信息安全安全管理15篇

第1篇 27001信息安全管理体系审核员工作职责与职位要求

职位描述：

1.按照公司派遣计划（app）要求，对指定申请组织进行相应领域（目前：质量、环境、职业健康安全、信息安全、ec9000、13485、hse、食品安全、危害分析与关键控制点、资产管理体系、道路交通安全管理体系、服务认证、产品认证）标准规范进行第三方现场合格评定活动；

2.定期参加公司组织的远程、面授培训及考试，积极提升自身的能力水平；

3.遵守公司的管理制度，按照规定流程执行审核活动的前期、现场、后期综合程序；

4.遵守国家认证认可等行业主管单位的规定要求。

职位要求：

1. 年龄不限；

2.须取得中国认证认可协会（ccaa）颁发的国家注册审核员，检查员或审查员资格或已通过相应领域的ccaa国家注册审核员考试（基础知识审核知识）。

3.具有良好的责任心；

4.专职优先。

5.待遇从优，工资底薪人天费用组长费（适用时）见证费（适用时）社保

6.从业4年以上，或能力优秀者可以适当交流调整底薪待遇。

7.专职应履行不少于20个审核人日要求，或季度60个人日要求。

第2篇 人员离岗离职信息安全管理规定

为规范本单位计算机信息安全工作,更好的服务于本单位信息化建设需要,特制定本规定:

第一条为保证本单位的计算机与网络信息安全,适应信息安全等方面的需要,防止计算机网络失密泄密事件发生,特制定本制度;

第二条工作人员离职之后仍对其在任职期间接触、知悉的属于本单位或者虽属于第三方但本单位承诺或负有保密义务的秘密信息,承担如同任职期间一样的保密义务和不擅自使用的义务,直至该秘密信息成为公开信息,而无论离职人员因何种原因离职。

第三条离职人员因职务上的需要所持有或保管的一切记录着本单位秘密信息的文件、资料、图表、笔记、报告、信件、传真、磁带、磁盘、仪器以及其他任何形式的载体,均归本单位所有,而无论这些秘密信息有无商业上的价值。

第四条离职人员应当于离职时,或者于本单位提出请求时,返还全部属于本单位的财物,包括记载着本单位秘密信息的一切载体。若记录着秘密信息的载体是由离职人员自备的,则视为离职人员已同意将这些载体物的所有权转让给本单位,本单位应当在离职人员返还这些载体时,给予离职人员相当于载体本身价值的经济补偿;但秘密信息可以从载体上消除或复制出来时,可以由本单位将秘密信息复制到本单位享有所有权的其他载体上,并把原载体上的秘密信息消除,此种情况下离职人员无须将载体返还,本单位也无须给予离职人员经济补偿。

第五条离职人员离职时,应将工作时使用的电脑、u盘及其他一切存储设备中关于工作相关或与本单位有利益关系的信息、文件等内容交接给本单位相关人员,不得在离职后以任何形式带走相关信息。

___________

年月日

第3篇 公司信息安全管理检查执行规定

1.检查原则

根据违规行为的性质、造成的后果及违规人的主观意愿对违规行为进行处罚。对在公司信息安全管理制度和措施上贯彻、监控不力、权限审核不当，造成公司安全制度和措施难以落实，安全管理工作混乱的部门，部门负责人须承担领导责任。对违反信息安全管理规定者，如其直接领导有明显管理和指导不力的须承担连带责任。

2.检查方式

公司技术部门抽调网络管理人员，不定期对公司所属公司办公电脑进行抽查。分析信息安全日志文件，排查违规电脑，追究相关当事人。

3.检查结果

对于故意盗窃、泄露公司保密信息的，或故意违反信息安全管理规定，性质特别严重造成重大损失的，给予罚款、降薪、降职、辞退、直至开除的处理，并赔偿公司损失。对于触犯国家法律的，移交国家司法机关依法处理。对违反公司信息安全制度规定，性质较轻，在公司内部系统给予点名通报批评，并记录在案，责令限期改正。

第4篇 网络信息安全管理组织机构设置工作职责

1:总则

1.1为规范北京爱迪通联科技有限公司(以下简称“公司”)信息安全管理工作,建立自上而下的信息安全工作管理体系,需建立健全相应的组织管理体系,以推动信息安全工作的开展。

2:范围

本管理办法适用于公司的信息安全组织机构和重要岗位的管理。

3:规范性引用文件

下列文件中的条款通过本标准的引用而成为本标准的条款。凡注明日期的应用文件,其随后的所有的修改单或修订版均不适用于本标准(不包括勘误、通知单),然而,鼓励根据本标准达成协议的各方研究是否可以使用这些文件的最新版本。凡未注日期的引用文件,其最新版本适用于本标准

《信息安全技术 信息系统安全保障评估框架》(gb/t 20274.1-2006)

《信息安全技术 信息系统安全管理要求》(gb/t 20269-2006)

《信息安全技术 信息系统安全等级保护基本要求》(gb/t 22239-2008)

4:组织机构

4.1 公司成立信息安全领导小组,是信息安全的最高决策机构,下设办公室,负责信息安全领导小组的日常事务。

4.2 信息安全领导小组负责研究重大事件,落实方针政策和制定总体策略等。职责主要包括:

根据国家和行业有关信息安全的策略、法律和法规,批准公司信息安全总体策略规划、管理规范和技术标准;

确定公司信息安全各有关部门工作职责,知道、监督信息安全工作。

4.3 信息安全领导小组下设两个工作组:信息安全工作组、应急处理工作组。组长均由公司负责人担任。

4.4信息安全工作组的主要职责包括:

4.4.1 贯彻执行公司信息安全领导小组的决议,协调和规范公司信息安全工作;

4.4.2 根据信息安全领导小组的工作部署,对信息安全工作进行具体安排、落实;

4.4.3 组织对重大的信息安全工作制度和技术操作策略进行审查,拟定信息安全总体策略规划,并监督执行;

4.4.4 负责协调、督促各职能部门和有关单位的信息安全工作,参与信息系统工程建设中的安全规划,监督安全措施的执行;

4.4.5 组织信息安全工作检查,分析信息安全总体状况,提出分析报告和安全风险的防范对策;

4.4.6 负责接收各单位的紧急信息安全事件报告,组织进行时间调查,分析原因、涉及范围,并评估安全事件的严重程度,提出信息安全时间防范措施;

4.4.7 及时向信息安全工作领导小组和上级有关部门、单位报告信息安全时间。

4.4.8 跟踪先进的信息安全技术,组织信息安全知识的培训和宣传工作。

4.5应急处理工作组的主要职责包括:

4.5.1 审定公司网络与信息系统的安全应急策略及应急预案;

4.5.2 决定相应应急预案的启动,负责现场指挥,并组织相关人员排除故障,恢复系统;

4.5.3 每年组织对信息安全应急策略和应急预案进行测试和演练。

4.6 公司应指定分管信息的领导负责本单位信息安全管理,并配备信息安全技术人员,有条件的应设置信息安全工作小组或办公室,对公司信息安全领导小组和工作小组负责,落实本单位信息安全工作和应急处理工作。

5: 关键岗位

5.1 设置信息系统的关键岗位并加强管理,配备系统管理员、网络管理员、应用开发管理员、安全审计员、安全保密管理员要求无人各自独立。要害岗位人员必须严格遵守保密法规和有关信息安全的管理规定。

5.2 系统管理员主要职责有:

5.2.1负责系统的运行管理,实施系统安全运行细则;

5.2.2严格用户权限管理,维护系统安全正常运行;

5.2.3认真记录系统安全事项,及时向信息安全人员报告安全事件;

5.2.4对进行系统操作的其他人员予以安全监督。

5.3网络管理员的主要职责有:

5.3.1负责网络的运行管理,实施网络安全策略和安全云心细则;

5.3.2安全配置网络参数,严格控制网络用户访问权限,维护网络安全正常运行;

5.3.3监控网络关键设备、网络端口、网络物理线路,防范黑客入侵,及时向信息安全人员报告安全事件;

5.3.4对操作网络管理功能的其他人员进行安全监督。

5.4应用开发管理员主要职责有:

5.4.1负责在系统开发建设中,严格执行系统安全策略,保证系统安全功能的准确实现;

5.4.2系统投产运行前,完整移交系统相关的安全策略等资料;

5.4.3不得对系统设置“后门”;

5.4.4对系统核心技术保密等。

5.5安全审计员负责对设计系统安全的事件和各类操作人员的行为进行审计和监督,主要职能包括:

5.5.1按操作员证书号进行审计;

5.5.2按操作时间审计;

5.5.3按操作类型审计;

5.5.4事件类型进行审计;

5.5.5日志管理等。

5.6安全保密管理员负责日常安全保密管理活动,主要职责有:

5.6.1监视全网运行和安全告警信息

5.6.2网络审计信息的常规分析

5.6.3安全设备的常规设置和维护

5.6.4执行应急中心指定的具体安全策略

5.6.5向应急管理机构和领导机构报告重大的网络安全时间等。

6 附则

6.1本办法由公司科技部负责解释。

6.2本办法自发布之日起实施。

第5篇 保密和信息安全管理规定

为了防止信息和技术的泄密,导致严重灾难的发生,特制订本规定:

一、公司秘密包括:

1、公司股东、董事会资料,会议记录、纪要,保密期限内的重要决定事项;

2、公司的年度工作总结,财务预算决算报告,缴纳税款、营销报表和各种综合统计报表;

3、公司业务资料,货源情报和对供应商调研资料;

4、公司开发设计资料、技术资料和生产情况;

5、客户提供的一切文件、资料等;

6、公司各部门人员编制、调整、未公布的计划,员工福利待遇资料;

7、公司的安全防范状况及存在问题;

8、公司员工违法违纪的检举、投诉、调查材料,发生案件、事故的调查登记资料;

9、公司、法人代表的印章、营业执照、财务印章、合同协议。

二、公司的保密制度:

1、文件、传真、邮件的收发登记、签收、催办、清退、借阅、归档由指定人员处理;

2、凡涉及公司内部秘密的文件资料的报废处理,必须首先碎纸,不准未经碎纸丢弃处理;

3、公司员工本人工作所持有的各种文件、资料、电子文档(便携设备,光盘等),当本人离开办公室外出时,须存放入文件柜或抽屉,不准随意乱放,未经批准,不能复制抄录或携带外出;

4、未经公司领导批准,不得向外界提供公司的任何保密资料;

5、未经公司领导批准,不得向外界提供客户的任何资料;

6、妥善保管好各种财务账册、公司证照、印章。

三、电脑保密措施:

1、不要将机密文件及可能是受保护文件随意存放,文件的存放在分类分目录存放于指定位置;

2、未经领导许可,不要打开或尝试打开他人文件,以避免泄密或文件的损坏;

3、对不明来历的邮件或文件不要查看或尝试打开,以避免计算机中病毒,并尽快请电脑室人员来检查。

4、在一些邮件中的附件中,如果有可疑附件时,请先用杀毒软件详细查杀后再使用,或请电脑室人员处理。

5、不要随便尝试不明的或不熟悉的计算机操作步骤。遇到计算机发生异常而自己无法解决时,就立即通知电脑部门外,请专业人员解决;

6、不要随便安装或使用不明来源的软件或程序。不要随便运行或删除电脑上的文件或程序。

7、收到无意义的邮件后,应及时清除,不要蓄意或恶意地回寄这些邮件。

8、不向他人披露使用密码,防止他人接触计算机系统造成意外。

9、定期更换密码,如发现密码已泄漏,就尽快更换。公司规定是三个月一换。it部门负责监督。定期用杀毒程序扫描计算机系统。对于新的软件、档案或电子邮件,应选用杀毒软件扫描,检查是否带有病毒、有害的程序编码,进行适当的处理后才可开启使用。

10、先以加密技术保护敏感的数据文件,然后才通过公司网络及互联网进行传送。在适当的情况下,利用数定证书为信息及数据加密或加上数字签名。

11、对于不熟的人员,请不要让其随意使用你的计算机。

12、不要随意将公司或个人的文件发送给他人,或打开给他人查看或使用。

13、在计算机使用或管理上如有任何疑问,请询问电脑室人员。

四、公司的保密措施:

1、公司中层以上领导,要自觉带头遵守保密制度。

2、公司各部门要运用各种形式经常对所属员工进行保密教育增强保密观念。

3、全体员工自觉遵守保密基本准则,做到:不该说的机密,绝对不说,不该看的机密,绝对不看(含超越自己职责、业务范围的文件、资料、电子文档)。

4、对员工因不遵守公司规定,造成泄密事件,依照有关法规及公司的奖惩规定,给予纪律制裁.解雇,直至追究刑事责任。

第6篇 海港工程建设项目信息安全管理对策探析

海港工程就是在港口、码头、堤坝等建造于入海口和江河附近的工程设施，以及一些相关的配套设施，比如装卸设施、进港航道、水上导航设施等。海港工程项目的建设，能够更加良好地利用河、海、江、湖等水体资源。为了提高海港工程的建设质量，增强海港工程的建设管理，一定要采取保证信息安全的措施。本文将从移动存储设备管理、纸质文档资料管理、办公设备和工地设备管理三个方面介绍海港工程当中保证信息安全的具体对策。

信息技术的发展对人类社会的影响是多种多样的，体现在各个行业和各个领域。对于海港工程的建设来说，信息安全是极为重要的。信息安全包括信息的保密性、真实性、完整性、安全性等等。实行信息安全管理，能够防止建设项目和建设单位的机密发生泄漏，提高海港工程的建设效率和建设质量，让企业收获更多的经济效益。对于现代的工程建设来说，各种资料、数据信息的载体已经从纸张向移动存储设备转移。各种病毒、木马程序和间谍软件给信息安全带来严重的威胁。为了保护海港工程中的重要信息，必须要采取针对性的对策和措施。

一、对移动存储设备的管理

(一)限制外接。在海港工程各种数据和资料的传递过程中，需要通过外接设备或者网络接口来进行[1]。在这一过程当中，很容易被黑客攻击，对系统进行入侵，窃取海港工程的重要信息和资料。所以在传输信息和资料时，要严格限制外接设备与网络接口的使用。一方面，要对打印机、刻录机、光驱、软驱等常用的外接设备的使用作出限制，实行集中管理与统一使用。这些设备只能用于海港工程的信息传输，不得用于其他用途，对于用不到的设备要及时封禁。平时要有专门的设备管理人员将设备进行编号，分别进行保管，使用时要提前申请，用完后要及时交还。另一方面，要限制内部人员的行为，不得将外接设备和网络接口用于私人目的，不得私自以打印、刻录的形式窃取工程信息，不得违反外接设备和网络接口的使用规范。

(二)刻录和打印。除了加强对外接设备和网络接口进行管理，防止在数据传输过程中发生资料泄露之外，还要加强对内部网络非法打印、光盘刻录等行为的打击[2]。如果由于工作需要进行光盘刻录行为，必须要向信息管理部门提出申请，经过审批以后方可进行。光盘刻录要到专门部门当中去进行，并且由相关部门全程跟踪光盘的流向，避免用于私人目的。对于打印的安全管理，首先要屏蔽用户主机的打印接口，防止用户私自打印。如果需要打印，要向信息管理中心发送申请，取得许可之后，到打印部门进行打印。在打印的时候，要保证资料从电脑传输到打印机的过程中不会被截取，打印之后的文件不得随意阅读或者拿走。信息管理部门要根据文件的价值划分文件的保密级别，分别制定打印规范条款，实行信息的精细化管理。

(三)存储设备。在海港工程项目的建设过程中，很多施工单位和部门之间都需要通过软盘、磁盘、光盘来传递信息。一旦这些载体丢失、被盗、发生损坏，都容易造成信息泄露事故，给企业造成经济损失，甚至泄露企业和国家机密。废弃的软盘、磁盘、光盘等存储设备仍然具有一些磁力特性，一旦发生永久性的磁化反映，就容易造成内部存储信息的泄露[3]。所以，海港工程的信息管理中心要控制废弃存储设备的流通范围，将不再使用的存储设备交给保密机构进行统一的脱密和销毁，还要做好登记和记录。

二、对纸质文档资料的管理

虽然海港工程的建设已经加大了对移动存储设备的依赖程度，但是仍然需要大量的纸质文档来记录、保存、传输各种机密信息。为了确保海港工程建设的信息安全，要采取必要的措施对纸质文档资料进行管理。首先，要制定纸质文档资料的保密条例，防止文档的非法阅读、非法调用和非法复印。其次，在制作纸质文档和纸质文件的时候，草稿纸、复写纸、计算机表格、演算纸等制作过程中的废弃用具也不能随意丢弃，要严格按照保密条例的规定进行销毁，避免资料泄露。最后，对于文档资料的传阅范围和传阅步骤也要进行严格规定。同时，对于各种公共媒体上的报道，也要进行审核，避免涉密信息被公诸于众。

三、对办公设备和工地设备的管理

(一)办公设备的管理。海港工程的信息管理部门要将办公所用的电脑设备划分为涉密计算机和非涉密计算机。涉密计算机必须要进行登记，按照编号分配人员进行专门管理。而非涉密计算机严禁储存涉密信息。信息安全管理要综合从信息技术、安全管理策略、安全管理措施等多个角度来考虑信息管理体制背后所隐藏的风险。信息管理部门需要通过网络软件监控各个计算机的工作状况，尤其是涉密计算机的工作状况，审核项目内部网络和项目内外网络间的数据传输、信息交流。另外，信息管理软件还要记录各个工作人员和用户的操作情况，在发生风险的时候发出警报信号，在发生非法操作的时候能够留下记录，以便工作人员寻求证据。

(二)工地设备的管理。由于信息技术的发达，信息传输手段变得多样化，所以信息发生泄露的可能性也增大，给信息安全管理带来了难度。对此，海港工程的信息管理部门需要提高警惕，防止落入信息系统、设备、部件当中一些人为设置的陷阱。比如，一些从境外引入的信息产品和施工设备，都可能存在“陷阱”，在使用过程中发生信息泄露。这就需要在施工之前对设备进行严格的技术审查和安全审查，并且为这种“陷阱”制定应急处理方案。另外，在海港工程的建设过程中，要采取必要的措施保护项目内部的通讯。比如对通信信号进行加密，或者是对外部信号进行屏蔽等。

四、结论

海港工程的建设，能够更好地利用我国的水体资源，促进沿海地区的经济发展。我国的工程建设已经出现了信息化的趋势，资料、数据、信息的存储和传输已经开始从纸张形式转变成电子形式。为了保护企业和国家的机密，提高海港工程的建设效率和建设质量，必须加强对海港工程的信息安全管理。对此，要成立专门的信息管理部门，加强对移动存储设备、纸质文档资料、办公设备和工地设备的管理，制定信息安全管理的规章制度和具体措施。

第7篇 学校网络信息安全管理应急预案

为确保网络正常使用,充分发挥网络在信息时代的作用,促进教育信息化健康发展,根据国务院《互联网信息服务管理办法》和有关规定,特制订本预案,妥善处理危害网络与信息安全的突发事件,最大限度地遏制突发事件的影响和有害信息的扩散。

一、危害网络与信息安全突发事件的应急响应

1.如在局域网内发现病毒、木马、黑客入侵等

网络管理中心应立即切断局域网与外部的网络连接。如有必要,断开局内各电脑的连接,防止外串和互串。

2.突发事件发生在校园网内或具有外部ip地址的服务器上的,学校应立即切断与外部的网络连接,如有必要,断开校内各节点的连接;突发事件发生在校外租用空间上的,立即与出租商联系,关闭租用空间。

3.如在外部可访问的网站、邮件等服务器上发现有害信息或数据被篡改,要立即切断服务器的网络连接,使得外部不可访问。防止有害信息的扩散。

4.采取相应的措施,彻底清除。如发现有害信息,在保留有关记录后及时删除,(情况严重的)报告市教育局和公安部门。

5.在确保安全问题解决后,方可恢复网络(网站)的使用。

二、保障措施

1.加强领导,健全机构,落实网络与信息安全责任制。建立由主管领导负责的网络与信息安全管理领导小组,并设立安全专管员。明确工作职责,落实安全责任制;bbs、聊天室等交互性栏目要设有防范措施和专人管理。

2.局内网络由网管中心统一管理维护,其他人不得私自拆修设备,擅接终端设备。

3.加强安全教育,增强安全意识,树立网络与信息安全人人有责的观念。安全意识淡薄是造成网络安全事件的主要原因,各校要加强对教师、学生的网络安全教育,增强网络安全意识,将网络安全意识与政治意识、责任意识、保密意识联系起来。特别要指导学生提高他们识别有害信息的能力,引导他们正健康用网。

4.不得关闭或取消防火墙。保管好防火墙系统管理密码。每台电脑安装杀毒软件,并及时更新病毒代码。

第8篇 网络与信息安全管理组织机构设置及工作职责

1：总则

1.1为规范北京爱迪通联科技有限公司（以下简称“公司”）信息安全管理工作，建立自上而下的信息安全工作管理体系，需建立健全相应的组织管理体系，以推动信息安全工作的开展。

2：范围

本管理办法适用于公司的信息安全组织机构和重要岗位的管理。

3：规范性引用文件

下列文件中的条款通过本标准的引用而成为本标准的条款。凡注明日期的应用文件，其随后的所有的修改单或修订版均不适用于本标准（不包括勘误、通知单），然而，鼓励根据本标准达成协议的各方研究是否可以使用这些文件的最新版本。凡未注日期的引用文件，其最新版本适用于本标准

《信息安全技术 信息系统安全保障评估框架》（gb/t 20274.1-2006）

《信息安全技术 信息系统安全管理要求》（gb/t 20269-2006）

《信息安全技术 信息系统安全等级保护基本要求》（gb/t 22239-2008）

4：组织机构

4.1 公司成立信息安全领导小组，是信息安全的最高决策机构，下设办公室，负责信息安全领导小组的日常事务。

4.2 信息安全领导小组负责研究重大事件，落实方针政策和制定总体策略等。职责主要包括：

根据国家和行业有关信息安全的策略、法律和法规，批准公司信息安全总体策略规划、管理规范和技术标准；

确定公司信息安全各有关部门工作职责，知道、监督信息安全工作。

4．3 信息安全领导小组下设两个工作组：信息安全工作组、应急处理工作组。组长均由公司负责人担任。

4.4信息安全工作组的主要职责包括：

4.4.1 贯彻执行公司信息安全领导小组的决议，协调和规范公司信息安全工作；

4.4.2 根据信息安全领导小组的工作部署，对信息安全工作进行具体安排、落实；

4.4.3 组织对重大的信息安全工作制度和技术操作策略进行审查，拟定信息安全总体策略规划，并监督执行；

4.4.4 负责协调、督促各职能部门和有关单位的信息安全工作，参与信息系统工程建设中的安全规划，监督安全措施的执行；

4.4.5 组织信息安全工作检查，分析信息安全总体状况，提出分析报告和安全风险的防范对策；

4.4.6 负责接收各单位的紧急信息安全事件报告，组织进行时间调查，分析原因、涉及范围，并评估安全事件的严重程度，提出信息安全时间防范措施；

4.4.7 及时向信息安全工作领导小组和上级有关部门、单位报告信息安全时间。

4.4.8 跟踪先进的信息安全技术，组织信息安全知识的培训和宣传工作。

4.5应急处理工作组的主要职责包括：

4.5.1 审定公司网络与信息系统的安全应急策略及应急预案；

4.5.2 决定相应应急预案的启动，负责现场指挥，并组织相关人员排除故障，恢复系统；

4.5.3 每年组织对信息安全应急策略和应急预案进行测试和演练。

4.6 公司应指定分管信息的领导负责本单位信息安全管理，并配备信息安全技术人员，有条件的应设置信息安全工作小组或办公室，对公司信息安全领导小组和工作小组负责，落实本单位信息安全工作和应急处理工作。

5： 关键岗位

5.1 设置信息系统的关键岗位并加强管理，配备系统管理员、网络管理员、应用开发管理员、安全审计员、安全保密管理员要求无人各自独立。要害岗位人员必须严格遵守保密法规和有关信息安全的管理规定。

5.2 系统管理员主要职责有：

5.2.1负责系统的运行管理，实施系统安全运行细则；

5.2.2严格用户权限管理，维护系统安全正常运行；

5.2.3认真记录系统安全事项，及时向信息安全人员报告安全事件；

5.2.4对进行系统操作的其他人员予以安全监督。

5.3网络管理员的主要职责有：

5.3.1负责网络的运行管理，实施网络安全策略和安全云心细则；

5.3.2安全配置网络参数，严格控制网络用户访问权限，维护网络安全正常运行；

5．3.3监控网络关键设备、网络端口、网络物理线路，防范黑客入侵，及时向信息安全人员报告安全事件；

5.3.4对操作网络管理功能的其他人员进行安全监督。

5.4应用开发管理员主要职责有：

5．4.1负责在系统开发建设中，严格执行系统安全策略，保证系统安全功能的准确实现；

5.4.2系统投产运行前，完整移交系统相关的安全策略等资料；

5.4.3不得对系统设置“后门”；

5.4.4对系统核心技术保密等。

5.5安全审计员负责对设计系统安全的事件和各类操作人员的行为进行审计和监督，主要职能包括：

5.5.1按操作员证书号进行审计；

5.5.2按操作时间审计；

5.5.3按操作类型审计；

5.5.4事件类型进行审计；

5.5.5日志管理等。

5.6安全保密管理员负责日常安全保密管理活动，主要职责有：

5.6.1监视全网运行和安全告警信息

5.6.2网络审计信息的常规分析

5.6.3安全设备的常规设置和维护

5.6.4执行应急中心指定的具体安全策略

5.6.5向应急管理机构和领导机构报告重大的网络安全时间等。

6 附则

6.1本办法由公司科技部负责解释。

6.2本办法自发布之日起实施。

第9篇 iso27000信息安全管理体系审核员工作职责与职位要求

职位描述：

工作职责：

1.执行公司安排的审核任务，及时向相关人员反馈审核工作中出现的各种问题，并积极配合解决问题；

2.在审核工作中坚持审核原则，遵守审核员的行为规范和公司的各项规定，注意自己的言行，维护公司利益和形象；

3.及时完成审核资料的准备、与客户在审核前的沟通、督促客户整改不符合项、根据认证决定工作人员的意见修改和完善审核资料等工作；

4.及时完成公司安排的技术文件的编制工作；

5.积极参加公司安排的现场见证工作；

6.在审核中了解客户需求并向相关部门反馈；

7.积极参加公司安排的有关培训工作；

8.提供与审核相关的工作及公司其他各项工作的建议；

9.主动学习，持续提高自身的专业素质和审核技能，为受审核方提供有价值的意见和建议，不断提升审核工作质量。

职位要求：

1.本科及以上学历；

2.具备信息安全、密码学、计算机科学与技术、计算机应用、电子信息科学与技术、电子信息技术应用、人工智能、计算数学与应用数学、自动化、通信、电气等相关的专业学历；

3.已获得信息安全领域专业注册资格；

4.至少2年与信息安全有关的管理、技术研究与开发服务、测评、教学、标准制定等工作；

5.国家管理体系审核员注册准则中规定的各级别审核员应具备的知识、技能和个人素质；

6.尊重和维护公司的形象、声誉和利益；

7.自我激励，自我完善，具有良好的沟通能力及较强的团队协作精神；

8.能满足经常性出差需要。

第10篇 数据中心信息安全管理及管控要求

随着在世界范围内,信息化水平的不断发展,数据中心的信息安全逐渐成为人们关注的焦点,世界范围内的各个机构、组织、个人都在探寻如何保障信息安全的问题。英国、美国、挪威、瑞典、芬兰、澳大利亚等国均制定了有关信息安全的本国标准,国际标准化组织(iso)也发布了iso17799、iso13335、iso15408等与信息安全相关的国际标准及技术报告。目前,在信息安全管理方面,英国标准iso27000:2005已经成为世界上应用最广泛与典型的信息安全管理标准,它是在bsi/disc的bdd/2信息安全管理委员会指导下制定完成。

iso27001标准于1993年由英国贸易工业部立项,于1995年英国首次出版bs 7799-1:1995《信息安全管理实施细则》,它提供了一套综合的、由信息安全最佳惯例组成的实施规则,其目的是作为确定工商业信息系统在大多数情况所需控制范围的唯一参考基准,并且适用于大、中、小组织。1998年英国公布标准的第二部分《信息安全管理体系规范》,它规定信息安全管理体系要求与信息安全控制要求,它是一个组织的全面或部分信息安全管理体系评估的基础,它可以作为一个正式认证方案的根据。iso27000-1与iso27000-2经过修订于1999年重新予以发布,1999版考虑了信息处理技术,尤其是在网络和通信领域应用的近期发展,同时还非常强调了商务涉及的信息安全及信息安全的责任。2000年12月,iso27000-1:1999《信息安全管理实施细则》通过了国际标准化组织iso的认可,正式成为国际标准iso/iec17799-1:2000《信息技术-信息安全管理实施细则》。2002年9月5日,iso27000-2:2002草案经过广泛的讨论之后,终于发布成为正式标准,同时iso27000-2:1999被废止。现在,iso27000:2005标准已得到了很多国家的认可,是国际上具有代表性的信息安全管理体系标准。许多国家的政府机构、银行、证券、保险公司、电信运营商、网络公司及许多跨国公司已采用了此标准对信息安全进行系统的管理,数据中心(idc)应逐步建立并完善标准化的信息安全管理体系。

一、 数据中心信息安全管理总体要求

1、信息安全管理架构与人员能力要求

1.1信息安全管理架构

idc在当前管理组织架构基础上,建立信息安全管理委员会,涵盖信息安全管理、应急响应、审计、技术实施等不同职责,并保证职责清晰与分离,并形成文件。

1.2人员能力

具备标准化 信息安全管理体系内部审核员、cisp(certified information security professional,国家注册信息安全专家)等相关资质人员。5星级idc至少应具备一名合格的标准化信息安全管理内部审核员、一名标准化 主任审核员。4星级idc至少应至少具备一名合格的标准化信息安全管理内部审核员

2、信息安全管理体系文件要求,根据idc业务目标与当前实际情况,建立完善而分层次的idc信息安全管理体系及相应的文档,包含但不限于如下方面:

2.1信息安全管理体系方针文件

包括idc信息安全管理体系的范围,信息安全的目标框架、信息安全工作的总方向和原则,并考虑idc业务需求、国家法律法规的要求、客户以及合同要求。

2.2风险评估

内容包括如下流程:识别idc业务范围内的信息资产及其责任人;识别资产所面临的威胁;识别可能被威胁利用的脆弱点;识别资产保密性、完整性和可用性的丧失对idc业务造成的影响;评估由主要威胁和脆弱点导致的idc业务安全破坏的现实可能性、对资产的影响和当前所实施的控制措施;对风险进行评级。

2.3风险处理

内容包括:与idc管理层确定接受风险的准则,确定可接受的风险级别等;建立可续的风险处理策略:采用适当的控制措施、接受风险、避免风险或转移风险;控制目标和控制措施的选择和实施,需满足风险评估和风险处理过程中所识别的安全要求,并在满足法律法规、客户和合同要求的基础上达到最佳成本效益。

2.4文件与记录控制

明确文件制定、发布、批准、评审、更新的流程;确保文件的更改和现行修订状态的标识、版本控制、识别、访问控制有完善的流程;并对文件资料的传输、贮存和最终销毁明确做出规范。

记录控制内容包括:保留信息安全管理体系运行过程执行的记录和所有发生的与信息安全有关的重大安全事件的记录;记录的标识、贮存、保护、检索、保存期限和处置所需的控制措施应形成文件并实施。

2.5内部审核

idc按照计划的时间间隔进行内部isms审核,以确定idc的信息安全管理的控制目标、控制措施、过程和程序符标准化标准和相关法律法规的要求并得到有效地实施和保持。五星级idc应至少每年1次对信息安全管理进行内部审核。四星级idc应至少每年1次对信息安全管理进行内部审核。

2.6纠正与预防措施

idc建立流程,以消除与信息安全管理要求不符合的原因及潜在原因,以防止其发生,并形成文件的纠正措施与预防措施程序无

2.7控制措施有效性的测量

定义如何测量所选控制措施的有效性;规定如何使用这些测量措施,对控制措施的有效性进行测量(或评估)。

2.8管理评审

idc管理层按计划的时间间隔评审内部信息安全管理体系,以确保其持续的适宜性、充分性和有效性,最终符合idc业务要求。

五星级idc管理层应至少每年1次对idc的信息安全管理体系进行评审四星级idc管理层应至少每年1次对idc的信息安全管理体系进行评审。

2.9适用性声明

适用性声明必须至少包括以下3项内容: idc所选择的控制目标和控制措施,及其选择的理由;当前idc实施的控制目标和控制措施;标准化附录a中任何控制目标和控制措施的删减,以及删减的正当性理由。

2.10业务连续性

过业务影响分析,确定idc业务中哪些是关键的业务进程,分出紧急先后次序; 确定可以导致业务中断的主要灾难和安全失效、确定它们的影响程度和恢复时间; 进行业务影响分析,确定恢复业务所需要的资源和成本,决定对哪些项目制作业务连续性计划(bcp)/灾难恢复计划(drp)。

2.11其它相关程序

另外,还应建立包括物理与环境安全、信息设备管理、新设施管理、业务连续性管理、灾难恢复、人员管理、第三方和外包管理、信息资产管理、工作环境安全管理、介质处理与安全、系统开发与维护、法律符合性管理、文件及材料控制、安全事件处理等相关流程与制度。

二、信息安全管控要求

1、安全方针

信息安全方针文件与评审建立idc信息安全方针文件需得到管理层批准、发布并传达给所有员工和外部相关方。

至少每年一次或当重大变化发生时进行信息安全方针评审。

2、信息安全组织

2.1 内部组织

2.1.1信息安全协调、职责与授权

信息安全管理委员会包含idc相关的不同部门的代表;所有的信息安全职责有明确成文的规定;对新信息处理设施,要有管理授权过程。

2.1.2保密协议

idc所有员工须签署保密协议,保密内容涵盖idc内部敏感信息;保密协议条款每年至少评审一次。

2.1.3权威部门与利益相关团体的联系

与相关权威部门(包括,公安部门、消防部门和监管部门)建立沟通管道;与安全专家组、专业协会等相关团体进行沟通。

2.1.4独立评审

参考“信息安全管理体系要求”第5和第8条关于管理评审、内部审核的要求,进行独立的评审。

审核员不能审核评审自己的工作;评审结果交管理层审阅。

2.2 外方管理

2.2.1外部第三方的相关风险的识别

将外部第三方(设备维护商、服务商、顾问、外包方临时人员、实习学生等)对idc信息处理设施或信息纳入风险评估过程,考虑内容应包括:需要访问的信息处理设施、访问类型(物理、逻辑、网络)、涉及信息的价值和敏感性,及对业务运行的关键程度、访问控制等相关因素。

建立外部第三方信息安全管理相关管理制度与流程。

2.2.2客户有关的安全问题

针对客户信息资产的保护,根据合同以及相关法律、法规要求,进行恰当的保护。

2.2.3处理第三方协议中的安全问题

涉及访问、处理、交流(或管理)idc及idc客户的信息或信息处理设施的第三方协议,需涵盖所有相关的安全要求。

3、信息资产管理

3.1 资产管理职责

3.1.1资产清单与责任人

idc对所有信息资产度进行识别,将所有重要资产都进行登记、建立清单文件并加以维护。

idc中所有信息和信息处理设施相关重要资产需指定责任人。

3.1.2资产使用

指定信息与信息处理设施使用相关规则,形成了文件并加以实施。

3.2 信息资产分类

3.2.1资产分类管理

根据信息资产对idc业务的价值、法律要求、敏感性和关键性进行分类,建立一个信息分类指南。

信息分类指南应涵盖外来的信息资产,尤其是来自客户的信息资产。

3.2.2信息的标记和处理

按照idc所采纳的分类指南建立和实施一组合适的信息标记和处理程序。

4、人力资源安全

这里的人员包括idc雇员、承包方人员和第三方等相关人员。

4.1信息安全角色与职责

人员职责说明体现信息安全相关角色和要求。

4.2背景调查

人员任职前根据职责要求和岗位对信息安全的要求,采取必要的背景验证。

4.3雇用的条款和条件

人员雇佣后,应签署必要的合同,明确雇佣的条件和条款,并包含信息安全相关要求。

4.4信息安全意识、教育和培训

入职新员工培训应包含idc信息安全相关内容。

至少每年一次对人员进行信息安全意识培训。

4.5安全违纪处理

针对安全违规的人员,建立正式的纪律处理程序。

4.6雇佣的终止与变更

idc应清晰规定和分配雇用终止或雇用变更的职责;雇佣协议终止于变更时,及时收回相关信息资产,并调整或撤销相关访问控制权限。

5、物理与环境安全

5.1 安全区域

5.1.1边界安全与出入口控制

根据边界内资产的安全要求和风险评估的结果对idc物理区域进行分区、分级管理,不同区域边界与出入口需建立卡控制的入口或有人管理的接待台。

入侵检测与报警系统覆盖所有门窗和出入口,并定期检测入侵检测系统的有效性。

机房大楼应有7×24小时的专业保安人员,出入大楼需登记或持有通行卡。

机房安全出口不少于两个,且要保持畅通,不可放置杂物。

5星级idc:出入记录至少保存6个月,视频监控至少保存1个月。

4星级idc:出入记录至少保存6个月,视频监控至少保存1个月。

5.1.2 idc机房环境安全

记录访问者进入和离开idc的日期和时间,所有的访问者要需要经过授权。

建立访客控制程序,对服务商等外部人员实现有效管控。

所有员工、服务商人员和第三方人员以及所有访问者进入idc要佩带某种形式的可视标识,已实现明显的区分。外部人员进入idc后,需全程监控。

5.1.3防范外部威胁和环境威胁

idc对火灾、洪水、地震、爆炸、社会动荡和其他形式的自然或人为灾难引起的破坏建立足够的防范控制措施;危险或易燃材料应在远离idc存放;备份设备和备份介质的存放地点应与idc超过10公里的距离。

机房内应严格执行消防安全规定,所有门窗、地板、窗帘、饰物、桌椅、柜子等材料、设施都应采用防火材料。

5.1.4公共访问区和交接区

为了避免未授权访问,访问点(如交接区和未授权人员可以进入的其它地点)需进行适当的安全控制,设备货物交接区要与信息处理设施隔开。

5.2 设备安全

5.2.1设备安全

设备尽量安置在可减少未授权访问的适当地点;对于处理敏感数据的信息处理设施,尽量安置在可限制观测的位置;对于需要特殊保护的设备,要进行适当隔离;对信息处理设施的运行有负面影响的环境条件(包括温度和湿度),要进行实时进行监视。

5.2.2支持性设备安全

支持性设施(例如电、供水、排污、加热/通风和空调等)应定期检查并适当的测试以确保他们的功能,减少由于他们的故障或失效带来的风险。

实现多路供电,以避免供电的单一故障点。

5.2.3线缆安全

应保证传输数据或支持信息服务的电源布缆和通信布缆免受窃听或损坏。

电源电缆要与通信电缆分开;各种线缆能通过标识加以区分,并对线缆的访问加以必要的访问控制。

线缆标签必须采用防水标签纸和标签打印机进行正反面打印(或者打印两张进行粘贴),标签长度应保证至少能够缠绕电缆一圈或一圈半,打印字符必须清晰可见,打印内容应简洁明了,容易理解。标签的标示必须清晰、简洁、准确、统一,标签打印应当前后和上下排对齐。

5.2.4设备维护

设备需按照供应商推荐的服务时间间隔和说明书,进行正确维护;设备维护由已授权人员执行,并保存维护记录1年。

5.2.5组织场所外的设备安全

应对组织场所的设备采取安全措施,要考虑工作在组织场所以外的不同风险。

5.2.6设备的安全处置或再利用

包含储存介质的设备的所有项目应进行检查,以确保在销毁之前,任何敏感信息和注册软件已被删除或安全重写。

5.2.7资产的移动

设备、信息或软件在授权之前不应带出组织场所,设置设备移动的时间限制,并在返还时执行符合性检查;对设备做出移出记录,当返回时,要做出送回记录。

6、通信和操作管理

6.1 运行程序和职责

6.1.1运行操作程序文件化

运行操作程序文件化并加以保持,并方便相关使用人员的访问。

6.1.2变更管理

对信息处理设施和系统的变更是否受控,并考虑:重大变更的标识和记录;变更的策划和测试;对这种变更的潜在影响的评估,包括安全影响;对建议变更的正式批准程序;向所有有关人员传达变更细节;返回程序,包括从不成功变更和未预料事态中退出和恢复的程序与职责。

6.1.3职责分离

各类责任及职责范围应加以分割,以降低未授权或无意识的修改或者不当使用组织资产的机会。

6.1.4开发设施、测试设施和运行设施的分离

开发、测试和运行设施应分离,以减少未授权访问或改变运行系统的风险。

6.2 第三方服务交付管理

6.2.1服务交付

应确保第三方实施、运行和保持包含在第三方服务交付协议中的安全控制措施、服务定义和交付水准。

idc应确保第三方保持足够的服务能力和可使用的计划以确保商定的服务在大的服务故障或灾难后继续得以保持。

6.2.2第三方服务的监视和评审

应定期监视和评审由第三方提供的服务、报告和记录,审核也应定期执行,并留下记录。

6.2.3第三方服务的变更管理

应管理服务提供的变更,包括保持和改进现有的信息安全方针策略、程序和控制措施,要考虑业务系统和涉及过程的关键程度及风险的再评估

6.3系统规划和验收

6.3.1容量管理

idc各系统资源的使用应加以监视、调整,并做出对于未来容量要求的预测,以确保拥有所需的系统性能。

系统硬件系统环境的功能、性能和容量要满足idc业务处理的和存贮设备的平均使用率宜控制在75%以内。

网络设备的处理器和内存的平均使用率应控制在75%以内。

6.3.2系统验收

建立对新信息系统、升级及新版本的验收准则,并且在开发中和验收前对系统进行适当的测试。

6.4防范恶意代码和移动代码

6.4.1对恶意代码的控制措施

实施恶意代码的监测、预防和恢复的控制措施,以及适当的提高用户安全意识的程序

6.4.2对移动代码的控制措施

当授权使用移动代码时,其配置确保授权的移动代码按照清晰定义的安全策略运行,应阻止执行未授权的移动代码。

6.5 备份

6.5.1备份

应按照客户的要求以及已设的备份策略,定期备份和测试信息和软件。各个系统的备份安排应定期测试以确保他们满足业务连续性计划的要求。对于重要的系统,备份安排应包括在发生灾难时恢复整个系统所必需的所有系统信息、应用和数据。

应确定最重要业务信息的保存周期以及对要永久保存的档案拷贝的任何要求。

6.6 网络安全管理

6.6.1网络控制

为了防止使用网络时发生的威胁和维护系统与应用程序的安全,网络要充分受控;网络的运行职责与计算机系统的运行职责实现分离;敏感信息在公用网络上传输时,考虑足够的加密和访问控制措施。

6.6.2网络服务的安全

网络服务(包括接入服务、私有网络服务、增值网络和受控的网络安全解决方案,例如防火墙和入侵检测系统等)应根据安全需求,考虑如下安全控制措施:为网络服务应用的安全技术,例如认证、加密和网络连接控制;按照安全和网络连接规则,网络服务的安全连接需要的技术参数;若需要,网络服务使用程序,以限制对网络服务或应用的访问。

6.7 介质管理

6.7 .1可移动介质的管理

建立适当的可移动介质的管理程序,规范可移动介质的管理。

可移动介质包括磁带、磁盘、闪盘、可移动硬件驱动器、cd、dvd和打印的介质

6.7 .2介质的处置

不再需要的介质,应使用正式的程序可靠并安全地处置。保持审计踪迹,保留敏感信息的处置记录。

6.7 .3信息处理程序

建立信息的处理及存储程序,以防止信息的未授权的泄漏或不当使用。

包含信息的介质在组织的物理边界以外运送时,应防止未授权的访问、不当使用或毁坏。

6.8 信息交换

6.8.1信息交换策略和程序

为了保护通过使用各种类型的通信设施进行信息交换,是否有正式的信息交换方针、程序和控制措施。

6.8.2外方信息交换协议

在组织和外方之间进行信息/软件交换时,是否有交换协议。

6.8.3电子邮件、应用系统的信息交换与共享

建立适当的控制措施,保护电子邮件的安全;为了保护相互连接的业务信息系统的信息,开发与实施相关的方针和程序。

6.9 监控

6.9.1审计日志

审计日志需记录用户活动、异常事件和信息安全事件;为了帮助未来的调查和访问控制监视,审计日志至少应保存1年。

6.9.2监视系统的使用

应建立必要的信息处理设施的监视使用程序,监视活动的结果应定期评审。

6.9.3日志信息的保护

记录日志的设施和日志信息应加以保护,以防止篡改和未授权的访问。

6.9.4管理员和操作员日志

系统管理员和系统操作员活动应记入日志。系统管理员与系统操作员无权更改或删除日志。

6.9.5故障日志

与信息处理或通信系统的问题有关的用户或系统程序所报告的故障要加以记录、分析,并采取适当的措施。

6.9.6时钟同步

一个安全域内的所有相关信息处理设施的时钟应使用已设的精确时间源进行同步。

5星级idc各计算机系统的时钟与标准时间的误差不超过10秒。

4星级idc各计算机系统的时钟与标准时间的误差不超过25秒。

7、访问控制

7.1用户访问管理

应有正式的用户注册及注销程序,来授权和撤销对所有信息系统及服务的访问。

应限制和控制特殊权限的分配及使用;应通过正式的管理过程控制口令的分配,确保口令安全;管理层应定期使用正式过程对用户的访问权进行复查。

7.2用户职责

建立指导用户选择和使用口令的指南规定,使用户在选择及使用口令时,遵循良好的安全习惯。

用户应确保无人值守的用户设备有适当的保护,防止未授权的访问。

建立清空桌面和屏幕策略,采取清空桌面上文件、可移动存储介质的策略和清空信息处理设施屏幕的策略,idc并定期组织检查效果。

7.3网络访问控制

建立访问控制策略,确保用户应仅能访问已获专门授权使用的服务。

应使用安全地鉴别方法以控制远程用户的访问,例如口令+证书。

对于诊断和配置端口的物理和逻辑访问应加以控制,防止未授权访问。

根据安全要求,应在网络中划分安全域,以隔离信息服务、用户及信息系统;对于共享的网络,特别是越过组织边界的网络,用户的联网能力应按照访问控制策略和业务应用要求加以限制,并建立适当的路由控制措施。

7.4操作系统访问控制

建立一个操作系统安全登录程序,防止未授权访问;所有用户应有唯一的、专供其个人使用的标识符(用户id),应选择一种适当的鉴别技术证实用户所宣称的身份。

可能超越系统和应用程序控制的管理工具的使用应加以限制并严格控制。

不活动会话应在一个设定的休止期后关闭;使用联机时间的限制,为高风险应用程序提供额外的安全。

7.5应用和信息访问控制

用户和支持人员对信息和应用系统功能的访问应依照已确定的访问控制策略加以限制。

敏感系统应考虑系统隔离,使用专用的(或孤立的)计算机环境。

7.6移动计算和远程工作

应有正式策略并且采用适当的安全措施,以防范使用移动计算和通信设施时所造成的风险。

通过网络远程访问idc,需在通过授权的情况下对用户进行认证并对通信内容进行加密。

8、信息系统获取、开发和维护

8.1安全需求分析和说明

在新的信息系统或增强已有信息系统的业务需求陈述中,应规定对安全控制措施的要求。

8.2信息处理控制

输入应用系统的数据应加以验证,以确保数据是正确且恰当的。

验证检查应整合到应用中,以检查由于处理的错误或故意的行为造成的信息的讹误。

通过控制措施,确保信息在处理过程中的完整性,并对处理结果进行验证。

8.3密码控制

应开发和实施使用密码控制措施来保护信息的策略,并保证密钥的安全使用。

8.4系统文件的安全

应有程序来控制在运行系统上安装软件;试数据应认真地加以选择、保护和控制;应限制访问程序源代码。

8.5开发过程和支持过程中的安全

建立变更控制程序控制变更的实施;当操作系统发生变更后,应对业务的关键应用进行评审和测试,以确保对组织的运行和安全没有负面影响。

idc应管理和监视外包软件的开发。

8.6技术脆弱性管理

应及时得到现用信息系统技术脆弱性的信息,评价组织对这些脆弱性的暴露程度,并采取适当的措施来处理相关的风险。

9、信息安全事件管理

9.1报告信息安全事态和弱点

建立正式的idc信息安全事件报告程序,并形成文件。

建立适当的程序,保证信息安全事态应该尽可能快地通过适当的管理渠道进行报告,要求员工、承包方人员和第三方人员记录并报告他们观察到的或怀疑的任何系统或服务的安全弱点。

9.2职责和程序

应建立管理职责和架构,以确保能对信息安全事件做出快速、有效和有序的响应。

9.3对信息安全事件的总结和证据的收集

建立一套机制量化和监视信息安全事件的类型、数量和代价,并且当一个信息安全事件涉及到诉讼(民事的或刑事的),需要进一步对个人或组织进行起诉时,应收集、保留和呈递证据,以使证据符合相关诉讼管辖权。

10、业务连续性管理

10.1业务连续性计划

建立和维持一个用于整个组织的业务连续性计划,通过使用预防和恢复控制措施,将对组织的影响减少到最低,并从信息资产的损失中恢复到可接受的程度。

10.2业务连续性和风险评估

通过恰当的程序,识别能引起idc业务过程中断的事态(例如,设备故障、人为错误、盗窃、火灾、自然灾害和恐怖行为等),这种中断发生的概率和影响,以及它们对信息安全所造成的后果。

业务资源与过程责任人参与业务连续性风险评估。

10.3制定和实施包括信息安全的连续性计划

建立业务运行恢复计划,以使关键业务过程在中断或发生故障后,能在规定的水准与规定的时间范围恢复运行

10.4测试、维护和再评估业务连续性计划

业务连续性计划应定期测试和更新,以确保其及时性和有效性。

定期测试及更新业务连续性计划(bcp)/灾难恢复计划(drp),并对员工进行培训;定期对idc的风险进行审核和管理评审,及时发现潜在的灾难和安全失效。

5星级idc:至少每年一次测试及更新;bcp/drp,并对员工进行培训; 至少每年一次对idc的风险进行审核和管理评审,及时发现潜在的灾难和安全失效。

4星级idc:至少每年一次测试及更新;bcp/drp,并对员工进行培训;至少每年一次对idc的风险进行审核和管理评审,及时发现潜在的灾难和安全失效。

11、符合性

11.1可用法律、法规的识别

idc所有相关的法令、法规和合同要求,以及为满足这些要求组织所采用的方法,应加以明确地定义、收集和跟踪,并形成文件并保持更新。

11.2知识产权

应实施适当的程序,以确保在使用具有知识产权的材料和具有所有权的软件产品时,符合法律、法规和合同的要求。

11.3保护组织的记录

应防止重要的记录遗失、毁坏和伪造,以满足法令、法规、合同和业务的要求。

11.4技术符合性检查

定期地对信息系统进行安全实施标准符合检查,由具有胜任能力的已授权的人员执行,或在他们的监督下执行。

11.5数据保护和个人信息的隐私

应依照相关的法律、法规和合同条款的要求,确保数据保护和隐私。

第11篇 信息安全管理办法

第一章    总则

第一条 为加强邵阳市农村商业银行（以下简称农商行）信息系统信息安全、硬件设备、安全运行、故障申报、日常检查、网络安全等管理，防范和化解信息系统的运行风险，杜绝各类事故和案件的发生，根据《湖南省农村信用社信息安全管理办法》、《中华人民共和国信息系统安全保护条例》、《金融机构计算机信息系统安全保护工作暂行规定》、《商业银行信息科技风险管理指引》等规定，结合我农商行实际情况，特制定本办法。

第二条 本办法适用所有使用邵阳市农商行网络或信息资源的其他外部机构和个人，包括农商行辖内网点所有员工，包括在编合同制员工、经批准在岗的短期合同制员工。

第三条 信息系统信息安全工作坚持以预防为主、综合治理、人员防范与技术防范相结合和的原则、按照“谁主管谁负责，谁运行谁负责，谁使用谁负责”的原则，逐级落实单位与个人信息安全责任制。

第四条 信息系统系统信息安全管理员，应当保障信息系统及配套设备的安全、运行环境的安全和信息的安全。

第五条 任何个人不得利用信息系统从事危害国家利益和集体利益的活动、不得危害计算机信息系统的安全。

第二章 组织保障

第六条 农商行设立科技信息部，由科技信息部归口管理信息安全工作，并明确其信息安全管理职责。

第七条 根据省联社要求，农商行成立由农商行领导和各职能部门主要负责人组成信息安全工作领导小组，领导小组办公室设农商行科技信息部，负责协调辖内信息安全管理工作，决定辖内信息安全重大事宜。 第八条 农商行科技信息部门设立信息安全岗位，配备专职信息安全管理人员。负责邵阳农商行信息安全管理，建立完善信息安全管理办法，并组织实施；对农商行信息安全管理工作进行指导和检查督促。

第九条 农商行各支行及各职能部门主要负责人为本部门信息安全第一责任人，同时均应指定至少一名部门信息安全员，具体负责本部门的信息安全管理，协同科技信息部开展信息安全管理工作。

第三章    人员管理

农商行工作人员根据不同的岗位或工作范围，履行相应的信息安全保障职责。科技信息部为农商行信息安全保护专职部门，设信息安全管理员、系统维护管理员、技术维护员等岗位负责全辖信息系统安全运行。各部门及支行要设立信息系统安全管理领导小组，设立部门信息安全员。

第一节 信息安全管理人员

第十条 农商行选派政治思想过硬、具有较高计算机水平的人员从事信息安全管理工作。凡是因违反国家法律法规和湖南省农村信用社有关规定受到过处罚或处分的人员，不得从事此项工作。

第十一条 信息安全管理人员应具有从事金融机构计算机工作三年以上经历，具有本科以上学历。

第十二条 信息安全管理人员必须应经过省联社组织的专业培训与审核，培训与审核合格后方可上岗。上岗后，每年至少参加一次信息安全专业培训。 第十三条 农商行信息安全管理人员在如下职责范围内开展本单位信息安全管理工作： （一）组织落实上级信息安全管理规定，制定信息安全管理办法，协调部门计算机安全员工作，监督检查信息安全保障工作。 （二）审核信息化建设项目中的安全方案，组织实施信息安全保障项目建设，维护、管理信息安全专用设施。 （三）检测网络和信息系统的安全运行状况，检查运行操作、备份、机房环境与文档等安全管理情况，发现问题，及时通报和预警，并提出整改意见。统计分析和协调处置信息安全事件。 （四）定期组织信息安全宣传教育活动，开展信息安全检查、评估与培训工作。 第十四条 信息安全管理人员在履行职责时，确因工作需要查询相关涉密信息，须经本部门负责人同意后向本单位保密主管部门提交申请，获得批准后方可查询。 第十五条 信息安全管理人员实行备案管理办法。信息安全管理人员的配备和变更情况应及时报上一级科技信息部备案。

第十六条 信息安全管理人员调离岗位，必须严格办理调离手续，承诺其调离后的保密义务。涉及农村信用社业务核心技术的计算机安全人员调离单位，必须进行离岗审计，并在规定的脱密期后，方可调离。

第二节 部门信息安全员

第十七条 各部门和各级支行应指派素质好、较熟悉计算机知识的人员担任部门信息安全员，并报农商行科技信息部备案。如有变更应做好交接工作，并及时通报科技信息部。 第十八条 部门信息安全员配合农商行信息安全管理人员工作，并参加各项信息安全技能培训。 第十九条 部门信息安全员在如下职责范围内开展工作： （一）负责本部门计算机病毒防治工作，监督检查本部门客户端安全管理情况。 （二）负责提出本部门信息安全保障需求，及时与农商行信息安全管理人员沟通信息安全信息。 （三）负责本部门国际互联网使用和接入安全管理，组织开展本部门信息安全自查，协助科技信息部完成对本部门的信息安全检查工作。

第三节 技术支持人员

第二十条 本办法所称技术支持人员，是指参与邵阳农商行网络、信息系统、机房环境等建设、运行、维护的内部技术支持人员和外包服务人员。 第二十一条 农商行内部技术支持人员在履行网络和信息系统建设和日常运行维护职责过程中，应承担如下安全义务： （一）不得对外泄露或引用工作中触及的任何敏感信息。严格权限访问，未经批准不得擅自改变系统设置或修改系统生成的任何业务数据。 （二）主动检查和监控生产系统安全运行状况，发现安全隐患或故障及时报告本部门主管领导，并及时响应、处置。 （三）严格操作管理、测试管理、应急管理、配置管理、变更管理、档案管理等工作办法，做好数据备份工作。 第二十二条 外部技术支持人员应严格履行外包服务合同（协议）的各项安全承诺。提供技术服务期间，严格遵守湖南省农村信用社相关安全规定与操作规程，关键操作应经授权，并有农商行内部员工在场。不得拷贝或带走任何配置参数信息或业务数据，不得对外泄露或引用任何工作信息。

第四节 业务系统操作人员

第二十三条 本办法所称业务系统操作人员是指直接操作业务系统进行业务处理的业务工作人员。 第二十四条 业务系统操作人员应承担如下安全义务： （一）严格规程操作，防止误操作。定期修改操作密码并妥善保管，按需、适时进行必要的数据备份。 （二）发现业务系统出现异常及时报告科技信息部。 （三）不得在操作终端上安装与业务系统无关的软件和硬件，不得擅自修改业务系统及其运行环境参数设置。 第二十五条 业务系统操作应按照“权限分散、不得交叉任职”原则，严格进行操作角色划分和授权管理。技术支持人员不得兼任业务系统操作人员。

第五节 一般计算机用户

第二十六条 本办法所称一般计算机用户是指使用计算机设备的所有人员。 第二十七条 一般计算机用户应承担如下安全义务： （一）及时更新所用计算机的病毒防治软件和安装补丁程序，自觉接受本部门信息安全员的指导与管理。 （二）不得安装与办公和业务处理无关的其他计算机软件和硬件，不得修改系统和网络配置参数。 （三）未经科技信息部检测和授权，不得将接入湖南省农村信用社内部网络的所用计算机转接入国际互联网；不得将便携式计算机接入湖南省农村信用社内部网络；不得随意将个人计算机带入机房或私自拷贝任何信息。

第六节 信息系统要害岗位人员

第二十八条 本办法所称信息系统要害岗位人员，是指与重要信息系统直接相关的系统管理员、网络管理员、系统开发人员、系统维护员等内部技术支持人员和重要业务操作等岗位人员。

第二十九条 本办法所称重要信息系统是指湖南省农村信用社面向客户的业务处理类、渠道类和涉及客户风险管理等业务的管理类信息系统，以及支撑系统运行的机房和网络等基础设施。

第三十条 要害岗位人员上岗前必须经农商行人事部门进行政治素质审查，技术部门进行业务技能考核，合格者方可上岗。

第三十一条 要害岗位人员上岗必须实行“权限分散、不得交叉覆盖”的原则，按照“必需知道”和“最小授权”原则，严格设定各用户的操作权限。

第三十二条 对要害岗位人员应实行年度强制休假办法和定期考查办法，并进行必要的安全教育和培训。

第三十三条 要害岗位人员调离岗位，必须严格办理调离手续，承诺其调离后的保密义务。涉及信用社业务保密信息的要害岗位人员调离单位，必须进行离岗审计，在规定的脱密期后，方可调离。

第三十四条 要害岗位人员离岗后，必须即刻更换操作密码或注销用户。

第三十五条 系统管理员安全责任

（一）负责系统的运行管理，实施系统安全运行细则；

（二）严格用户权限管理，维护系统安全正常运行；

（三）认真记录系统安全事项，及时向计算机安全人员报告安全事件；

（四）对进行系统操作的其他人员予以安全监督。

第三十六条 系统开发员安全责任

（一）系统开发建设中，应严格执行系统安全策略，保证系统安全功能的准确实现；

（二）系统投产运行前，应完整移交系统源代码和相关涉密资料；

（三）不得对系统设置后门；

（四）对系统核心技术保密。

第三十七条 系统维护员安全责任

（一）负责系统维护，及时解除系统故障，确保系统正常运行；

（二）不得擅自改变系统参数配置；

（三）不得安装与系统无关的其他计算机程序；

（四）维护过程中，发现安全漏洞应及时报告计算机安全人员。

第三十八条 各要害岗位人员必须严格遵守保密法规和有关信息安全管理规定。

第四章 机房环境和设备资产管理

第一节 机房环境安全管理

第三十九条 本办法所称机房是指信息系统等主要设备放置、运行场所以及供配电、通信、空调、消防、监控等配套环境设施。 第四十条 农商行机房的规划、建设、改造、运行、维护由科技信息部负责。 第四十一条 农商行机房应符合国家计算机机房有关标准、监管部门有关要求和省联社有关规定，满足下列基本安全要求：

（一）机房周围100米内不得存在危险建筑物，如加油站、煤气站等。

（二）机房应配备防电磁干扰、防电磁泄漏、防静电、防水、防盗、防鼠害等设施。

（三）机房应安装门禁系统、防雷系统、监视系统、消防系统、报警系统。

（四）机房应设专用的供电系统，配备必要的ups和发电机。

第四十二条 机房建设、改造的方案应报上市网络中心备案。必要时，由市网络中心会同财务、保卫等部门进行审核。 第四十三条 机房建设或改造应选择具有国家建筑装修装饰工程专业承包三级以上资质、两年以上从事计算机机房设计与施工经验的专业化公司。重要机房建设或改造工程应引入监理办法。

第四十四条 计算机机房实行分区管理原则。核心区实行24小时连续监控，生产区实行工作时间连续监控，辅助区实施联动监控。

第四十五条 监控设备的安装应符合安全保密原则，确保监控的安全规范运作，防止监控信息的泄密。

第四十六条 农商行机房应建立机房设施与场地环境集中监控系统，对机房空调、消防、不间断电源（ups）、供配电、门禁系统等重要设施实行全面监控，通过技术和管理手段，确保计算机机房及配套设施安全。 第四十七条 农商行机房投入使用前，应经过当地公安消防部门的消防验收和本单位科技、保卫部门组织的验收，并出具明确结论的验收报告。未经验收或验收不合格的机房均不得投入使用。 第四十八条 农商行建立健全机房管理办法，并指派专人担任机房管理员，落实机房安全责任制。机房管理员应经过相关专业培训，熟知机房各类设备的分布和操作要领，定期巡查机房，发现问题及时报告。

第四十九条 机房管理员负责妥善保管机房建设或改造的所有文档、图纸以及机房运行记录等有关资料，并随时提供调阅。

第五十条 农商行加强出入机房人员管理。禁止未经批准的外部人员进入机房。非机房工作人员进出机房须经主管部门领导批准，并办理登记手续，由专人陪同。

第五十一条 建立机房定期维修保养办法。易受季节、温度等环境因素影响的设备、已逾保修期的设备、近期维修过的设备等应成为保养的重点。

第五十二条 向社会提供公众服务的柜面和核心业务处理环境应严格出入安全管理，应安装门禁、防入侵报警、视频监视录像系统，实行定时录像监控，并适当配置自动监控报警功能。 第五十三条 所有门禁、防入侵报警、视频监视录像系统的信息资料由专人保管，至少保存三个月。

第二节 设备资产管理

第五十四条 农商行科技信息部建立完备的计算机设备登记办法，严格资产管理，明确计算机设备使用者或管理者及其安全责任。 第五十五条 农商行科技信息部根据计算机设备重要程度采取不同的安全保护措施，制定完善的访问控制策略，防止未经授权使用设备或信息。有特殊安全要求的计算机设备应放置在机房的特殊功能区，必要时，单独建立门禁与监控系统，或配备防电磁泄露的屏蔽装置等。

第五章 网络安全管理

第一节 网络规划建设安全管理

第五十六条 省联社信息科技部负责网络和网络安全的统一规划、建设部署、策略配置和网络资源（网络设备、通讯线路、ip地址和域名等）分配。 第五十七条 农商行科技信息部按照省联社信息科技部的统一规划和总体部署，组织实施网络建设、改造工程。农商行局域网的建设与改造方案应报上一级科技信息部审核、备案，投产前应通过本单位组织的安全测试。 第五十八条 农商行的网络建设和改造应符合如下基本安全要求： （一）符合湖南省农村信用社网络安全管理要求，使用内容过滤、身份认证、防火墙、病毒防范、入侵检测、漏洞扫描、数据加密等技术手段，有效降低外部攻击、信息泄漏等风险，保障网络传输与应用安全。 （二）具备必要的网络监测、跟踪和审计等管理功能。 （三）根据信息安全级别，将网络划分为不同的逻辑安全域。针对不同的网络安全域，采取必要和有效的安全控制措施。

第二节 网络运行安全管理

第五十九条 农商行科技信息部建立健全网络安全运行办法，配备网络管理员。网络管理员负责日常监测和检查网络安全运行状况，管理网络资源及其配置信息，建立健全网络运行维护档案，及时发现和解决网络异常情况。

（一）负责网络的运行管理，实施网络安全策略和安全运行细则；

（二）安全配置网络参数，严格控制网络用户访问权限，维护网络安全正常运行；

（三）监控网络关键设备、网络端口、网络物理线路，防范黑客入侵，及时向计算机安全人员报告安全事件；

（四）对操作网络管理功能的其他人员进行安全监督。

第六十条 网络管理员定期参加网络安全技术培训，具备一定的非法入侵、病毒蔓延等网络安全威胁的应对技能，紧急情况下，经本部门主管领导授权后可采取“先断网、后处理”的紧急应对措施。

第六十一条 农商行科技信息部严格网络接入管理。任何设备接入网络前，接入方案、设备的安全性等应经过审核与必要的检测，审核（检测）通过后方可接入并分配相应的网络资源。 第六十二条 农商行科技信息部严格网络变更管理。网络管理员在调整网络重要参数配置和服务端口前，应书面请示本部门主管领导，变更信息应做好记录。实施有可能影响网络正常运行的重大网络变更，应提前通知所有使用部门并安排在节假日进行，同时做好配置参数的备份和应急恢复准备。 第六十三条 农商行严格远程访问控制。确因工作需要进行远程访问的部门和人员应向科技信息部提出书面申请，并采取相应的安全防护措施。 第六十四条 信息安全管理人员经本部门主管领导批准，有权对本单位或辖内网络进行安全检测、扫描和评估。检测、扫描和评估结果属敏感信息，不得向外界提供。未经省联社信息科技部授权，任何外部单位与人员不得检测、扫描湖南省农村信用社内部网络。 第六十五条 农商行应以不影响业务的正常网络传输为原则，合理控制多媒体网络应用规模和范围。未经省联社信息科技部批准，不得在湖南省农村信用社内部网络上提供跨辖区视频点播等严重占用网络资源的多媒体网络应用。

第三节 网间互联安全管理

第六十六条 本办法所称网间互联是指为满足邵阳市农村商业银行与其他外部机构信息交换或信息共享需求实施的机构间网络互联。 第六十七条 网间互联由省联社信息科技部统一规划，按照相关标准组织实施。未经省联社信息科技部核准，任何单位不得自行与外部机构实施网间互联。

第六十八条 经批准与其他业务相关机构进行网络连接，应采用必要的技术隔离保护措施，对联网使用的用户必须采用一人一帐户的访问控制。

第四节 接入国际互联网管理

第六十九条 邵阳市农村商业银行内部网络与国际互联网实行物理隔离。所有接入邵阳市农村商业银行内部网络或存储有敏感工作信息的计算机，不得直接或间接接入国际互联网。 第七十条 计算机接入国际互联网应通过本单位保密主管部门批准，并确保安装有湖南省农村信用社选定的防病毒软件和最新补丁程序。科技信息部凭相关批准证明实施联网，并做好备案。曾接入邵阳市农村商业银行内部网络的计算机需改接入国际互联网前应重新办理以上审批手续，科技信息部确保该计算机已删除敏感工作信息后方可实施接入。 第七十一条 未经科技信息部安全检测，曾接入国际互联网的计算机不得直接接入湖南省农村信用社内部网络。从国际互联网下载的任何信息，未经病毒检测不得在内部网络上使用。 第七十二条 使用国际互联网的所有用户应遵守国家有关法律法规和湖南省农村信用社相关管理规定，不得从事任何违法违规活动。

第六章 信息系统安全管理

第七十三条 本办法所指的信息系统是邵阳市农村商业银行业务处理系统、管理信息系统和日常办公自动化系统等，包括数据库、软件和硬件支撑环境等。

第一节 信息系统规划与立项

第七十四条 信息系统建设项目应在规划与立项阶段同步考虑安全问题，建设方案应满足邵阳市农村商业银行信息安全保障总体规划的相关要求。项目技术方案应包括以下基本安全内容： （一）业务需求部门提出的安全需求。 （二）安全需求分析和实现。 （三）运行平台的安全策略与设计。

第七十五条 信息系统应采取与业务安全等级要求相应的安全机制，在安全防护方面应符合下列基本安全要求：

（一）采取必要的技术手段，建立严密的安全管理控制机制，保证数据信息在处理、存储和传输过程中的完整性和安全性，防止数据信息被非法使用、修改和复制；

（二）提供完整的数据备份和恢复功能，能方便地根据系统和数据的备份介质进行灾难恢复；

（三）具有严格的用户和密码管理，能对不同级别的用户进行有限授权，特别应严格限制和分流特权用户的权限，防止非法用户的侵入和破坏；

（四）重要信息系统应设置审计监控程序，具有身份识别和实体认证功能。能够自动记录操作人员的重要操作，具有防止抵赖机制；

（五）涉密信息系统的安全设计应符合涉密信息保密管理的有关规定。

第七十六条 农商行科技信息部负责对项目技术方案进行安全专项审查并提出审查意见，未通过安全审核的项目不得予以立项。

第二节 信息系统开发与集成

第七十七条 信息系统开发应符合软件工程规范，依据安全需求进行安全设计，保证安全功能的完整、准确实现。

第七十八条 信息系统开发单位应在完成开发任务后将程序源代码及其相关技术文档全部移交邵阳市农村商业银行科技信息部。外部开发单位还应与邵阳市农村商业银行签署相关知识产权保护协议和保密协议，不得将信息系统采用的关键安全技术措施和核心安全功能设计对外公开。 第七十九条 信息系统的开发人员不能兼任信息系统管理员或业务系统操作人员，不得在程序代码中植入后门和恶意代码程序。

第八十条 信息系统开发、测试和程序的修改工作不得在生产环境中进行。 第八十一条 涉密信息系统集成应选择具有国家相关部门颁发的涉密系统集成资质证书的单位或企业，并签订严格的保密协议。

第三节 信息系统上线与运行

第八十二条 农商行信息系统上线运行实行安全审查办法，未通过安全审查的任何新建或改造信息系统不得投产运行。具体要求如下： （一）项目承担单位（部门）应组织制定安全测试方案，进行系统上线前的自测试并形成测试报告，报科技信息部审查。 （二）科技信息部应提出明确的测试方案和测试报告审查意见。必要时，可组织专家评审或实施信息系统漏洞扫描检测。

（三）信息系统建设牵头业务部门应在信息系统投产运行前同步制定相关安全操作规定，报科技信息部备案。

第八十三条 信息系统投入运行前，应向省联社科技部和市网络中心提出安全评估和审批申请，并报送下列材料：

（一）系统的用途、总体结构及软硬件配置等基本情况；

（二）关于系统安全需求、安全策略、安全性指标、安全保护措施以及安全功能设计等情况的说明；

（三）系统安全性测试提纲和测试报告；

（四）信息系统安全评估和审批报告书。

第八十四条 科技信息部应当对报送的书面材料进行初步审查。委托相关权威机构组建由相关业务和技术专家组成的安全评估委员会或安全评估专家组，对信息系统进行安全性测试、认证。

第八十五条 对信息系统的安全评估应当包括以下内容：

（一）系统的安全策略；

（二）系统安全措施；

（三）系统安全功能的实现程度；

（四）系统运行的稳定性、可靠性；

（五）系统运行平台的安全可靠性。

第八十六条 安全评估委员会或安全评估专家组应对测试、认证的信息系统提出安全评估报告，并出具信息系统安全评估和审批报告书。

第八十七条 信息系统运行平台应符合以下安全管理要求：

（一）合理配置操作系统、数据库管理系统所提供的安全审计功能，以达到相应安全等级标准。

（二）屏蔽与应用系统无关的所有网络功能，防止非法用户的侵入。

（三）按照网络管理规范及其业务应用范围设置联网设备的ip地址及网络参数。

（四）及时安装正式发布的系统补丁，修补系统存在的安全漏洞。

第八十八条 农商行科技信息部明确系统管理员（系统维护员），具体负责信息系统的日常运行管理，监测系统运行日志，掌握系统运行状况，并建立重要信息系统运行维护档案，详细记录系统变更及操作过程。重要业务系统的系统设置要求双人在场。

第八十九条 系统管理员不得兼任业务操作人员，不得安装与系统无关的其他计算机程序；维护过程中，发现安全漏洞应及时报告计算机安全人员。

第九十条 系统管理员确需对业务系统进行维护性操作的，应征得业务部门同意并在业务操作人员在场的情况下进行，并详细记录维护内容、人员、时间等信息。

第九十一条 未经业务主管部门领导书面批准，其他任何人不得擅自使用业务操作人员用机，不得擅自设置、分配、使用、修改、删除操作员代码、口令和业务数据，不得擅自改变用户权限。

第四节 业务操作

第九十二条 业务部门负责信息系统业务操作用户和权限设定，科技信息部根据-授权进行相关设定操作。 第九十三条 业务操作人员应严格按照安全操作规程进行业务操作和必要的数据备份，并配合科技信息部保障信息安全。一旦发现信息系统运行异常及时向本部门领导和科技信息部报告。 第九十四条 业务操作人员应设置本人口令密码，并严格保密，防止口令密码泄漏。严禁向其他任何人泄露本人口令密码。 第九十五条 凡是能够执行录入、复核办法的信息系统，业务操作人员不得一人兼录入、复核两职。未经业务部门主管领导批准，不得代岗、兼岗。 第九十六条 业务操作人员离开操作用机时，应按序退出信息系统，回到操作系统初始状态，防止业务数据被复制、修改、删除以及误操作。

第五节 信息系统废止

第九十七条 实行信息系统废止申报、备案办法。使用信息系统的业务部门根据需要向科技信息部提出废止申请，由科技信息部组织进行安全检查后予以废止，同时备案。 第九十八条 对已经废止的信息系统软件和数据备份介质，科技信息部按业务规定在一定期限内妥善保存。超过保存期限后需要销毁的，应在本单位保密主管部门监督下予以不可恢复性销毁。

第七章 客户端安全管理

第九十九条 本办法所称客户端是指邵阳市农村商业银行计算机用户、网络与信息系统所使用的终端设备，包括台式个人计算机（pc）、便携式计算机、柜员终端、自动柜员机（atm）、存折打印机、读卡器、销售终端（pos）和个人数字助理（pda）等。 第一百条 农商行应建立完善的客户端管理办法，记录所有客户端设备信息和软件配置信息，采用桌面终端安全管理软件集中实现桌面终端安全策略。 第一百零一条 客户端应安装和使用正版软件，不得安装和使用盗版软件，不得安装和使用与工作无关的软件。 第一百零二条 客户端应统一安装病毒防治软件，设置用户密码和屏幕保护口令等安全防护措施，确保安装最新的病毒特征码和必要的补丁程序。 第一百零三条 确因工作需要经授权可远程接入内部网络的用户，应严格保存其身份认证介质及口令密码，不得转借其他人使用。

第八章 信息安全专用产品与服务管理

第一节 资质审查与选型购置

第一百零四条 本办法所称信息安全专用产品，是指邵阳市农村商业银行安装使用的专用安全软件、硬件产品。本办法所称信息安全服务，是指邵阳市农村商业银行向社会购买的专业化安全服务。 第一百零五条 省联社信息科技部负责信息安全服务提供商的资质审查和信息安全专用产品的选型，农商行在选型范围内按规定选购。 第一百零六条 农商行购置扫描、检测类信息安全专用产品应报省联社信息科技部批准，省联社信息科技部应进行登记备案。

第二节 使用管理

第一百零七条 农商行科技信息部建立信息安全专用产品登记使用办法，建立信息安全类固定资产使用登记簿并由专人负责管理。扫描、检测类信息安全专用产品仅限于本单位信息安全管理人员使用。 第一百零八条 农商行科技信息部随时检查各类信息安全专用产品使用情况，认真查看相关日志和报表信息并定期汇总分析。如发现重大问题，立即采取控制措施并按规定程序报告。 第一百零九条 各类信息安全专用产品在使用中产生的日志和报表信息属于重要技术资料，应备份存档至少三个月。 第一百一十条 农商行科技信息部及时升级维护信息安全专用产品，凡因超过使用期限的或不能继续使用的信息安全专用产品，按照固定资产报废审批程序处理。 第一百一十一条 防火墙、入侵检测等安全专用产品原则上应在本地配置。如需要进行远程配置，由科技信息部或经科技信息部授权在可信网络内并采取了必要的安全控制措施后进行操作。

第九章 数据、文档与密码管理

第一节 数据安全

第一百一十二条 本办法中所称的数据是指以电子形式存储的邵阳市农村商业银行业务数据、客户信息、系统运行日志、故障维护日志以及其他内部资料。

第一百一十三条  农商行应建立和实施信息分类及保护体系，明确科技信息分类、定密、解密、备份、调用、保管、运输等方面的工作流程和管理要求。 第一百一十四条 农商行业务部门负责提出数据在输入、处理、输出等不同状态下的安全需求，科技信息部负责审核安全需求并提供一定的技术实现手段。

第一百一十五条 农商行应制定数据管理办法和数据处理的流程和审批手续，加强数据的保密管理。 第一百一十六条 农商行业务部门应严格管理业务数据的增加、修改、删除等变更操作，适时进行业务数据有效性检查，按照既定备份策略执行数据备份任务，并定期测试备份数据的有效性和预演数据恢复流程。 第一百一十七条 农商行科技信息部系统管理员(网络管理员)负责定期导出重要信息系统和网络日志文件并明确标识存储内容、时间、密级等信息。日志文件应至少保留一年，妥善保管。 第一百一十八条 农商行业务部门应明确规定备份数据的保存时限和密级，建立备份数据调阅、销毁审批登记办法，并根据数据重要性级别分类采取相应的安全销毁措施。 第一百一十九条 所有数据备份介质应注意防磁、防潮、防尘、防高温、防挤压存放。恢复及使用备份数据时需要提供相关口令密码的，应把口令密码密封后与数据备份介质一并妥善保管。

第一百二十条 农商行应制定客户信息管理办法和流程，严格管理客户信息的采集、处理、存储、传输、分发、备份、恢复、清理和销毁。不得非法买卖、泄露客户个人信息，包括客户基本信息及存贷款与征信等业务信息。禁止通过互联网传输客户资料和交易数据信息。

第二节 技术文档

第一百二十一条 本办法所称技术文档是邵阳市农村商业银行网络、信息系统和机房环境等建设与运行维护过程中形成的各种纸质技术资料，包括文档、电子文档、视频和音频文件等。包括系统与网络设计文档、参数配置文档、软件开发文档及其源程序等。 第一百二十二条 农商行科技信息部负责将技术文档统一归档，严格管理，并实行借阅登记办法。未经科技信息部领导批准，任何人不得将技术文档转借、复制和对外公布。

第三节 存储介质

第一百二十三条 农商行应建立健全磁带、光盘、移动存储介质、已打印文档等存储介质管理流程。已存储信息的存储介质应保存在安全的物理环境中并有明晰的标识，统一编号，并标明信息生成或备份日期、密级及保密期限。重要信息系统备份介质应按规定异地存放。 第一百二十四条 农商行应做好存储介质在物理传输过程中的安全控制，应选择可靠的传递方式和防盗控制措施。重要信息的存取需要授权和记录。 第一百二十五条 农商行应制定移动存储设备（u盘、移动硬盘等）管理办法，加强移动存储设备在生产环境中的管理和使用。禁止内网移动存储设备在外网使用，禁止外网移动存储设备在内网系统中使用。 第一百二十六条 农商行应建立存储介质销毁办法，对载有敏感信息的存储介质应采用焚烧或粉碎等方式进行处置并做好记录。

第四节 口令密码

第一百二十七条 农商行信息系统要害岗位人员均须设置用户口令密码，并独享使用，不得泄露，且至少每三个月更换一次。口令密码的强度应满足不同安全性要求，不得设置过于简单的弱口令密码。 第一百二十八条 敏感信息系统和设备的口令密码设置应在安全的环境下进行，必要时应将口令密码笔录、密封交主管部门保管,并确保记录载体的安全。未经主管部门领导许可，任何人不得擅自拆阅密封的口令密码。拆阅后的口令密码使用后应立即更改并再次密封存放。 第一百二十九条 农商行应根据实际情况在一定时限内妥善保存重要信息系统升级改造前的口令密码。

第五节 密码技术应用管理

第一百三十条 农商行涉密网络和信息系统应严格按照国家密码政策规定，采用相应的加密措施。非涉密网络和信息系统应依据湖南省农村信用社实际需求和统一安全策略，合理选择加密措施。 第一百三十一条 农商行选用的密码产品和加密算法应符合国家相关密码管理政策规定，密码产品自身的物理和逻辑安全性应符合湖南省农村信用社的相关安全要求。 第一百三十二条 农商行应建立严格的密钥管理体制，密钥管理人员必须是本单位在编的正式员工，并逐级进行备案，规范管理密钥产生、存储、分发、使用、废除、归档、销毁等过程。 第一百三十三条 农商行应在安全环境中进行关键密钥的备份工作，并确保密钥副本的物理安全，且须设置遇紧急情况下密钥自动销毁功能。 第一百三十四条 各类密钥应定期更换，对已泄露或怀疑泄露的密钥应及时废除，过期密钥应安全归档或定期销毁。

第十章 第三方访问和外包安全管理

第一节 第三方访问控制

第一百三十五条 本办法所称第三方访问是指邵阳市农村商业银行之外的单位和个人物理访问邵阳市农村商业银行计算机房或者通过网络连接逻辑访问邵阳市农村商业银行数据库和信息系统等活动。 第一百三十六条 农商行保密工作委员会负责涉密信息系统和网络相关的第三方访问授权审批，农商行科技信息部负责非涉密信息系统和网络相关的第三方访问授权审批。未经邵阳市农村商业银行授权的任何第三方访问均视为非法入侵行为。 第一百三十七条 允许被第三方访问的邵阳市农村商业银行信息系统和资源应建立存取控制机制、认证机制，列明所有用户名单及其权限，严格监督第三方访问活动。 第一百三十八条 获得第三方访问授权的所有单位和个人应与湖南省农村信用社签订安全保密协议，不得进行未授权的修改、增加、删除数据操作，不得复制和泄露湖南省农村信用社任何信息。

第二节 外包安全管理

第一百三十九条 本办法所称外包服务是指由邵阳市农村商业银行之外的其他社会厂商为邵阳市农村商业银行信息系统、网络或桌面环境提供全面或部分的开发、维护技术支持、咨询等服务。

第一百四十条 信息科技外包服务应按照《湖南省农村信用社信息科技外包管理暂行办法》签订正式的外包服务协议，协议应明确约定外包服务商的安全义务。

第一百四十一条 经本单位科技信息部领导批准，外包服务提供商可提供上门维护服务并由邵阳市农村商业银行科技人员在场准确记录所有技术配置变更信息。外包服务提供商不得查看、复制涉密信息或将涉密介质带离湖南省农村信用社。 第一百四十二条 计算机设备确需送外单位维修时，科技信息部应彻底清除所存工作信息，必要时应与设备维修厂商签订保密协议。与密码设备配套使用的计算机设备送修前必须请生产设备的科研单位拆除与密码有关的硬件，并彻底清除与密码有关的软件和信息。

第十一章 灾难备份与应急管理

第一节 灾难备份管理

第一百四十三条 灾难备份是指利用技术、管理手段以及相关资源，确保已有业务数据和信息系统在地震、水灾、火灾、战争、恐怖袭击、网络攻击、设备系统故障、人为破坏等无法预料的突发事件（以下称“灾难”）发生后在规定的时间内可以恢复和继续运营的有序管理过程。 第一百四十四条 科技信息部按照“统筹安排、资源共享、平战结合”的原则，负责邵阳市农村商业银行重要信息系统灾难备份的统一规划、实施和管理。 第一百四十五条 农商行相关业务部门负责提出业务系统灾难备份需求，明确可容忍的业务中断时间（恢复时间目标rto）和数据丢失量(恢复点目标rpo)。省联社信息科技部据此确定灾难备份等级和备份方案。 第一百四十六条 农商行应建立健全灾难恢复计划，定期开展灾难恢复培训。在条件许可的情况下，由省联社信息科技部统一部署，重要信息系统至少每年进行一次灾难恢复演练，包括异地备份站点切换演练和本地系统灾难恢复演练。

第二节 应急管理

第一百四十七条 应急预案是针对可能发生的意外事件并可能导致业务差错和停顿，甚至系统混乱、崩溃等灾难而采取的应对策略、措施的有机集合。 第一百四十八条 在信息系统推广应用方案中应同时设计应急备份策略，同步实施备份方案。 第一百四十九条 农商行应制定和不断完善网络、信息系统和机房环境等应急预案。预案的编制工作由科技信息部和相关业务部门共同完成。 第一百五十条 应急预案应包括以下基本内容： （一）总则（目标、原则、适用范围、预案调用关系等）。 （二）应急组织机构。 （三）预警响应机制（报告、评估、预案启动等）。 （四）各类危机处置流程。 （五）应急资源保障。 （六）事后处理流程。 （七）预案管理与维护（生效、演练、维护等）。 第一百五十一条 农商行应定期组织应急预案的演练，并指定专人管理和维护应急预案，根据人员、信息资源等变动情况以及演练情况适时予以更新和完善，确保应急预案的有效性和灾难发生时的可获取性。 第一百五十二条 农商行信息安全工作领导小组统一负责各业务系统的应急协调与指挥，决定重大事宜（决定应急预案的启动、灾难宣告、预警相关单位等）和调动应急资源。 第一百五十三条 农商行应按照湖南省农村信用社信息安全事件报告办法进行信息通报，一般信息安全事件应逐级通报，发生因人为、自然原因造成信息系统瘫痪以及利用计算机实施犯罪等影响和损失较大的信息安全事件（下称“重大信息安全事件”）应直接报省联社信息科技部。

第一百五十四条 重大信息安全事件发生后，农商行相关人员应注意保护事件现场，采取必要的控制措施，调查事件原因，并及时报告本单位主管领导。

第一百五十五条 农商行应在重大信息安全事件发生后的两小时内按规定程序报上一级科技信息部。     第一百五十六条 农商行办公室负责统一向社会发布应急事件公告，其他任何单位或个人不得向社会发布应急事件公告。

第十二章 安全检查评估与培训

第一节 监测检查

第一百五十七条 农商行科技信息部应整合和利用现有网络管理系统、计算机资源监控系统、专用安全监控系统以及相关设备与系统的运行日志等监控资源，加强对网络、重要信息系统和机房环境等设施的安全运行监测。 第一百五十八条 农商行科技信息部应建立运行监测周报、月报或季报办法，报送本单位信息安全工作领导小组和上一级科技信息部，抄送相关业务部门。 第一百五十九条 农商行要及时预警、响应和处置运行监测中发现的问题，发现重大隐患和运行事故应及时协调解决，并报上一级单位相关部门。

第一百六十条 农商行科技信息部应至少每年组织一次本单位或辖内的信息安全专项检查，安全检查方式可以是自查、互查或上级检查多种方式。 第一百六十一条 农商行在开展安全检查前应以安全管理办法为依据制订详细的检查方案和计划，确保检查工作的可操作性和规范性。安全检查完成后应及时形成检查报告，经本单位主管领导批准后将检查整改报告尽快送达被检查单位。要求限期整改的，需要对相关整改情况进行后续跟踪。 第一百六十二条 农商行参加检查的人员对检查中的涉密信息负有保密责任。所有检查报告和资料应作为湖南省农村信用社内部材料妥善保管，不得向外界泄露。 第一百六十三条 农商行应将每次安全检查报告和整改落实情况整理汇总后报上一级科技信息部备案。

第二节 评估审计

第一百六十四条 农商行科技信息部可采用自评估、检查评估和委托评估等方式，每年至少组织一次对本单位或辖内重要信息系统的安全评估。

第一百六十五条 安全评估应在不影响信息系统正常运行的情况下进行。评估开始前，应制定评估方案并进行必要的培训。评估结束后，形成评估报告，提出整改意见报本单位科技信息部主管领导。 第一百六十六条 农商行如聘请第三方机构进行安全评估，报省联社信息科技部批准，并与第三方评估机构签订安全保密协议后方可进行。本单位信息安全管理人员全程参与评估过程并实施监督。 第一百六十七条 农商行妥善保管信息安全评估报告，未经授权不得对外透露评估信息。

第一百六十八条 农商行定期对重要信息系统进行安全等级保护测评。开展等保测评工作应遵循《金融行业信息系统信息安全等级保护测评指南》和《金融行业信息安全等级保护测评服务安全指引》的有关规定，确保测评有效和测评安全。

第一百六十九条 农商行科技信息部在支持与配合内审部门开展信息安全工作审计的同时，应适时开展本单位和辖内的信息系统日常运行管理和信息安全事件全过程的技术审计，发现问题及时报本单位或上一级单位主管领导。 第一百七十条 农商行应做好操作系统、数据库管理系统等审计功能配置管理，并完整保留相关日志记录。

第三节 安全培训

第一百七十一条 农商行应至少每年对信息安全管理人员进行一次专业培训，不断提高信息安全管理人员专业技能和管理水平。

第一百七十二条 农商行应开展全员信息安全教育，对本单位全体正式和非正式员工进行必要的培训，提高全体员工信息安全意识，使全体员工充分了解其职责范围内的信息保护流程及违反规定的后果。

第十三章 奖励与处罚

第一百七十三条 农商行将本单位和辖内信息安全管理工作纳入年度考评，对表现突出的单位和个人应进行通报表彰并给予一定形式的奖励。 第一百七十四条 对于违反本办法，造成重大信息安全事件的单位及个人，要给予通报批评；情节严重的，依据相关法律法规，追究其主管领导、相关部门负责人及直接责任人的责任；构成犯罪的，依法追究刑事责任。

第十四章 附 则

第一百七十五条 之前发布的其他信息安全管理办法有关规定条款如与本办法不一致的，按本办法执行。

第一百七十六条 本办法由邵阳市农村商业银行负责解释。

‍

第一章    总则

第一条 为加强邵阳市农村商业银行（以下简称农商行）信息系统信息安全、硬件设备、安全运行、故障申报、日常检查、网络安全等管理，防范和化解信息系统的运行风险，杜绝各类事故和案件的发生，根据《湖南省农村信用社信息安全管理办法》、《中华人民共和国信息系统安全保护条例》、《金融机构计算机信息系统安全保护工作暂行规定》、《商业银行信息科技风险管理指引》等规定，结合我农商行实际情况，特制定本办法。

第二条 本办法适用所有使用邵阳市农商行网络或信息资源的其他外部机构和个人，包括农商行辖内网点所有员工，包括在编合同制员工、经批准在岗的短期合同制员工。

第三条 信息系统信息安全工作坚持以预防为主、综合治理、人员防范与技术防范相结合和的原则、按照“谁主管谁负责，谁运行谁负责，谁使用谁负责”的原则，逐级落实单位与个人信息安全责任制。

第四条 信息系统系统信息安全管理员，应当保障信息系统及配套设备的安全、运行环境的安全和信息的安全。

第五条 任何个人不得利用信息系统从事危害国家利益和集体利益的活动、不得危害计算机信息系统的安全。

第二章 组织保障

第六条 农商行设立科技信息部，由科技信息部归口管理信息安全工作，并明确其信息安全管理职责。

第七条 根据省联社要求，农商行成立由农商行领导和各职能部门主要负责人组成信息安全工作领导小组，领导小组办公室设农商行科技信息部，负责协调辖内信息安全管理工作，决定辖内信息安全重大事宜。 第八条 农商行科技信息部门设立信息安全岗位，配备专职信息安全管理人员。负责邵阳农商行信息安全管理，建立完善信息安全管理办法，并组织实施；对农商行信息安全管理工作进行指导和检查督促。

第九条 农商行各支行及各职能部门主要负责人为本部门信息安全第一责任人，同时均应指定至少一名部门信息安全员，具体负责本部门的信息安全管理，协同科技信息部开展信息安全管理工作。

第三章    人员管理

农商行工作人员根据不同的岗位或工作范围，履行相应的信息安全保障职责。科技信息部为农商行信息安全保护专职部门，设信息安全管理员、系统维护管理员、技术维护员等岗位负责全辖信息系统安全运行。各部门及支行要设立信息系统安全管理领导小组，设立部门信息安全员。

第一节 信息安全管理人员

第十条 农商行选派政治思想过硬、具有较高计算机水平的人员从事信息安全管理工作。凡是因违反国家法律法规和湖南省农村信用社有关规定受到过处罚或处分的人员，不得从事此项工作。

第十一条 信息安全管理人员应具有从事金融机构计算机工作三年以上经历，具有本科以上学历。

第十二条 信息安全管理人员必须应经过省联社组织的专业培训与审核，培训与审核合格后方可上岗。上岗后，每年至少参加一次信息安全专业培训。 第十三条 农商行信息安全管理人员在如下职责范围内开展本单位信息安全管理工作： （一）组织落实上级信息安全管理规定，制定信息安全管理办法，协调部门计算机安全员工作，监督检查信息安全保障工作。 （二）审核信息化建设项目中的安全方案，组织实施信息安全保障项目建设，维护、管理信息安全专用设施。 （三）检测网络和信息系统的安全运行状况，检查运行操作、备份、机房环境与文档等安全管理情况，发现问题，及时通报和预警，并提出整改意见。统计分析和协调处置信息安全事件。 （四）定期组织信息安全宣传教育活动，开展信息安全检查、评估与培训工作。 第十四条 信息安全管理人员在履行职责时，确因工作需要查询相关涉密信息，须经本部门负责人同意后向本单位保密主管部门提交申请，获得批准后方可查询。 第十五条 信息安全管理人员实行备案管理办法。信息安全管理人员的配备和变更情况应及时报上一级科技信息部备案。

第十六条 信息安全管理人员调离岗位，必须严格办理调离手续，承诺其调离后的保密义务。涉及农村信用社业务核心技术的计算机安全人员调离单位，必须进行离岗审计，并在规定的脱密期后，方可调离。

第二节 部门信息安全员

第十七条 各部门和各级支行应指派素质好、较熟悉计算机知识的人员担任部门信息安全员，并报农商行科技信息部备案。如有变更应做好交接工作，并及时通报科技信息部。 第十八条 部门信息安全员配合农商行信息安全管理人员工作，并参加各项信息安全技能培训。 第十九条 部门信息安全员在如下职责范围内开展工作： （一）负责本部门计算机病毒防治工作，监督检查本部门客户端安全管理情况。 （二）负责提出本部门信息安全保障需求，及时与农商行信息安全管理人员沟通信息安全信息。 （三）负责本部门国际互联网使用和接入安全管理，组织开展本部门信息安全自查，协助科技信息部完成对本部门的信息安全检查工作。

第三节 技术支持人员

第二十条 本办法所称技术支持人员，是指参与邵阳农商行网络、信息系统、机房环境等建设、运行、维护的内部技术支持人员和外包服务人员。 第二十一条 农商行内部技术支持人员在履行网络和信息系统建设和日常运行维护职责过程中，应承担如下安全义务： （一）不得对外泄露或引用工作中触及的任何敏感信息。严格权限访问，未经批准不得擅自改变系统设置或修改系统生成的任何业务数据。 （二）主动检查和监控生产系统安全运行状况，发现安全隐患或故障及时报告本部门主管领导，并及时响应、处置。 （三）严格操作管理、测试管理、应急管理、配置管理、变更管理、档案管理等工作办法，做好数据备份工作。 第二十二条 外部技术支持人员应严格履行外包服务合同（协议）的各项安全承诺。提供技术服务期间，严格遵守湖南省农村信用社相关安全规定与操作规程，关键操作应经授权，并有农商行内部员工在场。不得拷贝或带走任何配置参数信息或业务数据，不得对外泄露或引用任何工作信息。

第四节 业务系统操作人员

第二十三条 本办法所称业务系统操作人员是指直接操作业务系统进行业务处理的业务工作人员。 第二十四条 业务系统操作人员应承担如下安全义务： （一）严格规程操作，防止误操作。定期修改操作密码并妥善保管，按需、适时进行必要的数据备份。 （二）发现业务系统出现异常及时报告科技信息部。 （三）不得在操作终端上安装与业务系统无关的软件和硬件，不得擅自修改业务系统及其运行环境参数设置。 第二十五条 业务系统操作应按照“权限分散、不得交叉任职”原则，严格进行操作角色划分和授权管理。技术支持人员不得兼任业务系统操作人员。

第五节 一般计算机用户

第二十六条 本办法所称一般计算机用户是指使用计算机设备的所有人员。 第二十七条 一般计算机用户应承担如下安全义务： （一）及时更新所用计算机的病毒防治软件和安装补丁程序，自觉接受本部门信息安全员的指导与管理。 （二）不得安装与办公和业务处理无关的其他计算机软件和硬件，不得修改系统和网络配置参数。 （三）未经科技信息部检测和授权，不得将接入湖南省农村信用社内部网络的所用计算机转接入国际互联网；不得将便携式计算机接入湖南省农村信用社内部网络；不得随意将个人计算机带入机房或私自拷贝任何信息。

第六节 信息系统要害岗位人员

第二十八条 本办法所称信息系统要害岗位人员，是指与重要信息系统直接相关的系统管理员、网络管理员、系统开发人员、系统维护员等内部技术支持人员和重要业务操作等岗位人员。

第二十九条 本办法所称重要信息系统是指湖南省农村信用社面向客户的业务处理类、渠道类和涉及客户风险管理等业务的管理类信息系统，以及支撑系统运行的机房和网络等基础设施。

第三十条 要害岗位人员上岗前必须经农商行人事部门进行政治素质审查，技术部门进行业务技能考核，合格者方可上岗。

第三十一条 要害岗位人员上岗必须实行“权限分散、不得交叉覆盖”的原则，按照“必需知道”和“最小授权”原则，严格设定各用户的操作权限。

第三十二条 对要害岗位人员应实行年度强制休假办法和定期考查办法，并进行必要的安全教育和培训。

第三十三条 要害岗位人员调离岗位，必须严格办理调离手续，承诺其调离后的保密义务。涉及信用社业务保密信息的要害岗位人员调离单位，必须进行离岗审计，在规定的脱密期后，方可调离。

第三十四条 要害岗位人员离岗后，必须即刻更换操作密码或注销用户。

第三十五条 系统管理员安全责任

（一）负责系统的运行管理，实施系统安全运行细则；

（二）严格用户权限管理，维护系统安全正常运行；

（三）认真记录系统安全事项，及时向计算机安全人员报告安全事件；

（四）对进行系统操作的其他人员予以安全监督。

第三十六条 系统开发员安全责任

（一）系统开发建设中，应严格执行系统安全策略，保证系统安全功能的准确实现；

（二）系统投产运行前，应完整移交系统源代码和相关涉密资料；

（三）不得对系统设置后门；

（四）对系统核心技术保密。

第三十七条 系统维护员安全责任

（一）负责系统维护，及时解除系统故障，确保系统正常运行；

（二）不得擅自改变系统参数配置；

（三）不得安装与系统无关的其他计算机程序；

（四）维护过程中，发现安全漏洞应及时报告计算机安全人员。

第三十八条 各要害岗位人员必须严格遵守保密法规和有关信息安全管理规定。

第四章 机房环境和设备资产管理

第一节 机房环境安全管理

第三十九条 本办法所称机房是指信息系统等主要设备放置、运行场所以及供配电、通信、空调、消防、监控等配套环境设施。 第四十条 农商行机房的规划、建设、改造、运行、维护由科技信息部负责。 第四十一条 农商行机房应符合国家计算机机房有关标准、监管部门有关要求和省联社有关规定，满足下列基本安全要求：

（一）机房周围100米内不得存在危险建筑物，如加油站、煤气站等。

（二）机房应配备防电磁干扰、防电磁泄漏、防静电、防水、防盗、防鼠害等设施。

（三）机房应安装门禁系统、防雷系统、监视系统、消防系统、报警系统。

（四）机房应设专用的供电系统，配备必要的ups和发电机。

第四十二条 机房建设、改造的方案应报上市网络中心备案。必要时，由市网络中心会同财务、保卫等部门进行审核。 第四十三条 机房建设或改造应选择具有国家建筑装修装饰工程专业承包三级以上资质、两年以上从事计算机机房设计与施工经验的专业化公司。重要机房建设或改造工程应引入监理办法。

第四十四条 计算机机房实行分区管理原则。核心区实行24小时连续监控，生产区实行工作时间连续监控，辅助区实施联动监控。

第四十五条 监控设备的安装应符合安全保密原则，确保监控的安全规范运作，防止监控信息的泄密。

第四十六条 农商行机房应建立机房设施与场地环境集中监控系统，对机房空调、消防、不间断电源（ups）、供配电、门禁系统等重要设施实行全面监控，通过技术和管理手段，确保计算机机房及配套设施安全。 第四十七条 农商行机房投入使用前，应经过当地公安消防部门的消防验收和本单位科技、保卫部门组织的验收，并出具明确结论的验收报告。未经验收或验收不合格的机房均不得投入使用。 第四十八条 农商行建立健全机房管理办法，并指派专人担任机房管理员，落实机房安全责任制。机房管理员应经过相关专业培训，熟知机房各类设备的分布和操作要领，定期巡查机房，发现问题及时报告。

第四十九条 机房管理员负责妥善保管机房建设或改造的所有文档、图纸以及机房运行记录等有关资料，并随时提供调阅。

第五十条 农商行加强出入机房人员管理。禁止未经批准的外部人员进入机房。非机房工作人员进出机房须经主管部门领导批准，并办理登记手续，由专人陪同。

第五十一条 建立机房定期维修保养办法。易受季节、温度等环境因素影响的设备、已逾保修期的设备、近期维修过的设备等应成为保养的重点。

第五十二条 向社会提供公众服务的柜面和核心业务处理环境应严格出入安全管理，应安装门禁、防入侵报警、视频监视录像系统，实行定时录像监控，并适当配置自动监控报警功能。 第五十三条 所有门禁、防入侵报警、视频监视录像系统的信息资料由专人保管，至少保存三个月。

第二节 设备资产管理

第五十四条 农商行科技信息部建立完备的计算机设备登记办法，严格资产管理，明确计算机设备使用者或管理者及其安全责任。 第五十五条 农商行科技信息部根据计算机设备重要程度采取不同的安全保护措施，制定完善的访问控制策略，防止未经授权使用设备或信息。有特殊安全要求的计算机设备应放置在机房的特殊功能区，必要时，单独建立门禁与监控系统，或配备防电磁泄露的屏蔽装置等。

第五章 网络安全管理

第一节 网络规划建设安全管理

第五十六条 省联社信息科技部负责网络和网络安全的统一规划、建设部署、策略配置和网络资源（网络设备、通讯线路、ip地址和域名等）分配。 第五十七条 农商行科技信息部按照省联社信息科技部的统一规划和总体部署，组织实施网络建设、改造工程。农商行局域网的建设与改造方案应报上一级科技信息部审核、备案，投产前应通过本单位组织的安全测试。 第五十八条 农商行的网络建设和改造应符合如下基本安全要求： （一）符合湖南省农村信用社网络安全管理要求，使用内容过滤、身份认证、防火墙、病毒防范、入侵检测、漏洞扫描、数据加密等技术手段，有效降低外部攻击、信息泄漏等风险，保障网络传输与应用安全。 （二）具备必要的网络监测、跟踪和审计等管理功能。 （三）根据信息安全级别，将网络划分为不同的逻辑安全域。针对不同的网络安全域，采取必要和有效的安全控制措施。

第二节 网络运行安全管理

第五十九条 农商行科技信息部建立健全网络安全运行办法，配备网络管理员。网络管理员负责日常监测和检查网络安全运行状况，管理网络资源及其配置信息，建立健全网络运行维护档案，及时发现和解决网络异常情况。

（一）负责网络的运行管理，实施网络安全策略和安全运行细则；

（二）安全配置网络参数，严格控制网络用户访问权限，维护网络安全正常运行；

（三）监控网络关键设备、网络端口、网络物理线路，防范黑客入侵，及时向计算机安全人员报告安全事件；

（四）对操作网络管理功能的其他人员进行安全监督。

第六十条 网络管理员定期参加网络安全技术培训，具备一定的非法入侵、病毒蔓延等网络安全威胁的应对技能，紧急情况下，经本部门主管领导授权后可采取“先断网、后处理”的紧急应对措施。

第六十一条 农商行科技信息部严格网络接入管理。任何设备接入网络前，接入方案、设备的安全性等应经过审核与必要的检测，审核（检测）通过后方可接入并分配相应的网络资源。 第六十二条 农商行科技信息部严格网络变更管理。网络管理员在调整网络重要参数配置和服务端口前，应书面请示本部门主管领导，变更信息应做好记录。实施有可能影响网络正常运行的重大网络变更，应提前通知所有使用部门并安排在节假日进行，同时做好配置参数的备份和应急恢复准备。 第六十三条 农商行严格远程访问控制。确因工作需要进行远程访问的部门和人员应向科技信息部提出书面申请，并采取相应的安全防护措施。 第六十四条 信息安全管理人员经本部门主管领导批准，有权对本单位或辖内网络进行安全检测、扫描和评估。检测、扫描和评估结果属敏感信息，不得向外界提供。未经省联社信息科技部授权，任何外部单位与人员不得检测、扫描湖南省农村信用社内部网络。 第六十五条 农商行应以不影响业务的正常网络传输为原则，合理控制多媒体网络应用规模和范围。未经省联社信息科技部批准，不得在湖南省农村信用社内部网络上提供跨辖区视频点播等严重占用网络资源的多媒体网络应用。

第三节 网间互联安全管理

第六十六条 本办法所称网间互联是指为满足邵阳市农村商业银行与其他外部机构信息交换或信息共享需求实施的机构间网络互联。 第六十七条 网间互联由省联社信息科技部统一规划，按照相关标准组织实施。未经省联社信息科技部核准，任何单位不得自行与外部机构实施网间互联。

第六十八条 经批准与其他业务相关机构进行网络连接，应采用必要的技术隔离保护措施，对联网使用的用户必须采用一人一帐户的访问控制。

第四节 接入国际互联网管理

第六十九条 邵阳市农村商业银行内部网络与国际互联网实行物理隔离。所有接入邵阳市农村商业银行内部网络或存储有敏感工作信息的计算机，不得直接或间接接入国际互联网。 第七十条 计算机接入国际互联网应通过本单位保密主管部门批准，并确保安装有湖南省农村信用社选定的防病毒软件和最新补丁程序。科技信息部凭相关批准证明实施联网，并做好备案。曾接入邵阳市农村商业银行内部网络的计算机需改接入国际互联网前应重新办理以上审批手续，科技信息部确保该计算机已删除敏感工作信息后方可实施接入。 第七十一条 未经科技信息部安全检测，曾接入国际互联网的计算机不得直接接入湖南省农村信用社内部网络。从国际互联网下载的任何信息，未经病毒检测不得在内部网络上使用。 第七十二条 使用国际互联网的所有用户应遵守国家有关法律法规和湖南省农村信用社相关管理规定，不得从事任何违法违规活动。

第六章 信息系统安全管理

第七十三条 本办法所指的信息系统是邵阳市农村商业银行业务处理系统、管理信息系统和日常办公自动化系统等，包括数据库、软件和硬件支撑环境等。

第一节 信息系统规划与立项

第七十四条 信息系统建设项目应在规划与立项阶段同步考虑安全问题，建设方案应满足邵阳市农村商业银行信息安全保障总体规划的相关要求。项目技术方案应包括以下基本安全内容： （一）业务需求部门提出的安全需求。 （二）安全需求分析和实现。 （三）运行平台的安全策略与设计。

第七十五条 信息系统应采取与业务安全等级要求相应的安全机制，在安全防护方面应符合下列基本安全要求：

（一）采取必要的技术手段，建立严密的安全管理控制机制，保证数据信息在处理、存储和传输过程中的完整性和安全性，防止数据信息被非法使用、修改和复制；

（二）提供完整的数据备份和恢复功能，能方便地根据系统和数据的备份介质进行灾难恢复；

（三）具有严格的用户和密码管理，能对不同级别的用户进行有限授权，特别应严格限制和分流特权用户的权限，防止非法用户的侵入和破坏；

（四）重要信息系统应设置审计监控程序，具有身份识别和实体认证功能。能够自动记录操作人员的重要操作，具有防止抵赖机制；

（五）涉密信息系统的安全设计应符合涉密信息保密管理的有关规定。

第七十六条 农商行科技信息部负责对项目技术方案进行安全专项审查并提出审查意见，未通过安全审核的项目不得予以立项。

第二节 信息系统开发与集成

第七十七条 信息系统开发应符合软件工程规范，依据安全需求进行安全设计，保证安全功能的完整、准确实现。

第七十八条 信息系统开发单位应在完成开发任务后将程序源代码及其相关技术文档全部移交邵阳市农村商业银行科技信息部。外部开发单位还应与邵阳市农村商业银行签署相关知识产权保护协议和保密协议，不得将信息系统采用的关键安全技术措施和核心安全功能设计对外公开。 第七十九条 信息系统的开发人员不能兼任信息系统管理员或业务系统操作人员，不得在程序代码中植入后门和恶意代码程序。

第八十条 信息系统开发、测试和程序的修改工作不得在生产环境中进行。 第八十一条 涉密信息系统集成应选择具有国家相关部门颁发的涉密系统集成资质证书的单位或企业，并签订严格的保密协议。

第三节 信息系统上线与运行

第八十二条 农商行信息系统上线运行实行安全审查办法，未通过安全审查的任何新建或改造信息系统不得投产运行。具体要求如下： （一）项目承担单位（部门）应组织制定安全测试方案，进行系统上线前的自测试并形成测试报告，报科技信息部审查。 （二）科技信息部应提出明确的测试方案和测试报告审查意见。必要时，可组织专家评审或实施信息系统漏洞扫描检测。

（三）信息系统建设牵头业务部门应在信息系统投产运行前同步制定相关安全操作规定，报科技信息部备案。

第八十三条 信息系统投入运行前，应向省联社科技部和市网络中心提出安全评估和审批申请，并报送下列材料：

（一）系统的用途、总体结构及软硬件配置等基本情况；

（二）关于系统安全需求、安全策略、安全性指标、安全保护措施以及安全功能设计等情况的说明；

（三）系统安全性测试提纲和测试报告；

（四）信息系统安全评估和审批报告书。

第八十四条 科技信息部应当对报送的书面材料进行初步审查。委托相关权威机构组建由相关业务和技术专家组成的安全评估委员会或安全评估专家组，对信息系统进行安全性测试、认证。

第八十五条 对信息系统的安全评估应当包括以下内容：

（一）系统的安全策略；

（二）系统安全措施；

（三）系统安全功能的实现程度；

（四）系统运行的稳定性、可靠性；

（五）系统运行平台的安全可靠性。

第八十六条 安全评估委员会或安全评估专家组应对测试、认证的信息系统提出安全评估报告，并出具信息系统安全评估和审批报告书。

第八十七条 信息系统运行平台应符合以下安全管理要求：

（一）合理配置操作系统、数据库管理系统所提供的安全审计功能，以达到相应安全等级标准。

（二）屏蔽与应用系统无关的所有网络功能，防止非法用户的侵入。

（三）按照网络管理规范及其业务应用范围设置联网设备的ip地址及网络参数。

（四）及时安装正式发布的系统补丁，修补系统存在的安全漏洞。

第八十八条 农商行科技信息部明确系统管理员（系统维护员），具体负责信息系统的日常运行管理，监测系统运行日志，掌握系统运行状况，并建立重要信息系统运行维护档案，详细记录系统变更及操作过程。重要业务系统的系统设置要求双人在场。

第八十九条 系统管理员不得兼任业务操作人员，不得安装与系统无关的其他计算机程序；维护过程中，发现安全漏洞应及时报告计算机安全人员。

第九十条 系统管理员确需对业务系统进行维护性操作的，应征得业务部门同意并在业务操作人员在场的情况下进行，并详细记录维护内容、人员、时间等信息。

第九十一条 未经业务主管部门领导书面批准，其他任何人不得擅自使用业务操作人员用机，不得擅自设置、分配、使用、修改、删除操作员代码、口令和业务数据，不得擅自改变用户权限。

第四节 业务操作

第九十二条 业务部门负责信息系统业务操作用户和权限设定，科技信息部根据-授权进行相关设定操作。 第九十三条 业务操作人员应严格按照安全操作规程进行业务操作和必要的数据备份，并配合科技信息部保障信息安全。一旦发现信息系统运行异常及时向本部门领导和科技信息部报告。 第九十四条 业务操作人员应设置本人口令密码，并严格保密，防止口令密码泄漏。严禁向其他任何人泄露本人口令密码。 第九十五条 凡是能够执行录入、复核办法的信息系统，业务操作人员不得一人兼录入、复核两职。未经业务部门主管领导批准，不得代岗、兼岗。 第九十六条 业务操作人员离开操作用机时，应按序退出信息系统，回到操作系统初始状态，防止业务数据被复制、修改、删除以及误操作。

第五节 信息系统废止

第九十七条 实行信息系统废止申报、备案办法。使用信息系统的业务部门根据需要向科技信息部提出废止申请，由科技信息部组织进行安全检查后予以废止，同时备案。 第九十八条 对已经废止的信息系统软件和数据备份介质，科技信息部按业务规定在一定期限内妥善保存。超过保存期限后需要销毁的，应在本单位保密主管部门监督下予以不可恢复性销毁。

第七章 客户端安全管理

第九十九条 本办法所称客户端是指邵阳市农村商业银行计算机用户、网络与信息系统所使用的终端设备，包括台式个人计算机（pc）、便携式计算机、柜员终端、自动柜员机（atm）、存折打印机、读卡器、销售终端（pos）和个人数字助理（pda）等。 第一百条 农商行应建立完善的客户端管理办法，记录所有客户端设备信息和软件配置信息，采用桌面终端安全管理软件集中实现桌面终端安全策略。 第一百零一条 客户端应安装和使用正版软件，不得安装和使用盗版软件，不得安装和使用与工作无关的软件。 第一百零二条 客户端应统一安装病毒防治软件，设置用户密码和屏幕保护口令等安全防护措施，确保安装最新的病毒特征码和必要的补丁程序。 第一百零三条 确因工作需要经授权可远程接入内部网络的用户，应严格保存其身份认证介质及口令密码，不得转借其他人使用。

第八章 信息安全专用产品与服务管理

第一节 资质审查与选型购置

第一百零四条 本办法所称信息安全专用产品，是指邵阳市农村商业银行安装使用的专用安全软件、硬件产品。本办法所称信息安全服务，是指邵阳市农村商业银行向社会购买的专业化安全服务。 第一百零五条 省联社信息科技部负责信息安全服务提供商的资质审查和信息安全专用产品的选型，农商行在选型范围内按规定选购。 第一百零六条 农商行购置扫描、检测类信息安全专用产品应报省联社信息科技部批准，省联社信息科技部应进行登记备案。

第二节 使用管理

第一百零七条 农商行科技信息部建立信息安全专用产品登记使用办法，建立信息安全类固定资产使用登记簿并由专人负责管理。扫描、检测类信息安全专用产品仅限于本单位信息安全管理人员使用。 第一百零八条 农商行科技信息部随时检查各类信息安全专用产品使用情况，认真查看相关日志和报表信息并定期汇总分析。如发现重大问题，立即采取控制措施并按规定程序报告。 第一百零九条 各类信息安全专用产品在使用中产生的日志和报表信息属于重要技术资料，应备份存档至少三个月。 第一百一十条 农商行科技信息部及时升级维护信息安全专用产品，凡因超过使用期限的或不能继续使用的信息安全专用产品，按照固定资产报废审批程序处理。 第一百一十一条 防火墙、入侵检测等安全专用产品原则上应在本地配置。如需要进行远程配置，由科技信息部或经科技信息部授权在可信网络内并采取了必要的安全控制措施后进行操作。

第九章 数据、文档与密码管理

第一节 数据安全

第一百一十二条 本办法中所称的数据是指以电子形式存储的邵阳市农村商业银行业务数据、客户信息、系统运行日志、故障维护日志以及其他内部资料。

第一百一十三条 农商行应建立和实施信息分类及保护体系，明确科技信息分类、定密、解密、备份、调用、保管、运输等方面的工作流程和管理要求。 第一百一十四条 农商行业务部门负责提出数据在输入、处理、输出等不同状态下的安全需求，科技信息部负责审核安全需求并提供一定的技术实现手段。

第一百一十五条 农商行应制定数据管理办法和数据处理的流程和审批手续，加强数据的保密管理。 第一百一十六条 农商行业务部门应严格管理业务数据的增加、修改、删除等变更操作，适时进行业务数据有效性检查，按照既定备份策略执行数据备份任务，并定期测试备份数据的有效性和预演数据恢复流程。 第一百一十七条 农商行科技信息部系统管理员(网络管理员)负责定期导出重要信息系统和网络日志文件并明确标识存储内容、时间、密级等信息。日志文件应至少保留一年，妥善保管。 第一百一十八条 农商行业务部门应明确规定备份数据的保存时限和密级，建立备份数据调阅、销毁审批登记办法，并根据数据重要性级别分类采取相应的安全销毁措施。 第一百一十九条 所有数据备份介质应注意防磁、防潮、防尘、防高温、防挤压存放。恢复及使用备份数据时需要提供相关口令密码的，应把口令密码密封后与数据备份介质一并妥善保管。

第一百二十条 农商行应制定客户信息管理办法和流程，严格管理客户信息的采集、处理、存储、传输、分发、备份、恢复、清理和销毁。不得非法买卖、泄露客户个人信息，包括客户基本信息及存贷款与征信等业务信息。禁止通过互联网传输客户资料和交易数据信息。

第二节 技术文档

第一百二十一条 本办法所称技术文档是邵阳市农村商业银行网络、信息系统和机房环境等建设与运行维护过程中形成的各种纸质技术资料，包括文档、电子文档、视频和音频文件等。包括系统与网络设计文档、参数配置文档、软件开发文档及其源程序等。 第一百二十二条 农商行科技信息部负责将技术文档统一归档，严格管理，并实行借阅登记办法。未经科技信息部领导批准，任何人不得将技术文档转借、复制和对外公布。

第三节 存储介质

第一百二十三条 农商行应建立健全磁带、光盘、移动存储介质、已打印文档等存储介质管理流程。已存储信息的存储介质应保存在安全的物理环境中并有明晰的标识，统一编号，并标明信息生成或备份日期、密级及保密期限。重要信息系统备份介质应按规定异地存放。 第一百二十四条 农商行应做好存储介质在物理传输过程中的安全控制，应选择可靠的传递方式和防盗控制措施。重要信息的存取需要授权和记录。 第一百二十五条 农商行应制定移动存储设备（u盘、移动硬盘等）管理办法，加强移动存储设备在生产环境中的管理和使用。禁止内网移动存储设备在外网使用，禁止外网移动存储设备在内网系统中使用。 第一百二十六条 农商行应建立存储介质销毁办法，对载有敏感信息的存储介质应采用焚烧或粉碎等方式进行处置并做好记录。

第四节 口令密码

第一百二十七条 农商行信息系统要害岗位人员均须设置用户口令密码，并独享使用，不得泄露，且至少每三个月更换一次。口令密码的强度应满足不同安全性要求，不得设置过于简单的弱口令密码。 第一百二十八条 敏感信息系统和设备的口令密码设置应在安全的环境下进行，必要时应将口令密码笔录、密封交主管部门保管,并确保记录载体的安全。未经主管部门领导许可，任何人不得擅自拆阅密封的口令密码。拆阅后的口令密码使用后应立即更改并再次密封存放。 第一百二十九条 农商行应根据实际情况在一定时限内妥善保存重要信息系统升级改造前的口令密码。

第五节 密码技术应用管理

第一百三十条 农商行涉密网络和信息系统应严格按照国家密码政策规定，采用相应的加密措施。非涉密网络和信息系统应依据湖南省农村信用社实际需求和统一安全策略，合理选择加密措施。 第一百三十一条 农商行选用的密码产品和加密算法应符合国家相关密码管理政策规定，密码产品自身的物理和逻辑安全性应符合湖南省农村信用社的相关安全要求。 第一百三十二条 农商行应建立严格的密钥管理体制，密钥管理人员必须是本单位在编的正式员工，并逐级进行备案，规范管理密钥产生、存储、分发、使用、废除、归档、销毁等过程。 第一百三十三条 农商行应在安全环境中进行关键密钥的备份工作，并确保密钥副本的物理安全，且须设置遇紧急情况下密钥自动销毁功能。 第一百三十四条 各类密钥应定期更换，对已泄露或怀疑泄露的密钥应及时废除，过期密钥应安全归档或定期销毁。

第十章 第三方访问和外包安全管理

第一节 第三方访问控制

第一百三十五条 本办法所称第三方访问是指邵阳市农村商业银行之外的单位和个人物理访问邵阳市农村商业银行计算机房或者通过网络连接逻辑访问邵阳市农村商业银行数据库和信息系统等活动。 第一百三十六条 农商行保密工作委员会负责涉密信息系统和网络相关的第三方访问授权审批，农商行科技信息部负责非涉密信息系统和网络相关的第三方访问授权审批。未经邵阳市农村商业银行授权的任何第三方访问均视为非法入侵行为。 第一百三十七条 允许被第三方访问的邵阳市农村商业银行信息系统和资源应建立存取控制机制、认证机制，列明所有用户名单及其权限，严格监督第三方访问活动。 第一百三十八条 获得第三方访问授权的所有单位和个人应与湖南省农村信用社签订安全保密协议，不得进行未授权的修改、增加、删除数据操作，不得复制和泄露湖南省农村信用社任何信息。

第二节 外包安全管理

第一百三十九条 本办法所称外包服务是指由邵阳市农村商业银行之外的其他社会厂商为邵阳市农村商业银行信息系统、网络或桌面环境提供全面或部分的开发、维护技术支持、咨询等服务。

第一百四十条 信息科技外包服务应按照《湖南省农村信用社信息科技外包管理暂行办法》签订正式的外包服务协议，协议应明确约定外包服务商的安全义务。

第一百四十一条 经本单位科技信息部领导批准，外包服务提供商可提供上门维护服务并由邵阳市农村商业银行科技人员在场准确记录所有技术配置变更信息。外包服务提供商不得查看、复制涉密信息或将涉密介质带离湖南省农村信用社。 第一百四十二条 计算机设备确需送外单位维修时，科技信息部应彻底清除所存工作信息，必要时应与设备维修厂商签订保密协议。与密码设备配套使用的计算机设备送修前必须请生产设备的科研单位拆除与密码有关的硬件，并彻底清除与密码有关的软件和信息。

第十一章 灾难备份与应急管理

第一节 灾难备份管理

第一百四十三条 灾难备份是指利用技术、管理手段以及相关资源，确保已有业务数据和信息系统在地震、水灾、火灾、战争、恐怖袭击、网络攻击、设备系统故障、人为破坏等无法预料的突发事件（以下称“灾难”）发生后在规定的时间内可以恢复和继续运营的有序管理过程。 第一百四十四条 科技信息部按照“统筹安排、资源共享、平战结合”的原则，负责邵阳市农村商业银行重要信息系统灾难备份的统一规划、实施和管理。 第一百四十五条 农商行相关业务部门负责提出业务系统灾难备份需求，明确可容忍的业务中断时间（恢复时间目标rto）和数据丢失量(恢复点目标rpo)。省联社信息科技部据此确定灾难备份等级和备份方案。 第一百四十六条 农商行应建立健全灾难恢复计划，定期开展灾难恢复培训。在条件许可的情况下，由省联社信息科技部统一部署，重要信息系统至少每年进行一次灾难恢复演练，包括异地备份站点切换演练和本地系统灾难恢复演练。

第二节 应急管理

第一百四十七条 应急预案是针对可能发生的意外事件并可能导致业务差错和停顿，甚至系统混乱、崩溃等灾难而采取的应对策略、措施的有机集合。 第一百四十八条 在信息系统推广应用方案中应同时设计应急备份策略，同步实施备份方案。 第一百四十九条 农商行应制定和不断完善网络、信息系统和机房环境等应急预案。预案的编制工作由科技信息部和相关业务部门共同完成。 第一百五十条 应急预案应包括以下基本内容： （一）总则（目标、原则、适用范围、预案调用关系等）。 （二）应急组织机构。 （三）预警响应机制（报告、评估、预案启动等）。 （四）各类危机处置流程。 （五）应急资源保障。 （六）事后处理流程。 （七）预案管理与维护（生效、演练、维护等）。 第一百五十一条 农商行应定期组织应急预案的演练，并指定专人管理和维护应急预案，根据人员、信息资源等变动情况以及演练情况适时予以更新和完善，确保应急预案的有效性和灾难发生时的可获取性。 第一百五十二条 农商行信息安全工作领导小组统一负责各业务系统的应急协调与指挥，决定重大事宜（决定应急预案的启动、灾难宣告、预警相关单位等）和调动应急资源。 第一百五十三条 农商行应按照湖南省农村信用社信息安全事件报告办法进行信息通报，一般信息安全事件应逐级通报，发生因人为、自然原因造成信息系统瘫痪以及利用计算机实施犯罪等影响和损失较大的信息安全事件（下称“重大信息安全事件”）应直接报省联社信息科技部。

第一百五十四条 重大信息安全事件发生后，农商行相关人员应注意保护事件现场，采取必要的控制措施，调查事件原因，并及时报告本单位主管领导。

第一百五十五条 农商行应在重大信息安全事件发生后的两小时内按规定程序报上一级科技信息部。    第一百五十六条 农商行办公室负责统一向社会发布应急事件公告，其他任何单位或个人不得向社会发布应急事件公告。

第十二章 安全检查评估与培训

第一节 监测检查

第一百五十七条 农商行科技信息部应整合和利用现有网络管理系统、计算机资源监控系统、专用安全监控系统以及相关设备与系统的运行日志等监控资源，加强对网络、重要信息系统和机房环境等设施的安全运行监测。 第一百五十八条 农商行科技信息部应建立运行监测周报、月报或季报办法，报送本单位信息安全工作领导小组和上一级科技信息部，抄送相关业务部门。 第一百五十九条 农商行要及时预警、响应和处置运行监测中发现的问题，发现重大隐患和运行事故应及时协调解决，并报上一级单位相关部门。

第一百六十条 农商行科技信息部应至少每年组织一次本单位或辖内的信息安全专项检查，安全检查方式可以是自查、互查或上级检查多种方式。 第一百六十一条 农商行在开展安全检查前应以安全管理办法为依据制订详细的检查方案和计划，确保检查工作的可操作性和规范性。安全检查完成后应及时形成检查报告，经本单位主管领导批准后将检查整改报告尽快送达被检查单位。要求限期整改的，需要对相关整改情况进行后续跟踪。 第一百六十二条 农商行参加检查的人员对检查中的涉密信息负有保密责任。所有检查报告和资料应作为湖南省农村信用社内部材料妥善保管，不得向外界泄露。 第一百六十三条 农商行应将每次安全检查报告和整改落实情况整理汇总后报上一级科技信息部备案。

第二节 评估审计

第一百六十四条 农商行科技信息部可采用自评估、检查评估和委托评估等方式，每年至少组织一次对本单位或辖内重要信息系统的安全评估。

第一百六十五条 安全评估应在不影响信息系统正常运行的情况下进行。评估开始前，应制定评估方案并进行必要的培训。评估结束后，形成评估报告，提出整改意见报本单位科技信息部主管领导。 第一百六十六条 农商行如聘请第三方机构进行安全评估，报省联社信息科技部批准，并与第三方评估机构签订安全保密协议后方可进行。本单位信息安全管理人员全程参与评估过程并实施监督。 第一百六十七条 农商行妥善保管信息安全评估报告，未经授权不得对外透露评估信息。

第一百六十八条 农商行定期对重要信息系统进行安全等级保护测评。开展等保测评工作应遵循《金融行业信息系统信息安全等级保护测评指南》和《金融行业信息安全等级保护测评服务安全指引》的有关规定，确保测评有效和测评安全。

第一百六十九条 农商行科技信息部在支持与配合内审部门开展信息安全工作审计的同时，应适时开展本单位和辖内的信息系统日常运行管理和信息安全事件全过程的技术审计，发现问题及时报本单位或上一级单位主管领导。 第一百七十条 农商行应做好操作系统、数据库管理系统等审计功能配置管理，并完整保留相关日志记录。

第三节 安全培训

第一百七十一条 农商行应至少每年对信息安全管理人员进行一次专业培训，不断提高信息安全管理人员专业技能和管理水平。

第一百七十二条 农商行应开展全员信息安全教育，对本单位全体正式和非正式员工进行必要的培训，提高全体员工信息安全意识，使全体员工充分了解其职责范围内的信息保护流程及违反规定的后果。

第十三章 奖励与处罚

第一百七十三条 农商行将本单位和辖内信息安全管理工作纳入年度考评，对表现突出的单位和个人应进行通报表彰并给予一定形式的奖励。 第一百七十四条 对于违反本办法，造成重大信息安全事件的单位及个人，要给予通报批评；情节严重的，依据相关法律法规，追究其主管领导、相关部门负责人及直接责任人的责任；构成犯罪的，依法追究刑事责任。

第十四章 附 则

第一百七十五条 之前发布的其他信息安全管理办法有关规定条款如与本办法不一致的，按本办法执行。

第一百七十六条 本办法由邵阳市农村商业银行负责解释。

第12篇 创新信息安全管理

上世纪90年代以来，嘉兴电力局逐步建立了办公自动化(oa)、sap系统、营销管理、95598客户服务、负荷管理、pi数据库等诸多信息系统，企业信息化在安全生产、经营管理、优质服务中发挥了极其重要的作用。与此同时，信息安全的篱笆墙也越扎越紧，有效地防范了外部的攻击和内部管理失控带来的种种威胁。因此嘉兴电力局先后被中电联授予“信息化先进单位”、“信息化标杆企业”等光荣称号。2006年贯彻iso／iec27001：2005信息安全管理标准，获得了挪威船级社dnv公司认证证书。

运用系统的思想和方法，查找信息安全管理的“短板”

管理思想和方法落后。过去基本上是参照电网安全管理的一些传统做法，没有体现信息化特点和要求，这样就越来越不适应信息系统的快速发展和变革。

管理对象不够全面。以往只考虑硬件、软件，忽视了人、数据和文档、服务、无形资产等重要对象，对外来人员也缺乏有效的识别管理。

管理制度不够系统。以前虽然制订了不少制度和标准，但随着信息化的发展，这些制度逐渐变得与现实要求不相适应。就事论事的管理方式必然会产生安全管理的盲区，有些制度内容重复、交叉、不一致，有些制度不切合实际，往往束之高阁。

风险评估不够科学。以往的信息风险评估就事论事，不够系统，主观性过强，缺乏综合平衡，抓不住重点，易过度保护，或产生管理死角，事后控制多，事前预控少，不能涵盖信息系统的生命周期。

上述情形是企业在信息化建设中普遍感觉到比较迷茫的问题，随着科学技术的进步，企业信息运行管理模式也发生了巨大的变化，为企业采用先进管理方式、建立信息安全管理体系打下了扎实的基础。为此，嘉兴电力局根据国际上信息安全管理的最佳实践，结合供电企业的实际，从信息安全风险评估管理人手，贯彻iso／iec27001：2005信息安全管理标准，建立了信息安全管理体系。通过体系有效运作，达到了供电企业信息安全管理“预控、能控、可控、在控”的目的。

从资产识别入手，搞好信息安全风险评估

嘉兴电力局按《信息安全风险评估控制程序》，对所有的资产进行了列表识别，并识别了资产的所有者。这些资产包括硬件与设施、软件与系统、数据与文档、服务及人力资源。对每一项资产按自身价值、信息分类、保密性、完整性、法律法规符合性要求进行了量化赋值。在风险评估中，共识别资产2810项，其中确定的重要资产总数为312项，形成了《重要资产清单》。

图1重要信息资产按部门分布图

对重要的信息资产，由资产的所有者(归口管理部门)对其可能遭受的威胁及自身的薄弱点进行识别，并对威胁利用薄弱点发生安全事件的可能性以及潜在影响进行了赋值分析，确定风险等级和可接受程度，形成了《重要资产风险评估表》。针对每一项威胁、薄弱点，对资产造成的影响，考虑现有的控制措施，判定措施失效发生的可能性，计算风险等级，判断风险为可接受的还是需要处理的。根据风险评估的结果，形成风险处理计划。对于信息安全风险，应考虑控制措施与费用的平衡原则，选用适当的措施，确定是接受风险、避免风险，还是转移风险。

嘉兴电力局经过风险评估，确定了不可接受风险84项，其中硬件和设施52项，软件和系统0项，文档和数据8项，服务0项，人力资源24项。

图2各类不可接受风险按系统分布图

根据风险评估的结果，对可接受风险，保持原有的控制措施，同时按iso／iec17799：2005《信息技术—安全技术—信息安全管理实施细则》和系统应用的要求，对控制措施进行完善。针对不可接受风险，由各部门制定相应的安全控制措施。制定控制措施需要考虑风险评估的结果、管理与技术上的可行性、法律法规的要求，以期达到风险降低的目的。控制措施的实施将从避免风险、降低风险、转移风险等方面，将风险降低到可接受的水平。

按照iso标准要求，建立信息安全管理体系

嘉兴电力局在涉及生产、经营、服务和日常管理活动的信息系统，按iso／iec27001：2005《信息技术—安全技术—信息安全管理体系要求》规定，参照iso／iecl7799：2005《信息技术·安全技术—信息安全管理实施细则》，建立信息安全管理体系，简称isms。

确定信息安全管理体系覆盖范围，主要是根据业务特征、组织结构、地理位置、资产分布情况，涉及电力生产、营销、服务和日常管理的40个重要信息系统。信息安全管理的方针是：“全面、完整、务实、有效”。

为实现信息安全管理体系方针，该局承诺：在各层次建立完整的信息安全管理组织机构，确定信息安全目标和控制措施，明确信息安全的管理职责，识别并满足适用法律、法规和相关方信息安全要求；定期进行信息安全风险评估，采取纠正预防措施，保证体系的持续有效性，采用先进有效的设施和技术，处理、传递、储存和保护各类信息，实现信息共享；对全体员工进行持续的信息安全教育和培训，不断增强员工的信息安全意识和能力；制定并保持完善的业务连续性计划，实现可持续发展。按照信息安全管理方针的要求，制定的信息安全管理目标是：2级以上信息安全事件为零，不发生信息系统的中断、数据的丢失、敏感信息的泄密；不发生导致供电中断的信息事故；减少涉密有关的法律风险。

嘉兴电力局根据风险评估的结果、企业的系统现状和管理现状，按照iso／iec27001：2005标准要求，整合原有的企业信息安全管理标准、规章制度，形成了科学、严密的信息安全管理体系文件框架，包括信息安全管理手册；《信息安全风险评估管理程序》、《业务持续性管理程序》等53个程序文件，制定了16个支撑性作业文件。

运用过程方法，实施信息安全管理体系

在信息安全管理过程中，重点是抓好人员安全、风险评估、信息安全事件、保持业务持续性等重要环节，采取明确职责、动态检查、严格考核等措施，使信息安全走上常态管理之路。

图3信息安全管理体系实施过程

重视信息系统安全管理。因为信息系统支撑着企业的各项业务，信息安全管理体系实施涵盖信息系统的生命周期，表现在信息系统的软(硬)件购置、设备安装、软件开发和系统测试、上线、系统(权限)变更等方面，严格执行体系的相关控制程序。

强化人员安全管理。在劳动合同、岗位说明书中，明确员工信息安全职责。特殊岗位的人员规定特别的安全责任，对信息关键岗位实行备案制度。对岗位调动或离职人员，及时调整安全职责和权限。定期对员工进行信息安全教育和技能培训、比武、考试。

重视相关方管理。对软硬件供应商、服务商、保卫、消防、保洁等人员，明确安全要求和安全职责。签订保密协议、办理入网申请、进行入网教育等。识别客户、合作方、相关方、法律法规对信息安全的要求，采取措施，保证满足安全要求。

建立信息安全的常态管理机制。对企业技术、业务目标和过程、已识别的威胁、实施控制的有效性、外部事件变更情况应及时进行风险评估。定期对信息安全进行定期或不定期的监督检查，包括日常检查、专项检查、技术性检查、内部审核等。嘉兴电力局2006年内审发现了57个不符合项，及时进行纠正，解决了用户权限、a／b岗、第三方访问、机房管理等一些重点问题，从而保证了信息安全管理的质量，有效地防范了信息安全事件和事故的发生。

第13篇 信息安全管理规范和操作指南

1. 总则

(1)为了保证公司信息网络系统的安全，根据有关计算机、网络和信息安全的相关法律、法规和安全规定，结合公司信息网络系统建设的实际情况，特制定本规定。

(2)本规定所指的信息网络系统，是指由计算机（包括相关和配套设备）为终端设备，利用计算机、通信、网络等技术进行信息采集、处理、存储和传输的设备、技术、管理的组合。

(3)本规定适用于公司接入到公司网络系统的单机和局域网系统。

信息网络系统安全的含义是通过各种计算机、网络、密码技术和信息安全技术，在实现网络系统安全的基础上，保护信息在传输、交换和存储过程中的机密性、完整性和真实性。

2. 物理安全

(1)物理安全是指保护计算机网络设施以及其他媒体免遭地震、水灾、火灾等环境事故与人为操作失误或错误，以及计算机犯罪行为而导致的破坏。

网络设备、设施应配备相应的安全保障措施，包括防盗、防毁、防电磁干扰等，并定期或不定期地进行检查。

(2)对重要网络设备配备专用电源或电源保护设备，保证其正常运行。

3. 计算机的物理安全管理

(1)计算机指所有连接到公司信息网络系统的个人计算机、工作站、服务器、网络打印机及各种终端设备；

(2)使用人员应爱护计算机及与之相关的网络连接设备（包括网卡、网线、集线器、路由器等），按规定操作，不得对其实施人为损坏；

(3)计算机使用人员不得擅自更改网络设置，杜绝一切影响网络正常运行的行为发生；

(4)网络中的终端计算机在使用完毕后应及时关闭计算机和电源；

(5)客户机使用人员不得利用计算机进行违法活动。

4. 紧急情况

(1).火灾发生：切断电源，迅速报警，根据火情，选择正确的灭火方式灭火；

(2)水灾发生：切断电源，迅速报告有关部门，尽可能地弄清水灾原因，采取关闭阀门、排水、堵漏、防洪等措施；

(3)地震发生：切断电源，避免引发短路和火灾；

5. 网络系统安全管理

(1)网络系统安全的内涵包括四个方面：

1)机密性：确保信息不暴露给未授权的实体或进程；

2)完整性：未经授权的人不能修改数据，只有得到允许的人才能修改数据，并且能够分辨出被篡改的数据。

3)可用性：得到授权的实体在合法的范围内可以随时随地访问数据，网络的攻击者不能阻碍网络资源的合法使用。

4)可控性：可以控制授权范围内的信息流向和行为方式。可审查性：一旦出现安全问题，网络系统可以提供调查的依据和手段。接入internet公共信息网的重要信息网络系统须安装防火墙或其他安全设备。入网的安全设备必须具有国家保密局、公安部、中国国家信息安全测评认证中心的技术鉴定、销售许可和产品评测等资质，并符合国家的相关规定。

6. 网络安全检测。

(1)为使网络长期保持较高的安全水平，网络管理员应当用网络安全检测工具对网络系统进行安全性分析，及时发现并修正存在的安全漏洞。网络管理员在系统检测完成后，应编写检测报告，需详细记叙检测的对象、手段、结果、建议和实施的补救措施与安全策略。检测报告存入系统档案。

网络反病毒。病毒的危害性巨大，对系统和信息的破坏程度具有不可测性，计算机用户和系统管理员应针对具体情况采取预防病毒技术、检测病毒技术和杀毒技术。

7. 信息系统安全管理

(1)信息安全是指通过各种计算机、网络和密码技术，保护信息在传输、交换和存储过程中的机密性、完整性和真实性。具体包括以下几个方面。

1)信息处理和传输系统的安全

系统管理员应对处理信息的系统进行详细的安全检查和定期维护，避免因为系统崩溃和损坏而对系统内存储、处理和传输的信息造成破坏和损失。

2)信息内容的安全

侧重于保护信息的机密性、完整性和真实性。系统管理员应对所负责系统的安全性进行评测，采取技术措施对所发现的漏洞进行补救，防止窃取、冒充信息等。

3)信息传播安全

要加强对信息的审查，防止和控制非法、有害的信息通过我司的信息网络系统传播，避免对国家利益、公共利益以及个人利益造成损害。

涉及商业机密文件必须采用rms权限管理服务进行文件保护，以免外泄。

8. 信息系统的内部管理

(1)各部门向网络系统提交信息前要作好查毒、杀毒工作，确保信息文件无毒上载；

(2)根据情况，采取网络病毒监测、查毒、杀毒等技术措施，提高网络的整体抗病毒能力；部门负责的重要信息必须作好备份；

（3）网站和栏目信息的负责部门必须对所发布信息制定审查制度，对信息来源的合法性，发布范围，信息栏目维护的负责人等做出明确的规定。信息发布后还要随时检查信息的完整性、合法性；如发现被删改，应及时报告综合部；

(4)涉及商业秘密的信息的存储、传输等应指定专人负责，并严格按照国家有关保密的法律、法规执行；

(5)涉及商业机密的项目招标、投标标注等信息，未经所属单位安全主管负责人的批准不得在网络上发布和明码传输；

(6)个人计算机中的涉密文件不可设置为共享，个人电子邮件的收发要实行病毒查杀。

(7)信息加密

1).涉及商业秘密的信息，其电子文档资料须加密存储；

2).涉及公司和部门利益的敏感信息的电子文档资料应当加密存储；

3）.涉及社会安定的敏感信息的电子文档资料应当加密存储；

4）.涉及公司秘密、与部门利益和社会安定的秘密信息和敏感信息在传输过程中视情况及国家的有关规定采用文件加密传输或链路传输加密。

（8）公司内任何组织和个人不得从事以下活动：

1）.利用信息网络系统制作、传播、复制有害信息；

2）.入侵他人计算机；

3）.未经允许使用他人在信息网络系统中未公开的信息；

4).未经授权对信息网络系统中存储、处理或传输的信息（包括系统文件和应用程序）进行增加、修改、复制和删除等；

5).未经授权查阅他人邮件；

6).盗用他人名义发送电子邮件；

7).故意干扰网络的畅通运行；

8).从事其他危害信息网络系统安全的活动。

9. 密码管理

(1).具有密码功能的计算机、网络设备等系统处理公司秘密信息，必须使用密码对用户的身份进行验证和确认。对于重要网络系统，各部门要有一个负责人，负责日常的密码管理工作。

(2).负责人负责给新增加的员工分配初始密码；指导员工正确使用密码；检查员工使用密码情况；帮助员工开启被锁定的密码，对非法操作及时查明原因；解决密码使用过程中出现的问题；协助员工保护公司秘密不受侵害；定期向主管领导汇报密码使用情况和需要解决的问题。

(3).定期更换密码。密码的最长使用时间不能超过三个月，在涉密较多、人员复杂、保密条件较差的地方应尽可能缩短密码的使用时间。当密码使用期满时，应更换新的密码。

(4)负责人必须有能力更改密码。当密码使用期满、被其他人知悉或认为密码不安全或失效时，最终员工可使用公司邮箱给系统管理员提交密码重置申请，非公司邮箱提交的申请不予进行处理。

(5).系统管理员重置密码后，最终员工首次登陆必须要进行修改密码，不得使用前三次使用过的密码。

(6).对密码数据库的访问和存取必须加以控制，以防止密码被非法修改或泄露。

(7).当系统提供的访问和存取控制机制不够完善时或机制虽然完善，但可能出现系统转储等情况时，应对存储的密码加密。

密码的等级应当符合以下要求：

1).初始密码应当由系统管理员集中产生供用户使用，并有密码更换记录，不得由员工产生；

2).密码的复杂性要求密码长度不得小于8个字符，要包含大写、小写、特殊字符、阿拉伯数字中的任意三种，密码更换周期不得长于三个月；

3).密码必须加密存储，并且保证密码存放载体的物理安全；

员工应记住自己的密码，不应把它记载在不保密的媒介物上，严禁张贴密码。

恶意软件管理

4).公司所有联网计算机必须安装防病毒软件，安装后不得自行关闭和卸载，对擅自卸载或不按规定使用防病毒软件的人员，如造成损失，应承担相应的责任；

5).由于特殊原因不能安装防病毒客户端软件的电脑，须记录相关原因。

技术部负责对所有客户端的杀毒软件进行管理和监控，全体人员必须服从和配合。在正常运行过程中，不得随意关闭或退出。若因特殊情况需临时暂停客户端运行者，应经技术部同意方可执行；

6).如发现病毒，相关使用人应立即上报，及时联系技术部人员对感染机器进行有效的隔离，清除病毒的后检查其最近使用过的软盘、光盘和移动存储设备，以免漏杀，未清除病毒的计算机不得入网；

7).对因病毒引起的计算机信息系统瘫痪，程序和数据严重破坏等重大事故应及时采取隔离措施，并及时公司技术部报告；

8).不得向他人提供含有计算机病毒的文件、软件、媒体。禁止在计算机上装载与工作无关的软件，特别是游戏软件、盗版软件等；

9).禁止从internet网络随意上下载程序、数据，以及外来程序和文档。如确实需要，应当先进行病毒检测后使用。在网上发布的文件文档，发件人应主动用查病毒软件检查并确认安全后方可发出，收件人发现病毒，应立即杀毒，并通知发件人；

10).不得打开可疑的或陌生人发送来的邮件及附件，必要时直接删除；对认定为清除不了含有病毒的文件，技术部有权直接删除，以防病毒扩散、蔓延。

外来的软盘、光盘和移动存储设备等应先进行杀毒检查后使用。当在光盘、u盘、移动存设备上发现病毒后应立即报告技术部，并及时加以标识，不得在其他计算机上再使用，避免病毒的传播；

11).除打印机可以共享外，服务器与工作站的硬盘尽量不设置为共享，文件目录一般不进行网络共享。特殊情况需进行目录共享的必须设定密码，一旦使用完毕后必须立即关闭共享，或加强对该机器的病毒检查；

12).对购置、维修、借入的计算机及其他网络存储设备，应当及时进行病毒检测；

13).对于关键部门的关键数据要经常进行备份，且异地存放，以备数据破坏后恢复。

第14篇 信息技术有限公司人员信息安全管理规定

____信息技术有限公司人员信息安全管理规定

____信息技术有限公司

人员信息安全管理规定

第一章总则

第一条本规定旨在加强____信息技术有限公司的人员信息安全管理，要求公司员工知晓和理解公司信息安全管理相关规

定，承担并切实履行本岗位相应的信息安全职责。

本规定

中还明确了员工入职、转岗、离职各环节的信息安全具体

管理要求，确保公司人员信息安全策略目标的实现。

第二条本规定适用于____信息技术有限公司员工信息安全管理相关的活动。

第二章内外部人员管理

第三条本规定中所指“人员”不仅包括____信息技术有限公司人力资源管理部门编制内的正式员工，也包括借调、轮岗、派

遣的内部人员，其工作内容和性质与人力资源管理部门编

制内正式员工一致，包括研发人员、咨询人员、运维支持

人员、技术支持人员等。

所有人员的信息安全管理应严格

遵照本规定执行，并根据本规定的各项要求进行管理和考

核。

第四条为____信息技术有限公司提供服务的外部服务提供商及合作方的人员视为“第三方人员”，其人员信息安全管理的具

体要求见《____信息技术有限公司第三方信息安全管理规

定》。

2 / 5第三章人员招聘入职管理

第五条各部门应遵循____信息技术有限公司信息安全管理策略，按照安全管理各项制度的要求，根据本部门已规划和上报

的岗位设置情况，明确各岗位信息安全职责具体要求。

第六条对于重要岗位或敏感岗位需要进行人员的背景调查时，人力资源管理部门可以采用电话、电子邮件、纸质材料、公

函或其它方式，调查记录应妥善保存。

背景调查通常包含

以下内容：

（一）学历和工作经历

（二）犯罪记录

（三）竞业禁止

第七条在新员工的劳动合同中应明确规定员工需承担的包括保密要求在内的信息安全责任；也可根据实际情况签订单独

的保密协议。

第四章人员在职与转岗管理

第八条员工在职期间，必须遵守公司信息安全相关管理规定，履行合同、保密协议所规定的信息安全职责，发现信息安全

事件及时报告，并配合公司相关部门和人员进行事件的处

理。

第九条为保证员工能够充分履行信息安全职责，各部门应积极开展提高员工信息安全意识与技能的各项培训，并对培训效

果进行回顾。

3. / 5第十条各部门应对重要岗位或敏感岗位采取岗位轮换措施，也可采取强制休假等管理措施。

此外，重要岗位应设置a/b

角以实现人员备份和互相监督。

第十一条员工办理调动手续过程中，相关部门应及时处理该员工在各信息系统内的个人账号（包括帐号和权限的调整、变

更等），风险控制与信息安全部对帐号和权限处理情况进

行审核与检查。

第十二条对员工在职期间违反公司信息安全管理制度的行为，各部门应进行处理。

第五章人员离职安全管理

第十三条员工离职时，人员所在部门应依照该员工签署的保密协议，审核其脱密期，并明确告知其在离职后的信息安全保

密责任。

第十四条员工离职时应列出信息资产交接清单，及时交还公司相关信息资产和物品，并由归还资产的接收部门进行审核和

确认。

第十五条员工办理离职手续过程中，相关部门应及时处理该员工在各信息系统内的个人账号（包括帐号禁用、删除等），

信息技术中心对帐号和权限处理情况进行抽查。

审查内容

通常包括：

（一）公司资产（办公电脑等）已交回。

（二）e_mail邮箱功能已删除或禁用。

4 / 5

第15篇 区二中网络与信息安全管理应急预案

二中网络与信息安全管理应急预案

为确保网络正常使用,充分发挥网络在信息时代的作用,促进教育信息化健康发展,根据国务院《互联网信息服务管理办法》和有关规定,特制订本预案,妥善处理危害网络与信息安全的突发事件,最大限度地遏制突发事件的影响和有害信息的扩散。

一、危害网络与信息安全突发事件的应急响应

1.如在局域网内发现病毒、木马、黑客入侵等

网络管理中心应立即切断局域网与外部的网络连接。如有必要,断开局内各电脑的连接,防止外串和互串。

2.突发事件发生在校园网内或具有外部ip地址的服务器上的,学校应立即切断与外部的网络连接,如有必要,断开校内各节点的连接;突发事件发生在校外租用空间上的,立即与出租商联系,关闭租用空间。

3.如在外部可访问的网站、邮件等服务器上发现有害信息或数据被篡改,要立即切断服务器的网络连接,使得外部不可访问。防止有害信息的扩散。

4.采取相应的措施,彻底清除。如发现有害信息,在保留有关记录后及时删除,(情况严重的)报告市教育局和公安部门。

5.在确保安全问题解决后,方可恢复网络(网站)的使用。

二、保障措施

1.加强领导,健全机构,落实网络与信息安全责任制。建立由主管领导负责的网络与信息安全管理领导小组,并设立安全专管员。明确工作职责,落实安全责任制;bbs、聊天室等交互性栏目要设有防范措施和专人管理。

2.局内网络由网管中心统一管理维护,其他人不得私自拆修设备,擅接终端设备。

3.加强安全教育,增强安全意识,树立网络与信息安全人人有责的观念。安全意识淡薄是造成网络安全事件的主要原因,各校要加强对教师、学生的网络安全教育,增强网络安全意识,将网络安全意识与政治意识、责任意识、保密意识联系起来。特别要指导学生提高他们识别有害信息的能力,引导他们正健康用网。

4.不得关闭或取消防火墙。保管好防火墙系统管理密码。每台电脑安装杀毒软件,并及时更新病毒代码。