008-信息系统安全管理流程.pdfVIP

信息系统安全管理 1 范围 适用于信息技术部实施网络安全管理和信息实时监控，以及制定全公司计算机使用 安全的技术规定 2 控制目标 2.1 确保公司网络系统、计算机以及计算机相关设备的高效、安全使用 2.2 确保数据库、日志文件和重要商业信息的安全 3 主要控制点 3.1 信息技术部经理和公司主管副总经理分别审批信息系统访问权限设置方案、数据备 份及突发事件处理政策和其它信息系统安全政策的合理性和可行性 3.2 对终端用户进行网络使用情况的监测 4 特定政策 4.1 每年更新公司的信息系统安全政策 4.2 每年信息技术部应配合公司人力资源部及其它各部门，核定各岗位的信息设备配 置，并制定公司的计算机及网络使用规定 4.3 当员工岗位发生变动，需要更改员工的邮件帐号属性、服务器存储空间大小和文件 读写权限时，信息技术部必须在一天内完成并发送邮件或电话通知用户 4.4 对于信息系统（主要为服务器）的安全管理，应有两名技术人员能够完成日常故障 处理以及设置、安装操作，但仅有一名技术人员掌握系统密码，若该名技术人员外 出，须将密码转告另外一名技术人员，事后应修改密码，两人不能同时外出，交接 时应做好记录 神马集团有限责任公司 第十四章 信息技术管理 索引号 信息技术管理 008 第四节 信息管理 4.5 普通事件警告是指未对信息系统安全构成危害、而仅对终端系统或局部网络安全造 成危害，或者危害已经产生但没有继续扩散的事件，如对使用的终端和网络设备未 经同意私自设置权限等；严重事件警告是指对信息系统安全构成威胁的事件，如试 图使病毒（木马、后门程序等）在网络中扩散、攻击服务器、改变网络设备设置场 所的设置状态、编制非法软件在网络系统中试运行等；特殊事件是指来自公司网络 外部的恶意攻击，如由外部人员使用不当造成或其它自然突发事件引起。事件鉴定 小组由相关的网络工程师、终端设备维护工程师和应用系统程序员等相关人员组成 5 信息系统安全管理流程 C-14-04-001 步骤 涉及部门 步骤说明 1 信息技术部网 根据国际和国家信息系统安全的有关法律、法规的规定 络工程师、终 及信息技术行业的行业安全标准，并结合公司有关商业 端设备维护工 保密的规定，制定公司的信息系统安全政策，包括信息 程师 系统访问权限设置方案、数据备份及突发事件处理政 策、病毒防治等信息系统安全政策 2 信息技术部经 审核公司信息系统的各种安全政策规定，保证符合公司 理 信息管理的安全要求和商业机密信息的管理要求，若通 过，上报主管副总审批，若不通过，指出修改意见，责 成相关人员进行修改 3 公司主管副总 审核公司信息系统的各种安全政策规定，若通过，下发 具体执行，若不通过，指出修改意见，责成相关人员进 行修改 4 人力资源部劳 根据公司计算机及网络设备使用的有关规定，在公司发 动用工管理员 生新员工入厂、员工调动和岗位变动等情况时，编制新 14－4 －1－2 神马集团有限责任公司 第十四章 信息技术管理