信息系统安全管理要求GBT20269-2006

《信息安全技术信息系统安全管理要求GB/T20269-2006》

引言

信息安全等级保护从与信息系统安全相关的物理层面、网络层面、系统层面、应用层面和管理层面对信息和信息系统实施分等级安全保护。管理层面贯穿于其他层面之中，是其他层面实施分等级安全保护的保证。本标准对信息和信息系统的安全保护提出了分等级安全管理的要求，阐述了安全管理要素及其强度，并将管理要求落实到信息安全等级保护所规定的五个等级上，有利于对安全管理的实施、评估和检查。GB17859-1999中安全保护等级的划分是根据对安全技术和安全风险控制的关系确定的，公通字[2004]66号文件中安全等级的划分是根据信息和信息系统受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成损害的程度确定的。两者的共同点是：安全等级越高，发生的安全技术费用和管理成本越高，从而预期能够抵御的安全威胁越大，建立起安全信心越强，使用信息系统的风险越小。本标准以安全管理要素作为描述安全管理要求的基本组件。安全管理要素是指，为实现信息系统安全等级保护所规定的安全要求，从管理角度应采取的主要控制方法和措施。根据GB17859-1999对安全

保护等级的划分，不同的安全保护等级会有不同的安全管理要求，可以体现在管理要素的增加和管理强度的增强两方面。对于每个管理要素，根据特定情况分别列出不同的管理强度，最多分为5级，最少可不分级。在具体描述中，除特别声明之外，一般高级别管理强度的描述都是在对低级别描述基础之上进行的。

信息系统是指由计算机及其相关和配套的设备、设施构成的，按照一定的应用目标和规则对信息进行存储、传输、处理的系统或者网络；信息是指在信息系统中存储、传输、处理的数

字化信息。本标准涉及信息系统的管理者包括国家机关、事业单位、厂矿企业、公司、集团等各种类型和不同规模的组织机构，以下统称为“组织机构”。

信息系统在技术上采取何种安全机制应根据相关技术标准确定，本标准仅提出保证这些安全机制实施的管理要求。与技术密切的管理是技术实现的组成部分，如果信息系统根据具体业务及其安全需求未采用该技术，则不需要相应的安全管理要求。对与管理描述难以分开的技术要求会出现在管理要求中，具体执行需要参照相关技术标准。对于涉及国家秘密的信息和信息系统的保密管理，应按照国家有关保密的管理规定和相关标准执行。

本标准中有关信息系统安全管理要素及其强度与信息系统安全管理分等级要求的对应关系的说明参见附录A。为了帮助读者从安全管理概念角度理解和运用这些信息系统的安全管理要求，附录B给出了信息系统安全管理概念说明。

信息安全技术信息系统安全管理要求

1 范围

本标准依据GB17859-1999的五个安全保护等级的划分，规定了信息系统安全所需要的各个安全等级的管理要求。

本标准适用于按等级化要求进行的信息系统安全的管理。

2 规范性引用文件

下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。

GB 17859-1999 计算机信息系统安全保护等级划分准则

GB/T 20271-2006 信息安全技术信息系统通用安全技术要求

3 术语和定义

GB 17859-1999确立的以及下列术语和定义适用于本标准。

3.1

完整性integrity

包括数据完整性和系统完整性。数据完整性表征数据所具有的特性，即无论数据形式作何变化，数据的准确性和一致性均保持不变的程度；系统完整性表征系统在防止非授权用户修改或使用资源和防止授权用户不正确地修改或使用资源的情况下，系统能履行其操作目的的品质。

3.2

可用性availability

表征数据或系统根据授权实体的请求可被访问与使用程度的安全属性。

3.3

访问控制access control

按确定的规则，对实体之间的访问活动进行控制的安全机制，能防止对资源的未授权使用。

3.4

安全审计security audit

按确定规则的要求，对与安全相关的事件进行审计，以日志方式记录必要信息，并作出相应处理的安全机制。

3.5

鉴别信息authentication information

用以确认身份真实性的信息。

3.6

敏感性sensitivity

表征资源价值或重要性的特性，也可能包含这一资源的脆弱性。

3.7

风险评估risk assessment

通过对信息系统的资产价值/重要性、信息系统所受到的威胁以及信息系统的脆弱性进行综合分析，对信息系统及其处理、传输和存储的信息的保密性、完整性和可用性等进行科学识别和评价，确定信息系统安全风险的过程。

3.8

安全策略security policy

主要指为信息系统安全管理制定的行动方针、路线、工作方式、指导原则或程序。

4 信息系统安全管理的一般要求

4.1 信息系统安全管理的内容

信息系统安全管理是对一个组织机构中信息系统的生存周期全过程实施符合安全等级责任要求的管理，包括：

——落实安全管理机构及安全管理人员，明确角色与职责，制定安全规划；

——开发安全策略；

——实施风险管理；

——制定业务持续性计划和灾难恢复计划；

——选择与实施安全措施；

——保证配置、变更的正确与安全；

——进行安全审计；

——保证维护支持；

——进行监控、检查，处理安全事件；

——安全意识与安全教育；

——人员安全管理等。

4.2 信息系统安全管理的原则

a）基于安全需求原则：组织机构应根据其信息系统担负的使命，积累的信息资产的重要性，可能受到的威胁及面临的风险分析安全需求，按照信息系统等级保护要求确定相应的信息系统安全保护等级，遵从相应等级的规范要求，从全局上恰当地平衡安全投入与效果；b）主要领导负责原则：主要领导应确立其组织统一的信息安全保障的宗旨和政策，负责提高员工的安全意识，组织有效安全保障队伍，调动并优化配置必要的资源，协调安全管理工作与各部门工作的关系，并确保其落实、有效；

c）全员参与原则：信息系统所有相关人员应普遍参与信息系统的安全管理，并与相关方面协同、协调，共同保障信息系统安全；

d）系统方法原则：按照系统工程的要求，识别和理解信息安全保障相互关联的层面和过

程，采用管理和技术结合的方法，提高实现安全保障的目标的有效性和效率；

e）持续改进原则：安全管理是一种动态反馈过程，贯穿整个安全管理的生存周期，随着安全需求和系统脆弱性的时空分布变化，威胁程度的提高，系统环境的变化以及对系统安全认识的深化等，应及时地将现有的安全策略、风险接受程度和保护措施进行复查、修改、调整以至提升安全管理等级，维护和持续改进信息安全管理体系的有效性；

f）依法管理原则：信息安全管理工作主要体现为管理行为，应保证信息系统安全管理主体合法、管理行为合法、管理内容合法、管理程序合法。对安全事件的处理，应由授权者适时发布准确一致的有关信息，避免带来不良的社会影响；

g）分权和授权原则：对特定职能或责任领域的管理功能实施分离、独立审计等实行分权，避免权力过分集中所带来的隐患，以减小未授权的修改或滥用系统资源的机会。任何实体（如用户、管理员、进程、应用或系统）仅享有该实体需要完成其任务所必须的权限，不应享有任何多余权限；

h）选用成熟技术原则：成熟的技术具有较好的可靠性和稳定性，采用新技术时要重视其成熟的程度，并应首先局部试点然后逐步推广，以减少或避免可能出现的失误；

i）分级保护原则：按等级划分标准确定信息系统的安全保护等级，实行分级保护；对多个子系统构成的大型信息系统，确定系统的基本安全保护等级，并根据实际安全需求，分别确定各子系统的安全保护等级，实行多级安全保护；

j）管理与技术并重原则：坚持积极防御和综合防范，全面提高信息系统安全防护能力，立足国情，采用管理与技术相结合，管理科学性和技术前瞻性结合的方法，保障信息系统的安全性达到所要求的目标；

k）自保护和国家监管结合原则：对信息系统安全实行自保护和国家保护相结合。组织机构要对自己的信息系统安全保护负责，政府相关部门有责任对信息系统的安全进行指导、监督

和检查，形成自管、自查、自评和国家监管相结合的管理模式，提高信息系统的安全保护能力和水平，保障国家信息安全。

5 信息系统安全管理要素及其强度

5.1 策略和制度

5.1.1 信息安全管理策略

5.1.1.1 安全管理目标与范围

信息系统的安全管理需要明确信息系统的安全管理目标和范围，不同安全等级应有选择地满足以下要求的一项：

a）基本的管理目标与范围：针对一般的信息系统应包括：制定包括系统设施和操作等内容的系统安全目标与范围计划文件；为达到相应等级技术要求提供相应的管理保证；提供对信息系统进行基本安全保护的安全功能和安全管理措施，确保安全功能达到预期目标，使信息免遭非授权的泄露和破坏，基本保证信息系统安全运行；

b）较完整的管理目标与范围：针对在一定程度上涉及国家安全、社会秩序、经济建设和公共利益的一般信息和信息系统，在a）的基础上还应包括：建立相应的安全管理机构，制定相应的安全操作规程；制定信息系统的风险管理计划；提供对信息系统进行安全保护的比

较完整的系统化安全保护的能力和比较完善的安全管理措施，从整体上保护信息免遭非授权的泄露和破坏，保证信息系统安全正常运行；

c）系统化的管理目标与范围：针对涉及国家安全、社会秩序、经济建设和公共利益的信息和信息系统，在b）的基础上还应包括：提供信息系统安全的自动监视和审计；提供信息系统的认证、验收及使用的授权的规定；提供对信息系统进行强制安全保护的能力和设置必要的强制性安全管理措施，确保数据信息免遭非授权的泄露和破坏，保证信息系统安全运行；d）强制保护的管理目标与范围：针对涉及国家安全、社会秩序、经济建设和公共利益的重要信息和信息系统，在c）的基础上还应包括：提供安全策略和措施的程序化、周期化的评估，以及对明显的风险变化和安全事件的评估；实施强制的分权管理机制和可信管理；提供对信息系统进行整体的强制安全保护的能力和比较完善的强制性安全管理措施，保证信息系统安全运行；

e）专控保护的管理目标与范围：针对涉及国家安全、社会秩序、经济建设和公共利益的重要信息和信息系统的核心系统，在d）的基础上还应包括：使安全管理计划与组织机构的文化有机融合，并能适应安全环境的变化；实施全面、可信的安全管理；提供对信息系统进行基于可验证的强制安全保护能力和完善的强制性安全管理措施，全面保证信息系统安全运行。

5.1.1.2 总体安全管理策略

不同安全等级的信息系统总体安全策略应有选择地满足以下要求的一项：

a）基本的安全管理策略：信息系统安全管理策略包括：依照国家政策法规和技术及管理标准进行自主保护；阐明管理者对信息系统安全的承诺，并陈述组织机构管理信息系统安全的方法；说明信息系统安全的总体目标、范围和安全框架；申明支持信息系统安全目标和原则的管理意向；简要说明对组织机构有重大意义的安全方针、原则、标准和符合性要求；b）较完整的安全管理策略：在a）的基础上，信息安全管理策略还包括：在信息安系统全监管职能部门的指导下，依照国家政策法规和技术及管理标准自主进行保护；明确划分信息系统（分系统/域）的安全保护等级（按区域分等级保护）；制定风险管理策略、业务连续性策略、安全培训与教育策略、审计策略等较完整的信息安全策略；

c）体系化的安全管理策略：在b）的基础上，信息安全管理策略还包括：在接受信息系统安全监管职能部门监督、检查的前提下，依照国家政策法规和技术及管理标准自主进行保护；制定目标策略、规划策略、机构策略、人员策略、管理策略、安全技术策略、控制策略、生存周期策略、投资策略、质量策略等，形成体系化的信息系统安全策略；

d）强制保护的安全管理策略：在c）的基础上，信息安全管理策略还包括：在接受信息系统安全监管职能部门的强制监督、检查的前提下，依照国家政策法规和技术及管理标准自主进行保护；制定体系完整的信息系统安全管理策略；

e）专控保护的安全管理策略：在d）的基础上，信息安全管理策略还包括：在接受国家指定的专门部门、专门机构的专门监督的前提下，依照国家政策法规和技术及管理标准自主进行保护；制定可持续改进的信息系统安全管理策略。

5.1.1.3 安全管理策略的制定

信息系统安全管理策略的制定，不同安全等级应有选择地满足以下要求的一项：

a）基本的安全管理策略制定：应由安全管理人员为主制定，由分管信息安全工作的负责人召集，以安全管理人员为主，与相关人员一起制定基本的信息系统安全管理策略，包括总体策略和具体策略，并以文件形式表述；

b）较完整的安全管理策略制定：应由信息安全职能部门负责制定，由分管信息安全工作的负责人组织，信息安全职能部门负责制定较完整的信息系统安全管理策略，包括总体策略和具体策略，并以文件形式表述；

c）体系化的安全管理策略制定：应由信息安全领导小组组织制定，由信息安全领导小组组织并提出指导思想，信息安全职能部门负责具体制定体系化的信息系统安全管理策略，包括总体策略和具体策略，并以文件形式表述；

d）强制保护的安全管理策略制定：应由信息安全领导小组组织并提出指导思想，由信息安全职能部门指派专人负责制定强制保护的信息系统安全管理策略，包括总体策略和具体策略，并以文件形式表述；涉密系统安全策略的制定应限定在相应范围内进行；必要时，可征求信息安全监管职能部门的意见；

e）专控保护的安全管理策略制定：在d）的基础上，必要时应征求国家指定的专门部门或机构的意见，或者共同制定专控保护的信息系统安全管理策略，包括总体策略和具体策略。

5.1.1.4 安全管理策略的发布

信息系统安全管理策略应以文档形式发布，不同安全等级应有选择地满足以下要求的一项：

a）基本的安全管理策略的发布：安全管理策略文档应由分管信息安全工作的负责人签发，并向信息系统的用户传达，其形式应针对目标读者，并能够为读者接受和理解；

b）较完整的安全管理策略的发布：在a）的基础上，安全管理策略文档应经过组织机构负责人签发，按照有关文件管理程序发布；

c）体系化的安全管理策略的发布：在b）的基础上，安全管理策略文档应注明发布范围，并有收发文登记；

d）强制保护的安全管理策略的发布：在c）的基础上，安全管理策略文档应注明密级，并在监管部门备案；

e）专控保护的安全管理策略的发布：在d）的基础上，必要时安全管理策略文档应在国家指定的专门部门或机构进行备案。

5.1.2 安全管理规章制度

5.1.2.1 安全管理规章制度内容

应根据机构的总体安全策略和业务应用需求，制定信息系统安全管理的规程和制度，不同安全等级的安全管理规章制度的内容应有选择地满足以下要求的一项：

a）基本的安全管理制度：应包括网络安全管理规定，系统安全管理规定，数据安全管理规定，防病毒规定，机房安全管理规定，以及相关的操作规程等；

b）较完整的安全管理制度：在a）的基础上，应增加设备使用管理规定，人员安全管理规定，安全审计管理规定，用户管理规定，风险管理规定，信息分类分级管理规定，安全事件报告规定，事故处理规定，应急管理规定和灾难恢复管理规定等；

c）体系化的安全管理制度：在b）的基础上，应制定全面的安全管理规定，包括：机房、主机设备、网络设施、物理设施分类标记等系统资源安全管理规定；安全配置、系统分发和操作、系统文档、测试和脆弱性评估、系统信息安全备份和相关的操作规程等系统和数据库方面的安全管理规定；网络连接检查评估、网络使用授权、网络检测、网络设施（设备和协议）变更控制和相关的操作规程等方面的网络安全管理规定；应用安全评估、应用系统使用授权、应用系统配置管理、应用系统文档管理和相关的操作规程等方面的应用安全管理规定；人员安全管理、安全意识与安全技术教育、操作安全、操作系统和数据库安全、系统运行记录、病毒防护、系统维护、网络互联、安全审计、安全事件报告、事故处理、应急管理、灾难恢复和相关的操作规程等方面的运行安全管理规定；信息分类标记、涉密信息管理、文档管理、存储介质管理、信息披露与发布审批管理、第三方访问控制和相关的操作规程等方面的信息安全管理规定等；

d）强制保护的安全管理制度：在c）的基础上，应增加信息保密标识与管理规定，密码使用管理规定，安全事件例行评估和报告规定，关键控制措施定期测试规定等；

e）专控保护的安全管理制度：在d）的基础上，应增加安全管理审计监督规定等。

5.1.2.2 安全管理规章制度的制定

安全管理制度的制定及发布，应有明确规定的程序，不同安全等级应有选择地满足以下要求

的一项：

a）基本的安全管理制度制定：应由安全管理人员负责制订信息系统安全管理制度，并以文档形式表述，由分管信息安全工作的负责人审批发布；

b）较完整的安全管理制度制定：应由信息安全职能部门负责制订信息系统安全管理制度，并以文档形式表述，由分管信息安全工作的负责人审批，按照有关文档管理程序发布；c）体系化的安全管理制度制定：应由信息安全职能部门负责制订信息系统安全管理制度，并以文档形式表述，经信息安全领导小组讨论通过，由信息安全领导小组负责人审批发布，应注明发布范围并有收发文登记；

d）强制保护的安全管理制度制定：应由信息安全职能部门指派专人负责制订信息系统安全管理制度，并以文档形式表述，经信息安全领导小组讨论通过，由信息安全领导小组负责人审批发布；信息系统安全管理制度文档的发布应注明密级，对涉密的信息系统安全管理制度的制定应在相应范围内进行；

e）专控保护的安全管理制度制定：在d）的基础上，必要时，应征求组织机构的保密管理部门的意见，或者共同制定。

5.1.3 策略与制度文档管理

5.1.3.1 策略与制度文档的评审和修订

策略与制度文档的评审和修订，不同安全等级应有选择地满足以下要求的一项：

a）基本的评审和修订：应由分管信息安全的负责人和安全管理人员负责文档的评审和修订；应通过所记录的安全事故的性质、数量以及影响检查策略和制度的有效性，评价安全管理措施对成本及应用效率的影响，以及技术变化对安全管理的影响；经评审，对存在不足或需要改进的策略和制度应进行修订，并按规定程序发布；

b）较完整的评审和修订：应由分管信息安全的负责人和信息安全职能部门负责文档的评审和修订；应定期或阶段性审查策略和制度存在的缺陷，并在发生重大安全事故、出现新的漏洞以及机构或技术基础结构发生变更时，对策略和制度进行相应的评审和修订；对评审后需要修订的策略和制度文档，应明确指定人员限期完成并按规定发布；

c）体系化的评审和修订：应由信息安全领导小组和信息安全职能部门负责文档的评审和修订；应对安全策略和制度的有效性进行程序化、周期性评审，并保留必要的评审记录和依据；每个策略和制度文档应有相应责任人，根据明确规定的评审和修订程序对策略进行维护；d）强制保护的评审和修订：应由信息安全领导小组和信息安全职能部门的专门人员负责文档的评审和修订，必要时可征求信息安全监管职能部门的意见；应对安全策略和制度的有效性进行程序化、周期性评审，并保留必要的评审记录和依据；每个策略和制度文档应有相应责任人，根据明确规定的评审和修订程序对策略进行维护；对涉密的信息安全策略、规章制度和相关的操作规程文档的评审和修订应在相应范围内进行；

e）专控保护的评审和修订：在d）的基础上，必要时可请组织机构的保密管理部门参加文档的评审和修订，应征求国家指定的专门部门或机构的意见；应对安全策略和制度的有效性及时进行专项的评审，并保留必要的评审记录和依据。

5.1.3.2 策略与制度文档的保管

对策略与制度文档，以及相关的操作规程文档的保管，不同安全等级应有选择地满足以下要求的一项：

a）指定专人保管：对策略和制度文档，以及相关的操作规程文档，应指定专人保管；b）借阅审批和登记：在a）的基础上，借阅策略和制度文档，以及相关的操作规程文档，应有相应级别负责人审批和登记；

c）限定借阅范围：在b）的基础上，借阅策略和制度文档，以及相关的操作规程文档，应限定借阅范围，并经过相应级别负责人审批和登记；

d）全面严格保管：在c）的基础上，对涉密的策略和制度文档，以及相关的操作规程文档的保管应按照有关涉密文档管理规定进行；对保管的文档以及借阅的记录定期进行检查；e）专控保护的管理：在d）的基础上，应与相关业务部门协商制定专项控制的管理措施。

5.2 机构和人员管理

5.2.1 安全管理机构

5.2.1.1 建立安全管理机构

在组织机构中应建立安全管理机构，不同安全等级的安全管理机构应有选择地满足以下要求的一项：

a）配备安全管理人员：管理层中应有一人分管信息系统安全工作，并为信息系统的安全管理配备专职或兼职的安全管理人员；

b）建立安全职能部门：在a）的基础上，应建立管理信息系统安全工作的职能部门，或者明确指定一个职能部门兼管信息安全工作，作为该部门的关键职责之一；

c）成立安全领导小组：在b）的基础上，应在管理层成立信息系统安全管理委员会或信息系统安全领导小组（以下统称信息安全领导小组），对覆盖全国或跨地区的组织机构，应在总部和下级单位建立各级信息系统安全领导小组，在基层至少要有一位专职的安全管理人员负责信息系统安全工作；

d）主要负责人出任领导：在c）的基础上，应由组织机构的主要负责人出任信息系统安全领导小组负责人；

e）建立信息安全保密管理部门：在d）的基础上，应建立信息系统安全保密监督管理的职能部门，或对原有保密部门明确信息安全保密管理责任，加强对信息系统安全管理重要过程和管理人员的保密监督管理。

5.2.1.2 信息安全领导小组

信息系统安全领导小组负责领导本组织机构的信息系统安全工作，至少应行使以下管理职能之一：

a）安全管理的领导职能：根据国家和行业有关信息安全的政策、法律和法规，批准机构信息系统的安全策略和发展规划；确定各有关部门在信息系统安全工作中的职责，领导安全工作的实施；监督安全措施的执行，并对重要安全事件的处理进行决策；指导和检查信息系统安全职能部门及应急处理小组的各项工作；建设和完善信息系统安全的集中控管的组织体

系和管理机制；

b）保密监督的管理职能：在a）的基础上，对保密管理部门进行有关信息系统安全保密监督管理方面的指导和检查。

5.2.1.3 信息安全职能部门

信息安全职能部门在信息系统安全领导小组领导下，负责本组织机构信息系统安全的具体工作，至少应行使以下管理职能之一：

a）基本的安全管理职能：根据国家和行业有关信息安全的政策法规，起草组织机构信息系统的安全策略和发展规划；管理机构信息系统安全日常事务，检查和指导下级单位信息系统安全工作；负责安全措施的实施或组织实施，组织并参加对安全重要事件的处理；监控信息系统安全总体状况，提出安全分析报告；指导和检查各部门和下级单位信息系统安全人员及要害岗位人员的信息系统安全工作；应与有关部门共同组成应急处理小组或协助有关部门建立应急处理小组实施相关应急处理工作；

b）集中的安全管理职能：在a）的基础上，管理信息系统安全机制集中管理机构的各项工作，实现信息系统安全的集中控制管理；完成信息系统安全领导小组交办的工作，并向领导小组报告机构的信息系统安全工作。

5.2.2 安全机制集中管理机构

5.2.2.1 设置集中管理机构

信息系统安全机制集中管理机构（以下简称集中管理机构）既是技术实体，也是管理实体，应按照以下方式设立：

a）集中管理机构人员和职责：应配备必要的领导和技术管理人员，应选用熟悉安全技术、网络技术、系统应用等方面技术人员，明确责任协同工作，统一管理信息系统的安全运行，进行安全机制的配置与管理，对与安全有关的信息进行汇集与分析，对与安全有关的事件进行响应与处置；应对分布在信息系统中有关的安全机制进行集中管理；应接受信息安全职能部门的直接领导。

5.2.2.2 集中管理机构职能

a）信息系统安全运行的统一管理：集中管理机构主要行使以下技术职能：

——防范与保护：建立物理、支撑系统、网络、应用、管理等五个层面的安全控制机制，构成系统有机整体安全控制机制；统一进行信息系统安全机制的配置与管理，确保各个安全机制按照设计要求运行；

——监控与检查：对服务器、路由器、防火墙等网络部件、系统安全运行性状态、信息（包括有害内容）的监控和检查；汇集各种安全机制所获取的与系统安全运行有关的信息，对所获取的信息进行综合分析，及时发现系统运行中的安全问题和隐患，提出解决的对策和方

法；

——响应与处置：事件发现、响应、处置、应急恢复，根据应急处理预案，作出快速处理；应对各种事件和处理结果有详细的记载并进行档案化管理，作为对后续事件分析的参考和可查性的依据；

——安全机制集中管理控制（详见5.5.6），完善管理信息系统安全运行的技术手段，进行信息系统安全的集中控制管理；

——负责接受和配合政府有关部门的信息安全监管工作；

b）关键区域安全运行管理：在a）的基础上，集中管理机构对关键区域的安全运行进行管理，控制知晓范围，对获取的有关信息进行相应安全等级的保护；

c）核心系统安全运行管理：在b）的基础上，集中管理机构应与有关业务应用的主管部门协调，定制更高安全级别的管理方式。

5.2.3 人员管理

5.2.3.1 安全管理人员配备

对安全管理人员配备的管理，不同安全等级应有选择地满足以下要求的一项：

a）可配备兼职安全管理人员：安全管理人员可以由网络管理人员兼任；

b）安全管理人员的兼职限制：安全管理人员不能兼任网络管理人员、系统管理员、数据库管理员等；

c）配备专职安全管理人员：安全管理人员不可兼任，属于专职人员，应具有安全管理工作

信息安全技术信息系统安全工程管理要求.

信息安全技术信息系统安全工程管理要求 1 范围 本标准规定了信息安全工程（以下简称安全工程）的管理要求，是对信息安全工程中所涉及到的需求方、实施方与第三方工程实施的指导性文件，各方可以此为依据建立安全工程管理体系。 本标准按照GB17859-1999划分的五个安全保护等级，规定了信息安全工程的不同要求。 本标准适用于该系统的需求方和实施方的工程管理，其他有关各方也可参照使用。 2 规范性引用文件 下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注明日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准。使用本标准的各方应探讨使用下列标准最新版本的可能性。凡是不注明日期的引用文件，其最新版本适用于本标准。 GB 17859-1999 计算机信息系统安全保护等级划分准则 GB/T 20269-2006 信息安全等级保护信息系统安全通用技术要求 GB/T 20271-2006 信息安全等级保护信息系统安全管理要求 3 术语和定义 下列术语和定义适用于本标准。 3.1 安全工程security engineering 为确保信息系统的保密性、完整性、可用性等目标而进行的系统工程过程。 3.2 安全工程的生存周期security engineering lifecycle 在整个信息系统生存周期中执行的安全工程活动包括：概念形成、概念开发和定义、验证与确认、工程实施开发与制造、生产与部署、运行与支持和终止。 3.3 安全工程指南security engineering guide 由工程组做出的有关如何选择工程体系结构、设计与实现的指导性信息。

信息系统安全管理办法(通用版)

企业信息管理系统管理办法 第一章总则 第一条为保证公司信息系统的安全性、可靠性，确保数据的完整性和准确性，防止计算机网络失密、泄密时间发生，制定本办法。 第二条公司信息系统的安全与管理，由公司信息部负责。 第三条本办法适用于公司各部门。 第二章信息部安全职责 第四条信息部负责公司信息系统及业务数据的安全管理。明确信息部主要安全职责如下： （一）负责业务软件系统数据库的正常运行与业务软件软件的安全运行； （二）负责银行卡刷卡系统服务器的安全运行与终端刷卡器的正常使用； （三）保证业务软件进销调存数据的准确获取与运用； （四）负责公司办公网络与通信的正常运行与安全维护； （五）负责公司杀毒软件的安装与应用维护； （六）负责公司财务软件与协同办公系统的维护。 第五条及时向总经理汇报信息安全事件、事故。 第三章信息部安全管理内容 第六条信息部负责管理公司各计算机管理员用户名与密码，不得外泄。

第七条定期监测检查各计算机运行情况，如业务软件系统数据库出现异常情况，首先做好系统日志，并及时向总经理汇报，提出应急解决方案。 第八条信息部在做系统需求更新测试时，需先进入备份数据库中测试成功后，方可对正式系统进行更新操作。 第九条业务软件系统是公司数据信息的核心部位，也是各项数据的最原始存储位置，信息部必须做好设备的监测与记录工作，如遇异常及时汇报。 第十条信息部负责收银机的安装与调试维护，收银网络的规划与实施。 第十一条信息部负责公司办公网络与收银机（POS）IP地址的规划、分配和管理工作。包括IP地址的规划、备案、分配、IP地址和网卡地址的绑定、IP地址的监管和网络故障监测等。个人不得擅自更改或者盗用IP地址。 第十二条公司IP地址的设置均采用固定IP分配方式，外来人员的电脑需要在信息部主管领导的批准下分配IP进行办公。 第十三条用户发现有人未经同意擅自盗用、挪用他人或本人的IP地址，应及时向信息部报告。 第十四条信息部负责公司办公网络与通信网络的规划与实施，任何个人或部门不得擅自挪动或关闭部门内存放的信息设备。 第十五条办公电脑安全操作管理

信息安全管理制度..

信息工作管理制度 第一章总则 第一条为了加强信息管理，规范信息安全操作行为，提高信息安全保障能力和水平，维护信息安全，促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等规定，以《环境信息网络管理维护规范》（环保部制定）等标准为基本管理操作准则，制订本管理制度。 第二条本制度适用范围为信息与监控中心，其他单位可参照执行。 第二章岗位管理 第三条业务信息工作人员（包括监控与信息中心技术人员及机关业务系统管理人员）、机房运维人员（包括外包机构人员），应遵循《环境信息网络管理维护规范》等规定。 第四条机房运维人员根据运维合同规定由机房管理部门对其实行管理。 第五条信息工作人员岗位设置为系统管理员、业务管理员、网络管理员、安全管理员、安全审计员。 人员岗位及职责 （一）系统管理员 系统管理员是从事服务器及存储设备运行管理的人

员，业务上应具备熟练掌握操作系统、熟练操作服务器和存储设备的能力。 1、负责指定的服务器、存储等设备的资料登记、软件保管及设备报修。 2、配合完成指定的业务软件运行环境的建立，正式运行后的服务器系统软硬件操作的监管，执行中心的备份策略。 3、在所负责的的服务器、存储设备发生硬件故障时,及时组织有关人员恢复系统的运行,针对系统事故找到系统事故原因。 4、负责指定的服务器操作系统的管理口令修改。 5、负责制定、执行服务器及存储设备故障应急预案。 （二）业务管理员（业务联系人） 业务管理员是部署在应用服务器上的操作系统及业务系统运行管理的人员，业务上应具备业务系统安装及基本调试操作的能力（业务软件厂家负责培训），业务系统及部署操作系统故障分析的能力，预防系统风险的能力。 1、负责维护业务系统的运行及业务系统的安装环境。 2、负责制定、执行业务系统及其数据的备份计划。 3、负责业务数据的数据备份及数据恢复。 4、负责制定执行本业务系统的故障应急预案。 （三）网络管理员

信息系统安全管理规定

信息系统安全管理规定 1 信息系统安全管理的基本要求 1.1 信息系统安全管理原则 信息系统安全管理按照“三同步”原则进行，即同步设计、同步建设、同步运行。 1.2 信息系统安全的管控方式 信息系统安全管理工作由公司信息化委员会统一领导，信息系统管理部归口管理，信息管理部门负责，相关业务部门密切配合。 2 各级管理部门职责 2.1 公司信息系统管理部负责公司信息系统安全工作的归口管理，负责全局性信息系统安全统一规划、统一建设、统一部署、统一协调和监督检查；负责公司层面信息系统安全建设和管理工作，行使防范与保护、监控与检查、响应与处置职能；指导企业信息系统安全工作。 2.2 公司信息管理部门负责公司信息系统安全建设和管理工作，行使防范与保护、监控与检查、响应与处置职能；接受信息系统管理部信息安全管理。 2.3 业务部门负责本部门相关业务信息系统应用和数据安全，配合信息管理部门做好日常信息系统安全工作。 3 信息系统安全管理内容与方法 3.1组织和人员安全管理 3.1.1 公司信息化委员会下设信息系统安全工作组，由信息系统管理部牵头，负责各部门间的信息系统安全协调工作和紧急事件的应急指挥，为信息化委员会提供信息系统安全管理方面的建

议。 3.1.2 设备工程部设立信息系统安全管理岗位，对公司信息系统安全实施统一管理。依据不相容原则，信息系统设置安全管理员，负责落实信息系统安全管理制度的有关要求，检查信息系统安全管理日常工作，负责对系统管理员、应用管理员等人员操作的审查，检查信息安全设备和软件配置情况，协助处理安全威胁、违例行为和其他信息安全突发事件。 3.1.3 建立信息系统关键岗位制度。对信息系统设计、建设、运维和应用中直接接触或使用重要、敏感信息的关键岗位进行管理，关键岗位包括安全管理员、应用管理员、系统管理员、数据库管理员、开发人员等有关信息技术岗位和业务岗位。涉及业务的关键岗位由业务部门具体负责并报信息管理部门备案。 3.1.4 设备工程部和业务部门分别对公司信息系统关键岗位人员的资格、职责、权限、培训、考核、监督进行管理，并报人事部门备案。设备工程部每年向公司信息系统管理部上报本单位信息系统关键岗位的设置和人员情况。 3.1.5 设备工程部负责对公司信息系统建设、运行、维护的第三方单位相关资格进行审查，签署信息安全协议书，并对执行情况进行检查。 3.1.6 设备工程部协助人事部门组织信息系统安全教育和培训，将信息系统安全培训纳入公司年度培训计划。 3.2 信息系统安全等级保护 3.2.1 信息系统安全保护等级划分是在国家信息系统安全保护等级基础上，结合公司实际情况，定为五个级别,分为Ⅰ级、Ⅱ级（A、B）、Ⅲ级（A、B）、Ⅳ级、Ⅴ级:

信息安全系统管理系统要求规范

信息安全管理规范公司

版本信息 当前版本: 最新更新日期: 最新更新作者: 作者: 创建日期: 审批人: 审批日期: 修订历史 版本号更新日期修订作者主要修订摘要

Table of Contents（目录） 1. 公司信息安全要求 (5) 1.1信息安全方针 (5) 1.2信息安全工作准则 (5) 1.3职责 (6) 1.4信息资产的分类规定 (6) 1.5信息资产的分级（保密级别）规定 (7) 1.6现行保密级别与原有保密级别对照表 (7) 1.7信息标识与处置中的角色与职责 (8) 1.8信息资产标注管理规定 (9) 1.9允许的信息交换方式 (9) 1.10信息资产处理和保护要求对应表 (9) 1.11口令使用策略 (11) 1.12桌面、屏幕清空策略 (11) 1.13远程工作安全策略 (12) 1.14移动办公策略 (12) 1.15介质的申请、使用、挂失、报废要求 (13) 1.16信息安全事件管理流程 (14) 1.17电子邮件安全使用规范 (16) 1.18设备报废信息安全要求 (17) 1.19用户注册与权限管理策略 (17) 1.20用户口令管理 (18) 1.21终端网络接入准则 (18) 1.22终端使用安全准则 (18) 1.23出口防火墙的日常管理规定 (19) 1.24局域网的日常管理规定 (19) 1.25集线器、交换机、无线AP的日常管理规定 (19) 1.26网络专线的日常管理规定 (20) 1.27信息安全惩戒 (20) 2. 信息安全知识 (21) 2.1什么是信息？ (21) 2.2什么是信息安全？ (21)

信息系统安全人员管理制度

信息系统安全人员管理制度1信息系统安全人员管理制度汇编 第一章总则 第一条为规范公司信息系统安全人员管理，保障公司信息安全，根据公司相关规章制度汇编整理，制订本制度。 第二条公司所有涉及信息系统安全人员（简称信息安全人员），适用本制度。 第二章录用与入职 第三条信息安全人员招聘、录用一般流程参考《人才引进与任用管理暂行办法》 第四条对拟录用信息安全人员应进行详细的背景调查，对其经历背景确认无误后才可办理录用手续。 第五条信息安全人员在签订《劳动合同》同时应签订《劳动合同补充协议》约定纪律、保密及其他方面条款。 第六条对信息安全人员进行入职培训时，应加强信息安全规章制度的教育培训，将制度掌握及执行情况纳入试用期考核。 第三章信息安全规范 第七条公司信息安全管理应严格遵照《信息安全管理责任制度》及《公司保密制度》执行。 第八条未经公司同意，信息安全人员不得复制公司资料，不得

将公司机密资料向公众展示、发行，不得向第三方出售公司机密资料或产品。 第九条信息安全人员接受外部邀请进行演讲、交流或授课，应事先 征得公司批准，并就可能涉及的有关公司业务的重要内容征求领导意见。 第十条信息安全人员不得利用职务之便，以盗窃、欺诈、胁 迫等不正当手段窃取公司的技术秘密或商业秘密、人事秘密、财务（税）秘密。未经公司许可，不得擅自允许第三方使用公司的技术成果。 第^一条信息安全人员应对各种工作密码保密，不对外提供 和泄露。严禁盗用他人密码。 第十二条信息安全人员在传阅文件时不得擅自扩大传阅范围，不得与无关人员或在公共场所谈论，不得擅自翻印、复制、抄袭或在公开发表的文章中引用。 第十三条需销毁的文件资料由综合办公室统一集中处理。 第十四条从事核心技术岗位的员工，如中途离开公司，自离 开之日起两年之内，不得从事与本行业及本岗位相关的活动。 第十五条信息安全人员在公司工作中接触到公司的技术秘密、关键技术及其他机密信息的，在离职后不得向第三方泄漏其所熟知有关公司机密的信息。

信息系统安全管理规定

信息系统安全管理规定公司内部编号：（GOOD-TMMT-MMUT-UUPTY-UUYY-DTTI-

计算机信息系统安全 管理制度 2008年8月 目录 第一章总则 第1条依据《中华人民共和国保守国家秘密法》和有关保密规定，为进一步加强本单位计算机信息系统安全保密管理，并结合本单位的实际情况，制定本制度。 第2条计算机信息系统包括：涉密计算机信息系统和非涉密计算机信息系统。 其中，涉密计算机信息系统指以计算机或者计算机网络为主体，按照一定的应用目标和规则构成的处理涉密信息的人机系统。 第3条涉密计算机信息系统的保密工作坚持积极防范、突出重点，既确保国家秘密安全又有利于信息化发展的方针。

第4条涉密计算机信息系统的安全保密工作实行分级保护与分类管理相结合、行政管理与技术防范相结合、防范外部与控制内部相结合的原则。 第5条涉密计算机信息系统的安全保密管理，坚持“谁使用，谁负责”的原则，同时实行主要领导负责制。 第二章系统管理人员的职责 第6条本单位的涉密计算机信息系统的管理由各科室负责，具体技术工作由信息中心承担，设置以下安全管理岗位：系统管理员、安全保密管理员、密钥管理员。 第7条系统管理员负责信息系统和网络系统的运行维护管理，主要职责是：信息系统主机的日常运行维护；信息系统的系统安装、备份、维护；信息系统数据库的备份管理；应用系统访问权限的管理；网络设备的管 理；网络的线路保障；网络服务器平台的运行管理，网络病毒入侵防 范。 第8条安全保密管理员负责网络信息系统的安全保密技术管理，主要职责是：网络信息安全策略管理；网络信息系统安全检查；涉密计算机的安全管理；网络信息系统的安全审计管理；违规外联的监控。 第9条密钥管理员负责密钥的管理，主要职责是：身份认证系统的管理；密钥的制作；密钥的更换；密钥的销毁。 第10条对涉密计算机信息系统安全管理人员的管理要遵循“从不单独原则”、“责任分散原则”和“最小权限原则”。 第11条新调入或任用涉密岗位的系统管理人员，必须先接受保密教育和网络安全保密知识培训后方可上岗工作。

信息化系统安全运行管理制度.doc

信息化系统安全运行管理制度 第一章：总则 第一条为确保公司信息化系统的正常运行，有效地保护信息资源，最大程度地防范风险，保障公司经营管理信息安全。根据《国家计算机信息系统安全保护条例》等有关法律、法规，结合公司实际，制订本规定。 第二条本规定所称公司信息化系统，是指公司所使用的“集团管理软件”所覆盖的使用单位、使用人、以及计算机及其网络设备所构成的网络系统。具体有财务管理系统、物资供应管理系统、销售管理系统、地磅系统、资产管理系统、人力资源管理系统、OA办公自动化系统。第三条本规定适用于公司及所属单位所有使用信息系统的操作员和系统管理员。 第二章职责描述 第四条公司企管信息部 1、根据国家和行业的发展制定公司信息化工作的发展规划、年度计划和有关规章制度； 2、负责组织实施公司信息化建设； 3、负责公司信息系统的维护及软件管理； 4、负责对各单位信息系统工作的检查、指导和监督。 第五条公司信息化系统负责人 1、协调公司各种资源，及时处理对系统运行过程中的出现的各种异常

情况及突发事件； 2、负责督促检查本制度的执行； 第六条公司系统管理员 1、负责应用系统及相关数据的正常使用和安全保障； 2、负责解答各所属单位人员的问题咨询，处理日常问题； 第七条各单位系统管理员 1、熟悉掌握系统，能够处理系统应用中的问题； 2、要及时建立问题处理情况汇总表，并定期上报给公司系统管理员，由公司系统管理员汇编成册，定期下发给所有操作人员，以做到最大程度的知识共享； 3、负责本单位新进员工的信息系统技能培训；监督本单位操作人员进行规范操作； 第八条操作员 1、严格按照业务流程和系统运行规定进行操作、不越权操作、不做违规业务； 2、保证自己的密码不泄密，定期更换密码； 第三章内部支持体系管理 第九条为了确保操作人员能够熟练掌握信息系统的运行，问题的提交与处理必须按照逐级处理方式，具体如下： 1、各单位操作人员发现问题填写“日常操作问题记录单”先提交给各自所属单位的系统管理员归集与处理； 2、在各单位系统管理员不能处理的情况下再提交到公司系统管理员处理；

计算机信息系统安全管理制度

计算机信息系统安全管理制度 第一章总则 第一条为了保护计算机信息系统的安全，促进信息化 建设的健康发展，根据国家和辽宁省相关规定，结合本院实际，制定本规定。 第二条本院信息系统内所有计算机的安全保护，适用 本规定。 第三条工作职责 （一）每一个计算机信息系统使用人都是计算机安全员，计算机安全员负责本人在用计算机信息系统的正确使用、日常使用维护，发现故障、异常时及时向计算机信息系统管理员报告； （二）计算机信息系统管理员负责院内： 1、计算机信息系统使用制度、安全制度的建立、健全； 2、计算机信息系统档案的建立、健全,计算机信息系统使用情况的检查； 3、计算机信息系统的日常维护（包括信息资料备份， 病毒防护、系统安装、升级、故障维修、安全事故处理或上报等）； 4、计算机信息系统与外部单位的沟通、协调（包括计 算机信息系统相关产品的采购、安装、验收及信息交换等）；5、计算机信息系统使用人员的技术培训和指导。 （三）计算机信息系统信息审查小组负责局机关计算机信息系统对内、对外发布信息审查工作。

第二章计算机信息系统使用人员要求 第四条计算机信息系统管理员、计算机信息系统信息 审查员必须取得省计算机安全培训考试办公室颁发的计算 机安全培训合格证书，并由局领导任命，在计算机信息系统安全管理方面接受局领导的直接领导。 第五条计算机安全员必须经安全知识培训，经考核合 格后，方可上机操作。 第六条由计算机信息管理员根据环境、条件的变化， 定期组织计算机安全员开展必要的培训，以适应计算机安全防护和操作系统升级的需要。 第三章计算机信息系统的安全管理 第七条计算机机房安全管理制度 （一）计算机机房由计算机信息管理员专人管理，未经计算机信息系统管理员许可，其他人员不得进入计算机房。 （二）计算机房服务器除停电外一般情况下全天候开机；在紧急情况下，可采取暂停联网、暂时停机等安全应急措施。如果是电力停电，首先联系医院后勤部门，问清停电的原因、何时来电。然后检查UPS电池容量，看能否持续供电到院内开始发电。 （三）计算机房服务器开机时，室内温度应控制在17度，避免温度过高影响服务器性能。 （四）计算机房应保证全封闭，确保蚊虫、老鼠、蟑螂等不能进入机房，如在机房发现蚊虫、老鼠、蟑螂等，应及时杀灭，以防设备、线路被破坏。

信息系统安全管理制度

信息系统安全管理制度 目录 信息安全管理制度............................... 计算机管理制度................................. 机房管理制度................................... 网络安全管理制度............................... 计算机病毒防治管理制度......................... 密码安全保密制度............................... 涉密和非涉密移动存储介质管理制度............... 病毒检测和网络安全漏洞检测制度................. 案件报告和协查制度............................. 网络资源管理...................................

信息安全管理制度 为维护公司信息安全，保证公司网络环境的稳定，特制定本制度。 第一条信息安全是指通过各种计算机、网络（内部信息平台）和密码技术，保护信息在传输、交换和存储过程中的机密性、完整性和真实性。具体包括以下几个方面。 1、信息处理和传输系统的安全。系统管理员应对处理信息的系统进行详细的安全检查和定期维护，避免因为系统崩溃和损坏而对系统内存储、处理和传输的信息造成破坏和损失。 2、信息内容的安全。侧重于保护信息的机密性、完整性和真实性。系统管理员应对所负责系统的安全性进行评测，采取技术措施对所发现的漏洞进行补救，防止窃取、冒充信息等。 3、信息传播安全。要加强对信息的审查，防止和控制非法、有害的信息通过本委的信息网络（内部信息平台）系统传播，避免对国家利益、公共利益以及个人利益造成损害。 第二条涉及国家秘密信息的安全工作实行领导负责制。 第三条信息的内部管理 1、各科室（下属单位）在向网络（内部信息平台）系统提交信息前要作好查毒、杀毒工作，确保信息文件无毒上载； 2、根据情况，采取网络（内部信息平台）病毒监测、查毒、杀毒等技术措施，提高网络（内部信息平台）的整体搞病毒能力； 3、各信息应用科室对本单位所负责的信息必须作好备份； 4、各科室应对本部门的信息进行审查，网站各栏目信息的负责科室必须对发布信息制定审查制度，对信息来源的合法性，发布范围，信息栏目维护的负责人等作出明确的规定。信息发布后还要随时检查信息的完整性、合法性；如发现被删改，应及时向信息安全协调科报告；

系统安全管理规范

系统安全管理规范 一、系统安全管理 1.信息系统的安全管理包括：数据库安全管理和网络设备设施 安全管理。 2.系统负责人和信息科技术人员必须采取有效的方法和技术， 防止网络系统数据或信息的丢失、破坏和失密。 3.利用用户名对其它用户进行使用模块的访问控制，以加强用 户访问网上资源权限的管理和维护。 4.用户的访问权限由系统负责人提出，领导小组核准。 5.系统管理人员应熟悉并严格监督数据库使用权限、用户密码 使用情况，定期更换用户口令密码。 6.信息科技术人员要主动对网络系统实行查询、监控，及时对 故障进行有效的隔离、排除和恢复工作。 7.所有进入网络使用的光盘、移动介质，必须经过中心负责人 的同意和检毒，未经检毒杀毒的软盘，绝对禁止上网使用。 对造成“病毒”漫延的有关人员，应给予经济和行政处罚。 8.对信息系统的软件、设备、设施的安装、调试、排除故障等 由信息科技术人员负责。其他单位和个人不得自行拆卸、安装任何软、硬件设施。 9.所有内网计算机绝对禁止进行国际联网或与院外其他公共网 络联接。

10.所有上网操作人员必须严格遵守计算机以及其他相关设 备的操作规程，禁止其他人员在工作进行与系统操作无关的工作。 11.对计算机病毒和危害网络系统安全的其他有害数据信息 的防治工作，由信息科负责处理。 二、系统安全监督 1.信息管理部门对信息系统安全保护工作行使下列监督职权。 2.监督、检查、指导信息系统安全维护工作； 3.查处危害信息系统安全的违章行为； 4.履行信息系统安全工作的其他监督职责； 5.信息科技术人员发现影响信息安全系统的隐患时，可立即采 取各种有效措施予以制止。 6.信息科技术人员在紧急情况下，可以就涉及信息安全的特定 事项采取特殊措施进行防范。 三、责任 违反本规则的规定，有下列行为之一的，由信息工程技术人员以口头形式警告、撤消当事人上网使用资格或停机。 1)违反信息系统安全保护制度，危害网络系统安全的。 2)接到信息科技术人员要求改进安全状况的通知后，拒不 改进的。 3)不按照规定擅自安装软、硬件设备。 4)私自拆卸更改上网设备。

公司数据安全管理规范

******有限公司数据安全管理规范 为了确保ERP系统的安全和保密管理，保障公司各项数据的安全准确，特制定本制度。 1、信息部是公司信息系统的管理部门，负责全公司信息化设备的管理、ERP系统的正常运行，基本参数的设置，系统用户权限的划分管理，系统数据的提取变更。信息部门负责人为公司信息安全第一责任人，负责信息安全和保密管理。 2、信息部指派专人负责按照本规范所制定的相关流程执行操作，用户授权和权限管理采取保守原则，选择最小的权限满足使用者需求。 3、公司ERP系统权限管理遵循以下原则： （1）为各部门各门店管理人员统一发放系统登陆账号，账号专人专用，账号下发后需立即更改初始密码，严禁使用他人工号或泄露密码。一经发现处以500元每次罚款，并永久性取消登录权限，由此造成的后果个人承担责任；情节严重的予以辞退。 （2）公司非一线销售部门如人事、企划、行政等只开通OA系统权限。各门店楼层主管和经理只有本楼层销售查询权限。各门店店长和招商经理有各自门店销售查询权限。运营中心总监有百货、时代、车南外租区和自营品牌的权限。（3）如需信息部配合提取系统销售数据或者需变更工号操作权限，需填写业务联系函写明原因并由部门负责人和执行副总签字，否则信息部不予配合。（4）人事部每月应将主管级以上人员离职名单传递信息中心，信息部接到通知后立即给予权限终止，防止数据外泄。 （5）公司员工计算机内涉及公司机密数据的，应给计算机设定开机密码并把文件进行加密处理，非工作需要不得以任何形式进行转移，不得随便拷贝到移动存储设备。 （6）离开原工作岗位的员工，各部门负责人需把其工作资料进行回收保存，并通知信息部对其电脑进行相关处理。公司人员岗位内部调拨的，电脑保留原岗位不变。 （7）公司内部经信息部确认需要送外维修的电脑，送修前需联系信息部拆除电脑的存储设备并由信息部保管，维修好后再联系信息部进行安装。 （8）对于公司连接外网的电脑，不得浏览来历不明的网站或下载不明网站的程

网络安全信息系统管理制度

本文从网络收集而来，上传到平台为了帮到更多的人，如果您需要使用本文档，请点击下载，另外祝您生活愉快，工作顺利，万事如意！ 网络安全信息系统管理制度 计算机信息网络单位应当在根河市网络安全主管部门监督指导下，建立和完善计算机网络安全组织，成立计算机网络安全领导小组。 1、确定本单位计算机安全管理责任人和安全领导小组负责人（由主管领导担任），应当履行下列职责： （一）组织宣传计算机信息网络安全管理方面的法律、法规和有关政策； （二）拟定并组织实施本单位计算机信息网络安全管理的各项规章制度； （三）定期组织检查计算机信息网络系统安全运行情况，及时排除各种安全隐患； （四）负责组织本单位信息安全审查； （五）负责组织本单位计算机从业人员的安全教育和培训； （六）发生安全事故或计算机违法犯罪案件时，立即向公安机关网监部门报告并采取妥善措施，保护现场，避免危害的扩散，畅通与公安机关网监部门联系渠道。

2、配备１至２名计算机安全员（由技术负责人和技术操作人员组成），应当履行下列职责： （一）执行本单位计算机信息网络安全管理的各项规章制度； （二）按照计算机信息网络安全技术规范要求对计算机信息系统安全运行情况进行检查测试，及时排除各种安全隐患； （三）根据法律法规要求，对经本网络或网站发布的信息实行24小时审核巡查，发现传输有害信息，应当立即停止传输，防止信息扩散，保存有关记录，并向公安机关网监部门报告； （四）发生安全事故或计算机违法犯罪案件时，应当立即向本单位安全管理责任人报告或直接向公安机关网监部门报告，并采取妥善措施，保护现场，避免危害的扩大； （五）在发生网络重大突发性事件时，计算机安全员应随时响应，接受公安机关网监部门调遣，承担处置任务； （六）我市计算机安全技术人员必须经过市公安机关网监部门认可的安全技术培训，考核合格后持证上岗。合格证有效期两年。 3、单位安全组织应保持与公安机关联系渠道畅通，保证各项信息网络安全政策、法规在本单位的落实，积极接受公安机关网监部门业务监督检查。 4、单位安全组织的安全负责人及安全技术人员应切实履行各项安全职责，对不依法履行职责，造成安全事故和重大损害的，由公安机关予以警告，并建议其所在单位给予纪律或经济处理；情节严重的，依法追究刑事责任。

ISO27001：2013信息系统安全管理规范

信息系统安全管理规范 1、目标 此文档用于规范公司业务系统的安全管理，安全管理所达到的目标如下： 确保业务系统中所有数据及文件的有效保护，未经许可的用户无法访问数据。 对用户权限进行合理规划，使系统在安全状态下满足工作的需求。 2、机房访问控制 机房做为设备的集中地，对于进入有严格的要求。 只有公司指定的系统管理员及数据库管理员才有权限申请进入机房。 系统管理员及数据库管理员因工作需要进入机房前必须经过公司书面批准。 严格遵守机房管理制度。 3、操作系统访问控制 保护系统数据安全的第一道防线是保障网络访问的安全，不允许未经许可的用户进入到公司网络中。第二道防线就是要控制存放数据及应用文件的主机系统不能被未经许可的用户直接访问。为防止主机系统被不安全访问，采取以下措施： 操作系统级的超级管理用户口令、数据库管理用户口令、应用管理用户口令只能由系统管理员设定并经办公室审核，１个月做一次修改，口令要向其他人员保密。 在应用系统实施阶段，考虑到应用软件提供商需要对自己的产品进行调试，可以在调试时将应用管理用户口令暂时开放给应用软件提供商；调试一结束系统管理员马上更改口令。 对口令设定必需满足以下规范： 5、数据库访问控制 为有效的保障业务数据的安全，采取以下措施：

数据库内具有较高权限的管理用户口令由办公室数据库管理员设定，并由办公室审核，不能向其他人开放。口令必须１个月做一次修改。 业务系统后台数据库对象创建用户的口令由数据库管理员设定，由技术研发部审核。不能向其他人开放。口令必须1个月做一次修改。 对口令设定必需满足以下规范： 根据操作需求，在数据库中分别建立对业务数据只有“增、删、改”权限的用户；对业务数据只有“查询”权限的用户。不同的操作需求开放不同权限的用户。 除技术研发部的人员外，其他部门的任何人员均没有权限从后台数据库直接进行数据的“增、删、改”操作对于业务必须的后台job或批处理，必须由技术研发部人员执行。 6、应用系统访问控制 应用系统访问依靠系统内部定义的操作用户权限来控制，操作用户权限控制到菜单一级，对于操作用户的安全管理有如下规范： 所有应用级的操作用户及初始口令统一由技术研发部设定，以个人邮件的形式分别发给各部门的操作人员。 各部门操作人员在首次登录时必须修改口令，口令必须１个月做一次修改。 对于口令设定必需满足以下规范： 操作人员不能将自己的用户及口令随意告诉他人。 所有使用者的认可都由系统管理员来逐一分配。必须由部门经理提交访问权认可的申请表，然后由技术研发部批准。 当应用系统中需要加入新的使用者时，首先使用者需要填写“权限申请表”。该申请表应该得到部门经理和技术研发部的共同批准。之后，IT系统管理员会帮助应用系统的使用者开通账户，并建立相应的访问等级和权限。

信息系统安全管理制度(正式)

编订：__________________ 单位：__________________ 时间：__________________ 信息系统安全管理制度 (正式) Standardize The Management Mechanism To Make The Personnel In The Organization Operate According To The Established Standards And Reach The Expected Level. Word格式 / 完整 / 可编辑

文件编号：KG-AO-8222-40 信息系统安全管理制度(正式) 使用备注：本文档可用在日常工作场景，通过对管理机制、管理原则、管理方法以及管理机构进行设置固定的规范，从而使得组织内人员按照既定标准、规范的要求进行操作，使日常工作或活动达到预期的水平。下载后就可自由编辑。 为进一步规范公司管理，防范企业涉密资料以及涉密数据外泄，经过公司研究决定，从即日起，规范相关关键信息、账户的管理。公司根据现在公司的管理需求，统一收回所有公司信息管理账号，集中管理，专人保管。各个部门如要使用可填写账户使用申请单。 具体管理办法如下： 第一章总则 第一条为加强公司用户账号管理，规范用户账号的使用，提高信息系统使用安全性，特制定本制度。 第二条本制度中系统账号是指应用层面及系统层面（平台、操作系统、数据库系统、信息管理系统、防火墙及其它网络设备）的用户账号。 第三条本规定所指账号管理包括： 1、应用层面用户账号的申请、审批、分配、删除

/禁用等的管理 2、系统层面用户账号的申请、审批、分配、删除/禁用等的管理 3、用户账号密码的管理。 第四条系统拥有部门负责建立《岗位权限对照表》（附件一），制定工作岗位与系统权限的对应关系和互斥原则，对具体岗位做出具体的权限管理规定。 第五条信息管理中心根据系统拥有部门提交的《岗位权限对照表》增加系统岗位权限控制。 第六条用户账号申请、审批及设置由不同人员负责。 第七条各信息系统需设置超级管理员、系统管理员、系统管理监督员和普通用户。超级管理员、系统管理员与系统管理监督员不能由同一人担任，并不能是系统操作用户。 1、超级管理员：负责按照领导审定的《信息系统权限申请表》（附件二）进入系统管理员的授权管理。 2、系统管理员：负责按照领导审定的授权进行录

(管理与人事)信息系统安全管理制度

计算机信息系统安全 管理制度 2008年8月

目录 第一章总则 (3) 第二章系统管理人员的职责 (3) 第三章机房管理制度 (4) 第四章系统管理员工作细则 (5) 第五章安全保密管理员工作细则 (7) 第六章密钥管理员工作细则 (9) 第七章计算机信息系统应急预案 (10) 第八章附则 (10)

第一章总则 第1条依据《中华人民共和国保守国家秘密法》和有关保密规定，为进一步加强本单位计算机信息系统安全保密管理，并结合本单位的实际情况，制定本制度。 第2条计算机信息系统包括：涉密计算机信息系统和非涉密计算机信息系统。其中，涉密计算机信息系统指以计算机或者计算机网络为主体，按照一定的应用目标和规则构成的处理涉密信息的人机系统。 第3条涉密计算机信息系统的保密工作坚持积极防范、突出重点，既确保国家秘密安全又有利于信息化发展的方针。 第4条涉密计算机信息系统的安全保密工作实行分级保护与分类管理相结合、行政管理与技术防范相结合、防范外部与控制内部相结合的原则。 第5条涉密计算机信息系统的安全保密管理，坚持“谁使用，谁负责”的原则，同时实行主要领导负责制。 第二章系统管理人员的职责 第6条本单位的涉密计算机信息系统的管理由各科室负责，具体技术工作由信息中心承担，设置以下安全管理岗位：系统管理员、安全保密管理员、密钥管理员。 第7条系统管理员负责信息系统和网络系统的运行维护管理，主要职责是：信息系统主机的日常运行维护；信息系统的系统安装、备份、维护；信息系统数据库的备份管理；应用系统访问权限的管理；网络设备的管理；网络的线路保障；网络服务器平台的运行管理，网络病毒入侵防范。 第8条安全保密管理员负责网络信息系统的安全保密技术管理，主要职责是：网络信息安全策略管理；网络信息系统安全检查；涉密计算机的安全管理；网络信息系统的安全审计管理；违规外联的监控。 第9条密钥管理员负责密钥的管理，主要职责是：身份认证系统的管理；密钥的制作；密钥的更换；密钥的销毁。 第10条对涉密计算机信息系统安全管理人员的管理要遵循“从不单独原则”、“责任分散原则” 和“最小权限原则”。

信息系统安全措施细则

信息系统安全措施细则 撰写人：___________ 部门：___________

信息系统安全措施细则 总则 第一条为加强医院网络管理，明确岗位职责，规范操作流程，维护网络正常运行，确保计算机信息系统的安全，现根据《中华人民共和国计算机信息系统安全保护条例》等有关规定，结合本医院实际，特制订本措施。 第二条计算机信息系统是指由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。 第三条医院办公室下设信息中心，专门负责本医院范围内的计算机信息系统安全及网络管理工作。 第一章网络安全措施 第四条遵守国家有关法律、法规，严格执行安全保密制度，不得利用网络从事危害国家安全、泄露国家秘密等违法犯罪活动，不得制作、浏览、复制、传播反动及色情信息，不得在网络上发布反动、非法和虚假的消息，不得在网络上漫骂攻击他人，不得在网上泄露他人隐私。严禁通过网络进行任何黑客活动和性质类似的破坏活动，严格控制和防范计算机病毒的侵入。 第五条各工作计算机未进行安全配置、未装防火墙或杀毒软件的，不得入网（需入网的电脑需打报告）。各计算机终端用户应定期对计算 第 2 页共 2 页

机系统、杀毒软件等进行升级和更新，并定期进行病毒清查，不要下载和使用未经测试和来历不明的软件、不要打开来历不明的电子邮件、以及不要随意使用带毒U盘等介质。 第六条禁止未授权用户接入医院计算机网络及访问网络中的资源，禁止未授权用户使用BT、迅雷等占用大量带宽的下载工具。 第七条任何员工不得制造或者故意输入、传播计算机病毒和其他有害数据，不得利用非法手段复制、截收、篡改计算机信息系统中的数据。 第八条医院员工禁止利用扫描、监听、伪装等工具对网络和服务器进行恶意攻击，禁止非法侵入他人网络和服务器系统，禁止利用计算机和网络干扰他人正常工作的行为。 第九条计算机各终端用户应保管好自己的用户帐号和密码。严禁随意向他人泄露、借用自己的帐号和密码；严禁不以真实身份登录系统。计算机使用者更应定期更改密码、使用复杂密码。 第十条IP地址为计算机网络的重要资源，计算机各终端用户应在信息中心的规划下使用这些资源，不得擅自更改。另外，某些系统服务对网络产生影响，计算机各终端用户应在信息中心的指导下使用，禁止随意开启计算机中的系统服务，保证计算机网络畅通运行。医院各部门科室原则上只能使用一台电脑上外网，根据部门内部需要，由部门负责人统一调配。若有业务需求需要增加时，由业务部门上报办公室审批，并报信息中心处理。 第二章设备安全措施 第 2 页共 2 页

信息系统安全管理制度

信息系统安全管理制度 一、总则 1、为加强公司网络管理，明确岗位职责，规范操作流程，维护网络正常运行，确保计算机信息 系统的安全，现根据《中华人民共和国计算机信息系统安全保护条例》、等有关规定，结合本公司实际，特制订本制度； 2、计算机信息系统是指由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定 的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统； 3、公司由微机科专门负责本公司范围内的计算机信息系统安全管理工作。 二、网络管理 1、遵守国家有关法律、法规，严格执行安全保密制度及公司信息保密协议相关条款，不得利用 网络从事危害公司安全、泄露公司秘密等违法犯罪活动，严格控制和防范计算机病毒的侵入； 2、禁止未授权用户或外来计算机接入公司计算机网络及访问、拷贝网络中的资源； 3、任何员工不得故意输入、传播计算机病毒和其他有害数据，不得利用非法手段复制、截收、 篡改计算机信息系统中的数据； 4、计算机各终端用户应保管好自己的用户帐号和密码。严禁随意向他人泄露、借用自己的帐号 和密码；计算机使用者更应以30天为周期更改密码、密码长度不少于8位。 三、设备管理 1、IT设备安全管理实行“谁使用谁负责”的原则（公用设备责任落实到部门）。严禁擅自移动和 装拆各类设备及其他辅助设备；严禁擅自请人维修；严禁擅自调整部门内部计算机信息系统的安排； 2、设备硬件或重装操作系统等问题由微机科统一管理。 四、数据管理 1、计算机终端用户计算机内的资料涉及公司秘密的，应该为计算机设定开机密码或将文件加密； 凡涉及公司机密的数据或文件，非工作需要不得以任何形式转移，更不得透露给他人。离开原工作岗位的员工由所在部门经理负责将其所有工作资料收回并保存； 2、工作范围内的重要数据（重要程度由各部门负责人核定）由计算机终端用户定期更新、备份， 并提交给所在部门负责人，由部门负责人负责保存； 3、计算机终端用户务必将有价值的数据存放在除系统盘(操作系统所在的硬盘分区，一般是C盘) 外的盘上。计算机信息系统发生故障，应及时与微机科联系并采取保护数据安全的措施； 4、终端用户未做好备份前不得删除任何硬盘数据。对重要的数据应准备双份，存放在不同的地 点；光盘保存的数据，要定期进行检查，定期进行复制，防止由于磁性介质损坏，而使数据丢失；做好防磁、防火、防潮和防尘工作。 五、操作管理 1、凡涉及业务的专业软件由使用人员自行负责。严禁利用计算机干与工作无关的事情；严禁除 维修人员以外的外部人员操作各类设备； 2、微机科将有针对性地对员工的计算机应用技能进行定期或不定期的培训，培训成绩将记入员 工绩效考核；由微机科收集计算机信息系统常见故障及排除方法并整理成册，供公司员工学

信息系统运行维护及安全管理规定正式样本

文件编号：TP-AR-L4355 There Are Certain Management Mechanisms And Methods In The Management Of Organizations, And The Provisions Are Binding On The Personnel Within The Jurisdiction, Which Should Be Observed By Each Party. （示范文本） 编制：_______________ 审核：_______________ 单位：_______________ 信息系统运行维护及安全管理规定正式样本

信息系统运行维护及安全管理规定 正式样本 使用注意：该管理制度资料可用在组织/机构/单位管理上，形成一定的管理机制和管理原则、管理方法以及管理机构设置的规范，条款对管辖范围内人员具有约束力需各自遵守。材料内容可根据实际情况作相应修改，请在使用时认真阅读。 第一章总则 第一条为了确保总公司信息系统的安全、稳定 和可靠运行，充分发挥信息系统的作用，依据《计算 机信息网络国际联网安全保护管理办法》，结合总 公司实际，特制定本规定。 第二条本规定所称的信息系统，是指由网络传 输介质、网络设备及服务器、计算机终端所构成的， 为正常业务提供应用及服务的硬件、软件的集成系 统。 第三条信息系统安全管理实行统一规划、统一

规范、分级管理和分级负责的原则。 第二章管理机构及职责 第四条总公司办公室是公司信息系统运行维护和安全管理的主管部门，其安全管理职责是：（一）负责总公司机关内互联网的运行管理，保证与城建局、各所属单位网络连接的畅通； （二）负责总公司机关局域网的运行维护管理； （三）落实安全技术措施，保障总公司信息系统的运行安全和信息安全； （四）指导、协调所属单位局域网系统的安全运行管理。 第五条总公司各所属单位信息员负责本单位局域网的运行维护和安全管理，服从总公司办公室的指导和管理。其安全管理职责是： （一）负责广域网本单位节点、本单位局域网的

信息系统资产安全管理制度

信息系统安全管理制度 第一章总则 第一条为保证公司计算机网络能够安全可靠的运行，防止系统及数据被非法利用或破坏，充分发挥其在生产、经营、办公和信息服务方面的重要作用，更好的为员工提供服务，特制定本办法。 第二条本制度涉及的信息系统，是指由计算机及其相关的配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的计算机系统；本制度所指的计算机软件是指在我公司内部使用的计算机应用软件。适用于公司范围内的计算机系统。 第二章组织机构和职责 第三条成立公司信息安全小组，由公司领导、办公室、各相关部门、计算机维护人员组成，指定公司信息系统安全员和各系统管理员。（见附件一） 第四条公司主要领导是公司信息系统管理和网络安全的第一责任人，信息安全小组负责公司计算机应用系统和网络安全的全面管理和运行维护。 第五条计算机系统管理员负责公司内部信息系统及计算机网络安全的管理和维护工作，为公司内部网络的安全运行提供技术保障。 第六条信息安全员负责对公司信息化相关的各项申请记录进行复

核，审查用户帐号使用情况和权限分配是否合理，对公司重要信息进行安全分级，定期复查系统管理员填制的各项检查记录。 第七条公司的所有计算机及外围设备是公司的固定资产，按照谁使用谁负责的原则，落实责任人，使用部门为责任部门，负责保管配备的信息化资产的完好，保证良好的使用环境，并建立资产台账。 第三章系统安全管理 3.1账号管理 第八条应用系统、操作系统、数据库（以下简称“各系统”）的用户名均应该专人专用，用以识别不同的用户和账号，以确保可溯源和可追踪性。 第九条各系统的管理员账号需进行有效的保护，经公司信息安全小组审核后，由信息系统安全员分配管理员访问权限给系统管理员。第十条各系统均需要设置充分的用户密码安全策略，包括： 1）设定密码最小长度不得低于八位； 2）密码一定由数字、字母和符号共同组成； 3）设置密码过期期限，定期更改密码； 4）设置密码锁定前登录失败次数等安全策略。 第十一条各信息系统自带的默认账号和密码必须在系统初次使用时进行修改，密码由系统管理员保管。 第十二条公司信息系统的访问和应用只限于通过公司内网进行，如因特殊情况需要通过外网访问信息系统的，报信息安全小组批准并由