第7章建立信息安全管理体系的工作流程

合集下载

信息安全管理规定内容(3篇)

第1篇第一条为加强我国信息安全管理工作，保障信息安全，根据《中华人民共和国网络安全法》等相关法律法规，制定本规定。

第二条本规定适用于我国境内所有组织和个人，包括但不限于政府机关、企事业单位、社会组织、个人等。

第三条信息安全管理工作应当遵循以下原则：（一）依法管理，明确责任；（二）预防为主，防治结合；（三）安全发展，保障利益；（四）技术创新，提升能力。

第四条各级人民政府应当加强对信息安全工作的领导，建立健全信息安全管理体系，完善信息安全保障措施，提高信息安全防护能力。

第五条任何组织和个人都有维护国家网络安全、保护个人信息安全的义务。

第二章信息安全管理制度第六条信息安全管理制度包括以下内容：（一）信息安全组织机构；（二）信息安全职责分工；（三）信息安全政策与规划；（四）信息安全技术措施；（五）信息安全培训与教育；（六）信息安全事件应对与处置；（七）信息安全监督检查。

第七条信息安全组织机构应当包括：（一）信息安全管理部门；（二）信息安全技术部门；（三）信息安全运维部门；（四）信息安全审计部门。

第八条信息安全职责分工：（一）信息安全管理部门负责制定信息安全政策、规划，组织开展信息安全培训与教育，监督检查信息安全工作；（二）信息安全技术部门负责信息安全技术措施的研发、实施与维护；（三）信息安全运维部门负责信息系统的日常运维与安全保障；（四）信息安全审计部门负责信息安全审计工作。

第九条信息安全政策与规划：（一）制定信息安全战略规划，明确信息安全发展方向；（二）制定信息安全管理制度，规范信息安全工作；（三）制定信息安全技术标准，提高信息安全防护能力。

第十条信息安全技术措施：（一）加强网络安全防护，防范网络攻击、入侵等安全风险；（二）加强数据安全保护，确保数据不被非法获取、泄露、篡改；（三）加强个人信息保护，防范个人信息泄露、滥用等风险；（四）加强关键信息基础设施保护，确保关键信息基础设施安全稳定运行。

第十一条信息安全培训与教育：（一）组织信息安全培训，提高员工信息安全意识；（二）开展信息安全教育活动，普及信息安全知识。

ISO7799 .doc(信息安全管理体系)

英国标准——BS7799-2:2002信息安全管理体系——规范与使用指南目录前言0 介绍0．1总则0．2过程方法0．0．3其他管理体系的兼容性1 范围1．1概要1．2应用2标准参考3名词与定义4信息安全管理体系要求4．1总则4．2建立和管理信息安全管理体系4．2．1建立信息安全管理体系4．2．2实施和运营(对照中文ISO9001确认)？信息安全管理体系4．2．3监控和评审信息安全管理体系4．2．4维护和改进信息安全管理体系4．3文件化要求4．3．1总则4．3．2文件控制4．3．3记录控制5管理职责5．1管理承诺？（对照中文ISO9001确认）5．2资源管理5．2．1资源提供5．2．2培训、意识和能力6信息安全管理体系管理评审6．1总则6．2评审输入？（对照中文ISO9001确认）6．3评审输出？（对照中文IS9001确认）7信息安全管理体系改进7．1持续改进7．2纠正措施7．3预防措施附件A（有关标准的）控制目标和控制措施A．1介绍A．2最佳实践指南A．3安全方针A．4组织安全A．5资产分级和控制A．6人事安全A．7实体和环境安全A．8通信与运营安全A．9访问控制A．10系统开发和维护A．11业务连续性管理A．12符合附件B（情报性的）本标准使用指南B1概况B.1.1PDCA模型B.1.2计划与实施B.1.3检查与改进B.1.4控制措施小结B2计划阶段B.2.1介绍B.2.2信息安全方针B.2.3信息安全管理体系范围B.2.4风险识别与评估B2.5风险处理计划B3实施阶段B.3.1介绍B.3.2资源、培训和意识B.3.3风险处理B4实施阶段B.4.1介绍B.4.2常规检查B.4.3自我监督程序B.4.4从其它事件中学习B.4.5审核B.4.6管理评审B.4.7趋势分析B5改进阶段B.5.1介绍B.5.2不符合项B.5.3纠正和预防措施B.5.4OECD原则和BS7799-2附件C(情报)ISO9001:2000、ISO14001与BS7799-2：2002条款对照0 介绍0．1 总则本标准的目的是为管理者和他们的员工们提供建立和管理一个有效的信息安全管理体系（信息安全管理体系）有模型。

公司信息安全领导小组职责及工作流程

xx公司信息安全领导小组职责及工作流程第一章总则第一条 xx公司（以下简称“本司”）信息系统安全总体目标是保护本司计算机系统的硬件、软件、业务信息和数据、通讯网络设备等资源的安全，有效防范无意的安全事故或人为有意的破坏安全的事件，确保本司为社会提供安全、高效、稳定的金融服务。

第二条信息安全工作的指导方针是：安全第一、预防为主、职责明确、综合治理，“预防为主”是信息安全工作的基本方针。

第二章组织机构第三条信息安全领导小组由本司行长为组长，主管科技的行领导为副组长，信息科技部、业务营运部、财务部、综合管理部负责人、内控合规部负责人、风险管理部负责人、公司金融部负责人、个人金融部负责人、消费金融中心负责人、同业业务营销中心、交易银行部、各业务团队负责人为成员。

本司信息科技部为信息安全牵头部门，在信息安全领导小组的领导下开展日常工作。

第三章工作职责第四条信息安全领导小组的职责是贯彻、落实总行和监管部门关于信息安全工作的方针、政策；研究决定本司信息安全的重大事项；制定本司信息安全策略和原则；组织开展信息安全普及教育，提高全行员工的信息安全意识；组织领导信息安全相关部门工作。

做好信息安全规划，从安全管理、制度防范、技术防范三个方面，建立全行的安全体系。

第五条信息安全领导小组对信息安全负领导责任，对信息安全策略的制定和实施负直接责任，并有责任保障系统安全所需的人、财、物等资源，对有关信息安全的重大事项拥有决策权。

第六条信息科技人员在信息安全领导小组领导下具体承担本司信息安全管理工作职责，负责组织制定本司整体的系统安全策略并组织实施，收集本司辖内计算机系统安全运行状况，向信息安全领导小组提交安全问题报告，组织委员会召开信息安全会议，向本司各部门及分支机构及时通报重大安全事项。

第七条信息安全技术职能主要由信息科技人员承担。

信息科技人员负责制定本司系统安全建设规划、组织实施有效的技术措施、协调落实全辖系统安全工作的开展、解决信息安全技术存在的问题。

(完整版)信息安全体系建设方案设计

信息安全体系建设方案设计1.1需求分析1.1.1采购范围与基本要求建立XX高新区开发区智慧园区的信息安全规划体系、信息安全组织体系、信息安全技术体系、安全服务管理体系，编写安全方案和管理制度，建设信息安全保护系统(包括路由器、防火墙、VPN)等。

要求XX高新区开发区智慧园区的信息系统安全保护等级达到第三级(见GB/T 22239-2008)。

1.1.2建设内容要求(1)编写安全方案和管理制度信息安全体系的建设，需要符合国家关于电子政务信息系统的标准要求，覆盖的电子政务信息系统安全保障体系，安全建设满足物理安全、操作系统安全、网络安全、传输安全、数据库安全、应用系统安全和管理安全体系，确保智慧园区项目系统的安全保密。

安全管理需求：自主访问控制、轻质访问控制、标记、身份鉴别、审计、数据完整性。

安全体系设计要求：根据安全体系规划，整个系统的安全体系建设内容包括物理安全、操作系统安全、网络安全、传输安全、数据安全、应用系统安全、终端安全和管理安全等方面。

(2)信息安全保护系统：满足信息系统安全等级三级要求的连接云计算平台的信息安全保护系统，其设备为：1.2设计方案智慧园区信息安全管理体系是全方位的，需要各方的积极配合以及各职能部门的相互协调。

有必要建立或健全安全管理体系和组织体系，完善安全运行管理机制，明确各职能部门的职责和分工，从技术、管理和法律等多方面保证智慧城市的正常运行。

1.2.1安全体系建设依据根据公安部、国家保密局、国家密码管理局、国务院信息化工作办公室制定的《信息安全等级保护管理办法》、《信息系统安全等级保护定级指南》等标准，“平台”的信息系统安全保护等级定达到第三级(见GB/T 22239-2008)，根据《信息系统安全等级保护基本要求》、《信息系统安全等级保护实施指南》的信息安全产品，包括：防专业VPN设备、WEB防火墙、防火墙、上网行为管理、终端杀毒软件网络版、网络防病毒服务器端等。

诊所信息安全管理制度制度

诊所信息安全管理制度制度第一章总则第一条为规范诊所信息安全管理，维护患者和诊所机构的合法权益，确保信息系统和信息资源的安全可靠，特制定本制度。

第二条本制度适用于所有诊所机构的信息系统和信息资源的安全管理工作。

诊所信息系统是指诊所机构应用计算机技术和网络技术按照规定规模搭建的以提供医疗服务和管理工作为主要目的的信息系统。

第三条诊所信息安全管理原则：依法合规、科学规范、系统管理、风险可控。

第四条诊所信息安全管理目标：确保诊所信息系统和信息资源的安全保密、完整可靠、连续可用。

第五条诊所信息安全管理责任：诊所机构应当建立健全信息安全管理组织机构、配备专业技术人员、加强人员培训、建立信息安全制度管理体系。

各级管理人员应当主动履行信息安全管理职责，确保信息系统和信息资源的安全可靠。

第六条信息安全管理工作应当依法合规，严格遵守国家有关信息安全的法律法规、标准规范和政策要求。

第七条诊所机构应当坚持信息安全工作原则，贯彻全员参与、全员责任、全员知晓、全员监督、全员落实的要求，加强信息安全管理水平。

第八条诊所信息安全管理工作应当建立科学规范的管理制度、技术规范和工作流程，加强信息系统和信息资源的保护和安全管控。

第二章诊所信息安全管理组织机构第九条诊所信息安全管理组织机构应当按照诊所机构的规模和信息系统的复杂程度进行设置，一般包括信息安全管理委员会、信息安全管理办公室、信息安全管理专业技术团队。

第十条信息安全管理委员会是诊所机构信息安全管理决策机构，由诊所院长或主管领导担任主任委员，信息安全管理办公室、信息安全管理专业技术团队成员、相关科室负责人等组成。

第十一条信息安全管理办公室是诊所信息安全管理执行机构，负责信息安全管理日常工作的组织协调、监督检查、整改反馈，并向信息安全管理委员会负责。

第十二条信息安全管理专业技术团队是诊所信息安全管理核心力量，由信息安全管理委员会根据需要组建，主要由信息安全专家、技术人员等组成，负责信息安全管理技术保障和保障工作。

企业信息安全管理操作手册

企业信息安全管理操作手册第1章企业信息安全概述 (4)1.1 信息安全的重要性 (4)1.2 企业信息安全管理体系 (4)1.3 信息安全法律法规与标准 (5)第2章信息安全组织与管理 (5)2.1 信息安全组织架构 (5)2.1.1 组织架构概述 (5)2.1.2 决策层 (5)2.1.3 管理层 (5)2.1.4 执行层 (5)2.1.5 监督层 (6)2.2 信息安全政策与策略 (6)2.2.1 信息安全政策 (6)2.2.2 信息安全策略 (6)2.2.3 信息安全规章制度 (6)2.3 信息安全风险管理 (6)2.3.1 风险管理概述 (6)2.3.2 风险识别 (6)2.3.3 风险评估 (6)2.3.4 风险处理 (6)2.3.5 风险监控 (7)第3章物理与环境保护 (7)3.1 物理安全防护措施 (7)3.1.1 建立健全的物理安全防护体系，保证企业信息系统硬件设备、数据和员工人身安全。

(7)3.1.2 设立专门的物理安全管理部门，负责制定、实施和监督物理安全防护措施的落实。

(7)3.1.3 加强企业内部及外部围墙、大门、通道等出入口的管理，实行严格的出入管理制度。

(7)3.1.4 对重要区域实行门禁系统管理，保证无关人员无法随意进入。

(7)3.1.5 对企业重要部位安装监控设备，进行实时监控，保证及时发觉并处理安全隐患。

(7)3.1.6 定期检查企业消防设施，保证消防设施的正常运行，降低火灾风险。

(7)3.2 信息系统硬件设备保护 (7)3.2.1 对硬件设备进行分类管理，根据设备重要性制定相应的保护措施。

(7)3.2.2 设备采购时，选择具有较高安全功能的产品，保证设备质量。

(7)3.2.3 对硬件设备进行定期检查和维护，保证设备正常运行，降低故障风险。

(7)3.2.4 重要硬件设备应实行冗余配置，提高系统可靠性。

(7)3.2.5 对设备进行标签化管理，明确设备责任人，保证设备安全。

学校网络安全管理制度（4篇）

学校网络安全管理制度为保护学校信息资产免受侵害，防止网络攻击和信息泄露，确保学校网络设施及信息系统的安全稳定运行，需构建一套全面的网络安全管理制度。

具体包括：1. 网络安全管理目标：旨在确保网络设备和信息系统的安全，数据的完整性和可用性，以及提升全体师生员工的网络安全意识。

2. 网络安全管理责任：明确指定负责网络安全管理的部门和人员，制定相关管理规定，并执行监督与管理职责。

3. 网络安全管理措施：(1)网络设备安全：设定安全配置标准，采购合格设备，安装防火墙、入侵检测系统等，及时更新设备安全补丁和固件。

(2)系统安全：构建合理的网络架构，设定访问控制和权限，加密关键数据，定期备份，建立灾难恢复机制，防止系统故障。

(3)密码管理：制定密码政策，要求使用强密码，定期更换，禁止使用弱密码，不得泄露密码。

(4)网络流量监控：利用网络监控系统实时监测流量，及时响应异常流量或入侵行为，防止攻击。

(5)信息安全教育：定期开展网络安全培训，提高师生员工的网络安全意识，传达相关安全政策、风险和威胁信息。

4. 网络安全事件处理：制定事件处理流程，明确上报、调查和处理步骤，迅速采取应对措施，以减轻潜在损失。

5. 网络安全审计：定期进行网络安全审计，检查设备和系统安全配置，识别安全风险和漏洞，及时进行整改。

6. 网络安全风险评估：对网络系统进行风险评估，识别重要信息资产，掌握潜在网络安全风险，制定相应的防范策略。

7. 网络安全应急预案：制定网络安全应急预案，明确事件分类、处理流程和责任人，定期演练以检验预案的有效性。

8. 网络安全监督与评估：设立网络安全管理监督机制，建立管理人员考核制度，定期评估网络安全管理成效和改进措施。

以上构成了学校网络安全管理制度的核心内容，学校应根据自身实际情况制定相应规定并执行，以全面保障学校的网络安全。

学校网络安全管理制度（二）第一章总则第一条为规范学校网络安全管理体系，强化网络安全防护能力，维护学校信息系统与网络的稳定与安全，通过前瞻性的风险防控机制，保障教学、科研及管理工作的顺畅进行，特制定本制度。

27001-2013 信息技术 -- 安全技术 -- 信息安全管理体系 -- 要求

除非另有说明，未经事先书面许可，不得通过任何形式或手段进行复制或利用本出版物的任何部分内容，包括电子、机械、影印，或张贴在互联网或企业内部网上。

可通过下面所列的ISO组织地址或ISO成员机构获得许可。

ISO版权办公室Case postale 56 • CH-1211 Geneva 20电话：+ 41 22 749 01 11传真：+ 41 22 749 09 47电子信箱：copyright@网址：瑞士出版翻译说明继ISO/IEC 27000系列文件于2005年发布之后，历经8年的时间，ISO组织终于在日前发布了2013新版。

关注ISO/IEC 27000系列国际标准的读者可以学习并参阅该标准。

为了便于国内读者的阅读和使用，笔者团队利用业余时间自行翻译了本中文版本。

因团队水平有限，其中错误和遗漏之处在所难免。

欢迎各位安全界同仁批评指正。

声明：若因阅读、使用本文而给读者造成的任何形式的损失，本团队不承担任何责任。

本中文版文件的著作权归本团队所有。

本文仅供网上阅读学习之用，亦可通过电子文件复制的方式进行传播。

未经授权，不得用于任何商业目的。

翻译团队：齐芳邮箱：qifang@陆辉邮箱：luhui@刘凯邮箱：liukai@蔡昆邮箱：caikun@贡献者:付峥邮箱：fuzheng@徐特邮箱：xute@目录0介绍............................................................................... x xxv 1范围. (1)2规范性引用 (1)3术语与定义 (1)4组织的环境 (1)4.1理解组织及环境 (1)4.2理解相关方的需求和期望 (1)4.3明确信息安全管理体系的范围 (1)4.4信息安全管理体系 (2)5领导 (2)5.1领导与承诺 (2)5.2方针 (2)5.3组织角色、职责和权力 (2)6计划 (3)6.1处置风险和机遇的活动 (3)6.2信息安全目标和实施计划 (4)7支持 (5)7.1资源 (5)7.2能力 (5)7.3意识 (5)7.4沟通 (5)7.5文档信息 (5)8操作 (6)8.1操作规划和控制 (6)8.2信息安全风险评估 (7)8.3信息安全风险处置 (7)9绩效评价 (7)9.1监测、测量、分析和评价 (7)9.2内部审核 (7)9.3管理评审 (8)10改进 (8)10.1不符合情况和改正措施 (8)10.2持续改进 (9)附录A（引用）参考控制目标和控制措施 (10)参考书目 (20)前言国际标准化组织（ISO）是由各国标准化团体（ISO成员团体）组成的世界性的联合会。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

4）学习培训
信息安全管理经理；人事部
7.1 信息安全管理体系的策划与准备
序号阶段
项目
7.1.2 信息安全管理体系的准备 3.编制工作计划9(1）表）做成确文)领出立定件导实信文的决施息件总策安I清S体M全单设S管，的计理确决委定策员IS会MS文件与
任IS命O/信IE息C 2安7全00管1标理准经条理款的对照表
7.2 信息安全管理体系的设计与建立
7.2.2 建立信息安全管理框架 1.定义信息安全策略信息安全策略可以分为两个层次：一个是信息安全方针，另一个是具体的信息安全策略。所谓信息安全方针就是组织的信息安全委员会或管理部门制定的一个高层文件，用于指导组织如何对资产，包括敏感性信息进行管理、保护和分配的规则进行指示。信息安全方针必须要在ISMS实施的前期制定出来，阐明最高管理层的承诺，提出组织管理信息安全的方法，由管理层批准，指导ISMS 的所有实施工作。信息安全策略是在信息安全方针的基础上，根据风险评估的结果，为降低信息安全风险，保证控制措施的有效执行而制定的具体明确的信息安全实施规则。
7.2 信息安全管理体系的设计与建立
7.2.2 建立信息安全管理框架
2.定义ISMS的范围组织所有的信息系统；组织的部分信息系统；特定的信息系统。
7.2 信息安全管理体系的设计与建立
7.2.2 建立信息安全管理框架
3.实施信息安全风险评估首先，组织应当确定的风险评估方法; 其次，组织利用已确定的风险评估方法识别风险; 之后，组织进行分析并评价风险。
信息安全管理委员会；信息安全管理信经息理安全管理经理；各部门经理
15
实准施备运阶委员试会运讨行论前通或过试运行初最好把计量工作做
行段
好
3）宣编传制鼓IS动MS工作计划 15详认）细证宣实计布施划试计运划行 16培）训贯计彻划实施、整改完善
信息安全管理经理；信息安全管理推最进高小管组理者各部门经理
7.2 信息安全管理体系的设计与建立
7.2.2 建立信息安全管理框架
4.实施信息安全风险管理信息安全风险管理主要包括以下几种措施：接受风险规避风险转移风险降低风险
7.2 信息安全管理体系的设计与建立
7.2.2 建立信息安全管理框架
5.确定控制目标和选择控制措施 6.准备信息安全适用性声明（1）组织选择的控制目标和控制措施，以及选择的原因；（2）附录A中控制目标和控制措施的删减，以及删减的合理性。
7.1 信息安全管理体系的策划与准备
7.1.1 信息安全管理体系
2. 组织内部成功实施信息安全管理体系的关键因素反映业务目标的安全方针、目标和活动；与组织文化一致的、实施安全的方法；来自管理层的有形支持与承诺：对信息安全要求、风险评估和风险管理的良好理解；向所有管理者及雇员推行信息安全意识；向所有雇员和承包商分发有关信息安全方针和标准的导则；提供适当的信息安全的培训与教育；用于评价信息安全管理绩效及反馈改进建议、并有利于综合平衡的测量系统。
7.1 信息安全管理体系的策划与准备
7.1.2 信息安全管理体系的准备
2.组织与人员建设（1）成立信息安全委员会（2）任命信息安全管理经理（3）组建信息安全管理推进小组（4）保证有关人员的作用、职责和权限得到有效沟通（5）组织机构的设立原则（6）信息安全管理体系组织结构设立及职责划分的注意事项
7.1 信息安全管理体系的策划与准备
7.1.1 信息安全管理体系
1.信息安全管理体系的定义信息安全管理体系（Information Security Management System，ISMS）是组织在整体或特定范
围内建立的信息安全方针和目标，以及完成这些目标所用的方法和体系。它是直接管理活动的结果，表示为方针、原则、目标、方法、计划、活动、程序、过程和资源的集合。
7.3 信息安全管理体系的实施与运行
7.3.1 信息安全管理体系的试运行
1. 领导动员，以身作则 2. 有针对性地宣传贯彻ISMS文件 3. 完善信息反馈与信息安全协调机制 4. 加强ISMS运行信息的管理
7.3 信息安全管理体系的实施与运行
7.3.2 实施和运行ISMS工作（1）阐明风险处理计划（2）实施风险处理计划（3）实施选择的控制措施（4）评价控制措施有效性（5）实施培训和意识教育计划（6）管理ISMS的运行（7）管理ISMS资源（8）实施能够迅速检测安全事态和响应安全事件的程序和其他控制措施
3.编制工作计划(表做成)出立实信施息安ISM全S管的理决委策员会 7）任编命制信IS息M安S全管管理理方经案理
负责部门／人
最高管理者最高管理者推进小组；组织内相关部门
日期
2）建立信息安全组织机构，并设计方案设立信息安全管理推进小组拟定ISMS实施草稿，并由信息安全管理
信息安全管理委员会；信息安全管理经理
7.2 信息安全管理体系的设计与建立
7.2.1 编写信息安全管理体系文件
4.文件的编写（1）文件的编写的原则；（2）编写前的准备；（3）编写的策划与组织。
7.2 信息安全管理体系的设计与建立
7.2.1 编写信息安全管理体系文件
5.文件的管理（1）文件控制（2）记录控制
7.2 信息安全管理体系的设计与建立
负责部门／人
最高管理者信息安全管理经理
日期
2）建立信息安全组织机构，并设计方案设立信息安全管理推进小组拟定ISMS实施草稿，并由信息安全管理
信息安全管理委员会；信息安全管理经理
16
审准核备认阶委员会讨论通过证段
3）编制ISMS工作计划详细实施计划 21认）证认计证划培训计划
信息安全管理经理；信息安全管理推进各小部组门经理
7.2.2 建立信息安全管理框架
1.定义信息安全策略信息安全策略（Information Security Policy）本质上说是描述组织具有哪些重要信息资产，并说明这些信息资产如何被保护的一个计划，其目的就是对组织中成员阐明如何使用组织中的信息系统资源，如何处理敏感信息，如何采用安全技术产品，用户在使用信息时应当承担的责任，详细描述对员工的安全意识和技能要求，列出被组织禁止的行为。
负责部门／人最高管理者日期12初准始备状阶态段评审
52委））设拟员了基规初建立定会解本和始立信I讨S组情其状信M息论织况他态S息安通实与概，评安全过施信况收审全管草息、集组理稿安业适织推，全务用机进并相类于构小由关别组，组信的、织并息文企的设安件业法计全和文律方管数化、案理据等法；信信经息息理安安全全管管理理经委理员；会信；息信安息全安管全理管推理信息安全风险评估、选择风险控制措施进小组
13
体准系备设阶委员会讨论通过
计段
8）ISMS责任分配及资源配备
必要时对组织结构进行调整 3）详将编细各制实项I施ISSM计MSS划工活作动计责划任分配落实到各职能认部证门计，划编制职能分配矩阵表培识训别计资划源需求，配置必要的资源
最信高息管安理全者管；理信经息理安；全信管息理安经全理管理推进小组
4）学习培训
信息安全管理经理；人事部
7.1 信息安全管理体系的策划与准备
7.1.2 信息安全管理体系的准备
4. 能力要求与教育培训（1）组织应对人员的培训、意识和能力的要求建立文件化的程序（2）人员能力的基本要求（3）保证人员能力的措施（4）培训的实施（5）培训的内容（6）培训的方式
7.2 信息安全管理体系的设计与建立
17）内审员的培训
信息安全管理经理；人事部
41）8）学IS习M培S训内部审核 19）管理评审
内信部息审安核全小管组理经理；人事部最高管理者
日期
7.1 信息安全管理体系的策划与准备
序号阶段
项目
7.1.2 信息安全管理体系的准备 1）领导决策
3.编制工作计划(表做成)出立实信施息安ISM全S管的理决委策员会 20任）命申信请息认安证全管理经理
7.2.1 编写信息安全管理体系文件 1.ISMS文件形成文件的ISMS方针与策略； ISMS范围； ISMS的支持性程序和控制；风险评估方法的描述；风险评估报告；风险处置计划； ISMS的控制目标与控制措施； ISMS管理和具体操作的过程；标准中所要求的记录；信息系统安全相关职责描述和相关的活动事项；适用性声明。
制定文件编写计划
2）编建写立指信导息性安文全件组织机构，并设计方案
设立信息安全管理推进小组
14
文准件备编阶 1委0拟）员定编会I写讨SMI论SSM通实S过施管草理稿手，册并由信息安全管理
制段
编写；讨论修改；审核；批准
负责部门／人
最高管理者信息安全管理经理；推进小组
信息安全管理委员会；信息安全管理经理最高管理者；各部门经理；信息安全管理经理；推进小组
7.1 信息安全管理体系的策划与准备
7.1.1 信息安全管理体系
3. 建立信息安全管理体系的步骤（1）信息安全管理体系的策划与准备；（2）信息安全管理体系文件的编制；（3）建立信息安全管理框架；（4）信息安全管理体系的运行；（5）信息安全管理体系的审核；（6）信息安全管理体系的管理评审。
信息安全管理委员会；信息安全管理经理
1
准备阶段
委员会讨论通过
3）编制ISMS工作计划详细实施计划认证计划培训计划
信息安全管理经理；信息安全管理推进小组
4）学习培训
信息安全管理经理；人事部
7.1 信息安全管理体系的策划与准备
序号阶段
项目
7.1.2 信息安全管理体系的准备 1）领导决策
3.编制工作计划(表做成)出立实信施息安ISM全S管的理决委策员会任命信息安全管理经理
7.1 信息安全管理体系的策划与准备