企业信息安全管理制度.doc
《企业信息安全管理制度.doc》由会员分享,可在线阅读,更多相关《企业信息安全管理制度.doc(21页珍藏版)》请在淘文阁 - 分享文档赚钱的网站上搜索。
1、 XX公司信息安全管理制度(试行)第一章 总则第一条 为保证信息系统安全可靠稳定运行,降低或阻止人为或自然因素从物理层面对公司信息系统的保密性、完整性、可用性带来的安全威胁,结合公司实际,特制定本制度。第二条 本制度适用于XX公司以及所属单位的信息系统安全管理。第二章 职责第三条 相关部门、单位职责:一、 信息中心(一) 负责组织和协调XX公司的信息系统安全管理工作;(二) 负责建立XX公司信息系统网络成员单位间的网络访问规则;对公司本部信息系统网络终端的网络准入进行管理;(三) 负责对XX公司统一的两个互联网出口进行管理,配置防火墙等信息安全设备;会同保密处对公司本部互联网上网行为进行管理;
2、(四) 对XX公司统一建设的信息系统制定专项运维管理办法,明确信息系统安全管理要求,界定两级单位信息安全管理责任;(五) 负责XX公司网络边界、网络拓扑等全局性的信息安全管理。二、 人力资源部(一) 负责人力资源安全相关管理工作。(二) 负责将信息安全策略培训纳入年度职工培训计划,并组织实施。三、 各部门(一) 负责本部门信息安全管理工作。(二) 配合和协助业务主管部门完善相关制度建设,落实日常管理工作。四、 所属各单位(一) 负责组织和协调本单位信息安全管理工作。(二) 对本单位建设的信息系统制定专项运维管理办法,明确信息系统安全管理要求,报XX公司信息中心备案。第三章 信息安全策略的基本要
3、求第四条 信息系统安全管理应遵循以下八个原则:一、 主要领导人负责原则; 二、 规范定级原则; 三、 依法行政原则; 四、 以人为本原则; 五、 注重效费比原则; 六、 全面防范、突出重点原则;七、 系统、动态原则; 八、 特殊安全管理原则。第五条 公司保密委应根据业务需求和相关法律法规,组织制定公司信息安全策略,经主管领导审批发布后,对员工及相关方进行传达和培训。第六条 制定信息安全策略时应充分考虑信息系统安全策略的“七定”要求,即定方案、定岗、定位、定员、定目标、定制度、定工作流程。第七条 信息安全策略主要包括以下内容:一、 信息网络与信息系统必须在建设过程中进行安全风险评估,并根据评估结
4、果制定安全策略;二、 对已投入运行且已建立安全体系的系统定期进行漏洞扫描,以便及时发现系统的安全漏洞;三、 对安全体系的各种日志(如入侵检测日志等)审计结果进行研究,以便及时发现系统的安全漏洞;四、 定期分析信息系统的安全风险及漏洞、分析当前黑客非常入侵的特点,及时调整安全策略;五、 制定人力资源、物理环境、访问控制、操作、备份、系统获取及维护、业务连续性等方面的安全策略,并实施。第八条 公司保密委每年应组织对信息安全策略的适应性、充分性和有效性进行评审,必要时组织修订;当公司的组织架构、生产经营模式等发生重大变化时也应进行评审和修订。第九条 根据“谁主管、谁负责”的原则,公司建立信息安全分级
5、责任制,各层级落实信息系统安全责任。第四章 人力资源安全管理第十条 信息系统相关岗位设置应满足以下要求:一、 安全管理岗与其它任何岗位不得兼岗、混岗、代岗。二、 系统管理岗、网络管理岗与应用管理岗不得兼岗、混岗。三、 安全管理岗、系统管理岗、网络管理岗、应用管理岗、设备管理岗、技术档案管理岗原则上有人员备份。四、 以上岗位人员调离必须办理交接手续,所掌握的口令应立刻更换或注销该用户。第十一条 人力资源部在相关岗位任职要求中应包含信息安全管理的相关条件和要求;将信息安全相关培训纳入年度职工培训计划,并组织实施。第五章 信息系统物理和环境安全管理第十二条 信息系统物理安全指为了保证信息系统安全可靠
6、运行,不致受到人为或自然因素的危害,而对计算机设备、设施(包括机房建筑、供电、空调)、环境、系统等采取适当的安全措施。第十三条 信息管理部门应采取切实可行的物理防护手段或技术措施对物理周边、物理入口、办公及生产区域等进行安全控制,防止无关人员未授权物理访问、损坏和干扰。第十四条 信息管理部门应加强对信息系统机房及配线间的安全管理,要求如下:一、 工作人员需经授权,方能且只能进入中心机房的授权工作区;确因工作需要,需进入非授权工作区时,需由该授权工作区人员陪同;做好机房出入登记(格式见附录3-3)。二、 工作人员必须严格按照规定操作,未经批准不得超越自己职权范围以外的操作;操作结束时,必须退出已
7、进入的操作画面;最后离开工作区域的人员应将门关闭。三、 非授权人员严禁操作中心机房UPS、专用空调、监控、消防及UPS供配电设备设施。四、 未经授权,任何人员不得擅自拷贝数据和文件等资料。五、 严禁将易燃、易爆、强磁性物品带入中心机房;严禁在机房内吸烟。六、 发生意外情况应立即采取应急措施,并及时向有关部门和领导报告。第六章 信息系统资产管理第十五条 信息管理部门应对信息和信息系统设备设施等相关资产建立台帐清单(格式见附录3-4),并定期对其进行盘点清查。第十六条 设备使用人应对信息和信息系统设备设施、各类存储介质等相关资产进行标识。标识应张贴在信息设备的明显位置,做到信息完整、字迹清晰,并做
8、好防脱落防护工作。第十七条 信息管理部门应对主机进行控制管理,要求如下:一、 关键业务生产系统中的主机原则上应采用双机热备份方式或n+m的多主机方式,确保软件运行环境可靠;二、 一般业务生产系统中的主机、生产用PC前置机,关键设备可以采用软硬件配置完全相同的设备来实现冷备份;三、 各类设备在采购时技术规格中应明确服务响应时间、备品备件、现场服务等方面的要求,核心服务器、存储相应时间一般不高于4小时。第十八条 各相关部门应加强信息设备安装、调试、维护、维修、报废等环节的管理工作,防止因信息设备丢失、损坏、失窃以及资产报废处置不当引起的信息泄露。第七章 信息系统访问控制及操作安全管理第十九条 公司
9、将系统运行安全按粒度从粗到细分为四个层次:系统级安全、资源访问安全、功能性安全、数据域安全。一、 系统级安全策略包括:敏感系统的隔离、访问地址段的限制、登录时间段的限制、会话时间的限制、连接数的限制、特定时间段内登录次数的限制以及远程访问控制等。系统级安全是应用系统的第一道防护大门。二、 资源访问安全策略包括:对程序资源的访问进行安全控制,在客户端上,为用户提供和其权限相关的用户界面,仅出现和其权限相符的菜单和操作按钮;在服务端则对URL 程序资源和业务服务类方法的调用进行访问控制。三、 功能性安全策略包括:功能性安全会对程序流程产生影响,如用户在操作业务记录时,是否需要审核,上传附件不能超过
10、指定大小等。四、 数据域安全策略包括:一是行级数据域安全,即用户可以访问哪些业务记录,一般以用户所在单位为条件进行过滤;二是字段级数据域安全,即用户可以访问业务记录的哪些字段。第二十条 用户管理应建立用户身份识别与验证机制,防止非法用户进入应用系统。具体要求如下:一、 公司按照相关的访问控制策略,对用户注册、访问开通、访问权限分配、权限的调整及撤销、安全登录、口令管理等方面进行访问控制的管理活动。二、 用户是指用以登录、访问和控制计算机系统资源的帐户。用户管理是指对用户进行分层、授权的管理。用户由用户名加以区分,由用户口令加以保护。按照计算机系统所承载的应用系统运行管理的需要,将用户分为超级用
11、户、授权用户、普通用户、匿名用户四类,分别控制其权限。(一) 超级用户。拥有对运行系统的主机、前置机、服务器、数据库、运行进程、系统配置、网络配置等进行察看、修改、添加、重启等权限并可对下级用户进行授权的用户。由系统管理岗位或网络管理岗位主管进行分配,由系统管理员或网络管理员负责用户口令的日常管理。(二) 授权用户。拥有由超级用户根据应用系统开发或运行维护的特殊需要,经过岗位主管的审批,将一些系统命令运行权限所授予的普通用户,由授权用户负责用户口令的日常管理。(三) 普通用户。应用系统开发或运行维护人员为应用系统一般监控、维护的需要,由超级用户分配的一般用户,这类用户仅拥有缺省用户访问权限的用
12、户,由用户负责口令的日常管理。(四) 匿名用户。匿名用户用于向公司网络内所有用户提供相应服务,这类用户一般仅拥有浏览权限,无用户名及口令,一般情况下只允许提供如:标准、期刊等无安全要求的系统服务时使用匿名用户。三、 对用户以及权限的设定进行严格管理,用户权限的分配遵循 “最小特权”原则。四、 口令是用户用以保护所访问计算机资源权利,不被他人冒用的基本控制手段。口令策略的应用与其被保护对象有关,口令强度与口令所保护的资源、数据的价值或敏感度成正比。(一) 所有在公司局域网网上运行的设备、计算机系统及存有公司涉密数据的计算机设备都必须设置口令保护。(二) 所有有权掌握口令的人员必须保证口令在产生、
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 企业信息 安全管理 制度
限制150内