惠州ISO27001认证咨询 ISO27000认证申请流程

1. 目的和范围
2. 引用文件
3. 职责和权限
4. 内部组织及沟通
5. 与监管机构联系
6. 与特定利益集团联系
7. 项目管理中的信息安全
8. 笔记本电脑使用规定
9. 远程访问管理
9.1. 远程接入的用户认证
9.2. 远程接入的审计
10. 实施策略
11. 相关记录
1. 目的和范围
建立完善内外组织系统，保证内外部组织渠道的畅通，及时了解体系运行情况，确保体系有效运行，促进公司业务组织的安全管理制度。
本规定适用于公司业务组织的安全管理，包括：
1) 内部之间的组织；
2) 信息系统与外部系统之间的组织；
3) 与供应商、客户等相关单位和个人间的组织。
2. 引用文件
1) 下列文件中的条款通过本规定的引用而成为本规定的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励各部门研究是否可使用这些文件的版本。凡是不注日期的引用文件，其版本适用于本标准。
2) GB/T 22080-2016/ISO/IEC 27001:2013 信息技术-安全技术-信息安全管理体系要求
3) GB/T 22081-2016/ISO/IEC 27002:2013 信息技术-安全技术-信息安全管理实施细则
3. 职责和权限
1) 信息安全工作小组
 内部沟通职责：维持内部的信息沟通；向公司内部人员传达与信息安全有关的法规资料及政策；接收内部人员对信息安全管理体系的意见并采取相应行动。
2) 信息安全工作小组成员：收集员工对信息安全方面的意见，并向信息安全工作小组组长反映；协助宣传及教育员工，使员工熟悉有关信息安全方面的知识。
3) 部门负责人：确保部门内容信息能及时有效沟通。对于公司内、外部所反馈的信息安全方面的意见、建议进行审查，不断的改进、完善信息安全管理体系。

1.人员选拔
人力资源部应严格按照各岗位的《岗位说明书》对应聘人员进行认真筛选，应聘人员面试时需携带简历并填写《应聘登记表》，面试官应填写相应的《面试评估表》。
2.背景调查
人力资源部对拟录用的新员工根据岗位的重要程度进行身份、背景、专业资格和等方面进行背景调查，详见《背景调查管理规定》。背景调查如无问题，正式录用审批，详见《新员工录用审批表》。录用审批完成，给拟录用的新员工发送《录用邀请函》。
3.内部选拔
从事关键岗位或负责核心系统、机房等重要区域的人员，**从公司内部人员选拨，应具备认真负责的工作态度、较高的职业道德水准；
4.入职
人力资源部负责员工的入职手续，参见《新员工入职手续清单》，并签署《劳动合同书》以及《知识产权及保密协议》。《知识产权及保密协议》的保密条款的要求应根据公司业务的变更由法务主管及时进行评审修订。《劳动合同》一式两份，员工本人及人力资源部各保存一份。临时雇用人员、客户以及合作方等第三方人员在与公司签订的合同中应约定相关人员的信息安全职责。

（1） 信息安全管理方针、目标的适用性；
（2） 管理体系的审核结果，包括内审、外审结果及其它形式的审核结果；
（3） 相关利益方的反馈，包括客户的意见投诉、相关方的投诉或意见等；
（4） 用于改善信息安全管理体系性能和有效性的技术、产品和程序，包括信息安全管理方案的确定、执行等；
（5） 改进、预防和纠正措施的状况，包括对内部审核和日常发现的不合格项采取的纠正和预防措施的实施及其有效性的监控结果；
（6） 以前风险评估中没有充分表达的威胁和薄弱点，以及风险的重新评估；
（7） 以往管理评审跟踪措施的实施及有效性；
（8） 可能影响到信息安全管理体系的变更，包括部门组织结构、资源配置发生重大变化、信息安全技术发生变化、部门的商业目标或商业运作流程发生变化、信息安全法律、法规发生变化、发生重大信息安全事件等；
（9） 改进建议。

项目管理中的信息安全
作为项目的一部份，信息安全需整合到组织的项目管理方法中，以确保识别并强调了信息安全风险。所有项目，无论其特征是什么，例如软件开发过程、IT、设施管理和其他支持过程等方面的项目，均需要使用以下的信息安全控制措施进行管理：
1） 重点项目启动前对人员和技术进行风险评估及合同评估；
2） 根据客户要求签订保密协议；
3） 信息安全目的被纳入项目目的；
4） 信息安全作为所采用的项目管理方法各个阶段的一部分；
5） 在所有项目中需定期评审信息安全问题。

http://iso9001fsc1.b2b168.com