信息系統(tǒng)等級(jí)保護(hù)安全管理規(guī)定1

1、信息系統(tǒng)等級(jí)保護(hù)安全管理規(guī)定1某單位信息系統(tǒng)安全等級(jí)保護(hù)管理規(guī)定第一章總則第一條為加強(qiáng)某單位信息系統(tǒng)（以下簡稱“信息系統(tǒng)”）安 全管理，確保某單位信息安全，按照國家信息安全等級(jí)保護(hù)制度 和相關(guān)標(biāo)準(zhǔn)要求，結(jié)合工作實(shí)際，制定本規(guī)定。第二條信息系統(tǒng)安全管理遵循“確保安全、注重防范、分工 負(fù)責(zé)、規(guī)范管理”原則，以確保信息安全為中心，以抓好安全防 范為重點(diǎn)，分工負(fù)責(zé)，相互配合，認(rèn)真遵守有關(guān)信息安全的法律 法規(guī)和制度規(guī)定，共同做好信息系統(tǒng)的安全管理工作。第三條本規(guī)定適用于信息系統(tǒng)的安全管理。第四條本規(guī)定所指信息系統(tǒng)是由某單位規(guī)劃和建設(shè)內(nèi)的計(jì) 算機(jī)信息系統(tǒng)，包括所有非涉密信息系統(tǒng)。第二章組織領(lǐng)導(dǎo)和工作機(jī)制第

2、五條在某單位信息化工作領(lǐng)導(dǎo)小組（以下簡稱“領(lǐng)導(dǎo)小 組”）領(lǐng)導(dǎo)下，某單位信息化工作領(lǐng)導(dǎo)小組辦公室負(fù)責(zé)信息系統(tǒng) 的統(tǒng)一規(guī)劃、建設(shè)和管理，按照“誰建設(shè)誰管理、誰使用誰負(fù)責(zé)” 的原則，由某單位網(wǎng)絡(luò)信息中心負(fù)責(zé)信息系統(tǒng)安全的使用管理和 運(yùn)行維護(hù)。第六條網(wǎng)絡(luò)信息中心是單位信息化工作安全管理和運(yùn)行維護(hù)的部門，負(fù)責(zé)指定信息系統(tǒng)的系統(tǒng)管理員、安全管理員和安全審計(jì)員。系統(tǒng)管理員主要負(fù)責(zé)系統(tǒng)的日常運(yùn)行維護(hù)， 安全管理員主要負(fù)責(zé)系統(tǒng)的日常安全管理工作，安全審計(jì)員主要 負(fù)責(zé)對(duì)系統(tǒng)管理員和安全管理員的操作進(jìn)行審計(jì)和評(píng)估。安全管 理員和安全審計(jì)員不得為同一人。第七條應(yīng)結(jié)合某單位工作具體情況，制定有關(guān)信息系統(tǒng)安全 管理的相關(guān)

3、制度，建立健全保障信息安全的工作機(jī)制，采取切實(shí) 措施落實(shí)有關(guān)安全要求，確保信息系統(tǒng)與信息的安全。第三章規(guī)劃建設(shè)和測評(píng)審批第八條信息系統(tǒng)按照國家信息安全系統(tǒng)等級(jí)保護(hù)要求確定 保護(hù)等級(jí)，進(jìn)行規(guī)劃、設(shè)計(jì)、建設(shè)和運(yùn)行維護(hù)管理，并采取相應(yīng) 安全保護(hù)措施。第九條信息系統(tǒng)按照其受到破壞時(shí)所侵害的客體和對(duì)客體 造成侵害的程度，分為二級(jí)和三級(jí)，并分別采取相應(yīng)的保護(hù)措施。 某單位網(wǎng)絡(luò)信息中心統(tǒng)一負(fù)責(zé)信息系統(tǒng)的定級(jí)工作，并報(bào)山東省 公安廳備案。第十條信息系統(tǒng)應(yīng)根據(jù)其等保定級(jí)、行政級(jí)別、地域分布、 連接范圍等合理劃分安全域，安全域之間應(yīng)采取有效的隔離措 施。某單位內(nèi)部辦公系統(tǒng)應(yīng)當(dāng)與互聯(lián)網(wǎng)及其它公共網(wǎng)絡(luò)進(jìn)行物理 隔離。

4、第十一條信息系統(tǒng)安全體系的規(guī)劃、建設(shè)由某單位網(wǎng)絡(luò)信息 中心負(fù)責(zé)，統(tǒng)一采用防火墻、防病毒系統(tǒng)、入侵防御系統(tǒng)等安全 措施。安全體系的建設(shè)應(yīng)與信息系統(tǒng)建設(shè)同步進(jìn)行。第十二條信息系統(tǒng)的設(shè)計(jì)、建設(shè)須選擇具有相應(yīng)信息系統(tǒng)集 成資質(zhì)的單位承擔(dān)設(shè)計(jì)、開發(fā)、建設(shè)和運(yùn)行維護(hù)任務(wù)。信息系統(tǒng) 建設(shè)工程的監(jiān)理、檢測工作應(yīng)選擇具有相應(yīng)信息系統(tǒng)工程監(jiān)理、 檢測資質(zhì)的單位承擔(dān)。第十三條重要信息系統(tǒng)投入使用前有關(guān)風(fēng)險(xiǎn)評(píng)估、安全方案 設(shè)計(jì)、論證和等級(jí)保護(hù)測評(píng)等所需經(jīng)費(fèi)，系統(tǒng)建設(shè)使用單位應(yīng)在 系統(tǒng)規(guī)劃時(shí)按照一定比例統(tǒng)一納入系統(tǒng)建設(shè)經(jīng)費(fèi)預(yù)算予以解決。第十四條信息系統(tǒng)中使用的安全設(shè)備、系統(tǒng)軟件、應(yīng)用軟件 須采用國家主管部門認(rèn)定或認(rèn)可的

5、產(chǎn)品和設(shè)備，優(yōu)先選用國產(chǎn)設(shè) 備和系統(tǒng)。第十五條信息系統(tǒng)設(shè)計(jì)方案通過論證方可實(shí)施。某單位網(wǎng)絡(luò) 信息中心參與設(shè)計(jì)方案的論證、審查。設(shè)計(jì)方案中涉及密碼技術(shù) 產(chǎn)品的，須報(bào)山東省密碼管理局審批。第十六條重要信息系統(tǒng)建成后，選擇信息安全等級(jí)保護(hù)測評(píng) 機(jī)構(gòu)開展測評(píng)。信息安全等級(jí)保護(hù)測評(píng)機(jī)構(gòu)應(yīng)根據(jù)“中國信息安 全等級(jí)保護(hù)網(wǎng)”提供的全國等級(jí)保護(hù)測評(píng)機(jī)構(gòu)推薦目錄進(jìn)行 選擇。測評(píng)前應(yīng)與測評(píng)機(jī)構(gòu)簽訂工作協(xié)議和保密協(xié)議，對(duì)測評(píng)機(jī) 構(gòu)和測評(píng)人員的測評(píng)活動(dòng)進(jìn)行嚴(yán)格的監(jiān)督與管理。信息系統(tǒng)通過 測評(píng)后方可投入使用。第十七條信息系統(tǒng)不再使用時(shí)，某單位網(wǎng)絡(luò)信息中心負(fù)責(zé)廢 止管理工作。密碼設(shè)備退裝、銷毀等必須符合密碼設(shè)備管理的有 關(guān)

6、規(guī)定。第十八條某單位內(nèi)計(jì)算機(jī)連接互聯(lián)網(wǎng)須嚴(yán)格控制。確有工作需要的，經(jīng)中心有關(guān)領(lǐng)導(dǎo)審批同意后，由網(wǎng)絡(luò)信息中心實(shí)施互聯(lián) 網(wǎng)接入。連接互聯(lián)網(wǎng)的計(jì)算機(jī)應(yīng)做到專機(jī)專用，確保其與內(nèi)部信 息系統(tǒng)物理隔離，并不得處理、存儲(chǔ)內(nèi)部工作信息。第四章使用管理與運(yùn)行維護(hù)第十九條信息系統(tǒng)應(yīng)具備文檔化的系統(tǒng)安全管理策略，每六 個(gè)月對(duì)系統(tǒng)安全管理策略進(jìn)行審核，如果系統(tǒng)、環(huán)境等發(fā)生較大 變化時(shí)，應(yīng)及時(shí)更新安全管理策略。第二十條信息系統(tǒng)應(yīng)當(dāng)處于安全可控環(huán)境中，其機(jī)房建設(shè)應(yīng) 符合與信息安全等級(jí)相對(duì)應(yīng)的標(biāo)準(zhǔn)要求，具有防火、防水、防雷、 防靜電、防盜監(jiān)控和供電、溫控保障設(shè)施。計(jì)算機(jī)和設(shè)備應(yīng)放置 在安全可控的區(qū)域。第二十一條接入內(nèi)部辦公

7、網(wǎng)的服務(wù)器、計(jì)算機(jī)和設(shè)備不得再 接入互聯(lián)網(wǎng)使用，也不得使用無線網(wǎng)卡、無線鍵盤、無線鼠標(biāo)、 藍(lán)牙設(shè)備等無線設(shè)備。第二十二條應(yīng)當(dāng)建立計(jì)算機(jī)（包括服務(wù)器、用戶終端）、網(wǎng) 絡(luò)設(shè)備、外部設(shè)備等信息設(shè)備臺(tái)帳，并按重要性和用途進(jìn)行標(biāo)識(shí)。第二十三條傳遞或攜帶核心信息系統(tǒng)中使用的移動(dòng)設(shè)備外 出應(yīng)履行審批、登記手續(xù)，選擇可靠的交通工具，確保設(shè)備處于 攜帶人的有效控制之下。不得帶設(shè)備到與工作無關(guān)場所。第二十四條應(yīng)對(duì)信息系統(tǒng)所有計(jì)算機(jī)及時(shí)升級(jí)病毒庫，進(jìn)行病毒查殺；及時(shí)安裝操作系統(tǒng)、數(shù)據(jù)庫和應(yīng)用系統(tǒng)補(bǔ)丁 程序。第二十五條信息系統(tǒng)應(yīng)當(dāng)采取身份鑒別、訪問控制、安全審 計(jì)、違規(guī)外聯(lián)監(jiān)控等技術(shù)保護(hù)措施。審計(jì)日志記錄需長期保存。第二十六條通過信息系統(tǒng)發(fā)布信息，按照“誰發(fā)布、誰負(fù)責(zé)” 的原則進(jìn)行嚴(yán)格審批，建立審批程序，明確責(zé)任單位和責(zé)任人， 做好發(fā)布信息的記錄工作。第二十七條嚴(yán)格限制從互聯(lián)網(wǎng)向核心信息系統(tǒng)復(fù)制信息，確 需復(fù)制的應(yīng)采取嚴(yán)格的技術(shù)防護(hù)措施，防止病毒、木馬等的導(dǎo)入 傳播。第二十八條在信息系統(tǒng)中，對(duì)用戶的授權(quán)應(yīng)按照最小授權(quán)原 則，只授予其滿足開展工作所需的最小訪問權(quán)限，不得隨意擴(kuò)大 用戶的訪問范圍或提高權(quán)限等級(jí)。安全審計(jì)員應(yīng)做好對(duì)授權(quán)管理 和訪問控制策略的監(jiān)督、審核工作。第二十九條應(yīng)建立信息系統(tǒng)應(yīng)急安全響應(yīng)制度，制定應(yīng)急處 理預(yù)案，建立系統(tǒng)備份與恢復(fù)策略，對(duì)關(guān)鍵系統(tǒng)、關(guān)鍵設(shè)備和關(guān) 鍵數(shù)據(jù)每三個(gè)月進(jìn)行全量備份，