莆田ISO27001认证培训 ISO27000认证需要什么材料

5.1. 信息的收集和汇总分析
1) 不符合的信息可能来自：
 法律法规的变更产生的不符合；
 员工、顾客及相邻部门和群众的意见和投诉；
 资产识别及评价发现的不符合；
 内部和外部审核及管理评审发现的不符合；
 体系运行中发现的问题；
 检查与监督过程中发现的不符合；
 事故调查时发现的不符合问题；
 信息交流发现的不符合；
 其它途径发现的不符合。
2) 信息安全工作小组对管理体系实施运行情况，尤其对内审、外审、管理评审以及有效性测量中的《审核、检查发现事项通知单》和信息安全事件，进行收集汇总。
3) 信息安全工作小组对所有的不符合项，进行原因分析，找出主要原因，确定需要采取纠正措施的不符合项，并填入《审核、检查发现事项通知单》。

保护组织的记录
 所有的合同文件必须做如下保管：
a) 正版文件存档保存在安全区域；
b) 保存到文件所有者不用时为止。
 对重要网络设备和服务器上的数据进行备份。
 为防止公司的重要记录丢失、毁坏和被篡改。这些记录必须妥善保管，以符合法律法规要求，有利于重要的业务活动。此类记录包括但不限如下：
a) 可以作为证据证明运作符合法律法规规定的记录；
b) 可以确保能充分防范发生潜在的民事诉讼或刑事诉讼的记录；可以向主管部门、合作方和审计人员证实财务状况的记录。
 信息保管的时间和数据内容根据国家法律法规而定。
 存储和处理系统应该确保能够清楚识别记录以及法律法规规定的保管期。在保管期满后如果不再需要记录，则可以采用适当的方式予以销毁。

制定应急预案
组织应将灾难一旦发生，所应执行的活动，形成文件，制定应急预案。
1 确定团队职责与分工
描述灾难恢复的组织结构，各个岗位的职责和人员名单，灾难恢复组织应包括应急响应组，灾难恢复组等。并列出灾难恢复相关人员和组织的联络表，包括灾难恢复团队，运营商、厂商、经理部门、媒体、员工、家属等，联络方式包括固定电话、移动电话、对讲机、电子邮件和住址等。
2 确定突发事件通告机制
任何人员在发现信息系统相关突发灾难发生或即将发生时，应按预定的过程报告相关人员，并由相关人员进行初步判断，通知和处理。
3 确定损害评估机制
在突发事件发生后，由灾难恢复责任人召集相应的专业人员对突发事件进行慎重评估，确认突发事件对信息系统造成的影响，确定下一步将要采取的行动，一旦系统的影响被确定，应将信息按照预定的通告过程通知给相应的团队。
4 确定灾难启动机制
应预先制定灾难恢复预案启动的条件，当损害评估的结果达到一项或多项启动条件时，组织将正式发出灾难启动，宣布启动灾难恢复预案，并根据宣告过程通知各有关部门。
5 确定系统恢复过程
各系统的应急预案中描述时间、地点、人员、设备和系统恢复每一步的详细操作步骤，同时还包括特定情况发生时各团队之间进行协调的指令，以及异常处理过程。
6 形成计划文档
将上述计划中的内容形成服务应急预案，并提交信息安全管理会及相关各方人员进行评审。

1) 数据保护和个人信息的隐私
 谨慎遵守国家法律法规有关个人资料保密和隐私的规定，保护处理个人信息和数据安全。
2) 防止滥用信息处理设施
 防止任何在受到管理的信息处理实施受到滥用。
3) 密码控制措施的规则
 遵照《访问控制制度》执行密码策略。
 如果需要加密措施，必须从法律顾问获取*建议以保证需要时符合有关规定。
 为保证遵照有关规定需要采取以下控制措施：
a) 在获取加密技术前，要向*咨询并评估密码控制措施和要求；
b) 使用正式授权、购置和初始程序，保证遵照有关加密技术的法律；
c) 对受控加密项目与有关的执法机构(如国家商业密码办公室)进行合作。

http://lsjsqd.b2b168.com