信息安全管理体系制度汇编V1.0

信息安全管理体系制度汇编V1.0信息安全管理体系汇编（第一版）网络运营中心监制xx年3月目录目录信息安全工作指导方针I 信息安全工作流程图II 信息安全工作示意图III 信息安全管理体系框架IV 信息安全工作总体方针1第一章总则1第二章总体安全方针1第三章总体安全目标1第四章安全工作原则1第五章安全工作要求2第六章安全组织保障3第七章附则4 架构与安全委员会章程5第一章总则5第二章组织结构5第三章架构与安全委员会6第四章信息安全实施小组7第五章例会制度9第六章附则10 附件11 附件1：架构与安全委员会名单11附件2：架构与安全委员会例会纪要12 信息系统安全管理制度13 第一章总则13第二章信息系统安全管理13第三章数据中心机房安全管理14第四章网络安全管理14第五章系统安全管理15第六章应用安全管理15第七章数据安全管理15第八章信息系统建设安全管理16第九章信息系统变更安全管理16第章信息系统运维安全管理16第一章信息系统安全事件管理17第二章信息安全检查与审计管理17第三章信息系统风险评估管理17第四章信息系统安全应急预案17第五章业务连续性与灾难恢复管理18第六章信息系统安全值守巡检规范18第七章附则18 信息系统日常安全管理规范19 第一章总则19第二章信息系统日常管理19第三章人员安全管理20第四章第三方人员安全管理制度20第五章信息资产安全管理制度20第六章办公设备安全管理制度20第七章桌面终端安全管理21第八章介质安全管理21第九章附则21 数据中心机房管理制度22第一章总则22第二章机房出入管理22第三章机房操作管理24第四章机房设备管理24第五章附则25 附件26 附件1：机房人员、设备进出申请表26 附件2：数据中心维护工作登记表27 网络安全管理制度29第一章总则29第二章管理职责29第三章网络架构安全29第四章网络配置安全30第五章网络运维安全32第六章附则34 系统安全管理制度35第一章总则35第二章管理职责35第三章系统配置安全35第四章系统运维安全36第五章附则37 应用安全管理制度38第一章总则38第二章身份鉴别38第三章WEB页面安全39第四章访问控制39第五章安全审计40第六章过期信息、文档处理40第七章资源控制40第八章应用容错40第九章报文完整性41第章报文保密性41第一章抗抵赖41第二章编码安全41第三章电子认证应用41第四章附则42 数据安全管理制度43 第一章总则43第二章数据分级43第三章数据传输安全44第四章数据存储安全44第五章数据变更安全45第六章数据访问安全46第七章数据备份安全46第八章数据恢复安全47第九章数据销毁安全48第章密码和密钥安全48第一章附则50 附件51 附件1：备份记录51 附件2：备份计划表52 附件3：备份数据可用性测试申请表53 附件4：备份数据可用性测试记录54 附件5：数据恢复申请表55 业务系统建设安全管理制度56第一章总则56第二章总体安全要求56第三章业务系统研发、测试56第四章业务系统上线57第五章附则59 附件60 附件1：新业务上线申请表60 信息系统变更安全管理制度61第一章总则61第二章变更分类61第三章变更管理流程61第四章附则64 附件65 附件1：变更申请表65 附件2：变更记录表66 信息系统运维安全管理制度67第一章总则67第二章日常巡检67第三章信息系统运维账号管理68第四章安全监控与入侵防范管理70第五章恶意代码防范70第六章附则71 附件72 附件1：信息系统运维账号申请表72 信息系统安全事件管理制度73第一章总则73第二章安全事件定义73第三章安全事件分级77第四章安全事件处理79第五章附则80 附件81 附件1：故障记录登记表81 附件2：故障记录汇总审批表82 信息安全检查与审计管理制度83 第一章总则83第二章安全检查与审计内容83第三章全面安全检查与审计流程85第四章附则87 突发业务高可用性管理制度89第一章总则89第二章管理职责89第三章技术保障89第四章突发业务高可用性管理90第五章附则93 附件94 附件1：突发业务高可用性影响分析报告94 附件2：突发业务高可用性实施计划95 附件3：突发业务高可用性实施计划测试报告96 附件4：突发业务高可用性实施计划评审报告97 信息系统安全应急预案98第一章总则98第二章组织和职责98第三章事件分类98第四章机房故障应急预案99第五章业务系统故障应急预案100第六章应急处理保障101第七章应急处理培训及演练101第八章附则102 信息系统风险评估管理规范103第一章总则103第二章风险的概念103第三章风险评估职责104第四章风险评估过程104第五章附则107 信息系统安全值守巡检规范108第一章总则108第二章组织和职责108第三章机房安全值守108第四章办公室安全值守109第五章附则110 人员安全管理制度111第一章总则111第二章人员录用111第三章人员调/离岗112第四章信息安全意识教育112第五章人员考核112第六章附则113 附件114 附件1：保密协议书114 附件2：培训记录单119第三方人员安全管理制度120第一章总则120第二章第三方人员安全管理120第三章第三方人员安全操作120第四章附则121 附件122 附件1：第三方人员访问申请流程122 附件2：第三方人员入网申请表123 信息资产安全管理制度124第一章总则124第二章信息资产分类124第三章信息资产分级124第四章信息资产管理125第五章信息资产盘点126第六章附则126 附件128 附件1：信息资产保密性赋值定义128 附件2：信息资产完整性赋值定义129 附件3：信息资产可用性赋值定义130 附件4：信息资产清单131 办公设备安全管理制度132第一章总则132第二章管理职责132第三章设备申请采购管理132第四章设备使用维护管理133第五章设备维修报废管理136第六章附则136 附件137 附件1：办公设备申请采购工作流程137 附件2：办公设备领用工作流程138 附件3：办公设备调拨工作流程139 附件4：办公设备维修报废流程140 附件5：办公设备领用单141 附件6：办公设备调拨申请表142 附件7：办公设备送外维修申请表143 桌面终端安全管理制度144 第一章总则144第二章员工桌面终端安全要求144第三章桌面终端初始配置145第四章桌面终端接入网络145第五章桌面终端日常使用146第六章桌面终端连接互连网148第七章桌面终端维修报废149第八章附则149 介质安全管理制度150第一章总则150第二章介质保管150第三章介质使用与维护150第四章介质维修与销毁151第五章附则152 附件153 附件1：介质目录清单153 附件2：介质申请表154 附件3：介质送外维修申请表155 附件4：介质移交单156 附件5：介质销毁清单157 附件6：保密介质销毁申请表158 网络运营中心监制信息安全工作指导方针信息安全工作指导方针网络运营中心监制 IV 信息安全工作流程图信息安全工作流程图信息安全工作示意图信息安全工作示意图信息安全管理体系框架信息安全管理体系框架信息安全工作总体方针信息安全工作总体方针第一章总则第一条为给集团信息安全工作提供清晰的指导方向，加强信息安全管理，保证业务系统的安全运行，提高服务质量，特制定本方针。

第二条信息安全工作是集团运营发展的基础，是保障网络质量，保护客户利益的基础，因此必须重视信息安全工作。

第三条信息安全是集团各部门所有员工共同分担的责任，与每一位员工的日常工作息息相关，所有员工必须提高认识，高度重视，从自己开始，坚持不懈地做好信息安全工作。

第四条本方针适用于集团全体员工。

第二章总体安全方针第五条集团信息安全应坚持“信息安全与业务并重，安全管理与技术并重”的总体方针，实现信息系统安全可查、可视、可控。

依照“分区、分级、分域”的总体安全防护策略，执行信息系统安全防护。

第三章总体安全目标第六条集团的信息安全目标是：一、保障信息系统安全稳定运行，保证业务连续性；二、保护客户隐私，保障客户资料的机密性，维护客户的利益；三、保护集团的商业机密和技术机密，维护集团的利益；四、建立集团的信息安全体系，确保信息资产的安全可靠。

第四章安全工作原则第七条安全工作应遵循以下基本原则：一、“分级保护”原则：应根据各业务系统的重要程度以及面临的风险大小等因素决定各类信息的安全保护级别，分级保护，合理投资。

二、“同步规划、同步建设、同步运行”原则：安全建设应与业务系统同步规划、同步建设、同步运行，在任何一个环节的疏忽都可能给业务系统带来危害。

三、“三分技术、七分管理”原则：信息安全不是单纯的技术问题，需要在采用安全技术和产品的同时，重视安全管理，不断完善各类安全管理规章制度和操作规程，全面提高安全管理水平。

四、“内外并重”原则：安全工作需要做到内外并重，在防范外部威胁的同时，加强规范内部人员行为和审计机制。

五、“整体规划，分步实施”原则：需要对集团信息安全建设进行整体规划，分步实施，逐步建立完善的信息安全体系。

六、“风险管理”原则：进行安全风险管理，确认可能影响信息系统的安全风险，并以较低的成本将其降低到可接受的水平。

七、“适度安全”原则：没有绝对的安全，安全和易用性是矛盾的，需要做到适度安全，找到安全和易用性的平衡点。

第五章安全工作要求第八条集团必须建立和完善信息安全管理规章制度和操作程序，规范和加强信息安全管理工作，所有员工都必须遵守与其相关的信息安全规章制度。

第九条加强内部人员安全管理，依据最小特权原则清晰划分岗位，在所有岗位职责中明确信息安全责任，要害工作岗位实现职责分离，关键事务双人临岗，重要岗位要有人员备份。

第条各部门必须加强信息资产管理，建立和维护信息资产清单，建立信息资产责任制，对信息资产进行分类管理和贴标签。

第一条加强系统建设的安全管理，配套安全系统必须与业务系统“同步规划、同步建设、同步运行”，加强安全规划、安全审批、安全验收管理。

第二条建立维护作业计划，严格执行维护作业计划，加强对网络设备、操作系统、数据库、应用系统的运行监控，编写日常运行维护报告。

第三条部署网络层面和系统层面的访问控制、安全审计以及安全监控技术措施，保障业务系统的安全运行。

第四条建立日常维护操作手册和变更控制流程，规范日常运行维护操作，严格控制和审批任何变更行为，加强机房和办公区域的安全管理，为业务系统的正常运行提供物理和环境安全保障。

第五条增强主机系统的安全配置，定期进行安全评估和安全加固，加强防范恶意软件，定期更新病毒特征代码，及时报告发现的病毒。

所有Windows操作系统的电脑必须及时进行补丁升级。