号及版本号。
版本及修订号的编制方法采用“英文字母自然排序/数字自然排序”法。
如：“ISMS—×××× A/0”以此类推。
第0次修定（按照数字自然顺序号，依次使用1、2、3……）第A版（按照英文字母自然排序，依次使用B、C、D……）在使用每个具体记录时，需要在每个记录上填写该记录的使用序号（或称：编号）规则为：“部门的简写—自然顺序号”。
如：“ZH - 01”。
以此类推。
自然顺序号综合部的简称本标准覆盖的部门如下：ZH：综合部简写；XX：XXX部简写；……3.1 保管方法（1）记录由各保管部门在可快速检索的条件下，决定保管场所，放在箱子、柜子等适当容器中保管。
（2）对保管场所的环境，本程序没有特别指定。
由各保管部门考虑记录媒体的特性做适当处理。
（3）以电子媒体保管的场合，为预防意外，需做适当的备份。
备份的安全要求执行ISMS-2009《重要信息备份管理程序》。
（4）记录应明确规定保管记录类别、记录保存期限等。
记录的保存应符合有关法律法规的要，保存期限参考本规格书第4条款。
（5）因工作需要，借阅其他部门的秘密记录，应获得记录保管部门负责人授权后方可借阅，并留下授权记录和借阅记录。
信息安全管理体系概述和词汇
信息安全管理体系概述和词汇
信息安全管理体系（Information Security Management System，简称ISMS）是指一个组织为保护其信息资产的机密性、完整性和可用性而建立、实施、运行、监视、审查、维护和改进的一系列政策、程序、流程和控制措施的框架。
以下是与信息安全管理体系相关的一些词汇：
1. 信息安全：保护信息资产免受未经授权的访问、使用、揭示、破坏、干扰或泄露的能力。
2. 信息资产：指对组织有价值的信息及其相关的设备、系统和网络。
3. 风险管理：识别、评估和处理信息安全风险的过程，以减少风险并确保信息安全。
4. 政策与程序：指导和规范组织内部员工和外部参与者在信息安全方面的行为和操作的文件和指南。
5. 安全控制措施：包括技术、物理和组织上的措施，用于
保护信息资产免受威胁和攻击。
6. 内部审核：定期进行的组织内部的信息安全管理体系审核，以确认其合规性和有效性。
7. 不符合与纠正措施：针对审核中发现的不符合要求制定的纠正和预防措施，以改进信息安全管理体系。
8. 持续改进：基于监视和评估结果，采取行动改进信息安全管理体系的能力和效果。
9. 第三方认证：由独立的认证机构对组织的信息安全管理体系进行评估和认证，以确认其符合特定标准或规范要求。
10. 法规与合规性：遵守适用的法律法规、标准和合同要求，保障信息安全与隐私保护。
以上词汇是信息安全管理体系中常见的一些概念和术语，了解这些词汇有助于更好地理解和实施信息安全管理体系。
ISMS-文件控制程序
信息安全风险评估程序版本记录批准人（签名）：日期:文件控制程序1.目的本程序规定了对受控文件的编制、审批、发放、更改、废除等控制措施，确保信息安全管理体系运行的各个环节中使用的文件保持有效性。
2.适用范围2.1.公司范围内所有的信息安全管理体系及相关外来文件。
2.2.职责✓管理者代表：负责信息安全方针、信息安全手册和程序文件的审批，包括修改的审批。
✓信息技术部：负责信息安全方针、信息安全管理手册以及公司级程序文件的编写。
负责组织对信息安全管理体系文件的评审，并提出文件评审意见；负责信息安全管理体系文件的发放、旧版文件的回收以及外来文件的登记；负责信息安全管理体系外来文件的收集、保存、发放和回收等。
✓各部门：负责与本部门相关的信息安全管理体系文件、记录的编写、修改和使用；负责与本部门相关的信息安全管理体系外来文件的收集和管理。
3.术语和定义信息安全体系文件：公司所有正式发放的信息安全管理相关文件均为信息安全管理体系文件，受控状态分为受控和非受控。
外来文件：信息安全管理体系标准，信息安全管理体系相关的法律法规等，均称为外来文件。
4.相关/支持性文件•《信息安全管理体系手册》•《信息密级分类及管理规范》•《记录控制程序》5.6.程序内容7.流程说明7.1.文件的范围和分类7.1.1.受控文件范围：•信息安全手册（包括信息安全方针、信息安全目标）适用性声明（SOA）、策略；•标准所要求的程序文件；•工作指导书（指南）；•外来文件；•记录格式。
7.1.2.文件层次•第一层：信息安全手册（包括信息安全方针、信息安全目标）、适用性声明（SOA）、策略；•第二层：程序文件；•第三层：工作指导书（指南）；•第四层：记录。
7.2.文件的编号完整的文件编号格式如下：文件名称文件层次部门代码ISMS–XX–Lx – XXXX体系代码✓文件命名实例：ISMS-L2-HR-员工离职程序表示人力资源部发放的员工离职程序（2级文件）。
信息安全管理体系文件及记录管理规范
编号ISMS-2-GP-01版本号V2.0受控状态受控信息级别一般信息安全管理体系文件及记录管理规范版本记录目录第一章总则 (4)第二章职责 (5)第三章体系文件阶层及编码 (6)第四章文件要求 (8)第一章总则一、本文件定义了信息安全管理体系文件和记录的编写、审批、保存、发放、变更等过程的管理要求，以确保对公司信息安全管理体系文件版本进行有效控制，保障公司各部门所使用的文件为最新有效版本。
二、本文件适用于公司各部门, 以及信息安全管理体系范围内的所有形式的文件及记录。
三、管理体系文件由信息安全管理手册、管理规范、操作指南和记录表单等文件组成，包括：一级文件：信息安全管理体系的纲领性文件（《信息安全管理体系手册》）；二级文件：信息安全管理体系各控制域的管理规范；三级文件：信息安全管理体系各控制域的操作指南；四级文件：信息安全管理体系执行过程中产生的记录和报告模板。
四、信息安全管理手册定义信息安全管理体系方针、信息安全目标，是体系文件的一级文件。
公司信息安全管理手册是信息安全管理体系二、三与四级文件制定的重要依据。
五、管理规范是文件化的各控制域的管理要求程序，是实现各控制目标所规定的方法和要求，此处特指体系文件中二级文件。
公司信息安全管理规范文件（二级文件）是需要公司各部门在日常工作中严格执行的。
六、操作指南文件是为了保证具体作业活动符合要求而制订的操作标准，是体系文件中三级文件。
公司信息安全实施指南文件是公司信息安全控制措施执行的操作依据。
七、记录是为完成活动或达到的结果提供客观证据的文件，记录模板是体系中的四级文件。
公司信息安全管理体系提供了体系运行所需的记录模板文件，供公司各部门在工作中参考和使用，如在公司项目中客户有要求可采用客户方的记录模板。
八、文件变更指新增文件和对已发布文件执行修订。
第二章职责一、文件编写人员的职责1. 按ISO/IEC27001：2013规定的要求拟定管理体系要求的文件；2. 文件目的和使用范围要明确清晰；3. 文件内容中的术语和定义要准确，内容要完整，同时并具有可操作性；4. 文件中规定的职责和权限要明确；5. 文件中的文字要保持简洁，用词规范。
ISMS信息安全管理体系文件(全面)
ISMS-01-01ISMS信息安全管理体系文件目录一、信息安全方针1.1总体方针满足用户要求，实施风险管理，确保信息安全，实现持续改进。
1.2信息安全管理机制和目标公司为用户提供智能登陆及加密会员信息管理的服务，信息资产的安全性对公司及用户非常重要。
为了保证各种信息资产的保密性、完整性、可用性，给客户提供更加安心的服务，公司依据ISO/IEC 27001:2013标准，建立信息安全管理体系，全面保护公司及用户的信息安全。
1.2.1目标量化：保密性目标：确保本公司业务系统在存储、处理和传输过程中的数据不向非授权用户暴露。
1）顾客保密性抱怨/投诉的次数不xeg 超过1起/年。
2）受控信息泄露的事态发生不超过3起/年。
3）秘密信息泄露的事态不得发生。
完整性目标：确保本公司业务系统在存储、处理和传输过程中不会以非授权方式更改数据；1）非授权方式更改数据导致业务系统出现故障而影响正常工作的事态不超过2起/年。
可用性目标：确保本公司业务系统能有效率地运转并使所有授权用户得到所需信息服务。
1）得到授权的用户执行数据操作，出现服务拒绝或者数据拒绝的次数不得高于10起/年；2）得到授权的用户超越其自身权限，越权使用系统、使用数据的次数不超过10起/年。
1.3信息安全小组负责信息安全管理体系的建立、实施和日常运行，起草信息安全政策，确定信息安全管理标准，督促各信息安全执行单位对于信息安全政策、措施的实施；负责定期召开信息安全管理工作会议，定期总结运行情况以及安全事件记录，并向信息安全管理委员会汇报；对员工进行信息安全意识教育和安全技能培训；协助人力资源部对外部组织有关的信息安全工作，负责建立各部门定期沟通机制；负责对ISMS体系进行审核，以验证体系的健全性和有效性，并对发现的问题提出内部审核建议；负责对ISMS体系的具体实施、各部门的信息安全运行状况进行定期审计或专项审计；负责汇报审计结果，并督促审计整改工作的进行，落实纠正措施（包括内部审核整改意见）和预防措施；负责制定违反安全政策行为的标准，并对违反安全政策的人员和事件进行确认；负责管理体系文件的控制；负责保存内部审核和管理评审的有关记录；识别适用于公司的所有法律、法规，行业主管部门颁布的规章制度，审核ISMS体系文档的合规性。
ISMS-2015信息处理设备管理程序
深圳市首品精密模型有限公司信息处理设备管理程序文件编号：ISMS—2015变更履历1 适用与目的本程序适用于公司与IT相关各类信息处理设施（包括各类软件、硬件、服务、传输线路）的引进、实施、维护等事宜的管理.本程序通过对技术选型、验收、实施、维护等过程中相关控制的明确规定来确保引进的信息处理设施的保密性、完整性和可用性。
2信息处理设施的分类2.1 研发控制系统、数据存储控制系统及其子系统设备，包括位于机房的服务器和位于使用区域的使用控制系统终端设备.2。
2 业务管理系统、财务管理系统,包括位于机房的服务器和位于使用区域的终端设备。
2.3办公用计算机设备，包括所有办公室、会议室内的计算机、打印机，域控制服务器，DNS服务器、Email服务器等。
2.4 网络设备，包括交换机、路由器、防火墙等.2。
5 其它办公设备，包括电话设备、复印机、传真机等。
3 职责3.1 信息部主要负责全公司与IT相关各类信息处理设施及其服务的引进.包括制作技术规格书、进行技术选型、安装和验收等.信息部同时负责全公司网络设备、研发控制系统、业务管理系统、财务管理系统日常管理与维护。
3。
2 各部负责项目实施过程中设备及软件系统的管理制度的执行与维护。
3。
3 信息部负责后勤系统设备及网络系统、电话/网络通讯与办公系统的管理与维护。
4 信息处理设施的引进和安装4.1引进依赖各部门必须采购的信息处理设施、外包开发信息系统项目或外包信息系统服务，得到本部门经理的批准后，向信息部提交申请。
信息部以设备投资计划，技术开发计划为依据,结合对新技术的调查，作出是否引进的评价结果并向提出部门返回该信息。
本公司禁止员工携带个人或私有信息处理设施（例如便携式电脑、家用电脑或手持设备PDA等）处理业务信息.4.2进行技术选型信息部负责对购入的信息处理设施的技术选型，并从技术角度对供应商进行评价。
技术选型应该包含以下几方面:性能、相关设施的兼容性、协作能力、技术发展能力等。
isms实施审核的步骤
ISMS实施审核的步骤1. 简介在信息安全管理体系（ISMS）的实施过程中，审核是一项至关重要的工作。
通过对ISMS的审核，可以确保组织的信息安全控制措施能够有效地运行并达到预期的效果。
本文将介绍ISMS实施审核的步骤，帮助组织全面了解和实施ISMS。
2. 准备2.1 审核计划在进行ISMS实施审核之前，组织需要制定一个详细的审核计划。
审核计划应包括审核目标、审核范围、审核方法、审核时间以及审核人员的安排等内容。
2.2 审核准备在开始实施审核之前，审核人员应对组织的ISMS文件进行全面评估，并熟悉相关的法规、标准和指南。
此外，还需要了解组织的信息安全政策、信息安全目标以及信息资产清单等。
3. 进行审核3.1 开会准备在进行实施审核前，需召开会议，明确审核的目标和程序，并通知相关人员参加会议。
3.2 文档审核审核人员对组织的ISMS文件进行详细的审核，包括信息安全政策、程序文件、工作指南等。
审核人员需要核对文件的完整性、合规性以及可操作性等。
3.3 实地审核除了对文件进行审核外，审核人员还需要进行实地审核。
实地审核包括对物理设施、信息系统、安全控制措施等进行检查。
审核人员需要验证组织的物理安全措施、逻辑安全措施以及人员安全措施等是否符合预期要求。
3.4 采访审核人员将与组织内的相关人员进行采访，以了解他们对ISMS的理解和运作情况。
采访的内容包括信息安全培训、重要岗位职责、工作流程等。
3.5 审核记录在实施审核的过程中，审核人员需要记录每个发现的问题和不符合要求的情况。
同时，也应记录一些良好的实践和建议。
4. 结果分析4.1 问题问题发现审核人员根据实施审核的结果，将问题和不符合要求的情况进行整理和分析。
同时，还需要对问题的严重程度进行评估。
4.2 建议和改进建议根据问题分析的结果，审核人员将提出一些建议和改进建议。
这些建议和改进措施将帮助组织更好地实施ISMS，并改善信息安全管理。
5. 编写审核报告根据实施审核的结果，审核人员需要编写一份审核报告。
ISO27001所有的文件名
《ISMS方针、手册、程序文件模版》目录1 信息安全管理体系手册2 信息安全管理体系程序文件ISMS-业务持续性管理程序ISMS-事故、薄弱点与故障管理程序ISMS-企业商业技术秘密管理程序ISMS-信息处理设施引进实施管理程序ISMS-信息处理设施维护管理程序ISMS-信息安全人员考察与保密管理程序ISMS-信息安全奖励、惩戒管理规定ISMS-信息安全适用性声明ISMS-信息安全风险评估管理程序ISMS-内部审核管理程序ISMS-恶意软件控制程序ISMS-更改控制程序ISMS-物理访问程序ISMS-用户访问控制程序ISMS-管理评审控制程序ISMS-系统开发与维护控制程序ISMS-系统访问与使用监控管理程序ISMS-计算机应用管理岗位工作标准ISMS-计算机管理程序ISMS-记录控制程序ISMS-重要信息备份管理程序ISMS-预防措施程序3 信息安全管理体系作业文件Token 管理规定产品运输保密方法管理规定介质销毁办法保安业务管理规定信息中心主机房管理制度信息中心信息安全处罚规定信息中心密码管理规定信息安全人员考察与保密管理程序信息开发岗位工作标准信息系统访问权限说明信息销毁制度（档案室）可移动媒体使用与处置管理规定各部门微机专责人工作标准复印室管理规定工程师室和电子间管理规定数据加密管理规定文件审批表机房安全管理规定档案室信息安全职责法律法规与符合性评估程序生产经营持续性管理战略计划监视系统管理规定系统分析员岗位工作标准经营部信息事故处理规定经营部信息安全岗位职责规定经营部计算机机房管理规定经营部访问权限说明网站信息发布管理程序网络中间设备安全配置管理规定网络通信岗位工作标准计算机硬件管理维护规定财务管理系统访问权限说明远程工作控制程序4 常见信息安全管理体系记录上级单位领导来访登记表事故调查分析及处理报告信息发布审查表信息处理设施使用情况检查表信息安全内部顾问名单信息安全外部专家名单信息安全故障处理记录信息安全法律、法规清单信息安全法律、法规符合性评价报告信息安全薄弱点报告信息安全记录一览表信息安全重要岗位评定表信息设备转交使用记录信息设备转移单信息设备（设施）软件采购申请信息资产识别表内部员工访问特别安全区域审批表外部网络访问授权登记表应用软件开发任务书应用软件测试报告操作系统更改技术评审报告敏感重要信息媒体处置申请表文件修改通知单文件借阅登记表文件发放回收登记表文件销毁记录表时钟校准记录机房值班日志机房出入登记表生产经营持续性管理战略计划生产经营持续性管理计划生产经营持续性计划测试报告生产经营持续性计划评审报告用户设备使用申请单用户访问授权登记表 a 用户访问授权登记表 b 监控活动评审报告私人信息设备使用申请单第三方访问申请授权表 a 第三方访问申请授权表 b 系统测试计划网络打印机清单计算机信息网络系统容量规划记录借阅登记表记录销毁记录表设备处置再利用记录设施系统更改报告访问权限评审记录软件安装升级申请表软件设计开发方案软件设计开发计划软件验收报告远程工作申请表重要信息备份周期一览表5 典型信息安全策略集锦5.01 安全监控策略5.02 安全培训策略5.03 备份安全策略5.04 便携式计算机安全策略5.05 病毒检测策略5.06 电子邮件策略5.07 服务器加强策略5.08 更改管理安策略5.09 互联网使用策略5.10 口令策略5.11 卖方访问策略5.12 入侵检测策略5.13 软件注册策略5.14 事故管理策略5.15 特权访问管理策略5.16 网络访问策略5.17 网络配置安全策略5.18 物理访问策略5.19 系统开发策略5.20 信息资源保密策略5.21 信息资源使用策略5.22 帐号管理策略还有这些通过ISO27001 认证，需要审核那些安全文档？一级文件:信息安全管理手册二级程序信息安全风险评估管理程序--A5 安全方针威胁影响程度判断准则--A5 安全方针风险接受准则--A5 安全方针风险处理计划--A5 安全方针信息安全适用性声明--A5 安全方针管理评审控制程序--A6 信息安全组织管理评审实施程序--A6 信息安全组织计算机管理程序--A7 资产管理信息划分及标识管理程序--A7 资产管理企业商业技术秘密管理程序--A7 资产管理信息安全人员考察与保密管理程序--A8 人员安全人员安全考察管理程序--A8 人员安全人员离职、转岗安全管理程序--A8 人员安全人员信息安全培训、意识及能力管理程序--A8 人员安全信息安全奖励与惩戒管理规定--A8 人员安全物理访问程序--A9 物理及环境安全信息处理设施维护程序--A10 通信及操作信息处理设施引进实施管理程序--A10 通信及操作恶意软件控制程序--A10 通信及操作更改控制程序--A10 通信及操作系统访问与使用监控管理程序--A10 通信及操作用户访问控制程序--A11 访问控制文件控制程序--A11 访问控制记录控制程序--A11 访问控制系统开发与维护控制程序--A12信息系统的获得、开发和维护项目安全管理程序--A12 信息系统的获得、开发和维护预防措施控制程序--A13 信息安全事故事故、薄弱点与故障管理程序--A13 信息安全事故业务持续性管理程序--A14 业务连续性重要信息备份管理程序--A14 业务连续性内部审核管理程序--A15 符合性外部标准管理规程--A15 符合性法律法规、相关方要求识别与符合性评估程序--A15 符合性。
ISMS-管理评审控制程序
管理评审控制程序1目的通过最高管理者对信息安全与服务管理体系持续的充分性、有效性、适宜性的评审，不断改善体系及其运行效果，以确保信息安全与服务管理体系持续有效地满足标准的要求，确保本公司信息安全方针和目标适应公司自身发展的需要，以不断完善信息安全与服务管理体系,需求持续改进的机会,特制定本程序。
2范围本程序适用于对本公司信息安全与服务管理体系的评审。
3职责3.1总经理总经理负责主持管理评审活动,对信息安全与服务管理体系的现状和适应性进行正式评价。
3.2管理者代表审核《管理评审报告》。
负责评审后的跟踪检查及协调落实改进措施中的问题。
3.3运营管理部3.3.1协助总经理、管理者代表做好有关管理评审的各项工作。
3.3.2收集并准备管理评审所需的资料，控制好评审的输入和其它准备工作。
3.3.3整理并编写《管理评审报告》3.4相关部门3.4.1负责准备并提供评审所需的与管辖范围有关的资料。
3.4.2根据评审通知，出席会议并事先对全公司信息安全与服务管理体系运行及改进重点准备好意见和建议。
3.4.3负责实施管理评审提出的涉及本部门的质量和环境改进措施。
3.4.4参照本公司管理评审的精神，评价本部门信息安全与服务管理活动开展情况并提出相应的改进措施。
4、措施和方法4.1总则4.1.1管理评审每年至少进行一次,二次间隔时间不得超过十二个月。
4.1.2管理评审在内部信息安全与服务管理体系审核的基础上进行,但在出现下列情况时,也应适时组织管理评审：1）当本公司的组织机构、产品范围、资源配置发生重大变化时；2）当发生重大信息安全问题或顾客关于信息安全有严重投诉或投诉连续发生时；3）当市场需求发生重大变化时；4）当总经理认为有必要进行时；5）当法律法规\标准及其他要求有变化时；6）即将进行第二\三方审核或法律\法规规定的审核时；7）当信息安全审核中发现严重不合格时。
4.1.3管理评审应针对信息安全与服务管理体系的适宜性、充分性和有效性进行评价。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
ISMS文件和资料管理程序
1. 目的
对信息安全管理体系所要求的文件进行控制，确保可获得适用文件的有效版本。
2. 适用范围
本程序适用于公司各部门的信息安全管理体系有关的文件和资料控制和管理。
3. 职责
3.1 DXC负责本程序文件的编制、更改、实施和控制管理；负责外来文件（国家、地方、上级和顾客与信息安全有关的文件和资料）的识别控制和管理。
3.2 DXC负责ISMS-1001《信息安全管理手册》的编制、发放、更改和控制管理，负责各程序文件编制工作的指导、印制、发放、更改和控制管理。
3.3 DXC负责编制规范、标准和标准图等有效版本控制清单，下发到相关部门和单位，并组织对作废版本进行识别；负责重大技术项目施工组织设计编制工作；参与竣工的审核验收工作。
3.4 DXC负责组织项目工程竣工资料的审核验收；参与重大工程项目施工组织设计编制工作。
3.5 DXC负责收集国家颁布的信息安全方面的法律法规并进行有效的控制和管理。
3.6各职能部门负责本部门所管辖的业务和相关的外来文件；以及内部文件资料的识别、控制与管理。
4. 文件和资料编号/版本规定
4.1本公司采用X级层次文件编写法。
所有信息安全管理的文件（含记录）均以ISMS作为开
头，规定由4或5个数字构成编号。
●首数字代表文件层次：1为手册、2为程序文件、3为作业指导书、4为表格记录；
●第二层次文件中第二位数字全部为0，末两位为自然序号，从01开始往后排序；
●第三层次文件中的第二位和第三位两个数字与第二层次文件的自然序列号相对应，
第四或第五个数字为本层次的自然序列号；
●第四层次的文件编号中第二、三两个数字全部对应需要填写此表格的程序文件或作
业指导书，后两个数字为自然序列号；。
4.2版本及修订号的编制方法采用“英文字母自然排序/数字自然排序”法。
如：“A/0”。
以此类推。
第0次修定（按照数字自然顺序号，依次使用1、2、3……）
第A版（按照英文字母自然排序，依次使用B、C、D……）版本及修订号的标注方法：1、2、3层次文件标注在封面。
记录作为一种特殊形式的文件，没有标注版本及修订号的时候，默认为A/0版；当记录更新版本及修订号后，需要在记录的标题前增加更新后的版本及修订号，以示区别。
5. 工作程序
5.3 文件的批准、发布和标识
5.3.1《信息安全管理手册》由信息安全管理委员会编写，管理者代表审核，最高管理者批准发布。
5.3.2程序文件和三层文件在行政部组织下由主管该程序的职能部门或指定相关责任人代表本部门编写，部门负责人审核，管理者代表批准发布。
5.3.3信息安全计划和施工技术指导性文件的编写、审核、批准，按照公司按照国家颁布的信息安全方面的法律法规进行编写。
5.3.4 其他管理文件由编写该文件的部门负责人审核，公司主管领导批准。
5.3.5《信息安全管理手册》和程序文件都应标识清楚文件的名称、编号、版本、制文时间、发布部门和日期等。
5.3.6公司内行政文件的发文程序。
文件编写部门在文件定稿以后，填写《文件审批接收单》，标明文件名称、编号、份数、说明、主办单位、接受部门，经部门领导审核签字后交行政部，行政部根据文件内容送有关领导签发，填写发文编号打印后，加盖印章发出。
5.3.7外来文件的管理程序。
凡发到公司的与信息安全和有关的外来文件均由行政部负责签收、登记、分类，由行政部先送公司有关领导阅批，再根据领导批示的内容，送有关部门阅办或转发基层单位，有关部门阅办或转发以后，其文件原件一律由公司行政部收回并存档案室。
各部门收到的外来文件，应交行政部处理；凡地方有关部门或顾客直接发到各职能部门与信息安全和有关的文件资料，各职能部门对照公司文件控制管理工作程序进行文书处理。
5.4 文件的收发管理及使用
5.4.1公司行政部设专职人员负责文件的收发、管理、更改和作废文件的处置。
5.4.2文件发放时应确定发放范围，办理发放手续，建立发放台帐。
5.4.3凡进入本单位、本部门的文件均要进行收文登记；凡发到下级单位或个人的文件均要妥善保管，严防丢失和污损，确保文件清晰，易于识别；凡需归档的文件，要按ISMS-2006《记录管理程序》执行。
5.4.4行政部负责汇总编制公司受控文件总清单，由管理者代表审批。
5.4.5各职能部门都要根据本部门、本单位的实际建立文件清单，以便对文件进行动态的管理。
5.4.6文件不得随意自行复印，如需要时使用者应办理复印审批手续，经文件主控部门批准后方可复印，复印的文件与原文同等发放管理。
5.4.7文件使用者变动为与原岗位无关的岗位或调出本单位时，其使用的文件须办理交接，并填写文件交接单。
5.5文件评审和修改
5.5.1在文件实施过程中，各职能部门应及时收集不适宜之处，及时上报主编单位，由原文件审批人决定是否进行更改。
《信息安全管理手册》、程序文件每年在内审时由行政部组织有关部门进行文件的评审，必要时予以修订。
5.5.2文件在评审中决定需要更改时，必须由该文件的编写单位填写审批单，经主管领导批准后下达《文件审批接收单》，各级文件管理人员按通知要求进行更改，并将更改的情况写到文件变更记录页上。
5.5.3文件清单中列出的文件应为有效文件，并确保文件的更改和修订状态得到识别。
5.6 文件的作废处置
5.6.1文件作废时，由发文单位下发《文件审批接收单》》，持有文件的各部门、各单位和人员在接到作废通知单后，应及时撤出作废文件，标示后妥善保存或销毁，电子文件应在文件名后标注“作废”，防止作废文件的非预期使用。
6. 相关支持性文件
ISMS-2006《记录管理程序》
7. 记录。