信息安全流程

信息安全监控规范

1.0目的

为了预防和遏制公司内各业务系统由于用户权限滥用或管理不善所导致网络信息安全事件的发生，保证及时处理由此引起的各类信息安全事件，减轻和消除突发事件造成的经济损失和社会影响，确保公司网络通畅、各生产和业务系统正常运行，特制定本管规范。

2.0适用范围

本规范适用于东风通信维护东风裕隆机房、办公厂区网络及办公运行。

2.1安全监控范围

2.1.1设备安全日志

其中包括网络中防火干墙、入侵检测系统（IDS）、DDOS检测系统、鉴权系统、主机系统日志、路由器、交换机等

2.1.2应用系统操作日志

包括数据库操作、应用系统操作日志、设备操作日志

2.1.3网站内容安全监控

监控人员需要进行发布的网站内容监控和审计，实时监控网站出现非法、敏感类信息以及网站可访问性。

3.0安全监控和监控事件总体要求

3.1 监控要求

安全监控包括了解系统面临的威胁以及这些威胁出现的方式，有些事件可能在发生安全事故时要求进行进一步调查。

系统日志通常包括大量的信息，多数与安全监控无关。为了识别用于安全监控目的的重要事件，应该考虑对日志进行过滤，重点关注安全性事件。

应定期将日志进行备份以保证事后分析和监控时使用。

分配安全监控责任时，应该考虑把监控人员和被监控者的角色分离开来。

要注意日志记录工具的安全。因为该工具如果随意使用，就可能在安全问题上产生错觉，应制定控制措施防止日志工具的非法更改和操作问题。

3.2 监控职责

3.2.1、网络运行管理部门

1）、统管整个网络运行情况，以保障网络的正常运行为第一重任。

2）、指挥调度各专业维护人员及时处理全网故障，同时调集各专业维护人员确认故障原因，尤其对安全事件重点关注。

3）、要对相关事件进行认真分析并及时上报信息安全管理小组，涉及到重大安全事件的并要上报到公安机关等。

3.2.2、监控值班人员

值班人员负责7X24小时实时监控本专业网络运行情况，对异常事件进行分析及时上报，并协助相关人员派发故障工单，协助维护部门处理故障，并做好配合工作。

信息系统安全管理

1 范围

适用于信息技术部实施网络安全管理和信息实时监控，以及制定全公司计算机使用安全的技术规定

2 控制目标

2.1 确保公司网络系统、计算机以及计算机相关设备的高效、安全使用

2.2 确保数据库、日志文件和重要商业信息的安全

3 主要控制点

3.1 信息技术部经理和公司主管副总经理分别审批信息系统访问权限设置方案、数据备份及突发事件处理政策和其它信息系统安全政策的合理性和可行性

3.2 对终端用户进行网络使用情况的监测

4 特定政策

4.1 每年更新公司的信息系统安全政策

4.2 每年信息技术部应配合公司人力资源部及其它各部门，核定各岗位的信息设备配置，并制定公司的计算机及网络使用规定

4.3 当员工岗位发生变动，需要更改员工的邮件帐号属性、服务器存储空间大小和文件读写权限时，信息技术部必须在一天内完成并发送邮件或电话通知用户

4.4 对于信息系统（主要为服务器）的安全管理，应有两名技术人员能够完成日常故障处理以及设置、安装操作，但仅有一名技术人员掌握系统密码，若该名技术人员外出，须将密码转告另外一名技术人员，事后应修改密码，两人不能同时外出，交接时应做好记录 4.5 普通事件警告是指未对信息系统安全构成危害、而仅对终端系统或局部网络安全造成危害，或者危害已经产生但没有继续扩散的事件，如对使用的终端和网络设备未经同意私自设置权限等；严重事件警告是指对信息系统安全构成威胁的事件，如试图使病毒（木马、后门程序等）在网络中扩散、攻击服务器、改变网络设备设置场所的设置状态、编制非法软件在网络系统中试运行等；特殊事件是指来自公司网络外部的恶意攻击，如由外部人员使用不当造成或其它自然突发事件引起。事件鉴定小组由相关的网络工程师、终端设备维护工程师和应用系统程序员等相关人员组成

5 信息系统安全管理流程C-14-04-001

步骤 涉及部门 步骤说明

1 信息技术部网络工程师、终端设备维护工程师 根据国际和国家信息系统安全的有关法律、法规的规定及信息技术行业的行业安全标准，并结合公司有关商业保密的规定，制定公司的信息系统安全政策，包括信息系统访问权限设置方案、数据备份及突发事件处理政策、病毒防治等信息系统安全政策

却　０ｎ　信息安全风险评估的　流程与要点　儿贯彻落实国家网络与信息安全协调小组办公室的要求，　／　切实提高人民银行网络信息安全防范水平，根据总行　的统一安排，人民银行各分支机构和直属单位今年将开展信　息安全风险自评估工作。　信息安全风险评估简介　信息安全风险评估的概念在业内有多种说法，从国标　评　估指南　对信息安全风险评估的表述中看出，评估涉及资产、　威胁、脆弱性和风险４个主要因素。信息安全风险评估就是从　管理的角度，运用科学的方法和手段，系统分析网络与信息系　统所面临的威胁及存在的脆弱性。评估安全事件一旦发生可能　造成的危害程度，提出有针对性地抵御安全威胁的防护措施，　为防范和化解信息安全风险，将风险控制在可以接受的水平，　最大限度地保障网络正常运行和信息安全提供科学依据。　信息安全风险评估流程　信息安全风险评估的典型过程主要分为风险评估准备、　资产识别、威胁识别、脆弱性识别和风险分析５个阶段。　１．风险评估准备　该阶段的主要任务是制订评估工作计划，包括评估目标、　评估范围、制订信息安全风险评估工作方案，并根据评估工　作需要，组建评估团队，明确各方职责。　在风险评估准备阶段，需要多次与被评估方磋商，了解　被评估方关注的重点，明确风险评估的范围和目标，为整个　风险评估工作提供向导。在确定评估范围和目标之后，根据　被评估对象的网络规模、复杂度、特殊性，成立评估工作小　组，明确各方人员组成及职责分工。建立评估团队后，由评　一文／中国金融电子化公司　苏丽萍刘宁　估工作人员进行现场调研，由被评估方介绍网络构建睛况，安　全管理制度和采取的安全防护措施以及业务运行情况。评估　工作小组根据调研情况撰写信息安全风险评估工作方案。　２．资产识别　做好风险评估准备阶段的相关工作之后，需要通过多种　途径采集评估对象的资产信息，为风险评估后续各阶段的工　作提供基本素材。　资产识别主要通过向被评估方发放资产调查表来完成。在　识别资产时，以被评估方提供的资产清单为依据，对重要和关　键资产进行标注，对评估范围内的资产详细分类，防止遗漏，　划人风险评估范围和边界内的每一项资产都应经过仔细确认。　３．威胁识别　在识别威胁时，应根据资产目前所处的环境条件和以前　的记录情况来判断，威胁识别主要通过采集入侵检测系统　（ＩＤＳ）的报警信息、威胁问卷调查和对技术人员做顾问访谈　

流程活动描述输出角色

2.1.1监控信息系统状态安全管理员通过IDS系统、集中监控系统等平台监视公司目前信息系统运维状态；分析国内外各安全网站、上级单位发布的报告等文档，比较公司内部存在的潜在威胁。《信息安全事件监控报告》信息安全管理员

2.1.2发现信息安全事件根据信息系统监控平台、外部发布的安全文档以及员工发现情况的信息，过滤和判断是否为信息安全事信息安全管理员；所有员工

2.1.3初判事件类别和级别根据事件的性质和特征，判断安全事件的类别和级别；如为5级事件则由信息安全管理员负责处理；如为4级或以上级别事件，则编写《信息安全事件报告单》递交给网络与信息安全工作领导小组办公室《信息安全事件报告单》信息安全管理员

2.1.4确定事件类别和级别详细了解事件发现过程，分析可能造成的影响、影响的程度和范围；根据事件的情况确定事件类别和级别，判断是否报告上级领导单位。《信息安全调查报告》网络与信息安全工作领导小组办公室2.1.5启动应急预案根据事件的类别启动各类应急预案所有事件涉及的部门2.1.6事件总结进行事件处置情况总结，讨论事件控制措施（包括预防、补偿等措施）。《信息安全调查报告》；《信息安全事件通报》网络与信息安全工作领导小组办公室2.1.7事件统计分析周期性统计事件发生的频率、趋势等情况，提出信息系统安全管理促进建议。《信息安全事件监控报告》信息安全管理员