安全管理体系建设方案

安全治理体系建设方案赛宝科技效劳有限公2023719日概述 1简介 11.2 目标........................................................................... 1安全治理体系框架图 2安全治理制度体系 2安全方针政策 2安全治理制度 2技术标准、规 33.4 流程、表单及记录.............................................................. 4概述简介安全治理体系建设包含：安全治理制度、安全治理机构、人员安全治理、系统建设安全治理和系统运维安全治理等各个方面，依据相关的安全准则，结合企业自身及网络系统的构成特点，确定具体的各方面的制度。目标安全治理机构：包括职能部门岗位设置；系统治理员、网络治理员、安全治理员的人员配备；授权和审批；治理人员、部机构和职能部门间的沟通和合作；定期的安全审核和安全检查。安全治理制度：包括安全策略、安全制度、操作规程等的治理制度；治理制度的制定和公布；治理制度的评审和修订。人员安全治理：包括人员录用；人员离岗；人员考核；安全意识教育和培训；外部人员访问治理。系统建设治理：包括系统定级；安全方案设计；产品选购和使用；自行软件开发；外包软件开发；工程实施；测试验收；系统交付；系统备案；等级测评；安全效劳商选择。系统运维治理：包括机房环境治理；信息资产治理；介质治理；设备管理；监控治理和安全治理中心；网络安全治理；系统安全治理；恶意代码防管理；密码治理；变更治理；备份与恢复治理；安全大事处置；应急预案治理。安全治理体系框架图安全治理制度体系层次图:

信息虫仝方计政幾，总林获&说明

Bh则和安全框架導/第一层＞、/婆全方针政鮫\其次层

炖女全治理活刘小的齐类曾理内ih立安全管刈制度，恤束治理行为I川:技术丄观细节*対治理人员或操作人越执行的日常治理操作蹇立操作规程A■”

f

HVtrH”j流Si及需埔写的农:记录技术标推、标准安全方针政策

单，用于记录数据*监控宾施安全治理制度体系最高方针，纲领性的安全策略主文档，述本策略的目的、适用围、信息安全的治理意图、支持安全治理制度各类治理规定、治理方法和暂行规定。从安全策略主文档中规定的安全各个方面所应遵守的原则方法和指导性策略引出的具体治理规定、治理方法和实施方法，是必需具有可操作性，而且必需得到有效推行和实施的。安全治理制度要求见以下图，在建立制度的时候可以参考：人屍左全治理人屍左全治理人丘录用坏■乂卷理人员羸嵐占童代鼻阴范治理变虽養廷L密码瓷珪坯讯比言与塔Illi帝付和傀見管理直土大事忆肯乩人运访问菅珠3.3 技术标准、规技术标准和规是针对具体治理行为进展规化操作流程的规定， 等级区域网络设备、主机操作系统和主要应用程序的应遵守的安全配置和治理的技术标准和规。技术标准和规将作为各个网络设备、主机操作系统和应用程序的安装、配置、采购、工程评审、日常安全治理和维护时必需遵照的标准，不允许发生违反和冲突。例如制度及规类文档如下：1治理制度及规文档序号序号治理制度及规文档1机构总体安全方针和政策方面的治理制度2安全治理活动中的各类治理容的相关治理制度3部门设置、岗位设置及工作职责定义方面的治理制度4授权审批、审批流程等方面的治理制度5与外联单位、供给商等合作相关治理制度6安全审核和安全检查方面的治理制度7治理制度、操作规程修订、维护方面的治理制度8人员录用、离岗、考核等方面的治理制度9人员安全教育和培训方面的治理制度10人员签署协议相关治理制度1111第三方人员访问掌握方面的治理制度12工程实施过程方面的治理制度13安全方案设计相关治理制度14产品选型、米购方面的治理制度15软件外包开发或自我开发方面的治理制度16测试、验收方面的治理制度17系统父付相关治理制度18机房安全治理方面的治理制度19办公环境安全治理方面的治理制度20资产、设备、介质安全治理方面的治理制度21信息分类、标识、公布、使用方面的治理制度22配套设施、软硬件维护方面的治理制度23网络安全治理〔网络配置、账号治理等〕方面的治理制度24系统安全治理〔系统配置、账号治理〕方面的治理制度25系统监控、风险评估、漏洞扫描方面的治理制度26病毒防方面的治理制度27系统变更掌握方面的治理制度28密码治理方面的治理制度29备份和恢复方面的治理制度30安全大事报告和处置方面的治理制度31应急响应方法、应急响应打算等方面的文件32其他文档3.4 流程、表单及记录安全流程和操作规程，具体规定主要业务应用和大事处理的流程、步骤和相关留意事项。作安全表单及记录，落实安全流程和操作规程的具体表现，依据不同信息系统的要求可以通过不同方式的表单及记录落实，并在日常工作中具体执行。主要包括日常操作的记录、工作记录、流转记录以及审批记录等。可分为记录类文档和证据类文档如下表：2记录类文档序号 记录类文档机房出入登记记录〔包括第三方人员〕机房根底设施维护记录各类会议纪要或记录〔部门、部门间协调会、领导小组〕各类评审和修订记录〔安全治理制度评审和修订记录、体系评审记录等〕人员考核、审查、培训记录〔人员录用、人员定期考核〕人员安全教育相关记录

、离岗手续各项审批和批准执行记录外联审批等〕

〔来访人员进入机房审批、介质/设备外带审批、系统安全治理制度收发登记记录产品的选型测试结果记录系统验收测试记录、报告介质归档、查询等的登记记录主机系统、网络、安全设备等的操作日志和维护记录机房日常巡检记录对主机、网络设备和应用软件等的监控记录和分析报告恶意代码检测、升级记录和分析报告备份过程记录变更方案评审记录和变更过程记录安全大事处理过程记录应急预案培训、演练、审查记录其他记录文档机房防雷检测报告设备外出修理记录外来人员审批记录其他文档序号证据类文档1资产清单2序号证据类文档1资产清单2机构安全治理人员岗位3外联单位联系列表4人员协议5关键岗位安全协议6候选产品7信息系统定级报告或定级建议书8系统备案材料9近期和远期安全建设工作打算、总体建设规划书10系统特别行为审计分析报告11机房安全设计和验收方面的文档应急预案方案10系统特别行为审计分析报告11机房安全设计和验收方面的文档应急预案方案应急预案12应急预案培训治理应急预案演练序号证据类文档1具体设计方案2工程实施方案3系统建 系统验收测试方案4设工程 系统测试、验收