机关信息系统安全管理制度

机关信息系统安全管理制度一、组织管理体系为构建权责清晰、协同高效的信息系统安全管理机制，本单位建立“领导小组统筹、主管部门主责、使用部门落实”的三级责任体系，确保安全管理要求贯穿信息系统规划、建设、运行、报废全生命周期。（一）领导小组职责成立由单位主要负责人任组长，分管信息化工作的领导任副组长，办公室、信息中心、保密办、纪检监察等部门负责人为成员的信息系统安全领导小组（以下简称“领导小组”）。领导小组每季度召开专题会议，研究部署以下工作：1.审定信息系统安全战略规划、年度工作计划及重大安全策略，确保与单位整体发展目标一致；2.审批安全经费预算，保障技术防护、人员培训、应急演练等必要投入；3.审议重大安全事件处置方案，对跨部门协调事项作出决策；4.监督安全责任落实情况，将信息系统安全纳入部门绩效考核体系。（二）主管部门职责信息中心作为信息系统安全主管部门，承担日常管理职责：1.制定安全管理制度、操作规范及技术标准，定期评估修订；2.统筹信息系统备案管理，建立包含系统名称、功能描述、部署位置、责任人、访问范围等要素的动态台账；3.实施安全监测与风险评估，每月生成安全态势报告，及时向领导小组汇报重大风险；4.组织安全培训与演练，指导使用部门落实安全措施；5.牵头处置安全事件，协调技术力量开展溯源分析与修复工作。（三）使用部门职责各业务部门作为信息系统使用主体，履行以下责任：1.指定1名兼职安全管理员，负责本部门终端设备、用户账号及数据的日常管理；2.落实“谁使用、谁负责”原则，确保本部门人员严格遵守安全操作规范；3.配合主管部门开展安全检查、风险评估及事件调查，及时反馈系统异常情况；4.参与安全培训与演练，提升本部门人员安全意识与应急处置能力。（四）岗位责任划分1.主要负责人：对信息系统安全负总责，审批重大安全事项，推动安全责任落实；2.分管领导：直接领导领导小组工作，协调资源解决安全管理中的重大问题；3.安全管理员（含专职、兼职）：负责设备巡检、日志审计、权限管理等具体工作，记录并报告安全隐患；4.系统运维人员：严格执行运维操作规范，确保系统运行安全，禁止未经授权的远程访问或数据操作；5.普通用户：遵守账号使用规则，保护个人密码安全，不得泄露系统信息或违规操作。二、人员安全管理（一）岗位设置与准入信息系统相关岗位（包括管理、运维、使用）实行分类管理，根据职责重要性划分为核心岗、重要岗、一般岗。核心岗（如安全管理员、系统管理员）需满足以下准入条件：1.政治立场坚定，无违法违纪记录；2.具备与岗位相匹配的专业资质（如网络安全工程师、信息系统安全管理员等）；3.入职前须通过背景审查，签订《信息系统安全保密承诺书》，明确保密义务与违约责任。（二）安全培训与考核1.新入职人员须完成不少于8学时的安全培训，内容包括：安全管理制度、操作规范、典型案例分析、应急处置流程等；2.在岗人员每年接受不少于16学时的继续教育，重点学习新出台的法规政策、新型攻击手段防范、数据安全保护技术等；3.培训结束后组织闭卷考核，成绩低于80分者需补训补考，未通过者暂停系统操作权限；4.核心岗人员每两年参加一次外部专业培训，取得更新的资质证书。（三）离岗离职管理1.员工因调动、离职等原因离开原岗位时，所在部门须在3个工作日内通知信息中心；2.信息中心在2个工作日内注销其系统账号，回收数字证书、密钥等访问凭证；3.涉及核心数据或关键系统运维的人员离岗时，需由保密办进行离岗审计，签署《信息交接确认单》，确保设备、资料、账号权限全部交接；4.与外聘人员（如第三方运维人员）终止合作时，需收回其使用的设备、账号，并删除其访问记录，必要时修改系统相关密码。三、设备与环境安全管理（一）硬件设备管理1.采购与登记：信息系统硬件设备（包括服务器、终端、网络设备、存储介质等）须通过公开招标或定点采购，优先选择符合国家信息安全标准的产品。设备到货后，信息中心须在5个工作日内完成验收，登记《设备管理台账》，内容包括设备编号、型号、生产厂商、出厂编号、部署位置、责任人、启用时间等。2.维护与报废：关键设备（如核心交换机、主服务器）实行“一机一档”管理，每季度进行一次全面检测，记录运行状态、故障处理情况；设备维修需由授权人员操作，涉及敏感数据的设备送修前须清空存储介质或物理拆卸存储部件并留存；报废设备须经技术鉴定，确认无数据残留后，由后勤部门统一回收处理，禁止私自处置或外借。（二）网络环境安全1.网络分区管理：信息系统网络划分为互联网区、内部业务区、涉密区（如有），不同区域间通过防火墙、网闸等设备隔离，严格控制跨区访问。内部业务区根据业务类型进一步细分（如办公网、业务数据库网），实施最小化访问策略。2.边界防护：互联网出口部署入侵检测系统（IDS）、入侵防御系统（IPS）及Web应用防火墙（WAF），实时监测攻击行为；内部网络边界部署访问控制列表（ACL），限制非授权设备接入。3.网络设备配置：路由器、交换机等网络设备的登录密码须定期更换（每季度至少1次），默认账户须删除或禁用；开启日志记录功能，保存周期不少于6个月；禁止启用不必要的服务（如FTP、Telnet），仅保留SSH、HTTPS等安全协议。（三）物理环境防护1.机房管理：机房实行双人双锁管理，出入人员须登记《机房出入记录表》，记录时间、人员、事由；机房配备温湿度监控、消防报警、视频监控等设施，温湿度需保持在22±2℃、40%-60%范围内，监控录像保存周期不少于90天；机房电力系统采用双路供电，关键设备配置不间断电源（UPS），续航时间不低于2小时。2.终端设备环境：办公终端须放置在安全位置，禁止非授权人员操作；移动设备（如笔记本电脑、平板电脑）使用后须锁入保险柜，外出携带需填写《移动设备外出审批单》，经部门负责人批准。四、数据安全管理（一）数据分类分级依据数据敏感性及影响程度，将信息系统数据分为五级：1.一级（核心敏感）：涉及国家秘密、重大决策、个人隐私（如身份证号、银行账号）等，泄露可能造成严重损害；2.二级（重要敏感）：涉及内部工作方案、未公开统计数据、业务关键流程等，泄露可能造成较大损害；3.三级（一般敏感）：涉及普通工作记录、公开信息整理成果等，泄露可能造成一定影响；4.四级（内部公开）：可在单位内部共享的通知、制度文件等；5.五级（外部公开）：可向社会发布的政策解读、工作动态等。（二）数据存储安全1.本地存储：一级、二级数据须存储于加密硬盘或专用存储设备，密钥由双人保管；移动存储介质（U盘、移动硬盘）实行备案管理，标注使用部门及责任人，禁止公私混用；禁止在非加密终端存储一级数据，禁止将一级数据存储于个人邮箱或云盘。2.云端存储：使用单位自有云平台存储数据，禁止使用第三方公共云存储一级、二级数据；云存储设备须部署访问控制、加密传输、日志审计功能，定期进行容灾测试。（三）数据传输安全1.内部传输：一级、二级数据通过单位专用加密通道传输，使用AES-256或国密SM4算法加密，传输过程中禁止明文存储；2.外部传输：需通过安全邮件系统（如加密邮件）或专用文件传输工具（如SFTP）发送，接收方须验证身份并确认接收；3.跨网传输：涉密数据（如有）须通过单向导入设备（如网闸）从涉密网向非涉密网传输，禁止反向操作。（四）数据备份与恢复1.备份策略：一级数据：每日增量备份，每周全量备份，备份介质离线存储于异地专用保险柜；二级数据：每周增量备份，每月全量备份，备份介质与主存储设备物理隔离；三级及以下数据：每月全量备份，备份介质可本地存放。2.恢复管理：数据恢复须经信息中心负责人审批，记录恢复原因、时间、操作人；每季度进行一次恢复演练，验证备份数据的完整性和可用性，形成《恢复测试报告》。五、访问控制管理（一）身份认证1.系统登录须采用多因素认证（MFA），核心系统（如财务系统、人事系统）须同时使用用户名密码+动态令牌或生物识别（指纹、人脸识别）；2.动态令牌由信息中心统一发放，绑定用户身份，丢失后须立即挂失并更换；3.临时账号（如外单位协作人员使用）实行“一事一申请”，审批通过后设置有效期（最长7天），到期自动禁用。（二）权限管理1.遵循“最小权限原则”，根据岗位职能分配系统访问权限，禁止超范围授权；2.权限审批流程：用户提交申请→部门负责人审核→信息中心复核→分管领导批准→权限开通；3.每季度对权限分配情况进行一次审计，清理冗余权限，形成《权限审计报告》；4.关键操作（如删除数据、修改系统配置）须双人确认，一人操作、一人复核并记录。（三）会话管理1.系统会话超时设置：普通用户30分钟无操作自动锁定，管理员15分钟无操作自动退出；2.禁止同一账号多人同时登录，系统检测到重复登录时自动终止先登录会话；3.远程访问（如VPN接入）须通过单位统一认证网关，限制访问时间段（工作日8:00-17:30），非工作时间访问需单独审批。六、运行维护安全管理（一）日常监控1.信息中心安排专人24小时值守监控平台，实时监测以下内容：网络流量：异常流量（如突发大流量、高频访问）；系统日志：登录失败、权限变更、数据操作等异常行为；设备状态：服务器CPU/内存使用率、存储设备容量、网络设备链路状态。2.监控人员发现异常后，须在5分钟内通知安全管理员，30分钟内形成初步分析报告，2小时内向领导小组汇报重大异常（如大规模数据外传、系统大面积宕机）。（二）补丁管理1.安全补丁实行分级处理：紧急补丁（高危漏洞，CVSS评分≥7.0）：48小时内完成测试并部署；重要补丁（中危漏洞，CVSS评分4.0-6.9）：7个工作日内完成部署；一般补丁（低危漏洞，CVSS评分<4.0）：每月集中部署一次。2.补丁部署前须在测试环境验证，确认不影响系统功能后再上线；部署后24小时内持续监测系统运行状态，记录补丁效果。（三）第三方运维管理1.委托第三方进行运维服务时，须签订《安全服务协议》，明确数据安全、保密义务及违约责任；2.第三方运维人员须接受背景审查，签订《保密承诺书》，由本单位人员全程陪同操作；3.运维过程中禁止使用自带设备，操作日志须实时同步至本单位监控平台，运维结束后删除临时账号及访问记录。七、应急管理（一）预案制定与演练1.制定《信息系统安全事件应急预案》，明确事件分级（特别重大、重大、较大、一般）、响应流程、责任分工及处置措施；2.每年至少开展2次应急演练，场景包括但不限于：数据泄露、系统宕机、网络攻击、物理设备损坏；3.演练结束后10个工作日内形成《演练总结报告》，分析问题并修订预案。（二）事件报告与处置1.事件发现后，现场人员须立即报告部门安全管理员，安全管理员10分钟内报告信息中心；2.信息中心接报后，30分钟内启动应急响应，封锁受影响系统，保存日志及证据，防止事件扩大；3.特别重大、重大事件须在2小时内向领导小组报告，并同步上报上级主管部门；4.事件处置完成后，7个工作日内形成《事件分析报告》，包括事件原因、影响范围、处置过程及改进措施。八、监督检查与责任追究（一）内部监督1.信息中心每季度开展一次安全检查，检查内容包括：设备运行状态、账号权限管理、数据备份情况、安全制度执行等；2.保密办每半年进行一次专项审计，重点核查敏感数据管理、涉密设备使用等合规性；3.检查结果形成《安全检查通报》，在单位内部公示，对存在问题的部门下发《整改通知书》，限期（一般不超过15个工作日）整改。（二）外部评估1.每两年委托具有资质的第三方机构进行信息系统安全等级保护测评（如等保2.0），测评结果