ISO27001：2013部门管理评审输入报告

合集下载

ISO27001 管理评审报告

4）由总经理及时完成本次管理评审报告；总经办负责整理本次管理评审记录并归档，同时传递给其他部门，输入下一年度计划。
5）管理评审报告分发范围：各部门负责人和内审员。
4、对今后工作的改进要求：
1）行政部应加强对信息安全管理体系的意识以及执行力度；
2）上述的输出，要在下次监督审核以前完成，责成各主管职能部门总监（经理）监督负责。
4）本公司制定的信息安全目标，经各部门的努力，均已达成，信息安全目标暂不作调整，待下次管理评审或适当之时，再考虑是否需修改。
5Hale Waihona Puke 针对上次管理评审所提出的改进建议，君已经由相关责任部门落实实施，并经过验证，改进有效。
2、从评审的总体情况分析来看，公司依据ISO27001：2013标准建立的管理体系与公司的实际工作和发展是相适宜的，符合公司的实际，实施的效果也是有效的。信息安全管理体系具有基本的适宜性、充分性和有效性。但是公司信息安全管理体系在不同部门之间的实施情况并不均衡。
评审结论摘要：
1、管理评审活动评价：
本次管理评审是依据ISO27001：2013标准建立信息安全管理体系的第一次管理评审，重点在于评价公司信息安全管理体系运行一年多以来的适宜性、符合性和有效性。
1）从本次管理评审的情况看，公司建立的信息安全管理体系基本完整，并得到不断完善。经过一年多的持续运行，对实际工作的指导和提高作用是明显的。能够较好地满足公司发展的要求，体系方针和信息安全管理体系落实的达成情况良好。信息安全管理体系管理手册、程序文件和三级文件与实际操作相符合，均具有可操作性。
编制：
审核：
批准：
管理评审报告
编号：-ISMS-OR-05
评审目的：
按照策划的时间，评审公司信息安全管理体系，确保该体系的适宜性，充分性和有效性，评审公司信息安全方针、信息安全目标，坚持持续改进。

ISO27001-2013管理评审输入报告汇总

ISO27001-2013管理评审输入报告汇总拟定参与人：行政部、研发部、管代、总经理拟定时间：2017年1月15日拟定地点：公司会议室管理层：1安全方针和目标是正在实现过程中，考虑到刚刚实行体系暂不作调整。

过去3个月中所取得的业绩比较良好，目标经考核基本能实现；2管理人员和监督人员过去3个月中管理与监督的状况基本达到预期要求；3管理体系运行受控a. 最高管理者带动员工对满足顾客和法律法规要求的重要性具有明确的认识，能履行其承诺，管理职责明确，重视并参与对信息安全管理体系的建立、保持和推动持续改进活动。

员工能准确答出公司信息安全方针和目标，体现了全员参与。

但个别职能部门信息安全活动和人员中有责任不到位的情况。

b. 建立的信息安全方针和信息安全目标适合于组织的特点，在组织内得到沟通和理解，信息安全目标基本有可测量性；但部分信息安全分目标的适宜性需进一步修改，并应对测算方法作进一步改善。

行政部：1、员工培训教育在本年度进行了5次培训，培训结果基本满意。

2、需要不断提高员工的信息安全意识。

3、畅通顾客意见的渠道，加强收集顾客意见，增强重点项目、重点客户的意见反馈。

4、物理防范措施受条件所限只能满足最低要求，控制还算得当，未出现严重违反公司相关制度情况。

5、内外部员工的保密协议已经签署完毕，第三方的保密合同正在落实完善过程中。

6、体系组织结构合理，能覆盖全公司各个部门，岗位职责明确，相关书面材料尚在进一步调整过程。

研发部：1尽快完成支持业务可持续性设备的科学演练，在演练过程中需要考虑信息安全。

2加强人员对纠正预防措施处理意见的学习，提高本公司纠正预防能力3风险评估报告、可接受风险等级、报告中提出的薄弱点或威胁得到减缓和消除现状均能接受。

4其他部门对网络部的安全服务设置基本满意。

5针对信息实时备份需求，需要安排一定时间建设实时备份系统。

6需加强员工对软件及应用专业知识和相关法律法规的学习，7完善应急预案编制，加强对威胁的认识。

某部管理评审输入报告

某部管理评审输入报告1. 引言本报告旨在对某部管理进行评审，并提供本次评审的输入报告。

评审的目的是为了确保某部管理的有效性和可行性，以促进组织的发展和提高绩效。

2. 背景某部管理是一项关键任务，对于组织的运作和决策起着至关重要的作用。

通过对某部管理的评审，可以识别出潜在的问题和改进的机会，并为组织提供改进建议。

3. 评审目标某部管理的评审的主要目标包括：•评估某部管理的有效性和可行性；•确保某部管理与组织的战略目标相一致；•发现潜在的问题和风险，并提供改进建议；•评估某部管理的绩效和成果。

4. 评审范围本次评审的范围涵盖了某部管理的各个方面，包括但不限于：4.1 组织结构评估某部管理的组织结构是否合理，并确定各个职责和职位的清晰性和有效性。

4.2 流程和流程控制评估某部管理的业务流程和流程控制是否规范和有效，并提供改进措施。

4.3 人员配置和培训评估某部管理的人员配置是否充足、合理，并考虑人员培训的需求。

4.4 技术工具和系统支持评估某部管理所使用的技术工具和系统支持是否满足业务需求，并提供改进建议。

5. 评审方法本次评审采用以下方法：•文件分析：对某部管理相关的文件进行分析，包括组织结构图、流程描述、工作指南等；•个别访谈：与某部管理的相关人员进行个别访谈，了解他们对某部管理的看法和建议；•现场观察：对某部管理的现场进行观察，了解实际情况；•数据收集：收集某部管理的相关数据，进行数据分析。

6. 评审结果根据对某部管理的评审，得出以下评审结果：6.1 优点•高效的组织结构，各个职责和职位的分工清晰；•规范的流程和流程控制，确保业务的顺利进行；•人员配置合理，具备较强的专业能力；•技术工具和系统支持较好，提高了工作效率。

6.2 不足之处•组织结构中存在部分职责不明确的情况；•流程中存在一些冗余环节，需要优化；•部分人员缺乏相关培训；•技术工具和系统支持有待改进，存在一些问题。

7. 改进建议基于评审结果，以下是针对某部管理的改进建议：•清晰定义组织结构中各个职责和职位的职责和权限；•优化流程，去除冗余环节，提高效率；•加强对人员的培训和发展，提升专业能力；•对技术工具和系统进行改进和升级，解决存在的问题。

ISO27001：2013管理评审控制制度

XXXXXX软件有限公司人性化科技提升业绩管理评审控制制度目录1. 目的和范围 (2)2. 引用文件 (2)3. 职责和权限 (2)4. 活动描述 (3)4.1.管理评审周期 (3)4.2.管理评审内容 (3)4.3.管理评审计划 (4)4.4.评审实施 (5)5. 持续改进 (6)6. 相关记录 (6)1.目的和范围为了确保现行信息安全管理体系的适宜性、充分性和有效性；现行信息安全管理体系持续有效地满足标准的要求；公司的信息安全方针和目标适应自身发展的需要，对信息安全管理体系进行评审，特制定本制度。

本制度适用于信息安全管理体系管理评审过程。

2.引用文件1)下列文件中的条款通过本规定的引用而成为本规定的条款。

凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励各部门研究是否可使用这些文件的最新版本。

凡是不注日期的引用文件，其最新版本适用于本标准。

2)GB/T 22080-2016/ISO/IEC 27001:2013 信息技术-安全技术-信息安全管理体系要求3)GB/T 22081-2016/ISO/IEC 27002:2013 信息技术-安全技术-信息安全管理实施细则4)《纠正和预防措施控制制度》5)《文件控制制度》3.职责和权限1)信息安全管理领导小组：负责对信息安全管理体系进行管理评审，对体系的变更和修改进行决策。

2)体系负责人：负责组织召开管理评审会议，并向信息安全管理领导小组汇报信息安全管理体系的运行情况。

3)信息安全工作小组：负责管理评审材料的收集,并根据管理评审的决定，组织进行跟踪、验证实施效果。

4)行政部: 负责管理评审相关材料的备案。

5)各部门：负责本部门提供评审材料。

4.活动描述4.1. 管理评审周期公司按年度召开信息安全管理体系的管理评审会议，会议一般在内审及第三方审核之后召开，会议对前一年信息安全情况做出评审，评审结果作为下一年信息安全计划的输入。

ISO27001：2013内部审核报告

年度公司内审报告编号：公司半年度信息安全内部体系审核工作已完成，目前整改工作已经结束。

为评价依据ISO27001标准建立的信息安全管理体系的符合性及运行的有效性，本公司于年月日至年月日对本公司进行了为期天的安全体系审核。

审核依据ISO27001标准及本公司的安全方针、规定和标准文件、相关管理文件及国家法律法规。

此次内审依据客观事实，查出不合格项处。

其分布情况见不合格分布情况表，主要薄弱环节为员工熟悉掌握安全方针和程序文件的工作不够认真，因此在实际工作中出现未严格执行程序文件的情况。

各类不合格情况分布见表1。

表1 不合格项分类情况分布表从内审中发现的不合格项来看，发现不合格事件项（无严重不合格项），均为实施性不合格，无体系性不合格和效果性不合格。

这主要是因为公司有关人员在较大工作压力下，执行ISO27001体系文件过程中不够细致，安全意识有所松懈。

因此建议有关部门针对不合格开展适宜的培训，使有关人员熟悉掌握信息安全管理体系文件及标准，以促使保证公司安全管理体系持续有效的运行。

通过本次内审，根据不合格问题制定出组织公司和各部门进行相应的培训（根据本部门的实际情况而定），在月日前完成整改，纠正措施完成情况见表2。

表2 纠正措施计划完成情况统计表统计日期：年月日审核结果表明，我公司安全管理体系自试运行以来，通过各部门积极遵循公司安全体系文件和ISO27001标准的要求，实行文件化、规范化管理，公司的安全体系运行基本持续有效，符合ISO27001:2005标准，适宜公司的长远发展。

这说明公司领导层及各部门负责人对安全体系给予了高度的重视，并针对不合格及时开展适宜的培训，使有关人员熟悉掌握安全体系文件及标准，内审工作中的纠正措施得以能够按期完成。

通过整改，各部门对公司的安全体系及相关文件理解得更深入了，比较能恰当地应用了，公司安全管理体系持续有效运行，符合安全管理体系标准。

编写：信息安全小组审批：日期：分发范围：各部门部门经理，内审小组成员。

ISO27001：2013管理评审程序

XXXXXXXXX有限责任公司管理评审程序[XXXX-B-07]V1.0变更履历1 目的为确保组织信息安全管理体系持续的适宜性、充分性和有效性，评估组织信息安全管理体系改进和变更的需要，特制定本程序。

2 范围本程序适用于对信息安全管理体系中要求进行的管理评审的实施程序的管理。

3 职责3.1 总经理主持信息安全管理体系管理评审。

3.2 综合部负责信息安全管理体系管理评审的归口管理。

4 相关文件《信息安全管理手册》《文件控制程序》《记录控制程序》5 程序5.1 管理评审策划5.1.1 管理评审的频次5.1.1.1 定期管理评审由总经理主持，通常每年进行一次，一般在内部审核后一至两个月内进行。

5.1.1.2 非定期当遇到下列情况时，可不受5.1.1.1的限制，由综合部制定计划，报总经理批准后实施:a)当出现重大信息安全事件时；b)当信息安全管理体系发生较大变化时；c)当客户要求或外部环境条件发生重大变化时；d)内部审核、客户审核或ISO/IEC27001外部审核时，发现了对全组织有影响，属信息安全管理体系上的重大不符合事项时。

5.1.2 管理评审的方式管理评审以专题会议的方式进行，由总经理主持管理评审，评审会议由总经理、综合部、综合部全员、相关部门负责人参加，必要时可吸收对应专业管理人员参加。

5.1.3 管理评审的准备5.1.3.1 计划编制综合部根据综合部的要求组织编制《管理评审计划》，总经理批准后，提前一周下发至各相关部门。

5.1.3.2 相关准备相关部门按《管理评审计划》要求，对照信息安全管理体系运行情况进行自评，按各自职责做好相关信息、资料的准备工作，并将有关信息、资料于管理评审会议召开前3天提供给综合部。

5.1.3.3 资料汇总综合部将各相关部门提供的材料汇总、分析后编写《信息安全管理体系运行情况报告》。

5.1.3.4 议程管理评审会议召开前1天，综合部应安排好会议的议程，通过总经理批准后填写《管理评审通知单》，并发放至评审计划要求参加的各相关部门（人员）。

ISO270012013管理评审报告

年
达成
4、产品按规定的抽样规则
检验，漏检率为0。
依据相关检验记录
1次/月
达成
办公
室
1、IT设备大面积病毒爆发不超过2起。
以办公室收集的数据为准
1次/半
年
达成
2、员工培训合格率达
100%
根据所制定的培训计划及
考核结果情况进行测量
1次/半
年
达成
财务
室
重要设备盘点范围达到
100%
以财务系统中的数据为准
1次/年
加强正版化软件；落实信息安全奖罚；机房的断电风险依然存在，需要考虑添加相
应设备;增加信息安全方面的员工培训.
编制：信息安全小组
审核：
批准：
日期：
日期：日期：部来自门目标值考核办法
考核频次
达成情况
生产
部
1、废票及时销毁率》97%
以每月生产的合格数量计
以相关检验记录为依据
1次/月
达成
2、保密纸丢失不超过1
起。
以每月成品批数量计以相关检验记录为依据
达成
3、确保检测设备使用在有效期内，
按时校准率为100%
依据检测仪器台帐、检定计
划表及相关的检定合格证
书
1次/半
达成
财务数据泄密不超过1
起
以办公室收集的数据为准
1次/半
年
达成
体系总体评价:
信息安全管理体系持续适宜性：适宜信息安全管理体系持续充分性：□充分
信息安全管理体系持续有效性：□有效
公司安全方针的评价：适宜
公司安全目标的评价：全部适宜
信息安全管理体系运行状况
内审状况及其整改结果：目前未发现失效

信息管理体系管理评审输入报告

2.公司的《信息安全&信息技术服务》管理手册和程序文件
3.相关的法律法规
4.与顾客签订的合同
评审内容：
1.《信息安全&信息技术服务》管理体系内部审核的结果；
2.相关方的反馈；
3.用于改进《信息安全&信息技术服务》管理体系业绩和有效性的技术、产品或程序；
4.预防和纠正措施的状况；
5.风险评估没有充分强调的脆弱性或威胁；
6.有效性测量的结果；
7.任何可能影响《信息安全&信息技术服务》管理体系的变更；
8.改进的建议；
9.《信息安全&信息技术服务》方针的适宜性、充分性和有效性。
会议议程：
1.主持人宣布会议开始，并说明本次会议的目的、内容和有关要求
2.参加会议的人员根据评审内容及所准备的资料进行发言
3.主持人对会议进行总结，并宣布本次评审的结果管理评审输入告主持人总经理
评审地点
会议室
评审时间
2022.2.14
评审形式
会议评审
目的
为验证公司《信息安全&信息技术服务》管理体系的适宜性、充分性和有效性，评价和寻求《信息安全&信息技术服务》管理体系改进的机会和变更的需要。
参加人员
李广、吴文彬、张鲲、徐燕、张鲲、刘仕芬、张鲲
评审依据：
1.《ISO27001:2013信息技术-安全技术-信息安全管理体系-要求》《ISO20000-1: 2018信息技术-服务管理体系-要求》标准
参加管理评审的部门应按照计划要求准备本部门在《信息安全&信息技术服务》管理体系实施中有关材料，并在会议上汇报。
备
注
管理者代表负责管理评审的准备工作，行政部配合。
编制
审核
日期
日期

管理评审输入报告

管理评审输入报告管理评审输入报告尊敬的领导：根据公司管理评审的要求，我对公司的管理情况进行了梳理和评估，并撰写了以下评审报告。

首先，在组织结构方面，公司的各部门职责明确，工作流程规范，责任清晰，有利于提高工作效率和协同作业的能力。

公司的层级管理机制相对合理，各级管理人员分工明确，信息传递流畅。

然而，公司的组织结构稍显庞大，部门之间的沟通和协作还需要进一步加强，避免信息不畅和责任模糊等问题。

其次，在人力资源管理方面，公司注重员工的培训和发展，建立了完善的培训体系和晋升机制，有利于提高员工的工作技能和业务水平。

公司也重视员工福利和激励，推行了一系列的激励措施，增强了员工的归属感和工作积极性。

然而，公司的员工流失率较高，需要进一步关注员工的职业发展需求和工作环境，加强员工的留任工作，提高员工满意度。

再次，在项目管理方面，公司积极采用项目管理方法，提高了项目管理的专业性和效率，能够有效控制项目的进度、成本和质量。

公司也倡导团队合作，鼓励员工积极参与项目，并提供必要的支持和资源。

然而，项目跨部门协调和沟通还不够完善，导致一些关键项目的推进受到阻碍。

公司需要加强项目管理团队的培养和专业能力提升，并建立跨部门协作的机制，以提高项目管理的整体效能。

最后，在绩效管理方面，公司设定了明确的目标，并通过绩效评估体系对员工进行考核，并相应激励高绩效员工。

公司的绩效管理体系相对成熟，激励机制也能够较好地激发员工的工作动力。

然而，公司的绩效评估还需要进一步完善和改进，要确保评估标准的公正性和客观性。

同时，也要加强对低绩效员工的引导和改进，提高整体绩效水平。

综上所述，公司在组织结构、人力资源管理、项目管理和绩效管理等方面已取得了一定的成绩，但仍存在一些问题和改进空间。

作为管理者，我们应该进一步加强部门之间的沟通和协作，关注员工的职业发展和福利需求，提高项目管理的专业水平和跨部门协作能力，以及进一步完善绩效管理体系。

只有不断改进和提高管理水平，才能推动公司的持续发展。

ISO27001-2013信息安全管理体系风险评估报告

ISO27001-2013信息安全管理体系
风险评估报告
一、实施范围和时间
本公司ISMS所涉及的相关部门以及相关业务活动。

本此风险评估的实施时间为2019年3月16日至2019年3月20日。

二、风险评估方法
参照ISO/IEC27001和ISO/IEC27002标准，以及《GB/T 20984-2007信息安全技术信息安全风险评估规范》等，依据公司的《信息系统管理制度》确定的评估方法。

三、风险评估工作组
经信息中心批准，此次风险评估工作成员如下：
评估工作组组长：xxx
评估工作组成员：xxx、xxx 、xxx、xx
四、风险评估结果
4.1 信息资产清单
各部门的信息资产清单见部门信息资产清单。

4.2重要资产面临威胁和脆弱性汇总
重要资面临的威胁和脆弱性分别见附件一和附件二。

4.3风险结果统计
本次风险评估，共识别出信息安全风险9个，不可接受的风险2个，具体如下：
五、风险处理计划
风险处理计划见附件四
附件一：重要资产面临的威胁汇总表
表1-1：重要硬件资产威胁识别表
表1-2 重要应用系统资产威胁识别表
附件二：重要资产面临的脆弱性汇总表
表 2-1 重要资产脆弱性汇总表
附件三：风险评估问题列表
附件四：风险处理计划
根据本次风险评估结果，对不可接受的风险进行处理。

在选取控制措施和方法时，结合公司的财力、物力和资产的重要度等各种因素，制定如下风险处理计划。

该计划已经信息安全领导办公室审核批准。

ISO27001-2013管理评审计划

ISO27001-2013管理评审计划编制部门：信息安全管理委员会时间：2017年1月10日评审日期2017年1月15日地点会议室主持人李彦忠管理评审目的/范围：目的：通过信息安全管理体系评审，检查各部门执行体系的情况，验证适宜性、充分性、有效性。

范围：适用于评审组织的ISMS，包括信息安全方针和信息安全目标的评审。

管理评审的主要内容：a) ISMS审核和评审的结果、方针和目标；b) 相关方的反馈；c) 可以用于改进ISMS业绩及有效性的技术、产品或程序；d) 纠正和预防措施的实施情况；e) 在以前风险评估没有充分提出的薄弱点或威胁；f) 以往管理评审的跟踪措施；g) 可能影响ISMS的任何更改；h) 改进的建议。

管理评审的进度安排：①各部门做好本部门信息安全管理体系的总结评价，电子邮件至管理者代表，由管代整理完成管理评审输入材料；②各部门于1月15日前将管理评审输入报告电子档送管理者代表处汇总；③管理者代表整理汇总各部门的改进建议，起草作为管理评审输入提交公司总经理；④1月15日召开管理评审会议，作出改进决定。

向管理评审会议提交书面材料及口头报告的要求：①本年度ISMS内部审核结果的汇报（汇报人：管理者代表）②员工、顾客反馈信息和满意程度的测量结果的汇报（汇报人：各部门）③用于改进ISMS执行情况和有效性的技术、产品、规程（汇报人：各部门）④纠正和预防措施的实施情况的汇报（汇报人：各部门）⑤之前风险评估没有充分强调的脆弱点或威胁；风险处理计划的执行情况（汇报人：行政部）⑥信息安全方针和信息安全目标的适宜性和有效性、法律法规、控制目标等有效性的测量；（汇报人：行政部）⑦以往管理评审的跟踪措施；（本次不适用）⑧可能影响ISMS的任何变更；（汇报人：各部门）⑨总经理总结发言，答复各部门建议、提出改进措施。

管理评审会议参加的人员范围：公司总经理、信息安全管理委员会全员、内审员、各部门主管。

管理评审报告发放日期及范围：管理评审报告于评审会议结束后的2日内发出。

管理评审输入报告是什么意思

管理评审输入报告是什么意思管理评审输入报告是指在管理评审过程中形成的记录、报告或文件，用于汇总和记录参与管理评审的各方提出的意见、建议和反馈信息。

它是管理评审过程的重要成果之一，具有指导管理决策、改进管理质量和推动组织持续改进的作用。

1. 管理评审输入报告的内容管理评审输入报告通常包括以下内容：•参与人员意见和建议：记录参与管理评审的各方提出的意见、建议，包括管理层、员工、相关利益方等。

•问题和隐患汇总：梳理和总结在管理评审过程中发现的问题、隐患，以及可能的解决方案。

•评审结果总结：对管理评审过程中的关键点、亮点和问题进行总结和归纳，为后续决策提供参考。

2. 管理评审输入报告的重要性管理评审输入报告对于组织的管理提升和持续改进具有重要意义：•决策支持：管理评审输入报告为管理决策提供客观的数据和意见，有助于领导层明晰问题、快速决策。

•改进管理质量：通过汇总和分析各方意见和建议，管理评审输入报告可以发现管理体系存在的问题，为改进管理质量提供依据。

•推动持续改进：管理评审输入报告记录了管理评审的过程和成果，有助于组织持续改进，促进良性发展。

3. 编写管理评审输入报告的注意事项在编写管理评审输入报告时，需要注意以下几点：•客观真实：报告内容应客观真实，准确反映管理评审过程中各方提出的意见和建议。

•清晰简洁：报告内容结构清晰，表达简洁明了，便于领导和相关人员理解。

•重点突出：突出重点，重点问题和建议应该得到充分的关注和处理。

综上所述，管理评审输入报告是管理评审过程中的重要文档，对组织管理水平提升和持续改进起着至关重要的作用。

通过编写和利用好管理评审输入报告，可以为组织的发展和进步提供有力支持。

iso27001：2013管理评审报告

ISO27001-2013管理评审报告评审日期：2017年1月15日评审目的：验证体系运行的有效性，寻找改进点。

分析2016-2017年度外审前信息安全工作完成情况，评价管理体系的适宜性、充分性、有效性，明确本年度工作目标，提出改进措施、建议，确保信息安全方针、目标的实现和满足法律法规和客户的需求。

一、评审内容：①安全方针和目标是否正在实现，过去3个月中所取得的业绩是否达到、完成或超过安全方针和目标的要求；②管理人员和监督人员过去3个月中管理与监督的状况，法律法规的满足程度、以及是否达到预期要求；③管理体系运行是否受控、是否有效（近期内审结果），体系文件的事宜性；④纠正措施和预防措施执行情况如何；⑤听取资源充分性报告；⑥风险评估报告、可接受风险等级、报告中提出的薄弱点或威胁；⑦客户反馈意见的汇总分析；⑧员工培训教育情况分析报告；⑨客户投诉及其处理情况汇总；⑩改进的建议；?其他日常管理议题。

二、评审组成员：总经理、管代、各部门经理、内审员。

三、评审意见和结论：1、本公司按照ISO27001：2013的要求建立的管理体系，全面覆盖了的业务活动。

从运行以来，管理体系得到了不断地改进与完善，总体运行情况良好。

2、ISMS-1001《信息安全管理手册》规定的本公司的安全方针、目标，符合准则要求和本公司实际情况，通过努力正在逐步实现。

3、ISMS-1001《信息安全管理手册》中所列的控制项是真实的。

与之相关联的机构和岗位设置是合理的，机构及岗位的职责分工明确，切实可行；与之相关联的人力资源和设备资源配置是充分的、合理的；与之相关联的物理环境条件是符合要求的；各个要素、各个程序和各个环节之间的衔接循环是封闭的。

4、管理体系运行以来，管理及监督人员开展了有效的工作，监督管理工作有明显成效。

共进行了1次内审，内审覆盖了本公司与软件研发与技术服务的所有管理活动和技术活动，内审共发现2个不符合项，这些问题均已得到了纠正；纠正措施执行情况良好。