福建ISO27001认证咨询 信息安全管理体系认证 专业* 咨询到位需要什么材料

为方便理解业务连续性管理过程，将采用分级的方式进行表述。业务连续性管理概要过程主要从整体上描述，不会体现具体的细节和涵盖所有的人员。
1) 制定业务连续性框架
通过对一系列应对方式（包括资源获取方式）的策略评估，确定业务连续性框架，为每一服务选择了合适的响应方式，使得组织可以在中断发生中或发生后能够按预定的条件持续提供服务。
2) 制定应急预案
开发具体的服务连续性应对措施，建立事故管理和业务连续性、业务恢复计划的管理框架，以详细描述在事故发生中或发生后维持和恢复运行的步骤。
3) 演练与维护
通过业务连续性的演练、维护和评审使得组织**服务连续性策略和计划完成、更新和准确的程度。

符合安全策略和标准以及技术符合性
1) 符合安全策略和标准
 定期进行内部审核，以检查公司的策略是否符合安全标准，具体的内审方法可参考《内部审核管理制度》。
2) 技术符合性检查
 要求独立方定期检查公司的工作环境，确认整个公司的信息系统和网络内的信息安全控制措施是否充足以及这些措施的执行情况。
 技术符合性检查必须检查受影响的信息处理系统，**所有的软件、硬件和过程控制措施得到适当的配置和更新。
 行政部必须按照上述的技术符合性检查后的报告中提出的问题进行跟踪。

1 设计演练方案
演练应该是实际的、经过周密的计划，并获得利益相关方的认可，以使演练过程中业务中断的风险小。演练应经过计划，以使得因演练直接导致事故的风险小。每次演练都应清晰定义目的和目标。演练的方式可能包括：桌面演练、模拟演练和真实演练。
2 演练
除非经过演练并实施维持，否则组织的业务连续性和事故管理安排不能认为是可靠的。演练核心是开发团队合作、能力、信心和知识，这在发生事故时是非常重要的。演练的计划可以在项目计划时进行确定。
3 评审和改进
演练后的简报和分析应考虑目的和目标的达成。在演练结束以后以及在系统本身或外界环境发生重大变化时，应对服务连续性方案进行评审和维护。
当公司的业务环境发生重大变化时，也应重新评估应急预案的有效性。

1) 信息安全事件或异常现象所涉及的部门应在信息安全工作小组的协调指导下根据事件或异常现象报告中的再发防止措施考虑进行安全体系的改进工作。
2) 信息安全工作小组应监控并确认相关改进活动的执行，并向信息安全小组报告。
3) 在需要启动内审和管理评审的情况下，根据规定启动相应的审核活动。
4) 信息安全事件管理活动记录由信息安全工作小组保存，作为内审和管理评审的输入。
实施策略
1) 发现一级信息安全事故后，事件责任部门经理会同发现人，填写《信息安全事件报告表》上报给信息安全工作小组。
2) 信息安全工作小组对事件进行判断，调查*，根据事件的不同级别采取相应的控制措施，填写《信息安全事件报告表》。
3) 信息安全事件处理之后，信息安全工作小组应在《信息安全事件报告表》的结论中总结教训，提出预防措施，由相关部门实施。以防止此类事件再次发生。

-/gbacfji/-