信息系统安全管理制度（优选6篇）

信息系统安全管理制度

为进一步规范公司管理，防范企业涉密资料以及涉密数据外泄，经过公司研究决定，从即日起，规范相关关键信息、账户的管理。公司根据现在公司的管理需求，统一收回所有公司信息管理账号，集中管理，专人保管。各个部门如要使用可填写账户使用申请单。

具体管理办法如下:

第一章 总 则

第一条 为加强公司用户账号管理，规范用户账号的使用，提高信息系统使用安全性，特制定本制度。

第二条 本制度中系统账号是指应用层面及系统层面(平台、操作系统、数据库系统、信息管理系统、防火墙及其它网络设备)的用户账号。

第三条 本规定所指账号管理包括:

1、应用层面用户账号的申请、审批、分配、删除/禁用等的管理

2、系统层面用户账号的申请、审批、分配、删除/禁用等的管理

3、用户账号密码的管理。

第四条 系统拥有部门负责建立《岗位权限对照表》(附件一)，制定工作岗位与系统权限的对应关系和互斥原则，对具体岗位做出具体的权限管理规定。

第五条 信息管理中心根据系统拥有部门提交的《岗位权限对照表》增加系统岗位权限控制。

第六条 用户账号申请、审批及设置由不同人员负责。

第七条 各信息系统需设置超级管理员、系统管理员、系统管理监督员和普通用户。超级管理员、系统管理员与系统管理监督员不能由同一人担任，并不能是系统操作用户。

1、超级管理员:负责按照领导审定的《信息系统权限申请表》(附件二)进入系统管理员的授权管理。

2、系统管理员:负责按照领导审定的授权进行录入，并对系统运行状况以及系统用户数据录入进行管理。系统管理员应对录入的授权和系统运行状态建立台帐，定期向系统管理监督备案。

3、系统管理监督员:负责对录入的数据和授权进行监督，并建立用户权限台帐，定期对系统管理员录入的授权和系统运行状态以及用户录入数据进行监督检查。

4、普通用户:负责对系统进行业务层面的操作。

第八条 信息管理中心将定期抽取系统岗位和用户清单进行检查，发现可疑授权、可疑使用将根据实际情况予以通报修正，并将检查结果记入信息化年度考核中。

第二章 普通账号管理

第九条 申请人使用统一规范的《信息系统权限申请表》(附件二)提出用户账号创建、修改、禁用、启用等申请。

第十条 账号申请人所属部门负责人及系统拥有部门负责人根据《岗位权限对照表》审核申请人所申请的权限是否与其岗位一致，确保权限分配的合理性、必要性和符合职责分工的要求。

第十一条 在受理申请时，权限管理人员根据申请配置权限，在系统条件具备的情况下，给用户分配独有的用户账号或禁用用户账号权限，以使用户对其行为负责。一旦分配好账号，用户不得使用他人账号或者允许他人使用自己的账号。

第十二条 新员工入职或员工岗位发生变化时，应主动申请所需系统的账号及权限。

第十三条 人员离职的情况下，该员工的账户应当被及时的禁用。离职人员的离职手续办理完毕后。员工所属部门以书面方式通知系统管理部门，由系统管理部门实施用户帐户及权限的回收操作。

第十四条 账号管理人员建立各种账号的文档记录，记录用户账号的相关信息，并在账号变动时同时更新此记录。

第三章 特权账号和超级用户账号管理

第十五条 特权账号指在系统中有专用权限的账号，如备份账号、权限管理账号、系统维护账号等。超级用户账号指系统中最高权限账号，如administrator(或admin)、root等管理员账号。

第十六条 只有经授权的用户才可使用特权账号和超级用户账号，严禁共享账号。

第十七条 信息系统管理部门每季度查看系统日志，监督特权账号和超级用户账号使用情况，并填写《系统日志审阅表》(附件三)。

第十八条 尽量避免特权账号和超级用户账号的临时使用，确需使用时必须履行正规的申请及审批流程，并保留相应的文档。

第十九条 临时使用超级用户账号必须有监督人员在场记录其工作内容。

第二十条 超级用户帐户必须由信息管理中心管理(如没有超级管理员，信息管理中心必须掌握系统管理员权限)。系统管理员和系统管理监督员可通过信息管理中心与系统拥有部门协商管理(如系统管理员由系统拥有部门管理，《信息系统权限申请表》必须以邮件方式电子文档交予信息管理中心备案便于监督审核)。

第二十一条 信息化各系统交使用单位验收合格后，必须由信息管理中心和系统拥有部门共同督促系统开发方删除临时测试帐户。

第四章 用户账号及权限审阅

第二十二条 系统拥有部门指定专人负责每季度对系统应用层面账号及权限进行审阅，并填写《信息系统权限清理清单》(附件四)。

第二十三条 信息管理中心指定专人负责每季度对系统层面账号及权限进行审阅，并填写《信息系统权限清理清单》。

第二十四条 员工离职后，账号管理人员及时禁用或删除离职人员所使用的账号。如果离职人员是系统管理员，则及时更改特权账号或超级用户口令。

第五章 用户账号口令管理

第二十五条 用户账号口令发放要严格保密，用户必须及时更改初始口令。

第二十六条 用户账号口令最小长度为6位(系统超级用户、管理员和监督员口令最小长度为8位)，并具有一定复杂度。

第二十七条 用户账号口令必须严格保密，并定期进行更改，密码更新周期不得超过90天。

第二十八条 严禁共享个人用户账号口令。

第六章 附则

第二十九条 本制度与公司相关标准、规范相冲突时，应按照公司相关标准、规范执行。

第三十条 本制度适用于由信息管理中心归口管理的所有系统。

第三十一条 本制度由信息管理中心起草并解释。

第三十二条 本制度从发布之日起施行。

信息系统安全管理制度：人民医院信息系统安全

一、信息系统安全包括:软件安全和硬件网络安全两部分。

二、计算机中心人员必须采取有效的方法和技术，防止信息系统数据的丢失、破坏和失密;硬件破坏、失效等灾难性故障。

三、对系统用户的访问模块、访问权限由使用单位负责人提出，交信息化领导小组核准后，由计算机中心人员给予配置并存档，以后变更必须报批后才能更改，计算机中心做好变更日志存档。

四、系统管理人员应熟悉并严格监督数据库使用权限、用户密码使用情况，定期更换用户口令或密码。网络管理员、系统管理员、操作员调离岗位后一小时内由班组长监督检查更换新的密码;厂方调试人员调试维护完成后一小时内，由系统管理员关闭或修改其所用帐号和密码。

五、计算机中心人员要主动对网络系统实行监控、查询，及时对故障进行有效隔离、排除和恢复工作，以防灾难性网络风暴发生。

六、网络系统所有设备的配置、安装、调试必须由计算机中心人负责，其他人员不得随意拆卸和移动。

七、上网操作人员必须严格遵守计算机及其他相关设备的操作规程，禁止其他人员进行与系统操作无关的工作。

八、严禁自行安装软件，特别是游戏软件，禁止在工作用电脑上打游戏。

九、所有进入网络的软盘、光盘、u盘等其他存贮介质，必须经过计算机中心负责人同意并查毒，未经查毒的存贮介质绝对禁止上网使用，对造成“病毒”蔓延的有关人员，将对照《计算机信息系统处罚条例》进行相应的经济和行政处罚。

十、在医院还没有有效解决网络安全(未安装防火墙、高端杀毒软件、入侵检测系统和堡垒主机)的情况下，内外网独立运行，所有终端内外网不能混接，严禁外网用户通过u盘等存贮介质拷贝文件到内网终端。

十一、内网用户所有文件传递，一律通过网上办公系统和ftp服务器专门的上载、下载区进行，不得利用软盘、光盘和u盘等存贮介质进行拷贝。

十二、保持计算机硬件网络设备清洁卫生，做好防尘、防水、防静电、防磁、防辐射、防鼠等安全工作。

十三、计算机中心人员有权监督和制止一切违反安全管理的行为。

信息系统安全管理制度：电子信息系统安全

为提高公司信息系统的可靠性、稳定性、安全性，降低人为因素导致信息系统失效的可能性，形成良好的信息传递渠道，特制定本规范。

1. 机房管理规范

1.1非工作人员不得进出机房。工作人员出入机房注意锁好房门，未经上级批准，禁止将机房相关钥匙、密码等物品或信息外露给其它人员，同时有责任对信息保密。

1.2机房工作人员必须熟知机房内设备的基本安全操作和规则。定期检查机房的防晒、防水、防潮;检查、整理硬件物理连接线路;定期检查硬件运作状态(如设备指示灯)。不得乱拉乱接电线，应选用安全、有保证的供电、用电器材，严禁随意对设备断电、更改设备供电线路，严禁随意串接、并接、搭接各种供电线路。

1.3机房内禁止吃食物、抽烟、随地吐痰，对于意外或工作过程中弄污地板和其它物品的，必须及时采取措施清理干净;禁止在服务器上进行试验性质的软件调试，禁止在服务器随意安装软件。

1.4机房工作人员必须定期检查软件的运行状况、定期调阅软件运行日志记录，进行数据和软件日志备份，做好硬件设备的维护保养工作。

1.5任何人均不得在服务器、交换设备等核心设备上进行与工作无关的任何操作。未经上级允许，更不允许他人操作机房内部的设备。

2. 计算机操作人员管理规范

2.1计算机操作员应具备计算机基础知识，熟练使用windows、office、长安福特dms系统及常用软件，并对其所使用的计算机软、硬件负有维护保管责任。

2.2任何员工未经授权，不得修改计算机软硬件设置。严禁在工作机共享文件，员工所掌握的工作数据、文件等均属公司所有，严禁拷贝、传播、修改、破坏。凡违反网络操作规程，影响网络运行者罚款100元。

2.3计算机操作人员离开工作区域时应保证重要文件、资料、设备、数据处于安全保护状态;个人的工作文件应随时做好安全存放与备份，不得将个人工作文件存放于“c盘我的文档”。如有问题及时联系系统管理员，与系统管理员一同维护好日常网络的安全运行。

2.4计算机操作人员每次开机确保病毒实时监测程序和黑客防火墙程序的正常运行;日常工作中注意保持计算机等相关设备的清洁，下班时务必关掉所有办公设备的电源。

3. 计算机系统安全性维护

3.1计算机信息系统操作人员不得擅自进行系统软件的删除、拷贝、修改等操作，不得擅自升级、改变系统软件版本或更换系统软件，不得擅自改变软件系统环境配置。

3.2硬件设备的更新、扩充、修复等工作应当由相关人员提出申请，报上级主管负责人审批。未经允许，不得擅自拆装硬件设备。

3.3在使用任何外来的光盘，u盘，移动硬盘等外来媒体的文件前，必须进行杀毒;严禁浏览任何非法网站、黑客网站及不健康的网站，严禁下载带有附件的不明邮件;

3.4系统管理人员负责长安福特dms系统工作权限的设置，员工只能使用自己的工作权限，严禁盗用他人用户名与密码，严格执行工作流程;长安福特dms系统上使用的密码一经启用，不得随意修改、公开，并需在行政部做备份，如需修改须事先告知行政部。

3.5各部门如有计算机操作员人员更替，必须及时通知行政部，系统管理员注销或开设新用户。

3.6系统管理人员须严格管理公司无限网络的使用，接入密码要经常更新，以保证无线网络的安全;

信息系统安全管理制度：内部控制信息系统安全

第一章 总则3

第二章 系统管理人员的职责3

第三章 机房管理制度4

第四章 系统管理员工作细则4

第五章 安全保密管理员工作细则7

第六章 密钥管理员工作细则9

第七章 计算机信息系统应急预案10

第八章 附则10

第一章 总则

第1条依据《中华人民共和国保守国家秘密法》和有关保密规定，为进一步加强中船信息公司计算机信息系统安全保密管理，并结合用户单位的实际情况，制定本制度。

第2条计算机信息系统包括:涉密计算机信息系统和非涉密计算机信息系统。其中，涉密计算机信息系统指以计算机或者计算机网络为主体，按照一定的应用目标和规则构成的处理涉密信息的人机系统。

第3条涉密计算机信息系统的保密工作坚持积极防范、突出重点，既确保国家秘密安全又有利于信息化发展的方针。

第4条涉密计算机信息系统的安全保密工作实行分级保护与分类管理相结合、行政管理与技术防范相结合、防范外部与控制内部相结合的原则。

第5条涉密计算机信息系统的安全保密管理，坚持“谁使用，谁负责”的原则，同时实行主要领导负责制。

第二章 系统管理人员的职责

第6条用户单位的涉密计算机信息系统的管理由用户保密单位负责，具体技术工作由中船信息承担，设置以下安全管理岗位:系统管理员、安全保密管理员、密钥管理员。

第7条系统管理员负责信息系统和网络系统的运行维护管理，主要职责是:信息系统主机的日常运行维护;信息系统的系统安装、备份、维护;信息系统数据库的备份管理; 应用系统访问权限的管理;网络设备的管理;网络的线路保障;网络服务器平台的运行管理，网络病毒入侵防范。

第8条安全保密管理员负责网络信息系统的安全保密技术管理，主要职责是:网络信息安全策略管理;网络信息系统安全检查;涉密计算机的安全管理;网络信息系统的安全审计管理;违规外联的监控。

第9条密钥管理员负责密钥的管理，主要职责是:身份认证系统的管理;密钥的制作;密钥的更换;密钥的销毁。

第10条对涉密计算机信息系统安全管理人员的管理要遵循“从不单独原则”、“责任分散原则”和“最小权限原则”。

第11条新调入或任用涉密岗位的系统管理人员，必须先接受保密教育和网络安全保密知识培训后方可上岗工作。

第12条保密单位负责定期组织系统管理人员进行保密法规知识的宣传教育和培训工作。

第三章 机房管理制度

第13条出入机房要有登记记录。非机房工作人员不得进入机房。外来人员进机房参观需经保密办批准，并有专人陪同。

第14条进入机房人员不得携带任何易燃、易爆、腐蚀性、强电磁、辐射性、流体物质、食品等对设备正常运行构成威胁的物品。严禁在机房内吸烟。严禁在机房内堆放与工作无关的杂物。

第15条机房内不得使用无线通讯设备，禁止拍照和摄影。

第16条各类技术档案、资料由专人妥善保管并定期检查。

第17条机房内应按要求配置足够量的消防器材，并做到三定(定位存放、定期检查、定时更换)。加强防火安全知识教育，做到会使用消防器材。加强电源管理，严禁乱接电线和违章用电。发现火险隐患，及时报告，并采取安全措施。

第18条机房应保持整洁有序，地面清洁。设备要排列整齐，布线要正规，仪表要齐备，工具要到位，资料要齐全。机房的门窗不得随意打开。

第19条每天上班前和下班后对机房做日常巡检，检查机房环境、电源、设备等并做好相应记录(见表一)。

第20条机房大门必须随时关闭上锁。机房钥匙由集团公司保密办管理。

第21条机房门禁磁卡(以下简称门禁卡)由信息中心管理。

第22条门禁卡的发放范围是:系统管理员、安全保密管理员和密钥管理员。

第23条对临时进入机房工作的人员，不再发放门禁卡，在向用户单位保密部门提出申请得到批准后，由安全保密管理员陪同进入机房工作。

第24条门禁卡应妥善保管，不得遗失和互相借用。

第25条门禁卡遗失后，应立即上报信息中心，同时写出书面说明。

第四章 系统管理员工作细则

第一节 系统主机维护管理办法

第26条系统主机由系统管理员负责维护，未经允许任何人不得对系统主机进行操作。

第27条根据系统设计方案和应用系统运行要求进行主机系统安装、调试，建立系统管理员账户，设置管理员密码，建立用户账户，设置系统策略、用户访问权利和资源访问权限，并根据安全风险最小化原则及运行效率最大化原则配置系统主机。

第28条建立系统设备档案(见表二)、包括系统主机详细的技术参数，如:品牌、型号、购买日期、序列号、硬件配置信息、软件配置信息、网络配置信息、系统配置信息，妥善保管系统主机保修卡，在系统主机软硬件信息发生变更时对设备档案进行及时更新。

第29条每周修改系统主机管理员密码，密码长度不得低于八位，要求有数字、字母并区分大小写。

第30条每周通过系统性能分析软件对系统主机进行运行性能分析，并做详细记录(见表四)，根据分析情况对系统主机进行系统优化，包括磁盘碎片整理、系统日志文件清理，系统升级等。

第31条每周对系统日志、系统策略、系统数据进行备份，做详细记录(见表四)。

第32条每天检查系统主机各硬件设备是否正常运行，并做详细记录(见表五)。

第33条每天检查系统主机各应用服务系统是否运行正常，并做详细记录(见表五)。

第34条每周下载安装最新版的系统补丁，对系统主机进行升级，做详细记录(见表四)。

第35条每天记录系统主机运行维护日记，对系统主机运行情况进行总结。

第36条在系统主机发生故障时应及时通知用户，用最短的时间解决故障，保证系统主机尽快正常运行，并对系统故障情况做详细记录(见表六)。

第37条每月对系统主机运行情况进行总结、并写出系统主机运行维护月报，上报保密办。

第二节 信息系统运行维护管理办法

第38条信息系统(办公自动化系统和档案管理系统)的运行维护由系统管理员负责维护，未经允许任何人不得对信息系统进行任何操作。

第39条根据信息系统的设计要求及实施细则安装、调试、配置信息系统，建立信息系统管理员账号，设置管理员密码，密码要求由数字和字母组成，区分大小写，密码长度不得低于8位，。

第40条对信息系统的基本配置信息做详细记录，包括系统配置信息、用户帐户名称，系统安装目录、数据文件存贮目录，在信息系统配置信息发生改变时及时更新记录(见表三)。

第41条每周对信息系统系统数据、用户id文件、系统日志进行备份，并做详细记录(见表四)，备份介质交保密办存档。

第42条当信息系统用户发生增加、减少、变更时，新建用户帐户，新建用户邮箱，需经保密单位审批，并填写系统用户申请单或系统用户变更申请单(见表七)，审批通过后，由系统管理员进行操作，并做详细记录。

第43条根据用户需求设置信息系统各功能模块访问权限，并提交保密办审批。

第44条每天检查信息系统各项应用功能是否运行正常，并做详细记录(见表五)。

第45条在信息系统发生故障时，应及时通知用户，并用最短的时间解决故障，保证信息系统尽快正常运行，并对系统故障情况做详细记录(见表六)。

第46条每天记录信息系统运行维护日志，对信息系统运行情况进行总结。

第47条每月对信息系统运行维护情况进行总结，并写出信息系统维护月报，并上报保密办。

第三节 网络系统运行维护管理办法

第48条网络系统运行维护由系统管理员专人负责，未经允许任何人不得对网络系统进行操作。

第49条根据网络系统设计方案和实施细则安装、调试、配置网络系统，包括交换机配置、路由器配置，建立管理员账号，设置管理员密码，并关闭所有远程管理端口。

第50条建立系统设备档案(见表二)，包括交换机、路由器的品牌、型号、序列号、购买日期、硬件配置信息，详细记录综合布线系统信息配置表，交换机系统配置，路由器系统配置，网络拓扑机构图，vlan划分表，并在系统配置发生变更时及时对设备档案进行更新。

第51条每天检查网络系统设备(交换机、路由器)是否正常运行。

第52条每周对网络系统设备(交换机、路由器)进行清洁。

第53条每周修改网络系统管理员密码。

第54条每周检测网络系统性能，包括数据传输的稳定性、可靠性、传输速率。

第55条网络变更后进行网络系统配置资料备份。

第56条当网络系统发生故障时，应及时通知用户，并在最短的时间内解决问题，保证网络系统尽快正常运行，并对系统故障情况作详细记录(见表六)。

第57条每月对网络系统运行维护情况进行总结，并作出网络系统运行维护月报。

第四节 终端电脑运行维护管理办法

第58条终端电脑的维护由系统管理员负责，未经允许任何人不得对终端电脑进行维护操作。

第59条根据用户应用需求和安全要求安装、调试电脑主机，安装操作系统、应用软件、杀毒软件、技防软件，。

第60条建立系统设备档案(见表二)、包括电脑的品牌、型号、购买日期、序列号、硬件配置信息、软件配置信息、网络配置信息、系统配置信息，在电脑主机软硬件信息发生变更时对设备档案进行及时更新。

第61条在电脑主机发生故障时应及时进行处理，备份用户文件，用最短的时间解决故障，保证电脑主机尽快能够正常运行，并对电脑主机故障情况做详细记录(见表六)，涉及存储介质损坏，直接送交保密办处理。

第五节 网络病毒入侵防范管理办法

第62条网络病毒入侵防护系统由系统管理员专人负责，任何人未经允许不得进行此项操作。

第63条根据网络系统安全设计要求安装、配置瑞星网络病毒防护系统，包括服务器端系统配置和客户机端系统配置，开启客户端防病毒系统的实时监控。

第64条每日监测防病毒系统的系统日志，检测是否有病毒入侵、安全隐患等，对所发现的问题进行及时处理，并做详细记录(见表八)。

第65条每周登陆防病毒公司网站，下载最新的升级文件，对系统进行升级，并作详细记录(见表九)。

第66条每周对网络系统进行全面的病毒查杀，对病毒查杀结果做系统分析，并做详细记录(见表十)。

第67条每日浏览国家计算机病毒应急处理中心网站，了解最新病毒信息发布情况，及时向用户发布病毒预警和预防措施。

第五章 安全保密管理员工作细则

第一节 网络信息安全策略管理办法

第68条网络安全策略管理由安全保密管理员专职负责，未经允许任何人不得进行此项操作。

第69条根据网络信息系统的安全设计要求及主机审计系统数据的分析结果，制定、配置、修改、删除主机审计系统的各项管理策略，并做记录(见表十一)。

第70条根据网络信息系统的安全设计要求制定、配置、修改、删除网络安全评估分析系统的各项管理策略，并做记录(见表十一)。

第71条根据网络信息系统的安全设计要求制定、配置、修改、删除入侵检测系统的各项管理策略，并做记录(见表十一)。

第72条根据网络信息系统的安全设计要求制定、配置、修改、删除、内网主机安全监控与审计系统的各项管理策略，并做记录(见表十一)。

第73条每周对网络信息系统安全管理策略进行数据备份，并作详细记录(见表十二)。

第74条网络信息安全技术防护系统(主机审计系统、漏洞扫描系统、防病毒系统、内网主机安全监控与审计系统)由网络安全保密管理员统一负责安装和卸载。

第二节 网络信息系统安全检查管理办法

第75条网络信息系统安全检查由安全保密管理员专职负责执行，未经允许任何人不得进行此项操作。

第76条每天根据入侵检测系统的系统策略检测、审计系统日志，检查是否有网络攻击、异常操作、不正常数据流量等，对异常情况做及时处理，遇有重大安全问题上报保密办，并做详细记录(见表十三)。

第77条每周登陆入侵检测系统产品网站，下载最新升级文件包，对系统进行更新，并做详细记录(见表十四)。

第78条每月通过漏洞扫描系统对网络系统终端进行安全评估分析，并对扫描结果进行分析，及时对终端系统漏洞及安全隐患进行处理，作详细记录(见表十五)，并将安全评估分析报告上报保密办。

第79条每周登录全评估产品网站，下载最新升级文件包，对系统进行更新，并作详细记录(见表十六)。

第80条每周备份入侵检测系统和漏洞扫描系统的审计信息，并作详细记录(见表十七)。

第三节 涉密计算机安全管理办法

第81条涉密计算机安全管理由安全保密管理员专人负责，未经允许任何人不得进行此项操作。

第82条根据网络系统安全设计要求制定、修改、删除涉密计算机安全审计策略，包括打印控制策略、外设输入输出控制策略、应用程序控制策略，并做记录。

第83条每日对涉密计算机进行安全审计，及时处理安全问题，并做详细记录(见表十八)，遇有重大问题上报保密部门。

第84条涉密计算机的新增、变更、淘汰需经保密部门审批，审批通过后由安全保密管理员统一进行操作，并做详细记录(见表十八)。

第85条新增涉密计算机联入涉密网络，需经保密办审批，由安全保密管理员统一进行操作，并做详细记录(见表十八)。

第四节 安全审计管理办法

第86条网络信息安全审计系统由安全保密管理员负责，未经允许任何人不得进行此项操作。

第87条根据网络系统主机安全设计要求安装、配置、管理主机安全审计系统，制定审计规则，包括系统运行状态、用户登录信息，网络文件共享操作等。

第88条每日查看安全审计系统信息，对审计结果进行分析整理，及时处理所发生的设备安全问题，并做详细记录(见表十九)。

第89条每周备份设备安全审计系统审计信息，并做详细记录(见表二十)。

第90条每月对主机安全审计系统记录信息进行分析总结，并向保密部门提交分析报告。

第五节 违规联接管理办法

第91条违规外联管理系统(北信源安全补丁管理软件)由安全保密管理员负责，未经允许任何人不得进行此项操作。

第92条根据网络信息系统安全管理要求安装、配置违规外联管理系统策略，包括联网涉密电脑，单机涉密电脑，便携式涉密电脑。

第93条每日检查违规外联系统审计信息，查看联网涉密电脑是否有违规外联操作。

第94条每月检查单机涉密电脑、便携式电脑是否有违规外联操作。

第95条每三个月协助保密办进行所有涉密电脑巡检，检查是否存在违规外联操作，并做详细记录。

第96条每日通过违规外联系统检查网络系统是否有非法主机联入，并做详细记录。

第六章 密钥管理员工作细则

第97条身份认证系统由密钥管理员专人负责，未经允许任何人不得进行此项操作。

第98条每日检查身份认证系统是否正常运行。

第99条负责向用户单位派发安全钥匙，用户需填写审批表，并提交保密部门审批(见表二十一)。

第100条根据用户需求，见保密部门审批单要求，制作、修改、注销证书(见表七)。

第101条负责为每台计算机安装主机登录系统。

第102条负责主机登录系统、身份认证系统的系统维护。

第七章 计算机信息系统应急预案

第103条系统管理人员参与制定各种意外事件处置预案，并具体执行，包括火灾、停电、设备故障等，每年进行预案演练。

第104条遇到火灾应根据火情采取以下措施:

1.如火情较轻时，应立即切断机房总电源，并迅速用消防器材，力争把火扑灭、控制在初期阶段，同时上报集团保卫部门。

2.如火情严重应迅速拨打报警电话“119”，同时通知集团保卫部门，听从消防工作人员的现场指挥，协助处理有关事项。

第105条如遇机房突发性停电，应迅速通知用户，同时关闭设备电源，来电后，及时通知用户，并检测设备是否正常运行。

第106条系统出现灾难性故障时，系统管理员应立刻通知部门主管，制定详细的系统恢复方案。

第107条遇紧急情况，值班员应立即通知保密办和系统管理员，保持24小时通讯畅通，随时处理紧急事件。

第108条线路故障应立即拨打线路故障电话“112”，同时上报部门主管，协助电信部门查找故障原因，尽快使线路恢复正常。

第八章 附则

第109条本管理制度自发布之日起执行，未尽事宜以用户单位的《保密工作管理实施办法》为准。

第110条本制度每年度审订一次，本制度所有表格请见附录。

信息系统安全管理制度：公共安全图像信息系统管理办法

第一条 为了规范本市公共安全图像信息系统的建设和管理，提高预防和处置突发公共事件的能力，保障公共安全，保护公民的合法权益，制定本办法。

第二条 本办法适用于本市行政区域内公共安全图像信息系统的建设和管理。

第三条 本办法所称的公共安全图像信息系统，是指利用图像采集设备和其他相关设备对涉及公共安全的区域进行信息记录的视频系统。

第四条 市人民政府有关部门和区、县人民政府负责本行业、本系统、本地区公共安全图像信息系统建设的组织实施，并协助做好公共安全图像信息系统使用、维护等方面的监督管理工作。

市和区、县公安机关负责公共安全图像信息系统建设、使用、维护的日常监督管理工作。

第五条 下列单位和区域，应当安装公共安全图像信息系统:

(一)党政机关、国家机关所在地，广播电台、电视台，电信、邮政、金融、服务单位，博物馆、档案馆、重点文物保护单位，危险物品生产、销售、存放场所等重要单位;

(二)宾馆、饭店、商场、医院、学校、幼儿园、文化娱乐场所，举办体育赛事的场馆、场地，住宅区、停车场等人员聚集的公共场所;

(三)重点道路、路段和主要交通路口，地下通道、过街天桥，机场、火车站、地铁和城铁车站，公共电汽车的重要交通枢纽等;

(四)城市供排水、电力、燃气、热力设施，城市河湖及其他重要水务工程等重要城市基础设施;

(五)国家法律、法规规定的其他地点和区域。

公共安全图像信息系统建设的市级主管部门可以根据需要确定其他应当安装公共安全图像信息系统的区域，报市人民政府批准。

第六条 单位按照本办法规定自建公共安全图像信息系统，应当符合政府的统一规划和要求，不得采集本单位范围以外的公共区域的图像信息。

第七条 交通道路、广场等公共场所公共安全图像信息系统的建设由政府负责，其他任何单位和个人不得在该区域设置公共安全图像信息系统。

第八条 公共安全图像信息系统的建设，应当符合国家和本市的技术规范和标准。

市质量技术监督、信息化主管部门和公安机关共同制定本市公共安全图像信息系统的技术规范和标准，公共图像信息系统应当具有采集、录像、传输等功能。

第九条 设置公共安全图像信息系统，不得侵犯公民个人隐私;对涉及公民个人隐私的图像信息，应当采取保密措施。

涉及国家秘密、商业秘密的公共安全图像信息系统的建设，按照国家有关规定执行。

第十条 新建、改建、扩建建设项目应当安装公共安全图像信息系统的，公共安全图像信息系统应当与项目主体工程同步规划、同步建设、同时投入使用。

第十一条 公共安全图像信息系统的使用单位，应当自系统竣工验收合格之日起30日内，将公共安全图像信息系统的建设情况按照保卫隶属关系向市或者区、县公安机关备案;没有保卫隶属关系的，向本单位所在地的区、县公安机关备案。

本办法施行前已经建成的公共安全图像信息系统的使用单位应当自本办法施行之日起30日内，将公共安全图像信息系统的建设情况按照前款规定向公安机关备案。

第十二条 公共安全图像信息系统的使用单位，应当采取下列措施，保证公共安全图像信息系统安全运行:

(一)对与公共安全图像信息系统密切接触的人员进行岗位技能和保密知识的培训;

(二)建立安全检查、运行维护、应急处理等制度;

(三)保持图像信息画面清晰，保证系统正常运行;

(四)不得擅自改变公共安全图像信息系统的用途和摄像设备的位置。

使用单位委托其他单位运营、维护、管理公共安全图像信息系统的，双方应当明确保证系统安全运行的责任。

第十三条 公共安全图像信息系统的使用单位，应当建立、健全图像信息安全管理制度，遵守下列规定:

(一)建立值班监看制度，发现涉及公共安全的可疑信息及时向公安机关报告;

(二)建立图像信息使用登记制度，对图像信息的录制人员、调取时间、调取用途等事项进行登记;

(三)按照规定期限留存图像信息，不得擅自删改、破坏留存期限内图像信息的原始数据记录。

第十四条 负责图像信息监看的工作人员，应当遵守各项图像信息安全管理制度，坚守岗位，爱护仪器设备，保守秘密。

与图像信息监看工作无关的人员不得擅自进入监看场所。留存的图像信息除按照本办法的规定使用外，任何人不得擅自查阅、复制、提供、传播。

第十五条 在公共场所设置公共安全图像信息系统，应当设置标识。

第十六条 发生社会治安、自然灾害、事故灾难、公共卫生等突发公共事件时，具有突发公共事件调查、处置权的政府有关主管部门有权查看、调取、复制图像信息，有关单位应当予以配合。

第十七条 政府有关主管部门工作人员查看、调取、复制图像信息时，应当遵守下列规定:

(一)工作人员不得少于二人;

(二)出示工作证件和证明文件;

(三)填写查看、调取、复制图像信息情况登记表;

(四)遵守图像信息的使用、保密制度，不得擅自提供、传播图像信息，对涉及国家秘密、商业秘密和公民个人隐私的图像信息予以保密。

第十八条 公安机关应当对公共安全图像信息系统的日常使用、维护情况进行监督检查，发现问题督促相关单位及时整改;必要时，质量技术监督、信息化主管部门在技术检测等方面应当予以协助。

第十九条 违反本办法的规定，应当建设公共安全图像信息系统不建设或者不按照规范和标准建设的，由公安机关责令限期整改并予以警告;逾期不整改或者整改不合格的，对单位处1万元以上3万元以下的罚款，对单位主要负责人、直接责任人员分别处500元以上1000元以下的罚款。

第二十条 违反本办法第六条的规定，单位设置公共安全图像信息系统擅自采集本单位范围以外的公共区域的图像信息的，由公安机关责令改正，并对单位处1万元以上3万元以下的罚款，对单位主要负责人、直接责任人员分别处500元以上1000元以下的罚款。

第二十一条 违反本办法第七条的规定，擅自在公共场所设置公共安全图像信息系统，由公安机关责令拆除;单位设置的，对单位处1万元以上3万元以下的罚款，对单位主要负责人、直接责任人员分别处500元以上1000元以下的罚款;个人设置的，对个人处500元以上1000元以下的罚款。

第二十二条 违反本办法第十一条的规定，不遵守备案制度的，由公安机关责令改正，并对单位处1000元以上1万元以下的罚款，对单位主要负责人、直接责任人员分别处500元以下的罚款。

第二十三条 违反本办法第十二条的规定，未采取保障图像信息系统运行安全管理措施，影响系统安全运行的，由公安机关责令限期整改，可以对单位并处1000元以上1万元以下的罚款，对单位主要负责人、直接责任人员分别处500元以下的罚款;逾期不整改或者整改不合格的，对单位处1万元以上3万元以下的罚款，对单位主要负责人、直接责任人员分别处500元以上1000元以下的罚款。

第二十四条 违反本办法第十三条、第十四条的规定，未建立、健全或者违反图像信息安全管理制度，以及擅自查阅、复制、提供、传播图像信息的，由公安机关对单位处1万元以上3万元以下的罚款，对单位主要负责人、直接责任人员分别处500元以上1000元以下的罚款;构成违反治安管理行为的，由公安机关依法处罚;构成犯罪的，依法追究刑事责任。

第二十五条 违反本办法第十六条的规定，拒不提供图像信息的，由公安机关对单位处1万元以上3万元以下的罚款，对单位主要负责人、直接责任人员分别处500元以上1000元以下的罚款;构成违反治安管理行为的，由公安机关依法处罚;构成犯罪的，依法追究刑事责任。

第二十六条 违反本办法第十七条的规定，政府有关主管部门的工作人员查看、调取、复制图像信息时违反相关管理制度，由主管部门追究其行政责任。构成犯罪的，依法追究刑事责任。

第二十七条 本办法自____年4月1日起施行。

信息系统安全管理制度：信息系统反恐安全

1. 目的

为了防止信息系统安全，满足c-tpat的相关要求。

2. 适用范围

涉及的计算机设备，包括计算机室计算机设备及计算机室负责安装在其它部门或单位的计算机设备。

3.定义 无

4.职责:

4.1由专业人员负责所有微机的检测和清理工作。

4.2由计算机室的专业人员，根据上述作业计划进行检测。

4.3由经理负责对防范措施的落实情况进行监督。

5.工作程序

5.1信息系统安全管理的要求:

5.1.1一般工作部不安装软驱和光驱，如有安装软驱和光驱的计算机，每次使用磁盘都要用杀毒软件检查。

5.1.2对于联网的计算器，任何人在未经批准的情况下，不得向计算器内拷入软件或文檔。

5.1.3数据的备份由相关专业负责人管理是，备份用的软盘由专业负责人提供。

5.1.4软盘光盘等在使用前，必须确保无病毒。

5.1.5计算器一经发现病毒，应立即通知计算机室专业人员处理。

5.1.6工操作员在离开前应退出系统并关机。

5.1.7任何人未经操作员本人同意，不得使用他人的计算机。

5.2装有软驱的微机一律不得入网;对于尚未联网计算机，其软件的安装由计算机室负责、任何微机需安装软件时，由相关人员负责人提出书面报告，经经理同意后，由计算机室负责安装;软件出现异常时，应通知计算机室专业人员处理;所有微机不得安装游戏软件;数据的备份由相关专业负责人管理，备份用的软盘由专业负责人提供。

5.3硬件维护人员在拆卸微机时，必须采取必要的防静电措施;硬件维护人员在作业完成后或准备离去时，必须将所拆卸的设备复原;要求各专业负责人认真落实所辖微机及配套设备的使用的保养责任;要求各专业负责人采取必要措施，确保所用的微机及外设始终处于整洁和良好的状态;所有带锁的微机，在使用完毕或离去前必须上锁;对于关键的计算机设备应配备必要的断电保护电源。

5.4各单位所辖微机的使用、清洗和保养工作，由相应专业负责人负责;各专业负责人必须经常检查所辖微机及外设的状况，及时发现和解决问题。

5.5由于计算机设备已逐步成为我们工作中必不可少的重要工作。因此，计算机部决定将计算机的管理纳入对各专业负责人的考核范围，并将严格实行。

5.5.1凡是发现以下情况的，计算机部根据实际情况追究当事人及其直接领导的责任。

a. 计算机感染病毒

b. 私自安装和使用未经许可的软件(含游戏)

c. 微机具有密码功能却未使用;

d. 离开微机却未退出系统或关机;

e. 擅自使用他人微机或外造成不良影响或损失;

f. 没有及时检查或清洁计算机及相关外设。

5.5.2凡发现由于以下作业而造成硬件的损坏或丢失的，其损失由当事人负责。

a. 违章作业

b. 保管不当擅自安装、使用硬件、和电气装置。

5.6 员工的电子邮件可能会为企业网络带来好几种漏洞，例如收到不请自来的邮件却毫无警惕便直接打开其附件，或是未对附件文件扫描是否有病毒藏匿其中便直接开启文件等等。此外，企业若不主动将新的病毒库派送到员工的计算机上，强制施行公司制定的政策，而是安全信任员工随意更新自己计算机上的病毒库，那么就算员工每次都很谨慎扫描文件，确定没有病毒后才打开文件，仍然有被病毒感染的风险。更有甚者，若是放任不当的电子邮件、色情或其它具有攻击性的内容在办公室到处流窜，企业更有可能会面临法律上的种种问题。

5.7密码是大部份企业的主要弱点，因为人们了节省时间，常常会共享或选择简单的密码。密码若不够复杂，便很容易被别人猜测到并用来取得机密资料。其实

网络安全的弱点还在于不是只有使用者有密码而已，若态度不够 谨慎，只要稍微运用一下手碗便可让他们吐露出来，例如通过电话或电子邮件假装一下，通常就能把员工的密码骗到手。

5.8完全不知道如何防范各式各样的安全漏洞。例如通过社交手段套取等等，便会使得企业门户大开，容易受到各种攻击。未受到正确训练或不满意工作的员工，更可能把企业独家或敏感资料泄露给竞争对手等不应该接触的这些资料的人。

5.9企业应决定由谁负责主导政策的制定与执行，人事部门则应在员工的新进训练时以书面告知公司的政策，待员工同意后要求其签名确认已了解并愿意遵守公司相关规定，之后必须严格执行规定，绝对不能有例外。公司颂的政策内，应明确制定违反规定的处罚细则。一般而言，安全系统与网络管理人员应该建构安全防护机制，成立紧急应变小姐以应会可能发生的漏洞，并与人事部门密切合作，随时报告可疑的状况。

5.10网络的维护

5.10.1设立网际网络使用规范，让员工了解公司对员工个人使用电子邮件与计算机的规定。此外，明确的网络的使用规范可提高it人员设定与监视网络安全方案的效率。

5.10.2采及能够扫描邮件是否含有不适当内容的技术，并记录违反公司管制规定的网络行为。

5.10.3法律专家认为，监视员工的电子邮件与网络行为在公司而对法律诉讼时，有利于保护公司本身，因此企业应当设立使用规范，并采用内容监视机制，保护员工不受任何骚扰。

5.10.4训练员工了解如何应该及时下载最新的防毒更新资料，如何辨认电脑是否有可能中毒，并教导员工如何开启档案之前扫描档案是否有病毒。

5.10.5修补软件的漏洞，降低病毒透过网面或电子邮件渗入企业网络的机会。

制定密码使用规范，要求员工经常更换密码，并教育员工防范社交欺骗手段，要求他们无论如何都不可以交出密码。

5.10.6审查每个员工是否须接触机密资料，并严格限制机密资料，并严格限制机密资料只开于工作上绝对需要的员工使用。

5.10.7警告员工下载免费软件等各种程序可能引起的危险。

6. 相关文件

无

7、相关记录