信息安全事件管理程序范本

1、信息安全事件管理程序范本 1目的 为建立一个适当的信息安全事件、薄弱点和故障报告、反应与处理机制,削减信息安全事件和故障所造成的损失,采取有效的纠正与预防措施,特制定本程序。 2范围 本程序适用于xxx业务信息安全事件的管理。 3职责 3.1信息安全管理流程负责人 确定信息安全目标和方针; 确定信息安全管理组织架构、角色和职责划分; 负责信息安全小组之间的协调,内部和外部的沟通; 负责信息安全评审的相关事宜; 3.2信息安全日常管理员 负责制定组织中的安全策略; 组织安全管理技术责任人进行风险评估; 组织安全管理技术责任人制定信息安全改进建议和掌握措施; 编写风险改进计划; 3.3信息安全管理

2、技术责任人 负责信息安全日常监控; 信息安全风险评估; 确定信息安全掌握措施; 响应并处理安全事件。 4工作程序 4.1信息安全事件定义与分类 信息安全事件是指信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等原因直接影响(后果)的。 造成下列影响(后果)之一的,均为一般信息安全事件。 a)xxx隐秘泄露; b)导致业务中断两小时以上; c)造成信息资产损失的火灾; d)损失在一万元人民币(含)以上的故障/事件。 造成下列影响(后果)之一的,属于重大信息安全事件。 a)组织机密泄露; b)导致业务中断十小时以上; c)造成机房设备毁灭的火灾; d)损失在十万元人民币(含)

3、以上的故障/事件。 4.2信息安全事件管理流程 由信息安全管理负责人组织相关的运维技术人员依据xxx对信息安全的要求,确认代码管理相关信息系统的安全需求; 对代码管理相关信息系统进行信息安全风险评估,预估风险类型、风险发生的可能性、风险级别、潜在的业务影响,形成信息安全风险评估报告; 由信息安全日常管理员组织相关技术人员依据对依据风险评估的结果以及服务级别协议的安全需求,提出现阶段的安全改进建议,并提交至信息安全管理负责人进行评估;若同意执行安全改进建议,则在变更管理的掌握下实施安全建议; 信息安全日常管理员依据安全改进之后的信息系统安全现状提出详细的安全掌握措施,形成风险处置计划; 依据风险

4、处置计划,实施信息安全掌握措施,尽可能的降低信息和业务风险; 监视信息系统的活动并识别反常的活动和安全事件,并记录下来,做初步的响应和处理;评估安全漏洞和不符合安全要求的任何状况,并采取必要的纠正措施; 对发觉的或已发生的信息安全事件,根据信息安全事件响应程序进行处理; 每年一次或在发生重大信息安全事件时进行信息安全评审,分析信息安全事件的显现趋势、信息安全管理的改进等信息,并形成风险改进计划,持续改进信息系统安全。 4.3信息安全事件事后处理措施 对于一般信息安全事件,在故障排解或采取必要措施后,相关信息安全管理职能部门会同事件责任部门,对事件的原因、类型、损失、责任进行鉴定,形成信息安全事

5、件报告,报信息安全管理者代表批准;对于重大信息安全事件的处理意见还应上报信息安全管理委员会争论通过。 对于违反组织信息安全方针、程序安全规章所造成的信息安全事件责任者依据以下措施予以惩戒。 惩罚方式: 一般安全事故,依据所造成的经济损失,由xxx办公室通过邮件发出正式严重警告。 一年内累计出现三次或三次以上的一般安全事故,报xxx领导批准后进行相应处罚,并在xxx进行通报批评。 造成重大安全事故的,xxx有权将责任人调离原工作岗并赐予相应处罚。 一年内累计出现二次或二次以上的重大安全事故,xxx有权解除劳动合同并依法追究法律责任。 假如属于故意行为导致信息安全事故,xxx有权解除劳动合同并依法

6、追究法律责任。 对于信息安全事故责任人的处理结果由处理部门在xxx范围内予以通报。 负有信息安全事故惩罚的各职能部门在确定实施惩罚后,xxx室与被惩罚部门沟通,确认责任者及惩罚方式并上报xxx领导。 信息安全管理职能部门要求事件责任部门制定纠正措施并实施,实施结果记录在信息安全事件报告。 由信息安全管理职能部门对实施状况进行跟踪验证,验证结果记入信息安全事件报告。 4.4报告信息安全薄弱点与预防措施 xxx与信息安全管理有关的全部员工发觉信息安全薄弱点或潜在威逼均应履行报告义务。 对以下行为应赐予嘉奖: 准时发觉非责任区信息安全隐患,该隐患足以导致信息安全事故的; 准时发觉非责任区信息安全重大隐患,该隐患足以导致信息安全重大事故的; 准时发觉并制止系统操作问题以避免设备重大损失或人员死亡的; 准时制止或报告泄露商业机密的事件以避免xxx重大经济损失或准时中止正在进行中的商业泄密行为的; 在信息安全事故中采取积极有效措施,降低损失的程度。 嘉奖方式如下: 依据防止一般安全事故发生、一年内防止一般安全事故发生三次或三次以上、防止造成重大安全事故、准时中止正在进行中的商业泄密行为、提出信息安全合理化建议等级别,报请xxx批准后,赐予相应表扬或嘉奖,并作为年底工作考核依据。 发觉信息安全事故、薄弱点与故障的员工