ISO27002:2013信息安全控制實(shí)用守則之信息安全方針
5 信息安全方針
5.1 信息安全管理方向
目標(biāo)：為信息安全提供管理指導(dǎo)和支持并確保與業(yè)務(wù)需求和相關(guān)法律和法規(guī)相一致。
5.1.1 信息安全方針（原條款不變）
控制措施
一組信息安全方針應(yīng)被定義，并由管理者批準(zhǔn)、發(fā)布、傳達(dá)給所有員工和外部團(tuán)體。
實(shí)施指南
在最高級(jí)，組織應(yīng)定義一個(gè)由管理者批準(zhǔn)的“信息安全方針”，闡述組織管理信息安全目標(biāo)的方法。
信息安全方針應(yīng)定位于下面建立的要求：
a) 業(yè)務(wù)戰(zhàn)略；
b) 法規(guī)、法律和合同；
信息安全方針應(yīng)包含的聲明：
a) 指導(dǎo)所有相關(guān)信息安全活動(dòng)的信息安全、目標(biāo)和原則的定義；
b) 為信息安全管理定義的角色的一般和具體的責(zé)任分配；
c) 處理偏差和異常處理。
在較低級(jí)，信息安全方針應(yīng)以具體主題的策略來(lái)支持，更進(jìn)一步的授權(quán)信息安全控制措施的實(shí)施，且是典型的結(jié)構(gòu)來(lái)處理組織某個(gè)目標(biāo)組的需要或覆蓋某個(gè)主題。這樣的策略主題案例包括：
a) 訪問(wèn)控制（見(jiàn) 9）；
b) 信息分類(lèi)（和處理）（見(jiàn) 8.2）；
c) 物理和環(huán)境安全（見(jiàn) 11）；
d) 面向最終用戶的主題如下：
1) 資產(chǎn)的可接受使用（見(jiàn) 8.1.3）；
2) 清空桌面和清除屏幕（見(jiàn) 11.2.9）；
3) 信息轉(zhuǎn)移（見(jiàn) 13.2.1）；
4) 移動(dòng)設(shè)備和遠(yuǎn)程工作（見(jiàn) 6.2）；
5) 軟件安全和使用的限制（見(jiàn) 12.6.2）；
e) 備份（見(jiàn) 12.3）；
f) 信息轉(zhuǎn)移（見(jiàn) 13.2）；
g) 惡意軟件的防護(hù)（見(jiàn) 12.2）；
h) 技術(shù)脆弱性管理（見(jiàn) 12.6.1）；
i) 密碼學(xué)控制（見(jiàn) 10）；
j) 通訊安全（見(jiàn) 13）；
k) 個(gè)人可識(shí)別信息的隱私和保護(hù)（見(jiàn) 18.1.4）；
l) 供應(yīng)商關(guān)系（見(jiàn) 15）；
這些策略應(yīng)與雇員和相關(guān)外部團(tuán)體以一種相關(guān)聯(lián)的、易接受的和易理解的方式進(jìn)行溝通，如，一個(gè)“信息安全意識(shí)、教育和培訓(xùn)程序（見(jiàn) 7.2.2）”的文本。
其它信息
需要各種貫穿組織內(nèi)部的信息安全策略。內(nèi)部策略對(duì)大型或更的組織尤其的有用，這些定義和批準(zhǔn)的控制措施的預(yù)期水平與那些實(shí)施的控制措施進(jìn)行分離，或一個(gè)策略應(yīng)用于組織內(nèi)許多不同的人或功能。信息安全策略可以以一個(gè)單獨(dú)的“信息安全策略“文件發(fā)布，或作為一組單獨(dú)的相關(guān)文件。如果任何信息安全策略分配到組織外部，應(yīng)注意不要泄漏保密信息。一些組織對(duì)這些策略文件使用其它的術(shù)語(yǔ)，如，“標(biāo)準(zhǔn)”、“指導(dǎo)”或“規(guī)則”。
5.1.2
信息安全方針的評(píng)審（原條款不變）
控制措施
應(yīng)按計(jì)劃的時(shí)間間隔或當(dāng)重大變化發(fā)生時(shí)進(jìn)行信息安全方針評(píng)審，以確保它持續(xù)的適宜性、充分性和有效性。
實(shí)施指南
每個(gè)方針應(yīng)有一個(gè)由管理者批準(zhǔn)的所有人，他負(fù)有對(duì)方針進(jìn)行開(kāi)發(fā)、評(píng)審和評(píng)價(jià)的職責(zé)。評(píng)審應(yīng)包括評(píng)估組織方針改進(jìn)的機(jī)會(huì)，和管理信息安全響應(yīng)組織環(huán)境、業(yè)務(wù)狀況、法律條件或技術(shù)環(huán)境變化的方法。
信息安全方針的評(píng)審應(yīng)考慮管理評(píng)審的結(jié)果。
應(yīng)獲得管理對(duì)一個(gè)修訂方針的批準(zhǔn)。
***********************************************************************************************************************************************
深圳市安信達(dá)咨詢公司——26年老品牌，國(guó)家首批ISO認(rèn)證咨詢備案、中國(guó)百?gòu)?qiáng)咨詢機(jī)構(gòu)、十大影響力品牌、廣東省甲級(jí)咨詢單位、廣東省中小企業(yè)管理咨詢服務(wù)示范單位、深圳市中小企業(yè)管理咨詢服務(wù)示范單位、深圳市卓越績(jī)效促進(jìn)會(huì)會(huì)員單位、深圳市“市長(zhǎng)質(zhì)量獎(jiǎng)”指定輔導(dǎo)單位！
在當(dāng)下急功近利、魚(yú)龍混雜的市場(chǎng)環(huán)境，安信達(dá)咨詢公司不忘初衷、始終如一堅(jiān)持公司的經(jīng)營(yíng)理念：“提升管理，為客戶創(chuàng)造價(jià)值”，真真切切關(guān)注客戶的需求，一切以客戶的需求出發(fā)、以客戶的需求為導(dǎo)向，關(guān)注咨詢給客戶帶來(lái)的價(jià)值。安信達(dá)ISO認(rèn)證咨詢公司是華南地區(qū)同行業(yè)為數(shù)的不多的真正關(guān)注客戶需求和利益的正規(guī)品牌ISO咨詢機(jī)構(gòu)！
因此，與安信達(dá)合作，企業(yè)自身一定要明確需求，顯性的結(jié)果雖然相同（都有ISO質(zhì)量體系文件、都能通過(guò)認(rèn)證、都能獲取證書(shū)），但不同的目的、需求其輔導(dǎo)過(guò)程、深入程度、咨詢師安排及工作量不同，企業(yè)的收益也不同，當(dāng)然企業(yè)的投資也不同。有的只是獲得了一張證書(shū)，有的通過(guò)體系的有效建立、推行從而規(guī)范企業(yè)的管理、提升企業(yè)管理水平，有效預(yù)防不良，降低企業(yè)不良成本，提升效益，讓企業(yè)在競(jìng)爭(zhēng)激勵(lì)的市場(chǎng)環(huán)境中贏得更多機(jī)會(huì)。
公司技術(shù)力量雄厚，擁有一批優(yōu)秀、穩(wěn)定的專(zhuān)職咨詢團(tuán)隊(duì)。咨詢師隊(duì)伍中大多供職10年以上，歸屬感強(qiáng)、責(zé)任心強(qiáng)。70%的團(tuán)隊(duì)成員具有大型外資、港資、臺(tái)資品質(zhì)管理、生產(chǎn)運(yùn)營(yíng)管理出身，實(shí)戰(zhàn)管理經(jīng)驗(yàn)豐富，對(duì)企業(yè)存在的問(wèn)題能夠一陣見(jiàn)血并提供可靠的解決方案。
公司有規(guī)范、完善的內(nèi)部管理系統(tǒng)：
業(yè)內(nèi)首家實(shí)行：
1) 《咨詢師注冊(cè)制度》：此注冊(cè)制度高于國(guó)家注冊(cè)咨詢師要求，更加注重理論與實(shí)戰(zhàn)的結(jié)合。
2) 《咨詢師咨詢過(guò)程質(zhì)量監(jiān)控制度》：監(jiān)控來(lái)自三個(gè)方面：a、業(yè)務(wù)經(jīng)理；b、專(zhuān)業(yè)客服；c、咨詢總監(jiān)(抽查的方式)
3) 《咨詢師績(jī)效考核制度既咨詢師激勵(lì)制度》：主要考核專(zhuān)業(yè)的能力和態(tài)度（責(zé)任心）兩方面，態(tài)度方面的考核權(quán)重占65%，考核結(jié)果直接與薪酬與在職培訓(xùn)掛鉤，推動(dòng)與拉動(dòng)雙核驅(qū)動(dòng)，激勵(lì)咨詢師更好的服務(wù)客戶。
目前開(kāi)展的ISO系列認(rèn)證有：ISO9001認(rèn)證、ISO14001認(rèn)證、IATF16949認(rèn)證、ISO13485認(rèn)證、OHSAS18001認(rèn)證、QC080000認(rèn)證、AS9100認(rèn)證、HACCP認(rèn)證、ISO22000認(rèn)證、ISO27001認(rèn)證、ISO20000認(rèn)證、FSSC22000認(rèn)證、SA8000認(rèn)證、ISO26000認(rèn)證、ISO17025認(rèn)證、QS認(rèn)證咨詢、英國(guó)BRC認(rèn)證、美國(guó)AIB認(rèn)證、TAPA認(rèn)證、ICTI認(rèn)證、ISO14604認(rèn)證、ISO50001認(rèn)證等。點(diǎn)擊標(biāo)準(zhǔn)查看詳細(xì)信息