大学网络安全管理人员安全管理办法

XXXX大学网络安全管理人员安全管理办法第一条本办法适用于网络安全管理人员的岗位配置、录用及调（离）岗、授权、安全教育培训和第三方人员的管理。依据《中华人民共和国网络安全法》等法规，制定本办法。第二条为保障信息系统的正常运行，须设置安全管理员、系统管理员、网络管理员、机房管理员、安全审计员和信息审查员岗位，并明确各岗位职责。其中，系统管理员不能兼任安全审计员。第三条权限、职能不同的岗位必须分离，避免权责不清、责任不明确的现象发生。第四条重要岗位实行角色备份，在合理设置工作岗位、完善工作职责的基础上，相近岗位之间实行顶岗或互为备岗制，以便能及时处理紧急任务。第五条网络安全管理人员的录用依据XXXX大学相关人才招聘政策统一招调，关键岗位人员必须从内部人员中选拔。第六条相关部门对应聘人的身份、背景、专业资格和资质等进行审查，涉及高敏感性信息或担负重要岗位的，应进行严格政审。第七条信息系统相关岗位均要签署《安全保密责任书》（附件1）。第八条网络安全管理人员调离时，必须归还钥匙、软硬件设备及文档资料等资产，并办理详尽的交接手续。第九条网络安全管理人员调离时，必须终止其所有的访问权限，涉及相关信息系统账号、口令时，须采取更换密码或冻结账号的措施，避免直接删除账号。第十条人员调离时必须签署《保密承诺书》（附件2），涉密人员实行脱密期管理制度。第十一条对未办理正常交接手续离岗的人员，及时进行信息安全风险评估并由专人跟进处理，保证信息系统的安全和业务连续性。第十二条与上级信息安全管理部门、信息系统服务商和宽带提供商保持适度联系，确保在发生信息安全事故和查处危害内部信息安全的违法犯罪行为时，能够得到及时响应和必要帮助。第十三条账号密码授权管理参照《XXXX大学账号密码权限管理办法》执行。第十四条各岗位人员必须清楚自己的安全职责，了解各自工作职能范围和责任义务。第十五条各岗位人员要积极参与信息安全交流和培训，提升信息安全意识和专业水平。第十六条根据各岗位的业务应用、安全意识和保密意识需求制定培训计划，定期组织开展安全教育和培训。培训具体内容和培训结果以及参加培训人员的记录，在培训结束后须整理归档。第十七条对各岗位人员的安全理论知识和安全技能水平须定期考察。第十八条为加强与第三方人员（信息安全公司、产品供应商、业界专家、安全组织等）的沟通与合作或应急响应，应建立详细的外联单位联系表（包括外联单位的名称、联系人、地址、联系方式等）。第十九条第三方人员对敏感或涉密信息进行访问前，必须签订正式保密协议；保密协议中明确第三方人员的安全责任、必须遵守的安全要求以及违反要求的处罚条款，对其允许访问的区域、系统、设备、信息等内容应有明确的规定。第二十条业务部门系统管理员与第三方人员共同协定现场工作规范并按规范实施，或全程陪同以降低安全风险。第二十一条业务部门系统管理员在第三方人员访问结束后，及时收回相关物品、资料并且终止其访问权限。第二十二条业务部门系统管理员须具备良好的安全意识和风险识别能力。第二十三条第三方信息安全合作公司应具有公安、保密、密码管理等部门的认证资质。第二十四条本办法由XXXX大学网络安全和信息化建设领导小组办公室负责解释。