ISO27001：2013信息安全管理体系全套程序04管理评审控制程序

最新ISO27001：2013信息安全管理体系一整套程序文件(共41个程序184页)

XXXXXXXXX有限责任公司信息安全管理体系程序文件编号：XXXX-B-01～XXXX-B-41（符合ISO/IEC 27001-2013标准）拟编：信息安全小组日期：2015年02月01日审核：管代日期：2015年02月01日批准：批准人名日期：2015年02月01日发放编号: 01受控状态：受控2015年2月1日发布2015年2月1日实施[XXXX-B-01]信息安全风险管理程序[XXXX-B-02]文件控制程序[XXXX-B-03]记录控制程序[XXXX-B-04]纠正措施控制程序[XXXX-B-05]预防措施控制程序[XXXX-B-06]内部审核管理程序[XXXX-B-07]管理评审程序[XXXX-B-08]监视和测量管理程序A6[XXXX-B-09]远程工作管理程序A7[XXXX-B-10]人力资源管理程序A8[XXXX-B-11]商业秘密管理程序A8[XXXX-B-12]信息分类管理程序A8[XXXX-B-13]计算机管理程序A8[XXXX-B-14]可移动介质管理程序A9[XXXX-B-15]用户访问管理程序A9[XXXX-B-16]信息系统访问与监控管理程序A9[XXXX-B-17]信息系统应用管理程序A10[XXXX-B-18]账号密码控制程序A11[XXXX-B-19]安全区域管理程序A12.1.2[XXXX-B-20]变更管理程序A12.1.3[XXXX-B-21]容量管理程序A12.2.1[XXXX-B-22]恶意软件管理程序A12.3[XXXX-B-23]重要信息备份管理程序A12.6[XXXX-B-24]技术薄弱点管理程序A13[XXXX-B-25]电子邮件管理程序A13[XXXX-B-27]信息安全沟通协调管理程序A13[XXXX-B-28]信息交换管理程序A14.2.9[XXXX-B-29]信息系统验收管理程序A14.2[XXXX-B-30]信息系统开发建设管理程序A14[XXXX-B-31]软件开发管理程序A14[XXXX-B-32]数据安全管理程序A14[XXXX-B-33]OA管理程序A15.2[XXXX-B-34]第三方服务管理程序A15[XXXX-B-35]供应商管理程序A15[XXXX-B-36]相关方信息安全管理程序A16[XXXX-B-37]信息安全事件管理程序A17.2[XXXX-B-38]信息处理设施管理程序A17[XXXX-B-39]业务持续性管理程序A18[XXXX-B-40]信息安全法律法规管理程序A18[XXXX-B-41]知识产权管理程序XXXXXXXXX有限责任公司知识产权管理程序[XXXX-B-41]V1.0知识产权管理程序变更履历1 目的通过对知识产权的流程管理，规范整个知识产权管理工作，保证知识产权管理工作的每个环节的合理性、有效性和流畅，为组织的知识产权保护与管理奠定基础。

最新ISO27001：2013信息安全管理体系一整套文件（手册+程序）

最新ISO27001：2013信息安全管理体系一整套文件（手册+程序）最新ISO27001：2013信息安全管理体系一整套文件(手册+程序)1.信息安全管理手册2.信息安全管理程序文件XXXXXX技术服务有限公司版本：A/0受控状态：XXXXXX技术服务有限公司信息安全管理手册(依据GB/T22080-2016)编制：文件编写小组审批： XXX版本：A/0受控状态：受控文件编号：LHXR-ANSC-20182018年4月20日发布 2018年4月20日实施管理手册修改记录页：序号修改原因修改内容版本日期修改者审核者目录0.1 颁布令 (5)0.2 管理者代表任命书 (6)0.3关于成立管理体系工作小组的决定 (7)0.4 公司简介 (8)0.5 组织结构 (8)0.6 信息安全方针与目标 (9)1.0 信息安全方针 (9)2.0 信息安全目标 (9)1.0 范围 (9)1.1 总则 (9)1.2 适用范围 (10)1.3 删减说明 (10)2.0规范性引用文件 (10)3.0 术语与定义 (11)3.3计算机病毒 (11)3.15 相关方 (12)3.16本公司 (12)3.17管理体系 (12)4.0 组织环境 (12)4.1理解组织及其环境 (12)4.2利益相关方的需求和期望 (13)4.3确定信息安全管理体系范围 (13)4.4信息安全管理体系 (14)5.0 领导力 (14)5.1领导和承诺 (14)5.2方针 (15)5.3组织的角色、责任和权限 (15)6.0 规划 (18)6.1 应对风险和机会的措施 (18)6.2 信息安全目标及其实现规划 (20)7.0 支持 (20)7.1资源 (20)7.2能力 (21)7.3意识 (21)7.4沟通 (21)7.5文件化信息 (22)8.0 运行 (24)8.1运行规划和控制 (24)8.2信息安全风险评估 (25)8.3信息安全风险处置 (25)9.0 绩效评价 (25)9.1 监视、测量、分析和评价 (25)9.2 内部审核 (25)9.3 管理评审 (26)10.0 改进 (28)10.1不符合及纠正措施 (28)10.2 持续改进 (29)附1信息安全管理体系职责对照表 (30)0.1 颁布令为提高XXXXXX技术服务有限公司的信息安全管理水平，保障我公司业务活动的正常进行，防止由于信息系统的中断、数据的丢失、敏感信息的泄密所导致的公司和客户的损失，我公司于2018年4月开展贯彻GB/T22080-2016《信息技术-安全技术-信息安全管理体系要求》国际标准工作，建立、实施和持续改进文件化的信息安全管理体系，制定了XXXXXX技术服务有限公司《信息安全管理手册》。

ISO27001：2013信息安全管理手册和程序文件

编写委员会信息安全管理手册GLSC2020第A/0版编写：审核：批准：受控状态：XXX网络科技有限公司发布时间：2020年9月1日实施时间：2020年9月1日01目录02修订页03颁布令为提高我公司的信息安全管理水平,保障公司和客户信息安全，依据GB/T 2 2080-2016/ISO/IEC 27001:2013《信息技术安全技术信息安全管理体系要求》结合本公司实际，特制定信息安全管理手册（以下简称“管理手册”）A/0版。

《管理手册》阐述了公司信息安全管理，并对公司管理体系提出了具体要求，引用了文件化程序，是公司管理体系的法规性文件，它是指导公司建立并实施管理体系的纲领和行动准则，也是公司对所有社会、客户的承诺。

《管理手册》是由公司管理者代表负责组织编写，经公司总经理审核批准实施。

《管理手册》A/0版于2020年9月1日发布，并自颁布日起实施。

本公司全体员工务必认真学习,并严格贯彻执行，确保公司信息安全管理体系运行有效，实现信息安全管理目标，促使公司信息安全管理工作得到持续改进和不断发展。

在贯彻《管理手册》中，如发现问题，请及时反馈，以利于进一步修改完善。

授权综合部为本《管理手册》A/0版的管理部门。

XXX网络科技有限公司总经理：2020年9月1日04任命书为了贯彻执行GB/T 22080-2016/ISO/IEC 27001:2013《信息技术安全技术信息安全管理体系要求》，加强对管理体系运作的领导，特任命gary为本公司的信息安全管理者代表。

除履行原有职责外，还具有以下的职责和权限如下：（1）确保信息安全管理体系的建立、实施、保持和更新；进行资产识别和风险评估。

（2）向最高管理者报告管理体系的有效性和适宜性，并作为评审依据用于体系的改进；（3）负责与信息安全管理体系有关的协调和联络工作；（4）负责确保管理手册的宣传贯彻工作；（5）负责管理体系运行及持续改进活动的日常督导；（6）负责加强对员工的思想教育和业务、技术培训，提高员工信息安全风险意识；（7）主持公司内部审核活动，任命内部审核人员；（8）代表公司就公司管理体系有关事宜与外部进行联络。

ISO27001：2013管理评审控制制度

XXXXXX软件有限公司人性化科技提升业绩管理评审控制制度目录1. 目的和范围 (2)2. 引用文件 (2)3. 职责和权限 (2)4. 活动描述 (3)4.1.管理评审周期 (3)4.2.管理评审内容 (3)4.3.管理评审计划 (4)4.4.评审实施 (5)5. 持续改进 (6)6. 相关记录 (6)1.目的和范围为了确保现行信息安全管理体系的适宜性、充分性和有效性；现行信息安全管理体系持续有效地满足标准的要求；公司的信息安全方针和目标适应自身发展的需要，对信息安全管理体系进行评审，特制定本制度。

本制度适用于信息安全管理体系管理评审过程。

2.引用文件1)下列文件中的条款通过本规定的引用而成为本规定的条款。

凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励各部门研究是否可使用这些文件的最新版本。

凡是不注日期的引用文件，其最新版本适用于本标准。

2)GB/T 22080-2016/ISO/IEC 27001:2013 信息技术-安全技术-信息安全管理体系要求3)GB/T 22081-2016/ISO/IEC 27002:2013 信息技术-安全技术-信息安全管理实施细则4)《纠正和预防措施控制制度》5)《文件控制制度》3.职责和权限1)信息安全管理领导小组：负责对信息安全管理体系进行管理评审，对体系的变更和修改进行决策。

2)体系负责人：负责组织召开管理评审会议，并向信息安全管理领导小组汇报信息安全管理体系的运行情况。

3)信息安全工作小组：负责管理评审材料的收集,并根据管理评审的决定，组织进行跟踪、验证实施效果。

4)行政部: 负责管理评审相关材料的备案。

5)各部门：负责本部门提供评审材料。

4.活动描述4.1. 管理评审周期公司按年度召开信息安全管理体系的管理评审会议，会议一般在内审及第三方审核之后召开，会议对前一年信息安全情况做出评审，评审结果作为下一年信息安全计划的输入。

ISO27001管理评审管理程序

文件制修订记录1、概述1.1目的为确保公司信息安全管理体系持续的适宜性、充分性和有效性，评估公司信息安全管理体系改进和变更的需要，包括信息安全方针、目标，特制定本程序。

1.2.范围适用于对公司信息安全管理体系运行的现状和适应性进行管理评审的活动。

2、职责A、最高管理者主持管理评审活动；批准《管理评审计划》；批准《管理评审报告》。

B、管理者代表负责组织召开管理评审会议；负责管理评审计划的落实和组织协调工作；跟踪验证管理评审问题的处理；审查《管理评审计划》和《管理评审报告》。

C、体系策划、贯彻团队负责制定《管理评审计划》，收集管理评审所需文件和记录；评审过程的组织工作、作好评审会议记录并编写《管理评审报告》；负责组织完成管理评审输入资料准备；保存管理评审相关记录；D、评审团队依据评审计划对管理体系进行评审；E、各相关部门负责准备、提供与本部门工作有关的评审所需材料，并负责实施管理评审中提出的相关纠正、预防措施。

3、内容3.1审核频率公司每年进行一次年度管理评审（管理评审时间间隔不超过12个月），此外，在下列情况下，管理者代表可临时决定进行管理评审。

➢产品、流程、系统、组织机构、人员和资源等有重大调整；信息安全方针、目标等发生变化；➢当业务过程发生重大事故造成重大损失时；发生重大顾客抱怨或投诉；➢管理体系审核发现严重不符合项；➢国家法令、法规、规章制度、标准等有所要求；其他不可预见情况。

3.2管理评审程序3.2.1管理评审策划管理评审计划制定管理评审小组应于每次管理评审前编制《管理评审计划》，上报管理者代表审核并由最高管理者批准，下发各相关人员。

管理评审计划的主要内容包括：➢评审时间及地点；评审目的；➢评审范围及评审重点；参加评审人员；➢评审依据；评审内容。

3.2.2管理评审实施1）管理评审准备管理评审小组应提前一周下发管理评审计划，通知参加评审的有关人员，参加评审人员负责准备与本部门有关的评审资料，并提交给管理评审小组。

ISO27001管理评审控制程序

文件制修订记录1.0目的为确保ISO27001信息安全管理体系持续的适宜性、充分性、有效性，对信息安全管理体系、信息安全方针/服务方针和信息安全管理目标/服务目标进行定期评审，并保证与法律、法规、公司其他制度、原则性文件不相悖的前提下制定本程序。

2.0适用范围本程序适用于最高管理者对信息安全管理体系的评审。

3.0职责与权限3.1 公司高管➢主持召开管理评审大会；➢批准《管理评审报告》3.2 管理者代表➢批准《管理评审计划》；➢组织召开管理评审会；➢组织撰写《管理评审报告》3.3 主管体系建设部门（人事部）➢制定《管理评审计划》；➢负责搜集并提供管理评审资料；➢负责对评审后的纠正、预防措施进行跟踪和验证。

3.4 各部门➢准备、提供与本部门工作相关的评审所需资料；➢负责实施管理评审中提出的相关的纠正、预防措施。

4.0程序和工作流程4.1 制定年度管理评审计划4.1.1 年度管理评审计划组织主管部门根据信息安全管理体系/IT服务管理体系的运营情况，根据《信息安全管理手册》以及ISO27001的标准要求，于每年年初制定《年度管理评审计划》。

管理评审计划由管理者代表审批后方可生效。

4.1.2 年度管理评审计划的内容管理评审计划的主要内容包括：审核目的、审核范围、审核准则、审核组的组建、审核员的资质等的要求、审核的时间、参与评审的部门等。

4.1.3 管理评审的频次管理评审一般每年进行一次，一般在同一年度最后一次内部审核完成后进行。

也可根据需要安排。

当出现下列情况之一时可适当增加管理评审频次：①公司组织机构、服务范围、资源配置发生重大变化时；②发生重大信息安全事故或关于信息安全有严重投诉或投诉连续发生时；③当法律、法规、标准及其他要求有变化时；④市场需求发生重大变化时；⑤即将进行第二、三方审核时；⑥审核中发现严重不合格时。

4.2 管理评审的准备4.2.1《管理评审计划》管理评审实施计划由主管体系建设部门组织制定。

ISO27001信息安全管理体系全套程序文件

修订日期：2019.12.18修订日期：2019.12.18信息安全风险评估管理程序1 适用本程序适用于本公司信息安全管理体系（ISMS）范围内信息安全风险评估活动。

2 目的本程序规定了本公司所采用的信息安全风险评估方法。

通过识别信息资产、风险等级评估，认知本公司的信息安全风险，在考虑控制成本与风险平衡的前提下选择合适控制目标和控制方式将信息安全风险控制在可接受的水平，保持本公司业务持续性发展，以满足本公司信息安全管理方针的要求。

3 范围本程序适用于第一次完整的风险评估和定期的再评估。

在辨识资产时，本着尽量细化的原则进行，但在评估时我司又会把资产按照系统进行规划。

辨识与评估的重点是信息资产，不区分物理资产、软件和硬件。

4 职责4.1 成立风险评估小组办公室负责牵头成立风险评估小组。

4.2 策划与实施风险评估小组每年至少一次，或当体系、组织、业务、技术、环境等影响企业的重大事项发生变更、重大事故事件发生后，负责编制信息安全风险评估计划，确认评估结果，形成《信息安全风险评估报告》。

4.3 信息资产识别与风险评估活动各部门负责本部门使用或管理的信息资产的识别，并负责本部门所涉及的信息资产的具体安全控制工作。

4.3.1 各部门负责人负责本部门的信息资产识别。

4.3.2 办公室经理负责汇总、校对全公司的信息资产。

修订日期：2019.12.184.3.3 办公室负责风险评估的策划。

4.3.4 信息安全小组负责进行第一次评估与定期的再评估。

5 程序5.1 风险评估前准备5.1.1 办公室牵头成立风险评估小组，小组成员至少应该包含：信息安全管理体系负责部门的成员、信息安全重要责任部门的成员。

5.1.2风险评估小组制定信息安全风险评估计划，下发各部门内审员。

5.1.3必要时应对各部门内审员进行风险评估相关知识和表格填写的培训。

5.2 信息资产的识别5.2.1 本公司的资产范围包括：5.2.1.1信息资产1)数据文档资产：客户和公司数据，各种介质的信息文件包括纸质文件。

ISO27001-2013信息安全管理体系要求

目录前言 (3)0 引言 (4)0.1 总则 (4)0.2 与其他管理系统标准的兼容性 (4)1. 范围 (5)2 规范性引用文件 (5)3 术语和定义 (5)4 组织景况 (5)4.1 了解组织及其景况 (5)4.2 了解相关利益方的需求和期望 (5)4.3 确立信息安全管理体系的范围 (6)4.4 信息安全管理体系 (6)5 领导 (6)5.1 领导和承诺 (6)5.2 方针 (6)5.3 组织的角色，职责和权限 (7)6. 计划 (7)6.1 应对风险和机遇的行为 (7)6.2 信息安全目标及达成目标的计划 (9)7 支持 (9)7.1 资源 (9)7.2 权限 (9)7.3 意识 (10)7.4 沟通 (10)7.5 记录信息 (10)8 操作 (11)8.1 操作的计划和控制措施 (11)8.2 信息安全风险评估 (11)8.3 信息安全风险处置 (11)9 性能评价 (12)9.1监测、测量、分析和评价 (12)9.2 内部审核 (12)9.3 管理评审 (12)10 改进 (13)10.1 不符合和纠正措施 (13)10.2 持续改进 (14)附录A(规范)参考控制目标和控制措施 (15)参考文献 (28)前言0 引言0.1 总则本标准提供建立、实施、保持和持续改进信息安全管理体系的要求。

采用信息安全管理体系是组织的一项战略性决策。

组织信息安全管理体系的建立和实施受组织的需要和目标、安全要求、所采用的过程、规模和结构的影响。

所有这些影响因素可能随时间发生变化。

信息安全管理体系通过应用风险管理过程来保持信息的保密性、完整性和可用性，并给相关方建立风险得到充分管理的信心。

重要的是，信息安全管理体系是组织的过程和整体管理结构的一部分并集成在其中，并且在过程、信息系统和控制措施的设计中要考虑到信息安全。

信息安全管理体系的实施要与组织的需要相符合。

本标准可被内部和外部各方用于评估组织的能力是否满足自身的信息安全要求。

ISO27001：2013信息安全管理体系一整套程序

文件控制制度目录1.目的和范围 (3)2.引用文件 (3)3.职责和权限 (3)4.管理内容及控制要求 (3)4.1文件的分类 (3)4.2文件编制 (3)4.3文件标识 (4)4.4文件的发放 (5)4.5文件的控制 (5)4.6文件的更改 (5)4.6.1文件更改申请 (5)4.6.2文件更改的审批或评审 (5)4.6.3文件更改的实施 (6)4.6.4版本控制 (6)4.7文件的评审 (6)4.8文件的作废 (6)4.9外来文件的管理 (6)4.10文件的归档 (6)5.相关记录 (7)1.目的和范围为了有效控制信息安全管理体系文件，对文件的编制、审核、批准、标识、发放、管理、使用、评审、更改、修订、作废等过程实施有效控制，确保部门使用现行的有效版本，特制订本制度。

本制度适用于信息安全管理体系文件的管理。

2. 引用文件1)《合规性实施制度》2)《信息资产分类分级管理制度》3.职责和权限1)总经办是信息安全管理体系文件的归口部门，负责信息安全有关的所有文件的管理与控制。

2)各部门：负责本部门信息安全管理文件的管理与控制。

4.管理内容及控制要求4.1文件的分类信息安全管理体系文件主要包括：1)第一层：信息安全管理手册、信息安全目标、信息安全适用性声明（SOA）、信息安全策略；2)第二层：制度文件；3)第三层：各管理规定、管理办法、流程、作业指导书（指南）及外来文件等；4)第四层：记录、表单。

记录控制执行《记录控制制度》。

4.2文件编制文件编制要有充分的依据，体现系统协调，可操作、可检查的原则。

1)第一层：信息安全管理手册由体系负责人组织编写，信息安全管理者代表审核，总经理批准发布。

2)第二、三层：由相关责任部门编写，信息安全管理者代表审核，总经理批准发布。

3)第四层：由相关责任部门编写，文档负责人审批，信息安全管理者代表批准发布。

4.3文件标识所有文件必须有明确的标识，包括：文件的名称、编号、版本号、密级标识等。

ISO27001：2013信息安全管理体系一整套程序文件

4.1 防范的措施，主要是安装防火墙、入侵检测系统、使用加密程序和安装杀病毒软件。
4.1.1 在对外互联的网络间，IT 部安装防火墙、入侵检测系统、使用加密程序，同时在服务器和客户端上安装杀病毒软件。各部门应根据 IT 部的安排，从指定的网络服务器上安装企业版防病毒软件；单独成网或存在单机的部门，应由本部门 PC 管理员或指定专人负责安装防病毒软件，并周期性（如每周）对病毒库进行升级。 4.1.2 对于配置低、不适宜安装防病毒软件的微机，则不能接入局域网，进行病毒查杀和防范控制，加强日常点检，应做好点检记录。 4.1.3 XX 部负责设置企业版防病毒服务器，每日通过互联网自动进行病毒库的更新升级。
文件名称文件编号
恶意软件控制程序
XX-ISMS-10
版次 A/0
页码
日期 2017.11.01 3 /3
安全策略，确保本公司网络的安全。 4.4.2 对于涉及公司机密和国家秘密等重要系统严格实施网络隔离政策，严禁与互联网连接。
4.5 各部门应按照信息备份的要求(《重要信息备份管理程序》）进行重要数据和软件的备份。
a) 安装反病毒软件； b) 使用正版软件； c) 对软件更改进行控制； d) 对软件开发过程进行控制； e) 其他必要措施。
4.2 XX 部组织各部门进行有关防病毒及其他后门程序等恶意软件预防工作的培训，使各部门明确病毒及其他恶意软件的管理程序及责任。
4.3 预防恶意软件的通用要求保护不受恶意软件攻击的基础是安全意识，适当的系统权限。所有 IT 用户应养成良好
5 相关文件
《重要信息备份管理程序》《信息处理设备管理程序》
文件名称文件编号
第一节总则
更改控制程序
XX-ISMS-11

ISO27001：2013信息安全法律法规管理程序

XXX科技有限公司
信息安全法律法规管理程序
编号：ISMS-B-10
版本号：V1.0
编制：日期：
审核：日期：
批准：日期：
受控状态
1 目的
为确保组织信息安全活动符合信息安全管理法律法规的要求，确保所应用的信息安全管理法律法规和其他要求的适用性，特制定本程序。

2 范围
本程序适用于组织信息安全管理所涉及的相关法律、法规和其他要求的控制管理。

3 职责
3.1 综合管理部
负责收集法律法规和其他要求，组织相关部门对法律法规和其他要求的适宜性和合规性进行评审。

3.2 各部门
负责对本部门的信息安全相关法律法规及其他要求的适宜性的识别、评审、更新，并负责将信息安全相关的法律法规及其他要求文件传达给员工遵照执行。

4 引用文件
《信息安全管理手册》
《文件控制程序》
5 程序
5.1 法律、法规和其他要求的分类
a)国际性信息安全管理法律、法规和其他要求；
b)国家信息安全管理法律法规及标准规范；
c)地方和行业性信息安全管理规章及标准规范；
d)客户与相关方的信息安全要求。

5.2 法律、法规和其他要求的获取、识别。

ISO27001：2013管理评审程序

XXX科技有限公司
管理评审程序
编号：ISMS-B-07
版本号：V1.0
编制：日期：
审核：日期：
批准：日期：
受控状态
1 目的
为确保组织信息安全管理体系持续的适宜性、充分性和有效性，评估组织信息安全管理体系改进和变更的需要，特制定本程序。

2 范围
本程序适用于对信息安全管理体系中要求进行的管理评审的实施程序的管理。

3 职责
3.1 总经理
主持信息安全管理体系管理评审。

3.2 综合管理部
负责信息安全管理体系管理评审的归口管理。

4 相关文件
《信息安全管理手册》
《文件控制程序》
《记录控制程序》
5 程序
5.1 管理评审策划
5.1.1 管理评审的频次
5.1.1.1 定期
管理评审由总经理主持，通常每年进行一次，一般在内部审核后进行。

ISO27001：2013信息安全管理体系全套程序 03内部审核控制程序

2范围
本程序适用于公司信息安全管理体系内部审核工作的实施和管理。
3职责
3.1营销中心负责内部审核的计划和实施。
4相关文件
4.1《信息安全管理手册》
5程序
5.1审核计划
5.1.1内部审核每年进行一次，由营销中心制定《内部审核方案》，经管理者代表审核、总经理批准后实施；特殊情况，经营销中心提出、管理者代表审核，总经理批准，可增加审核频次。
5.3.2对审核中发现的不符合项，由内部审核员开出《不符合项报告》一式两份，一份交被审核部门，一份由营销中心存档。
5.4纠正措施与跟踪审核
5.4.1所有不符合项应由不符合项的责任部门负责按以下要求制定纠正措施并认真实施：
（1）检查本部门其他方面和其他各部门是否存在类似情况；
（2）对所有存在的不符合的问题按有关规定改正过来；
5.5.3营销中心应妥善保存评审记录。
6记录
6.1《内部审核方案》
6.2《内部审核计划》
6.3《内部审核员评定表》
6.4《内部审核员名单》
6.5《员工保密协议》
6.6《不符合项报告》
6.7《内部审核报告》
6.8《不符合项报告分布表》
6.9《内部审核报告发放记录》
5.4.2内部审核员在规定期限进行跟踪审核，对纠正措施的实施及有效性进行验证，并将验证结果记入《不符合项报告》。
5.5审核报告
5.5.1内部审核结束后，审核组长应起草《内部审核报告》，编制《不符合项报告分布表》，报总经理审阅，总经理签署意见后发至各部门，并保存《内部审核报告发放记录》。
5.5.2内部审核的结果应作为管理评审输入的一部分。
5.2.3营销中心选择符合内部审核条件的人员填写《内部审核员评定表》，由管理者代表代表组织各部门代表评定。评定合格的列入《内部审核员名单》。

ISO27001：2013相关方信息安全管理程序

XXX科技有限公司相关方信息安全管理程序编号：ISMS-B-20版本号：V1.0编制：日期：审核：日期：批准：日期：受控状态1 目的为加强对组织相关方的控制，识别其信息安全风险，采取相应措施，防范组织的信息资产损失，特制定本程序。

2 范围本程序适用于组织信息安全管理范围内外部相关方管理活动，包括对供应商、外来人员、公司外驻员工、废弃物处理方及客户的信息安全方面的管理和监督。

3 职责3.1 综合管理部a)组织各部门识别外部相关方对信息资产和信息处理设施造成的风险；b)定期组织对相关方控制的实施活动进行检查与跟踪；c)负责与相关方人员签订保密协议。

3.2 各相关部门a)负责对本部门、本项目外的部门的相关方进行控制和管理；b)负责对客户提供的信息采取保密措施。

4 相关文件《安全区域管理程序》《物理访问策略》《用户访问管理程序》5 程序5.1 管理对象a)服务提供商：互联网服务提供商、电话提供商、IT维护和支持服务提供商、软件产品和IT系统开发商和供应商；b)管理服务提供商，管理咨询，业务咨询，外部审核方；c)清洁、物业、会计以及其他外包的支持性服务提供商；d)外来人员：快递人员、供应商等临时人员、实习学生；e)客户。

5.2 相关方信息安全管理综合管理部组织各部门识别外部相关方对信息资产和信息处理设施造成的风险，并在批准外部相关方访问信息资产和信息处理设施前，对所识别的风险实施适当的控制。

涉及对组织的信息资产物理访问、逻辑访问时，综合管理部应与相关方签署《相关方保密协议》。

《相关方保密协议》中应反映所有与相关方合作而引起的内部管理需求或信息安全需求，《相关方保密协议》中还要提请相关方对其员工进行必要的信息安全意识、技能培训和教育，使其满足工作要求。

在对信息安全的要求未实施适当的控制之前不应向外部相关方提供权限进行信息的访问。

综合管理部应确保外部相关方认识到其义务，并接受与访问、处理、交流或管理组织信息和信息处理设施相关的责任和义务。