企業(yè)信息安全規(guī)范

信息安全管理規(guī)范第一章總則第一條為規(guī)范企業(yè)信息系統(tǒng)及所承擔(dān)維護(hù)服務(wù)的用戶信息系統(tǒng)的信息安全第二條本規(guī)范是指導(dǎo)公司信息安全工作的基本依據(jù)，信息安全相關(guān)人員必安全制度實(shí)施細(xì)則，做好安全維護(hù)管理工作。第三條信息安全是公司及所承擔(dān)的用戶信息系統(tǒng)系統(tǒng)運(yùn)維服務(wù)工作的重要源。第四條本規(guī)范的適用范圍包括所有與公司信息系統(tǒng)及本公司所承擔(dān)維護(hù)服務(wù)的各方面相關(guān)聯(lián)的人員，它適用于本公司全部員工，集成商，軟件開發(fā)商，產(chǎn)品提供商，商務(wù)伙伴和使用公司信息系統(tǒng)的其他第三方。第五條本規(guī)范適用于公司所承擔(dān)服務(wù)支撐的外部各單位的信息系統(tǒng)的安全工作范圍。第六條本規(guī)范主要依據(jù)國際標(biāo)準(zhǔn)ISO17799,并遵照我國信息安全有關(guān)法律法規(guī)、電信行業(yè)規(guī)范和相關(guān)標(biāo)準(zhǔn)。第二章安全管理的主要原則第七條管理與技術(shù)并重的原則：信息安全不是單純的技術(shù)問題，在采用安全面提高信息安全管理水平。第八條全過程原則：信息安全是一個系統(tǒng)工程，應(yīng)將它落實(shí)在系統(tǒng)建設(shè)、同步運(yùn)行的原則，在任何一個環(huán)節(jié)的疏忽都可能給信息系統(tǒng)帶來危害。第九條風(fēng)險管理和風(fēng)險控制原則：應(yīng)進(jìn)行安全風(fēng)險管理和風(fēng)險控制，以可并將其帶來的危害最小化。第十條分級保護(hù)原則：應(yīng)根據(jù)信息資產(chǎn)的重要程度以及面臨的風(fēng)險大小等因素決定各類信息資產(chǎn)的安全保護(hù)級別。制訂各類網(wǎng)絡(luò)系統(tǒng)和信息資產(chǎn)的安全保護(hù)等級表，在表中明確資產(chǎn)類別，同時確定對何種資產(chǎn)應(yīng)達(dá)到何種級別的安全。導(dǎo)與監(jiān)督下，負(fù)責(zé)具體實(shí)施。安全性和操作便利性之間找到最佳的平衡點(diǎn)。第十三條動態(tài)管理原則：在公司信息安全管理過程中，應(yīng)遵循動態(tài)管理原則，要針對信息系統(tǒng)環(huán)境的變動情況及時調(diào)整管理辦法。第三章安全組織和職責(zé)關(guān)系，并支持和推動信息安全工作在整個信息系統(tǒng)范圍內(nèi)的實(shí)施。相關(guān)工作。第十六條公司信息系統(tǒng)的安全管理機(jī)構(gòu)職責(zé)如下：根據(jù)本規(guī)范制定信息系統(tǒng)的信息安全管理制度、標(biāo)準(zhǔn)規(guī)范和執(zhí)行程序；監(jiān)督和指導(dǎo)信息安全工作的貫徹和實(shí)施；考核和檢查信息系統(tǒng)的信息安全工作情況，定期進(jìn)行安全風(fēng)險評估，并對出現(xiàn)的安全問題提出解決方案；負(fù)責(zé)安全管理員的選用和監(jiān)督；參與信息系統(tǒng)相關(guān)的新工程建設(shè)和新業(yè)務(wù)開展的方案論證，并提出相應(yīng)的安全方面的建議；在信息系統(tǒng)相關(guān)的工程驗(yàn)收時，對信息安全方面的驗(yàn)收測試方案進(jìn)行審查并參與驗(yàn)收。第四章安全運(yùn)作管理第十七條信息資產(chǎn)鑒別和分類是整個公司信息安全管理的基礎(chǔ)，這樣才能夠真正知道要保護(hù)的對象。第十八條制定信息資產(chǎn)鑒別和分類制度，鑒別信息資產(chǎn)的價值和等級，維護(hù)包含所有信息資產(chǎn)的清單。數(shù)據(jù)和信息進(jìn)行分類。作。患和安全風(fēng)險，了解安全現(xiàn)狀以及如何解決這些問題的方法。第二十二條進(jìn)行物理安全和環(huán)境安全的管理，建立機(jī)房管理制度。置更改管理制度，并進(jìn)行定期的審計和檢查。絕木馬和后門。建立源代碼控制和軟件版本控制機(jī)制。護(hù)第三方訪問的安全性。之成為其它所有管理程序的一部分。度培訓(xùn)。第三十條 對于員工違反安全策略和安全流程制定相應(yīng)的紀(jì)律處分規(guī)定行處罰。第五章信息安全技術(shù)體系建設(shè)素。度。第三十四條建立有效的審計和跟蹤機(jī)制，建立日志存儲、管理和分析機(jī)制，提高對安全事件的審計和事后追查能力。現(xiàn)、監(jiān)控、分析和處理安全事件和安全違背行為。對惡意代碼和病毒的預(yù)防和查殺措施，建立并遵守軟件管理策略。第六章