創(chuàng)新信息安全管理

編號：SM-ZD-89072創(chuàng)新信息安全管理Throughtheprocessagreementtoachieveaunifiedactionpolicyfordifferentpeople,soastocoordinateaction,reduceblindness,andmaketheworkorderly.編制：____________________審核：____________________批準(zhǔn)：____________________本文檔下載后可任意修改FS精編管理制度 |MODELSYSTEM創(chuàng)新信息安全管理簡介：該制度資料適用于公司或組織通過程序化、標(biāo)準(zhǔn)化的流程約定，達(dá)成上下級或不同的人員之間形成統(tǒng)一的行動方針，從而協(xié)調(diào)行動，增強(qiáng)主動性，減少盲目性，使工作有條不紊地進(jìn)行。文檔可直接下載或修改，使用時請詳細(xì)閱讀內(nèi)容。上世紀(jì) 90年代以來，嘉興電力局逐步建立了辦公自動化(OA)、SAP系統(tǒng)、營銷管理、95598 客戶服務(wù)、負(fù)荷管理、PI數(shù)據(jù)庫等諸多信息系統(tǒng)，企業(yè)信息化在安全生產(chǎn)、經(jīng)營管理、優(yōu)質(zhì)服務(wù)中發(fā)揮了極其重要的作用。與此同時，信息安全的籬笆墻也越扎越緊，有效地防范了外部的攻擊和內(nèi)部管理失控帶來的種種威脅。因此嘉興電力局先后被中電聯(lián)授予“信息化先進(jìn)單位”、“信息化標(biāo)桿企業(yè)”等光榮稱號。 20xx年貫徹ISO／IEC27001：2005信息安全管理標(biāo)準(zhǔn)，獲得了挪威船級社 DNV公司認(rèn)證證書。運用系統(tǒng)的思想和方法，查找信息安全管理的“短板”管理思想和方法落后。過去基本上是參照電網(wǎng)安全管理的一些傳統(tǒng)做法，沒有體現(xiàn)信息化特點和要求，這樣就越來越不適應(yīng)信息系統(tǒng)的快速發(fā)展和變革。第2頁/總10頁FS精編管理制度 |MODELSYSTEM管理對象不夠全面。以往只考慮硬件、軟件，忽視了人、數(shù)據(jù)和文檔、服務(wù)、無形資產(chǎn)等重要對象，對外來人員也缺乏有效的識別管理。管理制度不夠系統(tǒng)。以前雖然制訂了不少制度和標(biāo)準(zhǔn)，但隨著信息化的發(fā)展，這些制度逐漸變得與現(xiàn)實要求不相適應(yīng)。就事論事的管理方式必然會產(chǎn)生安全管理的盲區(qū)，有些制度內(nèi)容重復(fù)、交叉、不一致，有些制度不切合實際，往往束之高閣。風(fēng)險評估不夠科學(xué)。以往的信息風(fēng)險評估就事論事，不夠系統(tǒng)，主觀性過強(qiáng)，缺乏綜合平衡，抓不住重點，易過度保護(hù)，或產(chǎn)生管理死角，事后控制多，事前預(yù)控少，不能涵蓋信息系統(tǒng)的生命周期。上述情形是企業(yè)在信息化建設(shè)中普遍感覺到比較迷茫的問題，隨著科學(xué)技術(shù)的進(jìn)步，企業(yè)信息運行管理模式也發(fā)第3頁/總10頁FS精編管理制度 |MODELSYSTEM生了巨大的變化，為企業(yè)采用先進(jìn)管理方式、建立信息安全管理體系打下了扎實的基礎(chǔ)。為此，嘉興電力局根據(jù)國際上信息安全管理的最佳實踐，結(jié)合供電企業(yè)的實際，從信息安全風(fēng)險評估管理人手，貫徹 ISO／IEC27001：2005信息安全管理標(biāo)準(zhǔn)，建立了信息安全管理體系。 通過體系有效運作，達(dá)到了供電企業(yè)信息安全管理“預(yù)控、能控、可控、在控”的目的。從資產(chǎn)識別入手，搞好信息安全風(fēng)險評估嘉興電力局按《信息安全風(fēng)險評估控制程序》 ，對所有的資產(chǎn)進(jìn)行了列表識別，并識別了資產(chǎn)的所有者。這些資產(chǎn)包括硬件與設(shè)施、軟件與系統(tǒng)、數(shù)據(jù)與文檔、服務(wù)及人力資源。對每一項資產(chǎn)按自身價值、信息分類、保密性、完整性、法律法規(guī)符合性要求進(jìn)行了量化賦值。在風(fēng)險評估中，共識別資產(chǎn)2810項，其中確定的重要資產(chǎn)總數(shù)為 312項，形成了《重要資產(chǎn)清單》。第4頁/總10頁FS精編管理制度 |MODELSYSTEM圖1重要信息資產(chǎn)按部門分布圖對重要的信息資產(chǎn)，由資產(chǎn)的所有者 (歸口管理部門)對其可能遭受的威脅及自身的薄弱點進(jìn)行識別，并對威脅利用薄弱點發(fā)生安全事件的可能性以及潛在影響進(jìn)行了賦值分析，確定風(fēng)險等級和可接受程度，形成了《重要資產(chǎn)風(fēng)險評估表》。針對每一項威脅、 薄弱點，對資產(chǎn)造成的影響， 考慮現(xiàn)有的控制措施，判定措施失效發(fā)生的可能性，計算風(fēng)險等級，判斷風(fēng)險為可接受的還是需要處理的。根據(jù)風(fēng)險評估的結(jié)果，形成風(fēng)險處理計劃。對于信息安全風(fēng)險，應(yīng)考慮控制措施與費用的平衡原則， 選用適當(dāng)?shù)拇胧?，確定是接受風(fēng)險、避免風(fēng)險，還是轉(zhuǎn)移風(fēng)險。嘉興電力局經(jīng)過風(fēng)險評估， 確定了不可接受風(fēng)險 84項，其中硬件和設(shè)施 52項，軟件和系統(tǒng) 0項，文檔和數(shù)據(jù) 8項，服務(wù)0項，人力資源 24項。第5頁/總10頁FS精編管理制度 |MODELSYSTEM圖2各類不可接受風(fēng)險按系統(tǒng)分布圖根據(jù)風(fēng)險評估的結(jié)果，對可接受風(fēng)險，保持原有的控制措施，同時按 ISO／IEC17799：2005《信息技術(shù)—安全技術(shù)—信息安全管理實施細(xì)則》和系統(tǒng)應(yīng)用的要求，對控制措施進(jìn)行完善。針對不可接受風(fēng)險，由各部門制定相應(yīng)的安全控制措施。制定控制措施需要考慮風(fēng)險評估的結(jié)果、管理與技術(shù)上的可行性、法律法規(guī)的要求，以期達(dá)到風(fēng)險降低的目的?？刂拼胧┑膶嵤谋苊怙L(fēng)險、降低風(fēng)險、轉(zhuǎn)移風(fēng)險等方面，將風(fēng)險降低到可接受的水平。按照ISO標(biāo)準(zhǔn)要求，建立信息安全管理體系嘉興電力局在涉及生產(chǎn)、經(jīng)營、服務(wù)和日常管理活動的信息系統(tǒng)，按 ISO／IEC27001：2005《信息技術(shù)—安全技術(shù)—信息安全管理體系要求》規(guī)定，參照 ISO／IECl7799：2005《信息技術(shù)·安全技術(shù)—信息安全管理實施細(xì)則》 ，建立信息安全管理體系，簡稱 ISMS。第6頁/總10頁FS精編管理制度 |MODELSYSTEM確定信息安全管理體系覆蓋范圍，主要是根據(jù)業(yè)務(wù)特征、組織結(jié)構(gòu)、地理位置、資產(chǎn)分布情況，涉及電力生產(chǎn)、營銷、服務(wù)和日常管理的 40個重要信息系統(tǒng)。信息安全管理的方針是：“全面、完整、務(wù)實、有效” 。為實現(xiàn)信息安全管理體系方針，該局承諾：在各層次建立完整的信息安全管理組織機(jī)構(gòu)，確定信息安全目標(biāo)和控制措施，明確信息安全的管理職責(zé)，識別并滿足適用法律、法規(guī)和相關(guān)方信息安全要求；定期進(jìn)行信息安全風(fēng)險評估，采取糾正預(yù)防措施，保證體系的持續(xù)有效性，采用先進(jìn)有效的設(shè)施和技術(shù)，處理、傳遞、儲存和保護(hù)各類信息，實現(xiàn)信息共享；對全體員工進(jìn)行持續(xù)的信息安全教育和培訓(xùn)，不斷增強(qiáng)員工的信息安全意識和能力；制定并保持完善的業(yè)務(wù)連續(xù)性計劃，實現(xiàn)可持續(xù)發(fā)展。按照信息安全管理方針的要求，制定的信息安全管理目標(biāo)是： 2級以上信息安全事件為零，不發(fā)生信息系統(tǒng)的中斷、數(shù)據(jù)的丟失、敏感信息的泄密；不發(fā)生導(dǎo)致供電中斷的信息事故；減少涉密有關(guān)的法律風(fēng)險。第7頁/總10頁FS精編管理制度 |MODELSYSTEM嘉興電力局根據(jù)風(fēng)險評估的結(jié)果、企業(yè)的系統(tǒng)現(xiàn)狀和管理現(xiàn)狀，按照 ISO／IEC27001：2005標(biāo)準(zhǔn)要求，整合原有的企業(yè)信息安全管理標(biāo)準(zhǔn)、規(guī)章制度，形成了科學(xué)、嚴(yán)密的信息安全管理體系文件框架， 包括信息安全管理手冊；《信息安全風(fēng)險評估管理程序》、《業(yè)務(wù)持續(xù)性管理程序》等 53個程序文件，制定了 16個支撐性作業(yè)文件。運用過程方法，實施信息安全管理體系在信息安全管理過程中，重點是抓好人員安全、風(fēng)險評估、信息安全事件、保持業(yè)務(wù)持續(xù)性等重要環(huán)節(jié)，采取明確職責(zé)、動態(tài)檢查、嚴(yán)格考核等措施，使信息安全走上常態(tài)管理之路。圖3信息安全管理體系實施過程重視信息系統(tǒng)安全管理。因為信息系統(tǒng)支撐著企業(yè)的各項業(yè)務(wù)，信息安全管理體系實施涵蓋信息系統(tǒng)的生命周期，第8頁/總10頁FS精編管理制度 |MODELSYSTEM表現(xiàn)在信息系統(tǒng)的軟 (硬)件購置、設(shè)備安裝、軟件開發(fā)和系統(tǒng)測試、上線、系統(tǒng)(權(quán)限)變更等方面，嚴(yán)格執(zhí)行體系的相關(guān)控制程序。強(qiáng)化人員安全管理。在勞動合同、崗位說明書中，明確員工信息安全職責(zé)。特殊崗位的人員規(guī)定特別的安全責(zé)任，對信息關(guān)鍵崗位實行備案制度。對崗位調(diào)動或離職人員，及時調(diào)整安全職責(zé)和權(quán)限。定期對員工進(jìn)行信息安全教育和技能培訓(xùn)、比武、考試。重視相關(guān)方管理。對軟硬件供應(yīng)商、服務(wù)商、保衛(wèi)、消防、保潔等人員，明確安全要求和安全職責(zé)。 簽訂保密協(xié)議、辦理入網(wǎng)申請、進(jìn)行入網(wǎng)教育等。識別客戶、合作方、相關(guān)方、法律法規(guī)對信息安全的要求，采取措施，保證滿足安全要求。建立信息安全的常態(tài)管理機(jī)制。對企業(yè)技術(shù)、業(yè)務(wù)目標(biāo)和過程、已識別的威脅、實施控制的有效性、外部事件變更第9頁/總10頁FS精編管理制度 |MODELSYSTEM情況應(yīng)及時進(jìn)行風(fēng)險評估。定期對信息安全進(jìn)行定期或不定期的監(jiān)督檢查，包括日常檢查、專項檢查、