目的和范围
为了有效控制信息安全管理体系文件，对文件的编制、审核、批准、标识、发放、管理、使用、评审、更改、修订、作废等过程实施有效控制，确保部门使用现行的有效版本，特制订本制度。
本制度适用于信息安全管理体系文件的管理。
1. 引用文件
1) 《合规性实施制度》
2) 《信息资产分类分级管理制度》
2. 职责和权限
1) 总裁办是信息安全管理体系文件的归口部门，负责信息安全有关的所有文件的管理与控制。
2) 各部门：负责本部门信息安全管理文件的管理与控制。
3. 管理内容及控制要求
4.1 文件的分类
信息安全管理体系文件主要包括：
1) 层：信息安全管理手册、信息安全目标、信息安全适用性声明（SOA）、信息安全策略；
2) *二层：制度文件；
3) *三层：各管理规定、管理办法、流程、作业指导书（指南）及外来文件等；
4) *四层：记录、表单。记录控制执行《记录控制制度》。
4.2 文件编制
文件编制要有充分的依据，体现系统协调，可操作、可检查的原则。
1) 层：信息安全管理手册由体系负责人组织编写，信息安全管理者代表审核，总经理批准发布。
2) 第二、三层：由相关责任部门编写，信息安全管理者代表审核，总经理批准发布。
3) *四层：由相关责任部门编写，文档负责人审批，信息安全管理者代表批准发布。
A.8.2 A.8.2.1 分类指南 访问行政部等相关部门，了解组织信息资产的分类和标识情况，并在各部门进行验证。
信息分级 A.8.2.2 信息的标记和处理
A.8.2.3
A.8.3 A.8.3.1 可移动介质的管理 访问行政部等相关部门，验证对可移动介质的管理是否满足安全要求。
介质处置 A.8.3.2 介质的处置 访问各部门，验证对介质的处置是否满足安全要求。
A.8.3.3 信息处理规程 查阅、验证信息处理规程。
A.9 访问控制
A.9.1 A.9.1.1 访问控制策略 查阅访问控制程序等相关文件。
访问控制的业务要求
A.9.1.2网络和网络服务的访问控制
A.9.2 A.9.2.1 用户注册和注销 查阅用户注册、注销的流程等相关文件。
用户访问 A.9.2.2用户访问的提供
管理 A.9.2.3 特殊权限管理 询问、验证**级用户等特殊权限的管理控制措施。
A.9.2.4 用户秘密认证信息的管理 检查、验证用户口令秘密认证信息的管理控制措施。
A.9.2.5 用户访问权的复查 查阅用户访问权的复查、评审记录。
A.9.2.6移除或调整访问权限
A.5 安全方针（每年一次，结合管理评审时进行）
A.5.1 A.5.1.1信息安全方针文件 审核ISMS方针文件
信息安全 访问管理者（或管理者代表）、员工、或相关方人员（如必要），了解他们对ISMS方针和目标的理解和贯彻状况。
方针 A.5.1.2信息安全方针的评审 查阅ISMS方针文件的评审和修订记录。
A.6 信息安全组织（每年一次，结合管理评审时进行）
A.6.1 A.6.1.1 结合5.1管理承诺，访问管理者（或管理者代表），判断其对信息安全的承诺和支持是否到位。
内部组织 信息安全角色和职责
A.6.1.2 责任分割 访问组织的信息安全管理机构，包括其职责。
A.6.1.3 与监管机构的联系 查阅信息安全职责分配或描述等方面的文件。
A.6.1.4 与特定利益集团的联系 访问信息安全管理机构，询问与相关信息安全*、专业协会、学会等联络情况
A.6.1.5 项目管理中的信息安全 检查项目过程中关键节点对信息安全的控制。
A.6.2 A.6.2.1移动设备策略 询问、验证移动计算和通信的安全措施。
移动的设备和远程工作 A.6.2.2远程办公安全 询问、验证移动计算和通信的安全措施。
A.6.2.3 处理第三方协议中的安全问题 访问组织人力资源部等相关部门，了解第三方协议中的安全要求的满足情况。
-/gbafcji/-
http://iso9001fsc.b2b168.com
