信息安全管理方針和策略

1、1、信息安全管理方針和策略范圍公司依據(jù)ISOIEC27001:2013信息安全管理體系標(biāo)準(zhǔn)的要求編制《信息安全管理手冊》，并包括了風(fēng)險評估及處置的要求。規(guī)定了公司的信息安全方針及管理目標(biāo)，引用了信息安全管理體系的內(nèi)容。1.1規(guī)范性引用文件下列參考文件的部分或整體在本文檔中屬于標(biāo)準(zhǔn)化引用，對于本文件的應(yīng)用必不可少。凡是注日期的引用文件，只有引用的版本適用于本標(biāo)準(zhǔn)；凡是不注日期的引用文件，其最新版本（包括任何修改）適用于本標(biāo)準(zhǔn)。ISOIEC

2、27000，信息技術(shù)——安全技術(shù)——信息安全管理體系——概述和詞匯。1.2術(shù)語和定義ISOIEC27000中的術(shù)語和定義適用于本文件。1.3公司環(huán)境1.3.1理解公司及其環(huán)境公司確定與公司業(yè)務(wù)目標(biāo)相關(guān)并影響實現(xiàn)信息安全管理體系預(yù)期結(jié)果的能力的外部和內(nèi)部問題，需考慮：明確外部狀況：?社會、文化、政治、法律法規(guī)、金融、技術(shù)、經(jīng)濟(jì)、自然和競爭環(huán)境，無論國際、國內(nèi)、區(qū)域，還是本地的；?影響組織目標(biāo)的主要動力和趨勢；?與外部利益相關(guān)方的關(guān)系，外部

3、利益相關(guān)方的觀點和價值觀。明確內(nèi)部狀況：?可能性和（或）后果的時間范圍；?風(fēng)險程度如何確定；?利益相關(guān)方的觀點；?風(fēng)險可接受或可容許的程度；?多種風(fēng)險的組合是否予以考慮，如果是，如何考慮及哪種風(fēng)險組合宜予以考慮。1.3.2理解相關(guān)方的需求和期望信息安全管理小組應(yīng)確定信息安全管理體系的相關(guān)方及其信息安全要求，相關(guān)的信息安全要求。對于利益相關(guān)方，可作為信息資產(chǎn)識別，并根據(jù)風(fēng)險評估的結(jié)果，制定相應(yīng)的控制措施，實施必要的管理。相關(guān)方的要求可包括

4、法律法規(guī)要求和合同義務(wù)。1.3.3確定信息安全管理體系范圍本公司ISMS的范圍包括a)物理范圍：b)業(yè)務(wù)范圍：計算機(jī)軟件開發(fā)，計算機(jī)系統(tǒng)集成相關(guān)信息安全管理活動。相關(guān)信息安全管理活動。c)內(nèi)部管理結(jié)構(gòu)：辦公室、財務(wù)部、研發(fā)部、商務(wù)部、工程部、運維部。d)外部接口：向公司提供各種服務(wù)的第三方1.3.4信息安全管理體系本公司按照ISOIEC27001:2013標(biāo)準(zhǔn)的要求建立一個文件化的信息安全管理體系。同時考慮該體系的實施、維持、持續(xù)改善，