安全管理体系总体设计方案.docx
- 文档编号:26538335
- 上传时间:2023-06-20
- 格式:DOCX
- 页数:19
- 大小:56.59KB
安全管理体系总体设计方案.docx
《安全管理体系总体设计方案.docx》由会员分享,可在线阅读,更多相关《安全管理体系总体设计方案.docx(19页珍藏版)》请在冰豆网上搜索。
安全管理体系总体设计方案
1安全管理系统整体设计方案
1.1安全组织构造
黑龙江省农垦总局总医院安全管理组织应形成由主管领导牵头的信息安全
领导小组、详细信息安全职能部门负责平时工作的组织模式,组织构造图以下所
示:
主管领导
信息安全领导小组组长
信息安全领导小构成员
信息安全工作组领导
信息安全领导小构成员
信息安全领导小组
安全职能部门
网络管理员
信息安全工作组
信息安全工作组
系统管理员
安全管理员信息安全工作组
信息安全工作
构成员
应用、数据库管理员
安全审计员信息安全工作组
信息安全工作
构成员
物理管理员
信息安全工作组
信息安全工作组
图8-1安全组织构造图
1.1.1信息安全领导小组职责
信息安全领导小组是由黑龙江省农垦总局总医院主管领导牵头,各部门的负
责人为构成成员的组织机构,主要负责同意黑龙江省农垦总局总医院安全策略、
分派安全责任并协调安全策略能够实行,保证安全管理工作有一个明确的方向,
从管理和决策层角度对信息安全管理供给支持。
信息安全领导小组的主要责任如
下:
(一)确立网络与信息安全工作的整体方向、目标、整体原则和安全工作方法;
(二)审察并同意政府的信息安全策略和安全责任;
(三)分派和指导安全管理整体职责与工作;
(四)在网络与信息面对重要安全风险时,监察控制可能发生的重要变化;
(五)对安全管理的重要改正事项(比如:
组织机构调整、重点人事改动、信
息系统改正等)进行决策;
(六)指挥、协调、敦促并审察重要安全事件的办理,并协调改良举措;
(七)审察网络安全建设和管理的重要活动,如重要安全项目建设、重要的安
全管理举措出台等;
(八)按期组织有关部门和有关人员对安全管理制度系统的合理性和合用性进
行鉴定。
1.1.2信息安全工作组职责
信息安全工作组是信息安全工作的平时履行机构,内设专职的安全管理组织和岗位,负责平时详细安全工作的落实、组织和协调。
信息安全工作组的主要职责以下:
(一)贯彻履行和解说信息安全领导小组的决策;
(二)贯彻履行和解说国家主管机构下发的信息安全策略;
(三)负责组织和协调各种信息安全规划、方案、实行、测试和查收评审
会议;
(四)负责落实和履行各种信息安全详细工作,并对详细落真相况进行总
结和报告;
(五)负责内外面组织和机构的交流、协调解合作工作;
(六)负责拟订所有信息安全有关的管理制度和规范;
(七)负责针对信息安全有关的管理制度和规范详细落实工作进行监察、检查、查核、指导及审批,比如现有安全技术举措的有效性、安全配置与安全策略的一致性、安全管理制度的履行状况等。
以上组织构造和职责经过《信息安全组织职责系统》加以说明。
1.1.3信息安全岗位
为了有效落实信息安全各项工作,黑龙江省农垦总局总医院应建立以下专职
的安全岗位,负责安全工作的落实和履行:
(一)信息安全工作组主管
1)负责网络与信息安全的平时整体协调、管理工作;
2)负责组织人员拟订信息安全管理制度,并对管理制度进行推行、培训和指导;
3)负责重要安全事件的详细协调解交流工作。
(二)安全管理员岗位
1)负责履行网络与信息安全工作的平时协调、管理工作;
2)负责平时的安全监控管理,并对上报和发现的各种安全事件进行响应;
3)负责系统、网络和应用安全管理的协调解技术指导;
4)负责安全管理平台安全策略拟订,接见控制策略审察;
5)负责组织安全管理制度的推行和培训工作;
6)负责按期进行安全检查,检查内容包含系统平时运转、系统破绽和数据备份等状况。
(三)安全审计员岗位
1)负责安全管理制度落真相况的检查、监察和指导;
2)负责安全策略履行状况的审察。
(四)系统管理员
1)负责系统安全稳固运转的平时管理工作;
2)负责保持系统的防病毒系统、补丁等保持最新,按期对系统进行安全加固,保持系统破绽最小化。
(五)网络管理员
1)负责网络设施安全稳固运转的平时管理工作;
2)负责保持网络设施的破绽最小化,按期对系统进行安全加固;
3)负责保持网络路由和互换策略与业务需求保护一致。
黑龙江省农垦总局总医院应依据平时的运转保护和管理工作,设置物理环境管理、数据库管理、应用管理以及财产管理等岗位,这些岗位也应该包含安全职
责,这些安全职责的详细内容经过《信息安全管理岗位说明书》落实。
1.1.4专家顾问与外面协作
黑龙江省农垦总局总医院应邀请专家和外面顾问成员,这些成员需要对信息安全或有关领域有丰富地知识和经验,如安全技术、电子政务、等级保护或质量管理等。
专家和外面顾问负责对信息安全重要问题的决策供给咨询和建议。
同时应增强与供给商、业界专家、专业的安全企业等安全组织的合作和交流。
1.2安全管理制度
1.2.1安全管理制度系统
黑龙江省农垦总局总医院安全管理制度应成立信息安全目标、安全策略、安
全管理制度、安全技术规范以及流程的一套信息安全管理制度系统。
信息安全目标
信息安全主策略
信息安全管理信息安全技术
制度和规定规范和标准
安全工作流程
安全操作规程
(支撑安全管理
(支撑安全技术
制度)
规范)
安全记录单
(支撑流程、操
作规程)
图8-2安全管理策略系统图
1.2.1.1安全目标和主策略
最高目标,大纲性的安全策略主文档,陈说本策略的目的、合用范围、信息安全的管理企图、支持目标以及指导原则,信息安全各个方面所应恪守的原则方法和指导性策略。
1.2.1.2安全管理制度和规范
各种管理规定、管理方法和暂行规定。
从安全策略主文档中规定的安全各个方面所应恪守的原则方法和指导性策略引出的详细管理规定、管理方法和实行方法,是一定拥有可操作性,并且一定获得有效实行和实行的。
技术标准和规范,包含各个安全等级地区网络设施、主机操作系统和主要应用程序的应恪守的安全配置和管理的技术标准和规范。
技术标准和规范将作为各个网络设施、主机操作系统和应用程序的安装、配置、采买、项目评审、平时安全管理和保护时一定依照的标准,不一样意发生违反和矛盾。
本项目将为黑龙江省农垦总局总医院编制以下安全管理制度和规范:
安全目标
安全策略
安全管理组织系统职责
内部人员安全管理规定
外面人员安全管理规定
等级保护安全管理规范
风险评估管理规范
软件开发管理规定
IT外担保理规定
工程安全管理规定
产品采买安全管理规定
服务商安全管理规定
机房管理制度
办公环境安全管理规定
财产安全管理制度
设施安全管理规定
介质安全管理规定
运转保护安全管理规范
网络安全管理规定
系统安全管理规定
防病毒安全管理规定
密码使用管理制度
改正管理制度
备份与恢复管理规定
安全事件管理制度
应急方案
安全流程和操作规程,详尽规定主要业务应用和事件办理的流程、步骤和有关注意事项。
作为详细工作时的详细依据,此部分一定拥有可操作性,并且一定获得有效实行和实行的。
1.2.1.3安全流程和操作规程
安全流程和操作规程,详尽规定主要业务应用和事件办理的流程和步骤,和有关注意事项。
作为详细工作时的详细依据,此部分一定拥有可操作性,并且一定获得有效实行和实行的。
1.2.1.4安全记录单
安全记录单,落实安全流程和操作规程的详细表单,依据不一样样级信息系统的要求能够经过不一样方式的安全记录单落实并在平时工作中详细履行。
主要包含平时操作的记录、工作记录、流转记录以及审批记录等。
1.2.2安全管理制度系统文件管理
1.2.2.1拟订和公布管理
安全策略系列文档拟订后,一定有效公布和履行。
公布和履行过程中除了要
获得管理层的鼎力支持和推进外,还一定要有适合的、可行的公布和推着手段,
同时在公布和履行前对每一个人员都要做与其有关部分的充足培训,保证每一个人员
都知道和认识与其有关部分的内容。
安全策略在拟订和公布过程中,应该实行以下安全管理:
(一)安全管理制度应拥有一致的格式,并进行版本控制;
(二)安全管理职能部门应组织有关人员对拟订的安全管理制度进行论证和审
定;
(三)安全管理制度应经过正式、有效的方式公布;
(四)安全管理制度应注明公布范围,并对收发文进行登记。
一定要注意到这是一个长久、艰辛的工作,需要付出艰辛的努力,并且因为牵涉到很多部门和绝大部分职工,可能需要改变工作方式和流程,因此实行起来的阻力会相当大;同时安全策略自己存在的缺点,包含不确实可行,太甚复杂和繁琐,部分规定出缺欠等,都会致使整体策略难以落实。
1.2.2.2评审和订正管理
信息安全领导小组应组织有关人员关于信息安全策略系统文件进行评审,并
确立其有效履行限期。
同时应指定信息安全职能部门每年审察安全策略系列文
档,详细检查内容包含:
(一)信息安全策略中的主要更新;
(二)信息安全标准中的主要更新。
信息安全标准不需要所有更新,能够仅对
因改正而受影响的部分进行更新;假如必需,能够使用年度审察/更新
流程对信息安全标准做一次全面更新。
(三)安全管理组织机构和人员的安全职责的主要更新;
(四)操作流程的主要更新;
(五)各种管理规定、管理方法和暂行规定的主要更新;
(六)用户协议的主要更新;等等。
经过《信息安全策略管理规定》落实以上有关内容。
1.3人员安全管理
黑龙江省农垦总局总医院在人员安全管理方面,能够经过关于人员录取、调
动、离岗、查核、培训教育和第三方人员安全几个方面,落实信息安全等级保护
三级基本要求的内容,此中内部人员的管理概括形成人力资源安全管理的详细安
全要求,外面人员的管理概括形成第三方人员安全管理的详细安全要求。
详细如
下列图所示:
人员安全管理
人员录取
人员调换
安全审察
保密
安全审察
保密、权限
培训和教育
人员查核人员离岗
安全审察
保密、权限
第三方人员安全
管理图示
图8-3人员安全管理框架图
内部人员安全管理
人力资源安全管理主假如指针对内部人员的安全管理,从人员的录取、调用、
离岗和查核等各个方面提出针对信息安全的有关管理要求,详细管理要求包含:
(一)录取前
人员在录取过程中要签订保密协议;
应该进行严格的安全背景审察和权限审察;
重点岗位人员应该进行特别的安全审察、权限管理和保密管理,签订安全协议;
(二)工作时期
所有人员依据其岗位职责的不一样,应按期进行安全培训和教育;
所有人员应依据黑龙江省农垦总局总医院的安全管理制度规范和拘束安全操作行为;
按期对各个岗位的人员进行不一样侧面的安全认知和安全技术查核,作为人员能否适合目前岗位的参照;
对安全责任和惩戒举措进行书面规定并见告有关人员,对违犯违反安全策略和规定的人员进行惩戒。
(三)调离岗
应严格规范人员离岗过程,实时停止离岗职工的所有接见权限,应取回各样身份证件、钥匙、徽章等以及机构供给的软硬件设施;
重点岗位人员应在调离岗时期签订保密承诺书。
外面人员安全管理
外面人员往常是指软件开发商,硬件供给商,系统集成商,设施保护商,和服务供给商,实习生,暂时工等非内部人员。
外面人员在接见时能够分红物理接见和信息接见,详细以下:
物理接见,如对办公室、机房的物理接见;
信息接见,如对信息系统、主机、网络设施、数据库的接见。
关于实质接见的外面人员,依据接见的时间长短和接见的性质,能够分为暂时来访的外面人员,和非暂时来访的外面人员两种,详细以下:
暂时来访的外面人员,指因业务洽商、观光、交流、供给短期和不屡次的技术支持服务而暂时来访的外面组织或个人。
非暂时来访的外面人员,指因从事合作开发、参加项目工程、供给技术支持、售后服务、服务外包或顾问服务等,办公和工作的外面组织或个人。
关于这两种短期和长久的实质物理和信息接见,应规定不一样的安全管理要
求,负责招待的部门和招待人对外面人员来访的安全负责,并对接见机房等敏感
地区持慎重态度。
详细管理要求应包含:
(一)恪守黑龙江省农垦总局总医院的各项信息安全标准和管理规定;
(二)一定签订保密协议,一定签订安全承诺协议,或在合同中规定有关的内
容;
(三)对其保护目标的安全配置要求,一定切合相应的网络设施、主机、操作系统、数据库和通用应用程序等黑龙江省农垦总局总医院的安全配置标准文档中相应规定;
(四)申请接见权限时,一定说明其申请原因、接见方式、要求权限、接见时间和地址等内容,黑龙江省农垦总局总医院的安全管理人员需要核实其申请接见权限的必需性和接见方式,评估其可能带来的安全风险,尽可能采纳一些举措来降低风险。
在风险可接受的状况下,才同意其接见权限的申请,并尽可能不给超级用户权限。
经过《外面人员安全管理规定》落实以上有关内容。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 安全管理 体系 总体 设计方案
![提示](https://static.bdocx.com/images/bang_tan.gif)