001網(wǎng)絡(luò)安全關(guān)鍵崗位人員管理制度

1、最新整理江西中磊支付科技有限公司密級(jí)：內(nèi)部中磊第三方支付平臺(tái)網(wǎng)絡(luò)安全關(guān)鍵崗位人員管理制度文檔編號(hào)：V1.0項(xiàng)目名稱：江西中磊支付平臺(tái)編寫：楊文輝編寫日期：2014-4-15審核：李駿審核日期：2014-6-13批準(zhǔn)：朱志龍批準(zhǔn)日期：2014-6-17最新整理江西中磊支付科技有限公司2014 年 7 月最新整理修訂記錄版本日期擬稿和修改說明草稿2014-04-15擬稿V1.02014-06-17正式簽發(fā)文檔網(wǎng)絡(luò)安全關(guān)鍵崗位人員管理制度一、安全管理機(jī)構(gòu)1 、崗位設(shè)置a) 應(yīng)設(shè)立信息安全管理工作的職能部門，設(shè)立安全主管、安全管理各個(gè)方面的負(fù)責(zé)人崗位，并定義各負(fù)責(zé)人的職責(zé)；b) 應(yīng)設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)

2、管理員、安全管理員等崗位，并定義各個(gè)工作崗位的職責(zé)；c) 應(yīng)成立指導(dǎo)和管理信息安全工作的委員會(huì)或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)委任或授權(quán)；d) 應(yīng)制定文件明確安全管理機(jī)構(gòu)各個(gè)部門和崗位的職責(zé)、分工和技能要求。2 、人員配備a) 應(yīng)配備一定數(shù)量的系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等；b) 應(yīng)配備專職安全管理員，不可兼任；c) 關(guān)鍵事務(wù)崗位應(yīng)配備多人共同管理。3 、授權(quán)和審批a) 應(yīng)根據(jù)各個(gè)部門和崗位的職責(zé)明確授權(quán)審批事項(xiàng)、審批部門和批準(zhǔn)人等；b) 應(yīng)針對系統(tǒng)變更、重要操作、物理訪問和系統(tǒng)接入等事項(xiàng)建立審批程序，按照審批程序執(zhí)行審批過程，對重要活動(dòng)建立逐級(jí)審批制度；c) 應(yīng)定期審查審批事項(xiàng)，及

3、時(shí)更新需授權(quán)和審批的項(xiàng)目、審批部門和審批人等信息；d) 應(yīng)記錄審批過程并保存審批文檔。4、溝通和合作a) 應(yīng)加強(qiáng)各類管理人員之間、組織內(nèi)部機(jī)構(gòu)之間以及信息安全職能部門內(nèi)部的合作與溝通，定期或不定期召開協(xié)調(diào)會(huì)議，共同協(xié)作處理信息安全問題；b) 應(yīng)加強(qiáng)與兄弟單位、公安機(jī)關(guān)、電信公司的合作與溝通；c) 應(yīng)加強(qiáng)與供應(yīng)商、業(yè)界專家、專業(yè)的安全公司、安全組織的合作與溝通；d) 應(yīng)建立外聯(lián)單位聯(lián)系列表，包括外聯(lián)單位名稱、合作內(nèi)容、聯(lián)系人和聯(lián)系方式等信息；e) 應(yīng)聘請信息安全專家作為常年的安全顧問，指導(dǎo)信息安全建設(shè)，參與安全規(guī)劃和安全評審等。5 、審核和檢查a) 安全管理員應(yīng)負(fù)責(zé)定期進(jìn)行安全檢查，檢查內(nèi)容包括

4、系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和數(shù)據(jù)備份等情況；b) 應(yīng)由內(nèi)部人員或上級(jí)單位定期進(jìn)行全面安全檢查，檢查內(nèi)容包括現(xiàn)有安全技術(shù)措施的有效性、安全配置與安全策略的一致性、安全管理制度的執(zhí)行情況等；c) 應(yīng)制定安全檢查表格實(shí)施安全檢查，匯總安全檢查數(shù)據(jù)，形成安全檢查報(bào)告，并對安全檢查結(jié)果進(jìn)行通報(bào)；d) 應(yīng)制定安全審核和安全檢查制度規(guī)范安全審核和安全檢查工作，定期按照程序進(jìn)行安全審核和安全檢查活動(dòng)。二、 人員安全管理1 、 人員錄用a) 應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)人員錄用；b) 應(yīng)嚴(yán)格規(guī)范人員錄用過程，對被錄用人的身份、背景、專業(yè)資格和資質(zhì)等進(jìn)行審查，對其所具有的技術(shù)技能進(jìn)行考核；c) 應(yīng)簽署保密協(xié)議；d

5、) 應(yīng)從內(nèi)部人員中選拔從事關(guān)鍵崗位的人員，并簽署崗位安全協(xié)議。2 、 人員離崗a) 應(yīng)嚴(yán)格規(guī)范人員離崗過程，及時(shí)終止離崗員工的所有訪問權(quán)限;b) 應(yīng)取回各種身份證件、鑰匙、徽章等以及機(jī)構(gòu)提供的軟硬件設(shè)備；c) 應(yīng)辦理嚴(yán)格的調(diào)離手續(xù)，關(guān)鍵崗位人員離崗須承諾調(diào)離后的保密義務(wù)后方可離開。3 、人員考核a) 應(yīng)定期對各個(gè)崗位的人員進(jìn)行安全技能及安全認(rèn)知的考核；b) 應(yīng)對關(guān)鍵崗位的人員進(jìn)行全面、嚴(yán)格的安全審查和技能考核；c) 應(yīng)對考核結(jié)果進(jìn)行記錄并保存。4、安全意識(shí)教育和培訓(xùn)a) 應(yīng)對各類人員進(jìn)行安全意識(shí)教育、崗位技能培訓(xùn)和相關(guān)安全技術(shù)培訓(xùn)；b) 應(yīng)對安全責(zé)任和懲戒措施進(jìn)行書面規(guī)定并告知相關(guān)人員，對違反

6、違背安全策略和規(guī)定的人員進(jìn)行懲戒；c) 應(yīng)對定期安全教育和培訓(xùn)進(jìn)行書面規(guī)定，針對不同崗位制定不同的培訓(xùn)計(jì)劃，對信息安全基礎(chǔ)知識(shí)、崗位操作規(guī)程等進(jìn)行培訓(xùn)；d) 應(yīng)對安全教育和培訓(xùn)的情況和結(jié)果進(jìn)行記錄并歸檔保存。附件（相關(guān)人員的管理制度）：第一節(jié) 信息安全管理人員第一條 公司應(yīng)選派政治思想過硬、具有較高計(jì)算機(jī)水平的人員從事信息安全管理工作。凡是因違反國家法律法規(guī)和公司有關(guān)規(guī)定受到過處罰或處分的人員，不得從事此項(xiàng)工作。第二條 公司信息安全管理人員應(yīng)經(jīng)過總部組織的專業(yè)培訓(xùn)與審核，培訓(xùn)與審核合格后方可上崗。上崗后，每年至少參加一次信息安全專業(yè)培訓(xùn)。第三條公司信息安全管理人員在如下職責(zé)范圍內(nèi)開展本單位信息

7、安全管理工作：（1） 組織落實(shí)上級(jí)信息安全管理規(guī)定，制定信息安全管理制度，協(xié)調(diào)部門計(jì)算機(jī)安全員工作，監(jiān)督檢查信息安全保障工作。（2） 審核信息化建設(shè)項(xiàng)目中的安全方案，組織實(shí)施信息安全保障項(xiàng)目建設(shè)，維護(hù)、管理信息安全專用設(shè)施。（3） 檢測網(wǎng)絡(luò)和信息系統(tǒng)的安全運(yùn)行狀況，檢查運(yùn)行操作、備份、 機(jī)房環(huán)境與文檔等安全管理情況，發(fā)現(xiàn)問題，及時(shí)通報(bào)和預(yù)警，并提出整改意見。統(tǒng)計(jì)分析和協(xié)調(diào)處置信息安全事件。（4） 定期組織信息安全宣傳教育活動(dòng)，開展信息安全檢查、評估與培訓(xùn)工作。第四條信息安全管理人員在履行職責(zé)時(shí)，確因工作需要查詢相關(guān)涉密信息，須經(jīng)本單位主管同意后向保密工作委員會(huì)辦公室提交申請，獲得批準(zhǔn)后方可查詢

8、。第五條 信息安全管理人員實(shí)行備案管理制度。信息安全管理人員的配備和變更情況應(yīng)及時(shí)報(bào)上一級(jí)運(yùn)維部門備案。信息安全管理人員調(diào)離原崗位時(shí)應(yīng)辦理交接手續(xù)，并履行其調(diào)離后的保密義務(wù)。第二節(jié) 部門計(jì)算機(jī)安全員第六條 各部門應(yīng)指派素質(zhì)好、較熟悉計(jì)算機(jī)知識(shí)的人員擔(dān)任部門計(jì)算機(jī)安全員，并報(bào)本單位運(yùn)維部門備案。如有變更應(yīng)做好交接工作，并及時(shí)通報(bào)運(yùn)維部門。第七條 部門計(jì)算機(jī)安全員配合信息安全管理人員工作，并參加各項(xiàng)信息安全技能培訓(xùn)。第八條部門計(jì)算機(jī)安全員在如下職責(zé)范圍內(nèi)開展工作：（1） 負(fù)責(zé)本部門計(jì)算機(jī)病毒防治工作，監(jiān)督檢查本部門客戶端安全管理情況。（2） 負(fù)責(zé)提出本部門信息安全保障需求，及時(shí)與信息安全管理人員溝

9、通信息安全信息。（3） 負(fù)責(zé)本部門國際互聯(lián)網(wǎng)使用和接入安全管理，組織開展本部門信息安全自查，協(xié)助運(yùn)維部門完成對本部門的信息安全檢查工作。第三節(jié) 技術(shù)支持人員第九條 本規(guī)定所稱技術(shù)支持人員，是指參與公司網(wǎng)絡(luò)、計(jì)算機(jī)系統(tǒng)、機(jī)房環(huán)境等建設(shè)、運(yùn)行、維護(hù)的內(nèi)部技術(shù)支持人員和外包服務(wù)人員。第十條 公司內(nèi)部技術(shù)支持人員在履行網(wǎng)絡(luò)和信息系統(tǒng)建設(shè)和日常運(yùn)行維護(hù)職責(zé)過程中，應(yīng)承擔(dān)如下安全義務(wù)：（1） 不得對外泄漏或引用工作中觸及的任何敏感信息。嚴(yán)格權(quán)限訪問，未經(jīng)業(yè)務(wù)主管部門授權(quán)不得擅自改變系統(tǒng)設(shè)置或修改系統(tǒng)生成的任何數(shù)據(jù)。（2） 主動(dòng)檢查和監(jiān)控生產(chǎn)系統(tǒng)安全運(yùn)行狀況，發(fā)現(xiàn)安全隱患或故障及時(shí)報(bào)告本部門主管領(lǐng)導(dǎo)，并及時(shí)響應(yīng)、處置。（3） 嚴(yán)格操作管理、測試管理、應(yīng)急管理、配置管理、變更管理、檔案管理等工作制度，做好數(shù)據(jù)備份工作。第十一條外部技術(shù)支持人員應(yīng)嚴(yán)格履行外包服務(wù)合同（協(xié)議）的各項(xiàng)安全承諾。提供技術(shù)服務(wù)期間，嚴(yán)格遵守新生公司相關(guān)安全規(guī)定與操作規(guī)程，關(guān)鍵操作應(yīng)經(jīng)授權(quán)，并有新生公司內(nèi)部員工在場。不得拷貝或帶走任何配置參數(shù)信息或業(yè)務(wù)數(shù)據(jù)，不得對外泄漏或引用任何工作信息。第四節(jié) 業(yè)務(wù)系統(tǒng)操作人員第十二條本規(guī)定所稱業(yè)務(wù)系統(tǒng)操作人員是指直接操作業(yè)務(wù)系統(tǒng)進(jìn)行業(yè)務(wù)處理的業(yè)務(wù)部門工作人員。第十三條業(yè)務(wù)系統(tǒng)操作人員應(yīng)承擔(dān)如下安全義務(wù)：（1） 嚴(yán)格規(guī)程操作，防止誤操作。定期修改操作密碼并妥