(参考)安全管理制度体系S3A3G3
三级管理要求
56.
应建立介质安全管理制度，对介质的存放环境、使用、维护和销毁等方面作出规定。
访谈，检查。资产管理员，介质管理记录，各类介质。
57.
应确保介质存放在安全的环境中，对各类介质进行控制和保护，并实行存储环境专人管理。
58.
应对介质在物理传输过程中的人员选择、打包、交付等情况进行控制，对介质归档和查询等进行登记记录，并根据存档介质的目录清单定期盘点。
79.
应定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补。
80.
应安装系统的最新补丁程序，在安装系统补丁前，首先在测试环境中测试通过，并对重要文件进行备份后，方可实施系统补丁程序的安装。
81.
应建立系统安全管理制度，对系统安全策略、安全配置、日志管理和日常操作流程等方面作出具体规定。
82.
应指定专人对系统进行管理，划分系统管理员角色，明确各个角色的权限、责任和风险，权限设定应当遵循最小授权原则。
66.
应确保信息处理设备必须经过审批才能带离机房或办公地点。
监控管理和安全管理中心(G3)
67.
应对通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等进行监测和报警，形成记录并妥善保存。
访谈，检查。
系统运维负责人，监测记录文档，监测分析报告，安全管理中心。
68.
应组织相关人员定期对监测和报警记录进行分析、评审，发现可疑行为，形成分析报告，并采取必要的应对措施。
应对重要介质中的数据和软件采取加密存储，并根据所承载数据和软件的重要程度对介质进行分类和标识管理。
设备管理
62.
应对信息系统相关的各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理
等级保护三级管理系统测评
应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理。
网络安全管理
70.
应指定专人对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作。
访谈，检查。
安全主管，安全管理员，网络管理员，网络漏洞扫描报告，网络安全管理制度，系统外联授权书，网络设备备份配置文件，网络审计日志。
三级管理要求(S3A3G3)
等级保护三级管理类测评控制点(S3A3G3)
类别
序号
测评内容
测评方法
结果记录
符合情况
Y
N
O
岗位设置
1.
应设立信息安全管理工作的职能部门，设立安全主管人、安全管理各个方面的负责人岗位，定义各负责人的职责。
访谈，检查。安全主管，安全管理某方面的负责人，部门、岗位职责文件。
2.
应设立系统管理人员、网络管理人员、安全管理人员岗位，定义各个工作岗位的职责。
3.
应成立指导和管理信息安全工作的委员会或领导小组，其最高领导由单位主管领导委任或授权。
4.
应制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。
人员配备
5.
应配备一定数量的系统管理员、网络管理员、安全管理员等。
访谈，检查。安全主管，人员配备要求的相关文档，管理人员名单。
79.
应定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补。
80.
应安装系统的最新补丁程序，在安装系统补丁前，首先在测试环境中测试通过，并对重要文件进行备份后，方可实施系统补丁程序的安装。
81.
应建立系统安全管理制度，对系统安全策略、安全配置、日志管理和日常操作流程等方面作出具体规定。
安全管理制度体系范本
一、总则为了加强公司安全管理，保障员工生命财产安全，预防事故发生，提高公司安全管理水平，根据国家有关安全生产法律法规，结合公司实际情况，特制定本安全管理制度体系。
二、安全管理制度体系构成1. 安全管理总体方针与目标（1）坚持“安全第一、预防为主、综合治理”的安全生产方针。
（2）确保公司安全生产零事故，实现安全发展。
2. 安全管理组织机构与职责（1）成立公司安全生产委员会，负责公司安全生产工作的全面领导。
（2）设立安全管理部门，负责公司安全生产的具体实施。
（3）各部门负责人对本部门安全生产工作负总责。
3. 安全生产责任制（1）明确各级领导、各部门、各岗位的安全生产责任。
（2）实行安全生产责任追究制度，对违反安全生产规定的行为进行严肃处理。
4. 安全教育培训（1）开展全员安全教育培训，提高员工安全意识和技能。
（2）定期组织安全生产知识竞赛、安全技能比武等活动，增强员工安全意识。
5. 安全生产投入（1）确保安全生产投入，保障安全生产条件。
（2）严格执行安全生产费用使用管理制度。
6. 安全生产检查与隐患排查治理（1）定期开展安全生产检查，发现问题及时整改。
（2）建立隐患排查治理制度，对隐患进行分类、分级、定责、整改。
7. 应急管理（1）建立健全安全生产应急预案，定期组织应急演练。
（2）发生安全生产事故时，立即启动应急预案，采取有效措施，减轻事故损失。
8. 消防安全管理（1）建立健全消防安全管理制度，定期开展消防安全检查。
（2）加强消防设施设备维护保养，确保消防设施设备完好有效。
（3）开展消防安全教育培训，提高员工消防安全意识。
9. 交通安全管理（1）加强交通安全管理，确保公司车辆行驶安全。
（2）定期对驾驶员进行交通安全教育培训。
10. 作业安全管理（1）严格执行作业安全操作规程，确保作业安全。
（2）加强作业现场安全管理，预防事故发生。
三、附则1. 本制度体系自发布之日起施行。
2. 本制度体系由公司安全生产委员会负责解释。
三体系安全管理体系制度
一、总则第一条为了加强公司安全管理，提高安全管理水平，保障员工生命财产安全，预防事故发生，根据国家有关安全生产法律法规和标准，结合公司实际情况，特制定本制度。
第二条本制度适用于公司所有员工、承包商、供应商等相关人员。
第三条三体系安全管理体系包括：职业健康安全管理体系（OHSMS）、环境管理体系（EMS）和质量管理体系（QMS）。
通过建立和实施三体系安全管理体系，实现安全、环保、质量的持续改进。
二、组织机构及职责第四条公司成立三体系安全管理体系领导小组，负责全面领导和管理三体系安全管理工作。
1. 领导小组组成：- 组长：公司总经理- 副组长：公司副总经理- 成员：各部门负责人、安全环保部负责人2. 领导小组职责：- 制定公司三体系安全管理体系总体目标和计划；- 审批三体系安全管理体系文件；- 监督、检查三体系安全管理体系实施情况；- 组织三体系安全管理体系内部审核和外部审核；- 决定三体系安全管理体系重大事项。
第五条安全环保部负责三体系安全管理体系的具体实施工作。
1. 安全环保部组成：- 部门负责人：安全环保总监- 员工：安全工程师、环保工程师、安全员2. 安全环保部职责：- 制定三体系安全管理体系文件；- 组织实施三体系安全管理体系培训；- 监督检查各部门三体系安全管理体系实施情况；- 组织开展安全、环保、质量检查；- 协调解决三体系安全管理体系实施过程中出现的问题；- 编制三体系安全管理体系报告。
三、职业健康安全管理体系（OHSMS）第六条职业健康安全管理体系旨在预防和减少事故发生，保护员工身心健康。
1. 职业健康安全方针：- 以人为本，预防为主，持续改进；- 实现零事故，保障员工生命安全。
2. 职业健康安全管理目标：- 减少事故发生；- 降低职业危害；- 提高员工安全意识。
3. 职业健康安全管理措施：- 制定职业健康安全管理制度；- 定期进行安全教育培训；- 开展安全检查和隐患排查；- 配备必要的安全防护设施；- 建立事故报告和处理制度。
等保测评3级-技术测评要求
物理安全负责人，机房维护人员，机房设施（供电线路，稳压器，过电压防护设备，短期备用电源设备），电力供应安全设计/验收文档，检查和维护记录。
27.
应提供短期的备用电力供应，至少满足主要设备在断电情况下的正常运行要求。（G2）
28.
应设置冗余或并行的电力电缆线路为计算机系统供电。（G3）
29.
安全审计
48.
应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录。（G2）
访谈，检查，测试。
审计员，边界和网络设备。
49.
审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。（G2）
50.
应能够根据记录数据进行分析，并生成审计报表。（G3）
51.
应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。（G3）
76.
应及时删除多余的、过期的帐户，避免共享帐户的存在。（G2）
77.
应对重要信息资源设置敏感标记。（G3）
78.
应依据安全策略严格控制用户对有敏感标记重要信息资源的操作。（G3）
安全审计
79.
审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户。（G2）
访谈，检查，测试。
安全审计员，服务器操作系统、数据库和重要终端操作系统。
63.
应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施。（G2）
64.
当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。（G2）
65.
应实现设备特权用户的权限分离。（G3）
主机安全
身份鉴别
66.
等保三级技术要求
40.
应在网络边界部署访问控制设备，启用访问控制功能。（G2）
访谈，检查，测试。
安全管理员，边界网络设备。
41.
应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级。（G2）
42.
应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制。（G3）
20.
应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透。（G2）
21.
应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。（G2）
22.
应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。（G3）
防静电
23.
主要设备应采用必要的接地防静电措施。（G2）
访谈，检查。
物理安全负责人，机房维护人员，机房设施，防静电设计/验收文档。
安全审计
48.
应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录。（G2）
访谈，检查，测试。
审计员，边界和网络设备。
49.
审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。（G2）
50.
应能够根据记录数据进行分析，并生成审计报表。（G3）
51.
应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。（G3）
88.
应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施。（G3）
89.
操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。（G2）
恶意代码防范
90.
应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库。（G2）
等保测评3级-技术测评要求
防静电
主要设备应采用必要的接地防静电措施。（G2）
访谈，检查。
物理安全负责人，机房维护人员，机房设施，防静电设计/验收文档。
机房应采用防静电地板。（G3）
温湿度控制
应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。（G2）
物理访问控制
机房出入口应安排专人值守，控制、鉴别和记录进入的人员。（G2）
访谈，检查。
物理安全负责人，机房值守人员，机房，机房安全管理制度，值守记录，进入机房的登记记录，来访人员进入机房的审批记录。
需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围。（G2）
应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域。（G3）
重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。（G3）
防盗窃和防破坏
应将主要设备放置在机房内。（G2）
访谈，检查。
物理安全负责人，机房维护人员，资产管理员，机房设施，设备管理制度文档，通信线路布线文档，报警设施的安装测试/验收报告。
应将设备或主要部件进行固定，并设置明显的不易除去的标记。（G2）
应在会话处于非活跃一定时间或会话结束后终止网络连接。（G3）
应限制网络最大流量数及网络连接数。（G3）
重要网段应采取技术手段防止地址欺骗。（G3）
应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户。（G3）
应限制具有拨号访问权限的用户数量。（G2）
安全审计
应在业务终端与业务服务器之间进行路由控制建立安全的访问路径。（G3）
等级保护三级管理测评
53.
应建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为。
54.
应根据资产的重要程度对资产进行标识管理，根据资产的价值选择相应的管理措施。
55.
应对信息分类与标识方法作出规定，并对信息的使用、传输和存储等进行规范化管理。
三级管理要求(S3A3G3)
等级保护三级管理类测评控制点(S3A3G3)
类别
序号
测评内容
测评方法
结果记录
符合情况
Y
N
O
岗位设置
1.
应设立信息安全管理工作的职能部门，设立安全主管人、安全管理各个方面的负责人岗位，定义各负责人的职责。
访谈，检查。安全主管，安全管理某方面的负责人，部门、岗位职责文件。
2.
51.
应加强对办公环境的保密性管理，规范办公环境人员行为，包括工作人员调离办公室应立即交还该办公室钥匙、不在办公区接待来访人员、工作人员离开座位应确保终端计算机退出登录状态和桌面上没有包含敏感信息的纸档文件等。
资产管理
52.
应编制并保存与信息统相关的资产清单，包括资产责任部门、重要程度和所处位置等内容。
69.
应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理。
网络安全管理
70.
应指定专人对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作。
访谈，检查。
安全主管，安全管理员，网络管理员，网络漏洞扫描报告，网络安全管理制度，系统外联授权书，网络设备备份配置文件，网络审计日志。
17.
安全管理员应负责定期进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
AAAAA公司安全管理制度（v1.0）注：替换：AAAAA为公司名称，DDDDD为公司简称，BBBBB为系统名称，XXXXX为信息安全管理的部门（如“XXXXX”）。
信息安全管理机构制度版本记录目录第一章信息安全管理制度总则 (8)1.1 概述 (8)1.2 总体原则 (8)1.3 总体目标 (8)1.4 总体框架 (9)1.4.1 系统信息运维安全策略 (9)1.4.2 信息系统安全管理安全策略 (10)1.5 适用范围 (11)第二章AAAAA公司XXXXX信息安全管理体系文件 (12)2.1 目的 (12)2.2 范围 (12)2.3 职责 (12)2.4 管理细则 (13)2.4.1体系文件生命周期流程 (13)2.4.2体系文件策划 (13)2.4.3体系文件的评审 (14)2.4.4体系文件的作废 (14)第三章信息安全管理体系 (15)3.1 信息安全管理体系 (15)3.1.1 信息安全管理体系建立 (15)3.1.2 信息安全管理体系实施 (16)3.1.3 信息安全管理体系监察 (16)第四章信息安全组织机构制度 (17)4.1 信息安全组织机构 (17)4.1.1 信息安全职能部门职责 (17)4.1.2 信息安全领导小组职责 (18)4.1.3 信息系统安全小组职责及要求 (18)4.1.4 信息安全小组权限 (25)4.1.5 信息安全管理人员 (26)4.1.6 关键岗位协议 (27)第五章信息安全授权及审批管理制度 (32)5.1 信息安全授权及审批管理制度 (32)第六章审核与检查管理制度 (33)6.1 审核与检查管理制度 (33)6.1.1 定期安全检查 (33)6.1.2 文件审批与发布管理制度 (33)第七章办公环境管理制度 (34)7.1 办公环境管理制度 (34)第八章沟通与合作管理制度 (36)8.1 沟通与合作管理制度 (36)8.1.1信息安全例会管理 (36)8.1.2 外部协作管理 (37)第九章人员入岗管理制度 (38)9.1 信息安全条款 (38)9.2 保密协议 (38)9.3 人员录用和上岗安全管理 (39)第十章人员在岗管理制度 (39)10.1 人员在岗信息安全管理 (39)10.1.1 岗位信息安全检查 (39)10.1.2 信息安全违规纪律处理 (39)10.2 人员考核 (40)10.3 关键岗位考核制度 (40)第十一章信息安全培训制度 (40)11.1 信息安全培训制度 (40)第十二章人员离岗管理制度 (41)12.1 人员离岗离职安全管理 (41)12.1.1 资产归还 (41)12.1.2 访问权限回收 (42)12.1.3 离职后信息安全职责的追踪和管理 (42)第十三章外来人员管理制度 (43)13.1 第三方人员安全管理 (43)13.2 外来人员信息安全管理 (44)第十四章工作人员安全守则 (44)14.1 工作人员安全守则 (44)第十五章信息系统建设安全管理制度 (46)15.1 系统总体规划设计 (46)15.1.1 安全设计需求分析及评估 (48)15.1.2 总体安全设计 (57)15.1.3 安全建设规划 (63)15.2 系统工程实施 (65)15.2.1 产品采购管理制度 (65)15.2.2 安全服务商选择 (66)15.2.3 硬件采购和安装 (66)15.2.4 软件采购和安装 (67)15.2.5 系统软件开发管理 (67)15.3 系统测试验收 (69)15.4 系统交付 (69)15.5 系统备案 (69)第十六章硬件设备运维管理制度 (70)16.1 硬件设备运维管理制度 (70)16.1.1 机房安全管理制度 (70)16.1.2 办公环境安全管理制度 (72)16.1.3 资产安全管理制度 (73)16.1.4 介质安全管理制度 (78)16.1.5 设备管理制度 (83)16.1.6 网络安全管理制度 (85)第十七章系统软件运维管理制度 (88)17.1 系统软件运维管理制度 (88)17.1.1 系统安全管理制度 (88)17.1.2 恶意代码防范管理制度 (95)17.1.3 密码使用管理制度 (96)17.1.4 信息系统变更管理制度 (96)第十八章备份与恢复管理制度 (100)18.1 备份与恢复管理制度 (100)18.1.1 备份制度流程图 (100)18.1.2 资产识别 (101)18.1.3 备份方案 (102)18.1.4 备份计划实施 (102)18.1.5 备份的介质标识 (102)18.1.6 备份介质的安全存放 (103)18.1.7 信息恢复 (103)第十九章信息系统安全事件管理制度 (104)19.1 信息系统安全事件管理制度 (104)19.1.1 安全事件定义 (104)19.1.2 安全事件等级划分 (105)19.1.3 安全事件处理流程 (106)19.1.4 安全事件报告流程 (120)第二十章硬件维护日常操作管理规程 (121)20.1 硬件维护日常操作管理规程 (121)20.1.1 交换机 (121)20.1.2 路由器 (122)20.1.3 防火墙 (122)20.1.4 小型机 (122)20.1.5 PC服务器 (123)20.1.6 审计系统 (123)第二十一章信息系统操作规程 (123)21.1 信息系统操作规程 (123)21.1.1 服务器设备操作规程 (123)21.1.2 网络设备操作规程 (124)第二十二章应急机构 (125)22.1 应急机构及角色设置 (125)22.1.1 应急领导小组 (125)22.1.2 应急协调小组 (126)22.1.3 应急实施小组 (126)22.1.4 外部应急协助组 (127)第二十三章应急预案 (128)23.1 信息系统应急预案 (128)23.1.1 应急预案分类 (128)23.1.2 应急预案启动 (128)23.1.3 应急处理流程 (131)23.1.4 系统恢复 (133)23.1.5 故障总结及报告 (134)23.1.6 应急演练 (134)23.2 附录 (136)23.2.1 附1：体系文件建立申请表 (136)23.2.2 附2：体系文件更改申请表 (137)23.2.3 附3：体系文件评审记录表 (138)23.2.4 附4：体系文件作废申请表 (139)23.2.5 附5：专家论证表 (140)23.2.6 附6：专家意见书 (141)23.2.7 附7：专家论证会会议纪要 (142)23.2.8 附录8 :安全评估报告 (143)23.2.9 附录9 资产清单 (144)23.2.10 附录10 :系统的操作手册 (146)23.2.11 附录11：信息系统安全检查表单 (146)23.2.12 附录12：备份管理员操作变更申请单 (147)23.2.13 附录13：密码变更记录表（zj） (149)23.2.14 附录14：审计记录 (153)23.2.15 附录15：授权与审批流程 (155)23.2.16 附录16：系统配置变更审批单 (156)23.2.17 附录17:安全检查表 (158)23.2.18附录18: 安全检查报告与通报 (160)23.2.19 附19:外联单位联系表 (161)23.2.20 附20:会议记要 (163)23.2.21 附21:信息安全专家聘任书 (164)23.2.22 附录22 :保密协议 (164)23.2.23 附录23:上岗人员情况登记表 (168)23.2.24 附录24:人员入岗审核表 (170)23.2.25 附录25:岗位协议书（需打印） (171)23.2.26 附录26：信息安全岗位人员考核记录 (174)23.2.27 附录27：安全技能考核纪录 (175)23.2.28 附录28：关键岗位审查情况表 (176)23.2.29 附录29：信息安全培训计划 (182)23.2.30 附录30：安全教育培训签到表 (185)23.2.31 附录31: 安全教育培训评价表 (186)23.2.32 附录32：年度信息安全培训计划 (187)23.2.33 附录33：培训考题 (188)23.2.34 附录34：培训考核记录表 (192)23.2.35 附录35: 人员离岗/职审批表 (194)23.2.36 附录36: 人员离岗工作交接表 (196)23.2.37 附录37:离职保密承诺书 (198)23.2.38 附录38:机房进出申请单 (199)23.2.39 附录39:机房进出记录表 (201)23.2.40 附录40：机房出入登记表 (203)23.2.41 附录41：XXXXX机房设备出门单 (204)23.2.42 附录42：设备维护档案 (205)23.2.43 附录43：信息安全存储介质领用/借用申请单 (206)23.2.44 附录44：介质销毁审批表 (207)23.2.45 附录45：信息安全存储介质维修记录 (208)23.2.46 附录46：设备领用表 (209)23.2.47 附录47：计算机设备责任人变更审批表 (210)23.2.48 附录48：特权用户申请表 (210)23.2.49 附录49：服务器补丁升级记录 (211)23.2.50 附录50：变更申请单 (212)23.2.51 附录51：备份记录 (215)23.2.52 附录52：恢复记录 (215)23.2.53 附录53：备份与恢复演练记录单 (216)23.2.54 附录54：安全事件记录报告 (216)23.2.55 附录55：信息安全事件调查报告 (217)23.2.56 附录56：硬件维护 (218)23.2.57 附录57：工作日志 (219)23.2.58 附录58：信息系统巡检 (220)第一章信息安全管理制度总则1.1概述信息系统安全等级保护管理制度体系是对实现信息系统安全等级保护所采用的安全管理措施的描述。
本制度体系从信息安全管理机构制度、信息安全人力资源管理制度、信息系统建设安全管理制度、信息安全系统运维管理制度和信息系统操作规程及应急预案等方面，针对AAAAA公司的BBBBB系统，从信息安全管理和信息系统运维两个方面做出规定。
1.2总体原则本制度的信息安全总体原则如下：●全面贯彻国家和上海市关于信息安全工作的要求文件和相关指导性文件精神，在部门内建立符合国家要求完善的信息安全管理体系；●建立由安全策略、管理制度、操作规程等构成的全面信息安全管理制度体系，并落实信息安全管理责任到个人，使信息安全管理有章可循；●定期进行信息安全培训，提高相关人员信息安全意识及能力；●实行预防为主，应急为辅的信息安全理念，对可能存在的信息安全隐患进行提前预防性排查和处理；对于突发性信息安全事件，可以按照应急预案进行快速响应，将事件影响降到最低；●定期对信息系统进行风险评估和控制，将信息安全风险控制在可接受的水平，以降低突发性事件出现的概率；●持续改进信息安全管理所要求包含的各项工作，为系统提供可靠的安全信息服务。