4-8资产安全管理制度资料讲解.docVIP

1 PAGE 9 资产安全管理制度 文档信息 单位名称 淄博市卫生和计划生育委员会 文档名称 资产安全管理制度 文档编号 受控状态 受控文件 扩散范围 内部使用 制作人 审核人 批准人 页数 共10页 发布日期 生效日期 版本历史 版本 日期 说明 修订人 1.0 创建文件 4-8资产安全管理制度 第一章 总则 第一条 本管理办法旨在对淄博市卫生和计划生育委员会内部重要的信息资产进行分类分级，以便对信息的分发和流转进行恰当的控制，确保信息资产的保密性、完整性和可用性能够实现。 第二条 本管理办法适用于淄博市卫生和计划生育委员会。 第三条 定义 （一）本制度所涉及的信息包括各种存储或者存在形式，包括但不限于电子信息、纸质数据文件、语音和图像等。 （二）本制度所称信息是指以任何形式存在或传播的对我单位具有价值的内容，包括电子信息、纸质数据文件、语音图像等。信息安全关注的是信息的保密性、可用性和完整性。 （三）本制度所称信息资产是指任何对本单位具有价值的信息的存在形式或者载体，包括计算机硬件、通信设施、IT环境、数据库、软件、文档资料、信息服务和人员等，所有这些资产都需要妥善保护。 第二章 组织与管理 第四条 本单位各部门负责人是本部门信息资产管理的第一责任人，负责组织本制度的贯彻落实。 第五条 全体员工理解并遵守本制度定义的内容。 第六条 本制度定义以下相关角色，履行相应的信息安全管理、执行和审核职责。 （一）责任人，信息资产的创建者，或者主要用户所在单位或部门的负责人。信息资产责任人对所属信息资产负直接责任。其主要职责包括： 1、理解和各种信息访问活动相关的安全风险； 2、根据单位信息密级划分标准来确定所属信息资产的级别； 3、根据单位相关策略确定并检查信息访问权限； 4、针对所属信息资产提出恰当的保护措施。 （二）保管者，受信息资产责任人委托，对信息资产进行日常的管理，维护已经建立的保护措施。资产保管者通常是本单位淄博市卫生和计划生育委员会或者代表（例如系统管理员）。其主要职责包括： 1、根据相关策略和信息资产责任人的要求，负责信息资产的维护操作和日常管理事务； 2、负责具体设置信息访问权限； 3、负责所管理的信息资产的安全控制； 4、部署恰当的安全机制，进行备份和恢复操作； 5、按照信息资产责任人的要求实施其他控制。 （三）用户，信息资产的使用者，除了本单位内部员工，也可能是因为业务需要而访问本单位信息的客户或第三方组织。其主要职责包括： 1、向信息资产责任人申请信息访问； 2、按照单位信息安全策略要求正当访问信息，禁止非授权访问； 3、向相关组织报告隐患、故障或者违规事件。 第三章 资产管理要求 第七条 信息资产分类 信息资产责任人应该指导进行相关资产的调查，资产调查以业务流程为线索，包括各类输入、中间环节和输出信息，所有这些信息资产都为业务流程的运转提供支持。 信息资产可以分为以下几大类。 （一）数据文件，通常包括各种电子文档：业务数据、客户数据、配置文件、记录数据（日志、审计记录）、管理文件（策略、流程文件、操作手册等）、商务文件（合同、协议等）。也包括以实物方式存在的资产：各类电子数据的归档、打印件、书面管理文件、业务报表、包含重要商业成果的文件，还有胶片等。 （二）软件资产，各种系统软件、应用软件（OA、业务软件等）和工具软件（开发系统、网管软件、安全软件等），包括操作系统、数据库应用程序、网络软件、办公应用系统、业务系统程序、软件开发工具等，这些软件资产负责处理、存储或传输各类信息。 （三）实物资产，与业务相关的IT物理设备，包括计算机（工作站和服务器等）和网络通信设备、磁介质（磁带和磁盘等）、装置、环境等，这些实物资产容纳着软件和数据文件。 （四）人员，承担某项与业务活动相关责任的角色和职位。例如普通用户、系统管理员、网络管理员、保安、清洁员等，这些人员与各类数据、软件和实物资产的操作直接相关。 （五）服务，安保（例如监控、门禁、保安等），环境服务（例如清洁），基础保障（供水、供热、供电），设备维护，通信服务（例如互联网接入）。 第八条 信息资产分级标准 保密性、完整性和可用性是评价资产的三个安全属性。风险评估中资产的价值不是以资产的经济价值来衡量，而是由资产在这三个安全属性上的达成程度或者其安全属性未达成时所造成的影响程度来决定的。安全属性达成程度的不同将使资产具有不同的价值，而资产面临的威胁、存在的脆弱性、以及已采用的安全措施都将对资产安全属性的达成程度产生影响。 （一）保密性赋值 根据资产在保密性上的不同要求，将其分为五个不同的等级，分别对应资产在保密性上应达成的不同程度或者保密性缺失时对整个组织的影响。下表提供了一种保密性赋值的参考。 表1.1资产保密性赋值表 （二）完整性赋值 根据资产在完整性上