信息安全与网络空间安全

信息安全与网络空间安全一、信息安全体系建设（一）制度规范制定。各单位主要负责人是第一责任人，必须建立信息安全责任制，明确各级人员职责权限。制定信息安全管理办法、数据安全管理办法、网络安全管理办法等制度文件，确保制度覆盖所有业务场景。制度文件应至少每年修订一次，确保与国家法律法规和技术标准同步。制度发布后应组织全员培训，确保相关人员掌握制度内容。（二）技术防护部署。必须建设网络安全态势感知平台，实现全网安全事件集中监测预警。部署防火墙、入侵检测系统、漏洞扫描系统等安全设备，确保重要业务系统部署不低于3层安全防护。所有接入互联网的业务系统必须通过安全域划分，不同安全域之间必须部署防火墙隔离。每年至少开展一次网络安全应急演练，检验应急预案有效性。（三）数据安全管控。建立数据分类分级制度，明确核心数据、重要数据、一般数据的保护要求。核心数据必须进行加密存储，重要数据必须实现加密传输。建立数据销毁制度，废弃数据必须通过专业设备物理销毁或加密销毁。建立数据备份机制，核心数据必须实现异地备份，重要数据每日备份，一般数据每周备份。所有数据操作必须记录操作日志，日志保存时间不少于6个月。二、网络空间安全治理（一）基础设施防护。必须建设等级保护测评体系，所有信息系统必须通过等级保护测评。重要信息系统必须通过三级等保测评。定期开展网络设备安全配置核查，不符合安全基线要求的必须立即整改。所有网络设备必须部署安全配置基线，基线标准应参考国家信息安全标准。建立网络设备变更管理制度，所有变更必须经过审批。（二）威胁情报应用。必须接入国家信息安全态势感知平台，实时获取威胁情报。建立威胁情报分析机制，对高危威胁必须进行研判处置。所有业务系统必须部署恶意代码检测系统，实现实时检测和自动隔离。建立恶意代码应急响应机制，发现恶意代码必须立即隔离分析，并全网通报。（三）供应链安全。所有信息系统建设必须采用符合国家标准的软硬件产品。建立供应商安全评估制度，对供应商必须进行安全资质审查。所有软件必须通过安全检测，检测不合格的不得采购使用。建立软件供应链安全管理制度，确保软件来源可靠、无后门。三、安全运维管理（一）运维流程规范。建立安全运维操作规程，所有运维操作必须按照规程执行。重要运维操作必须经过双人复核，并记录操作日志。建立运维操作审批制度，所有运维操作必须经过审批。运维操作完成后必须进行效果验证，确保操作达到预期目标。（二）应急响应机制。必须制定网络安全应急预案，预案应至少包含事件分类、处置流程、部门职责等内容。定期开展应急演练，检验预案有效性。建立应急响应小组，小组成员必须经过专业培训。应急响应小组必须配备应急物资，应急物资应定期检查补充。（三）安全审计管理。必须建设安全审计系统，对网络设备、服务器、业务系统等进行全面审计。审计日志必须与业务系统物理隔离，确保日志安全。审计日志保存时间不少于12个月。定期开展安全审计，对违规行为必须进行通报处理。四、安全意识教育（一）培训内容体系。必须建立全员安全意识培训制度，培训内容应包括信息安全法律法规、安全操作规范、网络安全防护知识等。新员工入职必须接受安全意识培训，培训合格后方可上岗。每年至少开展一次全员安全意识培训，培训考核不合格者不得上岗。（二）考核评估机制。建立安全意识考核制度，考核方式应包括笔试、实操等。考核结果应与绩效考核挂钩。建立安全意识评估机制，评估方式应包括问卷调查、访谈等。评估结果应作为改进培训的依据。（三）宣传氛围营造。必须在办公区域张贴安全宣传海报，海报内容应包括安全提示、违规后果等。定期发布安全资讯，提醒员工注意安全风险。建立安全举报制度，鼓励员工举报安全违规行为。五、安全投入保障（一）预算编制管理。必须将信息安全经费纳入年度预算，预算比例应不低于年度总预算的1%。信息安全经费必须专款专用，不得挪作他用。每年至少开展一次信息安全经费使用情况审计，确保经费使用合规。（二）资源调配机制。必须建立信息安全资源调配机制，确保信息安全工作顺利开展。调配资源应包括人员、设备、资金等。资源调配应优先保障核心业务系统安全。（三）绩效考核管理。建立信息安全绩效考核制度，考核内容应包括安全责任落实、安全目标达成等。考核结果应与部门绩效挂钩。建立信息安全奖惩制度，对安全工作表现突出的部门和个人给予奖励，对安全工作不力的部门和个人进行处罚。六、安全监督评估（一）内部监督机制。必须建立信息安全内部监督机制，监督内容包括制度执行、安全防护、应急响应等。内部监督应至少每季度开展一次。内部监督发现问题必须立即整改，并跟踪整改效果。（二）外部评估机制。必须定期委托第三方机构开展信息安全评估，评估内容包括制度体系、技术防护、运维管理等方面。评估结果必须作为改进信息安全工作的依据。对评估发现的问题必须制定整改计划，并按计划整改。（三）持续改进机制。建立信息安全持续改进机制，改进内容包括制度完善、技术升级、人员培训等。持续改进应形成闭环管理，确保信息安全工作不断优化。每年至少开展一次信息安全工作总结，总结经验教训，制定改进措施。七、附则说明本制度适用于所有信息系统及业务场景，解释权归信息安全管