ICP年報(bào)專用信息安全管理制度

xxxxxxx第一章總則第一條為保證信息系統(tǒng)安全牢靠穩(wěn)定運(yùn)行，降低或阻擋人為或自然因素從物理層面對(duì)公司信息系統(tǒng)的保密性、完整性、可用性帶來(lái)的安全威逼，結(jié)合公司實(shí)際，特制定本制度。其次條本制度適用于xxxxxxx以及所屬單位的信息系統(tǒng)安全治理。其次章職責(zé)第三條相關(guān)部門、單位職責(zé)：〔一〕負(fù)責(zé)組織和協(xié)調(diào)xxxxxxx的信息系統(tǒng)安全治理工作；〔二〕xxxxxxx信息系統(tǒng)網(wǎng)絡(luò)成員單位間的網(wǎng)絡(luò)訪問(wèn)規(guī)章；對(duì)公司本部信息系統(tǒng)網(wǎng)絡(luò)終端的網(wǎng)絡(luò)準(zhǔn)入進(jìn)展治理；〔三〕xxxxxxx統(tǒng)一的兩個(gè)互聯(lián)網(wǎng)出口進(jìn)展治理，配置防火墻等信息安全設(shè)備；會(huì)同保密處對(duì)公司本部互聯(lián)網(wǎng)上網(wǎng)行為進(jìn)展治理；〔四〕對(duì)xxxxxxx統(tǒng)一建設(shè)的信息系統(tǒng)制定專項(xiàng)運(yùn)維治理方法，明確信息系統(tǒng)安全治理要求，界定兩級(jí)單位信息安全治理責(zé)任；〔五〕xxxxxxx〔一〕〔二〕負(fù)責(zé)將信息安全策略培訓(xùn)納入年度職工培訓(xùn)打算，并組織實(shí)施?！惨弧场捕硨?shí)日常治理工作。〔一〕〔二〕對(duì)本單位建設(shè)的信息系統(tǒng)制定專項(xiàng)運(yùn)維治理方法，明確信息系統(tǒng)安全治理要求，報(bào)xxxxxxx信息中心備案。第三章信息安全策略的根本要求第四條信息系統(tǒng)安全治理應(yīng)遵循以下八個(gè)原則：第五條公司保密委應(yīng)依據(jù)業(yè)務(wù)需求和相關(guān)法律法規(guī)，組織制定公司信息安全策略，經(jīng)主管領(lǐng)導(dǎo)審批公布后，對(duì)員工及相關(guān)方進(jìn)展傳達(dá)和培訓(xùn)。第六條制定信息安全策略時(shí)應(yīng)充分考慮信息系統(tǒng)安全策略的“七定”要求，即定方案、定崗、定位、定員、定目標(biāo)、定制度、定工作流程。第七條信息安全策略主要包括以下內(nèi)容：風(fēng)險(xiǎn)評(píng)估，并依據(jù)評(píng)估結(jié)果制定安全策略；漏洞掃描，以便準(zhǔn)時(shí)覺察系統(tǒng)的安全漏洞;三、對(duì)安全體系的各種日志(如入侵檢測(cè)日志等)審計(jì)結(jié)果進(jìn)展?fàn)幷摚员銣?zhǔn)時(shí)覺察系統(tǒng)的安全漏洞;客格外入侵的特點(diǎn)，準(zhǔn)時(shí)調(diào)整安全策略；系統(tǒng)獵取及維護(hù)、業(yè)務(wù)連續(xù)性等方面的安全策略，并實(shí)施。第八條公司保密委每年應(yīng)組織對(duì)信息安全策略的適應(yīng)性、充分性和有效性進(jìn)展評(píng)審，必要時(shí)組織修訂；當(dāng)公司的組織架構(gòu)、生產(chǎn)經(jīng)營(yíng)模式等發(fā)生重大變化時(shí)也應(yīng)進(jìn)展評(píng)審和修訂。第九條依據(jù)“誰(shuí)主管、誰(shuí)負(fù)責(zé)”的原則，公司建立信息安全分級(jí)責(zé)任制，各層級(jí)落實(shí)信息系統(tǒng)安全責(zé)任。第四章人力資源安全治理第十條信息系統(tǒng)相關(guān)崗位設(shè)置應(yīng)滿足以下要求：混崗。崗、設(shè)備治理崗、技術(shù)檔案治理崗原則上有人員備份。令應(yīng)馬上更換或注銷該用戶。第十一條人力資源部在相關(guān)崗位任職要求中應(yīng)包含信息安全治理的相關(guān)條件和要求；將信息安全相關(guān)培訓(xùn)納入年度職工培訓(xùn)打算，并組織實(shí)施。第五章信息系統(tǒng)物理和環(huán)境安全治理第十二條信息系統(tǒng)物理安全指為了保證信息系統(tǒng)安全牢靠運(yùn)行，不致受到人為或自然因素的危害，而對(duì)計(jì)算機(jī)設(shè)備、設(shè)施〔包括機(jī)房建筑、供電、空調(diào)〕、環(huán)境、系統(tǒng)等采取適當(dāng)?shù)陌踩胧?。第十三條信息治理部門應(yīng)實(shí)行切實(shí)可行的物理防護(hù)手段或技術(shù)措施對(duì)物理周邊、物理入口、辦公及生產(chǎn)區(qū)域等進(jìn)行安全掌握，防止無(wú)關(guān)人員未授權(quán)物理訪問(wèn)、損壞和干擾。間的安全治理，要求如下：權(quán)工作區(qū)；確因工作需要，需進(jìn)入非授權(quán)工作區(qū)時(shí)，需由該〔格式見附錄3-3〕。越自己職權(quán)范圍以外的操作；操作完畢時(shí)，必需退出已進(jìn)入的操作畫