网络与信息系统安全管理办法

1 总则

1.1 第一条

为了进一步深入贯彻落实国家《关于加强信息安全保障工作的意见》（中办[2003]27号文件）、《信息安全等级保护管理办法》（公通字[2007]43号）等政策文件要求，加强XXX平台（以下简称“XXX单位”）网络与信息安全管理工作，切实提高XXX平台安全保障能力，特制定本办法。

1.2 第二条

本办法中各信息系统是指由XXX单位负责运营、维护的XXX平台的网系统、云平台系统。

1.3 第三条

本办法适用于XXX单位的所有员工。

2 安全使命

2.1 第四条

XXX单位的信息安全使命是保障信息系统安全、稳定、持续运行，为XXX平台信息化提供可持续发展的信息网络安全技术和管理支撑。

3 安全目标

3.1 第五条

XXX单位的信息安全目标是保证信息系统的机密性、完整性和可用性，确保整体达到信息系统第三级安全保护等级。

1）机密性是使信息和网络资源不泄露给未授权的个人、实体、进程，或不被其利用；

2）完整性是指保护信息和网络资源的准确和完整；

3）可用性是已授权实体一旦需要访问信息和网络资源就可访问和使用；

4）XXX平台网络系统、云平台系统的安全建设应达到国家重要信息系统的相关保护要求，总体实现信息系统三级安全保护等级。

4 信息安全责任机构和职责

4.1 第六条

信息安全是XXX单位所有工作人员必须共同承担的责任，应建立由信息安全应急响应小组与信息安全工作组共同构建的安全管理机构，信息安全组织机构如下图所示。

信息安全工作组/信息安全应急小组

4.2 第七条

信息安全领导小组是信息安全工作的最高领导决策机构，负责XXX单位信息安全工作的宏观管理。其职责是：

1）贯彻执行国家、农业部关于信息安全工作的方针、政策，组织落实信息安全体系建设工作的目标、方针、政策；

2）审定信息安全相关策略、规范及管理规定；

3）协调指挥XXX单位信息安全重大突发事件的应急处理；

4）完成上级交办的相关工作。

4.3 第八条

信息安全工作组负责落实信息安全领导小组决策，直接负责XXX单位信息系统安全建设、运行、维护等安全管理工作。其职责是：

1）负责制定XXX单位信息安全相关策略、规范及管理规定；

2）负责XXX单位信息安全管理工作及日常工作的落实；

3）督促信息安全重大突发事件应急预案的落实；

4）完成领导小组交办的有关事项。

4.4 第九条

信息安全应急响应小组全权负责处理信息系统发生的重大事故或突发事件，其主要领导由信息安全领导小组委任和授权。其职责是：

1）负责编制应急响应预案、信息安全事件应急处置流程和措施；

2）负责组织协调、处置和上报信息安全事件；

3）负责总结汇报信息安全事件处置情况和结果。

5 安全策略

5.1 第十条

建立XXX单位信息安全管理组织，负责组织、落实国家信息安全相关政策、法规和标准要求，审核并制定XXX单位信息安全的发展战略、规划、政策和管理制度，落实《信息安全组织及职责管理规定》。

5.2 第十一条

XXX单位应保持与国家信息安全主管机构、监管机构、上级主管单位和支撑企业信息安全建设、运营单位的联络，制定完整的《常用信息安全组织机构信息表》，确保与外部机构的沟通畅通。

5.3 第十二条

应加强XXX单位内部人员在录用前、工作期间、调岗和离岗的人员安全管理，确保XXX单位内部人员的背景、身份、专业资格和职能权限的安全性，要求员工签署保密协议，落实《内部人员安全管理规定》。

5.4 第十三条

每年组织开展一次全员信息安全教育或培训，提升XXX单位全员的信息安全意识，确保XXX单位信息安全目标和策略能够得到必要的宣贯。

5.5 第十四条

应加强外部人员的安全管理，防范外部人员带来的安全风险，应规范外部人员在XXX单位各项与信息系统相关的活动所要遵守的行为准则，严格落实《第三方人员安全管理规范》。

5.6 第十五条

建立信息安全管理制度制定、发布、审核和修订的管理要求，并满足国家法律、政策和规范的要求，确保信息安全管理制度持续改进，落实《信息安全管理制度管理规定》。

5.7 第十六条

确保信息化建设的项目立项、设计、实施、验收等各个环节与信息安全管理控制机制的有机结合，实现项目工程管理过程和内容安全可控，严格执行《信息化项目管理办法》。

5.8 第十七条

控制XXX单位机房的各项环境符合国家相关标准的要求，严格管理对机房的物理访问，严格落实《机房环境安全管理规定》。

5.9 第十八条

加强对XXX单位办公环境的安全管理，增强员工日常工作中的安全意识，管理对办公环境的访问，严格落实《物理和办公环境管理制度》。

5.10 第十九条

对信息资产进行识别、标识形成资产清单，加强对信息资产的安全管理，建立统一的信息资产分类、责任、授权和配置管理，严格落实《资产安全管理制度》。

5.11 第二十条

规范网络的使用，加强对网络接入、网络设备和网络变更的管理，严格落实《网络安全管理制度》。

5.12 第二十一条

定期评估信息系统的安全漏洞，加强系统补丁管理，规范并记录信息系统的重要操作行为，严格落实《系统安全管理制度》。

5.13 第二十二条

对防病毒系统进行统一规划，防止病毒在XXX单位内部传播，加强终端用户安全教育，避免终端引入病毒，严格落实《病毒防范管理制度》。

5.14 第二十三条

规范信息系统账号和密码的管理，对口令策略提出明确要求，严格落实《密码使用管理制度》。

5.15 第二十四条

加强信息系统运行维护过程中的变更管理，确保XXX单位信息系统的可核查性和可追溯性，合理控制信息系统变更产生的信息安全风险，结合日常信息系统的运行维护有关管理规定，落实《系统变更管理制度》。

5.16 第二十五条

加强信息系统安全运行维护和监控，对通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等进行监测和报警，及时发现可疑行为，并采取必要的应对措施，落实《云运维及安全管理规范》。

5.17 第二十六条

识别重要信息系统和关键数据，并根据业务及数据的连续性要求明确备份恢复要求，严格落实《信息备份与恢复管理制度》。

5.18 第二十七条

终端是处理和存储XXX单位业务信息的计算机，终端安全管理的重点是向使用人员提出约束性要求，使用人员不应在任何地点以任何方式进行违规操作，对于造成对XXX单位业务和信息损害的后果由使用人员承担，所有人员应严格执行《终端信息安全管理规定》。

5.19 第二十八条

根据信息安全事件的危害程度不同，XXX单位将信息安全事件分为不同级别，并设置不同的处置流程，严格落实《安全事件处理及应急响应流程》。

6 奖惩

6.1 第二十九条

对长期认真贯彻XXX单位信息安全管理规定，并因此而取得了较好成绩的组织和个人给予必要的鼓励、宣传和奖励。

6.2 第三十条

对违反XXX单位信息安全管理规定的组织、人员，根据其对XXX单位造成的损害程度，给予必要的批评教育、通报批评、经济处罚、行政处分等惩罚；构成犯罪的，移交司法机关依法处理。