等保测评之-信息安全管理制度
信息安全等级保护制度第三级要求
1 第三级基本要求
1.1技术要求
1.1.1 物理安全
1.1.1.1 物理位置的选择(G3)
本项要求包括:
a) 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内;
b) 机房场地应避免设在建筑物的高层或地下室,以及用水设备的下层或隔壁。
1.1.1.2 物理访问控制(G3)
本项要求包括:
a) 机房出入口应安排专人值守,控制、鉴别和记录进入的人员;
b) 需进入机房的来访人员应经过申请和审批流程,并限制和监控其活动范围;
c) 应对机房划分区域进行管理,区域和区域之间设置物理隔离装置,在重要区域前设置交付或安
装等过渡区域;
d) 重要区域应配置电子门禁系统,控制、鉴别和记录进入的人员。
1.1.1.3 防盗窃和防破坏(G3)
本项要求包括:
a) 应将主要设备放置在机房内;
b) 应将设备或主要部件进行固定,并设置明显的不易除去的标记;
c) 应将通信线缆铺设在隐蔽处,可铺设在地下或管道中;
d) 应对介质分类标识,存储在介质库或档案室中;
e) 应利用光、电等技术设置机房防盗报警系统;
f) 应对机房设置监控报警系统。
1.1.1.4 防雷击(G3)
本项要求包括:
a) 机房建筑应设置避雷装置;
b) 应设置防雷保安器,防止感应雷;
c) 机房应设置交流电源地线。
7.1.1.5 防火(G3)
本项要求包括:
a) 机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火;
b) 机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料;
c) 机房应采取区域隔离防火措施,将重要设备与其他设备隔离开。
1.1.1.6 防水和防潮(G3)
本项要求包括:
a) 水管安装,不得穿过机房屋顶和活动地板下;
b) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透;
c) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透;
d) 应安装对水敏感的检测仪表或元件,对机房进行防水检测和报警。
1.1.1.7 防静电(G3)
本项要求包括:
a) 主要设备应采用必要的接地防静电措施;
b) 机房应采用防静电地板。
1.1.1.8 温湿度控制(G3)
机房应设置温、湿度自动调节设施,使机房温、湿度的变化在设备运行所允许的范围之内。
1.1.1.9 电力供应(A3)
本项要求包括:
a) 应在机房供电线路上配置稳压器和过电压防护设备;
b) 应提供短期的备用电力供应,至少满足主要设备在断电情况下的正常运行要求;
c) 应设置冗余或并行的电力电缆线路为计算机系统供电;
d) 应建立备用供电系统。
1.1.1.10 电磁防护(S3)
本项要求包括:
a) 应采用接地方式防止外界电磁干扰和设备寄生耦合干扰;
b) 电源线和通信线缆应隔离铺设,避免互相干扰;
c) 应对关键设备和磁介质实施电磁屏蔽。
1.1.2 网络安全
1.1.
2.1 结构安全(G3)
本项要求包括:
a) 应保证主要网络设备的业务处理能力具备冗余空间,满足业务高峰期需要;
b) 应保证网络各个部分的带宽满足业务高峰期需要;
c) 应在业务终端与业务服务器之间进行路由控制建立安全的访问路径;
d) 应绘制与当前运行情况相符的网络拓扑结构图;
e) 应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素,划分不同的子网或网段,
并按照方便管理和控制的原则为各子网、网段分配地址段;
f) 应避免将重要网段部署在网络边界处且直接连接外部信息系统,重要网段与其他网段之间采取可靠的技术隔离手段;
g) 应按照对业务服务的重要次序来指定带宽分配优先级别,保证在网络发生拥堵的时候优先保护重要主机。
1.1.
2.2 访问控制(G3)
本项要求包括:
a) 应在网络边界部署访问控制设备,启用访问控制功能;
b) 应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力,控制粒度为端口级;
c) 应对进出网络的信息内容进行过滤,实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制;
d) 应在会话处于非活跃一定时间或会话结束后终止网络连接;
e) 应限制网络最大流量数及网络连接数;
f) 重要网段应采取技术手段防止地址欺骗;
g) 应按用户和系统之间的允许访问规则,决定允许或拒绝用户对受控系统进行资源访问,控制粒度为单个用户;
h) 应限制具有拨号访问权限的用户数量。
1.1.
2.3 安全审计(G3)
本项要求包括:
a) 应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录;
b) 审计记录应包括:事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;
c) 应能够根据记录数据进行分析,并生成审计报表;
d) 应对审计记录进行保护,避免受到未预期的删除、修改或覆盖等。
1.1.
2.4 边界完整性检查(S3)
本项要求包括:
a) 应能够对非授权设备私自联到内部网络的行为进行检查,准确定出位置,并对其进行有效阻断;
b) 应能够对内部网络用户私自联到外部网络的行为进行检查,准确定出位置,并对其进行有效阻断。
1.1.
2.5 入侵防范(G3)
本项要求包括:
a) 应在网络边界处监视以下攻击行为:端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP 碎片攻击和网络蠕虫攻击等;
b) 当检测到攻击行为时,记录攻击源IP、攻击类型、攻击目的、攻击时间,在发生严重入侵事件时应提供报警。
7.1.2.6 恶意代码防范(G3)
本项要求包括:
a) 应在网络边界处对恶意代码进行检测和清除;
b) 应维护恶意代码库的升级和检测系统的更新。
7.1.2.7 网络设备防护(G3)
本项要求包括:
a) 应对登录网络设备的用户进行身份鉴别;
b) 应对网络设备的管理员登录地址进行限制;
c) 网络设备用户的标识应唯一;
d) 主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别;
e) 身份鉴别信息应具有不易被冒用的特点,口令应有复杂度要求并定期更换;
f) 应具有登录失败处理功能,可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施;
g) 当对网络设备进行远程管理时,应采取必要措施防止鉴别信息在网络传输过程中被窃听;
h) 应实现设备特权用户的权限分离。
1.1.3 主机安全
7.1.3.1 身份鉴别(S3)
本项要求包括:
a) 应对登录操作系统和数据库系统的用户进行身份标识和鉴别;
b) 操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点,口
令应有复杂度要求并定期更换;
c) 应启用登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施;
d) 当对服务器进行远程管理时,应采取必要措施,防止鉴别信息在网络传输过程中被窃听;
e) 应为操作系统和数据库系统的不同用户分配不同的用户名,确保用户名具有唯一性。
f) 应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。
1.1.3.2 访问控制(S3)
本项要求包括:
a) 应启用访问控制功能,依据安全策略控制用户对资源的访问;
b) 应根据管理用户的角色分配权限,实现管理用户的权限分离,仅授予管理用户所需的最小权限;
c) 应实现操作系统和数据库系统特权用户的权限分离;
d) 应严格限制默认帐户的访问权限,重命名系统默认帐户,修改这些帐户的默认口令;
e) 应及时删除多余的、过期的帐户,避免共享帐户的存在。
f) 应对重要信息资源设置敏感标记;
g) 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作;
7.1.3.3 安全审计(G3)
本项要求包括:
a) 审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户;
b) 审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件;
c) 审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等;
d) 应能够根据记录数据进行分析,并生成审计报表;
e) 应保护审计进程,避免受到未预期的中断;
f) 应保护审计记录,避免受到未预期的删除、修改或覆盖等。
1.1.3.4 剩余信息保护(S3)
本项要求包括:
a) 应保证操作系统和数据库系统用户的鉴别信息所在的存储空间,被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;
b) 应确保系统内的文件、目录和数据库记录等资源所在的存储空间,被释放或重新分配给其他用户前得到完全清除。
7.1.3.5 入侵防范(G3)
本项要求包括:
a) 应能够检测到对重要服务器进行入侵的行为,能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间,并在发生严重入侵事件时提供报警;
b) 应能够对重要程序的完整性进行检测,并在检测到完整性受到破坏后具有恢复的措施;
c) 操作系统应遵循最小安装的原则,仅安装需要的组件和应用程序,并通过设置升级服务器等方持系统补丁及时得到更新。
7.1.3.6 恶意代码防范(G3)
本项要求包括:
a) 应安装防恶意代码软件,并及时更新防恶意代码软件版本和恶意代码库;
b) 主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库;
c) 应支持防恶意代码的统一管理。
7.1.3.7 资源控制(A3)
本项要求包括:
a) 应通过设定终端接入方式、网络地址范围等条件限制终端登录;
b) 应根据安全策略设置登录终端的操作超时锁定;
c) 应对重要服务器进行监视,包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况;
d) 应限制单个用户对系统资源的最大或最小使用限度;
e) 应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。
7.1.4 应用安全
7.1.4.1 身份鉴别(S3)
本项要求包括:
a) 应提供专用的登录控制模块对登录用户进行身份标识和鉴别;
b) 应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别;
c) 应提供用户身份标识唯一和鉴别信息复杂度检查功能,保证应用系统中不存在重复用户身份标识,身份鉴别信息不易被冒用;
d) 应提供登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施;
e) 应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能,并根据安全策略配置相关参数。
7.1.4.2 访问控制(S3)
本项要求包括:
a) 应提供访问控制功能,依据安全策略控制用户对文件、数据库表等客体的访问;
b) 访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作;
c) 应由授权主体配置访问控制策略,并严格限制默认帐户的访问权限;
d) 应授予不同帐户为完成各自承担任务所需的最小权限,并在它们之间形成相互制约的关系。
e) 应具有对重要信息资源设置敏感标记的功能;
f) 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作;
7.1.4.3 安全审计(G3)
a) 应提供覆盖到每个用户的安全审计功能,对应用系统重要安全事件进行审计;
b) 应保证无法单独中断审计进程,无法删除、修改或覆盖审计记录;
c) 审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等;
d) 应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。
7.1.4.4 剩余信息保护(S3)
本项要求包括:
a) 应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;
b) 应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。
7.1.4.5 通信完整性(S3)
应采用密码技术保证通信过程中数据的完整性。
7.1.4.6 通信保密性(S3)
本项要求包括:
a) 在通信双方建立连接之前,应用系统应利用密码技术进行会话初始化验证;
b) 应对通信过程中的整个报文或会话过程进行加密。
7.1.4.7 抗抵赖(G3)
本项要求包括:
a) 应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能;
b) 应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。
7.1.4.8 软件容错(A3)
a) 应提供数据有效性检验功能,保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求;
b) 应提供自动保护功能,当故障发生时自动保护当前所有状态,保证系统能够进行恢复。
7.1.4.9 资源控制(A3)
本项要求包括:
a) 当应用系统的通信双方中的一方在一段时间内未作任何响应,另一方应能够自动结束会话;
b) 应能够对系统的最大并发会话连接数进行限制;
c) 应能够对单个帐户的多重并发会话进行限制;
d) 应能够对一个时间段内可能的并发会话连接数进行限制;
e) 应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额;
f) 应能够对系统服务水平降低到预先规定的最小值进行检测和报警;
g) 应提供服务优先级设定功能,并在安装后根据安全策略设定访问帐户或请求进程的优先级,根据优先级分配系统资源。
7.1.5 数据安全及备份恢复
7.1.5.1 数据完整性(S3)
本项要求包括:
a) 应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏,并在检测到完整性错误时采取必要的恢复措施;
b) 应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏,并在检测到完整性错误时采取必要的恢复措施。
7.1.5.2 数据保密性(S3)
本项要求包括:
a) 应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性;
b) 应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性。
7.1.5.3 备份和恢复(A3)
本项要求包括:
a) 应提供本地数据备份与恢复功能,完全数据备份至少每天一次,备份介质场外存放;
b) 应提供异地数据备份功能,利用通信网络将关键数据定时批量传送至备用场地;
c) 应采用冗余技术设计网络拓扑结构,避免关键节点存在单点故障;
d) 应提供主要网络设备、通信线路和数据处理系统的硬件冗余,保证系统的高可用性。
7.2 管理要求
7.2.1 安全管理制度
7.2.1.1 管理制度(G3)
本项要求包括:
a) 应制定信息安全工作的总体方针和安全策略,说明机构安全工作的总体目标、范围、原则和安全框架等;
b) 应对安全管理活动中的各类管理内容建立安全管理制度;
c) 应对要求管理人员或操作人员执行的日常管理操作建立操作规程;
d) 应形成由安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系。
7.2.1.2 制定和发布(G3)
本项要求包括:
a) 应指定或授权专门的部门或人员负责安全管理制度的制定;
b) 安全管理制度应具有统一的格式,并进行版本控制;
c) 应组织相关人员对制定的安全管理制度进行论证和审定;
d) 安全管理制度应通过正式、有效的方式发布;
e) 安全管理制度应注明发布范围,并对收发文进行登记。
7.2.1.3 评审和修订(G3)
本项要求包括:
a) 信息安全领导小组应负责定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定;
b) 应定期或不定期对安全管理制度进行检查和审定,对存在不足或需要改进的安全管理制度进行修订。
7.2.2 安全管理机构
7.2.2.1 岗位设置(G3)
本项要求包括:
a) 应设立信息安全管理工作的职能部门,设立安全主管、安全管理各个方面的负责人岗位,并定义各负责人的职责;
b) 应设立系统管理员、网络管理员、安全管理员等岗位,并定义各个工作岗位的职责;
c) 应成立指导和管理信息安全工作的委员会或领导小组,其最高领导由单位主管领导委任或授权;
d) 应制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。
7.2.2.2 人员配备(G3)
本项要求包括:
a) 应配备一定数量的系统管理员、网络管理员、安全管理员等;
b) 应配备专职安全管理员,不可兼任;
c) 关键事务岗位应配备多人共同管理。
7.2.2.3 授权和审批(G3)
本项要求包括:
a) 应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等;
b) 应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序,按照审批程序执行审批过程,对重要活动建立逐级审批制度;
c) 应定期审查审批事项,及时更新需授权和审批的项目、审批部门和审批人等信息;
d) 应记录审批过程并保存审批文档。
7.2.2.4 沟通和合作(G3)
a) 应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通,定期或不定期召开协调会议,共同协作处理信息安全问题;
b) 应加强与兄弟单位、公安机关、电信公司的合作与沟通;
c) 应加强与供应商、业界专家、专业的安全公司、安全组织的合作与沟通;
d) 应建立外联单位联系列表,包括外联单位名称、合作内容、联系人和联系方式等信息;
e) 应聘请信息安全专家作为常年的安全顾问,指导信息安全建设,参与安全规划和安全评审等。
7.2.2.5 审核和检查(G3)
本项要求包括:
a) 安全管理员应负责定期进行安全检查,检查内容包括系统日常运行、系统漏洞和数据备份等情况;
b) 应由内部人员或上级单位定期进行全面安全检查,检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等;
c) 应制定安全检查表格实施安全检查,汇总安全检查数据,形成安全检查报告,并对安全检查结果进行通报;
d) 应制定安全审核和安全检查制度规范安全审核和安全检查工作,定期按照程序进行安全审核和安全检查活动。
7.2.3 人员安全管理
7.2.3.1 人员录用(G3)
本项要求包括:
a) 应指定或授权专门的部门或人员负责人员录用;
b) 应严格规范人员录用过程,对被录用人的身份、背景、专业资格和资质等进行审查,对其所具有的技术技能进行考核;
c) 应签署保密协议;
d) 应从内部人员中选拔从事关键岗位的人员,并签署岗位安全协议。
7.2.3.2 人员离岗(G3)
本项要求包括:
a) 应严格规范人员离岗过程,及时终止离岗员工的所有访问权限;
b) 应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备;
c) 应办理严格的调离手续,关键岗位人员离岗须承诺调离后的保密义务后方可离开。
7.2.3.3 人员考核(G3)
本项要求包括:
a) 应定期对各个岗位的人员进行安全技能及安全认知的考核;
b) 应对关键岗位的人员进行全面、严格的安全审查和技能考核;
c) 应对考核结果进行记录并保存。
7.2.3.4 安全意识教育和培训(G3)
本项要求包括:
a) 应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训;
b) 应对安全责任和惩戒措施进行书面规定并告知相关人员,对违反违背安全策略和规定的人员进行惩戒;
c) 应对定期安全教育和培训进行书面规定,针对不同岗位制定不同的培训计划,对信息安全基础知识、岗位操作规程等进行培训;
d) 应对安全教育和培训的情况和结果进行记录并归档保存。
7.2.3.5 外部人员访问管理(G3)
本项要求包括:
a) 应确保在外部人员访问受控区域前先提出书面申请,批准后由专人全程
陪同或监督,并登记备案;
b) 对外部人员允许访问的区域、系统、设备、信息等内容应进行书面的规定,并按照规定执行。
7.2.4 系统建设管理
7.2.4.1 系统定级(G3)
本项要求包括:
a) 应明确信息系统的边界和安全保护等级;
b) 应以书面的形式说明确定信息系统为某个安全保护等级的方法和理由;
c) 应组织相关部门和有关安全技术专家对信息系统定级结果的合理性和正确性进行论证和审定;
d) 应确保信息系统的定级结果经过相关部门的批准。
7.2.4.2 安全方案设计(G3)
本项要求包括:
a) 应根据系统的安全保护等级选择基本安全措施,并依据风险分析的结果补充和调整安全措施;
b) 应指定和授权专门的部门对信息系统的安全建设进行总体规划,制定近期和远期的安全建设工作计划;
c) 应根据信息系统的等级划分情况,统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案,并形成配套文件;
d) 应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的合理性和正确性进行论证和审定,并且经过批准后,才能正式实施;
e) 应根据等级测评、安全评估的结果定期调整和修订总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件。
7.2.4.3 产品采购和使用(G3)
本项要求包括:
a) 应确保安全产品采购和使用符合国家的有关规定;
b) 应确保密码产品采购和使用符合国家密码主管部门的要求;
c) 应指定或授权专门的部门负责产品的采购;
d) 应预先对产品进行选型测试,确定产品的候选范围,并定期审定和更新候选产品名单。
7.2.4.4 自行软件开发(G3)
本项要求包括:
a) 应确保开发环境与实际运行环境物理分开,开发人员和测试人员分离,测试数据和测试结果受到控制;
b) 应制定软件开发管理制度,明确说明开发过程的控制方法和人员行为准则;
c) 应制定代码编写安全规范,要求开发人员参照规范编写代码;
d) 应确保提供软件设计的相关文档和使用指南,并由专人负责保管;
e) 应确保对程序资源库的修改、更新、发布进行授权和批准。
7.2.4.5 外包软件开发(G3)
本项要求包括:
a) 应根据开发需求检测软件质量;
b) 应在软件安装之前检测软件包中可能存在的恶意代码;
c) 应要求开发单位提供软件设计的相关文档和使用指南;
d) 应要求开发单位提供软件源代码,并审查软件中可能存在的后门。
7.2.4.6 工程实施(G3)
本项要求包括:
a) 应指定或授权专门的部门或人员负责工程实施过程的管理;
b) 应制定详细的工程实施方案控制实施过程,并要求工程实施单位能正式地执行安全工程过程;
c) 应制定工程实施方面的管理制度,明确说明实施过程的控制方法和人员行为准则。
7.2.4.7 测试验收(G3)
本项要求包括:
a) 应委托公正的第三方测试单位对系统进行安全性测试,并出具安全性测试报告;
b) 在测试验收前应根据设计方案或合同要求等制订测试验收方案,在测试验收过程中应详细记录测试验收结果,并形成测试验收报告;
c) 应对系统测试验收的控制方法和人员行为准则进行书面规定;
d) 应指定或授权专门的部门负责系统测试验收的管理,并按照管理规定的要求完成系统测试验收工作;
e) 应组织相关部门和相关人员对系统测试验收报告进行审定,并签字确认。
7.2.4.8 系统交付(G3)
本项要求包括:
a) 应制定详细的系统交付清单,并根据交付清单对所交接的设备、软件和文档等进行清点;
b) 应对负责系统运行维护的技术人员进行相应的技能培训;
c) 应确保提供系统建设过程中的文档和指导用户进行系统运行维护的文档;
d) 应对系统交付的控制方法和人员行为准则进行书面规定;
e) 应指定或授权专门的部门负责系统交付的管理工作,并按照管理规定的要求完成系统交付工作。
7.2.4.9 系统备案(G3)
本项要求包括:
a) 应指定专门的部门或人员负责管理系统定级的相关材料,并控制这些材料的使用;
b) 应将系统等级及相关材料报系统主管部门备案;
c) 应将系统等级及其他要求的备案材料报相应公安机关备案。
7.2.4.10 等级测评(G3)
本项要求包括:
a) 在系统运行过程中,应至少每年对系统进行一次等级测评,发现不符合相应等级保护标准要求的及时整改;
b) 应在系统发生变更时及时对系统进行等级测评,发现级别发生变化的及时调整级别并进行安全改造,发现不符合相应等级保护标准要求的及时整改;
c) 应选择具有国家相关技术资质和安全资质的测评单位进行等级测评;
d) 应指定或授权专门的部门或人员负责等级测评的管理。
7.2.4.11 安全服务商选择(G3)
本项要求包括:
a) 应确保安全服务商的选择符合国家的有关规定;
b) 应与选定的安全服务商签订与安全相关的协议,明确约定相关责任;
c) 应确保选定的安全服务商提供技术培训和服务承诺,必要的与其签订服务合同。
7.2.5 系统运维管理
7.2.5.1 环境管理(G3)
本项要求包括:
a) 应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理;
b) 应指定部门负责机房安全,并配备机房安全管理人员,对机房的出入、服务器的开机或关机等工作进行管理;
c) 应建立机房安全管理制度,对有关机房物理访问,物品带进、带出机房和机房环境安全等方面的管理做出规定;
d) 应加强对办公环境的保密性管理,规范办公环境人员行为,包括工作人员调离办公室应立即交还该办公室钥匙、不在办公区接待来访人员、工作人员离开座位应确保终端计算机退出登录状态和桌面上没有包含敏感信息的纸档文件等。
7.2.5.2 资产管理(G3)
本项要求包括:
a) 应编制并保存与信息系统相关的资产清单,包括资产责任部门、重要程
度和所处位置等内容;
b) 应建立资产安全管理制度,规定信息系统资产管理的责任人员或责任部门,并规范资产管理和使用的行为;
c) 应根据资产的重要程度对资产进行标识管理,根据资产的价值选择相应的管理措施;
d) 应对信息分类与标识方法做出规定,并对信息的使用、传输和存储等进行规范化管理。
7.2.5.3 介质管理(G3)
本项要求包括:
a) 应建立介质安全管理制度,对介质的存放环境、使用、维护和销毁等方面做出规定;
b) 应确保介质存放在安全的环境中,对各类介质进行控制和保护,并实行存储环境专人管理;
c) 应对介质在物理传输过程中的人员选择、打包、交付等情况进行控制,对介质归档和查询等进行登记记录,并根据存档介质的目录清单定期盘点;
d) 应对存储介质的使用过程、送出维修以及销毁等进行严格的管理,对带出工作环境的存储介质进行内容加密和监控管理,对送出维修或销毁的介质应首先清除介质中的敏感数据,对保密性较高的存储介质未经批准不得自行销毁;
e) 应根据数据备份的需要对某些介质实行异地存储,存储地的环境要求和管理方法应与本地相同;
f) 应对重要介质中的数据和软件采取加密存储,并根据所承载数据和软件的重要程度对介质进行分类和标识管理。
7.2.5.4 设备管理(G3)
本项要求包括:
a) 应对信息系统相关的各种设备(包括备份和冗余设备)、线路等指定专门的部门或人员定期进行维护管理;
b) 应建立基于申报、审批和专人负责的设备安全管理制度,对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理;
c) 应建立配套设施、软硬件维护方面的管理制度,对其维护进行有效的管
信息安全测评和服务 1信息安全风险评估 对客户单位所有信息系统进行风险评估，每半年评估一次，评估后出具详细的评估报告。评估范围为所有业务系统及相关的网络安全资产，内容具体包括： (1)漏洞扫描：通过工具对网络系统内的操作系统、数据库和网站程序进行自动化扫描， 发现各种可能遭到黑客利用的各种隐患，包括：端口扫描，漏洞扫描，密码破解，攻击测试等。 (2)操作系统核查：核查操作系统补丁安装、进程、端口、服务、用户、策略、权限、审 计、内核、恶意程序等内容，对用户当前采取的风险控制措施和管理手段的效果进行评估，在针对性、有效性、集成特性、标准特性、可管理特性、可规划特性等六个方面进行评估。 (3)数据库核查：主要是对数据库管理系统的权限、口令、数据备份与恢复等方面进行核 查。 (4)网络及安全设备核查：网络及安全设备核查主要是针对网络及安全设备的访问控制策 略进行检查，确定是否开放了网站服务以外的多余服务。 (5)病毒木马检查：通过多种方式对机器内异常进程、端口进行分析，判断是
否是木马或病毒，研究相关行为，并进行查杀。 (6)渗透测试：模拟黑客的各种攻击手段，对评估过程中发现的漏洞安全隐患进行攻击测 试，评估其危害程度，主要有：弱口令、本地权限提升、远程溢出、数据库查询等。 测评次数不低于两次，在有重大安全漏洞或隐患出现时，及时采取有针对性的渗透测试。 2、信息安全加固 针对评估的结果，协助客户单位对应用系统中存在的安全隐患进行安全加固。加固内容包括： 操作系统安全加固； 基本安全配置检测和优化 密码系统安全检测和增强 系统后门检测 提供访问控制策略和安全工具 增强远程维护的安全性 文件系统完整性审计 增强的系统日志分析 系统升级与补丁安装 (1)网络设备安全加固； 严格的防控控制措施 安全审计 合理的vlan划分 不必要的IOS服务或潜在的安全问题 路由安全 抵抗拒绝服务的网络攻击和流量控制 广播限制 (2)网络安全设备安全加固； 防火墙的部署位置、区域划分 IDS、漏洞扫描系统的部署、VPN网关部署 安全设备的安全防护措施配置加固
信息安全管理制度 信息安全是指通过各种策略保证公司计算机设备、信息网络平台（内部网络系统及ERP、CRM、WMS、网站、企业邮箱等）、电子数据等的安全、稳定、正常，旨在规范与保护信息在传输、交换和 存储、备份过程中的机密性、完整性和真实性。为加强公司信息安全的管理，预防信息安全事故的发生，特制定本管理制度。本制度适用于使用新合程计算机设备、信息系统、网络系统的所有人员。 1.计算机设备安全管理 1.1员工须使用公司提供的计算机设备（特殊情况的，经批准许可的方能使用自已的计算机），不 得私自调换或拆卸并保持清洁、安全、良好的计算机设备工作环境，禁止在计算机使用环境中放置易燃、易爆、强腐蚀、强磁性等有害计算机设备安全的物品。 1.2严格遵守计算机设备使用、开机、关机等安全操作规程和正确的使用方法。任何人不允许私自拆卸计算机组件，当计算机出现硬件故障时应及时向信息技术部报告，不允许私自处理和维修。 1.3员工对所使用的计算机及相关设备的安全负责，如暂时离开座位时须锁定系统，移动介质自行安全保管。未经许可，不得私自使用他人计算机或相关设备,不得私自将计算机等设备带离公司。 1.4因工作需要借用公司公共笔记本的，实行“谁借用、谁管理”的原则，切实做到为工作所用，使用结束后应及时还回公司。 2.电子资料文件安全管理。 2.1文件存储 重要的文件和工作资料不允许保存在C盘（含桌面），同时定期做好相应备份，以防丢失；不进行与工作无关的下载、游戏等行为，定期查杀病毒与清理垃圾文件；拷贝至公共计算机上使用的相关资料，使用完毕须注意删除；各部门自行负责对存放在公司文件服务器P盘的资料进行审核与安全管理；若因个人原因造成数据资料泄密、丢失的，将由其本人承担相关后果。 2.2文件加密
企业管理类精品资料Enterprise management information
营销人员业绩考核管理制度 第一章总则 第一条目的 1.通过客观评价营销人员的工作绩效，帮助员工提升自身工作水平，从而 有效提升公司整体绩效，实现公司与员工的共同成长。 第二条原则 1.四公原则：即“公正、公开、公平、公道”，执行公正，过程公开，评价 公平，实施公道； 2.激励兑现：考核结果紧密结合员工薪酬、晋迁、培训等。 第三条适用范围 1.本制度适用于公司全体营销人员。 第四条主要内容 营销人员考核分为季度绩效考核、半年绩效考核、年度绩效考核。 1.见习客户经理月度考核：报每月工作计划，按周检查计划完成情况。目 的在于夯实公司营销管理基础，规范营销人员销售行为。 2.季度考核：（客户经理）目的在于以业绩牵引营销行为，指导日常工作。 季度绩效考核的结果作为其销售奖金的发放依据。 3.半年考核：（高级客户经理）目的在于以业绩牵引营销行为，指导日常工 作。半年绩效考核的结果作为其销售奖金的发放依据。 4.年度考核：(客户总监) 年度绩效考核的结果作为其销售奖金的发放依 据。 5.各职位年末的考核汇总，作为特别专项奖和职位晋升的依据。 第五条考核操作规程
1.员工的绩效考核分为三个阶段，即绩效计划阶段、绩效辅导阶段、考核 及反馈阶段。 2.总经理、客户总监和员工共同承担考核责任，总经理对考核结果的公正 合理性负责；客户总监参与从事本行业销售的客户经理、高级客户经理 的考核，提供考核意见。 第六条业绩考核的管理办法 1.营销人员业绩考核表
第七条约束措施 1.目标责任约束： 1)对于连续三季度销售业绩未达到销售定额的员工，降一级使用（客 户经理级除外）。 2)连续三个月考核结果不足60分的见习客户经理，公司视情况安排停 职培训，经考核后决定是否继续留用。 2.经济约束：营销人员在开展业务其间的销售费用按照公司《营销费用管 理规定》管理。 3.其他约束：营销人员须遵守公司的各项规章制度，在开展销售工作期间 受到公司规定的约束，对于违反规定的员工严格按照相关规定处理。 第八章附则 第八条本制度规定若有与国家法律及政府颁布的规定相抵触时，公司另行研究调整并予以通知。 第九条本制度解释权归属公司总经理。 第十条本制度自发布之日起生效。 第十一条相关制度 1.《员工薪酬管理制度》 2.《营销人员激励方案》
营销人员考核管理制度 一、考核目的 1．为及时、公正的评估员工的工作绩效，调动本公司营销人员的积极性。 2．让营销人员明确自己的工作任务和努力的方向，让营销管理人员充分了解下属的工作状况，同时促进营销系统工作效率的提高，保证公司销售任务的顺利完成。 二、适用范围 凡本公司营销部人员的考核，除另有规定外，均依照本办法所规定的内容考核。 三、绩效考核用途 1．了解员工对公司的业绩贡献 2．为员工的薪酬决策提供依据 3. 为员工的晋升、降职、调职和离职提供依据 4．为人力资源部规划提供基础信息 四、考核的周期 营销人员的绩效考核为月度销售管理考核。月度销售管理考核每月度进行一次，考核营销人员当月的销售管理业绩。考核时间为下月5日到15日。 五、考核组织 1．总经理负责提出绩效考核的总体要求，对季度、年度考核成绩的最终审核和审批、考核过程出现的争议的最终裁决。 2．人力资源部：负责组织对员工个人的考核，搜集数据，统计汇总，提出对员工考核方案的改进建议，经总经理审批后实施。 3。营销部门：配合考核组织部门进行考核，及时提供相关数据。 六、考核分类 1．月度考核：每月30 日制定下一月的考核指标，每月10 日前对员工上一个月的工作进行综合评价。 七、考核关系 1．直接上级对直接下级的考核 2．间接上级审核 3．人力资源部汇总考核分数
4．人力资源部负责考核申诉工作处理 八、考核实施 对营销人员的考核，主要从工作业绩、工作能力和工作态度几个方面进行评估。 营销人员考核指标一览表 备注：营销人员考核分数满分为100分，工作业绩占70分，其中销售额、销售计划完成率、销售回款率、开拓代理商数量、开拓商家数量、信息收集、客户服务各10分。工作能力、工作知识、工作态度各占10分，创新指标为附加分占10分。
一、单选题（20分） 1、《基本要求》中管理要求中，下面那一个不是其中的内容？（） A、安全管理机构。 B、安全管理制度。 C、人员安全管理。 D、病毒安全管 理。 2、应能够防护系统免受来自外部小型组织的、拥有少量资源的威胁源发起的 恶意攻击、一般的自然灾难，所造成的重要资源损害，能够发现重要的安 全漏洞和安全事件，在系统遭到损害后，能够在一段时间内恢复部分功能 是几级要求？（） A、一级。 B、二级。 C、三级。 D、四级。 3、三级系统基本要求中管理要求控制类共有（）项？ A、32。 B、36。 C、37。 D、38。 4、《测评要求》和哪一个文件是对用户系统测评的依据？ A、《信息系统安全等级保护实施指南》。 B、《信息系统安全保护等级定级指 南》。C、《信息系统安全等级保护基本要求》。D、《信息系统安全等级保护 管理办法》。 5、安全运维阶段的主要活动包括运行管理和控制、变更管理和控制、安全状 态监控、（）、安全检查和持续改进、监督检查？ A、安全事件处置和应急预案。 B、安全服务。 C、网络评估。 D、安全加固。 6、如果一个信息系统，主要对象为涉及国家安全、社会秩序和公共利益的重 要信息系统，其业务信息安全性或业务服务保证性受到破坏后，会对国家 安全、社会秩序和公共利益造成较大损害；本级系统依照国家管理规范和 技术标准进行自主保护，信息安全监管职能部门对其进行监督、检查。这
应当属于等级保护的什么级别？（） A、强制保护级。 B、监督保护级。 C、指导保护级。 D、自主保护级。 7、《信息系统安全等级保护实施指南》将（）作为实施等级保护的第一项重 要内容？ A、安全定级。 B、安全评估。 C、安全规划。 D、安全实施。 8、人员管理主要是对人员的录用、人员的离岗、（）、安全意识教育和培训、 第三方人员访问管理5各方面。 A、人员教育。 B、人员裁减。 C、人员考核。 D、人员审核。 9、根据《信息安全等级保护管理办法》，由以下哪个部门应当依照相关规范和 标准督促、检查、指导本行业、本部门或本地区信息系统运营、使用单位的信息安全等级保护工作？ A、公安机关。 B、国家保密工作部门。 C、国家密码管理部门。 D、信息系 统的主管部门。 10、计算机信息系统安全保护等级根据计算机信息系统在国家安全、经济建设、 社会生活中的_______，计算机信息系统受到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的_______等因素确定。（） A、经济价值经济损失。 B、重要程度危害程度。 C、经济价值危害程度。 D、重要程度经济损失。 11、新建_______信息系统，应当在投入运行后_______，由其运营、使用单位 到所在地设区的市级以上公安机关办理备案手续。（） A、第一级以上30日内。 B、第二级以上60日内。 C、第一级以上60日内。 D、第二级以上30日内。
信息安全管理制度 目录 1.安全管理制度要求 1.1总则：为了切实有效的保证公司信息安全，提高信息系统为公司生产经营的服务能力，特制定交互式信息安全管理制度，设定管理部门及专业管理人员对公司整体信息安全进行管理，以确保网络与信息安全。 1.1.1建立文件化的安全管理制度，安全管理制度文件应包括： a)安全岗位管理制度； b)系统操作权限管理； c)安全培训制度； d)用户管理制度； e)新服务、新功能安全评估； f)用户投诉举报处理； g)信息发布审核、合法资质查验和公共信息巡查； h)个人电子信息安全保护； i)安全事件的监测、报告和应急处置制度； j)现行法律、法规、规章、标准和行政审批文件。 1.1.2安全管理制度应经过管理层批准，并向所有员工宣贯 2.机构要求 2.1 法律责任 2.1.1互联网交互式服务提供者应是一个能够承担法律责任的组织或个人。 2.1.2互联网交互式服务提供者从事的信息服务有行政许可的应取得相应许可。 3.人员安全管理 3.1 安全岗位管理制度 建立安全岗位管理制度，明确主办人、主要负责人、安全责任人的职责：岗位管理制度应包括保密管理。 3.2 关键岗位人员 3.2.1关键岗位人员任用之前的背景核查应按照相关法律、法规、道德规范和对应的业务要求来执行，包括： 1.个人身份核查： 2.个人履历的核查： 3.学历、学位、专业资质证明： 4.从事关键岗位所必须的能力 3.2.2 应与关键岗位人员签订保密协议。 3.3 安全培训 建立安全培训制度，定期对所有工作人员进行信息安全培训，提高全员的信息安全意识，包括： 1.上岗前的培训； 2.安全制度及其修订后的培训； 3.法律、法规的发展保持同步的继续培训。 应严格规范人员离岗过程： a)及时终止离岗员工的所有访问权限； b)关键岗位人员须承诺调离后的保密义务后方可离开； c)配合公安机关工作的人员变动应通报公安机关。
产融联盟市场推广人员基本管理制度 第一章总则 第一条适用范围 本制度适应本公司全职市场推广人员及兼职市场推广人员。 第二条制度目的 为加强公司业务推广管理，达成推广目标，提升公司运营效益，规范业务推广人员的市场行为，充分调动业务推广人员的市场开拓能力和市场发展潜力，特制定本管理制度。 第三条权责部门 1.行政人事部负责本办法制定、修改、废止之起草工作。 2.总经理负责本办法制定、修改、废止之核准工作。 第二章市场推广人员组织架构
第三章全职业务人员管理制度内容 第一条出勤管理 市场推广人员应依照本公司《员工管理办法》之规定，参与各项出勤考核。但基于工作之需要，其出勤打卡按下列规定办理： 1.在公司工作的推广人员上下班应按规定打卡。 2.在公司以外的市场推广人员应按规定的出勤时间自行安排工作时间。 3.所有市场推广人员原则上在每周六须回公司参加工作例会，如因业务需要无法参加的应提前请假，但一月内不得请两次以上假，业务经理人员可以直接向市场推广部请假，部门主管人员需向行政人事部请假。 4.对于每月提前完成业务指标的人员，可向公司申请休假1-3天，休假结束当立即回公司参与日常工作。 5.对于不遵照出勤管理的，按照公司相关管理制度给予处罚。 第四条费用管理 1.市场推广人员因业务支出的推广费用经总经理审核后方可报销，对于未经批准支出的推广费用自行负责。 2.市场推广人员在业务推广中交通工具自行解决，除特殊情况下经总经理批准方可使用公车。 3.对于平台服务费用，业务人员可以代表公司收取，但在规定收费时间内必
须收齐，在未经总经理同意的，迟交的费用从业务人员薪酬中扣除。 4.市场推广人员收取费用不得收取现金，一律转账，如有特殊原因要收取现金必须要征求总经理意见，而收取的现金2日内交至公司财务部。 5.市场推广人员的业绩提成费用在每月发工资时统一发放，相关奖金年终发放。 6.对于业务人员自己推广团队的相关费用自行解决。 股权管理 南德全创平台原始股东成形后设立合伙人管理委员会，管理委员会由全体原始股东组成；负责合伙人股权的计算管理 第五条薪酬合伙人收益管理 全体合伙人除股权收益外作为市场业务人员对平台招徕业务有现金提成的收益，具体提成比率参见《业务提成表》 一、市场推广人员工资采取业绩定额制。 业绩定额制指将推广人员的收入分为固定工资（详见《薪酬制度》）及推广提成两部分，推广人员有一定的销售定额，当月不管是否完成销售指标，都可得到基本工资和推广额的提成，但是连续2个月不能完成销售指标的，给予降低基本工资15%或劝退。 二、其他待遇 业务推广人员的其他福利待遇按照公司的相关制度发放，具体由行政人事部负责解释。 第六条绩效考核 一、绩效考核目的
信息安全等级测评师测试题
信息安全等级测评师测试 一、单选题（14分） 1、下列不属于网络安全测试范畴的是（ C ） A. 结构安全 B. 边界完整性检查 C. 剩余信息保护 D. 网络设备防护 2、下列关于安全审计的内容说法中错误的是（ D ）。 A. 应对网络系统中的网络设备运行情况、网络流量、用户行为等进行 日志记录。 B. 审计记录应包括：事件的日期和时间、用户、事件类型、事件是否 成功及其他与审计相关的信息。 C. 应能根据记录数据进行分析，并生成报表。 D. 为了节约存储空间，审计记录可以随意删除、修改或覆盖。 3、在思科路由器中，为实现超时10分钟后自动断开连接，实现的命令应 为下列哪一个。（ A ） A. exec-timeout 10 0 B. exec-timeout 0 10 C. idle-timeout 10 0 D. idle-timeout 0 10 4、用于发现攻击目标。（ A ） A. ping扫描 B. 操作系统扫描 C. 端口扫描 D. 漏洞扫描 5、防火墙提供的接入模式中包括。（ ABCD ） A. 网关模式 B. 透明模式 C. 混合模式 D. 旁路接入模式 6、路由器工作在。( C ) A. 应用层 B. 链接层 C. 网络层 D. 传输层 7、防火墙通过＿＿控制来阻塞邮件附件中的病毒。( Ａ ) Ａ．数据控制Ｂ．连接控制Ｃ．ACL控制Ｄ．协议控制 二、多选题（36分） 1、不同设VLAN之间要进行通信，可以通过＿＿。( A B ) A交换机B路由器C网闸 D入侵检测 E入侵防御系统2、能够起到访问控制功能的设备有＿＿。( ABD ) A网闸 B三层交换机 C入侵检测系统 D防火墙 3、路由器可以通过来限制带宽。（ ABCD ） A．源地址 B.目的地址 C.用户 D.协议 4、IPSec通过实现密钥交换、管理及安全协商。（ＣＤ） A. AH B. ESP C. ISAKMP/Oakley D. SKIP 5、交换机可根据＿＿＿＿来限制应用数据流的最大流量。（ ACD ） A.IP地址 B.网络连接数 C.协议 D.端口 6、强制访问控制策略最显著的特征是＿＿＿＿＿。（ BD ） A.局限性 B.全局性 C.时效性 D.永久性 7、防火墙管理中具有设定规则的权限。（ CD ） A．用户 B.审计员 C.超级管理员 D.普通管理员 8、网络设备进行远程管理时，应采用协议的方式以防被窃听。 （ＡＣ） A. SSH B. HTTP C. HTTPS D. Telnet E.FTP 9、网络安全审计系统一般包括（ABC ）。 A.网络探测引擎 B.数据管理中心C审计中心 D声光报警系统
上海xxx电子商务有限公司 信息安全管理制度 目录 第一章关于信息安全的总述 (2) 第二章信息安全管理的组织架构 (3) 第三章岗位和人员管理 (3) 第四章信息分级与管理 (3) 第五章信息安全管理准则 (4) 第六章信息安全风险评估和审计 (8) 第七章培训 (9) 第八章奖惩 (9) 第九章附则 (9)
第一章关于信息安全的总述 第一条（制度的目的）为了维护公司信息的安全，确保公司不因信息安全问题遭受损失，根据公司章程及相关制度，特制定本制度。 第二条（信息安全的概念）本制度所称的信息安全是指在信息的收集、产生、处理、传递、存储等过程中，做到以下工作：1）确保信息保密，但在经过授权的人员需要得到信息时能够在可以控制的情况下获得信息；2）保证信息完整和不被灭失，但在特定的情况下应当销毁一些不应保存的信息档案；3）保证信息的可用性。 第三条（制度的任务）通过对具体工作中关于信息安全管理的规定，提高全体员工的安全意识，增强公司经营过程中信息的安全保障，最终确保公司所有信息得到有效的安全管理，维护公司利益。 第四条（制度的地位）本制度是公司各级组织制定信息安全的相关措施、标准、规范及实施细则都必须遵守的信息安全管理要求。 第五条（制度的适用范围）全体员工均必须自觉维护公司信息的安全，遵守公司信息安全管理方面的相关规定。一切违反公司信息安全管理规定的组织和员人，均予以追究。 第六条（信息的概念）本制度所称的信息是指一切与公司经营有关情况的反映（或者虽然与公司经营无关，但其产生或存储是发生在公司控制的介质中），它们所反映的情况包括公司的经营状况、财务状况、组织状况等一切内容，其存储的介质包括纸质文件、电子文件甚至是存在员工大脑中。具体来说，包括但不限于下列类型： 1、与公司业务相关的各个业务系统中的信息，如设计文档、源代码、可执行代码、配 置、接口以及相应的数据库和数据库相关备份等； 2、与公司业务相关的各种业务数据，如用户资料、经销商资料、合作伙伴信息、合同、 各业务系统运行时数据、各类统计数据和报表、收入数据等； 3、与公司内部管理相关的各类行政数据，如人事资料、人事组织结构等； 4、与公司财务管理相关的财务类数据，如采购信息、资产信息、财务信息； 5、其他如公司各分子公司和外地办事结构的数据；公司员工对内、对外进行各种书面 的、口头的信息传播行为等。 第七条（信息安全工作的重要性）信息安全管理是公司内部管理的一项重要及长期性的工作，其贯穿整个公司各项业务与各个工作岗位，各个中心和部门必须积极配合该项工作的开展。
企业营销人员管理制度 2007-12-01发布 2007-12-30实施 发布 1 范围 本制度规定本公司销售部人员的招聘、培训、管理等相关事项。本制度适用于??????有限公司销售人员。 2 目的 加强销售人员的管理，指导销售工作的开展。 3 内容 3.1 营销人员的招聘 3.1.1招聘途径： 3.1.1.1大中专院校及职业学校的应届毕业生； 3.1.1.2人才交流会； 3.1.1.3内部职员 3.2 招聘准备：确定招聘人数、日程、招聘人员条件素质；预订摊位；媒体广告 发布、面试问题设计 3.2 营销人员的培训 3.2.1培训分类 3.2.1.1岗前培训（入职前培训）岗前培训指员工被聘到销售部后，由经理安排 “新进业务员”受训，进行公司历史背景、厂规厂纪、人事制度、产品知识、营 销常识、法律知识等方面的教育。
3.2.1.2岗位培训（在职培训）无论新老员工都需岗位技能培养和职业再培训，销售部应定期编制培训计划，进行督导和实施，使销售部人员不断适应新的形势 和挑战，以期在激烈的市场竞争立于不败之地。 3.2.2培训内容：a厂史、厂况；b产品知识；c营销技巧；d市场拓展及市场策略、市场管理知识；e电话礼仪；f着装礼仪；j处理问题的技巧。 3.2.3培训方法：a专家授课；b会议交流；c小组讨论；d观看电视或录相；e 1 到其他公司参观、学习；f业务模拟训练。 3.2.4考试与总结，每次培训都要进行考试、考核与总结经验，上报公司领导， 并将考试结果存入档案 3.3 销售人员的管理 3.3.1销售经理年度考核 3.3.1.1考核办法： a 销售：占80% b 纪律及管理配合度： c 是否遵守本公司管理办法 d 销售利润率 e 拓新客户数量 f 有客户的升级幅度 g 对主管交付的任务，例如市场资料收集、货款催收等，是否尽心尽力完成 h 其他 I 销售经理的考核，由经理评分，总经理复审
信息安全等级保护测评工具选用指引 一、必须配置测试工具 （一）漏洞扫描探测工具。 1.网络安全漏洞扫描系统。 2.数据库安全扫描系统。 （二）木马检查工具。 1.专用木马检查工具。 2.进程查看与分析工具。 二、选用配置测试工具 （一）漏洞扫描探测工具。 应用安全漏洞扫描工具。 （二）软件代码安全分析类。 软件代码安全分析工具。 （三）安全攻击仿真工具 （四）网络协议分析工具 （五）系统性能压力测试工具 1.网络性能压力测试工具 2.应用软件性能压力测试工具 （六）网络拓扑生成工具 （七）物理安全测试工具 1.接地电阻测试仪 2.电磁屏蔽性能测试仪 （八）渗透测试工具集 （九）安全配置检查工具集 （十）等级保护测评管理工具 综合工具： 漏洞扫描器：极光、Nessus、SSS等； 安全基线检测工具（配置审计等）：能够检查信息系统中的主机操作系统、数据库、网络设备等； 渗透测试相关工具：踩点、扫描、入侵涉及到的工具等； 主机：sysinspector、Metasploit、木马查杀工具、操作系统信息采集与分析工具(Win,Unix)、日志分析工具、数据取证工具（涉密）； 网络：Nipper（网络设备配置分析）、SolarWinds、Omnipeek、laptop（无线检测工具）； 应用：AppScan、Webinspect、FotifySCA、Sql injection tools、挂马检测工具、webravor等。
信息安全测评工具 五大网络安全评估工具 1.Wireshark Wireshark（原名Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是截取网络封包，并尽可能显示出最为详细的网络封包资料。 工作流程 （1）确定Wireshark的位置。如果没有一个正确的位置，启动Wireshark后会花费很长的时间捕获一些与自己无关的数据。 （2）选择捕获接口。一般都是选择连接到Internet网络的接口，这样才可以捕获到与网络相关的数据。否则，捕获到的其它数据对自己也没有任何帮助。 （3）使用捕获过滤器。通过设置捕获过滤器，可以避免产生过大的捕获文件。这样用户在分析数据时，也不会受其它数据干扰。而且，还可以为用户节约大量的时间。 （4）使用显示过滤器。通常使用捕获过滤器过滤后的数据，往往还是很复杂。为了使过滤的数据包再更细致，此时使用显示过滤器进行过滤。 （5）使用着色规则。通常使用显示过滤器过滤后的数据，都是有用的数据包。如果想更加突出的显示某个会话，可以使用着色规则高亮显示。 （6）构建图表。如果用户想要更明显的看出一个网络中数据的变化情况，使用图表的形式可以很方便的展现数据分布情况。 （7）重组数据。Wireshark的重组功能，可以重组一个会话中不同数据包的信息，或者是一个重组一个完整的图片或文件。由于传输的文件往往较大，所以信息分布在多个数据包中。为了能够查看到整个图片或文件，这时候就需要使用重组数据的方法来实现。 Wireshark特性： ?支持UNIX和Windows平台 ?在接口实时捕捉包 ?能详细显示包的详细协议信息 ?可以打开/保存捕捉的包 ?可以导入导出其他捕捉程序支持的包数据格式 ?可以通过多种方式过滤包 ?多种方式查找包 ?通过过滤以多种色彩显示包 ?创建多种统计分析 Wireshark不是入侵侦测系统（Intrusion Detection System,IDS）。对于网络上的异常流量行为，Wireshark不会产生警示或是任何提示。然而，仔细分析Wireshark撷取的封包能够帮助使用者对于网络行为有更清楚的了解。Wireshark 不会对网络封包产生内容的修改，它只会反映出目前流通的封包资讯。Wireshark本身也不会送出封包至网络上。 Wireshark不能提供如下功能： ?Wireshark不是入侵检测系统。如果他/她在您的网络做了一些他/她们不被允许的奇怪的事情，Wireshark不会警告您。但是如果发生了奇怪的事情，Wireshark可能对察看发生了什么会有所帮助。 ?Wireshark不会处理网络事务，它仅仅是“测量”(监视)网络。Wireshark
中心机房管理制度 计算机机房属机密重地。为做到严格管理，保证安全，特制订如下制度： 第一条中心机房的管理由系统管理员负责，非机房工作人员未经允许不准进入，机房门口明显位置应张贴告示：“机房重地，非请莫入”。 第二条机房内应保持整洁，严禁吸烟、吃喝、聊天、会客、休息。不准在计算机及工作台附近放置可能危及设备安全的物品。 第三条机房内严禁一切与工作无关的操作。严禁外来信息载体带入机房，未经允许不准将机器设备和数据带出机房。 第四条认真做好机房内各类记录介质的保管工作，落实专人收集、保管，信息载体必须安全存放并严密保管，防止丢失或失效。机房资料外借必须经批准并履行手续，方可借出。作废资料严禁外泄。 第五条机房工作人员要随时掌握机房运行环境和设备运行状态，保证设备随时畅通。机房设备开关必须先经检查确认正常后再按顺序依次开关机。 第六条机房工作人员对机房存在的隐患及设备故障要及时报告，并与有关部门及时联系处理。非常情况下应立即采取应急措施并保护现场。
第七条机房设备应由专业人员操作、使用，禁止非专业人员操作、使用。对各种设备应按规范要求操作、保养。发现故障，应及时报请维修，以免影响工作。 第八条外单位人员因工作需要进入机房时，必须报经局领导审批后方可进入，进入机房后须听从工作人员的指挥，未经许可，不得触及机房内设施。 第九条外来人员参观机房，须指定人员陪同。操作人员按陪同人员要求可以在电脑演示、咨询；对参观人员不合理要求，陪同人员应婉拒，其他人员不得擅自操作。 第十条中心机房处理秘密事务时，不得接待参观人员或靠近观看。
网络安全管理制度 第一条严格遵守法律、行政法规和国家其他有关规定，确保计算机信息系统的安全。 第二条连入局域网的用户严禁访问外部网络，若因工作需要，上网查询信息，允许访问与工作相关的网站，但须报告计算机管理部门，并在专业人员的指导下完成。非本局工作人员不允许上网查询信息。严禁访问宣扬封建迷信、淫秽、色情、赌博、暴力、凶杀、恐怖、教唆犯罪等违法网站。禁止在网络上聊天及玩游戏。 第三条加强信息发布审核管理工作。发布网络信息不得有危害国家安全、泄露国家秘密，侵犯国家、社会、集体的利益和公民的合法权益的内容出现。 第四条禁止非工作人员操纵系统，禁止不合法的登录情况出现。遇到安全问题应及时向计算机管理部门报告，并采取措施及时解决。 第五条局域网要采取安全管理措施，保障计算机网络设备和配套设施的安全，保障信息的安全，保障运行环境的安全。 第六条不得利用局域网络从事危害本局利益、集体利益和发表不适当的言论，不得危害计算机网络及信息系统的安全。在局域网上不允许进行干扰任何网络用户、破坏网络
销售人员考核制度 一、考核制定的原则 1、公平的原则 本制度以公司销售人员的日常工作为考核项目，以制度化和考核指标的数据化为考 核方式，尽量减少人为干扰及主观性，对考核及奖励均注重公平性原则。 2、过程与结果激励相结合原则 本制度以月度作为一个考核周期，以过程激励为主、结果激励为辅。 二、考核项目与权重说明 1、考核项目、考核内容及权重 考核项目考评内容权重销售业绩完成公司制定的销售额、销售量和回款目标情况50％市场开发老客户流失情况、新客户开发情况35％日常工作15% 2、考核项目细分 2.1销售业绩考核项目及基准分 考核分项考评内容比例及分值 按照公司制定的月度销售量指标（季度目标分摊到每月）， 满分为100分销以完成率为依据进行考核。 售目标销售额万元占40% 业目标销售量个占20% 绩目标回款额万元占30%
销售费用支出控制情况占 10% 实际销售额：每季累计完成万元，每月完成万元
实际回款额：按照符合月度回款周期、回款金额完成万元 销售费用支出控制情况：常规怎么考核？ 计算方式：各单项实际完成额/各单项目标额×对应比例×100分 各单项相加之和后为各考核分项分值 2.2市场开发考核项目及基准分 考核分项考评内容比例及分值 市按照公司制定的月度销售量指标（季度目标分摊到每月）， 满分为100分场以数量为考评依据。 开老客户流失率为0占50% 发目标新客户拜访数量个占50% 老客户：总数个（上月老客户剩余数+上月新客户数之和），流失数量个，剩余个 新客户：实际新客户拜访数量个 计算方式：老客户剩余数量/总数×对应比例×100分+新客户实际数/目标数×对应比 例×100分 2.3日常工作考核项目及基准分 考核分项考评内容比例及分值 满分为100分日 日常报表填写 占40% 常 工作态度考评 占20% 工 业务能力考评 占30% 作 服务态度和仪表形象考评占 10%
内部资料 注意保存 XXXXXXXXXX 信息安全制度汇编 XXXXXXXXXX 二〇一六年一月
目录 一、总则 (6) 二、安全管理制度 (7) 第一章管理制度 (7) 1.安全组织结构 (7) 1.1信息安全领导小组职责 (7) 1.2 信息安全工作组职责 (8) 1.3信息安全岗位 (9) 2.安全管理制度 (11) 2.1安全管理制度体系 (11) 2.2安全方针和主策略 (12) 2.3安全管理制度和规范 (12) 2.4安全流程和操作规程 (14) 2.5安全记录单 (14) 第二章制定和发布 (15) 第三章评审和修订 (16) 三、安全管理机构 (17) 第一章岗位设置 (17) 1.组织机构 (17) 2.关键岗位 (19) 第二章人员配备 (21) 第三章授权和审批 (23) 第四章沟通和合作 (25) 第五章审核和检查 (27) 四、人员安全管理 (29) 第一章人员录用 (29) 1.组织编制 (29) 2.招聘原则 (29) 3.招聘时机 (29) 4.录用人员基本要求 (30) 5.招聘人员岗位要求 (30) 6.招聘种类 (30) 6.1 外招 (30) 6.2 内招 (31) 7.招聘程序 (31) 7.1 人事需求申请 (31) 7.2 甄选 (31) 7.3 录用 (33)
第二章保密协议 (34) 第三章人员离岗 (36) 第三章人员考核 (38) 1．制定安全管理目标 (38) 2.目标考核 (39) 3.奖惩措施 (39) 第四章安全意识教育和培训 (40) 1.安全教育培训制度 (40) 第一章总则 (40) 第二章安全教育的含义和方式 (40) 第三章安全教育制度实施 (40) 第四章三级安全教育及其他教育内容 (42) 第五章附则 (44) 第五章外部人员访问管理制度 (45) 1.总则 (45) 2.来访登记控制 (45) 3.进出门禁系统控制 (46) 4.携带物品控制 (47) 五、系统建设管理 (48) 第一章安全方案设计 (48) 1.概述 (48) 2．设计要求和分析 (49) 2.1安全计算环境设计 (49) 2.2安全区域边界设计 (50) 2.3安全通信网络设计 (51) 2.4安全管理中心设计 (51) 3．针对本单位的具体实践 (52) 3.1安全计算环境建设 (52) 3.2安全区域边界建设 (53) 3.3安全通信网络建设 (53) 3.4安全管理中心建设 (54) 3.5安全管理规范制定 (55) 3.6系统整体分析 (55) 第二章产品采购和使用 (56) 第三章自行软件开发 (59) 1.申报 (59) 2.安全性论证和审批 (59) 3.复议 (59)
人员培训及考核管理制度 1 目的 有计划地对质量体系的相关人员进行培训和考核，使之技术水平和业务能力不断提高。 2 范围 适用于与质量活动有关的所有人员的培训和考核管理。 3 职责 3.1 科主任主持本科人员的配备与考核，批准《人员培训年度计划》，安排人员的外部培训。 3.2 技术负责人负责《人员培训年度计划》的编制，并组织实施。 3.3文控员负责建立和管理人员培训记录、人员档案。 4 工作程序 4.1 科主任进行人员配备及资格确认 （1）根据有关规定和检验工作的需要，确定检验科的各岗位设置和任职条件； （2）通过查看有关证书、进行聘用考核、年度工作考核确认每人的任职资格； （3）根据每人的任职资格情况，确定各岗位人员； （4）对新上岗人员根据岗位任职条件对其进行岗位资格确认； （5）当岗位或岗位任职条件发生了变化，应经培训后，重新进行考核确认。 4.2 人员培训 4.2.1培训计划 (1) 根据各岗位任职条件的要求，科主任拟定各层次工作人员的继续教育计划。 (2) 技术负责人编制《人员培训年度计划》，交科主任批准后实施。 (3) 未列入年度计划的，技术负责人提出临时培训申请，填写《培训申请表》，经检验科主任批准后实施。
4.2.2培训方式 (1) 安排外出专业学习、学术交流会、进修的培训。 (2) 医院内举办专项讲座、专项培训或专业学术报告会。 (3) 科内举办的业务学习活动。 4.2.3培训内容 (1) 根据人员的岗位，安排相应的专业知识培训。此外，还包括下列培训内容：实 验室认可、标准化知识、卫生法律、法规、实验室安全知识。 （2）实习、进修、新上岗人员的培训内容还包括实验室生物安全防护、内务管理规定、医疗废物处理规定。 4.3 人员资格和考核 4.3.1 检验人员必须具备规定的相关学历和取得相应的专业技术任职资格。 4.3.2人员上岗前,科主任组织对聘用人员进行必要的应知、应会科目培训和考试，考试合格后准予上岗。 4.3.3贵重、精密仪器设备操作资格考核： 凡使用贵重、精密仪器设备，工作人员以前未使用过该仪器时，由检验科主任组织参加仪器设备供应商举办的使用培训并参加仪器设备的验收和安装调试，或以其它方式进行培训，经检验科主任组织相关组室考核合格后，方可被授权使用该仪器。 4.4 培训记录与个人技术档案 4.4.1员工的培训记录由科主任对培训的有效性评价后归档。 4.4.2文控员负责培训记录和个人技术档案的管理，负责填写和管理《培训记录表》、《员工培训履历表》、《人员档案卡》。 4.4.3《培训记录表》内容： (1) 培训时间、地点、主题等。 (2) 参加培训人员名单。 (3) 培训内容摘要。 (4) 组织部门效果评价 (5) 培训后检验科主任对其能力的确认。
信息安全等级保护测评体系建设与测评工作规范性文件 信息安全等级测评机构 能力要求使用说明 （试行） 200×-××-××发布200×-××-××实施公安部信息安全等级保护评估中心
信息安全等级测评机构能力要求使用说明 目录 1范围 (3) 2名词解释 (3) 3基本条件 (3) 4组织管理能力 (4) 5测评实施能力 (6) 6设施和设备安全与保障能力 (10) 7质量管理能力 (12) 8规范性保证能力 (13) 9风险控制能力 (16) 10可持续性发展能力 (17) 11测评机构能力约束性要求 (18)
信息安全等级测评机构能力要求使用说明 前言 公安部颁布《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》（公信安[2010]303号），决定加快等级保护测评体系建设工作。信息安全等级测评机构的建设是测评体系建设的重要内容，为确保有效指导测评机构的能力建设，规范其测评活动，满足信息安全等级保护工作要求，特制定本规范。 《信息安全等级测评机构能力要求》（以下简称《能力要求》）是等级保护测评体系建设指导性文件之一。本规范吸取国际、国内测评与检查机构能力评定的相关内容，结合信息安全等级测评工作的特点，对测评机构的组织管理能力、测评实施能力、设施和设备安全与保障能力、质量管理能力、规范性保证能力、风险控制能力、可持续性发展能力等提出基本能力要求，为规范等级测评机构的建设和管理，及其能力评估工作的开展提供依据。
信息安全等级测评机构能力要求使用说明 信息安全等级测评机构能力要求使用说明 1范围 本规范规定了测评机构的能力要求。 本规范适用于测评机构的建设和管理以及对测评机构能力进行评估等活动。 2名词解释 2.1等级测评 等级测评是指测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密信息系统安全等级保护状况进行检测评估的活动。 2.2等级测评机构 等级测评机构，是指具备测评机构基本条件，经能力评估和审核，由省级以上信息安全等级保护工作协调（领导）小组办公室推荐，从事等级测评工作的机构。 3基本条件 依据《信息安全等级保护测评工作管理规范》（试行），信息安全等级测评机构（以下简称测评机构）应当具备以下基本条件： a)在中华人民共和国境内注册成立（港澳台地区除外）； b)由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）；（具 体要求参见8.2.1） c)产权关系明晰，注册资金100万元以上；（具体要求参见8.2.2） d)从事信息系统检测评估相关工作两年以上，无违法记录；（具体要求参见5.2.1） e)工作人员仅限于中华人民共和国境内的中国公民，且无犯罪记录；（具体要求参见 8.2.1） f)具有满足等级测评工作的专业技术人员和管理人员，测评技术人员不少于10人； g)具备必要的办公环境、设备、设施，使用的技术装备、设施应当符合《信息安全等 级保护管理办法》对信息安全产品的要求；（具体要求参见6.1） h)具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安全管理制度； （具体要求参见4.5） i)对国家安全、社会秩序、公共利益不构成威胁;
信息安全管理制度 为加强公司各信息系统管理，保证信息系统安全，根据《中华人民共和国保守国家秘密法》和国家保密局《计算机信息系统保密管理暂行规定》、国家保密局《计算机信息系统国际联网保密管理规定》，及上级信息管理部门的相关规定和要求，结合公司实际，制定本制度。 本制度包括网络安全管理、信息系统安全保密制度、信息安全风险应急预案 网络安全管理制度 第一条公司网络的安全管理，应当保障网络系统设备和配套设施的安全，保障信息的安全，保障运行环境的安全。 第二条任何单位和个人不得从事下列危害公司网络安全的活动： 1、任何单位或者个人利用公司网络从事危害公司计算机网络及信息系统的安全。 2、对于公司网络主结点设备、光缆、网线布线设施，以任何理由破坏、挪用、改动。 3、未经允许，对信息网络功能进行删除、修改或增加。 4、未经允许，对计算机信息网络中的共享文件和存储、处理或传输的数据和应用程序进行删除、修改或增加。 5、故意制作、传播计算机病毒等破坏性程序。 6、利用公司网络，访问带有“黄、赌、毒”、反动言论内容的网站。 7、向其它非本单位用户透露公司网络登录用户名和密码。 8、其他危害信息网络安全的行为。 第三条各单位信息管理部门负责本单位网络的安全和信息安全工作，对本单位单位所属计算机网络的运行进行巡检，发现问题及时上报信息中心。 第四条连入公司网络的用户必须在其本机上安装防病毒软件，一经发现个人计算机由感染病毒等原因影响到整体网络安全，信息中心将立即停止该用户使用公司网络，待其计算机系统安全之后方予开通。 第五条严禁利用公司网络私自对外提供互联网络接入服务，一经发现立即停止该用户的使用权。 第六条对网络病毒或其他原因影响整体网络安全的子网，信息中心对其提供指导，必要时可以中断其与骨干网的连接，待子网恢复正常后再恢复连接。
一、目的： 1、规范本公司营销人员管理，及时、公正地评估营销人员的工作绩效，做到奖惩分明，多劳多得，从而调动营销人员的工作积极性。 2、通过客观评价营销人员的工作绩效，帮助营销人员提升自身工作水平，从而有效提升公司整体绩效，实现公司与员工的共同成长。 二、原则： 1、三公原则：即“公正、公开、公平”，执行公正，过程公开，评价公平。 2、激励原则：奖优罚劣，考核结果与员工薪酬、晋升、培训等紧密结合。 三、具体实施办法: 1、营销人员级别如下： 说明：1）每月绩效考核部分占工资总额的40%。 2）华北区域包括天津、陕西、山西、河北、内蒙、东北三省、甘肃及北京，其中北京按照华东地区底薪执行。华东区域包括上海、浙江、江苏、安徽、山东。华南区域包括广东、广西、福建、海南。华中区域包括湖北、湖南、江西、河南。西南区域包括四川、重庆、云南、青海、贵州、宁夏、新疆。 3）新成立的办事处可以有6个月的市场开拓期，开拓期内合同签订额及应收账款管理可以不纳入考核数据。 2、考核办法：
营销人员绩效部分占工资的40%，此部分工资为月度考核部分，月度考核主要根据合同签订额（40%）、应收账款管理（30%）、客户拓展（10%）、公司制度遵守（10%）等方面进行考核（见附表1）。月度考核等级标准见下表： 营销人员定级考核周期为六个月，上半年（1-6月）为一个考核周期，下半年（7-12月）为一个考核周期，考核标准参照月度考核数据进行。 办事处下属人员由办事处主任负责月度考核，办事处所属片区若已成立分公司，则由分公司总经理对办事处主任进行考核，营销部负责对各分公司总经理和未有分公司管辖的办事处主任进行考核。 月度考核表每月25日前由本人自评完成（分公司或者办事处员工由直接主管完成复评），并以传真或者扫描件（PDF格式）形式发到公司总部备案。 3、营销人员晋升、降级规定： 1）在一个考核周期内，有三个月考核等级为A级，且其余月份评级为B级，则岗位职级上调一级。 2）在一个考核周期内，连续三个月考核等级为A级,则岗位职级上调一级 2）在一个考核周期内，连续三个月考核等级为E级，则岗位职级下调一级。 3）年度内因违反公司纪律而受到通报批评及以上处分者，不得升级。 4）若连续两个考核周期均降级者，则根据该营销人员实际情况，由营销部决定是否采取调动、转岗、下岗培训、辞退等处理措施。 5）对于销售业绩突出者，升级幅度不受上述限制。 4、年度评优规定： 公司每年在营销人员当中进行“金牌营销员”，“金牌区域经理”的评选活动，评选标准需满足：1）“金牌营销员”：年度考核期内有六个月考核等级为A,同时100%完成销售及回款任务。 2）“金牌区域经理”：年度考核期内有八个月考核等级为A，同时100%完成销售及回款任务。 5、分公司及办事处年度考核： 公司在每年12月底针对分公司及办事处进行考核，此考核与分公司及办事处年终奖直接挂钩。分公司及办事处主要考核指标从“财务类”、“运营类”、“客户类”、“学习发展类”四方面进行（见附表2）。 四、营销部为本制度的归口管理和执行部门，本制度为试行版本，营销部将根据制度的实际执行情 况进行修正并拥有最终解释权。 五、本制度自发布之日起生效并执行。