信息安全管理體系實(shí)施案例及文件集

0 案例介紹
0.1 概述
0.2 組織架構(gòu)
0.3 業(yè)務(wù)介紹
0.4 信息系統(tǒng)
1 實(shí)施流程
1.1 啟動(dòng)項(xiàng)目
1.1.1 定義初始目標(biāo)與范圍
1.1.2 獲得管理者正式批準(zhǔn)
1.1.3 確定推進(jìn)責(zé)任人
1.1.4 召開(kāi)項(xiàng)目啟動(dòng)會(huì)議
1.2 定義ISMS范圍
1.2.1 定義責(zé)任范圍
1.2.2 定義物理范圍
1.2.3 完成范圍概要文件
1.3 確立ISMS方針
1.3.1 制定ISMS方針
1.3.2 準(zhǔn)備ISMS方針文件
1.4 進(jìn)行業(yè)務(wù)分析
1.4.1 定義基本安全要求
1.4.2 建立信息資產(chǎn)清單
1.5 評(píng)估安全風(fēng)險(xiǎn)
1.5.1 確定風(fēng)險(xiǎn)評(píng)估方法
1.5.2 實(shí)施風(fēng)險(xiǎn)評(píng)估
1.6 處置安全風(fēng)險(xiǎn)
1.6.1 確定風(fēng)險(xiǎn)處理方式
1.6.2 選擇控制措施
1.7 設(shè)計(jì)
1.7.1 設(shè)計(jì)安全組織機(jī)構(gòu)
1.7.2 設(shè)計(jì)文件和記錄控制要求
1.7.3 設(shè)計(jì)信息安全培訓(xùn)
1.7.4 設(shè)計(jì)控制措施的實(shí)施
1.7.5 設(shè)計(jì)監(jiān)視和測(cè)量
1.7.6 設(shè)計(jì)內(nèi)部審核
1.7.7 設(shè)計(jì)管理評(píng)審
1.7.8 設(shè)計(jì)文件體系
1.7.9 制定詳細(xì)的實(shí)施計(jì)劃
1.8 實(shí)施
1.8.1 執(zhí)行實(shí)施計(jì)劃
1.8.2 實(shí)現(xiàn)監(jiān)視和測(cè)量
1.9 進(jìn)行內(nèi)部審核
1.9.1 審核策劃
1.9.2 現(xiàn)場(chǎng)審核
1.9.3 審核結(jié)果
1.9.4 審核后續(xù)
1.10 進(jìn)行管理評(píng)審
1.10.1 評(píng)審策劃
1.10.2 管理評(píng)審實(shí)施
1.11 持續(xù)改進(jìn)
2 風(fēng)險(xiǎn)管理
2.1 設(shè)計(jì)風(fēng)險(xiǎn)管理
2.1.1 概述
2.1.2 可參考方法
2.1.3 設(shè)計(jì)風(fēng)險(xiǎn)管理方法
2.1.4 設(shè)計(jì)相關(guān)文件
2.2 典型風(fēng)險(xiǎn)評(píng)估文件的編寫(xiě)
2.2.1 信息資產(chǎn)分類(lèi)分級(jí)規(guī)定
2.2.2 資產(chǎn)識(shí)別清單(記錄)
2.2.3 風(fēng)險(xiǎn)評(píng)估方案
2.2.4 風(fēng)險(xiǎn)評(píng)估程序
2.2.5 風(fēng)險(xiǎn)評(píng)估報(bào)告
2.2.6 風(fēng)險(xiǎn)處理程序
2.2.7 風(fēng)險(xiǎn)處理計(jì)劃
3 文件設(shè)計(jì)
3.1 設(shè)計(jì)文件層次
3.2 設(shè)計(jì)文件體系
3.2.1 文件清單
3.2.2 設(shè)計(jì)編寫(xiě)流程
3.2.3 文件與標(biāo)準(zhǔn)映射
3.3 設(shè)計(jì)文件格式
3.3.1 編寫(xiě)原則
3.3.2 文件結(jié)構(gòu)示例
3.3.3 文件格式示例
3.3.4 正文內(nèi)容示例
3.3.5 文件編號(hào)示例
3.3.6 字體字號(hào)示例
4 文件編寫(xiě)
4.1 典型一級(jí)文件編寫(xiě)
4.1.1 信息安全管理體系方針
4.1.2 信息安全管理手冊(cè)(可選)
4.1.3 信息安全管理體系職責(zé)
4.2 典型二級(jí)文件編寫(xiě)(程序類(lèi))
4.2.1 文件管理程序
4.2.2 記錄管理程序
4.2.3 信息標(biāo)識(shí)與處理程序
4.2.4 信息安全測(cè)量與審計(jì)程序
4.2.5 內(nèi)部審核程序
4.2.6 管理評(píng)審程序
4.2.7 糾正和預(yù)防措施控制程序
4.2.8 信息安全事件管理程序
4.2.9 業(yè)務(wù)連續(xù)性管理程序
4.3 典型二級(jí)文件編寫(xiě)(規(guī)定類(lèi))
4.3.1 環(huán)境設(shè)施與物理設(shè)備管理規(guī)定
4.3.2 信息系統(tǒng)安全使用規(guī)定
4.3.3 用戶訪問(wèn)控制管理規(guī)定
4.3.4 信息系統(tǒng)安全操作規(guī)定
4.3.5 信息系統(tǒng)安全設(shè)計(jì)規(guī)定
4.3.6 數(shù)據(jù)備份管理規(guī)定
4.3.7 軟件安全管理規(guī)定
4.3.8 介質(zhì)安全管理規(guī)定
4.3.9 公共可用信息管理規(guī)定
4.3.10 知識(shí)產(chǎn)權(quán)管理規(guī)定
4.3.11 法律法規(guī)符合性規(guī)定
4.4 典型三級(jí)文件編寫(xiě)
4.4.1 人員信息安全管理指南
4.4.2 員工培訓(xùn)管理指南
4.4.3 數(shù)據(jù)備份操作指南
4.4.4 業(yè)務(wù)連續(xù)性計(jì)劃編寫(xiě)指南
4.4.5 用戶標(biāo)識(shí)與口令管理指南
4.4.6 機(jī)房管理指南
4.4.7 VPN安全使用手冊(cè)
5 記錄設(shè)計(jì)
5.1 典型記錄編寫(xiě)(申請(qǐng)表單類(lèi))
5.1.1 用戶標(biāo)識(shí)申請(qǐng)表
5.1.2 人員需求申請(qǐng)表
5.1.3 員工離職申請(qǐng)表
5.1.4 培訓(xùn)申請(qǐng)表
5.1.5 軟件使用許可申請(qǐng)表
5.1.6 IT設(shè)備申請(qǐng)表
5.1.7 光盤(pán)刻錄申請(qǐng)表
5.1.8 網(wǎng)絡(luò)連接申請(qǐng)表
5.1.9 資產(chǎn)采購(gòu)調(diào)配申請(qǐng)表
5.1.10 第三方服務(wù)變更申請(qǐng)表
5.1.11 機(jī)房出人授權(quán)申請(qǐng)單
5.1.12 公共可用信息發(fā)布申請(qǐng)單
5.2 典型記錄編寫(xiě)(登記、記錄表單類(lèi))
5.2.1 訪客登記表
5.2.2 培訓(xùn)登記表
5.2.3 機(jī)房出入登記表
5.2.4 軟件使用狀況登記表
5.2.5 數(shù)據(jù)備份登記表
5.2.6 介質(zhì)存放登記表
5.2.7 IT設(shè)備帶出登記表
5.2.8 IT設(shè)備借用登記表
5.2.9 IT設(shè)備領(lǐng)用登記表
5.2.10 IT設(shè)備作廢登記表
5.2.11 重要知識(shí)產(chǎn)權(quán)登記表
5.2.12 機(jī)房巡檢記錄單
5.2.13 服務(wù)器與網(wǎng)絡(luò)設(shè)備檢查記錄單
5.2.14 測(cè)試數(shù)據(jù)記錄單
5.3 典型記錄編寫(xiě)(其他類(lèi))
5.3.1 員工崗位調(diào)動(dòng)表
5.3.2 員工辭退表
5.3.3 培訓(xùn)簽到表
5.3.4 年度培訓(xùn)計(jì)劃
5.3.5 保密性協(xié)議評(píng)審計(jì)劃
5.3.6 筆記本電腦保密協(xié)議
5.3.7 信息安全事態(tài)報(bào)告單
5.3.8 信息安全事件報(bào)告單
5.3.9 IT設(shè)備故障報(bào)告單
5.3.10 公共可用信息檢查表
參考文獻(xiàn)