ISO27001系统访问控制程序

合集下载

ISO27001信息网络访问控制程序

ISO27001信息网络访问控制程序1 目的为加强内部企业网、Internet网络及网络服务的管理，对内部和外部网络的访问均加以控制，防止未授权的访问给网络和网络服务带来的损害，特制定此程序。

2 范围本程序适用于内部企业网、Internet网络及网络服务的管理。

3 相关文件4 职责4.1 网络管理员负责对网络服务的开启与管理。

4.2 网络管理员负责审批与实施内网、外网的开启。

4.3 信息科技部内部员工必须遵守此程序，网络管理员有监督检查的责任。

4.4 文档管理员负责文档的收录与管理。

5 程序5.1 网络和网络服务使用策略5.1.1 IT信息科技部定期（每年）对机关办公楼各部（中心）人员的网络配置情况进行一次全面的普查和登记，填写《市行机关办公楼、内外网络接入申请单》备档，严格控制外网入网的人员数量，决不允许一机器登录双网（采用双网卡或双网线）的现象出现，登陆外网的计算机必须装有病毒查杀软件，确保现有的网络资源和网络安全。

5.1.2 IT各部（包括信息科技部）后续需要增加使用内外网结点数量，开展IT 业务，要填写《市行机关办公楼、内外网络接入申请单》如果需要某种网络服务的话请在“网络接入需求原因中体现”，经所在部门总经理签字后递交给信息科技部，由网络管理员实施并交由文档管理员进行备案。

5.1.3 申请使用Internet网，应当具备下列条件之一。

（1）IT开展的营业活动必须要通过网上查询交易的。

（2）助理以上的机关领导干部工作需要上网的。

（3）因工作需要，经部门总经理批准的本部门员工（不能超过员工总数的1/3）。

5.1.4 经批准允许登录内外网的工作人员不得从事下列危害计算机网络安全和信息安全的业务：（1）制作或者故意传播计算机病毒以及其他破坏性程序；（2）非法侵入计算机信息系统或者破坏计算机信息系统功能、数据和应用程序；（3）相关法律、行政法规所禁止的其他行为；（4）有损IT形象的行为；5.1.5 经批准允许登录Internet网络工作人员不得利用互联网制作、复制、查阅、发布、传播含有下列内容的信息；（1）外泄IT内部商业机密；（2）反对宪法所确定的基本原则的；（3）危害国家安全，泄露国家秘密，颠覆国家政权，破坏国家统一的；（4）损害国家荣誉和利益的；（5）煽动民族仇恨、民族歧视，破坏民族团结的；（6）破坏国家宗教政策，宣扬邪教和愚昧迷信的；（7）散布谣言，扰乱社会秩序，破坏社会稳定的；（8）散布淫秽、色情、赌博、暴力、凶杀、恐怖或者教唆犯罪的；（9）侮辱或者诽谤他人，侵害他人合法权益的；（10）法律、行政法规禁止的其他内容。

2020最新ISO27001信息安全管理体系全套文件(手册+程序文件+作业规范)

最新ISO27001信息安全管理体系全套文件（手册+程序文件+作业规范）系程序文件目录信息安全管理体系作业文件目录1 适用本程序适用于公司信息安全事故、薄弱点、故障和风险处置的管理。

2 目的为建立一个适当信息安全事故、薄弱点、故障风险处置的报告、反应与处理机制，减少信息安全事故和故障所造成的损失，采取有效纠正与预防措施，正确处置已经评价出风险，特制定本程序。

3 职责3.1 各系统归口管理部门主管相关安全风险的调查、处理及纠正措施管理。

3.2 各系统使用人员负责相关系统安全事故、薄弱点、故障和风险的评价、处置报告。

4 程序4.1 信息安全事故定义与分类：4.1.1 信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等原因直接造成下列影响（后果)之一，均为信息安全事故：a) 企业秘密、机密及国家秘密泄露或丢失；b) 服务器停运4 小时以上；c) 造成信息资产损失的火灾、洪水、雷击等灾害；d) 损失在十万元以上的故障/事件。

4.1.2 信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等原因直接造成下列影响（后果)之一，属于重大信息安全事故：a) 企业机密及国家秘密泄露；b) 服务器停运8 小时以上；c) 造成机房设备毁灭的火灾、洪水、雷击等灾害；d) 损失在一百万元以上的故障/事件。

4.1.3 信息安全事件包括：a) 未产生恶劣影响的服务、设备或者实施的遗失；b) 未产生事故的系统故障或超载；c) 未产生不良结果的人为误操作；d) 未产生恶劣影响的物理进入的违规e) 未产生事故的未加控制的系统变更；f) 策略、指南和绩效的不符合；g) 可恢复的软件、硬件故障；h) 未产生恶劣后果的非法访问。

4.2 故障与事故的报告渠道与处理4.2.1 故障、事故报告要求故障、事故的发现者应按照以下要求履行报告任务：a) 各个信息管理系统使用者，在使用过程中如果发现软硬件故障、事故，应该向该系统归口管理部门报告；如故障、事故会影响或已经影响线上生产，必须立即报告相关部门，采取必要措施，保证对生产的影响降至最低；b) 发生火灾应立即触发火警并向安全监督部报告，启动消防应急预案；c) 涉及企业秘密、机密及国家秘密泄露、丢失应向行政部报告；d) 发生重大信息安全事故，事故受理部门应向信息安全管理者代表和有关公司领导报告。

iso27001体系标准详解

iso27001体系标准详解
ISO27001是一个信息安全管理体系（ISMS）标准，它规定了建立、实
施和维护信息安全管理体系的要求。

该标准适用于所有类型的组织，
包括企业、政府机构、教育机构等，不受地域、产业类别和公司规模
限制。

ISO27001体系标准详细规定了信息安全管理体系的建立、实施和维护
过程，包括以下内容：
1. 信息安全方针和目标：组织应制定明确的信息安全方针和目标，以
确保组织的信息安全与业务目标相一致。

2. 组织架构和职责：组织应建立适当的信息安全组织架构和职责分工，以确保信息安全工作的有效实施。

3. 资产管理：组织应建立资产管理制度，确保对组织的重要资产进行
全面、准确的管理和保护。

4. 访问控制：组织应建立访问控制机制，确保只有授权人员才能访问
组织的敏感信息和重要资产。

5. 密码管理：组织应建立密码管理制度，确保密码的安全性和保密性。

6. 物理安全：组织应采取必要的物理安全措施，如门禁系统、监控摄
像头等，以确保组织资产的安全。

7. 网络安全：组织应建立网络安全管理制度，包括网络安全策略、网
络安全监测和网络安全事件应对等，以确保组织的网络安全。

8. 应用程序安全：组织应建立应用程序安全管理制度，包括应用程序安全策略、应用程序漏洞管理等，以确保应用程序的安全性。

9. 数据安全：组织应建立数据安全管理制度，包括数据加密、数据备份和恢复等，以确保数据的机密性和完整性。

10. 应急响应：组织应建立应急响应机制，包括应急预案、应急演练和应急响应等，以确保组织在发生信息安全事件时能够及时、有效地应对。

ISO270012013访问控制制度

XXXXXX软件有限公司人性化科技提升业绩访问控制制度目录1.目的和范围 ......................................................................................................................................................................... 3.2.引用文件 ...............................................................................................................................................................................3.3.职责和权限 .......................................................................................................................................................................... 3.4.用户管理 ............................................................................................................................................................................... 3.4.1.用户注册 ............................................................................................................................................................................... 3.4.2.用户口令管理..................................................................................................................................................................... 4.5.权限管理 ............................................................................................................................................................................... 4.5.1.用户权限管理原则 (4)5.2.用户访问权限设置步骤 (5)6.操作系统访问控制 (5)6.1.安全登录制度..................................................................................................................................................................... 5.6.2.会话超时与联机时间的限定 (5)7.应用系统访问控制 (6)8.In ternet 访问控制 ....................................................................................................................................................... 7.9.网络隔离 ............................................................................................................................................................................... 7.10.信息交流控制措施....................................................................................................................................................... 7.11.远程访问管理 ................................................................................................................................................................ 8.10.1.远程接入的用户认证 (8)10.2.远程接入的审计............................................................................................................................................................. 9.12.无线网络访问管理........................................................................................................................................................ 9.13.笔记本使用及安全配置规定 (9)14.外部人员使用笔记本的规定 (10)15.实施策略 (10)16.相关记录 (10)1.目的和范围通过控制用户权限正确管理用户，实现控制办公网系统和应用系统访问权限与访问权限的分配，防止对办公网系统和应用系统的非法访问，防止非法操作，保证生产系统的可用性、完整性、保密性，以及规范服务器的访问。

ISO27001-软件开发安全控制程序

ISO27001-软件开发安全控制程序软件开发安全控制程序（依据ISO27001标准）1. 目的为规范公司软件开发的安全管理，包括软件系统从计划、需求、设计、开发、测试、部署过程中的安全管理，特制定本程序。

2. 范围本程序适用于公司的软件系统在需求分析、开发测试、上线运行阶段的安全管理，包括软件外包开发的安全管理。

3. 职责与权限3.1 技术部负责公司相关信息系统的软件开发、外包软件开发过程的安全管理，以及软件开发相关文档及软件源代码的归档保管。

3.2 其他部门其他相关部门协助技术部进行软件/系统需求收集、分析、系统测试等工作。

4. 相关文件a)《软件控制程序》5. 术语定义无6. 控制程序6.1 软件开发任务提出公司根据客户反馈和调研，编写用户需求分析报告，经过公司总经理批准后，交付技术部进行设计开发。

6.2 软件开发的策划技术部在接到用户需求后，首先要判断可行性，如果接受，技术部根据用户申请书和要求部门共同协商，编写软件设计开发计划，明确设计开发的各个阶段评审与测试要求及设计开发人员的职责与权限，设计开发计划方案由要求部门和技术部负责人共同批准后予以实施；必要时，如果对计划进行更改也需要获得双方经理共同批准。

软件设计开发计划应包括以下内容：a)软件功能要求；b)详尽的业务流程；c)信息安全要求；d)时间进度要求；e)设计开发的各个阶段评审与测试要求；f)设计开发人员的职责与权限；g)其它要求，例如在复杂系统环境下，应考虑业务信息系统互联相关的信息，并考虑安全保护。

6.3 软件开发方案的评审及开发过程控制6.3.1技术部应根据软件设计开发计划的要求，编制软件设计开发方案，由技术部负责人对方案的技术可行性及系统的安全性进行确认。

6.3.2对于大型软件开发方案应由设计开发人员、应用部门（用户）人员、内部IT 方面的专家共同进行评审。

方案确认与审批的结果及任何必要的措施应予以记录。

6.3.3软件设计开发方案应包括以下内容：a)确定软件开发工具；b)应用系统功能；c)业务实现流程；d)输入数据确认要求；e)必要时，系统内部数据确认检查的要求；f)输出数据的确认要求；g)应用系统的安全要求；h)对系统硬件配置的要求；i)系统验收标准。

ISO27001文件-(访问控制方针)

访问控制方针（版本号：V1.0）
更改控制页
目录
1目的 (1)
2范围 (1)
3术语定义 (1)
4内容 (1)
5相关文件 (2)
6相关记录 (2)
1目的
访问控制方针规定了逻辑访问与物理访问控制的基本原则和要求，对于访问控制所涉及的主体标识、鉴别、授权以及可追溯性的管理，都要遵守本方针。

2范围
本方针适用于公司内部以及第三方的所有访问过程。

3术语定义
访问控制：根据主体和客体之间的访问授权关系，控制访问的过程。

4内容
1)访问控制基本规则是：除明确允许执行情况外一般必须禁止；
2)访问控制必须遵照最小权限原则；
3)访问控制规则参照《信息资产管理规定》的要求；
4)对任何信息系统的访问都必须通过唯一的帐号来标识访问主体；
5)对任何信息系统的访问都必须经过对访问主体帐号合法性的鉴别方可使用
信息系统；
6)对任何信息系统的访问都必须经过授权，且权限分配有正式的记录；
7)对于重要信息系统的权限分配应该满足职责分离原则；
8)访问主体的访问权限应该具有时效性，当访问主体发生变化时应该及时更
改；
9)对重要服务器的访问权限的分配应该定期进行回顾和审查，确保访问主体
访问权限的合理性；
10)应该记录与访问操作相关的任何活动，并且要妥善保存日志记录，以备追
溯访问主体的访问行为。

具体访问控制操作参见《访问控制管理规定》。

5相关文件
《访问控制管理规定》
《信息资产管理规定》
6相关记录
无。

ISO27001：2013信息系统访问与使用监控管理程序

XXX科技有限公司
信息系统访问与使用监控管理程序
编号：ISMS-B-34
版本号：V1.0
编制：日期：
审核：日期：
批准：日期：
受控状态
1 目的
为了加强信息系统的监控，对组织内信息系统安全监控和日志审核工作进行管理，特制定本程序。

2 范围
本程序适用于信息系统安全监控和日志审核工作的管理。

3 职责
3.1 综合管理部
负责对信息系统安全监控和日志的审核管理。

4 相关文件
《信息安全管理手册》
《信息安全事件管理程序》
5 程序
5.1 日志
综合管理部负责生成记录信息系统网络设备运行状况、网络流量、用户活动、例外和信息安全事件的监测日志，并保存三个月，以支持将来的调查和访问控制监视活动。

系统管理员不允许删除或关闭其自身活动的日志。

日志记录设施以及日志信息应该被保护，防止被篡改和未经授权的访问。

应防止对日志记录设施的未经授权的更改和出现操作问题，包括：
a)对记录的信息类型的更改；
b)日志文件被编辑或删除；
c)超过日志文件媒介的存储容量，导致事件记录故障或者将以往记录的事
件覆盖。

ISO27001-2022程序文件之信息系统建设管理程序

17、信息系统建设管理程序###-ISMS-0306-20231 目的为了对公司信息系统建设的策划、实现、测试、交付验收等进行有效的控制。

2 范围本程序规定了公司信息系统建设的策划、实现、测试、交付验收等控制要求，适用于信息系统的建设控制。

3 职责3.1技术部负责信息系统建设的策划、实现、测试、交付验收管理。

3.3 各部门负责在业务范围内提出信息系统建设需求及其安全需求。

4 程序4.1 信息系统建设策划4.1.1信息系统的建设按照项目管理来开展工作，项目策划主要为获得信息系统的需求，主要包括以下内容：项目功能要求、信息安全要求、时间进度要求、测试与验收要求、其他要求等。

可以通过信息系统安全需求清单或协议进行明确。

4.2 信息系统建设实现4.2.1组织进行信息系统建设实现一般通过外购、外包开发、自主开发等形式，按照如下的控制方式：✧信息系统外购按照4.3来控制；✧信息系统外包开发按照4.4来控制；✧信息系统自主开发按照《软件开发管理制度》。

4.3 信息系统外购4.3.1 信息系统外购应该遵守《组织环境及相关方信息安全管理程序》。

供应商必须在信息系统需求、实现过程、测试与交付验收过程中关注信息安全要求，确保满足相关要求。

4.4信息系统外包开发控制4.4.1 项目外包应该遵守《信息处理设施管理程序》。

外包方应明确项目设计开发的安全技术要求，由技术部审核，报分管公司负责人批准后，技术部与外包方签订外包合同，如涉及公司秘密，还应签订保密协议，在协议中明确规定安全保密要求。

44.2 项目投入使用前，应由外包方及我方技术人员共同进行测试，测试结束应填写《测试报告》，测试符合技术协议要求且经委托部门认可后，方可投入试运行；试运行结束后且使用中发现的问题已经得到圆满解决后，双方进行正式的验收，签署《项目验收报告》。

4.4.3 外包方在我公司进行设计开发活动，应事先得到委托部门负责人的授权，签订协议，有我方人员在场的情况下方可进行。

ISO27001:2022作业文件之访问权限管理规范

访问权限管理规范1.目的主要是为了保障公司信息的授权访问，规范用户和权限访问管理，防止对网络服务和应用系统的未授权的访问。

2.适用范围适用于公司内部网络服务、应用系统的账户、口令与权限管理。

3.职责3.1信息中心负责对用户、口令与权限管理。

3.2资产管理员负责日常网络服务及应用系统访问权限的控制。

4.管理要求4.1账号与口令管理4.1.1一人一账号，以便将用户与其操作联系起来，使用户对其操作负责，禁止多人使用同一个账号。

4.1.2用户因工作变更或离开公司时，系统管理员要及时取消或者锁定其所有账号，对于无法锁定或者删除的用户账号采用更改口令等相应的措施规避该风险。

4.1.3系统管理员应每季度检查并取消多余的用户账号。

4.1.4所有计算机及系统用户在使用口令时应遵循以下原则：口令必须具有一定强度、长度和复杂度，长度不得小于8 位字符串，要求是字母和数字或特殊字符等两类字符混合，用户名和口令禁止相同。

✧保守口令的机密性，避免保留口令的字面记录，明文存储或明文网络传递；✧口令不要采用姓名、电话号码、生日等别人容易猜测或得到的口令；✧口令需要定期调整，重要服务器的口令不应由一人掌握。

✧任何时候有迹象表明系统或口令可能受到损害，就要更换口令。

4.1.5对应用系统及所部署的服务器的超级口令进行台账式管理。

4.1.6用户有义务保护自己账号与口令等秘密鉴别信息，秘密鉴别信息的使用符合公司相关规范要求。

4.1.7 个人计算机必须设置开机口令和操作系统管理员口令，并开启屏幕保护中的密码保护功能。

4.18 口令要及时更新，要建立定期修改制度，其中系统管理员口令修改间隔不得超过3 个月，并且不得重复使用前3 次以内的口令。

用户登录事件要有记录和审计，同时限制同一用户连续失败登录次数，一般不超过3 次。

4.2权限管理4.2.1资产管理员对信息的访问权限进行设置，添加该用户的相应访问权，设置权限，要再次确认，以保证权限设置正确。

ISO27001-2022程序文件之安全区域管理程序

12、安全区域管理程序###-ISMS-0201-20231 目的为明确公司安全区域及控制要求，防止非授权人员对公司生产经营场所的物理访问、损坏和干扰，有效保障公司的安全生产和工作稳定，特制订本程序。

2 范围本程序适用于公司安全区域的管理。

3 职责3.1 综合部拟定安全区域管理制定，确定部门安全区域的划分。

负责公司安全区域的日常安全管理工作。

3.2 相关部门负责本部门所管辖范围内安全区域的管理。

对进入办公区的员工及外来访客进行确认和控制。

负责对非正常进入安全区域的人员发生的突发事件进行上报、调查和处理。

4 程序4.1 安全区域4.1.1 公司安全区域分为重要安全区域和一般安全区域。

4.1.2 各部门应识别重要安全区域，建立和保持《安全区域安全控制方案》，经总经理批准后实施。

4.1.3 重要安全区域应有安全周界，包括如安检门、门禁、防盗门窗、红外报警器、视频监控装置和专人管理等安全手段，以上安全手段可根据各部门情况不同进行规划安装。

4.2 一般安全区域的物理访问4.2.1员工进入一般安全区域，必须凭钥匙进入。

4.2.2外来人员（联系工作、办理业务等）进入办公区域，须得到相关部门或者被拜访人确认并在接待人员或者被拜访人陪同下，方可进入，来访者只允许访问经授权的目标。

4.3 重要安全区域的出入控制管理4.3.1 外来人员因工作或业务到公司找管理者，须经相关部门或者管理者本人同意后在公司相关人员陪同下方可进入办公区域。

各部门在进入该区域前，由相关陪同人员告知重要安全区域的相关管理策略，并监督其行为。

4.3.2 除授权人员外，凡进入重要安全区域需填写《重要安全区域访问申请表》，经相关部门或负责人批准，做好访问登记，并且安排技术人员全程陪同。

4.4 安全区域的检查管理4.4.1 各部门根据事先规划好的一般安全区域和重要安全区域不同要求，严格执行公司相关的规定，防止对安全区域内场所的非授权物理访问、损坏和干扰，有效保障各部门信息的安全，保证各部门生产经营发展。

ISO27001信息安全体系培训(条款A11-访问控制)

ISO27001培训系列V1.0ISO 27001信息安全体系培训控制目标和控制措施（条款A11-访问控制）2009年11月董翼枫（dongyifeng78@ ）条款A11访问控制A11.1访问控制的业务要求✓目标：控制对信息的访问。

✓对信息、信息处理设施和业务过程的访问应在业务和安全要求的基础上予以控制。

✓访问控制规则应考虑到信息传播和授权的策略。

控制措施访问控制策略应建立、形成文件，并基于业务和访问的安全要求进行评审。

实施指南✓应在访问控制策略中清晰地规定每个用户或每组用户的访问控制规则和权利。

访问控制包括逻辑的和物理的（也见A9），他们应一起考虑。

应给用户和服务提供商提供一份清晰的应满足的业务要求的说明。

✓策略应考虑到下列内容：a)各个业务应用的安全要求；b)与业务应用相关的所有信息的标识和该信息面临的风险；c)信息传播和授权的策略，例如，了解原则和安全等级以及信息分类的需要（见A7.2）；d)不同系统和网络的访问控制策略和信息分类策略之间的一致性；e)关于保护访问数据或服务的相关法律和合同义务（见A15.1）；f)组织内常见工作角色的标准用户访问轮廓；g)在认可各种可用的连接类型的分布式和网络化环境中的访问权的管理；h)访问控制角色的分离，例如访问请求、访问授权、访问管理；i)访问请求的正式授权要求（见A11.2.1）；j)访问控制的定期评审要求（见A11.2.4）；k)访问权的取消（见A8.3.3）。

其它信息✓在规定访问控制规则时，应认真考虑下列内容：a)将强制性规则和可选的或有条件的指南加以区分；b)在“未经明确允许，则必须一律禁止”的前提下，而不是“未经明确禁止，一律允许”的规则的基础上建立规则；c)信息处理设施自动启动的信息标记（见A7.2）和用户任意启动的信息标记的变更；d)信息系统自动启动的用户许可变更和由管理员启动的那些用户许可变更；e)在颁发之前，需要特别批准的规则以及无须批准的那些规则。

ISO27001-用户访问控制程序

用户访问控制程序（依据ISO27001标准）1. 目的为明确公司信息系统的访问控制准则，确保访问控制措施有效，特制定本程序。

2. 范围本程序适用操作系统、数据库、各应用系统的逻辑访问控制，物理访问按《安全区域控制程序》进行控制。

3. 职责与权限3.1 技术部负责公司信息系统相关访问权限的分配、审批，以及帐号口令管理。

3.2 其他部门各部门根据实际需要向技术部提交账号及访问权限的申请，协助技术部人员对用户账号及权限进行定期复查。

4. 相关文件a)《计算机管理程序》5. 术语定义无6. 控制程序6.1 访问控制策略6.1.1 本公司目前的网络服务主要有互联网上网服务，供内部员工进行日常办公。

6.1.2 公司办公电脑仅能通过有线网络线缆接入公司网络，无线网络仅供经过公司授权的人员使用。

6.1.3 用户不得访问或尝试访问未经授权的网络、系统、文件和服务。

6.1.4 外部来访人员需要使用公司网络服务必须经过相关负责人同意，才能授权其使用。

不得将访问密码随意告知不必要的人员。

6.1.5外部来访人员需要使用公司无线网络时应经过公司授权并登记后，无线网络管理人员应代为输入访问密码，不得直接告知密码，确保无线访问密码的安全。

6.1.6外部人员离开时应及时收回其访问权限，并根据情况及时修改原来的访问密码。

6.1.7用户不得以任何方式私自安装路由器、交换机、代理服务器、无线网络访问点(包括软件和硬件)等。

6.1.8 用户不得私自撤除或更换网络设备。

6.1.9公司内部网络及系统的维护一般采用现场维护，如确有需要使用远程方式维护，应确保有相应的身份验证（如登录密码）等安全保护措施，远程维护完毕应及时关闭远程维护端口。

6.1.10公司员工在不必要的情况下尽量不要使用文件共享，一定要使用共享文件时，应对共享文件进行加密保护，并及时通知需要获取共享信息的人员，还应及时撤消文件共享。

6.1.11根据公司实际情况及安全需要，可考虑将自动设备鉴别作为一种证明从特定位置和设备进行连接的手段，如IP地址对应计算机名。

ISO27001：2013安全区域管理程序

XXXXXXXXX有限责任公司安全区域管理程序[XXXX-B-19]V1.0变更履历1 目的为明确组织安全区域及控制要求，防止非授权人员对组织业务场所的物理访问、损坏和干扰，有效保障组织的工作稳定，特制订本程序。

2 范围本程序适用于组织安全区域的管理。

3 职责3.1 综合部a)负责组织安全区域的控制监管工作。

b)负责对进入组织的员工及外来访客进行确认和控制。

c)负责对非正常进入安全区域的人员、发生的突发事件进行调查和处理。

3.2 技术部负责重要安全区域的访问控制。

3.3 其他部门负责本部门安全区域管理工作。

4 相关文件《信息安全管理手册》《安全区域管理程序》《物理与环境安全管理办法》5 程序5.1 安全区域组织的安全区域分为重要安全区域和普通区域。

综合部应识别重要安全区域，建立和保持《物理与环境安全管理办法》，经各部门经理批准后实施。

重要安全区域以外的办公开发区域,统称为普通区域。

重要安全区域包括以下：a)机柜b)综合管理部文件柜技术部IT专职人员持有机柜的钥匙，每日负责检查机柜。

一般情况下，只有技术部IT 专职人员可打开机柜，如非技术部IT专职人员因工作关系需打开机柜，须通过批准后方可打开。

每日下班后综合管理部文件柜必须上锁。

重要安全区域的控制按《物理与环境安全管理办法》进行。

5.2 普通区域的物理访问外来联系工作和办理业务的人员进入办公、生产区域，须在前台申请，经相关部门负责人通过批准后，外来人员登记来访信息，方可进入普通区域。

前台人员负责外来人员的登记；当外来人员离开时，前台负责登记离开时间。

5.3 重要安全区域的出入控制管理重要安全区域只有技术部IT专职人员能够访问；当服务器需要由其他部门人员安装或更新软件时，开发部门填写《重要安全区域访问审批表》，待技术部批准后方可进入。

完成工作后，登记离开时间，反馈给技术部IT专职人员。

5.4 安全区域的检查管理各部门根据普通区域和重要安全区域不同的要求，严格执行组织相关的规定，防止对安全区域内场所的非授权物理访问、损坏和干扰，有效保障组织信息的安全，保证组织业务正常进行。

用户访问管理程序-ISO27001体系

密级等级：机密受控状态：受控文件编号：HW用户访问管理程序2019年01月10日广东***技术股份有限公司变更履历1 目的为对本组织各种应用系统的用户访问权限（包括特权用户及相关方用户)实施有效控制，杜绝非法访问，确保系统和信息的安全，特制定本程序。

2 范围本程序适用于本组织的各种应用系统涉及到的逻辑访问的管理。

3 职责各部门负责访问权限的申请、审批。

研发中心负责访问控制的技术管理以及访问权限控制和实施。

行政中心负责外来人员物理访问控制。

负责向各部门通知人事变动情况。

4 相关文件《信息安全管理手册》《口令策略》5 程序访问控制策略组织内的信息根机密感等级，分别向不同职位的员工公开。

a)组织的宣传文件、制度、培训材料、参考文献可向全体员工公开；b)人事信息只对人力资源部开放；c)财务信息只对财务部开放；d)研发信息只对研发人员开发；e)业务信息只在相关业务人员间公开。

研发中心人员根据不同类别的信息，设置其访问权限。

用户不得访问或尝试访问未经授权的网络、系统、文件和服务。

各系统信息安全管理小组应编制《系统访问权限说明书》，明确规定访问规则。

用户访问管理权限申请所有员工用户，包括相关方人员均需要履行访问授权手续。

申请部门根据业务、管理工作的需要，确定需要访问的系统和访问权限，经过本部门经理同意后，向信息安全管理小组提交《用户访问授权申请表》，信息安全管理小组在《用户访问授权登记表》上登记。

《用户访问授权申请表》应对以下内容予以明确:a)权限申请人员；b)访问权限的级别和范围；c)申请理由；d)有效期。

经部门主管审核批准后，研发中心将根据《用户访问授权申请表》实施授权。

相关方和第三方服务人员的访问申请由负责接待的部门按照上述要求予以办理。

但相关方和第三方服务人员不允许成为特权用户。

必要时，相关方人员需与访问接待部门签订《相关方保密协议》或《第三方服务保密协议》。

特殊权限的管理对于信息处理设施（硬件、软件和物理区域）的特殊权限应尽力控制在最小的范围内，对特殊权限的授权应有填写《特殊权限授权书》，经总经理批准后方可实施。

ISO27001-2022程序文件之信息系统维护与监控管理程序

18、信息系统维护与监控管理程序###-ISMS-0307-20231 目的为实施对公司信息系统维护与监控活动的控制，特制定本程序。

2 范围本程序规定了信息系统操作、应用需求及变更、可用性与故障处理、日志管理、监视与审计等控制要求。

3 职责3.1 技术部负责按照信息系统的维护与监控等。

3.2 各职能部门负责按照信息系统的控制策略执行。

4 程序4.1 系统操作的控制策略4.1.1 技术部负责建立《应用系统一览表》，明确系统管理的职责。

各应用系统必须确定相应的系统管理员。

系统管理员不能由安全管理员兼任。

4.1.2各部门应对系统实用程序的使用进行限制和严格控制，严禁使用改变应用系统的工具，只有经过总经理授权使用的系统管理员方可使用实用工具网管软件等，且必需服从网络安全管理员检查监督和管理。

并由技术部建立《系统实用工具一览表》。

4.1.3 信息系统的访问控制，应用系统应严格按《用户访问管理程序》执行。

禁止访问系统中应用程序的用户使用系统实用工具。

因未按《用户访问管理程序》授权的用户访问造成的信息安全事件，技术部领导负主要责任。

4.1.4 应用系统的用户必须遵守各应用系统的相关管理规定，必须服从技术部系统管理员的检查监督和管理。

因应用系统用户未按相应的应用管理程序使用系统造成的信息安全事件，应用系统用户负主要责任。

4.1.5 信息系统用户不得利用信息系统做任何危及本公司、部门、他人或其他无关的活动。

4.1.6 信息系统用户必须严格执行保密制度。

对各自的用户帐号负责，不得转借他人使用。

4.1.7 信息系统应有操作规程或使用手册，指导用户使用应用系统。

4.2 信息系统的应用需求及变更4.2.1 各部门对应用系统的应用需求变更（包括新安装、补丁、版本升级及更换）申请由部门负责人提出，技术部负责确定应用需求的技术可行性和技术实现。

在更改实施前，技术部填写《变更申请表》，明确更改的原因、更改范围、更改影响的分析及对策（包括不成功更改的恢复措施），经技术部负责人批准后予以实施。

ISO27001：2013系统访问与使用监控管理程序

5.2 日志的配置最低要求
5.2.1操作系统、应用系统、数据库、网络设备的日志应形成日志保存和检查要求，明确其保存周期。
5.2.2所有日志应在运行系统或设备内至少保存一年的有效记录，备份的日志信息应保存至少三年。
5.2.3所有日志应该根据重要信息备份的原则进行定期备份。
5.3 管理过程
5.3.1网络管理员根据系统的安全要求确认日志内容、保存周期、检查周期，其最低要求不得低于5.2的要求。如果因为日志系统本身原因不能满足5.2的最低要求，需要降低标准的，必须得到管理者代表的批准和备案。
5.3.2网络管理员配置日志系统，并定期检查日志内容，评审安全情况。评审的内容包括：授权访问、特权操作、非授权的访问试图、系统故障与异常等情况，评审结束应形成《日志评审记录》。
6 记录
《日志评审记录》
5.1.2应记录用户活动、异常和信息安全事态的审计日志，记录应永久保存并每半年备份一次，确保记录可调查和访问的控制监视，任何人不得以任何理由删除保存期内的日志。
5.1.3审核日志必须由网络管理员定期检查，特权使用、非授权访问的试图、系统故障和异常等内容应该得到评审，以查找违背信息安全的征兆和事实。
5.1.4防火墙系统、IDS系统、漏洞扫描必须处于开启状态，在不经总经理授权，任何人不得将其中任何设备停止、更换或更新，由网络管理员定期评审，对所有可疑的非法访问行为和企图需及时向管理者代表汇报并采取相应的措施。
1 目的
为对信息部实施有效的系统监控管理，防于信息部对所有信息系统的管理。
3
无
4 职责
4.1 网络管理员负责对核心系统的监控与管理。
4.2 运行监控机房值班人员负责监控系统的日常管理。
5 程序
5.1 监控策略