需要的制度和记录信息安全管理文档格式.docx

需要的制度和记录信息安全管理文档格式.docx

《需要的制度和记录信息安全管理文档格式.docx》由会员分享，可在线阅读，更多相关《需要的制度和记录信息安全管理文档格式.docx（34页珍藏版）》请在冰豆网上搜索。

信息安全方针策略是最高层的安全文件，说明机构安全工作的总体目标、范围、原则和安全框架；

安全管理制度用来规范信息系统生命周期相关活动，以安全方针政策为指导；

安全操作规程则是各项具体活动的步骤和方法，可以是一个操作手册，一个流程表单或一种实施方法，但必须能够明确体现或执行信息安全策略、信息安全制度所要求的策略或原则。

相关制度文档

安全管理员

制定和发布

——

1.应指定或授权专门的部门或人员负责安全管理制度的制定；

2.安全管理制度应具有统一的格式，并进行版本控制；

3.应组织相关人员对制定的安全管理制度进行论证和审定；

4.安全管理制度应通过正式、有效的方式发布；

5.安全管理制度应注明发布范围，并对收发文进行登记。

管理制度论证、审定记录

管理制度正式发布的证明

收发文登记记录

评审和修订

1.信息安全领导小组应负责定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定；

2.应定期或不定期对安全管理制度进行检查和审定，对存在不足或需要改进的安全管理制度进行修订。

管理制度体系的评审记录、更新记录

制度修订记录

岗位设置

人员配备

安全管理机构部门和岗位职责

1.应设立信息安全管理工作的职能部门，设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责；

2.应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位的职责；

3.应成立指导和管理信息安全工作的委员会或领导小组，其最高领导由单位主管领导委任或授权；

4.应制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。

1.应配备一定数量的系统管理员、网络管理员、安全管理员等；

2.应配备专职安全管理员，不可兼任；

3.关键事务岗位应配备多人共同管理。

授权和审批

系统变更、重要操作、物理访问和系统接入等事项的审批程序

1.应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等；

2.应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序，按照审批程序执行审批过程，对重要活动建立逐级审批制度；

3.应定期审查审批事项，及时更新需授权和审批的项目、审批部门和审批人等信息；

4.应记录审批过程并保存审批文档。

审批过程文档

审批事项的更新记录

沟通和合作

1.应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通，定期或不定期召开协调会议，共同协作处理信息安全问题；

2.应加强与兄弟单位、公安机关、电信公司的合作与沟通；

3.应加强与供应商、业界专家、专业的安全公司、安全组织的合作与沟通；

4.应建立外联单位联系列表，包括外联单位名称、合作内容、联系人和联系方式等信息；

5.应聘请信息安全专家作为常年的安全顾问，指导信息安全建设，参与安全规划和安全评审等。

外联单位联系列表

聘请常年安全顾问的证明记录

安全专家参与安全评审的记录

审核和检查

安全检查制度

1.安全管理员应负责定期进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况；

2.应由内部人员或上级单位定期进行全面安全检查，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等；

3.应制定安全检查表格实施安全检查，汇总安全检查数据，形成安全检查报告，并对安全检查结果进行通报；

4.应制定安全审核和安全检查制度规范安全审核和安全检查工作，定期按照程序进行安全审核和安全检查活动。

安全检查和安全审核的记录

安全运维公司

人员录用

人员离岗

人员录用、离岗方面的管理规定

规定人员录用的负责部门或负责人，对人员的录用、离岗过程进行规范。

保密协议

岗位安全协议

人员离岗时终止访问权限、收回软硬件设备的记录

人员考核

1.应定期对各个岗位的人员进行安全技能及安全认知的考核；

2.应对关键岗位的人员进行全面、严格的安全审查和技能考核；

3.应对考核结果进行记录并保存。

安全技能及安全认知考核记录

安全意识教育和培训

安全教育和培训管理制度

安全责任和惩戒措施的书面规定

1.应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训；

2.应对安全责任和惩戒措施进行书面规定并告知相关人员，对违反违背安全策略和规定的人员进行惩戒；

3.应对定期安全教育和培训进行书面规定，针对不同岗位制定不同的培训计划，对信息安全基础知识、岗位操作规程等进行培训；

4.应对安全教育和培训的情况和结果进行记录并归档保存。

培训计划

培训记录

外部人员访问管理

外部人员访问管理制度

1.应确保在外部人员访问受控区域前先提出书面申请，批准后由专人全程陪同或监督，并登记备案；

2.对外部人员允许访问的区域、系统、设备、信息等内容应进行书面的规定，并按照规定执行。

外部人员访问受控区域前的书面申请、登记记录

系统定级

1.应明确信息系统的边界和安全保护等级；

2.应以书面的形式说明确定信息系统为某个安全保护等级的方法和理由；

3.应组织相关部门和有关安全技术专家对信息系统定级结果的合理性和正确性进行论证和审定；

4.应确保信息系统的定级结果经过相关部门的批准。

定级报告

定级报告的论证和审定记录

安全方案设计

1.应根据系统的安全保护等级选择基本安全措施，并依据风险分析的结果补充和调整安全措施；

2.应指定和授权专门的部门对信息系统的安全建设进行总体规划，制定近期和远期的安全建设工作计划；

3.应根据信息系统的等级划分情况，统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案，并形成配套文件；

4应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的合理性和正确性进行论证和审定，并且经过批准后，才能正式实施；

5.应根据等级测评、安全评估的结果定期调整和修订总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件。

安全建设工作计划

配套安全建设方案（包含：

安全技术框架、安全管理策略、安全建设规划、详细设计方案等）

配套安全建设方案的论证和审定记录

各系统建设负责人

产品采购和使用

1.应确保安全产品采购和使用符合国家的有关规定；

2.应确保密码产品采购和使用符合国家密码主管部门的要求；

3.应指定或授权专门的部门负责产品的采购；

4.应预先对产品进行选型测试，确定产品的候选范围，并定期审定和更新候选产品名单。

产品采购清单

外包软件开发

1.应根据开发要求检测软件质量；

2.应确保提供软件设计的相关文档和使用指南；

3.应在软件安装之前检测软件包中可能存在的恶意代码；

4.应要求开发单位提供软件源代码，并审查软件中可能存在的后门。

软件包恶意代码检测记录

软件源代码及源代码审查记录

工程实施

工程实施方面的管理制度

1.应指定或授权专门的部门或人员负责工程实施过程的管理；

2.应制定详细的工程实施方案控制实施过程，并要求工程实施单位能正式地执行安全工程过程；

3.应制定工程实施方面的管理制度，明确说明实施过程的控制方法和人员行为准则。

工程实施方案

项目管理规定

测试验收

1.应委托公正的第三方测试单位对系统进行安全性测试，并出具安全性测试报告；

2.在测试验收前应根据设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，并形成测试验收报告；

3.应对系统测试验收的控制方法和人员行为准则进行书面规定；

4.应指定或授权专门的部门负责系统测试验收的管理，并按照管理规定的要求完成系统测试验收工作；

5.应组织相关部门和相关人员对系统测试验收报告进行审定，并签字确认。

测试验收方案

测试验收报告

系统交付

1.应制定详细的系统交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点；

2.应对负责系统运行维护的技术人员进行相应的技能培训；

3.应确保提供系统建设过程中的文档和指导用户进行系统运行维护的文档；

4.应对系统交付的控制方法和人员行为准则进行书面规定；

5.应指定或授权专门的部门负责系统交付的管理工作，并按照管理规定的要求完成系统交付工作。

系统交付清单

系统建设过程中的文档、系统运维文档

系统备案

1.应指定专门的部门或人员负责管理系统定级的相关材料，并控制这些材料的使用；

2.应将系统等级及相关材料报系统主管部门备案；

3.应将系统等级及其他要求的备案材料报相应公安机关备案。

系统定级报告

等级测评

1.在系统运行过程中，应至少每年对系统进行一次等级测评，发现不符合相应等级保护标准要求的及时整改；

2.应在系统发生变更时及时对系统进行等级测评，发现级别发生变化的及时调整级别并进行安全改造，发现不符合相应等级保护标准要求的及时整改；

3.应选择具有国家相关技术资质和安全资质的测评单位进行等级测评；

4.应指定或授权专门的部门或人员负责等级测评的管理。

等级测评报告

安全服务商的选择

1.应确保安全服务商的选择符合国家的有关规定；

2.应与选定的安全服务商签订与安全相关的协议，明确约定相关责任；

3.应确保选定的安全服务商提供技术支持和服务承诺，必要的与其签订服务合同。

与安全服务商签订的与安全相关的协议

安全服务商提供技术培训记录

环境管理

机房安全管理制度

办公环境保密管理规定

1.应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理；

2.应指定部门负责机房安全，并配备机房安全管理人员，对机房的出入、服务器的开机或关机等工作进行管理；

3.应建立机房安全管理制度，对有关机房物理访问，物品带进、带出机房和机房环境安全等方面的管理作出规定；

4.应加强对办公环境的保密性管理，规范办公环境人员行为，包括工作人员调离办公室应立即交还该办公室钥匙、不在办公区接待来访人员、工作人员离开座位应确保终端计算机退出登录状态和桌面上没有包含敏感信息的纸档文件等。

机房基础设施（供配电、空调、温湿度控制等）维护记录

机房设备带入带出记录

机房管理员

各系统运维人员

资产管理

资产安全管理制度

1.应编制并保存与信息系统相关的资产清单，包括资产责任部门、重要程度和所处位置等内容；

2.应建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为；

3.应根据资产的重要程度对资产进行标识管理，根据资产的价值选择相应的管理措施；

4.应对信息分类与标识方法作出规定，并对信息的使用、传输和存储等进行规范化管理。

资产清单

资产管理员

介质管理

介质安全管理制度

1.应建立介质安全管理制度，对介质的存放环境、使用、维护和销毁等方面作出规定；

2.应确保介质存放在安全的环境中，对各类介质进行控制和保护，并实行存储环境专人管理；