安全管理标准体系建设专项方案.doc

安全管理体系建设方案沈阳赛宝科技服务有限公7月19日目 录1概述11.1简介11.2目的12安全管理体系框架图23安全管理制度体系23.1安全方针政策23.2安全管理制度23.3技术原则、规范33.4流程、表单及记录41 概述1.1 简介安全管理体系建设包括：安全管理制度、安全管理机构、人员安全管理、系统建设安全管理和系统运维安全管理等各个方面，根据有关安全准则，结合公司自身及网络系统构成特点，拟定详细各方面制度。1.2 目的安全管理机构：涉及职能部门岗位设立；系统管理员、网络管理员、安全管理员人员配备；授权和审批；管理人员、内部机构和职能部门间沟通和合伙；定期安全审核和安全检查。安全管理制度：涉及安全方略、安全制度、操作规程等管理制度；管理制度制定和发布；管理制度评审和修订。人员安全管理：涉及人员录取；人员离岗；人员考核；安全意识教诲和培训；外部人员访问管理。系统建设管理：涉及系统定级；安全方案设计；产品采购和使用；自行软件开发；外包软件开发；工程实行；测实验收；系统交付；系统备案；级别测评；安全服务商选取。系统运维管理：涉及机房环境管理；信息资产管理；介质管理；设备管理；监控管理和安全管理中心；网络安全管理；系统安全管理；恶意代码防范管理；密码管理；变更管理；备份与恢复管理；安全事件处置；应急预案管理。2 安全管理体系框架图安全管理制度体系层次图：3 安全管理制度体系3.1 安全方针政策最高方针，大纲性安全方略主文档，陈述本方略目、合用范畴、信息安全管理意图、支持目的以及指引原则，信息安全各个方面所应遵守原则办法和指引性方略。3.2 安全管理制度各类管理规定、管理办法和暂行规定。从安全方略主文档中规定安全各个方面所应遵守原则办法和指引性方略引出详细管理规定、管理办法和实行办法，是必要具备可操作性，并且必要得到有效履行和实行。安全管理制度规定见下图，在建立制度时候可以参照：3.3 技术原则、规范技术原则和规范是针对详细管理行为进行规范化操作流程规定，涉及各个安全级别区域网络设备、主机操作系统和重要应用程序应遵守安全配备和管理技术原则和规范。技术原则和规范将作为各个网络设备、主机操作系统和应用程序安装、配备、采购、项目评审、寻常安全管理和维护时必要遵循原则，不容许发生违背和冲突。例如制度及规范类文档如下：表1管理制度及规范文档序号管理制度及规范文档1机构总体安全方针和政策方面管理制度2安全管理活动中各类管理内容有关管理制度3部门设立、岗位设立及工作职责定义方面管理制度4授权审批、审批流程等方面管理制度5与外联单位、供应商等合伙有关管理制度6安全审核和安全检查方面管理制度7管理制度、操作规程修订、维护方面管理制度8人员录取、离岗、考核等方面管理制度9人员安全教诲和培训方面管理制度10人员订立保密合同有关管理制度11第三方人员访问控制方面管理制度12工程实行过程方面管理制度13安全方案设计有关管理制度14产品选型、采购方面管理制度15软件外包开发或自我开发方面管理制度16测试、验收方面管理制度17系统交付有关管理制度18机房安全管理方面管理制度19办公环境安全管理方面管理制度20资产、设备、介质安全管理方面管理制度21信息分类、标记、发布、使用方面管理制度22配套设施、软硬件维护方面管理制度23网络安全管理（网络配备、账号管理等）方面管理制度24系统安全管理（系统配备、账号管理）方面管理制度25系统监控、风险评估、漏洞扫描方面管理制度26病毒防范方面管理制度27系统变更控制方面管理制度28密码管理方面管理制度29备份和恢复方面管理制度30安全事件报告和处置方面管理制度31应急响应办法、应急响应筹划等方面文献32其她文档3.4 流程、表单及记录安全流程和操作规程，详细规定重要业务应用和事件解决流程、环节和有关注意事项。作为详细工作时详细依照，此某些必要具备可操作性，并且必要得到有效履行和实行。安全表单及记录，贯彻安全流程和操作规程详细体现，依照不同信息系统规定可以通过不同方式表单及记录贯彻，并在寻常工作中详细执行。重要涉及寻常操作记录、工作记录、流转记录以及审批记录等。可分为记录类文档和证据类文档如下表：表2 记录类文档序号记录类文档1机房出入登记记录（涉及第三方人员）2机房基本设施维护记录3各类会议纪要或记录（部门内、部门间协调会、领导小组）4各类评审和修订记录（安全管理制度评审和修订记录、体系评审记录等）5人员考核、审查、培训记录（人员录取、人员定期考核）、离岗手续6人员安全教诲有关记录7各项审批和批准执行记录（来访人员进入机房审批、介质/设备外带审批、系统外联审批等）8安全管理制度收发登记记录9产品选型测试成果记录10系统验收测试记录、报告11介质归档、查询等登记记录12主机系统、网络、安全设备等操作日记和维护记录13机房寻常巡检记录14对主机、网络设备和应用软件等监控记录和分析报告15恶意代码检测、升级记录和分析报告16备份过程记录17变更方案评审记录和变更过程记录18安全事件解决过程记录19应急预案培训、演习、审查记录20其她记录文档21机房防雷检测报告22设备外出维修记录23外来人员审批记录24其她文档表3证据类文档序号证据类文档1资产清单2机构安全管理人员岗位名单3外联单位联系列表4人员保密合同5核心岗位安全合同6候选产品名单7信息系统定级报告或定级建议书8系统备案材料9近期和远期安全建设工作筹划、总体建设规划书表3 证据类文档（续）序号证据类文档1详细设计方案2系统建设项目工程实行方案3系统验收测试方案4系统测试、验收报告5系统交付清单6变更方案7变更申请书8信息系统定期安全检测检查表和安全检查报告9重要设备漏洞扫描报告10系统异常行为审计分析报告11机房安全设计和验收方面文档12应急预案管理应急预案方案应急预案培训应急预案演习13总体安全方略等配套文献专家论证文档14与安全服务商或外包开发商订立服务合同和安全合同15软件开发设计和顾客指南等有关文档（目录体系框架或互换原形系统）、软件测试报告