安全管理體系建設方案

安全管理體系建設方案沈陽賽寶科技服務有限公2０18年7月19日安全管理體系建設方案目錄TＯC\o"1-3"＼h\z＼uHYPERLINK\ｌ"_Toｃ５1９77２10０"1?概述?頁共7頁概述簡介安全管理體系建設包含:安全管理制度、安全管理機構、人員安全管理、系統(tǒng)建設安全管理和系統(tǒng)運維安全管理等各個方面,依據(jù)相關的安全準則，結合企業(yè)自身及網絡系統(tǒng)的構成特點，確定具體的各方面的制度。目標安全管理機構:包括職能部門崗位設置;系統(tǒng)管理員、網絡管理員、安全管理員的人員配備;授權和審批；管理人員、內部機構和職能部門間的溝通和合作;定期的安全審核和安全檢查。安全管理制度：包括安全策略、安全制度、操作規(guī)程等的管理制度;管理制度的制定和發(fā)布；管理制度的評審和修訂。人員安全管理：包括人員錄用;人員離崗；人員考核;安全意識教育和培訓；外部人員訪問管理。系統(tǒng)建設管理：包括系統(tǒng)定級;安全方案設計;產品采購和使用;自行軟件開發(fā)；外包軟件開發(fā)；工程實施；測試驗收;系統(tǒng)交付；系統(tǒng)備案；等級測評;安全服務商選擇。系統(tǒng)運維管理:包括機房環(huán)境管理；信息資產管理;介質管理;設備管理;監(jiān)控管理和安全管理中心；網絡安全管理；系統(tǒng)安全管理;惡意代碼防范管理;密碼管理;變更管理；備份與恢復管理;安全事件處置；應急預案管理。?安全管理體系框架圖安全管理制度體系層次圖：安全管理制度體系安全方針政策最高方針,綱領性的安全策略主文檔,陳述本策略的目的、適用范圍、信息安全的管理意圖、支持目標以及指導原則，信息安全各個方面所應遵守的原則方法和指導性策略。安全管理制度各類管理規(guī)定、管理辦法和暫行規(guī)定。從安全策略主文檔中規(guī)定的安全各個方面所應遵守的原則方法和指導性策略引出的具體管理規(guī)定、管理辦法和實施辦法，是必須具有可操作性，而且必須得到有效推行和實施的。安全管理制度要求見下圖,在建立制度的時候可以參考：技術標準、規(guī)范技術標準和規(guī)范是針對具體管理行為進行規(guī)范化操作流程的規(guī)定,包括各個安全等級區(qū)域網絡設備、主機操作系統(tǒng)和主要應用程序的應遵守的安全配置和管理的技術標準和規(guī)范。技術標準和規(guī)范將作為各個網絡設備、主機操作系統(tǒng)和應用程序的安裝、配置、采購、項目評審、日常安全管理和維護時必須遵照的標準，不允許發(fā)生違背和沖突。例如制度及規(guī)范類文檔如下：表1管理制度及規(guī)范文檔序號管理制度及規(guī)范文檔機構總體安全方針和政策方面的管理制度安全管理活動中的各類管理內容的相關管理制度部門設置、崗位設置及工作職責定義方面的管理制度授權審批、審批流程等方面的管理制度與外聯(lián)單位、供應商等合作相關管理制度安全審核和安全檢查方面的管理制度管理制度、操作規(guī)程修訂、維護方面的管理制度人員錄用、離崗、考核等方面的管理制度人員安全教育和培訓方面的管理制度人員簽署保密協(xié)議相關管理制度第三方人員訪問控制方面的管理制度工程實施過程方面的管理制度安全方案設計相關管理制度產品選型、采購方面的管理制度軟件外包開發(fā)或自我開發(fā)方面的管理制度測試、驗收方面的管理制度系統(tǒng)交付相關管理制度機房安全管理方面的管理制度辦公環(huán)境安全管理方面的管理制度資產、設備、介質安全管理方面的管理制度信息分類、標識、發(fā)布、使用方面的管理制度配套設施、軟硬件維護方面的管理制度網絡安全管理(網絡配置、賬號管理等）方面的管理制度系統(tǒng)安全管理（系統(tǒng)配置、賬號管理）方面的管理制度系統(tǒng)監(jiān)控、風險評估、漏洞掃描方面的管理制度病毒防范方面的管理制度系統(tǒng)變更控制方面的管理制度密碼管理方面的管理制度備份和恢復方面的管理制度安全事件報告和處置方面的管理制度應急響應方法、應急響應計劃等方面的文件其他文檔流程、表單及記錄安全流程和操作規(guī)程,詳細規(guī)定主要業(yè)務應用和事件處理的流程、步驟和相關注意事項。作為具體工作時的具體依照,此部分必須具有可操作性,而且必須得到有效推行和實施的。安全表單及記錄,落實安全流程和操作規(guī)程的具體表現(xiàn)，根據(jù)不同信息系統(tǒng)的要求可以通過不同方式的表單及記錄落實，并在日常工作中具體執(zhí)行。主要包括日常操作的記錄、工作記錄、流轉記錄以及審批記錄等?？煞譃橛涗涱愇臋n和證據(jù)類文檔如下表:表2記錄類文檔序號記錄類文檔機房出入登記記錄(包括第三方人員）機房基礎設施維護記錄各類會議紀要或記錄(部門內、部門間協(xié)調會、領導小組)各類評審和修訂記錄（安全管理制度評審和修訂記錄、體系評審記錄等)人員考核、審查、培訓記錄(人員錄用、人員定期考核）、離崗手續(xù)人員安全教育相關記錄各項審批和批準執(zhí)行記錄(來訪人員進入機房審批、介質/設備外帶審批、系統(tǒng)外聯(lián)審批等）安全管理制度收發(fā)登記記錄產品的選型測試結果記錄系統(tǒng)驗收測試記錄、報告介質歸檔、查詢等的登記記錄主機系統(tǒng)、網絡、安全設備等的操作日志和維護記錄機房日常巡檢記錄對主機、網絡設備和應用軟件等的監(jiān)控記錄和分析報告惡意代碼檢測、升級記錄和分析報告?zhèn)浞葸^程記錄變更方案評審記錄和變更過程記錄安全事件處理過程記錄應急預案培訓、演練、審查記錄其他記錄文檔機房防雷檢測報告設備外出維修記錄外來人員審批記錄其他文檔表３證據(jù)類文檔序號證據(jù)類文檔資產清單機構安全管理人員崗位名單外聯(lián)單位聯(lián)系列表人員保密協(xié)議關鍵崗位安全協(xié)議候選產品名單信息系統(tǒng)定級報告或定級建議書系統(tǒng)備案材料近期和遠期安全建設工作計劃、總體建設規(guī)劃書表3證據(jù)類文檔(續(xù)）序號證據(jù)類文檔詳細設計方案系統(tǒng)建設項目工程實施方案系統(tǒng)驗收測試方案系統(tǒng)測試、驗收報告系統(tǒng)交付清單變更方案變更申請書信息系統(tǒng)定期安全檢測的檢查表和安全檢查報告主要設備漏洞掃描報告系統(tǒng)異常行為審