公司电子信息安全建设规划V1版

同洲电子信息平安建设规划信息平安部邓生品2021年9月25日目录公司信息平安建设目标及依据2当前及下一步将开展的工作3领导意见与建议公司未来信息平安大厦概貌及大厦各组件建设规划34578公司信息平安建设地图与路标分解6需要领导提供的支持公司信息平安现状简报1公司规模战略调整，商业模式转变及IPD变革，信息的交流形式众多，交流需求频繁，公司核心资产缺乏保护；为了标准信息管理、保护公司核心竞争力、支撑公司长远开展和推动蓝海战略的实现，又需要构建公司信息平安管理体系，为公司的开展保护驾航；公司大局部员工总体信息平安意识比较淡薄，各部门日常平安管理工作根本空白，公司没有形成系统化的平安管理持续优化系统。1、公司信息平安现状简报12物理平安现状公司信息平安现状网络平安现状人员平安现状1、公司信息平安现状简报网络平安现状公司内部研发网络和非研发网络整体互通，内部办公网与外部互联网整体互通，信息交流缺乏监控。公司内部员工邮箱〔@coship〕收发权限根本全部放开，但同时没有监控。1、公司信息平安现状简报以下网络现状，根本使得公司内部信息网络对外开发，平安隐患比较严重，平安水平与公司社会地位不符。物理平安现状TFJLLO;PO’.J.I’POFIHJKGHLKGNFGNJHGC,,MS打印机、机等敏感设备放置在非受控的平安区域，设备所在部门也未落实有效监督。公司研发等重要场地，存储和摄像功能的设备使用很随意。非公司人员进出公司大楼来访证监管不力，容易被钻空子带来隐患。使用公共区域的打印机、机、复印机，经常有敏感文件遗漏，所在部门也无人管理。公司重要场地进出缺乏有效登记，门禁在人员变动时的权限调整无统一定期审视清理，出现重大平安事故时追求困难。1、公司信息平安现状简报人员平安现状没有执行检查监督和奖惩机制员工内部转岗或离职时，访问控制变更没有有效监督未对不同岗位在职位描述书中参加平安方面的责任要求，特别是敏感岗位招聘环节人员筛选和背景调查工作比较薄弱，敏感岗位人员入职未签订专门的保密协议。目前在新员工培训中，未很好落实信息平安内容的培训〔我到公司后为一批新员工培训过一次，后来均没有看到安排〕。1、公司信息平安现状简报希望在未来三年时间内，建成公司比较完善和健壮的信息平安防护体系，并通过国际企业信息平安管理水平标准认证〔ISO27001认证〕，推动公司蓝海战略的展开、促进公司国际化运作扎实根基的生长。……建设目标宗旨2.1建设目标、宗旨2、公司信息平安建设目标及依据ISO27001：2005——国际信息平安管理体系标准2、公司信息平安建设目标及依据公司信息平安防护体系建设和实施的依据ISO17799：2005〔BS17799-1〕——国际信息平安管理实施细那么2.2建设依据2、公司信息平安建设目标及依据2.3信息平安运作与改进基于的指导模型信息平安管理体系的建设和运作，遵循PDCA不断循环建设与优化的管理理论，建设成最大化支撑公司业务运作开展的信息平安体系，实时改进与优化以有效支撑公司战略调整与管理变革，最终到达最大化推动公司业务的壮大。3、公司未来信息平安大厦概貌及大厦各组件建设规划3.1公司未来“信息平安大厦〞概貌-1公司未来的信息平安防护体系大厦如以下图，其将在PDCA过程中不断循环优化与完善。3、公司未来信息平安大厦概貌及大厦各组件建设规划3.1公司未来“信息平安大厦〞主要构件及说明-23、公司未来信息平安大厦概貌及大厦各组件建设规划变革管理委员会（信息安全监管委员会）安全策略与标准组信息安全部分管高管安全技术架构组安全审计组系统账号监管组各业务体系安全专员IT部：负责落实网络安全策略行政：负责落实物理安全策略3.2信息平安管理组织体系——架构图-13、公司未来信息平安大厦概貌及大厦各组件建设规划3.2同洲信息平安管理组织体系——职责-2详细内容参阅公司签发文件

3、公司未来信息平安大厦概貌及大厦各组件建设规划3.3信息平安文件体系建设规划——文件层级架构-13、公司未来信息平安大厦概貌及大厦各组件建设规划3.3信息平安文件体系建设规划——各层级文件列举-23、公司未来信息平安大厦概貌及大厦各组件建设规划3.4信息平安支撑工具建设规划——指导思想-13、公司未来信息平安大厦概貌及大厦各组件建设规划t1.网关平安防御系统〔入侵检测、入侵防御系统〕。2.终端计算机上网行为监管系统。3.核心文档、代码等电子信息加密工具。4.计算机端口、打印机监控工具。5.终端计算机监控检查与平安接入控制工具。6.移动计算机设备、移动存储介质平安认证工具。3、公司未来信息平安大厦概貌及大厦各组件建设规划管理手段4、公司公司信息平安建设地图与路标分解信息安全评估和差距分析建立信息安全组织和政策体系

初步推行和落实信息安全管理体系启动信息安全基础设置建设实现监控的制度化，流程化和经常化建立安全配置管理，实现安全风险的量化管理机制

建立安全管理持续优化机制全面审视，优化和深化信息安全管理体系建立整体的信息安全防护体系建立集中监控平台建立数据中心和应急机制基础保证策略固化集中建设2010.92009.92011.92012.94.1同洲信息平安防护体系建设总体方案方案用3年的时间,建设成公司高水平的信息平安防护体系,使得同洲的信息平安管理水平成为同等规模公司的标杆。总体建设方案如以下作战地图所示：4.2路标分解——根底保证期-14、公司公司信息平安建设地图与路标分解1345成立公司一级部门信息安全部，组建公司信息安全管理体系；公司信息安全部由原BR&IT信息安全部扩招建立。2由公司信息安全部负责牵头，编撰并签发公司信息安全建设基础性文件《同洲公司信息安全管理手册》；编撰并签发《同洲信息安全奖惩管理规定》、《同洲公司办公环境安全管理规定》、《同洲公司信息资产密集划分标准与安全管理规定》等基础安全运作文件。全面有效实施公司电子文档加密系统项目；引入并全面实施公司终端计算机上网行为监控系统项目；引入并全面实施公司计算机端口、打印等监控系统项目；引入并全面实施网关安全防护系统（入侵检测、入侵防御系统。扩招信息安全专业人员以支撑公司信息安全部的运作。以公司各一级部门为单位，组建公司各一级部门信息安全专员，开始初步运作部门日常办公安全的规范化工作。2009.9~2010.9,同洲信息安全防护体系“基础保证建设期”，核心重点工作4.2路标分解——集中建设期-24、公司公司信息平安建设地图与路标分解2021.9~2021.9,同洲信息平安防护体系“集中建设期〞，核心重点工作2345671由信息安全部牵头，组织专业人员以及各关联领域业务部门人员，编撰或修订公司信息安全文件体系二、三、四级文件，建设成公司相对完善的信息安全文件体系。引入并实施终端平安检查及准入系统、引入并实施办公计算机桌面标准策略监控系统。对公司研发、非研发网络进行深度隔离。第一次启动组织各一级部门的例行年度风险评估工作。深入组织各一级部门信息平安专员的月度、季度部门信息平安工作检查工作加大公司信息平安部对各业务部门信息平安运作差距分析与平安审计工作。组织公司ISO27001认证工作。4.2路标分解——策略固化期-34、公司公司信息平安建设地图与路标分解2021.9~2021.9,同洲信息平安防护体系“策略加固〞建设期，开始全面根据ISO27001标准的要求来运作公司信息平安管理体系，核心重点工作1根据公司业务实际，全面审视公司信息平安文件体系并修订完善。2更加细化和深入开展“全面建设期〞时期开展的6大领域工作。4对公司各一级部门信息平安专员开展系统化的平安专业培训，全面提升公司信息平安从业人员的素质水平。3加大对外交流信息的监管、内部间交流信息的工作相关性审查。5、当前及下一步将开展的工做5.1当前已经开展的工作1制定了公司未来三年信息安全建设规划详细文件、制定并通过审核签发了公司信息安全组织结构、部门职责及干部任命文件。2完善《同洲信息安全管理手册》，作为公司信息安全管理体系的基础纲领性文件；完善了《同洲电子信息安全奖惩管理规定》，是公司信息安全高压线划分标准，从具体操作上引导员工了解与培养正确的安全行为。3对已引入的文挡加密系统进行二次开发，将逐步推广到公司各业务核心资产与代码的安全保护领域。4立项并引入终端上网行为监控系统进入招标流程。5规划新一级部门信息安全部人员编制6人（新增4人），已经面试确定，11月份将全部陆续到岗。5、当前及下一步将开展的工做5.2下一步方案开展的工作1推动终端上网行为监控系统的运行,签发配套的管理制度《同洲公司办公环境安全管理规则》，通过“前期宣传、中期试运行、后期逐步落地”三步，实现最后稳定运作终端上网行为监控机制。2将文档加密系统应用于公司全范围核心资产的保护；同时，进一步配合便携机安全检查机制，落实便携机非经许可携带公司文档外出也不可用的机制（从拒绝外来便携机威胁公司资产安全，优化完善到防止公司便携机威胁公司内部信息资产安全）。3测试并引入打印、USB等监控系统，填补安全漏洞，控制公司机密文档、代码通过移动计算设备或者纸件的形式流失的隐患；测试并引入网关安全系统，填补公司网络内外安全攻击威胁的防护空白（详细项目规划方案，另行进行专题汇报）。4正式签发《同洲信息安全管理手册》、《同洲电子信息安全奖惩管理规定》等文件，同时，根据安全工作的开展需要，编制并签发各配套安全流程文件。

需要领导提供的支持1

如左图所示，公司“信息安全保护伞”目前架构已成型；但是，还需要伸向四面八方的伞的节状支架——各一级部门信息安全专员。没有他们的存在，公司信息安全控制策略在各部门的落地将大打折扣，同时，公司各部门领导在重大安全事故发生时承担管理连带责任的风险也随之增高。与沈君主任的沟通，她们可以配合进行安全制度宣导与部分安全措施落地的协助，但基于秘书职责导向及秘书个人考虑，秘书很难做到较为强势的安全管理推行。为了各部门安全防护能够有效顺利开展，提请公司及各一级部门领导决策；是否可以每个一级部门提供一个兼职的信息安全专员，负责公司的安全策略制度在本部的日常执行监管工作？…变革管理委员会（信息安全监管委员会）安全策略与标准组信息安全部分管高管安全技术架构组安全审计组系统账号监管组各业