国网公司信息安全管理制度

鑫欧克公司信息安全管理制度

一、信息安全指导方针

保障信息安全，创造用户价值，切实推行安全管理，积极预防风险，完善控制措施，信息安全，人人有责，不断提高顾客满意度。

二、计算机设备管理制度

1、计算机的使用部门要保持清洁、安全、良好的计算机设备工作环境，禁止在计算机应用环境中放置易燃、易爆、强腐蚀、强磁性等有害计算机设备安全的物品。

2、 非本单位技术人员对我单位的设备、系统等进行维修、维护时，必须由本单位相关技术人员现场全程监督。计算机设备送外维修，须经有关部门负责人批准。

3、 严格遵守计算机设备使用、开机、关机等安全操作规程和正确的使用方法。任何人不允许带电插拨计算机外部设备接口，计算机出现故障时应及时向电脑负责部门报告，不允许私自处理或找非本单位技术人员进行维修及操作。

三、操作员安全管理制度

（一）操作代码是进入各类应用系统进行业务操作、分级对数据存取进行控制的代码。操作代码分为系统管理代码和一般操作代码。代码的设置根据不同应用系统的要求及岗位职责而设置；

（二）系统管理操作代码的设置与管理

1、系统管理操作代码必须经过经营管理者授权取得；

2、系统管理员负责各项应用系统的环境生成、维护，负责一般操作代码的生成和维护，负责故障恢复等管理及维护；

3、系统管理员对业务系统进行数据整理、故障恢复等操作，必须有其上级授权；

4、系统管理员不得使用他人操作代码进行业务操作；

5、系统管理员调离岗位，上级管理员（或相关负责人）应及时注销其代码并生成新的系统管理员代码；

（三）一般操作代码的设置与管理

1、一般操作码由系统管理员根据各类应用系统操作要求生成，应按每操作用户一码设置。

2、操作员不得使用他人代码进行业务操作。

3、操作员调离岗位，系统管理员应及时注销其代码并生成新的操作员代码。

国家电网公司网络与信息系统 安全管理办法

第一章 总则

第一条 为加强和规范国家电网公司（以下简称“公司”）网络与信息系统安全工作,切实提高防攻击、防篡改、防病毒、防瘫痪、防窃密能力，实现网络与信息系统安全的可控、能控、在控,依据国家有关法律、法规、规定及公司有关制度,制定本办法。

第二条 本办法所称网络与信息系统是指公司电力通信网及其承载的管理信息系统和电力二次系统。

第三条 本办法适用于公司总(分）部及所属各级单位的网络与信息系统安全管理工作。

第四条 网络与信息系统安全防护目标是保障电力生产监控系统及电力调度数据网络的安全,保障管理信息系统及通信、网络的安全,落实信息系统生命周期全过程安全管理，实现信息安全可控、能控、在控.防范对电力二次系统、管理信息系统的恶意攻击及侵害，抵御内外部有组织的攻击，防止由于电力二次系统、管理信息系统的崩溃或瘫痪造成的电力系统事故。

第五条 公司网络与信息系统安全工作坚持“三纳入一融合”原则,将等级保护纳入网络与信息系统安全工作中,将网络与信息系统安全纳入信息化日常工作中，将网络与信息系统安全纳入公司安全生产管理体系中，将网络与信息系统安全融入公司安全生产中。在规划和建设网络与信息系统时,信息通信安全防护措施应按照“三同步"原则，与网络与信息系统建设同步规划、同步建设、同步投入运行.

第六条 管理信息系统安全防护坚持“双网双机、分区分域、安全接入、动态感知、全面防护、准入备案"的总体安全策略,执行信息安全等级保护制度。其中“双网双机”指信息内外网间采用逻辑强隔离设备进行隔离,并分别采用独立的服务器及桌面主机；“分区分域”指依据等级保护定级情况及业务系统类型，进行安全域划分，以实现不同安全域的独立化、差异化防护；“安全接入”指通过采用终端加固、安全通道、认证等措施保障终端接入公司信息内外网安全;“动态感知”指对公司网络、信息系统、终端及设备等安全状态进行全面动态监测,实现事前预警、事中监测和事后审计;“全面防护”指对物理、网络边界、主机、应用和数据等进行深度防护,加强安全基础设施建设,覆盖防护各层次、各环节、各对象；“准入备案"指对所有接入公司网络的各类网络、应用、系统、终端、设备进行准入及备案管理.

第一章 总则

第一条 为确保国家电网公司（以下简称“国网公司”）信息系统的安全稳定运行，保护公司信息资源的安全，防范和降低信息安全风险，依据国家相关法律法规和行业标准，结合公司实际，特制定本制度。

第二条 本制度适用于国网公司及其所属各级单位的信息系统安全管理。

第三条 本制度旨在提高公司信息安全意识，规范信息安全管理工作，确保公司信息系统的保密性、完整性、可用性和真实性。

第二章 组织与职责

第四条 国网公司设立信息安全领导小组，负责公司信息安全工作的统筹规划、决策和监督。

第五条 信息安全领导小组下设信息安全办公室，负责公司信息安全日常管理工作。

第六条 各级单位应设立信息安全管理部门，负责本单位信息安全工作的组织实施。

第三章 信息安全管理制度

第七条 信息安全管理制度应包括以下内容：

（一）信息系统安全等级保护制度；

（二）信息安全管理规范；

（三）信息安全事件应急预案；

（四）信息安全技术防护措施；

（五）信息安全培训与宣传；

（六）信息安全检查与评估。

第八条 信息系统安全等级保护制度应包括以下内容：

（一）信息系统安全等级划分；

（二）信息系统安全防护要求；

（三）信息系统安全等级保护措施。

第九条 信息安全管理规范应包括以下内容： （一）信息访问控制；

（二）信息存储与传输；

（三）信息备份与恢复；

（四）信息安全审计；

（五）信息安全管理监督。

第十条 信息安全事件应急预案应包括以下内容：

（一）事件分类与分级；

（二）事件报告与处理流程；

（三）应急响应措施；

（四）事件总结与改进。

第十一条 信息安全技术防护措施应包括以下内容：

（一）网络安全防护；

（二）主机安全防护；

（三）应用安全防护；

（四）数据安全防护。

第十二条 信息安全培训与宣传应包括以下内容：

（一）信息安全意识培训；

（二）信息安全技能培训；

（三）信息安全宣传。

第十三条 信息安全检查与评估应包括以下内容：

第一章 总则

第一条 为加强电网公司网络安全管理，保障电网安全稳定运行，防范网络安全风险，依据《中华人民共和国网络安全法》等相关法律法规，结合公司实际情况，制定本制度。

第二条 本制度适用于公司所有网络设备、信息系统、网络安全设备以及涉及公司网络安全的各项工作。

第三条 公司网络安全管理工作遵循“预防为主、防治结合、安全发展”的原则。

第二章 组织机构与职责

第四条 公司成立网络安全领导小组，负责公司网络安全工作的总体规划和组织实施。

第五条 网络安全领导小组下设网络安全办公室，负责公司网络安全工作的日常管理。

第六条 各部门、各单位应设立网络安全管理员，负责本部门、本单位网络安全工作的具体实施。

第三章 网络安全管理制度

第七条 网络安全管理制度包括但不限于以下内容：

（一）网络安全防护制度：包括网络安全等级保护、安全漏洞管理、入侵检测、安全事件应急响应等。

（二）网络安全设备管理制度：包括网络安全设备的采购、安装、配置、维护、升级等。

（三）网络安全操作规范：包括网络设备操作、系统管理、数据管理、应用系统使用等。

（四）网络安全培训制度：包括网络安全知识普及、技能培训、考核等。

（五）网络安全审计制度：包括网络安全审计范围、内容、方法、周期等。

（六）网络安全事件应急响应制度：包括网络安全事件报告、调查、处理、恢复等。

第八条 网络安全防护措施： （一）网络安全等级保护：根据国家网络安全等级保护要求，对公司信息系统进行安全等级划分，并采取相应的安全措施。

（二）安全漏洞管理：定期对网络设备、信息系统进行安全漏洞扫描，及时修复漏洞。

（三）入侵检测：部署入侵检测系统，实时监控网络流量，发现异常行为及时报警。

（四）安全事件应急响应：建立健全网络安全事件应急响应机制，确保网络安全事件得到及时、有效处置。

第四章 网络安全教育与培训

第九条 公司应定期开展网络安全教育与培训，提高员工网络安全意识和技能。