信息安全人员管理制度-等保制度模板.docx

xxxx信息平安人员管理制度（一）岗位职责1.应根据各岗位信息平安特性和业务特点，确定各岗位信息平安角色和职责。信息 平安角色及职责应包括以下内容：在信息平安管理组织架构中的角色和职责；在执行信息平安方针和目标方面的职责；在遵守国家、地方各种信息平安相关法律法规方面的职责；在保护信息资产免受未授权访问、泄露、修改、销毁或干扰方面的职责；执行特定的平安过程或活动方面的职责；在报告信息平安事故和弱点方面的职责。2.应根据已确定的岗位平安角色和职责，在岗位职责或协议中通过信息平安相关条 款加以明确。信息平安相关条款可以包括以下方面：岗位相关的法律职责和权利；信息系统相关资产的管理职责；操作其他组织和机构信息的职责；保护个人信息方面的平安职责，包括对个人隐私保密，不滥用个人信息等；在办公区域外和正常工作时间之外的职责；信息平安违规将受到的惩戒措施。（二）人员录用和上岗指定或授权专门的部门或人员负责人员录用；严格规范人员录用过程，对被录用人的身份、背景、专业资格和资质等进行 审查，对其所具有的技术技能进行考核；岗位人员在任用之前应签署保密协议；从内部人员中选拔从事关键岗位的人员，并签署岗位平安协议。各岗应通过教育和培训活动，确保本岗员工、外来人员在上岗前，理解其岗 位信息平安角色和职责。各岗应确保在针对本岗员工的岗前培训中，包括信息平安管理体系和相关管 理制度、岗位信息平安职责等信息平安相关的内容。（三）教育和培训对各类人员进行平安意识教育、岗位技能培训和相关平安技术培训；对平安责任和惩戒措施进行书面规定并告知相关人员，对违反违背平安策略 和规定的人员进行惩戒；对定期平安教育和培训进行书面规定，针对不同岗位制定不同的培训计划， 对信息平安基础知识、岗位操作规程等进行培训；对平安教育和培训的情况和结果进行记录并归档保存。（四）撤销访问权各岗在人员任用终止时，应按照离岗手续，通知相关岗位对该人员使用信息 和信息系统的权限进行调整；各岗依照相关人员的个人权限清单和要求，修改、限制或删除相关信息和信 息系统的访问权限，包括物理访问、逻辑访问、密钥及ID卡等，并作相应记 录；各岗应立即撤销或停用离岗人员所使用的账户，或者修改离岗人员所掌握的 系统帐户口令。（五）离职管理明确人员离职和转岗时的手续，明确离职和转岗管理职责。职责一般包括：在归还资产方面各相关岗位的职责；在撤销访问权方面各相关岗位的职责；在岗位人员变动方面各相关岗位的职责;离开岗位后还应承当的责任，如保密限制等。离职人员应明确其离职后仍需担负的平安责任和义务，以及违反平安责任和 义务所引发的后果。离岗人员在离岗时归还其使用的资产，包括所有先前发放的软件、访问卡、 文件和设备等。相关岗位应与离岗人员进行离岗交接，并做好记录；离岗人员应就其涉及到的专利、技术文档等及时向所在岗上交；人员在离岗时，应对正在实施的工程中的相关信息形成文档并提交给相关岗, 进行工程交接。如发生有离职人员违反其应负的平安责任，泄露组织部敏感秘密，由XXXX 按照有关规定和相关协议追究其法律责任。（六）保密协议根据岗位平安职责，对重要岗位制定相应的保密协议。保密协议可包括以下方面 的内容：岗位所要保护的信息；协议有效期；协议终止时所应采取的措施；为防止泄密，签字人的职责和行为；保密协议与知识产权保护、商业秘密保护的关系；涉密信息的许可使用，及签字人使用信息的权力；对涉密信息的活动的审核和监视；涉密信息泄露或被破坏后的处理程序；协议终止时信息的归档或销毁的措施；违反协议后应采取的措施。（七）信息平安岗位检查A各岗应提高平安意识，定期对本岗进行信息平安检查，确保信息平安规定得 到了有效地执行；应不定期抽查各岗信息平安职责的落实情况,确保岗的信息平安职责的落实。（八）信息平安岗位考核对于信息平安事故和在信息平安检查中发现的违规行为，由行政财务岗根据 有关考核规定对该人员进行处分；对于情节特别严重的违规行为，还应借助网络、简报等媒介向组织部其它政 府机构（部门）进行普遍宣传，防止同类问题再次发生。定期对各个岗的人员进行平安技能及平安认知的考核；对关键岗位的人员进行全面、严格的平安审查和技能考核；对考核结果进行记录并保存。（九）外来人员管理外来人员来组织部访问、参观时，应对其进行信息平安意识教育，确保其理 解和遵守访问、参观时应注意的信息平安规定。各岗在与外部方签订合同时，应按照岗位角色和职责要求，在合同中对外来 人员进行约束。各岗应要求外部方根据合同要求，对其人员进行平安职责的宣传和教育，确 保外来人员理解其应担负的平安责任和义务。各岗应按照组织部有关信息平安管理规定以及合同要求，对所有外来人员进 行监督和检查，并就平安违规情况按合同条款中的要求进行处理。确保在外部人员访问受控区域前先提出书面申请，批准后由专人全程陪同或 监督，并登记备案；对外部人员允许访问的区域、系统、设备、信息等内容应进行书面的规定， 并按照规定执行。