ISO27001-2013信息安全连续性管理实施计划.docVIP

信息安全连续性管理计划 第 PAGE 2 页 共 NUMPAGES 7 页 卷号 卷内编号 密级 内部公开 信息安全连续性管理计划 version：1.0 编制人： 日期: 年 月 日 审核人: 日期： 年 月 日 批准人： 日期： 年 月 日 受控状态： 目 录 TOC \o 1-2 \h \z \u 1. 目的 4 2. 适用范围 4 2.1 前提条件1： 4 2.2 前提条件2： 4 3. 定义 4 3.1 信息安全连续性管理计划： 4 3.2 最大容忍中断时间： 4 3.3 关键功能目标恢复时间： 4 3.4 全部功能目标恢复时间： 4 3.5 小规模灾难或故障： 4 3.6 大规模灾难或故障： 4 4. 规程 4 4.1 核心及支持性信息安全单元定义 4 4.2 信息安全连续性管理目标 5 4.3 信息安全连续性恢复顺序 5 4.4 信息安全分类及灾难恢复指标 6 4.5 重大灾难、故障应急程序及计划 6 4.6 重大灾难、故障应急程序及计划演练计划 6 5. 引用文件 7 6. 记录 7 修订文档历史记录 日期 版本 说明 作者 目的 确保核心信息安全及支持性信息安全的连续运作，减少各种安全风险可能带来的损失。 适用范围 本计划适用于公司在以下前提条件下的信息安全连续性管理： 前提条件1： 公司不在同一时间内遭受同样大规模的破坏 前提条件2： 公司雇用关系、现金流、供应商关系、客户关系、政府关系、投资关系、合作伙伴关系没有受到重大影响 定义 信息安全连续性管理计划： 为预防信息安全风险、意外灾难可能带来的损失，有效保 障公司核心信息安全及支持性的正常运作，而预先制订的一系列管理计划，包括：信息安全连续性管理目标、信息安全恢复指标、以及各类灾难、故障的应急和恢复程序。 最大容忍中断时间： 指信息安全能容忍在没有正常支撑工具（如信息安全记录、信息系统、通信电话等）支撑的最大工作时间（不包括休息时间）。 关键功能目标恢复时间： 指从灾难发生开始到信息安全关键功能（指核心信息安全功能，例如：客户要求的开发活动、支持开发活动必须的信息安全记录、信息系统、通信电话）得到恢复的时间。 全部功能目标恢复时间： 指从灾难发生开始到所有信息安全功能（指灾难发生前工作环境，包括与原有环境一致的办公场所、基础设施、信息安全记录、信息系统等）得到恢复的时间。 小规模灾难或故障： 指导致某一个核心信息安全单元工作瘫痪的灾难或故障，例如：某一部门的信息系统瘫痪、公司局部受到火灾、暴雨、洪水、液体泄漏事件等影响。 大规模灾难或故障： 指导致所有核心信息安全单元工作瘫痪的灾难或故障，例如：整个网络系统瘫痪、信息部被完全破坏、传染病爆发，导致所有信息安全不能开展等。 规程 核心及支持性信息安全单元定义 根据信息安全特点，以及为，将公司信息安全分为以下核心信息安全单元、支持性信息安全单元。 信息安全连续性管理目标 针对公司所确定的核心信息安全单元和支持性信息安全单元，在信息安全连续性管理方面确定以下管理目标： 公司面临各类灾难和故障时，信息安全连续性管理和恢复组织应在0.5小时内响应。 公司在遭受小规模灾难时，公司核心信息安全关键功能应在12小时内恢复运作，全部功能应在7个工作日内恢复。 公司在遭受大规模灾难时，公司核心信息安全功能关键功能应在36小时内恢复运作，全部功能应在30个工作日内恢复。 信息安全分类及灾难恢复指标 类别 信息安全分类 最大容忍中断时间（小时） 目标恢复时间 小规模灾难/故障 大规模灾难/故障 关键功能恢复 全部功能恢复 关键功能恢复 全部功能恢复 II 支持性信息安全 IT系统运营支持 8（小时） 8（小时） 3（工作日） 24小时 30工作日 物业服务支持 8（小时） 8（小时） 3（工作日） 24小时 30工作日 财务会计 24（小时） 24（小时） 5（工作日） 24小时 30工作日 内部企业信息化 24（小时） 24（小时） 5（工作日） 48小时 30工作日 人力资源 48（小时） 48（小时） 7（工作日） 48小时 30工作日 品质管理 48（小时） 48（小时） 7（工作日） 48小时 30工作日 后勤支持 48（小时） 48（小时） 7（工作日） 48小时 30工作日 重大灾难、故障应急程序及计划 针对各类可能出现的灾难及故障，相应的应急程序如下： IT运营支持相关 a) 重大安全事件