信息安全管理评审程序

《信息安全管理评审程序》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、管理评审程序[LK-ISMS-B-07]Ver1.0发布口期2014年10月15日发布部门信息安全管理小组实施日期2014年10月15日XXXXXXX计算机技术有限公司文件编号管理评审程序文件版本1.0密级■秘密变更履历版本变更履历变更人/变更日期审核人/审核日期批准人/批准口期1.0初次发布XXXXXXX计算机技术有限公司文件编号管理评审程序文件版本1.0密级■秘密1目的为确保组织信息安全管理体系持续的适宜性、充分性和有效性，评估组织信息安全管理体系改进和变更的需要

2、，特制定本程序。2范冃本程序适用于对信息安全管理体系中要求进行的管理评审的实施程序的管理。3职责3.1总经理主持信息安全管理体系管理评审。3.2行政中心负责信息安全管理体系管理评审的归口管理。4相关文件《信息安全管理手册》《文件控制程序》《记录控制程序》5程序5.1管理评审策划XXXXXXX计算机技术有限公司文件编号管理评审程序文件版本1.0密级■秘密5.1.1管理评审的频次5.1.1.1定期管理评审由总经理主持，通常每年进行一次，一般在内部审核后一至两个月内进行。5.1.1.2非定期当遇到下列情况时，

3、可不受5.1.1.1的限制，由行政中心制定计划，信息安全管理小组审核，报总经理批准后实施：a）当出现重大信息安全事件时；b）当信息安全管理体系发生较大变化吋；c）当客户要求或外部环境条件发生重大变化时；d）内部审核、客户审核或ISO/IEC27001外部审核时，发现了对全组织有影响，屈信息安全管理体系上的重大不符合事项时。5.1.2管理评审的方式管理评审以专题会议的方式进行，由总经理主持管理评审，评审会议由总经理、行政屮心、行政中心全员、相关部门负责人参加，必要时可吸收对应专业管理人员参加。5.1.3管

4、理评审的准备5.1.3.1计划编制行政中心根据行政中心的要求组织编制《管理评审汁划》，报信息安全管理小组审核，总经理批准后，提前一周下发至各相关部门。5.1.3.2相关准备相关部门按《管理评审计划》耍求，对照信息安全管理体系运行情况进行自评，按各自职责做好相关信息、资料的准备工作，并将有关信息、资料于管理评审会议召开前3天提供给行政中心。5.1.3.3资料汇总行政中心将各相关部门提供的材料汇总、分析后编写《信息安全管理体系运行情况报告》于管理评审前1天交信息安全小组审核。XXXXXXX计算机技术有限公司

5、文件编号管理评审程序文件版本1.0密级■秘密5.1.3.4议程管理评审会议召开前1天，行政屮心应安排好会议的议程，通过总经理批准后填写《管理评审通知单》，并发放至评审计划要求参加的各相关部门（人员）。5.2管理评审输入521资料各相关部门接到《管理评审计划》后应向行政中心提供如下材料和信息:a）信息安全管理体系运行的改进建议；b）本部门相关的外部反馈意见；c）本部门改进信息安全管理体系绩效的技术、产品和程序；d）预防和纠正措施的实施情况；e）本部门相关的有效性测量、考核情况及建议；f）风险评估未考虑的威

6、胁和薄弱点：g）提供的资源满足需要的情况；h）与本部门相关的其它情况；i）信息安全管理体系变更和改进的建议。5.2.2报告要求行政中心编写的《信息安全管理体系运行情况报告》作为管理评审的输入，应包含以下内容：a）信息安全管理体系方针、目标、指标的完成情况；b）内、外部审核结果和合规性评价的结果；c）客户反馈（客户满意度测量结果、客户投诉、客户抱怨、投诉和抱怨的处理结果）；d）改进信息安全管理体系绩效的技术、产品和程序；e）预防措施与纠正措施实施状况；f）风险评估未考虑的威胁和薄弱点；g）有效性测量、考核

7、情况及建议；h）上次管理评审跟踪措施的实施情况；i）可能影响信息安全管理体系的变更的情况（如：内部员工的变化，法律、法规的变化，组织机构或产品、活动的变化，外部环境的变化等）；J）信息安全管理体系变更和改进的建议。5.3管理评审会议XXXXXXX计算机技术有限公司文件编号管理评审程序文件版本1.0密级■秘密5.3.1会议签到行政中心组织召开管理评审会议，与会人员在《管理评审会议签到表》上签到。5.3.2报告总经理主持召开管理评审会议，行政中心提交《信息安全管理体系运行情况报告》，作信息安全管理体系运行情

8、况的专题报告。5.3.3讨论全体与会人员根据行政中心的专题报告，讨论并评审信息安全管理体系的适宜性、充分性和有效性。5.3.4总结总经理对管理评审作结论性评价，提出要求和决策。53.5会议记录行政中心负责管理评审现场记录，形成《管理评审会议记录》。5.4管理评审输出5.4.1报告内容行政中心根据《管理评审会议记录》编写《管理评审报告》。《管理评审报告》包括以下内容：a）管理评审的目的、时间、参加人员及评审内容；b）信息安全管理体系的适用性、