某局信息系统安全管理办法.docxVIP

某局信息系统安全管理办法XXX局信息系统安全管理办法第一章总则　　第一条为进一步完善重要网络与信息系统安全工作规范，提升网络与信息安全管理水平，提高信息安全防范和应急响应能力，保障重要网络与信息系统稳定运行，制定本规范。　　第二条信息系统安全坚持“谁主管谁负责、谁运行谁负责”的原则。　　第三条本规范所指重要网络与信息系统为按照《信息安全等级保护管理办法》定级备案的三级及以上信息系统。第二章安全责任与目标　　第四条各单位应明确信息系统安全管职能部门，统一管理信息系统安全运行。明确每个信息系统主管人员、岗位责任。　　第五条信息系统安全坚持积极防御、综合防范的原则。通过推进信息安全评估和安全测评工作，制定信息安全防护策略，保证信息系统完整、可用、保密，减少系统对业务运用的影响。　　第六条加强信息系统建设管理，信息系统安全等级保护方案与系统建设同步实施。建立完备的软件研发质量保证体系，严格遵循软件研发标准和工作流程，强化软件质量的管理与控制，保证软件系统达到安全标准。第三章设备设施质量　　第七条信息系统运行物理环境应符合相应等级保护环境标准，满足电力供应、防火、防雷击、防水和防潮、温湿度控制要求。定期进行物理环境参数检测。　　第八条设备管理单位要保证设备生命周期内的质量。定期对信息系统设备检查，包括备用设备。涉及第三方维护的重要系统，要制定维护方对设备进行健康检查制度。　　第九条定期对操作系统、数据库、应用软件、安全策略检查，及时更新系统补丁、清理磁盘空间。第四章运行与维护　　第十条加强信息系统日常运行监测，明确各个岗位人员对系统的安全责任。计算机机房实行24小时值班监控制度，做好运行环境和系统运行记录。　　第十一条严格信息系统运行操作，防止非授权或超权限访问信息系统，避免非法操作或误操作。信息系统应记录用户每次访问信息，定期进行日志分析。　　第十二条严格软件硬件维护管理。上线运行信息系统维护施工操作一律实行要点、销号登记制度，除故障处理外的维护施工必须安排在不影响业务运用的“天窗”时间段进行。　　第十三条外包服务方应与信息系统主管单位签订维护安全协议。禁止外包服务方通过外部网直接进行远程维护。第五章应急处置与备份　　第十四条信息系统要分系统、分级制定应急处置预案和故障处理流程。定期组织信息系统应急处置演练。　　第十五条制定信息系统完数据安全和备份恢复机制，指定专人定期维护和检查备份设备的状况并进行切换试验，确保四条做好重要网络与信息系统安全信息通报制度，做到尽早发现、及时预警、快速响应、快速处置。根据铁道部要求或实际需要，启动安全信息零通报制度。第六章检查与监督　　第十六条各单位要定期组织信息系统安全自查，XXX局组织对同级和各单位进行检查，检查安全管理、制度落实、设备质量、人员素质等情况，并填写检查记录，汇总、总结信息系统安全工作情况。　　第十七条重要网络和信息系统及其运行环境发生变化情况下，或运行周期满一年，需进行安全风险检查、评估并针对风险制定处理措施。　　第十八条重要网络和信息系统运行安全纳入单位事故、故障管理，严格定责考核。第七章附则　　第十九条各单位可根据实际确定的单位内信息系统，参照本规范执行。第二十条本规范自发布之日起实行。