【文章內容簡介】 行記錄。l 加強對信息系統(tǒng)外包業(yè)務與外包方的管理，在與信息系統(tǒng)外包方簽署的服務協(xié)議中，對信息系統(tǒng)安全加以要求。通過審批、訪問控制、監(jiān)控、簽署保密協(xié)議等措施，加強外部方訪問“AAAAA公司的BBBBB系統(tǒng)系統(tǒng)”的管理，防止外部方危害信息系統(tǒng)安全。l 重視對IT服務連續(xù)性的管理，建立對各類信息安全事件的預防、預警、響應、處置、恢復機制，并編寫相應的應急預案；l 在符合國家密碼管理相關規(guī)定的條件下，合理使用密碼技術和密碼設備，嚴格密鑰生成、分發(fā)、保存等方面的安全管理，保障密碼技術使用的安全性。(密碼變更記錄表見附13)安全管理員任職要求如下：大專以上學歷，計算機、通信等相關專業(yè)二年以上網(wǎng)絡管理員工作經驗熟悉常用服務器設備，具備故障診斷和處理能力具備保密意識具備良好職業(yè)道德與工作態(tài)度，善于溝通 安全審計員安全審計員的主要職責：l 參與制定AAAAA公司規(guī)章制度和流程，規(guī)章制度和流程培訓與宣傳；l 根據(jù)AAAAA公司的審計要求制定審計計劃，定期或不定期的開展審計工作，撰寫審計報告，開展風險評估，發(fā)現(xiàn)安全漏洞或隱患，提交處理報告和切合實際可操作的處理方案，指導實施；l 負責機房安全審計，負責數(shù)據(jù)庫服務器、數(shù)據(jù)備份與災難恢復審計；l 負責操作系統(tǒng)安全審計，關鍵系統(tǒng)的用戶角色權限審計；（安全審計員安全審計工作報告每月）l 負責日常信息安全規(guī)章制度和流程的執(zhí)行審計，信息系統(tǒng)環(huán)境安全審計等；l 對被審計部門提供咨詢、建議、協(xié)調等服務和公司領導安排的相關工作；l 負責對系統(tǒng)管理員、安全管理員的操作行為進行審計跟蹤分析和監(jiān)督檢查，及時發(fā)現(xiàn)違規(guī)行為，每月向安全管理中心匯報工作情況；(詳見附14)安全審計員任職要求如下：大專以上學歷，計算機、通信等相關專業(yè)二年以上安全管理員工作經驗熟悉常用服務器設備，具備故障診斷和處理能力具備保密意識具備良好職業(yè)道德與工作態(tài)度，善于溝通 專家小組專家小組主要職責:l 專家應符合有關資歷要求和知識要求，具有高度的事業(yè)心和責任心，認真履行檢查職責；檢查中堅持客觀公正，實事求是，不走過場，不弄虛作假，不隱瞞真實情況。對檢查結果和所提的意見和建議負責。l 受AAAAA公司委托，定期對其生產作業(yè)場所進行安全檢查。檢查時做到全面細致，不留死角。確保經檢查、整改和復查，安全制度、應急救援、消防設施、安全設施等重要設施，屏蔽機房等重要場所部位符合相關規(guī)范要求。l 對安全檢查中查出的問題和隱患應逐一向AAAAA公司交底，并提出整改意見和建議；對查出的重大事故隱患應及時通報AAAAA公司結束后，應如實記錄檢查情況，并在檢查記錄上簽字。l 針對AAAAA公司信息安全事故隱患，適時對整改情況進行復查，整改復查情況應如實記錄并由AAAAA公司存檔。專家小組任職要求：碩士以上學歷；了解并熟悉信息工程及相關領域知識；熟悉相關法律法規(guī)及規(guī)范/標準；了解ISO9001管理體系；具備注冊安全工程師、注冊安全評價師、注冊風險評價師等資質證書優(yōu)先考慮；熟悉國家及地方政府對環(huán)境、健康與安全方面的政策法規(guī)具備良好的組織協(xié)調能力、溝通能力及團隊協(xié)作能力；良好的語言表達、交流能力。具備保密意識 信息安全小組權限l 系統(tǒng)管理員系統(tǒng)管理員擁有最高的管理權限，包括更改系統(tǒng)和網(wǎng)絡配置，新增用戶。l 網(wǎng)絡管理員、主機管理員網(wǎng)絡和主機管理員的權限僅次于系統(tǒng)管理員，包括更改系統(tǒng)和網(wǎng)絡配置，但無法新增用戶。l 安全管理員安全管理員只擁有管理權，包括查看安全日志，安全設備配置的變更、備份、環(huán)境的安全等。l 機房管理員機房管理員只擁有對硬件設備的操作權，但無法對硬件配置進行任何更改，機房管理員登錄硬件設備的帳號只有查看權。l 安全審計員安全管理員只擁有審計權，包括查看審計日志，審核審查系統(tǒng)和網(wǎng)絡配置更改，審查各種數(shù)據(jù)庫記錄等。 信息安全管理人員AAAAA公司設置有系統(tǒng)管理員、安全管理員和安全審計員、應用管理員、主機管理員、機房管理員，配備多名管理人員和技術人員承擔信息系統(tǒng)日常運行維護和管理任務。AAAAA公司將部分工作委托給專業(yè)技術公司完成，并和公司簽訂保密協(xié)議。AAAAA公司應用管理員、主機管理員、安全管理員、機房管理員、網(wǎng)絡管理員以及安全審計員，承擔信息系統(tǒng)日常運行維護和管理任務。(備份管理員操作變更 詳見附12: 備份管理員操作變更申請單)各機構人員情況如下表所示：AAAAA公司信息安全領導小組角 色職務姓名聯(lián)系電話組長副組長AAAAA公司信息安全小組系統(tǒng)/主機管理員機房管理員網(wǎng)絡管理員應用管理員AAAAA公司信息安全后備小組備份系統(tǒng)/主機管理員備份機房管理員備份網(wǎng)絡管理員備份應用管理員AAAAA公司信息小組信息化三員角 色職務姓名聯(lián)系電話系統(tǒng)管理員安全管理員安全審計員 關鍵崗位協(xié)議涉及到核心系統(tǒng)、數(shù)據(jù)庫的管理人員為關鍵崗位管理人員，如主機，安全管理人員需要明確其職責，并需要簽訂崗位職責協(xié)議書，在崗人員只能從事協(xié)議書內相關的工作，不能有越權行為。AAAAA公司XXXXX系統(tǒng)管理員崗位協(xié)議書名字部門職責范圍：1. 負責保障主機（包括服務器設備、操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、數(shù)據(jù)備份）；2. 信息安全日常管理包括系統(tǒng)口令管理、無人值守設備管理、屏幕保護、便攜機管理等，促使每位人員的日常工作符合AAAAA公司的BBBBB系統(tǒng) 的信息安全策略和制度要求。3. 負責主機運行維護體系和主機技術支持平臺的建設與運行管理建立服務器設備、操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、數(shù)據(jù)備份文檔化的操作和維護規(guī)程，使得各個相關人員能夠采用規(guī)范化的形式對系統(tǒng)進行操作，降低和避免因誤操作所引發(fā)信息安全事件的可能性。4. 重要信息和信息系統(tǒng)備份定期進行重要信息和信息系統(tǒng)備份，并對備份介質進行安全地保存，以及對備份數(shù)據(jù)定期進行備份測試驗證，保證各種備份信息的保密性、完整性和可用性，確保所有重要信息系統(tǒng)和重要數(shù)據(jù)在故障、災難后及其它特定要求下進行可靠的恢復。5. 負責統(tǒng)一部署防病毒軟件，并定期更新病毒庫；6. 負責全系統(tǒng)的計算機惡意代碼防治和主機安全的管理工作，制定檢查計劃（包含在主機巡檢工作中），督促檢查工作；7. 負責重要信息系統(tǒng)的訪問控制管理，對系統(tǒng)特殊權限和系統(tǒng)實用工具的使用進行嚴格的審批和監(jiān)管；8. 負責組織實施主機各類事故（故障）的應急處理。9. 嚴格遵守保密協(xié)議。簽字確認：_____年_____月_____日備注：AAAAA公司永久存檔AAAAA公司XXXXX安全管理員崗位協(xié)議書名字部門職責范圍：1. 負責我局安全制度的貫徹執(zhí)行；2. 負責制訂信息系統(tǒng)安全規(guī)劃，并在實施過程中逐步完善；3. 負責制定我局安全設備或系統(tǒng)的相關資產清單。內容包括資產管理的責任部門、資產名稱、重要程度、所處位置等；4. 負責制定安全設備或系統(tǒng)的文檔化的操作和維護規(guī)程，使得相關人員能夠采用規(guī)范化的形式對系統(tǒng)進行操作，降低和避免因誤操作所引發(fā)信息安全事件的可能性；5. 負責我局安全設備或系統(tǒng)運行維護管理，對安全設備或系統(tǒng)運轉情況進行定期巡檢、維護、故障處理和變更管理。負責組織實施安全設備或系統(tǒng)各類事故（故障）的應急處理；6. 每年進行風險評估，根據(jù)評估結果會同其他負責人進行風險處置；7. 負責協(xié)助領導安排安全培訓，負責協(xié)助負責制定每年安全教育計劃，加強信息系統(tǒng)的安全教育，通過各種方式進行宣傳和培訓，提高全系統(tǒng)安全防范意識；8. 負責制定安全檢查計劃包括檢查職責、檢查周期、檢查范圍、檢查內容、檢查報告的編制、檢查整改、檢查通報等內容。對信息系統(tǒng)安全檢查并進行情況通報。對記錄進行收集、整理、歸檔。9. 當出現(xiàn)安全事件時，負責對發(fā)生的安全事件及時上報，并配合相關的調查和糾正工作；10. 當信息系統(tǒng)運行發(fā)生重大問題時，協(xié)助相關部門正確判斷原因，根據(jù)指令立即采取安全措施啟動相關處理程序；11. 負責與外部安全機構的協(xié)調聯(lián)系，在發(fā)生重大安全事件時以協(xié)調獲取外部安全機構的支持；12. 負責對介質的管理對介質的歸檔、查詢和借用進行記錄，對介質進行定期盤點并記錄，對故障介質的進行送修和銷毀并記錄，對于保密性高的介質銷毀需要申報領導批準，并進行記錄。對介質物理傳輸?shù)慕唤舆M行記錄。13. 加強對信息系統(tǒng)外包業(yè)務與外包方的管理在與信息系統(tǒng)外包方簽署的服務協(xié)議中，對信息系統(tǒng)安全加以要求。通過審批、訪問控制、監(jiān)控、簽署保密協(xié)議等措施，加強外部方訪問“健康檔案”的管理，防止外部方危害信息系統(tǒng)安全。14. 重視對IT服務連續(xù)性的管理，建立對各類信息安全事件的預防、預警、響應、處置、恢復機制，并編寫相應的應急預案；15. 在符合國家密碼管理相關規(guī)定的條件下，合理使用密碼技術和密碼設備，嚴格密鑰生成、分發(fā)、保存等方面的安全管理，保障密碼技術使用的安全性。16. 嚴格遵守保密協(xié)議。簽字確認：_____年_____月_____日備注：AAAAA公司永久存檔AAAAA公司XXXXX安全審計員崗位協(xié)議名字部門職責范圍：1. 參與制定我局規(guī)章制度和流程，規(guī)章制度和流程培訓與宣傳；2. 根據(jù)我局的審計要求制定審計計劃，定期或不定期的開展審計工作，撰寫審計報告，開展風險評估，發(fā)現(xiàn)安全漏洞或隱患，提交處理報告和切合實際可操作的處理方案，指導實施；3. 負責我局機房安全審計，負責數(shù)據(jù)庫服務器、數(shù)據(jù)備份與災難恢復審計；4. 負責我局操作系統(tǒng)安全審計，關鍵系統(tǒng)的用戶角色權限審計；5. 負責我局日常信息安全規(guī)章制度和流程的執(zhí)行審計，信息系統(tǒng)環(huán)境安全審計等；6. 對被審計部門提供咨詢、建議、協(xié)調等服務和公司領導安排的相關工作；7. 負責對系統(tǒng)管理員、安全管理員的操作行為進行審計跟蹤分析和監(jiān)督檢查，及時發(fā)現(xiàn)違規(guī)行為，每月向信息安全中心匯報工作情況；嚴格遵守保密協(xié)議。簽字確認：_____年_____月_____日備注：AAAAA公司永久存檔第五章 信息安全授權及審批管理制度 信息安全授權及審批管理制度在系統(tǒng)運維過程中，對信息系統(tǒng)的訪問、變更等授權給AAAAA公司的BBBBB系統(tǒng) 運維管理人員。具體為機房管理員負責機房相關事務的授權和審批；網(wǎng)絡管理員負責網(wǎng)絡相關事務的授權和審批；主機管理員負責主機相關事務的授權和審批；應用系統(tǒng)管理員負責應用相關事務的授權和審批。授權審批流程如下：l 由相關信息安全組長判斷職責、并授權給相應的管理人員；l 由外包服務公司申請，相應的管理員進行授權、審批（見附15）；l 填寫授權審批表（見附16）；l 組織AAAAA公司人員每季度審查審批事項，及時更新需授權和審批的項目、審批部門和審批人等信息，保存審批文檔。需授權的審批事項如下：事項類型事項名稱負責人硬件運維硬件維修進出機房服務器配置變更系統(tǒng)配置變更安全變更特權用戶授權（主機、網(wǎng)絡）特權用戶授權（數(shù)據(jù)庫）系統(tǒng)軟件應用變更數(shù)據(jù)庫變更第六章 審核與檢查管理制度 審核與檢查管理制度 定期安全檢查l 由安全領導小組組織專門人員每三個月進行安全檢查；l 對包括網(wǎng)絡、安全設備、系統(tǒng)、文檔等各方面的安全檢查；l 檢查完畢后提交檢查報告，并由AAAAA公司安全管理員進行檢查報告復核，確定安全檢查結果，并對于不符合要求的地方提出整改措施并規(guī)定整改期限，以電子郵件或書面形式通知被檢查人員；（詳見附17）l 檢查時針對上一次的檢查結果進行復查，若發(fā)現(xiàn)仍未整改的，需上報信息安全領導小組并進行書面通告。（詳見附18）安全檢查流程 文件審批與發(fā)布管理制度l 安全管理員根據(jù)ISO/IEC 27001：2005《信息安全管理體系要求》，結合部門職責及信息安全管理流程，負責組織編制信息安全管理體系文件，形成初稿；l 安全管理員負責組織對信息安全管理體系文件的評審，并將審核后的文件報AAAAA公司，由信息安全領導小組領導對信息安全管理體系文件進行核準，形成最終的報審稿；l 安全管理員負責對信息安全管理體系文件的報審稿進行登記、核稿后，報送領導審閱、簽批；l 組織相關人員進行評審，領導審閱、簽批后發(fā)布；l 信息安全管理體系文件由安全管理員發(fā)放到各負責人，由各負責人按規(guī)定的發(fā)放范圍發(fā)至相關職屬范圍人員，由安全管理員按規(guī)定的發(fā)放范圍發(fā)至相關各部門，程序文件、信息安全管理手冊封面加蓋“受控”章進行標識，統(tǒng)一編號；l 崗位人員變動時，由文件主管部門及時收回原崗位各類文件，發(fā)放現(xiàn)崗位工作所依據(jù)的文件，以保證信息安全管理體系的有效運行；l 崗位人員調離或退休時，應先向AAAAA公司交回其所領用的文件后，方可辦理有關手續(xù)；l 信息安全管理手冊和程序文件制發(fā)后，需保留1份，連同簽批原件和電子版一并歸安全管理員存檔；l 文件更換新版后，由安全管理員收回作廢的文件，并做好回收記錄；l 由安全管理員定期檢查文件的適用情況，并對現(xiàn)有文件的有效性進行評審。對不合適的地方進行修訂，必要時更換新版；l 外來文件由相應的責任部門負責接收和管理。第七章 辦公環(huán)境管理制度 辦公環(huán)境管理制度1） 總體要求：a) 各類物品擺放整齊、有序，功能布局清晰。b) 所有區(qū)域應保持清潔衛(wèi)生。c) 標識統(tǒng)一規(guī)范，不隨意張貼。d) 員工應嚴格遵行《崗位行為規(guī)范》要求。e) 愛護公共設備設施；f) 遵循ISO環(huán)境管理體系要求。g) 工作人員調離辦公室應立即交還該辦公室鑰匙h) 不在辦公區(qū)接待來訪人員等2） 個人辦公區(qū)域標準a) 辦公桌椅排放整齊，椅子不得放在走道內阻礙通行；b) 桌面上允許擺