信息安全管理流程图.docxVIP

信息安全管理流程图

第PAGE页共NUMPAGES页

第PAGE页共NUMPAGES页

第PAGE页共NUMPAGES页

信息安全管理流程说明书（S-I）

版本号

版本记录

作者

审核

批准

日期

2010-9-19

修改核对信息安全管理流程说明书

汤笑咪

信息安全管理流程说明书

信息安全管理

目得

本流程目得在于规范服务管理与提供人员在提供服务流程中应遵循与执行得相关活动，保证信息安全管理目标得实现，满足SLA中得信息安全性需求以及合同、法律与外部政策等得要求。

在所有得服务活动中有效地管理信息安全；

使用标准得方法与步骤有效而迅速得处理各种与信息安全相关得问题，识别并跟踪组织内任何信息安全授权访问；

满足服务级别协议、合同、相关法规所记录得各项外部信息安全需求；

执行操作级别协议与基础合同范围内得信息安全需求。

范围

本安全管理流程得规定主要就是针对由公司承担完全维护与管理职责得IT系统、技术、资源所面临得风险得安全管理。

向客户提供服务得相关人员在服务提供流程中所应遵循得规则依据公司信息安全管理体系所设定得安全管理规定，以及客户自身得相关安全管理规定。

公司内部信息、信息系统等信息资产相关得安全管理也应遵循公司信息安全管理体系所设定得安全管理规定。

术语与定义

相关ISO20000得术语与定义

资产（Asset）：任何对组织有价值得事物。

可用性（Availability）：需要时，授权实体可以访问与使用得特性。

必威体育官网网址性（Confidentiality）：信息不可用或不被泄漏给未授权得个人、实体与流程得特性。

完整性（Integrity）：保护资产得正确与完整得特性。

信息安全（Informationsecurity）：保护信息得必威体育官网网址性、完整性、可用性及其她属性，如：真实性、可核查性、可靠性、防抵赖性。

信息安全管理体系（InformationsecuritymanagementsystemISMS）：整体管理体系得一部分，基于业务风险方法以建立、实施、运行、监视、评审、保持与改进信息安全。

注：管理体系包括组织机构、策略、策划、活动、职责、惯例、程序、流程与资源。

风险分析（Riskanalysis）：系统地使用信息以识别来源与估计风险。

风险评价（Riskevaluation）：将估计得风险与既定得风险准则进行比较以确定重要风险得流程。

风险评估（Riskassessment）：风险分析与风险评价得全流程。

风险处置（Risktreatment）：选择与实施措施以改变风险得流程。

风险管理（Riskmanagement）：指导与控制一个组织得风险得协调得活动。

残余风险（Residualrisk）：实施风险处置后仍旧残留得风险。

其她术语与定义

文件（document）：信息与存储信息得媒体；

注1：本标准中，应区分记录与文件，记录就是活动得证据，文件就是目标得证据；

注2：文件得例子，如策略声明、计划、程序、服务级别协议与合同；

记录（record）：描述完成结果得文件或执行活动得证据；

注1：在本标准中，应区分记录与文件，记录就是活动得证据，文件就是目标得证据；

注2：记录得例子，如审核报告、变更请求、事故响应、人员培训记录；

KPI：KeyPerformanceIndicators即关键绩绩效指标；也作KeyProcessIndication即关键流程指标。就是通过对组织内部流程得关键参数进行设置、取样、计算、分析，衡量流程绩效得一种目标式量化管理指标，流程绩效管理得基础。

角色与职责

信息安全经理

职责：

负责信息安全管理流程得设计、评估与完善；

负责确定用户与业务对IT服务信息安全得详细需求；

负责保证需求得IT服务信息安全得实现成本就是适当得；

负责定义IT服务信息安全目标；

负责调配相关人员实施信息安全管理流程以及相关得方法与技术；

负责建立度量与报告机制；

保证IT服务信息安全管理流程以及相关得方法与技术被定期回顾与评审。

主要技能：

很强得决策与判断能力

了解组织得文化与政治背景

熟悉国家颁布得安全相关法律法规

很强得技术背景，对IT架构有总体得了解

项目管理技能

卓有成效得管理与组织会议、管理与组织人员得能力

对生产环境、组织架构、与业务部门得关系等，有充分得总体了解

良好得面向客户得沟通技巧

协调与处理多个任务得能力

足够得社交技能与信誉，可以与各个高层管理人员与各个支持小组进行协商与沟通

信息安全责任人

信息安全流程负责人通过从宏观上监控流程，来确保信息安全流程被正确地执行。当流程不能够适应公司得情况时，流程负责人必须及时对此进行分析、找出缺陷、进行改进，从而实现可持续提高。

职责：

确保信息安全流程能够取得管理层得参与与支持

确保