ISO27001信息安全管理评审整套记录汇编.docx

《ISO27001信息安全管理评审整套记录汇编.docx》由会员分享，可在线阅读，更多相关《ISO27001信息安全管理评审整套记录汇编.docx（16页珍藏版）》请在第一文库网上搜索。

1、1S027001信息安全管理体系管理评审整套密料汇编文件清单1管理评审计划2管理评审报告3管理评审会议记录4管理评审纠正预防措施计划表5技术部管理评审材料6销售部管理评审材料7综合管理部管理评审材料管理评审计划编号：202103ISMS-0107-JL01为验证公司信息安全管理体系的适宜性、充分性和有效性，评价和寻求信息安全管理体系改进的机会和变更的需要（包括安全方针和安全目标），根据信息安全管理手册的要求，公司在2021年3月30日进行管理评审。本次会议由总经理负责主持,管理者代表、公司各部门负责人参加。本次管理评审的内容包括：1 .信息安全管理体系审核和评审的结果；2 .相关方的反馈；3

2、.用于改进信息安全管理体系业绩和有效性的技术、产品或程序；4 .预防和纠正措施的状况；5 .风险评估没有充分强调的脆弱性或威胁；6 .有效性测量的结果；7 .内审不符合项的跟踪验证；8 .任何可能影响信息安全管理体系的变更；9 .改进的建议；参加管理评审的部门应该按照计划要求准备本部门在信息安全管理体系实施中有关材料，并在会议上汇报。编制：*日期：2021.03.25审核：*日期：2021.03.25批准：*日期：2021.03.25深圳市*科技有限公司管理评审报告ISMS-0107-JL04编 制：审核：批准：2021年03月30日为验证公司信息安全管理体系的适宜性、充分性和有效性，评价和寻

3、求信息安全管理体系改进的机会和变更的需要（包括安全方针和安全目标），根据信息安全管理手册和2021年度管理评审计划的要求，于2021年03月30日在公司召开了 2021年度管理评审会议。本次会议由总经理负责主持，公司各部门负责人均参加。本次管理评审的内容包括：1 .信息安全管理体系审核和评审的结果；2 .相关方的反馈；3 .用于改进信息安全管理体系业绩和有效性的技术、产品或程序；4 .预防和纠正措施的状况；5 .风险评估没有充果；分强调的脆弱性或威胁；6 .有效性测量的结7 ,内审不符合项的跟踪验证；8 .任何可能影响信息安全管理体系的变更；9 .对策略集适宜性、充分性和有效性进行评审。10

4、.改进的建议。管理评审会议上，管理者代表以及各部门负责人将信息安全管理体系的建立以及实施情况进行总结，并对下阶段工作提出要求。管理评审内容具体如下：一、信息安全管理体系审核和评审的结果管理者代表曹飞澎在会上对管理体系的建立和运行情况进行了分析汇报，体系建设和运行情况如下：1 .我公司成立信息安全管理小组，落实了人员组成和职责。2 .体系实施前期，信息安全管理委员会对我公司各部门进行调查，现场了解现有关信息资产状况及风险管理要求，现有的信息安全管理文件及执行情况，收集相关的安全信息，明确信息安全管理体系目前存在的问题和需要改进的方向。3 .参加内部审核员培训，培训多名信息安全内部审核员，组成本公

5、司信息安全管理体系的内部审核员队伍。4 .制订了信息安全管理体系风险评估工作计划，组建了风险评估小组，对公司现行的业务进行系统分析，完成信息安全风险评估报告。5 .对存在的风险制订风险处置计划，落实责任人员和完成时间，对风险处理计划的执行情况进行监督检查。6 .完成体系文件的编写、审核和发布，形成完善的信息安全管理文件体系。7 .开展了内审工作，验证体系执行的符合性，并对文件的有效性进行验证。在内审后又一次对信息安全管理体系文件进行修改和完善。8 .完成残余风险的分析，并由总经理批准接受。其他风险通过有效控制，达到可接受的风险等级。9 .完成策略集适宜性、充分性和有效性评审，确认策略集是适宜的

6、、充分的和有效的。二、相关方的反馈我公司信息系统属内部网络，体系实施以来信息安全管理状况不断完善，未收到内部的有关投诉和上级批评。三、用于改进信息安全管理体系业绩和有效性的技术、产品或程序通过对管理层、业务部、综合部、软件部的资产识别，并对识别的信息资产进行评价。通过本次风险评估，本公司的主要信息资产为信息系统数据、涉密文档资料，主要风险为三级风险，涉及信息系统安全管理方面、涉密文档管理方面。但对于即时通讯软件和人员的流员可能性的风险，根据公司目前的规模和状况，识别成高风险，并申请了残余风险，这些风险会随着公司规模的扩大和管理的提升相应减小。对识别的风险通过制订文件、有效设定账号口令、加强培训

7、和管理等控制方法进行有效控制。四、预防和纠正措施的状况公司通过各种手段对存在的问题进行改正。体系运行中，公司通过内部审核发现存在问题，并对存在问题的原因进行分析，制订相应的纠正措施，各部门进行有效控制。通过实施验证，发现纠正措施实施有效，对防止问题的再次发生，起到有效预防作用。五、风险评估没有充分强调的脆弱性或威胁随着新的应用系统的不断投入使用，信息化程度越来越高，以及员工信息安全意识的提高，可能会对风险有新的认识或产生新的风险，因此应按规定周期连续进行风险评估。六、有效性测量的结果为完成公司的信息安全目标，公司通过多种渠道进行检测和分析，如制订文件，明确达成目标中所遇到的风险的监控，包括对风

8、险处置计划执行的监测，风险等级的分析检测，网络访问的检查，技术符合性的监测、安全日志审核以及安全事件的监督，对体系运行的管理评审测量表和检查表等。通过各种手段的监测，我公司信息安全达到预定的目标，目前没有发生重大信息安全事件。七、内审不符合项的跟踪验证为验证公司信息安全活动符合性和有效性，组织了信息安全管理体系的内审。内审中共发现信息安全管理体系存在2个不符合项，完成了不符合项的整改，纠正措施有效，没有发现严重不符合项存在。通过内审，对标准以及体系文件进行了再学习，员工对信息安全有了更进一步的理解，执行起来也更为顺畅。通过整改，消除了日常工作中的一些信息安全隐患，规范了我公司的信息安全管理工作

9、。本次内部审核，我们认为公司的信息安全管理体系已经建立并实施，体系运行正常有效。八、任何可能影响信息安全管理体系的变更目前公司的体系运行正常，不存在影响信息安全管理体系的变更。九、改进的建议虽然公司建立了系统化的信息安全管理控制体系，大大提高了信息安全风险的掌控能力。但以下方面我们仍需提高:序号改进内容改进方案负责人完成日期验证人实施情况1继续加强风险评估工作，包括供应商风险(关键备货)、通信安全、设备运营管控等风险评估，强化评估体系建设。公司管理者代表结合实际工作，梳理信息安全风险关键点，组织销售部、技术部、综合管理部的员工，开展风险评估体系化工作。2021年4月302遵守甲方制度要求，总经

10、理负责检查和巡检项H经理制度落实情况。包括计算机屏保设置、手机放入手机柜、不先带入移动存储设备等。按照项目进行巡检。总经理带部门经理执行。2021年4月303围绕数字化管理的相关法律法规，结合信息技术和安全技术的相关管理规范，开展数字化的质量控制、挂接质量等信息系统相关的深入培训。综合管理部组织员工开展学习，组织培训，加强员工信息安全意识;提高设备的信息服务水平；强化设备的信息安全登记、监督、管控水平。2021年4月304基于VI. 0版本，实施管理体系，公司形成持续改进机制。努力实现信息技术相关的管理体系间(27001)融合。在管理者代表的组织下，推进管理体系持续改进，努力结合公司实际运行管

11、理情况,实现体系间融合，或版本升级。2021年4月30报告人/日期:*总经理批准/日期：*2021-03-302021-03-30管理评审会议记录时间：2021.03.30地点：公司参加者：各部门人员及管理层记录者：一、评审输入1） ISMS审核和评审结果。2）相关方反馈。3）可以用于组织改进其ISMS业绩和有效性的技术、产品或程序。4）预防和纠正措施的实施情况。5）风险评估中未充分强调的脆弱性和威胁。6）有效的测量结果。7）内审不符合项的跟踪验证。8）任何可能影响ISMS的变更。9）信息系统审计的内容。10）改进建议二、各部门工作汇报以及测量表的评审三、结论肯定公司1SMS管理体系实施的有效

12、性。对于前次风险评估的过程认定为有效，特别是对两项残余风险的判定。公司目前没有任何大的变更会影响到信息安全管理方针、目标、策略集的修改。通过对ISMS管理体系实施情况的测量，建议在以下方面的实施上，有所改进。1）加大1T安全方面的投入力度，如可控制即时通讯软件的网管软件等。2）加强公司员工信息安全的培训，注意培训的效果。3）加强笔记本电脑的使用管理。4）目前虽然没有发生任何安全事故，但是需要加强预防措施。四、相关材料管理评审测量表纠正和预防措施通知单信息安全风险评估报告内部审核报告业务持续性及影响分析报告附录:会议签到表序号姓名部门序号姓名部门1管理层2综合管理部3技术部4销售部562021年

13、管理评审纠正/预防措施计划表日期2021-03-30提出部门 技术部存在问题1 .加大公司IT方面的投入，如增加硬件防火墙、网管软件等，有效控制USB、即时通讯软件所带来的风险，加强笔记本的使用管理。2 .定期举办针对信息安全的培训，让员工对各程序的理解加深并在实际工作中尽量避免出现违规情况。3 .根据业务和信息化发展及时更新相关程序的要求，使体系不断改进，持续有效。纠正预防措施1 .配置专门的网络管理员对公司的网络安全进行统一管理，定期维护，定期检查。并且建立信息设备设施一览表对公司的信息设备进行管控，如借用需填写信息处理设施移交记录2 .立即制定IS0/IEC27000标准培训及企业如何进

14、行信息安全管理。对纠正预防措施的验证情况经验证，相关文件已建立；培训已实施且效果良好，措施有效。管理者代表：2021/03/30培训及效果确认记录培训日期2021/03/28培训地点会议室培训内容标准/手册学习培训方式讲课主讲人主持人拟参加人员全体人员主要内容记录：介绍1S0/IEC27000标准及基本的术语和定义，讲解标准条款的理解和应用，管理体系的策划和文件的编制。考核方式：提问培训效果评价:有效口一般，部分人员需继续加强口差：需重新组织其他说明：评价人员:2021年技术部信息安全体系管理评审材料自贯标以来，技术部按照公司信息安全体系的要求以及所承担的责任，严格认真地执行体系所赋予的责任，做