有限公司信息安全管理办法

1、xxxx有限公司信息安全治理手册密级机密 保密 内部使用 公开信息受控状态受控 非受控2011-12-01颁布 封面 2011-01-01 实施 深圳市xxxx有限公司 信息中心 公布文件历史操纵记录文件名称信息安全治理手册文件编号IT-IT-M-0003对应OA文号版次编制与修订概要完成日期状态角色人员编写初审会签审核批准前言随着xxxx有限公司业务进展日益增长，信息交换互连面也随之增大，信息业务系统依靠性扩大，所带来的信息安全风险和信息脆弱点也逐渐呈现，原有信息安全技术和治理手段专门难满足目前和以后信息化安全的需求，为确保xxxx有限公司信息及信息系统的安全，使之免受各种威胁和损害，保证各

2、项信息系统业务的连续性，使信息安全风险最小化，xxxx有限公司每年开展网络与信息系统安全风险评估及等级爱护测评，定期对等级爱护测评与风险评估活动过程中的风险漏洞进行全面整改，分析了信息安全治理上的不足与缺陷，编制了差距测评报告。通过开展信息安全风险评估和等级爱护测评，了解xxxx有限公司信息安全现状和以后需求，为建立xxxx有限公司信息安全治理体系奠定了基础。2011年7月开展信息安全治理体系持续改进建设，依据信息安全现状和以后信息安全需求及GB/T22080-2008/ISO/IEC27001:2005信息安全治理体系的标准要求，建立了符合xxxx有限公司信息安全治理现状和治理需求的信息安全

3、治理体系，该体系覆盖了GB/T22080-2008/ISO/IEC27001:2005信息安全治理体系的标准要求12个操纵领域、39个操纵目标和133个操纵措施。本手册是xxxx有限公司信息安全治理体系的纲领性文件，由信息中心归口负责解释。信息安全治理手册颁布令xxxx有限公司（以下简称公司）依据GB/T22080-2008/ISO/IEC27001:2005信息安全治理体系标准要求，结合限公司实际情况，在原有的各项治理制度的基础上编制完成了xxxx有限公司信息安全治理体系手册第一版，现予以批准实施。xxxx有限公司信息安全治理体系手册是公司在信息及信息系统安全方面的规范性文件，手册阐述了限公

4、司信息安全服务方针，信息安全目标及信息安全治理体系的过程方法和策略，是公司信息安全治理体系建设实施的纲领和行动准则，是公司开展各项服务活动的差不多依据；是对社会各界证实我公司有能力稳定地提供满足国际标准信息安全要求以及客户和法律法规相关要求的有效证据。适合公司信息化目前进展趋势需求，且内容充分、表达准确，现予颁布。本手册定于2011年8月1日起实施，属强制性文件，要求各部门所有人员必须正确理解并严格贯彻全面执行。 xxxx有限公司总经理签名：日期： 2011年01月01日公司介绍企业简介xxxx有限公司（以下简称xxxx）始创于2002年4月，大致通过三个进展时期：第一时期，2002年2004

5、年，为创业期，全力开拓市场，实现在竞争激烈的行业中立足；第二时期，20042006年，为整合期，整合一切有效资源，重力推出新产品，奠定以优质产品占据市场的方向，梳理并确立了经营理念、进展愿景、经营方针，完成了股份制改革；第三时期，2006至今，为蜕变期，立足电气传动、工业操纵领域，为全球用户提供专业化产品和服务，于2010年在深交所A股上市，股票代码：002334，步入不断提升企业核心竞争力，并实现飞跃的时期。目前xxxx设有国内办事处30多个，海外办事处2个，拥有海内外经销合作伙伴上百家，用户遍布全球50多个国家和地区。xxxx是国家级高新技术企业，拥有深圳市唯一的“变频器工程技术研究开发中

6、心”。在汲取国外先进技术的基础上，结合近十年变频推广应用经验和当今电力电子最新操纵技术，研制出高、中、低压通用及各行业专用变频器、交流伺服系统、制动单元、能量回馈单元等产品。并在市政、建材、塑胶、油田、机械、化工、冶金、纺织、印刷、机床、矿山等行业广泛应用。xxxx变频器产品包括低压CHA/CHV/CHE/CHF/各行业专用系列、中压660V/1140V系列、高压CHH（3KV/6KV/10KV）系列等，功率范围涵盖0.48000kW，满足不同行业不同场合的各种变频操纵应用需求。成熟矢量操纵技术、各行业专用变频操纵技术的掌握以及国际领先四象限操纵技术的突破使xxxx的进展持续领先，成为中国变频

7、器行业的领导者。高性能交流伺服系统的开发与成功应用标志着xxxx向运动操纵领域的拓展与延伸。xxxx在“众诚德厚、业精志远”的经营理念指导下，坚持在不断创新、精益求精中与包括职员、股东、供应商、客户等宽敞合作伙伴共同进展，公司的自主创新及品牌美誉度在行业中差不多占有重要地位，并得到社会的广泛认同。企业文化经营理念：众诚德厚业精志远愿 景：成为全球领先、受人尊敬的电气传动、工业操纵领域的产品和服务供应商。使 命：竭尽全力提供物超所值的产品和服务，让客户更有竞争力。经营方针：创新 品质 标准化 共同进展核心价值观：众诚德厚拼搏创新人才理念：人才是企业第一资本 尊重人才，经营人才质量方针：提供不断优

8、化的产品和服务，提高客户中意度。企业标识：标识释义：xxxx企业标徽有两种色彩：xxxx红（M100 Y80）、xxxx蓝（C100 M80 K40），红色体现进取和活力，蓝色象征包容和专注的钻研精神。字体设计简洁、凝聚、浑厚、扩张，传达xxxx通过与合作伙伴和职员的合力凝聚牢固产品品质，厚重企业诚信、拼搏创新、走向国际、再创新高的思想。 “INVT”是变频器（inverter），也是创新（HYPERLINK /search?lang=utf-8&s=innovationinnovation）和美德（virtue）的结合，是xxxx核心价值观“众诚德厚，拼搏创新”的标识承载；首字母“i”色彩红

9、蓝结合，强调xxxx企业个人与团队、个人与公司、xxxx与客户、供应商的相互信赖，共同进展；红色圆点是旭日也是星球，蓝色体现企业所在地域滨海都市深圳，体现xxxx电气立足本土，致力于成为全球领先、受人尊敬的电气传动、工业操纵领域产品/服务供应商的远景目标。信息安全治理目标依照国家信息安全等级爱护要求、公司下达的目标与指标、公司信息化进展战略目标、信息安全风险评估结果、信息用户的中意度，结合公司实现目标所需的资源，识不公司的信息安全目标与指标。公司每年年底制定下一年度的信息安全目标与指标，公司制定完成信息安全目标与指标的工作打算，将目标、指标的层层分解，并落实完成。下列是详细的信息安全目标：目标

10、类不目标项目标值目标换算方法统计周期信息安全目标不可同意风险处理率100%（不可同意风险数处理数/不可受风险总数）100%年机密信息泄密事件0次按实际发生次数统计年秘密信息泄密事件0次按实际发生次数统计年特不重大突发事件（级）0次按实际发生次数统计年重大突发事件（级）0次按实际发生次数统计年较大突发事件（级）0次按实际发生次数统计年一般突发事件（级）0次按实际发生次数统计年内部审核及治理评审实施及时率100%按打算实施年职员入职培训完成率100%（入职职员参训人数/入职职员总数）100%年信息安全培训打算完成率100%（实际培训次数/打算培训次数）100%年信息安全运行指标大面积感染计算机病毒

11、次数0次按实际发生次数统计年由于网络故障导致关键业务中断次数0次按实际发生次数统计年职员保密协议签订率100%（实际签订人数/入职总人数）100%年重要信息备份及时率100%（实际备份数/打算备份数）100%年内部审核不符合项整改率90%（不符合项整改完成数/不符合项总数）100%年计算机故障处理完成率100%（实际处理数/故障总数）100%年容量不足导致业务故障次数3按实际发生次数统计年计算机口令强度符合率100%（帐号符合数/帐号总数）100%年注：公司的信息安全目标不限此，可依照各部门的实际业务进行调整或分解。 信息安全会议信息安全会议要求公司应在每年一次的信息化工作会议上，总结汇报本年

12、度的信息安全工作情况。公司应在每季度召开的计算机治理会议中，总结本季度的信息安全工作情况。公司信息中心应在每月召开的信息治理工作例会中，总结本月的信息安全工作情况。公司应依照风险变化的需要或在重大活动期间，不定期召开信息安全专题会。信息安全会议记录治理信息安全治理文件与数据的管控公司应及时制定相关的信息安全治理文件、信息安全数据与记录。信息安全治理数据与记录包括：信息安全会议纪要信息安全事故调查报告信息安全事件整改报告信息安全检查整改方案信息安全审计记录技术档案资料培训记录信息安全作业活动数据与记录信息安全事件通报、整改活动信息安全检查活动应急演练活动信息系统定级备案活动信息安全审计活动信息安

13、全风险评估活动数据与记录要求：真实、完整、齐全、准确、及时。信息文件的治理信息安全治理流程与变化治理依照精简、高效的原则，制定公司信息安全工作和治理流程，包括：信息安全治理流程信息安全事件处理流程信息安全应急流程其它相关流程每年回忆流程的效率，必要时修订、增加或废除不必要的流程或环节。信息安全治理流程和信息安全事件处理流程纳入信息安全治理体系中治理信息安全应急流程纳入xxxx有限公司网络与信息安全专项应急预案中治理。依照治理变化、技术变化，公司定期修订如下：更新治理手册、程序文件、作业指导书或治理制度、方法；更新培训要求；更新应急处置程序；对涉及到的所有信息安全风险进行回忆分析；变化治理需文件

14、化，并保存变化过程的相关记录。 信息安全治理体系总则为了加强xxxx有限公司（以下简称“xxxx有限公司或公司”）信息安全治理工作，爱护信息系统的安全，促进信息系统的应用和进展，依照国家有关法律法规，以及变频器行业的治理规范、行业标准，并遵照公司信息系统安全的有关规定，特制定本手册。信息系统的安全爱护范围包括各信息系统相关的和配套的软件、硬件、信息、网络和运行环境的安全。xxxx有限公司信息系统安全治理应遵循“统一规划、预防为主、集中治理、分层爱护、明确责任”的原则。xxxx有限公司运行中的信息系统是支撑生产的运行设备，各级安全生产责任人对其职责范围内的信息系统安全运行负有安全治理责任。任何人

15、不得利用信息系统从事危害国家利益、集体利益和其他公民权益的活动，不得从事危害xxxx有限公司信息系统安全的活动。本手册适用于公司本部、各基层单位的信息系统的安全爱护工作。公司多经企业参照执行。规范性引用标准信息安全等级爱护治理方法（公通字200743 号）信息安全技术 信息系统安全等级爱护差不多要求（GB/T 22239-2008）信息安全技术 信息系统安全等级爱护定级指南（GB/T 22240-2008）信息安全技术 信息安全治理有用规则（GB/T 22081-2008）信息安全技术 信息安全风险评估规范（GB/T 20984-2007）国家相关法律、法规及合同的要求。术语与定义资产 ass

16、et任何对组织有价值的东西。可用性 availability依照授权实体的要求可访问和利用的特性。保密性confidentiality信息不能被未授权的个人、实体或者过程利用或知悉的特性。信息安全information security保证信息的保密性、完整性、可用性；另外也可包括诸如真实性，可核查性，不可否认性和可靠性等特性。信息安全事态 information security event信息安全事态是指系统、服务或网络的一种可识不的状态的发生，它可能是对信息安全策略的违反或防护措施的失效，或是和安全关联的一个先前未知的状态。信息安全事件 information security inci

17、dent一个信息安全事件由单个的或一系列的有害或意外信息安全事态组成，它们具有损害业务运作和威胁信息安全的极大的可能性。信息安全治理体系 information security management system是整个治理体系的一部分。它是基于业务风险方法，来建立、实施、运行、监视、评审、保持和改进信息安全的。注：治理体系包括组织结构、方针策略、规划活动、职责、实践、程序、过程和资源。完整性integrity爱护资产的准确和完整的特性。残余风险 residual risk通过风险处理后遗留的风险。风险同意risk acceptance同意风险的决定。风险分析risk analysis系统地使

18、用信息来识不风险来源和可能风险。风险评估risk assessment风险分析和风险评价的整个过程。风险评价risk evaluation将可能的风险与给定的风险准则加以比较以确定风险严峻性的过程。风险治理risk management指导和操纵一个组织相关风险的协调活动。风险处理risk treatment选择同时执行措施来更改风险的过程。注：在本标准中，术语“操纵措施”被用作“措施”的同义词。适用性声明statement of applicability描述与组织的信息安全治理体系相关的和适用的操纵目标和操纵措施的文档。信息系统是指由计算机及其相关配套的设备、设施（含网络）构成的，按照一定

19、的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统，包括治理信息系统和生产操纵系统。信息安全保持信息的保密性、完整性和可用性，另外也可包括诸如真实性，可核查性，不可否认性和可靠性等。信息系统运行单位是指信息系统资产归属单位，关于托管的信息系统有另行约定的除外。信息安全工作人员是指包括信息安全治理人员、信息安全技术人员（包括防火墙、入侵检测系统、漏洞扫描系统、防病毒系统等信息安全相关设备的治理员）和信息安全审计员。信息工作人员是指与关键信息系统（涉及公司生产、建设与经营、治理等核心业务且有保密要求的信息系统）直接相关的系统治理人员、网络治理人员、关键业务信息系统开发人员、系统

20、维护人员、关键业务信息系统操作人员等。第三方是指软件开发商、硬件供应商、系统集成商、设备维护商、服务提供商以及其它外协单位。第三方人员是指包括软件开发商出、硬件供应商、系统集成商、设备维护商、服务提供商及其它外协服务单位的工作人员，以及实习学生和其他临时工作人员。信息资产是指公司在生产、经营和治理过程中，所需要的以及所产生的，用以支持（或指导、或阻碍）公司生产、经营和治理的一切有用的数据和资料等非财务的无形资产，其范围包括现在的和历史的。信息系统运行维护单位是指与信息系统运行单位签订维护合同的专业服务提供商。信息安全等级爱护是指依照国家信息安全等级爱护相关治理文件，确定信息系统的安全爱护等级，

21、并开展相应的信息系统安全等级爱护工作。信息安全评估是指，按照治理方法和有关技术标准，开展信息系统安全等级爱护的自查自纠、差距评测、安全整改等续工作。安全风险治理是指采纳风险治理的理念与方法来识不、评估信息系统面临的风险，制定风险操纵措施，并将风险降低到可同意的程度，安全风险治理包括风险评估和风险操纵。注：基于风险评估和风险处理过程的结果和结论、法律法规的要求、合同义务以及组织关于信息安全的业务要求，制定操纵目标和操纵措施。标准缩写ISMS：信息安全治理体系（Information Security Management Systems）；SoA：适用性声明（Statement of Appli

22、cability）；PDCA：建立、实施和运行、监视和评审、保持和改进（Plan、Do、Check、Act）。信息安全治理体系总要求依照GB/T22080-2008/ISO/IEC27001:2005信息安全治理体系 要求标准在整体业务活动和所面临风险的环境下建立、实施、运行、监视、评审、保持和改进文件化的信息安全治理体系。ISMS所涉及的过程基于以下PDCA模式：建立ISMS保持和改进ISMS实施和运作ISMS监控&评审 ISMS相关方已被治理的信息安全相关方信息安全要求&期望、法律法规策划（D）措施实施检查 图 4-1 PDCA模型规划（建立ISMS）建立与治理风险和改进信息安全有关的IS

23、MS方针、目标、过程和程序，以提供与组织总方针和总目标相一致的结果。实施（实施和运行ISMS）实施和运行ISMS方针、操纵措施、过程和程序。检查（监视和评审ISMS）对比ISMS方针、目标和实践经验，评估并在适当时，测量过程的执行情况，并将结果报告治理者以供评审。处置（保持和改进ISMS）基于ISMS内部审核和治理评审的结果或者其他相关信息，采取纠正和预防措施，以持续改进ISMS。本手册中提出的用于信息安全治理的过程方法鼓舞其用户强调以下方面的重要性：理解xxxx有限公司的信息安全要求和建立信息安全方针与目标的需要；从组织整体业务风险的角度，实施和运行操纵措施，以治理xxxx有限公司的信息安全

24、风险；监视和评审ISMS的执行情况和有效性；基于客观测量的持续改进。本标准采纳了“规划（Plan）-实施（Do）-检查（Check）-处置（Act）”（PDCA） 模型，该模型可应用于所有的ISMS过程。图1讲明了ISMS如何把相关方的信息安全要求和期望作为输入，并通过必要的行动和过程，产生满足这些要求和期望的信息安全结果。图4-1描述了4、5、6、7和8章所提出的过程间的联系。采纳PDCA模型还反映了治理信息系统和网络安全的OECD指南（2002版）中所设置的原则。本标准为实施OECD指南中规定的风险评估、安全设计和实施、安全治理和再评估的原则提供了一个强健的模型。ISMS的建立、实施和运作

25、、监督和评审、保持和改进建立ISMSxxxx有限公司ISMS的范围和边界依照业务、组织、资产、位置等方面的特性，确定ISMS的范围和边界。xxxx有限公司信息安全治理体系的范围和边界包括：业务边界：xxxx有限公司为开展供电业务，在治理信息大区范围内实施的信息安全治理。组织边界：xxxx有限公司信息中心；资产边界：xxxx有限公司负责治理的信息资产；物理边界：广东省广州市天河区天南二路239号和梅花路机房确定xxxx有限公司ISMS方针应满足以下要求确保为ISMS方针建立一个框架并为信息安全实施和运作、监督和评审、保持和改进的活动建立系统的方向与原则；确定业务进展、法律法规要求及其它相关方合同

26、涉及的信息安全要求；在组织的战略和风险治理下，建立和保持ISMS；建立风险评价的准则和机团队；获得信息安全领导小组批准。风险评估的系统方法xxxx有限公司信息中心负责建立信息安全风险评估操纵程序并组织实施。风险评估操纵程序包括可同意风险准则和可同意水平，所选择的评估方法应确保风险评估能产生可比较的和可重复的结果。具体的风险评估过程操纵执行信息安全风险评估程序，以下是风险评估流程图；确定ISMS范围资产识不与重要信息资产确定威胁识不与评价已有操纵措施确认薄弱点识不与评价风险评估（测量）是否同意保持已有的操纵措施施 施选择安全目标及操纵措施实 施残余风险评审YESNO风险评估流程图风险识不在已确定

27、的ISMS范围内，对所有的信息资产进行列表识不。信息资产包括软件/系统、数据/文档、硬件/设施、服务、人力资源。对每一项信息资产，依照重要信息资产推断依据确定是否为重要信息资产，形成重要信息资产清单。评估风险针对每一项重要信息资产，参考信息安全威胁列表及以往的安全事故（事件）记录、信息资产所处的环境等因素，识不出所有重要信息资产所面临的威胁；针对每一项威胁，考虑现有的操纵措施，参考信息安全薄弱点列表识不出可能被该威胁利用的薄弱点；综合考虑以上2点，按照威胁发生可能性等级表中的判定准则对每一个威胁发生的可能性进行赋值；依照威胁阻碍程度推断准则，推断一个威胁发生后对信息资产在保密性(C)、完整性(

28、I)和可用性(A)方面的损害及对公司业务的威胁阻碍程度，对其威胁阻碍程度进行赋值；进行风险大小计算时，考虑威胁产生安全故障的可能性及其所造成阻碍程度两者的结合，依照风险计算公式来计算风险等级；关于信息安全风险，在考虑操纵措施与费用平衡的原则下制定风险同意准则，按照该准则确定何种等级的风险为不可同意风险。风险处理方法的识不与评价xxxx有限公司信息中心组织有关部门依照风险评估的结果，形成风险处理打算，该打算应明确风险处理责任部门、方法及时刻。关于信息安全风险，应考虑操纵措施与费用的平衡原则，选用以下适当的措施：采纳适当的内部操纵措施；同意某些风险（不可能将所有风险降低为零）；规避某些风险（如物理

29、隔离）；转移某些风险（如将风险转移给保险公司、供应方）。选择操纵目标与操纵措施信息中心依照信息安全方针、业务进展要求及风险评估的结果， 组织有关部门制定信息安全目标，并将目标分解到有关部门。信息安全目标应获得信息安全领导小组的批准。操纵目标及操纵措施的选择原则来源于GB/T22080-2008/ISO/IEC27001:2005信息安全治理体系 要求标准附录A，具体操纵措施能够参考GB/T22081-2008/ISO/IEC27002:2005信息技术安全技术信息安全治理实施细则。xxxx有限公司依照信息安全治理的需要，能够选择标准之外的其他操纵措施。适用性声明信息中心负责信息安全治理体系适用

30、性声明（SoA）编制，由信息中心归口治理。该声明包括以下方面的内容：所选择操纵目标与操纵措施的概要描述；当前差不多实施的操纵；对GB/T22080-2008/ISO/IEC27001:2005信息安全治理体系要求附录A中未选用的操纵目标及操纵措施的讲明。注：该声明的详细内容见信息安全治理体系适用性声明。ISMS实施及运行ISMS岗位职责和权限信息安全领导小组组长为公司信息安全最高治理者。领导小组要紧职责：国家有关信息安全的政策、法律和法规，以及南方电网公司和公司的统一部署要求，审查、批准xxxx有限公司信息安全策略、治理规范和技术标准；部署信息安全总体工作，审定信息安全投资策略，建立工作考评机

31、制；指导信息安全保障体系建设和应急治理。信息安全工作小组要紧职责：依照信息安全领导小组的工作部署，对信息安全工作进行具体安排、落实；贯彻执行信息安全领导小组的决议，协调、督促各部门、各单位的信息安全工作； 制订信息安全策略和投资策略，组织对信息安全工作制度和技术操作策略的审查，并监督执行；同意各单位的紧急信息安全事件报告，组织信息安全应急处置工作，并开展事件调查、分析缘故、涉及范围和评估安全事件的严峻程度，提出信息安全事件防范措施； 及时向信息安全领导小组和上级有关部门、单位报告信息安全事件； 跟进先进的信息安全技术，组织信息安全知识的培训和宣传工作。信息安全治理体系的治理者代表对公司信息安全

32、负有以下职责：建立并实施信息安全治理体系必要的程序并维持其有效运行；对信息安全治理体系的运行情况和必要的改善措施向信息安全领导小组报告。各部门负责人为本部门信息安全治理者，全体职员都应按保密承诺的要求自觉履行信息安全保密义务；各部门应按照信息安全治理体系适用性声明中选择的操纵目标与目标的操纵措施，确保ISMS有效实施与运行，并开展以下活动：确保信息安全风险的有效治理，制定风险处理打算，以便明确治理措施、所需资源、工作职责及识不活动的优先顺序；保证已识不的操纵目标实施风险处理打算；确保处理风险所选择的操纵措施，以满足操纵目标；确保所选操纵措施有效测量；制定信息安全培训打算并加以实施，提高全员信息

33、安全意识和能力；治理ISMS的运行；治理ISMS的资源；制定信息安全事件或事故的程序操纵措施，以便迅速的检测安全事件与安全事故的响应。ISMS的监督检查与评审通过实施不定期安全检查、内部审核、事故报告调查处理、电子监控、定期技术检查（如日志审核）等操纵措施并报告结果以实现：及时发觉信息安全体系的事故和隐患；及时了解信息处理系统遭受的各类攻击；使治理者掌握信息安全活动是否有效，并依照优先级不确定所要采取的措施；积存信息安全方面的经验。依照以上活动的结果以及来自相关方的建议和反馈，由信息安全工作小组组长主持，定期（每年至少一次）对ISMS的有效性进行评审，其中包括信息安全范围、方针、目标及操纵措施

34、有效性的评审。治理评审的具体要求，见本手册第7章。信息中心应组织有关部门按照信息安全风险治理程序的要求对风险处理后的残余风险进行定期评审，以验证残余风险是否达到可同意的水平，对以下方面变更情况应及时进行风险评估：组织机构发生重大变更时；信息处理技术发生重大变更时；xxxx有限公司业务目标及流程发生重大变更时；发觉信息资产面临重大威胁时；外部环境，如法律法规或信息安全标准发生重大变更时。保持上述活动和措施的记录。ISMS保持与改进xxxx有限公司开展以下活动，以确保ISMS的持续改进：实施每年安全检查、内部审核、治理评审等活动以确定需改进的项目；按照内部审核治理程序、纠正与预防措施操纵程序的要求

35、采取适当的纠正和预防措施；吸取其他组织及xxxx有限公司安全事故的经验教训，不断改进现有安全措施。对信息安全目标及分解进行适当的治理，确保改进达到预期的效果。为了确保信息安全治理体系的持续有效，各级治理者应通过适当的手段对信息安全措施的执行情况与结果进行有效的交流与沟通。与外部信息安全专家、信息安全机构、政府行政主管部门、电信运营商等组织保持联系。与外部专家、服务商等外部机构的联系方式见对外联系表。文件要求总则依照GB/T22080-2008/ISO/IEC27001:2005信息安全治理体系标准要求并结合xxxx有限公司实际情况建立xxxx有限公司信息安全治理体系文件结构，体系文件分为四级，

36、分不为一级文件、二级文件、三级文件及四级记录性文件。一级文件为信息安全治理体系手册（包含信息安全方针、目标）和适用性声明等；二级文件为信息安全治理体系建立实施的相关程序文件；三级文件为信息安全治理体系建立实施的相关制度、方法和规程等；四级文件为信息安全治理体系实施运行过程中的记录类文件。文件操纵为确保文件的修订得到操纵，使用现场得到有效版本的文件，防止作废文件的非预期使用，在文件操纵程序中明确规定了文件的编制、评审、批准、发放、使用、更改、再次批准、标识、回收、作废和保存期限等治理。注：以上程序详细内容见文件操纵程序。记录操纵为提供有效的信息安全治理体系运行的符合性证据，并具有追溯、证实和依据

37、记录采取纠正和预防措施的作用，在记录操纵程序中明确规定了记录的填写要求、标识、收集、储存、检索、防护、保存期限和处理所需的操纵。注：以上程序详细内容见记录操纵程序。治理职责治理承诺信息安全领导小组承诺按GB/T22080-2008/ISO/IEC27001:2005信息安全治理体系标准要求建立、实施、运行、监视和评审，并通过持续保持和改进，使体系不断进展和完善。通过以下活动，确保上述承诺得以实现：制定ISMS方针：制定ISMS目标和实施打算；建立信息安全组织机构并明确职责；通过适当的沟通方式，利用多种方式向全体职员传达并使他们认识到满 足信息安全目标、符合信息安全方针以及法律、法规要求，持续改

38、进信息安全的重要性；提供适当的资源以满足信息安全治理体系建立、实施、运行、监视、评审、保持和改进的需要；对可同意风险的等级进行推断；组织实施ISMS内部审核；组织实施ISMS治理评审。资源治理资源提供确保并提供实施、保持信息安全治理体系所需资源，并采取适当措施，以保证：建立、实施、运作、监视、评审、保持和改进ISMS；确保信息安全治理程序符合业务支持流程要求；识不和满足法规要求以及合同中的安全义务；通过正确实施所有的操纵措施保持适当的信息安全；必要时，应对资源提供进行评审，并按评审结果执行；在需要时，改进ISMS资源的有效性。能力、意识和培训为提高全员信息安全的意识，确保相关人员履行信息安全职

39、责所需的能力，应采取并实施以下的治理活动：确保与ISMS有关工作人员具备必要的信息安全能力；实施信息安全意识和能力的教育及培训并评价其培训的有效性；通过宣传和其他活动使职员普遍认识到信息安全职责的重要性，为实现信息安全目标做出各自的贡献；保持教育、培训、技能、经历和资格或其他活动的记录；注：以上程序详细内容见教育培训操纵程序安全职责信息安全治理组织机构和人员职责xxxx有限公司信息安全治理机构有xxxx有限公司信息安全领导小组和xxxx有限公司信息安全工作小组，并配置相应的信息安全工作人员，包括信息安全治理人员、信息安全技术人员、信息安全审计员。xxxx有限公司信息安全领导小组xxxx有限公司

40、成立信息安全领导小组。xxxx有限公司信息安全领导小组是公司信息安全的最高决策机构。xxxx有限公司信息安全领导小组组长由分管生产安全的公司领导担任。信息安全领导小组要紧职责如下：对公司信息安全领导小组负责。依照国家和行业有关信息安全的政策、法律和法规，批准公司信息安全总体策略规划、治理规范和技术标准。确定公司信息安全各有关部门工作职责，指导、监督信息安全工作。信息安全领导小组下设两个信息安全工作小组（包括治理信息系统信息安全工作小组和生产操纵系统信息安全工作小组）和应急处理工作小组，并负责指导两个工作组的工作。xxxx有限公司信息安全工作小组xxxx有限公司信息安全工作组隶属xxxx有限公司

41、信息安全领导小组，是领导小组决策的执行机构，工作组的日常工作由xxxx有限公司信息中心承担。xxxx有限公司信息安全工作组组长由xxxx有限公司信息中心领导担任。xxxx有限公司信息安全工作组要紧职责如下：贯彻执行公司信息安全领导小组的决议，协调和规范公司信息安全工作；依照信息安全领导小组的工作部署，对信息安全工作进行具体安排、落实；组织对重大的信息安全工作制度和技术操作策略进行审查，拟订信息安全总体策略规划，并监督执行；负责协调、督促各职能部门和有关单位的信息安全工作，参与信息系统工程建设中的安全规划，监督安全措施的执行；组织信息安全工作检查，分析信息安全总体状况，提出分析报告和安全风险的防

42、范对策；负责同意各单位的紧急信息安全事件报告，组织进行事件调查，分析缘故、涉及范围，并评估安全事件的严峻程度，提出信息安全事件防范措施；及时向信息安全工作领导小组和上级有关部门、单位报告信息安全事件。跟踪先进的信息安全技术，组织信息安全知识的培训和宣传工作。xxxx有限公司应急处理工作小组xxxx有限公司应急处理工作小组组长由xxxx有限公司信息中心领导担任。xxxx有限公司应急处理工作小组要紧职责如下：审定公司信息系统的安全应急策略及应急预案。决定相应应急预案的启动，负责现场指挥，并组织相关人员排除故障，恢复系统。每年组织对信息安全应急策略和应急预案进行测试和演练。应对公司内发生的大规模信息

43、安全事件，协调指挥事故处理以及事故后系统恢复工作。xxxx有限公司信息中心xxxx有限公司信息中心是xxxx有限公司信息安全小组领导下的信息系统安全的职能和技术归口治理部门，并直接负责治理信息系统的安全治理和技术监督工作，其职责要紧包括：组织制定xxxx有限公司信息安全爱护工作的总体目标和总体策略。同时依照信息系统治理要求、运行环境的变化，以及系统本身的变化，及时更新信息安全爱护工作的总体目标、策略、规划、技术标准和治理制度。不断提高信息安全治理的技术水平和治理手段。组织开展xxxx有限公司的信息安全等级爱护工作，并进行xxxx有限公司信息安全评估和风险治理工作，组织编写信息安全爱护工作的总体

44、技术规范、治理制度、技术方案和实施打算，并负责组织实施。负责同意各单位的紧急信息安全事件报告，组织进行事件调查，分析缘故、涉及范围，并评估安全事件的严峻程度，提出信息安全事件防范措施；跟踪先进的信息安全技术，组织信息安全知识的培训和宣传工作。监督指导各治理信息系统的开发建设人员、运行人员、维护人员、业务使用人员执行信息系统安全爱护的技术标准和治理制度。组织对信息安全事故的调查取证工作，对其中涉及违纪违法、严峻违规的事故配合人力资源部进行调查，并提出处理意见。负责监督治理数据中心及公司本部网络、设备、运行环境，以及集中治理的信息系统的安全爱护工作。完成其他上级信息安全治理机构交办的信息治理系统安

45、全防护工作。各级安全责任人各级安全生产责任人是其职责范围内的信息系统安全运行治理的责任人。各级安全生产责任人职责：负责监督执行xxxx有限公司制定的信息安全策略、治理制度和技术标准。负责监督治理其职责范围内信息系统及其附属网络、设备、软件、信息、运行环境的安全爱护工作。负责监督执行xxxx有限公司信息安全爱护的其他工作。基层单位计算机及网络专责基层单位计算机及网络专责是本单位范围内治理信息系统安全运行工作的责任人兼信息安全员。基层单位自动化专责是本单位范围内生产操纵系统信息安全运行工作的责任人兼信息安全员。其安全职责：负责执行公司制定的信息安全策略、治理制度和技术标准。负责执行责任范围内信息系

46、统及其附属网络、设备、软件、信息、运行环境的安全爱护工作。定期向技术监督部门报告本单位的信息安全情况，对安全缺陷和事故应及时汇报。治理信息系统类安全情况向信息中心汇报，生产操纵系统类安全情况向调度中心汇报。组织本单位职员进行信息安全知识的培训和宣传工作。在职能治理部门指导下，完成xxxx有限公司信息安全等级爱护、安全评估、风险治理及其他工作。信息安全工作人员信息安全工作人员差不多要求信息安全工作人员应由政治可靠、业务素养高、遵纪守法、恪尽职守的人员担任。信息安全工作人员应有计算机专业工作三年以上经历，及具备本科以上学历。兼职信息安全人员应有电力生产业务工作五年以上或专职计算机治理工作三年及以上

47、经历，具备专科以上学历。违反国家法律、法规和行业规章受到处罚的人员，不得从事信息安全相关工作。信息安全工作人员在行使职责时，确因工作需要，经批准，可了解涉及电力生产、经营与治理有关的信息系统的机密信息。信息安全工作人员差不多职责：信息安全工作人员发觉本单位重大信息安全隐患，有权向公司信息中心报告。信息安全工作人员发觉信息工作人员使用不当，应及时建议有关单位、部门进行调整。信息安全工作人员必须严格遵守国家有关法律、法规和公司有关规章制度，严守公司商业秘密。信息安全工作人员包括信息安全治理人员、信息安全技术人员、信息安全审计员，其相应的职责分不如下：负责信息安全治理的日常工作。组织开展信息安全检查

48、，对信息工作人员安全工作进行指导和监督。组织开展信息安全知识的培训和宣传工作。监控信息安全总体状况，提出信息安全分析报告。及时向信息安全领导小组和有关部门、单位报告信息安全事件。信息安全技术人员职责负责信息安全相关设备（包括防火墙、入侵检测系统、漏洞扫描系统、防病毒系统等）的日常运行维护治理。负责防火墙系统策略的安全配置。负责定期查看入侵检测系统日志，对入侵检测系统发觉的恶意攻击行为进行跟踪处理。负责漏洞扫描软件（包括漏洞库）的治理、更新和公布。负责对网络系统所有服务器和专用网络设备的首次、周期性和紧急的漏洞扫描。负责设备、系统等补丁升级、安全加固。负责定期更新反病毒数据库和程序模块，定期执行

49、查杀病毒任务。负责定期升级垃圾邮件网关特征库、定期维护垃圾邮件网关黑白名单和规则库设置。负责紧密注意最新网络攻击行为的发生、进展情况，关注和追踪业界公布的攻击事件。负责紧密注意最新漏洞的发生、进展情况，关注和追踪业界公布的漏洞疫情；负责紧密关注权威机构最近公布的病毒分析报告、最新恶性病毒的防范报警以及应急处理方法。信息安全审计员职责负责监督检查单位内部信息安全审计制度及事实上施情况。定期检查信息系统的用户权限设置及安全配置是否与信息系统安全策规定相符合，监督检查信息系统数据安全治理工作。监督信息系统的运行情况，定期查看日志记录，对信息系统资源的各种非法访问事件进行分析、提出安全风险防范对策。信

50、息工作人员信息工作人员包括系统治理员、系统维护员、系统开发员、数据库系统治理员、应用系统治理员、网络治理员、业务操作员，其相应的安全责任如下。系统治理员安全责任负责系统的运行治理，实施系统安全运行细则。严格用户权限治理，维护系统安全正常运行。负责对所管辖的服务器操作系统进行安全配置，并定期对所管辖的服务器操作系统进行安全检查。认真记录系统安全事项，及时向信息安全人员报告安全事件。对进行系统操作的其他人员予以安全监督。系统维护员安全责任负责系统维护，及时解除系统故障，确保系统正常运行。不得擅自改变系统配置和功能。不得安装与系统无关的计算机程序。维护过程中，发觉安全漏洞应及时报告信息安全工作人员。

51、系统开发员安全责任系统开发建设中，应严格执行系统安全策略，保证系统安全功能的准确实现。系统投产运行前，应完整移交系统源代码和相关涉密资料。不得对系统设置“后门”或添加“恶意代码”。对系统核心技术保密。数据库系统治理员安全责任负责数据库治理系统的安装、备份和维护，保证系统的安全、正常运行。负责对所管辖的数据库系统进行安全配置，并定期对所管辖的数据库系统进行安全检查。负责定期检查数据库数据的完整性和可用性，发觉系统故障及时排除，做好系统恢复。应用系统治理员安全责任应依照顾用系统的安全策略，负责应用系统的用户权限设置以及系统安全配置。紧密注意应用系统运行中发生的系统故障、安全事件，关注应用系统存在的

52、隐患，收集业务用户的问题反映，及时报告信息治理部门和业务主管部门。应依照顾用系统运行的实际情况，制定应急处理预案，提交信息治理部门审定。网络治理员安全责任负责网络的运行治理，实施网络安全策略和安全运行细则。负责安全配置网络参数，严格操纵网络用户访问权限，维护网络安全正常运行。负责监控网络关键设备、网络端口、网络物理线路，防范黑客入侵，及时向信息安全工作人员报告安全事件。负责对操作网络治理功能的其他人员进行安全监督。业务操作员安全责任严格执行系统操作规程和运行安全治理制度。不得向他人提供自己的操作口令，不得把 PKI 数字证书介质借给他人使用。及时向系统治理员报告系统各种异常事件。一般职员一般职

53、员的安全责任如下：每个职员须有责任爱护本单位的计算机资源、设备及数据信息。每个职员有责任确保本机须符合信息安全措施要求，包括加入域、安装统一的防病毒软件、软件补丁，并定期升级。因工作需要访问互联网的职员，经审批后只能使用本单位互联网出口。不得以任何设备（如手机、ADSL、MODEM 等）私自将本单位计算机接入互联网。离开办公室或工作区域，须锁定计算机屏幕或关闭计算机。在办公室之外的地点工作，须将笔记本电脑置于操纵之下。严格遵守“涉密信息不上网，上网信息不涉密”的纪律。未经授权不准制作、复制、公布、传播任何可能泄漏国家秘密、单位商业秘密、工作秘密的信息。禁止通过本单位计算机及网络访问不良及政治敏

54、感网站，禁止传播、扩散不良或政治敏感信息，严禁利用本单位计算机及网络从事违法活动。发觉紧急事件（如计算机感染病毒、非法入侵等）时，须首先断开网络连接，并及时报告信息服务中心或本单位信息安全人员处理。不得在单位扫瞄与工作无关的网站，不得运行与工作无关的软件，不得打开来历不明的邮件，职员在单位网络内群发邮件仅能够用于工作目的。未经信息治理部门同意，职员不得监控网络流量，不得针对单位内的网络或服务器进行安全扫描程序，不得增加网络设备（如HUB、交换机）到本单位内的网络架构中。禁止职员在网络上伪装为他人身份，禁止利用连网计算机从事危害单位网络与信息安全的行为，不得危害或侵入服务器、工作站，不得有网络攻

55、击行为。禁止职员在网络上传播未经证实信息、垃圾邮件和广告等无关消息或在网络上以单位的名义表达私人的意见或看法。职员应妥善保管自身的帐号、口令、PKI 数字证书介质（如智能卡、USB KEY）等，口令安全符合相关规定，丢失时须及时报告信息服务中心。内部ISMS审核信息中心按打算的时刻定期组织内部ISMS审核，以确定其ISMS的操纵目标、操纵措施、过程和程序是否：符合GB/T22080-2008/ISO/IEC27001:2005信息安全治理体系 要求标准和相关法律法规要求；符合已识不确定的信息安全要求；有效实施和保持；完成预期的目标。注：以上程序详细内容见内部审核操纵程序。ISMS治理评审总则信

56、息安全治理体系治理者代表应按打算的时刻间隔（原则上一年进行一次评审，组织发生重大变更或信息安全出现重大事故后应视阻碍情况来定），对组织的ISMS进行评审，以确保其持续适宜性、充分性和有效性。评审包括评价改进的机会和对体系进行修改的需求，包括信息安全方针、目标和指标的修改需求。评审的结果应清晰地形成文件，记录应加以保持，评审具体执行治理评审操纵程序。治理评审的输入信息安全治理体系治理者代表应组织相关部门按要求提供以下资料：ISMS审核结果，包括第一方内部审核、第二方和第三方审核的结果；相关方的反馈（投诉、抱怨、建议）；技术、产品和程序用于改进ISMS执行情况的有效性；纠正和预防措施的实施情况；以

57、往信息安全风险评估没有充分强调的脆弱点或威胁；信息安全目标实现程度；以往治理评审的跟踪措施的实施情况；可能阻碍信息安全治理体系变更的事项（标准、法律法规、相关方要求）；对信息安全治理体系改善的建议。治理评审的输出治理评审的输出应包括与以下方面有关的任何决定和措施：信息安全治理体系过程有效性的改进；风险评估和风险处理打算的更新；以下内内容发生变更，必要时修改阻碍信息安全的程序和操纵措施，以响应业务进展要求；业务要求；信息安全要求；阻碍现有信息安全业务要求的业务过程；信息安全相关法律法规要求；风险级不和风险接收准则；合同义务；对资源的需求；评价操纵措施的有效性。注：以上内容的详细要求见治理评审操纵

58、程序。ISMS持续改进持续改进xxxx有限公司通过制定信息安全方针、安全目标，审核结果，监视事态的分析、纠正和预防措施以及治理评审等活动，持续改进ISMS的有效性。纠正措施不符合事项的责任部门在查明缘故的基础上制定并实施相应的纠正措施，以消除不符合事项，防止不符合事项再次发生。在纠正与预防措施操纵程序和其他操纵、检查文件中明确以下要求：识不不符合ISMS的事项（指明不符合事项的推断依据）；确定不符合产生的缘故；评价确保不符合不再发生的措施需求；确定和实施纠正措施的需求；针对记录文件所采取措施的结果； 评审对所采取的纠正措施。预防措施信息中心应定期（原则上一年一次，专门情况除外）组织有关部门分析

59、信息安全方面的相关信息，如内外审核报告、监视记录、相关方安全专家的建议、新反病毒技术等，以便采取措施，消除潜在不符合的缘故，防止其发生。预防措施应与潜在问题的阻碍程度相适应。预防措施的要求在纠正与预防措施操纵程序中作详细规定。该程序包括了以下方面的要求：识不潜在不符合及其它缘故所在；评价防止不符合发生的预防措施；确定实施所需要的预防措施；记录所采取措施的结果；评价所采取的预防措施；识不已变更的风险，并识不潜在的重大风险的预防措施的要求，预防措施的优先级要依照风险评估的结果来确定。各责任部门应对本部门预防措施的实施加以操纵，确保预防措施的有效性。治理评审前，信息中心应对以往治理评审后所实施的所有

60、预防措施进行汇总并提交评审。注：以上内容详细要求见纠正与预防操纵程序。资产安全治理信息中心应清晰的识不，编制并保存所有重要资产的清单，包括资产责任部门、重要程度和所处位置等内容。信息中心应建立资产安全治理制度，规定信息系统资产治理的责任人员或责任部门，并规范资产治理和使用的行为。信息中心应依照资产的重要程度对资产进行标识治理，依照资产的价值选择相应的治理措施。信息中心应依照公司公司信息安全治理方法对信息进行分级，对信息标识方法做出规定，并对信息的使用、传输和存储等进行规范化治理。人员安全治理信息安全工作人员安全治理信息安全工作人员应恪守职业道德，严守企业秘密，熟悉国家安全生产法以及有关信息安全