iso22301：2019程序文件核心信息安全管理程序.pdfVIP

文件编号 版本号 修改号 核心信息安全管理程序 BCM7.5-02 A 0 1. 目的 为控制公司的核心信息安全，明确岗位职责，规范操作流程，维护网络正常 运行，确保计算机等核心信息安全，特制订本办法。 2. 适用范围 在企业中组织建立、实施、运行、监视、评审、保持和改进文件化的核心信 息安全管理程序， 提供必要的技术条件和设备设施保障， 识别和管理可能存在的 信息安全风险，确保信息安全事件的有效处理。 3. 职责 信息中心负责公司核心信息安全管理工作，核心信息安全主要包括网络安全、 终端安全、数据安全、机房安全和第三方人员管理。 3.1 负责公司网络安全和运维工作， 对公司信息网络的运行管理进行维护和检查。 3.2 负责公司终端安全管理，为公司终端安全管理建设提供指导，提高对于分散 终端的安全管理能力，规范系统中终端用户的行为，降低来自终端的安全威胁。 3.3 负责公司电子数据安全管理，其中特指对主要信息系统相关的重要数据，采 取适当的保护措施。 3.4 负责机房安全管理，对可能影响机房安全的各种因素进行控制，确保机房内 计算机系统、网络设备以及其他设施的正常运行， 保障机房工作人员的人身安全。 3.5 负责第三方人员安全管理，减少第三方人员对信息系统带来的安全风险。 4. 工作内容 4.1 运行 4.1.1 信息安全风险评估计划和控制 信息中心对信息安全风险评估工作进行规划和控制，并实施风险处置计划， 确保信息安全目标的达成。 4.1.2 信息安全风险评估实施 公司每年开展 1 次信息资产识别和信息安全风险评估的工作，当出现下列 情况时，管理者代表可以决定增加风险评估的次数： 公司的信息安全风险评估工作在公司整体风险管理的框架下进行，与公司 整体风险管理的年度工作同步进行， 评估所发现的风险作为公司整体风险的一部 分。 4.1.3 信息安全风险控制措施实施 公司针对评估出的信息安全风险应制定并实施信息安全风险处置计划，并 保留信息安全风险处置结果文档化信息以作为证据。 4.2 安全管控 4.2.1 网络安全管理 信息网络指公司的网络系统和网络应用系统等，包括网络服务系统、网络 安全设施、网络存储系统等。 公司信息网络设备的管理与部署在网络中应合理部署入侵保护系统，入侵 保护系统要求覆盖主要网络边界与主要服务器。 网络出口处必须安装硬件防火墙，并配置严格的访问策略，确保网络不受 攻击。 对于其它设备的接入，征得信息中心同意后由网络管理员负责具体的设备入网。 4.2.2 网站安全管理 4.2.2.1 信息中心指定专人即“网站管理员 ”负责官网整体运维管理，各信息提 供部门负责本部门对应栏目相关信息的采集、 报送，确保网站栏目信息的及时更 新。 4.2.2.2 网站管理员必须严格执行公司安全必威体育官网网址制度， 不得利用官网危害国家安 全、泄露公司机密、 从事违反国家法律法规等犯罪活动和违反公司规章制度的活 动；不允许利用网站传播违反四项基本原则的信息；不得制作、查阅、复制和传 播有损社会精神文明、有碍社会治安和有伤风化的信息。 4.2.3 数据安全管理 4.2.3.1 数据安全保护的范围是指主要信息系统执行过程中产生的运营支撑数 据、业务支撑数据和管理支撑数据等需要保护的重要数据。