信息安全管理規(guī)范培訓(xùn)資料(參考版)
2025-04-21 04:41本頁面
【正文】 n ISO/IEC 27005—信息安全風(fēng)險管理指南 以2006年推出的BS77993（基于ISO/IEC 133352）為藍本。n ISO/IEC 27003—信息安全管理體系實施指南，正在開發(fā)。n ISO/IEC 27001—信息安全管理體系要求， 已于2005年10月15日正式發(fā)布（ISO/IEC 27001:2005）。n 為投資活動提供保障，防止各種安全事故的發(fā)生。 建立信息安全管理體系的目的n 增強各種類型的組織機構(gòu)內(nèi)部管理的信心。3）、可用性：需要時，授權(quán)實體可以訪問和使用的特性，確保授權(quán)用戶或?qū)嶓w對信息及資源的正常使用不會被異常拒絕，允許其可靠而及時地訪問信息及資源。 信息安全的三要素n 機密性n 完整性n 可用性注：1）、機密性：信息不可用或不被泄漏給未授權(quán)的個人、實體或過程的特性，確保只有獲得授權(quán)的使用者才能使用信息。 什么是信息安全？信息安全的目的是，保護信息不受各種威脅，以確保業(yè)務(wù)連續(xù)，將企業(yè)損失降至最低，將投資收益與商業(yè)機會最大化。 信息是有生命周期的。 信息資產(chǎn)對組織具有價值，因而需要受到妥善的保護。在ISO 27001的標準里：216。（4） 對于的合同承包商和外部用戶，如果違反了信息安全管理規(guī)定，公司信息安全委員會有權(quán)建議公司中止與他們的合同和協(xié)議。（2） 對違反信息安全管理規(guī)定，并造成嚴重后果的部門或員工，由公司信息安全管理委員會授權(quán)實施懲戒。（2） 公司定期檢查網(wǎng)絡(luò)專線的登記和使用情況。 網(wǎng)絡(luò)專線的日常管理規(guī)定（1） 各部門不得私自搭建網(wǎng)絡(luò)專線。（4） 無線AP必須設(shè)置符合安全要求的密碼（具體要求參見管理文件《訪問控制管理程序》），只有被授權(quán)人員方可使 用無線網(wǎng)絡(luò)。（2） 禁止使用路由器及無線路由設(shè)備。員工在辦公區(qū)域只能通過公司內(nèi)網(wǎng)聯(lián)入互聯(lián)網(wǎng)。 局域網(wǎng)的日常管理規(guī)定各部門不得將私自構(gòu)建的局域網(wǎng)接入公司網(wǎng)絡(luò)。（6） 定期使用安全評估系統(tǒng)檢查防火墻的各項服務(wù)是否有漏洞。（4） 嚴禁連接公司網(wǎng)絡(luò)的任何單位和人員以任何形式對防火墻進行攻擊。（2） 對防火墻的接口IP地址、用戶名、口令及配置文件信息進行嚴格管理。（9） 使用電子郵件，對來路不明的郵件（特別是含有附件的郵件），收到后不要打開，直接刪除并清空廢件箱。（8） 不使用來路不明或含有盜版軟件的軟盤與光盤，不隨意安裝執(zhí)行從網(wǎng)絡(luò)上下載的各種程序。（6） 為防止惡意代碼的侵擾，每臺計算機必須按《訪問控制管理程序》；網(wǎng)絡(luò)共享文件必須設(shè)置密碼和只讀權(quán)限。抽查情況將通報各相關(guān)部門并列入年度的績效考核。（3） 為防止計算機使用人員私自卸載客戶端及信息安全客戶端，卸載密碼和工具由系統(tǒng)服務(wù)事業(yè)部統(tǒng)一管理。 終端使用安全準則（1） 每臺計算機應(yīng)開啟實時監(jiān)控功能，定期進行計算機病毒檢測，并及時對防毒軟件或病毒特征庫進行升級更新。（4） 保證個人口令安全，確保工作組口令僅在本組成員間共享。（2） 在向用戶提供臨時口令時必須確保其安全，避免使用第三方或無保護的（明文）電子郵件，用戶應(yīng)對收到的口令予以確認。 用戶口令管理在進行信息系統(tǒng)的口令管理，應(yīng)：（1） 用戶需要自己維護口令，系統(tǒng)僅在開始時提供一個安全的臨時口令，用戶需要立即更改臨時口令。（6） 系統(tǒng)權(quán)限管理的責(zé)任人應(yīng)定期組織檢查并刪除多余的用戶名和賬戶，并對用戶的訪問權(quán)限進行定期評審或在變動后進行評審。（4） 應(yīng)記錄所有注冊用戶。（2） 添加新用戶或用戶權(quán)限變更時應(yīng)有書面申請并經(jīng)過審批。 用戶注冊與權(quán)限管理策略 對任何多用戶使用的信息系統(tǒng)和服務(wù)設(shè)施進行訪問，應(yīng)：（1） 使用唯一的用戶名，以便將用戶與其操作聯(lián)系起來，使用戶對其操作負責(zé)。（11） 所有員工都要嚴格遵守《電子郵件安全使用規(guī)范》的相關(guān)規(guī)定，員工之間應(yīng)互相監(jiān)督，及時制止違反規(guī)定的人員，對于使用公司郵箱傳播反動言論、從事任何與法律或公司制度相違活動的人員將禁用或者注銷其郵箱，并根據(jù)情節(jié)嚴重給予相應(yīng)處罰或提交司法機關(guān)處理。（10） 做好郵件的病毒防護工作。（8） 公司業(yè)務(wù)信息郵件必須使用公司規(guī)定的業(yè)務(wù)專用郵箱發(fā)送，除了業(yè)務(wù)相關(guān)郵件禁止使用業(yè)務(wù)郵箱發(fā)送其他郵件。（6） 禁止使用工作郵箱從事任何非法活動及其與工作無關(guān)的郵件。（4） 郵件必須有標題，盡量以文本方式瀏覽郵件。這些規(guī)則也適用于當(dāng)公司員工接收到這類電子郵件并進行轉(zhuǎn)發(fā)的情況。（2） 禁止使用公司帳號發(fā)送連鎖信。 電子郵件安全使用規(guī)范（1） 公司電子郵件系統(tǒng)禁止用于創(chuàng)建與分發(fā)任何含有破壞性、歧視性的信息，包括對種族、性別、殘疾人、年齡、職業(yè)、性取向、宗教信仰、政治信念、國籍等方面的攻擊性語言。（6） 公告A． 事件的調(diào)查結(jié)果要反饋給當(dāng)事部門領(lǐng)導(dǎo)。B． 懲戒手段可包括通報批評、行政警告、經(jīng)濟處罰、調(diào)離崗位、依據(jù)合同給予辭退，對于觸犯刑律者可交司法機關(guān)處理。（4） 評價/調(diào)查安全事件或故障發(fā)生之后，事件處理者要對事件或故障的類型、嚴重程度、發(fā)生的原因、性質(zhì)、產(chǎn)生的損失、責(zé)任人進行調(diào)查確認，形成事件或故障評價資料。C． 事件響應(yīng)及處理者在處理安全事件時應(yīng)考慮以下優(yōu)先次序：n 保護人員的生命與安全n 保護敏感的設(shè)備和資料n 保護重要的數(shù)據(jù)資源n 防止系統(tǒng)被損壞n 將公司遭受的損失降至最小D． 如果發(fā)生違法事件，事件相關(guān)涉及部門要采集并保存有效證據(jù)，上交過程管理部報告給公司最高管理者決策，由法務(wù)部向外部法律機構(gòu)報告。（3） 響應(yīng)A． 客服對信息安全事件做出最初響應(yīng)，將技術(shù)方面的信息安全事件交給系統(tǒng)服務(wù)部組織處理，將管理方面的信息安全事件交給過程管理部組織相關(guān)部門進行處理。事件處理者需填寫附錄中的《 信息安全事件報告處理記錄單》，每月將相
公司管理相關(guān)推薦
鄂ICP備17016276號-1