下载文档原格式
信息安全管理规范及保密制度信息安全管理规范及保密制度是指为了保障组织内外部信息安全的需要而制定的一系列制度和规范。
在当今信息化快速发展的时代，随着信息技术的普及和应用，不同的信息安全威胁不断涌现，为了防止信息泄露、数据丢失和黑客攻击等安全风险，组织需要建立完善的信息安全管理制度和保密制度。
一、信息安全管理规范1.信息安全政策：组织应制定明确的信息安全政策，明确信息安全的目标和原则，指导和约束全体员工在工作中的行为和决策。
2.信息资产分类与保护：组织应对信息资产进行细分分类，并制定相应的保护措施和权限控制，确保信息资产的机密性、完整性和可用性。
3.信息安全风险评估与管理：组织应定期进行信息安全风险评估，识别潜在的安全威胁和风险，并采取相应的管理和控制措施，及时解决风险问题。
4.员工安全意识培训：组织应定期组织员工进行信息安全培训，提高员工对信息安全的认识和理解，并教育员工遵守信息安全规范和制度。
5.物理安全控制：组织应对信息设备和系统进行物理安全控制，包括设置安全门禁、视频监控等措施，防止未经授权的人员进入和触碰信息设备和系统。
6.网络安全管理：组织应加强对网络安全的管理和控制，包括网络边界防护、入侵检测与防范、远程访问管理等，保障网络的安全和稳定。
7.安全事件管理：组织应建立健全的安全事件管理流程和应急响应机制，对发生的安全事件进行及时的处理和跟踪，减少安全事件对组织造成的损失。
8.供应商和合作伙伴管理：组织应对供应商和合作伙伴进行信息安全评估，确保其符合信息安全要求，在信息资产共享和协同工作中保证信息安全。
二、保密制度1.保密意识教育：组织应加强员工的保密意识教育，确保员工了解不同级别的保密信息和保密标志，并能正确处理、储存和传输保密信息。
2.保密责任制度：组织应对员工进行保密责任的明确规定，明确员工对保密信息的保护责任和义务，加强对员工的保密管理。
3.保密信息的存储和传输：在保密信息的存储和传输过程中，组织应加强相应的技术和管理措施，确保保密信息的安全性和完整性。
一、目的与依据为加强我单位信息安全管理工作，预防和减少信息安全事故的发生，保障单位信息系统的正常运行，根据《中华人民共和国网络安全法》等相关法律法规，特制定本制度。
二、适用范围本制度适用于我单位所有信息系统、网络设备和数据，包括但不限于内部网络、外部网络、移动设备、云服务、数据存储等。
三、组织机构与职责1. 成立信息安全工作领导小组，负责全面领导、协调和监督信息安全管理工作。
2. 设立信息安全管理部门，负责具体实施信息安全管理制度，包括安全策略制定、安全检查、安全事件处理等。
3. 各部门负责人为本部门信息安全第一责任人，负责本部门信息系统的安全管理工作。
四、信息安全管理制度1. 安全策略（1）安全策略应遵循最小权限原则、安全责任原则、风险可控原则等。
（2）制定安全策略，包括但不限于以下内容：a. 网络安全策略：包括防火墙、入侵检测、病毒防护等。
b. 系统安全策略：包括操作系统、数据库、应用系统等。
c. 数据安全策略：包括数据分类、加密、备份、恢复等。
d. 人员安全策略：包括用户权限管理、密码策略、安全意识培训等。
2. 安全检查（1）定期开展信息安全检查，包括内部自查和外部审计。
（2）检查内容包括但不限于以下方面：a. 网络设备安全配置。
b. 操作系统安全配置。
c. 应用系统安全配置。
d. 数据安全措施。
e. 人员安全意识。
3. 安全事件处理（1）发生信息安全事件时，应及时报告信息安全管理部门。
（2）信息安全管理部门接到报告后，应立即启动应急预案，采取相应措施，防止事件扩大。
（3）对信息安全事件进行调查、分析、处理，并形成报告。
五、安全教育与培训1. 定期组织信息安全教育培训，提高全体员工的安全意识。
2. 对新入职员工进行信息安全知识培训，使其了解单位信息安全管理制度。
六、奖惩措施1. 对在信息安全工作中表现突出的单位和个人给予表彰和奖励。
2. 对违反信息安全管理制度，造成信息安全事故的单位和个人，依法依规追究责任。
信息安全管理规范和保密制度是组织内部为确保信息资产的安全性和保密性而制定的一套具体规范和制度。
它旨在规范和管理组织内部信息系统和信息资产的使用、存储和传输，提高信息安全管理水平，防范各类信息安全威胁，保护组织的核心利益和用户的权益。
下面将就信息安全管理规范和保密制度的主要内容展开阐述，以期为组织制定相关规范和制度提供参考。
一、信息安全管理规范1. 信息资产分类和保护a. 将信息资产按照重要程度、敏感程度和机密程度进行分类，建立相应的保护措施。
b. 制定信息资产的使用规则，明确各级用户对各类信息资产的访问权限和使用规范。
c. 防止信息资产的非法获取、篡改、毁损等行为，建立相关防护机制和安全措施。
2. 密码管理a. 建立合理的密码策略，包括密码的长度、复杂度和过期时间等要求。
b. 严格控制密码的分发和访问权限，确保只有授权用户能够使用密码。
c. 提供密码更改和重置的方式，确保丢失或泄露的密码能够及时更新。
3. 网络安全管理a. 建立网络安全策略，包括网络架构、设备安全配置和网络访问控制等。
b. 定期对网络设备和系统进行漏洞扫描和安全评估，及时修补漏洞和强化安全措施。
c. 保护网络通信的机密性和完整性，采用加密算法和安全传输协议等技术手段防止信息泄露和篡改。
4. 应用系统安全管理a. 建立应用系统的访问控制和操作审计机制，确保用户的合法性和操作的可追溯性。
b. 限制应用系统的访问权限和功能权限，确保用户只能访问其需要的功能和数据。
c. 对应用系统进行安全评估和渗透测试，及时发现和修复潜在的安全隐患。
5. 物理安全管理a. 建立物理访问控制措施，限制只有授权人员才能进入信息系统存储和处理区域。
b. 对信息系统和存储介质进行安全防护，采用监控设备和防盗设备等物理手段防止物理攻击和丢失。
二、保密制度1. 保密责任和义务a.明确组织内部人员的保密责任和义务，包括对隐私和商业机密的保护。
b.制定保密责任和义务方面的行为准则，防止信息泄露和滥用。
信息安全管理规范一、引言信息安全是现代社会中的重要问题，随着互联网的发展和普及，信息安全的风险也日益增加。
为了保护企业和个人的信息资产安全，确保信息系统的正常运行，制定一套信息安全管理规范是必要的。
本文档旨在制定一套全面、可操作的信息安全管理规范，以指导企业在信息安全方面的工作。
二、适合范围本规范适合于企业内部所有涉及信息系统的部门和人员，包括但不限于信息技术部门、网络运维部门、安全管理部门等。
三、信息安全管理原则1. 安全性优先原则：信息安全是首要考虑的因素，任何安全威胁都应得到及时有效的应对。
2. 风险管理原则：通过风险评估和风险管理措施，降低信息安全风险。
3. 合规性原则：遵守相关法律法规和行业标准，确保信息安全管理符合法律要求。
4. 持续改进原则：不断完善信息安全管理制度和技术手段，适应不断变化的安全威胁。
四、信息安全管理体系1. 组织结构建立信息安全管理委员会，负责制定和监督信息安全策略、制度和规范的实施。
委员会由高层管理人员和相关部门负责人组成，定期召开会议，审查信息安全工作发展情况。
2. 资产管理对企业的信息资产进行分类、评估和管理，制定合理的信息资产管理策略，确保信息资产的安全性和完整性。
3. 访问控制建立严格的访问控制机制，包括身份验证、权限管理、访问审计等，确保惟独授权人员可以访问和操作相关信息系统和数据。
4. 安全运维建立健全的安全运维流程，包括漏洞管理、补丁管理、事件响应等，及时发现和处理安全漏洞和事件，保证信息系统的连续可用性和安全性。
5. 网络安全建立防火墙、入侵检测系统、安全监控系统等网络安全设施，保护企业网络免受外部攻击和恶意软件的侵害。
6. 数据安全制定数据备份、加密、归档等安全措施，确保数据的机密性、完整性和可用性。
7. 人员管理建立人员安全管理制度，包括招聘、培训、离职等方面的安全管理措施，确保员工的安全意识和责任意识。
8. 物理安全建立物理访问控制、机房环境监控等措施，保护信息系统的物理安全。
信息安全管理规范和保密制度范例信息安全保密管理制度第一条为处理网站信息资源发布过程中涉及的办公____信息和业务____信息，特制定本制度。
第二条网站应建立规范的信息采集、审核和发布机制，实行网站编辑制度。
第三条各部门要设立网站信息员负责向网站编辑报送本部门需要公开发布的信息。
第四条策划部网络信息组负责指导全公司各部门网站信息员的保密技术培训，落实技术防范措施。
第五条凡需要发布上网的信息资源必须遵循“谁发布，谁负责；谁主管，谁管理”的原则。
第六条各部门要有一名领导主管此项工作。
要指定专人负责上网信息的保密检查，落实好保密防范措施，定期对本部门网站信息员进行保密教育和管理。
第七条拟对外公开的信息，必须经本部门分管负责人____同意并对上传的内容进行登记建档后方可发布上网，重要信息还需经公司____管理小组审核确认。
第八条对互动性栏目要加强监管，确保信息的健康和安全。
以下有害信息不得在网上发布1、____宪法所确定的基本原则的；2、危害国家安全、泄露国家____、____、破坏国家统一的；3、损害国家荣誉和利益的；4、煽动民族仇恨、民族歧视、____的；5、破坏国家____政策，宣扬____和封建迷信的；6、散布谣言，扰乱社会秩序，破坏社会稳定的；7、散布____秽、____、____、____、凶杀、____或教唆犯罪的；8、侮辱或者诽谤他人，侵害他人的合法权益的；9、含有法律、行政法规禁止的其他内容的。
第九条网站必须设置不良信息过滤程序对信息进行甄别、筛选、把关，防止虚假、反动、____秽信息发布到网上。
第2页共2页第十条公司____信息一律不得在与国际网络连接的计算机系统中存储、处理和传输。
第十一条网站应当设置网站后台管理及上传的登录口令。
口令的位数不应少于____位，且不应与管理者个人信息、单位信息、设备(系统)信息等相关联。
严禁将各个人登录帐号和____泄露给他人使用。
第十二条网站应当设置合理的管理权限。
信息安全管理规范一、引言信息安全管理规范是为了保护组织的信息资产，确保其机密性、完整性和可用性，防止信息泄露、篡改和破坏等安全风险而制定的一系列规范和措施。
本文将详细介绍信息安全管理规范的制定目的、适合范围、定义、原则、责任和具体措施等内容。
二、目的本信息安全管理规范的目的是为了确保组织的信息资产得到妥善保护，防止信息泄露、篡改和破坏等安全风险，提高信息系统和网络的安全性和可靠性，保障业务的正常运行。
三、适合范围本信息安全管理规范适合于组织内的所有员工、合作火伴和供应商，涵盖所有的信息系统和网络，包括但不限于计算机、服务器、网络设备、数据库、应用程序等。
四、定义4.1 信息资产：指组织拥有的所有信息，包括但不限于电子文档、数据库、软件、硬件设备等。
4.2 信息安全：指确保信息的机密性、完整性和可用性，防止信息泄露、篡改和破坏等安全风险。
4.3 信息安全管理：指对信息安全进行规划、组织、实施、监控和改进的过程。
4.4 信息安全事件：指可能导致信息资产受到威胁、损失或者破坏的事件，包括但不限于病毒攻击、网络攻击、数据泄露等。
五、原则5.1 领导承诺：组织的领导应对信息安全工作赋予足够的重视，并提供必要的资源和支持。
5.2 风险管理：组织应通过风险评估和风险处理等手段，识别和评估信息安全风险，并采取相应的措施进行管理和控制。
5.3 安全意识培训：组织应定期开展信息安全意识培训，提高员工对信息安全的认识和理解。
5.4 安全控制措施：组织应建立和完善信息安全管理体系，采取合理的安全控制措施，确保信息资产的安全性。
5.5 持续改进：组织应不断改进信息安全管理体系，提高信息安全管理水平。
六、责任6.1 高层管理人员：负责制定信息安全策略和目标，确保信息安全工作的有效实施。
6.2 信息安全管理部门：负责制定、实施和监督信息安全管理措施，协调各部门的信息安全工作。
6.3 部门经理：负责本部门的信息安全工作，确保信息资产得到妥善保护。
信息安全事件与应急响应管理规范信息安全事件与应急响应管理规范是指企业或组织在面对信息安全事件时，应采取的一系列措施和流程，以保证对事件进行有效的应急响应，并最大程度地减少损失和影响。
下面将就信息安全事件与应急响应管理规范进行详细介绍，并提出一些建议。
一、信息安全事件与应急响应管理规范的重要性信息安全事件是指对企业或组织的信息系统、网络系统、数据库等信息资源进行非法入侵、破坏或盗窃的行为，如黑客攻击、病毒感染、数据泄露等。
这些事件可能会给企业带来直接经济损失，同时也会对企业的声誉和客户信任造成严重影响。
应急响应是指企业在面对信息安全事件时，采取的一系列紧急措施和行动，以最快速度恢复系统正常运行，并对事件进行彻底的调查和分析，以防止类似事件再次发生。
信息安全事件与应急响应管理规范的制定和实施可以帮助企业及时发现和响应信息安全事件，控制和减轻安全事件造成的损失，保护企业的核心业务和信息资产，同时也有助于提高企业的安全意识和能力，增强对事件的预防和防范能力。
二、信息安全事件与应急响应管理规范的制定内容1.制定安全策略和政策：企业应明确和制定信息安全策略和政策，包括相关的管理制度、流程和技术措施，以保护信息系统和网络的安全。
2.建立应急响应组织和流程：企业应建立专门的应急响应组织和流程，明确各级应急响应人员的职责和权限，规范应急响应工作流程，确保信息安全事件的及时响应和处理。
3.建立监测和预警系统：企业应建立信息安全监测和预警系统，对关键系统和网络进行实时监控，及时发现和报告异常情况，提高对信息安全事件的预警和预防能力。
4.建立事件分析和调查机制：企业应建立事件分析和调查机制，对信息安全事件进行全面和深入的分析和调查，找出事件的原因和漏洞，并采取相应措施进行修复和加固。
5.制定应急预案和演练计划：企业应制定相应的应急预案和演练计划，明确应急响应人员的任务和行动方案，定期进行应急演练和培训，提高应急响应能力和效率。
第一章总则第一条为加强信息安全管理工作，保障国家信息安全，维护社会稳定，促进信息化建设，根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》等法律法规，结合本地区实际情况，制定本制度。
第二条本制度适用于本地区各类组织和个人，包括但不限于政府机关、企事业单位、社会团体、公民等。
第三条信息安全管理工作应当遵循以下原则：（一）依法管理：遵守国家法律法规，严格执行信息安全管理制度。
（二）预防为主：建立健全信息安全防护体系，加强信息安全管理，预防信息安全事件发生。
（三）综合管理：从技术、管理、人员等多方面入手，综合施策，确保信息安全。
（四）责任到人：明确信息安全责任，落实信息安全责任追究制度。
第二章信息安全管理体系第四条建立健全信息安全管理体系，明确信息安全管理组织架构、职责分工、工作流程等。
第五条设立信息安全管理部门，负责信息安全工作的组织、协调、指导和监督。
第六条各级组织应当设立信息安全责任人，负责本组织的信息安全工作。
第七条建立信息安全风险评估制度，定期开展信息安全风险评估，及时发现和消除信息安全风险。
第八条建立信息安全事件报告和处理制度，确保信息安全事件得到及时报告、处理和调查。
第三章信息安全管理制度第九条建立信息安全管理制度，包括但不限于以下内容：（一）网络安全管理制度：明确网络安全防护措施，规范网络使用行为。
（二）数据安全管理制度：加强数据安全管理，确保数据安全。
（三）信息系统安全管理制度：加强信息系统安全管理，确保信息系统安全稳定运行。
（四）信息安全培训制度：定期开展信息安全培训，提高信息安全意识。
（五）信息安全审计制度：对信息安全工作进行审计，确保信息安全制度得到有效执行。
第十条严格执行信息安全管理制度，确保信息安全制度得到有效落实。
第四章信息安全技术措施第十一条加强信息安全技术防护，包括但不限于以下措施：（一）网络边界防护：加强网络边界防护，防止恶意攻击和非法访问。
（二）入侵检测与防御：部署入侵检测与防御系统，及时发现和阻止入侵行为。
信息安全管理规范和保密制度范例一、引言信息安全是指确保信息系统及其中所储存、传输、处理的信息免受未经授权的访问、利用、披露、干扰、破坏的状态和措施。
为了保障公司的重要信息安全和防止机密信息外泄，制定本信息安全管理规范和保密制度。
二、信息安全管理规范1.信息安全责任1.1 公司将建立信息安全管理委员会，负责信息安全相关工作的决策和监督。
1.2 公司将指定信息安全管理负责人，负责协调和推动信息安全工作。
1.3 公司全体员工要遵守信息安全管理规定，保护公司的信息资产安全。
1.4 公司将定期组织信息安全教育培训，提高员工的信息安全意识。
1.5 公司将建立信息安全应急响应机制，及时应对和处置信息安全事件。
2.信息资产保护2.1 公司将对重要信息资产进行分类并制定相应的安全防护级别。
2.2 公司将对信息资产进行全面的风险评估和安全审计，及时发现和解决存在的安全问题。
2.3 公司将使用合法、正版的软件和硬件设备，确保信息系统的安全稳定运行。
2.4 公司将建立信息备份和恢复制度，保障关键数据的安全和可靠性。
3.网络安全保护3.1 公司将建立网络安全防护体系，包括网络入侵检测系统、防火墙等安全设备的部署和维护。
3.2 公司将加强对内网和外网的访问控制管理，设置严格的权限控制和身份认证机制。
3.3 公司将定期进行网络安全漏洞扫描和安全测试，及时修复和升级系统漏洞。
3.4 公司将对互联网上的敏感信息进行加密和传输安全保护，防止信息泄露和篡改。
4.应用系统安全4.1 公司将建立应用系统开发和运维的安全标准和流程，确保系统的安全可靠。
4.2 公司将对应用系统进行安全审计，确保系统没有存在潜在的安全漏洞。
4.3 公司将建立合理的访问控制策略，限制用户的操作权限和数据访问权限。
4.4 公司将加强对程序代码的安全审查，防止恶意代码的注入和攻击。
5.员工行为管理5.1 公司将制定员工信息安全管理章程，明确各级员工的信息安全责任和义务。
四川长虹电器股份有限公司虹微公司管理文件信息安全事件与应急响应管理规范××××–××–××发布××××–××–××实施四川长虹虹微公司发布目录1.目的 (1)2.适用范围 (1)3.工作原则 (1)4.组织体系和职责 (2)5.信息安全事件分类和分级 (2)5.1.信息安全事件分类 (2)5.1.1信息系统攻击事件 (2)5.1.2信息破坏事件 (3)5.1.3信息内容安全事件 (3)5.1.4设备设施故障 (3)5.1.5灾害性事件 (3)5.1.6其他信息安全事件 (3)5.2.安全事件的分级 (3)5.2.1特别重大信息安全事件（一级） (3)5.2.2重大信息安全事件（二级） (4)5.2.3较大信息安全事件（三级） (4)5.2.4一般信息安全事件（四级） (4)6.信息安全事件处理 .................................................................... 错误!未定义书签。
7.奖励与处罚 (6)8.后期处置 (6)9.解释 (6)1.目的为建立健全虹微网络安全事件处理工作机制，提高网络安全事件处理能力和水平，保障公司的整体信息系统安全，减少信息安全事件所造成的损失，采取有效的纠正与预防措施，特制定本规范。
2.适用范围本文档适用于公司建立的信息安全管理体系。
本文档将依据信息技术和信息安全技术的不断发展和信息安全风险与信息安全保护目标的不断变化而进行版本升级。
本程序适用于公司全体员工；适用于公司的信息安全事故、弱点和故障的管理。
3.工作原则●统一指挥机制原则：在进行信息系统安全应急处置工作过程中，各部门的人员应服从各级信息系统突发安全事件处置领导小组的统一指挥。
●谁运行、谁主管、谁处置的原则：各类信息系统的责任部门要按照公司统一要求，制定和维护本部门信息系统运行安全应急子预案，并组织或督促相关部门制定和维护本部门应用系统的应急子预案，认真根据应急预案进行演练与应急处置工作。
信息安全管理部信息安全事件管理规范V1.0文档信息：文档修改历史:评审人员：信息安全事件管理规范年07月1.0 目的明确规定“信息安全事件”的范围和处理流程，以便及时地对信息安全事件做出响应，启动适当的事件防护措施来预防和降低事件影响，并能从事件影响中快速恢复；2．0 适用范围本制度适用于在信息安全部负责管理的所有信息资产上发生的对业务产生影响的异常事件的处理及后续响应流程。
3．0 相关角色和职责●信息安全总监：负责制定《信息安全事件管理规范》，并督促制度的落实和执行；●信息安全部经理：⏹负责《信息安全事件管理规范》中各项流程制度的日常督促执行；⏹负责对各类信息安全事件进行第一时间响应，区分信息安全事件的类别及后续处理流程；⏹负责跟踪各类信息安全事件的后续处理，确保公司能从中汲取教训，不再发生类似问题；●信息安全事件发起人：在具体工作中发现异常后应及时上报，并协助完成后续处理工作。
4．0 信息资产信息安全管理部负责以下信息资产的安全运行：●机房环境、硬件设备正常运行：⏹互联机房；⏹北京办公室机房；⏹上海办公室机房；⏹机房内的所有硬件设备，包括网络设备、服务器和其它设备；●办公室网络环境正常运行⏹互联机房内网/外网环境；⏹北京办公室内网/外网环境；⏹上海办公室内网/外网环境；●机房内系统工作正常；⏹服务器操作系统工作正常⏹应用系统工作正常●机房内设备中存放的各类业务信息安全以上信息资产出现异常情况时，均属于信息安全事件处理的范畴。
5．0 信息安全事件分级、分类对信息安全事件分级、分类是有效开展信息安全事件报告、应急处置、调查处理和评估备案等信息安全应急响应工作的必要条件。
5．1 信息安全事件分级根据信息安全事件所涉及的信息密级、对业务所造成的影响和相关的资产损失等要素，对信息安全事件分为以下几个级别：1级：本级信息安全事件对公司业务造成了重大影响，例如机密数据丢失，重大考试项目考中异常等；2级：本级信息安全事件对公司业务造成了一定影响，例如短时间的设备宕机、大规模的网站异常造成客户投拆等；3级：本级及息安全事件指己发现的可能对公司业务造成重要影响的潜在风险事件，例如在日常维护工作中发现的各类异常事件等；1级的信息安全事件又称为重大安全事件。
与“信息安全事件”分级相关联的名词解释：●常规工作：指影响超出单点范围，可能/己经造成了部门/小组级的工作异常，但未造成实质性损害的信息事件；5．2 信息安全事件分类对信息安全事件分类是有效开展信息安全事件报告、应急处置、调查处理和评估备案等响应工作的重要依据。
信息安全事件可分为：●环境灾害：⏹自然/人为灾害：水灾、火灾、地震、恐怖袭击、战争等；⏹外围保障设施故障：◆机房电力故障: 由于供电线路、供电设备出现故障或供电调配的原因而导致的信息安全事件◆外围网络故障：由于外围网络传输信道出现故障而导致业务系统无法对外正常服务◆其它外围保障设施故障：例如拖管机房的服务器、服务器故障等；●常规事故：⏹软硬件自身故障：◆软件自身故障：由于软件设计存在漏洞或软件系统运行环境发生变化等原因而导致软件运行不正常的信息安全事件◆硬件自身故障：由于硬件设计不合理、硬件自然老化失效等原因引起硬件设备故障而导致信息系统不能正常运行的信息安全事件⏹无意事故：◆硬件设备、软件遗失；与业务系统正常运行和使用相关的硬件设备和软件遗失而导致的信息安全事件◆数据遗失：系统中的重要数据遗失◆误操作破坏硬件；◆误操作破坏软件；◆误操作破坏数据；◆其它无意事故；⏹有意事故：◆硬件窃取：计算机系统、计算机部件、网络设备、信息安全设备等硬件设备被窃取；◆软件窃取；软件存储介质被非法复制或窃取◆数据窃取；重要数据或重要数据存储介质被非法复制◆故意破坏硬件设备：由于人为蓄意破坏造成硬件设备物理损坏◆故意破坏软件：通过非法删除、篡改等方式蓄意破坏支撑信息系统正常运行的操作系统、数据库系统、应用业务系统等相关软件系统，导致业务系统无法正常运行；◆故意破坏数据：系统中的重要数据被非法修改或删除◆其它有意事故⏹内容异常◆网页被篡改成异常信息；◆通过网页传播异常信息；⏹网络或系统异常◆计算机病毒◆间接攻击：例如网络监听、口令攻击、扫描探测、网络社交攻击等◆直接攻击：拒绝服务攻击、漏洞攻击、后门攻击等6．0 信息安全事件处理6．1 信息安全事件处理流程图6．2 信息安全事件处理流程描述信息安全事件的处理分为发起、检测、处理、评审四个阶段。
6．2．1信息安全事件的发起信息安全事件主要有以下两种发起方式1.公司员工在正常工作中发现有异常情况，需要协助解决时：1）公司员工以邮件形式向人员提出对信息事件进行处理；2）邮件标题：；3）邮件内容：◆说明异常现象；◆说明可能受影响的业务范围；4）邮件发送相关人员，抄送信息安全部经理2.人员在日常维护工作中，发现有异常情况需要进行处理时，应上报信息事件情况：1）邮件标题：信息事件上报；2）邮件内容：a)事件基本现象描述；i.事件发生的日期和时间；ii.事件发现的日期和时间；iii.事件发起人的姓名和所属部门；iv.事件涉及到的部门和相关人员；v.事件的现象描述；b)事件可能造成的业务影响；c)初步检测、排查结果；3）邮件发送信息安全部经理，抄送信息安全总监；6．2．2信息安全事件的检测人员在：●收到业务人员的处理申请邮件，或●在日常维护工作中，发现有异常情况需要进行处理时应该对：1)事件发生的情况进行了解，确认相关情况；2)对事件可能造成的业务影响范围进行沟通、确认；3)对事件可能的原因进行基本检测、排查；如果该事件属于“常规工作”，应该：1）直接处理；2）将处理意见邮件回复发起人，抄送：信息安全部经理；3）邮件标题加注：常规工作如果该事件属于信息安全事件范畴，可能或己经对业务造成影响，应将业务人员的“信息安全事件发起邮件”转发给信息安全部经理，向上汇报：1）邮件标题更改为：信息事件上报；2）邮件内容：●事件基本现象描述；i.事件发生的日期和时间；ii.事件发现的日期和时间；iii.事件发起人的姓名和所属部门；iv.事件涉及到的部门和相关人员；v.事件的现象描述；●事件可能造成的业务影响；●初步检测、排查结果；3）邮件发送信息安全部经理，抄送信息安全总监；6．2．3信息安全事件的处理信息安全部经理收到信息事件报告后，应：1）了解事件相关情况；2）根据本规范<5.0>中的规定，对信息事件进行分级、分类。
对于1级的信息安全事件，信息安全部经理应该：1）第一时间上报管理层、信息安全总监；2）以邮件通知管理层<信息安全事件>的发生；3）邮件标题：信息事件1级；4）邮件内容：a)事件细化的现象描述；b)事件己造成/可能造成的业务影响；c)事件己确认的/可能的原因说明；管理层收到1级信息安全事件报告后，应该：5）负责协调公司内相关资源进行事件处理，将处理方案通告各相关部门，并督促执行；6）事件处理结束后，组织公司内部各部门进行事件评审；7）评审结束后，责成信息安全部总监编写《信息安全事件报告》，以邮件形式：a)邮件标题：信息事件报告b)邮件发送：事件发起人和相关人员、管理层；c)邮件附件：《信息事件报告》对于2级的信息安全事件，信息安全部经理应该：1）第一时间上报信息安全总监；2）以邮件通知相关部门中心经理<信息安全事件>的发生；3）邮件标题：信息事件2级；4）邮件内容：a)事件细化的现象描述；b)事件己造成/可能造成的业务影响；c)事件己确认的/可能的原因说明；信息安全总监收到2级信息安全事件报告后，应该：5）负责协调各部门资源进行事件处理，将处理方案通告各相关部门，并督促执行；6）事件处理结束后，组织各部门相关人员进行事件评审；7）评审结束后，责成信息安全部经理编写《信息安全事件报告》，以邮件形式：a)邮件标题：信息事件报告b)邮件发送：事件发起人和相关人员、各相关部门中心经理、信息安全总监；抄送管理层；c)邮件附件：《信息事件报告》对于3级的信息安全事件，信息安全部经理应该：1）以邮件通知部门内部相关人员<信息安全事件>的发生；a)邮件标题：信息事件3级；b)邮件内容：i.事件细化的现象描述；ii.事件己造成/可能造成的业务影响；iii.事件己确认的/可能的原因说明；iv.解决方案和人员分工安排；c)邮件发送部门内部相关人员，抄送信息安全总监；2）协调部门内部资源进行事件处理；3）事件处理结束后，组织人员和事件发起人及其它相关人员进行事件评审；4）评审结束后，责成人员编写《信息安全事件报告》，以邮件形式：a)邮件标题：信息事件报告b)邮件发送：事件发起人、信息安全部经理；抄送信息安全总监；c)邮件附件：《信息事件报告》6．3 信息安全事件报告《信息安全事件报告》对于组织的信息安全是非常重要的，在每次信息安全事件处理结束后，应该对信息安全事件的起因、处理等进行评审，以确定有哪些经验教训需要汲取以及组织的整体安全和信息安全事件管理方案有哪些地方需要改进，填写完整的报告后留档备查。
《信息安全事件报告》格式参见附件一。
6．4 信息安全事件定期评估信息安全经理应该每季度对本季度发生的各项信息安全事件进行评估：1）分析组织内部存在哪些威胁和脆弱性，提出改进的建议和意见；2）对信息安全事件处理的后续工作进行跟踪，确保《信息安全事件报告》中提到的后续工作的具体落实。
3）评估工作应形成《信息安全事件定期评估报告年季度》，该报告提交信息安全总监审核后向管理层汇报。
《信息安全事件定期评估报告年季度》格式参见附件二。
附件一、《信息安全事件报告》信息安全事件管理规范附件二、《信息安全事件定期评估报告年季度》11 / 11。
