【文章內(nèi)容簡介】 行記錄。l 加強(qiáng)對信息系統(tǒng)外包業(yè)務(wù)與外包方的管理，在與信息系統(tǒng)外包方簽署的服務(wù)協(xié)議中，對信息系統(tǒng)安全加以要求。通過審批、訪問控制、監(jiān)控、簽署保密協(xié)議等措施，加強(qiáng)外部方訪問“AAAAA公司的BBBBB系統(tǒng)系統(tǒng)”的管理，防止外部方危害信息系統(tǒng)安全。l 重視對IT服務(wù)連續(xù)性的管理，建立對各類信息安全事件的預(yù)防、預(yù)警、響應(yīng)、處置、恢復(fù)機(jī)制，并編寫相應(yīng)的應(yīng)急預(yù)案；l 在符合國家密碼管理相關(guān)規(guī)定的條件下，合理使用密碼技術(shù)和密碼設(shè)備，嚴(yán)格密鑰生成、分發(fā)、保存等方面的安全管理，保障密碼技術(shù)使用的安全性。(密碼變更記錄表見附13)安全管理員任職要求如下：大專以上學(xué)歷，計算機(jī)、通信等相關(guān)專業(yè)二年以上網(wǎng)絡(luò)管理員工作經(jīng)驗(yàn)熟悉常用服務(wù)器設(shè)備，具備故障診斷和處理能力具備保密意識具備良好職業(yè)道德與工作態(tài)度，善于溝通 安全審計員安全審計員的主要職責(zé)：l 參與制定AAAAA公司規(guī)章制度和流程，規(guī)章制度和流程培訓(xùn)與宣傳；l 根據(jù)AAAAA公司的審計要求制定審計計劃，定期或不定期的開展審計工作，撰寫審計報告，開展風(fēng)險評估，發(fā)現(xiàn)安全漏洞或隱患，提交處理報告和切合實(shí)際可操作的處理方案，指導(dǎo)實(shí)施；l 負(fù)責(zé)機(jī)房安全審計，負(fù)責(zé)數(shù)據(jù)庫服務(wù)器、數(shù)據(jù)備份與災(zāi)難恢復(fù)審計；l 負(fù)責(zé)操作系統(tǒng)安全審計，關(guān)鍵系統(tǒng)的用戶角色權(quán)限審計；（安全審計員安全審計工作報告每月）l 負(fù)責(zé)日常信息安全規(guī)章制度和流程的執(zhí)行審計，信息系統(tǒng)環(huán)境安全審計等；l 對被審計部門提供咨詢、建議、協(xié)調(diào)等服務(wù)和公司領(lǐng)導(dǎo)安排的相關(guān)工作；l 負(fù)責(zé)對系統(tǒng)管理員、安全管理員的操作行為進(jìn)行審計跟蹤分析和監(jiān)督檢查，及時發(fā)現(xiàn)違規(guī)行為，每月向安全管理中心匯報工作情況；(詳見附14)安全審計員任職要求如下：大專以上學(xué)歷，計算機(jī)、通信等相關(guān)專業(yè)二年以上安全管理員工作經(jīng)驗(yàn)熟悉常用服務(wù)器設(shè)備，具備故障診斷和處理能力具備保密意識具備良好職業(yè)道德與工作態(tài)度，善于溝通 專家小組專家小組主要職責(zé):l 專家應(yīng)符合有關(guān)資歷要求和知識要求，具有高度的事業(yè)心和責(zé)任心，認(rèn)真履行檢查職責(zé)；檢查中堅持客觀公正，實(shí)事求是，不走過場，不弄虛作假，不隱瞞真實(shí)情況。對檢查結(jié)果和所提的意見和建議負(fù)責(zé)。l 受AAAAA公司委托，定期對其生產(chǎn)作業(yè)場所進(jìn)行安全檢查。檢查時做到全面細(xì)致，不留死角。確保經(jīng)檢查、整改和復(fù)查，安全制度、應(yīng)急救援、消防設(shè)施、安全設(shè)施等重要設(shè)施，屏蔽機(jī)房等重要場所部位符合相關(guān)規(guī)范要求。l 對安全檢查中查出的問題和隱患應(yīng)逐一向AAAAA公司交底，并提出整改意見和建議；對查出的重大事故隱患應(yīng)及時通報AAAAA公司結(jié)束后，應(yīng)如實(shí)記錄檢查情況，并在檢查記錄上簽字。l 針對AAAAA公司信息安全事故隱患，適時對整改情況進(jìn)行復(fù)查，整改復(fù)查情況應(yīng)如實(shí)記錄并由AAAAA公司存檔。專家小組任職要求：碩士以上學(xué)歷；了解并熟悉信息工程及相關(guān)領(lǐng)域知識；熟悉相關(guān)法律法規(guī)及規(guī)范/標(biāo)準(zhǔn)；了解ISO9001管理體系；具備注冊安全工程師、注冊安全評價師、注冊風(fēng)險評價師等資質(zhì)證書優(yōu)先考慮；熟悉國家及地方政府對環(huán)境、健康與安全方面的政策法規(guī)具備良好的組織協(xié)調(diào)能力、溝通能力及團(tuán)隊(duì)協(xié)作能力；良好的語言表達(dá)、交流能力。具備保密意識 信息安全小組權(quán)限l 系統(tǒng)管理員系統(tǒng)管理員擁有最高的管理權(quán)限，包括更改系統(tǒng)和網(wǎng)絡(luò)配置，新增用戶。l 網(wǎng)絡(luò)管理員、主機(jī)管理員網(wǎng)絡(luò)和主機(jī)管理員的權(quán)限僅次于系統(tǒng)管理員，包括更改系統(tǒng)和網(wǎng)絡(luò)配置，但無法新增用戶。l 安全管理員安全管理員只擁有管理權(quán)，包括查看安全日志，安全設(shè)備配置的變更、備份、環(huán)境的安全等。l 機(jī)房管理員機(jī)房管理員只擁有對硬件設(shè)備的操作權(quán)，但無法對硬件配置進(jìn)行任何更改，機(jī)房管理員登錄硬件設(shè)備的帳號只有查看權(quán)。l 安全審計員安全管理員只擁有審計權(quán)，包括查看審計日志，審核審查系統(tǒng)和網(wǎng)絡(luò)配置更改，審查各種數(shù)據(jù)庫記錄等。 信息安全管理人員AAAAA公司設(shè)置有系統(tǒng)管理員、安全管理員和安全審計員、應(yīng)用管理員、主機(jī)管理員、機(jī)房管理員，配備多名管理人員和技術(shù)人員承擔(dān)信息系統(tǒng)日常運(yùn)行維護(hù)和管理任務(wù)。AAAAA公司將部分工作委托給專業(yè)技術(shù)公司完成，并和公司簽訂保密協(xié)議。AAAAA公司應(yīng)用管理員、主機(jī)管理員、安全管理員、機(jī)房管理員、網(wǎng)絡(luò)管理員以及安全審計員，承擔(dān)信息系統(tǒng)日常運(yùn)行維護(hù)和管理任務(wù)。(備份管理員操作變更 詳見附12: 備份管理員操作變更申請單)各機(jī)構(gòu)人員情況如下表所示：AAAAA公司信息安全領(lǐng)導(dǎo)小組角 色職務(wù)姓名聯(lián)系電話組長副組長AAAAA公司信息安全小組系統(tǒng)/主機(jī)管理員機(jī)房管理員網(wǎng)絡(luò)管理員應(yīng)用管理員AAAAA公司信息安全后備小組備份系統(tǒng)/主機(jī)管理員備份機(jī)房管理員備份網(wǎng)絡(luò)管理員備份應(yīng)用管理員AAAAA公司信息小組信息化三員角 色職務(wù)姓名聯(lián)系電話系統(tǒng)管理員安全管理員安全審計員 關(guān)鍵崗位協(xié)議涉及到核心系統(tǒng)、數(shù)據(jù)庫的管理人員為關(guān)鍵崗位管理人員，如主機(jī)，安全管理人員需要明確其職責(zé)，并需要簽訂崗位職責(zé)協(xié)議書，在崗人員只能從事協(xié)議書內(nèi)相關(guān)的工作，不能有越權(quán)行為。AAAAA公司XXXXX系統(tǒng)管理員崗位協(xié)議書名字部門職責(zé)范圍：1. 負(fù)責(zé)保障主機(jī)（包括服務(wù)器設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、數(shù)據(jù)備份）；2. 信息安全日常管理包括系統(tǒng)口令管理、無人值守設(shè)備管理、屏幕保護(hù)、便攜機(jī)管理等，促使每位人員的日常工作符合AAAAA公司的BBBBB系統(tǒng) 的信息安全策略和制度要求。3. 負(fù)責(zé)主機(jī)運(yùn)行維護(hù)體系和主機(jī)技術(shù)支持平臺的建設(shè)與運(yùn)行管理建立服務(wù)器設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、數(shù)據(jù)備份文檔化的操作和維護(hù)規(guī)程，使得各個相關(guān)人員能夠采用規(guī)范化的形式對系統(tǒng)進(jìn)行操作，降低和避免因誤操作所引發(fā)信息安全事件的可能性。4. 重要信息和信息系統(tǒng)備份定期進(jìn)行重要信息和信息系統(tǒng)備份，并對備份介質(zhì)進(jìn)行安全地保存，以及對備份數(shù)據(jù)定期進(jìn)行備份測試驗(yàn)證，保證各種備份信息的保密性、完整性和可用性，確保所有重要信息系統(tǒng)和重要數(shù)據(jù)在故障、災(zāi)難后及其它特定要求下進(jìn)行可靠的恢復(fù)。5. 負(fù)責(zé)統(tǒng)一部署防病毒軟件，并定期更新病毒庫；6. 負(fù)責(zé)全系統(tǒng)的計算機(jī)惡意代碼防治和主機(jī)安全的管理工作，制定檢查計劃（包含在主機(jī)巡檢工作中），督促檢查工作；7. 負(fù)責(zé)重要信息系統(tǒng)的訪問控制管理，對系統(tǒng)特殊權(quán)限和系統(tǒng)實(shí)用工具的使用進(jìn)行嚴(yán)格的審批和監(jiān)管；8. 負(fù)責(zé)組織實(shí)施主機(jī)各類事故（故障）的應(yīng)急處理。9. 嚴(yán)格遵守保密協(xié)議。簽字確認(rèn)：_____年_____月_____日備注：AAAAA公司永久存檔AAAAA公司XXXXX安全管理員崗位協(xié)議書名字部門職責(zé)范圍：1. 負(fù)責(zé)我局安全制度的貫徹執(zhí)行；2. 負(fù)責(zé)制訂信息系統(tǒng)安全規(guī)劃，并在實(shí)施過程中逐步完善；3. 負(fù)責(zé)制定我局安全設(shè)備或系統(tǒng)的相關(guān)資產(chǎn)清單。內(nèi)容包括資產(chǎn)管理的責(zé)任部門、資產(chǎn)名稱、重要程度、所處位置等；4. 負(fù)責(zé)制定安全設(shè)備或系統(tǒng)的文檔化的操作和維護(hù)規(guī)程，使得相關(guān)人員能夠采用規(guī)范化的形式對系統(tǒng)進(jìn)行操作，降低和避免因誤操作所引發(fā)信息安全事件的可能性；5. 負(fù)責(zé)我局安全設(shè)備或系統(tǒng)運(yùn)行維護(hù)管理，對安全設(shè)備或系統(tǒng)運(yùn)轉(zhuǎn)情況進(jìn)行定期巡檢、維護(hù)、故障處理和變更管理。負(fù)責(zé)組織實(shí)施安全設(shè)備或系統(tǒng)各類事故（故障）的應(yīng)急處理；6. 每年進(jìn)行風(fēng)險評估，根據(jù)評估結(jié)果會同其他負(fù)責(zé)人進(jìn)行風(fēng)險處置；7. 負(fù)責(zé)協(xié)助領(lǐng)導(dǎo)安排安全培訓(xùn)，負(fù)責(zé)協(xié)助負(fù)責(zé)制定每年安全教育計劃，加強(qiáng)信息系統(tǒng)的安全教育，通過各種方式進(jìn)行宣傳和培訓(xùn)，提高全系統(tǒng)安全防范意識；8. 負(fù)責(zé)制定安全檢查計劃包括檢查職責(zé)、檢查周期、檢查范圍、檢查內(nèi)容、檢查報告的編制、檢查整改、檢查通報等內(nèi)容。對信息系統(tǒng)安全檢查并進(jìn)行情況通報。對記錄進(jìn)行收集、整理、歸檔。9. 當(dāng)出現(xiàn)安全事件時，負(fù)責(zé)對發(fā)生的安全事件及時上報，并配合相關(guān)的調(diào)查和糾正工作；10. 當(dāng)信息系統(tǒng)運(yùn)行發(fā)生重大問題時，協(xié)助相關(guān)部門正確判斷原因，根據(jù)指令立即采取安全措施啟動相關(guān)處理程序；11. 負(fù)責(zé)與外部安全機(jī)構(gòu)的協(xié)調(diào)聯(lián)系，在發(fā)生重大安全事件時以協(xié)調(diào)獲取外部安全機(jī)構(gòu)的支持；12. 負(fù)責(zé)對介質(zhì)的管理對介質(zhì)的歸檔、查詢和借用進(jìn)行記錄，對介質(zhì)進(jìn)行定期盤點(diǎn)并記錄，對故障介質(zhì)的進(jìn)行送修和銷毀并記錄，對于保密性高的介質(zhì)銷毀需要申報領(lǐng)導(dǎo)批準(zhǔn)，并進(jìn)行記錄。對介質(zhì)物理傳輸?shù)慕唤舆M(jìn)行記錄。13. 加強(qiáng)對信息系統(tǒng)外包業(yè)務(wù)與外包方的管理在與信息系統(tǒng)外包方簽署的服務(wù)協(xié)議中，對信息系統(tǒng)安全加以要求。通過審批、訪問控制、監(jiān)控、簽署保密協(xié)議等措施，加強(qiáng)外部方訪問“健康檔案”的管理，防止外部方危害信息系統(tǒng)安全。14. 重視對IT服務(wù)連續(xù)性的管理，建立對各類信息安全事件的預(yù)防、預(yù)警、響應(yīng)、處置、恢復(fù)機(jī)制，并編寫相應(yīng)的應(yīng)急預(yù)案；15. 在符合國家密碼管理相關(guān)規(guī)定的條件下，合理使用密碼技術(shù)和密碼設(shè)備，嚴(yán)格密鑰生成、分發(fā)、保存等方面的安全管理，保障密碼技術(shù)使用的安全性。16. 嚴(yán)格遵守保密協(xié)議。簽字確認(rèn)：_____年_____月_____日備注：AAAAA公司永久存檔AAAAA公司XXXXX安全審計員崗位協(xié)議名字部門職責(zé)范圍：1. 參與制定我局規(guī)章制度和流程，規(guī)章制度和流程培訓(xùn)與宣傳；2. 根據(jù)我局的審計要求制定審計計劃，定期或不定期的開展審計工作，撰寫審計報告，開展風(fēng)險評估，發(fā)現(xiàn)安全漏洞或隱患，提交處理報告和切合實(shí)際可操作的處理方案，指導(dǎo)實(shí)施；3. 負(fù)責(zé)我局機(jī)房安全審計，負(fù)責(zé)數(shù)據(jù)庫服務(wù)器、數(shù)據(jù)備份與災(zāi)難恢復(fù)審計；4. 負(fù)責(zé)我局操作系統(tǒng)安全審計，關(guān)鍵系統(tǒng)的用戶角色權(quán)限審計；5. 負(fù)責(zé)我局日常信息安全規(guī)章制度和流程的執(zhí)行審計，信息系統(tǒng)環(huán)境安全審計等；6. 對被審計部門提供咨詢、建議、協(xié)調(diào)等服務(wù)和公司領(lǐng)導(dǎo)安排的相關(guān)工作；7. 負(fù)責(zé)對系統(tǒng)管理員、安全管理員的操作行為進(jìn)行審計跟蹤分析和監(jiān)督檢查，及時發(fā)現(xiàn)違規(guī)行為，每月向信息安全中心匯報工作情況；嚴(yán)格遵守保密協(xié)議。簽字確認(rèn)：_____年_____月_____日備注：AAAAA公司永久存檔第五章 信息安全授權(quán)及審批管理制度 信息安全授權(quán)及審批管理制度在系統(tǒng)運(yùn)維過程中，對信息系統(tǒng)的訪問、變更等授權(quán)給AAAAA公司的BBBBB系統(tǒng) 運(yùn)維管理人員。具體為機(jī)房管理員負(fù)責(zé)機(jī)房相關(guān)事務(wù)的授權(quán)和審批；網(wǎng)絡(luò)管理員負(fù)責(zé)網(wǎng)絡(luò)相關(guān)事務(wù)的授權(quán)和審批；主機(jī)管理員負(fù)責(zé)主機(jī)相關(guān)事務(wù)的授權(quán)和審批；應(yīng)用系統(tǒng)管理員負(fù)責(zé)應(yīng)用相關(guān)事務(wù)的授權(quán)和審批。授權(quán)審批流程如下：l 由相關(guān)信息安全組長判斷職責(zé)、并授權(quán)給相應(yīng)的管理人員；l 由外包服務(wù)公司申請，相應(yīng)的管理員進(jìn)行授權(quán)、審批（見附15）；l 填寫授權(quán)審批表（見附16）；l 組織AAAAA公司人員每季度審查審批事項(xiàng)，及時更新需授權(quán)和審批的項(xiàng)目、審批部門和審批人等信息，保存審批文檔。需授權(quán)的審批事項(xiàng)如下：事項(xiàng)類型事項(xiàng)名稱負(fù)責(zé)人硬件運(yùn)維硬件維修進(jìn)出機(jī)房服務(wù)器配置變更系統(tǒng)配置變更安全變更特權(quán)用戶授權(quán)（主機(jī)、網(wǎng)絡(luò)）特權(quán)用戶授權(quán)（數(shù)據(jù)庫）系統(tǒng)軟件應(yīng)用變更數(shù)據(jù)庫變更第六章 審核與檢查管理制度 審核與檢查管理制度 定期安全檢查l 由安全領(lǐng)導(dǎo)小組組織專門人員每三個月進(jìn)行安全檢查；l 對包括網(wǎng)絡(luò)、安全設(shè)備、系統(tǒng)、文檔等各方面的安全檢查；l 檢查完畢后提交檢查報告，并由AAAAA公司安全管理員進(jìn)行檢查報告復(fù)核，確定安全檢查結(jié)果，并對于不符合要求的地方提出整改措施并規(guī)定整改期限，以電子郵件或書面形式通知被檢查人員；（詳見附17）l 檢查時針對上一次的檢查結(jié)果進(jìn)行復(fù)查，若發(fā)現(xiàn)仍未整改的，需上報信息安全領(lǐng)導(dǎo)小組并進(jìn)行書面通告。（詳見附18）安全檢查流程 文件審批與發(fā)布管理制度l 安全管理員根據(jù)ISO/IEC 27001：2005《信息安全管理體系要求》，結(jié)合部門職責(zé)及信息安全管理流程，負(fù)責(zé)組織編制信息安全管理體系文件，形成初稿；l 安全管理員負(fù)責(zé)組織對信息安全管理體系文件的評審，并將審核后的文件報AAAAA公司，由信息安全領(lǐng)導(dǎo)小組領(lǐng)導(dǎo)對信息安全管理體系文件進(jìn)行核準(zhǔn)，形成最終的報審稿；l 安全管理員負(fù)責(zé)對信息安全管理體系文件的報審稿進(jìn)行登記、核稿后，報送領(lǐng)導(dǎo)審閱、簽批；l 組織相關(guān)人員進(jìn)行評審，領(lǐng)導(dǎo)審閱、簽批后發(fā)布；l 信息安全管理體系文件由安全管理員發(fā)放到各負(fù)責(zé)人，由各負(fù)責(zé)人按規(guī)定的發(fā)放范圍發(fā)至相關(guān)職屬范圍人員，由安全管理員按規(guī)定的發(fā)放范圍發(fā)至相關(guān)各部門，程序文件、信息安全管理手冊封面加蓋“受控”章進(jìn)行標(biāo)識，統(tǒng)一編號；l 崗位人員變動時，由文件主管部門及時收回原崗位各類文件，發(fā)放現(xiàn)崗位工作所依據(jù)的文件，以保證信息安全管理體系的有效運(yùn)行；l 崗位人員調(diào)離或退休時，應(yīng)先向AAAAA公司交回其所領(lǐng)用的文件后，方可辦理有關(guān)手續(xù)；l 信息安全管理手冊和程序文件制發(fā)后，需保留1份，連同簽批原件和電子版一并歸安全管理員存檔；l 文件更換新版后，由安全管理員收回作廢的文件，并做好回收記錄；l 由安全管理員定期檢查文件的適用情況，并對現(xiàn)有文件的有效性進(jìn)行評審。對不合適的地方進(jìn)行修訂，必要時更換新版；l 外來文件由相應(yīng)的責(zé)任部門負(fù)責(zé)接收和管理。第七章 辦公環(huán)境管理制度 辦公環(huán)境管理制度1） 總體要求：a) 各類物品擺放整齊、有序，功能布局清晰。b) 所有區(qū)域應(yīng)保持清潔衛(wèi)生。c) 標(biāo)識統(tǒng)一規(guī)范，不隨意張貼。d) 員工應(yīng)嚴(yán)格遵行《崗位行為規(guī)范》要求。e) 愛護(hù)公共設(shè)備設(shè)施；f) 遵循ISO環(huán)境管理體系要求。g) 工作人員調(diào)離辦公室應(yīng)立即交還該辦公室鑰匙h) 不在辦公區(qū)接待來訪人員等2） 個人辦公區(qū)域標(biāo)準(zhǔn)a) 辦公桌椅排放整齊，椅子不得放在走道內(nèi)阻礙通行；b) 桌面上允許擺