ISO27001信息安全体系记录清单

合集下载

ISO27001检查清单

是否有访问控制方针制订
是否对访问控制方针进行了评审是否有用户注册的管理
是否有特权管理的管理是否有口令的管理是否定期对权限进行了审核
是否制定了口令策略
1. 是否有管理清单 2. 记录重要信息的外部存贮介质(例如：外置硬盘，CD,DVD,U盘，PCMCIA移动存储卡，存储备份资料用的备份设备等)，是否被保管在带锁的文件柜中？ 1. 报废的申请和审批记录 1. 确认文本文件的废弃方法。 2. 确认是否将含有重要信息的文本文件就此扔在垃圾箱中或扔在可回收资源的箱子中。 3. 确认是否将垃圾箱和可回收资源的箱子放在安全的场所。 4. 打印机上是否留有文件没有被取走 1. 检查其访问权限设定。 2. 是否有备份确认项目或其他敏感信息是否在发送前经过授权者确认，是否经过信息所有人（如PM）的授和交换涉及方签订NDA 1. 检查包装合理性 2. 搬运方法合理性确认是否有电子邮件使用规则，和实施情况（如发送重要文件时是否有文件加密等） 1. 互联网使用的检查。 2. 户（FX/XC)之间的互联是否有访问控制，权限分配规则如果有文件共享请确认： 1. 确认是否设置了全员都可以访问的权限。 2. 确认对于长时间不使用的人员是否暂停其帐号。 3. 确认共享文件的访问权限范围。是否有定期的Review 1. 确认用户账号是否有申请书。确认用户ID及主要访问的清单，要求删除的用户或访问权限是否及时修改。确认处理申请的记录。如果访问控制清单等是以纸张形式打印出来的，确认是否保管在上锁的地方。电子文档是否保管在只有管理者才能打开的场有没有将口令写在便条上，或者告知他人定期审核记录管理人员的密码设定。是否有员工号等容易推断的密码。 1个帐号是否有多个用户。密码是否记录在便条上。密码为6位英文数字以上。 1. 是否有隔离区 2. 从隔离区外是否可以访问区内网络资源接入网络前是否经过IM或者ISM的安全检查访问策略定义文件对照文件实地观察实施情况审核记录敏感系统列表实地查看实地查看确认合法内容

最新ISO27001：2013信息安全管理体系一整套文件（手册+程序）

最新ISO27001：2013信息安全管理体系一整套文件（手册+程序）最新ISO27001：2013信息安全管理体系一整套文件(手册+程序)1.信息安全管理手册2.信息安全管理程序文件XXXXXX技术服务有限公司版本：A/0受控状态：XXXXXX技术服务有限公司信息安全管理手册(依据GB/T22080-2016)编制：文件编写小组审批： XXX版本：A/0受控状态：受控文件编号：LHXR-ANSC-20182018年4月20日发布 2018年4月20日实施管理手册修改记录页：序号修改原因修改内容版本日期修改者审核者目录0.1 颁布令 (5)0.2 管理者代表任命书 (6)0.3关于成立管理体系工作小组的决定 (7)0.4 公司简介 (8)0.5 组织结构 (8)0.6 信息安全方针与目标 (9)1.0 信息安全方针 (9)2.0 信息安全目标 (9)1.0 范围 (9)1.1 总则 (9)1.2 适用范围 (10)1.3 删减说明 (10)2.0规范性引用文件 (10)3.0 术语与定义 (11)3.3计算机病毒 (11)3.15 相关方 (12)3.16本公司 (12)3.17管理体系 (12)4.0 组织环境 (12)4.1理解组织及其环境 (12)4.2利益相关方的需求和期望 (13)4.3确定信息安全管理体系范围 (13)4.4信息安全管理体系 (14)5.0 领导力 (14)5.1领导和承诺 (14)5.2方针 (15)5.3组织的角色、责任和权限 (15)6.0 规划 (18)6.1 应对风险和机会的措施 (18)6.2 信息安全目标及其实现规划 (20)7.0 支持 (20)7.1资源 (20)7.2能力 (21)7.3意识 (21)7.4沟通 (21)7.5文件化信息 (22)8.0 运行 (24)8.1运行规划和控制 (24)8.2信息安全风险评估 (25)8.3信息安全风险处置 (25)9.0 绩效评价 (25)9.1 监视、测量、分析和评价 (25)9.2 内部审核 (25)9.3 管理评审 (26)10.0 改进 (28)10.1不符合及纠正措施 (28)10.2 持续改进 (29)附1信息安全管理体系职责对照表 (30)0.1 颁布令为提高XXXXXX技术服务有限公司的信息安全管理水平，保障我公司业务活动的正常进行，防止由于信息系统的中断、数据的丢失、敏感信息的泄密所导致的公司和客户的损失，我公司于2018年4月开展贯彻GB/T22080-2016《信息技术-安全技术-信息安全管理体系要求》国际标准工作，建立、实施和持续改进文件化的信息安全管理体系，制定了XXXXXX技术服务有限公司《信息安全管理手册》。

ISO27001记录清单汇编

三年
办公室
55
《业务持续性管理实施计划》
ST/ISMS-JL—055
三年
办公室
56
《业务持续性管理计划测试报告》
ST/ISMS-JL—056
三年
办公室
57
《业务持续性管理计划评审报告》
ST/ISMS-JL—057
三年
办公室
58
《信息资产调查表》
ST/ISMS-JL—058
长期
办公室
59
《重要信息资产清单》
26
《安装软件一览表》
ST/ISMS-JL—026
三年
办公室
27
《采购申请》
ST/ISMS-JL—027
三年
办公室
28
《验收记录》
ST/ISMS-JL—028
三年
办公室
29
《人工查杀病毒记录表》
ST/ISMS-JL—029
三年
软件开发部
30
《重要信息备份周期一览表》
ST/ISMS-JL—030
三年
软件开发部
ST/ISMS-JL—010
三年
办公室
11
《会议记录》
ST/ISMS-JL—011
三年
办公室
12
《不合格项分布表》
ST/ISMS-JL—012
三年
办公室
13
《信息安全风险评估报告》
ST/ISMS-JL—013
三年
办公室
14
《ISMS纠正/预防措施》
ST/ISMS-JL—014
三年
办公室
15
《ISMS管理评审计划》
办公室
75
76
77

ISO27001信息安全管理体系内部审核检查记录表

□符合 □不符合
30
是否对网络服务的安全进行了控制
1.Web访问服务的安全
2.Mail 服务的安全
□符合 □不符合
31
是否有移动介质清单的管理
1.是否有管理清单
2.记录重要信息的外部存贮介质(例如：外置
硬盘，CD,DVD,U盘，PCMCIA移动存储卡，存储
备份资料用的备份设备等)，是否被保管在带锁
的文件柜中？
邮件用户是否清除了？
抽查是否有离职人员的用户权限没有被清除
□符合 □不符合
10
门禁权限是否清除了？
□符合 □不符合
11
是否制订规则划分了安全区域？
确认风险评估时是否划分了安全区域等级
□符合 □不符合
12
是否执行了安全区域划分规则？
对不同等级的区域是否有相应措施，措施是否被执行
□符合 □不符合
13
是否制订安全区域出入规则？
2.从隔离区外是否可以访问区内网络资源
□符合 □不符合
48
是否对网络连接实施了控制
接入网络前是否经过IM或者ISM的安全检查
□符合 □不符合
49
是否制订了信息访问限制策略
访问策略定义文件
□符合 □不符合
50
是否执行了信息访问限制策略
对照文件实地观察实施情况
□符合 □不符合
51
是否对访问策略进行了审核
2. 搬运方法合理性
□符合 □不符合
37
是否按照公司规程实施了电子信息交换
确认是否有电子邮件使用规则，和实施情况（如发送重要文件时是否有文件加密等）
□符合 □不符合
38
是否按照公司规程实施业务信息互联
1.互联网使用的检查。

信息安全管理体系要求的文件清单

规定远程工作要由管理者授权、控制以及对远程工作方法要有到位的合适安排等。
38.
信息安全事故管理程序
A.13
A.13.1.1
A.13.1.2
A.13.2.1
A.13.2.2
A.13.2.3
规定信息安全事故的发现、报告、处理、改进的程序。
建立报告信息安全事件的管理渠道
规定所有员工报告安全弱点
建立安全事故处理的相关职责和程序
5规定安全区域工作的说明
6交接区的管理规定
24.
设备设施管理规定
A.9.2.1
A.9.2.2
A.10.6.1
A.9.2.3
A.9.2.4A.9.2.5
A.9.2.6A.9.2.7
为保护设备，应考虑对其的管理规定，包括：
1设备的安置规则，例如敏感设备放在保险区域，监视环境条件、规定设备附近不得进食等等
为保证信息和信息处理设施的安全，应对外部各方签署协议，内容应包括：
识别与外部各方相关的风险，确定对应处理手段
允许顾客访问之前确定安全要求
与第三方的协议应涵盖所有安全要求
17.
信息分类策略
A.7.2.1
信息应按照它对组织的价值、法律要求、敏感性和关键性予以分类。
18.
信息标记与处理程序
A.7.2.2
A.10.7.3
16．信息安全角色和职责 A.8.1.1
17．信息处理设施操作程序 A.10.1.1
18．信息访问控制策略 A.11.1.1
19．法律法规、合同符合程序 A.15.1.1
二、表单
1．可能影响信息安全管理有效性或绩效的措施和事件的记录4.2.3h
2．ISMS事故记录 4.3.3
3．员工资历记录 5.2.2

ISO27001文件-(信息安全事件报告处理单)

处理人签名：
是否报人事部门处理？ □是 √否体系主管部门意见
签名：
处 □开除 □记过 □严重警告 □警告 □其他：
罚
措
施
人事部门负责人签名：
经理和责任部门负责人共同确定；对于不在公司总部办公现场发生的信息安全事件，还需增加驻外现场负责人联合确定。
□破坏安全措施 □信息设备丢失或损坏
√违反操作规程 □其他
发生原因分析：（1）不按照公司银行现金整点流程的要求进行操作（2）以习惯代替制度，合作不仔细，有章不循（3）中心经理未能及时发现问题也暴露出管理漏洞
处理过程及结果：根据公司《BPO员工管理制度》的“差错事故处理要求”，给公司和行方造成影响的，应给予相应的处罚。对第一责任人江梦真、余玉峰各处以200元人民币罚款，同时延长一个月的试用期。对中心经理陈彩红因管理不力处以200元罚款，并给予警告处分。
编码:
发现日期: 情况描述:
编号
信息安全事件报告处理单
地点:
报告人:
当事人签名确认：
责任部门/责任人影响分析
签名：
事件级别
事实确定
事件类别
□严重影响重大影响 □可控影响 □轻微影响 □IT服务中断或故障 □非授权进入系统（黑客行为） □病毒发作 □口令被破解或冒用 □业务或客户信息泄露 □违反软件版权

ISO27001信息安全体系内部审核整套记录(含内审检查记录)

ISO27001信息安全管理体系整套内审记录汇编Word原件已放在本文档附件区年度内部审核计划ISMS-0106-JL01━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━为验证本公司信息安全管理活动是否符合GB/T22080-2016/ISO27001:2013标准、相关法律法规的要求和信息安全管理要求以及信息安全管理体系的有效性，根据《信息安全管理手册》和《内部审核管理程序》的要求，安排进行2021年度内部审核。

2021年度内部审核工作进行一次，具体时间计划如下：2021年3月10，进行内部信息安全审核。

内部审核的范围应覆盖信息安全管理体系所有部门和活动。

根据体系运行实际情况，由管理者代表提出，总经理批准可增加审核频次。

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━编制：**** 批准：*****日期：2021-3-5 日期：2021-3-5合格内审员评定表ISMS-0106-JL03内审员要求：内审员须具备以下条件，但经特别核准除外。

A.受内、外部信息安全标准相关培训24小时以上且有证明者。

B.对作业现场比较熟悉，具有一定的工作经验。

C.经管理层批准。

合格内审员名单：组长：*** 组员： ****，***内审小组：组长：**** 组员： ***，***附件：附录1：信息安全管理体系内审员考核试题ISO27001信息安全管理体系内审员考核试卷NAME: __________ DA TE____________ SCORE一、单选题（5×12=60分）1.增强ISMS完成业绩的流程称为:a.System planning系统计划b.Continual improvement 持续改进rmation security objective setting信息安全目标设置d.Preventive action预防措施2.根据ISO9000,一系列关联的部件称为:a.Process流程b.Procedure程序c.System系统d.Problem问题3.ISO27001中的方法是基于PDCA的,其中C代表什么?a.Check检查b.Customer 客户c.Conform一致d.Close关闭4.ISO19011是什么的指南:a.Auditing审核b.Writing non conformities写不符合事项c.Implementation of an International standard国际标准实施d.Handling customer complaints控制客户抱怨5.下面那些是信息安全的原则:a.Confidentiality保密b.Integrity完整c.Availability可用d.All of the above上面的全部6.下面那些描述是正确的:rmation security is the responsibility of IT 信息安全是IT的职责rmation security is expensive信息安全太贵rmation security exposes the organization to outsiders信息安全就是向外界揭露组织d.None of the above上面都不正确7.在流程界面之间什么容易产生:a.Arguments争论b.Fireworks摩擦c.Risks风险d.Excess paperwork过度的文档8.第一方审核称为:a.An internal audit内部审核b. A risk assessment风险评估c. A supplier audit供应链审核d. A certification audit认证审核9.在审核流程中的一个关键阶段是:a.Finding non-conformities发现不符合b.Planning计划c.Lunch实施d.Learning the ISO 27001 clause numbers对应ISO27001条款10.内部审核的准则通常是:a.Internal procedures内部流程b.ISO 27001 clauses ISO27001条款c.The department to be visited 必须访问的部门d.Date of visit 访问的时间11.一个不符合事项必须是:a. A failing 一个失误b. A requirement一个需求c.Evidence证据d.All of the above所有上面12.审核员防止不符合重复发生采取的活动称为:a.Corrective纠正措施b.Too late太晚c.Preventive预防措施d.Indirect间接做法二、简答题1.简单描述内部审核员的主要职责（15分）1) 负责编制检查表2) 根据内审安排实施现场审核并填写审核记录；3) 向审核组长提供审核有关的信息，完成所承担的内部审核任务；4) 负责填写不符合项报告单；5) 负责对公司内不符合质量体系要求的提出整改意见及建议；6)负责对不符合项纠正措施进行跟踪、验证。

ISO27001：2013运营部信息安全风险评估记录

2
存储介质故障
无备份安全策略
4
2
3
4
7
14
开发库其他文档
5
数据泄密
无访问控制
5
5
4
4
8
40
受控库其他文档
5
数据泄密
无访问控制
5
5
4
4
8
40
产品库其他文档
5
数据泄密
无访问控制
5
5
4
4
8
40
delphi
10
运行错误,无法使用
未及时打补丁
5
10
3
3
6
60
Sql server 2000
10
运行错误,无法使用
风险评估记录
部门：运营部
资产名称
重要度
面临威胁
脆弱性
暴露
影响①
容易度
措施
可能性②
风险
有效
① X ②
台式计算机
10
病毒感染
无杀毒软件
3
6
2
3
5
30
10
数据损坏丢失
无备份策略
5
10
4
3
7
70
10
数据泄密
无口令策略
4
8
4
4
8
64
服务器
10
非授权访问
配置被修改
4
8
4
4
8
64
10
病毒感染
无杀毒软件
3
6
2
3
5
30
10
进水
硬件损坏系统无法正常运行
2

ISO27001年审记录清单

信息部
业务持续性计划测试报告
10年
信息部
业务持续性计划评审报告
3年
信息部
信息资产识别表
3年
信息部
资产识别和风险评估
重要信息资产清单
3年
信息部
信息资产风险评估表
3年
信息部
风险评估报告
3年
信息部
风险处理计划
3年
信息部
调查报告
3年
信息部ቤተ መጻሕፍቲ ባይዱ
信息事故、异常处理记录
纠正措施
3年
信息部
信息设备更改申请书
3年
信息部
变更管理
1年
信息部
人事相关记录
保持至员工
离职后三年
人事部
财务相关记录
参见财务相关制度
财务部
深圳市模型有限公司
信息安全记录清单
记录
保管期限（年）
保管部门
会议签到记录
公司领导层会议
3年
人事部
公司全员大会
3年
人事部
培训签到
3年
人事部
信息安全管理委员会会议
3年
人事部
内审会议
3年
人事部
管理评审会议
3年
人事部
其他管理会议
2年
人事部
关于合同内容确认的记录
质量保证书
合同结束后3年
采购部
顾客信息安全需求
订单
软件安装/升级申请书
3年
信息部
采购记录
3年
采购部
信息处理设备相关记录
维护记录
3年
信息部
授权记录
设备使用期间保管
信息部
系统开发相关记录
访问记录

ISO27001信息安全管理体系内审全套资料

ISO 27001-2013信息安全管理体系内审全套资料（含内审计划、内审检查表、内审报告）东莞市XXXX有限公司2017年度内部审核计划编号：ISMS-4030序号：20170103-1审核目的：验证公司内部信息安全管理体系是否符合要求，为保证质量体系有效运行及不断得到完善提供依据。

审核范围：所有与信息安全管理有关的人员、部门和岗位。

审核依据：ISO27001-2013标准、管理体系文件、适用性声明、有关法律法规、应用软件的开发、系统集成活动和电子验印、票据防伪系统的生产活动说明：1.审核可以按ISO27001-2013标准集中审核，也可以按部门分月份进行审核，但必须覆盖全部信息安全职责部门和岗位，必须符合ISO27001-2013标准.2.计划在某月份被审核的部门，由内审计划编制者在表内对应处作上“√”的符号，表示该部门在某月将被审核。

编制：XXX 审核：批准：日期：2017-1-4 日期：2017-1-4 日期：2017-1-4受审核部门：陪同人员：审核员：审核日期：信息安全管理体系内部审核检查表东莞XXXX有限公司2017年信息安全内审结论报告编号：ISMS-4034状态：受控编制人：日期：审批人：日期：➢审核目的检查公司信息安全管理体系是否符合ISO27001：2013的要求及有效运行。

➢审核依据ISO27001:2013标准、信息安全手册、程序文件、相关法律法规、合同及适用性声明等。

➢审核范围ISO27001:2013手册所要求的相关活动及部门。

➢审核时间2017年12月20日~ 2017年12月22日1、现场审核情况概述本次审核按信息安全手册及《内部审核管理程序》要求，编制了内审计划及实施计划并按计划进行了实施。

审核小组由2人组成，各分别按要求编制了《内部审核检查表》；内审计划事先也送达受审核部门。

审核组在各部门配合下，按审核计划，分别到部门、现场，采用面谈、现场观察、抽查信息安全体系文件及信息安全体系运行产生的记录等方法，进行了抽样调查和认真细致的检查。

信息安全管理体系改进表ISO27001及ISO20000管理体系

2、由公司相关领导、相关部门领导和专业人员或聘请外单位人员授课。
彳血中心
2021年7月。
2
力口强对体系文件的宣贯和学习，讲究方式，提高效率；加强对软件及应用专业知识和相为⅛律法≡的学习，确保他们具有与其所承担任务相适应的工作能力。
加强文件学习，培训。
1、由管理者代表组织各部门的负责
人开会，明确各部门的工作责任并与要求结合。
信息安全管理体系改进表
（二零一九年六月）
QD-007-03/A0
序号
改进目的
改进内容
实施措施方法
责任部门
实施时间
执行情况确认
1
应不断提高全员的信息安全意识，保证管理体系的有效运行和持续改进，提高体系文件的运行效率，通过体系外审视最近的目的。
员ΞD⅛体系要求不熟悉，还有待加强培训。
1、制订组织学习计为J安汨F,分期分WλI;
机房增加备份服务器，现同步备份管理。
加强机房管理，备份存储管理
心
2021.5
已实现。
5
进一步了解管理部门、社会各界需求业的需求，细分这些需求，逐步满足这些需求，增强本公司竞争力。
增与相关方的沟
通。
1、加强与相关方的沟通。
2、充分识别相关方的要求，并在业务
中进彳段现
研发中心
2021.6
己实现。
2、确定各部门的责任后组织部门人员分期分批学习贯彻。
行好心
2021年下半年。
3
加强对变更后威胁的认识，并据此完善调查制度，逐步建设一套完善的应急监测、响应系统。
人员培训。
加强信息安全体系和风险控制
彳血中心
2021年下半年。