XXX有限公司2023年ISO27001:2013信息安全管理體系認證程序文件文件編制編制日期年03月10日文件接收部門□總經理□管代□行政部□品質部□物流部□財務部□業務部□文件審核審核日期2005年03月06日文件批準批準日期2005年03月10日文件編號受控狀態接收人員發布日期2023年01月01日?受控□非受控發放編號程序文件更改履歷表序號更改人更改原因更改內容版本號文件管理程序1.0目的通過編制文件管理程序，規范對文件管理流程，通過對信息安全管理體系所要求的文件進行控制，確?？色@得適用文件的有效版本。2.0范圍：本程序適用于公司各部門的信息安全管理體系有關的文件和資料控制和管理。3.0術語和定義文檔化信息：組織需要控制和維護的信息及其載體。文件：要求組織維持和控制的信息及其載體；受控文件：指受文件控制中心控制發行的內部和外來重要質量文件、管理文件、基礎文件、項目文件和技術文件；非受控文件：除受控文件外之文件，如非工作類信件、傳真、參考資料等。4.0職責和權限4.1人事部4.1.1負責本程序文件的編制、更改、實施和控制管理；4.1.2負責外來文件（國家、地方、上級和顧客與信息安全有關的文件和資料）的識別控制和管理。4.2信息安全管理委員會4.2.1負責《信息安全管理手冊》的編制、發放、更改和控制管理；4.2.2負責各程序文件編制工作的指導、印制、發放、更改和控制管理。4.3文控中心4.3.1負責編制規范、標準和標準圖等有效版本控制清單，下發到相關部門和單位，并組織對作廢版本進行識別；4.3.2負責重大技術項目施工組織設計編制工作；參與竣工的審核驗收工作。4.3.3負責收集國家頒布的信息安全方面的法律法規并進行有效的控制和管理。4.5各職能部門4.4.1負責本部門所管轄的業務和相關的外來文件；以及內部文件資料的識別、控制與管理。5.0程序內容5.1本公司采用四級層次文件編寫法。所有信息安全管理的文件（含記錄）均以ISMS作為開頭，規定由4或5個數字構成編號。5.1.1首數字代表文件層次：1為手冊、2為程序文件、3為作業指導書、4為表格記錄；5.1.2第二層次文件中第二位數字全部為0，末兩位為自然序號，從01開始往后排序；5.1.3第三層次文件中的第二位和第三位兩個數字與第二層次文件的自然序列號相對應，第四或第五個數字為本層次的自然序列號；5.1.4第四層次的文件編號中第二、三兩個數字全部對應需要填寫此表格的程序文件或作業指導書，后兩個數字為自然序列號。ISMS—××××文件的自然順序號文件的自然順序號對應的前一個層次文件順序號對應的前一個層次文件順序號文件次號：1為手冊，文件次號：1為手冊，2為程序文件，3為作業指引，4為表格記錄信息安全管理體系文件信息安全管理體系文件5.1.5版本及修訂號的編制方法采用“英文字母自然排序/數字自然排序”法。如：“A/0”。以此類推。第0次修定（按照數字自然順序號，依次使用1、2、3……）第A版（按照英文字母自然排序，依次使用B、C、D……）版本及修訂號的標注方法：1、2、3層次文件標注在封面。記錄作為一種特殊形式的文件，沒有標注版本及修訂號的時候，默認為A/0版；當記錄更新版本及修訂號后，需要在記錄的標題前增加更新后的版本及修訂號，以示區別。5.2文件分類(見下表)序號文件名稱主要內容1法律法規國家和地方有關信息安全等方面的法律法規2公司文件《信息安全管理手冊》、程序文件，與信息安全有關的規章制度及行政文件、管理方案等3標準類文件包括國家、地方、行業頒發的有關信息安全的各類技術規范、標準、標準圖集、定額以及物理環境方面的規定等4合同類文件承包合同、分包合同、物資采購合同、租賃合同、經濟技術責任狀、信息安全協議等5圖紙類文件各類施工圖紙、設計變更、工程洽商記錄等6外來文件包括當地政府或上級主管部門下發的與信息安全管理體系有關的文件，還包括業主、分包商、供應商等方面有關體系方面的往來文件7運行記錄包括信息安全管理體系運行中的各類數據記錄8系統文件本公司與信息安全有關的系統文件包括：系統操作手冊；關鍵商業作業流程；網絡系統拓撲結構圖；訪問授權說明書及授權登記表；ISMS體系文件；監視系統網絡圖；其它系統文件。5.3文件的批準、發布和標識5.3.1《信息安全管理手冊》由信息安全管理委員會編寫，管理者代表審核，最高管理者批準發布。5.3.2程序文件和三層文件在人事部組織下由主管該程序的職能部門或指定相關責任人代表本部門編寫，部門負責人審核，管理者代表批準發布。5.3.3信息安全計劃和施工技術指導性文件的編寫、審核、批準，按照公司按照國家頒布的信息安全方面的法律法規進行編寫。5.3.4其他管理文件由編寫該文件的部門負責人審核，公司主管領導批準。5.3.5《信息安全管理手冊》和程序文件都應標識清楚文件的名稱、編號、版本、制文時間、發布部門和日期等。5.3.6公司內行政文件的發文程序。文件編寫部門在文件定稿以后，填寫《文件審批接收單》，標明文件名稱、編號、份數、說明、主辦單位、接受部門，經部門領導審核簽字后交人事部，人事部根據文件內容送有關領導簽發，填寫發文編號打印后，加蓋印章發出。5.3.7外來文件的管理程序。凡發到公司的與信息安全和有關的外來文件均由人事部負責簽收、登記、分類，由人事部先送公司有關領導閱批，再根據領導批示的內容，送有關部門閱辦或轉發基層單位，有關部門閱辦或轉發以后，其文件原件一律由公司人事部收回并存檔案室。各部門收到的外來文件，應交人事部處理；凡地方有關部門或顧客直接發到各職能部門與信息安全和有關的文件資料，各職能部門對照公司文件控制管理工作程序進行文書處理。5.4文件的收發管理及使用5.4.1公司人事部設專職人員負責文件的收發、管理、更改和作廢文件的處置。5.4.2文件發放時應確定發放范圍，辦理發放手續，建立發放臺帳。5.4.3凡進入本單位、本部門的文件均要進行收文登記；凡發到下級單位或個人的文件均要妥善保管，嚴防丟失和污損，確保文件清晰，易于識別；凡需歸檔的文件，要按《記錄管理程序》執行。5.4.4人事部負責匯總編制公司受控文件總清單，由管理者代表審批。5.4.5各職能部門都要根據本部門、本單位的實際建立文件清單，以便對文件進行動態的管理。5.4.6文件不得隨意自行復印，如需要時使用者應辦理復印審批手續，經文件主控部門批準后方可復印，復印的文件與原文同等發放管理。5.4.7文件使用者變動為與原崗位無關的崗位或調出本單位時，其使用的文件須辦理交接，并填寫文件交接單。5.5文件評審和修改5.5.1在文件實施過程中，各職能部門應及時收集不適宜之處，及時上報主編單位，由原文件審批人決定是否進行更改。《信息安全管理手冊》、程序文件每年在內審時由人事部組織有關部門進行文件的評審，必要時予以修訂。5.5.2文件在評審中決定需要更改時，必須由該文件的編寫單位填寫審批單，經主管領導批準后下達《文件審批接收單》，各級文件管理人員按通知要求進行更改，并將更改的情況寫到文件變更記錄頁上。5.5.3文件清單中列出的文件應為有效文件，并確保文件的更改和修訂狀態得到識別。5.6文件的作廢處置5.6.1文件作廢時，由發文單位下發《文件審批接收單》，持有文件的各部門、各單