企业安全管理的全面指南：从审核检查到人员录用与离岗要求

hwyzw

    （5）审查和检查要求

    1）应定期进行定期安全检查，检查内容包括每日系统操作，系统漏洞和数据备份。

    2）应定期进行全面的安全检查，包括现有安全技术措施的有效性，安全配置和安全策略的一致性以及安全管理系统的实施。

    3）应制定安全检查表，以实施安全检查，总结安全检查数据，表格安全检查报告并报告安全检查结果。

    （6）人事招聘要求

    1）查看雇用人员的身份，背景，专业资格和资格，并评估他们的技能和技能。

    2）应与雇用人员签署保密协议，并应与关键职位的人员签署工作责任协议。

    （7）人事出发要求

    1）应及时终止或修改所有访问权限，密码等，以及单位提供的各种ID文档，访问控制，钥匙等以及软件和硬件设备被检索。

    2）应完成严格的转移和切换程序，并应在离开之前履行转移后的机密义务。

    （8）安全意识教育和培训要求

    1）应向所有类型的人员提供安全意识教育和工作技能培训，并应告知相关的安全责任和惩罚措施。

    2）应针对不同职位制定不同的培训计划，并且应培训网络安全，工作操作程序等的基本知识。

    （9）外部人员访问管理的要求

    1）应确保外部人员在物理访问受控区域之前提交书面申请，并且在批准后，专门的人将在整个过程中陪同他并注册和档案。

    2）应确保外部人员在访问网络访问系统之前提交书面申请，并在批准后，特殊人将开设帐户，分配权限以及注册和文件。

    3）外部人员应在离开现场后立即清除其所有访问权限。

    4）获得系统访问授权的外部人员应签署保密协议，不得执行未经授权的操作，并且不得复制或披露任何敏感信息。

    2。安全管理机构和人事管理措施

    （1）工作设置

    为了有效地实施管理，应建立管理组织结构。在工作设置中需要考虑的要素包括：责任分离，职责和工作旋转。

    责任分开：责任分开属于安全概念，这是指向几位管理员或高级管理人员的关键，重要和敏感​​的工作任务的分配，这可以防止任何人都能破坏或削弱重要的安全机制。将责任分开作为对管理员的最小特权原则的应用。

    职责：工作职责是需要员工定期执行的特定工作任务。根据工作职责，员工需要访问各种不同的对象，资源和服务。在安全的网络中，必须授予用户访问其工作任务。

    工作旋转：工作旋转是一种通过员工在不同工作之间旋转位置来提高安全性的简便方法。 1。通过工作旋转提供一种知识冗余； 2。工作旋转可以减少伪造，数据变化，盗窃，阴谋损害和信息滥用的风险； 3。工作旋转还提供了相同级别的审核形式，可以防止共同证明和其他风险。

    担保是本单元的工作人员必须承担的共同责任，管理组织结构是实施信息系统安全和进行安全管理的必要保证。一般而言，对于一个多部门单位，基本的组织结构和位置设置应首先建立一个基于信息的领先组，并在信息领导组的基础上建立办事处，工作组等。

    与信息有关的领导小组是该部门网络安全和与信息相关的工作的最高领导决策机构。它不隶属于任何部门。它的小组负责人通常是负责该单位的主要人员，并且成员通常由与该部门的业务和网络安全有关的几个管理人员进行管理。该部门的主要领导人由信息中心，办公室，相关业务部门，行政部门，后勤支持和其他部门的主要领导人组成。网络安全和信息化领先小组是一个永久性机构，负责定期研究该部门的网络安全和信息化工作的指导，监督，检查和管理，并且可以根据实际条件随时进行调整。

    基于信息的领导小组通常拥有一个领先的小组办公室（以下简称为信息技术的网络空间管理），以执行特定的网络安全管理和保证任务。中国网络空间管理通常具有网络安全管理工作组和特定的网络安全管理职位。它通常由信息中心，主要技术人员，运营和维护人员，外部人员等的副职位组成，主要负责特定的协调，技术，管理，维护等工作。有关网络安全组织结构和主要工作职责的划分列表，请参见表1，表2和表3。

    表1网络安全组织设置列表

    表2网络安全管理机构和职位的职责清单

    表3网络安全管理工作组和职位列表

    （2）人员配备

    1）网络安全管理员

    网络安全管理员的职责如下：

    ①负责组织网络安全政策，标准，规则和法规以及各种操作程序的建立，实施和维护。

    ②负责提供有关购买安全产品的建议，负责组织各种安全产品政策和配置规则的制定，并负责在安全产品投入生产后跟踪使用。

    ③负责系统管理员（包括系统管理员，网络管理员，管理员和应用程序管理员等）和普通用户的指导和监督与安全有关的工作。

    ④负责组织安全系统的安全风险评估，并定期进行系统漏洞扫描以形成安全评估报告。

    ⑤根据该部门的需求，定期改进建议并将其报告给管理部门。

    ⑥定期检查网络安全站点的安全性公告，跟踪和研究各种网络安全和攻击方法，并在发现安全漏洞和攻击方法时及时进行对策，这些方法可能影响网络安全性，通知和指导主机系统管理员执行安全性防范措施。

    ⑦负责组织各种安全计划，安全审计报告，紧急计划和整体安全管理系统的审查。

    ⑧负责并参与安全事故调查。

    2）主机系统管理员

    主机系统管理员的职责如下：

    ①负责主机的安全配置（包括及时修复系统漏洞），每日审核以及系统应用程序软件的安装，并从系统级别实现对用户和资源的访问控制。

   

    ②协助安全管理员为主机制定安全配置规则并实施。

    ③负责日常管理和维护主机设备，并使系统保持良好的运行状态。

    ④为安全审核员提供了完整，准确的主机系统操作活动的记录。

    ⑤当主机系统异常或失败时，当异常发生时，记录现象，时间和处理方法，并及时报告它们。

    ⑥为主机设备准备维护，损坏报告和取消计划，并将其报告给主管进行审查。

    3）网络管理员

    网络管理员的职责如下：

    ①负责网络部署，网络产品和产品的配置，管理和监视，并备份关键配置文件，以及时维修网络设备。

    ②协助安全管理员制定网络设备安全配置规则并实施它们。

    ③为安全审核员提供完整而准确的操作日志，以记录重要的网络设备和网站操作活动。

    ④当发生网络和设备异常或故障时，在异常发生时记录现象，时间和处理方法，并及时报告它们。

    ⑤准备维修计划，损坏报告，报废和其他网络设备的计划，并将其报告给主管进行审查。

    4）系统平台管理员

    系统平台管理员的职责如下：

    ①对系统和系统进行安全配置，并修理已发现的内容。

    ②负责系统和系统的用户帐户的管理，注册并提交系统中的所有用户；管理系统的安全性以及系统用户和密码；监视和分析登录系统和系统的用户。

    ③负责业务数据和其他重要系统数据的备份和备份数据管理。

    ④负责应用程序和中间件系统其他重要数据的备份和备份数据管理。

    ⑤为安全审核员提供系统和系统操作活动的完整准确日志记录，在异常发生异常时详细记录现象，时间和处理方法，并及时报告它们。

    ⑥在出现安全问题时恢复数据或应用程序，导致数据或应用程序损坏或丢失。

    ⑦根据业务开发的需求，提交数据存储媒体购买或存储系统扩展计划。

    5）应用程序管理员

    应用程序管理员的职责如下：

    ①安全地配置业务应用程序系统，并敦促软件开发人员为发现的漏洞提供补丁程序。

    ②管理业务应用程序系统的用户和密码的安全性，并监视和分析业务应用程序系统的登录用户。

    ③负责提出数据备份要求，制定数据备份策略，敦促数据库管理员按时完成备份计划，并恢复所需的数据。

    ④实施系统软件版本管理，应用程序软件备份和恢复管理。

    6）安全审核员

    安全审核员的职责如下：

    ①负责定期分析和审核主机系统，网络产品和应用程序系统的日志文件，以及及时报告问题。

    ②负责对担保管理活动的独立监督，提供内部独立的审核和评估工作，并与外部审计和评估机构合作，根据需要进行评估和认证，从而为决策领导者提供了对信息系统的客观评估和保证实施状态。

    7）病毒保护剂

    病毒保护剂的责任如下：

    ①协助安全管理员制定预防病毒操作程序。

    ②负责实施和监督整个系统的全面反病毒工作。

    ③定期升级网络防病毒软件的病毒数据库，并监督个人防病毒软件的升级。

    ④对重要业务系统和数据的安全性进行实时监控，消除非法开放入侵渠道，并减少侵权的影响。

    ⑤及时报告上级部门的病毒和感染状况，并为高频和强烈严重程度的病毒提供有效的解决方案。

    8）密钥管理员

    主要管理员的职责如下：

    负责管理系统交易，传输，身份验证密钥和加密机的操作。

    9）资产经理

    资产经理的责任如下：

    负责管理，注册，分销，回收和放弃信息技术部门所有资产的管理。

    10）计算机室管理员

    计算机室管理员的职责如下：

    ①负责制定和实施适当的物理安全控制。

    ②主要负责非技术和常规安全工作，例如保护信息处理站点，办公室安全性，输入和离开信息中心的验证程序以及实施多个规则和法规。

    11）安全法律顾问

   

    安全法律顾问的责任如下：

    负责该单位和其他单位之间签署安全服务合同的法律咨询工作。

    12）外部技术专家

    外部技术专家的责任如下：

    根据实际的工作需求和单位的特征，您可以选择长时间或临时聘请行业中的相关技术专家，以提供有关网络安全计划，施工，实施，紧急响应，故障分析等的咨询建议方面。

    （3）授权和批准

    应为系统更改，重要操作，物理访问和系统访问建立批准程序，并应根据批准程序执行批准程序。应建立一个逐步批准系统，以进行重要的活动，并应详细记录系统更改，重要操作，物理访问的管理。系统中的不同授权和批准过程。

    授权和批准的基本原则：

    1）遵守基于单位和上级部门的管理变更，考虑到相对稳定性和可持续性，遵守及时调整授权的原则。

    2）遵守将授权与责任结合起来的原则，将授权与监督相结合，拥有权力必须负责，负责责任并承担责任，必须承担责任。

    （4）沟通与合作

    加强各种类型的经理，组织内部机构和职能部门之间的合作和沟通，定期或不规则地举行协调会议，并共同解决问题。

    （5）审查和检查

    1）中国网络空间管理负责组织审计和安全检查管理，并严格标准化安全审计和安全检查工作，并根据法规进行审计和安全检查活动。

    2）上级部门应领导对下属单位或部门进行检查，每个下属单位或部门负责组织其单位的内部自我检查工作。

    3）定期（至少每六个月一次）或根据需要组织全面的安全审核和检查，包括现有安全技术和管理措施的有效性，安全配置和安全策略之间的一致性，安全管理系统和实施系统等待。

    4）定期进行定期安全审核和检查（至少每六个月一次）或根据需要进行，包括每日系统操作安全性，系统漏洞，备份和恢复，紧急响应等。

    5）对于在审查和安全检查期间发现的安全危害，必须及时向中国网络空间管理进行检查报告。中国的网络空间管理应迅速制定隐藏的危险纠正计划，提出改进意见，指导并敦促相关部门在时间限制内纠正，并消除安全隐患。

    （6）招募人员

    该部门的人力资源部负责招募人员，审查雇用人员的身份，背景，专业资格和资格，评估其技术技能并签署机密协议。

    （7）人员离开职位

    工作人员应根据信息系统安全管理的要求进行相关的移交和责任更改。管理部门应及时更改系统密码，取消所有帐户，撤销其进入和退出安全区域的许可，联系敏感信息并删除相关文档。以及信息，交出相关的设备和文档，并确保密码，设备，技术信息和相关敏感信息的安全性。离开岗位后，处于关键职位的人必须在离开岗位后承担保密义务。表4显示了辞职工作的转让清单，表5显示了员工辞职资产的转让。

    表4辞职清单

    表5员工的资产转移

    （8）安全意识教育和培训

    为了确保在单元内有效地运行管理系统，敦促所有部门对系统进行持续有效的改进。中国网络空间管理局负责制定意识教育和培训计划，并进行教育培训，例如管理系统，保密教育和技术保护措施。该部门的所有员工应每年至少两次接受保密教育。关键职位（部门）的机密人员必须至少每年两次接受机密技能培训。保密教育是以教学和观看警告教育电影等形式进行的。如果可能的话，将组织机密性知识测试。有针对性的保密教育将针对涉及国家秘密和重要秘密的重要项目和重要项目进行。所有进行教育和培训活动的活动记录均应根据法规进行存档和保存。

    安全意识教育和培训的基本内容：

    1）关于指导意识形态以及网络安全机密工作的原则和政策的宣传和教育。

    2）关于国家机密，法律和法规的宣传和教育。

    3）关于级别保护法律和法规的教育。

    4）关于网络安全机密性情况的宣传和教育。

    5）有关网络安全保护技术和技能的宣传和教育。

    6）关于新员工的网络安全和机密性教育；

    7）有关机密人员的网络安全和机密性教育；

    8）关于关键职位和部门人员的网络安全和机密性的教育；

    9）各级主管的网络安全培训和教育。

    10）新员工必须接受的保密法规内容。

    （9）外部人员的访问管理

    通过访问外部人员的访问，我们可以降低安全风险并确保单位计算机信息系统的安全性。外部人员包括临时人员，实习生，访问检查员和外部技术人员。

    信息中心负责制定安全服务管理系统和外部人员的技术保护措施；确定外部人员是否符合与外部人员的访问要求，签署服务合同和机密协议，并批准外部人员的访问。如果外部人员需要访问重要领域，外部人员应将书面申请提交信息中心。在信息中心进行了审查之后，他们应提交主管批准。主管应签署并指派信息中心的相关人员陪同他们进入重要领域。对于访问重要领域的外部人员，操作和维护人员应填写“外部人员访问重要领域的记录表格”，以记录入境时间，出发时间，访问区和随附的人员等。

    访问服务完成后，本单位的负责人员必须对信息系统和设备进行安全检查。在确认对信息系统和设备没有安全影响后，双方都可以在离开现场之前签署标志。

    信息中心和各个业务部门负责各种管理系统和技术措施的特定实施；进行网络安全控制和外部人员监督。对于信息系统，由于工作需求，应详细记录到第三方安全服务人员提供的技术信息，管理系统和其他相关信息，提交的文档编号，简短内容，页码，附件和其他相关内容，并应详细记录应要求提供者检查检查结果。客户的所有权，客户的专利权利，验证结果等保密。

    该信息中心负责监督和检查服务方的各种机密措施的实施，并迅速将发现的任何问题通知对方。