信息安全管理制度【熱門】
在現實社會中,制度使用的頻率越來越高,制度就是在人類社會當中人們行為的準則。擬定制度需要注意哪些問題呢?下面是小編整理的信息安全管理制度,僅供參考,歡迎大家閱讀。
信息安全管理制度1
1.總則
1.1目的:
為加強公司作風建設,宣傳廉潔文化,預防利用職務及職權謀取不正當利益。同時做好公司信息的安全和保密工作,使公司所擁有的信息在經營活動中充分利用,保護公司的利益不受侵害,樹立健康積極的企業(yè)文化形象,特制定本管理制度。
1.2適用范圍:
本制度適用于公司所有在職員工。
1.3定義:
廉潔:清白高潔,不貪污,從不使用公家的錢來養(yǎng)活自己(不貪污),就是指人生光明磊落的態(tài)度和誠信,正直的風氣。
信息安全:信息系統(tǒng)(包括硬件、軟件、數據、人、物理環(huán)境及其基礎設施)受到保護,不受偶然的或者惡意的原因而遭到破壞、更改、泄露,系統(tǒng)連續(xù)可靠正常地運行。
業(yè)務單位:與公司有一切業(yè)務(含但不限于供貨、施工、促銷合作等關系)往來或聯(lián)系的單位或個人。
1.4職責權限
3.1總經辦負責廉潔文化建設方向的指引,對公司的信息安全管理具有監(jiān)督和最后裁決權。
3.2監(jiān)察部負責監(jiān)督和執(zhí)行廉潔與信息安全管理規(guī)定,接受全體員工的舉報和監(jiān)督,對舉報和違規(guī)情況進行調查核實。
3.3行政部負責廉潔文化和信息安全意識的宣傳和教育,接收和申報處理公司員工收受和外部財物。
3.4信息部負責公司所有文件資料的分類存檔和保存,對電子存檔資料進行定期整理和備份,并做好文件防盜和密碼保護工作。
3.5各部門:具有共同維護公司廉潔文化建設和信息保密工作的權利,都有保守公司秘密的義務,對公司廉潔和信息安全管理規(guī)定具有監(jiān)督和舉報權。
2.主要內容:
2.1廉潔自律規(guī)定
2.1.1不準收受任何業(yè)務單位的個人現金、購物卡券、有價證券和支付憑證。
2.1.2因各種原因未能拒收業(yè)務單位的,必須及時向公司行政部申報統(tǒng)一處理。具體需申報的情況如下:
業(yè)務單位不回收的樣品和商品贈品;
業(yè)務單位節(jié)假日饋贈的禮品、禮籃等;
業(yè)務單位贈送的其他具有實際價值實物、活動等。
業(yè)務單位組織的集體考察、學習、旅游等外出活動;
業(yè)務單位贈送的無法拒絕的各類現金、購物卡券、有價證券和支付憑證;
2.1.3不準向業(yè)務單位及其個人借貸錢物。
2.1.4不準在各業(yè)務單位報銷應由個人支付的有關票據。
2.1.5不借業(yè)務辦理之機,對各業(yè)務單位吃、卡、拿、要。
4.1.6禁止利用職權和職務上的便利和影響為親友及身邊工作人員謀取利益。
2.1.7工作中不弄虛作假,按規(guī)定收集整理好各類基礎資料,不做假帳或帳外賬。
2.1.8不準用公款支付個人名義的宴請。公關或業(yè)務接待必須經總經辦批準后在合理的范圍內進行。
2.1.9不準接受可能對商品和設備供應價格、工程施工價格的業(yè)務合作行為產生影響的錢、物饋贈和宴請。
2.1.10不準為謀取不正當的利益,在經濟往來中違反有關規(guī)定,以各種名義收取回扣、中介費、手續(xù)費等歸個人所有。
2.1.11不借出差、考察、學習之機利用公款進行旅游娛樂活動,或接受可能影響公正辦理業(yè)務的宴請、禮品饋贈或其他服務。
2.1.12嚴禁以虛報、謊報等手段獲取榮譽;以虛報、謊報等手段獲取的榮譽、職稱及其他利益予以取消或者糾正。
2.2信息安全
2.2.1公開信息:公司已對外公開發(fā)布的信息,如公司宣傳冊、產品或公司介紹視頻等。
2.2.2保密信息:公司僅允許在一定范圍內發(fā)布的信息,一旦泄露,將可能給公司或相關方造成不良影響。比如公司投資計劃等。
2.2.3根據信息價值、影響及發(fā)放范圍的不同,公司將保密信息劃分為絕密、機密、秘密、內部公開四個級別。
絕密信息:關系公司前途和命運的公司最重要、最敏感的.信息,對公司根本利益有著決定性影響的保密信息,如:公司訂單,重大投資決議等。
機密信息:公司重要秘密,一旦泄露將使公司利益受到嚴重損害的保密信息如:未發(fā)布的任命文件,公司財務分析報告等文件。
秘密信息:公司一般性信息,但一旦泄露會使公司利益受到損害的保密信息,如:人事檔案,供應商選擇評估標準等文件。
內部公開:僅在公司內部公開或僅在公司某一個部門內公開,對外泄露可能會使公司利益造成損害的保密信息的保密信息,如:年度培訓計劃,員工手冊,各種規(guī)章制度等。
2.2.4公司保密信息包括但不限于以下內容:
公司經營發(fā)展決策中的秘密事項;
專有技術,專利技術、技術圖紙;
生產細則、工程BOM、SOP及治具資料;
人事決策中的秘密事項;
重要的合同、客戶和合作渠道;
招標項目的標底、合作條件、貿易條件;
財務信息,公司非向公眾公開的財務情況、銀行賬戶賬號;
董事會或總經理確定應當保守的公司其他秘密事項。
2.2.5除公司已經正式對外公開發(fā)布的信息外,任何單位和個人不得從事以下活動:
利用信息網絡系統(tǒng)制作、傳播、復制有害信息;
未經允許使用他人在信息網絡系統(tǒng)中未公開的信息;
未經授權對網絡(內部信息平臺)系統(tǒng)中存儲、處理或傳輸的信息(包括系統(tǒng)文件和應用程序)進行增加、修改、復制和刪除等;
未經授權查閱他人郵件;
盜用他人名義發(fā)送電子郵件;
故意干擾網絡(內部信息平臺)的暢通運行;
從事其他危害信息網絡(內部信息平臺)系統(tǒng)安全的活動。
2.2.6公司保密信息應根據需要,限于一定范圍的員工接觸。接觸公司秘密的員工,未經批準不準向他人泄露。非接觸公司秘密的員工,不準打聽公司秘密。
2.3違規(guī)追責處理
2.3.1公司所有員工一經任何人發(fā)現或內外部舉報有違廉潔自律的行為,公司將組織相關部門進行調查核實,一經查證,將追究責任人所造成的責任損失,并進行違規(guī)處罰,對造成公司重大經濟損失且情節(jié)嚴重的,將移交公安機關進行立案處理。
2.3.2除公司公開的信息外,任何人將公司的保密信息以任何形式(口頭傳達、電子郵件、上傳網絡、存儲拷貝、拍照影印、復印資料)對外泄露或散布出去的,公司將從源頭上追究信息泄密者,經查實后立即根據情節(jié)輕重進行追責處理。因信息泄密造成公司經濟損失或形象受損時,將依法移交司法機關進行處理。
3.附則
3.1本制度最終解釋權歸xx有限公司所有。
3.2本制度自20xx年8月9日起實行,暫定實施1年。
信息安全管理制度2
第一節(jié)總則
1、為加強醫(yī)院信息技術外包服務的安全管理,保證醫(yī)院信息系統(tǒng)運行環(huán)境的穩(wěn)定,特制定本制度。
2、本制度所稱信息技術外包服務,是指醫(yī)院以簽訂合同的方式,委托承擔信息技術服務且非本醫(yī)院所屬的專業(yè)機構提供的信息技術服務,主要包括信息技術咨詢服務、運行維護服務、技術培訓及其它相關信息化建設服務等。
3、安全管理是以安全為目的,進行有關安全工作的方針、決策、計劃、組織、指揮、協(xié)調、控制等職能,合理有效地使用人力、財力、物力、時間和信息,為達到預定的安全防范而進行的各種活動的總和,稱為安全管理。
4、外包服務安全管理遵循關于安全的所有商業(yè)準則及適當的外部法律、法規(guī)。
第二節(jié)外包服務范圍
1、外包服務包括信息技術咨詢服務、運行維護服務、技術培訓等。
2、咨詢服務:
。1)根據醫(yī)院的信息化建設總體部署,協(xié)助醫(yī)院制定切實可行的技術實施方案。
。2)對醫(yī)院現有的信息技術基礎架構、設備運行狀態(tài)和應用情況進行診斷和評估,提出合理化的解決方案。
。3)根據醫(yī)院的實際情況提出備份方案和應急方案。
。4)其它信息技術咨詢服務。
3、運行維護服務:
。1)軟硬件設備安裝、升級服務。
。2)硬件設備的維修和保養(yǎng)。
。3)根據醫(yī)院業(yè)務變化,提供應用系統(tǒng)功能性的'需求解決方案及執(zhí)行服務。
。4)系統(tǒng)定期巡檢和整體性能評估。
(6)日常業(yè)務數據問題的處理服務。
。7)其它運行維護服務。
4、技術培訓:根據醫(yī)院的實際情況,提供相關的技術培訓。
第三節(jié)外包服務安全管理
1、外包服務安全管理應按照“安全第一、預防為主”的原則,采取科學有效的安全管理措施,應用確保信息安全的技術手段,建立權責明確、覆蓋信息化全過程的崗位責任制,對信息化全過程實行嚴格監(jiān)督和管理,確保信息安全。
2、成立由分管領導同志信息化外包管理組織,明確信息化管理的部門、人員及其職責。
3、建立信息建設安全保密制度,與外包服務方簽訂安全保密協(xié)議或合同,明確符合安全管理及其它相關制度的要求。并對服務人員進行安全保密教育。
4、制定信息化加工過程管理、信息化成果驗收與交接、存儲介質管理等操作規(guī)程或規(guī)章制度。
5、外包服務方的人員素質、技術與管理水平能夠滿足擬承擔項目的要求,進行相應的安全資質管理。
6、信息中心配備專人負責安全保密工作,負責日常信息安全監(jiān)督、檢查、指導工作。對服務方提供的服務進行安全性監(jiān)督與評估,采取安全措施對訪問實施控制,出現問題應遵照合同規(guī)定及時處理和報告,確保其提供的服務符合醫(yī)院的內部控制要求。
7、對外包服務的業(yè)務應用系統(tǒng)運行的安全狀況應定期進行評估,當出現重大安全問題或隱患時應進行重新評估,提出改進意見,直至停止外包服務。
8、使用外包服務方設備的,對其進行必要的安全檢查。
9、在重要安全區(qū)域,對外部服務方的每次訪問進行風險控制;必要時應外部服務方的訪問進行限制。
第四節(jié)附則
1、本制度由信息中心負責解釋。
2、本制度自發(fā)布之日起生效執(zhí)行。
信息安全管理制度3
(1)不得利用校園網從事危害國家安全,泄露國家機密的活動。
。2)如在網上發(fā)現反動、黃色的宣傳品和出版物,要保護好現場,及時向有關部門匯報,依據有關規(guī)定處理。如發(fā)現泄露國家機密的`情況,要及時報網絡管理員措施,同時向校領導報告。對違反規(guī)定造成后果的,依據有關規(guī)定進行處理,并追究部門領導的責任。
(3)未經批準,任何人不得開設BBS,一經發(fā)現立即依法取締。
。4)涉密信息不得在與國際網絡聯(lián)網的計算機系統(tǒng)中存儲、處理和傳輸。
(5)對校園網內開設的合法論壇網絡管理員要實時監(jiān)控,發(fā)現問題及時處理。堅決取締未經批準開設的非法論壇。
。6)加強個人主頁管理,對于在個人主頁中張貼、傳播有害信息的責任人要依法處理,并刪除個人主頁。
。7)校內各機房要嚴格管理制度,落實責任人。引導學生開展健康、文明的網上活動,杜絕將電子閱覽室和計算機房變相為娛樂場所。
。8)對于問題突出,管理失控,造成有害信息傳播的網站和網頁,堅決依法予以關閉和清除;對于制作、復制、印發(fā)和傳播有害信息的單位和個人要依法移交有關部門處理。
。9)發(fā)生重大突發(fā)事件期間,網絡管理員要加強網絡監(jiān)控,及時、果斷地處置網上突發(fā)事件,維護校內穩(wěn)定。
信息安全管理制度4
一、為了處理工作中涉及的辦公秘密和業(yè)務秘密信息,特制定計算機信息系統(tǒng)安全保密制度。
二、信息科、機要科負責指導市政府辦公室涉密人員的保密技術培訓,落實技術防范措施。
三、涉密信息不得在與國際網絡的'計算機系統(tǒng)中存儲,處理和傳輸。
四、凡上網的信息,上網前必須進行審查,進行登記,“誰上網,誰負責”,確保國家機密不上網。
五、如在網上發(fā)現反動、黃色的宣傳和出版物,要保護好現場,及時報向市委保密局匯報,依據有關規(guī)定處理;如發(fā)現泄露國家機密的情況,要及時采取措施,對違反規(guī)定造成后果的,依據有關規(guī)定進行處理。
六、加強個人主頁管理,對于在個人主頁中張貼,傳播有害信息的責任人要依法處理,并刪除個人主頁。
七、發(fā)生重大突發(fā)事件期間,各涉密科室要加強網絡監(jiān)控,及時、果斷地處理網上突發(fā)事件。
信息安全管理制度5
第一章 總則
第一條 為加強公司計算機和信息系統(tǒng)(包括涉密信息系統(tǒng)和非涉密信息系統(tǒng))
安全保密管理,確保國家秘密及商業(yè)秘密的安全,根據國家有關保密法規(guī)標準和中核集團公司有關規(guī)定,制定本規(guī)定。
第二條 本規(guī)定所稱涉密信息系統(tǒng)是指由計算機及其相關的配套設備、設施構成的,按照一定的應用目標和規(guī)定存儲、處理、傳輸涉密信息的系統(tǒng)或網絡,包括機房、網絡設備、軟件、網絡線路、用戶終端等內容。
第三條 涉密信息系統(tǒng)的建設和應用要本著“預防為主、分級負責、科學管理、保障安全”的方針,堅持“誰主管、誰負責,誰使用、誰負責”和“控制源頭、歸口管理、加強檢查、落實制度”的原則,確保涉密信息系統(tǒng)和國家秘密信息安全。
第四條 涉密信息系統(tǒng)安全保密防護必須嚴格按照國家保密標準、規(guī)定和集團公司文件要求進行設計、實施、測評審查與審批和驗收;未通過國家審批的涉密信息系統(tǒng),不得投入使用。
第五條 本規(guī)定適用于公司所有計算機和信息系統(tǒng)安全保密管理工作。
第二章 管理機構與職責
第六條 公司法人代表是涉密信息系統(tǒng)安全保密第一責任人,確保涉密信息系統(tǒng)安全保密措施的落實,提供人力、物力、財力等條件保障,督促檢查領導責任制落實。
第七條 公司保密委員會是涉密信息系統(tǒng)安全保密管理決策機構,其主要職責:
。ㄒ唬┙⒔∪踩C芄芾碇贫群头婪洞胧,并監(jiān)督檢查落實情況;
。ǘ﹨f(xié)調處理有關涉密信息系統(tǒng)安全保密管理的重大問題,對重大失泄密事件進行查處。
第八條 成立公司涉密信息系統(tǒng)安全保密領導小組,保密辦、科技信息部(信息化)、黨政辦公室(密碼)、財會部、人力資源部、武裝保衛(wèi)部和相關業(yè)務部門、單位為成員單位,在公司黨政和保密委員會領導下,組織協(xié)調公司涉密信息系統(tǒng)安全保密管理工作。
第九條 保密辦主要職責:
。ㄒ唬⿺M定涉密信息系統(tǒng)安全保密管理制度,并組織落實各項保密防范措施;
。ǘ⿲ο到y(tǒng)用戶和安全保密管理人員進行資格審查和安全保密教育培訓,審查涉密信息系統(tǒng)用戶的職責和權限,并備案;
(三)組織對涉密信息系統(tǒng)進行安全保密監(jiān)督檢查和風險評估,提出涉密信息系統(tǒng)安全運行的保密要求;
。ㄋ模⿻萍夹畔⒉繉ι婷苄畔⑾到y(tǒng)中介質、設備、設施的授權使用的審查,建立涉密信息系統(tǒng)安全評估制度,每年對涉密信息系統(tǒng)安全措施進行一次評審;
。ㄎ澹⿲ι婷苄畔⑾到y(tǒng)設計、施工和集成單位進行資質審查,對進入涉密信息系統(tǒng)的安全保密產品進行準入審查和規(guī)范管理,對涉密信息系統(tǒng)進行安全保密性能檢測;
。⿲ι婷苄畔⑾到y(tǒng)中各應用系統(tǒng)進行定密、變更密級和解密工作進行審核;
。ㄆ撸┙M織查處涉密信息系統(tǒng)失泄密事件。
第十條
科技信息部、財會部主要職責是:
(一)組織、實施涉密信息系統(tǒng)的規(guī)劃、設計、建設,制定安全保密防護方案;
。ǘ┞鋵嵣婷苄畔⑾到y(tǒng)安全保密策略、運行安全控制、安全驗證等安全技術措施;每半年對涉密信息系統(tǒng)進行風險評估,提出整改措施,經涉密信息系統(tǒng)安全保密領導
小組批準后組織實施,確保安全技術措施有效、可靠;
。ㄈ┞鋵嵣婷苄畔⑾到y(tǒng)中各應用系統(tǒng)進行用戶權限設置及介質、設備、設施的授權使用、保管以及維護等安全保密管理措施;
(四)配備涉密信息系統(tǒng)管理員、安全保密管理員和安全審計員,并制定相應的職責; “三員”角色不得兼任,權限設置相互獨立、相互制約;“三員”應通過安全保密培訓持證上崗;
。ㄎ澹┞鋵嵱嬎銠C機房、配線間等重要部位的安全保密防范措施及網絡的安全管理,負責日常業(yè)務數據及其他重要數據的備份管理;
。┡浜媳C苻k對涉密信息系統(tǒng)進行安全檢查,對存在的隱患進行及時整改;
(七)制定應急預案并組織演練,落實應急措施,處理信息安全突發(fā)事件。
第十一條 黨政辦公室主要職責:
按照國家密碼管理的相關要求,落實涉密信息系統(tǒng)中普密設備的管理措施。
第十二條 相關業(yè)務部門、單位主要職責:涉密信息系統(tǒng)的使用部門、單位要嚴格遵守保密管理規(guī)定,教育員工提高安全保密意識,落實涉密信息系統(tǒng)各項安全防范措施;準確確定應用系統(tǒng)密級,制定并落實相應的二級保密管理制度。
第十三條 涉密信息系統(tǒng)配備系統(tǒng)管理員、安全保密管理員、安全審計員,其職責是:
。ㄒ唬┫到y(tǒng)管理員負責系統(tǒng)中軟硬件設備的運行、管理與維護工作,確保信息系統(tǒng)的安全、穩(wěn)定、連續(xù)運行。系統(tǒng)管理員包括網絡管理員、數據庫管理員、應用系統(tǒng)管理員。
。ǘ┌踩C芄芾韱T負責安全技術設備、策略實施和管理工作,包括用戶帳號管理以及安全保密設備和系統(tǒng)所產生日志的審查分析。
。ㄈ┌踩珜徲媶T負責安全審計設備安裝調試,對各種系統(tǒng)操作行為進行安全審計跟蹤分析和監(jiān)督檢查,以及時發(fā)現違規(guī)行為,并每月向涉密信息系統(tǒng)安全保密領導小組辦公室匯報一次情況。
第三章 系統(tǒng)建設管理
第十四條 規(guī)劃和建設涉密信息系統(tǒng)時,按照涉密信息系統(tǒng)分級保護標準的規(guī)定,同步規(guī)劃和落實安全保密措施,系統(tǒng)建設與安全保密措施同計劃、同預算、同建設、同驗收。
第十五條 涉密信息系統(tǒng)規(guī)劃和建設的安全保密方案,應由具有“涉及國家秘密的計算機信息系統(tǒng)集成資質”的機構編制或自行編制,安全保密方案必須經上級保密主管部門審批后方可實施。
第十六條 涉密信息系統(tǒng)規(guī)劃和建設實施時,應由具有“涉及國家秘密的計算機信息系統(tǒng)集成資質”的機構實施或自行實施,并與實施方簽署保密協(xié)議,項目竣工后必須由保密辦和科技信息部共同組織驗收。
第十七條 對涉密信息系統(tǒng)要采取與密級相適應的保密措施,配備通過國家保密主管部門指定的測評機構檢測的安全保密產品。涉密信息系統(tǒng)使用的軟件產品必須是正版軟件。
第四章 信息管理
第一節(jié) 信息分類與控制
第十八條 涉密信息系統(tǒng)的密級,按系統(tǒng)中所處理信息的最高密級設定,嚴禁處理高于涉密信息系統(tǒng)密級的涉密信息。
第十九條 涉密信息系統(tǒng)中產生、存儲、處理、傳輸、歸檔和輸出的文件、數據、圖紙等信息及其存儲介質應按要求及時定密、標密,并按涉密文件進行管理。電子文件密級標識應與信息主體不可分離,密級標識不得篡改。涉密信息系統(tǒng)中的涉密信息總量每半年進行一次分類統(tǒng)計、匯總,并在保密辦備案。
第二十條 涉密信息系統(tǒng)應建立安全保密策略,并采取有效措施,防止涉密信息被非授權訪問、篡改,刪除和丟失;防止高密級信息流向低密級計算機。涉密信息遠程傳輸必須采取密碼保護措施。
第二十一條 向涉密信息系統(tǒng)以外的單位傳遞涉密信息,一般只提供紙質文件,確需提供涉密電子文檔的,按信息交換及中間轉換機管理規(guī)定執(zhí)行。
第二十二條 清除涉密計算機、服務器等網絡設備、存儲介質中的涉密信息時,必須使用符合保密標準、要求的工具或軟件。
第二節(jié) 用戶管理與授權
第二十三條 根據本部門、單位使用涉密信息系統(tǒng)的密級和實際工作需要,確定人員知悉范圍,以此作為用戶授權的依據。
第二十四條 用戶清單管理
(一)科技信息部管理“研究試驗堆燃料元件數字化信息系統(tǒng)”和“中核集團涉密廣域網”用戶清單;財會部管理“財務會計核算網”用戶清單;
。ǘ┬略鲇脩魰r,由用戶本人提出書面申請,經本部門、單位審核,科技信息部、保密辦審批后,由科技信息部備案并統(tǒng)一建立用戶;“財務會計核算網”的用戶由財會部統(tǒng)一建立;
(三)刪除用戶時,由用戶本人所在部門、單位書面通知科技信息部,核準后由安全保密管理員即時將用戶在涉密信息系統(tǒng)內的所有帳號、權限廢止;“財務會計核算網”密辦審核,公司分管領導審批。開通、審批堅持“工作必須”的原則。
第六十四條 國際互聯(lián)網計算機實行專人負責、專機上網管理,嚴禁存儲、處理、傳遞涉密信息和內部敏感信息。接入互聯(lián)網的計算機須建立使用登記制度。
第六十五條 上網信息實行“誰上網誰負責”的保密管理原則,信息上網必須經過嚴格審查和批準,堅決做到“涉密不上網,上網不涉密”。對上網信息進行擴充或更新,應重新進行保密審查。
第六十六條 任何部門、單位和個人不得在電子郵件、電子公告系統(tǒng)、聊天室、網絡新聞組、博客等上發(fā)布、談論、傳遞、轉發(fā)或抄送國家秘密信息。
第六十七條 從國際互聯(lián)網或其它公眾信息網下載程序和軟件工具等轉入涉密系統(tǒng),經科技信息部審批后,按照信息交換及中間轉換機管理規(guī)定執(zhí)行。
第九章 便攜式計算機管理
第六十八條 便攜式計算機(包括涉密便攜式計算機和非涉密便攜式計算機)實行 “誰擁有,誰使用,誰負責”的保密管理原則,使用者須與公司簽定保密承諾書。
第六十九條 涉密便攜式計算機根據工作需要確定密級,粘貼密級標識,按照涉密設備進行管理,保密辦備案后方可使用。
第七十條 便攜式計算機應具備防病毒、防非法外聯(lián)和身份認證(設置開機密碼口令)等安全保密防護措施。
第七十一條 禁止使用涉密便攜式計算機上國際互聯(lián)網和非涉密網絡;嚴禁涉密便攜式計算機與涉密信息系統(tǒng)互聯(lián)。
第七十二條 涉密便攜式計算機不得處理絕密級信息。未經保密辦審批,嚴禁在涉密便攜式計算機中存儲涉密信息。處理、存儲涉密信息應在涉密移動存儲介質上進行,并與涉密便攜式計算機分離保管。
第七十三條 禁止使用私有便攜式計算機處理辦公信息;嚴禁非涉密便攜式計算機存儲、處理涉密信息;嚴禁將涉密存儲介質接入非涉密便攜式計算機使用。
第七十四條 公司配備專供外出攜帶的涉密便攜式計算機和涉密存儲介質,按照 “集中管理、審批借用”的原則進行管理,建立使用登記制度。外出攜帶的涉密便攜式計算機須經保密辦檢查后方可帶出公司,返回時須進行技術檢查。
第七十五條 因工作需要外單位攜帶便攜式計算機進入公司辦公區(qū)域,需辦理保密審批手續(xù)。
第十章 應急響應管理
第七十六條 為有效預防和處置涉密信息系統(tǒng)安全突發(fā)事件,及時控制和消除涉密信息系統(tǒng)安全突發(fā)事件的危害和影響,保障涉密信息系統(tǒng)的安全穩(wěn)定運行,科技信息部和財會部應分別制定相應應急響應預案,經公司涉密信息系統(tǒng)安全保密領導小組審批后實施。
第七十七條 應急響應預案用于涉密信息系統(tǒng)安全突發(fā)事件。突發(fā)事件分為系統(tǒng)運行安全事件和泄密事件,根據事件引發(fā)原因分為災害類、故障類或攻擊類三種情況。
。ㄒ唬暮κ录焊鶕䦟嶋H情況,在保障人身安全前提下,保障數據安全和設備安
。ǘ┕收匣蚬羰录号袛喙收匣蚬舻膩碓磁c性質,關閉影響安全與穩(wěn)定的網絡設備和服務器設備,斷開信息系統(tǒng)與攻擊來源的網絡物理連接,跟蹤并鎖定攻擊來源的IP地址或其它網絡用戶信息,修復被破壞的信息,恢復信息系統(tǒng)。按照事件發(fā)生的性質分別采用以下方案:1、病毒傳播:及時尋找并斷開傳播源,判斷病毒的類型、性質、可能的危害范圍。為避免產生更大的損失,保護計算機,必要時可關閉相應的端口,尋找并公布病毒攻擊信息,以及殺毒、防御方法;
2、外部入侵:判斷入侵的來源,評價入侵可能或已經造成的危害。對入侵未遂、未造成損害的,且評價威脅很小的外部入侵,定位入侵的IP地址,及時關閉入侵的端口,限制入侵的IP地址的訪問。對于已經造成危害的,應立即采用斷開網絡連接的`方法,避免造成更大損失和帶來的影響;
3、內部入侵:查清入侵來源,如IP地址、所在區(qū)域、所處辦公室等信息,同時斷開對應的交換機端口,針對入侵方法調整或更新入侵檢測設備。對于無法制止的多點入侵和造成損害的,應及時關閉被入侵的服務器或相應設備;
4、網絡故障:判斷故障發(fā)生點和故障原因,能夠迅速解決的盡快排除故障,并優(yōu)先保證主要應用系統(tǒng)的運轉;
5、其它未列出的不確定因素造成的事件,結合具體的情況,做出相應的處理。不能處理的及時咨詢,上報公司信息安全領導小組。
第七十八條 按照信息安全突發(fā)事件的性質、影響范圍和造成的損失,將涉密信息系統(tǒng)安全突發(fā)事件分為特別重大事件(I級)、重大事件(II級)、較大事件(III級)和一般事件(IV級)四個等級。
。ㄒ唬┮话闶录煽萍夹畔⒉浚ɑ蜇敃浚┮罁表憫A案進行處置;
。ǘ┹^大事件由科技信息部(或財會部)、保密辦依據應急響應預案進行處置,及時向公司信息安全領導小組報告并提請協(xié)調處置;
。ㄈ┲卮笫录䥺討表憫A案,對突發(fā)事件進行處置,及時向公司黨政報告并提請協(xié)調處置;
。ㄋ模┨貏e重大事件由公司報請中核集團公司對信息安全突發(fā)事件進行處置。
第七十九條 發(fā)生突發(fā)事件(如涉密數據被竊取或信息系統(tǒng)癱瘓等)應按如下應急響應的基本步驟、基本處理辦法和流程進行處理:
。ㄒ唬┥蠄罂萍夹畔⒉亢捅C苻k;
(二)關閉系統(tǒng)以防止造成數據損失;
(三)切斷網絡,隔離事件區(qū)域;
。ㄋ模┎殚唽徲嬘涗泴ふ沂录搭^;
。ㄎ澹┰u估系統(tǒng)受損程度;
。⿲σ鹗录┒催M行整改;
。ㄆ撸⿲ο到y(tǒng)重新進行風險評估;
。ò耍┯杀C苻k根據風險評估結果并書面確認安全后,系統(tǒng)方能重新運行;
(九)對事件類型、響應、影響范圍、補救措施和最終結果進行詳細的記錄;
。ㄊ┮勒辗ㄒ(guī)制度對責任人進行處理。
第八十條 科技信息部、財會部應會同保密辦每年組織一次應急響應預案演練,檢驗應急響應預案各環(huán)節(jié)之間的通信、協(xié)調、指揮等是否快速、高效,并對其效果進行評估,以使用戶明確自己的角色和責任。應急響應相關知識、技術、技能應納入信息安全保密培訓內容,并記錄備案。
第十一章 人員管理
第八十一條 各部門、單位每年應組織開展不少于1次的全員信息安全保密知識技能教育與培訓,并記錄備案。
第八十二條
涉密人員離崗、離職,應及時調整或取消其訪問授權,并將其保管的涉密設備、存儲介質全部清退并辦理移交手續(xù)。
第八十三條 承擔涉密信息系統(tǒng)日常管理工作的系統(tǒng)管理員、安全保密管理員、安全審計管理員應按重要涉密人員管理。
第十二章 督查與獎懲
第八十四條 公司每年應對涉密信息系統(tǒng)安全保密狀況、安全保密制度和措施的落實情況進行一次自查,并接受國家和上級單位的指導和監(jiān)督。涉密信息系統(tǒng)每兩年接受一次上級部門開展的安全保密測評或保密檢查,檢查結果存檔備查。
第八十五條 檢查涉密計算機和信息系統(tǒng)的保密檢查工具和涉密信息系統(tǒng)所使用的安全保密、漏洞檢查(取證)軟件等,應覆蓋保密檢查的項目,并通過國家保密局的檢測。安全保密檢查工具應及時升級或更新,確保檢查時使用最新版本。
第八十六條 各部門、單位應將員工遵守涉密計算機及信息系統(tǒng)安全保密管理制度的情況,納入保密自查、考核的重要內容。對違反本規(guī)定造成失泄密的當事人及有關責任人,按公司保密責任考核及獎懲規(guī)定執(zhí)行。
第十三章 附 則
第八十七條 本規(guī)定由保密辦負責解釋與修訂。
第八十八條 本規(guī)定自發(fā)布之日起實施。原《計算機磁(光)介質保密管理規(guī)定)[制度編號:(廠1908號)]、《涉密計算機信息系統(tǒng)保密管理規(guī)定》[制度編號:(20xx)廠1911號]、《涉密計算機采購、維修、變更、報廢保密管理規(guī)定》[制度編號:(20xx)廠1925號]、《國際互聯(lián)網信息發(fā)布保密管理規(guī)定》[制度編號:(20xx)廠1926號]、《涉密信息系統(tǒng)信息保密管理規(guī)定》[制度通告:(20xx)0934號]、《涉密信息系統(tǒng)安全保密管理規(guī)定》[制度通告:(20xx)0935號]同時廢止。
信息安全管理制度6
一、總則
為了加強公司內所有信息安全的管理,讓大家充分運用計算機來提高工作效率,特制定本制度。
二、計算機管理要求
1、IT管理員負責公司內所有計算機的管理,各部門應將計算機負責人名單報給IT管理員,IT管理員(填寫《計算機IP地址分配表》)進行備案管理。如有變更,應在變更計算機負責人一周內向IT管理員申請備案。
2、公司內所有的計算機應由各部門指定專人使用,每臺計算機的使用人員均定為計算機的負責人,如果其他人要求上機(不包括IT管理員),應取得計算機負責人的'同意,嚴禁讓外來人員使用工作計算機,出現問題所帶來的一切責任應由計算機負責人承擔。
3、計算機設備未經IT管理員批準同意,任何人不得隨意拆卸更換;如果計算機出現故障,計算機負責人應及時向IT管理員報告,IT管理員查明故障原因,提出整改措施,如屬個人原因,對計算機負責人做出處罰。
4、日常保養(yǎng)內容:
A、計算機表面保持清潔
B、應經常對計算機硬盤進行整理,保持硬盤整潔性、完整性;
C、下班不用時,應關閉主機電源。
5、計算機IP地址和密碼由IT管理員指定發(fā)給各部門,不能擅自更換。計算機系統(tǒng)專用資料(軟件盤、系統(tǒng)盤、驅動盤)應由專人進行保管,不得隨意帶出公司或個人存放。
6、禁止將公司配發(fā)的計算機非工作原因私自帶走或轉借給他人,造成丟失或損壞的要做相應賠償,禁止計算機使用人員對硬盤格式化操作。
7、計算機的內部調用:
A、IT管理員根據需要負責計算機在公司內的調用,并按要求組織計算機的遷移或調換。
B、計算機在公司內調用,IT管理員應做好調用記錄,《調用記錄單》經副總經理簽字認可后交IT管理員存檔。
8、計算機報廢:
A、計算機報廢,由使用部門提出,IT管理員根據計算機的使用、升級情況,組織鑒定,同意報廢處理的,報部門經理批準后按《固定資產管理規(guī)定》到財務部辦理報廢手續(xù)。
B、報廢的計算機殘件由IT管理員回收,組織人員一次性處理。
C、計算機報廢的'條件:
1)主要部件嚴重損壞,無升級和維修價值;
2)修理或改裝費用超過或接近同等效能價值的設備。
三、環(huán)境管理
1、計算機的使用環(huán)境應做到防塵、防潮、防干擾及安全接地。
2、應盡量保持計算機周圍環(huán)境的整潔,不要將影響使用或清潔的用品放在計算機周圍。
3、服務器機房內應做到干凈、整潔、物品擺放整齊;非主管維護人員不得擅自進入。
四、軟件管理和防護
1、職責:
A、IT管理員負責軟件的開發(fā)購買保管、安裝、維護、刪除及管理。
B、計算機負責人負責軟件的使用及日常維護。
2、使用管理:
A、計算機系統(tǒng)軟件:要求IT管理員統(tǒng)一配裝正版Windows專業(yè)版,辦公常用辦公軟件安裝正版office專業(yè)版套裝、正版ERP管理系統(tǒng),制圖軟件安裝正版CAD專業(yè)版,殺毒軟件安裝安全殺毒套裝,郵件軟件安裝閃電郵,及自主開發(fā)等各種正版及綠色軟件。
B、禁止私自下載或安裝軟件、游戲、電影等,如工作需要安裝或刪除軟件時,向IT管理員提出申請,經檢查符合要求的軟件由IT管理部員或在IT管理員的監(jiān)督下進行安裝或刪除。
C、計算機負責人應管理好計算機的操作系統(tǒng)或軟件的用戶名、工號、密碼。若調整工作崗位,應及時通知IT管理部員更改相關權限。不得盜用他人用戶名和密碼登錄計算機,或更改、破壞他人的文件資料,做好局域網上共享文件夾的密碼保護工作。
D、計算機負責人應及時做好業(yè)務相關軟件的應用程序數據備份(刻錄光盤),防止因機器故障或被誤刪除而引起文件丟失。
E、計算機軟件在使用過程中如發(fā)現異常或出現錯誤代碼時,計算機負責人應及時上報IT管理員進行處理。
3、升級、防護:
A、如操作系統(tǒng)、軟件需要更新及版本升級,則由IT管理員負責升級安裝、購買等。
B、U盤、軟盤在使用前,必須先采用殺毒軟件進行掃描殺毒,無病毒后再使用。
C、由IT管理員協(xié)助計算機負責人對計算機進行病毒、木馬程序檢測和清理工作,要求定期更新殺毒軟件。
五、硬件維護
1、要求:
A、IT管理部員負責計算機或相關電腦設備的維護。
B、對硬件進行維護的人員在拆卸計算機時,必須采取必要的防靜電措施。
C、對硬件進行維護的'人員在作業(yè)完成后或準備離去時,必須將所拆卸的設備復原。
D、對于關鍵的計算機設備應配備必要的斷電、繼電保護電源。
E、IT管理部員應按設備說明書進行日常維護,每月一次。
2、維護:
A、計算機的使用、清潔和保養(yǎng)工作,由計算機負責人負責;
B、IT管理員必須經常檢查計算機及外設的狀況,及時發(fā)現和解決問題。
六、網絡管理
A、禁止瀏覽或登入反動、色情、邪教等不明非法網站、瀏覽非法信息以及利用電子信箱收發(fā)有關上述內容的郵件;不得通過互聯(lián)網或光盤下載安裝傳播病毒以及黑客程序。
B、禁止私自將公司的受控文件及數據上傳網絡與拷貝傳播。
七、維修流程
當計算機出現故障時,應立即停止操作,上報公司IT管理員,填寫《公司電腦維修記錄表》;由IT管理員負責維修。
八、獎懲辦法
由于計算機設備是我們工作中的重要工具。因此,IT管理員將計算機的管理納入對各計算機負責人的績效考核范圍,并將嚴格實行。
從本制度公布之日起:
1、凡是發(fā)現以下行為,IT管理員有權根據實際情況處罰并追究當事人及其直接領導的責任,嚴重的則交由上級部門領導對其處理。
A、私自安裝和使用未經許可的軟件(含游戲、電影),每個軟件罰50元。
B、計算機具有密碼功能卻未使用,每次罰10元。
C、下班后,計算機未退出系統(tǒng)或關閉顯示器的,每次罰10元。
D、擅自使用他人計算機或外設造成不良影響的,每次罰50元。
E、瀏覽登入反動、色情、邪教等不明非法網站,傳播非法郵件的,每次罰100元。
F、如有私自或沒有經過IT管理部審核更換計算機IP地址的,每次罰10元。
G、如有拷貝受控文件及數據,故意刪除共享資料軟件及計算機數據的,按損失酌情進行處罰。
2、凡發(fā)現由于:違章作業(yè),保管不當,擅自安裝、使用硬件和電氣裝置,而造成硬件的損壞或丟失的,其損失由責任人賠償硬件價值的全部費用。
九、附則
1、本制度為公司計算機管理制度,要求每一位計算機負責人必須遵守該制度。
2、本制度由IT管理員負責編制與修改。
3、本制度由公司總經理批準后執(zhí)行。
信息安全管理制度7
第一章總則
第一條為加強郵政行業(yè)寄遞服務用戶個人信息安全管理,保護用戶合法權益,維護郵政通信與信息安全,促進郵政行業(yè)健康發(fā)展,根據《中華人民共和國郵政法》、《全國人大常委會關于加強網絡信息保護的規(guī)定》、《郵政行業(yè)安全監(jiān)督管理辦法》等法律、行政法規(guī)和有關規(guī)定,制定本規(guī)定。
第二條在中華人民共和國境內經營和使用寄遞服務涉及用戶個人信息安全的活動以及相關監(jiān)督管理工作,適用本規(guī)定。
第三條本規(guī)定所稱寄遞服務用戶個人信息(以下簡稱寄遞用戶信息),是指用戶在使用寄遞服務過程中的個人信息,包括寄(收)件人的姓名、地址、身份證件號碼、電話號碼、單位名稱,以及寄遞詳情單號、時間、物品明細等內容。
第四條寄遞用戶信息安全監(jiān)督管理堅持安全第一、預防為主、綜合治理的方針,保障用戶個人信息安全。
第五條國務院郵政管理部門負責全國郵政行業(yè)寄遞用戶信息安全監(jiān)督管理工作。
省、自治區(qū)、直轄市郵政管理機構負責本行政區(qū)域內的郵政行業(yè)寄遞用戶信息安全監(jiān)督管理工作。
按照國務院規(guī)定設立的省級以下郵政管理機構負責本轄區(qū)的郵政行業(yè)寄遞用戶信息安全監(jiān)督管理工作。
國務院郵政管理部門和省、自治區(qū)、直轄市郵政管理機構以及省級以下郵政管理機構,統(tǒng)稱為郵政管理部門。
第六條郵政管理部門應當與有關部門相互配合,健全寄遞用戶信息安全保障機制,維護寄遞用戶信息安全。
第七條郵政企業(yè)、快遞企業(yè)及其從業(yè)人員應當遵守國家有關信息安全管理的規(guī)定及本規(guī)定,防止寄遞用戶信息泄露、丟失。
第二章一般規(guī)定
第八條郵政企業(yè)、快遞企業(yè)應當建立健全寄遞用戶信息安全保障制度和措施,明確企業(yè)內部各部門、崗位的安全責任,加強寄遞用戶信息安全管理和安全責任考核。
第九條以加盟方式經營快遞業(yè)務企業(yè)應當在加盟協(xié)議中訂立寄遞用戶信息安全保障條款,明確被加盟人與加盟人的安全責任。加盟人發(fā)生信息安全事故時,被加盟人應當依法承擔相應安全管理責任。
第十條郵政企業(yè)、快遞企業(yè)應當與其從業(yè)人員簽訂寄遞用戶信息保密協(xié)議,明確保密義務和違約責任。
第十一條郵政企業(yè)、快遞企業(yè)應當組織從業(yè)人員進行寄遞用戶信息安全保護相關知識、技能培訓,加強職業(yè)道德教育,不斷提高從業(yè)人員的法制觀念和責任意識。
第十二條郵政企業(yè)、快遞企業(yè)應當建立寄遞用戶信息安全投訴處理機制,公布有效聯(lián)系方式,接受并及時處理有關投訴。
第十三條郵政企業(yè)、快遞企業(yè)受網絡購物、電視購物和郵購等經營者委托提供寄遞服務的,在與委托方簽訂協(xié)議時,應當訂立寄遞用戶信息安全保障條款,明確信息使用范圍和方式、信息交換安全保護措施、信息泄露責任劃分等內容。
第十四條郵政企業(yè)、快遞企業(yè)委托第三方錄入寄遞用戶信息的,應當確認其具有信息安全保障能力,并訂立信息安全保障條款,明確責任劃分。第三方發(fā)生信息安全事故導致寄遞用戶信息泄露、丟失的,郵政企業(yè)、快遞企業(yè)應當依法承擔相應責任。
第十五條未經法律明確授權或者用戶書面同意,郵政企業(yè)、快遞企業(yè)及其從業(yè)人員不得將其掌握的寄遞用戶信息提供給任何單位或者個人。
第十六條公安機關、國家安全機關或者檢察機關的工作人員依照法律規(guī)定程序調閱、檢查寄遞詳情單實物及電子信息檔案,郵政企業(yè)、快遞企業(yè)應當配合,并對有關情況予以保密。
第十七條郵政企業(yè)、快遞企業(yè)應當建立寄遞用戶信息安全應急處置機制。對于突發(fā)的寄遞用戶信息安全事故,應當立即采取補救措施,按照規(guī)定報告郵政管理部門,并配合郵政管理部門和相關部門的調查處理工作,不得遲報、漏報、謊報、瞞報。
第三章寄遞詳情單實物信息安全管理
第十八條郵政企業(yè)、快遞企業(yè)應當加強寄遞詳情單管理,對空白寄遞詳情單發(fā)放情況進行登記,對號段進行全程跟蹤,形成跟蹤記錄。
第十九條郵政企業(yè)、快遞企業(yè)應當加強營業(yè)場所、處理場所管理,嚴禁無關人員進出郵件(快件)處理、存放場地,嚴禁無關人員接觸、翻閱郵件(快件),防止寄遞詳情單實物信息(以下簡稱實物信息)在處理過程中泄露。
第二十條郵政企業(yè)、快遞企業(yè)應當優(yōu)化寄遞處理流程,減少接觸實物信息的處理環(huán)節(jié)和操作人員。
第二十一條郵政企業(yè)、快遞企業(yè)應當采用有效技術手段,防止實物信息在寄遞過程中泄露。
第二十二條郵政企業(yè)、快遞企業(yè)應當配備符合國家標準的安全監(jiān)控設備,安排具有專門技術和技能的人員,對收寄、分揀、運輸、投遞等環(huán)節(jié)的實物信息處理進行安全監(jiān)控。
第二十三條郵政企業(yè)、快遞企業(yè)應當建立健全寄遞詳情單實物檔案管理制度,實行集中封閉管理,確定集中存放地,及時回收寄遞詳情單妥善保管。設立、變更集中存放地,應當及時報告所在地郵政管理部門。
第二十四條郵政企業(yè)、快遞企業(yè)應當對寄遞詳情單實物檔案集中存放地設專人管理,采取必要的安全防護措施,確保存儲安全。
第二十五條郵政企業(yè)、快遞企業(yè)應當建立并嚴格執(zhí)行寄遞詳情單實物檔案查詢管理制度。內部人員因工作需要查閱檔案時,應當確保檔案完整無損,并做好查閱登記,不得私自攜帶離開存放地。
第二十六條寄遞詳情單實物檔案應當按照國家相關標準規(guī)定的期限保存。保存期滿后,由企業(yè)進行集中銷毀,做好銷毀記錄,嚴禁丟棄或者販賣。
第二十七條郵政企業(yè)、快遞企業(yè)應當對實物信息安全保障情況進行定期自查,記錄自查情況,及時消除自查中發(fā)現的信息安全隱患。
第四章寄遞詳情單電子信息安全管理
第二十八條郵政企業(yè)、快遞企業(yè)應當按照國家規(guī)定,加強寄遞服務用戶信息相關信息系統(tǒng)和網絡設施的安全管理。
第二十九條郵政企業(yè)、快遞企業(yè)信息系統(tǒng)的網絡架構應當符合國家信息安全管理規(guī)定,合理劃分安全區(qū)域,實現各安全區(qū)域之間有效隔離,并具有防范、監(jiān)控和阻斷來自內部和外部網絡攻擊破壞的能力。
第三十條郵政企業(yè)、快遞企業(yè)應當配備必要的防病毒軟件、硬件,確保信息系統(tǒng)和網絡具有防范計算機病毒的能力,防止惡意代碼破壞信息系統(tǒng)和網絡,避免信息泄露或者被篡改。
第三十一條郵政企業(yè)、快遞企業(yè)構建信息系統(tǒng)和網絡,應當避免使用信息系統(tǒng)和網絡供應商提供的默認密碼、安全參數,并對通過開放公共網絡傳輸的寄遞用戶信息采取加密措施,嚴格審查并監(jiān)控對信息系統(tǒng)、網絡設備的遠程訪問。
第三十二條郵政企業(yè)、快遞企業(yè)在采購計算機軟件、硬件產品或者技術服務時,應當與供應商簽訂保密協(xié)議,明確其安全責任,以及在發(fā)生信息安全事件時配合郵政管理部門和相關部門調查的義務。
第三十三條郵政企業(yè)、快遞企業(yè)應當建立信息系統(tǒng)安全內部審計制度,定期開展內部審計,對發(fā)現的問題及時整改。
第三十四條郵政企業(yè)、快遞企業(yè)應當加強信息系統(tǒng)及網絡的權限管理,基于權限最小化和權限分離原則,向從業(yè)人員分配滿足工作需要的最小操作權限和可訪問的最小信息范圍。
郵政企業(yè)、快遞企業(yè)應當加強對信息系統(tǒng)和數據庫的管理,使網絡管理人員僅具有進行信息系統(tǒng)、數據庫、網絡運行維護和優(yōu)化的權限。網絡管理人員的維護操作須經安全管理員授權,并受到安全審計員的監(jiān)控和審計。
第三十五條郵政企業(yè)、快遞企業(yè)應當加強信息系統(tǒng)密碼管理,使用高安全級別密碼策略,定期更換密碼,禁止將密碼透露給無關人員。
第三十六條郵政企業(yè)、快遞企業(yè)應當加強寄遞用戶電子信息的存儲安全管理,包括:
。ㄒ唬┦褂锚毩⑽锢韰^(qū)域存儲寄遞用戶信息,禁止非授權人員進出該區(qū)域;
。ǘ┎捎眉用芊绞酱鎯倪f用戶信息;
。ㄈ┐_保安全使用、保管和處置存有寄遞用戶信息的計算機、移動設備和移動存儲介質。明確管理數據存儲設備、介質的負責人,建立設備、介質使用和借用登記制度,限制設備輸出接口的使用。存儲設備和介質報廢的`,應當及時刪除其中的寄遞用戶信息數據,并銷毀硬件。
第三十七條郵政企業(yè)、快遞企業(yè)應當加強寄遞用戶信息的應用安全管理,對所有批量導出、復制、銷毀用戶個人信息的操作進行審查,并采取防泄密措施,同時記錄進行操作的人員、時間、地點和事項,留作信息安全審計依據。
第三十八條郵政企業(yè)、快遞企業(yè)應當加強對離崗人員的信息安全審計,及時刪除或者禁用離崗人員系統(tǒng)賬戶。
第三十九條郵政企業(yè)、快遞企業(yè)應當制定本企業(yè)與市場相關主體的信息系統(tǒng)安全互聯(lián)技術規(guī)則,對存儲寄遞服務信息的信息系統(tǒng)實行接入審查,定期進行安全風險評估。
第五章監(jiān)督管理
第四十條郵政管理部門依法履行下列職責:
。ㄒ唬┲贫ūU霞倪f用戶信息安全的政策、制度和相關標準,并監(jiān)督實施;
。ǘ┍O(jiān)督、指導郵政企業(yè)、快遞企業(yè)落實信息安全責任制,督促企業(yè)加強寄遞用戶信息安全管理;
。ㄈ⿲倪f用戶信息安全進行監(jiān)測、預警和應急管理;
(四)監(jiān)督、指導郵政企業(yè)、快遞企業(yè)開展寄遞用戶信息安全宣傳教育和培訓;
。ㄎ澹┮婪▽︵]政企業(yè)、快遞企業(yè)實施寄遞用戶信息安全監(jiān)督檢查;
。┙M織調查或者參與調查寄遞用戶信息安全事故,依法查處違反寄遞用戶信息安全管理規(guī)定的行為;
。ㄆ撸┓、行政法規(guī)和規(guī)章規(guī)定的其他職責。
第四十一條郵政管理部門應當加強郵政行業(yè)寄遞用戶信息安全管理制度和知識的宣傳,強化郵政企業(yè)、快遞企業(yè)及其從業(yè)人員的信息安全管理意識,提高用戶對個人信息安全保護的認識。
第四十二條郵政管理部門應當加強郵政行業(yè)寄遞用戶信息安全運行的監(jiān)測預警,建立信息管理體系,收集、分析與信息安全有關的各類信息。
下級郵政管理部門應當及時向上一級郵政管理部門報告郵政行業(yè)寄遞用戶信息安全情況,并根據需要通報工業(yè)和信息化、通信管理、公安、國家安全、商務和工商行政管理等相關部門。
第四十三條郵政管理部門應當對郵政企業(yè)、快遞企業(yè)建立和執(zhí)行寄遞用戶信息安全管理制度,規(guī)范從業(yè)人員信息安全保護行為,防范信息安全風險等情況進行檢查。
第四十四條郵政管理部門發(fā)現郵政企業(yè)、快遞企業(yè)存在違反寄遞用戶信息安全管理規(guī)定,妨害或者可能妨害寄遞用戶信息安全的,應當依法進行調查處理。違法行為涉及其他部門管理職權的,郵政管理部門應當會同有關部門對涉案郵政企業(yè)、快遞企業(yè)進行調查處理。
第四十五條郵政管理部門應當加強對郵政企業(yè)、快遞企業(yè)及其從業(yè)人員遵守本規(guī)定情況的監(jiān)督檢查。
第四十六條郵政企業(yè)、快遞企業(yè)拒不配合寄遞用戶信息安全監(jiān)督檢查的,依照《中華人民共和國郵政法》第七十七條的規(guī)定予以處罰。
第四十七條郵政企業(yè)、快遞企業(yè)及其從業(yè)人員因泄露寄遞用戶信息對用戶造成損失的,應當依法予以賠償。
第四十八條郵政企業(yè)、快遞企業(yè)及其從業(yè)人員違法提供寄遞用戶信息,尚未構成犯罪的,依照《中華人民共和國郵政法》第七十六條的規(guī)定予以處罰。構成犯罪的,移送司法機關追究刑事責任。
第四十九條任何單位和個人有權向郵政管理部門舉報違反本規(guī)定的行為。郵政管理部門接到舉報后,應當依法及時處理。
第五十條郵政管理部門可以在行業(yè)內通報郵政企業(yè)、快遞企業(yè)違反寄遞用戶信息安全管理規(guī)定行為、信息安全事件,以及對有關責任人員進行處理的情況。必要時可以向社會公布上述信息,但涉及國家秘密、商業(yè)秘密和個人隱私的除外。
第五十一條郵政管理部門及其工作人員對在履行職責過程中知悉的寄遞用戶信息應當保密,不得泄露、篡改或者損毀,不得出售或者非法向他人提供。
第五十二條郵政管理部門工作人員在寄遞用戶信息安全監(jiān)督管理工作中濫用職權、玩忽職守、徇私舞弊,依照《郵政行業(yè)安全監(jiān)督管理辦法》第五十五條的規(guī)定予以處理。
第六章附則
第五十三條本規(guī)定自發(fā)布之日起施行。
信息安全管理制度8
第一節(jié) 總則
1、為加強醫(yī)院信息技術外包服務的安全管理,保證醫(yī)院信息系統(tǒng)運行環(huán)境的穩(wěn)定,特制定本制度。
2、本制度所稱信息技術外包服務,是指醫(yī)院以簽訂合同的方式,委托承擔信息技術服務且非本醫(yī)院所屬的專業(yè)機構提供的信息技術服務,主要包括信息技術咨詢服務、運行維護服務、技術培訓及其它相關信息化建設服務等。
3、安全管理是以安全為目的,進行有關安全工作的方針、決策、計劃、組織、指揮、協(xié)調、控制等職能,合理有效地使用人力、財力、物力、時間和信息,為達到預定的安全防范而進行的各種活動的總和,稱為安全管理。
4、外包服務安全管理遵循關于安全的所有商業(yè)準則及適當的外部法律、法規(guī)。
第二節(jié) 外包服務范圍
5、外包服務包括信息技術咨詢服務、運行維護服務、技術培訓等。
6、咨詢服務:
6.1根據醫(yī)院的'信息化建設總體部署,協(xié)助醫(yī)院制定切實可行的技術實施方案。
6.2 對醫(yī)院現有的信息技術基礎架構、設備運行狀態(tài)和應用情況進行診斷和評估,提出合理化的解決方案。
6.3 根據醫(yī)院的實際情況提出備份方案和應急方案。
6.4 其它信息技術咨詢服務。
7、運行維護服務:
7.1 軟硬件設備安裝、升級服務。
7.2硬件設備的維修和保養(yǎng)。
7.3 根據醫(yī)院業(yè)務變化,提供應用系統(tǒng)功能性的需求解決方案及執(zhí)行服務。
7.4系統(tǒng)定期巡檢和整體性能評估。
7.5 日常業(yè)務數據問題的處理服務。
7.6 其它運行維護服務。
8、技術培訓:根據醫(yī)院的實際情況,提供相關的技術培訓。
第三節(jié) 外包服務安全管理
9、外包服務安全管理應按照“安全第一、預防為主”的原則,采取科學有效的安全管理措施,應用確保信息安全的技術手段,建立權責明確、覆蓋信息化全過程的崗位責任制,對信息化全過程實行嚴格監(jiān)督和管理,確保信息安全。
10、 成立由分管領導同志信息化外包管理組織,明確信息化管理的部門、人員及其職責。
11、建立信息建設安全保密制度,與外包服務方簽訂安全保密協(xié)議或合同,明確符合安全管理及其它相關制度的要求。并對服務人員進行安全保密教育。
12、制定信息化加工過程管理、信息化成果驗收與交接、存儲介質管理等操作規(guī)程或規(guī)章制度。
13、外包服務方的人員素質、技術與管理水平能夠滿足擬承擔項目的要求,進行相應的安全資質管理。
14、信息中心配備專人負責安全保密工作,負責日常信息安全監(jiān)督、檢查、指導工作。對服務方提供的服務進行安全性監(jiān)督與評估,采取安全措施對訪問實施控制,出現問題應遵照合同規(guī)定及時處理和報告,確保其提供的服務符合醫(yī)院的內部控制要求。
15、對外包服務的業(yè)務應用系統(tǒng)運行的安全狀況應定期進行評估,當出現重大安全問題或隱患時應進行重新評估,提出改進意見,直至停止外包服務。
16、使用外包服務方設備的,對其進行必要的安全檢查。
17、在重要安全區(qū)域,對外部服務方的每次訪問進行風險控制;必要時應外部服務方的訪問進行限制。
第四節(jié) 附則
18、本制度由信息中心負責解釋。
19、本制度自發(fā)布之日起生效執(zhí)行。
信息安全管理制度9
1目的
為建立一個適當的信息安全事件、薄弱點和故障報告、反應與處理機制,減少信息安全事件和故障所造成的損失,采取有效的糾正與預防措施,特制定本程序。
2范圍
本程序適用于***業(yè)務信息安全事件的管理。
3職責
3.1信息安全管理流程負責人
確定信息安全目標和方針;
確定信息安全管理組織架構、角色和職責劃分;
負責信息安全小組之間的協(xié)調,內部和外部的溝通;
負責信息安全評審的相關事宜;
3.2信息安全日常管理員
負責制定組織中的安全策略;
組織安全管理技術責任人進行風險評估;
組織安全管理技術責任人制定信息安全改進建議和控制措施;
編寫風險改進計劃;
3.3信息安全管理技術責任人
負責信息安全日常監(jiān)控;
信息安全風險評估;
確定信息安全控制措施;
響應并處理安全事件。
4工作程序
4.1信息安全事件定義與分類
信息安全事件是指信息設備故障、線路故障、軟件故障、惡意軟件危害、人員故意破壞或工作失職等原因直接影響(后果)的。
造成下列影響(后果)之一的,均為一般信息安全事件。
a) ***秘密泄露;
b)導致業(yè)務中斷兩小時以上;
c)造成信息資產損失的火災;
d)損失在一萬元人民幣(含)以上的故障/事件。
造成下列影響(后果)之一的,屬于重大信息安全事件。
a)組織機密泄露;
b)導致業(yè)務中斷十小時以上;
c)造成機房設備毀滅的火災;
d)損失在十萬元人民幣(含)以上的故障/事件。
4.2信息安全事件管理流程
由信息安全管理負責人組織相關的運維技術人員根據***對信息安全的要求,確認代碼管理相關信息系統(tǒng)的安全需求;
對代碼管理相關信息系統(tǒng)進行信息安全風險評估,預測風險類型、風險發(fā)生的可能性、風險級別、潛在的業(yè)務影響,形成信息安全風險評估報告;
由信息安全日常管理員組織相關技術人員根據對根據風險評估的結果以及服務級別協(xié)議的安全需求,提出現階段的安全改進建議,并提交至信息安全管理負責人進行評估;若同意執(zhí)行安全改進建議,則在變更管理的控制下實施安全建議;
信息安全日常管理員根據安全改進之后的信息系統(tǒng)安全現狀提出具體的安全控制措施,形成風險處置計劃;
根據風險處置計劃,實施信息安全控制措施,盡可能的降低信息和業(yè)務風險;
監(jiān)視信息系統(tǒng)的活動并識別反常的活動和安全事件,并記錄下來,做初步的響應和處理;評估安全漏洞和不符合安全要求的任何情況,并采取必要的.糾正措施;
對發(fā)現的或已發(fā)生的信息安全事件,按照信息安全事件響應程序進行處理;
每年一次或在發(fā)生重大信息安全事件時進行信息安全評審,分析信息安全事件的顯現趨勢、信息安全管理的改進等信息,并形成風險改進計劃,持續(xù)改進信息系統(tǒng)安全。
4.3信息安全事件事后處理措施
對于一般信息安全事件,在故障排除或采取必要措施后,相關信息安全管理職能部門會同事件責任部門,對事件的原因、類型、損失、責任進行鑒定,形成《信息安全事件報告》,報信息安全管理者代表批準;對于重大信息安全事件的處理意見還應上報信息安全管理委員會討論通過。
對于違反組織信息安全方針、程序安全規(guī)章所造成的信息安全事件責任者依據以下措施予以懲戒。
處罰方式:
一般安全事故,根據所造成的經濟損失,由***辦公室通過郵件發(fā)出正式嚴重警告。
一年內累計出現三次或三次以上的一般安全事故,報***領導批準后進行相應懲罰,并在***進行通報批評。
造成重大安全事故的,***有權將責任人調離原工作崗并給予相應懲罰。
一年內累計出現二次或二次以上的重大安全事故,***有權解除勞動合同并依法追究法律責任。
如果屬于故意行為導致信息安全事故,***有權解除勞動合同并依法追究法律責任。
對于信息安全事故責任人的處理結果由處理部門在***范圍內予以通報。
負有信息安全事故處罰的各職能部門在確定實施處罰后,***室與被處罰部門溝通,確認責任者及處罰方式并上報***領導。
信息安全管理職能部門要求事件責任部門制定糾正措施并實施,實施結果記錄在《信息安全事件報告》。
由信息安全管理職能部門對實施情況進行跟蹤驗證,驗證結果記入《信息安全事件報告》。
4.4報告信息安全薄弱點與預防措施
***與信息安全管理有關的所有員工發(fā)現信息安全薄弱點或潛在威脅均應履行報告義務。
對以下行為應給予獎勵:
及時發(fā)現非責任區(qū)信息安全隱患,該隱患足以導致信息安全事故的;
及時發(fā)現非責任區(qū)信息安全重大隱患,該隱患足以導致信息安全重大事故的;
及時發(fā)現并制止系統(tǒng)操作問題以避免設備重大損失或人員死亡的;
及時制止或報告泄露商業(yè)機密的事件以避免***重大經濟損失或及時中止正在進行中的商業(yè)泄密行為的;
在信息安全事故中采取積極有效措施,降低損失的程度。
獎勵方式如下:
根據防止一般安全事故發(fā)生、一年內防止一般安全事故發(fā)生三次或三次以上、防止造成重大安全事故、及時中止正在進行中的商業(yè)泄密行為、提出信息安全合理化建議等級別,報請***批準后,給予相應表揚或獎勵,并作為年底工作考核依據。
發(fā)現信息安全事故、薄弱點與故障的員工填寫《一般信息安全事件/薄弱點報告》,相關的代碼管理中心及信息安全實驗室進行調查后,確定是否采取預防措施,確認責任部門并實施。
5相關文件
6相關記錄
信息安全管理制度10
為加強我委計算機信息網絡安全管理,確保信息網絡安全、高效、正常運行,根據《中華人民共和國計算機信息系統(tǒng)安全保護條例》、《中華人民共和國計算機信息網絡國際聯(lián)網管理暫行規(guī)定》和柳保(20xx)9號《關于在全市開展保密計算機違規(guī)聯(lián)接互聯(lián)網監(jiān)管工作的通知》和有關規(guī)定,制定本規(guī)定。
第一條全委干部職工必須嚴格遵守國家保密法和計算機網絡信息安全管理法規(guī)及本規(guī)定。
第二條任何單位和個人不得利用本委計算機信息網絡從事危害國家安全、泄露國家秘密等非法活動,不得利用本委計算機信息網絡制作、查閱、復制和傳播妨礙社會治安和淫穢色情等有害信息。
第三條涉密計算機信息系統(tǒng)的研制、安裝和使用,必須符合保密要求,并采取有效的措施,配置合格的保密專用設備,防泄密、防竊密。
第四條涉密計算機信息系統(tǒng)必須與互聯(lián)網實行物理隔離,嚴禁用處理國家秘密信息的計算機(包括便攜式計算機)上互聯(lián)網。
第五條裝有國家秘密信息的便攜式計算機原則上只能在委機關內使用,確因工作需要攜帶外出,必須將涉密信息全部轉出便攜式存儲設備存放在機關。
第六條上互聯(lián)網的計算機必須與處理涉密信息的計算機嚴格區(qū)分,專機專用,不得既用于上互聯(lián)網又用于處理國家秘密信息。
第七條計算機網絡插頭和接口,必須標明字樣,嚴格區(qū)分,按規(guī)范安裝,其他人員不得擅自刪除或更改與網絡系統(tǒng)有關的設置,嚴防由于誤操作造成泄密。
第八條涉密信息和數據必須按照保密規(guī)定進行采集、存儲、處理、傳遞、使用和銷毀。使用計算機起草、存儲、處理、傳遞涉密文件、材料,必須在涉密計算機上進行。
第九條建立上網信息保密審查制度,堅持“誰上網誰負責'的原則,信息上網必須經過嚴格審查和批準,確保國家秘密不上網,上網信息不涉密。
第十條各科室,應當造冊登記,切實加強軟盤、磁帶、光盤、移動硬盤等信息媒體管理。存儲有國家秘密信息的信息媒體,按所存儲信息的最高密級標明密級,并按相應密級文件的保密規(guī)定進行管理,不得降低密級使用。不再使用的`信息媒體應及時銷毀。
第十一條報廢、維修存儲過國家秘密信息的計算機和信息媒體,須交委辦公室按保密規(guī)定統(tǒng)一處理,保證所存儲的國家秘密信息不被泄露。
第十二條做好計算機信息系統(tǒng)數據備份。根據需要與存貯環(huán)境,重要信息要定期(半年至二年)進行循環(huán)復制三份分處存放,并注意防止因靜電、電磁干擾等原因導致信息丟失。
第十三條做好計算機日常維護工作,嚴格查毒殺毒,發(fā)現病毒及時清除,確保信息系統(tǒng)安全運行。
第十四條妥善保管和使用計算機ca認證系統(tǒng)密鑰,保守計算機信息系統(tǒng)用戶口令秘密。密鑰被盜或遺失,應及時作廢,重新分配。
第十五條文印室計算機管理。文印室的計算機由打字員負責管理,任何人不得擅自使用文印室的計算機,如需用掃描儀應自帶u盤在外網計算機上操作直接將文件存入自帶盤中,嚴禁掃描、傳輸有密級的文件。嚴禁外單位人員進入文印室。
第十六條本委計算機信息網絡安全工作由委信息安全領導小組負責。委主要負責人擔任領導小組組長,成員由各科室負責人組成。領導小組職責是:
(一)根據國家有關計算機信息網絡安全的法規(guī)和政策,審定本委計算機信息網絡安全工作計劃和管理制度;
(二)指導和檢查本委計算機信息網絡安全工作;
(三)定期對計算機信息系統(tǒng)的系統(tǒng)安全保密管理人員進行上崗前保密培訓,嚴格審查和考核。
(四)研究、解決本委計算機信息網絡安全重大問題。
第十七條委信息安全領導小組下設辦公室,由委辦公室和相關人員組成,在領導小組領導下,負責本委計算機信息網絡安全管理的日常工作。
第十八條各科室負責人是本科室計算機信息網絡安全工作的第一責任人,對本科室信息安全工作負責。
第十九條各科室切實加強對本科室的保密知識教育,提高工作人員信息安全保密意識,自覺遵守保密紀律和有關保密規(guī)定,發(fā)現有違反規(guī)定的行為,立即糾正,發(fā)現國家秘密泄露或可能泄露情況時,應當立即報告委信息安全領導小組。
第二十條違反本規(guī)定造成泄密的,將按有關法律和規(guī)定,追究當事人和責任人的責任,依法依紀進行處理。
第二十一條本規(guī)定自發(fā)布之日起執(zhí)行。
信息安全管理制度11
本制度系列所管轄醫(yī)院信息包括醫(yī)院在運行管理中涉及到的基本信息(人、財、物)、運行信息(各類業(yè)務工作與質量安全管理資料數據)和管理信息(投資發(fā)展、人力資源開發(fā)與利用、發(fā)展戰(zhàn)略研究),統(tǒng)稱為“醫(yī)院信息”。依據《中華人民共和國保密法》、《醫(yī)療質量管理辦法》,制定此制度系列。
一、醫(yī)院數據、資料信息安全管理制度
醫(yī)院內部的數據、資料信息安全管理尤為重要,如涉及全院的工作統(tǒng)計數據、質量與安全評價分析相關的數據、與醫(yī)療糾紛有關的信息、醫(yī)院管理與建設重大決策信息、醫(yī)院經濟管理相關的信息等,院領導認為不宜通過“三重一大”公示的信息,均屬于保密信息,必須實行安全管理,規(guī)定如下:
。ㄒ唬┤魏稳宋唇浽侯I導批準,不得在公眾場合、公共媒體發(fā)布醫(yī)院涉密信息。
(二)醫(yī)院各職能部門和業(yè)務科室,對自身所涉密的醫(yī)院信息,有保密的義務和責任。
。ㄈ┎粚儆诜止苈毮軆鹊纳婷苄畔,不得向其他部門和個人打探。
。ㄋ模┤魏螁T工不得以謀利為目的,散布、出賣、交換醫(yī)院涉密信息。
。ㄎ澹┤魏螁T工不得以泄私憤、圖報復,散布和出賣醫(yī)院涉密信息。違反以上各條,醫(yī)院有權追究泄密人的相應責任。
二、醫(yī)院網絡系統(tǒng)安全管理制度
。ㄒ唬榱吮WC醫(yī)院網絡的正常運行,保護醫(yī)院網絡系統(tǒng)的安全和網絡用戶的使用權益,特制定本安全管理制度。
。ǘ┍竟芾碇贫人Q的醫(yī)院網絡系統(tǒng)是指在醫(yī)院信息系統(tǒng)中,由計算機及配套設施構成的,按照醫(yī)院網絡信息系統(tǒng)的應用目標和規(guī)定,對數據進行采集、加工、存儲、傳輸、檢索等處理的人機系統(tǒng)。
。ㄈ┽t(yī)院網絡系統(tǒng)安全管理是通過實施身份認證、訪問控制與授權管理、數據備份和災備系統(tǒng)、安全分域及邊界防護、防病毒系統(tǒng)、入侵檢測、補丁管理、郵件安全網關、遠程接入等安全技術和與之相配套的管理制度,保障網絡主機及配套設備、設施的安全,網絡運行環(huán)境的安全,從而達到保障計算機網絡系統(tǒng)安全運行和信息安全的目的。
。ㄋ模┬畔⒖曝撠熱t(yī)院計算機網絡系統(tǒng)的安全管理工作,確保對計算機網絡系統(tǒng)安全管理的有效性。
(五)計算機網絡系統(tǒng)的建設和應用應遵守上級主管部門頒發(fā)的行政法規(guī)、用戶手冊和其他相關規(guī)定。
。┯嬎銠C網絡系統(tǒng)實行安全等級保護和用戶使用權限劃分。安全等級和用戶使用權限的劃分和設置由信息科負責制定和實施。
。ㄆ撸┯嬎銠C入網運行必須經信息科批準備案,分配IP地址后,方可接入網絡。
。ò耍┮獙χ匾鳈C的用戶名、開機口令、應用口令和數據庫口令實施重點管理,嚴格控制設備存取及加密,未經允許嚴禁外來盤片帶入機房對服務器進行安裝等,不準將機器設備和數據帶出機房。
(九)未辦理入網手續(xù),任何單位和個人不得非法私自將計算機接入醫(yī)院網絡,不得以不真實身份使用網絡資源,不得竊取他人賬號、口令使用網絡資源,不得盜用未經合法申請的IP地址入網。未經信息科允許,任何單位或個人不得擅自接納網絡用戶。
。ㄊ⿷鶕W絡主機不同的安全級別采取相應的訪問控制、數據保護、保密監(jiān)控管理和系統(tǒng)安全等技術措施。
。ㄊ唬┬畔⒖贫ㄆ趯W上用戶的訪問及授權情況進行檢查,及時發(fā)現和限制非法用戶和非授權訪問。
。ㄊ┮匆髮祿M行日備份、月備份和年備份。嚴格按操作規(guī)程進行數據備份工作,確保備份數據的完整和準確性,做好備份數據的審核工作,并做好相應記錄。要確保導出、導入數據的完整和準確,并做好導出、導人數據的審核工作和相應記錄。
。ㄊ┘訌娺吔绨踩姆雷o,應根據安全區(qū)域劃分情況明確需進行安全防護的邊界,并實施有效的訪問控制策略和機制。
。ㄊ模⿷诰W絡系統(tǒng)或安全域邊界的關鍵點采用嚴格的安全防護機制,如嚴格的登錄/鏈接控制,高性能的防火墻、防病毒網關、入侵防范、信息過濾、邊界完整性檢查等。
。ㄊ澹┮獙嵤┍匾倪吔缭L問、違規(guī)外聯(lián)的審計和控制。
(十六)應采用必要的手段(如入侵檢測系統(tǒng)、日志分析、網絡取證分析等)對系統(tǒng)內的安全事件進行監(jiān)控,檢測攻擊行為并能發(fā)現系統(tǒng)內非授權使用情況。
。ㄊ撸⿷瓜到y(tǒng)內用戶非授權的外部鏈接(如自動撥號、違規(guī)鏈接和無線上網)。
(十八)應部署有效的網絡病毒防范軟件系統(tǒng)和相應的網絡病毒防范管理辦法,實施對計算機網絡病毒的有效防范。
。ㄊ牛┮贫ㄎ臋n化的明確的計算機病毒和惡意代碼防護策略,以及確保策略有效實施規(guī)章制度。
(二十)應在系統(tǒng)內關鍵的入口點以及各工作站、服務器和移動計算機設備上采取計算機病毒和惡意代碼防護措施。
(二十一)應制定文檔化的信息系統(tǒng)備份和恢復的策略,建立健全備份和恢復的管理制度和操作規(guī)程。
。ǘ﹤浞莅P鍵業(yè)務數據的備份、關鍵業(yè)務設備(如服務器、交換機等)的備份和電源備份。對重要信息系統(tǒng)(如HIs系統(tǒng))的關鍵設施(如服務器)采取熱備份。
。ǘ⿷ㄆ趥浞莺蛯謴筒呗赃M行測試,以保證其有效性。要有系統(tǒng)恢復的預案和演練。
。ǘ模⿷鶕䴓I(yè)務的重要程度、信息系統(tǒng)的資產價值等進行相應的需求分析,確定系統(tǒng)恢復的目標,如:關鍵業(yè)務功能、恢復的優(yōu)先順序、恢復的時間范圍。
。ǘ澹榇_保醫(yī)院計算機局域網絡運行安全,要在有效部署防火墻、入侵檢測和防病毒系統(tǒng)的情況下,實施遠程接入。醫(yī)院業(yè)務網(內網)與遠程接入(外網)業(yè)務的物理隔離。凡涉密的計算機主機不得與互聯(lián)網(Internet)鏈接。
。ǘ┤魏尾块T和個人使用醫(yī)院網絡提供的遠程接人服務必須向信息科申請。入網用戶的用戶名和IP地址是用戶在醫(yī)院局域網上的合法標識,也是對用戶收費的重要依據,一經指定不得擅自更改。
(二十七)未經信息科批準,任何個人或部門不得為外單位人員提供電子郵件或其他網絡服務。
。ǘ耍┧腥刖W用戶,應當遵守國家有關法律、法規(guī)及醫(yī)院的有關規(guī)章制度,嚴格執(zhí)行安全保密制度,不得利用計算機網絡從事危害國家安全、損害醫(yī)院利益等違法、違規(guī)活動,不得制作、查閱、復制和傳播擾亂社會治安、有傷風化、淫穢色情等信息,不得利用網絡攻擊、損害公用網絡和其他用戶。否則,醫(yī)院有權停止對其提供的'服務;由此造成的不良后果由用戶承擔。
。ǘ牛┦褂糜嬎銠C機網絡系統(tǒng)的部門和個人必須遵守計算機安全使用的規(guī)定,對計算機網絡系統(tǒng)發(fā)生的問題和故障要立即向信息中心報告。
。ㄈ┯脩舨坏脧氖孪铝形:τ嬎銠C網絡安全的行為:
1、未經允許,進入計算機網絡系統(tǒng)或使用網上信息資源:
2、私自轉借或轉讓用戶賬號,盜用他人賬號或IP地址:
3、未經允許,對網上應用系統(tǒng)的功能進行刪減或更改:
4、未經允許,對計算機網絡的存儲、處理或傳輸數據和應用程序進行刪減或更改;
5、故意制作、傳播計算機病毒等破壞程序,使用任何工具破壞網絡正常運行;
6、破壞、盜用計算機網絡中的信息資源和危害計算機網絡安全;
7、其他危害計算機網絡安全的行為。
上述違規(guī)造成醫(yī)院損失的,依照有關法律、法規(guī)及醫(yī)院有關處罰規(guī)定進行處理,情節(jié)嚴重者移交公安機關處理。
三、涉密數據保密管理制度
(一)任何科室和個人不得利用涉密計算機網絡系統(tǒng)泄漏屬于醫(yī)院內部秘密的信息數據,危害醫(yī)院、員工和患者的合法權益;不得從事其它違法犯罪活動。涉密單位和涉密人員應當遵守保密法律法規(guī),認真執(zhí)行國家和省制定的涉密計算機網絡系統(tǒng)的保密規(guī)定。
(二)涉密計算機網絡系統(tǒng)的單位保密管理實行領導負責制,并制定部門或專人負責具體的日常管理工作。并保持計算機保密管理人員相對穩(wěn)定。
。ㄈ┥婷苡嬎銠C網絡系統(tǒng)工作人員定期進行保密教育和檢查。涉密計算機信息系統(tǒng)的系統(tǒng)管理人員應當經過嚴格審查,定期進行考核,并保持相對穩(wěn)定。
。ㄋ模┥婷苋藛T調離崗位,應當履行國家規(guī)定保守秘密的義務。
。ㄎ澹┥婕搬t(yī)院秘密的數據,必須按照保密規(guī)定進行采集、存儲、處理、傳遞、使用和銷段。
。┯嬎銠C存儲、處理、傳遞、輸出的涉密信息要有相應的密級標識且不得與正文分離,輸出的涉密文件按相應密級文件管理。
。ㄆ撸┥婷茚t(yī)院信息和數據不得在與公用網絡聯(lián)網的計算機信息系統(tǒng)中存儲、處理、傳遞,涉密信息一律不得在網上發(fā)布。
。ò耍┥婷苡嬎銠C必須設置口令保護,根據密級確定口令長度與更換周期,實行專人專用,嚴禁以任何方式登錄國際互聯(lián)網或與互聯(lián)網物理連接。
(九)存儲涉密信息的媒體應按所存儲信息的最高密級標明密級,并按相應密級文件管理制度管理,存儲過涉密信息的計算機媒體不能降低密級使用,維修存儲過涉密信息的計算機媒體應到部門指定維修點維修,有人全程跟蹤,保證存儲的秘密信息不被泄露。
(十)儲涉密數據的計算機硬盤或其它存儲介質不得擅自更換或者報廢。確需更換或者報廢的,應當經院領導批準后,交醫(yī)院的網絡管理部門進行登記、封存,或者按規(guī)定銷毀。
。ㄊ唬┥婷軉挝粦攲⑸婷軘祿c備份數據分別保存在單位內不同的地點。有條件的,應實行異地容災備份。不得在便攜式計算機上存儲涉密信息。
(十二)發(fā)現計算機信息泄密后應立即采取補救措施,并按規(guī)定及時報告保密部門。
四、信息提供、發(fā)布和上網保密審查制度
1、信息提供、發(fā)布、上網實行保密審查、領導審批和登記備案制度。
2、信息發(fā)布、上網,堅持涉密不公開、公開不涉密和誰上網、誰負責的原則。
3、對涉密信息確需對外發(fā)布、上網的,應采取解密或者刪除、改編、隱去等保密措施,并經主管部門或保密工作部門審定。
4、接受記者采訪,不得涉及醫(yī)院秘密內容。
五、計算機設備管理制度
(一)計算機及其輔助設備是實現現代化管理的工具,各科室有關工作人員都要結合本職工作利用計算機手段來提高工作效率。
。ǘ└骺剖屹徶煤蜕霞壏峙浣o予的計算機和輔助設備均屬固定資產,統(tǒng)一由計算機中心負責維護,各科室由電腦管理員專人負責管理和使用。
(三)服務器、計算機及輔助設備和其他應用軟件所配的專用磁盤、光盤,由中心專人登記管理入賬,每年清點一次。
。ㄋ模┯嬎銠C的備件、易耗件、磁盤及有關資料的購買,由信息管理部門統(tǒng)一申請,經科室負責人并上報院長同意后,由后勤采購進行統(tǒng)一購置,統(tǒng)一給各科室配置。
。ㄎ澹┯嬎銠C、服務器、網絡通訊電纜設備,未經信息部門同意不得拆裝、移動。
。┯嬎銠C和輔助設備需檢修,應報告計算機中心專業(yè)工作人員,由計算機中心有關人員檢修,若需外單位修理,由領導會同有關部門商量后辦理。
。ㄆ撸⿲ν鈦泶疟P要先殺毒,后使用。各計算機一旦發(fā)現病毒,必須立即清除,否則不得使用該計算機,更不能向服務器上傳數據。
。ò耍┩鈦砣藛T未經科室領導和專業(yè)人員同意不得操作計算機,以免發(fā)生病毒感染和其他損失。
(九)不得在計算機上進行與工作無關(如做游戲、下棋、打撲克等)的操作。
六、服務器機房管理制度
為保證網絡中心設備與信息的安全,保障機房有良好的運行環(huán)境和工作環(huán)境,作如下規(guī)定:
。ㄒ唬└鏖T鑰匙由指定的專人保管,不能隨意轉借。丟失要聲明。出入請隨手關門。
。ǘ┮邪踩婪兑庾R,節(jié)假日值班人員不得擅離崗位。早進入、晚離開時要檢查設備情況,離開時查看燈、門、窗、鎖是否關閉好。
。ㄈ┮兹紉x物品不準帶入機房,機房及周邊地區(qū)嚴禁煙火,不能明火作業(yè),機房一律禁止吸煙。
。ㄋ模C房工作人員要有防火意識,出現異常情況應立即報警,切斷電源,用滅火設備撲救。
(五)非工作人員嚴禁進入服務器機房,特殊情況要事先征得院長或主管副院長的同意,未經許可一律不準觸碰開關和設備,否則后果自負。
。C房內的一切公用物品未經許可一律不得挪用和外借。
。ㄆ撸C房內不準大聲喧嘩,機房衛(wèi)生由工作人員定期負責清掃,保持清潔。
。ò耍┚W管員負責機房的安全管理與檢查;負責建立與記錄安全日志。
七、計算機網絡工作站管理制度
。ㄒ唬┍局贫人Q醫(yī)院計算機網絡工作站,是指醫(yī)院計算機網絡中以臺式電腦或筆記本電腦為中心的包括所連打印機等外圍設備在內的計算機工作單元。醫(yī)院未聯(lián)網工作的計算機也采用此制度進行管理。
。ǘ└鱾管理部門和科室中,每一工作站配置的計算機、打印機等設備須指定專人使用、保管和維護,轉交他人保管時需嚴格交接。
(三)各工作站所有使用人員必須嚴格遵守《醫(yī)院網絡系統(tǒng)安全管理制度》。
。ㄋ模┯嬎銠C操作人員,不得隨意搡作計算機或相關設備,更不允許外來人員操作計算機。
(五)不在計算機上玩游戲及做與工作無關的操作。
。┎辉卺t(yī)院計算機上使用來歷不明的光盤、軟盤。
。ㄆ撸┯嬎銠C網絡上的所有操作人員必須保管好自己的密碼,因密碼保管不善造成的經濟損失,概由操作人員自己負責。
。ò耍┯嬎銠C一旦發(fā)生故障應及時報告信息科處理。
。ň牛┏嬎銠C網絡中心機房工作人員外,任何入不得拆裝計算機,或擅自接入其它設備。
。ㄊ┎婚g斷電源的計算機,在供電中斷時,操作人員應立即保存數據,退出程序后按正常操作關機。
。ㄊ唬﹪栏癜凑詹僮饕(guī)程操作,下班前必須按程序關機,并切斷電源。
(十二)計算機旁不準抽煙、會客,不準吃零食物和飲料。
。ㄊ┯嬎銠C旁邊嚴禁擺放各種易燃易爆、腐蝕性或強磁物品。遇臨時停電及雷電天氣,應采取保護措施,避免發(fā)生意外。
(十四)愛護計算機及各種相關設備,計算機主機、顯示器、打印機上不能堆放雜物。
。ㄊ澹┛剖抑付▽H素撠熆苾扔嬎銠C的一般性管理工作,定期用干凈柔軟的干抹布清除設備上的灰塵,清潔和整理計算機工作臺。
。ㄊ┮蚓S護管理不當造成計算機硬件設備損壞,由當事人負責賠償。
。ㄊ撸┩鈦韰⒂^須報請信息科及主管院領導批準,不能向外展示和泄露醫(yī)院重要業(yè)務數據。
。ㄊ耍┻`反本制度者,醫(yī)院將視情節(jié)給予處罰。
八、監(jiān)控機房管理制度
(一)為確保監(jiān)控機房安全,設立監(jiān)控機房管理員,負責對機房各類設備、軟件系統(tǒng)進行維護和管理。
(二)監(jiān)控機房管理員應認真履行職責,及時發(fā)現、報告、解決硬件系統(tǒng)出現的故障,保障系統(tǒng)的正常運行。
(三)監(jiān)控機房管理員及時完成監(jiān)控數據的刻錄歸檔,確保監(jiān)控數據完整無誤。不得無故中斷監(jiān)控,不得漏刻監(jiān)控資料,未經刻錄不得無故刪除監(jiān)控資料。
(四)監(jiān)控機房必須做好防火、防靜電、防潮、防塵、防熱和防盜工作。機房禁止放置易燃、易爆、腐蝕、強磁性物品,禁止在監(jiān)控機房內使用其他用電設備,禁止將監(jiān)控機房鑰匙交他人保管,確保監(jiān)控機房安全。
。ㄎ澹﹪栏褡袷乇C苤贫。數據資料必須由監(jiān)控機房管理員負責保管,未經允許不得私自拷貝、下載和外借。嚴禁任何人在監(jiān)控計算機上使用未經檢測允許的介質(軟盤、光盤等),嚴禁在監(jiān)控計算機上做與監(jiān)控無關的事情。
。┍O(jiān)控機房內保持清潔,嚴禁在機房抽煙、喝水、吃東西、亂扔雜物、大聲喧嘩等。
(七)實行工作人員值班制度。值班人員應按規(guī)定做好實時監(jiān)管工作,并做好書面情況記錄,發(fā)現問題及時匯報并妥善處理。
。ò耍┲蛋嗳藛T應嚴格執(zhí)行機房管理制度,并與監(jiān)控機房管理員做好交接。如需監(jiān)控機房管理員進行配合的,監(jiān)控機房管理員應予以協(xié)助。
。ň牛┏O(jiān)控機房管理員和工作人員外,任何無關人員不得進入監(jiān)控機房。
。ㄊ┍O(jiān)控機房管理員要經常督促檢查本制度執(zhí)行情況,切實履行管理職責,發(fā)現異常情況必須及時匯報。
九、計算機網絡突發(fā)故障處理預案
。ㄒ唬╇娔X網絡故障
電腦網絡發(fā)生故障后,維護人員要結合醫(yī)院的分布式特點,通過操作人員反饋回來的信息和現有的網絡檢測手段,迅速定位故障事件的來源,明確故障事件發(fā)生的范圍,確認網絡系統(tǒng)受損害程度,將情況及時通報直接上級并層層上報。通過進一步的分析,將故障發(fā)生類型劃分為網絡線路、網絡交換機、服務器三大類型,確定起因是硬件故障、外力損壞、惡意攻擊還是感染病毒,進而采取下一步措施。
1、網絡線路故障
(1)通知:值班人員迅速通知直接上級并層層上報。上級管理人員根據實際情況給予指導和協(xié)調。
。2)排查:根據網絡拓撲結構和故障發(fā)生的范圍,使用網絡檢測指令,確定檢修線路的位置。
。3)搶修:攜帶對線器、轉接器、備用線、壓線鉗等工具,迅速到達線路故障現場,進行修復。
。4)驗證:連接網絡進行檢測,確定故障得到解決。
(5)回復:通知故障發(fā)生點恢復使用。
。6)記錄:對整個事件的時間、現象、處理過程作出詳細記錄。
2、網絡交換機故障
(1)通知:值班人員迅速通知直接上級并層層上報。上級管理人員根據實際情況給予指導和協(xié)調。聯(lián)系電話:網絡負責人。
。2)診斷:根據故障發(fā)生的片區(qū)和網絡交換機的分布圖,結合網絡檢測指令,判斷出故障交換機的位置。
。3)修復:攜帶電筆、改刀等常規(guī)工具,迅速到達故障交換機所在位置,通過觀察交換機指示燈,確定其工作狀態(tài)是否正常:如果是斷電所致,立即與維修中心聯(lián)系,恢復供電;如果狀態(tài)鎖死,立即對交換機進行復位處理;排除上述因素后如果故障依舊,立即用備用交換機對其進行更換。
(4)驗證:連接網絡進行檢測,確定故障得到解決。
(5)回復:通知故障發(fā)生點恢復使用。
(6)事后:對換下交換機送修。待修復后備用。
。7)記錄:對整個事件的時間、現象、處理過程作出詳細的記錄。
3、服務器故障
(1)通知:值班人員迅速通知直接上級并層層上報。上級管理人員根據實際情況給予指導和協(xié)調。
(2)診斷:根據故障現象,初步判定是硬件故障還是軟件故障,如果是硬件故障,立即斷開主服務器,啟用備用服務器;如果是系統(tǒng)軟件故障,盡量正常下機,重啟服務器;如果是應用軟件故障,立即聯(lián)系HIS公司進行遠程維護。
。3)如故障發(fā)生在夜晚或節(jié)假日期間,首先應通知負責系統(tǒng)技術人員立即在15分鐘內趕赴現場,并通知電腦中心主管組織相關人員進行搶修,上報設備科,必要時盡快聯(lián)系相關公司維修部進行遠程維護。
4、停電
。1)通知:值班人員迅速通知直接上級并層層上報。上級管理人員根據實際情況給予指導和協(xié)調。
。2)配合:聯(lián)系維修中心,確定停電的時間長短,如果在五分鐘以內,在恢復供電后重新運行接口機即可;如果在五分鐘以上,對接口機和服務器進行正常下機操作,待恢復供電后,重新開啟服務器至運行狀態(tài),再運行接口機。
。3)記錄:對整個事件的時間、現象、處理過程作出詳細的記錄。
5、病毒發(fā)作
(1)通知:值班人員迅速通知直接上級并層層上報。上級管理人員根據實際情況給予指導和協(xié)調,必要時立即赴現場處理。
。2)診斷:對故障進行分析,找出病毒特征碼,確定是何種病毒。
。3)排殺:從專業(yè)網站上下載專殺工具進行殺毒。
。4)補。簭膶I(yè)網站上下載補丁,封堵漏洞,進行免疫處理。
。5)記錄:對整個事件的時間、現象、處理過程作出詳細的記錄。
二、通訊網絡故障
當通訊網絡發(fā)生故障后,要迅速根據設備監(jiān)控狀況、用戶反饋的故障現象,確定故障類型,將情況及時通報直接上級并層層上報。通過進一步的分析,將故障劃分為通訊電纜故障、數字程控交換機故障、電深故障三大類型,并采取下一步措施。
1、通訊電纜故障
。1)通知:值班人員迅速通知直接上級并層層上報。上級管理人員根據實際情況給予指導和協(xié)調,必要時立即赴現場處理,通訊工程師應立即奔赴現場。
。2)查找:根據故障現象、范圍和分線盒的分布位置,確定故障點:如果是主線纜受損,立即通知電信相關部門進行搶修;如果是戶線纜受損,立即趕赴現場。
。3)修復:對于主線纜受損,為電信維修部門提供準確的線路資料,協(xié)調施工工作,掌握搶修進度;對于戶線纜受損,查清故障原因,更換相應線纜。
。4)反饋:通知相關用戶恢復使用。
。5)記錄:對整個事件的時間、現象、處理過程和資料變更情況作出詳細記載。
2、交換機故障
。1)通知:值班人員迅速通知直接上級并層層上報。上級管理人員根據實際情況給予指導和協(xié)調,必要時立即赴現場處理,設備科領導應立即趕赴現場。
。2)分析:作出分析后,根據交換機的故障現象進行處理。
。3)反饋:通知相關用戶恢復使用。將情況上報相關領導。
。4)善后:對故障時間、現象、處理情況作出詳細記載。
3、電源故障
(1)通知:值班人員迅速與院內總務科取得聯(lián)系,確定停電時間的長短。同時通知直接上級。
。2)處理:中心機房通過UPS電源繼續(xù)正常工作,維護人員必須對設備的工作情況進行監(jiān)控。
。3)跟蹤:隨時保持與總務科的聯(lián)系,如果停電時間超過半小時,按照操作流程關閉部分外圍設備,減少蓄電池的負荷量,以確保程控機的正常運行。
。4)記錄:詳細記載停電發(fā)生的起止時間、蓄電池的使用情況,在恢復正常供電后及時檢查蓄電池充電情況。
信息安全管理制度12
第一章總則
第一條目的
為了確保公司信息系統(tǒng)的數據安全,使得在信息系統(tǒng)使用和維護過程中不會造成數據丟失和泄密,特制定本制度。
第二條適用范圍
本制度適用于公司技術管理部及相關業(yè)務部門。
第三條管理對象
本制度管理的對象為公司各個信息系統(tǒng)系統(tǒng)管理員、數據庫管理員和各個信息系統(tǒng)使用人員。
第二章數據安全管理
第四條數據備份要求
存放備份數據的介質必須具有明確的標識。備份數據必須異地存放,并明確落實異地備份數據的管理職責。
第五條數據物理安全
注意計算機重要信息資料和數據存儲介質的存放、運輸安全和保密管理,保證存儲介質的物理安全。
第六條數據介質管理
任何非應用性業(yè)務數據的使用及存放數據的設備或介質的調撥、轉讓、廢棄或銷毀必須嚴格按照程序進行逐級審批,以保證備份數據安全完整。
第七條數據恢復要求
數據恢復前,必須對原環(huán)境的數據進行備份,防止有用數據的丟失。數據恢復過程中要嚴格按照數據恢復手冊執(zhí)行,出現問題時由技術部門進行現場技術支持。數據恢復后,必須進行驗證、確認,確保數據恢復的完整性和可用性。
第八條數據清理規(guī)則
數據清理前必須對數據進行備份,在確認備份正確后方可進行清理操作。歷次清理前的備份數據要根據備份策略進行定期保存或永久保存,并確?梢噪S時使用。數據清理的實施應避開業(yè)務高峰期,避免對聯(lián)機業(yè)務運行造成影響。
第九條數據轉存
需要長期保存的.數據,數據管理部門需與相關部門制定轉存方案,根據轉存方案和查詢使用方法要在介質有效期內進行轉存,防止存儲介質過期失效,通過有效的查詢、使用方法保證數據的完整性和可用性。轉存的數據必須有詳細的文檔記錄。
第十條涉密數據設備管理
非本單位技術人員對本公司的設備、系統(tǒng)等進行維修、維護時,必須由本公司相關技術人員現場全程監(jiān)督。計算機設備送外維修,須經設備管理機構負責人批準。送修前,需將設備存儲介質內應用軟件和數據等涉經營管理的信息備份后刪除,并進行登記。對修復的設備,設備維修人員應對設備進行驗收、病毒檢測和登記。
第八條報廢設備數據管理
管理部門應對報廢設備中存有的程序、數據資料進行備份后清除,并妥善處理廢棄無用的資料和介質,防止泄密。
第九條計算機病毒管理
運行維護部門需指定專人負責計算機病毒的防范工作,建立本單位的計算機病毒防治管理制度,經常進行計算機病毒檢查,發(fā)現病毒及時清除。
第十條專用計算機管理
營業(yè)用計算機未經有關部門允許不準安裝其它軟件、不準使用來歷不明的載體(包括軟盤、光盤、移動硬盤等)。
第三章附則
第十一條本制度自20xx年6月1日起執(zhí)行。
第十二條本制度由技術管理部負責制定、解釋和修改。
信息安全管理制度13
一、中小學校園網是學,F代化發(fā)展重要組成部份,是學校數字化教育資源中心、信息發(fā)布交流技術平臺,是全面實施素質教育和新課程改革的重要場所,務必高度重視、規(guī)范管理、發(fā)揮效益。
二、中小學校園網要按照教育部《中小學校園網建設指導意見》設計和建設,裝備調溫、調濕、穩(wěn)壓、接地、防雷、防火、防盜等設備。
三、中小學校園網涉及網絡技術設備管理與維護、網絡線路管理與維護,終端用戶管理與監(jiān)控,教育資源管理與開發(fā)、網絡信息管理與安全、教學管理與效益等技術性強、安全性要求高的具體業(yè)務工作,務必設置管理機構,校級領導主管,配置精通計算機及網絡技術、電子維修技術,具備教師職業(yè)道德、熱愛本職工作的專業(yè)技術人員從事管理工作。
四、中小學校園網是學校的`公共基礎設施和固定資產,未經學校批準,任何部門和個人不得隨意拆卸或改動布線結構;不得移動或改動網絡設備位置;不得干擾、破壞網絡正常運行。所有設備、成套軟件納入固定資產規(guī)范管理。
五、校園網所有用戶應以實名字注冊,對自己所發(fā)布信息負全責,接受上級部門與公安部門依法監(jiān)督檢查。不得盜用他人賬號,不得在校園網上發(fā)布不健康、非法信息,不得散布計算機病毒、傳播黑客程序、濫用網絡游戲。學生用戶要嚴格遵守《全國青少年網絡文明公約》。
六、網絡中心應全天24小時開機,設備和線路出現故障,應及時維修處理,確保網絡設備安全運轉。
七、嚴禁在辦公時間內上網聊天、玩游戲、觀看與工作無關的視頻信息。
八、非中心機房工作人員不得隨意進入中心機房,不得以任何方式試圖登陸校園網后臺管理端,不得對服務器等設備進行修改、設置、刪除等操作。
九、管理人員應監(jiān)視并記錄服務器系統(tǒng)運行情況,隨時屏蔽有害網頁,出現異常情況應根據需要立即關閉服務器系統(tǒng),及時處理。出現危急情況,應立即報告學校領導和相關主管部門。監(jiān)視電壓、電流、濕溫度等環(huán)境條件;監(jiān)視運行的作業(yè)和信息傳輸情況;填寫中心機房工作日志。
十、為了確保中心機房的安全,應逐步實現網管人員對服務器的遠程操作。定期更換服務器口令;工作人員不得隨意泄漏口令。不得將系統(tǒng)特權授予普通用戶,不得隨意轉給他人;對過期用戶應及時收回所授予的權力。
十一、學校重要數據不得外泄,重要數據的輸入及修改應按權限、由專人完成,并作加密處理。
十二、收集整理網管中心技術檔案。妥善保存?zhèn)浞葙Y源。打印涉密資料應按權限保存,廢棄資料應及時銷毀。
十三、網管人員在工作時,應嚴格遵守安全規(guī)程,實行安全巡查值班制度,嚴防漏電、著火、雷擊、被盜、磁化、系統(tǒng)崩潰、病毒攻擊、黑客入侵等不安全事故發(fā)生。危險品及可燃品不得帶入機房。
十四、中心機房不會客、不做與網絡安全運行與維護無關的事情。機房的設備與軟件不隨意外借。
信息安全管理制度14
第一章總則
第一條信息安全保密工作是公司運營與發(fā)展的基礎,是保障客戶利益的基礎,為給信息安全工作提供清晰的指導方向,加強安全管理工作,保障各類系統(tǒng)的安全運行,特制定本管理制度。
第二條本制度適用于分、支公司的信息安全管理。
第二章計算機機房安全管理
第三條計算機機房的建設應符合相應的國家標準。
第四條為杜絕火災隱患,任何人不許在機房內吸煙。嚴禁在機房內使用火爐、電暖器等發(fā)熱電器。機房值班人員應了解機房滅火裝置的性能、特點,熟練使用機房配備的.滅火器材。機房消防系統(tǒng)白天置手動,下班后置自動狀態(tài)。一旦發(fā)生火災應及時報警并采取應急措施。
第五條為防止水患,應對上下水道、暖氣設施定期檢查,及時發(fā)現并排除隱患。
第六條機房無人值班時,必須做到人走門鎖;機房值班人員應對進入機房的人員進行登記,未經各級領導同意批準的人員不得擅自進入機房。
第七條為杜絕嚙齒動物等對機房的破壞,機房內應采取必要的防范措施,任何人不許在機房內吃東西,不得將食品帶入機房。
第八條系統(tǒng)管理員必須與業(yè)務系統(tǒng)的操作員分離,系統(tǒng)管理員不得操作業(yè)務系統(tǒng)。應用系統(tǒng)運行人員必須與應用系統(tǒng)開發(fā)人員分離,運行人員不得修改應用系統(tǒng)源代碼。
第三章計算機網絡安全保密管理
第九條采用入侵檢測、訪問控制、密鑰管理、安全控制等手段,保證網絡的安全。
第十條對涉及到安全性的網絡操作事件進行記錄,以進行安全追查等事后分析,并建立和維護“安全日志”,其內容包括:
1、記錄所有訪問控制定義的變更情況。
2、記錄網絡設備或設施的啟動、關閉和重新啟動情況。
3、記錄所有對資源的物理毀壞和威脅事件。
4、在安全措施不完善的情況下,嚴禁公司業(yè)務網與互聯(lián)網聯(lián)接。
第十一條不得隨意改變例如ip地址、主機名等一切系統(tǒng)信息。
第四章 應用軟件安全保密管理
第十二條各級運行管理部門必須建立科學的、嚴格的軟件運行管理制度。
第十三條建立軟件復制及領用登記簿,建立健全相應的監(jiān)督管理制度,防止軟件的非法復制、流失及越權使用,保證計算機信息系統(tǒng)的安全;
第十四條定期更換系統(tǒng)和用戶密碼,前臺(各應用部門)用戶要進行動態(tài)管理,并定期更換密碼。
第十五條定期對業(yè)務及辦公用pc的操作系統(tǒng)及時進行系統(tǒng)補丁升級,堵塞安全漏洞。
第十六條不得擅自安裝、拆卸或替換任何計算機軟、硬件,嚴禁安裝任何非法或盜版軟件。
第十七條不得下載與工作無關的任何電子文件,嚴禁瀏覽黃色、*或高風險等非法網站。
第十八條注意防范計算機病毒,業(yè)務或辦公用pc要每天更新病毒庫。
第五章 數據安全保密管理
第十九條所有數據必須經過合法的手續(xù)和規(guī)定的渠道采集、加工、處理和傳播,數據應只用于明確規(guī)定的目的,未經批準不得它用,采用的數據范圍應與規(guī)定用途相符,不得超越。
第二十條根據數據使用者的權限合理分配數據存取授權,保障數據使用者的合法存取。
第二十一條設置數據庫用戶口令,并監(jiān)督用戶定期更改;數據庫用戶在操作數據過程中,不得使用他人口令或者把自己的口令提供給他人使用。
第二十二條未經領導允許,不得將存儲介質(含磁帶、光盤、軟盤、技術資料等)帶出機房,不得隨意通報數據內容,不得泄露數據給內部或外部無關人員。
第二十三條 嚴禁直接對數據庫進行操作修改數據。如遇特殊情況進行此操作時,必須由申請人提出申請,填寫《數據變更申請表》,經申請人所屬部門領導確認后提交至信息管理部,信息管理部相關領導確認后,方可由數據庫管理人員進行修改,并對操作內容作好記錄,長期保存。修改前應做好數據備份工作。
第二十四條 應按照分工負責、互相制約的原則制定各類系統(tǒng)操作人員的數據讀寫權限,讀寫權限不允許交叉覆蓋。
第二十五條 一線生產系統(tǒng)和二線監(jiān)督系統(tǒng)進行系統(tǒng)維護、復原、強行更改數據時,至少應有兩名操作人員在場,并進行詳細的登記及簽名。
第二十六條 對業(yè)務系統(tǒng)操作員權限實行動態(tài)管理,確保操作員崗位調整后及時修改相應權限,保證業(yè)務數據安全。
信息安全管理制度15
一、人員方面
1、建立網絡與信息安全應急領導小組;落實具體的安全管理人員。以上人員要提供24小時有效、暢通的聯(lián)系方式。
2、對安全管理人員進行基本培訓,提高應急處理能力。
3、進行全員網絡安全知識宣傳教育,提高安全意識。
二、設備方面
1、對電腦采取有效的安全防護措施(及時更新系統(tǒng)補丁,安裝有效的防病毒軟件等)。
2、強化無線網絡設備的安全管理(設置有效的管理口令和連接口令,防止校園周邊人員入侵網絡;如果采用自動分配IP地址,可考慮進行Mac地址綁定)。
3、不用的信息系統(tǒng)及時關閉(如有些系統(tǒng)只是在開學、期末、某一階段使用幾天,寒暑假不使用的系統(tǒng)應當關閉);
4、注意有關密碼的保密工作并牢記密碼,定期更改相關密碼,注意密碼的復雜度,至少8位以上,建議使用字母加數字加特殊符號的組合方式;
5、修改默認密碼,不能使用默認的'統(tǒng)一密碼;
6、在信息系統(tǒng)正常部署完成后,應該修改系統(tǒng)后臺調試期間的密碼,不應該繼續(xù)使用工程師調試系統(tǒng)時所使用的密碼;
7、正常工作日應該保證至少登錄、瀏覽一次系統(tǒng)相關頁面,及時發(fā)現有無被篡改等異常現象,特殊時間應增加檢查頻率;
8、服務器上安裝殺毒軟件(保持升級到最新版),至少每周對操作系統(tǒng)進行一次病毒掃描檢查、修補系統(tǒng)漏洞,檢查用戶數據是否有異常(例如增加了一些非管理員添加的用戶),檢查安裝的軟件是否有異常(例如出現了一些不是管理員安裝的未知用途的程序);
9、對上網信息(會發(fā)布在前臺的文字、圖片、音視頻等),應該由兩位以上工作人員仔細核對無誤后,再發(fā)布到網站、系統(tǒng)中;
10、對所有的上傳信息,應該有敏感字、關鍵字過濾、特征碼識別等檢測;
11、系統(tǒng)、網站的重要數據和數據,每學期定期做好有關數據的備份工作,包括本地備份和異地備份;
12、有完善的運行日志和用戶操作日志,并能記錄源端口號;
13、保證頁面正常運行,不出現404錯誤等;
14、加強電腦的使用管理(專人專管,誰用誰負責;電腦設置固定IP地址,并登記備案)。
15、在變更系統(tǒng)管理員、信息員時,應該做好交接工作,避免影響系統(tǒng)的正常運行,管理員變更后,相關密碼也應該隨之變更;
16、對于所管理的系統(tǒng)中的子帳號,在相關人員離職等原因不再管理時,應該將有關帳號禁用或刪除,避免帶來安全隱患;
三、事故處置和匯報
1.發(fā)生網絡及信息安全事故,無法立即處理的,要及時斷網(值班人員要會進行斷網操作);并保護好相關現場(主要是電腦和網絡設備),以便有關部門處理。
2.發(fā)生網絡和信息安全事故要及時逐級匯報。
【信息安全管理制度】相關文章:
醫(yī)院信息安全管理制度_醫(yī)院信息安全管理制度辦法10-02
信息安全管理制度06-20
信息安全管理制度05-29
安全信息管理制度_安全信息管理制度范文09-27
用戶信息安全管理制度10-21
政府信息安全管理制度11-08
金融信息安全管理制度11-08
機關信息安全管理制度11-08
人員信息安全管理制度10-08
婦幼信息安全管理制度10-16