信息安全管理手冊(同名18160)-文庫吧
2025-03-28 05:35 本頁面
【正文】 務(wù)信息系統(tǒng)分等級保護。按照國家等級保護有關(guān)要求，對XXXX信息系統(tǒng)及信息確定安全等級，并根據(jù)不同的安全等級實施分等級保護。（5）規(guī)范XXXX信息資產(chǎn)（包括硬件、軟件、服務(wù)等）管理流程，建立信息資產(chǎn)管理臺帳，明確資產(chǎn)所有者、使用者與維護者，對所有信息資產(chǎn)進行標記，實現(xiàn)對信息資產(chǎn)購買、使用、變更、報廢整個周期的安全管理。（6）加強所有人員（包括XX市各單位內(nèi)部人員，以及各類外來人員）的安全管理，明確崗位安全職責，制定針對違規(guī)的懲戒措施，落實人員聘用、在崗和離崗時的安全控制，與敏感崗位人員簽署保密協(xié)議。（7）通過正式的信息安全培訓(xùn)，以及網(wǎng)站、簡報、會議、講座等各種形式的信息安全教育活動，不斷加強XXXX各單位人員的信息安全意識，提高他們的信息安全技能。（8）保障機房物理與環(huán)境安全。實施包括門禁、視頻監(jiān)控、報警等安全防范措施，確保機房物理安全。部署機房專用空調(diào)、UPS等環(huán)境保障設(shè)施，對機房設(shè)施運轉(zhuǎn)情況進行定期巡檢和維護。嚴格對機房人員和設(shè)備的出入管理， 進出需登記，外來人員需由相關(guān)管理人員陪同方能訪問機房。（9）加強對信息系統(tǒng)外包業(yè)務(wù)與外包方的管理，在與信息系統(tǒng)外包方簽署的服務(wù)協(xié)議中，對信息系統(tǒng)安全加以要求。通過審批、訪問控制、監(jiān)控、簽署保密協(xié)議等措施，加強外部方訪問電子政務(wù)信息系統(tǒng)的管理，防止外部方危害信息系統(tǒng)安全。（10）對XX市各單位重要信息系統(tǒng)（包括基礎(chǔ)設(shè)施、網(wǎng)絡(luò)和服務(wù)器設(shè)備、系統(tǒng)、應(yīng)用等）應(yīng)有文檔化的操作和維護規(guī)程，使得各個相關(guān)人員能夠采用規(guī)范化的形式對系統(tǒng)進行操作，降低和避免因誤操作所引發(fā)信息安全事件的可能性。（11）在XX市電子政務(wù)外網(wǎng)上統(tǒng)一部署網(wǎng)絡(luò)防惡意代碼軟件，并進行惡意代碼庫的統(tǒng)一更新，防范惡意代碼、木馬等惡意代碼對電子政務(wù)信息系統(tǒng)的影響。通過強化惡意代碼防范的管理措施，如加強介質(zhì)管理，嚴禁擅自安裝軟件，加強人員安全意識教育，定期進行惡意代碼檢測等，提高電子政務(wù)信息系統(tǒng)對惡意代碼的防范能力。（12）對XX市各單位重要的信息和信息系統(tǒng)進行備份，并對備份介質(zhì)進行安全地保存，以及對備份數(shù)據(jù)定期進行備份測試驗證，保證各種備份信息的保密性、完整性和可用性，確保所有重要信息系統(tǒng)和重要數(shù)據(jù)在故障、災(zāi)難后及其它特定要求下進行可靠的恢復(fù)。（13）采用技術(shù)和管理兩方面的控制措施，加強對XX市電子政務(wù)外網(wǎng)的安全控制，不斷提高網(wǎng)絡(luò)的安全性和穩(wěn)定性。XX市電子政務(wù)外網(wǎng)與互聯(lián)網(wǎng)進行邏輯隔離。通過實施網(wǎng)絡(luò)訪問控制等技術(shù)防范措施，對接入進行嚴格審批，加強使用安全管理，加強對各單位網(wǎng)絡(luò)使用的安全培訓(xùn)和教育，確保XX市電子政務(wù)外網(wǎng)的安全。（14）加強信息安全日常管理，包括系統(tǒng)口令管理、無人值守設(shè)備管理、屏幕保護、便攜機管理等，促使每位人員的日常工作符合XXXX信息安全策略和制度要求。（15）按照“僅知”原則，通過功能和技術(shù)配置，對重要信息系統(tǒng)、數(shù)據(jù)等實施訪問控制。進一步推廣數(shù)字證書的使用，以及安全的授權(quán)管理制度，并落實授權(quán)責任人。對系統(tǒng)特殊權(quán)限和系統(tǒng)實用工具的使用進行嚴格的審批和監(jiān)管。（16）進一步重視軟件開發(fā)安全。在XXXX各電子政務(wù)信息系統(tǒng)立項和審批過程中，同步考慮信息安全需求和目標。應(yīng)保證系統(tǒng)設(shè)計、開發(fā)過程的安全，重點加強對軟件代碼安全性的管理。屬于外包軟件開發(fā)的，應(yīng)與服務(wù)提供商簽署保密協(xié)議。系統(tǒng)開發(fā)完成后，應(yīng)要求通過第三方安全機構(gòu)對軟件安全性的測評。（17）在符合國家密碼管理相關(guān)規(guī)定的條件下，合理使用密碼技術(shù)和密碼設(shè)備，嚴格密鑰生成、分發(fā)、保存等方面的安全管理，保障密碼技術(shù)使用的安全性。（18）重視對IT服務(wù)連續(xù)性的管理，建立對各類信息安全事件的預(yù)防、預(yù)警、響應(yīng)、處置、恢復(fù)機制，編寫針對電子政務(wù)外網(wǎng)等重要系統(tǒng)的應(yīng)急預(yù)案，并定期進行測試和演練，在信息系統(tǒng)發(fā)生故障或事故時，能迅速、有序地進行應(yīng)急處置，最大限度地降低因信息系統(tǒng)突發(fā)事件或意外災(zāi)害給XXXX電子政務(wù)信息系統(tǒng)所帶來的影響。（19）對所適用的國家信息安全相關(guān)法律法規(guī)進行定期的識別、記錄和更新，并對XXXX各單位信息安全管理現(xiàn)狀與法律法規(guī)的符合性進行檢查，確保各項信息安全工作符合國家信息安全相關(guān)法律法規(guī)要求。(六) 適用范圍本手冊按照ISO/IEC 27001：2005 《信息安全管理體系要求》，結(jié)合XXXX政府信息系統(tǒng)的實際編制而成，符合ISO/IEC 27001：2005 標準的全部要求。本管理制度適用于XXXX的電子政務(wù)應(yīng)用管理。(七) 引用標準下列文件和標準通過本手冊的引用，均為本手冊的條文。本手冊使用時所示文件和標準均為有效版本。當引用文件和標準被修訂時，使用其最新版本:2
公司管理相關(guān)推薦
鄂ICP備17016276號-1