揭阳ISO27001认证申请

0.2 颁布令 4
0.3授权书 4
0 前言 5
1 范围 5
2 规范性引用文件 6
3 术语和定义 6
4 组织环境 6
4.1 理解组织及其环境 6
4.2 理解相关方的需求和期望 7
4.4 信息安全管理体系 7
5 12
5.1 和承诺 12
5.2方针 13
5.3 组织角色、职责和权限 13
6 规划 17
6.1 应对风险和机会的措施 17
6.2 信息安全目标和规划实现 19
7 支持 20
7.1 资源 20
7.2 能力 20
7.3 意识 21
7.4 沟通 21
7.5 文件化信息 21
8 运行 22
8.1 运行的规划和控制 22
8.2 信息安全风险评估 23
8.3 信息安全风险处置 23
9 绩效评价 23
9.1 监视、测量、分析和评价 23
9.2 内部审核 23
9.3 管理评审 24
10 改进 25
10.1 不符合和纠正措施 25
10.2 持续改进 26
附录1-组织概况 27
附录二：组织结构图及部门职责说明 28
附录三-信息安全小组 35
附录四：信息安全管理体系职能分配表（注：▲ 负责部门； △ 相关部门）： 36
附录五-程序文件清单 41

操作安全
1. 信息处理和通信设施的系统活动须具备成文的制度规范，例如备份管理、软件管理、设备管理、介质处理和防病毒及恶意软件管理等。应当为所有的信息处理设施建立必要的管理和操作职责及制度。
2. 确保每一个信息系统都能够识别容量要求，确保在必要时能够对系统的可用性和效率进行及时评估和改进。对系统未来容量的推测应考虑到新业务的开展、系统自身发展要求以及当前的信息处理能力和未来发展的趋势。
3. 建立有效的计算机病毒预防及查杀机制，实施防止恶意软件的侦查与防护控制，并提高员工的防范意识。
4. 根据备份策略对数据进行备份并定期对备份数据进行有效性测试。
5. 在选用介质时应当考虑备份的信息需要保存的周期长短，保存信息的存储介质包括硬盘、磁带、U盘、可移动硬件驱动器、CD、DVD和打印介质等。储存介质的管理人员应检查和标记所有的储存媒介，为使存储介质中的数据和系统文件免遭未授权泄露、篡改和破坏，应建立关于存储介质使用、保存、删除和销毁的操作策略和相关制度。
6. 应制定处置、处理、存储与分类一致的信息与其通信的管理制度。并按照所设置的分类级别，处置和标记所有介质。明确防止未授权人员访问的限制要求，并根据制造商的存储规范来保存介质，同时，清晰地标记数据的所有拷贝，以引起数据所有者的关注。
7. 应建立日志保护的管理制度以防止日志保存设施被未授权更改和出现操作问题，重要的审计日志需要被存档保存，审计日志包括用户ID、日期、时间和关键事态等细节，以及系统配置、特殊权限、系统实用工具和应用程序的使用。

A.11 物理和环境安全
A.11.1 A.11.1.1 物理安全边界 结合ISMS范围文件，访问行政部等相关部门，了解组织的物理边界控制、出入口控制、办公室防护等措施和执行情况。
安全区域 A.11.1.2 物理入口控制 如调阅监控录像资料等。
A.11.1.3 办公室、房间和设施的安全保护
A.11.1.4外部和环境威胁的安全防护 询问、验证组织防止火灾、洪水、地震、爆炸和其他形式的灾害的防范情况。
A.11.1.5 在安全区域工作 询问、验证组织安全区域内的物理防护。
A.11.1.6 公共访问、交接区安全 询问、验证组织公共访问、交接区内的防护措施
A.11.2 A.11.2.1 设备安置和保护 询问、验证组织设备安置和保护措施。查阅信息安全管理小组管理规定等相关文件。
设备安全 A.11.2.2 支持性设施 询问、验证组织支持性设施（例如供水、供电、温度调节等）的运行情况。查阅信息安全管理小组记录等。
A.11.2.3 布缆安全 询问在线运维人员等相关部门在布线方面是否符合相关国家标准，并验证。
A.11.2.4 设备维护 询问、验证组织设备维护情况，查阅设备维护记录。
A.11.2.5组织场所外的设备的安全 询问、验证组织对场所外的设备的安全保护措施。
A.11.2.6资产的移动 询问、验证对资产的移动的安全防护措施。
A.11.2.7设备的安全处置或再利用 询问、验证电脑等设备报废后的处理流程，是否满足规定的要求。
A.11.2.8无人值守的用户设备 询问、验证无人值守的用户设备的安全措施情况。
A.11.2.9清空桌面和屏幕策略 检查、验证清空桌面和屏幕策略执行情况。

公司建立的体系文件由四个层次的文件组成，它们分别是：
1）手册：阐述了体系的方针和目标、体系的范围、组织结构和职责权限，同时描述了体系的主体文件（程序文件），是体系总纲文件和必须长期遵循的法规；手册由信息安全管理会控制。
2）程序文件：规定了实施与体系要素有关的各项活动的途径和方法，是各项活动得以有效实施的保障；程序文件由管理者代表控制。
3）作业指导、规章制度：是现场或岗位使用的详细工作文件，是程序文件的支撑和补充性文件；作业指导、规章制度由管理者代表控制。
4）记录、表格、报告：程序及各种规定的具体执行记录。由各部门控制。