大學(xué)信息安全組織及職責(zé)管理規(guī)定

大學(xué)信息安全組織及職責(zé)管理規(guī)定第一章總則第一條為了加強(qiáng)**大學(xué)信息安全組織及職責(zé)的統(tǒng)一管理，確定信息安全管理的組織機(jī)構(gòu)和職責(zé)，特制定本規(guī)定。第二條本規(guī)定適用于**大學(xué)信息安全組織機(jī)構(gòu)和相關(guān)崗位安全職責(zé)。第二章信息安全組織機(jī)構(gòu)第三條信息安全是所有工作人員必須共同承擔(dān)的責(zé)任，應(yīng)建立由信息安全領(lǐng)導(dǎo)小組和信息安全工作組共同構(gòu)建的安全管理機(jī)構(gòu)。第四條為確保信息安全，建立信息安全領(lǐng)導(dǎo)小組，信息安全領(lǐng)導(dǎo)小組由主管信息安全的領(lǐng)導(dǎo)擔(dān)任組長，小組成員包括：（一）信息中心主管領(lǐng)導(dǎo)，擔(dān)任信息安全領(lǐng)導(dǎo)小組副組長;（二）相關(guān)部門主管領(lǐng)導(dǎo)。第五條信息安全工作組是信息安全工作的執(zhí)行機(jī)構(gòu)，由信息管理中心主任擔(dān)任信息安全工作主管，小組成員由信息中心各部門工作人員組成，負(fù)責(zé)執(zhí)行安全主管交辦的各項(xiàng)工作。第六條為做好突發(fā)信息系統(tǒng)安全事故的處置工作，提高對信息系統(tǒng)安全突發(fā)事件的處置能力，設(shè)立信息安全事件應(yīng)急響應(yīng)工作小組，小組成員由相關(guān)部門領(lǐng)導(dǎo)、責(zé)任人及信息安全工作組成員共同組成。第三章信息安全組織職責(zé)第七條信息安全是所有工作人員必須共同承擔(dān)的責(zé)任,信息安全領(lǐng)導(dǎo)小組是信息安全工作的最高領(lǐng)導(dǎo)決策機(jī)構(gòu)，負(fù)責(zé)信息安全工作的宏觀管理。第八條信息安全領(lǐng)導(dǎo)小組的職責(zé)是：（一）貫徹執(zhí)行國家、教育部關(guān)于信息安全工作的方針、政策，組織落實(shí)信息安全體系建設(shè)工作的目標(biāo)、方針、政策；（二）審定信息安全相關(guān)策略、規(guī)范及管理規(guī)定；（三）監(jiān)督、檢查信息安全相關(guān)制度的落實(shí)與執(zhí)行情況；（四）協(xié)調(diào)指揮信息安全重大突發(fā)事件的應(yīng)急處理；（五）完成上級交辦的有關(guān)工作。第九條信息安全工作組直接負(fù)責(zé)各信息系統(tǒng)安全建設(shè)、運(yùn)行、維護(hù)等安全管理工作。信息安全工作組的職責(zé)是：（一）負(fù)責(zé)制定中心信息安全相關(guān)策略、規(guī)范及管理規(guī)定。（二）負(fù)責(zé)中心信息安全管理工作及日常工作的落實(shí)。（三）督促信息安全重大突發(fā)事件應(yīng)急預(yù)案的落實(shí)。第十條信息安全應(yīng)急響應(yīng)工作組負(fù)責(zé)處理信息系統(tǒng)發(fā)生的重大事故或突發(fā)事件。職責(zé)是：（一）負(fù)責(zé)編制應(yīng)急響應(yīng)預(yù)案、信息安全事件應(yīng)急處置流程和措施；（二）負(fù)責(zé)組織協(xié)調(diào)、處置和上報(bào)信息安全事件；（三）負(fù)責(zé)總結(jié)匯報(bào)信息安全事件處置情況和結(jié)果。第四章相關(guān)崗位信息安全職責(zé)第十一條安全管理員不能兼任網(wǎng)絡(luò)管理員、系統(tǒng)管理員、數(shù)據(jù)管理員，信息安全組織中建立設(shè)置信息安全崗位,并明確各崗位安全職責(zé)。第十二條信息安全工作主管的崗位職責(zé)如下：（一）組織、協(xié)調(diào)落實(shí)各項(xiàng)信息安全工作；（二）組織評審信息安全總體策略、規(guī)劃方案、管理制度和技術(shù)規(guī)范；（三）組織監(jiān)督、檢查信息安全工作的落實(shí)情況。第十三條，安全管理員的職責(zé)如下：（一）定期進(jìn)行安全檢查，檢查內(nèi)容包括系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和數(shù)據(jù)備份等情況；（二）組織信息系統(tǒng)的安全風(fēng)險(xiǎn)評估工作，形成安全現(xiàn)狀評估報(bào)告，并向安全主管報(bào)告信息安全整體情況；（三）負(fù)責(zé)制定總體網(wǎng)絡(luò)訪問控制策略和規(guī)則，并對其進(jìn)行監(jiān)控和審計(jì)工作，定期發(fā)布策略執(zhí)行情況；（四）負(fù)責(zé)制定全員的安全培訓(xùn)計(jì)劃，組織開展安全培訓(xùn)工作；（五）負(fù)責(zé)溝通、協(xié)調(diào)和組織處理信息安全事件，確保信息安全事件能夠及時(shí)處置和響應(yīng)。第十四條網(wǎng)絡(luò)管理員的安全職責(zé)如下：（一）負(fù)責(zé)中心網(wǎng)絡(luò)及安全設(shè)備的配置、部署、運(yùn)行維護(hù)和日常管理工作；（二）負(fù)責(zé)編制網(wǎng)絡(luò)及安全設(shè)備的安全配置標(biāo)準(zhǔn)；（三）能夠及時(shí)發(fā)現(xiàn)、處理網(wǎng)絡(luò)及安全設(shè)備的故障和相關(guān)安全事件，并能及時(shí)上報(bào)，減少信息安全事件的擴(kuò)大和影響。第十五條數(shù)據(jù)管理員的安全職責(zé)如下：（一）負(fù)責(zé)數(shù)據(jù)的備份、恢復(fù)、測試及安全存儲；（二）負(fù)責(zé)數(shù)據(jù)存儲、備份以及存儲備份設(shè)備的日常安全運(yùn)行管理工作；（三）能夠及時(shí)發(fā)現(xiàn)、處理數(shù)據(jù)存儲和備份的相關(guān)安全事件，并能根據(jù)流程及時(shí)上報(bào)，減少信息安全事件的擴(kuò)大和影響。第十六條系統(tǒng)管理員的安全職責(zé)如下：（一）負(fù)責(zé)服務(wù)器和終端的日常安全管理工作，確保操作系統(tǒng)的漏洞最小化，保障主機(jī)設(shè)備安全穩(wěn)定運(yùn)行；（二）負(fù)責(zé)編制操作系統(tǒng)的安全配置標(biāo)準(zhǔn)；（三）能夠及時(shí)發(fā)現(xiàn)、處理主機(jī)和操作系統(tǒng)相關(guān)安全事件，并能根據(jù)流程及時(shí)上報(bào)，減少信息安全事件的擴(kuò)大和影響。第十七條應(yīng)用管理員的安全職責(zé)如下：（一）負(fù)責(zé)支持和協(xié)助所管轄?wèi)?yīng)用系統(tǒng)中涉及信息安全的相關(guān)標(biāo)準(zhǔn)、規(guī)范與管理制度建設(shè)；（二）負(fù)責(zé)對所管轄業(yè)務(wù)應(yīng)用系統(tǒng)進(jìn)行安全配置，負(fù)責(zé)應(yīng)用系統(tǒng)設(shè)計(jì)、實(shí)施和運(yùn)維的信息安全管理工作；（三）負(fù)責(zé)對所管轄業(yè)務(wù)應(yīng)用系統(tǒng)的用戶權(quán)限分配和管理,對登錄用戶進(jìn)行監(jiān)測和分析；（四）負(fù)責(zé)實(shí)施系統(tǒng)軟件版本管理，應(yīng)用軟件備份和恢復(fù)管理；（五）負(fù)責(zé)監(jiān)督和管理第三方應(yīng)用系統(tǒng)開發(fā)時(shí)的安全管理工作；（六）能夠及時(shí)發(fā)現(xiàn)、處理應(yīng)用系統(tǒng)相關(guān)的安全事件，并能根據(jù)流程及時(shí)上報(bào)，減少信息安全事件的擴(kuò)大和影響。第十八條安全審計(jì)員不能兼任網(wǎng)絡(luò)管理員、系統(tǒng)管理員、數(shù)據(jù)管理員和安全管理員，安全審計(jì)員的職責(zé)如下：（一）定期審計(jì)中心信息安全制度執(zhí)行情況，收集和分析信息系統(tǒng)日志和審計(jì)記錄，及時(shí)報(bào)告可能存在的問題；（二）對安全、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、數(shù)據(jù)庫管理員的操作行為進(jìn)行監(jiān)督，對安全職責(zé)落實(shí)情況進(jìn)行檢查。第十九條機(jī)房管理員的主要安全職責(zé)包括：（一）負(fù)責(zé)XXX機(jī)房內(nèi)的配電設(shè)備、UPS、空調(diào)機(jī)等基礎(chǔ)設(shè)施的維護(hù)與管理，并負(fù)責(zé)對機(jī)房設(shè)備的相關(guān)介質(zhì)、文檔資料等隨機(jī)物品進(jìn)行歸檔管理。（二）負(fù)責(zé)機(jī)房相關(guān)設(shè)備的日常維護(hù)管理與操作；（三）負(fù)責(zé)非技術(shù)性的、常規(guī)的安全工作，如機(jī)房的保衛(wèi)，驗(yàn)證出入手續(xù)和規(guī)章制度的落實(shí)等。第二十條資產(chǎn)管理員的安全職責(zé)如下：負(fù)責(zé)物理資產(chǎn)的采購、登記、分發(fā)、回收、廢棄等安全管理工作。第二十一條其他員工安全職責(zé)如下：（一）落實(shí)執(zhí)行中心各類信息安全管理要求，加強(qiáng)信息安全知識的學(xué)習(xí)，提高信息安全意識；（二）確保使用中心各類信息資產(chǎn)的保密性、可用性和完整性安全。第五章授權(quán)和審批第二十二條各部門需要明確各自的崗位和職責(zé)，部門內(nèi)實(shí)行逐級審批制度。第二十三條審批流程要按照如下幾個(gè)流程進(jìn)行：提出申請、相關(guān)負(fù)責(zé)人審批、審批通過、登記記錄、備案歸檔。第二十四條針對系統(tǒng)的變更或重要操作，需要向信息中心提出申請，要明確變更內(nèi)容或操作過程，以及分析可能的影響，待審批通過后，方可進(jìn)行變更或操作，具體參考《信息系統(tǒng)變更管理規(guī)定》。第二十五條出入機(jī)房等，需要填寫機(jī)房出入登記表，并經(jīng)允許后方可出入，具體參考《機(jī)房環(huán)境安全管理規(guī)定》。第二十六條機(jī)房新增設(shè)備或系統(tǒng)，要在信息中心報(bào)備并經(jīng)許可后方可實(shí)施。第二十七條應(yīng)對審批過程進(jìn)行記錄并保存審批的文檔。第六章溝通和協(xié)作第二十八條為更高效的處理信息安全問題，應(yīng)加強(qiáng)中心內(nèi)部部門、人員之間的合作與溝通，共同參與安全規(guī)劃和評審，對信息安全重要問題的決策提供咨詢和建議。第二十九