22080-2016信息安全管理体系管理手册及程序文件.doc

作者：李柏伦翻版盗卖必追究责任

22080-2016信息安全管理体系管理手册及程序文件

信息安全管理手册

目录

TOC\o1-2\h\z\u25861.概述

282641.1目的

33581.2适用范围

313721.3颁布令

41631.4授权书

176692.依据文件和术语

218202.1依据文件

103832.2术语定义

134063.裁剪说明

27034.组织环境

149294.1组织环境描述

303314.2信息安全相关方的需求和期望

308164.3信息安全管理体系范围的确定

177784.4体系概述

174475.领导力

152885.1领导力和承诺

188525.2信息安全方针和目标

48515.3组织角色、职责和权限

110106.策划

244026.1风险评估和处置

9206.2目标实现过程

284357.支持

40757.1资源提供

325067.2信息安全能力管理

27437.3意识培训

132387.4信息安全沟通管理

39137.5存档信息控制

18708.运行

50478.1体系策划与运行

48689.绩效评价

250099.1能力评价

85389.2有效性测量

273959.3内部审核

43689.4管理评审

3251110.改进

649411.信息安全总体控制

20587A.5信息安全策略

16567A.6信息安全组织

30630A.7人力资源安全

8913A.8资产管理

15130A.9访问控制

18380A.10密码控制

30788A.11物理和环境安全

7591A.12操作安全

6601A.13通信安全

28274A.14系统获取、开发和维护

11130A.15供应商关系

16592A.16信息安全事故

25395A.17业务连续性管理的信息安全方面

15816A.18符合性

28154附件一：信息安全组织架构映射表

19969附件二：信息安全职责分配表

作者：李柏伦翻版盗卖必追究责任

概述

为提高服务质量，规范管理活动，保障系统安全运行，提升人员安全意识水平，XXX软件有限公司（以下简称“公司”）依据信息安全管理标准《GB/T22080-2016/ISO/IEC27001:2013信息技术安全技术信息安全管理体系要求》的相关要求，结合自身业务系统实际运行安全需求，已建立实施了一套科学有效的信息安全管理体系，并通过体系的有效运行，实现持续改进，达到动态系统、全员参与、制度化的、以预防为主的信息安全管理方式。

目的

本总纲为公司信息安全管理体系的纲领性文件，描述了信息安全管理体系的方针、目标、管理机制和要求等方面的内容。

通过建立策划（P）?执行（D）?检查（C）?改进（A）的持续改进机制，不断提高公司的信息安全管理水平，确保日常信息安全管理活动的安全、稳定、高效，提升企业核心竞争力。

适用范围

本总纲所描述信息安全管理体系适用于公司所有部门，所涉及业务范围包括信息技术处理设施的管理运维服务、信息技术系统的开发、获取和运行维护、人员的信息安全、数据的安全等在内的各项信息安全管理相关活动。

颁布令

为提高信息安全管理水平，贯彻落实“以客户为中心，将安全意识融入日常工作、严格审查各项控制措施、及时消除安全隐患、保障业务连续性。”的基本方针，保障公司的生产、经营、服务和日常管理活动，防止由于信息系统故障、数据的丢失、敏感信息的泄密所导致的业务中断或安全事故，公司特依据《GB/T22080-2016/ISO/IEC27001:2013信息技术安全技术信息安全管理体系要求》标准要求，建立了文件化的信息安全管理体系。

本体系是信息安全管理的纲领性文件，是指导公司建立并实施信息安全管理体系的纲领和行动准则，用于贯彻信息安全管理方针，实现信息安全管理体系的有效运行和持续改进。

全体员工必须严格按照本总纲的要求，自觉贯彻管理方针，严格执行本总纲的各项规定，努力实现公司生产运行和日常办公的安全。并传达给外部相关方。

本手册自颁布之日起生效执行。

公司总经理：XXX

2020年4月7日

授权书

为了贯彻执行信息安全管理体系，满足《GB/T22080-2016/ISO/IEC27001:2013信息技术安全技术信息安全管理体系要求》的要求，加强对信息安全管理体系建设和持续运