信息安全管理练习题

信息安全管理练习题-2014

判断题：

1. 信息安全保障阶段中，安全策略是核心，对事先保护、事发检测和响应、事后恢复起到了统一指导作用。（×）

注释：在统一安全策略的指导下，安全事件的事先预防（保护），事发处理（检测Detection和响应Reaction)、事后恢复（恢复Restoration）四个主要环节相互配合，构成一个完整的保障体系，在这里安全策略只是指导作用，而非核心。

2. 一旦发现计算机违法犯罪案件，信息系统所有者应当在2天内迅速向当地公安机关报案，并配合公安机关的取证和调查。（×）

注释：应在24小时内报案

3. 我国刑法中有关计算机犯罪的规定，定义了3种新的犯罪类型（×）

注释：共3种计算机犯罪，但只有2种新的犯罪类型。

单选题：

1. 信息安全经历了三个发展阶段，以下( B )不属于这三个发展阶段。

A. 通信保密阶段

B. 加密机阶段

C. 信息安全阶段

D. 安全保障阶段

2. 信息安全阶段将研究领域扩展到三个基本属性，下列（ C ）不属于这三个基本属性。

A. 保密性

B. 完整性

C. 不可否认性

D. 可用性

3. 下面所列的（ A ）安全机制不属于信息安全保障体系中的事先保护环节。

A. 杀毒软件

B. 数字证书认证

C. 防火墙

D. 数据库加密

4. 《信息安全国家学说》是（ C ）的信息安全基本纲领性文件。

A. 法国

B. 美国

C. 俄罗斯

D. 英国

注：美国在2003年公布了《确保网络空间安全的国家战略》。

5. 信息安全领域内最关键和最薄弱的环节是（ D ）。

A. 技术

B. 策略

C. 管理制度

D. 人

6. 信息安全管理领域权威的标准是（ B ）。

A. ISO 15408

B. ISO 17799/ISO 27001(英）

C. ISO 9001

D. ISO 14001

7. 《计算机信息系统安全保护条例》是由中华人民共和国（ A )第147号发布的。

A. 国务院令

B. 全国人民代表大会令

C. 公安部令

D. 国家安全部令

8. 在PDR安全模型中最核心的组件是（ A ）。

A. 策略

B. 保护措施

C. 检测措施

D. 响应措施

9. 在完成了大部分策略的编制工作后，需要对其进行总结和提炼，产生的结果文档被称为（ A )。

A. 可接受使用策略AUP

B. 安全方针

C. 适用性声明

D. 操作规范

10. 互联网服务提供者和联网使用单位落实的记录留存技术措施，应当具有至少保存（ C ）天记录备份的功能。

A. 10

B. 30

C. 60

D.90

11. 下列不属于防火墙核心技术的是（ D ）

A. （静态/动态)包过滤技术

B. NAT技术

C. 应用代理技术

D. 日志审计

12. 应用代理防火墙的主要优点是（ B )

A. 加密强度更高

B. 安全控制更细化、更灵活

C. 安全服务的透明性更好

D. 服务对象更广泛

13. 对于远程访问型VPN来说，（ A ）产品经常与防火墙及NAT机制存在兼容性问题，导致安全隧道建立失败。

A. IPSec VPN

B. SSL VPN

C. MPLS VPN

D. L2TP VPN

注：IPSec协议是一个应用广泛，开放的VPN安全协议，目前已经成为最流行的VPN解决方案。在IPSec框架当中还有一个必不可少的要素: Internet安全关联和密钥管理协议——IKE(或者叫ISAKMP/Oakley)，它提供自动建立安全关联和管理密钥的功能。

14. 1999年，我国发布的第一个信息安全等级保护的国家标准GB 17859-1999，提出将信息系统的安全等级划分为（ D ）个等级，并提出每个级别的安全功能要求。

A. 7

B. 8

C. 6

D. 5

注：该标准参考了美国的TCSEC标准，分自主保护级、指导保护级、监督保护级、强制保护级、专控保护级。

15. 公钥密码基础设施PKI解决了信息系统中的（ A ）问题。

A. 身份信任

B. 权限管理

C. 安全审计

D. 加密

注：PKI（Public Key Infrastructure,公钥密码基础设施)，所管理的基本元素是数字证书。

16. 最终提交给普通终端用户，并且要求其签署和遵守的安全策略是（ C ）。

A. 口令策略

B. 保密协议

C. 可接受使用策略AUP

D. 责任追究

制度

知识点：

1. 《信息系统安全等级保护测评准则》将测评分为安全控制测试和系统整体测试两个方面。

2. 安全扫描可以弥补防火墙对内网安全威胁检测不足的问题。

3. 1994年2月18日国务院发布《计算机信息系统安全保护条例》。

4. 安全审计跟踪是安全审计系统检测并追踪安全事件的过程。

5. 环境安全策略应当是简单而全面。

6. 安全管理是企业信息安全的核心。

7. 信息安全策略和制定和维护中，最重要是要保证其明确性和相对稳定性。

8. 许多与PKI相关的协议标准等都是在X.509基础上发展起来的。

9. 避免对系统非法访问的主要方法是访问控制。

10. 灾难恢复计划或者业务连续性计划关注的是信息资产的可用性属性。

11. RSA是最常用的公钥密码算法。

12. 在信息安全管理进行安全教育和培训，可以有效解决人员安全意识薄弱。

13. 我国正式公布电子签名法，数字签名机制用于实现抗否认。

14. 在安全评估过程中，采取渗透性测试手段，可以模拟黑客入侵过程，检测系统安全脆弱性。

15. 病毒网关在内外网络边界处提供更加主动和积极的病毒保护。

16. 信息安全评测系统CC是国际标准。

17. 安全保护能力有4级：1级－能够对抗个人、一般的自然灾难等；2级－对抗小型组织；3级－对抗大型的、有组织的团体，较为严重的自然灾害，能够恢复大部分功能；4级－能够对抗敌对组织、严重的自然灾害，能够迅速恢复所有功能。

18. 信息系统安全等级分5级：1－自主保护级；2－指导保护级；3－监督保护级；4－强制保护级；5－专控保护级。

19. 信息系统安全等级保护措施：自主保护、同步建设、重点保护、适当调整。

20. 对信息系统实施等级保护的过程有5步：系统定级、安全规则、安全实施、安全运行和系统终止。

21. 定量评估常用公式：SLE（单次资产损失的总值）＝AV（信息资产的估价）×EF（造成资产损失的程序）。

22. SSL主要提供三方面的服务，即认证用户和服务器、加密数据以隐藏被传送的数据、维护数据的完整性。

23. 信息安全策略必须具备确定性、全面性和有效性。

24. 网络入侵检测系统，既可以对外部黑客的攻击行为进行检测，也可以发现内部攻击者的操作行为，通常部署在网络交换机的监听端口、内网和外网的边界。

25. 技术类安全分3类：业务信息安全类（S类）、业务服务保证类（A类）、通用安全保护类（G类）。其中S类关注的是保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改；A类关注的是保护系统连续正常的运行等；G类两者都有所关注。

26. 如果信息系统只承载一项业务，可以直接为该信息系统确定安全等级，不必划分业务子系统。

27. 信息系统生命周期包括5个阶段：启动准备、设计/开发、实施/实现、运行维护和系统终止阶段。而安全等级保护实施的过程与之相对应，分别是系统定级、安全规划设计、安全实施、安全运行维护和系统终止。

信息安全管理体系国家注册审核员培训班考试试题-2015

一、选择题(每题1分，共lO分)

( )1．信息安全中的可用性是指_______

a)信息不能被未授权的个人，实体或者过程利用或知悉的特性

b)保护资产的准确和完整的特性

c)根据授权实体的要求可访问和利用的特性

d)以上都不对

( )2．审核证据是指________

a)与审核准则有关的，能够证实的记录、事实陈述或其他信息

b)在审核过程中收集到的所有记录、事实陈述或其他信息

c)一组方针、程序或要求

d)以上都不对

( )3．______ 属于系统威胁。

a)不稳定的电力供应

b)硬件维护失误

c)软件缺乏审计记录

d)口令管理机制薄弱

( )4．管理体系是指______

a)建立方针和目标并实现这些目标的体系

b)相互关联和相互作用的一组要素

c)指挥和控制组织的协调的活动

d)以上都不对

( )5．信息安全管理实用规则ISO／IECl7799属于_____标准?

a)词汇类标准

b)要求类标准

c)指南类标准

d)以上都不对

( )6．在信息安全管理体系____阶段应测量控制措施的有效性?

a)建立

b)实施和运行

c)监视和评审

d)保持和改进

( )7．风险评价是指______

a)系统地使用信息来识别风险来源和估计风险

b)将估计的风险与给定的风险准则加以比较以确定风险严重性的过程

c)指导和控制一个组织相关风险的协调活动

d)以上都不对

( )8．可使用_______来保护电子消息的保密性和完整性

a)密码技术

b)通信技术

c)控制技术

d)自动化技术

( )9．现状不符合文件是指______

a)标准要求的没有写到

b)写到的没有做到

c)做到的没有达到目标

d)以上都不对

( )10．以下属于计算机病毒感染事件的纠正措施的是_________

a)对计算机病毒事件进行响应和处理

b)将感染病毒的计算机从网络中隔离

c)对相关责任人进行处罚

d)以上都不是

二、判断题(每题1分，共10分)

你认为正确的在( )中划“√”，错误的划“x”。

( )1．客户资料不属于组织的信息资产。

( )2．组织的安全要求全部来源于风险评估。

( )3．通过使用资源和管理，将输入转化为输出的任意活动，称为过程。( )4．组织必须首先从ISO／IEC27001附录A的控制措施列表中选取控制措施。

( )5．风险分析和风险评价的整个过程称为风险评估。

( )6．控制措施可以降低安全事件发生的可能性，但不能降低安全事件的潜在影响。

( )7．“资产责任人”，要求与信息处理设施有关的所有资产都应由指定人员承担责任。

( )8．网站信息由于属于公共可用信息，因此无须实施安全保密措施。( )9．审核范围必须与受审核方信息安全管理体系范围一致。

( )10．当组织信息安全管理体系的基础发生重大变化而增加的一次审核称为监督审核。

三、填空题(每题1分，共5分)

指出IS027001：2005标准中适用于下述情景的某项条款，请将条款号填在横线上。

1．“信息安全管理部的员工根据风险评估的结果，正在选择适当的控制措施。”适用于这一情况的条款是——

2．“某公司规定无论离职或调职，员工的原有系统访问权一律撤

销。”适用于这一情况的条款是——

3．“某公司在其机房内贴了一张行为准则，员工在机房内工作时必须遵守。”

适用于这一情况的条款是——

4．“公司重要服务器的操作记录中没有任何管理员操作的记录。”

适用于这一情况的条款是——

5．“某公司的信息系统中使用了密码手段来保障其信息安全，但该公司的相关工作人员对我国密码方面的法律法规一无所知。”

适用于这一情况的条款是______

四、问答题(1—3题每题5分，共15分；4．5题每题15分，共30分；共45分)

1．什么是信息安全?组织的信息安全要求分为哪几类?并简要说明。

2．ISO／IEC 27001：2005附录A所列出的控制措施中，哪些条款体现了“管理者作用”，至少举出3条控制措施，并简要说明。

3．审核组进入审核现场后，通常会有哪些会议?各有什么作用?会议主持人一般由谁担任?

4．如果某软件开发公司涉及软件外包业务，请列出在软件外包的过程中所涉及的风险，并

从ISO／IEC 27001：2005附录A控制措施列表中选择适当的控制措施，作简要说明。

5．如何依据ISO／IEC 27001：2005审核A．10．7，组织应防止资产遭受未授权泄露、修改、

移动或销毁以及业务活动的中断

五、案例分析题(每题10分，共30分)

请根据所述情况判断：如能判断有不符合项，请写出不符合ISO/2700l：2005

标准的条款号、内容和严重程度，并写出不符合事实，如提供的证据不能足以判断有不符合项时，请写出进一步审核的思路。

判分标准：不符合条款2分，不符合标准的内容3分，不符合事实3分，不符合的严重程度2分。

1．审核员在看到某公司的意识及技能培训计划后，询问某公司工作人员对信息安全管理体系的认识，该工作人员回答，由于前段时间一直出差在外，所以还没有时问学习相关的体系文件。

2．审核员询问公司办公系统中某机器的操作系统升级情况时，使用人员说，我们使用的所有软件都是正版的，所以我在使用时直接设置为操作系统自动更新了，而且一直也没出现过什么问题，对业务没有任何影响。

3．审核员在某公司信息安全部看到几份安全事故处理报告，原因栏写的都是感染计算机病毒，工作人员说，我们已经严格规定了防病毒软件的使用及升级周期，但还是没有效果。

信息安全管理体系审核员练习题-简单题和案例分析题-2015

一、简答

1.内审不符合项完成了30/35，审核员给开了不符合，是否正确？你怎么审核？[参考]不正确。应作如下审核：

（1）询问相关人员或查阅相关资料（不符合项整改计划或验证记录），了解内审不符合项的纠正措施实施情况，分析对不符合的原因确定是否充分，所实施的纠正措施是否有效；

（2）所采取的纠正措施是否与相关影响相适宜，如对业务的风险影响，风险控制策略和时间点目标要求，与组织的资源能力相适应。

（3）评估所采取的纠正措施带来的风险，如果该风险可接受，则采取纠正措施，反之可采取适当的控制措施即可。

综上，如果所有纠正措施符合风险要求，与相关影响相适宜，则纠正措施适宜。

2、在人力资源部查看网管培训记录，负责人说证书在本人手里，培训是外包的，成绩从那里要，要来后一看都合格，就结束了审核，对吗？

[参考]不对。

应按照标准GB/T 22080-2008条款5.2.2 培训、意识和能力的要求进行如下审核：

（1）询问相关人员，了解是否有网管岗位说明书或相关职责、角色的文件？（2）查阅网管职责相关文件，文件中如何规定网管的岗位要求，这些要求基于教育、培训、经验、技术和应用能力方面的评价要求，以及相关的培训规程及评价方法；

（3）查阅网管培训记录，是否符合岗位能力要求和培训规程的规定要求？（4）了解相关部门和人员对网管培训后的工作能力确认和培训效果的评价，是否保持记录？

（5）如果岗位能力经评价不能满足要求时，组织是否按规定要求采取适当的措施，以保证岗位人员的能力要求。

二、案例分析

1、查某公司设备资产，负责人说台式机放在办公室，办公室做了来自环境的威胁的预防；笔记本经常带入带出，有时在家工作，领导同意了，在家也没什么不安全的。

A 9.2.5 组织场所外的设备安全应对组织场所的设备采取安全措施，要考虑工作在组织场所以外的不同风险

2、某公司操作系统升级都直接设置为系统自动升级，没出过什么事，因为买的都是正版。

A 12.5.2 操作系统变更后应用的技术评审当操作系统发生变更时，应对业务的关键应用进行评审和测试，以确保对组织的运行和安全没有负面影响。

3、创新公司委托专业互联网运营商提供网络运营，供应商为了提升服务级别，采用了新技术，也通知了创新公司，但创新认为新技术肯定更好，就没采取任何措施，后来因为软件不兼容造成断网了。

A 10.2.3 第三方服务的变更管理应管理服务提供的变更，包括保持和改进现有的信息安全策略、规程和控制措施，并考虑到业务系统和涉及过程的关键程度及风险的评估。

4、查某公司信息安全事件处理时，有好几份处理报告的原因都是感染计算机病毒，负责人说我们严格的杀毒软件下载应用规程，不知道为什么没有效，估计其它方法更没用了。

8.2纠正措施

5、查看 web服务器日志发现，最近几次经常重启，负责人说刚买来还好用，最近总死机，都联系不上供应商负责人了。

A 10.2.1 应确保第三方实施、运行和保持包含在第三方服务交付服务交付协议中的安全控制措施、服务定义和交付水准。

信息安全管理体系审核员练习题-简述题-2015

简述题

1、审核员在某公司审核时，发现该公司从保安公司聘用的保安的门卡可通行公司所有的门禁。公司主管信息安全的负责人解释说，因保安负责公司的物理区域安全，他们夜里以及节假日要值班和巡查所有区域，所以只能给保安全权限门卡。审核员对此解释表示认同。如果你是审核员，你将如何做？

答：应根据标准GB/T 22080-2008条款A.11.1.1审核以下内容：

（1）是否有形成文件的访问控制策略，并且包含针对公司每一部分物理区域的访问控制策略的内容？

（2）访问控制策略是否基于业务和访问的安全要素进行过评审？

（3）核实保安角色是否在访问控制策略中有明确规定？

（4）核实访问控制策略的制定是否与各物理区域风险评价的结果一致？

（5）核实发生过的信息安全事件，是否与物理区域非授权进入有关？

（6）核实如何对保安进行背景调查，是否明确了其安全角色和职责？

2、请阐述对GB/T 22080中A.13.2.2的审核思路。

答：（1）询问相关责任人，查阅文件3-5份，了解如何规定对信息安全事件进行总结的机制？该机制中是否明确定义了信息安全事件的类型？该机制是否规

定了量化和监视信息安全事件类型、数量和代价的方法和要求，并包括成功的和未遂事件？

（2）查阅监视或记录3-15条，查阅总结报告文件3-5份，了解是否针对信息安全事件进行测量，是否就类型、数量和代价进行了量化的总结，并包括成功的和未遂事件。

（3）查阅文件和记录以及访问相关责任人，核实根据监视和量化总结的结果采取后续措施有效防止同类事件的再发生。

ISO27001信息安全管理体系审核员培训测试-2015

一、以下对于信息安全管理体系的叙述，哪个个是不正确的？

A.只规范公司高层与信息安全人员的行为；

B.针对组织内部所使用的信息，实施全面性的管理；

C.为了妥善保护信息的机密性、完整性和可用性；

D.降低信息安全事件的冲击至可承受的范围；

E.分为PDCA（计划—执行—检查—行动）四大部份，循环执行，不断改进。

二、以下对于PDCA（计划—执行—检查—行动）的叙述，哪个是正确的？

A.其中的重点在于P（计划）；

B.依据PDCA的顺序顺利执行完一次，即可确保信息安全；

C.需依据管理层审查结果采取矫正与预防措施，以达到持续改进的目的；

D.如果整体执行过程中C（检查）的过程过于繁复，可予以略过；

E.以上皆非。

三、下列那个项目不属于ISO27001认证标准所涵盖的十一个管理要项？

A.信息安全政策；

B.组织安全；

C.人员安全；

D.复杂性；

E.访问控制。

四、下列对于风险的叙述，哪个是正确的？

A.风险分析：针对无法改善的风险进行分析；

B.风险管理：列出所有可能存在的风险清单；

C.风险评估：把所估计的风险与已知的风险标准作比较，以决定风险的重要性；

D.风险处理：为了将风险降为零风险所采取的行动；

E.可接受风险：可接受进行改善的风险。

五、以下哪项符合信息安全管理体系有关“文件记录控制”的要求？

A.文件都必须电子化；

B.信息安全管理体系所需的文件仅需保护，但无须控制；

C.所有文件应依据信息安全管理体系的政策要求在需要时即可供被授权人取用；

D.文件纪录必须全部由一人保管；

E.为提供信息安全管理体系有效运作的证据所建立之纪录不属于管制范围。

六、对于“信息安全管理体系”，下列哪些不属于管理层的责任？

A.提供信息安全管理工作的必要资源；

B.决定可接受风险的等级；

C.定期举行相关教育训练，增进员工信息安全的认知；

D.为信息安全系统购买保险；

E.建立一份信息安全政策。

七、以下针对信息安全系统审计的叙述，哪个是不正确的？

A.审计方案应予以事先规划；

B.目的在于确保信息安全管理体系的控制目标与控制措施是否有效地实施与维持；

C.基于对业务的了解，应由各部门主管审计其所负责的业务；

D.对于审计结果应有适当的跟进措施；

E.审计人员的遴选与审计的执行，应确保审计过程的客观性与公正性。

八、以下对于信息安全管理体系改进的叙述，哪个是不正确的？

A.改进的目的在于确认信息安全管理系统的有效性；

B.为了防止不符合事项再度发生，应将该事项从信息安全管理体系中移除；

C.包含矫正措施与预防措施；

D.应在信息安全管理体系中制定相应的文件化程序；

E.应决定相关措施，以消除未来不符合信息安全管理体系要求的事项。

九、以下对于“安全方针”的叙述，哪个是不正确的？

A.管理层应设定一个明确的政策方向，展现对信息安全的支持与承诺；

B.安全方针应以适当方式向所有员工公布与宣导；

C.安全方针应有专人依据规定的审核过程对其进行维护与审核；

D.安全方针一经确定即无法随意修改；

E.方针应说明组织管理信息安全的方法。

十、以下对于“信息安全组织”的叙述，哪个是不正确的？

A.其目标为在组织中管理信息安全；

B.个别资产的保护责任及执行特定安全程序的责任应明确划分；

C.应参考信息安全专家的建议；

D.应减少与其它组织间的合作；

E.需有独立的信息安全审计。

十一、针对“第三方存取”与“外包作业”的叙述，哪个是正确的？

A.为了降低风险，应减少「第三方存取」与「外包作业」；

B.第三方存取组织信息处理设施的风险应予评估，并实施适当的安全控制措施；

C.将信息处理责任外包时，信息安全的责任也随之转嫁；

D.应限制外包单位不得使用组织的任何信息设备；

E.由于已签订外包合同，对于第三方存取组织的信息处理设施无须控制。

十二、以下对于“资产分类及控制”之叙述，哪个是不正确的？

A.所有主要的信息资产应由高级管理人员负责保管；

B.应制作所有与每一信息系统相关重要资产的清册并进行维护；

C.应制订一套与组织采用的分类方式相符的信息标识和处理流程；

D.信息分类与相关保护控制措施应考虑企业共享或限制信息的需求；

E.其目标在于维护组织资产并给予适当的保护。

十三、以下对于“人力资源安全”的叙述，哪个是不正确的？

A.组织信息安全方针中规定的安全角色与职务应在工作职责中予以文件化；

B.组织内所有员工及相关第三方的用户皆应接受适当的信息安全教育训练；

C.目标在于确保员工的人身安全，避免发生意外；

D.正式员工、承包商及临时工在申请工作时即应进行背景调查；

E.员工应签署保密协议，作为任用的首要条件和限制的一部分。

十四、员工察觉“安全及失效事件”发生时，应立即采取何种行动？

A.分析事件发生的原因；

B.尽快将事件掩盖过去；

C.修正信息安全目标；

D.查阅信息安全相关文件；

E.遵循适当的管理途径尽快通报。

十五、以下对于“安全区域”的说明，哪个是不正确的？

A.其目标是避免营运场所及信息遭未经授权存取、损害与干扰；

B.划设为安全区域的场所已有适当控管，可容许任何人进出；

C.应设立安全区域，以提供特殊安全需求；

D.在安全区域内工作时应采取额外的控制措施及指引，以强化该区域的安全性；

E.装卸区应予管制，若可能，应与信息处理设施隔离，避免遭未授权进入。

十六、以下对于“设备安全”的相关行为，哪个是不适当的？

A.应保护设备降低来自环境的威胁及灾害；

B.保护设备不受电力故障及其他电力异常影响；

C.保护传送数据或支持信息服务的电源与通讯缆线，以防止窃听或破坏；

D.设备在报废或再使用前将信息清除；

E.设备一律禁止携出组织外使用。

十七、以下何种行为不符合“通信和操作安全”的要求？

A.信息处理设施与系统的变更应予控制；

B.职务与责任范围应予区分，以降低信息或服务遭未授权修改或误用的机会；

C.安全政策所规定的作业程序应制作文件纪录并进行维护；

D.开发与测试工作可在正式生产设备上进行，以降低营运成本；

E.使用外部设施管理服务前，应识别风险并制订适当的控制措施。

十八、下列对于“信息的交换”的叙述，哪个是不正确的？

A.组织间交换信息与软件的行为应有协议或合约规范；

B.应制定电子邮件使用政策，严格执行控管；

C.使用网络及时通讯软件（如MSN）进行文件传送以便于实现传送的方便性及隐密性；

D.重要信息对外公开前应有正式授权程序，且该信息的完整性应予保护；

E.运送的储存媒体应予保护，防止未经授权遭存取。

十九、下列对于“用户访问控制”的叙述，哪个是不正确的？

A.应制定正式用户注册及注销流程；

B.特殊权限的分配与使用应受限制与控管；

C.要确保信息系统的访问权限被恰当地授权、配置及维护；

D.为减少账号个数，降低日常作业成本，可采多人共享一组账号密码的方式；

E.管理层应定期执行正式程序复核用户访问权限。

二十、下列行为哪个不符合“网络访问控制”的安全需求？

A.网络应有控制措施，将信息服务、用户及信息系统群组分离；

B.用户网络联机能力应仅限于共享网络；

C.组织应对其使用的所有网络服务的安全特性提供一份清楚说明的文件；

D.远程使用者的存取应有身份鉴别；

E.为便利用户，应设置开放的网络环境，以确保用户可直接存取任何他所想使用的服务。

二一、对于“监控系统”的存取与使用，下列哪个是正确的？

A.监控系统所产生的记录可由用户任意存取；

B.计算机系统时钟应予同步；

C.只有当系统发生异常事件及其他安全相关事件时才需进行监控；

D.监控系统投资额庞大，并会影响系统效能，因此可以予以暂时省略；

E.以上皆非。

二二、以下各项行为，哪个不能确保“应用系统的安全”？

A.输入、输出数据应进行确认；

B.对于有保护消息内容完整性的安全要求的应用程序，应采用消息鉴别机制；

C.要有适当的审计记录或活动日志；

D.系统内应有确认检查机制，以检测所处理数据的完整性；

E.为加快数据传输时的速度，降低系统反应时间，任何数据皆可使用明码传输。

二三、下列哪项不是维护“开发和支持过程中的安全”的方法？

A.应阻止用户修改软件包，必要的修改应严格管制；

B.应用系统若有变更，应进行适当审核与测试；

C.应采取正式变更管理程序以严格控制变更作业的实施；

D.软件应尽量采用自行开发避免外包或采购；

E.软件的采购应注意其是否内藏隐密通道及特洛依木马程序。

二四、为确保“业务连续性管理”，以下哪些行为应该加以避免？

A.应分析各种灾难、安全缺失和损失服务对业务所可能产生的后果；

B.全组织连续营运措施的制订与维护，有明确管理的过程；

C.应等待企业营运过程发生中断或失效时，再来制订相关的策略计划；

D.应维持单一营运持续计划的框架，以确保所有计划皆一致；

E.营运持续计划应定时测试，并通过定期审查加以维护。

二五、以下对于信息安全管理体系中“符合性”的叙述，哪个是不正确的？

A.清楚识别所有与信息系统有关的法规；

B.组织重要记录应予文件化后进行保护；

C.避免使用具有知识产权的专利软件产品；

D.要保护个人信息的数据与隐私；

E.信息系统的管理要依据行政命令、法律规章或合同的安全要求。

信息技术服务管理体系审核员练习-2015

一．选择题（请选出最佳答案，每题2分，共20分）

1.01 修改SLA和支持文件应属于哪个流程的一部分：

a）变更管理

b）配置管理

c）发布管理

d）业务持续性和可用性管理

e）以上都不是

1.02 服务目录不包括以下哪个信息。

服务名称

服务成本

目标，如：安装一个打印机的回应时间，恢复一个重大事故的时间等

联络点

以上都是

1.03以下哪个不是IT服务管理的工具

交互语音应答系统

安全服务

自学知识库

网络管理工具

包含配置管理项的excel表

1.04事件管理程序运行一段时间后，为反应事件升级新的途径，事件经理想对事件管理程序文件进行修改，并得到 IT 服务管理委员会的同意，在这个过程中，审核员要优先考虑以下哪方面的审核：

能力、意识和培训

文件控制

事件管理流程的设计更改

事件管理流程与其他流程的接口

1.05哪些内容应包括在对员工进行的IT服务培训中

服务管理方针策略

事故处理

SLA

怎样使用服务台工具

以上都是

1.06 “在变更之前应评估控制措施变更的影响”是哪个流程中提到的。

配置管理

信息安全管理

变更管理

计划和实施新的或变更的服务

以上都不是

1.07认证一个组织的ITSMS是依据：

ISO/IEC20000-1:2011

ISO/IEC20000-2:2005

ISO 19011:2002

以上都是

以上都不是

1.08风险分析是

指导和控制一个组织的风险的联合行动

选择和实施测量机制以修改风险的处置决定。

接受风险的决定

系统化的使用信息以识别风险的来源并估计风险的大小

以上都不是

1.09 根据ISO20000-1的要求，下列那个活动需要一个文件化的程序。

管理评审

管理责任

改进IT服务管理体系

纠正措施

以上都不是

1.10落实资金、预算、角色、责任、文件化和维护方针策略、计划、程序和定义等是PDCA方法的那个阶段

策划

实施

检查

改进

以上都是

二．简答题（每个问题5分，共20分）

2.01列出至少5个实施IT服务管理体系对组织的好处（5分）

2.02 列出至少五个期望 ISO20000-1审核小组所具备的能力。（5分）

2.03举出至少5个内部审核员在准备内审计划时需要获得的信息（5分）

2.04作为审核员，当你对防火墙策略变更进行审核时，应查找哪些客观证据？

三．问答题

请在空白处，写出下面两个问题的详细答案，适当时，写出ISO20000-1相关的条款。每个问题10分。

3.01 清楚解释被审核方于对内审所提出的不符合事项通常所采取的纠正措施的步骤（由开始识别到不符合事项至关闭此不符合事项）。并鉴别各阶段谁应负责（例：审核员或被审核方）

3.02审核员正在计划给一个提供灾备服务的组织进行ISO20000-1 内部审核，识别至少包含5个审核要项的检查表来审核配置管理过程。

四．案例分析

以下是三个事件是在ITSMS内审审核时发现的，他们包含了可能产生不符合事项（需要书写不符合事项的报告）的情况，仔细考虑每种情况，然后采取下面的某个措施。

如果你认为有足够的不符合的客观证据，应完成一个不符合事项报告，并将不符合分类为重大（严重）不符合或轻微（一般）不符合

如果你不认为有足够的客观证据提出一个不符合报告，你需要在报告下面的空白处陈述自己的理由，你必须同时陈述审核员下一步需要做什么。

4.01事件1

在对一个内部IT服务部门进行第三方审核时，发现不存在《连续性计划》。经理对审核员解释说，连续性管理是与可用性管理的流程写在一起的，《可用性管理计划》里已经描写了在发生火灾时的应对措施，在去年9月份作了测试和演练。

4.02 事件2

在审核一个数据处理中心时，检查培训记录时发现很多的培训已完成，但是没有发现出现针对服务管理的培训课程完成的证据，处理中心的经理解释正式的培训

要延期到下一年。因为培训的财务经费困难，一个系列的服务培训已经通过网络进行而且已经跟所有人讨论过了。

4.03 事件3

在对一个IT 服务机构的ISO20000-1审核时，发现有一个有关服务质量的客户投诉，该投诉已经由投诉经理处理，并作了记录。与投诉相关的一项技术问题的处理。转给了问题管理流程，还没有得到反馈；当审核员询问问题管理经理这个问题的处理状态时，问题经理回答，因为问题比较复杂，正在处理过程中，当审核员要求察看处理状态的记录时，问题经理说，不需要记录，因为处理问题的几位同事都很清楚当前的状态。

信息技术服务管理体系审核员练习模拟题

一、选择题（共30题，每题2分，总60分）

1) 下面哪句话最恰当描述了IT服务管理？

A. 经济有效地管理IT服务的质量

B. 根据ITIL最佳实践进行IT基础设施的管理工作

C. 以流程的方式管理IT基础设施。这种方式可让IT组织能够以专业的方式为客户提供IT产品和服务

D. 促进更多的人了解IT服务

2) IT服务管理是如何改善IT服务的质量的。

A. 以正式的内部、外部客户以及供应商的服务协议

B. 定义服务级别普遍适用的标准

C. 提高IT组织中所有员工的客户关注程度

D. 计划、实施、管理一系列流程以提供IT服务

3) 硬件、系统和应用软件以及数据通讯设施都是IT基础架构（IT infrastructure）的组成部分。下面哪些组件也可以被视为IT基础架构的一部分？

1 程序

2 文档

3 人员

A. 1和2

B. 1和3

C. 2和3

D. 1，2和3

4) 事件管理流程可以从哪份文档获得有关何时有必要将问题升级和将问题升

级给谁等方面的信息？

A. 服务改进计划

B. 服务目录

C. 组织结构图

D. 服务级别协议

5) 考虑下列说法：

1. SLA应该定义协议双方的角色和职责

2. 对SLA的实现情况应该进行监控，定期制作服务级别报告并报送相关人员

3. 在SLA签订之前应该对支撑合同进行评审

A. 没有一个是正确的

B. 1和2是正确的

C. 2和3是正确的

D. 上述三个说法都是正确的

6) 在某个保险公司里，由于电力的中断导致局域网和所有PC都宕机了。因此，该公司的业务受理系统和理赔系统都不能正常使用。一个小时后，电力中断的故障被解决了，服务也恢复至电力中断之前的状态。该事件对服务提供造成了哪种影响？

A. 影响很小，因为在一个小时内客户就被告知电话通知可以继续办理业务了，并且客户对这种情况表示理解。

B. 影响重大，因为该事件使得正常的服务提供不能实现。这对公司的形象造成了损害。

C. 没有影响，因为所有的数据都可以先记录在纸质文档上并可以在电力恢复后在录入系统。

D. 影响非常小，因为该事件是由电力故障而不是硬件或软件错误引起的。

7) 以下哪一项是IT服务持续性管理流程的典型活动？

A. 通知终端用户有关系统故障方面的情况

B. 将后备方案（Fallback Arrangement）文档化

C. 提供可用性方面的报告

D. 确保配置项始终是最新的

8) 某钢铁公司被竞争对手兼并。IT部门以及两个公司的IT基础架构需要整合，IT基础架构整合后运行应用程序所需要的磁盘空间将由下列哪项流程决定。

A. 可用性管理

B. 能力管理

C. 计算机操作管理

D. 发布管理

9) 关于IT服务持续性计划，某个灾难的严重程度取决于：

A. 灾难持续的天数

B. 恢复灾难可用的人员数量

C. 灾难的类型，如洪水、火灾等

D. 对客户业务的影响

10) 因对信息系统的依赖逐渐增强，某房地产公司要求确保系统运行发生中断后仍可获得IT服务。下面哪个流程可提供这样的服务。

A. 可用性管理

B. 持续性管理

C. 服务级别管理

D. 服务管理

11) 下面哪些属于可用性管理的首要职责？

1. 计划在SLA中约定的IT服务的可用性并进行监控

2. 就SLA中的可用性级别与客户进行谈判

3. 记录不可用事件的详细情况

4. 提出变更以预防有损可用性的故障

A. 1和2

B. 3和4

C. 所有的都正确

D. 1和4

12) 可用性百分率的计算公式为：

A. （宕机时间*100）/约定服务时间

B. （约定服务时间*100）/宕机时间

C. （（约定服务时间-宕机时间）*100）/约定服务时间

D. 约定服务时间/（约定服务时间-宕机时间）

13) 某企业针对某项特定的IT服务没有任何持续性计划，下面哪个将是合适的理由？

A. IT部门不具备开发持续性计划的技巧和能力

B. IT部门业务灾难的风险是很少的

C. 业务方的相关人员没有时间参与开发持续性计划

D. 在进行业务影响评估之后所作出的管理决策

网络与信息安全管理措施

网络与信息安全管理措施 网络与信息安全不仅关系到学校的开展，还将影响到国家的安全、社会的稳定。我校将认真的开展网络与信息安全工作，通过检查进一步明确安全责任，建立健全的管理制度，落实技术防范措施，对有毒有害的信息进行过滤、确保网络与信息安全。 一、网站安全保障措施 1、主控室设置经公安部认证的防火墙，做好安全策略，拒绝外来的恶意攻击，保障网络正常运行。 2、对计算机病毒、有害电子邮件进行有效的防范措施，防止有害信息对网络系统的干扰和破坏。 3、做好日志的记录。内容包括IP地址，对应的IP地址情况等。 4、关闭网络系统中暂不使用的服务功能，及相关端口，并及时用补丁修复系统漏洞，定期查杀病毒。 5、服务器平时处于锁定状态，并保管好登录密码;后台管理界面设置超级用户名及密码，并绑定IP，以防他人登入。 6、学校机房按照机房标准建设，内有必备的防静电地板、，定期进行电力、防火、防潮、检查。 二、信息安全保密管理制度 1、信息监控制度： （1）、网络信息必须标明来源;(即有关转载信息都必须

标明转载的地址) （2）、相关责任人定期或不定期检查网络系统安全，实施有效监控，做好安全监督工作； （3）、不得利用国际互联网制作、复制、查阅和传播一系列以下信息，如有违反规定有关部门将按规定对其进行处理； A、反对宪法所确定的基本原则的； B、危害国家安全，泄露国家秘密，颠覆国家政权，破坏国家统一的； C、损害国家荣誉和利益的； D、煽动民族仇恨、民族歧视、破坏民族团结的； E、破坏国家宗教政策，宣扬邪教和封建迷信的； F、散布谣言，扰乱社会秩序，破坏社会稳定的； G、散布淫秽、色情、赌博、暴力、凶杀、恐怖或者教唆犯罪的； H、侮辱或者诽谤他人，侵害他人合法权益的； 含有法律、行政法规禁止的其他内容的。 2、组织结构： 设置专门的网络安全管理员，并由其上级进行监督、对学校网络系统管理实行责任制，对网络系统的管理人员，以及领导明确各级人员的责任，管理网络系统的正常运行，严格抓管理工作，实行谁管理谁负责。

重大事件期间网络与信息安全管理规定

**集团有限公司 重大事件期间网络与信息安全管理规定（试行） 第一章总则 第一条为切实做好**集团有限公司网络与信息安全防护工作，建立有效的安全防护体系，进一步提高预防和控制网络与信息安全突发事件的能力和水平，减轻或消除突发事件的危害和影响，确保重大事件期间网络与信息安全，制定本管理规定。 第二条本规定所指的重大事件是指需要保供电的国家、省政府层面的重大活动，如重大会议、重大体育赛事等。 第三条集团公司重大事件期间网络与信息安全管理要坚持以加强领导，落实信息安全责任地；高度重视，强化安全防范措施；周密部署，加强各相关方协作为原则，以确保重大事件期间不出现因网络与信息安全问题造成不良的社会影响，确保重大事件期间不出现因网络与信息安全问题造成的安全生产事故为目标。 第四条集团公司重大事件期间网络与信息安全管理工作范围包括：集团广域网、各局域网、电力二次系统、重要信息系统以及信息安全。各单位的网络与信息安全专项工作组应在集团公司网络与信息安全应急工作小组的指导下，负责本单位网络与信息安全防范和整改工作。

第五条重大事件期间在时间上分为三个阶段，分别是准备阶段、实施阶段和总结阶段。时间划分为重大事件起始日期前两个月为准备阶段；从重大事件起始日期至结束日期为实施阶段；从重大事件结束日期后半个月为总结阶段。各阶段网络与信息安全的管理工作内容有所侧重。 第六条本规定适用于集团公司总部和系统各单位。 第七条集团公司重大事件期间网络与信息安全管理工作由集团公司信息中心归口管理。 第二章准备阶段管理 第八条组织开展网络与信息安全查检工作，网络与信息安全采取自查和现场抽查相结合的方式，先开展各单位内部的网络与信息安全自查，在各单位自查的基础上，由集团公司组织相关人员对部分单位进行现场专项检查。 第九条网络与信息安全检查内容至少应包括管理制度建设、网络边界完整性检查和访问控制、电力二次系统安全分区、电力二次系统网络接口及防护、电力二次系统通用防护措施、安全审计、已采取的防范网络攻击技术措施、重要网站网页自动恢复措施、网络设备防护、系统运行日志留存及数据备份措施等。具体的检查内容见附件1《网络与信息安全检查表》。 第十条对于检查发现的安全陷患，各单位应制定整改

信息管理与信息安全管理程序

1 目的 明确公司信息化及信息资源管理要求，对外部信息及信息系统进行有效管理，以确保各部门(单位)和岗位能及时、安全地识别、获取并有效运用、保存所需信息。 2 适用围 适用于公司信息化管理及信息收集、整理、转换、传输、利用与发布管理。 3 术语和定义 3.1 信息 有意义的数据、消息。公司的信息包括管理体系所涉及的质量、环境、职业健康安全、测量、标准化、部控制、三基等和生产经营管理中所有信息。 3.2 企业信息化 建立先进的管理理念，应用先进的计算机网络技术，整合、提升企业现有的生产、经营、设计、制造、管理方式，及时为企业各级人员的决策提供准确而有效的数据信息，以便对需求做出迅速的反应，其本质是加强企业的“核心竞争力”。 3.3 信息披露 指公司以报告、报道、网络等形式，向总部、地方政府报告或向社会公众公开披露生产经营管理相关信息的过程。 3.4 ERP 企业资源规划 3.5 MES 制造执行系统 3.6 LIMS 实验室信息管理系统 3.7 IT 信息技术 4 职责 4.1 信息化工作领导小组负责对公司信息化管理工作进行指导和监督、检查，对重大问题进行决策，定期听取有关信息化管理的工作汇报，协调解决信息化过程中存在的有关问题。 4.2 ERP支持中心负责公司ERP系统运行、维护管理，每月召开ERP例会，分析总结系统运行情况，协调处理有关问题，及时向总部支持中心上报月报、年报。 4.3 信息中心是公司信息化工作的归口管理部门，主要职责： a)负责制定并组织实施本程序及配套规章制度，对各部门(单位)信息化工作进行业务指导和督促； b)负责信息化建设管理，组织进行信息技术项目前期管理，编制信息建设专业发展规划并组织实施； c)负责统一规划、组织、整合和管理公司信息资源系统，为各部门(单位)信息采集、整理、汇总和发布等环节提供技术支持；对Internet用户、电子进行设置管理；统一管理分公司互联网出口； d)负责计算机网络系统、信息门户和各类信息应用系统的安全运行和维护及计算机基础设施、计算

网络和信息安全管理平台的设计与实现

龙源期刊网 https://www.wendangku.net/doc/5e105102.html, 网络和信息安全管理平台的设计与实现 作者：宫正 来源：《科学与信息化》2020年第13期 摘要随着现代计算机通信技术和现代网络通信技术的不断发展，互联网在现代人们的日常社会经济生活中一直占据着重要的应用地位，网络通信技术的不断成熟等也使得它被人们逐渐了解和重视。对网络用户信息和保护个人隐私的进行保护就显得非常的重要，然而在现代我国的网络和信息安全管理平台中，仍然存在一些问题。因此，本文通过针对当前网络安全环境下的信息安全存在问题，分析了网络安全信息管理服务平台实现系统的不断完善和快速发展，建立一个不断完善的企业网络安全信息管理服务平台。希望能够起到一定的借鉴作用。 关键词信息网络;安全信息管理;平台;设计;实现 引言 随着国民经济的不断快速发展和国家信息化体系建设的进一步深入发展，互联网的应用规模也随之不断扩大，信息网络安全事件层出不穷。为了有效应对网络信息安全上的威胁，网络和信息安全管理平台系统可以通过及时检测安全系统漏洞以及扫描应用程序中存在的病毒和下载装有安全防火、的安全杀毒防护软件等多种措施来有效保证当前网络信息系统的安全。然而，许多安全防护产品在实际使用后仍然产生了一系列安全问题。例如，网络经济信息安全产品由于功能分散，尚未基本形成统一规范的网络安全信息管理体系。其次，各种安全防护产品之间往往缺乏统一的沟通管理和联合调度工作机制，难以相互支持、系统开展工作。因此，相应类型的网络安全技术产品的应用很难及时得到有效性的发挥。不同安全设备的风险管理和安全控制系统平台功能有很大不同。安全设备管理人员在网络设备的日常使用和安全管理方法中，通过使用相应的安全管理服务平台进而实现对所有网络安全设备、系统和网络用户的安全管理这种情况，非常不方便。因此，建立了一个标准化的网络安全信息综合管理服务平台非常的重要。本文通过对网络和信息安全管理平台的主要功能，网络安全信息管理平台的系统框架和网络信息安全管理平台的设计与实践进行了一定的分析，希望可以起到借鉴作用[1]。 1 网络安全综合管理服务平台的主要功能 1.1 提高管理服务能力 网络安全信息系统管理可以根据网络拓扑图和数据树形图分别显示网络区域内安全系统管理和网络设备间的部署、运行系统状态以及管理的各种相关基本信息。 1.2 具有战略经营管理领导能力

校园网络与信息安全管理办法

校园网络与信息安全管理办法 桑梓镇辛撞中心小学 2018.9

校园网络与信息安全管理办法 学校校园网是为教学及学校管理而建立的计算机信息网络，目的在于利用先进实用的计算机技术和网络通信技术，实现校园内计算机互联、资源共享，并为师生提供丰富的网上资源。为了保护校园网络系统的安全、促进学校计算机网络的应用和发展，保证校园网络的正常运行和网络用户的使用权益，更好的为教育教学服务，特制定如下管理办法。 第一章总则 1、本管理制度所称的校园网络系统，是指由校园网络设备、配套的网络线缆设施、网络服务器、工作站、学校办公及教师教学用计算机等所构成的，为校园网络应用而服务的硬件、软件的集成系统。 2、校园网络的安全管理，应当保障计算机网络设备和配套设施的安全，保障信息的安全和运行环境的安全，保障网络系统的正常运行，保障信息系统的安全运行。 3、按照“合法合规，遵从标准”的原则开展网络与信息安全管理工作，网络及信息安全管理领导小组负责相应的网络安全和信息安全工作，定期对相应的网络用户进行有关信息安全和网络安全教育并对上网信息进行审查和监控。 4、所有上网用户必须遵守国家有关法律、法规，严格执行安全保密制度，并对所提供的信息负责。任何单位和个人不得利用联网计算机从事危害校园网及本地局域网服务器、工作站的活动。 5、进入校园网的全体学生、教职员工必须接受并配合国家有关部门及学校依法进行的监督检查，必须接受学校校园网络及信息安全管理领导小组进行的网络系统及信息系统的安全检查。

6、使用校园网的全体师生有义务向校园网络及信息安全管理领导小组和有关部门报告违法行为和有害信息。 第二章网络安全管理细则 1、网络管理中心机房及计算机网络教室要装置调温、调湿、稳压、接地、防雷、防火、防盗等设备，管理人员应每天检查上述设备是否正常，保证网络设备的安全运行，要建立完整、规范的校园网设备运行情况档案及网络设备账目，认真做好各项资料(软件)的记录、分类和妥善保存工作。 2、校园网由学校信息中心统一管理及维护。连入校园网的各部门、处室、教室和个人使用者必须严格使用由信息中心分配的IP地址，网络管理员对入网计算机和使用者进行及时、准确登记备案，由信息中心负责对其进行监督和检查。任何人不得更改IP及网络设置，不得盗用IP地址及用户帐号。 3、与校园网相连的计算机用户建设应当符合国家的有关标准和规定，校园内从事施工、建设，不得危害计算机网络系统的安全。 4、网络管理员负责全校网络及信息的安全工作，建立网络事故报告并定期汇报，及时解决突发事件和问题。校园网各服务器发生案件、以及遭到黑客攻击后，信息中心必须及时备案并向公安机关报告。 5、网络教室及相关设施未经校领导批准不准对社会开放。 6、按照信息安全等级保护工作规定，完成定级、备案等工作，留存安全审核日志。校园网中对外发布信息的Web服务器中的内容必须经领导审核，由负责人签署意见后再由专人（信息员）发布。新闻公布、公文发布权限要经过校领导的批准。门户网站不得链接企业网站，不得发布商业广告，不得在网页中设置或植入商品、商业服务的二维码。

网络及信息安全管理组织机构设置及工作职责.docx

网络与信息安全管理组织机构设置及工作职责一、网络与信息安全责任人： 1. 网络与信息安全第一责任人：企业 法定代表人姓名；工作职责为：对机构内的信息安全工作负有领 导责任；联系方式：电话及邮箱。（联系电话应为本人常用、真实 有效的手机号码，可抽测。） 2.网络与信息安全责任人：分管信息安全工作的负责人姓名；工作职责为：对企业内信息安全工作负有直接领导责任。联系方式：电话及邮箱。（联系电话应为本人常用、真实有效的手机号码，可抽测。）（上述两项请全部填写）二、网络与信息安全管理组织机 构设置及工作职责 1.企业需设置或指定网络与信息安全主管部门（如信息安全领导小组、信息安全工作组、信息安全部等），负责本企业网络与信息安全 相关工作；企业网络与信息安全管理组织架构：包括主管部门、相关 配合部门； 2.网络与信息安全管理机构职责（包括但不限于下述内容，要对公 司实际制度建立和管理情况进行简述）：（ 1）建立健全网络与信息 安全规章制度，以及各项规章制度执行情况监督检查；（ 2）开展网 络与信息安全风险监测预警和评估控制、隐患排查整改工作；（ 3） 建立健全网络与信息安全事件应急处置和上报制度，以及组 织开展应急演练；（ 4）建立健全从业人员网络与信息安全教育培 训以及考核制度；（ 5）违法有害信息监测处置制度和技术手段建 设；（ 6）建立健全用户信息保护制度。 3.对于申请 IDC/ISP( 开展网站接入业务的）企业，在许可证申请 完成后，开展业务前，企业的 IDC/ISP 信息安全管理系统需与我局IDC/ISP 信息安全管理系统进行对接，并且按照《工业和信息化部办 公厅关于印发《互联网信息安全管理系统使用及运行维护管理办法 （试行）》（工信厅网安（2016）135 号）要求，制定本企业 IDC/ISP 信息安全管理系统的运行维护管理办法。 网络与信息安全一、网络与信息安全管理人员配备情况及相应资质请按照下表内容在系统管理人员配备情上填写相关文字信息： 况及相应资质网络与信息安全管理人员配备情况表 责任人 第一责任人( 公司法人 /总经理）姓名身份联系归属工作全职/资质证号方式部门内容兼职情况 （手 机）

网络与信息安全保障措施(详细)

信息安全管理制度 1．信息管理部职责 1.1 公司设立信息管理部门，设部门经理一名。 1.2 信息管理部门为网络安全运行的归口部门，负责计算机网络系统的日常维护和管理。 1.3 负责系统软件的调研、采购、安装、升级、保管工作。 1.4 负责软件有效版本的管理。 1.5 信息管理部门为计算机系统、网络、数据库安全管理的归口管理部门。 1.6 信息管理人员负责计算机网络、办公自动化、销售经营各类应用软件的安全运行；服务器安全运行和数据备份；internet对外接口安全以及计算机系统防病毒管理；各种软件的用户密码及权限管理；协助职能科室进行数据备份和数据归档（如财务、采购、销售等）。 1.7 信息管理人员执行企业保密制度，严守企业商业机密。 1.8员工执行计算机安全管理制度，遵守企业保密制度。 1.9系统管理员的密码必须由信息管理部门相关人员掌握。 1.10 负责公司网络系统基础线路的实施及维护。 2．信息管理细则 2.1网络系统维护 2.1.1 系统管理员每日定时对机房内的网络服务器、各类生产经营应用的数据库服务器及相关网络设备进行日常巡视，并填写《网络运行日志》记录各类设备的运行状况及相关事件。 2.1.2 对于系统和网络出现的异常现象信息管理部应及时组织相关人员进行分析，制定处理方案，采取积极措施，并如实将异常现象记录在《网络运行日志》。针对当时没有解决的问题或重要的问题应将问题描述、分析原因、处理方案、处理结果、预防措施等内容记录在《网络问题处理跟踪表》上。部门负责人要跟踪检查处理结果。 2.1.3 定时对相关服务器数据备份进行检查。（包括对系统的自动备份及季度或

网络与信息安全管理规定

网络与信息安全管理规 定 集团文件版本号：（M928-T898-M248-WU2669-I2896-DQ586-M1988）

网络与信息安全管理制度 1. 组织工作人员认真学习《计算机信息网络国际互联网安全保护管理办法》，提高工作人员的维护网络安全的警惕性和自觉性。 2. 负责对本网络用户进行安全教育和培训，使用户自觉遵守和维护《计算机信息网络国际互联网安全保护管理办法》，使他们具备基本的网络安全知识。 3. 加强对单位的信息发布和BBS公告系统的信息发布的审核管理工作，杜绝违犯《计算机信息网络国际互联网安全保护管理办法》的内容出现。 4. 一旦发现从事下列危害计算机信息网络安全的活动的： （一）未经允许进入计算机信息网络或者使用计算机信息网络资源； （二）未经允许对计算机信息网络功能进行删除、修改或者增加； （三）未经允许对计算机信息网络中存储、处理或者传输的数据和应用程序进行删除、修改或者增加； （四）故意制作、传播计算机病毒等破坏性程序的； （五）从事其他危害计算机信息网络安全的活动。做好记录并立即向当地报告。 5. 在信息发布的审核过程中，如发现有以下行为的： （一）煽动抗拒、破坏宪法和法律、行政法规实施 （二）煽动颠覆，推翻 （三）煽动分裂国家、破坏国家统一 （四）煽动民族仇恨、民族歧视、破坏民族团结 （五）捏造或者歪曲事实、散布谣言，扰乱社会秩序 （六）宣扬封建迷信、淫秽、色情、赌博、暴力、凶杀、恐怖、教唆犯罪 （七）公然侮辱他人或者捏造事实诽谤他人 （八）损害国家机关信誉 （九）其他违反宪法和法律、行政法规将一律不予以发布，并保留有关原始记录，在二十四小时内向当地报告。

网络及信息安全管理制度

网络与信息安全管理制度 根据《中华人民共和国计算机信息安全管理条例》、《中华人民共和国计算机信息网络国际互联网管理暂行规定》和有关法律、法规的规定，为落实网络与信息安全工作，学校通过检查进一步明确安全责任，建立健全的管理制度，落实技术防范措施，坚持“安全第一，预防为主”的方针，对有毒有害的信息进行过滤、对用户信息进行保密，确保网络与信息安全，努力打造“平安校园网络”，特制定本办法。 一、学校党政领导要加强对学校网络应用的监督、检查，发现问题及时处理。 二、不得利用国际互联网制作、复制、发布和传播下列信息： 1、反对宪法所确定的基本原则的； 2、危害国家安全，泄露国家秘密，颠覆国家政权，破坏国家统一的； 3、损害国家荣誉和利益的； 4、煽动民族仇恨、民族歧视、破坏民族团结的； 5、破坏国家宗教政策，宣扬邪教和封建迷信的； 6、散布谣言，扰乱社会秩序，破坏社会稳定的； 7、散布淫秽、色情、赌博、暴力、凶杀、恐怖或者教唆犯罪的； 8、侮辱或者诽谤他人，侵害他人合法权益的； 9、含有法律、行政法规禁止的其他内容的。 三、学校建立了健全的信息安全保密管理制度，实现信息安全保密责任制，切实负起确保网络与信息安全保密的责任。严格按照“谁主管、谁负责”、“谁主办、谁负责”的原则，落实责任制，明确责任人和职责，细化工作措施和流程，建立完善管理制度和实施办法，确保使用网络和提供信息服务的安全。 四、学校建立健全学校网络安全保护管理制度，提高网络安全防范手段，网络管理员经常检查网络安全保护管理以及技术指施的落实情况。网络管理中心在组织安全检查时，对检查中发现的问题，应当提出改进意见，作出详细记录，存档备查。 五、学校网络信息发布的内容需经过学校相关部门的严格审批和登记，并建立相应的信息管理制度。 六、学校网页不得擅自连接境外的新闻网站，不得擅自登载境外新闻媒体和互联网站发布的新闻。 七、根据校园网络运行的实际情况并结合上级部门的有关规定，本办法将适时予以修订。 八、在学生中广泛开展教育活动，提倡师生文明上网，开展健康文明的网络文化活动。

系统与信息安全管理

一、资源界定 1、业务系统信息安全包括托管在联通机房的所有服务器、网络线 路、网络设备、安装在服务器上的操作系统、业务系统、应用系 统、软件、网络设备上的OS、配置等软硬件设施。 2、任何人未经允许不得对业务系统所包含的软硬件进行包括访问， 探测，利用，更改等操作。 二、网络管理 1、网络结构安全管理 A、网络物理结构和逻辑结构定期更新，拓扑结构图上应包含 IP地址，网络设备名称，专线供应商名称及联系方式，专 线带宽等，并妥善保存，未经许可不得对网络结构进行修 改。 B、网络结构必须严格保密，禁止泄漏网络结构相关信息。 C、网络结构的改变，必须提交更改预案，并经过信息总监的 批准方可进行。 2、网络访问控制 D、络访问控制列表包括山石磊科路由和华三S5620的ACL。

E、妥善保管现有的网络访问控制列表，其中应包含网络设备 及型号，网络设备的管理IP，当前的ACL列表，更新列表 的时间，更新的内容等。 F、定期检查网络访问控制列表与业务需求是否一致，如不一 致，申请更新ACL。 G、未经许可不得进行ACL相关的任何修改。 H、ACL时，必须备份原有ACL，以防误操作。 I、ACL配置完成以后，必须测试。 J、禁止泄漏任何ACL配置。 3、网络络设备安全 K、妥善保管现有网络设备清单，包括供应商及联系人信息，设备型号，IP地址，系统版本，设备当前配置清单。 L、定期检查设备配置是否与业务需求相符，如有不符，申请更新配置。 M、配置网络设备时，必须备份原有配置，以防误操作。 N、配置完成之后，必须进行全面测试。 O、禁止在网络设备上进行与工作无关的任何测试。 P、未经许可不得进行任何配置修。 Q、禁止泄漏网络设备配置。

网络信息安全管理制度

网络信息安全管理制度大全 一、电脑设备管理 (2) 二、软件管理 (4) 三、数据安全管理 (6) 四、网络信息安全管理 (7) 五、病毒防护管理 (8) 六、下载管理 (8) 七、机房管理 (8) 八、备份及恢复 (11)

一、电脑设备管理 1、计算机基础设备管理 2、各部门对该部门的每台计算机应指定保管人，共享计算机则由部门指定人员 保管，保管人对计算机软、硬件有使用、保管责任。 3、公司计算机只有网络管理员进行维护时有权拆封，其它员工不得私自拆开封。 4、计算机设备不使用时，应关掉设备的电源。人员暂离岗时，应锁定计算机。 5、计算机为公司生产设备，不得私用，转让借出；除笔记本电脑外，其它设备 严禁无故带出办公生产工作场所。 6、按正确方法清洁和保养设备上的污垢，保证设备正常使用。 7、计算机设备老化、性能落后或故障严重，不能应用于实际工作的，应报信息 技术部处理。 8、计算机设备出现故障或异常情况（包括气味、冒烟与过热）时，应当立即关 闭电源开关，拔掉电源插头，并及时通知计算机管理人员检查或维修。 9、公司计算机及周边设备，计算机操作系统和所装软件均为公司财产，计算机 使用者不得随意损坏或卸载。 10、公司电脑的IP地址由网络管理员统一规划分配，员工不得擅自更改其IP 地址，更不得恶意占用他人的地址。计算机保管人对计算机软硬负保管之责，使用者如有使用不当，造成毁损或遗失，应负赔偿责任。

11、保管人和使用人应对计算机操作系统和所安装软件口令严格保密，并至少每 180天更改一次密码，密码应满足复杂性原则，长度应不低于8位，并由大写字母、小写字母、数字和标点符号中至少3类混合组成；对于因为软件自身原因无法达到要求的，应按照软件允3许的最高密码安全策略处理。 12、重要资料、电子文档、重要数据等不得放在桌面、我的文档和系统盘（一般 为C盘）以免系统崩溃导致数据丢失。与工作相关的重要文件及数据保存两份以上的备份，以防丢失。公司设立文件服务器，重要文件应及时上传备份，各部门专用软件和数据由计算机保管人定期备份上传，需要信息技术部负责备份的应填写《数据备份申请表》，数据中心信息系统数据应按《备份管理》备份。 13、正确开机和关机。开机时，先开外设（显示器、打印机等），再开主机；关 机时，应先退出应用程序和操作系统，再关主机和外设，避免非正常关机。 14、公司邮箱帐号必须由本帐号职员使用，未经公司网络管理员允许不得将帐号 让与他人使用，如造成公司损失或名誉影响，公司将追究其个人责任，并保留法律追究途径。 15、未经允许，员工不得在网上下载软件、音乐、电影或者电视剧等，不得使用 BT、电驴、POCO等严重占用带宽的P2P下载软件。员工在上网时，除非工作需要，不允许使用QQ、MSN等聊天软件。员工不得利用公司电脑及网络资源玩游戏,浏览与工作无关的网站。若发现信息技术部可暂停其Internet使用权限，并报相关领导处理。不得随意安装工作不需要的软件。公司拥有的授权软件软件须报公司副总审批通过后由信息技术部或授权相关部门执行。 16、计算机出现重大故障，如硬盘损坏，计算机保管人应立即向部门负责人和信 息技术部报告，并填写《设备故障登记表》。 17、员工离职时，人力资源应及时通知信息技术部取消其所有的IT资源使用权 限，回收其电脑并保留一个星期，若一个星期之内人事部没有招到新员工顶替，电脑将备份数据后入库。 18、如需要私人计算机连接到公司网络，需信息技术部授权并进行登记。 19、不得随意安装软件，软件安装按照《软件管理》实施。 20、所有计算机设备必须统一安装防病毒软件，未经信息技术部同意，不得私自 在计算机中安装非公司统一规定的任何防病毒软件及个人防火墙。所有计算机必须及时升级操作系统补丁和防病毒软件。 21、任何人不得在公司的局域网上制造传播任何计算机病毒，不得故意引入病 毒。

信息管理与信息安全管理程序.docx

. . 1目的 明确公司信息化及信息资源管理要求，对内外部信息及信息系统进行有效管理，以确保各部门( 单位 ) 和岗位能及时、安全地识别、获取并有效运用、保存所需信息。 2适用范围 适用于公司信息化管理及信息收集、整理、转换、传输、利用与发布管理。 3术语和定义 3.1信息 有意义的数据、消息。公司的信息包括管理体系所涉及的质量、环境、职业健康安全、测量、标准 化、内部控制、三基等和生产经营管理中所有信息。 3.2企业信息化 建立先进的管理理念，应用先进的计算机网络技术，整合、提升企业现有的生产、经营、设计、制 造、管理方式，及时为企业各级人员的决策提供准确而有效的数据信息，以便对需求做出迅速的反应， 其本质是加强企业的“核心竞争力” 。 3.3信息披露 指公司以报告、报道、网络等形式，向总部、地方政府报告或向社会公众公开披露生产经营管理相 关信息的过程。 3.4 ERP 企业资源规划 3.5 MES 制造执行系统 3.6LIMS 实验室信息管理系统 3.7IT 信息技术 4职责 4.1信息化工作领导小组负责对公司信息化管理工作进行指导和监督、检查，对重大问题进行决策， 定期听取有关信息化管理的工作汇报，协调解决信息化过程中存在的有关问题。 4.2 ERP支持中心负责公司ERP系统运行、维护管理，每月召开ERP例会，分析总结系统运行情况， 协调处理有关问题，及时向总部支持中心上报月报、年报。 4.3信息中心是公司信息化工作的归口管理部门，主要职责： a) 负责制定并组织实施本程序及配套规章制度，对各部门( 单位 ) 信息化工作进行业务指导和督促； b)负责信息化建设管理，组织进行信息技术项目前期管理，编制信息建设专业发展规划并组织实施； c) 负责统一规划、组织、整合和管理公司信息资源系统，为各部门( 单位 ) 信息采集、整理、汇总和 发布等环节提供技术支持；对Internet用户、电子邮箱进行设置管理；统一管理分公司互联网出口； d) 负责计算机网络系统、信息门户和各类信息应用系统的安全运行和维护及计算机基础设施、计算

网络与信息安全管理组织机构设置及工作职责[001]

精心整理 精心整理 网络与信息安全管理组织机构设置及工作职责 一、网络与信息安全责任人：1.网络与信息安全第一责任人：企业法定代表人姓名；工作职责为：对机构内的信息安全工作负有领导责任；联系方式：电话及邮箱。（联系电话应为本人常用、真实有效的手机号码，可抽测。） 2.网络与信息安全责任人：分管信息安全工作的负责人姓名；工作职责为：对企业内信息安全工作负有直接领导责任。联系方式：电话及邮箱。（联系电话应为本人常用、真实有效的手机号码，可抽测。）（上述两项请全部填写）二、网络与信息安全管理组织机构设置及工作职责 1.企业需设置或指定网络与信息安全主管部门（如信息安全领导小组、信息安全工作组、信息安全部等），负责本企业网络与信息安全相关工作；企业网络与信息安全管理组织架构：包括主管部门、相关配合部门； 2.网络与信息安全管理机构职责（包括但不限于下述内容，要对公司实际制度建立和管理情况进行简述）：（1）建立健全网络与信息安全规章制度，以及各项规章制度执行情况监督检查；（2）开展网络与信息安全风险监测预警和评估控制、隐患排查整改工作；（3）建立健全网络与信息安全事件应急处置和上报制度，以及组织开展应急演练；（4）建立健全从业人员网络与信息安全教育培训以及考核制度；（5）违法有害信息监测处置制度和技术手段建设；（6）建立健全用户信息保护制度。 3.对于申请IDC/ISP(开展网站接入业务的）企业，在许可证申请完成后，开展业务前，企业的IDC/ISP 信息安全管理系统需与我局IDC/ISP 信息安全管理系统进行对接，并且按照《工业和信息化部办公厅关于印发《互联网信息安全管理系统使用及运行维护管理办法（试行）》（工信厅网安（2016）135号）要求，制定本企业IDC/ISP 信息安全管理系统的运行维护管理办法。 网络与信息安全管理人员配备情况及相应资质 一、网络与信息安全管理人员配备情况及相应资质请按 照下表内容在系统上填写相关文字信息： 网络与信息安全管理人员配备情况表 责任人 姓名 身份证号 联系方式（手机） 归属部门 工作内容 全职/兼职 资质情况 第一责任人(公司法人/

网络信息安全管理制度

*******公司网络安全管理制度 根据有关计算机、网络和信息安全的相关法律、法规和安全规定，结合本单位网络系统建设的实际情况，制定网络安全管理制度，成立本单位网络安全小组： 组长：****** 副组长：****** 成员：********************* 一、网络安全管理领导小组职责 1.组织宣传计算机信息网络安全管理方面的法律、法规和有关政策； 2.拟定并组织实施本单位计算机信息网络安全管理的 各项规章制度； 3.定期组织检查计算机信息网络系统安全运行情况，及时排除各种信息安全隐患； 4.负责组织本单位信息安全审查； 5.负责组织本单位计算机使用人员的安全教育和培训； 6.发生安全信息事故或计算机违法犯罪案件时，应立即向公安机关网监部门或网络安全信息部门报告并采取妥善 措施，保护现场，避免危害的扩散。 二、网络管理员职责 1.协助分管领导制定网络建设及网络发展规划，确定网络安全及资源共享策略； 2.负责单位公共网络设施，如服务器、交换机、集线器、

防火墙、网关、配线架、网线、接插件等的维护和管理； 3.负责服务器和系统软件的安装、维护、调整及更新； 4.负责账号管理、资源分配、数据安全和系统安全管理； 5.监视网络运行，调整网络参数，调度网络资源，保持网络安全、稳定、畅通； 6.负责系统备份和网络数据备份； 7.保管设备规格及配置单、网络管理记录、网络运行记录、网络检修记录等网络资料； 8.定期对网络的效能和业务电脑性能进行评价，对网络结构、网络管理进行优化维护。 三、机房安全管理制度 机房是支持信息系统正常运行的重要场所，为保证机房设备与信息的安全，保障机房有良好的运行环境，机房内严禁堆放易燃、易爆物品；机房内或附近应配备足够的消防器材，严格加强机房安全管理，采取防火防盗、防潮防雷等措施，保障机房内配电系统和电器安全，发现问题应及时维修更换。 1.机房消防安全设施应包括：①24小时不间断空调系统，机房内保持一定的温度和湿度；②安装湿度和温度显示装置； ③安装烟雾感应探测器和温度感应探测器；④安装火灾报警和自动灭火系统；⑤配备手动灭火器； 2.管理人员应严格遵守操作规程，对各类设备、设施实行规范措施，并做好日常维护和保养。定时做好服务器等设备的日志和存档工作，任何人不得删除运行记录的文档；

网络及信息安全管理制度汇编

中心机房管理制度 计算机机房属机密重地。为做到严格管理，保证安全，特制订如下制度： 第一条中心机房的管理由系统管理员负责，非机房工作人员未经允许不准进入，机房门口明显位置应张贴告示：“机房重地，非请莫入”。 第二条机房内应保持整洁，严禁吸烟、吃喝、聊天、会客、休息。不准在计算机及工作台附近放置可能危及设备安全的物品。 第三条机房内严禁一切与工作无关的操作。严禁外来信息载体带入机房，未经允许不准将机器设备和数据带出机房。 第四条认真做好机房内各类记录介质的保管工作，落实专人收集、保管，信息载体必须安全存放并严密保管，防止丢失或失效。机房资料外借必须经批准并履行手续，方可借出。作废资料严禁外泄。 第五条机房工作人员要随时掌握机房运行环境和设备运行状态，保证设备随时畅通。机房设备开关必须先经检查确认正常后再按顺序依次开关机。 第六条机房工作人员对机房存在的隐患及设备故障要及时报告，并与有关部门及时联系处理。非常情况下应立即采取应急措施并保护现场。

第七条机房设备应由专业人员操作、使用，禁止非专业人员操作、使用。对各种设备应按规范要求操作、保养。发现故障，应及时报请维修，以免影响工作。 第八条外单位人员因工作需要进入机房时，必须报经局领导审批后方可进入，进入机房后须听从工作人员的指挥，未经许可，不得触及机房内设施。 第九条外来人员参观机房，须指定人员陪同。操作人员按陪同人员要求可以在电脑演示、咨询；对参观人员不合理要求，陪同人员应婉拒，其他人员不得擅自操作。 第十条中心机房处理秘密事务时，不得接待参观人员或靠近观看。

网络安全管理制度 第一条严格遵守法律、行政法规和国家其他有关规定，确保计算机信息系统的安全。 第二条连入局域网的用户严禁访问外部网络，若因工作需要，上网查询信息，允许访问与工作相关的网站，但须报告计算机管理部门，并在专业人员的指导下完成。非本局工作人员不允许上网查询信息。严禁访问宣扬封建迷信、淫秽、色情、赌博、暴力、凶杀、恐怖、教唆犯罪等违法网站。禁止在网络上聊天及玩游戏。 第三条加强信息发布审核管理工作。发布网络信息不得有危害国家安全、泄露国家秘密，侵犯国家、社会、集体的利益和公民的合法权益的内容出现。 第四条禁止非工作人员操纵系统，禁止不合法的登录情况出现。遇到安全问题应及时向计算机管理部门报告，并采取措施及时解决。 第五条局域网要采取安全管理措施，保障计算机网络设备和配套设施的安全，保障信息的安全，保障运行环境的安全。 第六条不得利用局域网络从事危害本局利益、集体利益和发表不适当的言论，不得危害计算机网络及信息系统的安全。在局域网上不允许进行干扰任何网络用户、破坏网络

网络数据和信息安全管理规范

网络数据和信息安全管 理规范 IMB standardization office【IMB 5AB- IMBK 08- IMB 2C】

X X X X有限公司 WHB-08 网络数据和信息安全管理规范 版本号: A/0 编制人： XXX 审核人： XXX 批准人： XXX 20XX年X月X日发布 20XX年X月X日实施

目的 计算机网络为公司局域网提供网络基础平台服务和互联网接入服务。为保证公司计算机信息及网络能够安全可靠的运行，充分发挥信息服务方面的重要作用，更好的为公司运营提供服务，依据国家有关法律、法规的规定，结合公司实际情况制定本规定。 术语 本规范中的名词术语（比如“计算机信息安全”等）符合国家以及行业的相关规定。 计算机信息安全是指防止信息财产被故意的或偶然的非授权泄露、更改、破坏或使信息被非法系统辨识，控制。即确保信息的完整性、保密性、可用性和可控性。包括操作系统安全、数据库安全、病毒防护、访问权限控制、加密与鉴别等七个方面。 狭义上的计算机信息安全，是指防止有害信息在计算机网络上的传播和扩散，防止计算机网络上处理、传输、存储的数据资料的失窃和毁坏，防止内部人员利用计算机网络制作、传播有害信息和进行其他违法犯罪活动。 网络安全，是指保护计算机网络的正常运行，防止网络被入侵、攻击等，保证合法用户对网络资源的正常访问和对网络服务的正常使用。 计算机及网络安全员，是指从事的保障计算机信息及网络安全工作的人员。 普通用户，是指除了计算机及网络安全员之外的所有在物理或者逻辑上能够访问到互联网、企业计算机网及各应用系统的公司内部员工。 主机系统，指包含服务器、工作站、个人计算机在内的所有计算机系统。本规定所称的重要主机系统指生产、办公用的Web服务器、Email服务器、DNS服务器、OA服务器、企业运营管理支撑系统服务器、文件服务器、各主机系统等。 网络服务，包含通过开放端口提供的网络服务，如WWW、Email、FTP、Telnet、DNS等。有害信息，参见国家现在法律法规的定义。

信息安全管理政策和业务培训制度

信息安全政策与业务培训制度 第一章信息安全政策 一、计算机设备管理制度 1. 计算机的使用部门要保持清洁、安全、良好的计算机设备工作环境，禁止在计算机应用环境中放置易燃、易爆、强腐蚀、强磁性等有害计算机设备安全的物品。 2. 非本单位技术人员对我单位的设备、系统等进行维修、维护时，必须由本单位相关技术人员现场全程监督。计算机设备送外维修，须经有关部门负责人批准。 3. 严格遵守计算机设备使用、开机、关机等安全操作规程和正确的使用方法。任何人不允许带电插拨计算机外部设备接口，计算机出现故障时应及时向电脑负责部门报告,不允许私自处理或找非本单位技术人员进行维修及操作。 二、操作员安全管理制度 1. 操作代码是进入各类应用系统进行业务操作、分级对数据存取进行控制的代码。操作代码分为系统管理代码和一般操作代码。代码的设置根据不同应用系统的要求及岗位职责而设置. 2.系统管理操作代码的设置与管理:

(1)、系统管理操作代码必须经过经营管理者授权取得; (2)、系统管理员负责各项应用系统的环境生成、维护，负责一般操作代码的生成和维护，负责故障恢复等管理及维护; (3)、系统管理员对业务系统进行数据整理、故障恢复等操作，必须有其上级授权; (4)、系统管理员不得使用他人操作代码进行业务操作; (5)、系统管理员调离岗位，上级管理员(或相关负责人)应及时注销其代码并生成新的系统管理员代码; 3.一般操作代码的设置与管理 (1)、一般操作码由系统管理员根据各类应用系统操作要求生成，应按每操作用户一码设置。 (2)、操作员不得使用他人代码进行业务操作。 (3)、操作员调离岗位，系统管理员应及时注销其代码并生成新的操作员代码。 三、密码与权限管理制度 1. 密码设置应具有安全性、保密性，不能使用简单的代码和标记。密码是保护系统和数据安全的控制代码，也是保护用户自身权益的控制代码。密码分设为用户密码和操作密码，用户密码是登陆系统时所设

网络及信息安全管理意见

网络安全管理制度(意见) 第一条严格遵守法律、行政法规和国家其他有关规定，确保计算机信息系统的安全。 第二条非政府工作人员不允许在本网络内上网查询信息。严禁工作人员访问宣扬封建迷信、淫秽、色情、赌博、暴力、凶杀、恐怖、教唆犯罪等违法网站。禁止在网络上聊天及玩游戏。 第三条加强信息发布审核管理工作。发布网络信息不得有危害国家安全、泄露国家秘密，侵犯国家、社会、集体的利益和公民的合法权益的内容出现。 第四条禁止非政府工作人员操纵电脑，禁止不合法的登录情况出现。 第五条局域网内要采取安全管理措施。每台电脑需装杀毒软件，每周定时查杀病毒和木马，并自动修复系统漏洞。建议使用360杀毒软件或金山卫士(此两款软件均免费)。养成良好的操作习惯，经常备份重要资料。 第六条不得利用局域网络从事危害本局利益、集体利益和发表不适当的言论，不得危害计算机网络及信息系统的安全。在局域网上不允许进行干扰任何网络用户、破坏网络服务和破坏网络设备的活动。

第七条局域网应统一规划、建设，未经许可，不得私自将陌生的计算机接入局域网，不得将涉密电脑接入局域网。 第八条不得向其它非本部门工作人员透露内部网登录用户名和密码，做好各个应用系统的用户名和密码的保密工作。 第九条存储介质(包含：U盘、移动硬盘、光盘)在与计算机连接前，确保被计算机内安装有防木马和病毒的软件。如果杀毒软件提示有病毒存在，请做杀毒处理。不得在发现病毒的情况下强行拷贝数据。 第十条在发现某台计算机中毒后，请拔出网线，进行单机杀毒或重装系统，以免造成网络内部感染，导致网络崩溃。

数据、资料和信息的安全管理制度 第一条机房及使用计算机的单位都要设立专人负责文字及磁介质资料的安全管理工作。 第二条各单位要建立资料管理登记簿，详细记录资料的分类、名称、用途、借阅情况等，便于查找和使用。 第三条各项技术资料应集中统一保管，严格借阅制度。 第四条应用系统和操作系统需用磁带、光盘备份。对重要的动态数据应定时清理、备份，并报送有关部门存放。 第五条存放税收业务应用系统及重要信息的磁带光盘严禁外借，确因工作需要，须报请有关领导批准。 第六条对需要长期保存的数据磁带、磁盘，应在一年内进行转储，以防止数据失效造成损失。 第七条对有关电脑文件、数据进行加密处理。为保密需要，应定期或不定期地更换不同保密方法或密码口令。若须查阅保密信息，须经有关领导批准，才能查询、打印有关保密资料。对保密信息应严加看管，不得遗失、私自传播。 第八条及时关注电脑界病毒防治情况和提示，根据要求调整计算机参数或安装防毒软件，避免电脑病毒侵袭。 第九条对于联入局域网的计算机，任何人在未经批准的情况下，不得向局域网内拷入软件或文档。 第十条任何微机需安装软件时，由各单位提出申请，

网络与信息安全管理体系

网络与信息安全管理工作体系制度 总则 依据《网络信息机构业务活动管理暂行办法》第十八条、第二十一条、第二十二条、第二十三条的相关规定,规范公司的信息安全、网络安全的管理工作,确保公司的系统运行安全、网络运行安全以及客户信息、项目信息的保护,特制订本制度。 本管理办法适用于公司所有涉及信息、安全与重要岗位的管理。 信息安全领导小组 1，公司成立信息安全领导小组,就是信息安全的最高决策机构。 2，信息安全领导小组负责研究重大事件,落实方针政策与制定总体策略等。职责主要包括: (1)根据国家与行业有关信息安全的策略、法律与法规,批准公司信息安全总体策略规划、管理规范与技术标准; (2)监督、督导公司整体信息安全工作的落实与执行情况; (3)制订相关信息安全、网络安全、以及信息、网络的应急管理的制度; 3，信息安全领导小组下设两个工作组:信息安全工作组、应急处理工作组,作为日常工作执行机构。 4，信息安全领导小组组长由公司负责人担任,副组长由公司科技部门领导担任,各部门负责人自动成为信息安全领导小组成员。 信息安全工作组 1,信息安全工作组由信息技术部门负责人担任组长,成员由信息安全

2,信息安全工作组的主要职责包括: （一）、贯彻执行公司信息安全领导小组的决议,协调与规范公司信息安全工作; （二）、根据信息安全领导小组的工作部署,对信息安全工作进行具体安排、落实; （三）、组织对重大的信息安全工作制度与技术操作策略进行审查,拟定信息安全总体策略规划,并监督执行; （四）、负责协调、督促各职能部门与有关单位的信息安全工作,参与信息系统工程建设中的安全规划,监督安全措施的执行; （五）、组织信息安全工作检查,分析信息安全总体状况,提出分析报告与安全风险的防范对策; （六）、负责接收各单位的紧急信息安全事件报告,组织进行时间调查,分析原因、涉及范围,并评估安全事件的严重程度,提出信息安全时间防范措施; （七）、及时向信息安全工作领导小组与上级有关部门、单位报告信息安全时间。 （八）、跟踪先进的信息安全技术,组织信息安全知识的培训与宣传工作。 （九）、信息安全领导小组授权开展的其她信息安全工作。 应急处理工作组 1,应急处理工作组组长由信息技术部门负责人担任,成员由信息安全