信息安全管理体系记录控制程序

第一篇：信息安全管理体系记录控制程序

信息安全管理体系记录控制程序 1.适用

本程序适用于本公司产生的记录的管理。

2.目的为支持信息安全体系的运作而明确记录的管理。

3.管理方法

3-1保管方法

（1）记录由各保管部门在可快速检索的条件下，决定保管场所，放在箱子、柜子等适当 容器中保管。

（2）对保管场所的环境，本程序没有特别指定。由各保管部门考虑记录媒体的特性做适 当处理。

（3）以电子媒体保管的场合，为预防意外，需做适当的备份。备份的安全要求执行《信息备份管理程序》。

（4）记录保管部门应建立《记录清单》，明确规定保管记录类别、记录保存期限等。记录的保存应符合有关法律法规的要求，保存期限参考本规格书第 4 条款。

（5）因工作需要，借阅其他部门的秘密记录，应获得记录保管部门负责人授权后方可借 阅，并留下授权记录和借阅记录。借阅者在借阅期内应妥善保管记录，并按期归还；机 密记录只准在现场查阅。

（6）记录的字迹应清晰、真实、文字表达准确、简练，记录不得随意修改。确需修改时，必须在修改处作标识，并由修改人签名确认。

3-2废弃 超过保管期限的记录，由保管部门作为秘密文件处理废弃。废弃应采用安全可靠的处置 方法（如书面记录采用粉碎方法、电子媒体采用格式化方法等)，处置记录应予以保存。但若保管部门认为必要时，仍可继续保管超出保管期限的记录。

4.记录的分类和保存年限

记录类型 测试报告

关于合同内容确认的记录 购买管理

保管期限（年)3 年 合同

保管部门 技术部 行政部 集成部

行政部 集成部

质量保证书 定单

供应商变更申请书 供应商清单 购买需求单 购买合同

购买质量保证书 供应商评价表 供应商检查表 5 年

合同结束后 3 年

文件管理 内部审核 员工教育履历

信息安全管理评审会议记录以及纠正措施记录 信息安全目标以及分解 预防措施 影响分析报告业务持续性计划业务持续性计划测试报 业务持续管理 告

业务持续性计划评审报 告

信息资产识别表

重要信息资产清单重要信息资产评估表风险评估报告 资产识别和风险评估 风险处理计划

调查报告

信息事故、异常处理记纠正措施 录 信息设备更改申请书 变更管理 软件安装/升级申请书

采购记录

维护记录 授权记录 访问记录 访问保密协议 用户访问授权记录 用户访问权限评审记录

审核日志（电子媒体)参见档案 管理规程年 5 年 2 年 3 年 1 年 2 年 10 年 10 年 行政部 行政部 行政部 行政部 行政部 各部门 集成部 集成部年 集成部年 3 年 3 年 3 年 3 年 3 年 3 年 3 年 3 年年 3 年

设备使用期间保 管 2 年 2 年 3 年

保持至员工 离职 3 年 1 年 参见档案 管理规程 5 年

信息处理设备相关记录

集成部 行政部 集成部 集成部 集成部 集成部 行政部 集成部

集成部或技术部 集成部 集成部 集成部 技术部

系统开发相关记录

用户逻辑访问相关记录

技术部

技术部 集成部 集成部 行政部 行政部

人事相关记录 财务相关记录

第二篇：记录控制程序

医疗投资有限公司

文件编号

XXX-QP4.2.4-2016

版本号

B/0

文件名称

记录控制程序

页

数

1目的根据《医疗器械监督管理条例》、《医疗器械经营许可证管理办法》、《医疗器械经营质量管理规范》等有关规定，对质量管理体系所要求的记录予以管理和控制，以提供符合要求和质量管理体系有效运行的证据，特制定本控制程序。

2范围

适用质量管理体系运行过程中涉及到的所有记录。

3权责

3.1质量部负责记录的归口管理工作，指导、监督各部门做好记录。

3.2质量部负责质量记录表样的控制，按文件控制程序控制。

3.3各部门负责质量记录表样的设计、更改以及已填质量记录定期收集、整理、保管本部门的质量记录确保需要时提供证据。

程序要求

4.1记录的填写

2015年2月

4.1.1记录填写要及时、真实、内容完整、字迹清晰，不得随意涂改；如有空白项目，将该空白项用斜线自左下至右上划去“

”或用文字说明（如：无、以下空白等）；各相关栏目负责人签名不允许空白。

4.1.2如因笔误或计算错误要修改原数据，应用单杠划去原数据“如：2015年1月”，在其上方填写更改后的数据，加盖更改人的印章或签署更改人的姓名及日期加以标注。

4.2记录的保存、保护

各部门负责人每月把本部门产生的记录分类，按时间顺序整理好，存放于通风、干燥的地方，所有的记录应保持清洁、字迹清晰。按规定的期限保存记录，记录的保管应便于查找

4.3记录的编目

质量部负责将公司所有与质量管理体系运行有关的记录表样汇总，编制《记录清单》，包括名称编号、保存期、使用部门等内容，收集所有记录表样，进行备案存档。按文件控制程序控制。各部门编制本部《记录清单》，作为本部门记录管理附件。

4.4记录发放、借阅和复制

4.4.1

记录空白表模板，有质量部下发各部门保存适用版本。

4.4.2保存的已填报记录应便于检索，需借阅或复制要经相应部门负责人批准，登记备案，及时反还。

4.5 记录的传递

当记录需在公司内（外）部进行传递时，必须按规定的时间及范围进行传递。

4.6记录的销毁处理

质量记录的保存期：进货检验记录和销售记录应当保存至医疗器械有效期二年，无有效期的不得少于5年；植入性医疗器械的进货检验记录和销售检验记录应永久保存；其它记录可保存到医疗器械有效期后二年。

记录如超过保存期或其他特殊情况需要销毁时，由质量部填写《文件借阅/复制/销毁申请表》，交管理者代表批准，由行政部执行销毁，质量管理人员监督销毁过程。

4.7记录格式

4.7.1各部门的记录格式，由责任部门编审，报质量部按本文件4.1要求统一编号，并留下表样备案。

4.7.2各部门可根据记录格式的使用适宜性提出更改，执行4.2.3文件控制要求。

4.8

质量部在适宜时检查各部门记录的使用、管理情况。

5相关文件

5.1《文件管理控制程序》

Ryzur-Qp4.2.3-2016

6相关记录

6.1 《质量记录清单》

Ryzur-QR-QP4.2.4-01

第三篇：质量记录控制程序

质量记录控制程序

1目的对质量记录进行控制和管理，提供产品质量符合要求和质量体系有效运行的证据。2适用范围

本程序适用于本公司与质量体系相关的所有质量记录，包括来自分承包方的质量记 录的管理活动。

3定义

3.1质量记录：是指为证明满足质量要求的程度或为质量体系的要素运行的有效性提供客 观证据的文件。职责

4．1 质管部负责组织程序文件、作业指导书、内部技术管理文件产生的质量记录样本的 编制、审批、修订及日常检查考核工作, 负责质量记录的保存、维护、借阅和日常管理 工作。

4．2 各部门配置管理员负责本系统归口管理的质量记录的收集、临时保存及检查考核工 作。工作程序

5．1质量记录的范围

a.与产品质量有关的记录

如顾客投诉记录、工程现场检验报告等。

b.质量体系运行记录

内审报告、管理评审报告、人员培训记录等。

c.来自分承包方的质量记录

委托方过程控制记录表。

5．2质量记录的存储形式

a.书面文字

b.磁盘、磁带

5． 3质量记录样本的设计、标识和修改

5．3．1 质量记录的编写按《文件和资料控制程序》执行。

5．3．2 质量记录的格式要满足程序文件的要求，适用性强，可操作，易于识别和修改。

5．3． 3 质量记录由各归口管理部门根据《文件编号规定》（T.ZY0501-A01）对序号进 行编号，序号标在记录的右上角。

5．3．4 质管部每年对全公司的质量记录样本汇总并组织编制成册，发至各大部并以模 板方式存于指定目录下。

5．3．5 如果由于程序文件或内部技术管理规范的更改导致质量记录样本的更改，则更 改过程按《文件和资料控制程序》执行。如果仅修改质量记录样本时，各部门将修改的 样本报质管部，由质管部审核，管理者代表批准后，修改样本模板，并在下次发行质量 记录样本手册时更新相应质量记录样本。

5．4 质量记录的填写与传递

5．4．1 质量记录一律用计算机填写,签名除外。

5．4．2 质量记录所列各项要填写完整，如有空白，填 /。

5．4．3 需传递的质量记录应按程序文件规定的路线传递到位。

5．5 质量记录的标识，收集，编目，归档

5．5．1 各部门设专人负责对质量记录进行收集、整理、标识、编目，放于指定目录下。质管部每月对全公司质量记录进行审查入库，统一归档存储质量记录。

5．6 质量记录的查阅和维护

5.6.1质量记录的维护由质管部统一管理，包括定期备份、设置使用权限。

5.6.2各相关部门按《文件和资料控制程序》(T.CX0501-A01)借阅质量记录。

5.6.3已超过保存期限的质量记录由质管部从质量记录库中删除，并列出删除的 质量记录清单。

6.引用文件

《文件编号规定》(T.ZY0501-A01)

《文件和资料控制程序》（T.CX0501-A01）

7.质量记录

8.附录

附录A

质量记录清单

质量记录编号质量记录名称 搜集部门 保存年限 管理人员 备注

T.JL0101-A01 管理评审报告 质管部

T.JL0301-A01 合同评审表 市场部

T.JL0302-A01 合同修改申请单 市场部

T.JL0303-A01 合同签署授权表 市场部

T.JL0406-A01 评审小组成员登记表 核心组

T.JL0407-A01 评审总结记录表 核心组

T.JL0408-A01 设计更改记录 核心组

T.JL0409-A01 开发产品文档审查报告 核心组

T.JL0410-A01 公司级设计评审申请表 核心组

T.JL0411-A01 用户测试报告和验收报告 开发部

T.JL0412-A01 项目验收会议记录 开发部

T.JL0413-A01 产品交付清单 开发部

T.JL0414-A01 用户新需求表 开发部

T.JL0501-A01 受控文件清单 总经理办

T.JL0502-A01 技术资料文件目录 总经理办

T.JL0503-A01 文件更改（更新）申请表 总经理办

T.JL0504-A01 文件发放登记表 总经理办

T.JL0505-A01 文件处理申请表 总经理办

T.JL0506-A01 资料借阅登记表 总经理办

T.JL0507-A01 文件更改记录 总经理办

T.JL0601-A01 分供方评价报告 市场部

T.JL0602-A01 合格分供方名录 市场部

T.JL0603-A01 合格分供方资格审查表 市场部

T.JL0604-A01 采购产品验证记录 市场部

T.JL0605-A01 认定的分供方名录或清单 市场部

T.JL0606-A01 分供方及其供应产品的质量记录 市场部

T.JL0607-A01 委托方过程控制记录表 市场部

T.JL0701-A01 顾客提供产品认可报告 市场部

T.JL0702-A01 顾客提供产品验证报告 市场部

T.JL0801-A01 设计更改记录 开发部

T.JL0802-A01 软件配置状态报告 开发部

T.JL0901-A01 产品项清单 开发部

T.JL0902-A01 工程现场检验报告 开发部

T.JL0903-A01 产品修改记录表 开发部

T.JL0905-A01 部门生产设备

需求计划 系统部

T.JL0906-A01 公司生产设备需求

计划 系统部

T.JL0907-A01 计划外生产设备需求计划 系统部

T.JL0908-A01 备品备件库存表 系统部

T.JL0909-A01 设备配置、附件和文件

明细表 系统部

T.JL0910-A01 设备采购申请表 系统部

T.JL0911-A01 设备领用申请 系统部

T.JL0912-A01 设备领用表 系统部

T.JL0913-A01 设备部件领用表 系统部

T.JL0914-A01 设备外借单 系统部

T.JL0915-A01 设备使用情况检查表 系统部

T.JL0916-A01 设备台帐 系统部

T.JL0917-A01 闲置设备部件清单 系统部

T.JL0918-A01 设备报废申请表 系统部

T.JL1001-A01 代码审查检查表 开发部

T.JL1002-A01 单元测试检查表 开发部

T.JL1301-A01 软件项错误报告 开发部

T.JL1401-A01 预防措施指令单 质管部

T.JL1402-A01 纠正措施指令单 质管部

T.JL1403-A01 预防措施实施情况

综合分析报告 质管部

T.JL1501-A01 代购品接入记录 系统部

T.JL1502-A01 代购品出/入库明细帐 系统部

T.JL1503-A01 库存代购品定期检查记录 系统部

T.JL1504-A01 代购品提货申请 系统部

T.JL1505-A01 代购品交付清单 系统部

T.JL1601-A01 质量记录外借单 质管部

T.JL1701-A01 审核检查表 质管部

T.JL1702-A01 审核计划 质管部

T.JL1703-A01 不合格报告 质管部

T.JL1704-A01 审核报告 质管部

T.JL1705-A01 审核会议签到表 质管部

T.JL1706-A01 第次审核实施计划 质管部

T.JL1707-A01 不合格项分布表 质管部

T.JL1801-A01 第 季度员工培训计划 综合部

T.JL1802-A01 新员工上岗培训计划 综合部

T.JL1803-A01 员工培训登记表 综合部

T.JL1901-A01 维护计划 工程部

T.JL1902-A01 用户意见征询表 工程部

T.JL1903-A01 用户意见处理通知书 工程部

T.JL1904-A01 用户意见反馈表 工程部

T.JL1905-A01 客户服务中心、技术支持中心热线服务统计表 工程部 T.JL1906-A01 培训计划 开发部

T.JL1907-A01 用户培训记录 开发部

T.JL1908-A01 用户培训反馈表 开发部

T.JL2001-A01 错误日志开发部

T.JL2002-A01 错误统计报表 开发部

T.JL2003-A01 项目预测统计报表 开发部

第四篇：4.2.4记录控制程序

宁波市杭州湾大桥发展有限公司

ISO9001:2008质量管理体系程序文件

记录控制程序

HZW-QP-4.2.4-01（A/0版）

受控序号：

修 订 人：生效日期：___审 核 人：审核日期：___批 准 人：批准日期：___

1.目的通过对质量管理记录的分类、标识、收集、贮存、保护、检索、使用和处置的控制，确保各项管理记录真实有效，为质量管理体系有效运行和符合规定要求提供证据。

2.范围

适用于公司质量管理体系运行有关的各项记录的控制。

3.术语

无

4.职责

4.1办公室负责监督和管理各相关部门的质量管理体系的运行情况记录；

4.2各相关部门负责收集、整理、保存本部门的质量管理体系的运行情况记录；

4.3技术养护部负责下属外包方（养护中心）运行记录的监督检查和整理、保存；

4.4服务管理部负责下属外包方（南、北两岸服务区）运行记录的监督检查和整理、保存；

4.4安全管理部负责大桥、公司、服务区运营安全有关的记录的监督检查和整理、保存；

4.5人力资源部负责稽查各部门记录完善情况。

5.工作流程

5.1质量管理体系的运行情况记录的分类

5.1.1质量管理记录根据使用状况分为格式记录和非格式记录。管理运行记录是管理体系文件的构成之一，按记录的产生来源，格式记录又分为由程序文件所产生的通用管理运行记录和由工作规程所产生的专用管理运行记录。

5.1.2格式记录表格的编制、修改、审核、批准权限与所属文件保持一致，并按《文件控制程序》进行控制，程序文件的《记录清单》由办公室负责编制，作业文件的《记录清单》由各部门负责编制，经部门负责人批准后，送办公室备案。

5.1.3非格式记录为与质量管理体系有关的计划、报告、供方或外部提供的记录、磁带等，非格式记录无编码要求规定，但应满足唯一性要求可供追溯。

5.2记录的编号

5.2.1记录表单编号方式：

程序文件表单编号方式：HZW-QP-XXX-XX-XXX

HZW-QP-XXX-XX代表本公司程序文件编号；

XXX（最后）代表这个程序引用的表单顺序号（顺序号自001、002、003递增）。作业指导书表单编号方式：HZW-WI-XXX-XXX

HZW-WI-XXX代表：三层次文件编号；

XXX代表：这个三层次文件引用的表单顺序号（顺序号自001、002、003递增）。

5.2.2特殊情况下，经管理者代表批准，允许现场使用原有库存（印刷版）记录表格，但需采用盖受控章的方式加以使用。

5.3记录的收集贮存

5.3.1各相关部门负责编制本部门使用、保管的《记录清单》，定期收集管理运行记录。具体要求如下：

a）每日管理体系运行记录—每月一次归档贮存；

b）每周管理体系运行记录—每三个月一次归档贮存；

c）每月管理体系运行记录—每半年一次归档贮存；

d）每年管理体系运行记录—每年一次归档贮存；

e）相关外包方的运行记录可根据主管部门规定归档贮存。

5.3.2管理体系运行记录的贮存应考虑记录载体的贮存要求和适宜环境，防止损坏、变质和遗失。

5.4管理体系运行记录的检索

5.4.1各相关部门负责对本部门使用、控制的管理体系运行记录进行编目、归档和查阅的管理，具体要求如下：

a）按本程序4.3.1中的归档周期，对相应的管理体系运行记录进行装订编目。除其他媒介的记录之外，书面记录每装订一册均须使用的统一封面；

b）记录装订、编目、归档、销毁后应及时填写《管理体系记录档案清单》以备检索，档案清单包括格式与非格式记录。

5.5管理体系记录的查阅

5.5.1经记录保存部门负责人同意，其它部门可查阅所需记录，如要借阅须经双方负责人同意，进行验证，限期归还。

5.5.2在特殊情况下，当顾客要求查询有关管理体系运行记录时，如监控中心的监控录像带等，应经录像带保存的营运监控部负责人批准后方予查阅，并由记录保存的监控中心负责作好查阅记录。

5.6管理体系运行记录的使用、保护

5.6.1 内部质量记录产生

制作单位依据本公司质量系统规定，使用内部质量记录表单对已完成或正在进行中的各项质量活动进行如实填写。除另行规定外，内部质量记录应由制作单位权责主管或其指定代理人核定后生效。经核定的内部质量记录，任何单位及人员不得擅自修改。未经核定的内部质量记录不得作为质量系统运作之证据。

5.6.2 内部质量记录填写说明

各项目填写需完整，不得使用铅笔或可擦拭笔，字迹及数据数据应能清楚识别，以免产生误解。质量记录所设定之项目如不适用时，可以用“N/A”或“/”注明，不得以空白填写。质量记录如欲修改时，应将欲修改处划线删掉，并在注明正确内容后签注修改人员姓名及修改日期以示负责。原则上应避免使用涂改液，以确保正确性

5.6.3技术养护部和服务管理部负责每季度一次对各外包方的管理体系运行记录的使用与保护状况进行检查。

5.7体系运行记录的保存期限及处置

5.7.1运行记录的保存期限按其使用的频率、性质、来源以及提供证明的重要程度设定。适用时，保存期限的设定应考虑以下条件：

a）使用频率

 每日管理体系运行记录—保存期12个月，如每日当班记录等；

 每周管理体系运行记录—保存期12个月，如每周检记录等；

 每月管理体系运行记录—保存期24个月，如月度工作计划和报告等；

b）使用性质

 作废的文件正本（原件）—保存三年；

 管理评审、内审程序中所涉及的记录—保存三年；

 管理体系策划、纠正和预防措施等相关的记录—保存期限3年以上；

 服务合同、标书、养护方案—永久保存。

 在职员工的培训记录档案—保存三年。

 养护巡查日志、综合安全检查记录、服务区考核评分记录—永久保存。c）供方（外包方）提供的记录

 检测记录－－有检测周期要求的记录其保存期限为周期的3倍，其中设备检测记录应归入被检测设备档案永久保存；

 涉及供方合同、协议、报告－－在项目决算结束后保存三年，如涉及到服务设施设备的记录归档永久保存；

 涉及到问题整改方面《工程联络单》或《工作联络单》的记录要归档永久保存。

5.7.2办公室负责确定程序文件记录的保存期限，并在《记录清单》中予以明确。相关部门的工作手册记录的保存期限由各部门按实际要求确定。

5.7.3各相关部门应按照《记录清单》或本程序4.7.1的保存期限要求对存档记录资料进行定期检查。对超过保存期的管理体系运行记录，经相关部门负责人批准后及时销毁，并在《记录清单》上作好记录。

6、相关文件

《文件控制程序》

7、记录

《记录清单》

《管理体系记录档案清单》

第五篇：公司的信息安全管理体系

公司的信息安全管理体系

信息安全通过人员安全、文档与数据安全，软件与系统安全、硬件与网络安全，区域安全实现对信心机密性，完整性，可用性的保护。信息安全管理体系的引入，可以协调各个方面信息管理，管理更为有效。信心安全管理体系是对系统地组织敏感信息进行管理，涉及到人，程序和信息技术（IT）系统。

Iso27001:2005是一套国际公认的信息安全管理体系标准，按照标准实施，可以帮助公司识别，管理和减少信息通常所面临的各种威胁。11个角度：

1． 安全方针：为信息安全提供管理指导和支持

2． 安全组织：在公司内管理信息安全

3． 资产分类与管理：对公司的信息资产采取适当的保护措施

4． 人员安全：减少人为错误，偷窃，欺诈或滥用信息及处理设施的风险

5． 实体和环境安全：防止对商业场所及信息未经授权的访问，损坏及干扰

6． 通讯与运作管理：确保信息处理设施正确和安全运行

7． 访问控制：管理对信息的访问

8． 系统的获得、开发和维护：确保将安全纳入信息系统的整个生命周期

9． 安全事件管理：确保安全事件发生后有正确的处理流程和报告方式

10． 商业活动的连续性管理：防止商业活动的中断，并保护关键的业务过程免收重大故

障或灾难的影响

11． 符合法律：避免违反任何刑法和民法，法律法规或合同义务以及任何安全要求。

信息安全建设的原则

领导重视，全民参与：信息安全不仅仅是发务部和IT中心的工作，需要各事业部，中心以及公司全体员工的共同参与

管理与技术结合：技术不是绝对的，信息安全管理遵循“七分管理，三分技术”管理原则。

“二八”原则：20%的信息安事件来自外部攻击，80%的信息安全事件发生在公司内部

管理原则：管理为主，技术为辅，内外兼防，发现漏洞，消除隐患，确保安全。

信息安全管理体系建设的目的1管理理解企业所拥有的信息资产的价值

2提高企业员工对安全的认识和对安全管理的参与

3提好企业用户及合作伙伴对企业的信心，信任，满意程度

4提高企业信息安全管理的只连年感和水平

5遵守相关法律法规的要求

6使企业更有效的管理和处理安全事件

7通过制定和实施符合国标标准的安全管理制度来提高企业的竞争优势和声誉

8为将来企业全面发展电子商务打下最重要的基础

计算机安全

1计算机密码设置要求

至少6位

包含下面4类字符组中的3类，数字，英文大小写字母和非字母数字字符

不包含用户名的全部或大部分

至少90天更换一次密码

新密码不能与旧密码相同

2开机密码

计算机必须设置开机密码，不设开机密码，那么他人可随意操作你的计算机

3登入密码

计算机必须设置登录密码，不设置登录密码，黑客将会很轻松的攻破你的计算机 操作系统，并且窃取重要资料，其他人也可以轻易的使用你的计算机

4屏幕保护密码

计算机必须设置屏幕保护密码，当你离开座位最少10分钟请及时激活屏幕保护，防止他人乘机使用你的电脑

4文件夹共巷享密码

计算机必须设置文件夹共享密码，禁止不带密码的共享方式

6硬盘加密密码

笔记本电脑必须要设置硬盘加密密码，7磁盘消磁

当计算机硬盘需要换厂更换或者报废时，必须通过硬盘消磁盘处理，消除存储数据，维护信息安全

8计算机软件安装

公司禁止员工私自安装有版权争议的软件

9usb监控

公司目前实施的usb安全策略分为两种：usb封闭和监控。

网络，邮件系统，文件安全

1公司内部网络安全注意事项：

禁止通过公司网络访问互联网，从事与工作无关的事情

禁止在网络上伪装为他人

禁止在公司网络上运行黑客工具

禁止在公司网络上使用非公司的电子邮件

禁止员工私自拨号上网

禁止未经批准增加网络设备到公司的网络架构中

2ip地址获得

公司的内部的ip地址设置为自动获取方式，禁止私自固定ip地址 禁止私自架设代理服务器上网