信息中心信息安全管理手冊(cè)--wenkub
2022-11-13 10:32:13 本頁(yè)面
【正文】 產(chǎn)（軟件、硬件、數(shù)據(jù)庫(kù)等）目錄。各單位自建的網(wǎng)絡(luò)、網(wǎng)站和信息系統(tǒng)參照?qǐng)?zhí)行。（培訓(xùn)人數(shù)比例 80％以上）。定期對(duì) 廣州市 xx 區(qū)政府 科信局 信息系統(tǒng)實(shí)施信息安全風(fēng)險(xiǎn)評(píng)估，根據(jù)評(píng)估結(jié)果選擇適當(dāng)?shù)陌踩呗院涂刂拼胧?，將安全風(fēng)險(xiǎn)控制在可接受的水平。 （ 5） 規(guī)范 廣州市 xx 區(qū)政府 科信局 信息資產(chǎn)（包括硬件、軟件、服務(wù)等）管理流程，建立信息資產(chǎn)管理臺(tái)帳，明確資產(chǎn)所有者、使用者與維護(hù)者，對(duì)所有信息資產(chǎn)進(jìn)行標(biāo)記，實(shí)現(xiàn)對(duì)信息資產(chǎn)購(gòu)買(mǎi)、使用、變更、報(bào)廢整個(gè)周期的安全管理。實(shí)施包括門(mén)禁、視頻監(jiān)控、報(bào)警等安全防范措施，確保機(jī)房物理安全。通過(guò)審批、訪問(wèn)控制、監(jiān)控、簽署保密協(xié)議等措施，加強(qiáng)外部方訪問(wèn)電子政務(wù)信息系統(tǒng)的管理，防止外部方危害信息系統(tǒng)安全。 （ 12） 對(duì) 廣州市 xx 區(qū)政府 各單位 重要的信息和信息系統(tǒng)進(jìn)行備份，并對(duì)備份介質(zhì)進(jìn)行安全地保存，以及對(duì)備份數(shù)據(jù)定期進(jìn)行備份測(cè)試驗(yàn)證，保證各種備份信息的保密性、完整性和可用性，確保所有重要信息系統(tǒng)和重要數(shù)據(jù)在故障、災(zāi)難后及其它特定要求下進(jìn)行可靠的恢復(fù)。 （ 14） 加強(qiáng)信息安全日常管理，包括系統(tǒng)口令管理、無(wú)人值守設(shè)備管理、屏幕保護(hù)、便攜機(jī)管理等，促使每位人員的日常工作符合 廣州市 xx 區(qū)政府 科信局信息安全策略和制度要求。 （ 16）進(jìn)一步重視 軟件開(kāi)發(fā)安全。系統(tǒng)開(kāi)發(fā)完成后，應(yīng)要求通過(guò)第三方安全機(jī)構(gòu)對(duì)軟件安全性的測(cè)評(píng)。 (六 ) 適用范圍 本手冊(cè)按照 ISO/IEC 27001： 2020 《信息安全管理體系要求》，結(jié)合 廣州市 xx 區(qū)政府 科信局 信息系統(tǒng) 的實(shí)際編制而成，符合 ISO/IEC 27001： 2020 標(biāo)準(zhǔn)的全部要求。當(dāng)引用文件和標(biāo)準(zhǔn)被修訂時(shí)，使用其最新版本 : ? ISO/IEC 27001： 2020《信息安全管理體系要求》 ? ISO/IEC 17799： 2020《信息安全管理實(shí)用規(guī)則》 ? GB/T 222392020《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》 (八 ) 信息安全管理體系（ ISMS） 1. 總體 要求 廣州市 xx 區(qū)政府 科信局 依據(jù) ISO/IEC 27001： 2020 《信息安全管理體系要求》，建立信息安全管理體系，并形成相關(guān)的信息安全管理體系文件，由 廣州市xx 區(qū)政府 科信局 批準(zhǔn)發(fā)布后在 廣州市 xx 區(qū)政府 科信局 范圍內(nèi)實(shí)施并保持，利用內(nèi)部審核、管理評(píng)審、糾正和預(yù)防措施以及持續(xù)改進(jìn)的手段，確保信息安全管理體系的有效性 。 ? ISMS 方針 根據(jù) 信息安全管理的需求 ，確定 廣州市 xx 區(qū)政府 科信局 的信息安全方針和主要信息安全策略。 (2). 實(shí)施和運(yùn)行信息安全管理體系 廣州市 xx 區(qū)政府 科信局 在實(shí)施和運(yùn)行信息安全管理體系中所開(kāi)展的工作包括： ? 通過(guò)風(fēng)險(xiǎn)管理方法來(lái)控制 電子政務(wù) 信息系統(tǒng)中存在的信息安全風(fēng)險(xiǎn)， 配置資源、明確 職責(zé)和優(yōu)先級(jí)別 ， 實(shí)施適當(dāng)?shù)墓芾泶胧? ? 實(shí)施各 信息安全管理體系 文件中包括的控制措施，以達(dá)到各控制目標(biāo) ； ? 測(cè)量各 信息安全管理體系 文件中控制措施實(shí)施的有效性，明確對(duì)測(cè)量結(jié)果的分析和評(píng)估準(zhǔn)則，并作為持續(xù)改進(jìn)的輸入 ； ? 實(shí)施培訓(xùn)和意識(shí)教育計(jì)劃 ； ? 管理 ISMS 的資源 ； ? 實(shí)施能迅速檢測(cè)安全事件 和響應(yīng)安全事故的程序，具體要求參見(jiàn)《信息安全事 件 管理 辦法 》 。 ? 每年 兩 次對(duì)信息安全管理 體系 進(jìn)行內(nèi) 部 審 核。 (4). 保持和改進(jìn)信息安全管理體系 廣州市 xx 區(qū)政府 科信局 將根據(jù)已識(shí)別的信息安全管理體系的改進(jìn)需求，選擇適當(dāng)?shù)募m正措施和預(yù)防措施，保持和持續(xù)改進(jìn)信息安全管理體系，并向所有相關(guān)方溝通 信息安全 措施和改進(jìn)需求，并采取測(cè)量、追蹤和驗(yàn)證措施，確保改進(jìn)達(dá)到預(yù)期的目標(biāo)。記錄模板、規(guī)范、程序文件、手冊(cè)、圖樣、報(bào)告或標(biāo)準(zhǔn)均屬于文件 。 3) 記錄控制 ? 記錄是指闡明所取得的結(jié)果或提供所完成活動(dòng)的證據(jù)的 信息安全 文件，其作用是為信息安全管理體系運(yùn)作提供證據(jù) 。 ? 信息安全管理相關(guān)記錄的控制參見(jiàn)《記錄控制程序》。 ? 機(jī)房管理員 負(fù)責(zé)機(jī)房的物理與環(huán)境安全管理，負(fù)責(zé)機(jī)房硬件設(shè)備的維護(hù)。 4) 外部聯(lián)系 廣州市 xx 區(qū)政府 科信局 通過(guò) 與上級(jí)信息安全主管部門(mén)，以及其它政府部門(mén)保持聯(lián)系，以支持： ? 信息安全事故管理中的響應(yīng)、取證、協(xié)調(diào)等工作； ? 及時(shí)了解信息安全相關(guān)法律法規(guī)、政策的變化，并保持符合性 。 3) ISMS 內(nèi)部審核 ? 由 體 系審核員 編制 廣州市 xx 區(qū)政府 科信局 的 信息安全 年度審核計(jì)劃 ，報(bào)ISMS 責(zé)任人 批準(zhǔn)后實(shí)施，一般情況下內(nèi)部審核每年不少于 2 次 。 ? ISMS 內(nèi)部審核參見(jiàn)《 信息安全 審核管理程序》 。 體系審核員 根據(jù)內(nèi)部審核的結(jié)果以及其它各項(xiàng)信息安全管理的要求，組織各部門(mén)準(zhǔn)備管理評(píng)審的材料，主要包括： ? 內(nèi)審的結(jié)果； ? 信息安全方針、信息安全目標(biāo)、風(fēng)險(xiǎn)控制措施的實(shí)施情況； ? 信息安全事故調(diào)查處理情況； ? 信息安全整改 /改進(jìn)措施實(shí)施情況； ? 相關(guān)方 信息安全方面的 投訴、建議及其要求； ? 信息安全法規(guī)及其他要求符
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1