企业信息安全与等级保护管理方案.docxVIP

企业信息安全与等级保护管理方案

适用：各类型企业｜含安全体系、等级保护、账号权限、终端防护与应急响应

一、信息安全是生存问题，不只是IT的事

很多人以为信息安全是IT部门的活，实际上安全事件造成的影响是公司级的：客户信息泄露要担责、勒索病毒要付赎金、业务中断要赔客户、上了新闻要影响股价。安全是全员的事，IT只是牵头。

信息安全管理要做到：制度先行（定规矩、全员遵守）、技术防护（该上的安全措施上）、等级保护（合规达标）、应急响应（出事能快速处置）、全员意识（人人是防线）。五个方面结合，安全管理才真正有效。

二、信息安全管理体系与责任

安全管理要有体系和责任人。设立安全负责人（或安全委员会），明确各部门安全责任、每个系统的安全责任人。安全责任要具体到人，不能只写「IT部负责」。同时全员都要有安全意识，人人都是防线。

角色

安全责任

关键动作

安全负责人

统筹安全管理

定制度、牵头应急

IT部门

技术防护落实

部署安全措施

系统责任人

本系统安全

管账号、看日志

全体员工

遵守规范、报隐患

不乱点、不泄露

管理层

决策资源支持

批资源、定调

三、等级保护合规建设

等级保护是国家要求的信息安全法定制度，网络运营者要定级、备案、建设、测评。等级保护分五级，企业多是二三级。要按等级做相应的安全措施：定级备案→差距分析→安全建设→等级测评→整改提升。合规建设不是应付检查，是梳理安全体系的过程