三级等保,安全管理制度,信息安全管理策略.docx

* 主办部门：系统运维部 执 笔 人： 审 核 人： XXXXX 信息平安管理策略 V0.1 XXX-XXX-XX-01001 2014 年 3 月 17 日 [本文件中消灭的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特殊注明，版权均属XXXXX 全部，受到有关产权及版权法爱护。任何个人、机构未经 XXXXX 的书面授权许可，不得以任何方式复制或引用本文件的任何片断。] 文件版本信息 版本 版本 日期 拟稿和修改 说明 V0.1 2014.3.17 拟稿 文件版本信息说明 记录本文件提交时当前有效的版本把握信息，当前版本文件有效期将在新版本文档生效时自动结束。文件版本小于 1.0 时， 表示该版本文件为草案，仅可作为参照资料之目的。 阅送范围 内部发送部门：综合部、系统运维部 目 录 第一章 总则 1 其次章 信息平安方针 1 第三章 信息平安策略 2 第四章 附则 13 1 1 第一章 总则 第一条 为规范 XXXXX 信息平安系统，确保业务系统平安、稳定和牢靠的运行，提升服务质量，不断推动信息平安工作的健康进展。依据《中华人民共和国计算机信息系统平安爱护条例》、 《信息平安技术信息系统平安等级爱护基本要求》 （GB/T22239-2008）、《金融行业信息系统信息平安等级爱护实施指引》（JR/T 0071—2012）、《金融行业信息系统信息平安等级爱护测评指南》（JR/T 0072—2012），并结合 XXXXX 实际状况，特制定本策略。 其次条 本策略为 XXXXX 信息平安管理的纲领性文件，明确提出 XXXXX 在信息平安管理方面的工作要求，指导信息平安管理工作。为信息平安管理制度文件供应指引，其它信息平安相关文件在制定时不得违反本策略中的规定。 第三条 网络与信息平安工作领导小组负责制定信息平安管理策略。 其次章 信息平安方针 第四条 XXXXX 的信息平安方针为：平安第一、综合防范、预防为主、持续改进。 （一）平安第一：信息平安为业务的牢靠开展供应基础保障。把信息平安作为信息系统建设和业务经营的首要任务； 2 2 （二）综合防范：管理措施和技术措施并重，建立有效的识别和预防信息平安风险机制，合理选择平安把握方式，使信息平安风险的发生概率降低到可接受水平； （三）预防为主：依据国家、行业监管机构相关规定和信息平安管理最佳实践，依据信息资产的重要性等级，对重要信息资 产实行有效措施消退可能的隐患，降低信息平安大事的发生概率； （四）持续改进：建立全面掩盖信息平安各个管理域的，可度量的、可管理的管理机制，并在此基础上建立持续改进的体系框架，不断自我完善，为业务的平稳运行供应牢靠的平安保障。 第五条 XXXXX 信息平安管理的总体目标包括： （一）信息平安管理体系建设和运行符合国家政府机关、监管机构和主管部门的相关强制性规定、规章及适用的相关惯例、准则和协议； （二）确保信息系统能够持续、牢靠、正常地运行，为用户供应准时、稳定和高质量的信息技术服务并不断改进； （三）爱护信息系统及数据的机密性、完整性和可用性，保证其不因偶然或者恶意侵害而患病破坏、更改及泄露。 第三章 信息平安策略第六条 平安管理制度 （一）应形成由管理规定、管理规范、操作流程等构成的全面的信息平安管理制度体系。 PAGE PAGE 10 （二）平安管理制度应具有统一的格式，并进行版本把握， 通过正式有效的方式发布。 （三）应定期对平安管理制度进行检查和审定，对存在不足或需要改进的平安管理制度进行修订。 第七条 平安管理机构 （一）信息平安管理工作实行统一领导、分级管理，建立网络与信息平安工作领导小组，指导信息平安管理工作，决策信息平安重大事宜。 （二）设立系统平安管理员、网络平安管理员、平安专员等岗位，并配备专职人员，实行 A、B 岗制度。 （三）应加强内部之间，以及外部监管机构、公安机关、供应商和平安组织的合作与沟通。 第八条 员工信息平安管理 （一）公司应制定平安用工原则，尤其是信息系统相关人员、敏感信息处理人员的录用、考核、转岗、离职等环节应有具体的平安要求。 （二）信息技术总部应定期组织针对员工的信息平安培训， 以增加平安意识、提高平安技能、明确平安职责，应对平安训练和培训的状况和结果进行记录并归档保存。 （三）在岗位职责的描述中，应当阐明员工平安责任。 （四）公司制定和落实各种有关信息系统平安的奖惩条例， 惩罚和嘉奖必需分明。 第九条 第三方信息平安管理 （一）依据第三方所要访问的信息资产的等级及访问方式来进行风险评估，确定其平安风险。 （二）依据风险评估的结果，实行适当的把握方法对第三方访问进行平安把握，爱护公司信息资产的平安。 （三）第三方对敏感的信息资产进行访问时，应签订保密协议或正式的合同。在协议及合同