信息安全方針信息安全管理實務刑事執(zhí)行專業(yè)教學資源庫目錄CONTENTS0102030405信息安全方針背景及概述背景、承諾、信息安全方針信息安全方針適用范圍及紀律處罰適用范圍、紀律處罰信息安全管理體系（ISMS）目標ISMS目標信息安全管理體系（ISMS）總則及重要原則ISMS總則、ISMS重要原則信息安全管理體系更新、審核、批準更新、審核、批準刑事執(zhí)行專業(yè)教學資源庫信息安全方針背景及概述背景應用于任何屬于XXXXXX（以下簡稱“本單位”）的信息，包括傳統紙張文件的、在計算機中存儲的和任何其它種類。信息安全方針指明本單位信息安全活動的總方向和總原則，根據本單位IT風險管理框架，建立和保持信息安全管理體系。高層承諾本單位領導完全支持一個貫徹始終的信息安全方針，并會提供一切必要支持保護信息和信息資產。刑事執(zhí)行專業(yè)教學資源庫信息安全方針本單位信息安全管理以建立安全可靠的信息支撐環(huán)境，提升本單位安全管理的核心能力為總體方針。本單位信息系統安全管理實行統一規(guī)劃、統一規(guī)范、分級管理和分擔責任的原則。所有包含、處理、傳送本單位信息的信息技術設施，例如外包供應商提供的處理本單位信息的設施所有屬于本單位的場所，例如辦公室、機房等所有屬于本單位的信息（用任何介質儲存或者傳送）或信息資產，和有關器材，例如服務器、個人電腦、網絡設備等所有處理屬于本單位信息或信息資產的人員，包括在本單位工作場所或通過通訊網絡接入本單位的信息處理設施信息安全方針適用范圍及紀律處罰01030204所有與本單位信息資產有關的服務和產品所有用以處理本單位信息的工作和行政步驟0506一些用來處理信息部信息資產的非本單位持有的信息處理設施、服務、人員和單位，例如外包公司提供儀器和人員為信息中心處理信息07適用范圍信息安全方針使用范圍及紀律處罰紀律處罰任何本單位員工違反或者沒有貫徹本單位信息安全管理制度，將受到嚴正處理。紀律處分的方法，將會按情節(jié)嚴重程度定奪，本單位有權辭退違規(guī)者；若本單位認為情況需要，可把事件交有關執(zhí)法人員處理，并且保留一切采取法律行動追究的權利。刑事執(zhí)行專業(yè)教學資源庫信息安全管理體系（ISMS）目標01確保本單位持有和代管的信息資產免受任何實際或者邏輯破壞02保護本單位信息的使用、訪問、披露和獲取，使其符合本單位利益、法律以及信息安全要求03保護本單位的信息資產是在經過授權和符合本單位業(yè)務需要下使用04識別確實發(fā)生或意圖的非授權/違規(guī)行為，并采取適當措施補救和進行紀律檢查程序05使管理層有法理依據去對任何非授權和違規(guī)的行為采取行動06實施合乎成本效益的信息安全管理措施07配合本單位的人事管理策略和程序08將任何為本單位信息資產帶來的脆弱性進行風險處理以使風險水平降低到可以接受的程度任何授權必須有確實業(yè)務需要，可證明此授權是正當的，且對工作是必須的只有經過本單位正常渠道授權的人員才可以使用、訪問、儲存、傳送和處理屬于本單位的信息或信息資產所有人員有責任按ISMS條文去保護本單位所有的信息和信息資產任何對本單位的信息或信息資產的使用、訪問、儲存、傳送和處理，都必須采取一切可行方法確保其保密性、可用性和完整性信息安全管理體系（ISMS）總則及重要原則01030204任何對本單位信息或信息資產的變更，例如變更應用程序或者網絡配置，必須確保不會被破壞、繞過和架空任何現有信息安全措施，導致信息或信息資產暴露于任何不可接受的風險之下任何對本單位信息或信息資產的變更，例如變更應用程序或者網絡配置，必須按本單位正式的變更管理步驟，獲得授權才可以進行0506任何使用、訪問、儲存、傳送和處理屬于本單位的信息或信息資產的權限或者方法，必須定期審核和檢查07ISMS總則信息安全管理體系（ISMS）總則及重要原則確保本單位的信息資產的保密性、可用性和完整性，使本單位的活動有責任性根據定期的IT風險評估和管理，使信息安全水平達到成本效益最優(yōu)的目標本單位管理層定期對信息安全方針進行檢查、修正和更新任何使用、訪問、儲存、傳送和處理屬于本單位的信息或信息資產必須按業(yè)務相關性或個人職務范圍得到適當的權限01020304重要原則ADDATITLEHERETEXTTEXTTEXTADDTEXT內容小標題01內容文本信息內容文本信息內容文本信息內容文本信息內容文本信息內容文本信息內容文本信息內容文本信息內容文本信息內容文本信息STEP1STEP2STEP3內容小標題02內容文本信息內容文本信息內容文本信息內容文本信息內容文本信息內容文本信息內容文本信息內容文本信息內容文本信息內容文本信息內容小標題03內容文本信息內容文本信息內容文本信息內容文本信息內容文本信息內容文本信息內容文本信息內容文本信息內容文本信息內容文本信息信息安全管理體系更新、審核、批準審核評估由于本單位本身或信息中心的系統環(huán)境、實際業(yè)務、技術等會改變，因此本信息安全方針需要定期審核檢查加以修正更新，應付不同改變帶來的安全需要。任何有關人員都可對此文件提出改善建議審核評估本單位會按情況適當的評估對文件的更新和改變，以符合本單位的業(yè)務和配合本單位業(yè)務