制度体系制定和发布管理规定.docx

三二一（北京）科技有限公司制度体系制定和发布管理规定2016年8月版本控制版本修改时间修改内容修改人员审核人员V1.02016-08-25新增陈达隆吴为问8第一章 总则第一条 为了保证三二一（北京）科技有限公司安全管理制度体系的持续性、时效性以及适应性，满足业务不断变化的安全管理的需要，明确安全管理制度体系的制定、发布、评审和修订过程中管理职责，特制定本规定。第二条 本规定适用于三二一（北京）科技有限公司安全管理制度体系制定和发布过程、管理对象为信息安全管理部门以及人员。第二章 管理职责第三条 信息安全管理委员会，职责为：(一) 负责规划、监督、指导信息安全安全管理制度体系文件的起草、审查、发布、清理等工作。(二) 负责安全管理制度体系的评审及修订后复审工作。(三) 确保安全管理制度体系能持续恰当和有效地运作。(四) 提供充足的资源和支持，以持续改善安全管理制度体系。第四条 信息技术部，职责为：(一) 负责组织管理体系文件的起草、编制、修订、补充等工作的开展，并将实施成果向领导小组汇报。(二) 负责启动和主持安全管理制度体系的管理评审工作。(三) 负责协调相关人员，指导收集评审资料。(四) 确保评审会议所提出的行动项目能在规定的时间内完成，并负责其相关的监督工作。(五) 负责对评审结果如需进行修订项协调相关人员进行修订。(六) 指派人员负责对修订措施的执行结果进行验证。第五条 相关人员，是指三二一（北京）科技有限公司安全管理制度体系涉及的人员。比如：系统管理员、应用管理员、开发管理人员、网络管理员、数据管理员、资产管理员和安全管理员等，其职责为：(一) 负责依据管理体系文件的内容进行宣贯、培训、执行、检查等工作，并依据部门情况落实管理体系的要求。(二) 负责协助进行评审。(三) 负责实施修订措施。第三章 文件起草第六条 三二一（北京）科技有限公司信息安全管理体系规范文件由信息技术部负责起草或组织起草。第七条 负责起草的部门应当确定一名熟悉相关内容员工为项目负责人，如涉及多个部门时，可由有关部门共同派人组成联合起草小组，由主要起草部门负责牵头组织。第八条 起草的规范性文件应当结构严谨、内容完备、形式规范、条理清楚、用词准确、文字简洁。第九条 应当明确规定如下内容： (一) 制定的目的和依据。(二) 适用范围。(三) 组织职责。(四) 具体管理要求或规定。(五) 必要的附则。(六) 与规范内容相关的资料性附录和参考性附录。第十条 报送审查的管理制度送审稿应当由起草部门负责人签署后报信息安全管理委员会审查。几个部门共同起草的规范送审稿，应当由起草部门负责人共同签署后报信息安全管理委员会审查。第十一条 下列材料应当与规范送审稿一并报送信息安全管理委员会审查：(一) 起草说明。(二) 与此规范内容有关的规范性文件。(三) 汇总的各方意见。(四) 如需制定实施细则，应当提交实施细则的主要内容和实施细则拟出台的时间。(五) 其他需要报送的材料。第十二条 信息安全管理委员会主要从以下方面对送审稿进行审查：(一) 是否符合权限和程序。(二) 是否符合原则。(三) 是否与其他规范相协调、衔接。(四) 是否已对有关不同意见进行协调。(五) 是否具有可行性。(六) 是否符合相关技术要求。(七) 需要审查的其他内容。第十三条 由信息安全管理委员会对送审稿提出审查结论，对草案涉及的有关争议问题以及修改情况作重点说明。由信息安全管理委员会负责人签署的书面审查报告应当反馈起草部门。第四章 文件评审第十四条 三二一（北京）科技有限公司信息技术部定期（至少每年一次）开展安全管理制度体系的评审工作，以确保整个安全管理制度体系的充份性、适当性和有效性。第十五条 安全管理制度体系评审内容：(一) 根据业务系统的性质和安全要求，确定（或复审）安全管理制度体系的范围，建立（复审）安全管理制度体系，包括信息安全策略、标准和程序。(二) 对安全管理制度体系审核结果进行评审，分析导致不符合项的原因。(三) 审查审核对象的反馈信息。(四) 总结已发现的安全事件和漏洞。(五) 审查现行的安全控制措施和相关技术是否有效。(六) 复查修订措施的实施状况。(七) 检查先前管理评审中所定义的措施的实施状况。(八) 审查改善措施的建议。(九) 复查业务和法律法规方面的变更（比如：业务需求、客户需求的变更和新颁布的法律法规）。(十) 审查可能影响安全管理制度体系的任何变更。(十一) 为协调相关信息安全的实施，评审相关资源的充足性。第十六条 评审工作必须至少每年举行一次，发生以下情况时，也需要启动管理评审工作：(一) 系统业务发生重大变更。(二) 系统信息安全策略的重大变更。(三) 目前安全管理制度体系的执行不力。(四) 系统安全管理制度体系的范围发生变更。(五) 相关标准法规发布修订版本或有变更。(六) 评审工作的会议记录均需归档，以保存正式的记录。第五章 文件发布第十七条 规范草案经信息安全管理委员会审议并原则通过后，起草部门根据审议中提出的修改意见对草案进行修改，经信息安全管理委员会负责人签发,以三二一（北京）科技有限公司管理制度规范形式公布。第十八条 文件的发布应遵照统一的格式，进行版本控制；并应注明发布范围，对收发文进行登记。对发布的制度应在三二一（北京）科技有限公司信息安全制度体系发布记录中进行记录。第六章 文件修订第十九条 问题的识别及确认，采取修订措施可能由以下原因，包括但不限于：(一) 来自系统安全管理制度体系相关人员的反馈信息或调查申请。(二) 信息安全管理评审的会议讨论中发现的问题。(三) 安全管理制度体系的审核发现的不符合项。第二十条 调查问题的起因：(一) 由信息技术部指派专门的人员负责对问题进行分析调查并确认问题的起因。(二) 调查人员需提供尽可能多的关于整个问题调查的详细结果。作为修订措施报告的一部分，也可以提供一些额外的补充信息。第二十一条 执行修订措施：(一) 基于所调查出的问题起因，需确认并实施相应措施或对事故进行调查研究，负责上述行动的执行者需确保更新任何相关的文件或管理流程。比如：a) 准备制定或更新相关管理程序。b) 培训/通知相关人员知晓。(二) 执行人员负责跟踪所执行修订措施的效果。一旦发现效果不如预期，其相关负责人需进行评估分析并就进一步的应对措施进行确认。执行人员必须确保所实施的修订措施是可证实和可验证的，并保证修订措施的报告中都有详细说明。第二十二条 措施的验证：(一) 如果验证出所采取的措施是达到预期效果的，则修订措施才算是成功，可以结束跟踪，验证阶段包括以下两个部分：a) 对所规定修订措施的执行程度进行验证。b) 对修订措施的执行效果进行验证。(二) 措施验证的结果必须中有详细的说明，且对相关记录进行保存。第七章 文件废止第二十三条 遇有下列情形之一的，管理制度应当及时废止： (一) 因有关主管部门行政法规废止或者修改，失去制定依据或者没有必要继续执行的；(二) 因规定的事项已执行完毕或者因实际情况变化，没有必要继续执行的；(三) 新的管理制度已取代了旧的管理制度的；(四) 其他应当予以废止的情况。第二十四条 对需要废止的管理制度由信息安全管理委员会明文废止或者宣布失效。第二十五条 对新制定的规范可以替代旧的规范的，应当在新的规范中列出详细目录，明文废止被替代的规范。第八章 持续改进第二十六条 为了保证本策略