文件编号： ISMS-0001-2022
受控状态：
信息安全与服务管理手册
(依据 ISO/IEC 27001:2013、ISO/IEC 20000.1:2018)
1
目 录
0.1 发布令 ...........................................................................................................................................................................4
0.2 任命书 ...........................................................................................................................................................................5
0.3 公司简介 ......................................................................................................................................................................6
0.4 管理方针与目标 ...........................................................................................................................................................6
1 范围 ..................................................................................................................................................................................9
2. 引用标准 ......................................................................................................................................................................10
3. 术语和定义 ..................................................................................................................................................................11
4. 组织环境 ......................................................................................................................................................................16
4.1 了解组织及其背景 ................................................................................................................................................16
4.1.1 内部问题
......................................................................................................................................................16
4.1.2 组织外部问题
..............................................................................................................................................16
4.2 理解相关方的需求和期望 ....................................................................................................................................17
4.3 确定管理体系范围
...........................................................................................................................................17
4.4 管理体系的建立
..............................................................................................................................................17
5. 领导力 ..........................................................................................................................................................................19
5.1 领导力和承诺 ........................................................................................................................................................19
5.2 方针 ........................................................................................................................................................................19
5.3 组织的角色、职责和权限 ....................................................................................................................................20
6. 策划 ..............................................................................................................................................................................21
6.1 应对风险和机遇的措施 ........................................................................................................................................21
6.2 管理目标及其实现策划 ........................................................................................................................................23
6.3 策划服务管理体系................................................................................................................................................24
7. 支持 ..............................................................................................................................................................................24
7.1 资源 ........................................................................................................................................................................24
7.2 能力 ........................................................................................................................................................................25
7.3 意识 ........................................................................................................................................................................26
7.4 沟通 ........................................................................................................................................................................26
7.5 文档化的信息 ........................................................................................................................................................27
7.5.1 总则
...............................................................................................................................................................27
7.5.2 创建和更新
...................................................................................................................................................27
7.5.3 文档化信息的控制
.......................................................................................................................................28
8. 运行 ..............................................................................................................................................................................29
8.1 运行策划与控制
........................................................................................................................................29
8.2 信息安全风险评估与服务组合
................................................................................................................30
8.2.1 信息安全风险评估
......................................................................................................................................30
8.2.2 服务交付
......................................................................................................................................................30
2
8.2.3 服务策划
......................................................................................................................................................30
8.2.4 控制服务生命周期涉及的各相关方
..........................................................................................................30
8.2.5 服务目录管理
..............................................................................................................................................31
8.2.6 资产管理
......................................................................................................................................................31
8.2.7 配置管理
......................................................................................................................................................31
8.3 信息安全风险处置及关系和协议
............................................................................................................32
8.3.2 关系与协议总则(SMS8.3.1)
......................................................................................................................32
8.3.3 业务关系管理(SMS8.3.2)
..........................................................................................................................32
8.3.4 服务水平管理(SMS8.3.3)
..........................................................................................................................33
8.3.5 供应商管理(SMS8.3.4)
..............................................................................................................................33
8.3.5.1 管理外部供应商(SMS8.3.4.1)
..............................................................................................................33
8.3.5.2 管理内部供应商和充当供应商的客户(SMS8.3.4.2) .........................................................................................34
8.4 供应与需求
......................................................................................................................................................34
8.4.1 服务预算与核算
..........................................................................................................................................34
8.4.2 需求管理
......................................................................................................................................................35
8.4.3 能力管理
......................................................................................................................................................35
8.5 服务设计、构建与转换........................................................................................................................................35
8.5.1 变更管理
......................................................................................................................................................35
8.5.1.1 变更管理策略 ............................................................................................................................................................35
8.5.1.2 变更管理启动 ............................................................................................................................................................35
8.5.1.3 变更管理活动 ............................................................................................................................................................36
8.5.2 服务设计与转换
..........................................................................................................................................36
8.5.2.1 策划新的或变更的服务 ............................................................................................................................................36
8.5.2.2 设计 ............................................................................................................................................................................37
8.5.2.3 构建与转换 ................................................................................................................................................................37
8.5.3 发布与部署管理
..........................................................................................................................................38
8.6 解决与履行............................................................................................................................................................38
8.6.1 事件管理
......................................................................................................................................................38
8.6.2 服务请求管理
..............................................................................................................................................38
8.6.3 问题管理
......................................................................................................................................................39
8.7 服务保障................................................................................................................................................................39
8.7.1 服务可用性管理
..........................................................................................................................................39
8.7.2 服务连续性管理
..........................................................................................................................................40
8.7.3 信息安全管理
..............................................................................................................................................40
8.7.3.1 信息安全策略 ............................................................................................................................................................40
8.7.3.2 信息安全控制措施 ....................................................................................................................................................41
8.7.3.3 信息安全事件 ............................................................................................................................................................41
9. 绩效评价 ......................................................................................................................................................................41
9.1 监视、测量、分析和评价
........................................................................................................................41
9.2 内部审核
....................................................................................................................................................42
9.3 管理评审
....................................................................................................................................................42
9.4 服务报告................................................................................................................................................................44
3
10. 改进 ............................................................................................................................................................................44
10.1 不符合及纠正措施
.........................................................................................................................................44
10.1.1
不符合和纠正措施
......................................................................................................................................44
10.1.2
应形成文档化的信息作为以下方面的证据：
..........................................................................................45
10.2 持续改进
.........................................................................................................................................................45
4
0.1 发布令
为提高我公司的信息安全与服务管理水平，保障我公司业务活动的正常进行，防止由于
信息系统的中断、数据的丢失、敏感信息的泄密、计划外的服务中断所导致的公司和客户用
户的损失，我公司于 2022 年 1 月开展贯彻 ISO27001：2013《信息技术-安全技术-信息安全
管理体系 要求》、ISO20000.1：2018《信息技术-服务管理-服务管理体系 要求》国际标准工
作，建立、实施和持续改进文档化的信息安全与服务管理体系，制定了本公司《信息安全与
服务管理手册》（下简称本手册）。
本手册是企业的法规性文件，是指导企业建立并实施信息安全管理体系的纲领和行动准
则，用于贯彻企业的信息安全管理方针、目标，实现信息安全管理体系有效运行、持续改进，
体现企业对社会的承诺。
本手册符合有关信息安全和服务法律法规要求及 ISO 27001：2013《信息技术-安全技术
-信息安全管理体系 要求》、ISO 20000.1：2018《信息技术-服务管理-服务管理体系 要求》
国际标准和企业实际情况，现正式批准发布，自 2022 年 1 月 6 日发布之日起实施，公司全体
员工必须遵照执行。
公司各级干部职工必须严格按照本手册的要求，自觉遵循公司信息安全、服务管理方针，
贯彻实施本手册的各项要求，努力实现公司信息安全、服务管理目标。
总经理：
批准日期：
