ISMS糾正預防措施控制程序.doc

ISMS糾正預防措施控制程序1 適用 本程序適用于對本公司為消除信息安全不符合/潛在不符合原因所采取的糾正/預防措施的控制。2 目的 為對不符合/潛在不符合進行分析、采取措施，并予以消除，以逐步改進和完善信息安全管理體系，特制定本程序。3 職責 DXC為公司信息安全管理體系糾正/預防措施的歸口管理部門，負責組織相關(guān)部門進行信息安全數(shù)據(jù)的收集及分析，確定不符合/潛在不符合原因，評價糾正/預防措施的需求，組織相關(guān)部門制定糾正/預防措施，并由行政部負責跟蹤驗證。4 程序 4.1 糾正/預防措施信息來源有：a. 公司內(nèi)外安全事件記錄、事故報告、薄弱點報告；b. 日常管理檢查及技術(shù)檢查中指出的不符合；c. 信息安全監(jiān)控記錄；d. 內(nèi)、外部審核報告及管理評審報告中的不符合項；e. 相關(guān)方的建議或抱怨；f. 風險評估報告；g. 其他有價值的信息等。4.2 DXC每半年組織相關(guān)部門利用4.1條款所規(guī)定的信息來源，分析確定不符合/潛在不符合及其原因，評價防止不符合發(fā)生的措施的需求，并形成信息安全風險評估報告。采取糾正/預防措施應與潛在問題的影響程度相適應，對于以下情況的不符合/潛在不符合應采取糾正/預防措施：a. 可能造成信息安全事故；b. 可能影響顧客滿意程度、造成顧客抱怨與投訴；c. 可能影響本公司的企業(yè)形象與經(jīng)濟利益；d. 可能造成生產(chǎn)經(jīng)營業(yè)務中斷。對于各部門日常發(fā)現(xiàn)報告的重大安全隱患（安全薄弱點），行政部應組織有關(guān)部門進行原因分析，采取糾正/預防措施。4.3 需制定糾正/預防措施時，由DXC組織有關(guān)部門制定糾正/預防措施對策，確定實施糾正/預防措施的部門，經(jīng)管理責任人批準后予以實施。4.4 當問題原因不確定或責任重大時，由采取糾正/預防措施的部門呈報公司信息安全最高責任者，必要時，應提交公司信息安全管理委員會進行專題研究，商討對策。4.5 實施糾正/預防措施的部門應認真執(zhí)行，作好執(zhí)行結(jié)果的記錄。4.6 行政部對糾正/預防措施實施結(jié)果進行驗證，驗證內(nèi)容包括：a. 糾正/預防措施是否按糾正/預防措施計劃的要求實施；b. 是否消除了不符合/潛在不符合的原因。4.7 經(jīng)驗證效果不理想，負責制定糾正/預防措施的部門應重新確定糾正/預防措施，依據(jù)本程序4.3要求實施。4.8 糾正/預防措施需要涉及文件更改的，應對文件進行評審，按ISMS-2005文件和資料管理程序更改文件。4.9 DXC應做好糾正/預防措施相關(guān)記錄的保存。管理評審前，將各部門所采取的糾正/預防措施的有關(guān)情況匯總，提交管理評審。5 記錄 記錄名稱保存部門保存期限ISMS-4021信息安全風險評估報告3年