信息安全管理制度

1、信息安全管理制度目錄1.安全管理制度要求1.1總則：為了切實有效的保證公司信息安全，提高信息系統(tǒng)為公司生產(chǎn)經(jīng)營的服務(wù)能力，特制定交互式信息安全管理制度，設(shè)定管理部門及專業(yè)管理人員對公司整體信息安全進行管理，以確保網(wǎng)絡(luò)與信息安全。1.1.1建立文件化的安全管理制度，安全管理制度文件應(yīng)包括：a)安全崗位管理制度；b)系統(tǒng)操作權(quán)限管理；c)安全培訓(xùn)制度；d)用戶管理制度；e)新服務(wù)、新功能安全評估；f)用戶投訴舉報處理；g)信息發(fā)布審核、合法

2、資質(zhì)查驗和公共信息巡查；h)個人電子信息安全保護；i)安全事件的監(jiān)測、報告和應(yīng)急處置制度；j)現(xiàn)行法律、法規(guī)、規(guī)章、標(biāo)準(zhǔn)和行政審批文件。1.1.2安全管理制度應(yīng)經(jīng)過管理層批準(zhǔn)，并向所有員工宣貫2.機構(gòu)要求2.1法律責(zé)任2.1.1互聯(lián)網(wǎng)交互式服務(wù)提供者應(yīng)是一個能夠承擔(dān)法律責(zé)任的組織或個人。2.1.2互聯(lián)網(wǎng)交互式服務(wù)提供者從事的信息服務(wù)有行政許可的應(yīng)取得相應(yīng)許可。3.人員安全管理3.1安全崗位管理制度建立安全崗位管理制度，明確主辦人、主要負

3、責(zé)人、安全責(zé)任人的職責(zé)：崗位管理制度應(yīng)包括保密管理。3.2關(guān)鍵崗位人員3.2.1關(guān)鍵崗位人員任用之前的背景核查應(yīng)按照相關(guān)法律、法規(guī)、道德規(guī)范和對應(yīng)的業(yè)務(wù)要求來執(zhí)行，包括：1.個人身份核查：2.個人履歷的核查：3.學(xué)歷、學(xué)位、專業(yè)資質(zhì)證明：4.從事關(guān)鍵崗位所必須的能力3.2.2應(yīng)與關(guān)鍵崗位人員簽訂保密協(xié)議。3.3安全培訓(xùn)建立安全培訓(xùn)制度，定期對所有工作人員進行信息安全培訓(xùn)，提高全員的信息安全意識，包括：1.上崗前的培訓(xùn)；2.安全制度及其修

4、訂后的培訓(xùn)；3.法律、法規(guī)的發(fā)展保持同步的繼續(xù)培訓(xùn)。應(yīng)嚴(yán)格規(guī)范人員離崗過程：a)及時終止離崗員工的所有訪問權(quán)限；b)關(guān)鍵崗位人員須承諾調(diào)離后的保密義務(wù)后方可離開；c)配合公安機關(guān)工作的人員變動應(yīng)通報公安機關(guān)。6)用戶備注信息；7)用戶其他信息。b)群組、頻道相關(guān)信息，包括：1)創(chuàng)建時間、創(chuàng)建人、創(chuàng)建人IP地址及端口號；2)刪除時間、刪除人、刪除人IP地址及端口號；3)群組組織結(jié)構(gòu)；4)群組成員列表。c)用戶登錄信息，包括：1)用戶唯一標(biāo)

5、識；2)登錄時間；3)退出時間；4)IP地址及端口號。d)用戶信息發(fā)布日志，包括：1)用戶唯一標(biāo)識；2)信息標(biāo)識；3)信息發(fā)布時間；4)IP地址及端口號；5)信息標(biāo)題或摘要，包括圖片摘要。e)用戶行為，包括：1)進出群組或頻道；2)修改、刪除所發(fā)信息；3)上傳、下載文件。5.3.3應(yīng)確保審計日志內(nèi)容的可溯源性，即可追溯到真實的用戶ID、網(wǎng)絡(luò)地址和協(xié)議。電子郵件、短信息、網(wǎng)絡(luò)電話、即時消息、網(wǎng)絡(luò)聊天等網(wǎng)絡(luò)消息服務(wù)提供者應(yīng)能防范偽造、隱匿發(fā)

6、送者真實標(biāo)記的消息的措施；涉及地址轉(zhuǎn)換技術(shù)的服務(wù)，如移動上網(wǎng)、網(wǎng)絡(luò)代理、內(nèi)容分發(fā)等應(yīng)審計轉(zhuǎn)換前后的地址與端口信息；涉及短網(wǎng)址服務(wù)的應(yīng)審計原始URL與短URL之間的映射關(guān)系。5.3.4應(yīng)保護審計日志，保證無法單獨中斷審計進程，防止刪除、修改或覆蓋審計日志。5.3.5應(yīng)能夠根據(jù)公安機關(guān)要求留存具備指定信息訪問日志的留存功能。審計日志保存周期a)應(yīng)永久保留用戶注冊信息、好友列表及歷史變更記錄，永久記錄聊天室（頻道、群組）注冊信息、成員列表以及

7、歷史變更記錄；b)系統(tǒng)維護日志信息保存12個月以上；c)應(yīng)留存用戶日志信息12個月以上；d)對用戶發(fā)布的信息內(nèi)容保存6個月以上；e)已下線的系統(tǒng)的日志保存周期也應(yīng)符合以上規(guī)定。6應(yīng)用安全6.1用戶管理6.1.1向用戶宣傳法律法規(guī)，應(yīng)在用戶注冊時，與用戶簽訂服務(wù)協(xié)議，告知相關(guān)權(quán)利義務(wù)及需承擔(dān)的法律責(zé)任。6.1.2建立用戶管理制度，包括：a)用戶實名登記真實身份信息，并對用戶真實身份信息進行有效核驗，有校核驗方法可追溯到用戶登記的真實身份，

8、如：1)身份證與姓名實名驗證服務(wù)：2)有效的銀行卡：3)合法、有效的數(shù)字證書：4)已確認真實身份的網(wǎng)絡(luò)服務(wù)的注冊用戶：5)經(jīng)電信運營商接入實名認證的用戶。（如某網(wǎng)站采用已經(jīng)實名認證的第三方賬號登陸，可認為該網(wǎng)站的用戶已進行有效核驗。）b)應(yīng)對用戶注冊的賬號、頭像和備注等信息進行審核，禁止使用違反法律法規(guī)和社會道德的內(nèi)容：c)建立用戶黑名單制度，對網(wǎng)站自行發(fā)現(xiàn)以及公安機關(guān)通報的多次、大量發(fā)送傳播違法有害信息的用戶納應(yīng)入黑名單管理。6.1.