等级保护管理体系设计.docx

等级保护管理体系设计设计等级保护的方针与政策根据国家安全等级保护对安全管理体系建设的要求，为了对信息系统正常运行提供安全管理保障。结合信息安全规划和评估服务中安全管理评估的结果，协助XX国土资源厅对安全管理和执行过程通过安全策略、管理制度、操作规范等文件方式加以固化。下面的方案对信息安全管理体系分别从策略、运作和组织三个方面阐述安全策略——包括总体安全方针和各种指导策略、技术标准、管理标准等，是信息安全的最核心问题，是整个信息安全建设的依据；安全运作——整个信息安全框架的执行环节。通过明确安全运作的制度和各部分管理制度，保证安全框架的有效性。安全组织——主要是人员、组织和流程的管理，是实现信息安全的落实手段；通过前面的安全需求分析，发现XX国土资源厅目前的整体策略体系不够完整，没有将XX国土资源厅高层领导对于信息安全的重视体现在正式的、成文的、可操作的策略和规定上，特别是没有一个最高的信息安全最高方针文件给出全面的、具体的、可操作的指导。本次项目，建议由XX国土资源厅组织相关人员，协助制定信息安全总体方针。最高方针应当明确信息安全的目的，方针保证的内容，适用性、目标、遵循的法律、策略细化的要点、相应人员的基本职责和回顾机制等。最高方针是建立策略体系，指导安全工作的基础。设计等级保护安全组织与人员管理设计等级保护安全组织从宏观上讲《中华人民共和国计算机信息系统安全保护条例》第十三条规定：“计算机信息系统的使用单位应当建立健全安全管理制度，负责本单位计算机信息系统的安全保护工作”。从微观上讲《计算机信息系统安全保护条例》第四条明确规定：“计算机信息系统的安全保护工作，重点维护国家事务、经济建设、国防建设、尖端科学技术等重要领域的计算机信息系统的安全。”切实保护信息系统的安全更是维护国家利益的需要，还必须从根本上认识到，这是法律所赋予的责任，是必须履行的责任。本项目中，旨在帮助XX国土资源厅建立起安全组织，并协助XX国土资源厅制定安全组织有关管理规定。安全组织的运行应独立于信息系统的运行，是一个综合性的组织。信息安全组织应当由单位安全负责人领导，不隶属于计算机运行或计算机应用部门。该安全组织是本单位的常设工作职能机构，其具体工作应当由专门的安全负责人负责，安全组织的成员类型主要有：硬件、软件、系统分析、人事、保卫等本单位应用业务，以及其他所需要的业务技术专家等人员，人员角色可以重叠，最好不要一人兼全职。该组织一般有着双重的组织联系：接受当地公安机关计算机安全监察部门的管理、指导，以及与本业务系统上下级安全管理工作联系。制定基本安全防范措施：在政府主管部门的管理指导下，由与系统有关的各方面的专家，定期或适时进行风险分析，根据本单位的实际情况和需要，确定计算机信息系统的安全等级管理总体目标，提出相应的对策并监督实施，使得重庆劳动保障信息系统的应用发展建设，能够与计算机安全保护工作同步前进。安全组织的基本标准：由主管领导负责的逐级计算机安全防范责任制，各级的职责划分明确，并能有效地开展工作。明确计算机使用部门或岗位的安全责任制。有专职或兼职的安全员，各部门或机构应确立计算机委员会、安全组织等逐级的安全管理机制，安全组织人员构成要合理，并能切实发挥职能作用。有健全的安全管理规章制度。按照国家有关法律法规的规定，建立、完善各项计算机安全管理规章制度，并落到实处。在职工中普及安全知识，提高信息安全意识，对重点岗位的职工进行专门的培训和考核，持证上岗。定期进行计算机信息系统风险分析，并对信息安全实行等级保护制度，本着保障安全、有利于工作和节约的原则，制定安全政策。在实体安全、信息安全、运行安全和网络安全等方面采取必要的安全措施。对本部门计算机信息系统安全保护工作有档案记录和应急计划。严格执行计算机信息系统案件上报制度，对信息系统安全隐患能及时发现并及时采取整改措施。对信息系统安全保护工作定期总结评比，奖惩严明。安全等级保护运维组织架构安全监管体系中一个重要组成部分就是安全运维组织。安全服务团队经过标准安全运维服务培训，结合自身丰富的安全运维服务经验，组建了国内最强大的安全服务外包团队。依据国际化标准优化安全组织体系，针对行业组织特点、网络规模为客户设计最合理的安全运维组织架构。 作为政府的运行环境，建议的安全监管系统的管理结构如下图所示：图：安全运维组织结构图　　安全运维组织由四个小组构成：安全专家组、监控运维组、安全支持组、安全协调组。安全专家组：主要由XX国土资源厅内部及外部经验丰富的网络安全专家、各类系统安全专家、数据库安全专家、应用系统安全专家、防病毒安全专家以及信息安全专家等构成；是安全监控管理运维组的重要支撑与技术顾问；负责各类疑难复杂安全事件的分析与处理。专家级成员对自己所负责的领域非常精通，能够快速定位、分析、处理各类突发事件。监