两化融合信息安全控制程序

两化融合信息安全控制程序

1 目的

加强公司信息安全的管理和预防，提高全员信息安全意识，确保公司的数据、信息、知识产权等受到保护。

2 范围

适用于公司所有的数据、信息、知识产权等信息资源安全的管理和控制。

3 术语和定义

3.1 信息安全

保障信息的保密性、完整性和可用性及其他属性，如：真实性、可核查性、可靠性、防抵赖性。

3.2 信息安全事件

系统、服务或网络状态发生的事件违背了信息安全策略，或使安全策略失效，或发生以前未知的安全相关的情况。

4 职责

4.1 两化融合领导小组

负责两化融合管理信息安全重大事项的决策和协调工作。

贯彻落实国家及上级单位有关信息系统安全的方针政策、法律、规范和标准。

审核落实公司信息系统信息安全总体策略和安全措施。

4.2 信息中心

a）信息中心是信息安全的归口管理部门，组织公司各部门开展信息安全工作。

b）负责编写两化融合信息安全程序文件，明确信息安全的分工及相关工作要求。

c）落实上级单位有关信息安全法规、方针、政策、标准、规范，落实信息安全管理相关工作。

d）组织制定公司信息安全管理规章制度和标准规范、规划。

e）指导、协调、检查、监督和考核各部门及单位的信息安全管理工作，统筹开展公司信息系统风险评估和安全检查工作。

f）负责检查中发现问题隐患的和监督整改。

g）负责信息安全的宣传教育和培训工作。

h）落实两化融合领导小组各项指示要求，组织开展应急值班，接收、分析、报送和发

布事件信息，提出应急处置建议，并负责网络与信息系统恢复、抢修的组织、协调工作。

i）负责信息安全管理相关过程及结果，并及时归档。

4.3 各部门

a)负责落实信息安全建设方案和应急预案，配合处理紧急重大信息安全事件；

b)负责落实本部门范围内信息安全工作责任制。

c)配合开展本部门业务应用系统安全测试、安全检查和风险评估等工作。

d)负责或配合开展业务应用使用人员的有关信息安全和保密培训工作。

5 工作流程（参考下图）

6 过程方法及要求

6.1 信息安全管理内容

信息安全管理包括信息系统安全管理、办公计算机信息安全管理、外设安全管理等，信息安全管理使得企业的数据、信息、知识等受到保护，不受偶然的或恶意的破坏、更改和泄漏，保证信息服务和系统连续可靠运行、不中断，确保信息内容的机密性、完整性、可用性。

6.2 信息安全责任制

信息的安全保密管理人员应经过严格审查，接受上岗前的相关保密培训及定期考核，且保持相对稳定。

6.3 信息安全保密管理实行领导负责制，各部门主要领导负责对公司信息安全保密工作进

行检查。信息安全实施

6.3.1 信息安全实施内容

6.3.1.1 信息资产分类和控制——要根据信息安全风险将信息资产按照需要程度、优先级、保护级别分类。必须采用恰当的保护控制手段，比如使用加密或建立存储保护区。所有重要信息资产必须有所有者和说明。

6.3.1.2 人员控制——配合人力资源条例和业务需求，对那些接触高敏感信息系统的人员进行人员甄别控制，降低由不可靠人员使用高敏感信息导致的风险。在面向员工的教育培训中要增强信息安全意识。

6.3.1.3 物理控制——为了保护信息处理设施和设备不受物理安全威胁以及环境对信息安全的影响，要采用有效的物理保护措施。

6.3.1.4通讯和运营管理——要保证安全正确地运行信息处理设施，保护软件完整性，保证保密信息存放和电子传送时的完整性。这可通过分工负责制、实施技术手段和流程控制实现。

6.3.1.5 访问控制——根据业务及安全的基本要求，要对信息和信息系统的访问实现控制，只授权给业务相关的人。要通过适当的预防和检测技术防止未经授权访问信息系统和公司网络。

6.3.1.6 系统开发管理——为保证能在信息处理系统和应用程序中建立加密技术控制，数据所有人和开发者要在事前确认并同意安全需求并在整个信息系统开发期间采用合适的信息安全控制。

6.3.1.8通讯和运营管理——要保证安全正确地运行信息处理设施，保护软件完整性，保证保密信息存放和电子传送时的完整性。这可通过分工负责制、实施技术手段和流程控制实现。

6.3.1.9访问控制——根据业务及安全的基本要求，要对信息和信息系统的访问实现控制，只授权给业务相关人。要通过适当预防和检测技术防止未经授权访问信息系统和公司网络。

6.3.1.10 系统开发管理——为保证能在信息处理系统和应用程序中建立加密技术控制，数据所有人和开发者要在事前确认并同意安全需求并在整个信息系统开发期间采用合适的信息安全控制。

6.3.1.11应急预案及业务连续性管理——必须制定并测试能覆盖所有公司业务部门和信息系统环境的业务连续性规划和灾难恢复规划。这些规划显示出当企业突发灾难需要重新建立所有运营活动时，在预定时间内恢复到预定水平。

6.3.1.12信息安全事件管理——为减少由信息安全事件引起的损害，在监测信息安全事件过程中持续改进，必须遵守信息安全事件管理流程。所有实际的和疑似的信息安全事件，包括疑似违背信息安全条例和标准的事件必须报告给信息中心。严重的信息安全事件必须报告给信息安全领导委员会。

6.3.1.13第三方信息安全控制——当第三方需要访问公司信息或信息处理设施时，在合同中要包括同意信息安全条款来保证遵守公司信息安全条例。

6.3.2 管理实施

信息中心负责建立建全信息安全管理制度体系，并定期对信息安全管理制度进行检查和审定，对存在不足或需要改进的信息安全管理制度及时进行修订；

加强信息系统安全管理人员之间、各部门、各单位之间的合作与沟通，按照需要定期或不定期的召开协调会议，共同协作处理信息安全问题；

建立日常维护工作汇报机制，如发现重大信息安全事件按照应急预案处理。

6.3.3 技术实施

公司环境安全、网络安全、系统安全、数据安全等业务信息安全信息管理严格执行《涉及国家秘密的信息系统分级保护管理规范》和《涉及国家秘密的信息系统分级保护技术要求》等国家标准；

存放备份数据的介质必须具有明确的标识，统一保存在安全可靠的地方，由专人负责管理。

6.4 信息安全风险评估和管理

6.4.1 风险识别

信息中心组织，各部门、各单位配合，针对在信息采集、获取、存储、传递与共享等过程中存在的风险进行识别，确定引起风险的主要因素，填入《信息安全风险列表》。

6.4.2 风险分析

信息中心组织各部门、各单位评估每个风险发生的可能性大小以及影响范围，形成风险分析结果，填入《信息安全风险列表》。

6.4.3 风险应对

信息中心根据风险分析结果，对已识别的风险，通过采取用户授权、制度建立与完善、引进专用的软件硬件等管理与技术手段，制定有针对性的预防和应对措施，进行统一管理并组织各部门、单位实施。

6.5 信息安全事件处理

信息中心为信息安全应急处理的归口单位，负责制定应急预案，明确应急措施和程序，并组织应急处理等工作。

若发生信息安全事件，由信息中心联合相关部门成立信息安全事件调查组，对信息安全事件进行调查和分析，确定事件责任，提出解决方案，并制定防范措施。同时，提交信息安全事件处理报告，整理归档。

对于发生信息泄密事件给公司造成损失，依据公司《保密管理制度》对责任人进行处罚。触犯法律的，应依法追究其法律责任。

信息安全事件调查组提交信息安全事件处理报告，整理归档，并做好相关保密工作。6.6 应急响应管理

在公司统一领导下，按照综合协调、统一领导、分级负责的原则，建立有系统、分层次的信息安全应急响应机制，按照要求组织开展网络与信息系统事件预防、应急处置、恢复运行、事件通报等各项应急工作，提高公司应对信息安全事件的组织指挥能力和应急处置能力，以及网络与信息系统的安全稳定运行水平。

7 相关文件

无