信息服务业务网络与信息安全保障措施

备情况及相应资质

工作经验

1.从2006接触互联网以来，熟悉目前国内大中型论坛网站和网站论坛的经营现状和管理模式；

2.熟悉常见数据库操作

3.熟悉大型网路设备，参与多个网络的规划建设

信息安全管理责任制建立和健全法人代表、总经理或行政负责人信息安全责任制，严格对信息发布的审查和监督。加强内部管理制度，做到信息安全责任到人。（1）信息安全责任领导及员工定期参加上级部门举办的各项安全管理教育及技术培训，巩固技术安全知识。当责任人有变动时，我公司保证在2天内以书面形式上报通信管理局。

流程如下：

进入工信部备案网站。申请责任人变更申请；然后整理关于责任人变更相关信息，包括责任人姓名、手机、办公电话、电子邮箱、通信地址等信息，以正式的书面形式上报给通信管理局，申请相关责任人的变更。

（2）由指定检测员负责网站内的信息内容的日常检测工作,做好检测纪录。单位与检测员签定检测责任书。

（3）检测员做好有关密码和权限的保密工作，未经允许不得随意更改密码或向第三方泄露。

（4）为保密需要，定期或不定期地更换不同保密方法或密码口令。

（5）经申报批准，才能查询、打印有关资料。

（6）电脑操作员对保密信息严加看管，不得遗失、私自传播。

有害信息发现受理处置机制凡本公司工作人员，均有责任和义务监督、发现、报告、处理互联网信息系统的有害信息。发现有害信息时的处置程序如下：

及时取证：包括信息全部内容及有关来源网址的信息。

及时报告：应在发现后24小时内向信息安全员报告并保护相关资料，条件许可的应停机等候处理。

消除有害信息：经信息安全员许可，发现单位和个人，在自己技术许可条件下，有权及时清除所发现的有害信息，以免进一步传播。

相关技术人员应在接到通知后立即赶到现场，作好必要记录，清理非法信息，妥善保存有关记录及日志或审计记录，强化安全防范措施，并将网站网页重新投入使用。情况紧急的，应先及时采取删除等处理措施，再按程序报告。

遵守对网站服务信息监视，保存、清除和备份制度。继续开展对网络有害信息的清理整治工作。对违反本办法的，予以通报批评；情节严重的，追究责任人的责任；对违反有关法律、法规的，有关部门依法追究法律责任。

有害信息投诉受理处置机制按照“早发现、早报告、早处置”的原则，加强对网络与信息安全突发公共事件和可能引发网络与信息安全突发公共事件的有关信息的收集、分析判断和持续监测。工作人员要密切监测网络状况，一旦发现异常应立即通知相关部门并及时向单位领导和应急领导小组汇报。加强内容关键字过滤，对非法关键字或其他引起信息安全问题的关键字进行过滤，尤其是政治敏感词汇，防止他人利用非法字符的谐音或者变音达到宣传非法事件的目的，确保流向各公众通信网络公司网络信息源的安全和健康。

（一）投诉受理

1、受理投诉举报问题和案件，应本着从速从快的原则，需立案调查的，及时按案件审批程序办理。对不属我公司责职范围的，要耐心做好解释工作，并告知投诉举报人向有处理权的机关投诉或举报。

2、接待投诉举报要态度和蔼，耐心听取陈诉，属受理范围的案件，要及时受理，不得推诿。

3、受理举报工作人员必须为举报人保密，不得将举报人或举报材料等情况透露或转送给被举报单位和被举报人。

4、受理投诉举报实行“首问责任制”，即谁接到投诉举报，谁负责做好接待（登记）和情况记录，并及时向有关领导汇报。

（二）处置机制

1、对投诉失实的，被投诉单位负责人应向投诉者进行解释，澄清事实。投诉者和被投诉者对投诉处理结论不服的，可向作出处理结论部门的上一级信息安全机构申请复查。

2、对因特殊情况未能在规定的时限内办结有关事项而被投诉的，由被投诉单位派员上门向投诉者进行说明情况，进行解释或赔礼道歉。

3、对网站所传输的信息内容难以辨别的，暂停传输，并经相关主管部门审核同意后再发布。我公司承诺自觉接受电信管理机构和有关管理部门的监督检查，积极配合相关管理部门的管理工作

重大信息安全本公司采用相应的技术手段，对计算机网络与信息安全进行实时检测与监控，发现问题应当及时向网络与信息安全管理部门报告并采取处理措施。采用先进的防火墻、功能强大的入侵检测系统、防病毒系统对网络及系统安全方面加以保护。

按照事件的严重情况分为四个等级：特别重大事件(I 级)、重大事件(Ⅱ级)、较大事件(III级)和一般事件(Ⅳ级)。

事件应急处置和报告制度（1）应急事件报告

出现公司内所管辖的网络和信息安全事件时，一般事件在公司内报警并作相关处理；重大事件和影响超出本公司管辖范围时，向上级管理部门紧急报警。

一般安全事件，向入侵者所在的网络管理员投诉；遇到重大信息安全事件时 (如造成重大经济损失、涉及破坏国家信息安全的反动政治言论)，及时消除、保留证据，立即向网络和信息安全事件应急小组报告。网络和信息安全事件应急小组接到报告后，立即对发生的事件进行调查核实、保存相关证据，确定事件等级，上报相关材料或提出启动预案申请。整个事件过程及处理事故阶段必须落实专人负责，认真调查分析事件发生的原因、责任，并作出客观的评析，如实向有关部门作出汇报。

（2）应急处置

网络环境安全事件，包括火灾、盗窃、破坏、供电等；网络运行相关事件，包括线路中断、路由故障、流量异常、域名系统故障等。发生信息安全事件时紧急通知我公司信息主管负责人，及时消除非法信息，恢复系统。无法迅速消除或恢复系统、影响较大时实施紧急关闭，并及时上报。发生网络与信息安全突发事件的单位应当在事件发生后，首先以口头方式立即向信息化应急领导小组报告，信息化应急领导小组接到报告后，应当立即向网络与信息安全应急预案小组办公室报告。

（3）保障措施

高度重视网络与信息安全事件应急预案工作。充分认识到网络与信息安全事件应急预案工作的重要性，落实工作责任，加强安全应急的宣传教育和技术培训，确保此项工作落到实处。

建立健全指挥调度机制和信息安全通报制度，进一步完善信息安全应急协调机制。

建立应急处理技术平台，进一步提高安全事件的发现和分析能力，从技术上逐步实现发现、预警、处置、通报等多个环节和不同的网络、系统、部门之间应急处理的联动机制。

各部门要经常性地开展信息安全方面的自检自查，审核领导小组将积极做好指导、协调、服务并不定期地进行抽查。审核领导小组将对不重视信息系统安全，疏于管理严重失职而造成重大信息安全事故的有关单位及责任人特别是单位领导进行严肃追究。

凡发生重大信息安全事件，责任部门应及时派人到现场了解情况，准确掌握动态，并在2小时内向信息安全小组报送相关信息，并续报处置善后情况。若在规定时间内无法报送文字材料，应通过电话口头汇报事件经过，再报送文字资料。

遇到重大信息安全事件，整个事件过程及处理事故阶段必须落实专人负责，认真调查分析事件发生的原因、责任，并作出客观的评析，如实向有关部门作出汇报。

上报重大信息安全事件必须认真核实信息发生的时间、地点、人员、原因、处置方案、后果等相关要素，必须由分管领导签字把关，特别重要的还须由主要领导审签。

信息安全管理政策和业务培训制度1、建立以单位领导为首的信息安全管理机构，成员包括信息管理员、技术员，信息安全责任领导及员工定期参加上级部门举办的各项安全管理教育及技术培训，巩固技术安全知识。

2、公司定期对相关人员进行网络信息安全培训并进行考核，使员工能够充分认识到网络安全的重要性，严格遵守响应规章制度。做到坚持不懈，不放松警惕，将安全管理工作长期进行下去，并且不断的加以完善。

3、遵守安全教育和培训制度。加大宣传教育力度，增强用户网络安全意识，自觉遵守互联网有关法律、法规，遵守《自律公约》，不泄密、不制作和传播有害信息，不链接有害信息或网页。

4、遵守对网站服务信息监视，保存、清除和备份制度。

5、严格遵守网站用户帐号使用登记和操作权限管理制度。

6、继续开展对网络有害信息的清理整治工作。

7、对违法犯罪案件，报告并协助公安机关查处。

8、遇到安全问题时，及时汇报上级领导，采取措施及时解决。

业务培训制度

1、培训目标：贯彻国家关于计算机网络和信息安全的有关规定，加强计算机网络的安全管理，树立网络用户的安全和保密意识，提升技术人员在计算机网络方面的专业知识与实战技能；提升员工的网络与信息安全知识水平。

2、培训内容：

（1）对信息源接入单位进行安全教育和培训，使他们自觉遵守和维护《计算机信息网络国际互联网安全保护管理办法》，杜绝发布违犯《计算机信息网络国际互联网安全保护管理办法》的信息内容。

（2）定期组织管理员认真学习《计算机信息网络国际互联网安全保护管理办法》、《网络安全管理制度》及《信息审核管理制度》，提高工作人员的维护网络安全的警惕性和自觉性。

（3）负责对本网络用户进行安全教育和培训，使用户自觉遵守和维护《计算机信息网络国际互联网安全保护管理办法》，使员工具备基本的网络安全知识。

（4）不定期地邀请公安机关有关人员进行信息安全方面的培训，加强对有害信息，特别是影射性有害信息的识别能力，提高防犯能力。

3、培训方式

（1）实行季度考核制度，对考核不合格的的员工采取相应从处理措施。

（2）企业内部定期组织各种信息安全知识培训，加强员工安全意识。

（3）必要时不定期邀请公安机关有关人员来公司对员工进行培训。

网络安全管理责任制度1、提高认识，建立健全信息系统安全保障体系要充分认识到加强信息系统安全工作的必要性和重要意义，正确处理发展与安全的关系，一手抓信息化建设，一手抓网络信息安全，按照统一标准建立起完善的信息系统安全保障体系。

2、加强领导，落实信息安全责任制

各部门要进一步增强信息安全意识，严格落实信息安全责任制，由“一把手”总经理及部门主管领导全面负责本单位的信息安全工作，建立信息网络安全管理机构，设立专职管理人员，切实扭转和解决信息安全责任落实不到位的状况。各中心要积极做好信息安全工作的组织领导和指导监督工作。从信息安全责任制、安全风险评估、日常安全管理制度、定期教育培训、系统和数据备份制度、系统定期检测和升级、应急处理预案及其演练、安全事件报告、安全自查和安全测评等方面加强信息安全工作，确保重要信息系统的安全稳定运行。

3、加强维护、建立信息安全应急预案

各部门要高度重视信息安全工作，建立并细化信息安全应急预案，对潜在的突发事件和重大操作失误，事先要有预防措施、应急处置程序和恢复控制办法，保证关键业务和重大经营活动的连续性；明确各责任区域责任人及其工作职责；定期进行应急预案演练，检验其操作性和效果。公司将组织在一定范围内逐步开展信息系统安全测评工作。

网络安全防护制度1、设有信息安全保障工作组，对信息安全提供预警、救援、恢复、监控和测评，负责网络与信息安全保障体系建设的规划、协调和监督，并对相关重大事项做出决定。

2、由专门人员负责计算机网络与信息安全的管理工作。参与制定公司及本部门信息安全规章制度，检查内部安全管理工作情况，进行内部安全教育，向公司及相关单位汇报本部门网络信息安全管理工作情况等。专门人员必须认真执行信息发布审核管理工作，杜绝违犯《计算机信息网络国际联网安全保护管理办法》的情形出现。

3、本公司加强对本单位计算机信息系统日常维护与使用的管理，建立健全的各项安全和保密制度。

4、本公司采用相应的技术手段，对计算机网络与信息安全进行实时检测与监控，发现问题应当及时向网络与信息安全管理部门报告并采取处理措施。

5、本公司使用的计算机必须安装具有实时监控功能的防病毒软件并及时升级。

6、本公司计算机信息系统不使用盗版软件。

7、本公司上网信息必须履行相关的审批手续，责任到人；在未取得相应的加密措施之前，不得利用电子邮件传递涉及秘密的信息。

网络安全事件应急处置和报告制度一、应急处置

网络环境安全事件，包括火灾、盗窃、破坏、供电等；网络运行相关事件，包括线路中断、路由故障、流量异常、域名系统故障等。发生信息安全事件时紧急通知我公司信息主管负责人，及时消除非法信息，恢复系统。无法迅速消除或恢复系统、影响较大时实施紧急关闭，并及时上报。

二、应急事件报告制度

出现公司内所管辖的网络和信息安全事件时，一般事件在公司内报警并作相关处理；重大事件和影响超出本公司管辖范围时，向上级管理部门紧急报警。

一般安全事件，向入侵者所在的网络管理员投诉；遇到重大信息安全事件时 (如造成重大经济损失、涉及破坏国家信息安全的反动政治言论)，及时消除、保留证据，立即向网络和信息安全事件应急小组报告。网络和信息安全事件应急小组接到报告后，立即对发生的事件进行调查核实、保存相关证据，确定事件等级，上报相关材料或提出启动预案申请。整个事件过程及处理事故阶段必须落实专人负责，认真调查分析事件发生的原因、责任，并作出客观的评析，如实向有关部门作出汇报。

有害

信息发现和过滤技术手段系统对处理过后的内容进行自动过滤，它能够有效识别和过滤各种非法文本信息。根据既定的语义范式和过滤词表进行自动对比，在其中发现有害信息。采用公安局指定使用的信息过滤系统，该系统由公安局方面配置敏感词汇，系统认定为非法信息而会被过滤，同时将非法信息备份在公安部门的过滤系统中，保证定时刷新和监控；同时采用黑名单过滤的方式，建立并维护黑名单表，对于黑名单中用户上下行信息都进行过滤，并记入日志。工作人员对自动过滤后的结果进行人工校验，人工校验后方可进行数据发布处理。

用户

日志留存所采用的技术手段建立多重备份制度，对重要资料除在电脑贮存外，还拷贝到光盘及相关移动存储设备上，并由专人负责进行保管，以防遭病毒破坏而遗失。公司内部留有备份服务器，以防IDC服务器出现无法修理的故障。为保证系统的数据安全，在客户的防伪数据这一层，使两台数据库服务器热备运行，共享磁盘阵列系统。如果任何一台服务器故障时，可以互相代替；如果磁盘阵列中任何一块磁盘的物理损坏，都可随时更换，其内容可由其他磁盘用算法恢复（RAID 5）。

网络安全防护技术手段1、为保证内网的安全，安装了防火墙、网络隔离卡等网络安全设备，将内网与外网实行物理隔离。

⑴在防火墙使用上，采取内网与外网相结合的方式，一台用于管理外部网络的连接，一台用于管理内部网络的连接，对内外网实行严格的管理。

⑵鉴于内部局域网的有关微机（终端接收机）需要连接互联网，容易发生泄密将有关微机分成了两台虚拟计算机，“双线、双硬盘、双系统”，一个系统连接内部局域网（内网），用于内部综合办公，一个系统连接外部网络（外网），用于浏览网上的信息，使内部局域网与互联网之间物理隔离，达到了安全保密的要求。

2、信息安全过滤系统。系统对处理过后的内容进行自动过滤，它能够有效识别和过滤各种非法文本信息。根据既定的语义范式和过滤词表进行自动对比，在其中发现有害信息。采用公安局指定使用的信息过滤系统，该系统由公安局方面配置敏感词汇，系统认定为非法信息而会被过滤，同时将非法信息备份在公安部门的过滤系统中，保证定时刷新和监控；同时采用黑名单过滤的方式，建立并维护黑名单表，对于黑名单中用户上下行信息都进行过滤，并记入日志。工作人员对自动过滤后的结果进行人工校验，人工校验后方可进行数据发布处理。

安全

联络员变动承诺保障网络安全，我公司设置信息安全管理组织机构，成立安全管理小组，设定相应的信息安全联络员，同时信息安全联络员或者联系方式发生变动，我公司郑重承诺执行信息安全规章制度，并形成规范化管理。当安全联络员联系方式变动时，承诺在两个工作日内主动向申请机关作出书面报告。

其他