条款 5.2.2
a. 组织要确保分配有ISMS职责的所有人员都具有执行所要求任务的能力 l 是否有一个确保分配有ISMS职责的所有人员都具有完成所要求任务的能力的过程？
b. 组织要确保所有相关人员意识到其信息安全活动的重要性 l 是否有一个确保所有相关人员都识到其信息安全活动的重要性的过程？
条款 6 ISMS内部审核
(1) 定期进行内部ISMS审核 l 是否有一个定期进行内部ISMS审核的过程？
(2) 制定审核方案 l 是否有一个审核方案？
l 该审核方案是否考虑了受审核的过程与受审核的部门的状况和重要性，以及以往审核的结果？
(3) 定义审核的准则、范围、频次和方法 l 审核的准则、范围、频次和方法是否定义?
(4) 审核员的选择，审核的实施要确保审核过程的客观公正 l 审核员的选择，审核的实施是否确保审核过程的客观公正？
(5) 审核员不准审核自己的工作 l 是否审核员审核了自己的工作？
(6) 形成内审程序文件 l 是否有定义内审职责和要求方面的内审程序文件？
(7) 采取纠正措施 l 是否有一个确保受审部门的责任管理者及时采取措施，消除“已发现的不符合事项及其产生的原因”的过程？
(8) 跟踪纠正措施 l 是否有一个对纠正措施的跟踪活动？
l 跟踪活动是否包括验证和验证结果的报告？
目的和范围
为了有效控制信息安全管理体系文件，对文件的编制、审核、批准、标识、发放、管理、使用、评审、更改、修订、作废等过程实施有效控制，确保部门使用现行的有效版本，特制订本制度。
本制度适用于信息安全管理体系文件的管理。
1. 引用文件
1) 《合规性实施制度》
2) 《信息资产分类分级管理制度》
2. 职责和权限
1) 总裁办是信息安全管理体系文件的归口部门，负责信息安全有关的所有文件的管理与控制。
2) 各部门：负责本部门信息安全管理文件的管理与控制。
3. 管理内容及控制要求
4.1 文件的分类
信息安全管理体系文件主要包括：
1) 层：信息安全管理手册、信息安全目标、信息安全适用性声明（SOA）、信息安全策略；
2) *二层：制度文件；
3) *三层：各管理规定、管理办法、流程、作业指导书（指南）及外来文件等；
4) *四层：记录、表单。记录控制执行《记录控制制度》。
4.2 文件编制
文件编制要有充分的依据，体现系统协调，可操作、可检查的原则。
1) 层：信息安全管理手册由体系负责人组织编写，信息安全管理者代表审核，总经理批准发布。
2) 第二、三层：由相关责任部门编写，信息安全管理者代表审核，总经理批准发布。
3) *四层：由相关责任部门编写，文档负责人审批，信息安全管理者代表批准发布。
A.12.6 A.12.6.1 技术脆弱性的控制 检查、验证技术脆弱性的控制措施。是否更新软件补丁，可以利用脆弱性扫描等工具软件来获得审核证据。
技术脆弱性
管理 A.12.6.2限制软件安装 检查服务器、客户端的软件安装情况
A.12.7 A.12.7.1 信息系统审计控制措施 询问、验证组织对信息系统审计的控制措施情况。
信息系统审计考虑
A.13通信安全
A.13.1 A.13.1.1 网络控制 访问信息安全管理小组等相关部门，验证网络控制措施情况。
网络安全 A.13.1.2 网络服务安全 查阅网络服务协议等相关文件，验证网络服务中的安全要求是否被满足。
管理 A.13.1.3 网络隔离 检查、验证网络间服务、用户等的隔离措施，如划分子网等。
A.13.2 A.13.2.1 信息交换策略和规程 查阅、验证组织的信息交换策略和规程等相关文件。
信息的传输 A.13.2.2 信息传输协议 访问信息安全管理小组，查阅信息传输协议。
A.13.2.3 电子消息 询问、验证对电子邮件等信息发送的安全保护措施。
A.13.2.4 保密性协议 查阅组织与员工、外部相关方等签署的保密性或不泄露协议。
-/gbafcji/-
http://iso9001fsc.b2b168.com
