信息安全非小事的

信息安全非小事的一、风险识别与评估（一）风险识别机制。建立常态化的风险识别机制，各部门每月汇总业务变化，安全部门汇总分析，形成风险清单。各单位主要负责人是第一责任人，必须组织本部门每月开展风险排查，重点排查数据传输、存储、使用等环节。风险清单必须明确风险等级、责任部门、整改时限，纳入绩效考核。风险识别必须结合业务实际，不得流于形式。（二）风险评估标准。风险等级分为重大、较大、一般三级，评估标准必须量化。重大风险指可能造成系统瘫痪、大量数据泄露的风险，如核心数据库未加密；较大风险指可能造成局部业务中断、少量数据泄露的风险，如办公网与生产网未隔离；一般风险指可能造成轻微业务影响、无敏感数据泄露的风险，如文档权限设置错误。评估结果必须经安全部门审核，重大风险必须报分管领导审批。二、防护措施与建设（一）技术防护要求。所有信息系统必须部署防火墙、入侵检测系统，重要业务系统必须部署WAF；核心数据必须加密存储，传输必须加密传输；必须建立安全审计系统，记录所有操作行为；必须定期开展漏洞扫描，高危漏洞必须在7日内修复。防护措施必须符合国家等级保护要求，定期开展测评。（二）物理防护要求。核心机房必须具备双路供电、UPS、精密空调、消防系统；必须设置门禁系统，实行双人双锁；必须安装视频监控系统，覆盖所有出入口和重要区域；必须定期开展消防演练，确保设备完好。物理防护必须与网络安全措施同步建设，不得滞后。三、应急响应与处置（一）应急响应流程。建立分级响应机制，重大风险立即启动一级响应，较大风险启动二级响应，一般风险启动三级响应。一级响应必须立即切断受影响系统，防止损失扩大；二级响应必须限制受影响范围，减少业务中断；三级响应必须监控受影响情况，及时恢复业务。应急响应必须制定详细预案，定期开展演练。（二）处置操作规范。数据泄露必须立即采取断网、溯源、安抚等措施；系统瘫痪必须立即切换备用系统，同时抢修故障系统；恶意攻击必须立即隔离受感染设备，清除恶意代码；安全事件必须立即上报，不得瞒报、漏报。处置操作必须记录详细过程，形成处置报告。四、安全意识与培训（一）培训内容要求。培训内容必须包括法律法规、安全制度、操作规范、应急流程等，必须结合实际案例讲解。培训必须覆盖所有员工，新员工上岗前必须接受培训；关键岗位人员必须定期复训，每年不少于4次。培训效果必须考核，考核不合格不得上岗。（二）宣传引导要求。必须设立安全宣传栏，定期更新安全知识；必须开展安全月活动，营造安全氛围；必须设立举报奖励机制，鼓励员工发现并报告安全问题。宣传引导必须形式多样，不得枯燥乏味。安全意识必须纳入员工绩效考核，占比不低于5%。五、监督审计与检查（一）内部审计要求。安全部门必须每月开展自查，重点检查制度落实、措施执行、事件处置等；审计结果必须形成报告，报分管领导审批。审计发现问题必须限期整改，整改情况必须跟踪验证。内部审计必须独立公正，不得流于形式。（二）外部检查要求。必须配合等级保护测评、安全检查等外部检查，不得弄虚作假；必须根据检查意见整改问题，形成整改报告。外部检查必须认真对待，不得应付了事。检查结果必须纳入绩效考核，与部门评优挂钩。六、责任追究与改进（一）责任追究标准。违反安全制度必须追究责任，情节严重的必须严肃处理。重大风险必须追究主要领导责任，较大风险必须追究直接领导责任，一般风险必须追究直接责任人责任。责任追究必须依据制度，不得随意处理。（二）持续改进机制。必须建立PDCA循环，定期总结经验教训，完善安全制度；必须跟踪新技术发展，及时更新防护措施；必须分析安全事件，优化应急流程。持续改进必须全员参与，不得闭门造车。改进效果必须量化评估，确保不断提升。七、附则说明本制度适用于所有信息系统，包括办公系统、业务系统、生产系统等。