22080-2016信息安全管理体系管理手册及程序文件

22080-2016信息安全管理体系管理手册及程序文件信息安全管理手册目录1. 概述1.1目的1.2适用范围1.3颁布令1.4授权书2. 依据文件和术语2.1依据文件2.2术语定义3. 裁剪说明4. 组织环境4.1组织环境描述4.2信息安全相关方的需求和期望4.3信息安全管理体系范围的确定4.4体系概述5. 领导力5.1领导力和承诺5.2信息安全方针和目标5.3组织角色、职责和权限6. 策划6.1风险评估和处置6.2目标实现过程7. 支持7.1资源提供7.2信息安全能力管理7.3意识培训7.4信息安全沟通管理7.5存档信息控制8. 运行8.1体系策划与运行9. 绩效评价9.1能力评价9.2有效性测量9.3内部审核9.4管理评审10. 改进11. 信息安全总体控制A.5信息安全策略A.6信息安全组织A.7人力资源安全A.8资产管理A.9访问控制A.10密码控制A.11物理和环境安全A.12操作安全A.13通信安全A.14系统获取、开发和维护A.15供应商关系A.16信息安全事故A.17业务连续性管理的信息安全方面A.18符合性附件一：信息安全组织架构映射表附件二：信息安全职责分配表1.概述为提高服务质量，规范管理活动，保障系统安全运行，提升人员安全意识水平，XXX软件有限公司（以下简称“公司”）依据信息安全管理标准《GB/T 22080-2016/ISO/IEC 27001:2013 信息技术安全技术信息安全管理体系要求》的相关要求，结合自身业务系统实际运行安全需求，已建立实施了一套科学有效的信息安全管理体系，并通过体系的有效运行，实现持续改进，达到动态系统、全员参与、制度化的、以预防为主的信息安全管理方式。

目的本总纲为公司信息安全管理体系的纲领性文件，描述了信息安全管理体系的方针、目标、管理机制和要求等方面的内容。

通过建立策划（P）→执行（D）→检查（C）→改进（A）的持续改进机制，不断提高公司的信息安全管理水平，确保日常信息安全管理活动的安全、稳定、高效，提升企业核心竞争力。

适用范围本总纲所描述信息安全管理体系适用于公司所有部门，所涉及业务范围包括信息技术处理设施的管理运维服务、信息技术系统的开发、获取和运行维护、人员的信息安全、数据的安全等在内的各项信息安全管理相关活动。

颁布令为提高信息安全管理水平，贯彻落实“以客户为中心，将安全意识融入日常工作、严格审查各项控制措施、及时消除安全隐患、保障业务连续性。

”的基本方针，保障公司的生产、经营、服务和日常管理活动，防止由于信息系统故障、数据的丢失、敏感信息的泄密所导致的业务中断或安全事故，公司特依据《GB/T 22080-2016/ISO/IEC 27001:2013 信息技术安全技术信息安全管理体系要求》标准要求，建立了文件化的信息安全管理体系。

本体系是信息安全管理的纲领性文件，是指导公司建立并实施信息安全管理体系的纲领和行动准则，用于贯彻信息安全管理方针，实现信息安全管理体系的有效运行和持续改进。

全体员工必须严格按照本总纲的要求，自觉贯彻管理方针，严格执行本总纲的各项规定，努力实现公司生产运行和日常办公的安全。

并传达给外部相关方。

本手册自颁布之日起生效执行。

公司总经理：XXX2020年4月7日授权书为了贯彻执行信息安全管理体系，满足《GB/T 22080-2016/ISO/IEC 27001:2013 信息技术安全技术信息安全管理体系要求》的要求，加强对信息安全管理体系建设和持续运行的领导工作，特任命__XXX__先生为公司信息安全管理者代表。

授权信息安全管理者代表有如下职责和权限：1)领导信息安全管理体系的建立、运行和维护，开展资产识别和风险评估；2)协调与信息安全管理体系有关的各项工作；3)确保提高员工信息安全意识；4)督促信息安全管理体系内部审核和信息安全检查的开展；5)协助最高管理者进行信息安全管理体系的管理评审；6)向最高管理者报告信息安全管理体系的业绩和改进要求。

本授权书自任命日起生效执行。

公司总经理：XXX2020年4月7日2.依据文件和术语依据文件本总纲的制定参考并依据了下列文件资料，详见《符合性实施制度》。

1)法律法规：是指我国颁布的、所有相关且具有约束和指导作用的法律、法规；2)监管规定：是指证监会及其分支机构颁布的具有约束和指导作用的所有文件、规定等；3)文件：公司下发的对信息业务系统、信息安全管理等有约束力和指导作用的所有文件；4)国际惯例：是指开展业务以及提供信息安全建设过程中必须遵循的具有约束和指导作用的国际通用惯例；5)标准：➢《GB/T 22080-2016/ISO/IEC 27001:2013信息技术安全技术信息安全管理体系要求》；术语定义1)信息安全：对信息的机密性、完整性和可用性的保护；2)机密性：确保信息仅供给那些获得授权的人使用；3)完整性：保护信息及信息处理方法的准确性和完全性；4)可用性：确保获得授权使用该信息及信息系统的人能及时、可靠地使用；5)风险评估：评估信息及信息处理系统所存在的或可能产生的威胁、影响和薄弱环节，是风险分析和风险评价的全过程；6)风险管理：指导和控制组织通过区分、控制、减少或去除等方法将风险控制在可承受范围内的活动；3.裁剪说明《GB/T 22080-2016/ISO/IEC 27001:2013 信息技术安全技术信息安全管理体系要求》的条款与公司信息安全管理体系的适用关系，详见《信息安全管理体系适用性声明(SOA)》。

4.组织环境组织环境描述1、外部组织关系XXX有限公司成立于2001年，是中国领先的呼叫中心与云计算应用服务提供商。

公司倡导“人性化科技帮助客户提升业绩”，致力于帮助企业利用云计算技术，以客户为中心，协同各种经营资源，改善营销流和服务流，从而提高人均产值，重塑客户体验。

讯鸟软件是中国云计算应用/SaaS、PaaS应用的先驱，从2005年即开始研发云计算SaaS产品，拥有上百人的云计算专业研发队伍、国内一流的云计算业务咨询顾问和运营服务团队，拥有50余项自主知识产权。

2、法律法规环境公司应遵循信息安全法律法规要求和义务，避免员工违反法律、法规的要求，控制相关法律风险。

具体要求见《符合性实施制度》。

3、组织架构及部门职责公司组织架构图如下，部门包括总裁办、行政部、人力资源部、商务采购部、财务部、产品部、销售部、服务部、研发部、测试部。

如下图所示：1)总裁办负责协助总裁执行日常工作计划和其他工作安排；执行相关信息安全管理规章制度。

2)行政部负责公司各项行政事务管理工作；完善公司内部控制制度建设；负责日常行政事务工作和办公设施、办公场所等管理工作；上级领导交办的其他工作；负责制定并执行相关信息安全管理的规章制度。

3)人力资源部负责人力资源规划的制定、实施及完善；负责组织机构方案、人员编制、岗位评价方案的研拟与执行；负责培训体系、绩效考评体系的制定、实施及追踪；负责公司人力成本的预算及调控；部门费用预算的控制；负责企业文化的建立、宣传及推动；员工职业生涯的规划设计；负责员工的招聘、高级人才的引进；执行相关信息安全管理的规章制度。

4)商务采购部负责公司第三方服务业务谈判及组织实施；负责各项第三方服务业务合同的保管、查询、建立合同档案，定期检查合同执行情况，不断完善合同的各项条款；负责各项第三方服务业务合同的签订、变更、执行、终止；负责各种促销活动方案中商户的协调和落实；执行相关信息安全管理的规章制度；5)财务部围绕公司的经营发展规划和工作计划，负责编制公司财务计划和费用预算，有效地筹划和运用公司资金；财务制度的建设和规范的制定；做好财务统计和会计账目、报表及年终结算工作，并妥善保管会计凭证，账簿、报表和其他档案资料；财务部日常管理工作，部门人员的管理、培训、考核；建立健全公司内部核算的组织、指导和数据管理体系，以及核算和财务管理的规章制度；做好公司各项资金的收取与支出管理工作；执行相关信息安全管理的规章制度。

6)产品部为公司提供准确的行业定位，及时提供市场信息反馈；制定和实施年度产品推广计划和新产品开发计划（依据市场需求的变化，要提出合理化建议）；依据市场变化要随时调整产品战略与营销战术（包括产品价格的调整等），并组织相关人员接受最新产品知识的培训；制定公司品牌管理与发展策略，维护公司品牌；管理、监督和控制市场政策执行情况；执行相关信息安全管理的规章制度。

7)销售部负责产品或服务的销售工作；负责代理人市场的推广，特别是战略客户的市场推广策略并实施；负责制定并管理销售业务流程；负责对销售业务流程执行的监督；执行相关信息安全管理规章制度。

8)服务部负责对本部门新员工的工作技能进行培训，并进行考核；负责云端产品部署、管理、维护、运营和服务运营质量的管理和提升工作；负责客户关系的维护、客户的技术培训、合同的执行，项目验收等相关工作；负责大数据的运营、自建呼叫中心平台及云端产品的客户业务和售后服务工作，保证客户的满意度；负责制定和执行服务运营及环境维护管理规章制度和相关信息安全管理的规章制度。

9)研发部负责提供符合客户要求和认可的技术支持和解决方案；承担产品设计和开发工作；负责技术方案的评审工作，保证技术方案的可行性；负责组织和协调开发项目的资源，保证项目按计划进行；负责制定项目计划，并根据各种变化修改项目计划；制定有效的项目决策过程；负责实施项目的管理、开发、质量保证过程，确保客户的成本、进度、绩效和质量目标；负责确保在项目生命周期中遵循实施公司的管理和质量政策；负责招聘和培训必须的项目成员；负责确定项目的人员组织结构;进行风险管理；负责定期举行项目评估(review)会议；负责为项目所有成员提供足够的设备、有效的工具和项目开发过程；负责有效管理项目资源；负责制定并执行相关信息安全管理的规章制度。

10)测试部负责协调业务管理体系下各部门工作；负责源代码及软件的完整性、可用性、功能、性能进行系统性测试；负责对各业务系统及运行环境进行系统性测试和安全性检测；负责对源代码资源系统管理及备份；负责制定并执行相关信息安全管理的规章制度。

信息安全相关方的需求和期望公司信息安全相关方包括认证单位、客户、供应商、内部部门及员工等。

各相关方的信息安全要求和期望均应及时识别，并在实际业务开展时应遵照执行。

信息安全管理体系范围的确定体系范围的确定主要考虑到公司的实际业务特点和资源的合理利用，在公司范围内建立信息安全管理体系，有利于全面的提高公司信息安全管理水平，保障业务稳定发展的需求。

●业务范围：云呼叫中心软件平台的开发及运维、呼叫中心业务及相关信息服务；●物理范围：北京市海淀区知春路113号银网中心A座302-304室；资产范围：支撑业务活动的文档、数据、软硬件系统、物理环境、人员及支持性第三方服务、无形资产（专利）等全部信息资产；组织范围：总裁办、行政部、人力资源部、商务采购部、财务部、产品部、销售部、服务部、研发部、测试部。