信息安全策略(模板27001)(精.选)

信息安全策略

变更履历

*变化状态：C——创建，A——增加，M——修改，D——删除

目录

1. 目的和范围......................... 错误!未指定书签。

2. 术语和定义......................... 错误!未指定书签。

3. 引用文件........................... 错误!未指定书签。

4. 职责和权限......................... 错误!未指定书签。

5. 信息安全策略....................... 错误!未指定书签。

5.1. 信息系统安全组织............. 错误!未指定书签。

5.2. 资产管理..................... 错误!未指定书签。

5.3. 人员信息安全管理............. 错误!未指定书签。

5.4. 物理和环境安全............... 错误!未指定书签。

5.5. 通信和操作管理............... 错误!未指定书签。

5.6. 信息系统访问控制............. 错误!未指定书签。

5.7. 信息系统的获取、开发和维护安全错误!未指定书签。

5.8. 信息安全事故处理............. 错误!未指定书签。

5.9. 业务连续性管理............... 错误!未指定书签。

5.10. 符合性要求.................. 错误!未指定书签。1附件............................... 错误!未指定书签。

1. 目的和范围

1)本文档制定了的信息系统安全策略，作为信息安全的基本标

准，是所有安全行为的指导方针，同时也是建立完整的安全管理体系最根本的基础。

2)信息安全策略是在信息安全现状调研的基础上，根据27001

的最佳实践，结合现有规章制度制定而成的信息安全方针和策略文档。本文档遵守政府制定的相关法律、法规、政策和标准。

本安全策略得到领导的认可，并在公司内强制实施。

3)建立信息安全策略的目的概括如下：

a)在内部建立一套通用的、行之有效的安全机制；

b)在的员工中树立起安全责任感；

c)在中增强信息资产可用性、完整性和保密性；

d)在中提高全体员工的信息安全意识和信息安全知识水

平。

本安全策略适用于公司全体员工，自发布之日起执行。

2. 术语和定义

1)解释

2)词语使用

3. 引用文件

下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励各部门研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。

1) 27001:2005 信息技术-安全技术-信息安全管理体系

要求

2) 17799:2005 信息技术-安全技术-信息安全管理实

施细则

4. 职责和权限

信息安全管控委员会：负责对信息安全策略进行编写、

评审，监督和检查公司全体员工执行情况。

5. 信息安全策略

目标：为信息安全提供管理指导和支持，并与业务要求和相关的法律法规保持一致。

1)策略下发

本策略必须得到管理层批准，并向所有员工和相关

第三方公布传达，全体人员必须履行相关的义务，

享受相应的权利，承担相关的责任。

2)策略维护

本策略通过以下方式进行文档的维护工作：

必须每年按照《风险评估管理程序》进行例行的风

险评估，如遇以下情况必须及时进行风险评估：

a)发生重大安全事故

b)组织或技术基础结构发生重大变更

c)安全管理小组认为应当进行风险评估的

d)其他应当进行安全风险评估的情形

风险评估之后根据需要进行安全策略条目修订，并

在内公布传达。

3)策略评审

每年必须参照《管理评审程序》执行公司管理评审。

4)适用范围

适用范围是指本策略使用和涵盖的对象，包括现有

的业务系统、硬件资产、软件资产、信息、通用服

务、物理安全区域等。对于即将投入使用和今后规

划的信息系统项目也必须参照本策略执行。

5.1. 信息系统安全组织

目标：在组织内部管理信息安全，保持可被外部组织访

问、处理、沟通或管理的信息及信息处理设备的

安全。

1)内部组织

●公司的管理层对信息安全承担最终责任。管理者职责参

见《信息安全管理手册》。

●公司的信息系统安全管理工作采取信息安全管控委员会

统一管理方式，其他相关部门配合执行。公司的内部信息

安全组织包括信息安全管理小组，小组的人员组成以及相

关职责参见《公司信息安全组织结构图》。

●各个部门之间必须紧密配合共同进行信息安全系统的维

护和建设。相关部门岗位的分工与责任参见《信息安全管

理手册》。

●任何新的信息系统处理设施必须经过管理授权的过程。

并更新至《信息资产列表》。

●信息系统内的每个重要的资产需要明确所有者、使用人

员。参见《信息资产列表》。

●凡是涉及重要信息、机密信息（相关定义参见《信息资

产鉴别和分类管理办法》等信息的处理，相关的工作岗位员工以及第三方都必须签署保密协议。

●应当与政府机构保持必要的联系共同协调信息安全相关

问题。这些部门包括执法部门、消防部门、上级监管部门、电信供应商等提供公共服务的部门。

●应当与相关信息安全团体保持联系，以取得信息安全上

必要的支持。这些团体包括外部安全咨询商、独立的安全技术专家等。

●信息安全管理小组每年至少进行一次信息安全风险评估

工作（参照《风险评估和风险管理程序》，并对安全策略进行复审。信息安全领导小组每年对风险评估结果和安全策略的修改进行审批。

●每年或者发生重大信息安全变化时必须参照《内部审核

管理程序》执行公司内部审核。

2)外部组织

a)第三方访问是指非人员对信息系统的访问。第三方至

少包含如下人员：

➢硬件及软件技术支持、维护人员；

➢项目现场实施人员；