《企业管理制度安全管理制度体系》由会员分享，可在线阅读，更多相关《企业管理制度安全管理制度体系（220页珍藏版）》请在金锄头文库上搜索。
1、AAAAA公司信息安全管理制度体系AAAAA公司安全管理制度（v1.0）文档编制单位：AAAAA文档编制时间：文档总页数：页文档编制： 文档审核人： 审核时间：注：替换：AAAAA为公司名称，DDDDD为公司简称，BBBBB为系统名称，XXXXX为信息安全管理的部门（如“XXXXX”）。信息安全管理机构制度版本记录版本记录版本修改日期修改摘要修改人审批人审批日期1.0目录第一章 信息安全管理制度总则81.1 概述81.2 总体原则81.3 总体目标81.4 总体框架91.4.1 系统信息运维安全策略91.4.2 信息系统安全管理安全策略101.5 适用范围11第二章 AAAAA公司XXXXX信
2、息安全管理体系文件122.1 目的122.2 范围122.3 职责122.4 管理细则132.4.1 体系文件生命周期流程132.4.2 体系文件策划132.4.3 体系文件的评审142.4.4 体系文件的作废14第三章 信息安全管理体系153.1 信息安全管理体系153.1.1 信息安全管理体系建立153.1.2 信息安全管理体系实施163.1.3 信息安全管理体系监察16第四章 信息安全组织机构制度174.1 信息安全组织机构174.1.1 信息安全职能部门职责174.1.2 信息安全领导小组职责184.1.3 信息系统安全小组职责及要求184.1.4 信息安全小组权限254.1.5 信息
3、安全管理人员264.1.6 关键岗位协议27第五章 信息安全授权及审批管理制度325.1 信息安全授权及审批管理制度32第六章 审核与检查管理制度336.1 审核与检查管理制度336.1.1 定期安全检查336.1.2 文件审批与发布管理制度33第七章 办公环境管理制度347.1 办公环境管理制度34第八章 沟通与合作管理制度368.1 沟通与合作管理制度368.1.1 信息安全例会管理368.1.2 外部协作管理37第九章 人员入岗管理制度389.1 信息安全条款389.2 保密协议389.3 人员录用和上岗安全管理39第十章 人员在岗管理制度3910.1 人员在岗信息安全管理3910.1.
4、1 岗位信息安全检查3910.1.2 信息安全违规纪律处理3910.2 人员考核4010.3 关键岗位考核制度40第十一章 信息安全培训制度4011.1 信息安全培训制度40第十二章 人员离岗管理制度4112.1 人员离岗离职安全管理4112.1.1 资产归还4112.1.2 访问权限回收4212.1.3 离职后信息安全职责的追踪和管理42第十三章 外来人员管理制度4313.1 第三方人员安全管理4313.2 外来人员信息安全管理44第十四章 工作人员安全守则4414.1 工作人员安全守则44第十五章 信息系统建设安全管理制度4615.1 系统总体规划设计4615.1.1 安全设计需求分析及评
5、估4815.1.2 总体安全设计5715.1.3 安全建设规划6315.2 系统工程实施6515.2.1 产品采购管理制度6515.2.2 安全服务商选择6615.2.3 硬件采购和安装6615.2.4 软件采购和安装6715.2.5 系统软件开发管理6715.3 系统测试验收6915.4 系统交付6915.5 系统备案69第十六章 硬件设备运维管理制度7016.1 硬件设备运维管理制度7016.1.1 机房安全管理制度7016.1.2 办公环境安全管理制度7216.1.3 资产安全管理制度7316.1.4 介质安全管理制度7816.1.5 设备管理制度8316.1.6 网络安全管理制度85第
6、十七章 系统软件运维管理制度8817.1 系统软件运维管理制度8817.1.1 系统安全管理制度8817.1.2 恶意代码防范管理制度9517.1.3 密码使用管理制度9617.1.4 信息系统变更管理制度96第十八章 备份与恢复管理制度10018.1 备份与恢复管理制度10018.1.1 备份制度流程图10018.1.2 资产识别10118.1.3 备份方案10218.1.4 备份计划实施10218.1.5 备份的介质标识10218.1.6 备份介质的安全存放10318.1.7 信息恢复103第十九章 信息系统安全事件管理制度10419.1 信息系统安全事件管理制度10419.1.1 安全事
7、件定义10419.1.2 安全事件等级划分10519.1.3 安全事件处理流程10619.1.4 安全事件报告流程120第二十章 硬件维护日常操作管理规程12120.1 硬件维护日常操作管理规程12120.1.1 交换机12120.1.2 路由器12220.1.3 防火墙12220.1.4 小型机12220.1.5 PC服务器12320.1.6 审计系统123第二十一章 信息系统操作规程12321.1 信息系统操作规程12321.1.1 服务器设备操作规程12321.1.2 网络设备操作规程124第二十二章 应急机构12522.1 应急机构及角色设置12522.1.1 应急领导小组12522.
8、1.2 应急协调小组12622.1.3 应急实施小组12622.1.4 外部应急协助组127第二十三章 应急预案12823.1 信息系统应急预案12823.1.1 应急预案分类12823.1.2 应急预案启动12823.1.3 应急处理流程13123.1.4 系统恢复13323.1.5 故障总结及报告13423.1.6 应急演练13423.2 附录13623.2.1 附1：体系文件建立申请表13623.2.2 附2：体系文件更改申请表13723.2.3 附3：体系文件评审记录表13823.2.4 附4：体系文件作废申请表13923.2.5 附5：专家论证表14023.2.6 附6：专家意见书1
9、4123.2.7 附7：专家论证会会议纪要14223.2.8 附录8 :安全评估报告14323.2.9 附录9 资产清单14423.2.10 附录10 :系统的操作手册14623.2.11 附录11：信息系统安全检查表单14623.2.12 附录12：备份管理员操作变更申请单14723.2.13 附录13：密码变更记录表（zj）14923.2.14 附录14：审计记录15323.2.15 附录15：授权与审批流程15523.2.16 附录16：系统配置变更审批单15623.2.17 附录17: 安全检查表15823.2.18 附录18: 安全检查报告与通报16023.2.19 附19:外联单位
10、联系表16123.2.20 附20:会议记要16323.2.21 附21:信息安全专家聘任书16423.2.22 附录22 :保密协议16423.2.23 附录23: 上岗人员情况登记表16823.2.24 附录24: 人员入岗审核表17023.2.25 附录25: 岗位协议书 （需打印）17123.2.26 附录26：信息安全岗位人员考核记录17423.2.27 附录27：安全技能考核纪录17523.2.28 附录28：关键岗位审查情况表17623.2.29 附录29：信息安全培训计划18223.2.30 附录30：安全教育培训签到表18523.2.31 附录31: 安全教育培训评价表186
11、23.2.32 附录32：年度信息安全培训计划18723.2.33 附录33：培训考题18823.2.34 附录34：培训考核记录表19223.2.35 附录35: 人员离岗/职审批表19423.2.36 附录36: 人员离岗工作交接表19623.2.37 附录37: 离职保密承诺书19823.2.38 附录38: 机房进出申请单19923.2.39 附录39: 机房进出记录表20123.2.40 附录40：机房出入登记表20323.2.41 附录41：XXXXX机房设备出门单20423.2.42 附录42：设备维护档案20523.2.43 附录43：信息安全存储介质领用/借用申请单20623
12、.2.44 附录44：介质销毁审批表20723.2.45 附录45：信息安全存储介质维修记录20823.2.46 附录46：设备领用表20923.2.47 附录47：计算机设备责任人变更审批表21023.2.48 附录48：特权用户申请表21023.2.49 附录49：服务器补丁升级记录21123.2.50 附录50：变更申请单21223.2.51 附录51：备份记录21523.2.52 附录52：恢复记录21523.2.53 附录53：备份与恢复演练记录单21623.2.54 附录54：安全事件记录报告21623.2.55 附录55：信息安全事件调查报告21723.2.56 附录56：硬件维
13、护21823.2.57 附录57：工作日志21923.2.58 附录58：信息系统巡检220221AAAAA公司版权所有第一章 信息安全管理制度总则1.1 概述信息系统安全等级保护管理制度体系是对实现信息系统安全等级保护所采用的安全管理措施的描述。本制度体系从信息安全管理机构制度、信息安全人力资源管理制度、信息系统建设安全管理制度、信息安全系统运维管理制度和信息系统操作规程及应急预案等方面，针对AAAAA公司的BBBBB系统，从信息安全管理和信息系统运维两个方面做出规定。1.2 总体原则本制度的信息安全总体原则如下：l 全面贯彻国家和上海市关于信息安全工作的要求文件和相关指导性文件精神，在部门
14、内建立符合国家要求完善的信息安全管理体系；l 建立由安全策略、管理制度、操作规程等构成的全面信息安全管理制度体系，并落实信息安全管理责任到个人，使信息安全管理有章可循；l 定期进行信息安全培训，提高相关人员信息安全意识及能力；l 实行预防为主，应急为辅的信息安全理念，对可能存在的信息安全隐患进行提前预防性排查和处理；对于突发性信息安全事件，可以按照应急预案进行快速响应，将事件影响降到最低；l 定期对信息系统进行风险评估和控制，将信息安全风险控制在可接受的水平，以降低突发性事件出现的概率；l 持续改进信息安全管理所要求包含的各项工作，为系统提供可靠的安全信息服务。1.3 总体目标l 明确AAAAA公司信息安全管理机构和人力资源管理制度；l 按照等级保护三级要求规范AAAAA公司的BBBBB系统建设和运维；l 制定AAAAA公
