ISO27001：2013管理评审报告
ISO27001：2013管理评审报告
ISO27001-2013管理评审报告评审日期：2017年1月15日评审目的：验证体系运行的有效性，寻找改进点。
分析2016-2017年度外审前信息安全工作完成情况，评价管理体系的适宜性、充分性、有效性，明确本年度工作目标，提出改进措施、建议，确保信息安全方针、目标的实现和满足法律法规和客户的需求。
一、评审内容：①安全方针和目标是否正在实现，过去3个月中所取得的业绩是否达到、完成或超过安全方针和目标的要求；②管理人员和监督人员过去3个月中管理与监督的状况，法律法规的满足程度、以及是否达到预期要求；③管理体系运行是否受控、是否有效（近期内审结果），体系文件的事宜性；④纠正措施和预防措施执行情况如何；⑤听取资源充分性报告；⑥风险评估报告、可接受风险等级、报告中提出的薄弱点或威胁；⑦客户反馈意见的汇总分析；⑧员工培训教育情况分析报告；⑨客户投诉及其处理情况汇总；⑩改进的建议；⑪其他日常管理议题。
二、评审组成员：总经理、管代、各部门经理、内审员。
三、评审意见和结论：1、本公司按照ISO27001：2013的要求建立的管理体系，全面覆盖了的业务活动。
从运行以来，管理体系得到了不断地改进与完善，总体运行情况良好。
2、ISMS-1001《信息安全管理手册》规定的本公司的安全方针、目标，符合准则要求和本公司实际情况，通过努力正在逐步实现。
3、ISMS-1001《信息安全管理手册》中所列的控制项是真实的。
与之相关联的机构和岗位设置是合理的，机构及岗位的职责分工明确，切实可行；与之相关联的人力资源和设备资源配置是充分的、合理的；与之相关联的物理环境条件是符合要求的；各个要素、各个程序和各个环节之间的衔接循环是封闭的。
4、管理体系运行以来，管理及监督人员开展了有效的工作，监督管理工作有明显成效。
共进行了1次内审，内审覆盖了本公司与软件研发与技术服务的所有管理活动和技术活动，内审共发现2个不符合项，这些问题均已得到了纠正；纠正措施执行情况良好。
ISO27001 管理评审报告
5）管理评审报告分发范围：各部门负责人和内审员。
4、对今后工作的改进要求：
1）行政部应加强对信息安全管理体系的意识以及执行力度；
2）上述的输出，要在下次监督审核以前完成，责成各主管职能部门总监（经理）监督负责。
4）本公司制定的信息安全目标，经各部门的努力，均已达成，信息安全目标暂不作调整，待下次管理评审或适当之时，再考虑是否需修改。
5Hale Waihona Puke 针对上次管理评审所提出的改进建议，君已经由相关责任部门落实实施，并经过验证，改进有效。
2、从评审的总体情况分析来看，公司依据ISO27001：2013标准建立的管理体系与公司的实际工作和发展是相适宜的，符合公司的实际，实施的效果也是有效的。信息安全管理体系具有基本的适宜性、充分性和有效性。但是公司信息安全管理体系在不同部门之间的实施情况并不均衡。
评审结论摘要：
1、管理评审活动评价：
本次管理评审是依据ISO27001：2013标准建立信息安全管理体系的第一次管理评审，重点在于评价公司信息安全管理体系运行一年多以来的适宜性、符合性和有效性。
1）从本次管理评审的情况看，公司建立的信息安全管理体系基本完整，并得到不断完善。经过一年多的持续运行，对实际工作的指导和提高作用是明显的。能够较好地满足公司发展的要求，体系方针和信息安全管理体系落实的达成情况良好。信息安全管理体系管理手册、程序文件和三级文件与实际操作相符合，均具有可操作性。
编制：
审核：
批准：
管 理 评 审 报 告
编号：-ISMS-OR-05
评审目的：
按照策划的时间，评审公司信息安全管理体系，确保该体系的适宜性，充分性和有效性，评审公司信息安全方针、信息安全目标，坚持持续改进。
管 理 评 审 报 告.2013年
管 理 评 审 报 告
。 能 体 整 和 识 意 任 责 员 高 提 范 规 描 位 岗 、 操 认 确 述 口 指 手 实 落 面 作 工 训 培 育 教 术 技 全 安 抓 狠 设 ”建 基 “双 化 深 断 不 ， 织 组 合 理 管 学 科
NO. 评审 年次 2013 年第 1 次 评审 时间 2013.12.12
管 理 评 审 报 告
NO. 评审 年次 2013 年第 1 次 评审 时间 2013.12.12 001 页 码 共 8页 第 1页
一、评审目的： 为了确保本公司质量体系持续满足 ISO9001-2008 标准要求,确保其适宜 性、充分性和有效性；确保质量体系持续满足本企业质量手册、程序文件 和本公司质量方针和质量目标要求，达到顾客满意。 二、评审内容： 1．质量方针和质量目标的适宜性； 2．质量目标完成情况； 3．质量体系运行、内部质量管理体系审核、过程审核、产品审核情况； 4．纠正和预防措施情况； 5．顾客满意度和顾客报怨情况； 6．质量管理体系所有要求的业绩趋势； 7．公司资源状况的充分性； 8．以往管理评审的跟踪措施； 9．改进或建议
NO. 评审 年次 2013 年第 1 次 评审 时间 2013.12.12
007 页 码 共 8 页 第 7页
与往年相比有所下降。职工收入同往年相比基本持平。公司全年组织培训□ □□次，累计有□□□人次参加了不同内容的培训，不同程度地提高了职工的 各项技能。培训一次合格率到达 99.62% 2、设备及基础设施资料状况： 2013 年上半年工厂通过调研，更换了空气压缩机□□□台，该设备替换了原 来的旧设备后使用良好，噪声小，使用稳定，达到了清洁生产，也提高了 生产效率。 2013 年下半年工厂根据□□□的要求，将面料仓库顶换成环保材料组成及符 合消防安全的岩棉钢板，取缔了泡沫夹心板；对后道车间，面料库钢结构 顶及梁柱用重新用防火涂料进行粉刷， 上述二个项目耗资近□□□多万元， 该 项目完成后通过了□□□验收。此项目的完成，让职工在更环保、更安全的工 作场所进行工作，职工的生命及公司的财产得到了更有力的保证。 经评审，目前我们所有设施及设备能够满足顾客产品需求。 十、以往管理评审的跟踪措施 2013 年管理评审中有 3 项改进建议，已有 3 项落实。
ISO27001：2013部门管理评审输入报告
无
（9）改进建议。
根据各部，包括对内部审核和日常发现的不合格项采取的纠正和预防措施的实施及其有效性的监控结果；
填写不符合项的整改情况
（6）以前风险评估中没有充分表达的威胁和薄弱点，以及风险的重新评估；
风险评估中的中高风险，以及风险处置计划的执行情况
（7）以往管理评审跟踪措施的实施及有效性；
无
部门管理评审输入报告
部门
日期
报告人
审批人
评审项目
评审内容
（1）信息安全管理方针、目标的适用性；
适用
（2）管理体系的审核结果，包括内审、外审结果及其它形式的审核结果；
填不符合项
（3）相关利益方的反馈，包括客户的意见投诉、相关方的投诉或意见等；
无
（4）用于改善信息安全管理体系性能和有效性的技术、产品和程序，包括信息安全管理方案的确定、执行等；
ISO27001-2013信息安全管理体系风险和机遇识别评价分析及应对措施控制程序
ISO27001-2013信息安全管理体系风险和机遇识别评价分析及应对措施控制程序1.目的和范围为了规定公司所采用的信息安全风险评估方法。
通过识别信息资产、风险等级评估本公司的信息安全风险，选择合适控制目标和控制方式将信息安全风险控制在可接受的水平，保持业务持续性发展，以满足信息安全管理方针的要求，特制订本制度。
本制度适用信息安全管理体系范围内信息安全风险评估活动。
2.引用文件1)下列文件中的条款通过本制度的引用而成为本制度的条款。
凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本制度，然而，鼓励各部门研究是否可使用这些文件的最新版本。
凡是不注日期的引用文件，其最新版本适用于本制度。
2)GB/T 22080-2016/ISO/IEC 27001:2013 信息技术-安全技术-信息安全管理体系要求3)GB/T 22081-2016/ISO/IEC 27002:2013 信息技术-安全技术-信息安全管理实施细则4)ISO/IEC 27005:2008《信息技术-安全技术-风险管理》5)《GB/T 20984-2007信息安全风险评估指南》3.职责和权限1)信息安全管理领导小组：负责汇总确认《信息安全风险评估表》，并根据评估结果形成《信息安全风险评估报告》和《残余风险批示报告》。
2)公司全体员工：在信息安全管理领导小组协调下，负责本部门使用或管理的资产的识别和风险评估；负责本部门所涉及的资产的具体安全控制工作。
信息安全管理员在本部门信息资产发生变更时，需要及时清点和评估，并报送信息安全管理领导小组更新《信息安全风险评估表》。
4.风险管理方法通过定义风险管理方法，明确风险接受准则与等级，确保能产生可比较且可重复的风险评估结果。
（如图1）风险管理流程图图1风险管理流程图4.1.风险识别通过进行风险识别活动，识别了以下内容：1)识别了信息安全管理体系范围内的资产及其责任人；2)识别了资产所面临的威胁；3)识别了可能被威胁利用的脆弱点；4)识别了丧失保密性、完整性和可用性可能对资产造成的影响。
IEC270012013信息安全管理体系管理评审文件
管理评审计划ISMS-0107-JL01 编号：202003为验证公司信息安全管理体系的适宜性、充分性和有效性，评价和寻求信息安全管理体系改进的机会和变更的需要（包括安全方针和安全目标），根据《信息安全管理手册》的要求，公司在2020年3月30日进行管理评审。
本次会议由总经理负责主持，管理者代表以及公司各部门负责人参加。
本次管理评审的内容包括：1.信息安全管理体系审核和评审的结果；2.相关方的反馈；3.用于改进信息安全管理体系业绩和有效性的技术、产品或程序；4.预防和纠正措施的状况；5.风险评估没有充分强调的脆弱性或威胁；6.有效性测量的结果；7.内审不符合项的跟踪验证；8.任何可能影响信息安全管理体系的变更；9.改进的建议；参加管理评审的部门应该按照计划要求准备本部门在信息安全管理体系实施中有关材料，并在会议上汇报。
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━编制：XXX审核：XX 批准：XX日期：2020.03.25 日期：2020.03.25 日期：2020.03.25管理评审会议记录时间：2020.03.30地点：公司参加者：各部门人员及管理层记录者：XXX一、评审输入ISMS审核和评审结果。
相关方反馈。
可以用于组织改进其ISMS业绩和有效性的技术、产品或程序。
预防和纠正措施的实施情况。
风险评估中未充分强调的脆弱性和威胁。
有效的测量结果。
内审不符合项的跟踪验证。
任何可能影响ISMS的变更。
信息系统审计的内容。
改进建议二、各部门工作汇报以及测量表的评审三、结论肯定公司ISMS管理体系实施的有效性。
对于前次风险评估的过程认定为有效，特别是对两项残余风险的判定。
公司目前没有任何大的变更会影响到信息安全管理方针、目标、策略集的修改。
通过对ISMS管理体系实施情况的测量，建议在以下方面的实施上，有所改进。
4.1加大IT安全方面的投入力度，如可控制即时通讯软件的网管软件等。
管理评审报告2013
管理评审报告日期：主持人:记录人：参会人：简要记录：一、公司年度目标达成及重要品质问题1）来料品质状况：较之2012年度相比，光身布及绵毡的合格率有下降，其中布料不良上升的主要原因是：新增布料种类较多，特别是雅兰奢侈系列；由于布料档次高，新供应商开始提供的布料质量不稳定，如布料很容易出现色差，整体上就导致不合格率的上升。
绵毡不良上升的主要原因因13年度产品的量急剧上升，绵毡供应商现在设备完全不能满足雅兰需求，新的设备投入后生产不稳定，再就是品管部变更检测方法等，绵毡问题主要体现在克重不均，软硬不均，厚薄不均等不合格。
2014年度，将对主要材料的供应商进行现场审核，并将每月对供应商所提供的来料及生产过程中异常的数据发给供应商知悉，以便供应商改进。
一车间半成品不良流至三五车间较高，未有达到目标，主要原因是面布尺寸误差，跳线，驳口，破损等等方面；完成品2013年度完成品控制较好，目标已达成；4）环境目标、指标的达成情况A、资源消耗方面：2013年度，公司产品总量为314263件（三、四、五车间成品数量），较去年度增长41.7%；共用电899680度，只统计生产车间及气泵房用电，较之去年统计方法有变更，用水24858立方，较之去年度有小小上升；用纸925包，较之去年有小小下降。
总体上，水电消耗在产品有大幅增长的基础上，较之去年只有小小变动，说明2013年度所采取的节约措施有效果，2014年度仍继续；B、环境绩效及目标指标完成情况废气方面：公司废气主要是四车间锯木方时，木屑混圧空气中，工人日常工作均有戴口罩，经华测检测后合格；废水方面：公司无工业废水产生，主要废水是生活废水，为证实废水达标情况，经华测检测后，生活污水中的PH值、SS、CODcr、BOD5、磷酸盐、氨氨等项目进行了检测，根据检测结果，各项指标的含量均远低于广东省水污染排放标准DB44/26-2001的标准，满足标准要求。
C、噪声方面：公司噪声污染源主要有空气压缩机、弹簧机、直线机、助弓机等机台产生的，主要是聚中在二车间，亦进了空气检测，各项结果均符合厂界噪声排放标准GB12348-2008的标准。
ISO27001管理评审报告
信息安全管理体系管理评审报告评审日期：2009 年 4 月 1 日评审目的：分析2009 年度外审前信息安全工作完成情况，评价管理体系的适宜性、充分性、有效性，明确本年度工作目标，提出改进措施、建议，确保信息安全方针、目标的实现和满足法律法规和客户的需求。
评审内容：①安全方针和目标是否正在实现，过去 4 个月中所取得的业绩是否达到、完成或超过安全方针和目标的要求；②管理人员和监督人员过去 4 个月中管理与监督的状况，是否达到预期要求；③管理体系运行是否受控、是否有效（近期内审结果）；④纠正措施和预防措施执行情况如何；⑤听取资源充分性报告；⑥风险评估中提出的薄弱点或威胁；⑦客户反馈意见的汇总分析；⑧员工培训教育情况分析报告；⑨客户投诉及其处理情况汇总；⑩改进的建议；⑪其他日常管理议题。
评审组成员：评审意见和结论：1、本公司按照ISO27001：2005 的要求建立的管理体系全面覆盖了应用软件的开发、系统集成活动和电子验印、票据防伪系统的生产活动；从运行以来，管理体系得到了不断地改进与完善，总体运行情况良好。
2、《ISMS 手册》规定的本公司的安全方针、目标，符合准则要求和本公司实际情况，通过努力正在逐步实现。
3、《ISMS 手册》中所列的控制项（133 项参数或指标）是真实的。
与之相关联的机构和岗位设置是合理的，机构及岗位的职责分工明确，切实可行；与之相关联的人力资源和设备资源配置是充分的、合理的；与之相关联的物理环境条件是符合要求的；各个要素、各个程序和各个环节之间的衔接循环是封闭的。
4、管理体系运行以来，管理及监督人员开展了有效的工作，监督管理工作有明显成效。
上半年共进行了 1 次内审,内审覆盖了本公司所有管理活动和技术活动，内审共发现9 个不符合项，这些问题均已得到了纠正；纠正措施执行情况良好。
5、采用附录A 中的11 类控制方式，其中其中删减了8 处，其余125 个控制点得到了满意的结果，存在少量的一些问题（详见内审报告），也已提交了整改报告。
管理评审报告2013
会议主持管理者代表评审人员最高管理层/各部门主管/质量内审组成员（详见会议签到表）评审目的对质量体系现状进行评审，对所选定的质量体系持续的适宜性和有效性做出综合评价，以保证标准的要求以及实现规定的品质方针和目标。
评审依据■受益者期望■顾客期望、社会要求■新技术、新工艺、■市场环境、宏观政策■ GB / ISO9001：2008—2008idt9001：2008 ■质量手册■程序文件■其他相关文件、ISO9001：2008要素和内容管理评审输入管理评审输出输出内容执行部门完成趋势4.1总要求4.2.1总则--质量方针：全员参与;规范管理顾客满意;持续改善;;--质量目标：1) 产品一次交检合格率达98%；2）顾客满意度85%实际完成状况：2012年各部门均达标完成2012年度预期的质量目标；1）质量方针确定公司方向，质量手册是指导员工行动纲领，程序文件是具体行动的实施指南；总经理管理者代表持续改进2）2013年公司目标均已分解至各部门，各部门均已拟定相应的部门质量目标（经营目标）；并予以贯彻执行。
3）各部门均能按时完成预期制定的质量目标（经营目标）；4.2.3文件控制--质量管理体系文件和资料--工程技术文件和资料的管制--公司系统文件和资料的管制--外来文件管制1）质量系统文件之发行、管理和控制均能使用纸质文件，保证了质量管理系统有关的场所均能达到相应且有效版本文件；为保证和更改的方便及防止丢失，期望人事行政部（文控）均建立电子版备份文件；人事行政部（文控）持续改进2）现场有部分作业指导类补充说明以通知形式粘贴在现场来告知作业员工，未纳入作业指导书进行受控管理（已整改）；3）各部收到的外来文件均已自行使用和管理，但未到文控处办理受控备案；今后各部须将收到外来有关公司运行作业参考和指导类文件和资料或外来指导类文件汇总后到文件部门办理受控备案手续；重要文件资料及保密文件原件必须由文控单位专人负责受控管理和专柜存放；4）相关地方法律法规由人事行政部文控单位下发文件控制一览表交各相关部门进行收集，且目前正在进行收集中；客户提供之技术资料均以外来文件进行实施管控；4.2.4记录的控--品质记录的保存方法，保存1）各部门的质量记录均按《质量控制程序》进行受控管理；人事行政部（文控）（各部门）持续改进会议主持管理者代表评审人员最高管理层/各部门主管/质量内审组成员（详见会议签到表）评审目的对质量体系现状进行评审，对所选定的质量体系持续的适宜性和有效性做出综合评价，以保证标准的要求以及实现规定的品质方针和目标。
ISO27001：2013内部审核报告
年度公司内审报告编号：公司半年度信息安全内部体系审核工作已完成，目前整改工作已经结束。
为评价依据ISO27001标准建立的信息安全管理体系的符合性及运行的有效性，本公司于年月日至年月日对本公司进行了为期天的安全体系审核。
审核依据ISO27001标准及本公司的安全方针、规定和标准文件、相关管理文件及国家法律法规。
此次内审依据客观事实，查出不合格项处。
其分布情况见不合格分布情况表，主要薄弱环节为员工熟悉掌握安全方针和程序文件的工作不够认真，因此在实际工作中出现未严格执行程序文件的情况。
各类不合格情况分布见表1。
表1 不合格项分类情况分布表从内审中发现的不合格项来看，发现不合格事件项（无严重不合格项），均为实施性不合格，无体系性不合格和效果性不合格。
这主要是因为公司有关人员在较大工作压力下，执行ISO27001体系文件过程中不够细致，安全意识有所松懈。
因此建议有关部门针对不合格开展适宜的培训，使有关人员熟悉掌握信息安全管理体系文件及标准，以促使保证公司安全管理体系持续有效的运行。
通过本次内审，根据不合格问题制定出组织公司和各部门进行相应的培训（根据本部门的实际情况而定），在月日前完成整改，纠正措施完成情况见表2。
表2 纠正措施计划完成情况统计表统计日期：年月日审核结果表明，我公司安全管理体系自试运行以来，通过各部门积极遵循公司安全体系文件和ISO27001标准的要求，实行文件化、规范化管理，公司的安全体系运行基本持续有效，符合ISO27001:2005标准，适宜公司的长远发展。
这说明公司领导层及各部门负责人对安全体系给予了高度的重视，并针对不合格及时开展适宜的培训，使有关人员熟悉掌握安全体系文件及标准，内审工作中的纠正措施得以能够按期完成。
通过整改，各部门对公司的安全体系及相关文件理解得更深入了，比较能恰当地应用了，公司安全管理体系持续有效运行，符合安全管理体系标准。
编写：信息安全小组审批：日期：分发范围：各部门部门经理，内审小组成员。
ISO270012013管理评审报告
达成
4、产品按规定的抽样规则
检验，漏检率为0。
依据相关检验记录
1次/月
达成
办公
室
1、IT设备大面积病毒爆 发不超过2起。
以办公室收集的数据为准
1次/半
年
达成
2、员工培训合格率达
100%
根据所制定的培训计划及
考核结果情况进行测量
1次/半
年
达成
财务
室
重要设备盘点范围达到
100%
以财务系统中的数据为准
1次/年
加强正版化软件；落实信息安全奖罚；机房的断电风险依然存在，需要考虑添加相
应设备;增加信息安全方面的员工培训.
编制：信息安全小组
审核：
批准：
日期：
日期：日期：部来自门目标 值考核办法
考核频次
达成情况
生产
部
1、废票及时销毁率》97%
以每月生产的合格数量计
以相关检验记录为依据
1次/月
达成
2、保密纸丢失不超过1
起。
以每月成品批数量计 以相关检验记录为依据
达成
3、确保检测设备使用在有 效期内，
按时校准率为100%
依据检测仪器台帐、检定计
划表及相关的检定合格证
书
1次/半
达成
财务数据泄密不超过1
起
以办公室收集的数据为准
1次/半
年
达成
体系总体评价:
信息安全管理体系持续适宜性： 适宜 信息安全管理体系持续充分性：□充分
信息安全管理体系持续有效性：□有效
公司安全方针的评价：适宜
公司安全目标的评价：全部适宜
信息安全管理体系运行状况
内审状况及其整改结果：目前未发现失效
ISO27001-2013信息安全管理体系风险评估报告
ISO27001-2013信息安全管理体系
风险评估报告
一、实施范围和时间
本公司ISMS所涉及的相关部门以及相关业务活动。
本此风险评估的实施时间为2019年3月16日至2019年3月20日。
二、风险评估方法
参照ISO/IEC27001和ISO/IEC27002标准，以及《GB/T 20984-2007信息安全技术信息安全风险评估规范》等，依据公司的《信息系统管理制度》确定的评估方法。
三、风险评估工作组
经信息中心批准，此次风险评估工作成员如下：
评估工作组组长：xxx
评估工作组成员：xxx、xxx 、xxx、xx
四、风险评估结果
4.1 信息资产清单
各部门的信息资产清单见部门信息资产清单。
4.2重要资产面临威胁和脆弱性汇总
重要资面临的威胁和脆弱性分别见附件一和附件二。
4.3风险结果统计
本次风险评估，共识别出信息安全风险9个，不可接受的风险2个，具体如下：
五、风险处理计划
风险处理计划见附件四
附件一：重要资产面临的威胁汇总表
表1-1：重要硬件资产威胁识别表
表1-2 重要应用系统资产威胁识别表
附件二：重要资产面临的脆弱性汇总表
表 2-1 重要资产脆弱性汇总表
附件三：风险评估问题列表
附件四：风险处理计划
根据本次风险评估结果，对不可接受的风险进行处理。
在选取控制措施和方法时，结合公司的财力、物力和资产的重要度等各种因素，制定如下风险处理计划。
该计划已经信息安全领导办公室审核批准。
ISO27001-2013管理评审计划
ISO27001-2013管理评审计划编制部门：信息安全管理委员会时间：2017年1月10日评审日期2017年1月15日地点会议室主持人李彦忠管理评审目的/范围：目的：通过信息安全管理体系评审，检查各部门执行体系的情况，验证适宜性、充分性、有效性。
范围：适用于评审组织的ISMS，包括信息安全方针和信息安全目标的评审。
管理评审的主要内容：a) ISMS审核和评审的结果、方针和目标；b) 相关方的反馈；c) 可以用于改进ISMS业绩及有效性的技术、产品或程序；d) 纠正和预防措施的实施情况；e) 在以前风险评估没有充分提出的薄弱点或威胁；f) 以往管理评审的跟踪措施；g) 可能影响ISMS的任何更改；h) 改进的建议。
管理评审的进度安排：①各部门做好本部门信息安全管理体系的总结评价，电子邮件至管理者代表，由管代整理完成管理评审输入材料；②各部门于1月15日前将管理评审输入报告电子档送管理者代表处汇总；③管理者代表整理汇总各部门的改进建议，起草作为管理评审输入提交公司总经理；④1月15日召开管理评审会议，作出改进决定。
向管理评审会议提交书面材料及口头报告的要求：①本年度ISMS内部审核结果的汇报（汇报人：管理者代表）②员工、顾客反馈信息和满意程度的测量结果的汇报（汇报人：各部门）③用于改进ISMS执行情况和有效性的技术、产品、规程（汇报人：各部门）④纠正和预防措施的实施情况的汇报（汇报人：各部门）⑤之前风险评估没有充分强调的脆弱点或威胁；风险处理计划的执行情况（汇报人：行政部）⑥信息安全方针和信息安全目标的适宜性和有效性、法律法规、控制目标等有效性的测量；（汇报人：行政部）⑦以往管理评审的跟踪措施；（本次不适用）⑧可能影响ISMS的任何变更；（汇报人：各部门）⑨总经理总结发言，答复各部门建议、提出改进措施。
管理评审会议参加的人员范围：公司总经理、信息安全管理委员会全员、内审员、各部门主管。
管理评审报告发放日期及范围：管理评审报告于评审会议结束后的2日内发出。
2013年管理评审输出报告
2013年管理评审输出报告2013年管理评审输出报告1.0 评审目的评价、确定公司QMS(质量管理体系)持续的适宜性、充分性、有效性，识别确定QMS改进的机会和变更的需求。
2.0 评审时间：2013年7月16日14:00-18:003.0 评审地点：公司220会议室4.0 参加评审人员：主持人：焦双总经理（管理者代表）参加人员：各高管、各部门负责人、内审员等5.0管理评审综述：2013年7月16日，公司召开了2013年度管理评审会议。
会议由企管部副总边玉柱主持：首先由公司总经理焦双（管理者代表）综合汇报了2013年上半年公司质量体系运行的基本情况及主要工作。
重点是质量目标完成情况、目前存在的主要问题、顾客的意见和要求等，针对内外部环境的变化，提出了2013年下半年的工作建议。
然后与会人员就存在的问题、今后的工作重点以及公司质量方针、目标进行了认真的讨论，形成了较为一致的结论，最后会议由企管部副总边玉柱做了总结发言。
6.0 质量方针与质量目标适宜性的评审自公司建立QMS（质量管理体系）以来，考虑公司产品、过程特点、经营宗旨，确定了公司质量方针：以顾客为中心，以诚信为目标，以质量求生存，以管理求效益，以创新求发展，并在其基础上制定了可测量的质量目标，成品一次送检合格率达90%，顾客满意度达85%，每年递增1%（三年内），市场占有率40%（三年内），重、特大安全人身伤害事故为0单，且在各职能部门和层次分解。
经总经理焦双的要求，各部门通过培训学习、日常教育、监督、不断进行宣传，使员工贯彻到自己的实际工作中，使公司逐步形成了较为完善的目标体系管理，使公司质量方针得到有力支撑和体现。
公司质量目标在QMS运行中不断得以提升，产品合格率不断提升，顾客满意度不断提高，投诉、退货不断下降。
为达到我公司质量目标制定、实施的有效，确保质量方针与质量目标保持充分性、适宜性，与会人员讨论，对质量方针、质量目标进行修订，最终确定质量方针：以顾客为中心，以___为目标，以质量求生存，以管理求效益，以创新求发展。
ISO27001-2013管理评审报告-行政部
部门管理评审报告部门行政部日期2017年1月15日报告人审批人序评审项目评审内容号1 ISMS审核和评审的结果；包括会议评审、内审、外审结果及其它形式的审核结果；对体系运行过程中发现的问题已经进行了报告和整改，并向信息安全管理小组提交了纠正报告单。
1. 信息安全方针和目标是正在实现过程中，方针文件经过评审已经发布。
考虑到刚刚实行体系暂不作调整。
过去硬件个月中所取得的业绩比较良好，目标经考核基本能实现；2. 信息安全内外部组织协调顺利，不存在沟通障碍。
建立了内外部专家名单和内外部相关组织联系单。
安全职责分配到位，且建立了相应的授权机制。
目前尚不需要更新，待体系运行一个阶段之后再做调整。
内外部员工的保密协议已经签署完毕，第三方的保密合同正在落实完善过程中。
3. 综合管理部的资产管理到位，均有编号，对特别敏感的文件标识出来单独存放在文件柜中。
目前所有资产均指定责任人。
4. 人力资源安全目前得到有效保障，对人员的任用之前、任用中、任用后均进行适宜的信息安全考察。
员工培训教育在本年度进行了硬件次培训，培训结果基本满意。
体系组织结构合理，能覆盖全公司各个部门，岗位职责明确，相关书面材料尚在进一步调整过程。
5. 物理环境防范措施受条件所限只能满足最低要求，控制还算得当，未出现严重违反公司相关制度情况。
6. 部门内规范了操作流程。
对第三方服务的管理意识增强。
部门成员认证执行公司规定的网络逻辑控制措施，办公计算机的安全设置强度比以前增强。
7. 对信息的访问控制严格遵守授权审批制度，根据不同的人员岗位制定了不同的权限。
8. 综合管理部积极配合软件技术部进行信息系统的维护工作。
9. 安全事件的汇报机制得到建立，注重日常的监督检查管理。
10. 制定了年度的业务连续性计划，对业务连续性的测试和评审有待继续。
11. 综合管理部注重对ISMS符合性的评价。
收集了相关的法律法规和行业规范技术标准。
由于体系建立的时间不长，对其符合性的评价需要持续进行，并注重对法律法规收集的更新和评价。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
ISO27001-2013管理评审报告
评审日期：2017年1月15日
评审目的：验证体系运行的有效性，寻找改进点。
分析2016-2017年度外审前信息安全工作完成情况，评价管理体系的适宜性、充分性、有效性，明确本年度工作目标，提出改进措施、建议，确保信息安全方针、目标的实现和满足法律法规和客户的需求。
一、评审内容：
①安全方针和目标是否正在实现，过去3个月中所取得的业绩是否达到、完成或超过安全方针和目标的要求；
②管理人员和监督人员过去3个月中管理与监督的状况，法律法规的满足程度、以及是否达到预期要求；
③管理体系运行是否受控、是否有效（近期内审结果），体系文件的事宜性；
④纠正措施和预防措施执行情况如何；
⑤听取资源充分性报告；
⑥风险评估报告、可接受风险等级、报告中提出的薄弱点或威胁；
⑦客户反馈意见的汇总分析；
⑧员工培训教育情况分析报告；
⑨客户投诉及其处理情况汇总；
⑩改进的建议；
⑪其他日常管理议题。
二、评审组成员：
总经理、管代、各部门经理、内审员。
三、评审意见和结论：
1、本公司按照ISO27001：2013的要求建立的管理体系，全面覆盖了的业务活动。
从运行以来，管理体系得到了不断地改进与完善，总体运行情况良好。
2、ISMS-1001《信息安全管理手册》规定的本公司的安全方针、目标，符合准则要求和本公司实际情况，通过努力正在逐步实现。
3、ISMS-1001《信息安全管理手册》中所列的控制项是真实的。
与之相关联的机构和岗位设置是合理的，机构及岗位的职责分工明确，切实可行；与之相关联的人力资源和设备资源配置是充分的、合理的；与之相关联的物理环境条件是符合要求的；各个要素、各个程序和各个环节之间的衔接循环是封闭的。
4、管理体系运行以来，管理及监督人员开展了有效的工作，监督管理工作有明显成效。
共进行了1次内审，内审覆盖了本公司与软件研发与技术服务的所有管理活动和技术活动，内审共发现2个不符合项，这些问题均已得到了纠正；纠正措施执行情况良好。
硬件、采用附录A中的11类控制方式，130个控制点得到了满意的结果，存在少量的一些问题（详见内审报告），也已提交了整改报告。
硬件、我司开展的风险评估活动，识别了公司各类信息资产，并进行风险评价。
本公司规定风险评估结果中风险等级≥4定义为不可接受风险，需要对信息资产采取一定控制措施进行处置，本次风险评估识别出高风险，并就高风险资产识别对应的脆弱性和威胁值。
具体对其处置见ISMS-402硬件《信息安全不可接受风险处理计划》。
公司组织召开信息安全管理委员会，大会决议接受风险处置后的残余风险。
硬件、客户反馈的意见，如对信息安全的信心保证；体系运行至今未接到客户投诉，但通过认证是增加信心的有效手段，顾客意见将得到满足。
硬件、内部控制活动正常，但信息沟通还需进一步通畅，员工自觉学习的氛围还没有形成，培训的方式要不断改进。
9、现场记录填写的质量存在问题较多，需进一步加强；内审员的监督作用需要加强并充分发挥。
10、员工信息安全意识需要加强、培训的力度要加大。
可预见的，我公司近年工作类型不会发生重大变化，工作量将会进一步增加。
计算机系统的点检监督监测频次可以根据病毒的爆发情况及相关法律法规、战略目标的调整再次增加；为了进一步加强为客户的服务，提高自己的竞争能力，对控制措施的考评方法可进一步完善。
11、公司各方面日常管理需要进一步规范，保证信息安全管理体系有效稳定运行。
综上所述，本公司的信息安全管理体系文件是一套文件化的完整的受控的体系文件；并建立了相应的组织机构、设置了相应的岗位、配备了相应的人员，其。