信息资产安全管理规定.doc

1、XXXX信息中心信息资产安全管理规定信息中心年 月XXXX信息中心信息资产安全管理规定注：XXXX代表单位名称，XX代表单位简称，xxxx代表系统名称，*代表部门名称。第一章 总则第一条 为了加强XXXX信息中心（以下简称“中心”）对信息资产的安全管理，明确中心硬件资产、软件资产和数据资产的信息安全管理工作，对信息资产实施适当的保护管理，制定本规定。第二条 本规定适用于中心信息资产的安全管理。第二章 信息资产的分类与登记第三条 中心信息资产是指中心拥有和控制的信息资源，主要分为以下三类：(一) 硬件资产：包括计算机设备、通信设备、可移动介质和其他设备；(二) 软件资产：包括应用软件、系统软件、

2、开发工具和实用程序等；(三) 数据资产：包括数据库或数据文件、系统文件、操作规范、归档信息等。第四条 xxxx系统、xxxx系统和xxxx系统所有的信息资产均应指定相应的管理部门，并指定到个人，做到“责任落实到人”。第五条 信息资产的使用部门负责本部门信息资产的正常使用、保管和维护。第三章 硬件资产安全管理第六条 中心资产管理员应建立统一的硬件资产管理台账，明确硬件资产使用责任部门、责任人和使用范围，并定期进行资产清点，对硬件资产台账信息进行审核。第七条 应加强信息系统的硬件资产管理，建立XXXX信息中心信息资产清单-硬件资产清单（见附件），明确硬件资产的基本属性和用途。第八条 硬件资产在使用

3、过程中应确保硬件配置的完整性，不得私自更换硬件资产以及相关配件。第九条 应遵照机房有关要求，加强对机房内硬件资产的物理安全性管理。第十条 对于需要维修的硬件资产，由设备责任人提出申请，经中心领导批准后，把硬件资产交到维护单位进行维修。第十一条 对于需要报废的硬件资产，由使用部门提出申请，经中心领导批准，由使用部门把硬件资产交到资产管理员统一处理。第十二条 存储内部信息的硬件资产在重用、维修和报废前，应确保所有存储的敏感数据或授权软件已经被移除或安全重写。第十三条 硬件资产在重用、维修和报废前，应做好备份工作，保持信息的完整性和可用性。第四章 软件资产的管理第十四条 中心应建立统一的软件资产管理

4、台账，明确软件资产发放和使用范围，并定期清点软件的安装和使用情况。第十五条 应加强信息系统的软件资产管理，建立XXXX信息中心信息资产清单-软件资产清单（见附件），明确软件资产的基本属性和用途。第十六条 中心应购买正版商业软件，在安装软件时要规定使用权限，防止非授权访问。第十七条 应加强对于开发应用软件的管理，确保应用软件系统能够运行稳定，规范软件升级管理工作。第十八条 应用系统负责人应加强对于应用软件保存、标识、安装、卸载和升级的统一管理。第十九条 对于需要维修的软件资产，软件资产使用人须和信息安全工作组进行沟通后，由软件供货商进行维护、修改和升级。第二十条 对于需要删除和报废的软件资产，经

5、中心领导批准，由使用部门把软件资产交到资产管理员统一处理。第五章 数据资产的管理第二十一条 中心数据管理员负责信息系统数据的统一备份和恢复工作，确保重要数据能够及时进行备份和安全存储。第二十二条 各应用系统负责人根据业务需求将需要备份的重要数据信息提交数据管理员进行统一备份，数据备份恢复具体要求参照数据备份和恢复管理规定执行。第二十三条 对于需要维修的数据资产，数据资产使用人需要及时和中心负责人进行沟通，由指定维修厂商进行数据修复和恢复。第二十四条 对于需要报废处理的数据资产，经中心领导批准，由使用部门把数据资产交到数据管理员统一处理。第六章 附 则第二十五条 本规定由信息安全工作组负责解释和

6、修订。第二十六条 本规定自发布之日起执行。附件：XXXX信息中心信息资产清单服务器资产清单序号资产编号服务器名称制造商/型号序列号IP地址主机名应用软件操作系统及版本数据库及版本厂商使用年限重要程度责任部门/责任人备注重要 一般重要 一般重要 一般重要 一般重要 一般重要 一般重要 一般重要 一般重要程度界定：根据信息系统的重要程度，以及信息资产在受到损害后对XX的影响程度，判定信息资产的重要程度。网络设备和安全设备资产清单 序号资产编号设备名称制造商/型号序列号IP地址用户/账号位置厂商重要程度责任部门/责任人备注重要 一般重要 一般重要 一般重要 一般重要 一般重要 一般重要 一般重要 一般重要 一般重要 一般重要程度界定：根据信息系统的重要程度，以及信息资产在受到损害后对XX的影响程度，判定信息资产的重要程度。软件资产清单序号资产名称类型版本序列号/许可证号存放位置技术支持联系人/联系电话厂商使用年限重要程度责任人备注重要 一般重要 一般重要 一般重要 一般重要 一般重要 一般重要 一般重要 一般重要程度界定：根据信息系统的重要程度，以及信息资产在受到损害后对XX的影响程度，判定信息资产的重要程度，其中个人或局部的影响范围的为一般资产，例如个人终端使用的软件；具有一定网络和应用的影响范围的为重要资产，例如邮件系统。