信息安全管理制度

信息安全管理制度1.总则1.1目的为规范本单位信息系统、网络、数据、终端、账号、第三方接入安全管理，落实《网络安全法》《数据安全法》《个人信息保护法》、网络安全等级保护2.0相关要求，防范病毒、黑客入侵、信息泄露、篡改、丢失、勒索攻击等安全风险，明确安全责任，建立风险识别、防护、检测、响应、恢复闭环安全体系，保障业务持续稳定运行，特制定本制度。1.2适用范围本制度适用于本单位所有部门、全体员工、外包人员、驻场服务商、合作第三方；覆盖内部局域网、互联网、云平台、服务器、数据库、业务系统、办公终端、移动设备、U盘等存储介质、账号权限、业务数据、文档资料、机房基础设施等全部信息资产。1.3基本原则谁主管、谁负责；谁运营、谁负责；谁使用、谁负责。最小权限原则：账号、访问权限按需分配，杜绝超权限访问。分权制衡原则：管理员、安全管理员、审计管理员三权分离，权限不得兼任。预防为主、持续改进：定期风险评估、安全检查、培训演练。分类分级保护：按照数据重要程度、系统定级实施差异化防护。2.组织与岗位职责2.1信息安全领导小组组长：单位主要负责人；副组长：分管领导；成员：各部门负责人、信息负责人。职责：审定安全策略、审批重大安全方案、处置重大安全事件、审批安全预算、定期审议安全工作报告。2.2信息安全管理部门（信息化/运维部门）负责制度落地、安全技术防护建设、漏洞整改、账号管理、日志审计、安全监测；组织风险评估、等保测评、安全巡检、安全培训、应急演练；安全事件的上报、处置、溯源、复盘；对接网信、公安、监管单位。2.3各业务部门负责人为本部门信息安全第一责任人；落实部门安全自查、管控本部门业务数据、及时上报异常、组织本部门人员参加安全培训。2.4岗位设置系统管理员：服务器、操作系统、中间件、云资源运维配置；安全管理员：策略配置、防火墙、WAF、入侵检测、漏洞管理；审计管理员：日志留存、审计核查、操作记录追溯，不得兼任系统管理员；数据管理员：数据库、核心业务数据备份、数据导出管控。3.信息资产与风险评估管理建立《信息资产台账》，登记资产名称、用途、责任人、部署位置、重要等级、涉密/敏感标识；资产新增、变更、下线及时更新台账。定期开展信息安全风险评估（至少每年一次；重大系统变更、重大安全事件后追加评估），输出风险评估报告，制定整改清单、整改时限、责任人。信息系统上线前开展定级备案，按照等保要求完成测评整改。4.账号与权限管理账号实行一人一号、实名登记，严禁共用账号、转借账号；临时账号设置有效期，到期自动禁用。初始密码必须首次登录修改；密码复杂度：不少于12位，大小写字母+数字+特殊符号；定期更换（不超过90天）；禁止明文保存密码。权限申请流程：申请人填写权限申请单→部门负责人审批→信息安全部门审核开通；权限变更、离职必须及时走权限变更/注销流程。远程访问（VPN、远程桌面）实行白名单管控，开启二次认证（MFA）；禁止对公网直接开放高危管理端口。定期权限复核（每季度），清理闲置、过期、冗余权限。5.网络与机房安全管理内外网物理或逻辑隔离；禁止终端同时接入内网、互联网；无线网络SSID加密，禁止开放无密码Wi-Fi。边界部署防火墙、入侵防御、WAF，关闭不必要端口和服务；网络策略定期梳理，无用策略及时删除。机房实行门禁管理，出入登记；非授权人员不得单独进入机房；机房监控录像留存不少于90天；做好温湿度、消防、UPS、防雷管理。禁止私自拉线、私接路由器、交换机、随身Wi-Fi。6.服务器、业务系统与开发安全服务器最小化安装，关闭无关服务、端口；及时安装系统补丁、中间件漏洞补丁，补丁上线前先测试，避免业务故障。所有业务系统上线前必须进行安全测试、漏洞扫描，高危漏洞修复完成方可上线；上线后定期渗透测试、漏洞扫描。开发、测试、生产环境严格隔离；禁止在测试环境使用真实生产敏感数据；上线变更走变更审批流程，留存变更记录、回滚方案。系统操作日志、登录日志、数据库操作日志留存不少于6个月；重要系统日志留存不少于6个月，不可随意删除。7.终端与移动介质安全办公电脑统一安装杀毒软件、EDR终端防护，自动更新病毒库；禁止关闭安全防护软件。外来U盘、移动硬盘接入内网终端前必须查杀病毒；内外网介质分开使用，交叉使用必须审批、查杀。笔记本、手机等移动设备丢失、被盗第一时间上报，远程锁机、清除敏感数据。禁止在办公终端下载盗版软件、游戏、不明来源工具；禁止访问赌博、色情、非法网站。8.数据安全管理数据分类分级：公开数据、内部数据、敏感数据、核心重要数据，分类标识、差异化管控。敏感数据（个人信息、业务核心资料）导出、外发必须审批；禁止通过微信、QQ、邮箱随意发送敏感数据。数据备份：核心业务系统定期自动备份；执行本地+异地备份策略；每半年至少开展一次备份恢复演练，验证备份可用。数据销毁：过期纸质资料粉碎销毁；硬盘、存储介质销毁采用消磁、物理粉碎，禁止简单删除、格式化后外流。9.第三方服务商安全管理外包开发、运维、驻场人员进场前签订《信息安全保密协议》，登记身份，分配最小权限；离场当日全部账号注销、收回资料。与第三方签订安全责任条款，明确泄露、攻击事件追责；定期对第三方服务商进行安全审计。第三方远程运维接入必须审批、全程审计、限时访问。10.安全事件应急管理安全事件分级：一般事件、较大事件、重大事件（勒索病毒、大规模数据泄露、系统瘫痪）。发现异常（入侵、中毒、数据外泄、系统异常），第一时间上报信息安全部门，不得隐瞒、私自处理。按照应急预案处置：隔离主机、切断攻击链路、取证、恢复备份、溯源；重大事件按要求上报网信、公安部门。事件处置完成后出具事件复盘报告，优化防护措施；每年至少组织一次应急演练（勒索、数据泄露、断网场景）。11.安全培训与检查考核新员工入职必须进行信息安全培训并签署保密承诺书；全员每年不少于1次信息安全专项培训。常态化安全自查：部门月度自查，信息部门季度专项检查，年度全面安全大检查；形成检查台账，闭环整改。信息安全纳入绩效考核；发生违规、安全事件，按单位制度追责；涉嫌违法的移交公安机关。12.制度评审、修