1、XX公司網絡與信息安全管理組織機構設置及工作職責一、總則為規范XX公司(以下簡稱 公司”信息安全管理工作，建立自上而下的信息安全工作管理體系，需建立健全相應的組織管理體系，以推動信息安全工作 的開展。二、范圍本管理辦法適用于公司的信息安全組織機構和重要崗位的管理。三、規范性引用文件下列文件中的條款通過本標準的引用而成為本標準的條款。凡注明日期的 應用文件，其隨后的所有的修改單或修訂版均不適用于本標準(不包括勘誤、 通知單)，然而，鼓勵根據本標準達成協議的各方研究是否可以使用這些文件 的最新版本。凡未注日期的引用文件，其最新版本適用于本標準：信息安全技術信息系統安全保障評估框架( GB/T 20

2、274.1-2006)信息安全技術信息系統安全管理要求( GB/T 20269-2006)信息安全技術信息系統安全等級保護基本要求( GB/T 22239-2008)四、組織機構1、公司成立信息安全領導小組，是信息安全的最高決策機構，下設辦公 室，負責信息安全領導小組的日常事務。2、信息安全領導小組負責研究重大事件，落實方針政策和制定總體策略 等。職責主要包括： 根據國家和行業有關信息安全的策略、法律和法規，批 準公司信息安全總體策略規劃、管理規范和技術標準； 確定公司信息安全各 有關部門工作職責，知道、監督信息安全工作。3、信息安全領導小組下設兩個工作組：信息安全工作組、應急處理工作 組。組

3、長均由公司負責人擔任。4、信息安全工作組的主要職責包括： 貫徹執行公司信息安全領導小組的決議，協調和規范公司信息安全工 作； 根據信息安全領導小組的工作部署，對信息安全工作進行具體安排、落 實； 組織對重大的信息安全工作制度和技術操作策略進行審查，擬定信息安 全總體策略規劃，并監督執行； 負責協調、督促各職能部門和有關單位的信 息安全工作，參與信息系統工程建設中的安全規劃，監督安全措施的執行； 組織信息安全工作檢查，分析信息安全總體狀況，提出分析報告和安全 風險的防范對策； 負責接收各單位的緊急信息安全事件報告，組織進行時間 調查，分析原因、涉及范圍，并評估安全事件的嚴重程度，提出信息安全時間

4、 防范措施； 及時向信息安全工作領導小組和上級有關部門、單位報告信息安全時 間。 跟蹤先進的信息安全技術，組織信息安全知識的培訓和宣傳工作。5、應急處理工作組的主要職責包括： 審定公司網絡與信息系統的安全應急策略及應急預案； 決定相應應急預案的啟動，負責現場指揮，并組織相關人員排除故障， 恢復系統； 每年組織對信息安全應急策略和應急預案進行測試和演練。五、關鍵崗位1、設置信息系統的關鍵崗位并加強管理，配備系統管理員、網絡管理員、 應用開發管理員、安全審計員、安全保密管理員。要害崗位人員必須嚴格遵守保密法規和有關信息安全的管理規定。 2、系統管理員主要職責必須包含并不限 于： 負責系統的運行管理

5、，實施系統安全運行細則； 嚴格執行用戶權限管理，維護系統安全正常運行； 認真記錄系統安全事項，及時向信息安全人員報告安全事件； 對進行系統操作的其他人員予以安全監督。3、網絡管理員的主要職責必須包含并不限于： 負責網絡的運行管理，實施網絡安全策略和安全運行細則； 安全配置網絡參數，嚴格控制網絡用戶訪問權限，維護網絡安全正常運 行； 監控網絡關鍵設備、網絡端口、網絡物理線路，防范黑客入侵，及時向 信息安全人員報告安全事件； 對操作網絡管理功能的其他人員進行安全監 督； 按月形成網絡運行安全報告報信息安全工作組。4、應用開發管理員主要職責必須包含并不限于： 負責在系統開發建設中，嚴格執行系統安全策略，保證系統安全功能的 準確實現； 系統上線運行前，完整移交系統相關的安全策略等資料； 不得對系統設置 “后門 ”； 對系統核心技術保密等。薃5、安全審計員的主要職能必須包含并不限于： 按操作員賬號進行審計； 按操作時間審計； 按操作類型審計； 事件類型進行審計； 系統的各類日志管理； 按月形成審計報告報信息安全工作組。6、安全保密管理員主要職責必須包含并不限于： 負責日常安全保密管理活動； 監視全網運行和安全告警信息； 網絡審計信息的常規分析； 安全設