信息安全管理制度

时间：2025-03-04 07:47:14 制度

（荐）信息安全管理制度

　　随着社会不断地进步，制度使用的情况越来越多，制度对社会经济、科学技术、文化教育事业的发展，对社会公共秩序的维护，有着十分重要的作用。拟定制度需要注意哪些问题呢？以下是小编整理的信息安全管理制度，欢迎阅读与收藏。

（荐）信息安全管理制度

信息安全管理制度1

　　第一章总则

　　第一条为进一步规范安全信息管理，畅通安全信息渠道，及时掌握现场安全生产动态，准确处理各类安全信息和资料，切实提高对安全信息的分析、统计、处理能力，更好地发挥用安全信息指导安全生产和预防安全隐患的作用，逐步建立、完善公司安全信息管理网络，制定本制度。

　　第二条本制度规定的安全信息系指在公司生产过程中发生的运输行车事故、人身伤亡事故、特种设备事故、生产安全隐患、设备隐患、治安事件、管理问题、职工违章违纪及其它影响安全生产的信息。

　　第三条安全信息管理必须遵循的原则

　　1、真实性原则。凡反馈的安全信息，必须做到件件真实、来源可靠、实事求是，具有可追踪性，杜绝虚假信息、失效信息、重复信息，保证安全信息的真实性。

　　2、准确性原则。各类安全信息的数据统计和综合分析，要做到全面、客观、准确，避免错、漏信息的发生。

　　3、时效性原则。安全信息的反馈要及时、快捷，严格按照规定时间、周期提报，不得人为拖延，影响信息畅通。

　　第四条充分利用办公信息系统网络资源，通过信息交换中心，传真电话等方式，及时传递安全信息，逐步实现安全信息网络化管理。

　　第五条公司各部门要完善安全信息管理办法，对安全信息的报道、反馈、处理等环节应作出具体规定，形成安全信息工作管理的闭环。

　　第二章管理职责

　　第六条公司领导职责：掌握安全生产动态，超前预测、超前防范，及时处置安全生产重要信息，组织解决危及安全生产的重大问题；公司安委会等监督检查发现的突出问题，及时通报有关单位、主管部门和贵州铁路实业集团公司，并对整改落实情况进行督促、检查；处理突发安全生产重大事件，审核或直接向贵州铁路实业集团公司（地方政府主管部门）报告或通报发生的安全重要信息。

　　分管领导：负责监督指导分管部门安全信息管理工作，督促分管部门及时掌握现场安全生产动态，确保信息渠道畅通；审核分管部门日常向贵州铁路实业集团公司（地方政府主管部门）报告或通报安全重要信息；按规定参加分管部门安全生产分析会议，对分管部门安全信息进行分析，查找倾向性、关键性问题，指导分管部门制订整改措施，掌握整改措施实施进度，督促危及安全的倾向性、关键性问题得到及时解决和整改。

　　第七条安委会职责：公司安委会是公司安全信息管理的监督部门。负责公司安全信息的收集、统计、综合分析，跟踪处理领导督办的信息，及时向公司领导汇报安全情况及重要信息，按规定向集团公司安监部和地方政府主管部门报送、反馈安全信息，按规定对公司各部门安全信息管理工作进行监督检查及考核。

　　第八条部门职责：公司各部门是安全信息的主体单位，负责本单位安全信息的收集，按规定时限和要求向公司安委会报送、反映、通报安全生产信息。

　　第九条信息主要来源：

1、安全事故信息；

2、领导干部监督检查信息；

3、公司安委会监督检查信息；

4、公司各部门检查发现、反馈的信息；

5、上级通报的信息；

6、其他信息（群众举报，新闻媒体等）。

　　第十条信息分类：安全信息分为生产安全事故信息和其他安全信息

　　事故信息包括：行车安全事故，人身伤亡事故，特种设备事故，火灾、爆炸、中毒、治安、交通事故信息。

　　其他安全信息包括：严重威胁行车安全，劳动安全和特种设备安全的重大隐患；未构成事故，但对于行车安全有影响，对人身安全构成威胁的信息；特种设备发生故障影响正常使用，运输不畅，装卸车多，卸车困难；公司布置的安全工作重点落实情况；安全监督检查情况；上级通报的信息；各种安全报表资料；明确要求上报的材料（活动安排工作小结，整改结果等）和其它有关影响安全生产的信息。其中：事故信息为重要信息。

　　第十一条事故信息传递要求

　　1、行车安全事故信息

　　凡施工装卸作业、调车作业、轨道车辆故障中断行车的信息，货场部发生或收到后，要认真做好记录，立即报告公司安委会，公司安委会在事发12小时内将事故发生地点、事故概况、初步影响范围、事故损失及人员伤亡情况报集团公司安监部，详细情况24小时内书面上报。

　　2、人身伤亡事故信息

　　在生产过程中，生产区域内发生的人身伤亡事故，不论原因、责任、伤亡人员归属情况是否属于工伤事故，相关部门都应认真做好记录并立即通知公司安委会，安委会电话速报集团公司安全部、人力资源部和党群工作部（工会）。

　　3、特种设备事故信息

　　发生严重以上的特种设备事故（有人员伤亡或者直接经济损失50万元（含50万元）以上的设备、事故或有人员伤亡的`设备爆炸事故）。货场部立即报告公司安委会，公司安委会立即报告集团公司安全部、质量技术部及当地质量技术监督行政部门，并同时报告设备使用注册登记的质量技术监督行政部门。

　　4、火灾、爆炸、中毒、治安、交通事故信息

　　1）火灾、爆炸一般以上事故，治安事件、交通（涉及人员轻伤）、中毒事故，公司安委会事发2小时内电话报集团公司安监部。

　　2）发生较大治安事件、交通安全事故（重伤及以上严重事故苗子和造成经济损失5万元以下的交通事故），公司安委会电话速报集团公司安监部，并于2日内书面上报。

　　3）发生急性中毒事故、火灾大事故、重大治安事件、重大交通事故及造成经济损失5万元（含5万元）以上50万元以下的特种设备事故，公司安委会电话速报集团公司安监部并于20小时之内书面上报。

　　4）发现或收到事故信息，除立即报告主管上级部门外，应向驻站民警通报和报案。

　　第十二条其它信息传递要求

　　1、发生或收到未构成安全事故，但对行车安全有影响，对人身安全构成威胁的信息，公司安委会要认真做好记录，必要时，应形成专题报告上报并在公司交班会上通报。

　　2、集团公司布置的安全重点落实情况、安全监督检查情况、安全通报信息，公司安委会在规定时间内反馈；上报信息处理情况。

　　3、集团公司明确要求上报的材料（活动安排、工作小结、

　　整改结果等），公司安委会必须按规定时期上报。

　　第三章综合分析处理

　　第十三条信息的综合分析

　　1、公司安委会定期对本系统安全信息进行综合分析，按照等级管理和时效管理要求，纳入本系统安全问题库。

　　2、公司安委会结合公司的安全信息、监督检查信息和上级通报的信息定期进行综合分析。

　　3、公司安委会每月定期对安全信息进行综合分析并形成月度安全分析报告（纪要）。

　　4、公司把安全生产信息纳入日交班、周大交班等会议及时进行分析。

　　第十四条信息处理

　　1、公司各部要充分利用安全信息的预测功能、许价功能、导向功能，把信息作为安全决策的重要依据，运用信息正确指导安全工作。

　　2、对安全信息做到三不放过的原则：不弄清责任不放过；不分析管理原因不放过；不制定措施不放过。

　　3、针对安全信息反映的倾向性问题采取加强管理、加大投入、强化控制等多种措施，及时消除安全隐患。

　　4、对上级主管部门及公司各部门反馈的安全信息及时调查、处理、反馈。

　　5、建立安全问题库，从信息的收集、分析到处理形成动态的闭环管理，保证安全信息畅通和有效利用，对上级通报、反馈的安全信息，公司各部要按要求及时上报调查处理及整改结果。

　　第四章附则

　　第十五条公司安委会是公司安全生产信息中心，任何部门、个人不得以任何借口对安全生产信息进行隐瞒、迟报、越级上报，一经发现，将追究责任人责任。

　　未按规定上报的信息分为漏报、迟报、错报。凡未上报视为漏报；凡超过规定时限上报，视为迟报；不符合完整、准确、质量要求者，视为错报。

　　第十六条公司安委会对各部门安全生产信息管理情况进行抽查检查，并将抽查检查情况纳入季度考核、奖惩。

　　第十七条安全生产信息管理工作的考核，由公司安委会按公司安全管理考核办法有关规定进行。

　　第十八条本制度由公司安委会负责解释。

信息安全管理制度2

　　随着医院信息化建设的深入推进，医院网络信息安全越来越受到重视。医院网络信息安全不仅涉及到病人的隐私信息，还关系到医院的管理和运营，一旦出现信息泄露、安全漏洞等问题，将会对医院造成严重的损失。因此，建立医院网络信息安全管理制度至关重要。

　　医院网络信息安全管理制度的定义医院网络信息安全管理制度是指针对医院网络信息的保密、完整性、可用性等方面的管理制度，包括技术措施和管理措施。通过制定医院网络信息安全管理制度，可以保障医院网络信息的安全，减少信息泄露和黑客攻击的风险。

　　1、信息管理：对医院各类信息进行分类管理，明确信息

　　的安全级别和保密措施，规定信息的使用、复制、存储等流程。

　　2、网络管理：建立完善的`网络设备管理制度，加强内部网络的安全性，对外部网络攻击进行监控和应对。

　　3、人员管理：对医院内部人员和外部人员进行权限管理，确保只有具有权限的人员才能访问和使用相关信息。

　　4、应急处理：建立响应机制，及时处置网络安全事件，减少损失和影响。

　　5、技术支持：针对医院网络信息安全技术的需求，提供相应的技术支持和培训。

　　6、内部宣传：对医院内部人员进行信息安全意识的培训和宣传，提高员工对信息安全的认知和保护意识。

　　7、审核监测：对医院网络信息进行实时监测和审查，发现安全隐患应及时进行处理。

　　8、安全检测：定期进行安全性评估和漏洞扫描，确保医院网络安全。

　　9、管理强制：对违反医院网络信息安全管理制度的人员进行相应的处理，加大管理力度。

　　10、保障信息安全：通过建立科学规范的管理制度，能够有效保护医院网络信息的安全性和完整性。

　　11、减少漏洞风险：对医院网络信息进行全面的监测和审核，能够及时发现隐患，减少漏洞的风险。

　　12、提高工作效率：通过规范和标准化的信息管理流程，能够有效提高工作效率和工作质量。

　　总之，建立医院网络信息安全管理制度是医院信息化建设中不可或缺的一环，只有从制度上保障医院网络信息的安全，才能更好的推进医院信息化建设，提高医院服务质量和患者满意度。

信息安全管理制度3

　　1、学校总务处重要职责是认真做好固定资产管理工作，实行财产保管责任制，建立财产分类帐和总帐。

　　2、凡是购进或调进资产、仪器、音体美器材等都记入固定资产清册，建立借用制度和赔偿制度，每学年末总务处根据财产变动情况进行一次核对调整。

　　3、注意检查维修、延长财产使用期限。总务部门要有高度责任心，对学校财产应一清二楚，对损坏事故应及时发现、及时处理，对损坏财产应及时组织维修，以提高使用效率。

　　4、学校财产、物品实行分级管理、教室内财产由班主任管理，办公室财产由各办公室负责人管理，少先队财产由大队辅导员管理，图书、教具、体育、音乐、美术、劳技室、实验室、实验仪器室、计算机、语音室、总控室、电教室、多媒体、档案室、教师资料室、仪器和日常物品由学校确定人员专人负责管理。

　　5、做好财产交接手续，开学初，各任科教师清点所接财产新旧和数量情况后保管使用，学期结束后，各任科教师交回相关财产，各室财产清点后上报总务处备案。

　　6、学校各部门要加强对学生进行勤俭节约，爱护公物教育，同时充分利用校会、班会、广播、黑板报等进行检查评比，大力表扬好人好事，批评不爱护公物的.行为，加强学生爱护学校财物的责任感、提高爱护公共财物的自觉性。做到平时有人保管，坏了有人报告，毁了有人赔偿，丢了有人查找。

　　7、身教胜过言教，教师首先要作学生表率。

　　（1）、离校要关好门、窗、电灯、吊扇。

　　（2）、各室物品不要任意搬运。

　　（3）、节约用水用电，提倡“节约为荣，浪费为耻。”风格。

　　8、校产管理小组要定期对各部门财产使用保管情况进行检查。

　　附一：财产赔偿制度。

　　1、教师在失职情况下，损坏遗失物品。根据新旧质量酌情赔偿。

　　2、学生在违纪情况下，损坏公物照价赔偿。

　　3、公物被窃应弄清责任人员，根据具体情况确定赔偿。

　　附二：财产领、借制度。

　　一、学校公物由总务处统一管理，任何人一律不得私自拿用。

　　二、教职工因工作、学习和生活需要需暂借用学校财物，须办借领手续。

　　1、领用消耗办公品，必须向保管员办理登记手续。

　　2、借用教学用具、仪器、挂图、参考资料向管理员办理登记手续，为提高利用率，用后必须及时归还。管理员对还物品要检查验收，如有损坏必须查明原因，酌情处理。

　　3、因参加各项活动需要服装、物品等，必须三天前与保管员联系（除特殊情况外）以便准备所需物品。

　　4、学校各类校产一般不借校外，如遇特殊情况必须备有书面借据报总务处批准，并收取一定的押金，方可借用。

信息安全管理制度4

　　为维护公司信息安全，保证公司网络环境的稳定，特制定本制度。

　　第一条信息安全是指通过各种计算机、网络（内部信息平台）和密码技术，爱护信息在传输、交换和存储过程中的机密性、完整性和真实性。详细包括以下几个方面。

　　1、信息处理和传输系统的平安。系统管理员应对处理信息的系统进行具体的平安检查和定期维护，避开因为系统崩溃和损坏而对系统内存储、处理和传输的信息造成破坏和损失。

　　2、信息内容的'平安。侧重于爱护信息的机密性、完整性和真实性。系统管理员应对所负责系统的平安性进行评测，实行技术措施对所发觉的漏洞进行补救，防止窃取、冒充信息等。

　　3、信息传播平安。要加强对信息的审查，防止和限制非法、有害的信息通过本公司的信息网络（内部信息平台）系统传播，避开对公司利益、公共利益以及个人利益造成损害。

　　第二条信息的内部管理

　　1、各部门在向网络（内部信息平台）系统提交信息前要作好查毒、杀毒工作，确保信息文件无毒上载；

　　2、依据状况，实行网络（内部信息平台）病毒监测、查毒、杀毒等技术措施，提高网络（内部信息平台）的整体搞病毒实力；

　　3、各信息应用部门对本部门所负责的信息必需作好备份；

　　4、各部门应对本部门的信息进行审查，网站各栏目信息的负责部门必需对发布信息制定审查制度，对信息来源的合法性，发布范围，信息栏目维护的负责人等作出明确的规定。信息发布后还要随时检查信息的完整性、合法性；如发觉被删改，应刚好向信息安全部门报告；

　　5、涉密文件不行放置个人计算机中，非涉密电子邮件的收发也要实行病毒查杀。

　　第三条信息加密

　　1、涉及公司隐私的信息，其电子文档资料应当在涉密介质中加密单独存储；

　　2、涉及公司和部门利益的敏感信息的电子文档资料应当在涉密介质中加密单独存储；

　　第四条任何部门和个人不得从事以下活动：

　　1、利用信息网络系统制作、传播、复制有害信息；

　　2、入侵他人计算机；

　　3、未经允许运用他人在信息网络系统中未公开的信息；

　　4、未经授权对网络（内部信息平台）系统中存储、处理或传输的信息（包括系统文件和应用程序）进行增加、修改、复制和删除等；

　　5、未经授权查阅他人邮件；

　　6、盗用他人名义发送电子邮件；

　　7、有意干扰网络（内部信息平台）的畅通运行；

　　8、从事其他危害信息网络（内部信息平台）系统平安的活动。

　　第五条本制度自发布之日起施行，凡与本制度有冲突的均以本制度为准。

信息安全管理制度5

　　一、人员方面

　　1. 建立网络与信息安全应急领导小组；落实具体的安全管理人员。以上人员要提供24小时有效、畅通的联系方式。

　　2. 对安全管理人员进行基本培训，提高应急处理能力。

　　3. 进行全员网络安全知识宣传教育，提高安全意识。

　　二、设备方面

　　1. 对电脑采取有效的安全防护措施（及时更新系统补丁，安装有效的防病毒软件等）。

　　2. 强化无线网络设备的安全管理（设置有效的管理口令和连接口令，防止校园周边人员入侵网络；如果采用自动分配IP地址，可考虑进行Mac地址绑定）。

　　3. 不用的信息系统及时关闭（如有些系统只是在开学、期末、某一阶段使用几天，寒暑假不使用的系统应当关闭）；

　　4. 注意有关密码的保密工作并牢记密码，定期更改相关密码，注意密码的复杂度，至少8位以上，建议使用字母加数字加特殊符号的组合方式；

　　5. 修改默认密码，不能使用默认的统一密码；

　　6. 在信息系统正常部署完成后，应该修改系统后台调试期间的密码，不应该继续使用工程师调试系统时所使用的密码；

　　7. 正常工作日应该保证至少登录、浏览一次系统相关页面，及时发现有无被篡改等异常现象，特殊时间应增加检查频率；

　　8. 服务器上安装杀毒软件（保持升级到最新版），至少每周对操作系统进行一次病毒扫描检查、修补系统漏洞，检查用户数据是否有异常（例如增加了一些非管理员添加的用户），检查安装的软件是否有异常（例如出现了一些不是管理员安装的未知用途的程序）；

　　9. 对上网信息（会发布在前台的'文字、图片、音视频等），应该由两位以上工作人员仔细核对无误后，再发布到网站、系统中；

　　10. 对所有的上传信息，应该有敏感字、关键字过滤、特征码识别等检测；

　　11. 系统、网站的重要数据和数据，每学期定期做好有关数据的备份工作，包括本地备份和异地备份；

　　12. 有完善的运行日志和用户操作日志，并能记录源端口号；

　　13. 保证页面正常运行，不出现404错误等；

　　14. 加强电脑的使用管理（专人专管，谁用谁负责；电脑设置固定IP地址，并登记备案）。

　　15. 在变更系统管理员、信息员时，应该做好交接工作，避免影响系统的正常运行，管理员变更后，相关密码也应该随之变更；

　　16. 对于所管理的系统中的子帐号，在相关人员离职等原因不再管理时，应该将有关帐号禁用或删除，避免带来安全隐患；

　　三、事故处置和汇报

　　1．发生网络及信息安全事故，无法立即处理的，要及时断网（值班人员要会进行断网操作）；并保护好相关现场（主要是电脑和网络设备），以便有关部门处理。

　　2．发生网络和信息安全事故要及时逐级汇报。

信息安全管理制度6

　　医院安全管理原则是：安全管理要和优质服务有机地结合起来，实行内紧外松的管理原则。

　　一、医院安全管理检查内容：

　　1、各项安全制度、安全操作规程是否落实。

　　2、接待会客登记等各项手续是否健全并按要求办理。

　　3、门窗是否牢靠，下班后是否关窗锁门。

　　4、各种钥匙的管理是否严格，有无交接手续，有无漏洞。

　　5、办公室的印章、票款、贵重物品、重要文件的存放是否安全可靠。

　　6、财务制度、库房管理制度是否落实，有无漏洞。

　　7、各种电器设备、消防器材、设施、报警系统等是否完好和灵敏有效。

　　8、易燃、易爆、剧毒等危险品的存放是否安全可靠。

　　9、有无火患及其他不安全因素。

　　10、各个部门值班情况，有无脱岗现象。

　　11、各部领导对安全工作是否重视，对检查发现的不安全因素是否认真整改。

　　二、安全检查制度实施办法

　　1、各部门、各岗位的领导和工作人员每天要结合服务工作对所负责的区域进行检查巡视，发现不安全因素及时处理和报告。

　　2、每月由行政部组织专门人员，对医院各部位进行一次全面安全检查。

　　3、行政部对各部门各岗位的安全情况随时可进行监督检查，各部门领导要予以支持和合作。医院安全保卫负责人每日详细填写《安全工作检查日记》。

　　4、重要节日前夕或有重活动时，由医院行政部组织全面检查。

　　5、机关、消防监督机关来医院进行安全检查时，各部门要予以协作。

　　6、每次安全检查情况，行政部要认真记录登记，建立安全检查档案。对经检查发现的不安全隐患，要及时通知有关部门。

　　7、各部门对存在的不安全隐患，要按要求的期限认真整改，一时解决不了的，要及时报告行政部，同时必须采取临时安全措施，保证安全。

　　三、医院钥匙管理规定

　　1、医院所有钥匙统一由行政部办理登记配给并办理更换手续；

　　2、医院任何场所之钥匙（财务室及金仓库除外），行政部留存一套备用。

　　3、行政部建立钥匙发放登记档案，将钥匙发出、更换日期、使用地点、数量、领取者姓名、所属部门及领取原因等分项进行登记，并由登记人、领取人同时签字。

　　4、凡属行政部配发的钥匙，如已磨损不能使用，或其他原因须报废必须由部门负责人出具证明，并将钥匙一起报行政部注销。

　　四、医院消防管理规定

　　认真贯彻"预防为主，防消结合"的消防工作方针和上级有关消防安全规指示，结合本部门工作，做好消防工作。严格遵守消防条例、法规、防火制度和操作规程，发现问题及时汇报，制止任何违消防制度的行为。

　　1、布置和组织本单位的防火宣传教育工作，制定防火安全制度，消除火灾隐患。

　　2、对本部门的防火重点要专人负责，采取必要的安全措施和健全各项防火安全，发现隐患及整改。

　　3、维护保养消防器材和消防设备，不得随意挪动和损坏。

　　4、做好上班前、下班后的安全检查工作。

　　5、发现火险积极扑救并及时准确报警，控制火灾发展。

　　6、熟悉本岗位的环境、设备、物品及安全操作规程，做好班前班后的'防火安全检查，清楚安全出入口的位置，熟悉消防器材、消防设备的摆放位置、使用方法、并做好保管工作。

　　7、对存放易燃易爆危险品的地方或物资库，严禁吸烟和动用明火，各类物品按条例有关规定存放，保持安全通道的畅通。）

　　8、不准在办公室存放易燃易爆、有毒和蚀性物品，对暂时使用的易燃、可燃品要、及时清理。不准将衣物放在台灯罩上烘干或在室内、房间内焚烧物品，下班前要关闭电脑等用电器。

　　9、不准使用电器设备加热东西，如因工作和维修使用电烙铁或其他电热工具时要注意防火安全，人离时要切断电源。

　　10、不准乱拉乱接电线，因工作需要时必须经行政部批准。

　　11、外来施工人员须在医院内夜间作业时，必须由行政部批准并安排专人实施安全管理。

　　五、医疗安全管理规定

　　1、应本着高度负责的原则对来院顾客做好手术或治疗前诊断，对各类手术或治疗手段的禁忌症要科学识别，禁止违规。

　　2、对顾客的术前检查或化验要严谨规范，及时提供准确、完整的检验报告，严防漏查、误查事故的发生。

　　3、严格执行无菌操作，认真做好"三查七对"，随时检查医疗设施设备的完好性、无菌性和药品、试剂等管理的规范性，认真做好各种治疗记录。

　　4、医生按规范要求认真填写病历、书写医嘱，准确交待相关注意事项，以高度负责的态度做好留守值班等工作，谨防差错事故发生。

　　5、护理治疗人员严格遵照医嘱进行治疗，患者有特殊要求时，须及时请教经治医生，不能擅作主张。

　　6、认真做好顾客术前术后的照像及手术（治疗）协议等客户资料、收集与整理工作，确保客户资料齐全。

　　7、男医生需在隐蔽区域为女患者做身体检查时，必须要在一名女护士在场时方可进行，否则视为严重违规，箭一次。

　　8、医生不得私自给患者实施手术同意书约定范围之外的其它手术，否则视为严重违规，箭一次，若发生医疗纠纷或事故，由责任人负担相应的经济、行政甚至法律责任。

信息安全管理制度7

　　1、安全管理制度要求

　　1.1总则：为了切实有效的保证公司信息安全，提高信息系统为公司生产经营的服务实力，特制定交互式信息安全管理制度，设定管理部门及专业管理人员对公司整体信息安全进行管理，以确保网络与信息安全。

　　1.1.1建立文件化的安全管理制度，安全管理制度文件应包括：

　　a）平安岗位管理制度；

　　b）系统操作权限管理；

　　c）平安培训制度；

　　d）用户管理制度；

　　e）新服务、新功能平安评估；

　　f）用户投诉举报处理；

　　g）信息发布审核、合法资质查验和公共信息巡查；

　　h）个人电子信息安全爱护；

　　i）平安事务的监测、报告和应急处置制度；

　　j）现行法律、法规、规章、标准和行政审批文件。

　　1.1.2安全管理制度应经过管理层批准，并向全部员工宣贯。

　　2、机构要求

　　2.1法律责任

　　2.1.1互联网交互式服务供应者应是一个能够担当法律责任的组织或个人。

　　2.1.2互联网交互式服务供应者从事的信息服务有行政许可的应取得相应许可。

　　3、人员安全管理

　　3.1平安岗位管理制度

　　建立平安岗位管理制度，明确主办人、主要负责人、平安责任人的职责：岗位管理制度应包括保密管理。

　　3.2关键岗位人员

　　3.2.1关键岗位人员任用之前的背景核查应根据相关法律、法规、道德规范和对应的业务要求来执行，包括：

　　①个人身份核查；

　　②个人履历的核查；

　　③学历、学位、专业资质证明；

　　④从事关键岗位所必需的实力；

　　3.2.2应与关键岗位人员签订保密协议。

　　3.3平安培训

　　建立平安培训制度，定期对全部工作人员进行信息安全培训，提高全员的信息安全意识，包括：

　　①上岗前的培训；

　　②平安制度及其修订后的培训；

　　③法律、法规的发展保持同步的接着培训。应严格规范人员离岗过程：

　　a）刚好终止离岗员工的全部访问权限；

　　b）关键岗位人员须承诺调离后的保密义务后方可离开；

　　c）协作公安机关工作的人员变动应通报公安机关。

　　3.4人员离岗

　　应严格规范人员离岗过程：

　　a）刚好终止离岗员工的全部访问权限；

　　b）关键岗位人员须承诺调离后的保密义务后方可离开；

　　c）协作公安机关工作的人员变动应通报公安机关。

　　4、访问限制管理

　　4.1访问管理制度

　　建立包括物理的和逻辑的系统访问权限管理制度。

　　4.2权限安排

　　按以下原则依据人员职责安排不同的访问权限：

　　a）角色分别，如访问恳求、访问授权、访问管理；

　　b）满意工作须要的最小权限；

　　c）未经明确允许，则一律禁止。

　　4.3特别权限限制和限制特别访问权限的安排和运用：

　　a）标识出每个系统或程序的特别权限；

　　b）根据“按需运用”、“一事一议”的原则安排特别权限；

　　c）记录特别权限的授权与运用过程；

　　d）特别访问权限的安排须要管理层的批准。

　　注：特别权限是系统超级用户、数据库管理等系统管理权限。

　　4.4权限的检查

　　定期对访问权限进行检查，对特别访问权限的授权状况应在更常见的时间间隔内进行检查，如发觉不恰当的权限设置，应刚好予以调整。

　　5、网络与主机系统的平安

　　5.1 网络与主机系统的平安

　　应维护运用的网络与主机系统的平安，包括：

　　a）实施计算机病毒等恶意代码的预防、检测和系统被破坏后的复原措施；

　　b）实施7×24h网络入侵行为的预防、检测与响应措施；

　　c）适用时，对重要文件的完整性进行检测，并具备文件完整性受到破坏后的复原措施；

　　d）对系统的脆弱性进行评估，并实行适当的措施处理相关的风险。注：系统脆弱性评估包括采纳平安扫描、渗透测试等多种方式。

　　5.2备份

　　5.2.1应建立备份策略，有足够的备份设施，确保必要的信息和软件在灾难或介质故障时可以复原。

　　5.2.2 网络基础服务（登录、消息发布等）应具备容灾实力。

　　5.3平安审计

　　5.3.1应记录用户活动、异样状况、故障和平安事务的日志。

　　5.3.2审计日志内容应包括：

　　a）用户注册相关信息，包括：

　　1）用户唯一标识；

　　2）用户名称及修改记录；

　　3）身份信息，如姓名、证件类型、证件号码等；

　　4）注册时间、IP地址及端口号；

　　5）电子邮箱地址和于机号码；

　　6）用户备注信息；

　　7）用户其他信息。

　　b）群组、频道相关信息，包括：

　　1）创建时间、创建人、创建人IP地址及端口号；

　　2）删除时间、删除人、删除人IP地址及端口号；

　　3）群组组织结构；

　　4）群组成员列表。

　　c）用户登录信息，包括：

　　1）用户唯一标识；

　　2）登录时间；

　　3）退出时间；

　　4）IP地址及端口号。

　　d）用户信息发布日志，包括：

　　1）用户唯一标识；

　　2）信息标识；

　　3）信息发布时间；

　　4）IP地址及端口号；

　　5）信息标题或摘要，包括图片摘要。

　　e）用户行为，包括：

　　1）进出群组或频道；

　　2）修改、删除所发信息；

　　3）上传、下载文件。

　　5.3.3应确保审计日志内容的可溯源性，即可追溯到真实的用户ID、网络地址和协议。电子邮件、短信息、网络电话、即时消息、网络闲聊等网络消息服务供应者应能防范伪造、隐匿发送者真实标记的消息的措施；涉及地址转换技术的服务，如移动上网、网络代理、内容分发等应审计转换前后的地址与端口信息；涉及短网址服务的，应审计原始URL与短UR L之间的映射关系。

　　5.3.4应爱护审计日志，保证无法单独中断审计进程，防止删除、修改或覆盖审计日志。

　　5.3.5应能够依据公安机关要求留存具备指定信息访问日志的留存功能。

　　5.3.6审计日志保存周期

　　a）应永久保留用户注册信息、好友列表及历史变更记录，永久记录闲聊室（频道、群组）注册信息、成员列表以及历史变更记录；

　　b）系统维护日志信息保存12个月以上；

　　c）应留存用户日志信息12个月以上；

　　d）对用户发布的信息内容保存6个月以上；

　　e）已下线的系统的日志保存周期也应符合以上规定。

　　6、应用平安

　　6.1用户管理

　　6.1.1向用户宣扬法律法规，应在用户注册时，与用户签订服务协议，告知相关权利义务及需担当的法律责任。

　　6.1.2建立用户管理制度，包括：

　　a）用户实名登记真实身份信息，并对用户真实身份信息进行有效核验，有校核验方法可追溯到用户登记的真实身份，如：

　　1）身份证与姓名实名验证服务；

　　2）有效的银行卡；

　　3）合法、有效的数字证书；

　　4）已确仔细实身份的'网络服务的注册用户；

　　5）经电信运营商接入实名认证的用户。（如某网站采纳已经实名认证的第三方账号登陆，可认为该网站的用户已进行有效核验。）

　　b）应对用户注册的账号、头像和备注等信息进行审核，禁止运用违反法律法规和社会道德的内容；

　　c）建立用户黑名单制度，对网站自行发觉以及公安机关通报的多次、大量发送传播违法有害信息的用户纳应入黑名单管理。

　　6.1.3当用户利用互联网从事的服务须要行政许可时，应查验其合法资质，查验可以通过以下方法进行：

　　a）核对行政许可文件；

　　b）通过行政许可主管部门的公开信息；

　　c）通过行政许可主管部门的验证电话、验证平台。

　　6.2违法有害信息防范和处置

　　6.2.1公司实行管理与技术措施，刚好发觉和停止违法有害信息发布。

　　6.2.2公司采纳人工或自动化方式，对发布的信息逐条审核。

　　实行技术措施过滤违法有害信息，包括且不限于：

　　a）基于关键词的文字信息屏蔽过滤；

　　b）基于样本数据特征值的文件屏蔽过滤；

　　c）基于URL的屏蔽过滤。

　　6.2.3应实行技术措施对违法有害信息的来源实施限制，防止接着传播。

　　注：违法有害信息来源限制技术措施包括但不限于：封禁特定帐号、禁止新建帐号、禁止共享、禁止留言及回复、限制特定发布来源、限制特定地区或指定IP帐号登陆、禁止客户端推送、切断与第三方应用的互联互通等。

　　6.2.4公司建立7*24h信息巡查制度，刚好发觉并处置违法有害信息。

　　6.2.5建立涉嫌违法犯罪线索、异样状况报告、平安提示和案件调差协作制度，包括：

　　a）对发觉的违法有害信息，马上停止发布传输，保留相关证据（包括用户注册信息、用户登录信息、用户发布信息等记录），并向属地公安机关报告；

　　b）对于煽动非法聚集、策划恐怖活动、扬言实施个人极端暴力行为等重要状况或重大紧急事务马上向属地公安机关报告，同时协作公安机关做好调查取证工作。

　　6.2.6与公安机关建立7*24h违法有害信息快速处置工作机制，有明确URL的单条违法有害信息和特定文本、图片、视频、链接等信息的源头及共享中的任何一个环节应能再5min之内删除，相关的屏蔽过滤措施应在10min内生效。

　　6.3破坏性程序防范

　　6.3.1实施破坏性程序的发觉和停止发布措施、并保留发觉的破坏性程序的相关证据。

　　6.3.2对软件下载服务供应者（包括应用软件商店），检查用户发布的软件是否是计算机病毒等恶意代码。

　　7、个人电子信息爱护

　　7.1.1制定明确、清晰的个人电子信息处置规则，并且在显著位置予以公示。在用户注册时，在与用户签订服务协议中明示收集与运用个人电子信息的目的、范围与方式。

　　7.1.2湖南凯美医疗网站仅收集为实现正值商业目的和供应网络服务所必需的个人信息；收集个人电子信息时，取得用户的明确授权同意；公司在姜个人电子信息交给第三方处理时，处理方符合本制度标准的要求，并取得用户明确授权同意；法律、行政法规另有规定的，从其规定。

　　7.1.3公司在修改个人电子信息处理时，应告知用户，并取得其同意。

　　7.2技术措施

　　公司建立覆盖个人电子信息处理的各个环节的平安爱护制度和技术措施，防止个人电子信息泄露、损毁、丢失，包括：

　　a）采纳加密方式保存用户密码等重要信息；

　　b）审计内部员工对涉及个人电子信息的全部操作，并对审计进行分析，预防内部员工有意泄露；

　　c）审计个人电子信息上载、存储或传输，作为信息泄露，毁损，丢失的查询依据；

　　d）建立程序来限制对涉及个人电子信息的系统和服务的访问权的安排。这些程序涵盖用户访问生存周期内的各个阶段，从新用户初始注册到不再须要访问信息系统和服务的用户的最终撤销；

　　e）系统的平安保障技术措施覆盖个人电子信息处理的各个环节，防止网络违法犯罪活动窃取信息，降低个人电子信息泄露的风险。

　　7.3个人信息泄露事务的处理

　　a）当发觉个人电子信息泄露时间后，应马上实行补救措施，防止信息接着泄露；

　　b）24小时内告知用户，依据用户初始注册信息重新激活账户，避开造成更大的损失马上告属地公安机关。

　　8、平安事务管理

　　8.1平安时间管理制度

　　8.1.1建立平安事务的监测、报告和应急处置制度，确保快速有效和有序地响应平安事务。

　　8.1.2平安事务包括违法有害信息、危害计算机信息系统平安的异样状况及突发公共事务。

　　8.2应急预案

　　制定平安事务应急处置预案，向属地公安机关珍宝，并定期开展应急演练。

　　8.3突发公共事务处理

　　突发公共事务分为四级：I级（特殊重大）、II级（重大）、III级（较大）、IV级（一般），互联网交互式服务供应者应建立相应处置机制，当突发公共事务发生后，投入相应的人力与技术措施开展处置工作：

　　a）I级：应投入安全管理等部门80%甚至全部人力开展处置工作；

　　b）II级：应投入安全管理等部门50% —80%的人力开展处置工作；

　　c）III级：应投入安全管理等部门30%—50%的人力开展处置工作；

　　d）IV级：应投入安全管理等部门30%的人力开展处置工作。

　　8.4技术接口

　　公司网站所设技术接口为公安机关供应的符合国家及公共平安行业标准的技术接口，能确保实时，有效地供应相关证据。

信息安全管理制度8

　　1目标

　　胜达集团信息安全检查工作的主要目标是通过自评估工作，发现本局信息系统当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。

　　2评估依据、范围和方法

　　2.1 评估依据

　　根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通［20xx］15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息[20xx]48号）以及集团公司和省公司公司的文件、检查方案要求, 开展××单位的信息安全评估。

　　2.2 评估范围

　　本次信息安全评估工作重点是重要的业务管理信息系统和网络系统等，

　　管理信息系统中业务种类相对较多、网络和业务结构较为复杂，在检查工作中强调对基础信息系统和重点业务系统进行安全性评估，具体包括：基础网络与服务器、关键业务系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。

　　2.3 评估方法

　　采用自评估方法。

　　3重要资产识别

　　对本局范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总，形成重要资产清单。

　　资产清单见附表1。

　　4安全事件

　　对本局半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记录，形成本单位的安全事件列表。安全事件列表见附表2。

　　5安全检查项目评估

　　5.1 规章制度与组织管理评估

　　5.1.1组织机构

　　5.1.1.1评估标准

　　信息安全组织机构包括领导机构、工作机构。

　　5.1.1.2现状描述

　　本局已成立了信息安全领导机构，但尚未成立信息安全工作机构。

　　5.1.1.3 评估结论

　　完善信息安全组织机构，成立信息安全工作机构。

　　5.1.2岗位职责

　　5.1.2.1估标准

　　岗位要求应包括：专职网络管理人员、专职应用系统管理人员和专职系统管理人员；专责的工作职责与工作范围应有制度明确进行界定；岗位实行主、副岗备用制度。

　　5.1.2.2现状描述

　　我局没有配置专职网络管理人员、专职应用系统管理人员和专职系统管理人员，都是兼责；专责的工作职责与工作范围没有明确制度进行界定，岗位没有实行主、副岗备用制度。

　　5.1.2.3 评估结论

　　本局已有兼职网络管理员、应用系统管理员和系统管理员，在条件许可下，配置专职管理人员；专责的工作职责与工作范围没有明确制度进行界定，根据实际情况制定管理制度；岗位没有实行主、副岗备用制度，在条件许可下，落实主、副岗备用制度。

　　5.1.3病毒管理

　　5.1.3.1 评估标准

　　病毒管理包括计算机病毒防治管理制度、定期升级的安全策略、病毒预警和报告机制、病毒扫描策略（1周内至少进行一次扫描）。

　　5.1.3.2 现状描述

　　本局使用Symantec防病毒软件进行病毒防护，定期从省公司病毒库服务器下载、升级安全策略；病毒预警是通过第三方和网上提供信息来源，每月统计、汇总病毒感染情况并提交局生技部和省公司生技部；每周进行二次自动病毒扫描；没有制定计算机病毒防治管理制度。

　　5.1.3.3 评估结论

　　完善病毒预警和报告机制，制定计算机病毒防治管理制度。

　　5.1.4运行管理

　　5.1.4.1 评估标准

　　运行管理应制定信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维流程、值班制度并实行工作票制度；制定机房出入管理制度并上墙，对进出机房情况记录。

　　5.1.4.2 现状描述

　　没有建立相应信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维流程、值班制度，没有实行工作票制度；机房出入管理制度上墙，但没有机房进出情况记录。

　　5.1.4.3评估结论

　　结合本局具体情况，制订信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维

　　流程、值班制度，实行工作票制度；机房出入管理制度上墙，记录机房进出情况。

　　5.1.5账号与口令管理

　　5.1.5.1 评估标准

　　制订了账号与口令管理制度；普通用户账户密码、口令长度要求符合大于6字符，管理员账户密码、口令长度大于8字符；半年内账户密码、口令应变更并保存变更相关记录、通知、文件，半年内系统用户身份发生变化后应及时对其账户进行变更或注销。

　　5.1.5.2 现状描述

　　没有制订账号与口令管理制度，普通用户账户密码、口令长度要求大部分都不符合大于6字符；管理员账户密码、口令长度大于8字符，半年内账户密码、口令有过变更，但没有变更相关记录、通知、文件；半年内系统用户身份发生变化后能及时对其账户进行变更或注销。

　　5.1.5.3 评估结论

　　制订账号与口令管理制度，完善普通用户账户与管理员账户密码、口令长度要求；对账户密码、口令变更作相关记录；及时对系统用户身份发生变化后对其账户进行变更或注销。

　　5.2 网络与系统安全评估

　　5.2.1网络架构

　　5.2.1.1 评估标准

　　局域网核心交换设备、城域网核心路由设备应采取设备冗余或准备备用设备，不允许外联链路绕过防火墙，具有当前准确的网络拓扑结构图。

　　5.2.1.2 现状描述

　　局域网核心交换设备准备了备用设备，城域网核心路由设备采取了设备冗余；没有不经过防火墙的.外联链路，有当前网络拓扑结构图。

　　5.2.1.3 评估结论

　　局域网核心交换设备、城域网核心路由设备按要求采取设备冗余或准备备用设备，外联链路没有绕过防火墙，完善网络拓扑结构图。

　　5.2.2网络分区

　　5.2.2.1 评估标准

　　生产控制系统和管理信息系统之间进行分区，VLAN间的访问控制设置合理。

　　5.2.2.2 现状描述

　　生产控制系统和管理信息系统之间没有进行分区，VLAN间的访问控制设置合理。

　　5.2.2.3评估结论

　　对生产控制系统和管理信息系统之间进行分区，VLAN间的访问控制设置合理。

　　5.2.3 网络设备

　　5.2.3.1 评估标准

　　网络设备配置有备份，网络关键点设备采用双电源，关闭网络设备HTTP、FTP、TFTP等服务，SNMP社区串、本地用户口令强健（>8字符，数字、字母混杂）。

　　5.2.3.2 现状描述

　　网络设备配置没有进行备份，网络关键点设备是双电源，网络设备关闭了HTTP、FTP、TFTP等服务，SNMP社区串、本地用户口令没达到要求。

　　5.2.3.3 评估结论

　　对网络设备配置进行备份，完善SNMP社区串、本地用户口令强健（>8字符，数字、字母混杂）。

　　5.2.4 IP管理

　　5.2.4.1 评估标准

　　有IP地址管理系统，IP地址管理有规划方案和分配策略，IP地址分配有记录。

　　5.2.4.2 现状描述

　　没有IP地址管理系统，正在进行对IP地址的规划和分配，IP地址分配有记录。

　　5.2.4.3 评估结论

　　建立IP地址管理系统，加快进行对IP地址的规划和分配，IP地址分配有记录。

　　5.2.5补丁管理

　　5.2.5.1 评估标准

　　有补丁管理的手段或补丁管理制度，Windows系统主机补丁安装齐全，有补丁安装的测试记录。

　　5.2.5.2现状描述

　　通过手工补丁管理手段，没有制订相应管理制度；Windows系统主机补丁安装基本齐全，没有补丁安装的测试记录。

　　5.2.5.3 评估结论

　　完善补丁管理的手段，制订相应管理制度；补缺Windows系统主机补丁安装，补丁安装前进行测试记录。

　　5.2.6系统安全配置

　　5.2.6.1 评估标准

信息安全管理制度9

　　为加强公司各信息系统管理，保证信息系统安全，根据《中华人民共和国保守国家秘密法》和国家保密局《计算机信息系统保密管理暂行规定》、国家保密局《计算机信息系统国际联网保密管理规定》，及上级信息管理部门的相关规定和要求，结合公司实际，制定本制度。

　　本制度包括网络安全管理、信息系统安全保密制度、信息安全风险应急预案。

　　网络安全管理制度

　　第一条公司网络的安全管理，应当保障网络系统设备和配套设施的安全，保障信息的安全，保障运行环境的安全。

　　第二条任何单位和个人不得从事下列危害公司网络安全的活动：

　　1、任何单位或者个人利用公司网络从事危害公司计算机网络及信息系统的安全。

　　2、对于公司网络主结点设备、光缆、网线布线设施，以任何理由破坏、挪用、改动。

　　3、未经允许，对信息网络功能进行删除、修改或增加。

　　4、未经允许，对计算机信息网络中的共享文件和存储、处理或传输的数据和应用程序进行删除、修改或增加。

　　5、故意制作、传播计算机病毒等破坏性程序。

　　6、利用公司网络，访问带有“黄、赌、毒”、反动言论内容的网站。

　　7、向其它非本单位用户透露公司网络登录用户名和密码。

　　8、其他危害信息网络安全的行为。

　　第三条各单位信息管理部门负责本单位网络的安全和信息安全工作，对本单位单位所属计算机网络的运行进行巡检，发现问题及时上报信息中心。

　　第四条连入公司网络的用户必须在其本机上安装防病毒软件，一经发现个人计算机由感染病毒等原因影响到整体网络安全，信息中心将立即停止该用户使用公司网络，待其计算机系统安全之后方予开通。

　　第五条严禁利用公司网络私自对外提供互联网络接入服务，一经发现立即停止该用户的使用权。

　　第六条对网络病毒或其他原因影响整体网络安全的子网，信息中心对其提供指导，必要时可以中断其与骨干网的连接，待子网恢复正常后再恢复连接。

　　信息系统安全保密制度

　　第一条、“信息系统安全保密”是一项常抓不懈的工作，每名系统管理员都必须提高信息安全保密意识，充分认识到信息安全保密的重要性及必要性。对重要系统的'系统岗位员工进行信息系统安全保密培训。

　　第二条、实行信息发布责任追究制度，所有信息的发布必须按规定办理审核、审签手续，必须真实有效且符合中华人民共和国法规。涉及国家及公司机密的信息系统必须与内部网和互联网实施物理隔离，严格执行上网信息的审查制度和涉及国家秘密的信息不得在企业内网发布的规定，杜绝泄密事件的发生。凡发布虚假、反动、色情、泄密等内容，追究信息报送和审核者责任，对公司造成重大经济损失，将追究责任人相应的法律责任。

　　第三条、信息系统管理权限从安全级别上分为绝密、机密、秘密；从适用对象上分为高级管理员、系统管理员、高级用户、中级用户、一般用户、特殊用户；从操作承载体上分为服务器（包括系统服务器、应用服务器和控制服务器）、工作终端、用户终端；从设定内容上分为完全控制、权限设置变更废止、创建、删除、添加、编辑、更新、运行、读取、拷贝、其他操作等。

　　第四条、所有信息系统的使用者和不同安全等级信息之间必须存在授权关系，并在新建信息系统开发建设阶段形成方案并加以设计，在软件系统中预留对应关系设置的功能，根据使用者岗位职务的变迁进行调整。

　　第五条、利用IT技术手段，对信息系统的硬件配置调整、软件参数修改严加控制。利用操作系统、数据库系统、应用系统所提供的安全机制，设置相应的安全参数，保证系统访问的安全；对于重要的计算机设备，要利用软件技术等手段防止员工擅自安装、卸载软件或改变软件系统配置，并定期对以上情况进行检查。

　　第六条、信息系统如需要委托专业机构进行系统运行和维护管理时，应严格审查其资质条件、市场剩余和信用状况等，并且与其签订正式的服务合同和保密协议。

　　第七条、所有信息系统服务器、工作终端、用户终端必须安装安全防病毒软件，对未安装防病毒软件的终端用户有权拒绝为其提供网络接入服务。

　　第八条、利用防火墙、路由器、入侵检测等网络设备，加强网络安全，严密防范来自互联网的黑客攻击和非法侵入。

　　第九条、对于通过互联网传输的涉密或关键业务数据，要采取必要的技术手段确保信息传递的保密性、准确性、完整性。

　　第十条、对于停止运行的废旧系统，应当做好系统中有价值及涉密信息的销毁、转移等善后工作。

　　第十一条、系统管理人员要遵守信息系统的各项管理制度，防止利用计算机舞弊和犯罪。

　　第十二条、对重要业务系统的访问建立用户管理制度，对于不同类别不同级别的各类管理及使用人员采取密码分级管理，设定密码有效期限，对密码存储采用非明文二次加密技术防止各类密码泄露事故的发生。

　　信息安全风险应急预案

　　一、总则

　　为加强公司信息安全风险源的预防管理，提高应急防范能力，保障网络系统、信息系统及信息机房的整体安全，促进公司安全生产稳步健康发展，制定本预案。

　　二、编制目的

　　依据《中华人民共和国计算机信息系统安全保护条例》、《中华人民共和国计算机信息网络国际联网安全保护管理办法》等有关法规文件精神。确保公司信息网络系统安全运行，为公司整体安全形势稳步发展提供保障。

　　三、适用范围

　　本预案适用于各单位信息安全突发风险应急管理。

　　四、主要风险源

　　1、火灾

　　2、意外断电

　　3、重要数据丢失

　　4、网络系统大面积瘫痪

　　五、风险源辨识及评估

　　各单位应组织员工对风险源进行全面、系统的辨识和风险评估，并确保：危险源辨识前要进行相关知识的培训；辨识范围覆盖本单位的所有活动及区域；对危险源辨识和风险评估资料进行统计、分析、整理、归档；

　　5.1、火灾辨识及评估

　　5.1.1火灾辨识

　　（1）自然灾害引起的火灾

　　（2）强电线路短路引起的火灾

　　（3）杂物堆积引起的火灾

　　（4）温度过高引起的火灾。

　　（5）老鼠咬线引起的火灾。

　　5.1.2火灾风险评估

　　机房发生火灾可能导致工作人员人身受到伤害；信息网络设备受到损坏；网络系统大面积瘫痪；国家、集体财产受到损失。

　　5.2、意外断电辨识及评估

　　5.2.1意外断电辨识

　　（1）自然灾害引起的意外断电。

　　（2）短路跳闸引起的意外断电。

　　5.2.2意外断电风险评估

　　1、意外断电可能导致机房核心交换机、防火墙、汇聚交换机、数据库服务器、软件服务器、恒温设备等重要设备损坏或数据丢失；

　　2、意外断电可能导致烟雾报警系统、温度报警和断市电系统无法正常工作而带来的间接财产损失。

　　5.3、重要数据丢失辨识及评估

　　5.3.1重要数据丢失辨识

　　（1）意外断电引起的数据丢失。

　　（2）服务器故障引起的数据丢失。

　　（3）数据库损坏引起的数据丢失。

　　5.3.2重要数据丢失风险评估

　　1、安全软件系统数据丢失可能导致安全生产监控类系统数据无法正常采集于传输，影响到矿井安全生产的正常进行。

　　2、数据库系统数据丢失可能导致经营管理类系统无法正常使用，影响公司相关部门经营管理工作和日常办公无法正常进行。

　　5.4、网络系统大面积瘫痪

　　5.4.1 网络系统大面积瘫痪辨识

　　（1）意外断电引起的核心交换机、防火墙损坏或故障导致网络系统大面积瘫痪。

　　（2）通信线路中断引起的网络系统大面积瘫痪

　　（3）服务器损坏或故障引起的大面积无法登录互联网。

　　5.4.2 网络系统大面积瘫痪风险评估

　　1、网络系统大面积瘫痪可能导致公司与生产矿井之间的信息传输中断，管理部门失去对矿井生产的安全监管，安全生产无法正常进行。

　　2、网络系统大面积瘫痪可能导致公司日常办公无法正常进行。

　　5.5、高空作业辨识及评估

　　5.5.1高空作业辨识

　　（1）日常高空维修可能造成人身伤害。

　　（2）工程高空施工可能造成人身伤害。

　　5.5.2高空作业风险评估

　　日常高空维修网络设备、打扫卫生和高空施工可能造成工作人员人身伤害和精神伤害，影响公司安全生产稳步发展。

　　六、安全风险应急预案及措施

　　根据各单位存在的主要风险源和风险评估，保障安全生产工作有序进行，制定本预案及措施。

　　6.1火灾应急预案及处置措施

　　6.1.1应急预案

　　（1）发生特大火灾时（包括机房、UPS、库房），值班人员应立即逃离火灾范围，启动对应的火灾应急预案和响应级别，拉响警报，向公司总调度室、本单位负责人、单位安监部门汇报，在确保人身安全的情况下，组织人员利用灭火器进行灭火；

　　如果火势过大，人员无法靠近时，应立即拨打火警119，求助消防部门进行灭火。

　　（2）发生重大火灾时（包括机房局部、UPS控制器、库房局部），值班人员应立即逃离火灾范围，启动对应的火灾应急预案，拉响警报，向公司调度室和本单位安监部门汇报，在确保人身安全的情况下，组织人员利用灭火器进行灭火，力争将财产损失降到最低。

　　（3）发生较大火灾时（包括消防通道、办公室）值班人员应启动对应的火灾应急预案，向公司总调度室及本单位安监部门汇报，在确保人身安全的情况下，组织人员利用灭火器进行灭火，避免或降低财产损失。

　　6.1.2处置措施

　　（1）火灾发生时，值班和工作人员应立即脱离火灾范围，确保人身安全。

　　（2）根据火灾大小确定火灾风险等级，并启动相应的响应等级。

　　（3）根据火灾风险等级向公司总调度室及本单位安监部门汇报火灾情况。

　　（4）火势过大无法控制时，应立即拨打火警119进行求助。

　　（5）在确保人身安全的情况下，组织人员利用灭火器进行灭火，避免火灾扩大，降低财产损失。

　　（6）尽最大可能搜集火灾发生的相关信息，做好记录，为事故处理提供依据。

　　（7）每月针对火灾诱发根源进行彻底检查（如易燃物品不能堆放、库房物品分类并整齐摆放等），预防火灾的发生。

　　6.2、意外断电应急预案及处置措施

　　6.2.1应急预案

　　发生自然灾害和短路引起的意外断电时，值班人员在确保人身安全的情况下，根据风险等级启动相应的响应等级，向本单位安监部门进行汇报，邀请电力维修人员进行断电故障排查，并组织技术人员对机房核心交换机、防火墙、汇聚交换机、数据库服务器、数据备份服务器、软件服务器、软件系统、烟雾报警、UPS温度监控、机房温度监控系统进行隐患排查，发现设备故障和数据丢失，应当进行及时处理和上报。

　　6.2.2处置措施

　　（1）发生意外断电时，在确保人身安全的情况下，值班人员应启动相应的响应等级。

　　（2）向本单位安监部门进行汇报。

　　（3）必须请专业电力维修人员进行故障排查与维修。

　　（4）搜集意外断电发生的信息并作好记录，为事故处理提供依据。

　　6.3、重要数据丢失应急预案及处置措施

　　6.3.1应急预案

　　（1）因意外断电引起重要数据丢失时，值班人员应根据风险等级启动相应的响应等级，向公司总调度室和安监部门进行汇报，邀请专业电力维修人员进行故障排查，恢复供电正常，排查机房设备及数据情况，发现设备故障和数据丢失，立即组织相关技术人员进行恢复。

　　（2）因服务器故障引起数据丢失时，值班人员应根据风险等级启动相应的响应等级，向公司总调度室和案件部门进行汇报，并组织技术人员进行服务器维修和数据恢复，如果服务器和数据无法维修和恢复时，应向本单位负责人汇报并外请专业人员进行维修，确保设备和数据安全。

　　（3）因数据库无法启动引起的数据丢失，值班人员应根据风险等级启动相应的响应等级，向公司总调度室和案件部门进行汇报，并组织技术人员进行数据恢复，如果数据无法恢复，应向本单位负责人汇报并外请专业人员进行数据恢复，确保设数据安全。

　　6.3.2处置措施

　　（1）发生数据丢失时，值班人员应根据风险等级启动相应相应等级。

　　（2）值班人员向本单位安监部门汇报。

　　（3）组织技术人员对数据进行恢复。

　　（4）本单位技术人员无法恢复丢失数据时，应向本单位负责人汇报并外请专业人员进行数据恢复，确保数据安全。

　　（5）做好数据丢失与恢复过程的记录。

　　6.4、高空作业应急预案及处置措施

　　6.4.1应急预案

　　（1）在高空维修过程中发生人员坠落风险时，如果坠落人员处于清醒状态，应立即拨打120送往医院进行急救；

　　如果坠落人员处于昏迷状态，其他维修人员应当立即进行简单的急救（如将人平躺在地上，进行按压胸部、掐人中、人工呼吸等），同时拨打120急救电话送往医院进行抢救，并向公司总调度室、本单位负责人及安监部门汇报。

　　（2）在高空施工过程中发生人员坠落风险时，如果坠落人员处于清醒状态，应立即拨打120送往医院进行急救；

　　6.4.2处置措施

　　（1）日常高空维修必须在确保人身安全的情况下进行，否则不能进行维修作业。

　　（2）在日常工作中设计到高空维修，维修人员一定要2人或2人以上进行维修。否则，维修人员可以拒绝维修工作。

　　（2）高空维修人员必须佩带安全绳索，并采用安全梯子进行高空作业。否则，不能进行高空维修作业。

　　（3）事故发生后要对事故的经过进行详细记录，为事故处理提供依据。

信息安全管理制度10

　　第一节总则

　　1、为加强医院信息技术外包服务的安全管理，保证医院信息系统运行环境的稳定，特制定本制度。

　　2、本制度所称信息技术外包服务，是指医院以签订合同的方式，托付担当信息技术服务且非本医院所属的专业机构供应的信息技术服务，主要包括信息技术询问服务、运行维护服务、技术培训及其它相关信息化建设服务等。

　　3、安全管理是以平安为目的，进行有关安全工作的方针、决策、安排、组织、指挥、协调、限制等职能，合理有效地运用人力、财力、物力、时间和信息，为达到预定的平安防范而进行的各种活动的总和，称为安全管理。

　　4、外包服务安全管理遵循关于平安的全部商业准则及适当的外部法律、法规。

　　第二节外包服务范围

　　1、外包服务包括信息技术询问服务、运行维护服务、技术培训等。

　　2、询问服务：

　　（1）依据医院的信息化建设总体部署，帮助医院制定切实可行的技术实施方案。

　　（2）对医院现有的信息技术基础架构、设备运行状态和应用状况进行诊断和评估，提出合理化的解决方案。

　　（3）依据医院的实际状况提出备份方案和应急方案。

　　（4）其它信息技术询问服务。

　　3、运行维护服务：

　　（1）软硬件设备安装、升级服务。

　　（2）硬件设备的.修理和保养。

　　（3）依据医院业务改变，供应应用系统功能性的需求解决方案及执行服务。

　　（4）系统定期巡检和整体性能评估。

　　（6）日常业务数据问题的处理服务。

　　（7）其它运行维护服务。

　　4、技术培训：依据医院的实际状况，供应相关的技术培训。

　　第三节外包服务安全管理

　　1、外包服务安全管理应根据“平安第一、预防为主”的原则，实行科学有效的安全管理措施，应用确保信息安全的技术手段，建立权责明确、覆盖信息化全过程的岗位责任制，对信息化全过程实行严格监督和管理，确保信息安全。

　　2、成立由分管领导同志信息化外包管理组织，明确信息化管理的部门、人员及其职责。

　　3、建立信息建设平安保密制度，与外包服务方签订平安保密协议或合同，明确符合安全管理及其它相关制度的要求。并对服务人员进行平安保密教化。

　　4、制定信息化加工过程管理、信息化成果验收与交接、存储介质管理等操作规程或规章制度。

　　5、外包服务方的人员素养、技术与管理水平能够满意拟担当项目的要求，进行相应的平安资质管理。

　　6、信息中心配备专人负责平安保密工作，负责日常信息安全监督、检查、指导工作。对服务方供应的服务进行平安性监督与评估，实行平安措施对访问实施限制，出现问题应遵照合同规定刚好处理和报告，确保其供应的服务符合医院的内部限制要求。

　　7、对外包服务的业务应用系统运行的平安状况应定期进行评估，当出现重大平安问题或隐患时应进行重新评估，提出改进看法，直至停止外包服务。

　　8、运用外包服务方设备的，对其进行必要的平安检查。

　　9、在重要平安区域，对外部服务方的每次访问进行风险限制；必要时应外部服务方的访问进行限制。

　　第四节附则

　　1、本制度由信息中心负责说明。

　　2、本制度自发布之日起生效执行。

信息安全管理制度11

　　为了加强学生管理，进一步做好学生平安信息登记工作，特制定以下制度。

　　1、学校对学生的家长姓名、家庭住址、联系方式等各方面状况逐一进行具体登记，做到学生家庭状况熟，底子说得清。

　　2、学校对患有先天性疾病和重大疾患的学生，建立档案，照实记载，并在教学活动和社会实践中进行重点监护，防止学生因参与不相宜的活动而造成意外损害。

　　3、做好学生出勤信息状况登记，对学生因事因病不能到校，学生家长应刚好填写书面假条交班主任处，由班主任刚好上报学校，学校作出统计。

　　4、学校将学生到校和放学时间、非正常缺课或擅自离校、以及身体和心理异样状况等关系学生平安的.信息，刚好登记，并将处理信息做好记录。

　　5、学生在校发生食物中毒、传染病流行、安全事故后，学校应刚好做好详实记录，做好事故现场及有关证据的保存工作。

　　6、做好学生平安信息登记工作的分析、总结、存档工作。

信息安全管理制度12

　　网络与信息的安全不仅关系到公司正常业务的开展，还将影响到国家的安全、社会的稳定。我公司将认真开展网络与信息安全工作，通过检查进一步明确安全责任,建立健全的管理制度,落实技术防范措施，保证必要的经费和条件,对有毒有害的信息进行过滤、对用户信息进行保密，确保网络与信息安全.

　　一、网站运行安全保障措施

　　1、网站服务器和其他计算机之间设置经公安部认证的防火墙,做好安全策略,拒绝外来的恶意攻击,保障网站正常运行。

　　2、在网站的服务器及工作站上均安装了正版的防病毒软件，对计算机病毒、有害电子邮件有整套的防范措施,防止有害信息对网站系统的干扰和破坏.

　　3、做好日志的留存.网站具有保存60天以上的系统运行日志和用户使用日志记录功能，内容包括IP地址及使用情况,主页维护者、邮箱使用者和对应的IP地址情况等。

　　4、交互式栏目具备有IP地址、身份登记和识别确认功能，对没有合法手续和不具备条件的电子公告服务立即关闭。

　　5、网站信息服务系统建立双机热备份机制,一旦主系统遇到故障或受到攻击导致不能正常运行，保证备用系统能及时替换主系统提供服务。

　　6、关闭网站系统中暂不使用的服务功能,及相关端口,并及时用补丁修复系统漏洞，定期查杀病毒。

　　7、服务器平时处于锁定状态，并保管好登录密码；后台管理界面设置超级用户名及密码,并绑定IP,以防他人登入。

　　8、网站提供集中式权限管理，针对不同的应用系统、终端、操作人员,由网站系统管理员设置共享数据库信息的访问权限，并设置相应的密码及口令.不同的操作人员设定不同的用户名,且定期更换，严禁操作人员泄漏自己的口令.对操作人员的权限严格按照岗位职责设定,并由网站系统管理员定期检查操作人员权限。

　　9、公司机房按照电信机房标准建设,内有必备的独立UPS不间断电源、高灵敏度的烟雾探测系统和消防系统，定期进行电力、防火、防潮、防磁和防鼠检查. 二、信息安全保密管理制度

　　1、我公司建立了健全的信息安全保密管理制度，实现信息安全保密责任制，切实负起确保网络与信息安全保密的责任.严格按照“谁主管、谁负责”、“谁主办、谁负责"的原则，落实责任制,明确责任人和职责,细化工作措施和流程，建立完善管理制度和实施办法，确保使用网络和提供信息服务的安全。

　　2、网站信息内容更新全部由网站工作人员完成，工作人员素质高、专业水平好，有强烈的责任心和责任感。网站所有信息发布之前都经分管领导审核批准。工作人员采集信息将严格遵守国家的有关法律、法规和相关规定。严禁通过我公司网站及短信平台散布《互联网信息管理办法》等相关法律法规明令禁止的信息(即“九不准"），一经发现,立即删除。

　　3、遵守对网站服务信息监视,保存、清除和备份的制度.开展对网络有害信息的清理整治工作，对违法犯罪案件,报告并协助公安机关查处.

　　4、所有信息都及时做备份。按照国家有关规定,网站将保存60天内系统运行日志和用户使用日志记录，短信服务系统将保存5个月以内的系统及用户收发短信记录. 5、制定并遵守安全教育和培训制度.加大宣传教育力度，增强用户网络安全意识,自觉遵守互联网管理有关法律、法规，不泄密、不制作和传播有害信息,不链接有害信息或网页。三、用户信息安全管理制度

　　1、我公司郑重承诺尊重并保护用户的个人隐私,除了在与用户签署的隐私政策和网站服务条款以及其他公布的准则规定的情况下,未经用户授权我公司不会随意公布与用户个人身份有关的资料，除非有法律或程序要求.

　　2、所有用户信息将得到本公司网站系统的安全保存，并在和用户签署的协议规定时间内保证不会丢失；

　　3、严格遵守网站用户帐号使用登记和操作权限管理制度，对用户信息专人管理，严格保密,未经允许不得向他人泄露.

　　公司定期对相关人员进行网络信息安全培训并进行考核,使员工能够充分认识到网络安全的重要性，严格遵守相应规章制度.

　　（一）信息安全管理组织机构设置及工作职责

　　一、组织机构

　　1、公司成立信息安全领导小组,是信息安全的最高决策机构，下设办公室，负责信息安全领导小组的日常事务.

　　2、信息安全领导小组负责研究重大事件,落实方针政策和制定总体策略等.职责主要包括: （1）根据国家和行业有关信息安全的政策、法律和法规,批准公司信息安全总体策略规划、管理规范和技术标准；

　　(2)确定公司信息安全各有关部门工作职责，指导、监督信息安全工作。

　　(3）信息安全领导小组下设两个工作组:信息安全工作组、应急处理工作组。组长均由公司负责人担任.

　　（4）信息安全工作组的主要职责包括：

　　①贯彻执行公司信息安全领导小组的决议,协调和规范公司信息安全工作；

　　②根据信息安全领导小组的工作部署，对信息安全工作进行具体安排、落实;

　　③组织对重大的信息安全工作制度和技术操作策略进行审查，拟订信息安全总体策略规划,并监督执行；

　　④负责协调、督促各职能部门和有关单位的信息安全工作，参与信息系统工程建设中的安全规划，监督安全措施的执行；

　　⑤组织信息安全工作检查，分析信息安全总体状况,提出分析报告和安全风险的防范对策；

　　⑥负责接受各单位的紧急信息安全事件报告，组织进行事件调查，分析原因、涉及范围，并评估安全事件的严重程度，提出信息安全事件防范措施；

　　⑦及时向信息安全工作领导小组和上级有关部门、单位报告信息安全事件。

　　⑧跟踪先进的信息安全技术,组织信息安全知识的培训和宣传工作. （5）应急处理工作组的主要职责包括:

　　①审定公司网络与信息系统的安全应急策略及应急预案；

　　②决定相应应急预案的启动，负责现场指挥,并组织相关人员排除故障，恢复系统；

　　③每年组织对信息安全应急策略和应急预案进行测试和演练。

　　（6）公司应指定分管信息的领导负责本单位信息安全管理，并配备信息安全技术人员，有条件的应设置信息安全工作小组或办公室，对公司信息安全领导小组和工作小组负责，落实本单位信息安全工作和应急处理工作。

　　二、工作职责

　　1、设置信息系统的关键岗位并加强管理，配备系统管理员、网络管理员、应用开发管理员、安全审计员、安全保密管理员，要求五人各自独立。要害岗位人员必须严格遵守保密法规和有关信息安全管理规定。

　　2、系统管理员主要职责有：

　　（1）负责系统的运行管理，实施系统安全运行细则；

　　（2）严格用户权限管理，维护系统安全正常运行；

　　（3）认真记录系统安全事项，及时向信息安全人员报告安全事件；

　　（4）对进行系统操作的其他人员予以安全监督。

　　3、网络管理员主要职责有:

　　（1）负责网络的运行管理，实施网络安全策略和安全运行细则；

　　（2)安全配置网络参数,严格控制网络用户访问权限,维护网络安全正常运行；

　　（3）监控网络关键设备、网络端口、网络物理线路，防范黑客入侵，及时向信息安全人员报告安全事件；

　　（4）对操作网络管理功能的`其他人员进行安全监督.

　　4、应用开发管理员主要职责有：

　　（1）负责在系统开发建设中，严格执行系统安全策略，保证系统安全功能的准确实现；

　　（2）系统投产运行前，完整移交系统相关的安全策略等资料;

　　（3）不得对系统设置“后门”;

　　（4）对系统核心技术保密等.

　　5、安全审计员负责对涉及系统安全的事件和各类操作人员的行为进行审计和监督,主要职能包括：

　　(1）按操作员证书号进行审计；

　　（2）按操作时间审计;

　　(3）按操作类型审计；

　　(4）事件类型进行审计;

　　（5)日志管理等.

　　6、安全保密管理员负责日常安全保密管理活动，主要职责有:

　　（1)监视全网运行和安全告警信息

　　（2）网络审计信息的常规分析

　　（3）安全设备的常规设置和维护

　　（4）执行应急中心制定的具体安全策略

　　(5)向应急管理机构和领导机构报告重大的网络安全事件。

　　7、公司指定法人代表为分管信息的领导，负责本公司信息安全管理，并配备信息安全技术人员，设置信息安全工作小组或办公室，对公司信息安全领导小组和工作小组负责,落实本单位信息安全工作和应急处理工作。

　　三、有害信息发现受理处置机制

　　公司有害信息处置机制是根据国家相关法律、法规的规定，结合我市实际制定的。主旨在于建立公司与工业和信息部以及通信管理局之间的快速反应机制，规范移动互联网有害信息处置流程，在法律、法规的保障下，及时、迅速的处置移动互联网有害信息。

　　本机制中“有害信息”包括：

　　(1)煽动抗拒、破坏宪法和法律、行政法规实施的;

　　(2)煽动颠覆国家政权,推翻社会主义制度的；

　　（3）煽动分裂国家、破坏国家统一的；

　　（4)煸动民族仇恨、民族歧视，破坏民族团结的；

　　（5）捏造或者歪曲事实，散布谣言，扰乱社会秩序的；

　　（6）宣扬封建迷信、淫秽、色情、赌博、暴力、凶杀、恐怖,教唆犯罪的; （7）公然侮辱他人或者捏造事实诽谤他人的；

　　（8）损害国家机关信誉的；

　　（9）其他违反宪法和法律、行政法规的。

　　本机制中“有害信息”指公司服务器上的网站Web栏目提供安全管理制度和技术防范措施的落实情况，对预防有害信息出现提出建议,对用户及员工上报的应急处置联系人员进行抽查,保障本机制实施。

　　主动发现手段:公司设置有害信息自动过滤平台，发现及抵御有害信息的入侵。

　　信息安全小组负责对公司所有网络资源进行实时监控，做到及时发现、即时处理的原则办理，对处理结果备案,对重大有害信息事件，应在第一时间上报主管领导及相关部门。

　　信息安全小组负责界定、监控、受理有害信息事件，要做到即接快办；夜间、节假日值班期间接到、发现的，应于次日或节假日后的第一个工作日办理,对需紧急办理的重大信息安全事件可先处理后登记（如遇紧急情况，可直接关闭服务器等设备，暂停网络运行）

　　负责查办的相关人员接到交办的事件后，应及时安排办理,要求在最短时限内处理完毕，如遇特殊情况不能按时处理完毕的，应报主管领导说明情况，可适当延长处理时间，处理结果应及时反馈给信息安全小组组长。在处理有害信息事件时，应按照处理流程，及时填写相应表单,并随处理结果报告一并存档。

　　处置流程：公司接到投诉-上报主管领导/记录相关信息—删除信息—备份—判别有害信息级别—上报主管部门/报案到公安局处-配合调查

　　按照公安部要求，有害信息分为三级，处理方法如下：

　　一类,20分钟内删除

　　二类，30分钟内删除

　　三类，60分钟内删除

　　主动发现手段：公司设置有害信息自动过滤平台，发现及抵御有害信息的入侵。

　　公司要求要对删除信息进行备份，以便网监局（公安局)查询时提供相关证据。

　　处理人员应对重大有害信息事件的举报人、发现人要求保密着做到保密，有关重大的有害信息事件及处理过程不得泄密

　　四、重大信息安全事件应急处置和报告制度

　　为确保发生网络安全问题时各项应急工作高效、有序地进行，最大限度地减少损失，根据《中华人民共和国计算机信息系统安全保护条例》、《计算机病毒防治管理办法》等相关法律法规，结合本公司信息网络实际情况，制定本制度.

　　1、事件等级:

　　根据信息安全事件的影响程度等因素将重大信息安全事件分为三个等级：

　　第三等级：特大信息安全事件，涉及国家安全和社会稳定，造成恶劣影响和严重后果。

　　第二等级：重大信息安全事件，涉及国家安全和社会稳定,造成较大社会影响和较严重后果. 第一等级：一般信息安全事件，造成一定社会影响的信息安全事件。

　　2、报告时限:

　　公司发生以上信息安全事件时,根据等级的不同分别向上级主管部门报告,报告分为口头报告、简要书面报告和专题书面报告：

　　发生特大信息安全事件时，公司在2小时内做出口头报告，24小时内做出简要书面报告,事件处理结束后3日内做出专题书面报告.

　　发生重大信息安全事件时，公司在4小时内做出口头报告，24小时内做出简要书面报告，相关事件处理结束后3日内做出专题书面报告。

　　发生一般信息安全事件时，公司在48小时内做出专题书面报告.

　　3、处置流程：

　　由于公司网络环境安全事件（包括火灾、盗窃、破坏、供电等)、网络运行相关事件（包括线路中断、路由障碍、流量异常、域名系统故障等）引发信息安全时，紧急通知我公司信息主管负责人，及时消除非法信息，恢复系统，无法迅速消除或恢复系统、影响较大时实施紧急关闭，并及时上报。

　　一般信息安全事件发生时,向入侵者所在的网络管理员投诉.

　　重大信息安全事件及特大信息安全事件发生时(如造成重大经济损失，破坏国家信息安全的反动政治言论），及时清除、保留证据，立即向网络和信息安全事件应急小组报告。网络和信息安全事件应急小组接到报告后，立即对发生的事件进行调查核实、保留相关证据,确定事件等级，向上级主管部门上报相关材料。

　　五、信息安全管理政策和业务培训制度

　　根据我国《移动互联网信息服务管理办法》的有关规定，本公司制定以下制度：

　　1、公司各级领导和信息安全管理人员定期(每年至少二次）学习《中华人民共和国治安管理处罚条例》、《计算机信息网络国际互联网安全保护管理办法》等有关法律、行政法规的规定,提高员工维护网络安全的警惕性和自觉性。

　　2、在开展信息安全教育活动中，必须结合先进的典型事例进行正面教育，以利取长补短。信息安全教育要求体现“六性”，即全员性、全面性、针对性以及成效性、发展性、经常性. 3、加强对我网站的信息发布审核管理工作，杜绝违犯《计算机信息网络国际互联网安全保护管理办法》的内容出现。

　　4、教育培训目标:

　　不断提高公司人员信息安全意识、信息技术素质，提高信息安全政策业务水平。

　　5、培训制度:

　　1)业务学习培训计划由技术部根据年度工作计划作出安排.

　　2）成立业务学习小组,定期组织业务学习；

　　3）工作人员每年必须参加不少于15个课时的专业培训。

　　4）工作人员必须完成布置的学习计划安排，积极主动地参加信息部组织的业务学习活动。

　　5）有选择地参加其它行业和部门举办的专业培训，鼓励参加其它业务交流和学习培训. 6)支持、鼓励工作人员结合业务工作自学。

　　6、培训内容：

　　1）计算机安全法律教育

　　①定期组织本单位工作人员认真学习《网络安全制度》、《计算机信息网络安全保护》等业务知识，不断提高工作人员的理论水平。

　　②负责对企业的网络用户进行安全教育和培训。

　　③定期的邀请上级有关部门和人员进行信息安全方面的培训,提高操作员的防范能力. 2）计算机职业道德教育

　　①工作人员要严格遵守工作规程和工作制度。

　　②不得制造，发布虚假信息,向非业务人员提供有关数据资料。

　　③不得利用计算机信息系统的漏洞偷窃客户资料，进行诈骗和转移资金。

　　④不得制造和传播计算机病毒。

　　3）计算机技术教育

　　①操作员必须在指定计算机或指定终端上进行操作。

　　②机房管理员，程序维护员，操作员必须实行岗位分离,不得串岗,越岗。

　　③不得越权运行程序,不得查阅无关参数。

　　④发现操作异常,应立即向机房管理员报告.

　　7、培训方式：

　　①结合专业实际情况，指派有关人员参加学习.

　　②有计划有针对性，指派人员到外地或外单位进修学习。

　　③举办专题讲座或培训班，聘请有关专家进行讲课。

　　④所有上岗工作人员或换岗工作人员应经过培训考核合格,方能上岗. ⑤自订学习计划，参加专业函授学习成绩及时反馈有关部门，良好学业者给予奖励。

　　8、公司网站必须接受并配合通信管理局和公安机关的安全监督、检查和指导，如实向以上两个部门提供有关安全保护的信息、资料和数据文件，协助公安机关查处通过国际互联网的计算机信息网络的违法犯罪行为。

　　六、有害信息发现和过滤技术手段

　　有害信息安全发现工作小组成员及职责

　　主要职责：

　　(1）承担公司值守应急工作；

　　（2)收集、分析工作信息,及时上报重要信息;

　　(3）负责公司网络与信息安全的监测预警和风险评估控制、隐患排查整改工作；

　　(4)负责网络与信息安全突发事件新闻报道相关工作；

　　(5）组织制订、修订与公司职能相关的专项应急预案,指导各分公司制定、修订网络与信息安全突发事件相关的应急预案；

　　(6）负责组织协调网络与信息安全突发事件应急演练；

　　(7）负责公司应对网络与信息安全突发事件的宣传教育与培训。

　　我公司作为一家专业的电信增值服务商,在为用户提供全面的健康信息时，对有害信息的过滤采用“系统智能过滤+人工过滤"方案，以保证信息的安全.

　　公司的信息过滤系统是一款专业的服务器非法信息过滤软件，实时拦截、替换服务器上各个网站的非法信息,并记录详细有偿信息过滤系统，具有高度的安全性和实用性. 我公司在使用信息过滤系统的同时，还采用人工审核的方式，以多种形式确保为用户发送信息的安全性及健康性,促进我国增值电信业务市场的良性运作，也为主管部门的监督管理工作提供技术保障，积极推动移动互联网信息行业的健康发展。

　　公司严格建立专人审核信息发布制度。公司各部门业务所有信息发布前，均需经过专人审核，确保信息的合法，安全。

　　信息审核主要负责人职责：

　　1、审核的广度和深度：审核涉及的面较广，要想真正起作用，不能只对信息系统的“皮毛”进行审计,否则就达不到真正保护系统安全的效力。

　　2、审核的环节：从信息系统安全保障体系的各个层次着手，一环套一环地进行审核。安全环节是很多系统平台本身就提供的，如对建立的相关安全档案进行审核，分析信息安全工作组织与管理情况,对业务处理用机操作系统或者数据库等进行检查，以分析系统的日志管理机制是否合理、有效.

　　3、关键字的设立、过滤与更新

　　公司保证采用的互联网信息平台具有信息内容的过滤功能。信息过滤包括对发布的信息内容、页面内容进行有效过滤。关键字的过滤功能,具体包括关键字设定、修改、查询功能，并提供相应的测试端口,并具有严格的权限管理功能。在发现的有害内容时按有关规定及时向有关部门汇报，并从技术上予以保证，包括有害信息的内容、发现时间、发现来源。

　　七、网络安全管理责任制度

　　1、组织工作人员认真学习《计算机信息网络国际互联网安全保护管理办法》,提高工作人员的维护网络安全的警惕性和自觉性。

　　2、负责对我公司员工进行安全教育和培训,使员工自觉遵守和维护《计算机信息网络国际互联网安全保护管理办法》，使他们具备基本的网络安全知识。

　　3、加强对我网站的信息发布审核管理工作，杜绝违犯《计算机信息网络国际互联网安全保护管理办法》的内容出现。

　　4、一旦发现从事下列危害计算机信息网络安全的活动：

　　①未经允许进入计算机信息网络或者使用计算机信息网络资源；

　　②未经允许对计算机信息网络功能进行删除、修改或者增加;

　　③未经允许对计算机信息网络中存储、处理或者传输的数据和应用程序进行删除、修改或者增加；

　　④故意制作、传播计算机病毒等破坏性程序的；

　　⑤从事其他危害计算机信息网络安全的活动.做好记录并立即向当地公安机关报告。

　　5、在信息发布的审核过程中,如发现有以下行为的：

　　①煽动抗拒、破坏宪法和法律、行政法规实施；

　　②煽动颠覆国家政权，推翻社会主义制度；

　　③煽动分裂国家、破坏国家统一；

　　④煽动民族仇恨、民族歧视、破坏民族团结；

　　⑤捏造或者歪曲事实、散布谣言，扰乱社会秩序；

　　⑥宣扬封建迷信、淫秽、色情、赌博、暴力、凶杀、恐怖、教唆犯罪；

　　⑦公然侮辱他人或者捏造事实诽谤他人;

　　⑧损害国家机关信誉。

　　都将接受并配合公安机关的安全监督、检查和指导,如实向公安机关提供有关安全保护的信息、资料及数据文件，协助公安机关查处通过国际联网的计算机信息网络的违法犯罪行为.

信息安全管理制度13

　　为保障学校网络和信息健康、安全，根据《计算机信息网络国际互联网安全保护管理办法》、《互联网安全保护技术措施规定》、《计算机信息网络国际联网安全保护管理办法》等国家法律、法规，特制定齐一小学信息安全管理条例。

　　总则

　　一、严格遵守国家有关涉及互联网方面的法律法规；

　　二、坚决封堵互联网上不良和有害信息的侵入；

　　三、积极配合公安机关的网络信息安全部门检查；

　　四、按照备案要求，及时备案学校在互联网应用方面的变更信息；五、学校建立网络信息安全领导小组和学校网络信息保护小组，并报公安机关的网络安全部门备案。

　　安全员制度

　　一、设立2人以上专职或兼职计算机信息网络安全员；

　　二、安全员在学校信息技术部主任领导下，主要负责全校网络系统的安全性；

　　三、安全员负责学校教师网络安全知识和操作方面的培训指导；

　　四、安全员确保系统日志保存并按规定保留60天以上；

　　五、安全员负责系统数据冗灾备份工作；

　　六、安全员负责对防病毒系统、防火墙和入侵检测系统定期升级；定期对系统进行安全检测，及时发现安全漏洞予以消除，并对检测和漏洞消除情况做好记录；

　　七、安全员承担对不良、有害信息上报、处置工作。

　　与公安机关联系制度

　　一、建立与公安机关联的长效机制，对网络安全方面出现的问题和情况及时沟通；

　　二、网络安全保护小组以及安全员保持通讯畅通，确保24小时联系制度；

　　三、对学校信息安全涉及的案件，应当在24小时内向当地公安机关报告；

　　安全教育和培训

　　一、安全员定期接受公安机关和上级教育主管部门的安全培训；

　　二、实时了解网络信息安全的动向，不定期对学校联网用户（教师）进行关于最新系统漏洞修复和最新病毒预防等安全防范方面的`培训和学习；

　　三、适时对学校老师进行基本的网络安全保护制度和具体方法的介绍，切实维护计算机联网安全；

　　机房管理制度

　　一、对能够进入网络控制机房的人员设定要求，建立网络控制机房准入制度；

　　二、严格执行对任何易燃、易爆、腐蚀性、强电磁、辐射性、流体物质等对设备正常运行构成威胁的物品的禁止要求；

　　三、操作密码定期更改要求，超级用户权限设定、机房管理员权限等等的权限设定；

　　四、建立《机房日志》，对各类软硬件的添加、更换等进行登记；

　　五、各种主要数据的冗灾备份要求；

　　六、对机房设置的消防器材等不定期进行检查的要求，确保其有效性。

　　安全保护技术措施

　　一、对个人使用计算机设置系统密码，并设置屏幕保护，加强保护个人使用计算机信息安全；

　　二、系统日志保存完善，参照《互联网安全保护技术措施规定》，保存时间在60天以上；

　　三、对系统安全防范系统定期检测、升级、漏洞修补，确保系统安全；

　　四、系统数据冗灾备份；

　　五、定期巡视，确保信息安全、合法。

　　巡视上报制度

　　一、对于校园论坛、留言板、社区等，建立信息发布前的关键字或敏感词汇的自动过滤功能；

　　二、对于电子邮件服务，建立垃圾邮件的自动过滤功能；

　　三、新闻时事、时政类栏目信息以及学校其他相关信息对外发布，必须建立信息发布前的审核制度；

　　四、以上通过相关管理措施发现的有害信息应完整留存，并指定专人定期上报公安机关网络安全部门。

　　用户登记制度

　　学校信息中心将对每位教师使用的计算机主机所对应IP地址，做好如实的登记工作，变动信息及时更新工作。

　　附则

　　本制度自即日起实施。制度一式三份，一份报公安机关网络安全部门备案；一份报教育局信息中心备案；一份与学校信息技术部存档保管备查。

信息安全管理制度14

　　一、企业信息安全管理体系

　　1 、计算机设备管理体系1.使用计算机的部门应保持清洁、安全、良好的计算机设备工作环境，严禁在计算机应用环境中放置易燃、易爆、强腐蚀、强磁性等危害计算机设备安全的物品。

　　2.当本单位非技术人员对本单位设备进行维护时、系统、维护，本单位相关技术人员必须现场监督全过程。计算机设备在送去修理之前必须得到有关部门负责人的批准。

　　3.严格遵守安全操作规程和正确的使用方法，如计算机设备使用、启动、关机。任何人不得用电插拨计算机外部设备的接口。如果计算机出现故障，应及时向计算机责任部门报告。未经许可不得擅自处理或从其他单位找技术人员进行维护和操作。

　　二、操作员安全管理系统

　　(1) .操作代码是进入各种业务操作应用系统的代码、数据访问的分级控制。

　　操作代码分为系统管理代码和一般操作代码。代码是根据不同应用系统和工作职责的要求设置的。

　　(2) .系统管理操作代码设置和管理

　　1、系统管理操作代码必须由管理层授权。

　　2、系统管理员负责各种应用系统的环境生成、维护、通用操作代码的生成和维护、故障恢复的管理和维护等。

　　3、系统管理员必须获得其上级对业务系统数据整理的授权、故障恢复和其他操作；

　　4、系统管理员不得使用他人的操作码进行业务操作；

　　5、系统管理员调离岗位。上级管理员(或相关责任人)应及时取消其代码并生成新的系统管理员代码。

　　(3) .通用操作代码设置和管理

　　1、一般操作代码由系统管理员根据各种应用系统的操作要求生成，并根据每次操作的用户代码进行设置。

　　2、经营者不得将他人代码用于经营活动。

　　3、操作员调离岗位。系统管理员应取消他的代码，并及时生成新的操作员代码。

　　三、密码和权限管理系统

　　1.密码设置应该具有安全性、保密性，并且不能使用简单的代码和标签。

　　密码是保护系统和数据安全以及保护用户自身权益的控制代码。

　　密码分为用户密码和操作密码，用户密码是登录系统时设置的密码，操作密码是进入各应用系统的操作员密码。

　　密码设置不应是容易猜到的数字和字符串，如名称、生日，重复、序列、常规数字；

　　2.密码应定期修改，修改间隔不超过一个月。如果发现或怀疑密码丢失或泄露，应立即修改，并将用户名、修改时间、修改等内容记录在相应的寄存器中。

　　3. server 、路由器等重要设备的超级用户密码应由运营机构负责人指定的专门人员(不参与系统开发和维护的人员)设置和管理，密码设置人员应将密码放入密码信封内，贴上个人姓名徽章或在接缝处签名，然后提交密码管理人员备案登记。

　　特殊情况下，需要封存的密码必须经相关部门负责人批准，并由密码用户向密码管理人员索取。使用后，密码必须立即更改并密封，并在“密码管理登记簿”中登记。

　　4.系统维护用户的密码应由至少两个人一起设置、以供保管和使用。

　　5.相关密码授权员工调离岗位。相关部门负责人必须指定专人接管，并立即修改或删除密码。同时，应在“密码管理登记簿”中进行登记。

　　四、数据安全管理系统

　　1.存储备份数据的介质必须有清晰的标识。

　　备份数据必须存放在不同的地方，并明确落实不同地方备份数据的管理职责；2.重视重要计算机信息和数据存储介质的存储、运输安全和安保管理确保存储介质的物理安全。

　　3.任何非应用业务数据的使用和存储数据的设备或介质的转移、转移、放弃或销毁必须严格按照程序逐步批准，以确保备份数据的安全性和完整性。

　　4.在数据恢复之前，必须备份原始环境中的数据，以防止有用数据的丢失。

　　在数据恢复过程中，应严格遵守数据恢复手册，如有问题，技术部门应提供现场技术支持。

　　数据恢复后，必须执行验证、确认，以确保数据恢复的完整性和可用性。

　　5.数据清理前必须备份数据，清理操作必须在确认备份正确后才能进行。

　　所有以前清理之前的备份数据应根据备份政策定期或永久保存，并应随时可用。

　　数据清理的实施应避免高峰营业时间，并避免影响在线业务运营。

　　6.对于需要长期保存的数据，数据管理部门应与相关部门共同制定展期计划。根据展期计划和查询使用方法，展期应在介质有效期内进行，以防止存储介质过期失效。应通过有效查询、使用方法确保数据的完整性和可用性。

　　传输的.数据必须有详细的文档。

　　7.当公司非技术人员对公司设备进行维护时、系统、维护，公司相关技术人员必须现场监督全过程。

　　计算机设备必须经设备管理机构负责人批准后，方可送去维修。

　　在发送维修之前，应备份、删除和注册设备存储介质中的应用软件、数据和其他管理相关信息。

　　对于修复后的设备，设备维护人员应检查并接受设备、病毒的检测和登记。

　　8.管理部门应对报废设备中存储的程序、数据进行备份和清理，并妥善处理报废的无用数据和介质，防止泄漏。

　　9.运行维护部应指定专人负责计算机病毒的防范，建立本单位的计算机病毒防控管理体系，定期进行计算机病毒检查，发现病毒及时清除。

　　10.未经相关部门许可，商业计算机不允许安装其他软件、不允许使用来历不明的载体(包括软盘、光盘、移动硬盘等。)。

　　五、机房管理系统

　　1.进入主机房时应至少有两人在场，并应登记”机房门禁管理登记簿”，记录门禁时间、人员和操作内容。

　　2 .信息技术部门人员必须获得领导的许可才能进入机房，其他人员必须获得信息技术部门领导的许可并由相关人员陪同。

　　值班人员必须如实记录访客名单、进出机房时间、来访内容等。

　　原则上，非信息技术部门人员不得进入中心操作系统。

　　特殊情况下需要操作时，应经信息技术部门负责人批准后，在相关人员的监督下进行。

　　操作内容应由操作人员和监督人员记录并签字，以备日后参考。

　　3.保持机房整洁。各种机械设备应按维修计划定期维修，保持清洁明亮。

　　4.员工进入机房时必须更换干净的工作服和拖鞋。

　　5.禁止在机房吸烟、吃饭、接待访客、聊天等。

　　不允许任何与业务相关的活动。

　　严禁将液体和食物带入机房，严禁携带与机房无关的物品，尤其是易燃易爆腐蚀性等危险品。

　　6.严禁机房工作人员违章操作，严禁未经许可将外来软件带入机房使用。

　　7.通电时，严禁拆卸和移动计算机等设备和部件。

　　8.定期检查机房内的消防设备。

　　9.不允许在计算机房内随意丢弃存款介质和相关机密业务数据。丢弃的存款介质和商业机密资料应及时销毁(碎纸)，不得作为普通垃圾处理。

　　严禁私自出借或取出机房内的设备、存储介质、数据、工具。

　　10.主机设备主要包括用于业务运营的服务器和电脑。

　　在机房内，应保持恒温、恒湿、电压稳定，并做好静电防护和防尘工作，以保证主机系统的稳定运行。

　　服务器所在的主机应执行严格的访问控制管理系统，及时发现和排除主机故障，并根据业务应用要求和操作规范，保证业务系统的正常运行。

　　11.定期测试空调系统运行的各项性能指标(如风量、温升、湿度、洁净度、温升率等)。)，并做好记录，及时解决通过实际测量发现的各种参数问题，确保房间空调器的正常运行。

　　12.除自动电池检测外，计算机房中的不间断电源必须每年充电和放电一次或两次。

信息安全管理制度15

　　安全生产是企业的头等大事，必须坚持“安全第一，预防为主”的方针和群防群治制度，认真贯彻落实安全管理制度，切实加强安全管理，保证职工在生产过程中的安全与健康。根据国家和省有关法规、规定和文件，制定本企业信息安全管理制度。

　　一、计算机设备安全管理制度

　　计算机不同于其他办公设备，其实用性、严密性、操作技术性强，含量高、部件易受损；特别是联网计算机，开放性程度比较高，电脑内部易受外界的偷窥、攻击和病毒感染。为确保计算机软、硬件及网络的正常使用，特制定本制度。

　　1、公司内所有计算机归网络部统一管理，配备计算机的员工只负责使用操作；

　　2、计算机管理涉及的范围：

　　2.1所有硬件（包括外接设备）及网络联接线路；

　　2.2计算机及网络故障的排除；

　　2.3计算机及网络的维护与维修；

　　2.4操作系统的管理；

　　3、公司内所有计算机使用人员均为计算机操作员；

　　4、网络维护部负责对公司内所有计算机进行定期检查，一般每两月进行一次；

　　5、计算机的使用部门要保持清洁、安全、良好的计算机设备工作环境，禁止在计算机应用环境中放置易燃、易爆、强腐蚀、强磁性等有害计算机设备安全的物品。

　　6、非本单位技术人员对我单位的设备、系统等进行维修、维护时，必须由本单位相关技术人员现场全程监督。计算机设备送外维修，须经有关部门负责人批准。

　　7、严格遵守计算机设备使用、开机、关机等安全操作规程和正确的使用方法。任何人不允许带电插拨计算机外部设备接口，计算机出现故障时应及时向电脑负责部门报告，不允许私自处理或找非本单位技术人员进行维修及操作。

　　二、操作员安全管理制度

　　1、计算机原则上由专人负责操作维护，不得串用设备。下班后必须按程序关闭主机和其他设备，切断电源。

　　2、为保证计算机信息安全，必须为计算机设置密码。

　　3、计算机操作员除使用操作计算机外，不允许有以下行为：

　　3.1硬件设备出现故障擅自拆开主机机箱盖板；

　　3.2更换计算机配件（如鼠标、键盘、耳麦）；如有向网络管理员写设备申请单审批。

　　3.3删除计算机操作系统及公司指定的软件；

　　3.4使用带病毒的计算机软件；

　　3.5让外来人员进行有损于计算机的技术性操作；

　　4、不得使用来路不明或未经杀毒的盘片。计算机操作员定期对计算机进行杀毒。如发现计算机有病毒时，应及时清除，清除不了的病毒，要及时上报。

　　5、个人的公司重要文档、资料和数据保存时必须将资料储存在除操作系统外的其它磁盘空间，严禁将重要文件存放于桌面或C盘下。

　　6、工作时间内严禁工作人员在计算机上进行与工作无关的操作，不准上网与工作无关的聊天、玩电脑游戏、看影视、听音乐，迅雷下载等，

　　7、电脑及网络设备所在环境应保持清洁、卫生、通风，注意防尘、防潮、防火。

　　8、公司所有计算机使用者，不得破坏网管员对计算机的安全设置。包括用户使用权限。

　　9、除服务器外，其他所有计算机下班后必须关机并切断电源；

　　10、计算机使用者离职时必须由网络管理员确认其计算机硬件设备完好、移动存储设备归还、信息系统管理帐户密码和资料未破坏、个人帐户密码清除后方可办理离职手续。

　　11、如工作人员不按规定操作，造成不良后果的，将按有关规定，由操作者承担相应责任，并追究科室负责人的有关责任。

　　12、操作员设置与管理

　　（1）网络管理员管理操作权限必须经过公司领导授权取得；根据不同部门的要求及岗位职责而设置；

　　（2）网络管理员负责故障恢复等管理及维护，必须有其上级授权；不得使用他人操作代码进行业务操作；

　　三、密码与权限安全管理制度

　　1、密码设置应具有安全性、保密性，不能使用简单的代码和标记。密码是保护系统和数据安全的控制代码，也是保护用户自身权益的控制代码。密码分设为用户密码和操作密码，用户密码是登陆系统时所设的密码，操作密码是进入各应用系统的操作员密码。密码设置不应是名字、生日，重复、顺序、规律数字等容易猜测的'数字和字符串；

　　2、密码应定期修改，间隔时间不得超过一个月，如发现或怀疑密码遗失或泄漏应立即修改，并在相应登记簿记录用户名、修改时间、修改人等内容。

　　3、服务器、路由器等重要设备的超级用户密码由运行机构负责人指定专人（不参与系统开发和维护的人员）设置和管理，并由密码设置人员将密码装入密码信封，在骑缝处加盖个人名章或签字后交给密码管理人员存档并登记。如遇特殊情况需要启用封存的密码，必须经过相关部门负责人同意，由密码使用人员向密码管理人员索取，使用完毕后，须立即更改并封存，同时在“密码管理登记簿”中登记。

　　4、系统维护用户的密码应至少由两人共同设置、保管和使用管理制度。

　　5、有关密码授权工作人员调离岗位，有关部门负责人须指定专人接替并对密码立即修改或用户删除，同时在“密码管理登记簿”中登记。

　　四、数据安全管理制度

　　1、存放备份数据的介质必须具有明确的标识。备份数据必须异地存放。

　　2、注意计算机重要信息资料和数据存储介质的存放、运输安全和保密管理，保证存储介质的物理安全。

　　3、任何非应用性业务数据的使用及存放数据的设备或介质的调拨、转让、废弃或销毁必须严格按照程序进行逐级审批，以保证备份数据安全完整。

　　4、数据恢复前，必须对原环境的数据进行备份，防止有用数据的丢失。数据恢复过程中，出现问题时由技术部门进行现场技术支持。数据恢复后，必须进行验证、确认，确保数据恢复的完整性和可用性。

　　5、数据清理前必须对数据进行备份，在确认备份正确后方可进行清理操作。历次清理前的备份数据要进行定期保存或永久保存，并确保可以随时使用。数据清理的实施应避开业务高峰期，避免对联机业务运行造成影响。

　　6、需要长期保存的数据，数据管理部门需与相关部门制定转存，根据转存和查询使用方法要在介质有效期内进行转存，防止存储介质过期失效，通过有效的查询、使用方法保证数据的完整性和可用性。

　　7、非本单位技术人员对本公司的设备、系统等进行维修、维护时，必须由本公司相关技术人员现场全程监督。计算机设备送外维修，须经设备管理机构负责人批准。送修前，需将设备存储介质内应用软件和数据等涉经营管理的信息备份后删除，并进行登记。对修复的设备，设备维修人员应对设备进行验收、病毒检测。

　　8、管理部门应对报废设备中存有的程序、数据资料进行备份后清除，并妥善处理废弃无用的资料和介质，防止泄密。

　　9、运行维护部门需指定专人负责计算机病毒的防范工作，建立本单位的计算机病毒防治管理制度，经常进行计算机病毒检查，发现病毒及时清除。