第1篇 信息安全事件管理程序
1 目的
為建立一個適當?shù)男畔踩录?、薄弱點和故障報告、反應與處理機制，減少信息安全事件和故障所造成的損失，采取有效的糾正與預防措施，特制定本程序。
2 范圍
本程序適用于xxx業(yè)務信息安全事件的管理。
3 職責
3.1 信息安全管理流程負責人
? 確定信息安全目標和方針；
? 確定信息安全管理組織架構、角色和職責劃分；
? 負責信息安全小組之間的協(xié)調，內部和外部的溝通；
? 負責信息安全評審的相關事宜；
3.2 信息安全日常管理員
? 負責制定組織中的安全策略；
? 組織安全管理技術責任人進行風險評估；
? 組織安全管理技術責任人制定信息安全改進建議和控制措施；
? 編寫風險改進計劃；
3.3 信息安全管理技術責任人
? 負責信息安全日常監(jiān)控；
? 信息安全風險評估；
? 確定信息安全控制措施；
? 響應并處理安全事件。
4 工作程序
4.1 信息安全事件定義與分類
信息安全事件是指信息設備故障、線路故障、軟件故障、惡意軟件危害、人員故意破壞或工作失職等原因直接影響（后果）的。
造成下列影響（后果）之一的，均為一般信息安全事件。
a) xxx秘密泄露；
b) 導致業(yè)務中斷兩小時以上；
c) 造成信息資產損失的火災；
d) 損失在一萬元人民幣（含）以上的故障/事件。
造成下列影響（后果）之一的，屬于重大信息安全事件。
a) 組織機密泄露；
b) 導致業(yè)務中斷十小時以上；
c) 造成機房設備毀滅的火災；
d) 損失在十萬元人民幣（含）以上的故障/事件。
4.2 信息安全事件管理流程
? 由信息安全管理負責人組織相關的運維技術人員根據(jù)xxx對信息安全的要求，確認代碼管理相關信息系統(tǒng)的安全需求；
? 對代碼管理相關信息系統(tǒng)進行信息安全風險評估，預測風險類型、風險發(fā)生的可能性、風險級別、潛在的業(yè)務影響，形成信息安全風險評估報告；
? 由信息安全日常管理員組織相關技術人員根據(jù)對根據(jù)風險評估的結果以及服務級別協(xié)議的安全需求，提出現(xiàn)階段的安全改進建議，并提交至信息安全管理負責人進行評估；若同意執(zhí)行安全改進建議，則在變更管理的控制下實施安全建議；
? 信息安全日常管理員根據(jù)安全改進之后的信息系統(tǒng)安全現(xiàn)狀提出具體的安全控制措施，形成風險處置計劃；
? 根據(jù)風險處置計劃，實施信息安全控制措施，盡可能的降低信息和業(yè)務風險；
? 監(jiān)視信息系統(tǒng)的活動并識別反常的活動和安全事件，并記錄下來，做初步的響應和處理；評估安全漏洞和不符合安全要求的任何情況，并采取必要的糾正措施；
? 對發(fā)現(xiàn)的或已發(fā)生的信息安全事件，按照信息安全事件響應程序進行處理；
? 每年一次或在發(fā)生重大信息安全事件時進行信息安全評審，分析信息安全事件的顯現(xiàn)趨勢、信息安全管理的改進等信息，并形成風險改進計劃，持續(xù)改進信息系統(tǒng)安全。
4.3 信息安全事件事后處理措施
對于一般信息安全事件，在故障排除或采取必要措施后，相關信息安全管理職能部門會同事件責任部門，對事件的原因、類型、損失、責任進行鑒定，形成《信息安全事件報告》，報信息安全管理者代表批準；對于重大信息安全事件的處理意見還應上報信息安全管理委員會討論通過。
對于違反組織信息安全方針、程序安全規(guī)章所造成的信息安全事件責任者依據(jù)以下措施予以懲戒。
處罰方式：
一般安全事故，根據(jù)所造成的經濟損失，由xxx辦公室通過郵件發(fā)出正式嚴重警告。
一年內累計出現(xiàn)三次或三次以上的一般安全事故，報xxx領導批準后進行相應懲罰，并在xxx進行通報批評。
造成重大安全事故的，xxx有權將責任人調離原工作崗并給予相應懲罰。
一年內累計出現(xiàn)二次或二次以上的重大安全事故，xxx有權解除勞動合同并依法追究法律責任。
如果屬于故意行為導致信息安全事故，xxx有權解除勞動合同并依法追究法律責任。
對于信息安全事故責任人的處理結果由處理部門在xxx范圍內予以通報。
負有信息安全事故處罰的各職能部門在確定實施處罰后，xxx室與被處罰部門溝通，確認責任者及處罰方式并上報xxx領導。
信息安全管理職能部門要求事件責任部門制定糾正措施并實施，實施結果記錄在《信息安全事件報告》。
由信息安全管理職能部門對實施情況進行跟蹤驗證，驗證結果記入《信息安全事件報告》。
4.4 報告信息安全薄弱點與預防措施
xxx與信息安全管理有關的所有員工發(fā)現(xiàn)信息安全薄弱點或潛在威脅均應履行報告義務。
對以下行為應給予獎勵：
及時發(fā)現(xiàn)非責任區(qū)信息安全隱患，該隱患足以導致信息安全事故的；
及時發(fā)現(xiàn)非責任區(qū)信息安全重大隱患，該隱患足以導致信息安全重大事故的；
及時發(fā)現(xiàn)并制止系統(tǒng)操作問題以避免設備重大損失或人員死亡的；
及時制止或報告泄露商業(yè)機密的事件以避免xxx重大經濟損失或及時中止正在進行中的商業(yè)泄密行為的；
在信息安全事故中采取積極有效措施，降低損失的程度。
獎勵方式如下：
根據(jù)防止一般安全事故發(fā)生、一年內防止一般安全事故發(fā)生三次或三次以上、防止造成重大安全事故、及時中止正在進行中的商業(yè)泄密行為、提出信息安全合理化建議等級別，報請xxx批準后，給予相應表揚或獎勵，并作為年底工作考核依據(jù)。
發(fā)現(xiàn)信息安全事故、薄弱點與故障的員工填寫《一般信息安全事件/薄弱點報告》，相關的代碼管理中心及信息安全實驗室進行調查后，確定是否采取預防措施，確認責任部門并實施。
5 相關文件
6 相關記錄
第2篇 管理信息系統(tǒng)概述安全信息管理系統(tǒng)
一、管理信息系統(tǒng)的概念
所謂系統(tǒng)就是指由若干互相聯(lián)系、互相影響、互相制約的各個部分為了一定目標而組合在一起所形成的一個整體。構成整體的各個組成部分，稱為子系統(tǒng)。假若以一個經濟組織的會計作為一個系統(tǒng)，而有關結算中心、會計報表、成本核算、資產臺帳和貨幣資金等則是它的子系統(tǒng)。至于有關供銷、生產、人事等方面的信息則屬于會計系統(tǒng)以外的環(huán)境系統(tǒng)。會計信息系統(tǒng)見圖10-2。
過去，國外大多數(shù)企業(yè)和我國一些先行單位，為了適應不同職能組織的需要，除了設立會計信息系統(tǒng)以外，還有生產技術、供銷、人事、后勤等科室也都分別設立適合于它們各自需要的信息系統(tǒng)。這樣一個企業(yè)就有若干信息管理系統(tǒng)，易于發(fā)生重復勞動，同一原始資料要分別輸入若干個信息管理系統(tǒng)。如有關材料的采購、耗用、轉移、完工、職工的基本工資、出勤記錄等都要同時輸入若干個信息系統(tǒng)。這樣不僅出現(xiàn)重復勞動，易于發(fā)生差錯，而且更改也不方便，造成相互不協(xié)調，成本也就比較高。
近年來在信息管理中提出綜合性管理系統(tǒng)。就是將一個經濟組織作為一個系統(tǒng)，而其生產、技術、會計、供銷、后勤、人事等職能業(yè)務則是這個系統(tǒng)下的各個子系統(tǒng)。實施綜合信息系統(tǒng)需要具有三個條件：
（1）分散的信息活動必須通過組織的集中統(tǒng)一安排；
（2）這些活動必須是整體的組成部分；
（3）這些活動必須由一個集中、獨立的信息中心加以處理。
這樣就能把企業(yè)看作一個整體，使一個數(shù)據(jù)多用，提高效率和更有效地使用信息，成本也可隨之降低。
二、綜合管理信息系統(tǒng)的建立
設計一個新的或改進一個現(xiàn)有的管理信息系統(tǒng)，是一項既復雜又繁重的工作。首先要用系統(tǒng)分析的方法，對系統(tǒng)（包括子系統(tǒng)）的本身范圍及其周圍環(huán)境的關系進行分析，提出若干設計方案，決定不同類型，不同管理層次的系統(tǒng)，進行技術和經濟的論證，層層提高設計質量，消除不必要的重復勞動，然后加以評估比較，最后從中決定統(tǒng)一的綜合信息管理標準，包括經濟信息分類、編碼和文件統(tǒng)一化工作。經過試驗證明切實可行后，再應用到實際工作中去。其中要注意以下幾方面：
1.明確信息的需求
即對輸出的要求，要通過充分的調查研究，特別是管理中現(xiàn)有的信息種類，它們流轉的來龍去脈，由哪里產生，由誰傳遞，傳到何處，經過怎樣處理，以什么形式輸出，供誰使用，是否可以“一數(shù)多用”，是否有別的來源替代，是否要保存等等。所以在建立過程中，專業(yè)人員與使用人員之間要經常交換意見，使提供的各項信息都能滿足使用者的要求。
2.信息的收集和處理
這項工作的目的就是要改善信息總的質量，一般包括五項內容：
（1）檢核。要確定各項信息的可靠性的程度，包括來源的可靠性，數(shù)據(jù)的準確性和有效性等。
（2）整理。將輸入的信息和數(shù)據(jù)加以提煉整理，以符合規(guī)定的要求。
（3）編制索引。按規(guī)定編制索引，以供日后儲存和檢索。
（4）傳輸。將正確的信息及時提供給各級主管人員。
（5）存儲。要保存必需的數(shù)據(jù)資料和文件檔案，準備日后再次使用。
第3篇 信息安全獎懲管理辦法
1.目的
明確信息安全獎勵與違規(guī)行為處罰的操作原則,強化執(zhí)行,促進員工信息安全意識提升。
2.適用范圍
本規(guī)范適用于深圳市**公司 (后續(xù)簡稱為公司)。
3.定義
序號
角色
職責
001
信息安全事件
指識別出的發(fā)生的系統(tǒng)、服務或網絡事件表明可能違反信息安全策略或防護措施失效;或以前未知的與安全相關的情況;其中一、二級信息安全事件稱為重大信息安全事件。
002
信息安全活動
為培養(yǎng)員工信息安全意識,提高公司整體安全水平而舉辦的活動,形式包括但不限于:考試、培訓、宣傳和自查。
4.職責與權限
序號
角色
職責
001
員工
遵守公司信息安全管理制度,積極配合、參與信息安全活動。
002
各部門信息安全接口人
協(xié)助公司信息安全管理制度、產品的宣傳與培訓工作;負責對部門信息安全問題進行匯總與反饋。
003
部門主管
是部門信息安全的直接責任人,負責監(jiān)督和管理本部門員工的信息安全行為,并對潛在的信息安全風險進行預警,預防信息安全事件。
004
部門經理
作為部門信息安全的間接責任人,熟悉公司信息安全戰(zhàn)略,并積極推動信息安全策略的落地執(zhí)行。
005
部門副總
對所負責部門的信息安全事件負相應的管理責任。
006
it部信息安全組
對信息安全事件進行跟蹤處理,并確定事件責任人。
007
董事會秘書
審核信息安全事件處理報告。
008
總經理
最終審批信息安全事件處罰申請。
009
人力資源部
依據(jù)公司財務制度對已審批的信息安全獎勵/處罰報告執(zhí)行經濟獎勵或者處罰措施。
010
法務部
配合it部信息安全組進行信息安全事件處理,對違反法律法規(guī)的信息安全責任人依法追究法律責任。
5.內容
5.1獎勵、違規(guī)行為處罰原則
5.1.1及時激勵原則
對長期妥善保護公司信息資產,有效避免信息資產的遺失、濫用、盜用等,或對于促進信息安全合理共享表現(xiàn)突出的個人或者集體,將及時獎勵。
5.1.2舉報保密原則
對于舉報信息安全違規(guī)行為的人員,將對其進行獎勵并嚴格保護其個人資料不公開。
5.1.3違規(guī)行為處罰原則
5.1.3.1法律追究原則
公司所有保密信息均為公司合法資產,受國家法律法規(guī)保護。任何損害公司保密信息的行為,公司均有權追究行為人法律責任。
5.1.3.2違規(guī)分級原則
根據(jù)違規(guī)行為的性質、造成的損失和影響的嚴重程度、違規(guī)人員是否有意對違規(guī)行為分級。涉及關鍵信息資產的,違規(guī)等級要升級;一次違反多條信息安全規(guī)定的人員按最高違規(guī)等級從重處罰;對多次違反信息安全規(guī)定的人員再次違規(guī)時要從重處罰。
5.1.3.3主動從寬原則
產生違規(guī)行為后主動報告,積極采取補救措施以減少影響和損失的人員,可減輕處罰;對問題隱瞞不報或者不及時上報而導致違規(guī)影響擴大的人員,加重處罰。
5.1.3.4過度防衛(wèi)處罰原則
對阻礙信息合理流動與共享的人員要給予處罰。
5.1.3.5及時處理原則
對重大信息安全違規(guī)事件,要及時處理。任何拖延、推諉不處理的責任人,要給予問責。
5.2 獎勵等級與責任部門
5.2.1獎勵等級與措施
獎勵事跡
獎勵等級
獎勵措施
舉報或者制止泄密、竊密或者其他嚴重損害公司利益事件的集體或者個人
一級
根據(jù)具體情況給予8000元集體獎勵或者5000元個人獎勵;通報表揚(遵循“舉報保密原則“淡化事跡并隱藏人員信息)。
制止他人違規(guī)行為或者即時反映可能造成泄密、竊密或者其他重大安全隱患的個人,以及在信息安全方面做出表率或者突出貢獻的集體
二級
根據(jù)具體情況集體獎5000元或者3000個人獎勵;通報表揚(遵循“舉報保密原則“淡化事跡并隱藏人員信息)。
在信息安全管理中做出貢獻,反映信息安全隱患或者過度防衛(wèi)被核實、提出信息安全合理化建議并被采納的個人,以及在信息安全方面做出貢獻的集體
三級
根據(jù)具體情況給予3000元集體獎勵或者1000元個人獎勵。
5.2.2獎勵責任部門
1)對于滿足信息安全獎勵標準的集體或者個人,it部信息安全組可根據(jù)具體事跡定期進行申報,審批通過后由人力資源部根據(jù)公司財務制度進行發(fā)放獎金;
2) 各部門信息安全接口人可自行組織對本部門優(yōu)秀信息安全集體或者個人進行獎勵。
5.3 違規(guī)等級與責任部門
5.3.1 違規(guī)等級與措施
違規(guī)事件
違規(guī)等級
處罰措施
盜竊、故意泄露公司保密信息的,或故意違反信息安全管理規(guī)定,性質嚴重造成重大影響或者風險
一級
1. 直接開除,永不錄用;
2. 如違反法律法規(guī)由公司法務部移送公安機關處理;如給公司造成相關損失,須賠償公司損失。
3. 全公司范圍內通報處罰決定。
故意違反信息安全規(guī)定,性質嚴重;或者造成較大影響或較大風險
二級
1. 如給公司造成相關損失,須賠償公司損失;
2. 擔任公司管理崗位的人員,進行降職或者降薪處理;非公司管理崗位的人員,進行降薪處理;
3. 全公司范圍內通報處罰決定。
過失違反信息安全管理規(guī)定,造成一定影響或者風險的;或者故意違反信息安全管理規(guī)定,但性質不嚴重且沒有造成嚴重影響或風險
三級
1. 記入關鍵事件考評結果減10分或罰款500元;
2. 12個月內2次三級違規(guī)升級為1次二級違規(guī)。
3.部門內部通報處罰決定。
過失違反信息安全管理規(guī)定,性質較輕,且造成輕微影響或者風險
四級
1.記入關鍵事件考評結果減5分或罰款300元;
2.12個月內2次四級違規(guī)升級為1次三級違規(guī);
3.部門內部通報處罰決定。
說明:
1) 信息安全管理規(guī)定包括公司各部門正式發(fā)布的信息安全管理制度;
2) 上表中“違規(guī)事件“的描述是定性的描述,是違規(guī)事件定級的參考原則。常見違規(guī)行為所適用違規(guī)等級具體參考附件1:《常見違規(guī)行為及其適用處罰等級舉例》,其他違規(guī)行為所使用等級可參考舉例進行認定。
5.3.2 責任判定
1)發(fā)生一、二級重大信息安全事件違規(guī)時,違規(guī)者直接上級和部門經理承擔直接和間接責任,部門副總須承擔連帶管理責任,并按照《常見違規(guī)行為及其適用處罰等級舉例v1.0》適用條款進行處罰;
2)對于三、四級信息安全違規(guī),根據(jù)以下條件判斷責任人直接上級是否連帶處罰:
員工無意違規(guī),且責任人領導未進行審批授權的,不進行連帶處罰;
員工無意違規(guī),但責任人領導進行包庇的,在事實確認的基礎上,進行連帶處罰;
若所管理部門一個月內發(fā)生2次(含)以上故意違規(guī)或者4次(含)以上無意違規(guī)事件,對直接上級進行連帶處罰。
5.3.3 處罰責任部門
處罰等級
處罰責任人
批準
申訴
一級
總經理
/
人力資源部
二級
總經理
/
人力資源部
三級
部門分管副總
it部信息安全組
人力資源部
四級
部門分管副總
it部信息安全組
人力資源部
說明:
1)對于各類違規(guī)行為處罰應當慎重,應建立在客觀事實的基礎上給出處罰意見。根據(jù)違規(guī)行為性質、造成的損失和影響的大小,it部信息安全組有權要求對當事人加重或者減輕處罰;
2)發(fā)現(xiàn)可疑事件的組織作為事件調查和處理的責任部門。為了加快一級違規(guī)行為的處理進度,溝通時限和批準期限都是2天;
3)在違規(guī)事件處理過程中,it部信息安全組協(xié)助與監(jiān)督處罰責任人完成處罰執(zhí)行工作。處罰責任人或其授權人員要做好與違規(guī)員工的溝通工作。對違規(guī)處罰過程中出現(xiàn)的拖延、推諉行為,it部信息安全組可以行使否決權。
5.4.維護與解釋
1)本規(guī)定發(fā)布之日起生效;
2)本規(guī)定由it部信息安全組至少每兩年審視一次,根據(jù)審核結果修訂標準并頒布執(zhí)行;
3)本規(guī)定解釋權歸it部信息安全組。
6.相關文件
附件1:《常見違規(guī)行為及其適用處罰等級舉例》
7.記錄表格
無
第4篇 安全風險信息平臺工作管理辦法
第一章 總則
第一條 為規(guī)范石家莊市軌道交通安全風險監(jiān)控工作,規(guī)范地鐵建設參建各方在安全風險監(jiān)控管理上的工作責任、工作內容及工作流程,加強相關單位和部門在安全風險監(jiān)控工作中的協(xié)同性,提升軌道交通建設安全風險管理的專業(yè)化和規(guī)范化水平,最大程度規(guī)避和減少軌道交通工程建設及周邊環(huán)境的安全事故的發(fā)生,制定本辦法。
第二條 本辦法根據(jù)住建部《城市軌道交通工程質量安全檢查指南(試行)》,公司《石家莊市軌道交通工程建設安全風險管理體系》文件的相關規(guī)定,結合我市軌道交通工程建設實際制定。
第三條 本辦法適用于石家莊市軌道交通工程施工階段的安全風險監(jiān)控管理工作。
第四條 相關參建單位應用安全風險監(jiān)控與信息平臺情況考核,分日常管理考核與雙月度考核,由安全質量部牽頭負責考核。
第五條 安全風險監(jiān)控工作考核堅持客觀、公開、公平、公正的原則,自覺接受紀檢監(jiān)察部門和群眾的監(jiān)督。
第六條 除本辦法外,軌道交通工程建設相關單位還應遵守國家和地方有關法律、法規(guī)、規(guī)范、標準。
第二章考核內容
第七條 投資承建單位
投資承建單位應成立信息化領導小組,總工程師任負責人,并設立專職信息員督促所轄施工標段落實安全風險信息化管理工作。
第八條 標段施工單位
(一)各施工標段項目部安全總監(jiān)牽頭成立風險信息化小組,項目部安全總監(jiān)和安質部長每天必須登錄安全風險監(jiān)控信息平臺,主要任務有:
1.每日17:00前,將自查臺賬和抽查臺賬檢查的問題、施工監(jiān)測數(shù)據(jù)上傳平臺;
2.巡視閉合閱處:通過安全風險監(jiān)控信息平臺對各單位提出的問題、要求和發(fā)布的通知、文件、通報(包含業(yè)主公告、各類巡檢通報、日常風險巡查推送的問題、軌道公司文件、預消警會議紀要、監(jiān)控中心周報、預警處置等)進行落實、整改、回復。填寫回復內容,并可上傳相關附件。要求對所有的通報及整改通知的回復都以掃描件上傳至相應內容的回復區(qū)域;
3.預警響應處置:及時處理平臺發(fā)出的本標段預警,在預警處置中,要詳細填寫處置措施及現(xiàn)場處置照片、視頻等。
(二)視頻監(jiān)控系統(tǒng):提供現(xiàn)場信息化設備放置場地及視頻會議室,配備網絡設備和網絡線路,保證各類信息能全面、及時、準確的上傳平臺(相關硬件參數(shù)見附件一):
1.按施工實際需要和軌道公司要求設置視頻監(jiān)控,施工單位負責采購本標段所需要的設備與硬件等,并負責進行安裝、調試、移位、維護和管理工作,確保視頻監(jiān)控正常使用;
2.攝像頭數(shù)量、位置要求:
車站明挖基坑至少設置2個攝像頭,礦山法暗挖工程,要求每個掌子面設置1個攝像頭,要清晰看到暗挖掌子面,并確保每掘進15米移動一次,蓋挖車站參照礦山法施工要求設置;
附屬結構明挖基坑、施工豎井至少安裝1個前端監(jiān)控設備;
施工豎井上各設置1個攝像頭,重大風險源處根據(jù)評估情況設置;
安全文明施工管理:有出渣土行為的施工現(xiàn)場,渣土車輛進出的大門口在開工前必須安裝攝像頭,并接入安全風險監(jiān)控信息系統(tǒng)。此項作為開工核查條件之一。
3.要保持視頻監(jiān)控 24小時正常運行,并確保監(jiān)控視頻的攝像角度和照明亮度,以滿足視頻監(jiān)控的需要。不得隨意挪動、故意遮擋、污損、用光照射攝像頭,不得無故中斷、關閉視頻(特別是夜晚施工時)和人為破壞設備;
4.提供全天候的應急響應服務,須在監(jiān)控中心發(fā)出平臺故障通知后24小時內修復,保證平臺正常運轉。
(三)盾構監(jiān)控
1.按照實現(xiàn)盾構實時數(shù)據(jù)監(jiān)控要求配備電腦等設備,必要時施工單位需安排盾構廠家技術人員到現(xiàn)場配合數(shù)據(jù)解譯;
2.每日上傳出土量,同步注漿量;
(四)工程資料錄入:工程開工前,施工單位要及時錄入必要的工程資料,資料目錄詳見附件二。
第九條 第三方監(jiān)測單位
(一)項目部項目負責人牽頭成立風險信息化小組,負責安全風險監(jiān)控信息平臺日常管理工作,并配備專職信息員;
(二)監(jiān)測數(shù)據(jù)上傳:每日17:00前上傳當天監(jiān)測數(shù)據(jù);
(三)及時查看并通過安全風險監(jiān)控信息平臺對建設單位(含監(jiān)控中心)提出的問題和要求進行落實、整改回復;
(四)每日瀏覽本標段工點風險情況,同時根據(jù)各自工點的安全評估狀態(tài),及時做出回復和處理。對數(shù)據(jù)異常和存在安全隱患的工點,應根據(jù)現(xiàn)場實際情況加密監(jiān)測點增加監(jiān)測頻率,并及時上傳監(jiān)測數(shù)據(jù)。
第十條 監(jiān)理單位
(一)安全專監(jiān)牽頭成立風險信息化小組,負責安全風險監(jiān)控信息平臺日常管理工作,并配備專職信息員;
(二)每日將抽查臺賬檢查問題和巡查報告上傳安全風險監(jiān)控信息平臺。對有風險、監(jiān)測數(shù)據(jù)異常以及重大安全隱患和危險征兆的工點,督促施工單位進行整改和回復,并及時向監(jiān)控中心反饋;
(三)及時查看并安排相關人員通過信息平臺對建設單位及風險監(jiān)控中心提出的問題、要求和發(fā)布的通知、文件、通報(包含業(yè)主公告、各類巡檢通報、軌道公司文件、預消警會議紀要、監(jiān)控中心周報、預警處置等)進行落實、整改、回復;
(四)督促施工單位整改安全風險監(jiān)控信息平臺上發(fā)布的各類檢查通報,并做好復查工作。督促施工單位對安全風險監(jiān)控信息平臺上各項事件進行閉合管理;
(五)預警響應處置:每日登錄平臺瀏覽各自工點風險情況,同時根據(jù)各自工點的安全評估狀態(tài),及時做出回復和處理。工點評估為“有風險”或“預警”狀態(tài),按預警流程處理,將處理結果在信息平臺回復。
第三章獎懲
第十一條 安全風險監(jiān)控信息平臺使用情況考核按單位性質分為標段施工單位、第三方監(jiān)測單位、監(jiān)理單位三個組,各組內不再按線路區(qū)分參建單位。安質部組織每兩個月對各單位安全風險監(jiān)控信息平臺使用情況進行考核評分,各組分別排名,評分標準見附件三。投資承建單位信息平臺使用情況納入季度考核。
第十二條 通過視頻監(jiān)控和巡視發(fā)現(xiàn)施工現(xiàn)場視頻不按規(guī)定設置、違規(guī)挪動、故意遮擋、污損、用光照射鏡頭、無故中斷、關閉視頻,以及視頻監(jiān)控平臺被人為破壞等問題,且拒絕整改、未按時整改、整改不到位的,每個問題給予10000元的處罰。有渣土車輛進出的施工現(xiàn)場大門口沒有安裝攝像頭并接入監(jiān)控信息系統(tǒng)的,罰款50萬元。
第十三條 對日常巡查推送的問題,拒絕整改、未按時整改、整改不到位、整改但未及時回復的,每個問題給予5000元的處罰。安質部對整改閉合情況進行抽查,發(fā)現(xiàn)弄虛作假的,每個問題給予20000元的處罰。
第十四條 對監(jiān)測數(shù)據(jù)和巡視報告上傳不及時的,每次處罰5000元。
第十五條 對履行《石家莊市軌道交通建設工程安全風險監(jiān)控管理辦法》工作職責不到位的,視情節(jié)輕重、整改態(tài)度、影響大小,每人次/問題給予5000元的處罰;對不配合或阻撓監(jiān)控中心工作的單位,每次處罰10000元。
第十六條 對在同一個考核周期內相同、類似問題多次重復發(fā)生的,從第三次開始,實施雙倍處罰。
第十七條 監(jiān)控中心每雙月月底匯總存在問題情況,安全質量部審核后,填寫處罰單,并形成考核處罰通報上傳信息平臺(處罰單見附件四)。
第十八條 雙月考核排名考核結果將通過公司文件形式下發(fā)通報,對工作不積極,效率差,不配合工作的單位將約談該單位主要領導。
第十九條 對各組排名靠前的單位予以獎勵,獎勵總額為前兩個月對被考核各單位處罰金額總和。標段施工單位組前1-5名分別獎勵前兩個月總處罰金額的20%、16%、12%、8%、8%,合計64%;第三方監(jiān)測組第1名獎勵前兩個月總處罰金額的6%;監(jiān)理單位組前1-3名分別獎勵前兩個月總處罰金額的12%、10%、8%,合計30%。所有獎勵處罰款項一并納入季度驗工計價,在季度驗工計價中扣除。
第四章 附則
第二十條 本辦法由石家莊市軌道交通有
第5篇 中學網絡信息安全管理規(guī)定
山天中學網絡信息安全管理規(guī)定
為了加強校園網的管理，規(guī)范校園網的使用行為，保障校園網的信息安全，特制定本管理規(guī)定。
1.我校校園網用戶必須遵守《中華人民共和國計算機信息系統(tǒng)安全保護條例》、《計算機信息網絡國際聯(lián)網安全保護管理辦法》、《中國教育和科研計算機網暫行管理辦法》及國家有關法律法規(guī)，嚴格執(zhí)行安全保密制度，并對所提供的信息負責
2.用戶必須嚴格遵守我校校園網管理的有關規(guī)定和制度。
3.校園網上的信息和資源屬于該信息和資源的所有者。用戶只有在取得了該信息和資源的所有者的允許后，才能使用該信息和資源，網絡上軟件的使用應遵守知識產權的有關法律法規(guī)。
4.用戶必須接受并配合國家有關部門依法進行的監(jiān)督檢查，并有義務向學校主管部門報告違法犯罪行為和有害信息。
5.用戶不得利用校園網從事危害國家安全、泄露國家秘密等犯罪活動，不得制作、查閱、復制和傳播有礙社會治安和有傷風化及損害學校形象和學校利益的信息。
6.在校園網上不允許進行任何干擾網絡用戶、破壞網絡服務和破壞網絡設備的活動，這些活動主要包括在網絡發(fā)布不真實的信息、散布計算機病毒、進入未經授權使用的計算機、以不真實身份使用網絡資源等等。
7.校園網的用戶不允許發(fā)展授權范圍以外的任何用戶，也不能與其它校內外單位和用戶私自聯(lián)網。
8.對違反本規(guī)定的登錄者，學校將追究責任，情節(jié)嚴重者將追究法律責任。
山天中學
第6篇 公司信息安全管理檢查執(zhí)行規(guī)定
1.檢查原則
根據(jù)違規(guī)行為的性質、造成的后果及違規(guī)人的主觀意愿對違規(guī)行為進行處罰。對在公司信息安全管理制度和措施上貫徹、監(jiān)控不力、權限審核不當，造成公司安全制度和措施難以落實，安全管理工作混亂的部門，部門負責人須承擔領導責任。對違反信息安全管理規(guī)定者，如其直接領導有明顯管理和指導不力的須承擔連帶責任。
2.檢查方式
公司技術部門抽調網絡管理人員，不定期對公司所屬公司辦公電腦進行抽查。分析信息安全日志文件，排查違規(guī)電腦，追究相關當事人。
3.檢查結果
對于故意盜竊、泄露公司保密信息的，或故意違反信息安全管理規(guī)定，性質特別嚴重造成重大損失的，給予罰款、降薪、降職、辭退、直至開除的處理，并賠償公司損失。對于觸犯國家法律的，移交國家司法機關依法處理。對違反公司信息安全制度規(guī)定，性質較輕，在公司內部系統(tǒng)給予點名通報批評，并記錄在案，責令限期改正。
第7篇 公共安全圖像信息系統(tǒng)管理辦法
第一條 為了規(guī)范本市公共安全圖像信息系統(tǒng)的建設和管理，提高預防和處置突發(fā)公共事件的能力，保障公共安全，保護公民的合法權益，制定本辦法。
第二條 本辦法適用于本市行政區(qū)域內公共安全圖像信息系統(tǒng)的建設和管理。
第三條 本辦法所稱的公共安全圖像信息系統(tǒng)，是指利用圖像采集設備和其他相關設備對涉及公共安全的區(qū)域進行信息記錄的視頻系統(tǒng)。
第四條 市人民政府有關部門和區(qū)、縣人民政府負責本行業(yè)、本系統(tǒng)、本地區(qū)公共安全圖像信息系統(tǒng)建設的組織實施，并協(xié)助做好公共安全圖像信息系統(tǒng)使用、維護等方面的監(jiān)督管理工作。
市和區(qū)、縣公安機關負責公共安全圖像信息系統(tǒng)建設、使用、維護的日常監(jiān)督管理工作。
第五條 下列單位和區(qū)域，應當安裝公共安全圖像信息系統(tǒng)：
(一)黨政機關、國家機關所在地，廣播電臺、電視臺，電信、郵政、金融、服務單位，博物館、檔案館、重點文物保護單位，危險物品生產、銷售、存放場所等重要單位；
(二)賓館、飯店、商場、醫(yī)院、學校、幼兒園、文化娛樂場所，舉辦體育賽事的場館、場地，住宅區(qū)、停車場等人員聚集的公共場所；
(三)重點道路、路段和主要交通路口，地下通道、過街天橋，機場、火車站、地鐵和城鐵車站，公共電汽車的重要交通樞紐等；
(四)城市供排水、電力、燃氣、熱力設施，城市河湖及其他重要水務工程等重要城市基礎設施；
(五)國家法律、法規(guī)規(guī)定的其他地點和區(qū)域。
公共安全圖像信息系統(tǒng)建設的市級主管部門可以根據(jù)需要確定其他應當安裝公共安全圖像信息系統(tǒng)的區(qū)域，報市人民政府批準。
第六條 單位按照本辦法規(guī)定自建公共安全圖像信息系統(tǒng)，應當符合政府的統(tǒng)一規(guī)劃和要求，不得采集本單位范圍以外的公共區(qū)域的圖像信息。
第七條 交通道路、廣場等公共場所公共安全圖像信息系統(tǒng)的建設由政府負責，其他任何單位和個人不得在該區(qū)域設置公共安全圖像信息系統(tǒng)。
第八條 公共安全圖像信息系統(tǒng)的建設，應當符合國家和本市的技術規(guī)范和標準。
市質量技術監(jiān)督、信息化主管部門和公安機關共同制定本市公共安全圖像信息系統(tǒng)的技術規(guī)范和標準，公共圖像信息系統(tǒng)應當具有采集、錄像、傳輸?shù)裙δ堋?/p>
第九條 設置公共安全圖像信息系統(tǒng)，不得侵犯公民個人隱私；對涉及公民個人隱私的圖像信息，應當采取保密措施。
涉及國家秘密、商業(yè)秘密的公共安全圖像信息系統(tǒng)的建設，按照國家有關規(guī)定執(zhí)行。
第十條 新建、改建、擴建建設項目應當安裝公共安全圖像信息系統(tǒng)的，公共安全圖像信息系統(tǒng)應當與項目主體工程同步規(guī)劃、同步建設、同時投入使用。
第十一條 公共安全圖像信息系統(tǒng)的使用單位，應當自系統(tǒng)竣工驗收合格之日起30日內，將公共安全圖像信息系統(tǒng)的建設情況按照保衛(wèi)隸屬關系向市或者區(qū)、縣公安機關備案；沒有保衛(wèi)隸屬關系的，向本單位所在地的區(qū)、縣公安機關備案。
本辦法施行前已經建成的公共安全圖像信息系統(tǒng)的使用單位應當自本辦法施行之日起30日內，將公共安全圖像信息系統(tǒng)的建設情況按照前款規(guī)定向公安機關備案。
第十二條 公共安全圖像信息系統(tǒng)的使用單位，應當采取下列措施，保證公共安全圖像信息系統(tǒng)安全運行：
(一)對與公共安全圖像信息系統(tǒng)密切接觸的人員進行崗位技能和保密知識的培訓；
(二)建立安全檢查、運行維護、應急處理等制度；
(三)保持圖像信息畫面清晰，保證系統(tǒng)正常運行；
(四)不得擅自改變公共安全圖像信息系統(tǒng)的用途和攝像設備的位置。
第8篇 建業(yè)集團信息系統(tǒng)安全管理細則
第一條???????? 目的
為了保護集團計算機信息系統(tǒng)安全，規(guī)范信息系統(tǒng)管理,合理利用系統(tǒng)資源，推進集團信息化建設，促進計算機的應用和發(fā)展，保障集團信息系統(tǒng)的正常運行，充分發(fā)揮信息系統(tǒng)在企業(yè)管理中的作用，更好地為集團運營服務。根據(jù)《中華人民共和國計算機信息系統(tǒng)安全保護條例》及有關法律、法規(guī)，結合集團實際情況，制定本細則。
第二條???????? 術語與定義
（一）?? 信息系統(tǒng)安全管理范圍：業(yè)務軟件系統(tǒng)信息安全、硬件網絡信息安全。
（二）?? 系統(tǒng)管理員：是集團信息化管理系統(tǒng)建設的主要執(zhí)行者，負責系統(tǒng)的設備保障、運行監(jiān)測、及時維護、數(shù)據(jù)備份以及信息系統(tǒng)規(guī)劃、計劃、方案的起草工作；同時，負責集團信息化管理系統(tǒng)和各工作站系統(tǒng)軟件、應用軟件的安裝、調試和維護工作；
第三條???????? 適用范圍
本細則適用于集團信息系統(tǒng)安全管理。
第四條???????? 系統(tǒng)服務器和網絡設備管理方法：
（一）? 服務器和各網絡設備的放置詳見《機房管理細則》第五條的第三項；
（二）? 非集團指定系統(tǒng)管理員，未經批準不得對服務器和各網絡設備進行硬件維護、軟件安裝卸載等操作；
（三）? 保證服務器和各網絡設備24小時不間斷正常工作，不得在服務器專用電路上加載其它用電設備；
（四）? 非工作需要，內網服務器嚴禁直接接入因特網，并安裝好殺毒軟件，做好病毒防范，杜絕病毒感染。
第五條? 業(yè)務軟件系統(tǒng)信息安全：
（一）?? 帳戶申請：對符合開通帳戶的申請人，根據(jù)權責對軟件所負責管理的職能歸屬部門進行申請，經該主責部門同意后，轉信息管理部系統(tǒng)管理員處備案；
（二）?? 帳戶刪除：對于離職人員，在辦理工作交接時。由離職人員的主管通過辦公平臺向業(yè)務軟件主責部門提交刪除離職人員相關業(yè)務軟件帳戶的申請。經該主責部門同意后，轉信息管理部系統(tǒng)管理員處備案；
（三）?? 操作人員應該嚴格保密帳戶信息，如因故意或過失造成信息泄漏的，將根據(jù)《員工獎懲管理細則》追究其相關責任；
（四）?? 系統(tǒng)管理人員應熟悉并嚴格監(jiān)督數(shù)據(jù)庫使用權限、用戶密碼使用情況，適時更換、更新用戶帳號或密碼。
第六條? 網絡信息安全：
（一）?? 系統(tǒng)管理員要主動對網絡系統(tǒng)實行監(jiān)控、查詢，及時對故障進行有效隔離、排除和恢復工作，以防災難性網絡風暴發(fā)生；
（二）?? 網絡系統(tǒng)所有設備的配置、安裝、調試必須由系統(tǒng)管理員負責，其它人員不得隨意拆卸和移動；
（三）?? 所有上網操作人員必須嚴格遵守計算機及其它相關設備的操作規(guī)程，禁止其它人員進行與系統(tǒng)操作無關的工作；
（四）?? 在管理員還沒有有效解決網絡安全（未安裝防火墻、殺毒軟件）的情況下，內外網獨立運行，所有終端內外網不能混接，嚴禁外網用戶通過u盤等存貯介質拷貝文件到內網終端。
第七條? 資料備份工作方法：
（一）?? 數(shù)據(jù)備份關系到整個集團信息化管理系統(tǒng)的正常運轉，影響到集團正常的運營秩序，必須嚴格執(zhí)行；
（二）?? 數(shù)據(jù)庫服務器每周日做一次數(shù)據(jù)備份；
（三）?? 備份的數(shù)據(jù)存儲于專門的硬盤內，備份必需以覆蓋的形式存儲，確保數(shù)據(jù)不會遺漏；
（四）?? 所有重要數(shù)據(jù)、信息化管理系統(tǒng)源程序要刻錄成光盤存盤；
（五）?? 若遇重大程序更新、修改，必須在程序更新、修改前要做好數(shù)據(jù)的備份工作；
（六）?? 上傳到集團網站上提供給查詢的數(shù)據(jù)必須每日定時更新，確保查詢數(shù)據(jù)的準確性；
（七）?? 系統(tǒng)管理員若遇重大程序更新、修改，必須填寫工作日志；
（八）?? 非共享的文件不能設置成網絡共享，提供共享使用的文檔必須設置相應權限，由于沒有安全設置相應權限而造成本單位數(shù)據(jù)丟失的情況，后果自負。
第八條? 管理員有權制止一切違反安全管理的行為。
第九條? 本細則的解釋權屬于運營管理中心信息管理部。
第十條? 本細則由運營管理中心信息管理部進行起草與修訂，由總裁辦公會審核，執(zhí)行總裁批準后發(fā)布。
第十一條? 本細則自發(fā)布之日起生效，集團原有相關規(guī)定、通知、辦法等同時廢止。
第9篇 網絡與信息安全管理組織機構設置及工作職責
1：總則
1.1為規(guī)范北京愛迪通聯(lián)科技有限公司（以下簡稱“公司”）信息安全管理工作，建立自上而下的信息安全工作管理體系，需建立健全相應的組織管理體系，以推動信息安全工作的開展。
2：范圍
本管理辦法適用于公司的信息安全組織機構和重要崗位的管理。
3：規(guī)范性引用文件
下列文件中的條款通過本標準的引用而成為本標準的條款。凡注明日期的應用文件，其隨后的所有的修改單或修訂版均不適用于本標準（不包括勘誤、通知單），然而，鼓勵根據(jù)本標準達成協(xié)議的各方研究是否可以使用這些文件的最新版本。凡未注日期的引用文件，其最新版本適用于本標準
《信息安全技術 信息系統(tǒng)安全保障評估框架》（gb/t 20274.1-2006）
《信息安全技術 信息系統(tǒng)安全管理要求》（gb/t 20269-2006）
《信息安全技術 信息系統(tǒng)安全等級保護基本要求》（gb/t 22239-2008）
4：組織機構
4.1 公司成立信息安全領導小組，是信息安全的最高決策機構，下設辦公室，負責信息安全領導小組的日常事務。
4.2 信息安全領導小組負責研究重大事件，落實方針政策和制定總體策略等。職責主要包括：
根據(jù)國家和行業(yè)有關信息安全的策略、法律和法規(guī)，批準公司信息安全總體策略規(guī)劃、管理規(guī)范和技術標準；
確定公司信息安全各有關部門工作職責，知道、監(jiān)督信息安全工作。
4．3 信息安全領導小組下設兩個工作組：信息安全工作組、應急處理工作組。組長均由公司負責人擔任。
4.4信息安全工作組的主要職責包括：
4.4.1 貫徹執(zhí)行公司信息安全領導小組的決議，協(xié)調和規(guī)范公司信息安全工作；
4.4.2 根據(jù)信息安全領導小組的工作部署，對信息安全工作進行具體安排、落實；
4.4.3 組織對重大的信息安全工作制度和技術操作策略進行審查，擬定信息安全總體策略規(guī)劃，并監(jiān)督執(zhí)行；
4.4.4 負責協(xié)調、督促各職能部門和有關單位的信息安全工作，參與信息系統(tǒng)工程建設中的安全規(guī)劃，監(jiān)督安全措施的執(zhí)行；
4.4.5 組織信息安全工作檢查，分析信息安全總體狀況，提出分析報告和安全風險的防范對策；
4.4.6 負責接收各單位的緊急信息安全事件報告，組織進行時間調查，分析原因、涉及范圍，并評估安全事件的嚴重程度，提出信息安全時間防范措施；
4.4.7 及時向信息安全工作領導小組和上級有關部門、單位報告信息安全時間。
4.4.8 跟蹤先進的信息安全技術，組織信息安全知識的培訓和宣傳工作。
4.5應急處理工作組的主要職責包括：
4.5.1 審定公司網絡與信息系統(tǒng)的安全應急策略及應急預案；
4.5.2 決定相應應急預案的啟動，負責現(xiàn)場指揮，并組織相關人員排除故障，恢復系統(tǒng)；
4.5.3 每年組織對信息安全應急策略和應急預案進行測試和演練。
4.6 公司應指定分管信息的領導負責本單位信息安全管理，并配備信息安全技術人員，有條件的應設置信息安全工作小組或辦公室，對公司信息安全領導小組和工作小組負責，落實本單位信息安全工作和應急處理工作。
5： 關鍵崗位
5.1 設置信息系統(tǒng)的關鍵崗位并加強管理，配備系統(tǒng)管理員、網絡管理員、應用開發(fā)管理員、安全審計員、安全保密管理員要求無人各自獨立。要害崗位人員必須嚴格遵守保密法規(guī)和有關信息安全的管理規(guī)定。
5.2 系統(tǒng)管理員主要職責有：
5.2.1負責系統(tǒng)的運行管理，實施系統(tǒng)安全運行細則；
5.2.2嚴格用戶權限管理，維護系統(tǒng)安全正常運行；
5.2.3認真記錄系統(tǒng)安全事項，及時向信息安全人員報告安全事件；
5.2.4對進行系統(tǒng)操作的其他人員予以安全監(jiān)督。
5.3網絡管理員的主要職責有：
5.3.1負責網絡的運行管理，實施網絡安全策略和安全云心細則；
5.3.2安全配置網絡參數(shù)，嚴格控制網絡用戶訪問權限，維護網絡安全正常運行；
5．3.3監(jiān)控網絡關鍵設備、網絡端口、網絡物理線路，防范黑客入侵，及時向信息安全人員報告安全事件；
5.3.4對操作網絡管理功能的其他人員進行安全監(jiān)督。
5.4應用開發(fā)管理員主要職責有：
5．4.1負責在系統(tǒng)開發(fā)建設中，嚴格執(zhí)行系統(tǒng)安全策略，保證系統(tǒng)安全功能的準確實現(xiàn)；
5.4.2系統(tǒng)投產運行前，完整移交系統(tǒng)相關的安全策略等資料；
5.4.3不得對系統(tǒng)設置“后門”；
5.4.4對系統(tǒng)核心技術保密等。
5.5安全審計員負責對設計系統(tǒng)安全的事件和各類操作人員的行為進行審計和監(jiān)督，主要職能包括：
5.5.1按操作員證書號進行審計；
5.5.2按操作時間審計；
5.5.3按操作類型審計；
5.5.4事件類型進行審計；
5.5.5日志管理等。
5.6安全保密管理員負責日常安全保密管理活動，主要職責有：
5.6.1監(jiān)視全網運行和安全告警信息
5.6.2網絡審計信息的常規(guī)分析
5.6.3安全設備的常規(guī)設置和維護
5.6.4執(zhí)行應急中心指定的具體安全策略
5.6.5向應急管理機構和領導機構報告重大的網絡安全時間等。
6 附則
6.1本辦法由公司科技部負責解釋。
6.2本辦法自發(fā)布之日起實施。
第10篇 信息部:職業(yè)健康安全管理職責
(1)負責組織對本單位的危險源、環(huán)境因素進行辨識、評價、更新和學習,并制定措施或管理方案加以控制。
(2)負責對本部門員工進行環(huán)境職業(yè)健康安全知識的教育和培訓,不斷提高本部門員工的環(huán)保和安全意識。
(3)確保公司信息管理系統(tǒng)安全穩(wěn)定運行,為公司各單位/部門在環(huán)境職業(yè)健康安全管理方面提供所需的信息,確保信息安全和財產安全。
(4)負責公司信息管理系統(tǒng)相關硬件設備的管理,硬件設備廢棄要按公司廢物處理的相關規(guī)定進行。
(5)認真履行環(huán)境職業(yè)健康安全管理體系文件內規(guī)定的本部門的各項具體工作。
第11篇 南方醫(yī)院信息與網絡安全保護管理規(guī)定
大學附屬醫(yī)院信息與網絡安全保護管理規(guī)定
第一章 總則
第一條 為了加強對醫(yī)院信息網絡系統(tǒng)的安全保護,促進醫(yī)院信息網絡的應用和發(fā)展,保障醫(yī)院信息網絡系統(tǒng)有序運行,根據(jù)《中華人民共和國計算機信息系統(tǒng)安全保護條 例》、《中華人民共和國計算機信息網絡國際互聯(lián)網管理暫行規(guī)定》、《廣東省計算機信息系統(tǒng)安全保護管理規(guī)定》、《廣東省計算機信息系統(tǒng)安全保護管理規(guī)定實施細則(試行)》和有關法律、法規(guī),結合醫(yī)院實際,制定本規(guī)定。
第二條 本規(guī)定所指的信息網絡系統(tǒng),是指在醫(yī)院信息系統(tǒng)中,由計算機及其相關配套的設備、設施構成,按照系統(tǒng)應用目標和規(guī)定對醫(yī)院信息進行采集、存儲、傳輸、檢索、匯總、加工等處理的人機系統(tǒng)。
第三條 醫(yī)院信息網絡系統(tǒng)管理及安全保護,是為了保障醫(yī)院信息管理系統(tǒng)功能的正常發(fā)揮,保障運行環(huán)境和信息的安全,以維護信息網絡系統(tǒng)的安全運行。
第四條 本規(guī)定適用于醫(yī)院全部上網運行的計算機。
第五條 本規(guī)定適用于全院應用“zz一院信息系統(tǒng)”的所有科室和個人。
第六條 任何科室或者個人不得利用上網計算機從事危害醫(yī)院利益的活動,不得危害醫(yī)院信息網絡系統(tǒng)的安全。
第二章 安全監(jiān)督
第七條 醫(yī)院信息網絡系統(tǒng)的組織管理機構是醫(yī)院信息網絡管理領導小組(簡稱領導小組)。
㈠領導小組由下列人員組成:
組長:院長或主管副院長
副組長:業(yè)務副院長或職能機關領導
成員:院長辦公室主任、醫(yī)務處處長、護理部主任、藥學部主任、信息網絡科科長、醫(yī)務處主管醫(yī)療工作人員和護理部主管護理工作人員各1名、計算機工程技術人員若干名。
㈡領導小組的主要職能和任務:
1、制定醫(yī)院信息系統(tǒng)建設和應用總體規(guī)劃及階段實施計劃,審查和制定系統(tǒng)應用中的工作流程、技術規(guī)范、性能指標、有關人員職責和規(guī)章制度。
2、協(xié)調解決工程實施和系統(tǒng)應用中的重大問題。
3、組織安排系統(tǒng)建設和應用中的重要活動,如網絡管理、系統(tǒng)配置、人員培訓等。
4、緊急情況下,領導小組可以采取特別措施以維護醫(yī)院信息網絡系統(tǒng)安全。
第八條 信息網絡科是系統(tǒng)建設、應用組織的主要負責部門,是系統(tǒng)運行的保障者,應對所屬人員實行分工負責。信息網絡科應對醫(yī)院信息網絡系統(tǒng)的安全策略和解決方案作出規(guī)劃并組織實施。信息網絡科對信息網絡系統(tǒng)安全保護工作行使下列職責:
1、監(jiān)督、檢查、指導信息網絡系統(tǒng)安全維護工作;
2、查處危害信息網絡系統(tǒng)安全的違章行為;
3、履行信息網絡系統(tǒng)安全工作的其他監(jiān)督職責。
第九條 計算機工程技術人員全面負責信息網絡系統(tǒng)的規(guī)劃、設計、配置,負責系統(tǒng)的調試、維護、安全管理、人員培訓等具體實施工作。
計算機工程技術人員發(fā)現(xiàn)影響信息網絡系統(tǒng)安全的隱患時,可立即采取各種有效措施予以制止。
計算機工程技術人員在緊急情況下,可以就涉及信息網絡系統(tǒng)安全的特定事項采取特殊措施進行防范。
第三章 安全保護管理
第十條 任何科室和個人不得利用醫(yī)院信息網絡系統(tǒng)制作、復制、傳播和查閱以下信息:
㈠煽動抗拒、破壞憲法和法律、法規(guī)的實施的;
㈡煽動顛覆國家政權,推翻社會主義制度的;
㈢煽動分裂國家、破壞國家統(tǒng)一的;
㈣煽動民族仇恨、民族歧視,破壞民族團結的;
㈤捏造或者歪曲事實,散布謠言,擾亂社會秩序的;
㈥宣揚封建迷信、淫穢、色情、賭博、暴力、兇殺、恐怖,教唆犯罪的;
㈦公然侮辱他人或者捏造事實誹謗他人的;
㈧損害國家機關信譽的;
㈨其他違反憲法和法律、行政法規(guī)的。
第十一條 任何科室和個人不得從事下列危害醫(yī)院信息網絡系統(tǒng)安全的活動:
㈠未經允許,進入醫(yī)院信息網絡系統(tǒng)或者使用信息網絡系統(tǒng)資源的;
㈡未經允許,對信息網絡系統(tǒng)功能進行刪除、修改或者增加的;
㈢未經允許,對信息網絡系統(tǒng)中存儲、處理或者傳輸?shù)臄?shù)據(jù)和應用程序進行刪除、修改或者增加的;
㈣未經允許,擅自盜取醫(yī)院相關數(shù)據(jù)或程序代碼的;
㈤故意制作、傳播計算機病毒等破壞性程序的;
㈥其他危害信息網絡系統(tǒng)安全的。
第十二條 信息網絡系統(tǒng)的安全保護
㈠信息網絡系統(tǒng)的建設和應用,應遵守上級主管機關頒發(fā)的行政法規(guī)、用戶手冊和其他有關規(guī)定。
㈡信息網絡系統(tǒng)實行安全等級保護和用戶使用權限劃分,所有訪問信息網絡系統(tǒng)的人員必須按程序報審。
㈢信息網絡系統(tǒng)中心機房應符合國家標準和國家規(guī)定,由信息網絡科作好日常清潔及防干擾工作。
㈣在信息網絡系統(tǒng)設施附近進行房屋維修、改造及其他活動,不得危害信息網絡系統(tǒng)的安全。如無法避免而影響信息網絡系統(tǒng)設施安全的作業(yè),須事先通知信息網絡科,經負責人同意并采取保護措施后,方可實施作業(yè)。
㈤信息網絡系統(tǒng)的使用科室和個人都必須遵守計算機安全使用規(guī)定,以及有關的操作規(guī)程和規(guī)章制度。
㈥對信息網絡系統(tǒng)中發(fā)生的問題,使用科室應立即上報信息網絡科。
對計算機病毒和其他危害信息網絡系統(tǒng)安全的數(shù)據(jù)信息的防治工作,由信息網絡科負責處理。
㈧對信息網絡系統(tǒng)軟件、設備、設施的安裝、調試以及故障排除等項操作由計算機工程技術人員負責。其他任何科室或個人不得自行拆卸、安裝任何軟、硬件設施。
㈨在醫(yī)院信息網絡系統(tǒng)未與外網連接之前,所有連接醫(yī)院信息系統(tǒng)的計算機絕對禁止連接internet網或其他公共網絡。
所有科室及個人不得使用非醫(yī)院指定計算機連接醫(yī)院信息網絡。
(十一)任何科室和個人不得私自架設無線網絡設備和基站。
第十三條 網絡的技術管理
㈠計算機工程技術人員是信息網絡系統(tǒng)技術管理的直接責任者,應以實現(xiàn)系統(tǒng)功能為目的,以滿足用戶需求為宗旨,對網絡系統(tǒng)的操作和維護進行管理。
㈡網絡內各類設備的配置,由系統(tǒng)負責人提出配置規(guī)劃和計劃,報有關領導審批后實施。
㈢每一子系統(tǒng)或掛接的可執(zhí)行程序在上網運行前,計算機工程技術人員必須嚴格按照功能要求在備用服務器上進行全面調試,達到功能要求且排除一切可能的數(shù)據(jù)沖突后交用戶實際上網使用。
計算機
工程技術人員實行分工負責制。信息網絡系統(tǒng)的各種設備由信息網絡科負責人管理或指定專人負責。
㈤系統(tǒng)管理員或機房值班人員負責網絡服務器的數(shù)據(jù)備份和日常工作。
㈥系統(tǒng)負責人全面負責技術支持和運行保障工作,出現(xiàn)技術問題或故障時,應組織技術力量在最短時間內處理。
第十四條 工作站管理
㈠網絡工作站作為信息網絡系統(tǒng)專用設備,使用科室、個人不得擅自在終端機上裝載其他軟件和移動存儲設備如3.5”軟盤或優(yōu)盤等。
㈡各工作站所有使用人員必須嚴格遵守《新his系統(tǒng)工作站用戶手冊》所規(guī)范的各項操作規(guī)程以及有關計算機管理制度,嚴格按照計算機操作使用規(guī)程進行操作。
㈢各工作站配置的計算機、打印機等設備須指定專人使用、保管和維護,轉交他人保管時需嚴格辦理交接手續(xù)。使用人必須保持各種網絡設備、設施整潔干凈,并認真做好網絡設備的日清月檢,使網絡設備始終處于良好的工作狀態(tài)。
㈣加強設備定位定人管理,未經信息網絡科允許,不得隨意挪動、拆卸和外借所有網絡設備、設施。
不得擅自裝載、卸載和變更計算機網絡設置。
各工作站周圍嚴禁存放易燃、易爆、易腐蝕及強磁性物品,做好放火、防盜措施。
各工作站使用科室必須按程序報審本科室的操作人員名單,如操作人員有變動應及時上網調整,或上報信息網絡科予以變更。
操作人員應嚴格保密個人密碼,嚴禁泄漏、外借密碼;個人秘密必須在第一次使用時進行修改,經信息科檢查發(fā)現(xiàn)超過三個月未修改的,將暫時取消相應的操作權限,操作人員憑個人身份證明到信息科修改后方可繼續(xù)使用。
嚴禁無關人員上機操作或進行其他影響系統(tǒng)正常運行的工作。
嚴格交接班制度,工作中遇到問題要及時報告。
(十一)使用時如發(fā)現(xiàn)運行故障,要及時上報信息網絡科。
第四章 罰則
第十五條 任何科室或個人利用網絡從事危害國家安全的活動,違反刑法的,依法交相關國家機關,依照有關法律法規(guī)予以處罰。
第十六條 違反本規(guī)定,有以下行為之一的,由計算機工程技術人員以口頭或書面形式進行警告:
㈠違反信息網絡系統(tǒng)安全保護制度,危害網絡系統(tǒng)安全的;
㈡接到計算機工程技術人員要求改進安全狀況的通知后,拒不改進的;
擅自安裝、拆卸軟、硬件設備的;
㈣擅自更改網絡設置的;
㈤發(fā)現(xiàn)信息網絡系統(tǒng)出現(xiàn)問題不立即報告的;
㈥有危害信息網絡系統(tǒng)安全的其他行為。
第十七條 違反本規(guī)定,有下列行為之一的,全院通報批評并處予扣發(fā)酬金100-500元:
㈠在工作站進行與醫(yī)院信息網絡系統(tǒng)無關操作而造成危害的;
㈡私自拆卸、更改網絡設備而造成危害的;
㈢向他人泄露帳號密碼而造成不良后果的。
第十八條 利用終端設備進行與信息系統(tǒng)無關的操作,導致病毒侵襲而造成下列損害之一的,全院通報批評并處以以下經濟處罰:
㈠造成設備損害的,原價賠償;
㈡造成工作站系統(tǒng)破壞的,扣發(fā)酬金1-3個月,并賠償全部修復費用;
㈢造成網絡部分或全部癱瘓的,處予嚴厲的行政處分,造成的經濟損失由個人承擔40%,科室承擔60%。
第十九條 因以下行為對醫(yī)院信息系統(tǒng)的運行造成下列后果之一的,由醫(yī)院給予以下處罰:
㈠下發(fā)的計算機、打印機等設備由所屬科室負責管理,對由于責任心不強而造成計算機、打印機被盜或損壞者,原價賠償。
㈡由于操作者違章操作,造成計算機軟、硬件故障,而影響醫(yī)院信息網絡系統(tǒng)的正常運行者,扣發(fā)酬金1-3個月,情節(jié)特別嚴重的追究科室負責人的領導責任。
㈢對因違章操作造成系統(tǒng)數(shù)據(jù)丟失、核算錯誤,給醫(yī)院造成重大經濟損失的,個人承擔損失費用的40%,科室承擔60%。
㈣私自添加、刪除計算機保存內容;私自更改計算機的各種文件配置;私自更改本信息網絡系統(tǒng)應用程序以及參數(shù)設置,未造成重大技術事故和經濟損失者,扣發(fā)酬金1-3個月。造成重大技術事故和經濟損失者,造成的經濟損失由個人承擔40%,科室承擔60%。
第二十條 在網絡系統(tǒng)設備、設施附近作業(yè)而危害網絡系統(tǒng)安全,影響網絡正常運行造成經濟損失的,由作業(yè)科室賠償;造成醫(yī)院財產嚴重損失的,追究其民事責任。
第二十一條 對于其它違反本規(guī)定的行為,由醫(yī)院信息網絡管理領導小組按有關管理辦法進行處罰。
第五章 附則
第二十二條 本規(guī)定由信息網絡科負責解釋。
第12篇 涉密計算機及信息系統(tǒng)安全和保密管理辦法
第一條 為加強公司涉密計算機及涉密計算機信息系統(tǒng)的安全保密管理，根據(jù)國家有關保密法規(guī)和鐵道部的有關規(guī)定，結合哈佳鐵路客運專線有限責任公司（以下簡稱“公司”）實際，制定本辦法。
第二條 本辦法所稱的涉密計算機，是指專門用于處理或存儲國家秘密信息、收發(fā)文電、連接互聯(lián)網的臺式計算機；涉密計算機信息系統(tǒng)，是指專門用于處理國家秘密信息的計算機信息系統(tǒng)。
第三條 為確保國家秘密、公司工程項目相關技術資料的安全，公司各部門或個人不得使用便攜式計算機處理國家秘密信息。
第四條 公司設保密領導小組，具體負責公司內部的涉密計算機及信息系統(tǒng)的安全保密管理工作，日常保密管理、監(jiān)督職責如下：
（一）審查、選定專人分別作為涉密計算機信息及信息系統(tǒng)的系統(tǒng)管理員、安全保密管理員和密鑰口令管理員，要求職責清晰，分工明確。
（二）定期對涉密計算機、涉密計算機信息系統(tǒng)以及涉密移動存儲介質的使用、保管情況進行安全保密檢查，及時消除隱患。
（三）加強對有關人員的安全保密教育，建立健全保密規(guī)章制度，完善各項保密防范措施。
第五條? 涉密計算機日常管理人員是涉密計算機安全保密的責任人，其日常保密管理監(jiān)督職責如下：
（一）對計算機及軟件安裝情況進行登記備案，定期核查。
（二）設置開機口令，長度在8個字符以上，并定期更換，防止他人盜用和破譯。
（三）不得安裝、運行、使用與工作無關的軟件。
（四）應在涉密計算機的顯著位置進行標識，不得讓其他無關人員使用涉密計算機。
（五）未安裝隔離卡的涉密計算機單機，管理人員應拆除網卡，嚴禁涉密計算機上網；已安裝隔離卡的涉密計算機應嚴格按照正確方法使用，嚴禁他人在外網上處理（即打開、查看、拷貝、傳遞涉密文件）和存儲任何涉密信息；嚴禁他人在外網上使用涉密移動存儲介質。
（六）定期做好涉密計算機的病毒查殺、防治和系統(tǒng)升級工作，及時進行數(shù)據(jù)備份，防止涉密信息的意外丟失。
第六條 涉密計算機信息系統(tǒng)的管理人員由系統(tǒng)管理員、安全保密管理員和密鑰口令管理員組成，具體職責如下：
（一）系統(tǒng)管理員負責涉密計算機信息系統(tǒng)的登錄權限分配、訪問控制和日常維護及修理，保證系統(tǒng)和單機的正常運行。定期開展涉密計算機信息系統(tǒng)重要數(shù)據(jù)的備份工作，防止因系統(tǒng)的損壞或意外造成的數(shù)據(jù)丟失。
（二）安全保密管理員負責涉密計算機信息系統(tǒng)的病毒防治、安全審計等工作，并負責對系統(tǒng)的運行進行安全保密監(jiān)視。
（三）密鑰口令管理員負責定期更換并管理系統(tǒng)登錄口令、開機密碼及部分重要程序和文件的密鑰，保證口令和密鑰的安全。對集中產生的涉密計算機信息系統(tǒng)口令，應定期分發(fā)并更改，不得由用戶自行產生。處理秘密級信息的系統(tǒng)，口令長度不得少于8個字符，口令更換周期不得超過一個月；處理機密級信息的系統(tǒng)，口令長度不得少于10個字符，口令更改周期不得超過一周?？诹畋仨毤用艽鎯Γ诹钤诰W絡中必須加密傳輸，口令的存放載體必須保證物理安全。
第七條 涉密計算機信息系統(tǒng)實行“同步建設、嚴格審批、注重防范、規(guī)范管理”的保密管理原則。
第八條 涉密計算機及信息系統(tǒng)所在的場所，必須采取必要的安全防護措施，安裝防盜門窗和報警器，并指定專人進行日常管理，嚴禁無關人員進入該場所。
第九條 涉密計算機及信息系統(tǒng)不得直接或間接與國際互聯(lián)網連接，必須實行嚴格的物理隔離，并采取相應的防電磁信息泄漏的保密措施。
第十條 涉密計算機按所存儲和處理的涉密信息的最高密級進行標識；對涉密計算機信息系統(tǒng)的服務器，應按本系統(tǒng)所存儲和處理的涉密信息的最高級別進行標識。
第十一條 涉密計算機中的涉密信息應有相應的密級標識，密級標識不能與正文分離。對圖形、程序等首頁無法標注的，應標注在文件名后。打印輸出的涉密文件、資料，應按相應的密級文件進行管理。
第十二條 涉密計算機的維修或銷毀一般應由公司人員在本公司內部進行，并應確保秘密信息在維修、銷毀過程中不被泄露。公司不具備自行維修、銷毀條件的，應報公司主管領導批準，委托保密部門認定的定點單位進行維修或銷毀。銷毀涉密存儲介質，應采用物理或化學的方法徹底銷毀。
第十三條 對于違反本辦法的有關人員，應給予批評教育，責令其限期整改；造成泄密的，公司將根據(jù)有關保密法規(guī)進行查處，追究有關人員泄密責任。
第十四條 本辦法由公司保密委員會負責解釋。
第十五條? 本辦法自發(fā)布之日起執(zhí)行。
第13篇 數(shù)字化礦山安全信息管理系統(tǒng)
數(shù)字化礦山安全監(jiān)控系統(tǒng)為集團公司領導及安全管理部門提供了高效、穩(wěn)定、快捷的瓦斯實時監(jiān)測數(shù)據(jù)，公司領導在辦公室、會議室可以隨時查詢各礦井瓦斯、通風、井下風速、風量的實時數(shù)據(jù)，各相關領導隨時根據(jù)所掌握的情況，制定可行的安全生產對策，系統(tǒng)同時還可以查詢礦井瓦斯綜合報表、瓦斯變化分析曲線、井下傳感器動態(tài)示意圖、礦山地質圖形、地質儲量三維立體圖形查、井下巷道公布圖，并實現(xiàn)了風機視頻監(jiān)控等各項功能，做到了礦井安全監(jiān)控縱向到底、橫向到邊、信息準確、反應靈敏。七煤集團數(shù)字化礦山安全監(jiān)測系統(tǒng)，公開了井下瓦斯變化的全過程，為安全生產的科學決策，提供了信息支持，實現(xiàn)了礦井瓦斯重點排查跟蹤、重大安全隱患排查跟蹤，系統(tǒng)功能包括：
1、數(shù)字化礦山瓦斯監(jiān)測監(jiān)控管理信息系統(tǒng)
2、礦井風機監(jiān)控管理信息系統(tǒng)
3、井下巷道風流、風速、風量實時監(jiān)測管理系統(tǒng)
4、gis網絡數(shù)字煤礦安監(jiān)管信息系統(tǒng)、
5、gis網站煤炭安全隱患排查信息系統(tǒng)、
6、礦山地質圖形管理信息系統(tǒng)
系統(tǒng)地提供了完備的安全監(jiān)測與信息管理，建立了煤礦信息基本數(shù)據(jù)庫，對通風系統(tǒng)圖、采掘工程平面圖、井下運輸系統(tǒng)圖等實現(xiàn)了動態(tài)網絡監(jiān)測，實現(xiàn)了礦井通風安全多級監(jiān)管、統(tǒng)一監(jiān)測的目的，使集團公司安全管理更加科學化、規(guī)范化、系統(tǒng)化。
數(shù)字化礦山安全監(jiān)控系統(tǒng)為集團公司領導及安全管理部門提供了高效、穩(wěn)定、快捷的礦井環(huán)境實時監(jiān)測數(shù)據(jù)，公司各級領導及管理人員可隨時查詢各礦井瓦斯、溫度、一氧、負壓、粉塵、井下風速、風量的實時數(shù)據(jù)信息，根據(jù)所掌握的情況，制定可行的安全生產指揮策略，系統(tǒng)支持礦井瓦斯變化分析曲線、井下傳感器動態(tài)示意圖、礦山地質圖形、地質儲量三維立體圖形查詢、礦井圖，做到了礦井環(huán)境安全監(jiān)控縱向到底、橫向到邊、信息準確，為礦井安全生產提供了保障。
第14篇 信息系統(tǒng)密碼安全管理辦法
1.1制定目的
(1) 規(guī)范公司信息系統(tǒng)密碼管理。
(2) 確保網絡安全運行,保護信息系統(tǒng)、服務器不受侵害。
1.2適用范圍
凡隸屬本公司信息系統(tǒng)用戶,悉依照本辦法所規(guī)范之體制管理。
1.3權責單位
(1) 信息科負責本辦法制定、修改、廢止之起草工作。
(2) 總經理負責本辦法、修改、廢止之核準。
2 信息系統(tǒng)密碼安全管理辦法
(1) 服務器、應用系統(tǒng)賬號和密碼要專人專管不得轉借他人使用。為了避免賬號被盜,密碼不定期更換,建議密碼長度不少于6位,建議數(shù)字與密碼組合使用。
(2) 如果用戶密碼忘記,需用戶本人親自申請恢復密碼。
(3) 擁有新賬戶的員工,需盡快修改初始密碼,防止賬號被盜用。
(4) 服務器和服務器數(shù)據(jù)庫超級用戶必須設置密碼,系統(tǒng)管理員嚴格保管數(shù)據(jù)庫和服務器的登錄密碼。
(5) 服務器和數(shù)據(jù)庫的超級用戶密碼設置位數(shù)必須大于10位。除數(shù)據(jù)庫的超級用戶密碼和服務器密碼不定期更換,其他密碼由信息中心工程師定期更換,操作時間為每月1號,并在信息總監(jiān)處以電子形式留有備份,提交備份時間為每月1號。 密碼類型 密碼長度 更換時間 服務器超級用戶密碼 大于10位 兩個月更換一次 數(shù)據(jù)庫超級用戶密碼 大于10位 設置好后不做更換 系統(tǒng)管理員密碼 大于6位 一個月更換一次 ftp及防火墻等管理員密碼 大于6位 一個月更換一次
(6) 機房工作人員應嚴格執(zhí)行密碼管理規(guī)定,對操作密碼定期更改,任何密碼不得外泄,如有因密碼外泄而造成各種損失的,由當事人負全部責任。
2022-2-1
第15篇 數(shù)據(jù)中心信息安全管理及管控要求
隨著在世界范圍內,信息化水平的不斷發(fā)展,數(shù)據(jù)中心的信息安全逐漸成為人們關注的焦點,世界范圍內的各個機構、組織、個人都在探尋如何保障信息安全的問題。英國、美國、挪威、瑞典、芬蘭、澳大利亞等國均制定了有關信息安全的本國標準,國際標準化組織(iso)也發(fā)布了iso17799、iso13335、iso15408等與信息安全相關的國際標準及技術報告。目前,在信息安全管理方面,英國標準iso27000:2005已經成為世界上應用最廣泛與典型的信息安全管理標準,它是在bsi/disc的bdd/2信息安全管理委員會指導下制定完成。
iso27001標準于1993年由英國貿易工業(yè)部立項,于1995年英國首次出版bs 7799-1:1995《信息安全管理實施細則》,它提供了一套綜合的、由信息安全最佳慣例組成的實施規(guī)則,其目的是作為確定工商業(yè)信息系統(tǒng)在大多數(shù)情況所需控制范圍的唯一參考基準,并且適用于大、中、小組織。1998年英國公布標準的第二部分《信息安全管理體系規(guī)范》,它規(guī)定信息安全管理體系要求與信息安全控制要求,它是一個組織的全面或部分信息安全管理體系評估的基礎,它可以作為一個正式認證方案的根據(jù)。iso27000-1與iso27000-2經過修訂于1999年重新予以發(fā)布,1999版考慮了信息處理技術,尤其是在網絡和通信領域應用的近期發(fā)展,同時還非常強調了商務涉及的信息安全及信息安全的責任。2000年12月,iso27000-1:1999《信息安全管理實施細則》通過了國際標準化組織iso的認可,正式成為國際標準iso/iec17799-1:2000《信息技術-信息安全管理實施細則》。2002年9月5日,iso27000-2:2002草案經過廣泛的討論之后,終于發(fā)布成為正式標準,同時iso27000-2:1999被廢止?，F(xiàn)在,iso27000:2005標準已得到了很多國家的認可,是國際上具有代表性的信息安全管理體系標準。許多國家的政府機構、銀行、證券、保險公司、電信運營商、網絡公司及許多跨國公司已采用了此標準對信息安全進行系統(tǒng)的管理,數(shù)據(jù)中心(idc)應逐步建立并完善標準化的信息安全管理體系。
一、 數(shù)據(jù)中心信息安全管理總體要求
1、信息安全管理架構與人員能力要求
1.1信息安全管理架構
idc在當前管理組織架構基礎上,建立信息安全管理委員會,涵蓋信息安全管理、應急響應、審計、技術實施等不同職責,并保證職責清晰與分離,并形成文件。
1.2人員能力
具備標準化 信息安全管理體系內部審核員、cisp(certified information security professional,國家注冊信息安全專家)等相關資質人員。5星級idc至少應具備一名合格的標準化信息安全管理內部審核員、一名標準化 主任審核員。4星級idc至少應至少具備一名合格的標準化信息安全管理內部審核員
2、信息安全管理體系文件要求,根據(jù)idc業(yè)務目標與當前實際情況,建立完善而分層次的idc信息安全管理體系及相應的文檔,包含但不限于如下方面:
2.1信息安全管理體系方針文件
包括idc信息安全管理體系的范圍,信息安全的目標框架、信息安全工作的總方向和原則,并考慮idc業(yè)務需求、國家法律法規(guī)的要求、客戶以及合同要求。
2.2風險評估
內容包括如下流程:識別idc業(yè)務范圍內的信息資產及其責任人;識別資產所面臨的威脅;識別可能被威脅利用的脆弱點;識別資產保密性、完整性和可用性的喪失對idc業(yè)務造成的影響;評估由主要威脅和脆弱點導致的idc業(yè)務安全破壞的現(xiàn)實可能性、對資產的影響和當前所實施的控制措施;對風險進行評級。
2.3風險處理
內容包括:與idc管理層確定接受風險的準則,確定可接受的風險級別等;建立可續(xù)的風險處理策略:采用適當?shù)目刂拼胧?、接受風險、避免風險或轉移風險;控制目標和控制措施的選擇和實施,需滿足風險評估和風險處理過程中所識別的安全要求,并在滿足法律法規(guī)、客戶和合同要求的基礎上達到最佳成本效益。
2.4文件與記錄控制
明確文件制定、發(fā)布、批準、評審、更新的流程;確保文件的更改和現(xiàn)行修訂狀態(tài)的標識、版本控制、識別、訪問控制有完善的流程;并對文件資料的傳輸、貯存和最終銷毀明確做出規(guī)范。
記錄控制內容包括:保留信息安全管理體系運行過程執(zhí)行的記錄和所有發(fā)生的與信息安全有關的重大安全事件的記錄;記錄的標識、貯存、保護、檢索、保存期限和處置所需的控制措施應形成文件并實施。
2.5內部審核
idc按照計劃的時間間隔進行內部isms審核,以確定idc的信息安全管理的控制目標、控制措施、過程和程序符標準化標準和相關法律法規(guī)的要求并得到有效地實施和保持。五星級idc應至少每年1次對信息安全管理進行內部審核。四星級idc應至少每年1次對信息安全管理進行內部審核。
2.6糾正與預防措施
idc建立流程,以消除與信息安全管理要求不符合的原因及潛在原因,以防止其發(fā)生,并形成文件的糾正措施與預防措施程序無
2.7控制措施有效性的測量
定義如何測量所選控制措施的有效性;規(guī)定如何使用這些測量措施,對控制措施的有效性進行測量(或評估)。
2.8管理評審
idc管理層按計劃的時間間隔評審內部信息安全管理體系,以確保其持續(xù)的適宜性、充分性和有效性,最終符合idc業(yè)務要求。
五星級idc管理層應至少每年1次對idc的信息安全管理體系進行評審四星級idc管理層應至少每年1次對idc的信息安全管理體系進行評審。
2.9適用性聲明
適用性聲明必須至少包括以下3項內容: idc所選擇的控制目標和控制措施,及其選擇的理由;當前idc實施的控制目標和控制措施;標準化附錄a中任何控制目標和控制措施的刪減,以及刪減的正當性理由。
2.10業(yè)務連續(xù)性
過業(yè)務影響分析,確定idc業(yè)務中哪些是關鍵的業(yè)務進程,分出緊急先后次序; 確定可以導致業(yè)務中斷的主要災難和安全失效、確定它們的影響程度和恢復時間; 進行業(yè)務影響分析,確定恢復業(yè)務所需要的資源和成本,決定對哪些項目制作業(yè)務連續(xù)性計劃(bcp)/災難恢復計劃(drp)。
2.11其它相關程序
另外,還應建立包括物理與環(huán)境安全、信息設備管理、新設施管理、業(yè)務連續(xù)性管理、災難恢復、人員管理、第三方和外包管理、信息資產管理、工作環(huán)境安全管理、介質處理與安全、系統(tǒng)開發(fā)與維護、法律符合性管理、文件及材料控制、安全事件處理等相關流程與制度。
二、信息安全管控要求
1、安全方針
信息安全方針文件與評審建立idc信息安全方針文件需得到管理層批準、發(fā)布并傳達給所有員工和外部相關方。
至少每年一次或當重大變化發(fā)生時進行信息安全方針評審。
2、信息安全組織
2.1 內部組織
2.1.1信息安全協(xié)調、職責與授權
信息安全管理委員會包含idc相關的不同部門的代表;所有的信息安全職責有明確成文的規(guī)定;對新信息處理設施,要有管理授權過程。
2.1.2保密協(xié)議
idc所有員工須簽署保密協(xié)議,保密內容涵蓋idc內部敏感信息;保密協(xié)議條款每年至少評審一次。
2.1.3權威部門與利益相關團體的聯(lián)系
與相關權威部門(包括,公安部門、消防部門和監(jiān)管部門)建立溝通管道;與安全專家組、專業(yè)協(xié)會等相關團體進行溝通。
2.1.4獨立評審
參考“信息安全管理體系要求”第5和第8條關于管理評審、內部審核的要求,進行獨立的評審。
審核員不能審核評審自己的工作;評審結果交管理層審閱。
2.2 外方管理
2.2.1外部第三方的相關風險的識別
將外部第三方(設備維護商、服務商、顧問、外包方臨時人員、實習學生等)對idc信息處理設施或信息納入風險評估過程,考慮內容應包括:需要訪問的信息處理設施、訪問類型(物理、邏輯、網絡)、涉及信息的價值和敏感性,及對業(yè)務運行的關鍵程度、訪問控制等相關因素。
建立外部第三方信息安全管理相關管理制度與流程。
2.2.2客戶有關的安全問題
針對客戶信息資產的保護,根據(jù)合同以及相關法律、法規(guī)要求,進行恰當?shù)谋Ｗo。
2.2.3處理第三方協(xié)議中的安全問題
涉及訪問、處理、交流(或管理)idc及idc客戶的信息或信息處理設施的第三方協(xié)議,需涵蓋所有相關的安全要求。
3、信息資產管理
3.1 資產管理職責
3.1.1資產清單與責任人
idc對所有信息資產度進行識別,將所有重要資產都進行登記、建立清單文件并加以維護。
idc中所有信息和信息處理設施相關重要資產需指定責任人。
3.1.2資產使用
指定信息與信息處理設施使用相關規(guī)則,形成了文件并加以實施。
3.2 信息資產分類
3.2.1資產分類管理
根據(jù)信息資產對idc業(yè)務的價值、法律要求、敏感性和關鍵性進行分類,建立一個信息分類指南。
信息分類指南應涵蓋外來的信息資產,尤其是來自客戶的信息資產。
3.2.2信息的標記和處理
按照idc所采納的分類指南建立和實施一組合適的信息標記和處理程序。
4、人力資源安全
這里的人員包括idc雇員、承包方人員和第三方等相關人員。
4.1信息安全角色與職責
人員職責說明體現(xiàn)信息安全相關角色和要求。
4.2背景調查
人員任職前根據(jù)職責要求和崗位對信息安全的要求,采取必要的背景驗證。
4.3雇用的條款和條件
人員雇傭后,應簽署必要的合同,明確雇傭的條件和條款,并包含信息安全相關要求。
4.4信息安全意識、教育和培訓
入職新員工培訓應包含idc信息安全相關內容。
至少每年一次對人員進行信息安全意識培訓。
4.5安全違紀處理
針對安全違規(guī)的人員,建立正式的紀律處理程序。
4.6雇傭的終止與變更
idc應清晰規(guī)定和分配雇用終止或雇用變更的職責;雇傭協(xié)議終止于變更時,及時收回相關信息資產,并調整或撤銷相關訪問控制權限。
5、物理與環(huán)境安全
5.1 安全區(qū)域
5.1.1邊界安全與出入口控制
根據(jù)邊界內資產的安全要求和風險評估的結果對idc物理區(qū)域進行分區(qū)、分級管理,不同區(qū)域邊界與出入口需建立卡控制的入口或有人管理的接待臺。
入侵檢測與報警系統(tǒng)覆蓋所有門窗和出入口,并定期檢測入侵檢測系統(tǒng)的有效性。
機房大樓應有7×24小時的專業(yè)保安人員,出入大樓需登記或持有通行卡。
機房安全出口不少于兩個,且要保持暢通,不可放置雜物。
5星級idc:出入記錄至少保存6個月,視頻監(jiān)控至少保存1個月。
4星級idc:出入記錄至少保存6個月,視頻監(jiān)控至少保存1個月。
5.1.2 idc機房環(huán)境安全
記錄訪問者進入和離開idc的日期和時間,所有的訪問者要需要經過授權。
建立訪客控制程序,對服務商等外部人員實現(xiàn)有效管控。
所有員工、服務商人員和第三方人員以及所有訪問者進入idc要佩帶某種形式的可視標識,已實現(xiàn)明顯的區(qū)分。外部人員進入idc后,需全程監(jiān)控。
5.1.3防范外部威脅和環(huán)境威脅
idc對火災、洪水、地震、爆炸、社會動蕩和其他形式的自然或人為災難引起的破壞建立足夠的防范控制措施;危險或易燃材料應在遠離idc存放;備份設備和備份介質的存放地點應與idc超過10公里的距離。
機房內應嚴格執(zhí)行消防安全規(guī)定,所有門窗、地板、窗簾、飾物、桌椅、柜子等材料、設施都應采用防火材料。
5.1.4公共訪問區(qū)和交接區(qū)
為了避免未授權訪問,訪問點(如交接區(qū)和未授權人員可以進入的其它地點)需進行適當?shù)陌踩刂?設備貨物交接區(qū)要與信息處理設施隔開。
5.2 設備安全
5.2.1設備安全
設備盡量安置在可減少未授權訪問的適當?shù)攸c;對于處理敏感數(shù)據(jù)的信息處理設施,盡量安置在可限制觀測的位置;對于需要特殊保護的設備,要進行適當隔離;對信息處理設施的運行有負面影響的環(huán)境條件(包括溫度和濕度),要進行實時進行監(jiān)視。
5.2.2支持性設備安全
支持性設施(例如電、供水、排污、加熱/通風和空調等)應定期檢查并適當?shù)臏y試以確保他們的功能,減少由于他們的故障或失效帶來的風險。
實現(xiàn)多路供電,以避免供電的單一故障點。
5.2.3線纜安全
應保證傳輸數(shù)據(jù)或支持信息服務的電源布纜和通信布纜免受竊聽或損壞。
電源電纜要與通信電纜分開;各種線纜能通過標識加以區(qū)分,并對線纜的訪問加以必要的訪問控制。
線纜標簽必須采用防水標簽紙和標簽打印機進行正反面打印(或者打印兩張進行粘貼),標簽長度應保證至少能夠纏繞電纜一圈或一圈半,打印字符必須清晰可見,打印內容應簡潔明了,容易理解。標簽的標示必須清晰、簡潔、準確、統(tǒng)一,標簽打印應當前后和上下排對齊。
5.2.4設備維護
設備需按照供應商推薦的服務時間間隔和說明書,進行正確維護;設備維護由已授權人員執(zhí)行,并保存維護記錄1年。
5.2.5組織場所外的設備安全
應對組織場所的設備采取安全措施,要考慮工作在組織場所以外的不同風險。
5.2.6設備的安全處置或再利用
包含儲存介質的設備的所有項目應進行檢查,以確保在銷毀之前,任何敏感信息和注冊軟件已被刪除或安全重寫。
5.2.7資產的移動
設備、信息或軟件在授權之前不應帶出組織場所,設置設備移動的時間限制,并在返還時執(zhí)行符合性檢查;對設備做出移出記錄,當返回時,要做出送回記錄。
6、通信和操作管理
6.1 運行程序和職責
6.1.1運行操作程序文件化
運行操作程序文件化并加以保持,并方便相關使用人員的訪問。
6.1.2變更管理
對信息處理設施和系統(tǒng)的變更是否受控,并考慮:重大變更的標識和記錄;變更的策劃和測試;對這種變更的潛在影響的評估,包括安全影響;對建議變更的正式批準程序;向所有有關人員傳達變更細節(jié);返回程序,包括從不成功變更和未預料事態(tài)中退出和恢復的程序與職責。
6.1.3職責分離
各類責任及職責范圍應加以分割,以降低未授權或無意識的修改或者不當使用組織資產的機會。
6.1.4開發(fā)設施、測試設施和運行設施的分離
開發(fā)、測試和運行設施應分離,以減少未授權訪問或改變運行系統(tǒng)的風險。
6.2 第三方服務交付管理
6.2.1服務交付
應確保第三方實施、運行和保持包含在第三方服務交付協(xié)議中的安全控制措施、服務定義和交付水準。
idc應確保第三方保持足夠的服務能力和可使用的計劃以確保商定的服務在大的服務故障或災難后繼續(xù)得以保持。
6.2.2第三方服務的監(jiān)視和評審
應定期監(jiān)視和評審由第三方提供的服務、報告和記錄,審核也應定期執(zhí)行,并留下記錄。
6.2.3第三方服務的變更管理
應管理服務提供的變更,包括保持和改進現(xiàn)有的信息安全方針策略、程序和控制措施,要考慮業(yè)務系統(tǒng)和涉及過程的關鍵程度及風險的再評估
6.3系統(tǒng)規(guī)劃和驗收
6.3.1容量管理
idc各系統(tǒng)資源的使用應加以監(jiān)視、調整,并做出對于未來容量要求的預測,以確保擁有所需的系統(tǒng)性能。
系統(tǒng)硬件系統(tǒng)環(huán)境的功能、性能和容量要滿足idc業(yè)務處理的和存貯設備的平均使用率宜控制在75%以內。
網絡設備的處理器和內存的平均使用率應控制在75%以內。
6.3.2系統(tǒng)驗收
建立對新信息系統(tǒng)、升級及新版本的驗收準則,并且在開發(fā)中和驗收前對系統(tǒng)進行適當?shù)臏y試。
6.4防范惡意代碼和移動代碼
6.4.1對惡意代碼的控制措施
實施惡意代碼的監(jiān)測、預防和恢復的控制措施,以及適當?shù)奶岣哂脩舭踩庾R的程序
6.4.2對移動代碼的控制措施
當授權使用移動代碼時,其配置確保授權的移動代碼按照清晰定義的安全策略運行,應阻止執(zhí)行未授權的移動代碼。
6.5 備份
6.5.1備份
應按照客戶的要求以及已設的備份策略,定期備份和測試信息和軟件。各個系統(tǒng)的備份安排應定期測試以確保他們滿足業(yè)務連續(xù)性計劃的要求。對于重要的系統(tǒng),備份安排應包括在發(fā)生災難時恢復整個系統(tǒng)所必需的所有系統(tǒng)信息、應用和數(shù)據(jù)。
應確定最重要業(yè)務信息的保存周期以及對要永久保存的檔案拷貝的任何要求。
6.6 網絡安全管理
6.6.1網絡控制
為了防止使用網絡時發(fā)生的威脅和維護系統(tǒng)與應用程序的安全,網絡要充分受控;網絡的運行職責與計算機系統(tǒng)的運行職責實現(xiàn)分離;敏感信息在公用網絡上傳輸時,考慮足夠的加密和訪問控制措施。
6.6.2網絡服務的安全
網絡服務(包括接入服務、私有網絡服務、增值網絡和受控的網絡安全解決方案,例如防火墻和入侵檢測系統(tǒng)等)應根據(jù)安全需求,考慮如下安全控制措施:為網絡服務應用的安全技術,例如認證、加密和網絡連接控制;按照安全和網絡連接規(guī)則,網絡服務的安全連接需要的技術參數(shù);若需要,網絡服務使用程序,以限制對網絡服務或應用的訪問。
6.7 介質管理
6.7 .1可移動介質的管理
建立適當?shù)目梢苿咏橘|的管理程序,規(guī)范可移動介質的管理。
可移動介質包括磁帶、磁盤、閃盤、可移動硬件驅動器、cd、dvd和打印的介質
6.7 .2介質的處置
不再需要的介質,應使用正式的程序可靠并安全地處置。保持審計蹤跡,保留敏感信息的處置記錄。
6.7 .3信息處理程序
建立信息的處理及存儲程序,以防止信息的未授權的泄漏或不當使用。
包含信息的介質在組織的物理邊界以外運送時,應防止未授權的訪問、不當使用或毀壞。
6.8 信息交換
6.8.1信息交換策略和程序
為了保護通過使用各種類型的通信設施進行信息交換,是否有正式的信息交換方針、程序和控制措施。
6.8.2外方信息交換協(xié)議
在組織和外方之間進行信息/軟件交換時,是否有交換協(xié)議。
6.8.3電子郵件、應用系統(tǒng)的信息交換與共享
建立適當?shù)目刂拼胧?保護電子郵件的安全;為了保護相互連接的業(yè)務信息系統(tǒng)的信息,開發(fā)與實施相關的方針和程序。
6.9 監(jiān)控
6.9.1審計日志
審計日志需記錄用戶活動、異常事件和信息安全事件;為了幫助未來的調查和訪問控制監(jiān)視,審計日志至少應保存1年。
6.9.2監(jiān)視系統(tǒng)的使用
應建立必要的信息處理設施的監(jiān)視使用程序,監(jiān)視活動的結果應定期評審。
6.9.3日志信息的保護
記錄日志的設施和日志信息應加以保護,以防止篡改和未授權的訪問。
6.9.4管理員和操作員日志
系統(tǒng)管理員和系統(tǒng)操作員活動應記入日志。系統(tǒng)管理員與系統(tǒng)操作員無權更改或刪除日志。
6.9.5故障日志
與信息處理或通信系統(tǒng)的問題有關的用戶或系統(tǒng)程序所報告的故障要加以記錄、分析,并采取適當?shù)拇胧?/p>
6.9.6時鐘同步
一個安全域內的所有相關信息處理設施的時鐘應使用已設的精確時間源進行同步。
5星級idc各計算機系統(tǒng)的時鐘與標準時間的誤差不超過10秒。
4星級idc各計算機系統(tǒng)的時鐘與標準時間的誤差不超過25秒。
7、訪問控制
7.1用戶訪問管理
應有正式的用戶注冊及注銷程序,來授權和撤銷對所有信息系統(tǒng)及服務的訪問。
應限制和控制特殊權限的分配及使用;應通過正式的管理過程控制口令的分配,確?？诹畎踩?管理層應定期使用正式過程對用戶的訪問權進行復查。
7.2用戶職責
建立指導用戶選擇和使用口令的指南規(guī)定,使用戶在選擇及使用口令時,遵循良好的安全習慣。
用戶應確保無人值守的用戶設備有適當?shù)谋Ｗo,防止未授權的訪問。
建立清空桌面和屏幕策略,采取清空桌面上文件、可移動存儲介質的策略和清空信息處理設施屏幕的策略,idc并定期組織檢查效果。
7.3網絡訪問控制
建立訪問控制策略,確保用戶應僅能訪問已獲專門授權使用的服務。
應使用安全地鑒別方法以控制遠程用戶的訪問,例如口令+證書。
對于診斷和配置端口的物理和邏輯訪問應加以控制,防止未授權訪問。
根據(jù)安全要求,應在網絡中劃分安全域,以隔離信息服務、用戶及信息系統(tǒng);對于共享的網絡,特別是越過組織邊界的網絡,用戶的聯(lián)網能力應按照訪問控制策略和業(yè)務應用要求加以限制,并建立適當?shù)穆酚煽刂拼胧?/p>
7.4操作系統(tǒng)訪問控制
建立一個操作系統(tǒng)安全登錄程序,防止未授權訪問;所有用戶應有唯一的、專供其個人使用的標識符(用戶id),應選擇一種適當?shù)蔫b別技術證實用戶所宣稱的身份。
可能超越系統(tǒng)和應用程序控制的管理工具的使用應加以限制并嚴格控制。
不活動會話應在一個設定的休止期后關閉;使用聯(lián)機時間的限制,為高風險應用程序提供額外的安全。
7.5應用和信息訪問控制
用戶和支持人員對信息和應用系統(tǒng)功能的訪問應依照已確定的訪問控制策略加以限制。
敏感系統(tǒng)應考慮系統(tǒng)隔離,使用專用的(或孤立的)計算機環(huán)境。
7.6移動計算和遠程工作
應有正式策略并且采用適當?shù)陌踩胧?以防范使用移動計算和通信設施時所造成的風險。
通過網絡遠程訪問idc,需在通過授權的情況下對用戶進行認證并對通信內容進行加密。
8、信息系統(tǒng)獲取、開發(fā)和維護
8.1安全需求分析和說明
在新的信息系統(tǒng)或增強已有信息系統(tǒng)的業(yè)務需求陳述中,應規(guī)定對安全控制措施的要求。
8.2信息處理控制
輸入應用系統(tǒng)的數(shù)據(jù)應加以驗證,以確保數(shù)據(jù)是正確且恰當?shù)摹?/p>
驗證檢查應整合到應用中,以檢查由于處理的錯誤或故意的行為造成的信息的訛誤。
通過控制措施,確保信息在處理過程中的完整性,并對處理結果進行驗證。
8.3密碼控制
應開發(fā)和實施使用密碼控制措施來保護信息的策略,并保證密鑰的安全使用。
8.4系統(tǒng)文件的安全
應有程序來控制在運行系統(tǒng)上安裝軟件;試數(shù)據(jù)應認真地加以選擇、保護和控制;應限制訪問程序源代碼。
8.5開發(fā)過程和支持過程中的安全
建立變更控制程序控制變更的實施;當操作系統(tǒng)發(fā)生變更后,應對業(yè)務的關鍵應用進行評審和測試,以確保對組織的運行和安全沒有負面影響。
idc應管理和監(jiān)視外包軟件的開發(fā)。
8.6技術脆弱性管理
應及時得到現(xiàn)用信息系統(tǒng)技術脆弱性的信息,評價組織對這些脆弱性的暴露程度,并采取適當?shù)拇胧﹣硖幚硐嚓P的風險。
9、信息安全事件管理
9.1報告信息安全事態(tài)和弱點
建立正式的idc信息安全事件報告程序,并形成文件。
建立適當?shù)某绦?保證信息安全事態(tài)應該盡可能快地通過適當?shù)墓芾砬肋M行報告,要求員工、承包方人員和第三方人員記錄并報告他們觀察到的或懷疑的任何系統(tǒng)或服務的安全弱點。
9.2職責和程序
應建立管理職責和架構,以確保能對信息安全事件做出快速、有效和有序的響應。
9.3對信息安全事件的總結和證據(jù)的收集
建立一套機制量化和監(jiān)視信息安全事件的類型、數(shù)量和代價,并且當一個信息安全事件涉及到訴訟(民事的或刑事的),需要進一步對個人或組織進行起訴時,應收集、保留和呈遞證據(jù),以使證據(jù)符合相關訴訟管轄權。
10、業(yè)務連續(xù)性管理
10.1業(yè)務連續(xù)性計劃
建立和維持一個用于整個組織的業(yè)務連續(xù)性計劃,通過使用預防和恢復控制措施,將對組織的影響減少到最低,并從信息資產的損失中恢復到可接受的程度。
10.2業(yè)務連續(xù)性和風險評估
通過恰當?shù)某绦?識別能引起idc業(yè)務過程中斷的事態(tài)(例如,設備故障、人為錯誤、盜竊、火災、自然災害和恐怖行為等),這種中斷發(fā)生的概率和影響,以及它們對信息安全所造成的后果。
業(yè)務資源與過程責任人參與業(yè)務連續(xù)性風險評估。
10.3制定和實施包括信息安全的連續(xù)性計劃
建立業(yè)務運行恢復計劃,以使關鍵業(yè)務過程在中斷或發(fā)生故障后,能在規(guī)定的水準與規(guī)定的時間范圍恢復運行
10.4測試、維護和再評估業(yè)務連續(xù)性計劃
業(yè)務連續(xù)性計劃應定期測試和更新,以確保其及時性和有效性。
定期測試及更新業(yè)務連續(xù)性計劃(bcp)/災難恢復計劃(drp),并對員工進行培訓;定期對idc的風險進行審核和管理評審,及時發(fā)現(xiàn)潛在的災難和安全失效。
5星級idc:至少每年一次測試及更新;bcp/drp,并對員工進行培訓; 至少每年一次對idc的風險進行審核和管理評審,及時發(fā)現(xiàn)潛在的災難和安全失效。
4星級idc:至少每年一次測試及更新;bcp/drp,并對員工進行培訓;至少每年一次對idc的風險進行審核和管理評審,及時發(fā)現(xiàn)潛在的災難和安全失效。
11、符合性
11.1可用法律、法規(guī)的識別
idc所有相關的法令、法規(guī)和合同要求,以及為滿足這些要求組織所采用的方法,應加以明確地定義、收集和跟蹤,并形成文件并保持更新。
11.2知識產權
應實施適當?shù)某绦?以確保在使用具有知識產權的材料和具有所有權的軟件產品時,符合法律、法規(guī)和合同的要求。
11.3保護組織的記錄
應防止重要的記錄遺失、毀壞和偽造,以滿足法令、法規(guī)、合同和業(yè)務的要求。
11.4技術符合性檢查
定期地對信息系統(tǒng)進行安全實施標準符合檢查,由具有勝任能力的已授權的人員執(zhí)行,或在他們的監(jiān)督下執(zhí)行。
11.5數(shù)據(jù)保護和個人信息的隱私
應依照相關的法律、法規(guī)和合同條款的要求,確保數(shù)據(jù)保護和隱私。
第16篇 煤礦安全信息閉環(huán)管理系統(tǒng)體系暫行辦法
林場煤礦安全信息運行閉環(huán)管理是全礦安全隱患管理的關鍵，其運行質量如何直接影響著礦井安全隱患管理水平得高低。為進一步規(guī)范和完善我礦的安全信息運行管理系統(tǒng)，夯實我礦安全管理基礎，提高我礦安全管理水平，保證我礦安全生產長治久安，特制定本管理制度。
一、 運行程序：
安全信息運行必須遵守以下五個程序，即：檢查→填卡→篩選處理和通知→整改反饋→復查
二、 具體要求：
（一）、檢查：
1、礦屬各級安全管理、檢查人員到現(xiàn)場后，要對現(xiàn)場的安全隱患進行全面的檢查、識別、評價。
2、對發(fā)現(xiàn)的“三違”要立即制止并按有關規(guī)定處罰。
3、對查出的、可對現(xiàn)場施工人員直接構成威脅的安全隱患：
（1）、能現(xiàn)場處理的，必須立即采取措施組織現(xiàn)場人員處理解決。
（2）、不能現(xiàn)場處理而又不能保證現(xiàn)場施工安全的，必須立即責令其停止作業(yè)并匯報調度室，由調度員及時匯報礦分管領導采取措施組織處理。在隱患沒有得到解決之前，不準進入作業(yè)。
（3）、不能現(xiàn)場解決，暫時又不會對現(xiàn)場人員造成傷害的，要提出整改意見并作好準確記錄，由現(xiàn)場負責人簽字，上井后按要求到礦安全信息中心填寫信息卡，限期解決。
（4）、對現(xiàn)場檢查不認真，該查出的隱患沒查出，該制止的“三違”不制止，一經發(fā)現(xiàn)，將給予20至50元罰款。若在其檢查過的路線內24小時內發(fā)生事故，經分析認定檢查人員有責任的，將給予嚴肅處理。
（二）填卡：凡進行安全檢查的礦屬各級干部和各類安全監(jiān)察人員，必須到礦調度室即安全信息中心平臺，按照要求填寫記錄簿。填寫時要詳細填寫：
1、檢查人的單位、姓名、同行人、年、月、日、班次、詳細經過路線。
2、所查隱患的單位、地點或工程名稱、隱患的具體內容、整改意見、是否整改、接受指令人的姓名等，內容不得少于兩條。
3、大檢查和陪同上級領導的檢查同行人員可填寫同一張卡上，正常檢查一律要求一人一卡。填寫要符合有關質量標準化要求。對填卡不認真，經信息中心平臺信息員篩選不合格的填卡人將給予每條10元罰款、通知重新填卡并通報批評。
（三）篩選處理和通知：
安全信息中心平臺信息員對安全信息卡要進行認真篩選處理：
1、 檢查鑒定信息卡是否合格并做好標記，對填寫不認真、字跡潦草、內容不清楚的不合格卡進行處罰并通知其本人重填。
2、 對篩選出的安全隱患要登記做好臺帳，同時一式三份填寫隱患整改通知單，于當班將通知單通知到責任單位值班人員，并按照貫徹要求讓被通知單位的人員在通知單第一聯(lián)上簽字。
3、對確需礦領導平衡處理的，另行填寫安監(jiān)人員意見書，報礦分管領導，由礦領導在意見書上簽署意見后，將意見書下達到有關責任單位整改。
4、篩選出的不危機現(xiàn)場安全的問題，用電話通知有關單位的人員加強注意和改正，并在卡上記錄通知人、接收人及時間。
（四）整改和反饋：
1、責任單位值班人員接到隱患整改通知后，除由兼職信息員將隱患登記做好臺帳外，要根據(jù)整改意見采取措施，安排人員負責處理。對重要隱患，要立即交單位負責人根據(jù)整改意見，制定專門措施，安排專人負責處理。
2、在解決過程中要嚴格按章作業(yè)，保證人員安全。
3、整改單位在接到整改通知單的第二天，要在現(xiàn)場隱患反饋單上認真填寫：接到整改指令人、整改人、整改時間、填表人、由單位負責人簽字后，及時傳遞反饋到安全信息中心。
4、反饋單的填寫要符合所有體系貫標的要求。
5、對不能在限期內整改完的，要在反饋單上詳細說明原因，必要時應有業(yè)務科室及分管礦領導簽字認可。
6、對電話通知的問題應詳細記錄接整改指令人、整改人、整改時間和結果。
7、對不按要求整改、簽字、將給予50元的罰款。
（五）復查
由安全科組織安全小分隊或小班安檢員進行復查并記錄。對經復查，發(fā)現(xiàn)有簽字已整改而現(xiàn)場未整改的弄虛作假現(xiàn)象，對整改負責人和單位負責人分別給予每條罰款100元，對單位每條加罰100元，并通報批評、責令立即整改，重新下達隱患整改通知單，納入新的信息運行系統(tǒng)。
同時，對電話通知，信息反饋已整改的問題，要實行抽查制度，具體每天由信息主任篩選確定安排復查。
三、 統(tǒng)計、通報、處罰：
信息主任（1）每天對信息員執(zhí)行制度的質量情況進行檢查，重點檢查是否有該通知而未通知，該下卡而未下卡的情況，一經發(fā)現(xiàn)應視其情節(jié)給予批評教育、罰款20--50元，督促指導信息員做好信息運行工作。
（2）每周對信息運行情況進行統(tǒng)計，形成統(tǒng)計報表。由安全科在周一安全辦公會上通報各單位隱患整改情況；對未按要求整改的責任單位和責任人給予通報批評、處罰和考核扣分。
四、信息溝通、反饋及爭議處理：
為及時發(fā)現(xiàn)和糾正信息的失實和不足，有效解決安全生產過程中存在的各類問題，消除事故隱患，消除誤解和爭議，消除錯罰和誤法給安全工作帶來的負面影響，安全科將罰款通知、意見反饋及爭議處理過程作修改補充后規(guī)定如下：
1、 安全科信息中心三班信息員每班將罰款的事由和罰款金額，用電話通知道有關單位，并作好記錄。
2、信息中心每日下達一份各類問題及書面通知單，由信息員按早、中、夜三班順序將一個圓班的各類問題和罰款金額，分單位填寫在書面通知單上。由區(qū)隊信息員每日上午9：00前將通知單領回本單位。區(qū)隊信息員在領取通知單時，要在通知單領取登記簿上簽字。
3、單位值班人員和主要領導在接到書面通知單后，對存有異議的罰款，應首先通過安全信息中心查詢檢查人員，在全面調查和了解的基礎上，應及時辦好書面說明，檢查當事人及單位主要領導簽字后由單位信息員在當天下午17：00前，報到安全科信息中心。由安全礦長安排有關科室和有關人員進行調查分析、再次核實，由安全礦長根據(jù)調查結果研究相應的處理意見。
4、有關單位接到電話通知后，值班人員要做好記錄，并安排信息員到信息中心及時領回通知，對有爭議的罰款問題，要及時調查并以書面的形式報安全科。否則，因自身原因未能及時將問題反映到安全科，造成無法調查的，后果由單位自己承擔。
5、各單位主要領導要高度重視此項工作，對偏聽當事人一面之詞，不作全面詳細了解或明知當事人有錯，不做思想工作，而把矛盾上交，放任當事人胡攪蠻纏，擾亂正常工作的，對當事人加倍處罰并升級考核處理，同時對其單位黨政領導給予通報批評和罰款。
五、評價與提高
安全科嚴格安全信息運行閉合管理系統(tǒng)進行檢查評價，不斷總結、學習、創(chuàng)新、完善和提高，使安全信息閉合管理系統(tǒng)保持嚴密、科學、適用。
職工業(yè)余安全學習培訓考試制度
為認真貫徹執(zhí)行《安全生產法》，加強對我礦職工安全生產教育和培訓，提高職工安全生產意識，保證職工具備必要的安全生產知識，熟悉相應的安全生產規(guī)章制度和安全操作規(guī)程，真正掌握安全操作技能和預防事故的實際能力，逐步向“本質安全型”員工轉變，從而最大限度地防止和減少生產安全事故的發(fā)生，保障職工群眾生命和財產安全，促進礦井經濟正常發(fā)展。特制定本制度，具體如下：
礦成立業(yè)余安全學習培訓考試領導小組：
組長：李建國
副組長：沈遠東、陳萬峰、朱學金、趙書東、王永濤、司繼江、孫立民
成員：各科室、工區(qū)負責人及各分管負責人
領導小組下設辦公室，辦公室設在安全科，孫立民任辦公室主任，具體負責制定林場煤礦安全學習培訓計劃及業(yè)務考核工作。
一、 學習培訓人員范圍：
全礦各科室、區(qū)隊的各級管理人員和職工。
二、 學習內容：
《煤礦安全規(guī)程》、各單位對應的《煤礦作業(yè)規(guī)程》、各工種對應的《煤礦操作規(guī)程》、《安全生產法》、《林場煤礦崗位安全生產責任制》、安全管理制度、隱患識別的方法、事故案例等。
三、 學習組織的形式：
1、 各單位根據(jù)礦的需要，結合本單位實際，制定出本單位每月、每周的詳細安全學習計劃，于每月5號前書面報到安全科。
2、 利用班前班后會、周五安全活動等時間組織業(yè)余培訓，由單位主要管理人員主持，技術人員講課。采取每日一題的形式每周不少于5題，5天學習，1天復習，1天考試。對部分綜合安全素質差的職工，單位應安排人員進行重點指導、幫助，單位應做好備課教案，職工要認真做好學習記錄，以備檢查。
四、 考試形式：
（一）、單位自考：各單位在學習培訓的基礎上，每周組織自考，考試應以書面為主，對個別確實不會書寫的也可采用口頭考試形式，但必須記錄真實。單位要保存好試卷和考試成績備查。
（二）、礦抽查、考試：
1、每周由安全科牽頭，有關部門參加，根據(jù)規(guī)定進行抽查各單位制度執(zhí)行情況。
2、每月礦安全科根據(jù)各單位報送的學習計劃內容，組織對有關單位進行抽查考試，重點對班組長、安全不放心人員（素質差、技能低、違章人員）等進行考試，對考試不合格的，一律不得安排上崗作業(yè)，由安全科書面通知其單位組織待崗培訓，直至合格方可返崗工作。
3、對各單位、各部門的管理人員采用不定期書面或口頭抽查考試的方法。
4、對各科室、區(qū)隊單位職工的考試：
（1）、井下區(qū)隊單位采用每月組織集中書面考試和井上下現(xiàn)場動態(tài)口頭抽查相結合的方式。
（2）、地面單位根據(jù)各工種分類情況，由安全科具體組織書面抽查或現(xiàn)場口頭抽查的方式。
五、考核獎罰辦法：
根據(jù)工作性質結合專業(yè)特點，將井上下單位分成若干類后分別比較考核獎罰，具體為：
1、 每季度將各區(qū)隊單位職工的考試成績分別實行獎罰制度，獎罰資金平均三級落實三大員。每月公布考核兌現(xiàn)結果。
2、 對單位管理人員的考試成績，以平均分為標準，超獎少罰，每分10元。
全礦各單位，各部門要根據(jù)礦上的統(tǒng)一安排和部署，結合本單位的實際情況，制定出詳細嚴密的年度業(yè)余安全學習培訓計劃，充分利用班前班后會、周五安全活動等時間，組織本單位的職工系統(tǒng)學習、培訓考試，真正達到提高本單位職工的安全生產意識，養(yǎng)成遵章作業(yè)、按章操作的嚴謹作風，掌握安全操作技能和預防事故實際能力的目的，為提高我礦全員的綜合安全素質打下堅實的基礎。
