企业信息安全规范

信息安全管理规范第一章总则第一条为规范企业信息系统及所承担维护服务的用户信息系统的信息安全第二条本规范是指导公司信息安全工作的基本依据，信息安全相关人员必安全制度实施细则，做好安全维护管理工作。第三条信息安全是公司及所承担的用户信息系统系统运维服务工作的重要源。第四条本规范的适用范围包括所有与公司信息系统及本公司所承担维护服务的各方面相关联的人员，它适用于本公司全部员工，集成商，软件开发商，产品提供商，商务伙伴和使用公司信息系统的其他第三方。第五条本规范适用于公司所承担服务支撑的外部各单位的信息系统的安全工作范围。第六条本规范主要依据国际标准ISO17799,并遵照我国信息安全有关法律法规、电信行业规范和相关标准。第二章安全管理的主要原则第七条管理与技术并重的原则：信息安全不是单纯的技术问题，在采用安全面提高信息安全管理水平。第八条全过程原则：信息安全是一个系统工程，应将它落实在系统建设、同步运行的原则，在任何一个环节的疏忽都可能给信息系统带来危害。第九条风险管理和风险控制原则：应进行安全风险管理和风险控制，以可并将其带来的危害最小化。第十条分级保护原则：应根据信息资产的重要程度以及面临的风险大小等因素决定各类信息资产的安全保护级别。制订各类网络系统和信息资产的安全保护等级表，在表中明确资产类别，同时确定对何种资产应达到何种级别的安全。导与监督下，负责具体实施。安全性和操作便利性之间找到最佳的平衡点。第十三条动态管理原则：在公司信息安全管理过程中，应遵循动态管理原则，要针对信息系统环境的变动情况及时调整管理办法。第三章安全组织和职责关系，并支持和推动信息安全工作在整个信息系统范围内的实施。相关工作。第十六条公司信息系统的安全管理机构职责如下：根据本规范制定信息系统的信息安全管理制度、标准规范和执行程序；监督和指导信息安全工作的贯彻和实施；考核和检查信息系统的信息安全工作情况，定期进行安全风险评估，并对出现的安全问题提出解决方案；负责安全管理员的选用和监督；参与信息系统相关的新工程建设和新业务开展的方案论证，并提出相应的安全方面的建议；在信息系统相关的工程验收时，对信息安全方面的验收测试方案进行审查并参与验收。第四章安全运作管理第十七条信息资产鉴别和分类是整个公司信息安全管理的基础，这样才能够真正知道要保护的对象。第十八条制定信息资产鉴别和分类制度，鉴别信息资产的价值和等级，维护包含所有信息资产的清单。数据和信息进行分类。作。患和安全风险，了解安全现状以及如何解决这些问题的方法。第二十二条进行物理安全和环境安全的管理，建立机房管理制度。置更改管理制度，并进行定期的审计和检查。绝木马和后门。建立源代码控制和软件版本控制机制。护第三方访问的安全性。之成为其它所有管理程序的一部分。度培训。第三十条 对于员工违反安全策略和安全流程制定相应的纪律处分规定行处罚。第五章信息安全技术体系建设素。度。第三十四条建立有效的审计和跟踪机制，建立日志存储、管理和分析机制，提高对安全事件的审计和事后追查能力。现、监控、分析和处理安全事件和安全违背行为。对恶意代码和病毒的预防和查杀措施，建立并遵守软件管理策略。第六章