资产安全管理规定守则.docx

资产安全管理规定守则 Document serial number 【NL89WT-NY98YT-NC8CB-NNUUT-NUT108】 资产安全管理制度 第一章 总则 第一条 为了加强公司信息安全保障能力，建立健全公司的安 全管理体系，提高整体的信息安全水平，保证网络和业务系统的正 常运营，提高网络服务质量，在公司安全体系框架下，本策略主要 通过对公司信息资产的管理，及时规避隐患和风险。 第二条 本制度适用于技术部。 第三条 本办法适用于公司安全管理员，系统管理员及主管领 导等资产管理人员。 第二章 信息资产识别 第一节 信息资产分类 第四条 信息资产有多种存在形式，有无形的、有形的，有硬 件、软件，也有数据等。它的识别是指按照规定属性对各类信息资 产的辨认和区分，包括信息资产识别、分类和登记等项工作。 第五条 公司信息资产主要包括如下几类： (1) 网络设备： 网关、二层交换机、负载均衡、光纤转 换器、路由器、缓冲服务器、调制解调器、多层交 换机等构成信息系统网络传输环境的设备，软件和 传输介质； (2) 服务器： 各类承载业务系统和软件的计算机系统及 其操作系统，包括安装在服务器上各类应用系统以 及构建系统的平台软件 (数据库，中间件、 群件系 统、各商业软件平台等)； (3) 存储设备：磁带机、磁带库、磁盘阵列、光纤交换 机等构成信息系统存储环境的设备，软件和传输介 质； (4) 安全设备： VPN 网关、防火墙、内容过滤网关、入 侵检测系统、防病毒网关等构成信息系统信息安全 环境的设备，软件； (5) 工作站资产：指监控终端，即用于管理服务器上的 服务的终端，例如网管终端等。工作站不包括一般 用途的笔记本和 PC。 (6) 移动专有资产：移动通信类专门设备，在信息安全 管理的资产管理中，不将其作为资产管理的范畴； (7) 其他资产：非以上信息资产。 第二节 信息资产安全赋值 第六条 信息资产的安全价值有别于商品价值，由资产的机密 性价值、完整性价值和可用性价值三部分组成。 第七条 信息资产安全性赋值按照如下规定进行： (1) 每项资产的机密性价值、完整性价值和可用性价值 分为一至三级； (2) 根据资产所包含秘密信息被揭露时所可能造成后果 的严重性可将 资产 的机密性价值分为 “ 轻度损 害”，“中度损害”， “严重损害三级”； (3) 根据资产处于不正确、不完整或可依赖状态时所可 能造成后果的严重性可将资产的完整性价值分为 “轻度损害” ， “中度损害” ， “严重损害”三 级； (4) 根据资产不可用时所可能造成后果的严重性可将资 产 的可用性分为 “ 个体不可用 ” ， “ 局部不可 用”，“整体不可用”三级。 第三章 信息资产信息管理 第一节 信息资产信息的维护 第八条 各系统管理员识别管理的信息资产，并将信息资产的 信息录入公司安全管理系统中的信息资产管理部分。 第九条 各部门信息安全管理员有责任协助本部门系统管理员 核实和维护本部门系统信息资产的信息。 第十条 信息资产内部属性发生变更，系统管理员要及时更新 到公司安全管理系统中。变更包括地理位置变动、信息资产配置信 息、补丁信息等变动。 第十一条 信息资产管理权限发生变更，系统管理员要及时 通知本部门安全管理员或公司安全管理员，将信息资产状况及时更 新到公司安全管理系统中。管理权限变更包括信息资产所属系统发 生变更和信息资产所属部门发生变更。 第十二条 维护应按规定要求对本系统信息资产进行调查， 并建立信息资产清单和记录信息资产状况的档案。 第二节 信息资产信息的检查 第十三条 各部门信息安全管理员在部门季度巡检中，检查 本部门系统管理员信息资产信息与公司安全管理系统中信息是否一 致，结果作为系统管理员安全考核的因素之一。 第十四条 公司半年安全巡检中，检查各部门信息资产与公 司安全管理系统中信息是否一致，结果作为被管理部门信息安全员 的考核因素之一。 第十五条 公司及部门信息安全管理员随时抽检信息资产信 息和公司安全管理系统中信息是否一致，结果作为被检查系统管理 员及该部门的考核因素之一。 第四章 信息资产保护 第一节 信息资产保护管理 第十六条 信息资产设备由设备所属的系统管理人员负责安 全防护。 第十七条 信息资产所属部门安全管理管理组织，定期巡检 本部门所属系统信息资产的安全状况。 第十八条 公司网络与安全工作办公室定期巡检公司所有信 息资产的安全状况。 第二节 信息资产保护内容 第十九条 信息资产要及时安装安全补丁，安全补丁的安装 要符合业务影响最小原则。 第二十条 信息资产设备每年定期进行信息安全评估及安全 加固。 第二十一条