信息系统安全管理DOC

1、信息系统安全管理DOC控制目标2、1确保公司网络系统、计算机以及计算机相关设备的高 效、安全使用2、2确保数据库、日志文件和重要商业信息的安全3主要控 制点3、1信息技术部经理和公司主管副总经理分别审批信息系统 访问权限设置方案、数据备份及突发事件处理政策和其它信息系 统安全政策的合理性和可行性3、2对终端用户进行网络使用情况的监测4特定政策4、1每年更新公司的信息系统安全政策4、2每年信息技术部应配合公司人力资源部及其它各部门， 核定各岗位的信息设备配置，并制定公司的计算机及网络使用规 定4、3当员工岗位发生变动，需要更改员工的邮件帐号属性、 服务器存储空间大小和文件读写权限时，信息技术部必

2、须在一天 内完成并发送邮件或电话通知用户4、4对于信息系统（主要为服务器）的安全管理，应有两名 技术人员能够完成日常故障处理以及设置、安装操作，但仅有一 名技术人员掌握系统密码，若该名技术人员外出，须将密码转告 另外一名技术人员，事后应修改密码，两人不能同时外出，交接 时应做好记录4、5普通事件警告是指未对信息系统安全构成危害、而仅对 终端系统或局部网络安全造成危害，或者危害已经产生但没有继 续扩散的事件，如对使用的终端和网络设备未经同意私自设置权 限等；严重事件警告是指对信息系统安全构成威胁的事件，如试 图使病毒（木马、后门程序等）在网络中扩散、攻击服务器、改 变网络设备设置场所的设置状态、

3、编制非法软件在网络系统中试 运行等；特殊事件是指来自公司网络外部的恶意攻击，如由外部 人员使用不当造成或其它自然突发事件引起。事件鉴定小组由相 关的网络工程师、终端设备维护工程师和应用系统程序员等相关 人员组成5信息系统安全管理流程C-14-04-001步骤涉及部门步 骤说明1信息技术部网络工程师、终端设备维护工程师根据国际 和国家信息系统安全的有关法律、法规的规定及信息技术行业的 行业安全标准，并结合公司有关商业保密的规定，制定公司的信 息系统安全政策，包括信息系统访问权限设置方案、数据备份及 突发事件处理政策、病毒防治等信息系统安全政策2信息技术部 经理审核公司信息系统的各种安全政策规定，

4、保证符合公司信息 管理的安全要求和商业机密信息的管理要求，若通过，上报主管 副总审批，若不通过，指出修改意见，责成相关人员进行修改3 公司主管副总审核公司信息系统的各种安全政策规定，若通过， 下发具体执行，若不通过，指出修改意见，责成相关人员进行修 改4人力资源部劳动用工管理员根据公司计算机及网络设备使用 的有关规定，在公司发生新员工入厂、员工调动和岗位变动等情 况时，编制新员工或员工变动状况一览表5信息技术部网络工程 师、终端设备维护工程师根据人力资源部提供的一览表，结合公 司计算机及网络设备的使用规定，确定各岗位的计算机资源的配 置和系统访问权限6信息技术部网络工程师、终端设备维护工程 师对各个网络用户及计算机设备的使用过程进行监测，同时督促 各个终端用户定时对关键数据进行备份7信息技术部网络工程 师、终端设备维护工程师根据公司的信息系统安全政策，选择建 立各项软硬件的安全措施，包括病毒防治软件、防火墙技术等， 并在网络上安置必要的预警装置；定期在公司范围内发布病毒防 治的数据资料，并提供病毒库升级下载文档8信息技术部网络工 程师、终端设备维护工程师当发生安全预警时，根据警报的性 质，按照突发事件的处理规程采取必要的处理措施，并在1小时 内将情况汇报至信息技术部经理8、1信息技术部经理根据警报的性质判断紧急级别，视情况 上报公司主管副总，采取补救措施，记录事故档