信息安全管理制度.PDFVIP

中卫市卫生和计划生育局 信息安全管理制度 第一章 总则 第一条 为保证信息系统安全可靠稳定运行，降低或阻止人 为或自然因素从物理层面对信息系统的保密性、完整性、可用性 带来的安全威胁，结合单位及行业实际，特制定本制度。 第二条 本制度适用于中卫市卫生和计划生育局以及市属 医疗卫生单位的信息系统安全管理。 第二章 职责 第三条 相关科室、单位职责： 一、 规划信息科 （一）负责组织和协调中卫市卫生和计划生育局及行业信 息系统安全管理工作； （二）负责建立中卫市卫生和计划生育局信息系统网络成 员单位间的网络访问规则；对局内本部信息系统网络终端的网络 准入进行管理； （三）对局内互联网上网行为进行管理； 二、 各科室 （一）负责本科室信息安全管理工作。 （二）配合和协助业务主管科室相关制度建设，落实日常 管理工作。 - 2 - 三、 市属各医疗卫生单位 （一）负责组织和协调本单位信息安全管理工作。 （二）对本单位建设的信息系统制定专项运维管理办法， 明确信息系统安全管理要求，报中卫市卫生与计生委信息科备 案。 第三章 信息安全策略的基本要求 第四条 信息系统安全管理应遵循以下七个原则： 一、 规范定级原则； 二、 依法行政原则； 三、 以人为本原则； 四、 注重效费比原则； 五、 全面防范、突出重点原则； 六、 系统、动态原则； 七、 特殊安全管理原则。 第五条 信息科应会同保密工作人员应根据业务需求和相 关法律法规，组织制定信息安全策略。 第六条 信息安全策略主要包括以下内容： 一、信息网络与信息系统必须在建设过程中进行安全风险 评估，并根据评估结果制定安全策略； 二、 对已投入运行且已建立安全体系的系统定期进行漏洞 扫描，以便及时发现系统的安全漏洞; 三、 对安全体系的各种日志(如入侵检测日志等)审计结果 - 3 - 进行研究，以便及时发现系统的安全漏洞; 四、 定期分析信息系统的安全风险及漏洞、分析当前黑客 非常入侵的特点，及时调整安全策略； 五、 制定人力资源、物理环境、访问控制、操作、备份、 系统获取及维护、业务连续性等方面的安全策略，并实施。 第七条 根据 “谁主管、谁负责”的原则，局内建立信息安 全分级责任制，各层级落实信息系统安全责任。 第四章 信息系统物理和环境安全管理 第八条 信息系统物理安全指为了保证信息系统安全可靠 运行，不致受到人为或自然因素的危害，而对计算机设备、设施 （包括机房建筑、供电、空调）、环境、系统等采取适当的安全 措施。 第九条 信息科应采取切实可行的物理防护手段或技术措 施对物理周边、物理入口、办公及生产区域等进行安全控制，防 止无关人员未授权物理访问、损坏和干扰。 第十条 信息科应加强对信息系统机房及配线间的安全管 理，要求如下： 一、 工作人员需经授权，方能且只能进入中心机房的授权 工作区；确因工作需要，需进入非授权工作区时，需由该授权工 作区人员陪同；做好机房出入登记。 二、 工作人员必须严格按照规定操作，未经批准不得超越 自己职权范围以外的操作；操作结束时，必须退出已进入的操作 - 4 - 画面；最后离开工作区域的人员应将门关闭。 三、 非授权人员严禁操作中心机房UPS、专用空调、监控、 消防及UPS供配电设备设施。 四、 未经授权，任何人员不得擅自拷贝数据和文件等资料。 五、 严禁将易燃、易爆、强磁性物品带入中心机房；严禁 在机房内吸烟。 六、 发生意外情况应立即采取应急措施，并