信息安全管理手册.doc

信息安全管理手册

北京市水务信息管理中心
2007年9月10日
目录
1. 信息安全管理手册颁布令 3
2. 信息安全手册说明和管理 3
3. 目的 5
4. 适用范围 5
5. 引用标准 5
6. 术语和定义 5
7. 信息安全管理体系 5
. 总要求 5
. 建立和管理ISMS 6
. 建立ISMS 6
. ISMS范围 6
. ISMS目标 6
. ISMS方针 6
. ISMS策略 8
. 风险评估方法 9
. 风险处理方法 9
. 选择控制目标和措施 9
. 适用性说明 9
. 实施和运行ISMS 10
. 信息安全组织机构 10
. 体系实施和运行 10
. 监视和评审ISMS 11
. 保持和改进ISMS 12
. 文件要求 12
. 总则 12
. 文件控制 13
. 记录控制 13
8. 管理职责 14
. 管理承诺 14
. 资源管理 14
. 提供资源 14
. 能力、意识和培训 15
9. 内部ISMS审核 15
10. ISMS管理评审 16
. 总则 16
. 评审输入 17
. 评审输出 17
11. ISMS改进 18
. 持续改进 18
. 纠正措施 18
. 预防措施 18
信息安全管理手册颁布令
为防范一切来自内部或外部、蓄意或意外的信息安全风险,保护水务信息管理中心的信息资产,依据ISO27001:2005《信息安全管理体系要求》,水务信息管理中心编制了《信息安全管理手册》2007年第一版,经评审定稿,现予以发布实施。
水务信息管理中心依据ISO27001:2005《信息安全管理体系要求》建立了信息安全管理体系,以保证水务信息管理中心的信息安全目标和方针的实现。
本手册是水务信息管理中心信息安全管理体系的核心文件,是实施信息安全管理的纲领和行动准则,水务信息管理中心的各个部门要组织全体员工认真学习,全面贯彻执行,确保信息安全管理体系的有效运行。
本手册可用于对外提供信息安全保证。
《信息安全管理手册》自年月日起生效,水务信息管理中心原有与《信息安全管理手册》相违背的文件同时废止。
现任命水务信息管理中心为管理者代表,负责信息安全管理体系的建立、完善以及内部审核工作,并对本手册的有效实施负责,同时负责就信息安全管理体系的有关事宜与外部的联络工作。
水务信息管理中心主任:
年月日
信息安全手册说明和管理
1、说明
《信息安全管理手册》依据ISO27001:2005《信息安全管理体系要求》并结合水务信息管理中心具体情况编写而成。在《信息安全管理手册》中阐明了水务信息管理中心的信息安全方针和目标,对信息安全管理体系做了概括性叙述,是
水务信息管理中心对外实施信息安全保证、对内进行信息安全管理的纲领性文件。
《信息安全管理手册》所采用的条款与ISO27001:2005《信息安全管理体系要求》中的条款编写一致,并结合水务信息管理中心特点编写了程序文件、作业指导书和记录文件,形成了水务信息管理中心的信息安全管理标准,使信息安全管理体系有章可循、有法可依。
《信息安全管理手册》适用于水务信息管理中心所有的信息资产。
2、管理
通过控制信息安全管理手册的编制、审核、发放、更改、保管和回收等,确保各部门、各岗位使用信息安全管理手册的现行有效版本。
《信息安全管理手册》的编写由水务信息管理中心主任授权管理者代表全权负责,并指定管理者代表组织进行手册的编写工作。
《信息安全管理手册》由水务信息管理中心主任批准、签署发布和规定实施日期。
《信息安全管理手册》的发放和回收工作由管理者代表负责。
受控的信息安全管理体系文件发放须列发放清单,由管理者代表批准。经批准的文件持有者或部门,不得擅自对外交流、发放和外送。
非受控文件,可发给对外交流单位和个人,但须由使用部门申请,管理者代表批准和登记在册,方可发放。
《信息安全管理手册》的持有者若调离单位或不再从事相关工作时,管理者代表应及时收回手册,办理回收登记和注销手续。
《信息安全管理手册》的持有者,应爱护并妥善保管好本手册,保证其完整、清晰,不得遗失、损坏。
《信息安全管理手册》的更改程序和方法按《文件控制程序》执行。
目的
为了建立、健全水务信息管理中心信息安全管理体系(简称ISMS),确定信息安全方针和目标,对信息安