密级等级：机密
受控状态：受控
文件编号：GM-IP-020-V1.0
相关方信息安全管理程序
V1.0
2024年7月1日
XXXXXX电子科技有限公司
内部资料版权所有未经允许不得抄印
相关方信息安全管理程序
文件版次
V1.0
密级/状态
机密/状态
第PAGE\*Arabic1页共NUMPAGES\*Arabic2页
变更履历
版本
变更内容
编制人/
创建日期
审核人/
审核日期
批准人/
批准日期
备注
V1.0
初次发布
1目的
为加强对组织相关方的控制，识别其信息安全风险，采取相应措施，防范组织的信息资产损失，特制定本程序。
2范围
本程序适用于组织信息安全管理范围内外部相关方管理活动，包括对供应商、外来人员、运输承包方、废弃物处理方及客户的信息安全方面的管理和监督。
3职责
3.1管理部
组织各部门识别外部相关方对信息资产和信息处理设施造成的风险；
定期组织对相关方控制的实施活动进行检查与跟踪；
负责与相关方人员签订保密协议。
3.2各相关部门
负责对本部门、本项目外的部门的相关方进行控制和管理；
负责对客户提供的信息采取保密措施。
4相关文件
《安全区域管理程序》
《物理访问策略》
《用户访问管理程序》
5程序
5.1管理对象
承包我公司技改项目建设的单位（以下简称承包商）；
服务提供商：互联网服务提供商、电话提供商、信息系统维护和支持服务提供商、软件产品和信息系统开发商和供应商；
客户
业务合作伙伴；
5.2相关方信息安全管理
管理部组织各部门识别外部相关方对信息资产和信息处理设施造成的风险，并在批准外部相关方访问信息资产和信息处理设施前，对所识别的风险实施适当的控制。
涉及对组织的信息资产物理访问、逻辑访问管理部应与相关方签署《相关方保密协议》。
《相关方保密协议》中应反映所有与相关方合作而引起的内部管理需求或信息安全需求，《相关方保密协议》中还要提请相关方对其员工进行必要的信息安全意识、技能培训和教育，使其满足工作要求。在对信息安全的要求未实施适当的控制之前不应向外部相关方提供权限进行信息的访问管理部应确保外部相关方认识到其义务，并接受与访问、处理、交流或管理组织信息和信息处理设施相关的责任和义务。
5.3对外来人员的管理
外来人员主要有：临时工、外来参观和检查人员、外来技术/服务人员、服务提供商（包括管理服务提供商）等。
外来人员进入组织，应按《安全区域管理程序》和《物理访问策略》进行控制。
外来人员的逻辑访问按《用户访问管理程序》进行控制。
5.4对相关方的监督管理
管理部应建立《相关方一览表》，保存《相关方保密协议》和访问授权记录管理部与相关主管部门负责定期组织对相关方控制的实施进行检查与跟踪：
对相关方控制管理不严格、存在信息安全隐患的部门，提出整改意见，对问题较多或整改不力的，限令整改，提出信息安全考核意见和要求；
对不符合信息安全管理要求的相关方，整改后仍不符合要求或拒绝整改可能造成信息安全事件的相关方，做出限期整改、减少订货、经济扣罚、终止合同等决定意见。
6记录
《相关方保密协议》
《相关方一览表》