医院信息安全建设方案设计

范文范例指导学习word版本整理分享范文范例指导学习***医院信息安全建设方案■文档编号 ■密级 ■版本编号V1.0 ■日期 word版本整理分享 范文范例指导学习©2022目录一.概述91.1项目背景91.2建设目标101.3建设内容111.4建设必要性11二.安全建设思路122.1等级保护建设流程122.2参考标准14安全现状分析15网络架构分析15系统定级情况16安全需求分析17 word版本整理分享4.1等级保护技术要求分析17物理层安全需求17网络层安全需求18系统层安全需求18应用层安全需求19数据层安全需求204.2等级保护管理要求分析21安全管理制度21安全管理机构21人员安全管理22系统建设管理22系统运维管理23总体设计思路25设计目标25设计原则25合规性原则25先进性原则26可靠性原则26可扩展性原则26开放兼容性原则26最小授权原则27范文范例指导学习范文范例指导学习word版本整理分享word版本整理分享范文范例指导学习word版本整理分享经济性原则27整改建议27物理安全27网络安全28主机安全31业务系统主机31数据库主机336.4应用安全35HIS系统（三级）35LIS系统（三级）37PACS系统（三级）40EMR系统（三级）42集中平台（三级）44门户网站系统（二级）47数据安全与备份恢复49安全管理制度50安全管理机构50人员安全管理51系统建设管理52系统运维管理53总体设计网络拓扑56设计拓扑图56推荐安全产品目录58技术体系建设方案608.1外网安全建设60抗DDos攻击：ADS抗DDos系统60边界访问控制：下一代防火墙NF62网络入侵防范：网络入侵防御系统NIPS66上网行为管理：SAS68APT攻击防护：威胁分析系统TAC70Web应用防护：web应用防火墙758.2内外网隔离建设808.2.1解决方案818.3内网安全建设84边界防御：下一代防火墙NF84入侵防御85防病毒网关86APT攻击防护908.4运维管理建设91运维安全审计：堡垒机91流量审计：网络安全审计-SAS93漏洞扫描：安全评估系统RSAS99基线核查：配置核查系统BVS101威胁态势感知104终端安全108数据库审计及统方监管112终端准入115日志审计建设126TOC\o"1-2"\h\z\u\h8.5安全服务 word版本整理分享网络流量分析带宽的网络流量分析。复杂的网络系统中不同的应用需占用不同的带宽，重要的应用是否得到了最佳的带宽？所占比例是多少？队列设置和网络优化是否生效？通过基于带宽的网络流量分析会使其更加明确。采用监控网络链路流量负载的工具软件，通过SNMP协议从设备得到设备的流量信息，并将流量负载以包含PNG格式的图形的HTML文档方式显示给用户，以非常直观的形式显示流量负载。网络协议流量分析。对网络流量进行协议划分，针对不同的协议进行流量监控和分析,如果某一个协议在一个时间段内出现超常流量暴涨，就有可能是攻击流量或有蠕虫病毒出现。例如：CiscoNetFlowV5可以根据不同的协议对网络流量进行划分，对不同协议流量进行分别汇总。基于网段的业务流量分析。流量分析系统可以针对不同的VLAN来进行网络流量监控，大多数组织都是基于不同的业务系统通过VLAN来进行逻辑隔离的，所以可以通过流量分析系统针对不同的VLAN来对不同的业务系统的业务流量进行监控。例如：CiscoNetFlowV5可以针对不同的VLAN进行流量监控。网络异常流量分析。异常流量分析系统支持异常流量发现和报警，能够通过对一个时间窗内历史数据的自动学习，获取包括总体网络流量水平、流量波动、流量跳变等在内的多种网络流量测度，并自动建立当前流量的置信度区间作为流量异常监测的基础。通过积极主动鉴定和防止针对网络的安全威胁，保证了服务水平协议(SLA)并且改进顾客服务，从而为组织节约成本。网络设备安全安全配置是否合理，路由、交换、防火、IDS等网络设备及网络安全产品的不必要的服务、端口、协议是否关闭，网络设备的安全漏洞及其脆弱的安全配置方面的优化，如路由器的安全漏洞、访问控制设置不严密、数据传输未加密、网络边界未完全隔离等。在网络建设完成、测试通过、投入使用前，应删除测试用户和口令，最小化合法用户的权限，最优化系统配置。在接入层交换机中，对于不需要用来进行第三层连接的端口，通过设置使其属于相应的VLAN，应将所有空闲交换机端口设置为Disable，防止空闲的交换机端口被非法使用。应尽量保持防火墙规则的清晰与简洁，并遵循“默认拒绝，特殊规则靠前，普通规则靠后，规则不重复”的原则，通过调整规则的次序进行优化。应为不同的用户建立相应的账号，根据对网络设备安装、配置、升级和管理的需要为用户设置相应的级别，并对各个级别用户能够使用的命令进行限制，严格遵循“不同权限的人执行不同等级的命令集”。同时对网络设备中所有用户账号进行登记备案。应制订网络设备用户账号口令的管理策略，对口令的选取、组成、长度、保存、修改周期以及存储做出规定。网络管理网络设备网管软件的部署和网络安全网管软件的部署；部署监控软件对内部网络的状态、网络行为和通信内容进行实时有效的监控，既包括对网络内部的计算机违规操作、恶意攻击行为、恶意代码传播等现象进行有效地发现和阻断，又包括对网络进行的安全漏洞评估。确认网络安全技术人员是否定期通过强加密通道进行远程登录监控网络状况。应尽可能加强网络设备的安全管理方式，例如应使用SSH代替Telnet，使用HTTPS代替HTTP，并且限定远程登录的超时时间、远程管理的用户数量、远程管理的终端IP地址，同时进行严格的身份认证和访问权限的授予，并在配置完后，立刻关闭此类远程连接；应尽可能避免使用SNMP协议进行管理。如果的确需要，应使用V3版本替代V1、V2版本，并启用MD5等验证功能。进行远程管理时，应设置控制口和远程登录口的超时时间，让控制口和远程登录口在空闲一定时间后自动断开。及时监视、收集网络以及安全设备生产厂商公布的软件以及补丁更新，要求下载补丁程序的站点必须是相应的官方站点，并对更新软件或补丁进行评测，在获得信息安全工作组的批准下，对生产环境实施软件更新或者补丁安装。服务流程网络架构分析服务主要分为四个不同的阶段：资料采集，架构分析，问题反馈和架构整改。资料采集架构资料采集架构分析问题反馈架构整改范文范例指导学习范文范例指导学习word版本整理分享word版本整理分享范文范例指导学习word版本整理分享对评估范围内网络现状资料进行收集，获取被评估网络的整体布局信息，如前期网络建设方案和图表、查验文档、网络边界划分、人工访谈、实地考察等方式对现状进行深入调研。对获取到的信息进行专家分析，根据整体网络架构的具体信息和客户实际情况提供可执行的建议解决方案。将问题通过多种方式清晰准确的反馈给客户。用户参考网络架构分析结果及建议进行整改。服务特点专家级架构整改建议网络架构分析人员根据具体环境通过多个维度的手段对客户的目标网络进行分析，并且会根据客户的需求和实际情况相结合进行深入地研究，针对客户要保护的目标提出确实可行的整改方案，最大化的满足当前以及长时间内的安全需求。长年累积的架构分析经验凭借绿盟科技多年来在网络架构分析积累的经验，绿盟科技不仅拥有一个强大的网络架构研究团队，而且拥有长期累积的内部评估分析手段和资料。为客户准确、快速地发现网络架构的脆弱性。服务依据国际、国家发布的相关安全标准绿盟科技专业安全配置基线绿盟科技安全产品及服务最佳实践服务报告安全分析人员在实施网络架构分析服务过程中，严格按照绿盟科技安全服务的流程，在现场进行访谈和相关资料收集后，会在三个工作日（需根据分析对象的数量和规模进行实际调整）内出示一份网络架构分析报告。报告名称如下：《××网网络架构分析报告》或《××区域网络架构分析报告》报告中，会对此次网络架构分析服务范围内的整体安全状况进行一个整体概述，从网络配置和网络架构两个层面对目标网络的架构进行安全性分析，配置型分析是为整体网络架构分析提供细节的参考依据，后续的网络架构分析会对目标网络的网络现状、网络建设规范性、网络可靠性、网络边界安全、网络流量分析、网络通信安全、网络设备安全和网络安全管理这八个方面进行网络架构安全性的全面分析。除此之外，评估人员还将结合分析目标的具体应用提出深层次的安全建议，为管理人员的后期维护提供参考。8.5.8日志分析服务服务范围本服务适用于任何企业或组织的IT环境、信息系统及网络，主要范围如下：Web应用日志，包括IIS、Apache、ApacheTomcat、Nginx等；操作系统日志，包括Windows、Linux系统日志、安全日志、应用日志等；网络设备，包括路由器、交换机等日志；网络安全设备，包括网络入侵检测系统、网络审计系统、上网行为管理系统等日志。服务内容日志分析服务主要分析日志如下方面的内容：常见Web攻击行为，包括XSS、SQLinj、暴力破解等；操作系统可疑行为，包括关机、重启、增删账户等；网络可疑行为，包括网络设备关机、重启、配置变更等；安全设备监控告警行为，包括检测的攻击行为、设备自身可疑操作行为等。服务方式日志分析服务主要是绿盟科技安全工程师人工分析，可根据实际情况分为现场日志分析和远程日志分析两种。服务流程日志分析服务的大致流程图如下：日志分析支持日志分析支持申请明确故障描述获取对应的日志文件分析过程记录根据日志文件，完成分析工作报告输出与提交整体汇报日志分析报告与汇报日志分析过程日志分析前准备图8.1日志分析流程图第一步：日志分析支持申请；第二步：判断故障类型；第二步：获取对应的日志文件；第三步：完成日志的分析；第四步：形成日志分析报告；第五步：整体汇报。服务特点快速、精确的日志分析响应绿盟科技拥有一支业内领先的安全服务团队。经过多年专业安全服务的执着实践，形成了国内最完善的专业安全服务体系和专业安全服务方法论，拥有大量安全日志分析经验，同时绿盟科技也是网络安全产品供应商，这些安全产品都有统一的日志收集平台，在分析网络安全产品日志中也有大量的经验累积。可远程协助和指导分析绿盟科技安全服务团队可远程接收日志文件，并尽快完成日志文件的分析，或远程协助客户的技术人员来完成日志的分析工作。服务报告绿盟科技安全工程师在实施日志分析服务过程中，严格按照绿盟科技安全服务的流程，分析结束后，会在三个工作日内出示一份日志分析报告（视分析日志的数量、多少而定）提交给客户。日志分析报告包含日志分析背景描述、日志类型、日志时间段、关键日志内容和总结、安全建议等。8.5.9应急响应服务服务范围绿盟应急响应服务主要面向客户提供已发生安全事件的事中、事后的取证、分析及提供解决方案等工作。绿盟科技可以帮助客户完成下列类型安全事件的应急响应支持：应用服务瘫痪问题网络阻塞、DDoS攻击问题服务器遭劫持问题系统异常宕机问题恶意入侵、黑客攻击问题病毒爆发问题内部安全事故……服务方式绿盟科技应急响应服务包括单次服务和年度服务两种形式，服务地点可以选择客户现场和远程两种方式，客户可以根据需要选择适合自己的服务。.1现场服务和远程服务 根据服务地点，可以分为现场服务和远程服务两种。现场服务：指接到客户紧急服务请求，支持人员在最短时间内赶赴客户现场，协助客户分析事件可能的原因，解决各类安全事件。远程服务：指通过电话、QQ远程协助、远程临时接入等非现场的活动，协助客户分析事件可能的原因，解决各类安全事件。.2单次服务和年度服务 根据服务的周期，可以分为单次服务和年度服务两种。单次服务：指为客户提供的一次性应急响应服务。一般由发生安全事件的客户临时申请应急响应支持人员参与应急事件处理，支持人员在分析完所有客户提供的信息后，向客户提交应急响应报告。年度服务：服务期限以年为单位，服务年度内为客户提供有限次数的应急响应支持工作，每次服务均会提供详细的应急响应报告。服务流程绿盟科技应急响应服务流程主要包括事件处理流程和事件升级流程两部分。.1事件优先级定义 绿盟科技结合自身经验，在实践中总结制定出了一套合理的安全事件分级结构对应表，并且针对于不同级别的事件拟定切实可行的快速处理方式和临时解决办法。安全等级划分标准如下：表8.1事件安全级别划分标准事事件优先级描述紧急事件客户提供业务的系统由于安全原因崩溃、系统性能严重下降，已无法提供正常服务。本地区出口路由由于网络安全原因非正常中断，严重影响用户使用。公众服务由于安全原因停止服务或者造成恶劣影响的成恶劣影响的。严重事件用户内部的业务支持系统由于安全事件出现问题，导致不能运转正常不稳定。部分服务由于安全原因中断，影响用户正常使用一般事件由于安全原因导致系统出现故障，但不影响用户正常使用。客户提出安全技术咨询、索取安全技术资料、技术支援等。.2事件处理流程 绿盟科技应急响应服务事件处理流程主要分为三个阶段，包括事件初期、应急响应实施及输出报告与汇报：事件初期在实施应急响应工作前，客户经理或项目经理收到客户申请应急响应支持，由客户经理或项目经理协调内部技术支持人员和客户技术人员第一时间取得联系，了解事件发生情况。技术人员判断事件类型，是否需要启用应急响应服务。应急响应实施在判断事件类型可能为安全事件，启用应急响应后，技术人员通过现场或非现场等方式进行信息收集工作，详细了解掌握事件发生的始终、现状、可能的影响，对事件进行详细分析，提供事件处理建议，并协助客户解决事件。输出报告与汇报待事件处理结束后，技术人员整理事件分析、事件处理的过程记录和相关资料，撰写应急响应服务记录报告，提交给客户。对于大型、复杂的应急响应过程还需进行整体的事件处理汇报工作。支持申请支持申请初步判断事件类型启用紧急响应事件分析记录整理事件处理信息收集报告输出与提交整体汇报报告与汇报紧急响应实施事件初期.3事件升级流程 绿盟科技在收到事件告警后，15分钟内进行故障事件的鉴别，如果是安全事件，则立即启动应急响应服务流程，如果不是安全事件，立即回复相关人员，并建议寻求其他方面的支持，详细事件升级流程参看下表。表8.2事件升级流程事事件等级时间（小时）紧急事件严重事件一般事件0.50.5客户经理1技术负责人客户经理4服务总监技术负责人客户经理12技术总监服务总监咨询支持24总裁技术总监技术负责人48总裁服务总监72技术总监绿盟科技对于一般事件首先采取安全咨询的方式帮助用户自行解决，当用户安全管理员经过努力无法自行解决时，绿盟科技工程师将采用应急响应服务通过远程或本地服务方式帮助用户解决安全事件。绿盟科技对于严重事件，将启用应急响应服务，在2个小时内（另加上路程时间）到达用户现场，采用本地服务方式帮助用户处理安全事件。绿盟科技对于紧急事件的处理，承诺在一个小时内（另加路程时间）到达用户现场，采用安全应急响应服务流程为用户尽快解决紧急安全事件。服务特点经验主导，成果保证在应急响应支持方面，绿盟科技多年来积累了丰富的经验。无论是所收集信息的完整性，还是事件分析过程的科学性和准确性都在业内处于领先的位置。在经验与技术的完美结合之下，能够更加容易捕获信息中的蛛丝马迹，为事件分析去的突破性进展打下基础。流程清晰，规范服务绿盟科技应急响应服务采用规范化管理，支持人员均严格按照设定的流程来进行各项工作。而绿盟科技的应急服务规范和流程均来自于多年的应急响应实践，完全符合应急响应事件处理的相关要求。在确保获得分析事件必需数据的同时，也防止了可能对事件目标产生的影响。服务报告在应急响应工作完成后一个工作日内，绿盟支持人员将会为客户提供一份应急响应报告。在报告中，支持人员将会所收集的信息对整个安全事件的来龙去脉进行详尽的分析，并最终给出分析结果。除此之外，支持人员还将根据分析结果提出解决方案和相关的安全建议，为事件的后期处理提供参考。输出如下报告：《XX应急响应服务处理报告》8.5.10恶意代码排查服务服务范围恶意代码排查的服务范围主要针对被入侵网站、应用系统等服务器，同时包括与其同网段或同一区域的服务器。具体范围我们建议如下：被入侵网站服务器、数据库服务器同网段内疑似被攻击的服务器同一区域疑似被攻击的服务器其次，该项服务主要针对以B/S架构为主的网站系统，因此，支持的服务器操作系统类型包括如下：Windows系列服务器：Windows2000、Windows2003、Windows2008等Linux系列服务器：RedhatLinux、DebianGNU/Linux、SUSELinux等Unix系列服务器：HPUX、Solaris、FreeBSD、AIX等服务内容恶意代码排查的服务内容包括操作系统排查和应用程序排查两部分。详细内容如下：操作系统排查包括：可疑账号排查（隐藏、克隆账号）可疑文件排查可疑进程排查可疑网络连接排查Rootkit排查恶意代码排查服务内容框架见下图：应用程序排查包括：WebShell网页后门排查一句话网页木马排查数据库JS挂马排查恶意插件排查流氓软件排查恶意代码排查内容操作系统排查恶意代码排查内容操作系统排查可疑账号可疑文件可疑进程可疑连接内核级后门应用程序排查网页后门一句话木马数据库挂马恶意插件流氓软件服务流程恶意代码排查服务过程中，会涉及到下面几个步骤。首先确认待检查对象的范围和工作内容范围：包括检查对象的数量，例如20台windows2003服务器、10台Redhatlinux服务器；具体检查工作内容，例如WebShell网页后门检查。其次，绿盟科技安排安全工程师准备检查工具，包括检查工具的升级更新，工具的光盘刻录等事项。安全工程师到达客户现场，对于网页WebShell后门和一句话木马的检查，我们建议客户使用专机对待检查对象进行检查。对于操作系统级检查，需要管理员配合上传或拷贝检查工具至服务器，由安全工程师进行检查操作。安全工程师检查完毕后，将审计结果信息记录并整理，最后输出报告。准备检查工具及人员准备检查工具及人员现场工作管理员配合确认检查范围输出报告服务报告在进行恶意代码排查服务后，安全工程师会将排查结果信息记录并整理，输出如下报告：《XX系统恶意代码排查报告》《XX网站恶意代码排查报告》《XX服务器恶意代码排查报告》九.管理体系建设方案9.1安全制度建设《信息系统安全等级保护基本要求》在管理制度、制定和发布、评审和修订等三个方面对安全管理制度提出了要求。根据管理信息大区系统的实际情况，在信息安全领导小组的负责下，组织相关人员制定和发布信息安全工作的总体方针、政策，说明信息安全工作的总体目标、范围、方针、原则和责任，并定期进行评审和修订。对于管理制度的制定，也可以依托外部专业安全厂商的力量进行。管理制度方面的具体工作包括：制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等；建立管理人员或操作人员执行的日常管理操作规程；形成由安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系。安全管理制度应通过正式、有效的方式发布；每年由信息安全领导小组负责组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定；进行定期或不定期对安全管理制度检查和审定，对存在不足或需要改进的安全管理制度进行修订。安全制度管理框架如下：范文范例指导学习范文范例指导学习word版本整理分享word版本整理分享word版本整理分享范文范例指导学习9.1.1总体方针、策略总体方针、策略是纲领性的安全策略主文档，陈述本策略的目的、适用范围、信息安全的管理意图、支持目标以及指导原则，信息安全各个方面所应遵守的原则方法和指导性策略。与其它部分的关系：所有其它部分都从最高方针引申出来，并遵照最高方针，不与之发生违背和抵触。信息安全策略文件应得到信息系统项目管理者的批准，并以适当的方式发布、传达到所有员工。该文件应该阐明管理者对实行信息安全的承诺，并陈述组织管理信息安全的方法，它至少应该包括以下几个部分：信息安全的定义，其总体目标和范围，以及其作为信息共享的安全机制的重要性；申明支持信息安全目标和原则的管理意向；对组织有重大意义的安全策略、原则、标准和符合性要求的简要说明；对信息安全管理的总体和具体责任的定义，包括汇报安全事故；提及支持安全策略的文件，如：特定信息系统的更加详细的安全策略和程序，或用户应该遵守的安全规定。技术标准和规范技术标准和规范，包括各个网络设备、安全设备、主机操作系统和主要应用程序的应遵守的安全配置和管理的技术标准和规范。技术标准和规范将作为各个网络设备、安全设备、主机操作系统和应用程序的安装、配置、采购、项目评审、日常安全管理和维护时必须遵照的标准，不允许发生违背和冲突。与其它部分的关系：向上遵照最高方针。管理制度和规定各类管理规定、管理办法和暂行规定。从安全策略主文档中规定的安全各个方面所应遵守的原则方法和指导性策略引出的具体管理规定、管理办法和实施办法，是必须具有可操作性，而且必须得到有效推行和实施的。此部分文档较多。与其它部分的关系：向上遵照最高方针。组织机构和人员职责安全管理组织机构和人员的安全职责，包括的安全管理机构组织形式和运作方式，机构和人员的一般责任和具体责任。作为机构和员工具体工作时的具体职责依照，此部分必须具有可操作性，而且必须得到有效推行和实施。与其它部分的关系：从最高方针中延伸出来，其具体执行和实施由管理规定、技术标准规范等来落实。9.1.2制定和发布安全管理制度制定安全管理制度的制定在信息系统安全保密工作部门的总体负责下统一制定，并由安全保密工作部门指定参与安全管理制度制定的具体人员。安全管理制度按照统一的格式标准要求制定，在制定过程中，编写管理文档说明安全管理制度的制定程序、格式要求及版本编号等内容。组织相关人员对安全管理制度进行论证和评审，论证和评审方式包括召开评审会、函审、内部审核等，并详细记录相关人员的评审意见。安全管理制度发布安全管理制度经过管理层的签发后按照一定的流程以文件的方式发布，安全管理制度发布时注明适用和发布范围以及版本表示，并详细记录安全管理制度的收发登记记录。9.1.3评审和修订定期对安全管理制度进行评审，并由安全保密工作办公室指定参与安全管理制度评审的具体人员。详细制定安全管理制度评审的流程，记录评审意见和结果。对存在不足或需要改进的安全管理制度进行合理适度的修订，参与安全管理制度修订的部门和人员由安全保密工作办公室指定。详细制定安全管理制度修订的流程，记录修订意见和结果。当发生重大安全事故、出现新的安全漏洞以及技术基础结构发生变更时，组织对安全管理制度进行检查、审定和修订。详细合理分配每个制度文档的相应负责人或负责部分，负责对明确需要修订的制度文档进行维护。具体来说，信息系统项目建设中应至少考虑如下的管理制度建设：制定信息系统系统的信息安全工作总体方针、政策性文件和安全策略等；建立信息系统总体安全制度，并详细制定和各之间的信息访问和数据交换安全策略，并研究制定一套有效的安全应急计划；对安全管理活动中的各类管理内容建立安全管理制度，以规范安全管理活动，约束人员的行为方式；对要求管理人员或操作人员执行的日常管理操作，建立操作规程，以规范操作行为，防止操作失误；由安全管理职能部门定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定。在安全保密工作办公室的负责下，组织相关人员制定；保证安全管理制度具有统一的格式风格，并进行版本控制；安全管理制度应经过管理层签发后按照一定的程序以文件形式发布；安全管理制度应注明发布范围，并对收发文进行登记；安全管理制度应注明密级，进行密级管理；定期对安全管理制度进行评审和修订，对存在不足或需要改进的安全管理制度进行修订；当发生重大安全事故、出现新的安全漏洞以及技术基础结构发生变更时，应对安全管理制度进行检查、审定和修订；每个制度文档应有相应负责人或负责部门，负责对明确需要修订的制度文档的维护；评审和修订的操作范围应考虑安全管理制度的相应密级。9.2安全管理机构《信息系统安全等级保护基本要求》在岗位设置、人员配备、授权和审批、沟通和合作、审核和检查等方面对安全管理机构提出了具体的要求。应该建立专门的安全职能部门，配备专门的安全管理人员，负责信息安全管理工作，同时对安全管理人员的活动进行指导。安全管理员还应负责定期进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况；并组织力量定期进行全省的安全检查，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况，汇总安全检查数据，形成安全检查报告，并对安全检查结果进行通报；9.2.1岗位设置设立指导和管理信息安全工作的委员会或领导小组，其最高领导由单位主管领导委任或授权的人员担任；设立专职的安全管理机构（即信息安全管理工作的职能部门），明确各部门职责分工；设立安全管理各个方面的负责人，设置工作岗位（如安全主管、安全管理各个方面的负责人、机房管理员、系统管理员、网络管理员、安全管理员等重要岗位），明确各个岗位的职责分工。9.2.2人员配备对关键区域或部位的安全管理人员配备有一定条件要求（如中心机房的安全管理人员、关键服务器的安全管理人员等），对关键事务配备2人或2人以上共同管理，相互监督和制约；配备专职的安全管理员；9.2.3授权和审批对信息系统中的重要活动进行审批，审批部门是何部门，批准人是何人，审批活动是否得到授权；询问是否定期审查、更新审批流程，审查周期多长；对重要活动的审批范围包括哪些（如系统变更、重要操作、物理访问和系统接入，重要管理制度的制定和发布，人员的配备、培训，产品的采购，外部人员的访问、管理，与合作单位的合作项目等)；9.2.4沟通和合作建立与外单位（公安机关、电信公司、兄弟单位、供应商、业界专家、专业的安全公司、安全组织等），与组织机构内其它部门之间及内部各部门管理人员之间的沟通、合作机制；召开部门间协调会议，组织其它部门人员共同协助处理信息系统安全有关问题，安全管理机构内部召开过安全工作会议部署安全工作的实施，参加会议的部门和人员，会议结果；信息安全领导小组或者安全管理委员会定期召开例会；聘请信息安全专家作为常年的安全顾问，指导信息安全建设，参与安全规划和安全评审等；9.2.5审核和检查定期对信息系统进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况；定期进行全面安全检查9.3人员安全管理人员安全管理要求在人员的录用、离岗、考核、培训以及第三方人员管理上，都要考虑安全因素。应：指定或授权专门的部门或人员负责人员录用；严格规范人员录用过程，对被录用人的身份、背景、专业资格和资质等进行审查，对其所具有的技术技能进行考核；与所有员工和第三方厂商、服务商签署保密协议；严格规范人员离岗过程，及时终止离岗员工的所有访问权限；定期对各个岗位的人员进行安全技能及安全认知的考核；对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训；对安全责任和惩戒措施进行书面规定并告知相关人员，对违反违背安全策略和规定的人员进行惩戒；对外部人员允许访问的区域、系统、设备、信息等内容应进行书面的规定，并按照规定执行；9.4系统建设管理《信息系统安全等级保护基本要求》在系统建设管理阶段针对系统定级、安全方案设计、产品采购、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、系统备案、安全测评、安全服务商选择等等方面提出了具体的要求。目前，系统定级、系统备案的工作已经完成，新搭建的系统需要重新定级与备案。工程实施、测试验收、系统交付等方面需要在产品购买后进行。而其他的一些方面，如自行软件开发、外包软件开发等，应根据具体情况制定相关管理规范和流程。在安全服务商选择方面，我们建议的相关领导，选择有实力，有信誉的专业安全服务厂商。9.5系统运维管理《信息系统安全等级保护基本要求》在环境管理、资产管理、介质管理、设备管理、监控管理和安全管理中心、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理等方面提出了要求。应在现有的系统运维管理制度的基础上，对照《信息系统安全等级保护基本要求》进行查漏补缺，以达到标准合规。9.5.1环境管理建立网络安全运维小组，组织实施对机房供配电、空调、温湿度控制等设施，机房的出入，服务器的开关机等的日常维护管理；建立机房安全管理制度，明确相关安全管理规定；加强日常办公环境的保密规定的宣贯、知会和管理。9.5.2资产管理建立完善信息系统资产台账，包括资产责任部门、责任人、重要程度和位置等内容；建立信息系统资产安全管理制度，明确相关管理规定；对重要资产进行分类标识，并采取相应的管理措施；建立信息分类与标识方法相关规定。9.5.3介质管理建立介质管理制度，明确相关管理规定；对介质的存放环境进行安全检查，确保存储环境由专人负责管理；对存储介质外出、传输、归档和查询等严格履行手续，并作详细记录；对存储介质的使用过程、维修和销毁加强管理，带出的介质采用技术手段进行内容加密，对送出维修或销毁的介质中的敏感数据，采用有效技术手段进行彻底清除；介质销毁必须履行相关手续，不得擅自自行销毁；某些用于数据备份的存储介质应按照有关要求进行异地存储，异地存储的环境和安全应和本地相同；重要存储介质中的数据和软件通过技术手段采取加密存储，并对介质按存储数据的重要程度进行分类标识管理。9.5.4设备管理建立信息系统日常维护管理制度，明确管理部门和人员对信息系统相关的各种设备、线路进行维护管理，明确维护人员的职责；建立设备安全管理制度，明确软硬件设备的选