1. 目的和范围
2. 引用文件
3. 职责和权限
4. 符合法律要求
5. 符合安全策略和标准以及技术符合性
6. 信息系统审核考虑
7. 附件
1. 目的和范围
本策略规定如何避免违反刑法、民法、法令、法规或合同义务以及信息系统设计、运行、使用和管理的安全需求。
本制度适用于信息安全管理体系要求的法律法规和其他要求的收集、评价、确定等活动的控制。
2. 引用文件
1) 下列文件中的条款通过本规定的引用而成为本规定的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励各部门研究是否可使用这些文件的版本。凡是不注日期的引用文件，其版本适用于本标准。
2) GB/T 22080-2016/ISO/IEC 27001:2013 信息技术-安全技术-信息安全管理体系要求
3) GB/T 22081-2016/ISO/IEC 27002:2013 信息技术-安全技术-信息安全管理实施细则
4) 《软件管理规定》
3. 职责和权限
1) 行政部：负责组织有关信息安全管理体系的法律法规和其他要求的收集、更新、审核、评价，并提出专项建议使公司的日常运营满足法律法规的要求。
2) 各部门：协助做好与本部门业务有关的相应法律法规和其它要求的收集、更新和合规性评价工作。
1 确定团队与人员
组织应确定识别管理参与服务连续性管理和恢复所需的核心技能和知识的合适方式，以及相关参与的人员。
能力和知识是指各种技术资源，包括技术人员、文档等，使得参与的团队和人员能够透彻地了解组织的业务情况和信息系统情况，深刻地把握单位灾难恢复系统的状态，并具有各种相关的技术能力，经历了多次灾难恢复演练，能在灾难发生时，*解决各种问题以确保单位关键业务系统的持续运行。组织应根据灾难恢复目标，确定灾难备份中心在软件、硬件和网络等方面的技术支持要求，包括技术支持的组织架构、各类技术支持人员的数量和素质等要求。
2 确定利益相关方
组织应确定参与服务连续性管理和恢复的相关利益方、业务或服务合作伙伴及承包方的关系，以及联络方式和所分担的职责。
3 确定技术设施
备用技术设施是指当灾难发生时，确保业务持续运行所需的技术设施（包括网络、应用系统等）。对可能影响网络可用性的线路及设备有冗余；对于恢复所需的软、硬件设备以及与外部的通讯方式和线路等，应提前确定获取的标的和相应的处理脚本。
保护组织的记录
所有的合同文件必须做如下保管：
a) 正版文件存档保存在安全区域；
b) 保存到文件所有者不用时为止。
对重要网络设备和服务器上的数据进行备份。
为防止公司的重要记录丢失、毁坏和被篡改。这些记录必须妥善保管，以符合法律法规要求，有利于重要的业务活动。此类记录包括但不限如下：
a) 可以作为证据证明运作符合法律法规规定的记录；
b) 可以确保能充分防范发生潜在的民事诉讼或刑事诉讼的记录；可以向主管部门、合作方和审计人员证实财务状况的记录。
信息保管的时间和数据内容根据国家法律法规而定。
存储和处理系统应该确保能够清楚识别记录以及法律法规规定的保管期。在保管期满后如果不再需要记录，则可以采用适当的方式予以销毁。
-/gbacfji/-
http://lsjsqd.b2b168.com
