搜档网
当前位置:搜档网 › 信息安全管理手册

信息安全管理手册

信息安全管理手册

(一)发布说明

为了落实国家与市网络信息安全与等级保护的相关政策,贯彻信息安全管理体系标准,提高信息安全管理水平,维护电子政务信息系统安全稳定可控,实现业务信息和系统服务的安全保护等级,按照 27001:2005《信息安全管理体系要求》、 17799:2005《信息安全管理实用规则》,以及 22239-2008《信息系统安全等级保护基本要求》,编制完成了信息安全管理体系文件,现予以批准颁布实施。

信息安全管理手册是纲领性文件,是指导等各级政府部门建立并实施信息安全管理体系的行动准则,全体人员必须遵照执行。

信息安全管理手册于发布之日起正式实施。

局长

年月

(二)授权书

为了贯彻执行 27001:2005《信息安全管理体系要求》、17799:2005《信息安全管理实用规则》,以及 22239-2008《信息系统安全等级保护基本要求》,加强对信息安全管理体系运作的管理和控制,特授权管理市政务信息安全工作,并保证信息安全管理职责的独立性,履行以下职责:

?负责建立、修改、完善、持续改进和实施市政务信息安全管理体系;

?负责向主任报告信息安全管理体系的实施情况,提出信息安全管理体系改进建议,作为管理评审和信息安全管理体

系改进的基础;

?负责向各级政府部门全体人员宣传信息安全的重要性,负责信息安全教育、培训,不断提高全体人员的信息安全意

识;

?负责信息安全管理体系对外联络工作。

(三)信息安全要求

1.具体阐述如下:

(1)在信息安全协调小组的领导下,全面贯彻国家和市关于信息安全工作的相关指导性文件精神,在内建立可持续改进的信息安全管理体系。

(2)全员参与信息安全管理体系建设,落实信息安全管理责任制,建立和完善各项信息安全管理制度,使得信息安全管理有章可循。

(3)通过定期地信息安全宣传、教育与培训,不断提高所有人员的信息安全意识及能力。

(4)推行预防为主的信息安全积极防御理念,同时对所发生的信息安全事件进行快速、有序地响应。

(5)贯彻风险管理的理念,定期对“门户网站”等重要信息系统进行风险评估和控制,将信息安全风险控制在可接受的水平。

(6)按照精神,持续改进信息安全各项工作,保障电子政务外网安全畅通与可控,保障所开发和维护信息系统的安全稳定,为所有企业和社会公众提供安全可靠的电子政务服务。2.信息安全总体要求

(1)建立信息化资产(软件、硬件、数据库等)目录。

(2)“门户网站”信息系统,按照等级保护要求进行建设和运维。各单位自建的网络、网站和信息系统参照执行。

(3)编制完成网络和信息安全事件总体应急预案,并组织应急演练。各单位自建的网络、网站和信息系统参照执行。

(4)按需开展信息安全风险评估,由第三方机构对”门户网站”开展外部评估,各单位以自评估为主。

(5)每年开展1次全区范围的信息系统安全检查(自查)。

(6)每年组织2次全区范围的信息安全管理制度宣传。(培训人数比例80%以上)。

(四)信息安全管理体系组织机构图

(五)主要安全策略

(1)建立信息安全管理组织机构,明确各安全管理员、机房管理员、网络管理员、应用管理员、主机管理员等安全管理相关岗位及职责,建立健全信息安全管理责任制,使得信息安全各项职责落实到人。

(2)对信息安全管理体系进行定期地内审和管理评审,对各项安全控制措施实施后的有效性进行测量,并实施相应的纠正和预防措施,以保证信息安全管理体系持续的充分性、适宜性、有效性。

(3)对信息系统中所存在的安全风险进行有计划的评估和管理。定期对信息系统实施信息安全风险评估,根据评估结果选择适当的安全策略和控制措施,将安全风险控制在可接受的水平。风险评估至少每年一次,在信息系统发生重大改变后,也应进行风险评估。

(4)电子政务信息系统分等级保护。按照国家等级保护有关要求,对信息系统及信息确定安全等级,并根据不同的安全等级实施分等级保护。

(5)规范信息资产(包括硬件、软件、服务等)管理流程,建立信息资产管理台帐,明确资产所有者、使用者与维护者,对所有信息资产进行标记,实现对信息资产购买、使用、变更、报废整个周期的安全管理。

(6)加强所有人员(包括市各单位内部人员,以及各类外来人员)的安全管理,明确岗位安全职责,制定针对违规的惩戒措施,落实人员聘用、在岗和离岗时的安全控制,与敏感岗位人员签署保密协议。

(7)通过正式的信息安全培训,以及网站、简报、会议、讲座等各种形式的信息安全教育活动,不断加强各单位人员的信息安全意识,提高他们的信息安全技能。

(8)保障机房物理与环境安全。实施包括门禁、视频监控、报警等安全防范措施,确保机房物理安全。部署机房专用空调、等环境保障设施,对机房设施运转情况进行定期巡检和维护。严格对机房人员和设备的出入管理,进出需登记,外来人员需由相关管理人员陪同方能访问机房。

(9)加强对信息系统外包业务与外包方的管理,在与信息系统外包方签署的服务协议中,对信息系统安全加以要求。通过审批、访问控制、监控、签署保密协议等措施,加强外部方访问电子政务信息系统的管理,防止外部方危害信息系统安全。

(10)对市各单位重要信息系统(包括基础设施、网络和服务器设备、系统、应用等)应有文档化的操作和维护规程,使得各个相关人员能够采用规范化的形式对系统进行操作,降低和避免因误操作所引发信息安全事件的可能性。

(11)在市电子政务外网上统一部署网络防恶意代码软件,并进行恶意代码库的统一更新,防范恶意代码、木马等恶意代码对电子政务信息系统的影响。通过强化恶意代码防范的管理措施,如加强介质管理,严禁擅自安装软件,加强人员安全意识教育,定期进行恶意代码检测等,提高电子政务信息系统对恶意代码的防范能力。

(12)对市各单位重要的信息和信息系统进行备份,并对备份介质进行安全地保存,以及对备份数据定期进行备份测试验证,保证各种备份信息的保密性、完整性和可用性,确保所有重要信息系统和重要数据在故障、灾难后及其它特定要求下进行可靠的恢复。

(13)采用技术和管理两方面的控制措施,加强对市电子政务外网的安全控制,不断提高网络的安全性和稳定性。市电子政务外网与互联网进行逻辑隔离。通过实施网络访问控制等技术防范措施,对接入进行严格审批,加强使用安全管理,加强对各单位网络使用的安全培训和教育,确保市电子政务外网的安全。

(14)加强信息安全日常管理,包括系统口令管理、无人值守设备管理、屏幕保护、便携机管理等,促使每位人员的日常工作符合信息安全策略和制度要求。

(15)按照“仅知”原则,通过功能和技术配置,对重要信息系统、数据等实施访问控制。进一步推广数字证书的使用,以

相关主题