第一章信息安全管理概述
一、判断题
1.根据 13335标准，信息是通过在数据上施加某些约定而赋予这些数据的特殊含义。
2.信息安全保障阶段中，安全策略是核心，对事先保护、事发检测和响应、事后恢复起到了统一指导作用。
3.只要投资充足，技术措施完备，就能够保证百分之百的信息安全。
4.我国在2006年提出的《2006~2020年国家信息化发展战略》将“建设国家信息安全保障体系”作为9大战略发展方向之一。
5.2003年7月国家信息化领导小组第三次会议发布的27号文件，是指导我国信息安全保障工作和加快推进信息化的纲领性文献。
6.在我国，严重的网络犯罪行为也不需要接受刑法的相关处罚。
7.信息安全等同于网络安全。
8.一个完整的信息安全保障体系，应当包括安全策略（）、保护（）、检测（）、响应（）、恢复（）五个主要环节。
9.实现信息安全的途径要借助两方面的控制措施、技术措施和管理措施，从这里就能看出技术和管理并重的基本思想，重技术轻管理，或者重管理轻技术，都是不科学，并且有局限性的错误观点。
二、单选题
1.下列关于信息的说法是错误的。
A.信息是人类社会发展的重要支柱
B.信息本身是无形的
C.信息具有价值，需要保护
D.信息可以以独立形态存在
2.信息安全经历了三个发展阶段，以下不属于这三个发展阶段。
A.通信保密阶段
B.加密机阶段
C.信息安全阶段
D.安全保障阶段
3.信息安全在通信保密阶段对信息安全的关注局限在安全属性。
A.不可否认性
B.可用性
C.保密性
D.完整性
4.信息安全在通信保密阶段中主要应用于领域。
A.军事
B.商业
C.科研
D.教育
5.信息安全阶段将研究领域扩展到三个基本属性，下列不属于这三个基本属性。
A.保密性
B.完整性
C.不可否认性
D.可用性
6.安全保障阶段中将信息安全体系归结为四个主要环节，下列是正确的。
A.策略、保护、响应、恢复
B.加密、认证、保护、检测
C.策略、网络攻防、密码学、备份
D.保护、检测、响应、恢复
7.根据的信息安全定义，下列选项中是信息安全三个基本属性之一。
A.真实性
B.可用性
C.可审计性
D.可靠性
8.为了数据传输时不发生数据截获和信息泄密，采取了加密机制。这种做法体现了信息安全的属性。
A.保密性
B.完整性
C.可靠性
D.可用性
9.定期对系统和数据进行备份，在发生灾难时进行恢复。该机制是为了满足信息安全的属性。
A.真实性
B.完整性
C.不可否认性
D.可用性
10.数据在存储过程中发生了非法访问行为，这破坏了信息安全的属性。
A.保密性
B.完整性
C.不可否认性
D.可用性
11.网上银行系统的一次转账操作过程中发生了转账金额被非法篡改的行为，这破坏了信息安全的属性。
A.保密性
B.完整性
C.不可否认性
D.可用性
12安全模型属于类型。
A.时间模型
B.作用模型
C.结构模型
D.关系模型
13.《信息安全国家学说》是的信息安全基本纲领性文件。
A.法国
B.美国
C.俄罗斯
D.英国
14.下列的犯罪行为不属于我国刑法规定的与计算机有关的犯罪行为。
A.窃取国家秘密
B.非法侵入计算机信息系统
C.破坏计算机信息系统
D.利用计算机实施金融诈骗
15.我国刑法规定了非法侵入计算机信息系统罪。
A.第284条
B.第285条
C.第286条
D.第287条
16.《计算机信息系统安全保护条例》是由中华人民共和国第147号发布的。
A.国务院令
B.全国人民代表大会令
C.公安部令
D.国家安全部令
17.《互联网上网服务营业场所管理条例》规定，负责互联网上网服务营业场所安全审核和对违反网络安全管理规定行为的查处。
A.人民法院
B.公安机关
C.工商行政管理部门
D.国家安全部门
18.在安全模型中最核心的组件是。
A.策略
B.保护措施
C.检测措施
D.响应措施
19.《计算机信息网络国际联网安全保护管理办法》规定，互联单位、接入单位、使用计算机信息网络国际联网的法人和其他组织（包括跨省、自治区、直辖市联网的单位和所属的分支机构），应当自网络正式联通之日起续。
A.7
B.10
C.15
D.30
20.互联网服务提供者和联网使用单位落实的记录留存技术措施，应当具有至少保存天记录备份的功能。
A.10
B.30
C.60
D.90
21.网络信息未经授权不能进行改变的特性是。
A.完整性
B.可用性
C.可靠性
D.保密性
22.确保信息在存储、使用、传输过程中不会泄露给非授权的用户或者实体的特性是。
A.完整性
B.可用性
C.可靠性
D.保密性
23.确保授权用户或者实体对于信息及资源的正常使用不会被异常拒绝，允许其可靠而且及时地访问信息及资源的特性是。
A.完整性
B.可用性
C.可靠性
D.保密性
24. 国务院发布《计算机信息系统安全保护条例》。
A.1990年2月18日
B.1994年2月18日
C.2000年2月18日
D.2004年2月18日
25.《计算机信息系统安全保护条例》规定，国家对计算机信息系统安全专用产品的销售实行。
A.许可证制度
B.3C 认证
9000认证
D.专卖制度
26.《互联网上网服务营业场所管理条例》规定，互联网上网服务营业场所经营单位。
A.可以接纳未成年人进入营业场所
B.可以在成年人陪同下，接纳未成年人进入营业场所
C.不得接纳未成年人进入营业场所
D.可以在白天接纳未成年人进入营业场所
27.《计算机信息系统安全保护条例》规定，运输、携带、邮寄计算机信息媒体进出境的，应当如实向。
A.国家安全机关申报
B.海关申报
C.国家质量检验监督局申报
D.公安机关申报
28.《计算机信息系统安全保护条例》规定,故意输入计算机病毒以及其他有害数据危害计算机信息系统安全的，或者未经许可出售计算机信息系统安全专用产品的，由公安机关处以警告或者对个人处以的罚款、对单位处以的罚款。
A.5000元以下 15000元以下
B.5000元 15000元
C.2000元以下 10000元以下
D.2000元 10000元
29.信息安全模型中，如果满足，说明系统是安全的。
>
>
<
<
30.国家信息化领导小组在《关于加强信息安全保障工作的意见》中，针对下一时期的信息安全保障工作提出了项要求。
A.7
B.8
C.9
D.10
31.《确保网络空间安全的国家战略》是发布的国家战略。
A.英国
B.法国
C.德国
D.美国
32.信息安全中的木桶原理，是指。
A.整体安全水平由安全级别最低的部分所决定
B.整体安全水平由安全级别最高的部分所决定
C.整体安全水平由各组成部分的安全级别平均值所决定
D.以上都不对
33.关于信息安全的说法错误的是。
A.包括技术和管理两个主要方面
B.策略是信息安全的基础
C.采取充分措施，可以实现绝对安全
D.保密性、完整性和可用性是信息安全的目标
34. 模型是第一个从时间关系描述一个信息系统是否安全的模型，模型中的P代表、D代表、R代表。
A.保护检测响应
B.策略检测响应
C.策略检测恢复
D.保护检测恢复
35.《计算机信息系统安全保护条例》规定，任何组织或者个人违反条例的规定，给国家、集体或者他人财产造成损失的，应当依法承担。
A.刑事责任
B.民事责任
C.违约责任
D.其他责任
36.关于信息安全，下列说法中正确的是。
A.信息安全等同于网络安全
B.信息安全由技术措施实现
C.信息安全应当技术与管理并重
D.管理措施在信息安全中不重要
37.在安全模型中，是属于安全事件发生后的补救措施。
A.保护
B.恢复
C.响应
D.检测
38.我国正式公布了电子签名法，数字签名机制用于实现需求。
A.抗否认
B.保密性
C.完整性
D.可用性
39.在需要保护的信息资产中，是最重要的。
A.环境
B.硬件
C.数据
D.软件
三、多选题
1.全国人民代表大会常务委员会《关于维护互联网安全的决定》规定，利用互联网实施违法行为，尚不构成犯罪的，对直接负责的主管人员和其他直接责任人员，依法给予或者。
A.行政处分
B.纪律处分
C.民事处分
D.刑事处分
2.《计算机信息网络国际联网安全保护管理办法》规定，任何单位和个人不得从事下列危害计算机信息网络安全的活动：。
A.故意制作、传播计算机病毒等破坏性程序的
B.未经允许，对计算机信息网络功能进行删除、修改或者增加的
C.未经允许，对计算机信息网络中存储、处理或者传输的数据和应用程序进行删除、修改或者增加的
D.未经允许，进入计算机信息网络或者使用计算机信息网络资源的
3.《互联网上网服务营业场所管理条例》规定，负责互联网上网服务营业场所经营许可审批和服务质量监督。
A.省电信管理机构
B.自治区电信管理机构
C.直辖市电信管理机构
D.自治县电信管理机构
E.省信息安全管理机构
4.《互联网信息服务管理办法》规定，互联网信息服务提供者不得制作、复制、发布、传播的信息内容有。
A.损害国家荣誉和利益的信息
B.个人通信地址
C.个人文学作品
D.散布淫秽、色情信息
E.侮辱或者诽谤他人，侵害他人合法权益的信息
5.《计算机信息系统安全保护条例》规定，由公安机关处以警告或者停机整顿。
A.违反计算机信息系统安全等级保护制度，危害计算机信息系统安全的
B.违反计算机信息系统国际联网备案制度的
C.有危害计算机信息系统安全的其他行为的
D.不按照规定时间报告计算机信息系统中发生的案件的
E.接到公安机关要求改进安全状况的通知后，在限期内拒不改进的
6.互联网服务提供者和联网使用单位应当落实的互联网安全保护技术措施包括。
A.防范计算机病毒、网络入侵和攻击破坏等危害网络安全事项或者行为的技术措施
B.重要数据库和系统主要设备的冗灾备份措施
C.记录并留存用户登录和退出时间、主叫号码、帐号、互联网地址或域名、系统维护日志的技术措施
D.法律、法规和规章规定应当落实的其他安全保护技术措施
7.计算机信息系统安全的三个相辅相成、互补互通的有机组成部分是。
A.安全策略
B.安全法规
C.安全技术
D.安全管理
8.《计算机信息网络国际联网安全保护管理办法》规定，任何单位和个人不得制作、复制、发布、传播的信息内容有。
A.损害国家荣誉和利益的信息
B.个人通信地址
C.个人文学作品
D.淫秽、色情信息
E.侮辱或者诽谤他人，侵害他人合法权益的信息
9.全国人民代表大会常务委员会《关于维护互联网安全的决定》规定，为了维护社会主义市场经济秩序和社会管理秩序，行为，构成犯罪的，依照刑法有关规定追究刑事责任。
A.利用互联网销售伪劣产品或者对商品、服务作虚假宣传
B.利用互联网侵犯他人知识产权
C.利用互联网编造并传播影响证券、期货交易或者其他扰乱金融秩序的虚假信息
D.利用互联网损害他人商业信誉和商品声誉
E.在互联网上建立淫秽网站、网页，提供淫秽站点链接服务，或者传播淫秽书刊、影片、音像、图片
10.信息系统常见的危险有。
A.软硬件设计故障导致网络瘫痪
B.黑客入侵
C.敏感信息泄露
D.信息删除
E.电子邮件发送
11.信息系统安全保护法律规范的作用主要有。
A.教育作用
B.指引作用
C.评价作用
D.预测作用
E.强制作用
12.根据定义，信息安全的保护对象是信息资产，典型的信息资产包括。
A.硬件
B.软件
C.人员
D.数据
E.环境
13.根据定义，信息安全的目标就是保证信息资产的三个基本安全属性，包括。
A.不可否认性
B.保密性
C.完整性
D.可用性
E.可靠性
14.治安管理处罚法规定，行为，处5日以下拘留；情节较重的，处5日以上10日以下拘留。
A.违反国家规定，侵入计算机信息系统，造成危害的
B.违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行的
C.违反国家规定，对计算机信息系统中存储、处理、传输的数据和应用程序进行删除、修改、增加的
D.故意制作、传播计算机病毒等破坏性程序，影响计算机信息系统正常运行的
四、问答题
1.简述信息安全发展所历经的三个主要阶段以及它们各自的特点。
2.简述安全模型的原理。
3.简述信息安全定义及其含义。
4.简述信息安全的三个基本属性。
5.简述我国刑法对网络犯罪的相关规定。
答案
一、判断题
1.对
2.错
3.错
4.对
5.对
6.错
7.错
8.对
9.对
二、单选题
1 2 3 4 5 6
7
8 9 10 11 12 13
14
15 16 17 18 19 20
21
22 23 24 25 26 27
28
29 30 31 32 33 34
35
36 37 38 39
三、多选题
1 2 3 4
5
6 7 8 9 10
11 12 13 14
四、问答题
1.简述信息安全发展所历经的三个主要阶段以及它们各自的特点。
答：信息安全发展历经了三个主要阶段：
（1）通信保密阶段，在这个阶段中，关注的是通信内容的保密性属性，保密等同于信息安全。
（2）信息安全阶段，人们发现，在原来所关注的保密性属性之外，还有其他方面的属性也应当是信息安全所关注的，这其中最主要的是完整性和可用性属性，由此构成了支撑信息安全体系的三要素。
（3）安全保障阶段，所谓安全保障，就是在统一安全策略的指导下，安全事件的事先预防（保护），事发处理（检测和响应），事后恢复（恢复）四个主要环节相互配合，构成一个完整的保障体系。
2.简述安全模型的原理。
答：模型之所以著名，是因为它是第一个从时间关系描述一个信息系统是否安全的模型，模型中的P代表保护、D代表检测、R代表响应，该模型中使用了三个时间参数：
（1），有效保护时间，是指信息系统的安全控制措施所能有效发挥保护作用的时间；
（2），检测时间，是指安全检测机制能够有效发现攻击、破坏行为所需的时间；
（3），响应时间，是指安全响应机制作出反应和处理所需的时间。
模型用下列时间关系表达式来说明信息系统是否安全：
（1）>，系统安全，即在安全机制针对攻击、破坏行为作出了成功的检测和响应时，安全控制措施依然在发挥有效的保护作用，攻击和破坏行为未给信息系统造成损失。
（2）<，系统不安全，即信息系统的安全控制措施的有效保护作用，在正确的检测和响应作出之前就已经失效，破坏和攻击行为已经给信息系统造成了实质性破坏和影响。
3.简述信息安全定义及其含义。
答：信息安全定义：信息安全是为数据处理系统建立和采用的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因遭到破坏、更改和泄露。它包括三方面含义：
（1）信息安全的保护对象是信息资产，典型的信息资产包括了计算机硬件、软件和数据。
（2）信息安全的目标就是保证信息资产的三个基本安全属性，保密性、完整性和可用性三个基本属性是信息安全的最终目标。
（3）实现信息安全目标的途径要借助两方面的控制措施，即技术措施和管理措施。
4.简述信息安全的三个基本属性。
答：信息安全包括了保密性、完整性和可用性三个基本属性：
（1）保密性——，确保信息在存储、使用、传输过程中不会泄露给非授权的用户或者实体。
（2）完整性——，确保信息在存储、使用、传输过程中不被非授权用户篡改；防止授权用户对信息进行不恰当的篡改；保证信息的内外一致性。（3）可用性——，确保授权用户或者实体对于信息及资源的正常使用不会被异常拒绝，允许其可靠而且及时地访问信息及资源。
5.简述我国刑法对网络犯罪的相关规定。
答：我国刑法关于网络犯罪的三个专门条款，分别规定了非法侵入计算机信息系统罪（第285条）；破坏计算机信息系统罪（第286条）；利用计
算机实施金融诈骗、盗窃、贪污、挪用公款、窃取国家秘密或者其他犯罪（第287条），并将其一并归入分则第六章“妨害社会管理秩序罪”第一节“扰乱公共秩序罪”。
信息安全工作管理规定 信息系统安全管理组织机构 局长、书记 副局长、及总工 机关处室、基层单位负责人 1总则 1.1为加强计算机信息系统的安全管理，促进信息化建设的健康发展，保障电网的安全稳定运行和正常生产经营管理，根据《中华人民共和国计算机信息系统安全保护条例》等国家和上级单位的有关法律法规、标准规范，结合我局信息系统的实际情况制定本规定。 1.2本规定所称的信息系统是指信息广域网及内部局域网，以及在网络上运行的或未联网的所有信息系统（包括硬件、软件、数据等）。 1.3信息系统安全管理要纳入全局的安全生产管理体系，遵循“统一领导、统一规划、统一标准、统一组织建设”和“谁主管、谁负责、联合防护、协同处置”的原则，实行“安全第一、预防为主、管理与技术并重、综合防范”的方针。 1.4信息系统的安全保护，应当保障信息设备、设施的安全和运行环境的安全，保障计算机网络和信息系统功能的正常发挥，保障信息的安全，维护信息系统的安全运行。 1.5信息系统的安全保护，要综合平衡安全成本和风险，优化网络与信息安全资源的配置，实行网络与信息安全等级保护，确保重点。重点保护网络以及关系到企业重大利益，电网安全生产运行等方面的重要信息系统的安全。 1.6局所属任何单位或个人不得利用信息系统从事危害国家利益、公司利益和职工合法权益的活动，不得危害信息系统的安全。 1.7 本规定适用于所属各单位。 2安全管理责任制 2.1信息系统安全工作实行全局统一领导下的分级管理，逐级负责制度。 2.2各单位主要负责人是本单位信息系统安全第一责任人。2.3局信息系统安全管理领导小组负责全局信息系统安全重大事项的决策和协调。管理全局信息系统安全工作，进行指导、协调、监督和考核，并履行以下管理职责： , 统筹本局网络建设和管理信息系统的建设及相应规章制度的建立。 2.3.2 建立健全信息系统安全管理制度和标准，组织制定信息系统安全策略，
信息安全管理手册 目录 01 颁布令 (3) 02 管理者代表授权书 (4) 03 企业概况 (5) 04 信息安全管理方针目标 (6) 05 手册的管理 (8) 信息安全管理手册 (9) 1 范围 (9) 1.1 总则 (9) 1.2 应用 (9) 2 规范性引用文件 (10) 3 术语和定义 (10) 3.1 本公司 (10) 3.2 信息系统 (10) 3.3 计算机病毒 (10) 3.4 信息安全事件 (10) 3.5 相关方 (10) 4 信息安全管理体系 (11) 4.1 概述 (11) 4.2 建立和管理信息安全管理体系 (11) 4.3 文件要求 (17) 5 管理职责 (20) 5.1 管理承诺 (20) 5.2 资源管理 (20)
6 内部信息安全管理体系审核 (21) 6.1 总则 (21) 6.2 内审策划 (21) 6.3 内审实施 (21) 7 管理评审 (23) 7.1 总则 (23) 7.2 评审输入 (23) 7.3 评审输出 (23) 7.4 评审程序 (24) 8 信息安全管理体系改进 (25) 8.1 持续改进 (25) 8.2 纠正措施 (25) 8.3 预防措施 (25) 附录A（规范性附录）信息安全管理组织结构图 (27) 附录B（规范性附录）办公大楼平面图 (28) 附录C（规范性附录）信息安全管理职责明细表 (27) 附录D（资料性附录）信息安全管理程序文件清单 (31) 附录E （规范性附录）信息安全角色和职责 (30) 附录F（规范性附录）组织机构图 (35) 附录G（规范性附录）ISMS职能分配表 (36)
信息安全管理办法 第一章总则 第一条为加强公司信息安全管理，推进信息安全体系建设，保障信息系统安全稳定运行，根据国家有关法律、法规和《公司信息化工作管理规定》，制定本办法。 第二条本办法所指的信息安全管理，是指计算机网络及信息系统（以下简称信息系统）的硬件、软件、数据及环境受到有效保护，信息系统的连续、稳定、安全运行得到可靠保障。 第三条公司信息安全管理坚持“谁主管谁负责、谁运行谁负责”的基本原则，各信息系统的主管部门、运营和使用单位各自履行相关的信息系统安全建设和管理的义务与责任。 第四条信息安全管理，包括管理组织与职责、信息安全目标与工作原则、信息安全工作基本要求、信息安全监控、信息安全风险评估、信息安全培训、信息安全检查与考核。 第五条本办法适用于公司总部、各企事业单位及其全体员工。 第二章信息安全管理组织与职责 第六条公司信息化工作领导小组是信息安全工作的最高决策机构，负责信息安全政策、制度和体系建设规划的审批，部署并协调信息安全体系建设，领导信息系统等级保护工作。 第七条公司建立和健全由总部、企事业单位以及信息技术支持单位三方面组成，协调一致、密切配合的信息安全组织和责任体系。各级信息安全组织均要明确主管领导，确定相关责任，设置相应岗位，配备必要人员。 第八条信息管理部是公司信息安全的归口管理部门，负责落实信息化工作领导小组的决策，实施公司信息安全建设与管理，确保重要信息系统的有效保护和安全运行。具体职责包括：组织制定和实施公司信息安全政策标准、管理制度和体系建设规划，组织实施信息安全项目和培训，组织信息安全工作的监督和检查。 第九条公司保密部门负责信息安全工作中有关保密工作的监督、检查和指导。
信息安全管理规定 1目的 在遵循集团《计算机信息安全管理制度》原则基础上，为确保公司网络平台、信息系统的正常运行及信息系统中的信息数据安全，防止泄密，针对公司实际情况，制定本管理规定。 2范围 本办法适用于公司全体员工。 3术语定义 3.1 计算机信息：是指存储在计算机相关设备上的应用系统（软件）、数据、文档、图纸等含有一定意义的计算机信息资料。 3.2 内部网络：是指园区网络及通过专线与园区互联的其他园区、驻外机构网络（以下简称内网）。 3.3 外部网络：是指互联网或除互联网和公司内网之外的第三方专网（以下简称外网）。 3.4 VPN：虚拟专用网络（Virtual Private Network，简称VPN），是指在公共网络上建立专用网络的技术，属于远程访问技术，就是利用公网链路架设的虚拟私有网络。 4职责 4.1信息化管理部门：公司信息化管理部门，负责计算机信息安全日常工作，事业部接入级网络交换设备的管理工作，及时向总部信息化管理部门、督察部门报告重大计算机信息安全隐患和计算机信息安全事件。 4.2 计算机用户：负责本人领用的办公计算机的日常保养、正常操作及安全管理，负责所接触计算机信息的保密性、可用性和完整性；及时向信息化管理部门报告计算机信息安全隐患和计算机信息安全事件。涉密信息的起草人必须按公司《保密制度》相关规定提出信息密级的定级申请。 5内容与要求 5.1 账号和密码安全管理 5.1.1 信息系统用户账号须严格按照业务信息系统要求进行设置，原则上不得设置成共用账号，以确保使用人与账号的唯一性。 5.1.2 员工申请信息系统账号权限时，所在部门的负责人应严格审核，控制授予满足其工作需要的最小权限；员工岗位或工作内容发生变化后应及时提出申请权限变更，应用系统管理员应及时变更异动员工的权限，冻结离职员工的账号。 5.1.3计算机用户应妥善保管好自己的系统账号密码或身份认证设备，如发现遗失或被盗，应立即向信息化管理部门报告，信息化管理部门应及时处理，确保账号使用的合法性。
网络与信息安全管理工作岗位年度个人工作总结网络与信息安全管理工作岗位=个人原创，绝非网络复制，欢迎下载= 转眼之间，一年的光阴又将匆匆逝去。回眸过去的一年，在×××（改成网络与信息安全管理岗位所在的单位）网络与信息安全管理工作岗位上，我始终秉承着“在岗一分钟，尽职六十秒”的态度努力做好网络与信息安全管理岗位的工作，并时刻严格要求自己，摆正自己的工作位置和态度。在各级领导们的关心和同事们的支持帮助下，我在网络与信息安全管理工作岗位上积极进取、勤奋学习，认真圆满地完成今年的网络与信息安全管理工作任务，履行好×××（改成网络与信息安全管理岗位所在的单位）网络与信息安全管理工作岗位职责，各方面表现优异，得到了领导和同事们的一致肯定。现将过去一年来在网络与信息安全管理工作岗位上的学习、工作情况作简要总结如下：一、思想上严于律己，不断提高自身修养一年来，我始终坚持正确的价值观、人生观、世界观，并用以指导自己在×××（改成网络与信息安全管理岗位所在的单位）网络与信息安全管理岗位上学习、工作实践活动。虽然身处在网络与信息安全管理工作岗位，但我时刻关注国际时事和中-央最新的精神，不断提高对自己故土家园、民族和文化的归属感、认同感和尊严感、荣誉感。在×××（改成网络与信息安全管理岗位所在的单位）网络与信息安全管理工作岗
位上认真贯彻执行中-央的路线、方针、政-策，尽职尽责，在网络与信息安全管理工作岗位上作出对国家力所能及的贡献。 二、工作上加强学习，不断提高工作效率 时代在发展，社会在进步，信息技术日新月异。×××网络与信息安全管理工作岗位相关工作也需要与时俱进，需要不断学习新知识、新技术、新方法，以提高网络与信息安全管理岗位的服务水平和服务效率。特别是学习网络与信息安全管理工作岗位相关法律知识和相关最新政策。唯有如此，才能提高×××网络与信息安全管理工作岗位的业务水平和个人能力。定期学习×××网络与信息安全管理工作岗位工作有关业务知识，并总结吸取前辈在×××网络与信息安全管理工作岗位工作经验，不断弥补和改进自身在×××网络与信息安全管理工作岗位工作中的缺点和不足，从而使自己整体工作素质都得到较大的提高。 回顾过去一年来在**（改成网络与信息安全管理岗位所在的
第六章信息安全管理 第一节信息安全管理概述 一、信息安全管理的内容 1、什么信息安全管理？ 通过计划、组织、领导、控制等环节来协调人力、物力、财力等资源，以期有效达到组织信息安全目标的活动。 2、信息安全管理的主要活动 制定信息安全目标和寻找实现目标的途径； 建设信息安全组织机构，设置岗位、配置人员并分配职责； 实施信息安全风险评估和管理；制定并实施信息安全策略； 为实现信息安全目标提供资源并实施管理； 信息安全的教育与培训；信息安全事故管理；信息安全的持续改进。 3、信息安全管理的基本任务 （1）组织机构建设（2）风险评估（3）信息安全策略的制定和实施 （4）信息安全工程项目管理（5）资源管理 ◆（1）组织机构建设 ★组织应建立专门信息安全组织机构，负责： ①确定信息安全要求和目标；②制定实现信息安全目标的时间表和预算 ③建立各级信息安全组织机构和设置相应岗位④分配相应职责和建立奖惩制度 ⑤提出信息安全年度预算，并监督预算的执行⑥组织实施信息安全风险评估并监督检查 ⑦组织制定和实施信息安全策略，并对其有效性和效果进行监督检查 ⑧组织实施信息安全工程项目⑨信息安全事件的调查和处理 ⑩组织实施信息安全教育培训⑾组织信息安全审核和持续改进工作 ★组织应设立信息安全总负责人岗位，负责： ①向组织最高管理者负责并报告工作②执行信息安全组织机构的决定 ③提出信息安全年度工作计划④总协调、联络 ◆（2）风险评估 ★信息系统的安全风险 信息系统的安全风险，是指由于系统存在的脆弱性，人为或自然的威胁导致安全事件发生的可能性及其造成的影响。 ★信息安全风险评估 是指依据国家有关信息技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学评价的过程 它要评估信息系统的脆弱性、信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根据安全事件发生的可能性和负面影响的程度来识别信息系统的安全风险。 ★信息系统安全风险评估的总体目标是： 服务于国家信息化发展，促进信息安全保障体系的建设，提高信息系统的安全保护能力。 ★信息系统安全风险评估的目的是： 认清信息安全环境、信息安全状况；有助于达成共识，明确责任；采取或完善安全保障措施，使其更加经济有效，并使信息安全策略保持一致性和持续性。 ★信息安全风险评估的基本要素 使命：一个单位通过信息化实现的工作任务。 依赖度：一个单位的使命对信息系统和信息的依靠程度。 资产：通过信息化建设积累起来的信息系统、信息、生产或服务能力、人员能力和赢得的信誉等。 价值：资产的重要程度和敏感程度。 威胁：一个单位的信息资产的安全可能受到的侵害。威胁由多种属性来刻画：威胁的主体（威胁源）、
关于企业信息安全管理制度 安全生产是企业的头等大事，必须坚持“安全第一，预防为主”的方针和群防群治制度，认真贯彻落实安全管理制度，切实加强安全管理，保证职工在生产过程中的安全与健康。根据国家和省有关法规、规定和文件，制定本企业信息安全管理制度。 一、计算机设备安全管理制度 计算机不同于其他办公设备，其实用性、严密性、操作技术性强，含量高、部件易受损；特别是联网计算机，开放性程度比较高，电脑内部易受外界的偷窥、攻击和病毒感染。为确保计算机软、硬件及网络的正常使用，特制定本制度。 1、公司内所有计算机归网络部统一管理，配备计算机的员工只负责使用操作； 2、计算机管理涉及的范围： 2.1所有硬件（包括外接设备）及网络联接线路； 2.2计算机及网络故障的排除； 2.3计算机及网络的维护与维修； 2.4操作系统的管理； 3、公司内所有计算机使用人员均为计算机操作员； 4、网络维护部负责对公司内所有计算机进行定期检查，一般每两月进行一次； 5、计算机的使用部门要保持清洁、安全、良好的计算机设备工作环境，禁止在计算机应用环境中放置易燃、易爆、强腐蚀、强磁性等有害计算机设备安全的物品。 6、非本单位技术人员对我单位的设备、系统等进行维修、维护时，必须由本单位相关技术人员现场全程监督。计算机设备送外维修，须经有关部门负责人批准。 7、严格遵守计算机设备使用、开机、关机等安全操作规程和正确的使用方法。任何人不允许带电插拨计算机外部设备接口，计算机出现故障时应及时向电脑负责部门报告，不允许私自处理或找非本单位技术人员进行维修及操作。 二、操作员安全管理制度 1、计算机原则上由专人负责操作维护，不得串用设备。下班后必须按程序关闭主机和其他设备，切断电源。 2、为保证计算机信息安全，必须为计算机设置密码。 3、计算机操作员除使用操作计算机外，不允许有以下行为： 3.1硬件设备出现故障擅自拆开主机机箱盖板； 3.2更换计算机配件（如鼠标、键盘、耳麦）；如有向网络管理员写设备申请单审批。 3.3删除计算机操作系统及公司指定的软件； 3.4使用带病毒的计算机软件； 3.5让外来人员进行有损于计算机的技术性操作； 4、不得使用来路不明或未经杀毒的盘片。计算机操作员定期对计算机进行杀毒。如发现计算机有病毒时，应及时清除，清除不了的病毒，要及时上报。 5、个人的公司重要文档、资料和数据保存时必须将资料储存在除操作系统外的其它磁盘空间，严禁将重要文件存放于桌面或C盘下。 6、工作时间内严禁工作人员在计算机上进行与工作无关的操作，不准上网与工作无关的聊天、玩电脑游戏、看影视、听音乐，迅雷下载等，
信息安全管理手册iso27001 信息安全管理手册V1.0 版本号：
信息安全管理手册iso27001 录目 1 ................................................................ 颁布令 01 2 ...................................................... 管理者代表授权书 02 3 ............................................................. 企业概况 03 3 .................................................. 信息安全管理方针目标 04 6 ............................................................ 手册的管理05 7 ......................................................... 信息安全管理手册7 (1) 范围 7 ............................................................. 1.1 总则7 ............................................................. 1.2 应用8 (2) 规范性引用文件 8 ........................................................... 3 术语和定义.8 ........................................................... 3.1 本公司 8 ......................................................... 3.2 信息系统 8 ....................................................... 3.3 计算机病毒 8 ..................................................... 信息安全事件3.4 8 ........................................................... 相关方3.5 9 . ..................................................... 4 信息安全管理体系9 ............................................................. 4.1 概述9 ....................................... 4.2 建立和管理信息安全管理体系 15 ........................................................ 4.3 文件要求18 ............................................................ 管理职
File Description Information Safety Management Policy JY/WI-AD01101 页码Page：1/15 1.0目的Purpose 规范公司信息处理程序，确保公司各种信息访问和交流的安全性。 To standardize information processing procedures and ensure the safety of access to various information and communications of the Company. 2.0范围Scope 适合公司各类信息载体（含电子文档，纸质文档）。 Various types of information carriers of the Company (including electronic files and paper files). 3.0权限Scope of Authority 3.1总经理General Manager 3.1.1批准公司信息安全管理程序； 3.1.1Reviewing and approving the Company’s information safety management policy; 3.1.2为公司落实信息安全管理程序提供资源保障； 3.1.2 Providing resources for the implementation of the Company’s information safety management policy; 3.1.3批准公司核心员工和敏感电脑。 3.1.3 Approving the appointment of key employees and allocation of sensitive computers. 3.2管理者代表Management Representative 审核信息安全管理程序，协调各部门认真执行该程序。 Reviewing the information safety management policy and coordinate the implementation of the policy in individual departments. 3.3人事行政部Personnel & Administration Department 3.3.1制定并落实信息安全管理程序； 3.3.1 Formulating and implementing the Company’s information safety management policy; 3.3.2对员工进行安全保密法规教育，增强员工信息安全意识，组织核心岗位员工签订保密
Through the joint creation of clear rules, the establishment of common values, strengthen the code of conduct in individual learning, realize the value contribution to the organization.公司信息安全管理制度正 式版
公司信息安全管理制度正式版 下载提示：此管理制度资料适用于通过共同创造，促进集体发展的明文规则，建立共同的价值观、培 养团队精神、加强个人学习方面的行为准则，实现对自我，对组织的价值贡献。文档可以直接使用， 也可根据实际需要修订后使用。 信息安全是指通过各种策略保证公司计算机设备、信息网络平台（内部网络系统及ERP、CRM、WMS、网站、企业邮箱等）、电子数据等的安全、稳定、正常，旨在规范与保护信息在传输、交换和存储、备份过程中的机密性、完整性和真实性。为加强公司信息安全的管理，预防信息安全事故的发生，特制定本管理制度。本制度适用于使用新合程计算机设备、信息系统、网络系统的所有人员。 1.计算机设备安全管理 1.1员工须使用公司提供的计算机设备
（特殊情况的，经批准许可的方能使用自已的计算机），不得私自调换或拆卸并保持清洁、安全、良好的计算机设备工作环境，禁止在计算机使用环境中放置易燃、易爆、强腐蚀、强磁性等有害计算机设备安全的物品。 1.2严格遵守计算机设备使用、开机、关机等安全操作规程和正确的使用方法。任何人不允许私自拆卸计算机组件，当计算机出现硬件故障时应及时向信息技术部报告，不允许私自处理和维修。 1.3员工对所使用的计算机及相关设备的安全负责，如暂时离开座位时须锁定系统，移动介质自行安全保管。未经许可，不得私自使用他人计算机或相关设备,不得
~~ 信息安全管理手册 版本号： V1.0
~~ 目录 01 颁布令 (1) 02 管理者代表授权书 (2) 03 企业概况 (3) 04 信息安全管理方针目标 (3) 05 手册的管理 (6) 信息安全管理手册 (7) 1范围 . (7) 1.1总则 (7) 1.2应用 (7) 2规范性引用文件 . (8) 3术语和定义 . (8) 3.1本公司 (8) 3.2信息系统 (8) 3.3计算机病毒 (8) 3.4信息安全事件 (8) 3.5相关方 (8) 4信息安全管理体系 . (9) 4.1概述 (9) 4.2建立和管理信息安全管理体系 (9) 4.3文件要求 (15) 5管理职责 . (18) 5.1管理承诺 (18) 5.2资源管理 (18) 6内部信息安全管理体系审核 . (19) 6.1总则 (19) 6.2内审策划 (19) 6.3内审实施 (19) 7管理评审 . (21)
~~ 7.2评审输入 (21) 7.3评审输出 (21) 7.4评审程序 (22) 8信息安全管理体系改进 (23) 8.1持续改进 (23) 8.2纠正措施 (23) 8.3预防措施 (23)
~~ 1颁布令 为提高我公司的信息安全管理水平，保障公司业务活动的正常进行，防止由于信息安全 事件（信息系统的中断、数据的丢失、敏感信息的泄密）导致的公司和客户的损失，我公司 开展贯彻 GB/T22080-2008idtISO27001:2005 《信息技术 - 安全技术 - 信息安全管理体系要求》 国际标准工作，建立、实施和持续改进文件化的信息安全管理体系，制定了《信息安全管理 手册》。 《信息安全管理手册》是企业的法规性文件，是指导企业建立并实施信息安全管理体系 的纲领和行动准则，用于贯彻企业的信息安全管理方针、目标，实现信息安全管理体系有效 运行、持续改进，体现企业对社会的承诺。 《信息安全管理手册》符合有关信息安全法律、GB/T22080-2008idtISO27001:2005 《信息技术 - 安全技术 - 信息安全管理体系 - 要求》标准和企业实际情况，现正式批准发布，自 2015年12 月 23 日起实施。企业全体员工必须遵照执行。 全体员工必须严格按照《信息安全管理手册》的要求，自觉遵循信息安全管理方针，贯 彻实施本手册的各项要求，努力实现公司信息安全管理方针和目标。 总经理： 2015 年 12月23日
a* ILIMOOH 佛山市南海天富科技有限公司信息安全管理体系建设咨询服务项目 时间：2015年12月
信息化建设引言 随着我国中小企业信息化的普及，信息化给我国中小企业带来积极影响的同时也带来了信息安全方面的消极影响。一方面：信息化在中小企业的发展程中，对节约企业成本和达到有效管理的起到了积极的推动作用。另一方面伴随着全球信息化和网络化进程的发展，与此相关的信息安全问题也日趋严 重。 由于我国中小企业规模小、经济实力不足以及中小企业的领导者缺乏信息安全领域知识和意识，导致中小企业的信息安全面临着较大的风险，我国中企业信息化进程已经步入普及阶段，解决我国中小企业的信息安全问题已经不容缓。 通过制定和实施企业信息安全管理体系能够规范企业员工的行为，保证各种技术手段的有效实施，从整体上统筹安排各种软硬件，保证信息安全体系同工作的高效、有序和经济性。信息安全管理体系不仅可以在信息安全事故生后能够及时采取有效的措施，防止信息安全事故带来巨大的损失，而更重的是信息安全管理体系能够预防和避免大多数的信息安全事件的发生。 信息安全管理就是对信息安全风险进行识别、分析、采取措施将风险降到可接受水平并维持该水平的过程。企业的信息安全管理不是一劳永逸的，由 新的威胁不断出现，信息安全管理是一个相对的、动态的过程，企业能做到的 就是要不断改进自身的信息安全状态，将信息安全风险控制在企业可接受的围之内，获得企业现有条件下和资源能力范围内最大程度的安全。 在信息安全管理领域，三分技术，七分管理”的理念已经被广泛接受。结合 ISO/IEC27001信息安全管理体系，提出一个适合我国中小企业的信息安全管理的模型，用以指导我国中小企业的信息安全实践并不断提高中小企业的安全管 理能力。 IS027001信息安全管理体系框架建立 ISO27001信息安全管理体系框架的搭建必须按照适当的程序来进行（如下
关于下发《**电信公司信息安全管理八项制度 (试行)》的通知 县级分公司、公司各部门： 根据中电信黑[2011] 793 号《黑龙江电信信息安全管理八项制度（试行）》，制定了《**电信公司信息安全管理八项制度(试行)》，请认真遵照执行。并将执行过程中出现的新情况，新问题及时反馈至运行维护部。 各相关职能部门要按照本制度规范尽快落实本部门的信息安全工作及责任人。 附件 1：**电信公司业务经营、合作的信息安全评估保障制度 附件 2：**电信公司违法违规信息应急处置流程 附件 3：**电信公司信息安全工作（资金、人员）保障制度
附件 4：**电信公司信息安全管理考核和奖惩制度附件 5：**电信公司信息安全技术保障制度 附件 6：**电信公司信息安全事件报告制度 附件 7：**电信公司信息安全事件应急处置制度附件 8：**电信公司信息安全组织机构管理制度
附件 1： **电信公司基础业务经营、合作的 信息安全评估保障制度 一、公司产品内容上线前应当由专人对相关内容的合法合规性进行审核，做到先审后发，产品中未通过审核的相关内容不得上线运营。需要审核的产品内容包括但不仅限于各产品中以公司名义对外发布的以及客户通过公司自营网站对外发布的图片、文字、流媒体等信息内容。 二、公司自营网站、自营业务业务板块或栏目新增、变更，须经各级公司部门负责人同意，报公司分管领导审批。 三、与合作方（含代收费）进行业务合作前，各部门业务运营部门（中心）应当严格审核其电信业务经营许可证或备案许可证、营业执照等经营资质材料，对其身份信息当面核验、留存有效证件复印件并报公司信息安全业务管理部门复核。在签订合作协议时，必须要求合作方签订《信息安全承诺书》，明确其负责合作涉及业务的信息安全，约定信息安全考核制度和违法违规处罚标准。 四、合作业务涉及合作方需进行 IP 地址和域名备案的， 在业务开通前，必须要求合作方出具 IP 地址和域名已经备案 的书面证明函件。
XX公司网络与信息安全管理组织机构设置及工作职责 一、总则 为规范XX公司（以下简称“公司”）信息安全管理工作，建立自上而下的信息安全工作管理体系，需建立健全相应的组织管理体系，以推动信息安全工作的开展。 二、范围 本管理办法适用于公司的信息安全组织机构和重要岗位的管理。 三、规范性引用文件 下列文件中的条款通过本标准的引用而成为本标准的条款。凡注明日期的应用文件，其随后的所有的修改单或修订版均不适用于本标准（不包括勘误、通知单），然而，鼓励根据本标准达成协议的各方研究是否可以使用这些文件的最新版本。凡未注日期的引用文件，其最新版本适用于本标准： 《信息安全技术信息系统安全保障评估框架》（GB/T 20274.1-2006） 《信息安全技术信息系统安全管理要求》（GB/T 20269-2006） 《信息安全技术信息系统安全等级保护基本要求》（GB/T 22239-2008） 四、组织机构 1、公司成立信息安全领导小组，是信息安全的最高决策机构，下设办公室，负责信息安全领导小组的日常事务。 2、信息安全领导小组负责研究重大事件，落实方针政策和制定总体策略等。职责主要包括：①根据国家和行业有关信息安全的策略、法律和法规，批准公司信息安全总体策略规划、管理规范和技术标准；②确定公司信息安全各有关部门工作职责，知道、监督信息安全工作。
3、信息安全领导小组下设两个工作组：信息安全工作组、应急处理工作组。组长均由公司负责人担任。 4、信息安全工作组的主要职责包括： ①贯彻执行公司信息安全领导小组的决议，协调和规范公司信息安全工作； ②根据信息安全领导小组的工作部署，对信息安全工作进行具体安排、落实； ③组织对重大的信息安全工作制度和技术操作策略进行审查，拟定信息安全总体策略规划，并监督执行；④负责协调、督促各职能部门和有关单位的信息安全工作，参与信息系统工程建设中的安全规划，监督安全措施的执行； ⑤组织信息安全工作检查，分析信息安全总体状况，提出分析报告和安全风险的防范对策；⑥负责接收各单位的紧急信息安全事件报告，组织进行时间调查，分析原因、涉及范围，并评估安全事件的严重程度，提出信息安全时间防范措施； ⑦及时向信息安全工作领导小组和上级有关部门、单位报告信息安全时间。 ⑧跟踪先进的信息安全技术，组织信息安全知识的培训和宣传工作。 5、应急处理工作组的主要职责包括： ①审定公司网络与信息系统的安全应急策略及应急预案； ②决定相应应急预案的启动，负责现场指挥，并组织相关人员排除故障，恢复系统； ③每年组织对信息安全应急策略和应急预案进行测试和演练。 五、关键岗位 1、设置信息系统的关键岗位并加强管理，配备系统管理员、网络管理员、应用开发管理员、安全审计员、安全保密管理员。要害岗位人员必须严格遵守
一、资源界定 1、业务系统信息安全包括托管在联通机房的所有服务器、网络线 路、网络设备、安装在服务器上的操作系统、业务系统、应用系 统、软件、网络设备上的OS、配置等软硬件设施。 2、任何人未经允许不得对业务系统所包含的软硬件进行包括访问， 探测，利用，更改等操作。 二、网络管理 1、网络结构安全管理 A、网络物理结构和逻辑结构定期更新，拓扑结构图上应包含 IP地址，网络设备名称，专线供应商名称及联系方式，专 线带宽等，并妥善保存，未经许可不得对网络结构进行修 改。 B、网络结构必须严格保密，禁止泄漏网络结构相关信息。 C、网络结构的改变，必须提交更改预案，并经过信息总监的 批准方可进行。 2、网络访问控制 D、络访问控制列表包括山石磊科路由和华三S5620的ACL。
E、妥善保管现有的网络访问控制列表，其中应包含网络设备 及型号，网络设备的管理IP，当前的ACL列表，更新列表 的时间，更新的内容等。 F、定期检查网络访问控制列表与业务需求是否一致，如不一 致，申请更新ACL。 G、未经许可不得进行ACL相关的任何修改。 H、ACL时，必须备份原有ACL，以防误操作。 I、ACL配置完成以后，必须测试。 J、禁止泄漏任何ACL配置。 3、网络络设备安全 K、妥善保管现有网络设备清单，包括供应商及联系人信息，设备型号，IP地址，系统版本，设备当前配置清单。 L、定期检查设备配置是否与业务需求相符，如有不符，申请更新配置。 M、配置网络设备时，必须备份原有配置，以防误操作。 N、配置完成之后，必须进行全面测试。 O、禁止在网络设备上进行与工作无关的任何测试。 P、未经许可不得进行任何配置修。 Q、禁止泄漏网络设备配置。
企业网络与信息安全管理组织构架 公司成立信息安全领导小组，是信息安全的最高决策机构，下设负责信息安全领导小组的日常事务。 二、信息安全领导小组负责研究重大事件，落实方针政策和制定总体策略等。职责主要包括： 1.根据国家和行业有关信息安全的政策、法律和法规； 2.批准公司信息安全总体策略规划、管理规范和技术标准； 3.确定公司信息安全有关部门工作职责，指导、监督信息安全工作。 二、信息安全领导小组下设两个工作组： 1.信息安全工作组于海峰负责、 2.应急处理工作组张会负责。 3.组长均由公司负责人郑建国担任。 三、信息安全工作组的主要职责包括： 1.贯彻执行公司信息安全领导小组的决议，协调和规范公司信息安全工作； 2.根据信息安全领导小组的工作部署，对信息安全工作进行具体安排、落实； 3.组织对重大的信息安全工作制度和技术操作策略进行审查，拟订信息安全总体策略规划，并监督执行； 4.负责协调、督促各职能部门和有关单位的信息安全工作，参与信息系统工程建设中的安全规划，监督安全措施的执行； 5.组织信息安全工作检查，分析信息安全总体状况，提出分析报告和安全风险的防范对策； 6.负责接受各单位的紧急信息安全事件报告，组织进行事件调查，分析原因、涉及范围，并评估安全事件的严重程度，提出信息安全事件防范措施； 7.及时向信息安全工作领导小组和上级有关部门、单位报告信息安全事件。 8.跟踪先进的信息安全技术，组织信息安全知识的培训和宣传工作。 四、应急处理工作组的主要职责包括： 1.审定公司网络与信息系统的安全应急策略及应急预案；
2.决定相应应急预案的启动，负责现场指挥，并组织相关人员排除故障，恢复系统； 3.每年组织对信息安全应急策略和应急预案进行测试和演练。 五、公司指定分管信息的领导负责本单位信息安全管理，并配备信息安全相关人员对公司信息安全领导小组和工作小组负责，落实本单位信息安全工作和应急处理工作。
信息安全管理制度 为加强公司各信息系统管理，保证信息系统安全，根据《中华人民共和国保守国家秘密法》和国家保密局《计算机信息系统保密管理暂行规定》、国家保密局《计算机信息系统国际联网保密管理规定》，及上级信息管理部门的相关规定和要求，结合公司实际，制定本制度。 本制度包括网络安全管理、信息系统安全保密制度、信息安全风险应急预案 网络安全管理制度 第一条公司网络的安全管理，应当保障网络系统设备和配套设施的安全，保障信息的安全，保障运行环境的安全。 第二条任何单位和个人不得从事下列危害公司网络安全的活动： 1、任何单位或者个人利用公司网络从事危害公司计算机网络及信息系统的安全。 2、对于公司网络主结点设备、光缆、网线布线设施，以任何理由破坏、挪用、改动。 3、未经允许，对信息网络功能进行删除、修改或增加。 4、未经允许，对计算机信息网络中的共享文件和存储、处理或传输的数据和应用程序进行删除、修改或增加。 5、故意制作、传播计算机病毒等破坏性程序。
6、利用公司网络，访问带有“黄、赌、毒”、反动言论内容的网站。 7、向其它非本单位用户透露公司网络登录用户名和密码。 8、其他危害信息网络安全的行为。 第三条各单位信息管理部门负责本单位网络的安全和信息安全工作，对本单位单位所属计算机网络的运行进行巡检，发现问题及时上报信息中心。 第四条连入公司网络的用户必须在其本机上安装防病毒软件，一经发现个人计算机由感染病毒等原因影响到整体网络安全，信息中心将立即停止该用户使用公司网络，待其计算机系统安全之后方予开通。 第五条严禁利用公司网络私自对外提供互联网络接入服务，一经发现立即停止该用户的使用权。 第六条对网络病毒或其他原因影响整体网络安全的子网，信息中心对其提供指导，必要时可以中断其与骨干网的连接，待子网恢复正常后再恢复连接。
一、信息安全管理 1、什么是信息安全管理，为什么需要信息安全管理？ 国际标准化组织对信息安全的定义是：“在技术上和管理上维数据处理系统建立的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因而遭到破坏、更改和泄露”。当今的信息系统日益复杂，其中必然存在系统设计、实现、内部控制等方面的弱点。如果不采取适当的措施应对系统运行环境中的安全威胁，信息资产就可能会遭受巨大的损失甚至威胁到国家安全。 2、系统列举常用的信息安全技术？ 密码技术、访问控制和鉴权；物理安全技术；网络安全技术；容灾与数据备份。 3、信息安全管理的主要内容有哪些？ 信息安全管理从信息系统的安全需求出发，结合组织的信息系统建设情况，引入适当的技术控制措施和管理体系，形成了综合的信息安全管理架构。 4、什么是信息安全保障体系，它包含哪些内容？ 5、信息安全法规对信息安全管理工作意义如何？ 它能为信息安全提供制度保障。信息安全法律法规的保障作用至少包含以下三方面： 1.为人们从事在信息安全方面从事各种活动提供规范性指导； 2.能够预防信息安全事件的发生； 3.保障信息安全活动参与各方的合法权益，为人们追求合法权益提供了依据和手段。 二、信息安全风险评估 1、什么是信息安全风险评估？它由哪些基本步骤组成？ 信息安全风险评估是指依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。风险评估可分为四个阶段，第一阶段为风险评估准备；第二阶段为风险识别，第三阶段为风险评价，第四阶段为风险处理。 2、信息资产可以分为哪几类？请分别举出一两个例子说明。 可以分为数据、软件、硬件、文档、人员、服务。例如：软件有系统软件、应用软件、源程序、数据库等。服务有办公服务、网络服务、信息服务等。 3、威胁源有哪些？其常见表现形式分别是什么？
信息安全管理手册 (一)发布说明 为了落实国家与XX市网络信息安全与等级保护的相关政策，贯彻信息安全管理体系标准，提高XXXX信息安全管理水平，维护XXXX电子政务信息系统安全稳定可控，实现业务信息和系统服务的安全保护等级，按照ISO/IEC 27001：2005《信息安全管理体系要求》、ISO/IEC 17799：2005《信息安全管理实用规则》，以及GB/T 22239-2008《信息系统安全等级保护基本要求》，编制完成了XXXX信息安全管理体系文件，现予以批准颁布实施。 信息安全管理手册是纲领性文件，是指导XXXX等各级政府部门建立并实施信息安全管理体系的行动准则，全体人员必须遵照执行。 信息安全管理手册于发布之日起正式实施。 XXXX 局长 _________________ 年月日 (二)授权书 为了贯彻执行ISO/IEC 27001：2005《信息安全管理体系要求》、ISO/IEC 17799：2005《信息安全管理实用规则》，以及GB/T 22239-2008《信息系统安全等级保护基本要求》，加强对信息安全管理体系运作的管理和控制，特授权XXXX 管理XX市政务信息安全工作，并保证信息安全管理职责的独立性，履行以下职责：
?负责建立、修改、完善、持续改进和实施XX市政务信息安全管理体系； ?负责向XXXX主任报告信息安全管理体系的实施情况，提出信息安全管理体系改进建议，作为管理评审和信息安全管理体系改进的基础； ?负责向XXXX各级政府部门全体人员宣传信息安全的重要性，负责信息安全教育、培训，不断提高全体人员的信息安全意识； ?负责XXXX信息安全管理体系对外联络工作。 (三)信息安全要求 1.具体阐述如下： （1）在XXXX信息安全协调小组的领导下，全面贯彻国家和XX市关于信息安全工作的相关指导性文件精神，在XXXX建立可持续改进的信息安全管理体系。 （2）全员参与信息安全管理体系建设，落实信息安全管理责任制，建立和完善各项信息安全管理制度，使得信息安全管理有章可循。 （3）通过定期地信息安全宣传、教育与培训，不断提高XXXX所有人员的信息安全意识及能力。 （4）推行预防为主的信息安全积极防御理念，同时对所发生的信息安全事件进行快速、有序地响应。 （5）贯彻风险管理的理念，定期对“门户”等重要信息系统进行风险评估和控制，将信息安全风险控制在可接受的水平。 （6）按照PDCA精神，持续改进XXXX信息安全各项工作，保障XXXX电子政务外网安全畅通与可控，保障所开发和维护信息系统的安全稳定，为XXXX所有企业和社会公众提供安全可靠的电子政务服务。 2.信息安全总体要求 （1）建立XXXX信息化资产（软件、硬件、数据库等）目录。 （2）“门户”信息系统，按照等级保护要求进行建设和运维。各单位自建的网络、和信息系统参照执行。
1国家宏观信息安全管理方面,主要有以下几方面问题： （1）法律法规问题。健全的信息安全法律法规体系是确保国家信息安全的基础,是信息安全的第一道防线. （2）管理问题。（包括三个层次：组织建设、制度建设和人员意识） （3）国家信息基础设施建设问题。目前,中国信息基础设施几乎完全是建立在外国的核心信息技术之上的,导致我国在网络时代没有制网权.2005年度经济人物之首:中国芯创立者邓中翰.十五期间,国家863计划和科技攻关的重要项目:信息安全与电子政务,金融信息化两个信息安全研究项目. 2微观信息安全管理方面存在的主要问题为： （1）缺乏信息安全意识与明确的信息安全方针。 （2）重视安全技术，轻视安全管理。信息安全大约70%以上的问题是由管理原因造成的. （3）安全管理缺乏系统管理的思想。 3信息安全的基本概念(重点CIA) 信息安全（Information security)是指信息的保密性（Confidentiality)、完整性（Integrity)和可用性（Availability)的保持。 C:信息保密性是保障信息仅仅为那些被授权使用的人获取,它因信息被允许访问对象的多少而不同. I:信息完整性是指为保护信息及其处理方法的准确性和完整性,一是指信息在利用,传输,储存等过程中不被篡改,丢失,缺损等,另外是指信息处理方法的正确性. A:信息可用性是指信息及相关信息资产在授权人需要时可立即获得.系统硬件,软件安全,可读性保障等 4信息安全的重要性：a.信息安全是国家安全的需要b.信息安全是组织持续发展的需要 c.信息安全是保护个人隐私与财产的需要 5如何确定组织信息安全的要求：a.法律法规与合同要求b.风险评估的结果(保护程度与控制 方式)c.组织的原则、目标与要求 6信息安全管理是指导和控制组织的关于信息安全风险的相互协调的活动，关于信息安全风险的指导和控制活动通常包括制定信息安全方针、风险评估、控制目标与方式选择、风险控制、安全保证等。信息安全管理实际上是风险管理的过程,管理的基础是风险的识别与评估。 7 图1-1信息安全管理PDCA持续改进模式：.doc 系统的信息安全管理原则： （1）制订信息安全方针原则：制定信息安全方针为信息安全管理提供导向和支持（2）风险评估原则：控制目标与控制方式的选择建立在风险评估的基础之上 （3）费用与风险平衡原则：将风险降至组织可接受的水平，费用太高不接受 （4）预防为主原则：信息安全控制应实行预防为主，做到防患于未然 （5）商务持续性原则：即信息安全问题一旦发生，我们应能从故障与灾难中恢复商务运作，不至于发生瘫痪，同时应尽力减少故障与灾难对关键商务过程的影响（6）动态管理原则：即对风险实施动态管理 （7）全员参与的原则： （8）PDCA原则：遵循管理的一般循环模式--Plan(策划)---Do(执行)---Check(检查)---Action(措施)的持续改进模式。PDCA模式，如图