涉密计算机安全策略文件.docxVIP

涉密计算机安全策略文件

PAGE

厦门冠宇科技股份有限公司

涉密计算机及信息系统安全策略文件

1概述

涉密计算机及信息系统安全策略文件属于顶层的管理文档，是计算机系统与信息安全保障工作的出发点和核心，是公司计算机与信息系统安全管理和技术措施实施的指导性文件。涉密计算机及信息系统安全策略文件是公司计算机和信息系统全体管理和使用人员必须遵循的信息安全行为准则，由公司信息安全管理部门制订及解释，由公司保密委员会审批发布，并由信息安全管理部门组织公司全体人员学习与贯彻。

公司涉密计算机及信息系统涉及到存储、传输、处理国家秘密、公司商业秘密和业务关键信息，关系到公司的形象和公司业务的持续运行，必须保证其安全。因此，必须从技术、管理、运行等方面制定确保涉密计算机和信息系统持续可靠运行的安全策略，做好安全保障。

本策略文件主要内容包括：人员安全、资产分类与控制、物理和环境安全、系统开发和维护、访问控制、个人计算机安全、风险管理、业务持续性管理与灾难恢复、计算机与网络运行管理、遵循性等十个方面。

2适用范围

2.1本策略所称的涉密计算机和信息系统指公司所有通过计算机及信息系统存贮、处理或传输的信息及存贮、处理或传输这些信息的硬件、软件及固件。

2.2本策略适用于与公司涉密计算机及信息系统相关的所有部门及人员。

3目标

制定涉密计算机及信息系统安全策略的目标就是确保公司掌握的国家秘密、公司商业秘密和业务关键信息的安全性，并通过一系列预防措施将信息安全可能受到的危害降到最低。信息安全管理应在确保信息和计算机受到保护的同时，确保计算机和信息系统能够在允许的范围内正常运行使用。

同时，本策略的目的也是让所有员工能够了解信息安全问题以及明确各自的信息安全职责，严格遵守本安全策略，并遵守国家相关的计算机或信息安全法律要求。

4组织

4.1保密委员会是计算机及信息系统安全管理的领导机关，负责领导信息安全管理体系的建立和信息安全管理的实施，主要包括：

提供清晰的指导方向，可见的管理支持，明确的信息安全职责授权；

审查、批准信息安全策略和岗位职责；

审查业务关键安全事件；

批准增强信息安全保障能力的关键措施和机制；

保证必要的资源分配，以实现数据有效性以及信息安全管理体系的持续发展。

4.2信息安全管理部门具体负责建立和维持信息安全管理体系，协调相关活动，主要承担如下职责：

调整并制定所有必要的信息安全管理规程、制度以及实施指南等；

提议并配合执行信息安全相关的实施方法和程序，如风险评估、信息管理分层等；

主动采取部门内的信息安全措施，如安全意识培训及教育等；

配合执行新系统或服务的特殊信息安全措施；

审查对信息安全策略的遵循性；

配合并参与安全评估事项；

根据信息安全管理体系的要求，定期向上级主管领导和保密委员会报告。

5分层管理与控制

5.1公司计算机及信息系统管理分为涉密计算机管理、内部网络（局域网）及计算机信息管理、互联网计算机信息管理三个管理层次。

5.2涉密计算机只能处理涉及国家秘密的信息，实行物理隔离管理，只能由公司涉密人员使用，由公司保密员管理。涉密计算机信息数据必须被保护以防止被泄漏、破坏或修改。

5.3内部网络（局域网）及计算机配置加密管理措施，与互联网隔离，配置保密管理措施，只能通过局域网传输、储存技术文档、软件等涉及公司商业机

动、化学影响等。

必须在安全区域建立环境状况监控机制，以监控厂商建议范围外的可能影响信息处理设施的环境状况。应在运营范围内安装自动灭火系统。定期测试、检查并维护环境监控警告机制，并至少每年操作一次灭火设备。

7.5保密室、计算机房访问记录管理

保密室、计算机房应设立物理访问记录，信息安全管理部门应定期检查物理访问记录本，以确保正确使用了这项控制。物理访问记录应至少保留12个月，以便协助事件调查。应经信息安全管理部门批准后才可以处置记录，并应用碎纸机处理。

8计算机和网络运行管理策略

计算机和信息系统所拥有的和使用的大多数信息都在计算机上进行处理和存储。为了保护这些信息，需要使用安全且受控的方式管理和操作这些计算机，使它们拥有充分的资源。

由于公司计算机和信息系统采用三层管理模式，不排除联接到外部网络，计算机和信息系统的运行必须使用可控且安全的方式来管理，网络软件、数据和服务的完整性和可用性必须受到保护。

8.1操作规程和职责

应该制定管理和操作所有计算机和网络所必须的职责和规程，来指导正确的和安全的操作。这些规程包括：

数据文件处理规程，包括验证网络传输的数据；

对所有计划好的系统开发、维护和测试工作的变更管理规程；

为意外事件准备的错误处理和意外事件处理规程；

问题管理规程，包括记录所有网络问题和解决办法（包括怎样处理和谁处理）；

事故管理规程；

为所有新的或变更的硬件或软件，制定包