ISMS-1002信息安全适用性声明
ISMS【信息安全系列培训】【03】【体系框架】
3
2 规范性应用文件
2 规范性引用文件 下列参考文件对于本文件的应用是必不可少的。凡是注日期的引用文件，只有引用的版本适用于本标准；凡是不注日期的引用文件，其最 新版本（包括任何修改）适用于本标准。 ISO/IEC 17799:2005，信息技术—安全技术—信息安全管理实用规则。
4
3 术语和定义 (续)
Байду номын сангаас
监视和 评审ISMS
受控的 信息安全
检查Check
2
1 范围
1 范围 1.1 总则 本标准适用于所有类型的组织（例如，商业企业、政府机构、非赢利组织）。本标准从组织的整体业务风险的角度，为建立、实施、运行、 监视、评审、保持和改进文件化的ISMS规定了要求。它规定了为适应不同组织或其部门的需要而定制的安全控制措施的实施要求。 ISMS的设计应确保选择适当和相宜的安全控制措施，以充分保护信息资产并给予相关方信心。 注1：本标准中的“业务”一词应广义的解释为关系一个组织生存的核心活动。 注2：ISO/IEC 17799提供了设计控制措施时可使用的实施指南。 1.2 应用 本标准规定的要求是通用的，适用于各种类型、规模和特性的组织。组织声称符合本标准时，对于4、5、6、7和8章的要求不能删减。 为了满足风险接受准则所必须进行的任何控制措施的删减，必须证明是合理的，且需要提供证据证明相关风险已被负责人员接受。除非删 减不影响组织满足由风险评估和适用法律法规要求所确定的安全要求的能力和/或责任，否则不能声称符合本标准。 注：如果一个组织已经有一个运转着的业务过程管理体系（例如，与ISO 9001或者ISO 14001相关的），那么在大多数情况下，更可取 的是在这个现有的管理体系内满足本标准的要求。
8
4 信息安全管理体系（ISMS）
ISO27001-2013信息安全管理体系适用性声明SOA
项目管理中的信息安全
控制
YES
根据信息安全体系规定和公司实际需求
无论何种类型的项目，信息安全都要整合到组织的项目管理方法中，以确保将识别并处理信息安全风险作为项目的一部分。
《信息安全内部组织管理程序》
A.6.2
移动设备和远程工作
目标
YES
确保远程工作和移动设备使用的安全
A.6.2.1
移动设备策略
控制
YES
根据信息安全体系规定和公司实际需求
公司制定了策略和支持性安全措施以管理使用移动设备时带来的风险。
《移动设备管理程序》
A.6.2.2
远程工作
控制
YES
根据信息安全体系规定和公司实际需求
远程工作应仅限于申请的设备和地点，严禁在公共计算机设备上进行。
远程工作的访问权限不允许超过该人员在公司内部网的正常访问权限。
根据信息安全体系规定和公司实际需求
系统管理员应按《用户访问管理程序》对被授权访问该系统的用户口令予以分配。
《用户访问管理程序》
A.9.2.5
用户访问权的复查
控制
YES
根据信息安全体系规定和公司实际需求
用户访问权限主管部门按《用户访问管理程序》规定每半年应对一般用户访问权进行评审，对特权用户每季度进行评审一次，注销非法用户或过期无效用户的访问权，评审结果予以保持。
《信息安全风险识别与评价管理程序》
A.8.1.2
资产责任人
控制
YES
根据风险评估的结果
行政部对信息处理设施有关的信息和资产指定使用部门和负责人。资产负责人负责对资产分类、确定访问授权。
新的资产按照《信息处理设施管理程序》指定资产负责人。
ISMS手册-信息安全管理体系手册
信息安全管理IT服务管理体系手册发布令本公司按照ISO20000:2005《信息技术服务管理—规范》和ISO27001：2005《信息安全管理体系要求》以及本公司业务特点编制《信息安全管理&IT服务管理体系手册》，建立与本公司业务相一致的信息安全与IT服务管理体系，现予以颁布实施。
本手册是公司法规性文件，用于贯彻公司信息安全管理方针和目标，贯彻IT服务管理理念方针和服务目标。
为实现信息安全管理与IT服务管理，开展持续改进服务质量，不断提高客户满意度活动，加强信息安全建设的纲领性文件和行动准则。
是全体员工必须遵守的原则性规范。
体现公司对社会的承诺，通过有效的PDCA活动向顾客提供满足要求的信息安全管理和IT服务。
本手册符合有关信息安全法律法规要求以及ISO20000:2005《信息技术服务管理—规范》、ISO27001：2005《信息安全管理体系要求》和公司实际情况。
为能更好的贯彻公司管理层在信息安全与IT服务管理方面的策略和方针，根据ISO20000:2005《信息技术服务管理—规范》和ISO27001：2005《信息安全管理体系要求》的要求任命XXXXX为管理者代表，作为本公司组织和实施“信息安全管理与IT服务管理体系”的负责人。
直接向公司管理层报告。
全体员工必须严格按照《信息安全管理&IT服务管理体系手册》要求，自觉遵守本手册各项要求，努力实现公司的信息安全与IT服务的方针和目标。
管理者代表职责：a) 建立服务管理计划；b) 向组织传达满足服务管理目标和持续改进的重要性；e) 确定并提供策划、实施、监视、评审和改进服务交付和管理所需的资源，如招聘合适的人员，管理人员的更新；1．确保按照ISO207001:2005标准的要求，进行资产识别和风险评估，全面建立、实施和保持信息安全管理体系；按照ISO/IEC 20000 《信息技术服务管理－规范》的要求，组织相关资源，建立、实施和保持IT服务管理体系，不断改进IT服务管理体系，确保其有效性、适宜性和符合性。
信息安全管理认证体系
信息安全管理认证体系信息安全管理认证体系（Information Security Management System，ISMS）指的是一种建立在信息安全管理原理和国际标准之上的信息安全管理体系。
ISMS的目的是确保组织的信息安全得到充分保障，并通过合理的安全管理实践对组织及其利益相关者产生积极影响。
ISMS是一个事先计划好的、有目的的体系，旨在为组织提供一种规范的方法来管理其信息安全。
ISMS可以帮助组织识别其面临的信息安全风险、确定关键的信息资产并确保它们的安全以及保护组织的声誉和信誉。
ISMS的核心是建立一套标准的管理流程来管理信息的保密性、完整性和可用性。
这也是ISMS所附带的承诺和责任的核心部分，包括实施合适的安全控制措施、定期进行安全评估和审核以及持续改进信息安全管理实践。
ISMS适用范围广泛，可以适用于任何类型的组织，无论是大型企业、中小型企业或个人，ISMS都可以为其提供有效的信息安全保护。
ISMS的实施必须遵守国际标准和技术规范，其中包括ISO/IEC 27001标准。
该标准是ISMS的国际标准，定义了ISMS的要求，并为组织提供了一种可遵循的框架来建立、实施、监视、维护和改进其信息安全管理。
ISMS的优点主要集中在以下三个方面：1. 保障信息安全ISMS的实施可以帮助组织保护其重要信息资产，确保信息不会被未经授权的访问、修改或破坏。
2. 提高组织的效率和竞争力ISMS可以帮助组织使用安全控制措施来优化其业务流程并提高效率，从而提高其竞争力。
3. 遵从法规和规范ISMS可确保组织遵守国际和国内法规、规范和标准，并提高组织的声誉和信誉度。
最终，ISMS的实施要求组织确立信息安全政策，开展安全培训并持续改进信息安全管理实践。
ISMS是一个成熟的信息管理方法，是一个成功的组织实现信息安全的关键。
ISMS手册-信息安全管理体系手册
信息安全管理IT服务管理体系手册发布令本公司按照ISO20000:2005《信息技术服务管理—规范》和ISO27001：2005《信息安全管理体系要求》以及本公司业务特点编制《信息安全管理&IT服务管理体系手册》，建立与本公司业务相一致的信息安全与IT服务管理体系，现予以颁布实施。
本手册是公司法规性文件，用于贯彻公司信息安全管理方针和目标，贯彻IT服务管理理念方针和服务目标。
为实现信息安全管理与IT服务管理，开展持续改进服务质量，不断提高客户满意度活动，加强信息安全建设的纲领性文件和行动准则。
是全体员工必须遵守的原则性规范。
体现公司对社会的承诺，通过有效的PDCA活动向顾客提供满足要求的信息安全管理和IT服务。
本手册符合有关信息安全法律法规要求以及ISO20000:2005《信息技术服务管理—规范》、ISO27001：2005《信息安全管理体系要求》和公司实际情况。
为能更好的贯彻公司管理层在信息安全与IT服务管理方面的策略和方针，根据ISO20000:2005《信息技术服务管理—规范》和ISO27001：2005《信息安全管理体系要求》的要求任命XXXXX为管理者代表，作为本公司组织和实施“信息安全管理与IT服务管理体系”的负责人。
直接向公司管理层报告。
全体员工必须严格按照《信息安全管理&IT服务管理体系手册》要求，自觉遵守本手册各项要求，努力实现公司的信息安全与IT服务的方针和目标。
管理者代表职责：a)建立服务管理计划；b)向组织传达满足服务管理目标和持续改进的重要性；e)确定并提供策划、实施、监视、评审和改进服务交付和管理所需的资源，如招聘合适的人员，管理人员的更新；1．确保按照ISO207001:2005标准的要求，进行资产识别和风险评估，全面建立、实施和保持信息安全管理体系；按照ISO/IEC20000《信息技术服务管理－规范》的要求，组织相关资源，建立、实施和保持IT服务管理体系，不断改进IT服务管理体系，确保其有效性、适宜性和符合性。
ISMS-2001SOA适用性声明.
深圳市首品精密模型有限公司信息安全适用性声明 SOA 文件编号 :ISMS-2001变更履历1目的为描述与组织的信息安全管理体系相关的和适用的控制目标和控制措施的文档,制定此文件。
2范围本文件适用于公司 ISMS 覆盖范围内的所有员工和所有活动。
3适用性声明信息技术-安全技术-信息安全程序文件或合同应实施适当的程序，以选择，见《知识产权管理规 A.18.1.2 知识产权要求以确保对知识产权软件定》。
及任何产品的使用符合相关安全要的法律、法规和合同要求。
求。
应按照法律法规、合同选择，见《网络安全管理规和业务要求，保护记录定》。
免受损坏、破坏、未授权访问和未授权发布，或伪造篡改。
个人身份信息和隐私选择，见《信息安全方针信的保护应满足相关法息安全策略管理制度》。
律法规的要求。
使用加密控制应确保选择，见《计算机账户及密遵守相关的协议、法律码管理程序》。
法规。
应在计划的时间间隔选择，见《信息安全方针信或发生重大变化时，对息安全策略管理制度》。
组织的信息安全管理方法及其实施情况 (如，信息安全控制目标、控制措施、策略、过程和程序）进行独立评审。
管理层应定期审核信选择，见《信息安全方针信息处理和程序符合他息安全策略管理制度》。
们的责任范围内适当的安全政策、标准和任何其他安全要求。
应定期评审信息系统选择，见《管理评审控制程与组织的信息安全策序》。
略、标准的符合程度。
A.18.1.3 保护记录个人信息 A.18.1.4 和隐私的保护加密控制法规A.18.1.5 A.18.2 信息安全评审确保依照组织策略和信息安全程序实的独立评施信息审安全。
A.18.2.1 A.18.2.2 符合安全策略和标准 A.18.2.3 技术符合性评审 16 / 16。
22080-2016信息安全管理体系信息安全适用性声明SoA
a)存储介质的包装应当足以保护其中的内容免受任何在转运中可能出现的物理损伤；
b) 公司重要信息（如合同、财务凭证等）的传递由内部人员直接送达。
行政部、商务采购部
《介质管理规定》
A.9
访问控制
A.9.1
访问控制的业务要求
目标：
限制对信息和信息处理设施的访问。
服务部
《访问控制制度》
A.9.2
用户访问管理
目标：
确保授权用户访问系统和服务，并防止未授权的访问。
A.9.2.1
用户的注册和注销
控制措施
应实施一套正式的注册与注销的流程，使用户访问权限得以分配。
是
对用户的账号开通需填写《新员工入职手续办理清单》执行帐号开通流程。帐号注销须填写《离职交接清单》执行注销流程。
A.9.3
用户职责
目标：
使用户承担保护认证信息安全的责任。
A.9.3.1
秘密认证信息的使用
控制措施
应要求用户在使用秘密认证信息时，遵循组织安全的实践。
是
对秘密认证信息使用保存制定了加密的策略，对密码设置制定了相应的管理制度，并要求用户在使用秘密认证信息时，遵循该访问规范。
服务部、行政部
《访问控制制度》
服务部、行政部
《访问控制制度》
A.9.2.5
用户访问权的评审
控制措施
资产所有者应当定期复查用户的访问权限。
是
重要服务器操作系统的账户、应用系统、VPN、源代码管理软件帐号访问权限定期核查。
服务部、测试部
《访问控制制度》
A.9.2.6
移除或调整访问权限
控制措施
所有雇员、外部方人员对信息和信息处理设施的访问权限应在任用、合同或协议终止时撤销，或在变化时调整。
信息安全管理体系ISMS审核实践指南
附录A（资料性附录）ISMS审核实践指南A.1概述本附录对声称符合GB/T 22080的组织提供有关如何审核ISMS的通用指南。
由于本指南旨在适用于所有ISMS审核，所以无论涉及的组织的是何规模或性质，本指南均适用。
本指南旨在供开展ISMS内部或外部审核的审核员使用。
注：GB/T 31496根据GB/T 22080给出了实施和操作ISMS的指南。
A.2总则A.2.1审核目标、范围、准则和审核证据在审核活动期间，宜通过适当的抽样方式获得并验证与审核目标、范围和准则有关的信息，包括职责，活动和过程之间的接口相关的信息。
只有能够证实的信息才可作为审核证据。
宜记录导致审核发现的审核证据。
获取信息的方法包括以下内容：—访谈；—观察；—文件评审，包括记录。
A.2.2ISMS审核策略GB/T 22080遵循ISO/IEC导则第1部分附录JC和融合的JTC1补充部分中的顶层结构、相同的章节标题、核心文本、通用术语与核心定义—JTC1特定规程。
GB/T 22080定义了一组相互依赖的要求，这些要求作为一个整体发挥作用（通常被称为“系统方法”），并通过交叉引用予以部署。
在审核时最好同时处理实践中密切相关的GB/T 22080条款。
相关示例请参见表A.2。
例如6.1.3和8.3以及6.2，5.1、5.2，5.3、7.1、7.4、7.5、9.1、9.3和10.2，同时审核这些条款及其关联或相关条款才有意义。
GB/T 22080—2016 7.5提出了有关文件化信息的要求。
如表A.2中A.4.5所述，每次审核员检查一份文件化信息时，都是确认其是否符合GB/T 22080—2016 7.5要求的机会。
有关如何执行上述内容的指南在表A.2的A.4.5中。
对于表中每次出现“文件化信息”将不再重复对文件化信息的要求。
A.2.3审核和文件化信息审核活动涉及文件化信息，即：a）在GB/T 22080中文件化信息的要求条款可用作审核准则；b）以下文件化信息可作为审核证据：1）GB/T 22080—2016 7.5.1 b）中要求的文件化信息；2）由组织确定的，GB/T 22080—2016 7.5.1 c）中要求的ISMS有效运行所必需的文件化信息。
ISO27001信息安全适用性声明
受控*********有限公司信息安全管理体系文件信息安全适用性声明Statement of Applicability（ISMS-SOA-2017）版本号：A/0编制：****审批：*****2017-2-1信息安全适用性声明SOA A.5安全方针标准条款号标题目标/控制是否选择选择理由控制描述文件名称A.5.1 信息安全管理指导目标YES 依据业务要求以及相关的法律法规为信息安全提供管理指导和支持。
A.5.1.1 信息安全方针文件控制YES 根据信息安全体系规定和公司实际需求总经理确保制定与公司目标一致的清晰的信息安全方针，并且通过在组织内发布和维护信息安全方针来表明对信息安全的支持和承诺。
《信息安全管理手册》A.5.1.2 信息安全方针评审控制YES 根据信息安全体系规定和公司实际需求定期对信息安全进行监督检查，包括：日常检查、专项检查、内部审核和管理评审等。
每年管理评审或发生重大变化时对信息安全方针的持续适宜性、充分性和有效性进行评价，必要时进行修订。
《信息安全管理手册》A.6信息安全组织标准条款号标题目标/控制是否选择选择理由控制描述文件名称A.6.1 内部组织目标YES 建立管理框架，启动和控制组织内信息安全的实施和运行。
A.6.1.1 信息安全角色和职责控制YES 根据信息安全体系规定和公司实际需求公司在信息安全管理职责明细表里明确了信息安全职责。
公司设立信息安全管理者代表，全面负责ISMS的建立、实施与保持工作《信息安全内部组织管理程序》A．6.1.2 职责分离控制YES 根据信息安全体系规定和公司实际需求宜分割冲突的责任和职责范围，以降低未授权或无意的修改或者不当使用组织资产的机会。
《信息安全内部组织管理程序》A.6.1.3 与政府部门的联系控制YES 根据信息安全体系规定和公司实际需求详细说明由谁何时与权威机构（如法律仲裁部门、消防部门、信息安全监管机构）联系，以及怎样识别应该及时报告的可能会违背法律的信息安全事件。
信息安全管理体系(ISMS)
信息安全管理体系（ISMS）信息安全是现代社会中不可或缺的重要组成部分，信息安全管理体系（ISMS）作为信息安全管理的一种方法论和规范，旨在确保组织在信息处理过程中的安全性，包括信息的机密性、完整性和可用性。
本文将对信息安全管理体系的概念、实施步骤和重要性进行探讨。
一、概念信息安全管理体系（ISMS）是指组织在信息处理过程中建立和维护的一系列政策、规程、过程、技术和措施，旨在管理和保护信息资产的安全。
ISMS的目标是确保组织能够正确有效地处理和保护信息，预防和减少信息泄露和安全漏洞所带来的潜在风险。
二、实施步骤1. 制定政策与目标：组织应在信息安全管理体系中明确信息安全的政策和目标，并将其与组织的整体战略和目标相结合。
这些政策和目标应该是明确的、可测量的，能够为其他步骤提供指导。
2. 风险评估与控制：通过风险评估，组织可以确定其关键信息资产的安全威胁，并采取适当的措施来最小化或消除这些威胁。
风险评估应基于科学的方法，包括信息资产的价值评估、威胁的概率评估和影响的评估。
3. 资源分配与培训：组织需要为ISMS分配足够的资源，包括人力、物力和财力。
此外，组织还需培训员工，提高其对信息安全的认识和技能，确保他们能够正确使用和维护ISMS所需的工具和技术。
4. 持续改进：ISMS应作为组织的持续改进过程的一部分，持续评估、监控和改进ISMS的有效性和符合性。
组织应定期进行内部审计和管理评审，以确保ISMS的运行符合预期，并根据评审结果进行必要的改进。
三、重要性信息安全管理体系（ISMS）的实施对组织具有重要的意义和价值。
首先，ISMS可以帮助组织建立和维护信息资产的安全性。
通过制定明确的政策和措施，组织可以控制和减少信息泄露的风险，保护关键信息资产的机密性和完整性。
其次，ISMS可以帮助组织合规。
随着信息安全法律法规的不断完善和加强，组织需要确保其信息安全管理符合相应的法规要求。
ISMS 可以帮助组织建立符合法规要求的信息安全管理体系，并提供相应的管理和技术措施来满足法规的要求。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
有限公司 信息安全适用性声明
编号：ISMS-1002 状态：受控 编写：行政部 2012年10月15日 审核：印峰 2012年10月15日 批准：邓庆平 2012年10月15日 发布版次：第A/0版 2012年10月15日 生效日期 2012年10月15日 分发：各部门 接受部门： 变 更 记 录 变更日期 版本 变更说明 编写 审核 批准 2012年10月15日 A/0 初始版本 行政部 印峰 邓庆平 目 录 1 目的与范围 ................................................................................................................................... 4 2 相关文件 ....................................................................................................................................... 4 3 职责............................................................................................................................................... 4 4 声明............................................................................................................................................... 4 A.5安全方针 .................................................................................................................................... 5 A.6安全组织 .................................................................................................................................... 5 A.7资产管理 .................................................................................................................................... 8 A.8人力资源安全 .......................................................................................................................... 10 A.9实物与环境安全 ...................................................................................................................... 12 A.10通信和操作管理 .................................................................................................................... 15 A.11访问控制 ................................................................................................................................ 22 A.12信息系统获取、开发和维护 ................................................................................................ 27 A.13信息安全事件管理 ................................................................................................................ 31 A.14业务持续性管理 .................................................................................................................... 33 A.15符合性 .................................................................................................................................... 34 信息安全适用性声明 1 目的与范围 本声明描述了在ISO27001:2005附录A中，适用于本公司信息安全管理体系的目标/控制、是否选择这些目标/控制的理由、公司现行的控制方式、以及实施这些控制所涉及的相关文件。
2 相关文件 ISMS-1001《信息安全管理手册》 3 职责 《信息安全适用性声明》由行政部编制、修订，由管理者代表批准。 4 声明 本公司按ISO27001:2005建立信息安全管理体系。 根据公司风险评估的结果和风险可接受水平，ISO27001:2005附录A的下列条款被选择（或不选择)用于本公司信息安全管理体系。 A.5安全方针 标准 条款号 标 题 目标/ 控制 是否选择 选择理由 控制描述SoC 相关文件 A.5.1 信息安全方针 目标 YES 为信息安全提供管理方向和支持，并表明管理层对信息安全的承诺。 A.5.1.1 信息安全方针文件 控制 YES 信息安全管理实施的需要。 信息安全方针由公司总经理制定，在《信息安全管理手册》中描述，由公司执行总经理批准发布。通过培训、发放《信息安全管理手册》等方式传达到每一员工。采用张贴布告于宣传栏、网站等形式传达给社区、主管部门、客户群等外部相关方。 ISMS-1001《信息安全管理手册》4.2.1.3 ISMS方针
A.5.1.2 评审与评价 控制 YES 确保方针持续的适宜性。 每年利用管理评审对方针的适宜性进行评价，必要时对方针进行修订。 ISMS-2004《管理评审控制程序》 A.6安全组织 标准 条款号 标 题 目标/控制 是否选择 选择理由 控制描述SoC 相关文件 A.6.1 内部组织 目标 YES 建立一个有效的信息安全管理组织机构。 A.6.1.1 信息安全管理承诺 控制 YES 确定评审安全承诺及处理重大安全事故，确定与安全有关重大事项所必须的职责分配及确认、沟公司成立信息安全管理委员会，由公司领导、信息安全管理者代表、各主要部门负责人组成。管理委员会每半年召开一次会议。信息安全管理者代表负责决定召开会议的时机及会议议题，行政部负责准备会议日程的安排。会议主要议题包括： 会议纪要《关于成立公司信息安全管理委员会和信息安全管理协调小组的决定》 通机制。 a)评审信息安全承诺； b)确认风险评估的结果； c)对与信息安全管理有关的重大更改事项，如组织机构调整、关键人事变动、信息系统更改等，进行决策； e)评审与处理重大信息安全事故； f)审批与信息安全管理有关的其他重要事项。 有关信息安全管理委员会会议记录（会议纪要）
A.6.1.2 信息安全的协调 控制 YES 公司涉及信息安全部门众多，组织机构复杂，需要一个有效沟通与协调机制。 公司成立信息安全管理协调小组，由信息安全管理者代表（行政部经理）和研发部、行政部信息安全体系内审员组成。 协调小组每季度召开一次协调会议（特殊情况随时召开会议)，对上一季度的信息安全管理工作进行总结，解决体系运行中存在的问题，并布置下一季度的信息安全工作。会议由行政专员负责组织安排并做好会议记录。 《关于成立公司信息安全管理委员会和信息安全管理协调小组的决定》
有关信息安全管理论坛会议记录（会议纪要） A.6.1.3 信息安全职责的分配 控制 YES 保持特定资产和完成特定安全过程的职责需确定。 公司设立信息安全管理者代表，全面负责公司ISMS的建立、实施与保持工作。对每一项重要信息资产指定信息安全责任人。 与ISMS有关各部门的信息安全职责在本《信息安全管理手册》中予以描述，关于具体的信息安全活动的职责在程序及作业文件中予以明确。 ISMS-1001《信息安全管理手册》及相关岗位描述
A.6.1.4 信息处理设施的授权程序 控制 YES 本公司有新信息处理设备（设施)采购及使用的活动，需对采购质量进行控制，并建立使用授权程序。 研发部参与对信息处理设施的供方技术评价与跟踪。 研发部分别对各自负责管理的信息系统，根据使用者需求提出新设施（包括软件)的采购技术规格，进行技术选型，并组织验收，确保与原系统的兼容。 明确使用部门接受新设施的信息安全负责人为行政部经理，行政部经理需要讲解新设施的正确使用方法。 ISMS-2010《信息处理设备管理程序》
A.6.1.5 信息安全保密性协议 控制 YES 为更好掌握信息安全的技术及听取安全方面的有意建议，需与内外部经本公司的正式员工和借用员工聘用、任职期间及离职的安全考察与保密控制以及其他相关人员（合同方、临时员工)的安全考察与控制。 ISMS-2020《密级控制程序》