T-CNEA 228-2025 核能行业网络安全业绩目标与评估准则

T/CNEA228—2025核能行业网络安全业绩目标与评估准则Performanceobjectivesandcriteriafornuclearindustrycybersecuritypeerreview2025-09-05发布2025-11-01实施中国核能行业协会发布前言本文件由中国核能行业协会提出并归口，技术支持单位为上海核工程研究设计院股份有限公司、核工业标准化研究所、苏州热工研究院有限公司、华能核能技术研究院有限公司。本文件首次发布。引言本文件旨在描述核能行业网络安全业绩目标与评估准则。同行评估强调持续改进和追求卓越，聚焦发现管理缺陷，其立足点和评估依据就是业绩目标与评估准则。业绩目标反映了待评估领域的最新和最佳业务实践，为各级管理者不断追求卓越设定管理业绩目标，为达成业绩目标明确相应的评估准则。本文件是核能行业网络安全同行评估系列标准之一。与本文件相关的文件包括：——T/CNEA229—2025核能行业网络安全同行评估与成员支持活动实施导则。核能行业网络安全同行评估体系规定了网络安全同行评估领域、各领域的业绩目标及评估准则。业绩目标与评估准则是评估员进行现场评估活动的参考依据。每一个目标覆盖一个单独的、被清晰定义的管理领域。每一个目标下有一组准则，描述对达成目标有贡献的确定的活动。1范围本文件规定了核能行业网络安全业绩目标与评估准则，为核能行业开展网络安全同行评估工作提供指导。本文件适用于核能行业开展网络安全同行评估，也可用于指导企业开展自评估工作。网络安全等级保护工作直接作用的对象，主要包括信息系统、通信网络设施和数据资源等。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T20984—2022信息安全技术信息安全风险评估方法GB/T22239—2019信息安全技术网络安全等级保护基本要求GB/T22240—2020信息安全技术网络安全等级保护定级指南GB/T25069—2022信息安全技术术语GB/T39204—2022信息安全技术关键信息基础设施安全保护要求3术语和定义GB/T25069—2022界定的以及下列术语和定义适用于本文件。3.1评估准则（peerreviewcriteria）：用于衡量和评价特定对象或活动是否达到预期标准的一套规则或指标。3.2三同步（threesynchronizations）：同步规划、同步建设、同步使用。3.3等级保护对象（targetofclassifiedprotection）：网络安全等级保护工作直接作用的对象，主要包括信息系统、通信网络设施和数据资源等。等级保护对象5个安全保护等级划分参见GB/T22240—2020。4缩略语下列缩略语适用于本文件。APT：高级持续性威胁（AdvancedPersistentThreat）DDos：分布式拒绝服务（DistributedDenialofService）E-Mail：电子邮件（ElectronicMail）FTP：文件传输协议（FileTransferProtocol）IP：网络互连协议（InternetProtocol）CE：安全计算环境（ComputingEnvironment）MP：安全监测防护（MonitoringProtection）PE：安全物理环境（PhysicalEnvironment）RB：安全区域边界（RegionBoundary）SC：安全建设管理（SecurityConstruction）SL：网络安全领导力（SecurityLeadership）SN：安全通信网络（SecurityNetwork）SM：安全管理保障（SecurityManagement）SO：安全运维管理（SecurityOperation）Telnet：远程登录（TelecommunicationsNetwork）Web：万维网（WorldWideWeb）5网络安全业绩目标领域划分核能行业网络安全业绩目标与评估准则是网络安全同行评估的核心文件。业绩目标与评估准则基于网络安全等级保护基本要求和关键信息基础设施保护要求，体现聚焦管理、增强网络安全领导力、着力网络安全管理改进的本质要求，符合“三分技术、七分管理”的客观规律和内在要求。通过同行评估方式，切实从“人的安全意识和安全行为以及管理缺陷”的角度，促进网络安全等级保护系列标准及关键信息基础设施保护要求有效落实。网络安全业绩目标分为网络安全领导力（SL）、安全物理环境（PE）、安全通信网络（SN）、安全区域边界（RB）、安全计算环境（CE）、安全建设管理（SC）、安全运维管理（SO）、安全监测防护（MP）和安全管理保障（SM）共九大子领域，整体架构聚焦三大核心目标：构建网络安全整体领导、协调推动和全员保障能力；保证建设或改造阶段系统、网络和数据的本体安全能力；建立和强化常态化、实战化的网络安全防护能力。6网络安全领导力（SL）业绩目标与评估准则6.1网络安全观和承诺6.1.1以总体国家安全观为指导，准确认识和把握网络安全的特点和规律，研究确定企业网络安全观，对企业安全工作目标和方针做出承诺。该业绩目标的负责人是企业负责人。6.1.2网络安全观和承诺评估准则包括：a)深刻认识网络安全工作的特点，准确把握和谋划网络安全工作；b)经常审视外部网络安全形势和威胁，评估自身网络安全风险、隐患和威胁；c)确定网络安全工作目标，对网络安全工作方针和政策做出承诺。6.2网络安全组织与责任6.2.1按照《中华人民共和国网络安全法》等法律法规和上级主管部门的要求，结合企业自身安全管控需要，设置明确网络安全工作领导、管理和专业技术组织；按照“谁主管谁负责、谁建设谁负责、谁运营谁负责、谁使用谁负责”的原则，落实网络安全工作责任制，层层分解落实责任。该业绩目标的第一责任人是企业负责人，直接责任人是企业主管网络安全的领导。6.2.2网络安全组织与责任评估准则包括：a)明确网络安全工作主体责任、分管责任、职能管理监督和运行监测责任；b)落实网络安全工作责任制，层层分解落实责任；c)建立网络安全绩效考核办法并有效执行。6.3网络安全防御体系6.3.1构建全面有效的网络安全管理、技术、运维和监督四位一体综合防御体系，推动该体系有效执行和不断完善。该业绩目标的第一责任人是企业负责人，直接责任人是企业主管网络安全的领导。6.3.2网络安全防御体系评估准则包括：a)建立企业网络安全管理、技术、运维和监督体系；b)推动体系执行的有效性检查，提出持续改进要求；c)通过网络安全同行评估等方式，发现体系设计或执行存在的问题，对标同行最佳实践，不断改进完善。6.4网络安全支持和促进6.4.1为支持和促进网络安全工作目标的实现，保障必要和持续的网络安全经费和人力投入，协调和促进网络安全纳入生产安全管理工作体系，支持网络安全等级保护和关键信息基础设施安全保护工作，推动风险、隐患和问题的发现和整改。该业绩目标的第一责任人是企业负责人，直接责任人是企业主管网络安全的领导。6.4.2网络安全支持和促进评估准则包括：a)保证网络安全必要和持续的经费和人力投入；b)促进将网络安全纳入生产安全管理工作体系，以生产管理方式管理网络安全；c)以开展网络安全等级保护和关键信息基础设施安全保护工作为依托，持续推动风险、隐患和问题的发现和整改。6.5网络安全文化6.5.1推动网络安全文化纳入公司安全文化工作体系，强化网络安全工作中的“严、慎、细、实”作风和习惯，促进网络安全与业务工作相融合，促进与各相关领域的分工协作。该业绩目标的第一责任人是企业负责人，直接责任人是企业主管网络安全的领导。6.5.2网络安全文化评估准则包括：a)促进网络安全工作中形成“严、慎、细、实”的作风和习惯；b)大力推行“网络安全人人有责，网络安全人人尽责”的全员网络安全防控理念；c)促进与反恐安防、物业管理、保密管理、舆情管控等内部部门的协同；d)加强与上级主管部门、外部标杆同行以及国家级权威专业技术机构之间的交流与合作。6.6网络安全规划与能力建设6.6.1通过指导、推进和协调网络安全专项规划制定与实施，支持网络安全专业人才培养，建立网络安全实验室和测试验证平台，加快核心技术和关键产品的自主可控研发或升级改造等措施，持续提升网络安全保障能力。该业绩目标的第一责任人是企业负责人，直接责任人是企业主管网络安全的领导。6.6.2网络安全规划与能力建设评估准则包括：a)指导、推进和协调网络安全专项规划制定与实施；b)创造条件建立网络安全实验室、工控系统测试验证平台/靶场等基础设施；c)促进网络安全核心技术和关键产品的自主可控研发或升级改造工作；d)明确并支持网络安全专业人才的培养和能力提升。7安全物理环境（PE）业绩目标与评估准则7.1物理环境安全管理：建立和执行机房安全管理制度，确保机房和云计算平台等环境安全，防范物理层面的安全风险。该业绩目标的负责人是机房设施专业负责人。7.2物理环境安全评估准则包括：a)指定部门或人员负责机房安全管理，规范机房出入管理，定期维护机房安全设施；b)安全保护等级第三级及以上系统，需建立完善的机房安全管理制度，明确机房安全防护要求；c)安全保护等级第二级及以上系统，不在重要区域接待来访人员，不随意放置敏感物品；d)安全保护等级第四级系统，对出入机房重要安全区域的人员进行严格授权，实时监视区域内活动；e)安全保护等级第二级及以上系统，云计算平台运维地点需位于中国境内，境外运维需严格遵照国家相关规定执行。8安全通信网络（SN）业绩目标与评估准则8.1通信网络安全管控：建立通信网络安全管理制度，规范网络架构设计、设备配置和通信传输过程，保障通信网络的稳定性、保密性和完整性。该业绩目标的负责人是通信网络专业负责人。8.2通信网络安全评估准则包括：a)合理划分通信网络区域，明确区域边界安全防护要求，防范跨区域安全风险；b)规范网络设备配置，关闭不必要的端口和服务，强化设备访问控制和身份鉴别；c)对通信传输过程中的数据进行加密保护，防范数据泄露、篡改和窃取；d)定期监测通信网络运行状态，及时发现和处置网络异常、攻击行为；e)安全保护等级第三级及以上系统，需建立通信网络冗余机制，保障网络服务的连续性。9安全区域边界（RB）业绩目标与评估准则9.1区域边界安全防护：建立安全区域边界防护机制，规范边界设备配置和访问控制，防范外部入侵和非法访问，保障区域边界安全。该业绩目标的负责人是网络安全专业负责人。9.2区域边界安全评估准则包括：a)部署边界防护设备（如防火墙、入侵检测系统等），明确防护策略，有效阻断非法访问；b)规范边界访问控制规则，明确访问主体、访问客体和访问权限，定期审核和更新访问规则；c)对跨区域边界的数据传输进行严格管控，验证数据的合法性和完整性；d)定期对边界防护设备进行检测和维护，确保设备正常运行，防护策略有效落实；e)安全保护等级第三级及以上系统，需对边界访问行为进行审计记录，便于追溯和排查安全事件。10安全计算环境（CE）业绩目标与评估准则10.1身份鉴别与访问控制10.1.1建立完善的身份鉴别和访问控制机制，规范用户账户管理、权限分配和访问行为，防范未授权访问。该业绩目标的负责人是应用系统/网络/安全专业负责人。10.1.2身份鉴别与访问控制评估准则包括：a)对用户身份进行严格鉴别，采用密码、密钥、生物识别等多种鉴别方式，确保身份真实性；b)按照“最小权限原则”分配用户权限，明确用户访问范围和操作权限，定期审核用户权限；c)安全保护等级第二级及以上系统，需设置密码复杂度要求，定期更换密码，防范密码泄露；d)对重要操作行为进行权限验证和记录，确保操作可追溯；e)安全保护等级第四级系统，需采用多因素身份鉴别方式，强化身份安全保障。10.2安全审计10.2.1启用安全审计功能，对用户行为和安全事件进行全面审计，确保审计信息完整、可追溯，为安全事件排查和责任认定提供依据。该业绩目标的负责人是应用系统/网络/安全专业负责人。10.2.2安全审计评估准则包括：a)安全保护等级第二级及以上系统，审计需覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；b)安全保护等级第四级及以上系统，审计记录应包括事件的日期和时间、事件类型、主体标识、客体标识和结果等；c)安全保护等级第二级及以上系统，应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖；d)安全保护等级第三级及以上系统，应对审计进程进行保护，防止未经授权的中断。10.3可信验证10.3.1根据安全保护对象的安全保护等级启用相应级别的可信验证安全机制，保障计算环境的可信性和安全性。该业绩目标的负责人是应用系统/网络/安全专业负责人。10.3.2可信验证评估准则包括：a)安全保护等级第三级及以上系统，需对计算设备、操作系统、应用程序等进行可信验证，确保其未被篡改；b)建立可信验证日志，记录验证过程和结果，定期审核验证日志；c)对可信验证过程中发现的异常情况，及时采取处置措施，防范安全风险。10.4大数据安全计算环境10.4.1依据核能行业数据分类分级规则，制定分级分类保护安全策略；建立和执行大数据平台、大数据应用和数据管理系统等安全要求、管理流程和记录表单，通过身份鉴别、访问控制、安全标记、数据脱敏、数据溯源、清洗转换控制、隔离存放、故障屏蔽、区分处置和集中管控等措施，保证大数据计算环境及其应用安全。该业绩目标的负责人是数据/系统专业负责人。10.4.2大数据安全计算环境评估准则包括：a)安全保护等级第二级及以上系统，建立数字资产安全管理策略，明确数据分类分级标准；b)安全保护等级第三级及以上系统，制定数据分类分级保护策略，明确重要数据脱敏使用场景和流程；c)建立数据溯源机制，确保数据全生命周期可追溯，避免数据失真；d)安全保护等级第三级及以上系统，确保数据满足合规审计要求，定期开展数据安全审计。11安全建设管理（SC）业绩目标与评估准则11.1定级备案和等级测评11.1.1按照国家和行业网络安全等级保护与关键信息基础设施保护管理要求和技术标准，落实网络安全“三同步”原则，规范、专业地开展网络与信息系统安全定级、论证审定、审批备案和测评整改，确保合规，促进设计、建设和运维等关键环节的安全水平提升。该业绩目标的负责人是网络信息管理/信息安全与保密专业负责人。11.1.2定级备案和等级测评评估准则包括：a)按照GB/T22240—2020的要求，对网络与信息系统进行安全定级，开展定级论证和审定工作；b)及时向相关主管部门提交定级备案材料，完成备案手续，配合主管部门的监督检查；c)按照等级测评要求，定期开展等级测评工作，对测评中发现的问题及时进行整改；d)安全保护等级第三级及以上系统，需委托具备相应资质的测评机构开展等级测评，确保测评结果真实有效。11.2工程实施管理11.2.1规范网络安全工程实施过程，建立工程实施管理机制，确保工程建设符合安全要求，保障系统建设质量。该业绩目标的负责人是网络信息管理/项目建设负责人。11.2.2工程实施管理评估准则包括：a)指定部门或人员负责工程实施管理，明确工程建设流程和安全要求；b)安全保护等级第二级及以上系统，制定安全工程实施方案，明确工程建设的安全目标和技术措施；c)安全保护等级第三级及以上系统，通过第三方监理控制工程实施过程，确保工程建设符合安全规范；d)制定测试验收方案并严格实施，形成测试验收报告，确保工程质量达标；e)安全保护等级第三级及以上系统，在系统上线前开展安全性测试，出具安全性测试报告；f)制定交付清单，清点交接物品，完成工程交付，同时对运维人员进行培训，提供完整的建设和运维文档。11.3服务供应商选择11.3.1制定服务供应商选择和使用要求、流程和表单，严格控制服务供应商带来的安全风险，确保服务供应商合规提供服务。该业绩目标的负责人是网络信息管理/项目建设负责人。11.3.2服务供应商选择评估准则包括：a)建立服务供应商选择标准，确保服务供应商选择过程合规，优先选择具备相应资质和安全能力的供应商；b)安全保护等级第二级及以上系统，与服务供应商签订服务协议，明确供应商的安全义务和责任；c)安全保护等级第三级及以上系统，定期对服务供应商进行监督评审，审核服务质量和安全合规情况，严格控制供应商变更；d)选择安全合规的云服务商，在服务水平协议中明确服务内容、服务指标、权限责任和数据清除要求；e)安全保护等级第三级及以上系统，与云服务商签署保密协议，要求云服务商及时传达供应链安全事件信息和重要变更，并评估相关风险。12安全运维管理（SO）业绩目标与评估准则12.1资产和配置管理12.1.1建立IT资产管理规定和措施，规范资产登记、分类、维护和处置过程，确保资产和配置信息及时、完整和准确。该业绩目标的负责人是安全监测负责人/各专业资产管理员。12.1.2资产和配置管理评估准则包括：a)安全保护等级第二级及以上系统，编制完整的资产清单，明确资产名称、型号、用途、责任人等信息；b)安全保护等级第三级及以上系统，根据资产重要程度进行标识管理，针对不同重要程度的资产采取相应的安全保护措施；c)制定信息分类与标识方法，对各类信息进行分类标识，规范信息管理；d)记录和变更维护资产基本配置信息，确保配置信息与实际情况一致；e)安全保护等级第三级及以上系统，建立合法无线接入设备和移动终端配置库，规范无线接入和移动终端管理。12.2设备维护和介质管理12.2.1建立设备维护和介质管理规定和流程，规范设备维护、介质存储、传输和处置过程，实现安全控制。该业绩目标的负责人是各专业负责人。12.2.2设备维护和介质管理评估准则包括：a)指定部门或人员定期对设备和线路进行维护，及时发现和处置设备故障和安全隐患；b)安全保护等级第三级及以上系统，建立配套设施和软硬件维护管理制度，明确维护流程和安全要求；c)安全保护等级第三级及以上系统，信息处理设备带离机房或办公地点需经过审批，敏感数据需进行加密处理；d)介质存放在安全环境中，由专人管理，定期进行盘点，确保介质安全；e)安全保护等级第二级及以上系统，控制介质物理传输过程，做好传输登记记录；f)安全保护等级第三级及以上系统，报废或重用含存储介质的设备前，需完全清除设备中的数据，防止数据泄露。12.3网络和系统安全管理12.3.1建立网络和系统安全管理制度，规范网络和系统运维操作，管控网络和系统安全风险。该业绩目标的负责人是网络/系统/安全监测专业负责人。12.3.2网络和系统安全管理评估准则包括：a)划分管理员角色，明确各角色的责任权限，实行权限分离，防范权限滥用；b)指定部门或人员进行账户管理，规范账户创建、修改、删除流程，定期清理无效账户；c)安全保护等级第二级及以上系统，建立网络和系统安全管理制度，明确运维操作规范；d)制定重要设备配置和操作手册，规范设备配置和运维操作，详细记录运维操作日志；e)安全保护等级第三级及以上系统，定期分析日志等数据，及时发现可疑行为和安全事件；f)严格审批控制变更性运维、运维工具使用、远程运维开通和外部连接，防范运维过程中的安全风险。12.4漏洞和恶意代码防范12.4.1建立漏洞和恶意代码防范要求和流程，及时识别和修补安全漏洞，防范恶意代码攻击，验证防范技术有效性。该业绩目标的负责人是网络/系统/安全监测专业负责人。12.4.2漏洞和恶意代码防范评估准则包括：a)定期开展漏洞扫描和风险评估，及时识别安全漏洞和隐患，并采取措施进行修补；b)安全保护等级第三级及以上系统，定期开展安全测评，针对测评中发现的漏洞和问题及时进行整改；c)加强用户防恶意代码意识培训，规范用户操作行为，防范恶意代码传播；d)对外部接入的设备进行恶意代码检测，防止恶意代码进入内部网络；e)安全保护等级第三级及以上系统，定期验证恶意代码防范技术的有效性，及时更新防范工具和策略。12.5密码管理12.5.1遵循密码标准，规范密码使用和管理，使用认证的密码技术和产品，保证密码管理合规有效。该业绩目标的负责人是信息安全与保密专业负责人。12.5.2密码管理评估准则包括：a)安全保护等级第二级及以上系统，遵循密码国家标准和行业标准，规范密码使用；b)使用国家密码管理部门认证核准的密码技术、产品和服务，确保密码安全；c)安全保护等级第四级系统，采用硬件密码模块实现密码运算和密钥管理，强化密码安全保障；d)建立密钥管理制度，规范密钥生成、存储、传输、使用和销毁过程，确保密钥安全。12.6变更管理12.6.1建立变更管理规定、流程和表单，规范网络、系统、设备和软件的变更过程，实现变更环节有效控制，防范变更带来的安全风险。该业绩目标的负责人是安全监测/各专业负责人。12.6.2变更管理评估准则包括：a)安全保护等级第二级及以上系统，明确变更需求，制定变更方案，并进行评审和审批；b)安全保护等级第三级及以上系统，建立变更申报、审批、实施、验收的全流程控制程序，以及变更中止和恢复程序；c)详细记录变更实施过程，包括变更内容、实施时间、实施人员、测试结果等，便于追溯；d)变更实施后，对变更效果进行验证，确保变更不会带来安全风险，不影响系统正常运行。12.7备份与恢复管理12.7.1建立备份与恢复规定，规范数据和系统备份、恢复过程，确保信息和系统持续可用，降低系统故障和安全事件造成的损失。该业绩目标的负责人是数据/系统专业负责人。12.7.2备份与恢复管理评估准则包括：a)识别需要定期备份的信息和系统，明确备份范围、备份方式、备份频度和备份存储位置；b)安全保护等级第二级及以上系统，根据数据重要性制定备份和恢复策略、程序，明确恢复目标和恢复流程；c)定期对备份数据进行测试，验证备份数据的完整性和可用性，确保备份有效；d)建立备份介质管理制度，规范备份介质的存储、保管和处置，确保备份介质安全；e)制定系统恢复预案，定期开展恢复演练，提高系统恢复能力。12.8外包运维管理12.8.1规范外包运维管理，签订外包运维服务协议，明确服务商安全要求并检查落实，防范外包运维带来的安全风险。该业绩目标的负责人是网络信息管理/外包管理负责人。12.8.2外包运维管理评估准则包括：a)安全保护等级第二级及以上系统，确保外包运维服务商选择过程合规，优先选择具备相应资质和安全能力的服务商；b)与外包运维服务商签订服务协议，明确服务范围、服务内容、安全要求和责任划分；c)安全保护等级第三级及以上系统，对服务商的安全运维能力进行评估，在协议中明确具体的安全运维要求；d)定期对外包运维服务商的服务质量和安全合规情况进行监督检查，及时发现和处置问题；e)规范外包运维人员的访问权限和操作行为，对运维操作进行记录和审计。12.9物联网节点设备管理12.9.1制定物联网节点设备管理规定，规范物联网节点设备的部署、维护和管理，防范社会工程学攻击和设备安全风险。该业绩目标的负责人是通信物联网专业负责人。12.9.2物联网节点设备管理评估准则包括：a)指定人员巡视感知和网关节点设备部署环境，记录设备运行状态和维护异常情况；b)安全保护等级第二级及以上系统，规定物联网节点设备全生命周期管理流程，包括设备部署、调试、维护、报废等环节；c)安全保护等级第三级及以上系统，加强物联网节点设备部署环境的保密性管理，防范设备被篡改、破坏或非法访问；d)规范物联网节点设备的身份鉴别和访问控制，确保设备接入安全；e)定期对物联网节点设备进行安全检测和固件更新，防范设备漏洞带来的安全风险。13安全监测防护（MP）业绩目标与评估准则13.1安全监测机制建设：建立常态化的网络安全监测机制，部署安全监测设备和工具，实现对网络、系统、数据和设备的实时监测，及时发现安全异常和攻击行为。该业绩目标的负责人是安全监测专业负责人。13.2安全监测防护评估准则包括：a)部署网络安全监测设备（如入侵检测系统、入侵防御系统、安全态势感知平台等），实现对网络流量、系统日志、用户行为的全面监测；b)明确监测指标和监测频率，确保监测覆盖所有重要网络和系统，监测数据完整、准确；c)建立安全异常预警机制，对监测到的异常情况及时发出预警，通知相关责任人进行处置；d)定期对安全监测设备和工具进行维护和升级，确保监测能力有效；e)安全保护等级第三级及以上系统，建立安全态势分析能力，对监测数据进行综合分析，识别潜在的安全风险和攻击趋势。13.3安全事件处置：建立网络安全事件处置机制，规范安全事件的发现、报告、处置和复盘过程，提高安全事件处置能力，降低事件造成的损失。该业绩目标的负责人是安全监测专业负责人。13.4安全事件处置评估准则包括：a)制定网络安全事件应急预案，明确事件分级、处置流程、责任分工和处置措施；b)对监测到的安全事件及时进行核实和分析，确定事件等级，按照应急预案进行处置；c)及时向上级主管部门和相关单位报告重大安全事件，配合事件调查和处置；d)事件处置完成后，对事件进行复盘，分析事件原因，总结经验教训，提出改进措施；e)定期开展安全事件处置演练，提高相关人员的处置能力和协同配合能力。14安全管理保障（SM）业绩目标与评估准则14.1安全管理制度建设：建立完善的网络安全管理制度体系，规范网络安全管理行为，确保各项安全工作有章可循、有据可依。该业绩目标的负责人是网络信息管理/信息安全与保密专业负责人。14.2安全管理制度评估准则包括：a)制定覆盖网络安全各领域、各环节的管理制度，包括安全管理、技术防护、运维管理等方面；b)管理制度符合国家法律法规和行业标准要求，结合企业实际情况，具有可操作性；c)定期对管理制度进行评审和更新，适应网络安全形势变化和企业业务发展需求；d)加强管理制度的宣贯和培训，确保相关人员熟悉制度要求，严格执行制度。14.3安全培训与意识提升：建立网络安全培训机制，开展常态化