横琴大数据平台_信息安全巡检管理办法_v1.0.doc

横琴新区大数据平台项目（集成开发服务） 大横琴科技发展有限公司 信息安全巡检管理办法 第一章 总则 第一条 为了规范珠海大横琴科技发展有限公司（以下简称科技公司）的网络与信息安全巡检工作，明确信息安全巡检的组织、方式、程序和内容，落实科技公司各项网络与信息安全管理制度，促进科技公司网络与信息安全保障能力的提高，推动科技公司网络与信息安全工作有序高效的开展，特制定本管理办法。 第二条 安全巡检是指根据科技公司对安全巡检的需求，科技公司内部相关组织按照规定的原则和程序，运用科学可行的方法，对科技公司的日常网络与信息安全工作进行例行检查并做出相应结论的活动。 第二章 适用范围 第三条 本管理办法适用于科技公司的安全巡检工作，适用于属于科技公司范围内的所有工作人员及第三方代维厂商。 第四条 在科技公司网络与信息安全工作中，本管理办法是指导安全巡检的基本依据，相关组织和人员必须认真执行本管理办法，并根据工作实际情况，制定并遵守相应的实施细则和操作流程，做好信息安全巡检工作。 第三章 巡检组织 第五条 科技公司安全巡检工作由科技公司信息安全工作组下属安全巡检小组负责。 第六条 安全巡检小组为临时性组织，根据相关安全巡检要求成立，并在安全巡检工作完成后解散。安全巡检小组成员从各运维岗位抽调组成。安全巡检小组组长由信息安全工作组组长兼任。 第七条 科技公司信息安全领导小组在安全巡检过程中行使监督职能。巡检计划和方案必须提前报信息安全领导小组批准。必要时，信息安全领导小组可委派人员监督安全巡检小组的安全巡检工作。 第八条 科技公司每年定期进行一次全院范围的安全巡检。科技公司信息安全专兼职管理员每季度进行一次例行安全巡检。同时，科技公司可以根据具体情况和特殊事件，进行不定期的巡检和抽查。 第三章 巡检方式 第九条 安全巡检方式主要包括现场访谈、记录审阅、上机验证、实地观察等。 l 现场访谈：巡检人员通过与被巡检人员进行交谈和问询，了解网络与信息安全运维的基本信息，并对巡检内容进行确认。 l 记录审阅：记录审核的对象主要是网络与信息安全运维相关的记录文件，如帐号口令清单、变更维护记录等。通过对这些记录文件的审核与分析确认巡检相关内容是否达到了相应要求。 l 上机验证：上机验证主要是对一些需要上机进行确认的信息进行核实，以及对某些访谈和文档审核内容的真实性进行核实。 l 实地观察：实地观察主要是根据被巡检对象的实际情况，巡检人员到信息系统运行现场通过实际的观察对某些访谈和文档审核的内容真实性进行核实。 第四章 巡检程序 第十条 安全巡检程序主要包括巡检计划准备阶段、巡检实施阶段、分析报告阶段。 第十一条 安全巡检准备计划阶段的主要工作包括以下内容： l 为确保安全巡检工作的顺利开展，安全巡检工作需得到科技公司信息安全领导小组或信息安全主管的支持申明，并发放到各安全巡检相关部门； l 回顾年度网络与信息安全工作目标，确定巡检的重点和目标； l 确定安全巡检对象； l 制定安全巡检计划和方案； l 确定安全巡检工作的步骤和所需资源。 第十二条 安全巡检实施阶段的主要任务包括以下内容： l 召开巡检启动会议； l 实施安全巡检； l 整理巡检记录。 第十三条 安全巡检分析报告阶段的主要任务包括以下内容： l 分析安全巡检记录； l 形成安全巡检报告； l 向信息安全主管汇报安全巡检结果。 第五章 巡检范围和内容 第十四条 科技公司安全巡检范围包括科技公司所属各类物理环境，如员工工位、会议室、机房等。 第十五条 科技公司安全巡检内容包括但不限于终端安全巡检、办公环境安全巡检、IT系统（包括网络设备、主机、应用系统等）安全巡检、机房安全巡检等。 第十六条 终端安全巡检的主要内容包括但不限于： 1. 终端帐号设置是否符合要求； 2. 终端口令设置是否符合要求； 3. 终端桌面环境是否符合要求等。 第十七条 办公环境安全巡检的主要内容包括但不限于： 1. 办公物理环境访问控制措施是否运行正常； 2. 敏感资料和文件是否安全存放； 3. 打印资料是否及时处理； 4. 相关监控设施是否运行正常等。 第十八条 IT系统安全巡检的主要内容包括但不限于： 1. 系统帐号设置是否符合要求； 2. 系统口令设置是否符合要求； 3. 系统安全防护设置（包括防病毒、安全基线、入侵检测等）是否符合要求； 4. 系统日志设置是否符合要求等。 第十九条 机房安全巡检的主要内容包括但不限于： 1. 机房访问控制措施是否运行正常； 2. 机房空调是否运行正常； 3. 机房防水防火措施是否运行正常； 4. 机房布线、设备摆放是否符合要求； 5. 机房监控措施是否运行正常等。 第六章 法律责任 第二十条 组织、实施、参与安全巡检工作的组织和人员必须严格遵守法律法规和科技公司相关规定，保证安全巡检工作的公正性和客观性。 第二十一条 组织、实施、参与安全巡检工作的组织和人员未经过科技公司书面许可，严禁擅自披露、使用或者向他人及第三方提供和转让与安全巡检相关的信息。对于违反上述规定并给科技公司造成经济损失的，应依据有关法律追究其法律责任。 第二十二条 科技公司安全巡检人员在巡检工作中徇私舞弊、滥用职权、玩忽职守或者干扰巡检工作导致巡检结果不公正的，依据有关规定给予纪律处分；构成犯罪的，依法移送司法机关追究刑事责任。 第七章 标准维护与解释 第二十三条 本管理办法由科技公司信息安全领导小组每年复核一次，在必要时进行修订，并颁发执行。 第二十四条 本管理办法解释权归珠海大横琴科技发展有限公司。 第二十五条 本管理办法自下发之日起生效。 附件1. 珠海打横琴科技发展有限公司安全巡检计划表 巡检时间 巡检目的 巡检范围 巡检小组成员名单 巡检日程安排表 日期/时间 被巡检部门/场所 巡检要点 巡检人员 备 注： 附件2. 珠海大横琴科技发展有限公司安全巡检发现记录 日期/时间 被巡检部门/场所 巡检发现 整改情况 巡检人员 备 注：