—信息安全事件管理制度1目的為建立一個恰當的信息安全大事、薄弱點和故障報告、反應與處理機制，削減信息安全大事和故障所造成的損失，實行有效的訂正與預防措施，特制定本程序。2范圍本程序適用于XXX業務信息安全大事的管理。3職責3.1信息安全管理流程負責人確定信息安全目標和方針；確定信息安全管理組織架構、角色和職責劃分；負責信息安全小組之間的協調，內部和外部的溝通；負責信息安全評審的相關事宜；3.2信息安全日常管理員負責制定組織中的安全策略；組織安全管理技術責任人進行風險評估；組織安全管理技術責任人制定信息安全改進建議和掌握措施；編寫風險改進計劃；3.3信息安全管理技術責任人負責信息安全日常監控；信息安全風險評估；確定信息安全掌握措施；響應并處理安全大事。4工作程序4.1信息安全大事定義與分類信息安全大事是指信息裝備故障、線路故障、軟件故障、惡意軟件危害、人員有意破壞或工作失職等原因直接影響（后果）的。造成以下影響（后果）之一的，均為一般信息安全大事。a）XXX秘密泄露；b）導致業務中斷兩小時以上；c）造成信息資產損失的火災；d）損失在一萬元人民幣（含）以上的故障/大事。造成以下影響（后果）之一的，屬于重大信息安全大事。a）組織機密泄露；b）導致業務中斷十小時以上；c）造成機房裝備消滅的火災；d）損失在十萬元人民幣（含）以上的故障/大事。4.2信息安全大事管理流程由信息安全管理負責人組織相關的運維技術人員依據XXX對信息安全的要求，確認代碼管理相關信息系統的安全需求；對代碼管理相關信息系統進行信息安全風險評估，預測風險類型、風險發生的可能性、風險級別、潛在的業務影響，形成信息安全風險評估報告；由信息安全日常管理員組織相關技術人員依據對依據風險評估的結果以及服務級別協議的`安全需求，提顯現階段的安全改進建議，并提交至信息安全管理負責人進行評估；若同意執行安全改進建議，則在變更管理的掌握下實施安全建議；信息安全日常管理員依據安全改進之后的信息系統安全現狀提出詳細的安全掌握措施，形成風險處置計劃；依據風險處置計劃，實施信息安全掌握措施，盡可能的降低信息和業務風險；監視信息系統的活動并辨認反常的活動和安全大事，并記錄下來，做初步的響應和處理；評估安全漏洞和不符合安全要求的任何情況，并實行必要的訂正措施；對發現的或已發生的信息安全大事，根據信息安全大事響應程序進行處理；每年一次或在發生重大信息安全大事時進行信息安全評審，分析信息安全大事的顯現趨勢、信息安全管理的改進等信息，并形成風險改進計劃，持續改進信息系統安全。4.3信息安全大事事后處理措施對于一般信息安全大事，在故障排解或實行必要措施后，相關信息安全管理職能部門會同大事責任部門，對大事的原因、類型、損失、責任進行鑒定，形成《信息安全大事報告》，報信息安全管理者代表批準；對于重大信息安全大事的處理看法還應上報信息安全管理委員會商量通過。對于違反組織信息安全方針、程序安全規章所造成的信息安全大事責任者依據以下措施予以懲戒。懲罰方式：一般安全事故，依據所造成的經濟損失，由XXX辦公室通過郵件發出正式嚴峻警告。一年內累計顯現三次或三次以上的一般安全事故，報XXX領導批準后進行相應懲處，并在XXX進行通報批判。造成重大安全事故的，XXX有權將責任人調離原工作崗并賜予相應懲處。一年內累計顯現二次或二次以上的重大安全事故，XXX有權解除勞動合同并依法追究法律責任。假如屬于有意行為導致信息安全事故，XXX有權解除勞動合同并依法追究法律責任。對于信息安全事故責任人的處理結果由處理部門在XXX范圍內予以通報。負有信息安全事故懲罰的各職能部門在確定實施懲罰后，XXX室與被懲罰部門溝通，確認責任者及懲罰方式并上報XXX領導。信息安全管理職能部門要求大事責任部門制定訂正措施并實施，實施結果記錄在《信息安全大事報告》。由信息安全管理職能部門對實施情況進行跟蹤驗證，驗證結果記入《信息安全大事報告》。4.4報告信息安全薄弱點與預防措施XXX與信息安全管理有關的全部員工發現信息安全薄弱點或潛在威逼均應履行報告義務。對以下行為應賜予嘉獎：按時發現非責任區信息安全隱患，該隱患足以導致信息安全事故的；按時發現非責任區信息安全重大隱患，該隱患足以導致信息安全重大事故的；按時發現并制止系統操作問題以防止裝備重大損失或人員死亡的；按時制止或報告泄露商業機密的大事以防止XXX重大經濟損失或按時中止正在進行中的商業泄密行為的；在信息安全事故中實行主動有效措施，降低損失的程度。嘉獎方式如下：依據防止一般安全事故發生、一年內防止一般安全事故發生三次或三次以上、防止造成重大安全事故、按時中止正在進行中的商業泄密行為、提出信息安全合理化建議等級別，報請XXX批準后，賜予相應表揚或嘉獎，并作為年底工作考核依據