GBT22080：2016信息安全管理体系法律法规清单
gbt22080：2016信息安全管理体系软件执行标准清单
执行标准清单
基础标准
1 GB/T 11457-2006：信息技术、软件工程术语
2 GB8566-88 计算机软件开发规范
3 GB 1526-1989：信息处理各种图的文件编辑符号和约定
4 GB/T 14085-1993：信息处理系统计算机系统配置图符号及约定
5 GB/T 20157-200
6 信息技术软件维护
6 GB／T20271-2006《信息安全技术-信息系统通用安全技术要求》
7 GB/T 8566-2007 信息技术软件生存周期过程
开发标准
1 GB/T 8566 -2001 信息技术软件生存周期过程
2 GB/T 1585
3 -1995 软件支持环境
3 GB/T 14079 -1993 软件维护指南
4 SJ/T 10367-1993(2009)计算机过程控制软件开发规程
5 GB/T 17544-1998信息技术软件包质量要求和测试
6 GB/T 15532-2008 计算机软件测试规范
管理标准
1 GB/T 12505 -1990 计算机软件配置管理计划规范
2 GB/T 16260 -2006 软件工程产品质量（质量模型外部度量内部度量使用质量的度量）
3 GB/T 1250
4 -1990 计算机软件质量保证计划规范
4 GB/T 14394-2008 计算机软件可靠性和可维护性管理
G B/T 20918-2007 信息技术软件生存周期过程风险管理。
GBT22080：2016信息资产风险评估表-综合部
库存现金盘点表、银行对账单及余额 调节表 10
4
金蝶财务软件中的账务数据
4
16
银行系统
4
28
专用电脑
4
容易损毁 容易丢失 非法访问 非法访问 信息不准确 容易变更 容易变更 容易变更 防护措施不力 防护措施不力 管理环节不强 访问控制不严 格 防护措施不力 防护措施不力 管理环节不强 访问控制不严 格 非法访问 非法访问 信息不准确 容易变更 容易变更 容易变更 非法访问 非法访问 信息不准确 容易变更 容易变更 容易变更 非法访问 非法访问 信息不准确 容易变更 容易变更 容易变更 非法访问 非法访问 信息不准确 容易变更 容易变更 容易变更
组织管理 人员管理 人员管理
4 副总、出纳
险评估表
编制日期：2018.04.10 脆弱性等级 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 风险数值表 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 风险级别 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 风险认可 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 处置计划
22080-2016-ISO27001-2013信息安全管理体系法律法规符合性实施控制程序
符合性实施制度目录1. 目的和范围 (2)2. 引用文件 (2)3. 职责和权限 (2)4. 符合法律要求 (3)5. 符合安全策略和标准以及技术符合性 (6)6. 信息系统审核考虑 (6)7. 附件 (9)1.目的和范围本策略规定如何避免违反刑法、民法、法令、法规或合同义务以及信息系统设计、运行、使用和管理的安全需求。
本制度适用于信息安全管理体系要求的法律法规和其他要求的收集、评价、确定等活动的控制。
2.引用文件1)下列文件中的条款通过本规定的引用而成为本规定的条款。
凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励各部门研究是否可使用这些文件的最新版本。
凡是不注日期的引用文件，其最新版本适用于本标准。
2)GB/T 22080-2016/ISO/IEC 27001:2013 信息技术-安全技术-信息安全管理体系要求3)GB/T 22081-2016/ISO/IEC 27002:2013 信息技术-安全技术-信息安全管理实施细则4)《软件管理规定》3.职责和权限1)行政部：负责组织有关信息安全管理体系的法律法规和其他要求的收集、更新、审核、评价，并提出专项建议使公司的日常运营满足法律法规的要求。
2)各部门：协助做好与本部门业务有关的相应法律法规和其它要求的收集、更新和合规性评价工作。
4.符合法律要求1)确定使用法律●识别需要遵守的法律法规，并制定《适用法律法规和其它要求清单》；●信息安全管理工作小组会就有关法规影响，在每年的信息安全管理体系审核里面报告中进行说明；●遵守对第三方的知识产权保护（如商标、版权和图像、文字、音频、软件、信息和发明等其它权利）；●未经授权，不擅自复制、使用或转送属于第三方的资料。
2)知识产权（IPR）对第三方知识产权的保护包括但不限于商标、版权、品牌以及图像、文字、音频、软件、信息和发明等其它权利。
对版权的保护需遵照实施如下制度：●不得通过擅自复制、使用或转让第三方资料获取利益；●员工应向综合管理部咨询有关知识产权或合同义务和软件许可证限制方面的问题。
22080-2016信息安全管理体系信息安全适用性声明SoA
a)存储介质的包装应当足以保护其中的内容免受任何在转运中可能出现的物理损伤；
b) 公司重要信息（如合同、财务凭证等）的传递由内部人员直接送达。
行政部、商务采购部
《介质管理规定》
A.9
访问控制
A.9.1
访问控制的业务要求
目标：
限制对信息和信息处理设施的访问。
服务部
《访问控制制度》
A.9.2
用户访问管理
目标：
确保授权用户访问系统和服务，并防止未授权的访问。
A.9.2.1
用户的注册和注销
控制措施
应实施一套正式的注册与注销的流程，使用户访问权限得以分配。
是
对用户的账号开通需填写《新员工入职手续办理清单》执行帐号开通流程。帐号注销须填写《离职交接清单》执行注销流程。
A.9.3
用户职责
目标：
使用户承担保护认证信息安全的责任。
A.9.3.1
秘密认证信息的使用
控制措施
应要求用户在使用秘密认证信息时，遵循组织安全的实践。
是
对秘密认证信息使用保存制定了加密的策略，对密码设置制定了相应的管理制度，并要求用户在使用秘密认证信息时，遵循该访问规范。
服务部、行政部
《访问控制制度》
服务部、行政部
《访问控制制度》
A.9.2.5
用户访问权的评审
控制措施
资产所有者应当定期复查用户的访问权限。
是
重要服务器操作系统的账户、应用系统、VPN、源代码管理软件帐号访问权限定期核查。
服务部、测试部
《访问控制制度》
A.9.2.6
移除或调整访问权限
控制措施
所有雇员、外部方人员对信息和信息处理设施的访问权限应在任用、合同或协议终止时撤销，或在变化时调整。
GBT22080信息安全管理手册
编写委员会信息安全管理手册GLSC2020第A/0版编写：审核：批准：受控状态：XXX网络科技有限公司发布时间：2020年9月1日实施时间：2020年9月1日01目录02修订页03颁布令为提高我公司的信息安全管理水平,保障公司和客户信息安全，依据GB/T 2 2080-2016/ISO/IEC 27001:2013《信息技术安全技术信息安全管理体系要求》结合本公司实际，特制定信息安全管理手册（以下简称“管理手册”）A/0版。
《管理手册》阐述了公司信息安全管理，并对公司管理体系提出了具体要求，引用了文件化程序，是公司管理体系的法规性文件，它是指导公司建立并实施管理体系的纲领和行动准则，也是公司对所有社会、客户的承诺。
《管理手册》是由公司管理者代表负责组织编写，经公司总经理审核批准实施。
《管理手册》A/0版于2020年9月1日发布，并自颁布日起实施。
本公司全体员工务必认真学习,并严格贯彻执行，确保公司信息安全管理体系运行有效，实现信息安全管理目标，促使公司信息安全管理工作得到持续改进和不断发展。
在贯彻《管理手册》中，如发现问题，请及时反馈，以利于进一步修改完善。
授权综合部为本《管理手册》A/0版的管理部门。
XXX网络科技有限公司总经理：2020年9月1日04任命书为了贯彻执行GB/T 22080-2016/ISO/IEC 27001:2013《信息技术安全技术信息安全管理体系要求》，加强对管理体系运作的领导，特任命gary为本公司的信息安全管理者代表。
除履行原有职责外，还具有以下的职责和权限如下：（1）确保信息安全管理体系的建立、实施、保持和更新；进行资产识别和风险评估。
（2）向最高管理者报告管理体系的有效性和适宜性，并作为评审依据用于体系的改进；（3）负责与信息安全管理体系有关的协调和联络工作；（4）负责确保管理手册的宣传贯彻工作；（5）负责管理体系运行及持续改进活动的日常督导；（6）负责加强对员工的思想教育和业务、技术培训，提高员工信息安全风险意识；（7）主持公司内部审核活动，任命内部审核人员；（8）代表公司就公司管理体系有关事宜与外部进行联络。
GBT22080：2016信息安全管理体系全套内审资料
GBT22080：2016信息安全管理体系全套内审资料1.年度内审计划2.内审实施计划3.首末次签到表4.内审检查表5.不合格报告6.内审报告2018年内审计划编号： LHXR-JL-008编制：批准：日期：2018年07月23日内部审核实施计划编号：LHXR-JL-12内审首/末次会议签到表LHXR-JL-13内审检查表编号：LHXR-JL-14内审检查表编号：LHXR-JL-14内审检查表编号：LHXR-JL-14内审检查表编号：LHXR-JL-14内审检查表编号：LHXR-JL-14内审检查表编号：LHXR-JL-14不合格报告内审报告编号：LHXR-JL―16审核目的检查公司信息安全管理体系是否符合GB/T22080-2016标准的要求及有效运行。
审核依据GB/T22080-2016标准、信息安全管理手册、程序文件、相关法律法规、合同及适用性声明等。
审核范围与信息安全相关的活动及部门。
审核时间2018年07月30-31日1、现场审核情况概述本次审核按《内部审核程序》要求，编制了内审计划及实施计划并按计划进行了实施。
审核小组分别按要求编制了《内部审核检查表》；内审计划事先也送达受审核部门。
审核组在各部门配合下，按审核计划进行审核，分别到部门、现场，采用面谈、现场观察、抽查信息安全体系文件及信息安全体系运行产生的记录等方法，进行了抽样调查和认真细致的检查。
审核组审核了包括总经理、管代、各有关职能部门。
审核员发现的不合格项已向受审部门有关人员指明，并由他们确认，审核员还就不合格项与受审部门商讨了纠正措施和方法。
本次审核共提出《不符合报告》共1份，涉及综合部1项。
涉及标准附录7.2条款。
2、体系综合评价a)最高管理者带动员工对满足顾客和法律法规要求的重要性具有明确的认识，能履行其承诺，管理职责明确，重视并参与对信息安全管理体系的建立、保持和推动持续改进活动。
员工能准确答出公司信息安全方针和目标，体现了全员参与。
20.信息安全管理体系GBT22080 要求(27001)
信息技术安全技术信息安全管理体系要求Information technology-Security techniques- Information security management systems-Requirements（ISO/IEC 27001：2005）目次引言 (II)1 范围 (1)2 规范性引用文件 (1)3 术语和定义 (1)4 信息安全管理体系（ISMS） (3)5 管理职责 (8)6 内部ISMS审核 (9)7 ISMS的管理评审 (9)8 ISMS改进 (10)附录 A （规范性附录）控制目标和控制措施 (12)附录 B （资料性附录）OECD原则和本标准 (27)附录 C （资料性附录）ISO 9001:2000, ISO 14001:2004 和本标准之间的对照 (29)引言0.1总则本标准用于为建立、实施、运行、监视、评审、保持和改进信息安全管理体系（Information Security Management System，简称ISMS）提供模型。
采用ISMS应当是一个组织的一项战略性决策。
一个组织的ISMS的设计和实施受其需要和目标、安全要求、所采用的过程以及组织的规模和结构的影响，上述因素及其支持系统会不断发生变化。
按照组织的需要实施ISMS，是本标准所期望的，例如，简单的情况可采用简单的ISMS解决方案。
本标准可被内部和外部相关方用于一致性评估。
0.2过程方法本标准采用一种过程方法来建立、实施、运行、监视、评审、保持和改进一个组织的ISMS。
一个组织必须识别和管理众多活动使之有效运作。
通过使用资源和管理，将输入转化为输出的任意活动，可以视为一个过程。
通常，一个过程的输出可直接构成下一过程的输入。
一个组织内诸过程的系统的运用，连同这些过程的识别和相互作用及其管理，可称之为“过程方法”。
本标准中提出的用于信息安全管理的过程方法鼓励其用户强调以下方面的重要性：a)理解组织的信息安全要求和建立信息安全方针与目标的需要；b)从组织整体业务风险的角度，实施和运行控制措施，以管理组织的信息安全风险；c)监视和评审ISMS的执行情况和有效性；d)基于客观测量的持续改进。
22080-2016-ISO27001-2013信息安全管理体系第三方服务管理工作指南
第三方服务管理工作指南
目录
1 范围 (2)
2 规范性引用文件 (2)
3 职责 (2)
4 管理内容和要求 (3)
4.1 第三方服务的确定 (3)
4.2 对第三方服务的监督和评审 (3)
4.3 第三方服务的变更管理 (4)
4.4第三方人员及外包商安全管理 (4)
4.5供应商协议中的安全 (5)
4.6 信息和通信技术供应链 (6)
第三方服务管理工作指南
1 范围
适用于公司信息安全第三方服务管理活动,包括第三方确定过程、第三方的服务安全控制措施、第三方的服务监督和评审方法、第三方的变更管理。
为加强对第三方服务提供商（合作商）的控制，减少安全风险，防范公司信息资产损失，特制定本程序。
2 规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款。
凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。
凡是不注日期的引用文件，其最新版本适用于本标准。
《信息技术安全技术信息安全管理体系要求》（GB/T 22080-2016/ISO/IEC 27001:2013）
3 职责
3.1 商务采购部
负责统一管理第三方服务的控制活动，负责确定合格的第三方服务商。
3.2 各相关部门
a) 与第三方服务商签订服务合同和保密协议；
b) 负责对第三方服务商的服务进行安全控制；
c) 负责定期对第三方服务商进行监督和评审。
GBT22080：2016信息安全管理体系目标分解规定
公司信息安全管理体系目标分解规定
编号：GL-002
为了公司信息安全方针和信息安全目标得到全面贯彻落实，确保信息安全目标的实现，现将信息安全目标进行分解，务请各部门及全体员工，紧紧围绕方针目标开展工作，本公司采用自上而下层层展开，自下而上层层保证的原则。
公司信息安全目标：
1.不可接受风险处理率：100% （所有不可接受风险应降低到可接受的程度）。
2.重大顾客因信息安全事件投诉为0次（重大顾客投诉是指直接经济损失金额达1万元以上）（包含泄露用户身份信息，泄露用户保护文件内容信息）
3.确保单个重要业务系统，每月中断次数不超过1次，每次中断时间不超过2小时。
（取证系统无法取证，无法下载证据，版权保护系统无法申请版权保护，时间戳签发系统无法申请时间戳。
）
4.确保信息安全事件发现率99%、上报和处理率100%。
总经理：结合本公司实际，制定和发布企业信息安全方针和信息安全目标，并组织信息安全目标的分解和落实到各相关部门，利用会议沟通、发放文件等形式，在企业内使全体员工围绕方针目标开展各项工作，宣传贯彻相关的法律法规，确保资源提供，确保以顾客为关注焦点，按信息安全体系要求及时组织和主持管理评审，确保所策划的信息安全体系持续有效运行。
管理者代表：协助总经理制定和发布信息安全方针和信息安全目标，组织员工进行学习，使每位员工充分认识信息安全的重要性，组织定期对信息安全体系进行检查和审核，及时向总经理提出改进建议，同时与相关部门密切配合及时地进行数据分析，掌握信息安全方针实施情况、信息安全目标完成情况，向总经理报告并提出纠正和预防措施的建议，确保信息安全与信息技术服务目标的完成，确保信息安全与信息技术服务体系的持续和有效运行。
2。
GBT22080：2016信息安全管理体系安全目标及管理方案考核统计
100% 半年 100% 半年 60% 0次完成情况 未完成 未完成 未完成 未完成 以完成 以完成 未完成 未完成 未完成
统计人 审核人
批准人
裴晓庆
付巍
王艺晓
马鸿玲
付巍
程文美 未完成 未完成 以完成 马鸿玲 裴晓庆
付巍 付巍 付巍
信息安全目标考核表2018年
序号 1 2 3 4 5 6 7 9 10 11 13 15 项目 确保单个重要业务系统，每月中断次数不超过1 次，每次中断时间不超过2小时。 确保信息安全事件发现率99%、上报和处理率100% 。 处理客户问题响应速度，客户满意度达到99%。 客户关于信息保密的抱怨/投诉的次数0次/年。 客户使用中的数字证书过期率0%，建立监测系统 过期前1个月进行提醒续约。 建立客户关系管理体系，采集数据，扩大客户来源 渠道，标准使用CRM系统，使用率100%。 基于企业业务目标，销售制定完成计划和实施方 案，完成计划60%。 客户关于信息保密的抱怨/投诉的次数 公司财务系统数据在存储、处理和传输过程中向非 授权用户暴露次数 公司财务数据在存储、处理和传输过程中被非法修 改次数 商业及顾客秘密信息泄漏事故 不可接受风险处理率（所有不可接受风险应降低到 可接受的程度） 目标值 统计周期 1次 99% 99% 0次 半年 半年 半年 半年 负责部门 运维部 运维部 技术支持部 技术支持部 技术支持部 销售部 销售部 销售部 财务部 财务部 综合部 运维部 完成值 0次 99% 99% 0次 100% 100% 60% 0次 0次 0次 0次 100%
22080-2016信息安全管理体系管理手册及程序文件
22080-2016信息安全管理体系管理手册及程序文件信息安全管理手册目录1. 概述1.1目的1.2适用范围1.3颁布令1.4授权书2. 依据文件和术语2.1依据文件2.2术语定义3. 裁剪说明4. 组织环境4.1组织环境描述4.2信息安全相关方的需求和期望4.3信息安全管理体系范围的确定4.4体系概述5. 领导力5.1领导力和承诺5.2信息安全方针和目标5.3组织角色、职责和权限6. 策划6.1风险评估和处置6.2目标实现过程7. 支持7.1资源提供7.2信息安全能力管理7.3意识培训7.4信息安全沟通管理7.5存档信息控制8. 运行8.1体系策划与运行9. 绩效评价9.1能力评价9.2有效性测量9.3内部审核9.4管理评审10. 改进11. 信息安全总体控制A.5信息安全策略A.6信息安全组织A.7人力资源安全A.8资产管理A.9访问控制A.10密码控制A.11物理和环境安全A.12操作安全A.13通信安全A.14系统获取、开发和维护A.15供应商关系A.16信息安全事故A.17业务连续性管理的信息安全方面A.18符合性附件一：信息安全组织架构映射表附件二：信息安全职责分配表1.概述为提高服务质量，规范管理活动，保障系统安全运行，提升人员安全意识水平，XXX软件有限公司（以下简称“公司”）依据信息安全管理标准《GB/T 22080-2016/ISO/IEC 27001:2013 信息技术安全技术信息安全管理体系要求》的相关要求，结合自身业务系统实际运行安全需求，已建立实施了一套科学有效的信息安全管理体系，并通过体系的有效运行，实现持续改进，达到动态系统、全员参与、制度化的、以预防为主的信息安全管理方式。
目的本总纲为公司信息安全管理体系的纲领性文件，描述了信息安全管理体系的方针、目标、管理机制和要求等方面的内容。
通过建立策划（P）→执行（D）→检查（C）→改进（A）的持续改进机制，不断提高公司的信息安全管理水平，确保日常信息安全管理活动的安全、稳定、高效，提升企业核心竞争力。
GBT22080：2016信息安全管理体系员工手册
员工手册1.1.信息安全策略：1.2.服务器管理服务器配置要点：1.机器名按资产识别程序中的规定命名，不得使用随机名，所有服务器使用固定IP地址。
2.服务器时间在每次检查时与INTERNET时间校对。
3.日志每半月保存一次（包括应用、系统日志），日志上限为16384KB,超过这个大小采用覆盖方式。
4.服务器的性能监控初步指标：CPU占用率不得长期高于80%，内存使用率不得长期高于80%，系统盘至少要有20%的余量供临时文件周转。
1.2.1.服务器检查1.3.路由器配置1.更改路由器的初始登入密码，密码强度符合至少8位，数字、字母和符号任意两种组合。
2.打开主路由器中的防火墙，启用路由器的安全功能，对性能有较大影响的选项需根据业务和安全需求综合评审。
3.更改二级路由器的LAN口地址，防止与上层路由器发生IP冲突。
4.二级路由器一般关闭DHCP，无线的可以打开。
5.无线部分打开安全设置，使用加密方法，无线路由应根据业务和人员流动情况决定是否更改密码。
6.路由器的配置信息需要保存，如导出文件或配置截图。
10. 路由器最好放置在特定机柜中，若不具备条件需每周检查路由器配置是否被重置。
1.4.系统权限检查对每个应用信息系统建立《系统权限登记表》，每个权限的分配和改动需要有相应的申请和记录，每月按权限表进行检查，按表中的评审周期对系统权限进行评审，最多不得超过半年。
检查范围：各信息系统1.上网系统检查，主要是看无线密码是否需要更改，网络控制设施的相关配置有无变化。
3.服务器账号系统，查看用户有无增减。
1.5.备份1.6.即时通讯软件的使用公司允许使用的即时通讯工具包括：QQ 微信、钉钉1.使用钉钉必须经过申请，由网络管理员登记到即时通讯服务权限表中。
2.钉钉口令需要符合至少8位长度，数字、字母、符号任意两种类型组合的强度。
3.钉钉不得私自建群，使用群共享和群硬盘，所有内部群开启必须经过审批，由网络管理员登记后开放权限。
gbt22080：2016网络信息安全管理制度
目录一、信息系统容量规划及验收管理规定 (1)二、信息资产密级管理规定 (2)三、信息系统设备管理规定 (4)四、笔记本电脑管理规定 (8)五、介质管理规定 (10)六、变更管理规定 (13)七、第三方服务管理规定 (16)八、邮件管理规定 (18)九、软件管理规定（无） (21)十、系统监控管理规定（无） (23)十一、补丁管理规定（无） (24)十二、信息系统审核规范（无） (25)十三、基础设施及服务器网络管理制度 (26)十四、信息系统安全应急预案 (29)十五、远程办公管理制度 (33)十六、信息安全访问控制管理规定 (34)十七、信息交换管理规定 (38)一、信息系统容量规划及验收管理规定1. 目的针对已确定的服务级别目标和业务需求来设计、维持相应的开发中心服务能力，从而确保实际的开发中心服务能够满足服务要求。
2. 范围适用于公司所有硬件、软件、外围设备、人力资源容量管理。
3. 职责综合部负责确定、评估容量需求。
4. 内容(1)容量管理包括：服务器,重要网络设备：LAN、WAN、防火墙、路由器等；所有外围设备：存储设备、打印机等；所有软件：操作系统、网络、内部开发的软件包和购买的软件包；人力资源：要维持有足够技能的人员。
(2)对于每一个新的和正在进行的活动来说，公司管理层应识别容量要求。
(3)公司管理层每年应在管理评审时评审系统容量的可用性和效率。
公司管理层应特别关注与订货交货周期或高成本相关的所有资源，并监视关键系统资源的利用，识别和避免潜在的瓶颈及对关键员工的依赖。
(4)应根据业务规划、预测、趋势或业务需求,定期预测施加于综合部系统上的未来的业务负荷以及组织信息处理能力，以适当的成本和风险按时获得所需的容量。
二、信息资产密级管理规定1. 目的确保公司营运利益，并防止与公司营运相关的保密信息泄漏。
2. 范围本办法适用于公司所有员工。
3. 保密信息定义保密信息指与公司营运相关且列入机密等级管理的相关信息。
GBT22080信息安全管理手册
编写委员会信息安全管理手册GLSC2020第A/0版编写：审核：批准：受控状态：XXX网络科技有限公司发布时间：2020年9月1日实施时间：2020年9月1日01目录02修订页03颁布令为提高我公司的信息安全管理水平,保障公司和客户信息安全，依据GB/T 2 2080-2016/ISO/IEC 27001:2013《信息技术安全技术信息安全管理体系要求》结合本公司实际，特制定信息安全管理手册（以下简称“管理手册”）A/0版。
《管理手册》阐述了公司信息安全管理，并对公司管理体系提出了具体要求，引用了文件化程序，是公司管理体系的法规性文件，它是指导公司建立并实施管理体系的纲领和行动准则，也是公司对所有社会、客户的承诺。
《管理手册》是由公司管理者代表负责组织编写，经公司总经理审核批准实施。
《管理手册》A/0版于2020年9月1日发布，并自颁布日起实施。
本公司全体员工务必认真学习,并严格贯彻执行，确保公司信息安全管理体系运行有效，实现信息安全管理目标，促使公司信息安全管理工作得到持续改进和不断发展。
在贯彻《管理手册》中，如发现问题，请及时反馈，以利于进一步修改完善。
授权综合部为本《管理手册》A/0版的管理部门。
XXX网络科技有限公司总经理：2020年9月1日04任命书为了贯彻执行GB/T 22080-2016/ISO/IEC 27001:2013《信息技术安全技术信息安全管理体系要求》，加强对管理体系运作的领导，特任命gary为本公司的信息安全管理者代表。
除履行原有职责外，还具有以下的职责和权限如下：（1）确保信息安全管理体系的建立、实施、保持和更新；进行资产识别和风险评估。
（2）向最高管理者报告管理体系的有效性和适宜性，并作为评审依据用于体系的改进；（3）负责与信息安全管理体系有关的协调和联络工作；（4）负责确保管理手册的宣传贯彻工作；（5）负责管理体系运行及持续改进活动的日常督导；（6）负责加强对员工的思想教育和业务、技术培训，提高员工信息安全风险意识；（7）主持公司内部审核活动，任命内部审核人员；（8）代表公司就公司管理体系有关事宜与外部进行联络。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
编号：MYFH-JL―21JL-LHXR-031序号法律、法规及其他要求名称颁布时间实施时间颁布部门符合性1中华人民共和国国家安全法1993.02.221993.02.22全国人民代表大会符合2全国人大常委会关于维护互联网安全的决定2000.12.282000.12.28全国人民代表大会常务委员会符合3中华人民共和国著作权法2001.10.272001.10.27全国人民代表大会常务委员会符合4中华人民共和国认证认可条例2003.09.032003.11.1国务院第390号令符合5中华人民共和国计算机信息系统安全保护条例1994.02.181994.02.18国务院第147号令符合6中华人民共和国计算机信息网络国际联网管理暂行规定1997.05.201997.05.20国务院第218号令符合7中华人民共和国商用密码管理条例1999.10.071999.10.07国务院第273号令符合8中华人民共和国计算机软件保护条例2001.12.202002.01.01国务院第339号令符合9中华人民共和国信息网络传播权保护条例2006.05.182006.07.01国务院第468号令符合10中华人民共和国著作权法实施条例2001.10.272001.10.27全国人民大会常务委员会符合11中华人民共和国计算机信息网络国际联网管理暂行规定实施办法1998.02.131998.02.13国务院信息化工作领导小组符合12计算机信息网络国际联网安全保护管理办法1997.12.161997.12.30公安部第33号令符合13计算机信息系统安全专用产品检测和销售许可证管理办法1997.12.121997.12.12公安部第32号令符合14计算机病毒防治管理办法2000.04.262000.04.26公安部第51号令符合15计算机信息系统保密管理暂行规定1998.02.261998.02.26国家保密局符合16计算机信息系统国际联网保密管理规定2000.01.012000.01.01国家保密局符合17科学技术保密规定1995.01.061995.01.06国家科委、国家保密局符合18软件产品管理办法2000.10.272000.10.27信息产业部符合19中华人民共和国公司法2005.10.272006.01.01全国人民代表大会常务委员会符合20中华人民共和国合同法1999.03.151999.10.01全国人民代表大会符合21中华人民共和国消防法2008.10.282009.05.01全国人民代表大会常务委员会符合22中华人民共和国劳动法1994.07.051995.01.01全国人民代表大会符合23中华人民共和国劳动合同法2007.06.292008.01.01全国人民代表大会常务委员会符合24中华人民共和国劳动合同法实施条例2008.09.182008.09.18国务院符合法律法规清单25中华人民共和国质量法2000.07.082000.09.01全国人民代表大会常务委员会符合26GBT20984-2007信息安全技术信息安全风险评估规范2007.06.142007.11.01国家质监总局、标准化管理委员会符合27GBZ20985-2007信息技术安全技术信息安全事件管理指南2007.06.142007.11.01国家质监总局、标准化管理委员会符合28GBZ20986-2007信息安全技术信息安全事件分类分级指南2007.06.142007.11.01国家质监总局、标准化管理委员会符合29社会团体登记管理条例1998.10.251998.10.25国务院符合30中华人民共和国民法通则1986.04.161987.01.01全国人民代表大会常务委员会符合31北京市计算机信息系统病毒预防和控制管理办法1994.12.281994.12.28北京市公安局符合32北京市信息化促进条例2007.09.142007.12.1北京市人民代表大会常务委员会符合33电信业务经营许可管理办法2009.02.042009.04.10中华人民共和国工业和信息化部符合34电信业务经营许可证管理办法2009.03.012009.04.10中华人民共和国工业和信息化部符合35非经营性互联网信息服务备案管理办法2005.02.082005.03.20中华人民共和国信息产业部符合36工业和信息化部行政许可实施办法2009.02.042009.04.10中华人民共和国工业和信息化部符合37关于互联网中文域名管理的通告2000.11中华人民共和国信息产业部符合38关于计算机信息网络国际联网业务实行经营许可证制度有关问题的通知1998.09.181998.09.18中华人民共和国信息产业部符合39关于进一步加强互联网上网服务营业场所管理2001.04.03国务院符合40关于禁止侵犯商业秘密行为的若干规定1998.12.031998.12.03国家工商行政管理局符合41互联网安全保护技术措施规定2005.12.132006.03.01中华人民共和国公安部符合42互联网信息服务管理办法2000.09.252000.09.25国务院第292号令符合43计算机病毒防治产品评级准则公安部符合44计算机病毒防治管理办法2000.04.262000.04.26公安部符合45计算机软件保护条例2013.01.162013.03.01国务院符合46计算机信息网络国际联网安全保护管理办法1997.12.301997.12.30国务院符合47计算机信息网络国际联网出入口信道管理办法符合48计算机信息系统安全保护等级划分准则1999.09.132001.01.01公安部符合49计算机信息系统安全专用产品分类原则符合50计算机信息系统安全专用产品检测和销售许可证管理办法1997.06.281997.12.12公安部令第32号符合51计算机信息系统保密管理暂行规定1998.02.261998.02.26国家保密局符合52计算机信息系统国际联网保密管理规定符合53全国人民代表大会常务委员会维护互联网安全的决定符合54全国人事系统远程通信网络管理暂行规定1999.12.281999.12.28人事部符合55数据库管理系统安全技术要求2006.12.01全国信息安全标准化技术委员会符合56网络接入服务器ＮＡＳ技术规范2000.02.232000.02.23信息产业部符合57维护互联网安全的决定2000.12.282000.12.28全国人大符合58信息安全等级保护管理办法2007.06.22公安部符合59信息安全技术操作系统安全技术要求2006.05.312006.12.01符合60信息安全技术防火墙技术要求和测试评价方法符合61信息安全技术入侵检测系统技术要求和测试评价方法符合62信息安全技术数据库管理系统安全技术要求符合63信息安全技术网络脆弱性扫描产品测试评价方法符合64信息安全技术网络脆弱性扫描产品技术要求符合65信息安全技术网络和终端设备隔离部件测试评价方法符合66信息安全技术网络基础安全技术要求符合67信息安全技术信息安全风险评估规范符合68信息安全技术信息安全事件分类分级指符合69信息安全技术信息系统安全工程管理要求符合70信息安全技术信息系统安全管理要求符合71信息技术 系统间远程通信和信息交换符合72信息技术安全技术信息安全事件管理指南符合73信息网络传播权保护条例2006.05.182006.07.01国务院符合74信息系统安全工程管理要求符合75中华人民共和国计算机软件保护条例2009.06.022009.06.02国务院令第339号符合76中华人民共和国计算机信息网络国际联网安全保护管理办法1997.12.111997.12.30国务院符合77中华人民共和国计算机信息网络国际联网管理暂行规定1996.02.011996.02.01公安部符合78中华人民共和国计算机信息网络国际联网管理暂行规定实施办法1998.2.13国务院第218号令符合79中华人民共和国计算机信息系统安全保护条例1994.02.181994.02.18国务院符合80中华人民共和国宪法1954.09.201954.09.20全国人大符合81《信息技术安全技术信息技术安全性评估准则第1部分：简介和一般模型》符合82《信息技术安全技术信息技术安全性评估准则第2部分：安全功能要求》符合83《信息技术安全技术信息技术安全性评估准则第3部分：安全保证要求》符合84《信息技术信息安全管理实用规则》符合85《计算机信息系统安全测评通用技术规范》符合86《计算机信息系统安全保护等级划分准则》符合87《网络代理服务器的安全技术要求》符合88《路由器安全技术要求》符合89《包过滤防火墙安全技术要求》符合90《应用级防火墙安全技术要求》符合91《信息技术安全技术实体鉴别第4部分：采用密码校验函数的机制》符合92《信息技术安全技术实体鉴别第5部分：使用零知识技术的机制》符合93《信息技术开放系统互连系统管理第7部分：安全报警报告功能》符合94《信息技术开放系统互连系统管理第8部分：安全审计跟踪功能》符合95《信息技术软件产品评价质量特性及其使用指南》符合96《信息技术软件包质量要求和测试》符合97中华人民共和国保守国家秘密法2010.04.292010.10.01全国人大符合98中华人民共和国国家安全法2015.07.012015.07.01第29号主席令符合99中华人民共和国产品质量法2000.07.082000.09.01国务院符合100中华人民共和国产品质量认证管理条例2003.09.032003.09.03国务院符合101中华人民共和国计算机信息系统安全保护条例1994.02.181994.02.18国务院符合102中华人民共和国计算机信息网络国际联网管理暂行规定1996.02.011996.02.01国务院符合103中华人民共和国电信条例2000.09.202000.09.20国务院符合104互联网信息服务管理办法2000.09.252000.09.25国务院符合105计算机软件保护条例2013.01.162013.03.01国务院符合。