信息安全组织管理办法1.0

信息安全组织管理办法
第一章总则
第一条为了保障XX（单位）信息安全组织稳定发展，顺利开
展各项信息安全工作，明确信息安全职责，强化信息安全的专业化
管理，实现对安全风险的有效控制，结合本单位实际情况，特制订
本文件。

第二条本文件的适用范围为本单位所有员工。

第二章信息安全组织架构
第三条本单位信息安全组织架构由三个部分组成：信息安全管
理领导小组、信息安全工作小组、外部安全支持团队。

第四条信息安全管理领导小组由本单位主管信息技术领导、各
部门负责人组成。

处于本单位信息安全组织架构的顶端，是信息安
全工作的最高决策者，对本单位信息安全工作进行总体指导和控制。

第五条信息安全工作小组由信息安全主管领导、安全管理人员、各部门的信息安全协调员组成，是信息安全管理领导小组决策的推
行者与日常信息安全工作的管理者。

并负责各项信息安全工作的具
体实施。

第六条外部安全支持团队包括具有专业信息安全知识的外部安全专家或组织（包括权威人士），主要负责向本单位内部信息安全组织提供信息安全技术指导和咨询。

第三章信息安全组织职责
第七条信息安全领导小组负责本单位信息安全工作的总体指导和调控，主要职责包括：
（一）贯彻执行国家有关信息安全的法律、法规和技术标准，落实监管机构的相关监督要求；
（二）审查并批准信息安全战略，支持在本单位范围内开展和落实信息安全工作；
（三）负责对与信息安全管理有关的重大事项进行决策，包括信息安全组织机构调整、以及信息安全管理重大策略变更、确认可接受的风险和风险水平等；
（四）指挥、协调、督促并审查重大信息安全事件的处理，对
本单位信息安全的重大变更事项进行决策；
（五）负责对本单位信息安全管理体系进行评审，审批和发布信息安全方针、信息安全制度以及与信息安全管理相关的重大事项；
（六）建立信息安全监督检查机制，以定期检查各部门信息安全工作落实情况；
（七）为信息安全工作中的重大事项进行各部门间的沟通协调；（八）确保信息安全工作开展所需的资源，如资金、人员和设施等；
（九）审批信息安全年度计划。

第八条信息安全工作小组落实信息安全领导小组的各项决议，
管理本单位信息安全工作，主要职责包括：
（一）承担信息安全的具体工作，协助信息安全领导小组在信息安全事务上的决策；
（二）负责信息安全工作的执行与落实，监督指导各部门及各分支机构信息安全工作的开展，并定期向信息安全领导小组汇报；
（三）负责与国家信息安全主管机构、上级监管部门的沟通和交流，向上级监管部门报告本单位信息安全状况和重要事件；
（四）负责信息安全管理体系的建立、实施和日常运行，起草信息安全政策，确定信息安全管理标准，督促各部门落实信息安全政策和措施；
（五）负责信息安全事件的调查和记录，对发生的每一起信息安全事件进行调查，并将过程、原因和解决方法都记录在案；
（六）负责制定信息安全违规的处置规定，并协助本单位人力资源、各部门和各分支机构对违反信息安全规定的人员和事件进行确认；
（七）定期组织风险评估工作，对风险评估结果进行分析，如有重大安全隐患，则汇报信息安全领导小组；
（八）定期检查各部门信息安全工作的执行状况，定期召开信息安全工作会议，对发现的问题提出改进措施，并指导各部门进行落实；
（九）负责建立各部门、上级监管部门与外部安全支持团队之间的定期联系和沟通机制；
（十）组织落实纠正措施（包括整改意见）和预防措施；
（十一）负责制定本单位信息安全策略及年度计划，修编信息安全规划，并根据各部门安全需求和安全现状合理分配信息安全预算；
（十二）配合本单位信息安全监督组织完成信息安全工作的审计；
（十三）组织落实监管部门提出的信息安全要求；
（十四）负责本单位信息安全培训和宣传工作。

（十五）负责整理、核查并归档各部门的信息安全记录，并依照上级部门或信息安全管理小组的要求，及时提交；
（十六）负责宣传落实本单位信息安全管理体系各项方针、政策、规范、办法与细则等文件，提高各部门人员的信息安全意识与技能；
（十七）积极配合信息安全管理小组定期组织的风险评估工作，对信息安全管理小组提出的整改意见组织协调，并落实相关的各项风险控制措施；
（十八）配合上级部门和外部监管机构对各部门的信息安全检查工作，配合监督部门对信息安全等级保护体系的审核工作（包括内审和外审），并对整改意见协调落实；
（十九）在信息安全事件发生时，及时上报并协助调查；
（二十）依照本单位信息安全培训计划，参加相关信息安全培训，并组织各部门相关培训的展开。

第九条外部安全支持团队需在本单位信息安全组织提出安全需求时，给予信息安全技术支持和其他咨询。