7纠正和预防措施控制程序.docx

纠正和预防措施控制程序1 .目的通过消除信息安全事件或潜在信息安全隐患，将信息安全事件、事故降低到最低程度，确保信 息安全体系的有效运行。2 .范围本程序适用于信息安全体系运行全过程。3 .职责3.1 管理者代表是纠正和预防措施的主控部门，负责组织实施、验证纠正和预防措施。3.2 各责任部门负责制定和实施纠正和预防措施。4 .控制程序4.1 纠正措施的制订和实施4.1.1 管理者代表负责收集以下的有关信息，进行调查分析，确定是否采取纠正措施： 信息安全体系内审及第三方验证的不符合项报告和管理评审报告以及日常体系运行监督 检查的结果； 顾客意见及处理情况； 实施监督和测量中发现的问题； 各部门执行公司技术中心经营生产计划中发现的问题。4.1.2 网络管理员根据上述信息，对存在的不合格（包括顾客的投诉和意见）进行评价，确定需 要采取纠正措施的对象，填写不符合项报告、纠正预防措施通知单等，下发责任部门。4.1.3 责任部门接到不符合项报告、纠正预防措施通知单后，应分析发生不合格的原因, 针对性地制定纠正措施，3天内反馈管理者代表，由责任部门负责人经理和管理者代表或部门 负责人经理批准后进行实施,重大纠正措施由信息安全委员会进行审批。4.2 预防措施的制订和实施4.2.1 管理者代表负责组织有关部门，对本程序条款规定的信息进行分析，体系运行过程 中存在的潜在不合格，调查分析原因，填写信息安全薄弱点报告。4.2.2 根据调查分析的结果和需要进行改进的项目和目标，由管理者代表确定应采取预防措施 的对象，填写纠正预防措施通知单，下发责任部门。4.2.3 责任部门接到“纠正和预防措施通知单”后，应分析潜在不合格的原因，针对性地制定 预防措施，3天内反馈管理者代表，由责任部门经理负责人和管理者代表门经理部门负责人批 准后进行实施，重大纠正措施由信息安全委员会进行审批。4.3 纠正和预防措施的验证1.3 各部门严格按照制订的纠正和预防措施进行实施，消除不合格或潜在不合格的原因。1.3.2 管理者代表负责监督检查纠正和预防措施的实施，验证纠正措施的完成情况，并对实施 纠正和预防措施的有效性进行评审，对效果不明显或无效时，应重新进行调查分析，采取新的 纠正和预防措施。1.3.3 当因实施纠正预防措施需要对有关的信息安全体系文件进行修改时，由管理者代表负责 依据文件管理程序的规定，进行文件的修改。1.4 各部门对实施纠正和预防措施的结果，要予以记录，执行记录管理程序。5 .相关文件文件管理程序记录管理程序.相关记录信息安全薄弱点报告纠正和预防措施通知单不符合项报告