ISO27001：2013信息安全管理体系全套程序39信息安全适用性声明
最新ISO27001：2013信息安全管理体系一整套程序文件(共41个程序184页)
XXXXXXXXX有限责任公司信息安全管理体系程序文件编号：XXXX-B-01～XXXX-B-41（符合ISO/IEC 27001-2013标准）拟编：信息安全小组日期：2015年02月01日审核：管代日期：2015年02月01日批准：批准人名日期：2015年02月01日发放编号: 01受控状态：受控2015年2月1日发布2015年2月1日实施[XXXX-B-01]信息安全风险管理程序[XXXX-B-02]文件控制程序[XXXX-B-03]记录控制程序[XXXX-B-04]纠正措施控制程序[XXXX-B-05]预防措施控制程序[XXXX-B-06]内部审核管理程序[XXXX-B-07]管理评审程序[XXXX-B-08]监视和测量管理程序A6[XXXX-B-09]远程工作管理程序A7[XXXX-B-10]人力资源管理程序A8[XXXX-B-11]商业秘密管理程序A8[XXXX-B-12]信息分类管理程序A8[XXXX-B-13]计算机管理程序A8[XXXX-B-14]可移动介质管理程序A9[XXXX-B-15]用户访问管理程序A9[XXXX-B-16]信息系统访问与监控管理程序A9[XXXX-B-17]信息系统应用管理程序A10[XXXX-B-18]账号密码控制程序A11[XXXX-B-19]安全区域管理程序A12.1.2[XXXX-B-20]变更管理程序A12.1.3[XXXX-B-21]容量管理程序A12.2.1[XXXX-B-22]恶意软件管理程序A12.3[XXXX-B-23]重要信息备份管理程序A12.6[XXXX-B-24]技术薄弱点管理程序A13[XXXX-B-25]电子邮件管理程序A13[XXXX-B-27]信息安全沟通协调管理程序A13[XXXX-B-28]信息交换管理程序A14.2.9[XXXX-B-29]信息系统验收管理程序A14.2[XXXX-B-30]信息系统开发建设管理程序A14[XXXX-B-31]软件开发管理程序A14[XXXX-B-32]数据安全管理程序A14[XXXX-B-33]OA管理程序A15.2[XXXX-B-34]第三方服务管理程序A15[XXXX-B-35]供应商管理程序A15[XXXX-B-36]相关方信息安全管理程序A16[XXXX-B-37]信息安全事件管理程序A17.2[XXXX-B-38]信息处理设施管理程序A17[XXXX-B-39]业务持续性管理程序A18[XXXX-B-40]信息安全法律法规管理程序A18[XXXX-B-41]知识产权管理程序XXXXXXXXX有限责任公司知识产权管理程序[XXXX-B-41]V1.0知识产权管理程序变更履历1 目的通过对知识产权的流程管理，规范整个知识产权管理工作，保证知识产权管理工作的每个环节的合理性、有效性和流畅，为组织的知识产权保护与管理奠定基础。
最新ISO27001-2013信息安全管理体系管理手册、程序文件全套资料
最新ISO27001-2013信息安全管理体系管理手册、程序文件ISO27001-2013信息安全管理体系管理手册ISMS-M-yyyy 版本号：A/0受控状态： ■ 受 控 □ 非受控日期： 2019年1月8日 实施日期： 2019年1月8日修改履历00 目录00 目录 (2)01 颁布令 (1)02 管理者代表授权书 (1)03 企业概况 (1)04 信息安全管理方针目标 (1)05 手册的管理 (1)06 信息安全管理手册 (1)1 范围 (1)1.1 总则 (1)1.2 应用 (1)2 规范性引用文件 (1)3 术语和定义 (1)3.1 本公司 (1)3.2 信息系统 (1)3.3 计算机病毒 (2)3.4 信息安全事件 (2)3.5 相关方 (2)4 组织环境 (2)4.1 组织及其环境 (2)4.2 相关方的需求和期望 (2)4.3 确定信息安全管理体系的范围 (2)4.4 信息安全管理体系 (3)5 领导力 (3)5.1 领导和承诺 (3)5.2 方针 (4)5.3 组织角色、职责和权限 (4)6 规划 (4)6.1 应对风险和机会的措施 (4)6.2 信息安全目标和规划实现 (6)7 支持 (7)7.1 资源 (7)7.2 能力 (7)7.3 意识 (8)7.4 沟通 (8)7.5 文件化信息 (8)8 运行 (9)8.1 运行的规划和控制 (9)8.2 信息安全风险评估 (9)8.3 信息安全风险处置 (10)9 绩效评价 (10)9.1 监视、测量、分析和评价 (10)9.2 内部审核 (11)9.3 管理评审 (12)10 改进 (12)10.1 不符合和纠正措施 (12)10.2 持续改进 (13)附录A 信息安全管理组织结构图 (1)附录B 信息安全管理职责明细表 (1)附录C 信息安全管理程序文件清单 (1)01 颁布令为提高**公司**的信息安全管理水平，保障我公司业务活动的正常进行，防止由于信息系统的中断、数据的丢失、敏感信息的泄密所导致的公司和客户的损失，我公司开展贯彻ISO/IEC27001:2013《信息技术-安全技术-信息安全管理体系要求》国际标准工作，建立、实施和持续改进文件化的信息安全管理体系，制定了**公司** 《信息安全管理手册》。
ISO27001：2013信息系统安全管理规范
信息系统安全管理规范1、目标此文档用于规范公司业务系统的安全管理，安全管理所达到的目标如下：确保业务系统中所有数据及文件的有效保护，未经许可的用户无法访问数据。
对用户权限进行合理规划，使系统在安全状态下满足工作的需求。
2、机房访问控制机房做为设备的集中地，对于进入有严格的要求。
只有公司指定的系统管理员及数据库管理员才有权限申请进入机房。
系统管理员及数据库管理员因工作需要进入机房前必须经过公司书面批准。
严格遵守机房管理制度。
3、操作系统访问控制保护系统数据安全的第一道防线是保障网络访问的安全，不允许未经许可的用户进入到公司网络中。
第二道防线就是要控制存放数据及应用文件的主机系统不能被未经许可的用户直接访问。
为防止主机系统被不安全访问，采取以下措施：操作系统级的超级管理用户口令、数据库管理用户口令、应用管理用户口令只能由系统管理员设定并经办公室审核，１个月做一次修改，口令要向其他人员保密。
在应用系统实施阶段，考虑到应用软件提供商需要对自己的产品进行调试，可以在调试时将应用管理用户口令暂时开放给应用软件提供商；调试一结束系统管理员马上更改口令。
对口令设定必需满足以下规范：5、数据库访问控制为有效的保障业务数据的安全，采取以下措施：数据库内具有较高权限的管理用户口令由办公室数据库管理员设定，并由办公室审核，不能向其他人开放。
口令必须１个月做一次修改。
业务系统后台数据库对象创建用户的口令由数据库管理员设定，由技术研发部审核。
不能向其他人开放。
口令必须1个月做一次修改。
对口令设定必需满足以下规范：根据操作需求，在数据库中分别建立对业务数据只有“增、删、改”权限的用户；对业务数据只有“查询”权限的用户。
不同的操作需求开放不同权限的用户。
除技术研发部的人员外，其他部门的任何人员均没有权限从后台数据库直接进行数据的“增、删、改”操作对于业务必须的后台job或批处理，必须由技术研发部人员执行。
6、应用系统访问控制应用系统访问依靠系统内部定义的操作用户权限来控制，操作用户权限控制到菜单一级，对于操作用户的安全管理有如下规范：所有应用级的操作用户及初始口令统一由技术研发部设定，以个人邮件的形式分别发给各部门的操作人员。
信息安全适用性声明(ISO27001 2013最新版)
i文件编号 文件版本 密级ISMS-A-02 V1. 0 秘密XXX 有限公司 信息安全适用性声明（依据 GB/T 22080-2016 idt ISO/IEC27001:2013 标准编制）编 号：SANDSTONE-ISMS-A-02 版本号：V1.0受控状态编制：XXX 日期：2019-11-01 审核：XX 日期：2019-11-01 批准：XX日期：2019-11-01XXX 有限公司信息安全适用性声明受控文件1目的与范围本声明描述了在GB/T 22080-2016 idt ISO/IEC27001:2013附录A中，适用于本公司信息安全管理体系的目标/控制、是否选择这些目标/控制的理由、公司现行的控制方式、以及实施这些控制所涉及的相关文件。
2相关文件信息安全管理手册、程序文件、策略文件3职责信息安全适用性声明由信息安全小组编制、修订，总经理批准。
4声明本公司按GB/T 22080-2016 idt ISO/IEC27001:2013建立信息安全管理体系。
根据公司风险评估的结果和风险可接受水平，ISO27001:2013附录A的所有条款适用于本公司信息安全管理体系，无删减条款。
2A.5信息安全策略A.6信息安全组织3A.7人力资源安全45A.8资产管理67A.9访问控制8910A11物理和环境安全策略策略，会受到资产丢失、失窃实施，各部门负责人负责监督。
或遭到非法访问的威胁。
各部门员工自觉履行该策略的日常实施。
A.12运行安全A.13通信安全A.15供应商关系A.16信息安全事件管理。
ISO27001-2013 信息技术--安全技术--信息安全管理体系--要求 中文版(正式发布版)
ISO27001-2013 信息技术--安全技术--信息安全管理体系--要求中文版(正式发布版)ISO 27001.2013 信息技术--安全技术--信息安全管理体系--要求中文版(正式发布版)1.背景和目的该标准详细规定了建立、实施、操作、监控、审查、维护和持续改进信息安全管理体系（ISMS）的要求。
它旨在确保组织合理评估信息安全风险，并采取适当的安全措施来保护机密性、完整性和可用性。
2.规范性引用文件本标准适用于以下引用文档:- ISO/IEC 27000.2018 信息技术－安全技术－信息安全管理体系－概述和词汇- ISO/IEC 27002.2013 信息技术－安全技术－信息安全管理实施指南- ISO/IEC 27003.2017 信息技术－安全技术－信息安全管理系统实施指南3.术语和定义以下术语和定义适用于本标准：- 组织：指定了ISMS的范围并对其进行实施、操作、监控、审查、维护和持续改进的实体。
- 高层管理：按照组织的要求，履行其职权和责任的最高级别管理职位。
- ISMS：信息安全管理体系。
4.理解组织和其上下文组织应确定和理解其内外部各方的需求和期望，以及相关方和利益相关者，以确保ISMS的有效性。
5.领导的承诺高层管理应明确表达对ISMS的支持和承诺，确保其适当实施和维护，并提供资源以满足ISMS的要求。
6.政策组织应制定和实施信息安全政策，为ISMS提供框架和方向，并与组织的活动和风险管理策略保持一致。
7.组织内部的风险评估组织应在ISMS实施之前进行风险评估，以确保全面了解和评估信息资产相关的威胁和风险。
8.管理资源组织应为ISMS指定适当的资源，包括人员、设备和财务资源，以确保其有效实施、操作、监控、审查和持续改进。
9.专门支持组织应为ISMS提供必要的支持，包括培训、意识和沟通，以确保员工的积极参与和遵守ISMS的要求。
10.安全风险管理组织应基于风险评估结果，采取适当的措施来管理和缓解信息安全风险，确保信息资产的安全性。
ISO27001 2013标准
Information technology- Security techniques-Information security management systems-Requirements 信息技术-安全技术-信息安全管理体系-要求Foreword前言ISO (the International Organization for Standardization) and IEC (the International Electro technical Commission) form the specialized system for worldwide standardization. National bodies that are members of ISO or IEC participate in the development of International Standards through technical committees established by the respective organization to deal with particular fields of technical activity. ISO and IEC technical committees collaborate in fields of mutual interest. Other international organizations, governmental and non-governmental, in liaison with ISO and IEC, also take part in the work. In the field of information technology, ISO and IEC have established a joint technical committee, ISO/IEC JTC 1.ISO（国际标准化组织）和IEC（国际电工委员会）是为国际标准化制定专门体制的国际组织。
信息安全适用性声明
A.9.1.2
对网络和网络服务的访问
控制
YES
制定策略，明确用户访问网络和网络服务的范围，防止非授权的网络访问。
《用户访问控制程序》
A.9.2
用户访问管理
目标
YES
确保已授权用户的访问，预防对系统和服务的非授权访问。
A.9.2.1
用户注册和注销
控制
YES
我司存在多用户信息系统，应建立用户登记和注销登记程序。
目标
YES
提供符合有关法律法规和业务需求的信息安全管理指引和支持。
A.5.1.1
信息安全方针
控制
YES
信息安全方针应由管理才批准发布。
《信息安全管理手册》
A.5.1.2
信息安全方针的评审
控制
YES
确保方针持续的适应性。
《管理评审控制程序》
A.6信息安全组织(zǔzhī)
标准
条款号
标题
目标/控制
是否选择
A.8.3
介质处理
目标
YES
防止存储在介质上的信息被非授权泄露、修改、删除或破坏。
A.8.3.1
可移动介质管理
控制
YES
我司存在含有敏感信息的磁盘、磁带、光盘、打印报告等可移动介质。
《介质管理程序》
A.8.3.2
介质处置
控制
YES
当介质不再需要时，对含有敏感信息介质采用安全的处置办法是必须。
《介质管理程序》
※※※※※※修订履历※※※※※※
版本
页次
修订履历
生效日期
A/0
初次发行
2016.3.1
1.目的(mùdì)
根据(gēnjù)ISO/IEC27001:2013标准(biāozhǔn)和公司(ɡōnɡsī)实际管理(guǎnlǐ)需要，确定标准各条款对公司的适用性，特编制本程序。
ISO27001：2013信息安全风险管理程序
ISO27001：2013信息安全风险管理程序XXXXXXXXX有限责任公司信息安全风险管理程序[XXXX-B-01]V1.0变更履历1 目的为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平，特制定本程序。
2 范围本程序适用信息安全管理体系(ISMS)范围内信息安全风险评估活动的管理。
3 职责3.1 综合部负责牵头成立风险评估小组。
3.2 风险评估小组负责编制《信息安全风险评估计划》，确认评估结果，形成《信息安全风险评估报告》。
3.3 各部门负责本部门使用或管理的资产的识别和风险评估，并负责本部门所涉及的资产的具体安全控制工作。
4 相关文件《信息安全管理手册》《商业秘密管理程序》5 程序5.1 风险评估前准备5.1.1 成立风险评估小组综合部牵头成立风险评估小组，小组成员应包含信息安全重要责任部门的成员。
5.1.2 制定计划风险评估小组制定《信息安全风险评估计划》,下发各部门。
5.2 资产赋值5.2.1 部门赋值各部门风险评估小组成员识别本部门资产，并进行资产赋值。
5.2.2 赋值计算资产赋值的过程是对资产在保密性、完整性、可用性和法律法规合同上的达成程度进行分析，并在此基础上得出综合结果的过程。
5.2.3 保密性(C)赋值根据资产在保密性上的不同要求，将其分为五个不同的等级，分别对应资产在保密性上的应达成的不同程度或者保密性缺失时对整个组织的影响。
保密性分类赋值方法5.2.4 完整性(I)赋值根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上的达成的不同程度或者完整性缺失时对整个组织的影响。
完整性(I)赋值的方法。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
JSWLS/IP-39-2009
编制：xx
审核：xx
批准：xx
xx电子商务技术有限公司ISO27000信息安全管理体系
适用性声明
A.5安全方针
标准条款号
标题
目标/控制
是否选择
选择理由
A.5.1
信息安全方针
目标
依据业务要求以及相关的法律法规为信息安全提供管理指导和支持。
A.5.1.1
信息安全方针文件
A.6.1.2
信息安全协作
控制
YES
依据公司产品特性和业务现状
A.6.1.3
信息安全职责分配
控制
YES
依据公司产品特性和业务现状
A.6.1.4
信息处理设备的授权过程
控制
YES
依据公司产品特性和业务现状
A.6.1.5
保密协议
控制
YES
依据公司产品特性和业务现状
A.6.1.6
与权威机构的联系
控制
YES
依据公司产品特性和业务现状
目标
对本公司资产（包括顾客要求保密的数据、软件及产品）进行有效保护。
A.7.1.1
资产清单
控制
YES
依据公司产品特性和业务现状
A.7.1.2
资产所有人
控制
YES
依据公司产品特性和业务现状
A.7.1.3
资产的合理使用
控制
YES
依据公司产品特性和业务现状
A.7.2
信息分类
目标
YES
本公司根据信息的敏感性对信息进行分类，明确保护要求、优先权和等级，以确保对资产采取适当的保护。
控制
YES
依据公司产品特性和业务现状
A.10.2
第三方服务交付管理
目标
执行并保持与第三方服务交付协议相一致的信息安全和服务交付等级。检查协议的执行情况，监控符合性并控制相应的变化，以确保交付的服务满足第三方协议中的所有要求。
A.10.2.1
服务交付
控制
YES
依据公司产品特性和业务现状
A.10.2.2
实物安全周界
控制
YES
依据公司产品特性和业务现状
A.9.1.2
物理进入控制
控制
YES
依据公司产品特性和业务现状
A.9.1.3
办公室、房间和设施的安全
控制
YES
依据公司产品特性和业务现状
A.9.1.4
防范外部和环境威胁
控制
YES
依据公司产品特性和业务现状
A.9.1.5
在安全区域工作
控制
YES
依据公司产品特性和业务现状
A.7.2.1
分类指南
控制
YES
依据公司产品特性和业务现状
A.7.2.2
信息的标识和处理
控制
YES
依据公司产品特性和业务现状
A.8人力资源安全
标准条款号
标题
目标/控制
是否选择
选择理由
A.8.1
聘用前
目标
对聘用过程进行管理，确保员工、合同方和第三方用户理解其责任，并且能胜任其任务，以降低设施被盗窃、欺诈或误用的风险。
A.8.2.1
管理职责
控制
YES
依据公司产品特性和业务现状
A.8.2.2
信息安全教育和培训
控制
YES
依据公司产品特性和业务现状
A.8.2.3
惩戒过程
控制
YES
依据公司产品特性和业务现状
A.8.3
聘用中止或变化
目标
确保员工、合作方以及第三方用户以一种有序的方式离开公司或变更聘用关系。
A.8.3.1
终止责任
第三方服务的监控和评审
控制
YES
依据公司产品特性和业务现状
A.10.2.3
第三方服务的监控更改
控制
YES
依据公司产品特性和业务现状
A.10.3
系统策划与验收
目标
使系统故障风险最小化。
A.10.3.1
容量管理
控制
YES
依据公司产品特性和业务现状
A.10.3.2
A.9.1.6
公共访问、交付和装载区
控制
YES
依据公司产品特性和业务现状
A.9.2
设备安全
目标
防止资产的损失、损失或丢失及业务活动的中断。
A.9.2.1
设备的定位和保护
控制
YES
依据公司产品特性和业务现状
A.9.2.2
支持性设施
控制
YES
依据公司产品特性和业务现状
A.9.2.3
电缆的安全
控制
YES
依据公司产品特性和业务现状
A.6.1.7
与专业小组的联系
控制
YES
依据公司产品特性和业务现状
A.6.1.8
信息安全的独立评审
控制
YES
依据公司产品特性和业务现状
A.6.2
外部相关方
目标
识别外部相关方访问的风险，明确对外部相关方访问控制的要求，并控制外部相关方带来的风险，保持被外部相关方访问、处理、共享、管理的组织信息及信息处理设施的安全。
A.9.2.4
设备维护
控制
YES
依据公司产品特性和业务现状
A.9.2.5
场所外设备的安全
控制
YES
依据公司产品特性和业务现状
A.9.2.6
设备的安全处置及再利用
控制
YES
依据公司产品特性和业务现状
A.9.2.7
资产转移
控制
YES
依据公司产品特性和业务现状
A.10通信和操作管理
标准条款号
标题
目标/控制
A.8.1.1
角色和职能
控制
YES
依据公司产品特性和业务现状
A.8.1.2
筛选
控制
YES
依据公司产品特性和业务现状
A.8.1.3
雇佣条款和条件
控制
YES
依据公司产品特性和业务现状
A.8.2
聘用期间
目标
确保所有的员工、合同方和第三方用户知道信息安全威胁和利害关系、他们的职责和义务、并准备好在其正常工作过程中支持组织的安全方针，并且减少人为错误的风险。
控制
YES
依据公司产品特性和业务现状
A.8.3.2
资产归还
控制
YES
依据公司产品特性和业务现状
A.8.3.3
解除访问权限
控制
YES
依据公司产品特性和业务现状
A.9物理与环境安全
标准条款号
标题
目标/控制
是否选择
选择理由
A.9.1
安全区域
目标
防止对组织办公场所和信息的未授权访问、损坏和干扰。
A.9.1.1
是否选择
选择理由
A.10.1
操作程序和职责
目标
确保信息处理设备的正确和安全使用。
A.10.1.1
作业程序文件化
控制
YES
依据公司产品特性和业务现状
A.10.1.2
变更管理
控制
YES
依据公司产品特性和业务现状
A.10.1.3
职责分离
控制
YES
依据公司产品特性和业务现状
A.10.1.4
开发和运作设备的分离
A.6.2.1
与外部相关方有关的风险识别
控制
YES
依据公司产品特性和业务现状
A.6.2.2
与外部相关方有关的安全问题
控制
YES
依据公司产品特性和业务现状
A.6.2.3
处理第三方协议中涉及的安全
控制
YES
依据公司产品特性和业务现状
A.7资产管理
标准条款号
标题
目标/控制
是否选择
选择理由
A.7.1
资产责任
控制
YES
依据公司产品特性和业务现状
A.5.1.2
信息安全方针评审
控制
YES
依据公司产品特性和业务现状
A.6信息安全组织
标准条款号
标题
目标/控制
是否选择
选择理由
A.6.1
信息安全组织
目标
依据业务要求以及相关的法律法规为信息安全提供管理指导和支持。
A.6.1.1
信息安全管理承诺
控制
YES
依据公司产品特性和业务现状