信息安全管理體系實施案例及文件集

0 案例介紹
0.1 概述
0.2 組織架構(gòu)
0.3 業(yè)務(wù)介紹
0.4 信息系統(tǒng)
1 實施流程
1.1 啟動項目
1.1.1 定義初始目標與范圍
1.1.2 獲得管理者正式批準
1.1.3 確定推進責任人
1.1.4 召開項目啟動會議
1.2 定義ISMS范圍
1.2.1 定義責任范圍
1.2.2 定義物理范圍
1.2.3 完成范圍概要文件
1.3 確立ISMS方針
1.3.1 制定ISMS方針
1.3.2 準備ISMS方針文件
1.4 進行業(yè)務(wù)分析
1.4.1 定義基本安全要求
1.4.2 建立信息資產(chǎn)清單
1.5 評估安全風險
1.5.1 確定風險評估方法
1.5.2 實施風險評估
1.6 處置安全風險
1.6.1 確定風險處理方式
1.6.2 選擇控制措施
1.7 設(shè)計
1.7.1 設(shè)計安全組織機構(gòu)
1.7.2 設(shè)計文件和記錄控制要求
1.7.3 設(shè)計信息安全培訓
1.7.4 設(shè)計控制措施的實施
1.7.5 設(shè)計監(jiān)視和測量
1.7.6 設(shè)計內(nèi)部審核
1.7.7 設(shè)計管理評審
1.7.8 設(shè)計文件體系
1.7.9 制定詳細的實施計劃
1.8 實施
1.8.1 執(zhí)行實施計劃
1.8.2 實現(xiàn)監(jiān)視和測量
1.9 進行內(nèi)部審核
1.9.1 審核策劃
1.9.2 現(xiàn)場審核
1.9.3 審核結(jié)果
1.9.4 審核后續(xù)
1.10 進行管理評審
1.10.1 評審策劃
1.10.2 管理評審實施
1.11 持續(xù)改進
2 風險管理
2.1 設(shè)計風險管理
2.1.1 概述
2.1.2 可參考方法
2.1.3 設(shè)計風險管理方法
2.1.4 設(shè)計相關(guān)文件
2.2 典型風險評估文件的編寫
2.2.1 信息資產(chǎn)分類分級規(guī)定
2.2.2 資產(chǎn)識別清單(記錄)
2.2.3 風險評估方案
2.2.4 風險評估程序
2.2.5 風險評估報告
2.2.6 風險處理程序
2.2.7 風險處理計劃
3 文件設(shè)計
3.1 設(shè)計文件層次
3.2 設(shè)計文件體系
3.2.1 文件清單
3.2.2 設(shè)計編寫流程
3.2.3 文件與標準映射
3.3 設(shè)計文件格式
3.3.1 編寫原則
3.3.2 文件結(jié)構(gòu)示例
3.3.3 文件格式示例
3.3.4 正文內(nèi)容示例
3.3.5 文件編號示例
3.3.6 字體字號示例
4 文件編寫
4.1 典型一級文件編寫
4.1.1 信息安全管理體系方針
4.1.2 信息安全管理手冊(可選)
4.1.3 信息安全管理體系職責
4.2 典型二級文件編寫(程序類)
4.2.1 文件管理程序
4.2.2 記錄管理程序
4.2.3 信息標識與處理程序
4.2.4 信息安全測量與審計程序
4.2.5 內(nèi)部審核程序
4.2.6 管理評審程序
4.2.7 糾正和預(yù)防措施控制程序
4.2.8 信息安全事件管理程序
4.2.9 業(yè)務(wù)連續(xù)性管理程序
4.3 典型二級文件編寫(規(guī)定類)
4.3.1 環(huán)境設(shè)施與物理設(shè)備管理規(guī)定
4.3.2 信息系統(tǒng)安全使用規(guī)定
4.3.3 用戶訪問控制管理規(guī)定
4.3.4 信息系統(tǒng)安全操作規(guī)定
4.3.5 信息系統(tǒng)安全設(shè)計規(guī)定
4.3.6 數(shù)據(jù)備份管理規(guī)定
4.3.7 軟件安全管理規(guī)定
4.3.8 介質(zhì)安全管理規(guī)定
4.3.9 公共可用信息管理規(guī)定
4.3.10 知識產(chǎn)權(quán)管理規(guī)定
4.3.11 法律法規(guī)符合性規(guī)定
4.4 典型三級文件編寫
4.4.1 人員信息安全管理指南
4.4.2 員工培訓管理指南
4.4.3 數(shù)據(jù)備份操作指南
4.4.4 業(yè)務(wù)連續(xù)性計劃編寫指南
4.4.5 用戶標識與口令管理指南
4.4.6 機房管理指南
4.4.7 VPN安全使用手冊
5 記錄設(shè)計
5.1 典型記錄編寫(申請表單類)
5.1.1 用戶標識申請表
5.1.2 人員需求申請表
5.1.3 員工離職申請表
5.1.4 培訓申請表
5.1.5 軟件使用許可申請表
5.1.6 IT設(shè)備申請表
5.1.7 光盤刻錄申請表
5.1.8 網(wǎng)絡(luò)連接申請表
5.1.9 資產(chǎn)采購調(diào)配申請表
5.1.10 第三方服務(wù)變更申請表
5.1.11 機房出人授權(quán)申請單
5.1.12 公共可用信息發(fā)布申請單
5.2 典型記錄編寫(登記、記錄表單類)
5.2.1 訪客登記表
5.2.2 培訓登記表
5.2.3 機房出入登記表
5.2.4 軟件使用狀況登記表
5.2.5 數(shù)據(jù)備份登記表
5.2.6 介質(zhì)存放登記表
5.2.7 IT設(shè)備帶出登記表
5.2.8 IT設(shè)備借用登記表
5.2.9 IT設(shè)備領(lǐng)用登記表
5.2.10 IT設(shè)備作廢登記表
5.2.11 重要知識產(chǎn)權(quán)登記表
5.2.12 機房巡檢記錄單
5.2.13 服務(wù)器與網(wǎng)絡(luò)設(shè)備檢查記錄單
5.2.14 測試數(shù)據(jù)記錄單
5.3 典型記錄編寫(其他類)
5.3.1 員工崗位調(diào)動表
5.3.2 員工辭退表
5.3.3 培訓簽到表
5.3.4 年度培訓計劃
5.3.5 保密性協(xié)議評審計劃
5.3.6 筆記本電腦保密協(xié)議
5.3.7 信息安全事態(tài)報告單
5.3.8 信息安全事件報告單
5.3.9 IT設(shè)備故障報告單
5.3.10 公共可用信息檢查表
參考文獻