xxxx信息安全制度实施指南.pdf

xxxx信息安全管理制度实施指南 V1.0 1 策略管理 7 1.1 安全策略和管理制度7 1.1.1 信息安全策略7 1.1.2 信息安全管理制度7 1.1.3 行为规范8 1.2 安全规划8 1.2.1 系统安全规划8 1.2.2 系统安全规划的更新9 1.2.3 阶段性行动计划9 2 组织管理 9 2.1 组织机构9 2.1.1 信息安全管理机构9 2.1.2 信息安全管理人员10 2.2 人员安全10 2.2.1 工作岗位风险分级10 2.2.2 人员审查10 2.2.3 人员工作合同终止11 2.2.4 人员调动11 2.2.5 工作协议和条款11 2.2.6 第三方人员安全12 2.2.7 人员处罚12 2.3 安全意识和培训12 2.3.1 安全意识12 2.3.2 安全培训13 2.3.3 安全培训记录13 3 运行管理 14 3.1 风险评估和认证认可14 3.1.1 安全分类14 3.1.2 风险评估14 3.1.3 风险评估更新15 3.1.4 安全认证15 3.1.5 安全认可15 3.1.6 持续监控16 3.2 系统与服务采购16 3.2.1 资源分配16 3.2.2 生命周期支持17 3.2.3 采购17 3.2.4 信息系统文件17 3.2.5 软件使用限制17 3.2.6 用户安装的软件18 3.2.7 安全设计原则18 3.2.8 外包信息系统服务18 3.2.9 开发配置管理19 3.2.10 开发安全测试评估19 3.3 配置管理19 3.3.1 基线配置20 3.3.2 配置变更控制20 3.3.3 监督配置变更21 3.3.4 变更访问限制21 3.3.5 配置策略设置21 3.3.6 功能最小化21 3.4 应急计划和事件响应22 3.4.1 应急计划22 3.4.2 应急响应培训22 3.4.3 应急和事件响应计划测试22 3.4.4 应急和事件响应计划更新23 3.4.5 事件处理23