信息系统“三员”管理说明2018
三员管理制度档案模板
一、目的为确保公司信息系统安全、稳定运行，规范信息安全管理，明确信息系统管理员、安全保密管理员和安全审计员的职责，特制定本制度。
二、适用范围本制度适用于公司内部所有信息系统，包括但不限于网络、数据库、服务器等。
三、管理员角色及职责1. 系统管理员（1）负责系统日常维护、故障处理和升级。
（2）负责用户账号的创建、修改和删除。
（3）负责系统资源的分配和管理。
（4）负责系统安全策略的制定和实施。
2. 安全保密管理员（1）负责制定和实施公司信息安全保密策略。
（2）负责监督和管理公司信息系统的安全保密工作。
（3）负责组织安全培训和宣传。
（4）负责信息安全事故的调查和处理。
3. 安全审计员（1）负责对信息系统进行安全审计，发现安全隐患。
（2）负责对信息系统进行定期检查，确保系统安全。
（3）负责对信息安全事故进行调查，分析原因。
（4）负责对安全事件进行跟踪和总结。
四、管理制度1. 管理员职责分工（1）系统管理员负责系统日常维护，确保系统正常运行。
（2）安全保密管理员负责安全策略制定、监督和管理。
（3）安全审计员负责安全审计、检查和事故调查。
2. 管理员权限控制（1）系统管理员：具有系统操作、配置和监控权限。
（2）安全保密管理员：具有安全策略制定、监控和调查权限。
（3）安全审计员：具有安全审计、检查和事故调查权限。
3. 管理员培训与考核（1）公司应定期对管理员进行安全培训，提高安全意识。
（2）公司应定期对管理员进行考核，确保其具备相应的技能和素质。
4. 信息安全事件处理（1）发现信息安全事件，管理员应立即上报。
（2）安全保密管理员负责组织调查和处理信息安全事件。
（3）安全审计员负责跟踪和总结信息安全事件。
五、附则1. 本制度由公司信息管理部门负责解释。
2. 本制度自发布之日起施行。
3. 本制度如有未尽事宜，由公司信息管理部门根据实际情况予以补充和修订。
六、档案管理1. 本制度档案由信息管理部门负责归档。
2. 管理员职责分工、权限控制、培训与考核等信息应记录在案。
信息系统第三方人员访问管理制度
信息系统第三方人员访问管理制度第一章总则第一条为有效防范“第三方”人员带来的安全风险，加强和规范“第三方”人员的安全管理，保证计算机系统及网络的安全，特制定本规定。
第二条本规定适用于()公司()部。
第二章第三方访问管理第三条本办法所述的“第三方”人员包括软件开发商、产品供应商、系统集成商、设备维护商和服务提供商等外来人员。
第四条“第三方”人员的访问方式包括现场访问和远程网络访问。
第五条“第三方”人员进入信息系统所在机房时，必须按照机房管理制度中规定程序流程办理相关手续。
第六条接待人必须全程陪同“第三方”人员，告知有关安全管理规定，不应透露与“第三方”工作无关的信息，不得任其自行走动和未经允许使用信息系统的服务器设备。
第七条原则上禁止“第三方”人员携带的电脑接入信息系统网络。
第八条原则上不允许“第三方”人员进行远程网络访问。
如确因工作需要远程进行访问，必须由技术研发部批准后方可进行。
第九条“第三方”人员在机房内的所有操作，都必需说明该操作可能引起的安全风险，并由接待人确认后才能操作，接待人必须对“第三方”人员的操作进行全程监控。
第十条“第三方”人员维护网络、主机等设备的安全配置时必须符合相应的安全配置基线中相应规定。
第十一条必须防范“第三方”人员带来的以下安全风险：1、“第三方”人员的物理访问带来的设备、资料盗窃；2、“第三方”人员的误操作导致各种软硬件故障；3、“第三方”人员的资料、信息外传导致泄密；4、“第三方”人员对计算机系统的滥用和越权访问；5、“第三方”人员给计算机系统、软件留下后门；6、“第三方”人员对计算机系统的恶意攻击。
第三章第三方安全要求第十二条未经批准，禁止“第三方”人员私自将移动存储介质接入信息系统，移动存储介质必须在接待人的监控下使用。
第十三条未经相关负责人特别许可，“第三方”人员不得在办公区域和机房内摄影、拍照。
第四章附则第十四条本规定的解释权归（）部。
系统安全需求（三员）
系统安全需求（三员）1.系统安全系统建设严格遵照《BMB17-2006 涉及国家秘密的信息系统分级保护技术要求》、《BMB20-2007 涉及国家秘密的信息系统分级保护管理规范》、《BMB22-2007 涉及国家秘密的信息系统分级保护测评指南》设计、开发、测试，以满足涉密信息系统分级保护技术要求。
1.1.系统安全防护要求按照国家标准相对应等级的防护要求，本项目从物理安全、运行安全、安全保密措施、安全保密管理等方面进行系统安全建设。
1.1.1.1.安全审计与监控系统具备完善安全审计功能，做好系统的安全审计，并且要充分利用数据库提供的安全审计功能，做好数据的安全审计。
审计的对象：文件。
保存及访问方式：包括数据处理的审计、人员的身份验证及登录等审计信息、管理人员的审计信息等。
具体要求：实现用户业务应用日志审计。
对用户授权、用户违规操作等的监控。
日志记录存储空间至少保证日志记录保存6个月。
1.1.2.安全保密管理要求1.1.2.1.管理人员协助指定人员负责本系统的系统管理、应用管理、安全管理、安全审计，并修订完善相关管理制度和管理流程。
1.1.2.2.运行维护管理制定运行维护管理制度，依据制度对人员、物理环境与设施、设备与介质、信息安全保密等方面进行规范。
人员管理包括：系统维护、人员授权、自身行为受控。
系统管理人员管理，系统使用人员管理。
防止非授权使用、非法自主访问知悉系统信息的系统受控等。
物理环境与设施运维管理包括：建立系统运行维护的管理制度和工作流程标准；负责系统的网络硬件设备、基础设施建设、系统平台和日常维护工作，保障网络畅通和系统正常运行；为相关项目实施和设备选型提供技术支持和保障；为信息化建设提供硬件和网络平台的技术支持、技术咨询和技术服务；设备与介质运维管理包括：设备防火、防水、物理损害措施；设备防火灭火正常检查；设备定期检查火灾隐患；供暖系统、空调等保障；设备电源保障；数据传输线路维护与保障；主机等设备保障；可移动数据保障；存储介质维护；磁盘磁带库访问的介质的维护等。
涉密信息系统三员
涉密信息系统三员在当今信息时代，涉密信息系统的安全至关重要。
为了保障涉密信息系统的安全可靠运行，“三员”这一角色应运而生。
那么，究竟什么是涉密信息系统“三员”呢？他们分别是系统管理员、安全保密管理员和安全审计员。
系统管理员主要负责涉密信息系统的日常运行维护和管理工作。
他们就像是系统的“大管家”，要确保系统的稳定运行，为各项业务的开展提供坚实的技术支撑。
具体来说，系统管理员需要完成系统的安装、配置、升级和优化等工作。
他们要熟悉系统的架构和运行机制，能够快速定位并解决系统出现的故障和问题。
比如，当系统突然出现卡顿或者某些功能无法正常使用时，系统管理员就要迅速行动，查找原因，可能是硬件设备出现故障，也可能是软件系统存在漏洞，他们需要及时采取措施进行修复，以保障系统的正常运转。
此外，系统管理员还负责用户账号的管理和权限分配。
这可不是一项简单的任务，需要他们对单位的组织架构和业务流程有清晰的了解。
根据不同用户的工作职责和业务需求，为其分配合理的权限，既不能权限过大导致信息泄露风险增加，也不能权限过小影响工作效率。
同时，还要及时对离职人员的账号进行清理和权限回收，防止出现安全隐患。
安全保密管理员则是涉密信息系统安全保密的“守护者”。
他们的工作重点在于确保系统中的涉密信息不被泄露、篡改或滥用。
首先，安全保密管理员要制定和完善涉密信息系统的安全保密制度和策略。
这些制度和策略就像是一道道“防火墙”，为涉密信息的安全保驾护航。
比如，规定哪些信息属于涉密范畴，不同等级的涉密信息应如何存储、传输和处理，以及对访问涉密信息的人员进行严格的身份认证和授权管理等。
其次，安全保密管理员要对涉密信息系统进行安全评估和风险排查。
他们需要定期对系统进行全面的“体检”，查找可能存在的安全漏洞和风险隐患。
一旦发现问题，就要及时采取措施进行整改，将风险降到最低。
同时，还要对系统中的涉密信息进行加密处理，确保其在存储和传输过程中的安全性。
另外，安全保密管理员还要对用户进行安全保密教育培训。
1 三员管理配置操作说明【宁夏理工学院培训】
1第十七部分 CI5.0新增功能CI 三员管理配置操作手册三员管理概述系统的安全管理涉及到用户、单位、权限、日志等方面。
具体介绍用户的创建、维护、用户权限分配、用户锁定与删除操作；单位的维护、用户绑定到单位；权限相关的设置与应用；以及记录管理员的管理维护日志和业务用户的操作日志。
系统需要为上述内容提供一整套解决方案，来维护系统稳定运行和信息安全。
三员管理模式下，用户分为两类：三员用户；业务用户。
三员用户指的是系统中专门在安全方面进行管理的三类用户，包括系统管理员、安全保密管理员、安全审计管理员。
三员管理指的是，三类管理员互相监督，分别承当不同的管理职责，共同维护系统安全稳定和信息安全的行为。
三类管理员不承担任何业务职责，只承担相应的管理职责。
为了满足信息系统安全保密管理规定，涉密系统需配备系统管理员、安全保密管理员、安全审计员，职责划分如下：系统管理员可以新建角色、修改角色属性，新建、修改、删除用户，为用户绑定单位。
安全保密管理员可以设置角色权限（指定的安全保密员），删除角色（指定的安全保密员）、为用户分配角色，设置用户权限，维护职责，为职责添加用户，标记删除用户，查看业务用户的操作日志。
安全审计管理员可以查看权限，监督角色管理员的设置，查看三员管理员的管理日志。
2涉及功能说明⏹ 增加系统选项控制三员设置：【与实例无关】—【其他选项】，用以设置三员管理。
需要注意的是，三员设置一旦勾选为应用，则不可再改变状态。
⏹ 三员管理功能：系统增加一个功能【三员管理】，在系统选项启用三员后，该功能用以维护管理三员用户和职责。
⏹ 单位权限2.0：优化单位权限2.0，结合三员管理使用，设置单位、职责、角色和用户。
系统选项配置在系统选项中配置相关的部分说明如下。
【系统选项】-【与实例无关的选项】-【其它选项】页签下：图 1.3.1系统选项配置⏹ 【是否启用三员管理】：默认不勾选，但一旦启动三员后，则为不可逆操作，即勾选后不可以再取消勾选状态，勾选框置灰。
涉密系统设计解决方案——三员管理
涉密系统设计解决方案——三员管理一、“三员”职责系统管理员：主要负责系统的日常运行维护工作。
包括网络设备、安全保密产品、服务器和用户终端、操作系统数据库、涉密业务系统的安装、配置、升级、维护、运行管理；网络和系统的用户增加或删除；网络和系统的数据备份、运行日志审查和运行情况监控；应急条件下的安全恢复。
安全保密管理员：主要负责系统的日常安全保密管理工作。
包括网络和系统用户权限的授予与撤销；用户操作行为的安全设计；安全保密设备管理；系统安全事件的审计、分析和处理；应急条件下的安全恢复。
安全审计员：主要负责对系统管理员和安全保密员的操作行为进行审计跟踪、分析和监督检查，及时发现违规行为，并定期向系统安全保密管理机构汇报情况。
二、“三员”配置要求1、系统管理员、安全保密管理员和安全审计员不能以其他用户身份登录系统;不能查看和修改任何业务数据库中的信息；不能增删改日志内容。
2、涉密信息系统三员应由本单位内部人员担任，要求政治上可靠，熟悉涉密信息系统管理操作流程，具有较强的责任意识和风险防控意识；并签署保密承诺书。
3、系统管理人员和安全保密管理人员可由信息化部门专业技术人员担任，对于业务性较强的涉密信息系统可由相关业务部门担任；安全审计员根据工作需要由保密部门或其他能胜任安全审计员工作的人员担任。
4、同一设备或系统的系统管理员和安全审计员不能由同一人兼任，安全保密管理员员和安全审计员不得由同一人兼任。
三、“三员”权限管理流程当用户需要使用涉密信息系统时，应该首先在本部门提出书面申请，该部门主管领导批准后，根据实际情况对此用户在系统中的权限进行说明，并将整个情况报本单位的保密工作机构备案。
系统管理员收到用户书面申请后，根据该部门主管领导审批结果和本单位保密工作机构的核准认可，在系统中为该用户生成标识符，创建用户账号。
安全保密管理员收到用户书面申请后，根据保密工作机构的审核结果，配置相应权限，并激活账号。
至此，该账号才能使用。
系统安全需求(三员)
1.系统安全系统建设严格遵照《BMB17-2006 涉及国家秘密的信息系统分级保护技术要求》、《BMB20-2007 涉及国家秘密的信息系统分级保护管理规范》、《BMB22-2007 涉及国家秘密的信息系统分级保护测评指南》设计、开发、测试，以满足涉密信息系统分级保护技术要求。
1.1.系统安全防护要求按照国家标准相对应等级的防护要求，本项目从物理安全、运行安全、安全保密措施、安全保密管理等方面进行系统安全建设。
1.1.1.1.安全审计与监控系统具备完善安全审计功能，做好系统的安全审计，并且要充分利用数据库提供的安全审计功能，做好数据的安全审计。
审计的对象：文件。
保存及访问方式：包括数据处理的审计、人员的身份验证及登录等审计信息、管理人员的审计信息等。
具体要求：实现用户业务应用日志审计。
对用户授权、用户违规操作等的监控。
日志记录存储空间至少保证日志记录保存6个月。
1.1.2.安全保密管理要求1.1.2.1.管理人员协助指定人员负责本系统的系统管理、应用管理、安全管理、安全审计，并修订完善相关管理制度和管理流程。
1.1.2.2.运行维护管理制定运行维护管理制度，依据制度对人员、物理环境与设施、设备与介质、信息安全保密等方面进行规范。
人员管理包括：系统维护、人员授权、自身行为受控。
系统管理人员管理，系统使用人员管理。
防止非授权使用、非法自主访问知悉系统信息的系统受控等。
物理环境与设施运维管理包括：建立系统运行维护的管理制度和工作流程标准；负责系统的网络硬件设备、基础设施建设、系统平台和日常维护工作，保障网络畅通和系统正常运行；为相关项目实施和设备选型提供技术支持和保障；为信息化建设提供硬件和网络平台的技术支持、技术咨询和技术服务；设备与介质运维管理包括：设备防火、防水、物理损害措施；设备防火灭火正常检查；设备定期检查火灾隐患；供暖系统、空调等保障；设备电源保障；数据传输线路维护与保障；主机等设备保障；可移动数据保障；存储介质维护；磁盘磁带库访问的介质的维护等。
涉密信息系统建设管理
涉密信息系统建设管理涉密信息系统建设管理涉密信息系统“三员”是指系统管理员、安全保密管理员和安全审计员。
系统管理员主要负责系统的⽇常运⾏维护⼯作；安全保密管理员主要负责系统的⽇常安全保密管理⼯作，包括⽤户账号管理以及安全保密设备和系统所产⽣⽇志的审查分析；安全审计员主要负责对系统管理员、安全保密管理员的操作⾏为进⾏审计、跟踪、分析和监督检查，以及时发现违规⾏为，并定期向安全保密管理机构汇报相关情况。
“三员”权限设置应相互独⽴，相互制约，相互之间不得兼任或者替代。
[6]涉密信息系统“三员”应具备信息安全保密知识和业务技能，认真履⾏岗位职责，积极完成与职责相关的⼯作，按照有关保密标准的要求建⽴健全⼯作记录和⽇志⽂档，并妥善保存；“三员”应掌握常见安全产品的适⽤⽅法和技术⼿段，熟悉数据库、操作系统、⽹络设备和应⽤系统的安全知识和技术防护措施；“三员”应当定期接受管理和业务⽅⾯的集中培训，熟练掌握国家保密法规和标准要求，不断提⾼技术技能和管理⽔平。
管理改进1、根据实际⼯作需要⾜额配备“三员”“三员”应当设置独⽴的⼯作权限，实现相互监督、相互制约，相互之间不得兼任或者替代；单位“三员”应该设⽴A、B⾓，互为备份；单位应该按照最⼤化原则配备“三员”以满⾜⽇常运维⼯作；⽆涉密信息系统仅使⽤涉密计算机的单位，应当配备安全保密管理员。
2、扎实做好“三员”上岗前及上岗后的技能培训“三员”上岗前需要参加有关部门组织的培训，具备上岗能⼒后⽅可上岗；“三员”上岗后要定期参加安全保密管理和专业技能⽅⾯的培训，熟练掌握国家信息安全保密法规和标准要求，不断提⾼技术技能和管理⽔平。
3、从技术和管理上做好对“三员”的监督⼯作在系统运⾏维护过程中，如果可以从技术上实现配置变更两⼈操作⽅可⽣效，则将该项配置的变更职责分属于两⼈；如果从技术上不能实现，则通过管理⼿段实现：要求⼀⼈完成配置变更，其操作⽇志由另⼀⼈负责审计。
还可以通过部署堡垒主机等技术⼿段加强对“三员”的监督。