信息安全管理体系记录控制程序.doc

信息安全管理体系记录控制程序1.适用 本程序适用于本公司产生的记录的管理。 2.目的 为支持信息安全体系的运作而明确记录的管理。 3.管理方法 3-1 保管方法 （1）记录由各保管部门在可快速检索的条件下，决定保管场所，放在箱子、柜子等适当 容器中保管。（2）对保管场所的环境，本程序没有特别指定。由各保管部门考虑记录媒体的特性做适 当处理。（3）以电子媒体保管的场合，为预防意外，需做适当的备份。备份的安全要求执行信息备份管理程序。（4）记录保管部门应建立记录清单，明确规定保管记录类别、记录保存期限等。记录的保存应符合有关法律法规的要求，保存期限参考本规格书第 4 条款。（5）因工作需要，借阅其他部门的秘密记录，应获得记录保管部门负责人授权后方可借 阅，并留下授权记录和借阅记录。借阅者在借阅期内应妥善保管记录，并按期归还；机 密记录只准在现场查阅。（6）记录的字迹应清晰、真实、文字表达准确、简练，记录不得随意修改。确需修改时，必须在修改处作标识，并由修改人签名确认。3-2 废弃 超过保管期限的记录，由保管部门作为秘密文件处理废弃。废弃应采用安全可靠的处置 方法（如书面记录采用粉碎方法、电子媒体采用格式化方法等)，处置记录应予以保存。 但若保管部门认为必要时，仍可继续保管超出保管期限的记录。ISO27001信息安全管理标准理解及内审员培训 ISO27001信息安全管理标准理解及内审员培训 下载报名表 内训调查表 【课程描述】ISO/IEC27001:2005信息技术安全管理体系要求用于组织的信息安全管理体系的建立和实施，保障组织的信息安全。本课程将详述ISO 27001:2005/ISO 27002:2005标准的每一个要求，指导如何管理信息安全风险，并附以大量的审核实战案例以作说明。内部审核部分将以ISO 19011:2002为基础，教授学员如何策划和实施信息安全管理体系内部审核活动。掌握该体系的具体执行程序和标准，并了解对该体系进行检查和审核的方法以及制作审核报告的技巧。 【课程帮助】如果你想对本课程有更深入的了解，请参考 德信诚ISO27001内审员相关资料手册【课程对象】信息安全管理人员，欲将ISO27001导入组织的人员，在ISO27001实施过程中承担内部审核工作的人员，有志于从事IT信息安全管理工作的人员。 【课程大纲】第一部分：ISO27001：2005信息安全概述、标准条款讲解 信息安全概述：信息及信息安全，CIA目标，信息安全需求来源，信息安全管理。 风险评估与管理：风险管理要素，过程，定量与定性风险评估方法，风险消减。 ISO/IEC 27001简介：ISO27001标准发展历史、现状和主要内容，ISO27001标准认证。 信息安全管理实施细则：从十个方面介绍ISO27001的各项控制目标和控制措施。 信息安全管理体系规范：ISO/IEC27001-2005标准要求内容，PDCA管理模型，ISMS建设方法和过程。第二部分：ISO27001：2005信息安全管理体系文件建立（ISO27001与ISO9001、ISO14001管理体系如何整合） ISO27001与ISO9001、ISO14001的异同 ISO27001与ISO9001、ISO14001可以共用的程序文件和三级文件 如何将三体系整合降低公司的体系运行成本 ISO9001、ISO14001、ISO27001体系三合一整合案例分析第三部分：信息安全管理体系内部审核技巧和认证应对案例分析 ISO27001：2005标准对内审员的新要求 信息安全管理体系认证现场审核的流程、技巧及沟通方法 如何应对认证公司的认证审核、监督审核、案例分析 考试 考试合格者颁发“ISO27000信息安全管理体系内部审核员培训合格证书”4.记录的分类和保存年限 记录类型保管期限（年)保管部门测试报告3 年技术部关于合同内容确认的记录质量保证书合同行政部集成部定单供应商变更申请书购买管理供应商清单 合同结束后 3 年 行政部 集成部购买需求单购买合同购买质量保证书供应商评价表供应商检查表5 年文件管理5 年行政部内部审核5 年行政部员工教育履历2 年行政部信息安全管理评审会议记录以及纠正措施记录3 年行政部信息安全目标以及分解1 年行政部预防措施影响分析报告2 年各部门 业务持续管理业务持续性计划10 年集成部业务持续性计划测试报告10 年集成部业务持续性计划评审报告3 年集成部信息资产识别表3 年集成部 资产识别和风险评估重要信息资产清单3 年行政部重要信息资产评估表3 年集成部风险评估报告3 年集成部风险处理计划3 年集成部调查报告3 年集成部信息事故、异常处理记录纠正措施3 年行政部信息设备更改申请书3 年集成部变更管理软件安装/升级申请书3 年集成部或技术部采购记录3 年集成部信息处理设备相关记录维护记录3 年集成部授权记录设备使用期间保管集成部系统开发相关记录访问记录2 年技术部访问保密协议2 年 用户访问授权记录3 年技术部用户访问权限评审记录保持至员工离职 技术部用户逻辑访问相关记录审核日志（电子媒体)3 年集成部参见档案管理规程1 年集成部人事相关记录参见档案管理规程行政部财务相关记录5 年行政部