信息風險評估相關制度-信息安全管理相關制度

1、信息風險評估相關制度信息風險評估相關制度信息安全管理相關制度信息安全管理相關制度1總則總則第1條為規(guī)范信息安全管理工作，加強過程管理和基礎設施管理的風險分析及防范，建立安全責任制，健全安全內(nèi)控制度，保證信息系統(tǒng)的機密性、完整性、可用性，特制定本規(guī)定。2適用范圍適用范圍第2條本規(guī)定適用于。3管理對象管理對象第3條管理對象指組成計算機信息系統(tǒng)的系統(tǒng)、設備和數(shù)據(jù)等信息資產(chǎn)和人員的安全。主要范圍包括:人員安全、物理環(huán)境安全、資產(chǎn)識別和分類、風險

2、管理、物理和邏輯訪問控制、系統(tǒng)操作與運行安全、網(wǎng)絡通訊安全、信息加密與解密、應急與災難恢復、軟件研發(fā)與應用安全、機密資源管理、第三方與外包安全、法律和標準的符合性、項目與工程安全控制、安全檢查與審計等。4第四章術語定義第四章術語定義DMZ:用于隔離內(nèi)網(wǎng)和外網(wǎng)的區(qū)域，此區(qū)域不屬于可信任的內(nèi)網(wǎng)，也不是完全開放給因特網(wǎng)。容量:分為系統(tǒng)容量和環(huán)境容量兩方面。系統(tǒng)容量包括CPU、內(nèi)存、硬盤存儲等。環(huán)境容量包括電力供應、濕度、溫度、空氣質(zhì)量等。安全

3、制度:與信息安全相關的制度文檔，包括安全管理辦法、標準、指引和程序等。安全邊界:用以明確劃分安全區(qū)域，如圍墻、大廈接待處、網(wǎng)段等。惡意軟件:包括計算機病毒、網(wǎng)絡蠕蟲、木馬、流氓軟件、邏輯炸彈等。備份周期:根據(jù)備份管理辦法制定的備份循環(huán)的周期，一個備份周期的內(nèi)容相當于一個完整的全備份。系統(tǒng)工具:能夠更改系統(tǒng)及應用配臵的程序被定義為系統(tǒng)工具，如系統(tǒng)管理、維護工具、調(diào)試程序等。消息驗證:一種檢查傳輸?shù)碾娮酉⑹欠裼蟹欠ㄗ兏蚱茐牡募夹g，它可以

4、在硬件或軟件上實施。數(shù)字簽名:一種保護電子文檔真實性和完整性的方法。例如，在電子商務中可以使用它驗證誰簽署電子文檔，并檢查已簽署文檔的內(nèi)容是否被更改。信息處理設備:泛指處理信息的所有設備和信息系統(tǒng)，包括網(wǎng)絡、服務器、個人電腦和筆記本電腦等。不可抵賴性服務:用于解決交易糾紛中爭議交易是否發(fā)生的機制。電子化辦公系統(tǒng):包括電子郵件、KOA系統(tǒng)以及用于業(yè)務信息傳送及共享的企業(yè)內(nèi)部網(wǎng)。5安全制度方面安全制度方面5.1安全制度要求5.1.1本制度的

5、詮釋第4條所有帶有“必須”的條款都是強制性的。除非事先得到安全管理委員會的認可，否則都要堅決執(zhí)行。其它的條款則是強烈建議的，只要實際可行就應該被采用。第5條所有員工都受本制度的約束，各部門領導有責任確保其部門已實施足夠的安全控制措施，以保護信息安全。第6條各部門的領導有責任確保其部門的員工了解本安全管理制度、相關的標準和程序以6.1.2信息安全職責分配第17條信息管理部門作為信息安全管理部門，負責信息安全管理策略制定及實施，其主要職責:

6、（一）負責全公司信息安全管理和指導（二）牽頭制訂全公司信息安全體系規(guī)范、標準和檢查指引，參與我司信息系統(tǒng)工程建設的安全規(guī)劃（三）組織全公司安全檢查（四）配合全公司安全審計工作的開展（五）牽頭組織全公司安全管理培訓（六）負責全公司安全方案的審核和安全產(chǎn)品的選型、購臵。（七）依據(jù)本規(guī)定、安全規(guī)范、技術標準、操作手冊實施各類安全策略。（八）負責各類安全策略的日常維護和管理。第18條各分公司信息管理部門作為信息安全管理部門，其主要職責:（一）根

7、據(jù)本規(guī)定、信息安全體系規(guī)范、標準和檢查指引，組織建立安全管理流程、手冊（二）組織實施內(nèi)部安全檢查（三）組織安全培訓（四）負責機密信息和機密資源的安全管理（五）負責安全技術產(chǎn)品的使用、維護、升級（六）配合安全審計工作的開展（七）定期上報本單位信息系統(tǒng)安全情況，反饋安全技術和管理的意見和建議。（八）依據(jù)本規(guī)定、安全規(guī)范、技術標準、操作手冊實施各類安全策略。（九）負責各類安全策略的日常維護和管理。6.1.3信息處理設備的授權第19條新設備的采

8、購和設備部署的審批流程應該充分考慮信息安全的要求。第20條新設備在部署和使用之前，必須明確其用途和使用范圍，并獲得安全管理委員會的批準。必須對新設備的硬件和軟件系統(tǒng)進行詳細檢查，以確保它們的安全性和兼容性。第21條除非獲得安全管理委員會的授權，否則不允許使用私人的信息處理設備來處理公司業(yè)務信息或使用公司資源。6.1.4獨立的信息安全審核第22條必須對公司信息安全控制措施的實施情況進行獨立地審核，確保公司的信息安全控制措施符合管理制度的要

9、求。審核工作應由公司的審計部門或?qū)ｉT提供此類服務的第三方組織負責執(zhí)行。負責安全審核的人員必須具備相應的技能和經(jīng)驗。第23條獨立的信息安全審核必須每年至少進行一次。6.2第三方訪問的安全性6.2.1明確第三方訪問的風險第24條必須對第三方對公司信息或信息系統(tǒng)的訪問進行風險評估，并進行嚴格控制，相關控制須考慮物理上和邏輯上訪問的安全風險。只有在風險被消除或降低到可接受的水平時才允許其訪問。第25條第三方包括但不限于:1)硬件和軟件廠商的支持