网络通信安全管理员(含信息安全)国家职业标准

(自2009年12月31日起施行)

1. 职业概况

1、1 职业名称:网络通信安全管理员。

1、2 职业定义:利用计算机技术、网络技术、通信技术等现代信息技术从事互联网信息安全技术管理的人员。

1、3 职业等级:本职业共设四个等级,分别为:中级(国家职业资格四级)、高级(国家职业资格三级)、技师(国家职业资格二级)、高级技师(国家职业资格一级)。

1、4 职业环境:室内,常温。

1、5 职业能力特征:具有一定的组织、理解、判断能力,具有较强的学习能力、分析解决问题的能力与沟通能力。

1、6 基本文化程度:大专毕业(或同等学历,要求电子或计算机信息类专业毕业)。

1、7 培训要求

1、7、1 培训期限:全日制职业学校教育,根据其培养目标与教学计划确定。晋级培训期限:

中级不少于200标准学时,高级不少于180标准学时,技师不少于150标准学时,高级技术不少于120标准学时。

1、7、2 培训教师:培训教师应当具备一定的通信网络知识、网络信息安全知识、计算机应用知识与软件工程相关知识,具有良好的语言表达能力与知识传授能力。培训中级与高级的教师应就是获得本职业技师资格证书或具有相关专业中级及以上专业技术职务任职资格者;培训技师与高级技师的教师应就是获得本职业高级技师资格证书或具有相关专业高级专业技术任职资格者。

1、7、3 培训场地设备:应有可容纳20人以上学员的教室,有必要的教学设备、教学模型与相关的教学硬件、软件,有必要的实验设备与实验环境。

1、8 鉴定要求

1、8、1 适应对象:从事或准备从事本职业工作的人员。

1、8、2 申报条件

——国家职业资格四级(中级)(具备以下条件之一者)

(1)大学专科以上毕业生在本职业工作满一年或经本职业中级正规培训达规定标准学时数,并取得结业证书;

(2)取得技工学校或经劳动保障行政部门审核认定的以中级技能为培养目标的高等职业学校本职业(专业)毕业生。

——国家职业资格三级(高级)(具备以下条件之一者)

(1)大学本科以上毕业生在本职业工作满一年或经本职业高级正规培训达规定标准学时数,并取得结业证书;

(2)取得高级技工学校或经劳动保障行政部门审核认定的以高级技能为培养目标的高等职业学校本职业(专业)毕业生。

(3)取得本职业中级职业资格证书后,连续从事本职业工作4年以上;

(4)取得本职业中级资格证书的高级技工学校本职业(专业)毕业生,连续从事本职业工作3年以上;

(5)取得本职业中级资格证书的大学本科本职业(专业)毕业生,连续从事本职业工作2年以上。

——国家职业资格二级(技师)(具备以下条件之一者)

(1)取得本职业高级资格证书后,连续从事本职业工作4年以上,经本职业技师正规培训达规定标准学时数,并取得结业证书;

(2)取得本职业高级职业资格证书后,连续从事本职业工作6年以上;

(3)取得本职业高级资格证书的高级技工学校本职业(专业)毕业生,连续从事本职业工作5年以上;

(4)取得本职业高级资格证书的大学本科本职业(专业)毕业生,连续从事本职业工作4年以上。

——国家职业资格一级(高级技师)(具备以下条件之一者)

(1)取得本职业技师职业资格证书后,连续从事本职业工作3年以上,经本职业高级技师正规培训达规定标准学时数,并取得结业证书;

(2)取得本职业技师职业资格证书后,连续从事本职业工作5年以上。

1、8、3 鉴定方式:分为理论知识考试与技能操作考核。理论知识考试采取闭卷笔试方式;技能操作考核根据实际情况,采取操作、笔试、口试、评议相结合的方式。理论知识考试与技能操作考核均采用百分制,成绩达到60分以上者为合格。技师与高级技师尚须通过综合评审。

1、8、4 考评人员与考生的配比:理论知识考试考评人员与考生配比为1:20,每个标准教师配备的考评人员不少于2名;技能操作考核考评员与考生配比为1:4～1:6,且不少于3名考评员。综合评审时评审委员不少于5人,多于5人时评审委员人数应为奇数。

1、8、5 鉴定时间:各等级的理论知识考试时间为120～150分钟;各等级的技能操作考核时间为90～120分钟。

1、8、6 鉴定场所设备:理论知识考试在标准教室内进行;技能操作考核根据各模块的工作要求,在配备有相关通信硬件、软件设备,能模拟网络通信安全操作及安全配置的场所。

2、基本要求

2、1 职业道德

2、1、1 职业道德基本知识

2、1、2 职业守则

(1)爱岗敬业,恪尽职守;

(2)精通技术,保证质量;

(3)遵纪守法,严守秘密;

(4)文明生产,热情服务。

2、2 基础知识

2、2、1 法律法规及企业规章制度

(1)《中华人民共与国劳动法》的相关知识;

(2)《中华人民共与国合同法》的相关知识;

(3)《中华人民共与国电信条例》的相关知识;

(4)国家主管部门及地方政府有关信息安全管理的法律、法规。

(5)企业相关规章制度。

2、2、2 计算机知识

(1)计算机基础知识;

(2)操作系统知识;

(3)计算机体系结构知识;

(4)计算机软件知识;

(5)数据库知识;

(6)计算机网络知识。

2、2、3互联网络安全技术

(1)网络安全体系结构;

(2)网络常用工具;

(3)网络协议;

(4)防火墙与虚拟专用网;

(5)安全扫描与入侵检测。

2、2、4信息安全技术

(1)密码技术;

(2)安全数字证书;

网络通信安全管理员含信息安全国家职业标准.doc

网络通信安全管理员（含信息安全）国家职业标准（自2009年12月31日起施行） 1．职业概况 1.1 职业名称：网络通信安全管理员。 1.2 职业定义：利用计算机技术、网络技术、通信技术等现代信息技术从事互联网信息安全技术管理的人员。 1.3 职业等级：本职业共设四个等级，分别为：中级（国家职业资格四级）、高级（国家职业资格三级）、技师（国家职业资格二级）、高级技师（国家职业资格一级）。 1.4 职业环境：室内，常温。 1.5 职业能力特征：具有一定的组织、理解、判断能力，具有较强的学习能力、分析解决问题的能力和沟通能力。 1.6 基本文化程度：大专毕业（或同等学历，要求电子或计算机信息类专业毕业）。 1.7 培训要求 1.7.1 培训期限：全日制职业学校教育，根据其培养目标和教学计划确定。晋级培训期限：中级不少于200标准学时，高级不少于180标准学时，技师不少于150标准学时，高级技术不少于120标准学时。 1.7.2 培训教师：培训教师应当具备一定的通信网络知识、网络信息安全知识、计算机应用知识和软件工程相关知识，具有良好的语言表达能力和知识传授能力。培训中级和高级的教师应是获得本职业技师资格证书或具有相关专业中级及以上专业技术职务任职资格者；培训技师和高级技师的教师应是获得本职业高级技师资格证书或具有相关专业高级专业技术任职资格者。 1.7.3 培训场地设备：应有可容纳20人以上学员的教室，有必要的教学设备、教学模型和相关的教学硬件、软件，有必要的实验设备和实验环境。 1.8 鉴定要求 1.8.1 适应对象：从事或准备从事本职业工作的人员。

1.8.2 申报条件 ——国家职业资格四级（中级）（具备以下条件之一者）（1）大学专科以上毕业生在本职业工作满一年或经本职业中级正规培训达规定标准学时数，并取得结业证书；（2）取得技工学校或经劳动保障行政部门审核认定的以中级技能为培养目标的高等职业学校本职业（专业）毕业生。 ——国家职业资格三级（高级）（具备以下条件之一者）（1）大学本科以上毕业生在本职业工作满一年或经本职业高级正规培训达规定标准学时数，并取得结业证书；（2）取得高级技工学校或经劳动保障行政部门审核认定的以高级技能为培养目标的高等职业学校本职业（专业）毕业生。（3）取得本职业中级职业资格证书后，连续从事本职业工作4年以上；（4）取得本职业中级资格证书的高级技工学校本职业（专业）毕业生，连续从事本职业工作3年以上；（5）取得本职业中级资格证书的大学本科本职业（专业）毕业生，连续从事本职业工作2年以上。 ——国家职业资格二级（技师）（具备以下条件之一者）（1）取得本职业高级资格证书后，连续从事本职业工作4年以上，经本职业技师正规培训达规定标准学时数，并取得结业证书；（2）取得本职业高级职业资格证书后，连续从事本职业工作6年以上；（3）取得本职业高级资格证书的高级技工学校本职业（专业）毕业生，连续从事本职业工作5年以上；（4）取得本职业高级资格证书的大学本科本职业（专业）毕业生，连续从事本职业工作4年以上。 ——国家职业资格一级（高级技师）（具备以下条件之一者）（1）取得本职业技师职业资格证书后，连续从事本职业工作3年以上，经本职业高级技师正规培训达规定标准学时数，并取得结业证书；

信息安全岗位职责

信息安全岗位职责 1、信息安全工程师岗位职责 1、负责信息安全管理，制定信息安全标准及相关指引和流程； 2、负责网络安全防御系统的建设、维护与管理； 3、负责信息系统安全风险评估并持续跟踪管理； 4、负责安全事件的实时响应、处理及调查取证； 5、负责自动化安全工具的开发、测试和规则模型优化等工作； 6、跟踪分析国内外安全动态，研究安全攻击、防御及测试技术。 2、网络信息安全管理员岗位职责 1.负责制定和实施网络信息安全管理制度，以技术手段隔离不良信息，及时发布预知通告，发布计算机病毒、网络病毒的危害程度、防杀措施、及补救办法。教育计算机用户和网络用户树立安全意识，主动防范病毒、黑客的侵扰，抵制不良信息；建立网络信息安全监管日志。 2.负责校园门户网站管理系统用户及密码的管理、提供包括开户、修改、暂停、注销等服务，做好各部门网站信息管理员备案，协助做好上网用户的备案工作，接受用户的咨询和服务请求。 3.依据信息安全管理规定，定期检查各单位主页内容，预防不良信息发布。 4.监督检查各网络接口计算机病毒的防治工作。 5.负责中心日常办公工作，部门通知、文件、信函等的传达工作，做好部门办公电话接

听和电话记录； 6.负责我院的信息化建设相关文件资料的收集、归类与整理，做好资料收集、编目、建档工作。 7.负责网络中心负责网络中心设备、材料、软件介质等的建档、编号与借用管理。 8.参与我院网络信息资源的系统开发、设计、建设和维护。 9.开展信息安全基础培训工作，提供信息系统安全应用的技术支持。 10.及时完成主任交办的其它任务，积极主动配合、协助中心其他岗位的工作。 3、网络信息安全工程师岗位职责 1.网络信息安全工程师的工作主要是为企业量身定做合理且经济的信息网络安全解决方案，维护日常网络安全管理，预防网络安全隐患等； 2.通过运用各种安全产品和技术，设置防火墙、防病毒、IDS、PKI、攻防技术等，进行安全制度建设与安全技术规划、日常维护管理、信息安全检查与审计系统帐号管理与系统日志检查等。 4、网络信息安全工程师岗位职责 1、负责公司研发产品的安全漏洞分析与安全评测。 2、负责客户现场的安全环境的日常巡检。 3、负责收集整理公司产品相关的最新安全漏洞补丁资料，分析处理，为公司提供应用产品安全升级/加固的解决方案。 4、负责公司内部安全技术培训。 5、当发生应用安全事件时，负责构建解决方案，跟进进度，快速解决问题，保障客户

国家标准信息安全管理实用规则

国家标准《信息安全技术安全漏洞分类规范》（征求意见稿）编制说明一、工作简况 1.1任务来源《信息安全技术安全漏洞分类规范》是国家标准化管理委员会2010年下达的信息安全国家标准制定项目，国标计划号为：20100385-T-469。由国家信息技术安全研究中心主要负责进行规范的起草，中国信息安全测评中心、中国科学院研究生院国家计算机网络入侵防范中心、国家计算机网络应急技术处理协调中心等单位参与起草。 1.2主要工作过程 1、2010年6月，组织参与本规范编写的相关单位召开项目启动会，成立规范编制小组，确立各自分工，进行初步设计，并听取各协作单位的相关意见。 2、2010年7月，根据任务书的要求，规范编制小组开展考察调研和资料搜集工作，按照需求分析整理出安全漏洞分类规范的框架结构。 3、2011年4月，按照制定的框架结构，确定分类的原则和方法，形成《安全漏洞分类规范》草稿V1.0。 4、2011年7月，课题组在专家指导下，积极采纳国外相关漏洞分类的原则，形成《安全漏洞分类规范》草稿V1.1。 5、2011年8月26日，规范编制小组在积极采纳专家意见的基础上，对规范内容进行修改，形成《安全漏洞分类规范》草稿V1.2。 6、2013年8月28日，安标委秘书处组织了该标准的专家评审，编制小组听取了专家意见，对标准文本的内容进行修订、简化，形成《安全漏洞分类规范》草稿V1.3。 7、2014年11月，安标委WG5工作组对《安全漏洞分类规范》标准草案稿进行了投票表决，通过了本标准。投票表决中相关单位和专家提出了一些修改建议和意见，标准编制组对意见进行了逐条分析和理解，对标准文本进行了完善，形成了《安全漏洞分类规范》征求意见稿及相关文件。二、编制原则和主要内容 2.1 编制原则

网络信息安全管理制度

网络信息安全管理制度网络与信息的安全不仅关系到公司正常业务的开展，还将影响到国家的安全、社会的稳定。我公司将认真开展网络与信息安全工作，通过检查进一步明确安全责任，建立健全的管理制度，落实技术防范措施，保证必要的经费和条件，对有毒有害的信息进行过滤、对用户信息进行保密，确保网络与信息安全。一、网站运行安全保障措施 1、网站服务器和其他计算机之间设置经公安部认证的防火墙,做好安全策略,拒绝外来的恶意攻击，保障网站正常运行。 2、在网站的服务器及工作站上均安装了正版的防病毒软件，对计算机病毒、有害电子邮件有整套的防范措施，防止有害信息对网站系统的干扰和破坏。 3、做好日志的留存。网站具有保存60天以上的系统运行日志和用户使用日志记录功能，内容包括IP地址及使用情况，主页维护者、邮箱使用者和对应的IP地址情况等. 4、交互式栏目具备有IP地址、身份登记和识别确认功能，对没有合法手续和不具备条件的电子公告服务立即关闭。 5、网站信息服务系统建立双机热备份机制，一旦主系统遇到故障或受到攻击导致不能正常运行，保证备用系统能及时替换主系统提供服务。 6、关闭网站系统中暂不使用的服务功能,及相关端口,并及时用补丁修复系统漏洞,定期查杀病毒。 7、服务器平时处于锁定状态,并保管好登录密码;后台管理界面设置超级用户名及密码,并绑定IP,以防他人登入。 8、网站提供集中式权限管理，针对不同的应用系统、终端、操作人员，由网站系统管理员设置共享数据库信息的访问权限，并设置相应的密码及口令。不同的操作人员设定不同的用户名，且定期更换，严禁操作人员泄漏自己的口令。对操作人员的权限严格按照岗位职责设定，并由网站系统管理员定期检查操作人员权限。 9、公司机房按照电信机房标准建设，内有必备的独立UPS不间断电源、高灵敏度的烟雾探测系统和消防系统，定期进行电力、防火、防潮、防磁和防鼠检查。二、信息安全保密管理制度 1、我公司建立了健全的信息安全保密管理制度，实现信息安全保密责任制，切实负起确保

税务系统网络与信息安全管理岗位及其职责

《税务系统网络与信息安全管理岗位及其职责》编制说明《税务系统网络与信息安全管理岗位及其职责》是税务系统网络与信息安全管理体系框架中的文档之一，这个文档是依据《税务系统网络与信息安全总体策略》的相关要求编写，目的是为了初步建立税务系统网络与信息安全管理岗位，明确安全管理人员的职责。但由于各级税务系统（总局、省局、地市局、区县级局）具有不同的特点，没有一种模式适用所有的组织，而且由于人员的限制，特别是地市局及区县级局中人员的限制，通常没有特定的专职人员来担任本文档中描述的众多安全管理角色。因此，本文档的适用范围确定在总局、各省局、各地市局，对区县级局不适用，各区县级局可由其上级地市局根据具体情况做相应要求。本《税务系统网络与信息安全管理岗位及其职责》文档共包括二章内容，第一章为管理角色与职责，描述了税务系统网络与信息安全管理组织架构，以及主要的信息安全管理角色与职责；第二章为管理岗位及设置原则，示例列出信息技术部门中主要信息安全管理岗位，并描述了税务系统网络与信息安全管理岗位设置原则。

税务系统网络与信息安全管理岗位及其职责（试行稿）国家税务总局信息中心二〇〇四年十月目录一、税务系统网络与信息安全管理角色与职责...... 错误!未定义书签。信息安全领导小组.......................... 错误!未定义书签。信息安全管理部门.......................... 错误!未定义书签。具体执行管理角色.......................... 错误!未定义书签。安全管理员.............................. 错误!未定义书签。主机系统管理员.......................... 错误!未定义书签。网络管理员.............................. 错误!未定义书签。数据库管理员............................ 错误!未定义书签。应用管理员.............................. 错误!未定义书签。安全审计员.............................. 错误!未定义书签。病毒防护员.............................. 错误!未定义书签。密钥管理员（包括证书管理员、证书操作员）错误!未定义书签。资产管理员.............................. 错误!未定义书签。安全保卫员（机房安全员）................ 错误!未定义书签。安全协调人员............................ 错误!未定义书签。人事管理人员............................ 错误!未定义书签。安全法律顾问............................ 错误!未定义书签。二、税务系统网络与信息安全管理岗位及设置原则.. 错误!未定义书签。信息安全管理岗位.......................... 错误!未定义书签。安全管理员岗位.......................... 错误!未定义书签。网络系统管理员岗位...................... 错误!未定义书签。应用管理员岗位.......................... 错误!未定义书签。安全岗位设置原则.......................... 错误!未定义书签。多人负责原则............................ 错误!未定义书签。任期有限原则............................ 错误!未定义书签。职责分离原则............................ 错误!未定义书签。工作分开原则............................ 错误!未定义书签。权限随岗原则............................ 错误!未定义书签。

网络与信息安全管理组织机构设置及工作职责示范文本

网络与信息安全管理组织机构设置及工作职责示范文本 In The Actual Work Production Management, In Order To Ensure The Smooth Progress Of The Process, And Consider The Relationship Between Each Link, The Specific Requirements Of Each Link To Achieve Risk Control And Planning 某某管理中心 XX年XX月

网络与信息安全管理组织机构设置及工作职责示范文本使用指引：此管理制度资料应用在实际工作生产管理中为了保障过程顺利推进，同时考虑各个环节之间的关系，每个环节实现的具体要求而进行的风险控制与规划，并将危害降低到最小，文档经过下载可进行自定义修改，请根据实际需求进行调整与使用。 1：总则 1.1为规范北京爱迪通联科技有限公司（以下简称“公司”）信息安全管理工作，建立自上而下的信息安全工作管理体系，需建立健全相应的组织管理体系，以推动信息安全工作的开展。 2：范围本管理办法适用于公司的信息安全组织机构和重要岗位的管理。 3：规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。凡注明日期的应用文件，其随后的所有的修改单或

修订版均不适用于本标准（不包括勘误、通知单），然而，鼓励根据本标准达成协议的各方研究是否可以使用这些文件的最新版本。凡未注日期的引用文件，其最新版本适用于本标准《信息安全技术信息系统安全保障评估框架》（GB/T 20274.1-2006）《信息安全技术信息系统安全管理要求》（GB/T 20269-2006）《信息安全技术信息系统安全等级保护基本要求》（GB/T 22239-2008） 4：组织机构 4.1 公司成立信息安全领导小组，是信息安全的最高决策机构，下设办公室，负责信息安全领导小组的日常事务。 4.2 信息安全领导小组负责研究重大事件，落实方针政

网络信息安全管理组织机构设置工作职责 - 制度大全

网络信息安全管理组织机构设置工作职责-制度大全网络信息安全管理组织机构设置工作职责之相关制度和职责，1:总则1.1为规范北京爱迪通联科技有限公司(以下简称“公司”)信息安全管理工作,建立自上而下的信息安全工作管理体系,需建立健全相应的组织管理体系,以推动信息安全工作的开展。2:范围本管理... 1:总则 1.1为规范北京爱迪通联科技有限公司(以下简称“公司”)信息安全管理工作,建立自上而下的信息安全工作管理体系,需建立健全相应的组织管理体系,以推动信息安全工作的开展。 2:范围本管理办法适用于公司的信息安全组织机构和重要岗位的管理。 3:规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。凡注明日期的应用文件,其随后的所有的修改单或修订版均不适用于本标准(不包括勘误、通知单),然而,鼓励根据本标准达成协议的各方研究是否可以使用这些文件的最新版本。凡未注日期的引用文件,其最新版本适用于本标准《信息安全技术信息系统安全保障评估框架》(GB/T 20274.1-2006) 《信息安全技术信息系统安全管理要求》(GB/T 20269-2006) 《信息安全技术信息系统安全等级保护基本要求》(GB/T 22239-2008) 4:组织机构 4.1 公司成立信息安全领导小组,是信息安全的最高决策机构,下设办公室,负责信息安全领导小组的日常事务。 4.2 信息安全领导小组负责研究重大事件,落实方针政策和制定总体策略等。职责主要包括:根据国家和行业有关信息安全的策略、法律和法规,批准公司信息安全总体策略规划、管理规范和技术标准; 确定公司信息安全各有关部门工作职责,知道、监督信息安全工作。 4.3 信息安全领导小组下设两个工作组:信息安全工作组、应急处理工作组。组长均由公司负责人担任。 4.4信息安全工作组的主要职责包括: 4.4.1 贯彻执行公司信息安全领导小组的决议,协调和规范公司信息安全工作; 4.4.2 根据信息安全领导小组的工作部署,对信息安全工作进行具体安排、落实; 4.4.3 组织对重大的信息安全工作制度和技术操作策略进行审查,拟定信息安全总体策略规划,并监督执行; 4.4.4 负责协调、督促各职能部门和有关单位的信息安全工作,参与信息系统工程建设中的安全规划,监督安全措施的执行; 4.4.5 组织信息安全工作检查,分析信息安全总体状况,提出分析报告和安全风险的防范对策; 4.4.6 负责接收各单位的紧急信息安全事件报告,组织进行时间调查,分析原因、涉及范围,并评估安全事件的严重程度,提出信息安全时间防范措施; 4.4.7 及时向信息安全工作领导小组和上级有关部门、单位报告信息安全时间。 4.4.8 跟踪先进的信息安全技术,组织信息安全知识的培训和宣传工作。 4.5应急处理工作组的主要职责包括:

解读国标GBT 35273-2017《信息安全技术个人信息安全规范》

解读国标GBT 35273-2017《信息安全技术个人信息安全规范》发布时间：2018-01-28浏览：578 按照国家标准化管理委员会2017年第32号中国国家标准公告，全国信息安全标准化技术委员会组织制定和归口管理的国家标准GB/T 35273-2017 《信息安全技术个人信息安全规范》于2017年12月29日正式发布，将于2018年5月1日实施。本文重点提炼个人信息的保存、个人信息安处理以及组织的管理要求等方面内容，解读国家标准GB/T 35273-2017 《信息安全技术个人信息安全规范》。一、《信息安全技术个人信息安全规范》第六点“个人信息的保存”，对个人信息控制者对个人信息的保存提出具体要求，包括以下内容： 6.1 个人信息保存时间最小化对个人信息控制者的要求包括： a) 个人信息保存期限应为实现目的所必需的最短时间; b) 超出上述个人信息保存期限后，应对个人信息进行删除或匿名化处理。 6.2 去标识化处理收集个人信息后，个人信息控制者宜立即进行去标识化处理，并采取技术和管理方面的措施，将去标识化后的数据与可用于恢复识别个人的信息分开存储，并确保在后续的个人信息处理中不重新识别个人。 6.3 个人敏感信息的传输和存储对个人信息控制者的要求包括： a) 传输和存储个人敏感信息时，应采用加密等安全措施; b) 存储个人生物识别信息时，应采用技术措施处理后再进行存储，例如仅存储个人生物识别信息的摘要。 6.4 个人信息控制者停止运营当个人信息控制者停止运营其产品或服务时，应： a) 及时停止继续收集个人信息的活动; b) 将停止运营的通知以逐一送达或公告的形式通知个人信息主体; c) 对其所持有的个人信息进行删除或匿名化处理。二、《信息安全技术个人信息安全规范》第九点“个人信息安全事件处置”，对个人信息控制者处理个人信息安全事件的方式方法提出具体要求，包括以下内容： 9.1 安全事件应急处置和报告对个人信息控制者的要求包括： a) 应制定个人信息安全事件应急预案; b) 应定期(至少每年一次)组织内部相关人员进行应急响应培训和应急演练，使其掌握岗位职责和应急处置策略和规程; c) 发生个人信息安全事件后，个人信息控制者应根据应急响应预案进行以下处置： 1) 记录事件内容，包括但不限于：发现事件的人员、时间、地点，涉及的个人信息及人数，发生事件的系统名称，对其他互联系统的影响，是否已联系执法机关或有关部门; 2) 评估事件可能造成的影响，并采取必要措施控制事态，消除隐患; 3) 按《国家网络安全事件应急预案》的有关规定及时上报，报告内容包括但不限于：涉及个人信息主体的类型、数量、内容、性质等总体情况，事件可能造成的影响，已采取或

国内外信息安全标准

国内外信息安全标准姓名杨直霖信息安全标准是解决有关信息安全的产品和系统在设计、研发、生产、建设、使用、检测认证中的一致性、可靠性、可控性，先进性和符合性的技术规范和技术依据。因此，世界各国越来越重视信息安全产品认证标准的制修订工作。国外信息安全标准发展现状:CC标准(Common Criteria for Information Technology Security Evaluation)是信息技术安全性评估标准，用来评估信息系统和信息产品的安全性。CC标准源于世界多个国家的信息安全准则规范，包括欧洲ITSEC、美国TCSEC（桔皮书）、加拿大CTCPEC 以及美国的联邦准则(Federal Criteria)等，由6个国家（美国国家安全局和国家技术标准研究所、加拿大、英国、法国、德国、荷兰）共同提出制定。国际上，很多国家根据CC标准实施信息技术产品的安全性评估与认证。1999年被转化为国际标准ISO/IEC15408-1999《Information technology-Security techniques-Evaluation criteria for IT security》，目前，最新版本ISO/IEC15408-2008采用了。用于CC评估的配套文档CEM标准(Common Methodology for Information Technology Security Evaluation)提供了通用的评估方法，并且跟随CC标准版本的发展而更新。CEM标准主要描述了保护轮廓(PP-Protection Profile)、安全目标(ST-Security Target)和不同安全保证级产品的评估要求和评估方法。CEM标准于2005年成为国际标准ISO/IEC18045《Information technology-Security techniques-Methodology for ITsecurity evaluation》。国内信息安全标准:为了加强信息安全标准化工作的组织协调力度，国家标准化管理委员会批准成立了全国信息安全标准化技术委员会(简称“信安标委会”编号为TC260)。在信安标委会的协调与管理下，我国已经制修订了几十个信息安全标准，为信息安全产品检测认证提供了技术基础。 2001年，我国将ISO/IEC15408-1999转化为国家推荐性标准GB/T18336-2001 (CC 《信息技术安全技术信息技术安全性评估准则》。目前，国内最新版本GB/T18336-2008采用了 IS0/IEC15408-2005．即CC 。我国信息安全标准借鉴了GB/T 18336结构框架和技术要求，包括安全功能要求、安全保证要求和安全保证级的定义方法，以及标准的框架结构等。例如，GB/T20276-2006《信息安全技术智能卡嵌入式软件安全技术要求(EAL4增强级)》借用了PP的结构和内容要求，包括安全环境、安全目的和安全要求（安全功能要求和安全保证要求）等内容，以及CC标准预先定义的安全保证级别(EAL4)。同时，结合国内信息安全产品产业的实际情况，我国信息安全标准还规定了产品功能要求和性能要求，以及产品的测试方法。有些标准描述产品分级要求时，还考虑了产品功能要求与性能要求方面的影响因素。国外信息安全现状信息化发展比较好的发达国家，特别是美国，非常重视国家信息安全的管理工作。美、俄、日等国家都已经或正在制订自己的信息安全发展战略和发展计划，确保信息安全沿着正确的方向发展。美国信息安全管理的最高权力机构是美国国土安全局，分担信息安全管理和执行的机构有美国国家安全局、美国联邦调查局、美国国防部等，主要是根据相应的方针和政策结合自己部门的情况实施信息安全保障工作。2000年初，美国出台了电脑空间安全计划，旨在加强关键基础设施、计算机系统网络免受威胁的防御能力。2000年7月，日本信息技术战略本部及信息安全

(完整版)安全管理组织机构及岗位职责

安全管理组织机构及岗位职责 1.总则 1.1为规范XXXX有限公司（以下简称“XX”）网络与信息安全管理工作，建立自上而下的信息安全工作管理体系，需建立健全相应的组织管理体系，以推动信息安全工作的开展。 2.适用范围本管理办法适用于公司的信息安全组织机构和重要岗位的管理。 3.规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。凡注明日期的引用文件，其随后所有的修改单或修订版均不适用于本标准（不包括勘误、通知单），然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡未注日期的引用文件，其最新版本适用于本标准《信息安全技术信息系统安全保障评估框架》（GB/T 20274.1-2006）《信息安全技术信息系统安全管理要求》（GB/T 20269-2006 ）《信息安全技术信息系统安全等级保护基本要求》（GBT 22239-2008） 4.组织机构 4.1公司成立网络与信息安全领导小组，是信息安全的最高决策机构，负责信息安全领导小组的日常事务。 4.2信息安全领导小组负责研究重大事件，落实方针政策和制定总体策略等。职责主要包括：根据国家和行业有关信息安全的政策、法律和法规，批准公司信息安全总体策略规划、管理规范和技术标准；确定公司信息安全各有关部门工作职责，指导、监督信息安全工作。 4.3信息安全领导小组下设两个工作组：信息安全工作组、应急处理工作组。组长均由公司

负责人担任。 4.4信息安全工作组的主要职责包括： 4.4.1贯彻执行公司信息安全领导小组的决议，协调和规范公司信息安全工作； 4.4.2根据信息安全领导小组的工作部署，对信息安全工作进行具体安排、落实； 4.4.3组织对重大的信息安全工作制度和技术操作策略进行审查，拟订信息安全总体策略规划，并监督执行； 4.4.4负责协调、督促各职能部门和有关单位的信息安全工作，参与信息系统工程建设中的安全规划，监督安全措施的执行； 4.4.5组织信息安全工作检查，分析信息安全总体状况，提出分析报告和安全风险的防范对策； 4.4.6负责接受各单位的紧急信息安全事件报告，组织进行事件调查，分析原因、涉及范围，并评估安全事件的严重程度，提出信息安全事件防范措施； 4.4.7及时向信息安全工作领导小组和上级有关部门、单位报告信息安全事件。 4.4.8跟踪先进的信息安全技术，组织信息安全知识的培训和宣传工作。 4.5应急处理工作组的主要职责包括： 4.5.1审定公司网络与信息系统的安全应急策略及应急预案； 4.5.2决定相应应急预案的启动，负责现场指挥，并组织相关人员排除故障，恢复系统； 4.5.3每年组织对信息安全应急策略和应急预案进行测试和演练。 4.6公司应指定分管信息的领导负责本单位信息安全管理，并配备信息安全技术人员，有条件的应设置信息安全工作小组或办公室，对公司信息安全领导小组和工作小组负责，落实本单位信息安全工作和应急处理工作。 5.关键岗位

信息安全工作人员的岗位职责

信息安全工作人员的岗位职责一、信息安全员的职责信息安全员主要负责信息网络系统的信息安全和保密信息的管理。其主要职责是：（1）负责涉密信息网信息安全，监督检查涉密信息的报送、接受和传输的安全性；（2）负责监督检查信息网对外发布的信息，保证符合安全保密规定；（3）负责监督检查各部门的涉密信息安全保密措施，防止泄密事件的发生；（4）负责监督检查信息网对国际互联网上国家禁止的网站的非法访问记有害信息的侵入；（5）负责协助有关部门对网络泄密事件进行调查与技术分析。二、系统安全员的职责系统安全员主要负责信息网操作系统及服务器操作系统的安全及管理。其主要职责是：（1）负责信息网操作系统及服务器操作系统的安装、运行和维护、管理，保障系统的安全稳定地运行。（2）负责对用户的身份进行验证，防止非法用户进入系统；（3）负责用户的口令管理，建立口令管理规程和检验创建账户机制，避免口令泄露；（4）负责实时监控系统，发现异常现象及时采取措施，恢复系统正常运行状态；（5）负责对系统各种硬软件资源的合理分配和科学使用，避免造成系统资源的浪费。三、网络安全员的职责网络安全员主要负责信息网络系统的安全保密工作。其主要职责是：（1）负责信息网络系统及其网络安全保密系统的运行于维护，发现故障及时排除，保障系统安全可靠运行；（2）负责配置和管理访问控制表，根据安全需求为各用户配置相应的访问权限；（3）负责网络审计系统的管理和维护，认真记录、检查和保管审计日志；

（4）负责检查系统的安全漏洞和隐患，发现安全隐患及时进行修复或提出改进意见；（5）负责实时对系统进行非法入侵检测，防止和阻止“黑客”入侵。四、设备安全员的职责设备安全员负责对专用计算机安全保密设备（防火墙、加密机、干扰仪等）的管理、使用和维护。其主要职责是：（1）负责设备的领用和保管，做好设备的领用、进出库、报废登记；（2）负责设备的正确使用和安全运行，并建立详细的运行日志；（3）负责设备的清洁和定期的保养维护，并做好维护记录；（4）负责设备的维修，制定设备的维修计划，做好设备维修记录；（5）负责对安全保密设备密钥的管理。五、数据库安全员的职责数据库安全员负责数据库管理系统的安全及维护管理工作。其主要管理职责是：（1）负责数据库管理系统的安装、备份与维护，保证系统安全、正常运行；（2）负责定期检查系统运行情况，检测并优化系统性能；（3）负责检查数据库系统的用户权限，防止非法用户的入侵和越权访问；（4）负责定期检查数据库数据的完整性和可用性，发现系统故障及时排除，做好系统恢复。六、数据安全员的职责数据安全员负责信息网络中运行数据的安全。其主要职责是：（1）负责信息网络数据的安全，保障信息的保密性、完整性和可用性；（2）负责对信息网络数据备份与灾难恢复系统的维护与管理，实时对重要数据进行安全备份；（3）负责对信息采集、传输及存储的技术手段和工作环境以及介质管理各环节的监督检查，发现问题及漏洞及时解决；（4）负责定期对重要数据存储备份介质的检查，防止数据的丢失或被破坏。

解读国标T信息安全技术个人信息安全规范

解读国标T信息安全技术个人信息安全规范 Coca-cola standardization office【ZZ5AB-ZZSYT-ZZ2C-ZZ682T-ZZT18】

收集个人信息后，个人信息控制者宜立即进行去标识化处理，并采取技术和管理方面的措施，将去标识化后的数据与可用于恢复识别个人的信息分开存储，并确保在后续的个人信息处理中不重新识别个人。个人敏感信息的传输和存储对个人信息控制者的要求包括： a) 传输和存储个人敏感信息时，应采用加密等安全措施; b) 存储个人生物识别信息时，应采用技术措施处理后再进行存储，例如仅存储个人生物识别信息的摘要。个人信息控制者停止运营当个人信息控制者停止运营其产品或服务时，应： a) 及时停止继续收集个人信息的活动; b) 将停止运营的通知以逐一送达或公告的形式通知个人信息主体; c) 对其所持有的个人信息进行删除或匿名化处理。二、《信息安全技术个人信息安全规范》第九点“个人信息安全事件处置”，对个人信息控制者处理个人信息安全事件的方式方法提出具体要求，包括以下内容：安全事件应急处置和报告对个人信息控制者的要求包括：

软考-信息安全工程师(汇总1000题)

一、1单项选择题（1-605） 1、Chinese Wall 模型的设计宗旨是：（A）。 A、用户只能访问哪些与已经拥有的信息不冲突的信息 B、用户可以访问所有信息 C、用户可以访问所有已经选择的信息 D、用户不可以访问哪些没有选择的信息 2、安全责任分配的基本原则是：（C）。 A、“三分靠技术，七分靠管理” B、“七分靠技术，三分靠管理” C、“谁主管，谁负责” D、防火墙技术 3、保证计算机信息运行的安全是计算机安全领域中最重要的环节之一，以下（B）不属于信息运行安全技术的范畴。 A、风险分析 B、审计跟踪技术 C、应急技术 D、防火墙技术 4、从风险的观点来看，一个具有任务紧急性，核心功能性的计算机应用程序系统的开发和维护项目应该（A）。 A、内部实现 B、外部采购实现 C、合作实现 D、多来源合作实现 5、从风险分析的观点来看，计算机系统的最主要弱点是（B）。 A、内部计算机处理 B、系统输入输出 C、通讯和网络 D、外部计算机处理 6、从风险管理的角度，以下哪种方法不可取？（D） A、接受风险 B、分散风险 C、转移风险 D、拖延风险 7、当今IT的发展与安全投入，安全意识和安全手段之间形成（B）。 A、安全风险屏障 B、安全风险缺口 C、管理方式的变革 D、管理方式的缺口 8、当为计算机资产定义保险覆盖率时，下列哪一项应该特别考虑？（D）。 A、已买的软件 B、定做的软件 C、硬件 D、数据 9、当一个应用系统被攻击并受到了破坏后，系统管理员从新安装和配置了此应用系统，在该系统重新上线前管理员不需查看：（C） A、访问控制列表 B、系统服务配置情况 C、审计记录 D、用户账户和权限的设置 10、根据《计算机信息系统国际联网保密管理规定》，涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其它公共信息网络相联接，必须实行（B）。 A、逻辑隔离 B、物理隔离 C、安装防火墙 D、VLAN 划分 11、根据《信息系统安全等级保护定级指南》，信息系统的安全保护等级由哪两个定级要素

信息安全管理制度..

信息工作管理制度第一章总则第一条为了加强信息管理，规范信息安全操作行为，提高信息安全保障能力和水平，维护信息安全，促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等规定，以《环境信息网络管理维护规范》（环保部制定）等标准为基本管理操作准则，制订本管理制度。第二条本制度适用范围为信息与监控中心，其他单位可参照执行。第二章岗位管理第三条业务信息工作人员（包括监控与信息中心技术人员及机关业务系统管理人员）、机房运维人员（包括外包机构人员），应遵循《环境信息网络管理维护规范》等规定。第四条机房运维人员根据运维合同规定由机房管理部门对其实行管理。第五条信息工作人员岗位设置为系统管理员、业务管理员、网络管理员、安全管理员、安全审计员。人员岗位及职责（一）系统管理员系统管理员是从事服务器及存储设备运行管理的人

员，业务上应具备熟练掌握操作系统、熟练操作服务器和存储设备的能力。 1、负责指定的服务器、存储等设备的资料登记、软件保管及设备报修。 2、配合完成指定的业务软件运行环境的建立，正式运行后的服务器系统软硬件操作的监管，执行中心的备份策略。 3、在所负责的的服务器、存储设备发生硬件故障时,及时组织有关人员恢复系统的运行,针对系统事故找到系统事故原因。 4、负责指定的服务器操作系统的管理口令修改。 5、负责制定、执行服务器及存储设备故障应急预案。（二）业务管理员（业务联系人）业务管理员是部署在应用服务器上的操作系统及业务系统运行管理的人员，业务上应具备业务系统安装及基本调试操作的能力（业务软件厂家负责培训），业务系统及部署操作系统故障分析的能力，预防系统风险的能力。 1、负责维护业务系统的运行及业务系统的安装环境。 2、负责制定、执行业务系统及其数据的备份计划。 3、负责业务数据的数据备份及数据恢复。 4、负责制定执行本业务系统的故障应急预案。（三）网络管理员

网络安全管理员岗位工作职责

网络安全管理员岗位工作职责一、组织工作人员认真学习《计算机信息网络国际互联网安全保护管理办法》，提高工作人员的维护网络安全的警惕性和自觉性。二、负责对本网络用户进行安全教育和培训，使用户自觉遵守和维护《计算机信息网络国际互联网安全保护管理办法》，使他们具备基本的网络安全知识。三、加强对信源单位的信息发布和BBS公告系统的信息发布的审核管理工作，杜绝违犯《计算机信息网络国际互联网安全保护管理办法》的内容出现。四、一旦发现从事下列危害计算机信息网络安全的活动的：（1）未经允许进入计算机信息网络或者使用计算机信息网络资源；（2）未经允许对计算机信息网络功能进行删除、修改或者增加；（3）未经允许对计算机信息网络中存储、处理或者传输的数据和应用程序进行删除、修改或者增加；（4）故意制作、传播计算机病毒等破坏性程序的；（5）从事其他危害计算机信息网络安全的活动。做好记录并立即向当地公安机关报告。五、在信息发布的审核过程中，如发现有以下行为的：（1）煽动抗拒、破坏宪法和法律、行政法规实施；（2）煽动颠覆国家政权，推翻社会主义制度；（3）煽动分裂国家、破坏国家统一；（4）煽动民族仇恨、民族歧视、破坏民族团结；（5）捏造或者歪曲事实、散布谣言，扰乱社会秩序；（6）宣扬封建迷信、淫秽、色情、赌博、暴力、凶杀、恐怖、教唆犯罪；

（7）公然侮辱他人或者捏造事实诽谤他人；（8）损害国家机关信誉；（9）其他违反宪法和法律、行政法规；将一律不予以发布，并保留有关原始记录，在二十四小时内向当地公安机关报告。六、接受并配合公安机关的安全监督、检查和指导，如实向公安机关提供有关安全保护的信息、资料及数据文件，协助公安机关查处通过国际联网的计算机信息网络的违法犯罪行为。七、网络安全管理员主要负责全公司网络（包含局域网、广域网）的系统安全性。负责日常操作系统、网管系统、邮件系统的安全补丁、漏洞检测及修补、病毒防治等工作。网络安全管理员应经常保持对最新技术的掌握，实时了解INTERNET的动向，做到预防为主。在做好本职工作的同时，应协助机房管理人员进行机房管理，严格按照机房制度执行日常维护。

信息管理员岗位职责和管理责任人

信息管理员岗位职责和管理责任人 Newly compiled on November 23, 2020

文件编号：XXJS-YJYA06 密级: XXX局 Bureau of Complete Machinery & Equipment of Guangdong Province 网络、数据、系统管理员岗位职责版本号： A/01 生效日期：网络、数据、系统管理员岗位职责一：网络管理员职责 1 基础设施管理（1）确保网络通信传输畅通；（2）掌握主干设备的配置情况及配置参数变更情况，备份各个设备的配置文件；（3）对运行关键业务网络的主干设备配备相应的备份设备，并配置为热后备设备；（4）负责网络布线配线架的管理，确保配线的合理有序；（5）掌握用户端设备接入网络的情况，以便发现问题时可迅速定位；（6）采取技术措施，对网络内经常出现的用户需要变更位置和部门的情况进行管；（7）掌握与外部网络的连接配置，监督网络通信状况，发现问题后与有关机构及时联系；（8）实时监控整个局域网的运转和网络通信流量情况；（9）制定、发布网络基础设施使用管理办法并监督执行情况。

2 操作系统管理（1）在网络操作系统配置完成并投入正常运行后，为了确保网络操作系统工作正常，网络管理员首先应该能够熟练的利用系统提供的各种管理工具软件，实时监督系统的运转情况，及时发现故障征兆并进行处理。（2）在网络运行过程中，网络管理员应随时掌握网络系统配置情况及配置参数变更情况，对配置参数进行备份。网络管理员还应该做到随着系统环境的变化、业务发展需要和用户需求，动态调整系统配置参数，优化系统性能。（3）网络管理员应为关键的网络操作系统服务器建立热备份系统，做好防灾准备。 3 应用系统管理（1）确保各种网络应用服务运行的不间断性和工作性能的良好性，出现故障时应将故障造成的损失和影响控制在最小范围内。（2）对于要求不可中断的关键型网络应用系统，除了在软件手段上要掌握、备份系统参数和定期备份系统业务数据外，必要时在硬件手段上还要建立和配置系统的热备份。（3）对于用户访问频率高、系统负荷的网络应用服务，必要时网络管理员还应该采取分担的技术措施。 4 用户服务与管理（1）用户的开户与撤销；（2）用户组的设置与管理；（3）用户可用服务与资源的的权限管理和配额管理；

全国信息安全标准化技术委员会工作组章程

全国信息安全标准化技术委员会工作组章程（2017年2月3日）第一章总则第一条为加强全国信息安全标准化技术委员会（以下简称“信安标委”）工作组的管理，规范工作组工作及相关活动，根据《全国信息安全标准化技术委员会章程》的有关规定制定本章程。第二条本章程适用于信安标委下设的工作组（WG）和特别工作组（SWG）。第三条工作组的设立、调整或撤消，由信安标委秘书处（以下简称“秘书处”）提出建议，报请信安标委主任办公会审议批准。第二章工作组组成第四条工作组设组长一名，全面负责工作组工作。工作组组长由秘书处提名，经信安标委主任办公会审议任命。工作组可设副组长，协助组长开展工作。副组长由组长提名，经主任委员批准任命。秘书处指派联络员，负责与工作组对口联络。

第五章工作组可设秘书，按组长要求组织和落实工作组相关工作，包括标准项目管理和推进、会议组织、文档管理、工作组成员管理等。第六条组长、副组长应具备的基本条件： 1. 遵守国家法律法规的中国公民； 2. 愿意为国家网络安全标准化事业做出贡献，具有较强的技术研究能力或丰富的标准化工作经验，并具备较强的组织协调能力； 3. 工作认真负责，公平公正，作风民主； 4. 具有相关工作基础和支撑其开展工作的条件。第七条工作组成员应具备的基本条件： 1. 在我国境内注册的、具有法人资格的企业、高等院校、科研院所等； 2. 自愿加入工作组，承认并遵守本章程； 3. 从事与工作组技术领域相关的业务。第八条工作组成员具有的权利： 1. 对工作组有关事宜享有表决权； 2. 了解工作组的工作情况和工作计划，申请或参与工作组标准项目； 3. 获取工作组工作文件、信息服务，以及信安标委刊物、技术资料等；