信息化服务中心
信息安全 总体 方针
项目名称
XXX 安全运维服务项目 客户名称
XXX 信息化服务中心 实施地点
XXX 信息化服务中心 实施单位
XXX 络安信息技术有限 实施时间
XXX 年 7 月 17 日星期二
文档修订情况
版本 修订记录 日期 修订 审核 批准 v1.0 制作文档 XXX-07-17 XXX
V2.0 修改信息安全管理委员会框架 XXX-07-20 XXX
目录
1
目的和适用范围 ...................................................................................................................................... 3
2
信息安全定义 .......................................................................................................................................... 3
3
信息安全方针 .......................................................................................................................................... 3
4
安全管理机构 .......................................................................................................................................... 3
4.1 信息安全管理委员会 ...................................................................................................................................... 3
5
职责......................................................................................................................................................... 4
6
信息安全管理体系实施框架 ................................................................................................................... 4
7
重要原则、标准和符合性要求 ................................................................................................................ 5
8
评审......................................................................................................................................................... 5
1 目的和 适用 范围 信息安全管理体系方针指明了 XXX 信息化服务中心的信息安全目标和方向，并可以确保信息安全管理体系被充分理解和贯彻实施。为明确信息安全管理体系方针，特制定本文件。此外，本文件还描述了 XXX 信息化服务中心的信息安全管理体系的范围。
本文件适用于 XXX 信息化服务中心信息安全管理体系涉及的所有人员和组织的全部重要信息资产及过程。
2 信息安全定义 信息安全是指保证信息的保密性、完整性、可用性；另外也可包括诸如真实性、可核查性、不可否认性和可靠性等特性。
信息是对 XXX 信息化服务中心业务至关重要的一种资产，因此需要加以适当的保护。在业务环境互连日益增加的情况下这一点显得尤为重要。信息安全可防止信息受到各种威胁，以确保业务连续性，是业务风险最小化，投资回报和商业机遇最大化。
3 信息安全方针 XXX 信息化服务中心信息安全方针为：统一规划建设、全面综合防御、技术管理并重、保障运营安全。
4 安全管理机构 根据 ISO/IEC 27001:2005 的要求，为了确保信息安全工作有一个明确的方向和获得可见的管理者支持，XXX 信息化服务中心设立以下信息安全管理机构。
4.1 信息安全管理委员会 信息安全管理委员会是 XXX 信息化服务中心信息安全管理工作的最高领导机构，承担以下方面的工作：
1) 审批信息安全方针和总体职责； 2) 审批信息安全的特殊方法和过程，如风险评估等； 3) 审批加强信息安全的重大举措； 4) 提供所需要的足够的资源； 5) 协调本 ISMS 和 XXX 信息化服务中心其他规章制度之间的关系。
信息安全委员会主席由 XXX 信息化服务中心负责人担任，常务副主席由 XXX 信息化服务中心任命（管理者代表）；信息安全管理委员会由相关部门的信息安全员组成。信息安全管理委员会主要工作为：在信息安全管理委员会主席/副主席的领导下，负责 XXX 信息化服务中心日常信息安全的管理与监督活动，并对相关部门提供指导和对需要培训的员工进行培训。
图-信息安全管理委员会组织机构框架图 5 职责 (1) 领导职责 XXX 信息化服务中心领导应具有以下方面的职责：
制定信息安全方针； 向 XXX 信息化服务中心员工传达满足信息安全目标和符合信息安全方针、法律法规要求的重要性； 主持 ISMS 的管理评审； 提供开发、实施、运行和维护 ISMS 所需的足够的资源； 决定可接受的风险级别。
(2) 员工职责 每一位员工或使用本 XXX 信息化服务中心信息的人员都要遵守本方针，都有保护XXX 信息化服务中心信息资产、系统和基础设施安全的职责。
每一位员工都应采取适当的措施（包括设置密码），保护其所负责的所有形式的机密信息在管理、使用、存储、处理和传输中的安全。
员工外出工作需要携带设备时，必须获得相关领导者的批准，并应采取相应的保护措施，防止丢失，防止损毁，确保信息安全。如：设备必须设置密码、不留在公共场所无人看管、不暴露于强电磁场等。
任何员工都有义务向其直接领导或信息安全管理委员会报告可能会危及密级信息安全的任何活动、行为和提出改进建议。
(3) 使用者职责 这里所说的使用者是指访问本 XXX 信息化服务中心密级信息的人员。
使用者必须获得授权、了解该信息的安全要求，并采取相应的安全保护措施。
如果已授权的使用者不了解其所要访问的信息的安全要求，那么他必须对该信息提供最高极限的保护。
使用者应小心保护其访问信息的密码、物理钥匙和ID卡，一旦发生密码泄露或钥匙、ID 卡丢失，应立即向其直接领导报告并承担相应责任。
6 信息安全管理体系实施框架
XXX 信息化服务中心要根据所要实现的信息安全目标选取适当的风险评估方法，并制定风险评估程序以持续适用于 XXX 信息化服务中心的信息安全管理体系。
信息安全风险在被识别后，应进行分析和评价，根据其结果，选取合适的控制措施，以满足风险评估和风险处理过程中所识别的需求。控制措施的选择还应考虑可接受风险的准则以及法律法规和合同要求。
本 XXX 信息化服务中心风险接受准则是：如果降低风险所付出的成本大于风险所造成的损失，则选择接受风险。
可接受的风险级别为：按照 XXX 信息化服务中心所采取的风险评估方法，风险共分 4级，可接受风险级别为低风险和一般风险，或者管理者批准接受的风险；较高风险和高风险不能接受。
7 重要原则、标准和符合性要求 法律法规和合同要求的符合性 XXX 信息化服务中心在建立和管理信息安全管理体系时，必须符合相关法律法规和合同的要求。
安全教育、培训和意识要求 所有分配有信息职责的人员必须具备执行所要求任务的能力，因此 XXX 信息化服务中心要确定这些人员所必要的能力，提供能力培训，必要时，可聘用有能力的人员以满足这些需求。同时要评价所提供的培训和所采取的措施的有效性，保持教育、培训、技能、经历和资格的记录。另外，XXX 信息化服务中心还要确保所有相关人员意识到其信息安全活动的适当性和重要性，以及如何为达到信息安全管理体系目标做出贡献。
业务持续性管理 为防止 XXX 信息化服务中心业务活动中断，保护关键业务过程免受重大失误或灾难的影响，以及确保它们的及时恢复，业务持续性管理计划必须考虑信息和信息安全的需求，对能引起业务流程中断的事态进行识别，连同这种中断发生的概率和影响，以及它们对信息安全的后果也要进行识别，确保在关键业务过程中断或失败后能够在要求的水平和要求的时间内恢复信息的可用性。
8 评审 此文件需要在 12 个月内定期通过管理评审等方式进行一次评审，当信息安全管理体系发生重大变化时，也应评审并根据评审结果适时更新，以维持其持续适用性。