安全系统管理系统体系建设方案设计.doc

《安全系统管理系统体系建设方案设计.doc》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、安全管理体系建设方案赛宝科技服务有限公2018年7月19日目录1概述11.1简介11.2目标12安全管理体系框架图23安全管理制度体系23.1安全方针政策23.2安全管理制度23.3技术标准、规33.4流程、表单及记录41概述1.1简介安全管理体系建设包含：安全管理制度、安全管理机构、人员安全管理、系统建设安全管理和系统运维安全管理等各个方面，依据相关的安全准则，结合企业自身及网络系统的构成特点，确定具体的各方面的制度。1.2目标安全管理机构：包括职能部门岗位设置；系统管理员、网络管理员、安全管理员的人员配备；授权和审批；管理人员、部机构和职能部门间的沟通和

2、合作；定期的安全审核和安全检查。安全管理制度：包括安全策略、安全制度、操作规程等的管理制度；管理制度的制定和发布；管理制度的评审和修订。人员安全管理：包括人员录用；人员离岗；人员考核；安全意识教育和培训；外部人员访问管理。系统建设管理：包括系统定级；安全方案设计；产品采购和使用；自行软件开发；外包软件开发；工程实施；测试验收；系统交付；系统备案；等级测评；安全服务商选择。系统运维管理：包括机房环境管理；信息资产管理；介质管理；设备管理；监控管理和安全管理中心；网络安全管理；系统安全管理；恶意代码防管理；密码管理；变更管理；备份与恢复管理；安全事件处置；应急预

3、案管理。1安全管理体系框架图安全管理制度体系层次图：2安全管理制度体系2.1安全方针政策最高方针，纲领性的安全策略主文档，述本策略的目的、适用围、信息安全的管理意图、支持目标以及指导原则，信息安全各个方面所应遵守的原则方法和指导性策略。2.2安全管理制度各类管理规定、管理办法和暂行规定。从安全策略主文档中规定的安全各个方面所应遵守的原则方法和指导性策略引出的具体管理规定、管理办法和实施办法，是必须具有可操作性，而且必须得到有效推行和实施的。安全管理制度要求见下图，在建立制度的时候可以参考：1.1技术标准、规技术标准和规是针对具体管理行为进行规化操作流程的规定

4、，包括各个安全等级区域网络设备、主机操作系统和主要应用程序的应遵守的安全配置和管理的技术标准和规。技术标准和规将作为各个网络设备、主机操作系统和应用程序的安装、配置、采购、项目评审、日常安全管理和维护时必须遵照的标准，不允许发生违背和冲突。例如制度及规类文档如下：表1管理制度及规文档序号管理制度及规文档1机构总体安全方针和政策方面的管理制度2安全管理活动中的各类管理容的相关管理制度3部门设置、岗位设置及工作职责定义方面的管理制度4授权审批、审批流程等方面的管理制度5与外联单位、供应商等合作相关管理制度6安全审核和安全检查方面的管理制度7管理制度、操作规程修订

5、、维护方面的管理制度8人员录用、离岗、考核等方面的管理制度9人员安全教育和培训方面的管理制度10人员签署协议相关管理制度1第三方人员访问控制方面的管理制度2工程实施过程方面的管理制度3安全方案设计相关管理制度4产品选型、采购方面的管理制度5软件外包开发或自我开发方面的管理制度6测试、验收方面的管理制度7系统交付相关管理制度8机房安全管理方面的管理制度9办公环境安全管理方面的管理制度10资产、设备、介质安全管理方面的管理制度11信息分类、标识、发布、使用方面的管理制度12配套设施、软硬件维护方面的管理制度13网络安全管理（网络配置、账号管理等）方面的管理制度1

6、4系统安全管理（系统配置、账号管理）方面的管理制度15系统监控、风险评估、漏洞扫描方面的管理制度16病毒防方面的管理制度17系统变更控制方面的管理制度18密码管理方面的管理制度19备份和恢复方面的管理制度20安全事件报告和处置方面的管理制度21应急响应方法、应急响应计划等方面的文件22其他文档1.1流程、表单及记录安全流程和操作规程，详细规定主要业务应用和事件处理的流程、步骤和相关注意事项。作为具体工作时的具体依照，此部分必须具有可操作性，而且必须得到有效推行和实施的。安全表单及记录，落实安全流程和操作规程的具体表现，根据不同信息系统的要求可以通过不同方式的

7、表单及记录落实，并在日常工作中具体执行。主要包括日常操作的记录、工作记录、流转记录以及审批记录等。可分为记录类文档和证据类文档如下表：表2记录类文档序号记录类文档1机房出入登记记录（包括第三方人员）2机房基础设施维护记录3各类会议纪要或记录（部门、部门间协调会、领导小组）4各类评审和修订记录（安全管理制度评审和修订记录、体系评审记录等）5人员考核、审查、培训记录（人员录用、人员定期考核）、离岗手续6人员安全教育相关记录7各项审批和批准执行记录（来访人员进入机房审批、介质/设备外带审批、系统外联审批等）8安全管理制度收发登记记录9产品的选型测试结果记录10系统

8、验收测试记录、报告11介质归档、查询等的登记记录12