级等保安全管理制度信息安全管理策略

级等保安全管理制度信息安全管理策略* 主办部门：系统运维部 执笔人： 审核人： XXXXX 信息安全管理策略 XXX-XXX-XX-01001 2021年3月17日 本文件中出现的任何文字表达、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属XXXXX所有，受到有关产权及版权法保护。任何个人、机构未通过XXXXX的书面授权许可，不得以任何方式复制或引用本文件的任何片断。 文件版本信息 文件版本信息说明 记录本文件提交时当前有效的版本控制信息，当前版本文件有效期将在新版本文档生效时自动结束。文件版本小于时，表示该版本文件为草案，仅可作为参照资料之目的。 阅送范围 内部发送部门：综合部、系统运维部 目录 第一章总则 第一条为规范XXXXX信息安全系统，确保业务系统安全、稳定和可靠的运行，提升服务质量，不断推动信息安全工作的健康发展。依据中华人民共和国计算机信息系统安全保护条例、信息安全技术信息系统安全等级保护基本要求 GB/T22239-2008、金融行业信息系统信息安全等级保护实施指引JR/T 00712021、金融行业信息系统信息安全等级保护测评指南JR/T 00722021，并结合XXXXX实际状况，特制定本策略。 第二条本策略为XXXXX信息安全管理的纲领性文件，明确提出XXXXX在信息安全管理方面的工作要求，指导信息安全管理工作。为信息安全管理制度文件提供指引，其它信息安全相关文件在制按时不得背离本策略中的规定。 第三条网络与信息安全工作领导小组负责制定信息安全 管理策略。 第二章信息安全方针 第四条 XXXXX的信息安全方针为：安全第一、综合防范、预防为主、继续改善。 一安全第一：信息安全为业务的可靠展开提供基础确保。把信息安全作为信息系统建设和业务经营的首要任务； 二综合防范：管理措施和技术措施并重，建立有效的识别和预防信息安全风险机制，合理选择安全控制方式，使信息安全风险的发生概率降低到可接受水平； 三预防为主：依据国家、行业监管机构相关规定和信息安全管理最正确施行，依据信息资产的重要性等级，对重要信息资产采用有效措施消除可能的隐患，降低信息安全事件的发生概率； 四继续改善：建立全面覆盖信息安全各个管理域的，可度量的、可管理的管理机制，并在此基础上建立继续改善的体系框架，不断自我完善，为业务的平稳运行提供可靠的安全确保。 第五条 XXXXX信息安全管理的总体目标包括： 一信息安全管理体系建设和运行符合国家政府机关、监管机构和主管部门的相关强制性规定、规则及适用的相关惯例、准则和协议； 二确保信息系统能够继续、可靠、正常地运行，为用户提供及时、稳定和高质量的信息技术服务并不断改善； 三保护信息系统及数据的机密性、完整性和可用性，确保其不因偶然或者恶意侵犯而遭受破坏、更改及泄露。 第三章信息安全策略 第六条安全管理制度 一应形成由管理规定、管理规范、操作流程等构成的全面的信息安全管理制度体系。二安全管理制度应具有统一的格式，并进行版本控制，通过正式有效的方式公布。 三应定期对安全管理制度进行检查和审定，对存在不够或必需要改善的安全管理制度进行修订。 第七条安全管理机构 一信息安全管理工作执行统一领导、分级管理，建立网络与信息安全工作领导小组，指导信息安全管理工作，决策信息安全重大事宜。 二设立系统安全管理员、网络安全管理员、安全专员等岗位，并配备专职人员，执行A、B 岗制度。 三应强化内部之间，以及外部监管机构、公安机关、供应商和安全组织的合作与沟通。 第八条员工信息安全管理 一公司应制定安全用工原则，尤其是信息系统相关人员、敏感信息处理人员的选用、考核、转岗、离职等环节应有具体的安全要求。 二信息技术总部应定期组织针对员工的信息安全培训，以加强安全意识、提升安全技能、明确安全使命，应对安全教育和培训的状况和结果进行记录并归档储存。 三在岗位使命的描述中，应该阐明员工安全责任。 四公司制定和落实各种有关信息系统安全的奖惩条例，处罚和奖励必需分明。 第九条第三方信息安全管理 一依据第三方所要访问的信息资产的等级及访问方式来进行风险评估，确定其安全风险。 二依据风险评估的结果，采用适当的控制方法对第三方访问进行安全控制，保护公司信息资产的安全。 三第三方对敏感的信息资产进行访问时，应签订保密协议或正式的合同。在协议及合同中应该明确第三方的安全责任和必需遵守的安全要求。 四明确外包系统/软件开发的安全要求。 五必需确保与第三方信息交换中各环节的安全。 第十条信息系统建设安全管理 一在项目立项前，必需明确信息系统的安全等级、安全目标及所有的安全必需求并文档化。安全必需求确实定过程必需是成熟的、有效的。 二必需通过对安全必需求进行具体的分析，制定安全制定方案，明确安全控制措施及所采用的安全技术。 三依据制定方案的要求，对使用的软硬件产品进行选型和测试，最终确定具体采纳的产品。 四依据制定方案和选定的产品编制实施方案。在实施方案中必需合计到实施过程中的风险，必需包涵具体的项目实施计划、实施步骤、测试方案和风险应对措施。 五应制定软件开发管理制度和代码编写安全规范，明确说明开发过程的控制方法和人员行为准则。 六必需对实施过程进行安全管理，明确实施过程中各种活动的程序及使命，并形成文件。 七应依据信息系统等级，在上线前完成信息系统安全防护措施的实施，包括基线设置等。同时还应建立必要的机制，确保能够对投产后的信息系统进行更新升级。 八必需依据验收流程，对系统进行必要的测试和评定。 九系统下线必需按照严格的审批流程进行，确保系统下线不对XXXXX的安全生产和业务继续性产生影响，并同步进行系统数据的清除。 第十一条机房安全管理 一机房建设必需符合国家标准电子计算机机房制定规范GB50174-2008和电子计算机机房施工及验收规范GB50462-2008。 二依据信息资产的安全等级、设备对场地环境的要求、易管理性等，合理划分机房区域，针对不同区域实施不同的安全保护措施，确保所有设备及介质的安全。 三由专人负责机房环境的日常维护、监控、报警和故障处理工作。依据公司实际状况，建立机房值班制度。 四制定机房以及机房内不同区域的出入管理规定，明确门禁管理、设备出入、人员出入包括第三方、出入审批、进出日志记录保留和审核等工作的管理要求和流程。 五制定有关机房工作守则，规范人员在机房内的行为。 六关于机房内的文档资料应固定存放在带锁或密码的专业文件柜中，由专人妥善保管并设置相应清单。 第十二条信息资产管理 一应对公司信息资产进行登记，建立资产清单，并指定其安全责任人。该责任人必需负责落实及监督相关安全策略、安全规范、安全技术标准的实施。 二依据机密性、完整性和可用性要求对信息资产进行分类分级，确定不同级别信息资产在其生命周期内的保护要求。 三必需明确信息资产访问控制原则，并建立信息资产访问的授权机制。 第十三条介质管理 一公司对介质的存放环境、标识、使用、维护、运输、交接和销毁等方面做出规定，有介质的归档和访问记录，并对存档介质的目录清单定期盘点。 二存储介质的管理同信息资产管理相一致，依据所承载数据和软件的重要程度对介质进行分类分级管理。 三针对存放数据的存储介质应达到国家标准要求，进行标识和定期抽检。 四必需要长期存放的存储介质，应该在介质有效期内进行转存；明确数据转存的程序与使命。 五应设立同城异地存放备份数据的场所。异地存放备份数据的场所应该具备防盗、防水、防火设施和一定的抗震能力。 第十四条监控管理 一应对通信线路、网络设备、主机和应用软件的运行状况、网络流量、用户行为等进行监测和报警。 二应定期对监测和报警记录进行分析、评审，发现可疑行为，形成分析报告，发现重大隐患和运行事故应及时协调解决，并报上安全相关部门。 三应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理。 第十五条网络安全管理 一指定专人对网络进行管理，负责日常的网络维护和报警信息处理工作。 二制定网络访问控制机制，网络访问控制策略以“除明确同意执行状况外必需禁止为原则。 三当远程访问信息系统时，应采用额外的安全管控措施，以防止设备被窃、信息未授权泄露、远程非授权访问等风险。 四定期对网络系统进行漏洞扫描，关于发现的漏洞，在经过风险评估、验证测试和充分准备后进行修补或升级。 五重要网络设备开启日志和审计功能。六网络建设中应做到以下几点： 1.应遵循高可靠性、高安全性、高性能、可扩大性、可管理性、标准化等原则； 2.建立网络容量规划机制，充分合计将来新业务必需求和公司当前的系统服务能力及将来技术发展的趋势； 3.应对局域网、广域网、外部网安全通信连接可靠，采用必要的技术手段，确保网络安全。 第十六条系统安全管理 一日志安全管理应指定专人负责，具体负责日志的采集、储存、备份和失效处理等工作。在条件同意的状况下，可采纳技术手段实现。 二日志记录以确保审计及追查的有效性为原则，具体状况依据系统及应用的实际状况而定，日志记录作为作业计划的一部分，必需严格定义日志记录的广度和深度，确保日志的完整性，并满足审计工作的必需要。管理员和操作员的活动应记入日志，并确保无法被窜改。 三重要日志必需安全地存储在介质中，并定期备份和检查。 第十七条恶意代码防范管理 一专人负责计算机病毒防范工作的组织与实施； 二建立计算机病毒预警机制，严格执行病毒检测及报告程序； 三指定专人负责跟踪厂商公布的漏洞补丁状况，定期对服务器、网络、应用软件进行漏洞扫描； 四关于确有必要升级的漏洞补丁，在安装前必需进行充分的验证测试和风险评估。漏洞补丁的安装应参照变更管理的要求，进行实施方案和回退方案的审批； 五如果无法及时完成漏洞补丁加载，应进行原因分析，并采用一定的安全防护措施，必要时进行回退； 六依据国家信息系统等级保护要求，对业务系统制定侵和攻击防范的策略以及技术实施方案，在信息系统中实现入侵和攻击防范； 七依据日常安全监控、风险评估、信息安全检查和信息安全审计的结果，调整入侵和攻击防范策略或采纳新的、成熟的技术产品； 八定期对重要的信息系统进行代码审计、渗透测试等工作，以及时掌握信息系统安全状况，防范入侵和攻击。 第十八条密码管理 一采用额外技术措施强化密码安全时，密码产品应符合国家密码管理规定的密码技术和产品； 第十九条变更管理 一必需对信息系统的所有操作建立有效的管理和监控机制，确定相关人员及部门使命。 二依据信息系统变更所涉及的信息资产的安全等级，对信息系统变更进行分级，针对不同等级的信息系统变更以文档的形式明确相应的审批管理程序。 三在系统变更审批前，变更申请部门提交申请报告，变更管理员要提交系统变更方案，明确变更存在的风险及对系统的影响。 四实施变更前，应该对变更内容进行严格测试。 五严格遵照实施方案中所规定的流程实施变更，变更实施过程应记录并妥善储存。 第二十条备份和恢复管理 一数据备份工作应指定专人负责； 二依据系统的重要程度，制定相应的备份策略； 三建立数据备份审核程序，定期进行备份数据的检查工作，确保备份数据的完整性和有效性； 四对关键的系统和数据必需进行异地备份。关于在异地进行备份的系统和数据的管理，要与本地的系统和数据管理坚持一致； 五备份数据必需由专人负责保管，数据不得泄漏，保密数据不得以明码形式存储和传输。 六明确生产数据恢复的原则和审批程序； 七制定数据备份恢复方案； 八重要信息系统的恢复性测试在不影响生产环境运行的状况下至少每年进行一次。依据恢复测试结果进行数据恢复过程的调整。 第二十一条安全事件管理 一信息安全相关事项由网络与信息安全工作领导小组办公室集中管理。 二制定包括信息系统运行状况检测、异常处理、汇报等的安全监控工作制度，指定专人负责安全监控。 三网络与信息安全工作领导小组办公室对安全监控的结果进行定期检查，以确保安全监控结果的有效性和完整性。确保安全监控结果可作为其他统计和分析工作的数据来源。 四安全事件处理的原则是“积极预防、及时发现、快速响应、确保恢复。 五网络与信息安全工作领导小组办公室建立具体的安全事件响应机制，明确安全事件的发现、分析、处理、总结和奖惩阶段的相关责任，最大限度地减少安全事件造成的损害。 六对安全事件做好记录和存档工作，记录内容包括事件的原因、处理过程、处理结果、建议改善的安全对策。 第二十二条应急预案 一分析业务中断可能造成的后果，以作为制定应急预案的依据。 二制定应急预案并文档化，确定应急预案的总体策略，确珍重大故障时重要系统和业务的及时恢复。 四定期测试应急预案，确保计划的有效性。 五应急预案应定期检查、及时更新维护，以确保其有效性。 (六)应急预案内容至少应包括启动应急预案的条件、应急处理流程、系统恢复流程和事后教育和培训等内容； 七应从人力、设备、技术和财务等方面确保应急预案的执行有足够的资源确保； 八应依据不同的应急恢复内容，确定演练的周期并定期进行培训和演练； 九应定期检察和更新应急预案。 第二十三条审核和检查 一依据使命互斥原则，成立信息安全检查小组，定期对信息系统进行全面、独立的安全检查； 二应从技术管理和业务确保等方面，进行全面的信息安全检查，检查依据为不同时期的信息安全要求； 三信息安全检查工作应采用定期全面检查和不定期的专项检查相结合的方式； 四关于安全检查的结果应予以跟踪落实，应对整改后的结果进行复查并依据必需要向公司领导汇报。五信息安全审计是参照一定的安全标准对运维过程和信息系统本身进行安全评价的过程。此过程重点关注运维管理工作是否有效地保护了业务和信息系统的安全； 六对重要业务系统进行审计时，必需制定具体的计划，尽量减少对业务处理的影响； 七对信息安全审计发现问题和隐患，责任部门应制定整改措施及时进行整改。整改过程中应防止引入新的风险； 八审计结果未通过批准，不得向外披露； 九关于安全审计的结果应予以跟踪落实，应对整改后的结果进行复查并依据必需要向公司领导汇报。 第四章附则 第二十四条各部门可依据本策略制定相应的实施细则。 第二十五条本策略自公布之日起执行。