神馬集團有限責任公司第十四章信息技術管理索引號 信息技術管理008第四節信息管理信息系統安全管理1 范圍月度采購計劃包含適用于信息技術部實施網絡安全管理和信息實時監控，以及制定全公司計算機使用安全的技術規定2 控制目標2.1 確保公司網絡系統、計算機以及計算機相關設備的高效、安全使用2.2 確保數據庫、日志文件和重要商業信息的安全3 主要控制點3.1 信息技術部經理和公司主管副總經理分別審批信息系統訪問權限設置方案、數據備份及突發事件處理政策和其它信息系統安全政策的合理性和可行性3.2 對終端用戶進行網絡使用情況的監測4 特定政策4.1 每年更新公司的信息系統安全政策4.2 每年信息技術部應配合公司人力資源部及其它各部門，核定各崗位的信息設備配置，并制定公司的計算機及網絡使用規定4.3 當員工崗位發生變動，需要更改員工的郵件帳號屬性、服務器存儲空間大小和文件讀寫權限時，信息技術部必須在一天內完成并發送郵件或電話通知用戶4.4 對于信息系統（主要為服務器）的安全管理，應有兩名技術人員能夠完成日常故障處理以及設置、安裝操作，但僅有一名技術人員掌握系統密碼，若該名技術人員外出，須將密碼轉告另外一名技術人員，事后應修改密碼，兩人不能同時外出，交接時應做好記錄4.5 普通事件警告是指未對信息系統安全構成危害、而僅對終端系統或局部網絡安全造成危害，或者危害已經產生但沒有繼續擴散的事件，如對使用的終端和網絡設備未經同意私自設置權限等；嚴重事件警告是指對信息系統安全構成威脅的事件，如試圖使病毒（木馬、后門程序等）在網絡中擴散、攻擊服務器、改變網絡設備設置場所的設置狀態、編制非法軟件在網絡系統中試運行等；特殊事件是指來自公司網絡外部的惡意攻擊，如由外部人員使用不當造成或其它自然突發事件引起。事件鑒定小組由相關的網絡工程師、終端設備維護工程師和應用系統程序員等相關人員組成5 信息系統安全管理流程C-14-04-001步驟涉及部門步驟說明1信息技術部網絡工程師、終端設備維護工程師根據國際和國家信息系統安全的有關法律、法規的規定及信息技術行業的行業安全標準，并結合公司有關商業保密的規定，制定公司的信息系統安全政策，包括信息系統訪問權限設置方案、數據備份及突發事件處理政策、病毒防治等信息系統安全政策2信息技術部經理審核公司信息系統的各種安全政策規定，保證符合公司信息管理的安全要求和商業機密信息的管理要求，若通過，上報主管副總審批，若不通過，指出修改意見，責成相關人員進行修改3公司主管副總審核公司信息系統的各種安全政策規定，若通過，下發具體執行，若不通過，指出修改意見，責成相關人員進行修改4人力資源部勞動用工管理員根據公司計算機及網絡設備使用的有關規定，在公司發生新員工入廠、員工調動和崗位變動等情況時，編制新員工或員工變動狀況一覽表5信息技術部網絡工程師、終端設備維護工程師根據人力資源部提供的一覽表，結合公司計算機及網絡設備的使用規定，確定各崗位的計算機資源的配置和系統訪問權限6信息技術部網絡工程師、終端設備維護工程師對各個網絡用戶及計算機設備的使用過程進行監測，同時督促各個終端用戶定時對關鍵數據進行備份7信息技術部網絡工程師、終端設備維護工程師根據公司的信息系統安全政策，選擇建立各項軟硬件的安全措施，包括病毒防治軟件、防火墻技術等，并在網絡上安置必要的預警裝置；定期在公司范圍內發布病毒防治的數據資料，并提供病毒庫升級下載文檔8信息技術部網絡工程師、終端設備維護工程師當發生安全預警時，根據警報的性質，按照突發事件的處理規程采取必要的處理措施，并在1小時內將情況匯報至信息技術部經理8.1信息技術部經理根據警報的性質判斷緊急級別，視情況上報公司主管副總，采取補救措施，記錄事故檔案