第1篇 信息安全事件管理程序
1 目的
為建立一個適當(dāng)?shù)男畔踩录⒈∪觞c和故障報告、反應(yīng)與處理機制，減少信息安全事件和故障所造成的損失，采取有效的糾正與預(yù)防措施，特制定本程序。
2 范圍
本程序適用于xxx業(yè)務(wù)信息安全事件的管理。
3 職責(zé)
3.1 信息安全管理流程負責(zé)人
? 確定信息安全目標和方針；
? 確定信息安全管理組織架構(gòu)、角色和職責(zé)劃分；
? 負責(zé)信息安全小組之間的協(xié)調(diào)，內(nèi)部和外部的溝通；
? 負責(zé)信息安全評審的相關(guān)事宜；
3.2 信息安全日常管理員
? 負責(zé)制定組織中的安全策略；
? 組織安全管理技術(shù)責(zé)任人進行風(fēng)險評估；
? 組織安全管理技術(shù)責(zé)任人制定信息安全改進建議和控制措施；
? 編寫風(fēng)險改進計劃；
3.3 信息安全管理技術(shù)責(zé)任人
? 負責(zé)信息安全日常監(jiān)控；
? 信息安全風(fēng)險評估；
? 確定信息安全控制措施；
? 響應(yīng)并處理安全事件。
4 工作程序
4.1 信息安全事件定義與分類
信息安全事件是指信息設(shè)備故障、線路故障、軟件故障、惡意軟件危害、人員故意破壞或工作失職等原因直接影響（后果）的。
造成下列影響（后果）之一的，均為一般信息安全事件。
a) xxx秘密泄露；
b) 導(dǎo)致業(yè)務(wù)中斷兩小時以上；
c) 造成信息資產(chǎn)損失的火災(zāi)；
d) 損失在一萬元人民幣（含）以上的故障/事件。
造成下列影響（后果）之一的，屬于重大信息安全事件。
a) 組織機密泄露；
b) 導(dǎo)致業(yè)務(wù)中斷十小時以上；
c) 造成機房設(shè)備毀滅的火災(zāi)；
d) 損失在十萬元人民幣（含）以上的故障/事件。
4.2 信息安全事件管理流程
? 由信息安全管理負責(zé)人組織相關(guān)的運維技術(shù)人員根據(jù)xxx對信息安全的要求，確認代碼管理相關(guān)信息系統(tǒng)的安全需求；
? 對代碼管理相關(guān)信息系統(tǒng)進行信息安全風(fēng)險評估，預(yù)測風(fēng)險類型、風(fēng)險發(fā)生的可能性、風(fēng)險級別、潛在的業(yè)務(wù)影響，形成信息安全風(fēng)險評估報告；
? 由信息安全日常管理員組織相關(guān)技術(shù)人員根據(jù)對根據(jù)風(fēng)險評估的結(jié)果以及服務(wù)級別協(xié)議的安全需求，提出現(xiàn)階段的安全改進建議，并提交至信息安全管理負責(zé)人進行評估；若同意執(zhí)行安全改進建議，則在變更管理的控制下實施安全建議；
? 信息安全日常管理員根據(jù)安全改進之后的信息系統(tǒng)安全現(xiàn)狀提出具體的安全控制措施，形成風(fēng)險處置計劃；
? 根據(jù)風(fēng)險處置計劃，實施信息安全控制措施，盡可能的降低信息和業(yè)務(wù)風(fēng)險；
? 監(jiān)視信息系統(tǒng)的活動并識別反常的活動和安全事件，并記錄下來，做初步的響應(yīng)和處理；評估安全漏洞和不符合安全要求的任何情況，并采取必要的糾正措施；
? 對發(fā)現(xiàn)的或已發(fā)生的信息安全事件，按照信息安全事件響應(yīng)程序進行處理；
? 每年一次或在發(fā)生重大信息安全事件時進行信息安全評審，分析信息安全事件的顯現(xiàn)趨勢、信息安全管理的改進等信息，并形成風(fēng)險改進計劃，持續(xù)改進信息系統(tǒng)安全。
4.3 信息安全事件事后處理措施
對于一般信息安全事件，在故障排除或采取必要措施后，相關(guān)信息安全管理職能部門會同事件責(zé)任部門，對事件的原因、類型、損失、責(zé)任進行鑒定，形成《信息安全事件報告》，報信息安全管理者代表批準；對于重大信息安全事件的處理意見還應(yīng)上報信息安全管理委員會討論通過。
對于違反組織信息安全方針、程序安全規(guī)章所造成的信息安全事件責(zé)任者依據(jù)以下措施予以懲戒。
處罰方式：
一般安全事故，根據(jù)所造成的經(jīng)濟損失，由xxx辦公室通過郵件發(fā)出正式嚴重警告。
一年內(nèi)累計出現(xiàn)三次或三次以上的一般安全事故，報xxx領(lǐng)導(dǎo)批準后進行相應(yīng)懲罰，并在xxx進行通報批評。
造成重大安全事故的，xxx有權(quán)將責(zé)任人調(diào)離原工作崗并給予相應(yīng)懲罰。
一年內(nèi)累計出現(xiàn)二次或二次以上的重大安全事故，xxx有權(quán)解除勞動合同并依法追究法律責(zé)任。
如果屬于故意行為導(dǎo)致信息安全事故，xxx有權(quán)解除勞動合同并依法追究法律責(zé)任。
對于信息安全事故責(zé)任人的處理結(jié)果由處理部門在xxx范圍內(nèi)予以通報。
負有信息安全事故處罰的各職能部門在確定實施處罰后，xxx室與被處罰部門溝通，確認責(zé)任者及處罰方式并上報xxx領(lǐng)導(dǎo)。
信息安全管理職能部門要求事件責(zé)任部門制定糾正措施并實施，實施結(jié)果記錄在《信息安全事件報告》。
由信息安全管理職能部門對實施情況進行跟蹤驗證，驗證結(jié)果記入《信息安全事件報告》。
4.4 報告信息安全薄弱點與預(yù)防措施
xxx與信息安全管理有關(guān)的所有員工發(fā)現(xiàn)信息安全薄弱點或潛在威脅均應(yīng)履行報告義務(wù)。
對以下行為應(yīng)給予獎勵：
及時發(fā)現(xiàn)非責(zé)任區(qū)信息安全隱患，該隱患足以導(dǎo)致信息安全事故的；
及時發(fā)現(xiàn)非責(zé)任區(qū)信息安全重大隱患，該隱患足以導(dǎo)致信息安全重大事故的；
及時發(fā)現(xiàn)并制止系統(tǒng)操作問題以避免設(shè)備重大損失或人員死亡的；
及時制止或報告泄露商業(yè)機密的事件以避免xxx重大經(jīng)濟損失或及時中止正在進行中的商業(yè)泄密行為的；
在信息安全事故中采取積極有效措施，降低損失的程度。
獎勵方式如下：
根據(jù)防止一般安全事故發(fā)生、一年內(nèi)防止一般安全事故發(fā)生三次或三次以上、防止造成重大安全事故、及時中止正在進行中的商業(yè)泄密行為、提出信息安全合理化建議等級別，報請xxx批準后，給予相應(yīng)表揚或獎勵，并作為年底工作考核依據(jù)。
發(fā)現(xiàn)信息安全事故、薄弱點與故障的員工填寫《一般信息安全事件/薄弱點報告》，相關(guān)的代碼管理中心及信息安全實驗室進行調(diào)查后，確定是否采取預(yù)防措施，確認責(zé)任部門并實施。
5 相關(guān)文件
6 相關(guān)記錄
第2篇 管理信息系統(tǒng)概述安全信息管理系統(tǒng)
一、管理信息系統(tǒng)的概念
所謂系統(tǒng)就是指由若干互相聯(lián)系、互相影響、互相制約的各個部分為了一定目標而組合在一起所形成的一個整體。構(gòu)成整體的各個組成部分，稱為子系統(tǒng)。假若以一個經(jīng)濟組織的會計作為一個系統(tǒng)，而有關(guān)結(jié)算中心、會計報表、成本核算、資產(chǎn)臺帳和貨幣資金等則是它的子系統(tǒng)。至于有關(guān)供銷、生產(chǎn)、人事等方面的信息則屬于會計系統(tǒng)以外的環(huán)境系統(tǒng)。會計信息系統(tǒng)見圖10-2。
過去，國外大多數(shù)企業(yè)和我國一些先行單位，為了適應(yīng)不同職能組織的需要，除了設(shè)立會計信息系統(tǒng)以外，還有生產(chǎn)技術(shù)、供銷、人事、后勤等科室也都分別設(shè)立適合于它們各自需要的信息系統(tǒng)。這樣一個企業(yè)就有若干信息管理系統(tǒng)，易于發(fā)生重復(fù)勞動，同一原始資料要分別輸入若干個信息管理系統(tǒng)。如有關(guān)材料的采購、耗用、轉(zhuǎn)移、完工、職工的基本工資、出勤記錄等都要同時輸入若干個信息系統(tǒng)。這樣不僅出現(xiàn)重復(fù)勞動，易于發(fā)生差錯，而且更改也不方便，造成相互不協(xié)調(diào)，成本也就比較高。
近年來在信息管理中提出綜合性管理系統(tǒng)。就是將一個經(jīng)濟組織作為一個系統(tǒng)，而其生產(chǎn)、技術(shù)、會計、供銷、后勤、人事等職能業(yè)務(wù)則是這個系統(tǒng)下的各個子系統(tǒng)。實施綜合信息系統(tǒng)需要具有三個條件：
（1）分散的信息活動必須通過組織的集中統(tǒng)一安排；
（2）這些活動必須是整體的組成部分；
（3）這些活動必須由一個集中、獨立的信息中心加以處理。
這樣就能把企業(yè)看作一個整體，使一個數(shù)據(jù)多用，提高效率和更有效地使用信息，成本也可隨之降低。
二、綜合管理信息系統(tǒng)的建立
設(shè)計一個新的或改進一個現(xiàn)有的管理信息系統(tǒng)，是一項既復(fù)雜又繁重的工作。首先要用系統(tǒng)分析的方法，對系統(tǒng)（包括子系統(tǒng)）的本身范圍及其周圍環(huán)境的關(guān)系進行分析，提出若干設(shè)計方案，決定不同類型，不同管理層次的系統(tǒng)，進行技術(shù)和經(jīng)濟的論證，層層提高設(shè)計質(zhì)量，消除不必要的重復(fù)勞動，然后加以評估比較，最后從中決定統(tǒng)一的綜合信息管理標準，包括經(jīng)濟信息分類、編碼和文件統(tǒng)一化工作。經(jīng)過試驗證明切實可行后，再應(yīng)用到實際工作中去。其中要注意以下幾方面：
1.明確信息的需求
即對輸出的要求，要通過充分的調(diào)查研究，特別是管理中現(xiàn)有的信息種類，它們流轉(zhuǎn)的來龍去脈，由哪里產(chǎn)生，由誰傳遞，傳到何處，經(jīng)過怎樣處理，以什么形式輸出，供誰使用，是否可以“一數(shù)多用”，是否有別的來源替代，是否要保存等等。所以在建立過程中，專業(yè)人員與使用人員之間要經(jīng)常交換意見，使提供的各項信息都能滿足使用者的要求。
2.信息的收集和處理
這項工作的目的就是要改善信息總的質(zhì)量，一般包括五項內(nèi)容：
（1）檢核。要確定各項信息的可靠性的程度，包括來源的可靠性，數(shù)據(jù)的準確性和有效性等。
（2）整理。將輸入的信息和數(shù)據(jù)加以提煉整理，以符合規(guī)定的要求。
（3）編制索引。按規(guī)定編制索引，以供日后儲存和檢索。
（4）傳輸。將正確的信息及時提供給各級主管人員。
（5）存儲。要保存必需的數(shù)據(jù)資料和文件檔案，準備日后再次使用。
第3篇 信息安全獎懲管理辦法
1.目的
明確信息安全獎勵與違規(guī)行為處罰的操作原則,強化執(zhí)行,促進員工信息安全意識提升。
2.適用范圍
本規(guī)范適用于深圳市**公司 (后續(xù)簡稱為公司)。
3.定義
序號
角色
職責(zé)
001
信息安全事件
指識別出的發(fā)生的系統(tǒng)、服務(wù)或網(wǎng)絡(luò)事件表明可能違反信息安全策略或防護措施失效;或以前未知的與安全相關(guān)的情況;其中一、二級信息安全事件稱為重大信息安全事件。
002
信息安全活動
為培養(yǎng)員工信息安全意識,提高公司整體安全水平而舉辦的活動,形式包括但不限于:考試、培訓(xùn)、宣傳和自查。
4.職責(zé)與權(quán)限
序號
角色
職責(zé)
001
員工
遵守公司信息安全管理制度,積極配合、參與信息安全活動。
002
各部門信息安全接口人
協(xié)助公司信息安全管理制度、產(chǎn)品的宣傳與培訓(xùn)工作;負責(zé)對部門信息安全問題進行匯總與反饋。
003
部門主管
是部門信息安全的直接責(zé)任人,負責(zé)監(jiān)督和管理本部門員工的信息安全行為,并對潛在的信息安全風(fēng)險進行預(yù)警,預(yù)防信息安全事件。
004
部門經(jīng)理
作為部門信息安全的間接責(zé)任人,熟悉公司信息安全戰(zhàn)略,并積極推動信息安全策略的落地執(zhí)行。
005
部門副總
對所負責(zé)部門的信息安全事件負相應(yīng)的管理責(zé)任。
006
it部信息安全組
對信息安全事件進行跟蹤處理,并確定事件責(zé)任人。
007
董事會秘書
審核信息安全事件處理報告。
008
總經(jīng)理
最終審批信息安全事件處罰申請。
009
人力資源部
依據(jù)公司財務(wù)制度對已審批的信息安全獎勵/處罰報告執(zhí)行經(jīng)濟獎勵或者處罰措施。
010
法務(wù)部
配合it部信息安全組進行信息安全事件處理,對違反法律法規(guī)的信息安全責(zé)任人依法追究法律責(zé)任。
5.內(nèi)容
5.1獎勵、違規(guī)行為處罰原則
5.1.1及時激勵原則
對長期妥善保護公司信息資產(chǎn),有效避免信息資產(chǎn)的遺失、濫用、盜用等,或?qū)τ诖龠M信息安全合理共享表現(xiàn)突出的個人或者集體,將及時獎勵。
5.1.2舉報保密原則
對于舉報信息安全違規(guī)行為的人員,將對其進行獎勵并嚴格保護其個人資料不公開。
5.1.3違規(guī)行為處罰原則
5.1.3.1法律追究原則
公司所有保密信息均為公司合法資產(chǎn),受國家法律法規(guī)保護。任何損害公司保密信息的行為,公司均有權(quán)追究行為人法律責(zé)任。
5.1.3.2違規(guī)分級原則
根據(jù)違規(guī)行為的性質(zhì)、造成的損失和影響的嚴重程度、違規(guī)人員是否有意對違規(guī)行為分級。涉及關(guān)鍵信息資產(chǎn)的,違規(guī)等級要升級;一次違反多條信息安全規(guī)定的人員按最高違規(guī)等級從重處罰;對多次違反信息安全規(guī)定的人員再次違規(guī)時要從重處罰。
5.1.3.3主動從寬原則
產(chǎn)生違規(guī)行為后主動報告,積極采取補救措施以減少影響和損失的人員,可減輕處罰;對問題隱瞞不報或者不及時上報而導(dǎo)致違規(guī)影響擴大的人員,加重處罰。
5.1.3.4過度防衛(wèi)處罰原則
對阻礙信息合理流動與共享的人員要給予處罰。
5.1.3.5及時處理原則
對重大信息安全違規(guī)事件,要及時處理。任何拖延、推諉不處理的責(zé)任人,要給予問責(zé)。
5.2 獎勵等級與責(zé)任部門
5.2.1獎勵等級與措施
獎勵事跡
獎勵等級
獎勵措施
舉報或者制止泄密、竊密或者其他嚴重損害公司利益事件的集體或者個人
一級
根據(jù)具體情況給予8000元集體獎勵或者5000元個人獎勵;通報表揚(遵循“舉報保密原則“淡化事跡并隱藏人員信息)。
制止他人違規(guī)行為或者即時反映可能造成泄密、竊密或者其他重大安全隱患的個人,以及在信息安全方面做出表率或者突出貢獻的集體
二級
根據(jù)具體情況集體獎5000元或者3000個人獎勵;通報表揚(遵循“舉報保密原則“淡化事跡并隱藏人員信息)。
在信息安全管理中做出貢獻,反映信息安全隱患或者過度防衛(wèi)被核實、提出信息安全合理化建議并被采納的個人,以及在信息安全方面做出貢獻的集體
三級
根據(jù)具體情況給予3000元集體獎勵或者1000元個人獎勵。
5.2.2獎勵責(zé)任部門
1)對于滿足信息安全獎勵標準的集體或者個人,it部信息安全組可根據(jù)具體事跡定期進行申報,審批通過后由人力資源部根據(jù)公司財務(wù)制度進行發(fā)放獎金;
2) 各部門信息安全接口人可自行組織對本部門優(yōu)秀信息安全集體或者個人進行獎勵。
5.3 違規(guī)等級與責(zé)任部門
5.3.1 違規(guī)等級與措施
違規(guī)事件
違規(guī)等級
處罰措施
盜竊、故意泄露公司保密信息的,或故意違反信息安全管理規(guī)定,性質(zhì)嚴重造成重大影響或者風(fēng)險
一級
1. 直接開除,永不錄用;
2. 如違反法律法規(guī)由公司法務(wù)部移送公安機關(guān)處理;如給公司造成相關(guān)損失,須賠償公司損失。
3. 全公司范圍內(nèi)通報處罰決定。
故意違反信息安全規(guī)定,性質(zhì)嚴重;或者造成較大影響或較大風(fēng)險
二級
1. 如給公司造成相關(guān)損失,須賠償公司損失;
2. 擔(dān)任公司管理崗位的人員,進行降職或者降薪處理;非公司管理崗位的人員,進行降薪處理;
3. 全公司范圍內(nèi)通報處罰決定。
過失違反信息安全管理規(guī)定,造成一定影響或者風(fēng)險的;或者故意違反信息安全管理規(guī)定,但性質(zhì)不嚴重且沒有造成嚴重影響或風(fēng)險
三級
1. 記入關(guān)鍵事件考評結(jié)果減10分或罰款500元;
2. 12個月內(nèi)2次三級違規(guī)升級為1次二級違規(guī)。
3.部門內(nèi)部通報處罰決定。
過失違反信息安全管理規(guī)定,性質(zhì)較輕,且造成輕微影響或者風(fēng)險
四級
1.記入關(guān)鍵事件考評結(jié)果減5分或罰款300元;
2.12個月內(nèi)2次四級違規(guī)升級為1次三級違規(guī);
3.部門內(nèi)部通報處罰決定。
說明:
1) 信息安全管理規(guī)定包括公司各部門正式發(fā)布的信息安全管理制度;
2) 上表中“違規(guī)事件“的描述是定性的描述,是違規(guī)事件定級的參考原則。常見違規(guī)行為所適用違規(guī)等級具體參考附件1:《常見違規(guī)行為及其適用處罰等級舉例》,其他違規(guī)行為所使用等級可參考舉例進行認定。
5.3.2 責(zé)任判定
1)發(fā)生一、二級重大信息安全事件違規(guī)時,違規(guī)者直接上級和部門經(jīng)理承擔(dān)直接和間接責(zé)任,部門副總須承擔(dān)連帶管理責(zé)任,并按照《常見違規(guī)行為及其適用處罰等級舉例v1.0》適用條款進行處罰;
2)對于三、四級信息安全違規(guī),根據(jù)以下條件判斷責(zé)任人直接上級是否連帶處罰:
員工無意違規(guī),且責(zé)任人領(lǐng)導(dǎo)未進行審批授權(quán)的,不進行連帶處罰;
員工無意違規(guī),但責(zé)任人領(lǐng)導(dǎo)進行包庇的,在事實確認的基礎(chǔ)上,進行連帶處罰;
若所管理部門一個月內(nèi)發(fā)生2次(含)以上故意違規(guī)或者4次(含)以上無意違規(guī)事件,對直接上級進行連帶處罰。
5.3.3 處罰責(zé)任部門
處罰等級
處罰責(zé)任人
批準
申訴
一級
總經(jīng)理
/
人力資源部
二級
總經(jīng)理
/
人力資源部
三級
部門分管副總
it部信息安全組
人力資源部
四級
部門分管副總
it部信息安全組
人力資源部
說明:
1)對于各類違規(guī)行為處罰應(yīng)當(dāng)慎重,應(yīng)建立在客觀事實的基礎(chǔ)上給出處罰意見。根據(jù)違規(guī)行為性質(zhì)、造成的損失和影響的大小,it部信息安全組有權(quán)要求對當(dāng)事人加重或者減輕處罰;
2)發(fā)現(xiàn)可疑事件的組織作為事件調(diào)查和處理的責(zé)任部門。為了加快一級違規(guī)行為的處理進度,溝通時限和批準期限都是2天;
3)在違規(guī)事件處理過程中,it部信息安全組協(xié)助與監(jiān)督處罰責(zé)任人完成處罰執(zhí)行工作。處罰責(zé)任人或其授權(quán)人員要做好與違規(guī)員工的溝通工作。對違規(guī)處罰過程中出現(xiàn)的拖延、推諉行為,it部信息安全組可以行使否決權(quán)。
5.4.維護與解釋
1)本規(guī)定發(fā)布之日起生效;
2)本規(guī)定由it部信息安全組至少每兩年審視一次,根據(jù)審核結(jié)果修訂標準并頒布執(zhí)行;
3)本規(guī)定解釋權(quán)歸it部信息安全組。
6.相關(guān)文件
附件1:《常見違規(guī)行為及其適用處罰等級舉例》
7.記錄表格
無
第4篇 安全風(fēng)險信息平臺工作管理辦法
第一章 總則
第一條 為規(guī)范石家莊市軌道交通安全風(fēng)險監(jiān)控工作,規(guī)范地鐵建設(shè)參建各方在安全風(fēng)險監(jiān)控管理上的工作責(zé)任、工作內(nèi)容及工作流程,加強相關(guān)單位和部門在安全風(fēng)險監(jiān)控工作中的協(xié)同性,提升軌道交通建設(shè)安全風(fēng)險管理的專業(yè)化和規(guī)范化水平,最大程度規(guī)避和減少軌道交通工程建設(shè)及周邊環(huán)境的安全事故的發(fā)生,制定本辦法。
第二條 本辦法根據(jù)住建部《城市軌道交通工程質(zhì)量安全檢查指南(試行)》,公司《石家莊市軌道交通工程建設(shè)安全風(fēng)險管理體系》文件的相關(guān)規(guī)定,結(jié)合我市軌道交通工程建設(shè)實際制定。
第三條 本辦法適用于石家莊市軌道交通工程施工階段的安全風(fēng)險監(jiān)控管理工作。
第四條 相關(guān)參建單位應(yīng)用安全風(fēng)險監(jiān)控與信息平臺情況考核,分日常管理考核與雙月度考核,由安全質(zhì)量部牽頭負責(zé)考核。
第五條 安全風(fēng)險監(jiān)控工作考核堅持客觀、公開、公平、公正的原則,自覺接受紀檢監(jiān)察部門和群眾的監(jiān)督。
第六條 除本辦法外,軌道交通工程建設(shè)相關(guān)單位還應(yīng)遵守國家和地方有關(guān)法律、法規(guī)、規(guī)范、標準。
第二章考核內(nèi)容
第七條 投資承建單位
投資承建單位應(yīng)成立信息化領(lǐng)導(dǎo)小組,總工程師任負責(zé)人,并設(shè)立專職信息員督促所轄施工標段落實安全風(fēng)險信息化管理工作。
第八條 標段施工單位
(一)各施工標段項目部安全總監(jiān)牽頭成立風(fēng)險信息化小組,項目部安全總監(jiān)和安質(zhì)部長每天必須登錄安全風(fēng)險監(jiān)控信息平臺,主要任務(wù)有:
1.每日17:00前,將自查臺賬和抽查臺賬檢查的問題、施工監(jiān)測數(shù)據(jù)上傳平臺;
2.巡視閉合閱處:通過安全風(fēng)險監(jiān)控信息平臺對各單位提出的問題、要求和發(fā)布的通知、文件、通報(包含業(yè)主公告、各類巡檢通報、日常風(fēng)險巡查推送的問題、軌道公司文件、預(yù)消警會議紀要、監(jiān)控中心周報、預(yù)警處置等)進行落實、整改、回復(fù)。填寫回復(fù)內(nèi)容,并可上傳相關(guān)附件。要求對所有的通報及整改通知的回復(fù)都以掃描件上傳至相應(yīng)內(nèi)容的回復(fù)區(qū)域;
3.預(yù)警響應(yīng)處置:及時處理平臺發(fā)出的本標段預(yù)警,在預(yù)警處置中,要詳細填寫處置措施及現(xiàn)場處置照片、視頻等。
(二)視頻監(jiān)控系統(tǒng):提供現(xiàn)場信息化設(shè)備放置場地及視頻會議室,配備網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)線路,保證各類信息能全面、及時、準確的上傳平臺(相關(guān)硬件參數(shù)見附件一):
1.按施工實際需要和軌道公司要求設(shè)置視頻監(jiān)控,施工單位負責(zé)采購本標段所需要的設(shè)備與硬件等,并負責(zé)進行安裝、調(diào)試、移位、維護和管理工作,確保視頻監(jiān)控正常使用;
2.攝像頭數(shù)量、位置要求:
車站明挖基坑至少設(shè)置2個攝像頭,礦山法暗挖工程,要求每個掌子面設(shè)置1個攝像頭,要清晰看到暗挖掌子面,并確保每掘進15米移動一次,蓋挖車站參照礦山法施工要求設(shè)置;
附屬結(jié)構(gòu)明挖基坑、施工豎井至少安裝1個前端監(jiān)控設(shè)備;
施工豎井上各設(shè)置1個攝像頭,重大風(fēng)險源處根據(jù)評估情況設(shè)置;
安全文明施工管理:有出渣土行為的施工現(xiàn)場,渣土車輛進出的大門口在開工前必須安裝攝像頭,并接入安全風(fēng)險監(jiān)控信息系統(tǒng)。此項作為開工核查條件之一。
3.要保持視頻監(jiān)控 24小時正常運行,并確保監(jiān)控視頻的攝像角度和照明亮度,以滿足視頻監(jiān)控的需要。不得隨意挪動、故意遮擋、污損、用光照射攝像頭,不得無故中斷、關(guān)閉視頻(特別是夜晚施工時)和人為破壞設(shè)備;
4.提供全天候的應(yīng)急響應(yīng)服務(wù),須在監(jiān)控中心發(fā)出平臺故障通知后24小時內(nèi)修復(fù),保證平臺正常運轉(zhuǎn)。
(三)盾構(gòu)監(jiān)控
1.按照實現(xiàn)盾構(gòu)實時數(shù)據(jù)監(jiān)控要求配備電腦等設(shè)備,必要時施工單位需安排盾構(gòu)廠家技術(shù)人員到現(xiàn)場配合數(shù)據(jù)解譯;
2.每日上傳出土量,同步注漿量;
(四)工程資料錄入:工程開工前,施工單位要及時錄入必要的工程資料,資料目錄詳見附件二。
第九條 第三方監(jiān)測單位
(一)項目部項目負責(zé)人牽頭成立風(fēng)險信息化小組,負責(zé)安全風(fēng)險監(jiān)控信息平臺日常管理工作,并配備專職信息員;
(二)監(jiān)測數(shù)據(jù)上傳:每日17:00前上傳當(dāng)天監(jiān)測數(shù)據(jù);
(三)及時查看并通過安全風(fēng)險監(jiān)控信息平臺對建設(shè)單位(含監(jiān)控中心)提出的問題和要求進行落實、整改回復(fù);
(四)每日瀏覽本標段工點風(fēng)險情況,同時根據(jù)各自工點的安全評估狀態(tài),及時做出回復(fù)和處理。對數(shù)據(jù)異常和存在安全隱患的工點,應(yīng)根據(jù)現(xiàn)場實際情況加密監(jiān)測點增加監(jiān)測頻率,并及時上傳監(jiān)測數(shù)據(jù)。
第十條 監(jiān)理單位
(一)安全專監(jiān)牽頭成立風(fēng)險信息化小組,負責(zé)安全風(fēng)險監(jiān)控信息平臺日常管理工作,并配備專職信息員;
(二)每日將抽查臺賬檢查問題和巡查報告上傳安全風(fēng)險監(jiān)控信息平臺。對有風(fēng)險、監(jiān)測數(shù)據(jù)異常以及重大安全隱患和危險征兆的工點,督促施工單位進行整改和回復(fù),并及時向監(jiān)控中心反饋;
(三)及時查看并安排相關(guān)人員通過信息平臺對建設(shè)單位及風(fēng)險監(jiān)控中心提出的問題、要求和發(fā)布的通知、文件、通報(包含業(yè)主公告、各類巡檢通報、軌道公司文件、預(yù)消警會議紀要、監(jiān)控中心周報、預(yù)警處置等)進行落實、整改、回復(fù);
(四)督促施工單位整改安全風(fēng)險監(jiān)控信息平臺上發(fā)布的各類檢查通報,并做好復(fù)查工作。督促施工單位對安全風(fēng)險監(jiān)控信息平臺上各項事件進行閉合管理;
(五)預(yù)警響應(yīng)處置:每日登錄平臺瀏覽各自工點風(fēng)險情況,同時根據(jù)各自工點的安全評估狀態(tài),及時做出回復(fù)和處理。工點評估為“有風(fēng)險”或“預(yù)警”狀態(tài),按預(yù)警流程處理,將處理結(jié)果在信息平臺回復(fù)。
第三章獎懲
第十一條 安全風(fēng)險監(jiān)控信息平臺使用情況考核按單位性質(zhì)分為標段施工單位、第三方監(jiān)測單位、監(jiān)理單位三個組,各組內(nèi)不再按線路區(qū)分參建單位。安質(zhì)部組織每兩個月對各單位安全風(fēng)險監(jiān)控信息平臺使用情況進行考核評分,各組分別排名,評分標準見附件三。投資承建單位信息平臺使用情況納入季度考核。
第十二條 通過視頻監(jiān)控和巡視發(fā)現(xiàn)施工現(xiàn)場視頻不按規(guī)定設(shè)置、違規(guī)挪動、故意遮擋、污損、用光照射鏡頭、無故中斷、關(guān)閉視頻,以及視頻監(jiān)控平臺被人為破壞等問題,且拒絕整改、未按時整改、整改不到位的,每個問題給予10000元的處罰。有渣土車輛進出的施工現(xiàn)場大門口沒有安裝攝像頭并接入監(jiān)控信息系統(tǒng)的,罰款50萬元。
第十三條 對日常巡查推送的問題,拒絕整改、未按時整改、整改不到位、整改但未及時回復(fù)的,每個問題給予5000元的處罰。安質(zhì)部對整改閉合情況進行抽查,發(fā)現(xiàn)弄虛作假的,每個問題給予20000元的處罰。
第十四條 對監(jiān)測數(shù)據(jù)和巡視報告上傳不及時的,每次處罰5000元。
第十五條 對履行《石家莊市軌道交通建設(shè)工程安全風(fēng)險監(jiān)控管理辦法》工作職責(zé)不到位的,視情節(jié)輕重、整改態(tài)度、影響大小,每人次/問題給予5000元的處罰;對不配合或阻撓監(jiān)控中心工作的單位,每次處罰10000元。
第十六條 對在同一個考核周期內(nèi)相同、類似問題多次重復(fù)發(fā)生的,從第三次開始,實施雙倍處罰。
第十七條 監(jiān)控中心每雙月月底匯總存在問題情況,安全質(zhì)量部審核后,填寫處罰單,并形成考核處罰通報上傳信息平臺(處罰單見附件四)。
第十八條 雙月考核排名考核結(jié)果將通過公司文件形式下發(fā)通報,對工作不積極,效率差,不配合工作的單位將約談該單位主要領(lǐng)導(dǎo)。
第十九條 對各組排名靠前的單位予以獎勵,獎勵總額為前兩個月對被考核各單位處罰金額總和。標段施工單位組前1-5名分別獎勵前兩個月總處罰金額的20%、16%、12%、8%、8%,合計64%;第三方監(jiān)測組第1名獎勵前兩個月總處罰金額的6%;監(jiān)理單位組前1-3名分別獎勵前兩個月總處罰金額的12%、10%、8%,合計30%。所有獎勵處罰款項一并納入季度驗工計價,在季度驗工計價中扣除。
第四章 附則
第二十條 本辦法由石家莊市軌道交通有
第5篇 中學(xué)網(wǎng)絡(luò)信息安全管理規(guī)定
山天中學(xué)網(wǎng)絡(luò)信息安全管理規(guī)定
為了加強校園網(wǎng)的管理，規(guī)范校園網(wǎng)的使用行為，保障校園網(wǎng)的信息安全，特制定本管理規(guī)定。
1.我校校園網(wǎng)用戶必須遵守《中華人民共和國計算機信息系統(tǒng)安全保護條例》、《計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護管理辦法》、《中國教育和科研計算機網(wǎng)暫行管理辦法》及國家有關(guān)法律法規(guī)，嚴格執(zhí)行安全保密制度，并對所提供的信息負責(zé)
2.用戶必須嚴格遵守我校校園網(wǎng)管理的有關(guān)規(guī)定和制度。
3.校園網(wǎng)上的信息和資源屬于該信息和資源的所有者。用戶只有在取得了該信息和資源的所有者的允許后，才能使用該信息和資源，網(wǎng)絡(luò)上軟件的使用應(yīng)遵守知識產(chǎn)權(quán)的有關(guān)法律法規(guī)。
4.用戶必須接受并配合國家有關(guān)部門依法進行的監(jiān)督檢查，并有義務(wù)向?qū)W校主管部門報告違法犯罪行為和有害信息。
5.用戶不得利用校園網(wǎng)從事危害國家安全、泄露國家秘密等犯罪活動，不得制作、查閱、復(fù)制和傳播有礙社會治安和有傷風(fēng)化及損害學(xué)校形象和學(xué)校利益的信息。
6.在校園網(wǎng)上不允許進行任何干擾網(wǎng)絡(luò)用戶、破壞網(wǎng)絡(luò)服務(wù)和破壞網(wǎng)絡(luò)設(shè)備的活動，這些活動主要包括在網(wǎng)絡(luò)發(fā)布不真實的信息、散布計算機病毒、進入未經(jīng)授權(quán)使用的計算機、以不真實身份使用網(wǎng)絡(luò)資源等等。
7.校園網(wǎng)的用戶不允許發(fā)展授權(quán)范圍以外的任何用戶，也不能與其它校內(nèi)外單位和用戶私自聯(lián)網(wǎng)。
8.對違反本規(guī)定的登錄者，學(xué)校將追究責(zé)任，情節(jié)嚴重者將追究法律責(zé)任。
山天中學(xué)
第6篇 公司信息安全管理檢查執(zhí)行規(guī)定
1.檢查原則
根據(jù)違規(guī)行為的性質(zhì)、造成的后果及違規(guī)人的主觀意愿對違規(guī)行為進行處罰。對在公司信息安全管理制度和措施上貫徹、監(jiān)控不力、權(quán)限審核不當(dāng)，造成公司安全制度和措施難以落實，安全管理工作混亂的部門，部門負責(zé)人須承擔(dān)領(lǐng)導(dǎo)責(zé)任。對違反信息安全管理規(guī)定者，如其直接領(lǐng)導(dǎo)有明顯管理和指導(dǎo)不力的須承擔(dān)連帶責(zé)任。
2.檢查方式
公司技術(shù)部門抽調(diào)網(wǎng)絡(luò)管理人員，不定期對公司所屬公司辦公電腦進行抽查。分析信息安全日志文件，排查違規(guī)電腦，追究相關(guān)當(dāng)事人。
3.檢查結(jié)果
對于故意盜竊、泄露公司保密信息的，或故意違反信息安全管理規(guī)定，性質(zhì)特別嚴重造成重大損失的，給予罰款、降薪、降職、辭退、直至開除的處理，并賠償公司損失。對于觸犯國家法律的，移交國家司法機關(guān)依法處理。對違反公司信息安全制度規(guī)定，性質(zhì)較輕，在公司內(nèi)部系統(tǒng)給予點名通報批評，并記錄在案，責(zé)令限期改正。
第7篇 公共安全圖像信息系統(tǒng)管理辦法
第一條 為了規(guī)范本市公共安全圖像信息系統(tǒng)的建設(shè)和管理，提高預(yù)防和處置突發(fā)公共事件的能力，保障公共安全，保護公民的合法權(quán)益，制定本辦法。
第二條 本辦法適用于本市行政區(qū)域內(nèi)公共安全圖像信息系統(tǒng)的建設(shè)和管理。
第三條 本辦法所稱的公共安全圖像信息系統(tǒng)，是指利用圖像采集設(shè)備和其他相關(guān)設(shè)備對涉及公共安全的區(qū)域進行信息記錄的視頻系統(tǒng)。
第四條 市人民政府有關(guān)部門和區(qū)、縣人民政府負責(zé)本行業(yè)、本系統(tǒng)、本地區(qū)公共安全圖像信息系統(tǒng)建設(shè)的組織實施，并協(xié)助做好公共安全圖像信息系統(tǒng)使用、維護等方面的監(jiān)督管理工作。
市和區(qū)、縣公安機關(guān)負責(zé)公共安全圖像信息系統(tǒng)建設(shè)、使用、維護的日常監(jiān)督管理工作。
第五條 下列單位和區(qū)域，應(yīng)當(dāng)安裝公共安全圖像信息系統(tǒng)：
(一)黨政機關(guān)、國家機關(guān)所在地，廣播電臺、電視臺，電信、郵政、金融、服務(wù)單位，博物館、檔案館、重點文物保護單位，危險物品生產(chǎn)、銷售、存放場所等重要單位；
(二)賓館、飯店、商場、醫(yī)院、學(xué)校、幼兒園、文化娛樂場所，舉辦體育賽事的場館、場地，住宅區(qū)、停車場等人員聚集的公共場所；
(三)重點道路、路段和主要交通路口，地下通道、過街天橋，機場、火車站、地鐵和城鐵車站，公共電汽車的重要交通樞紐等；
(四)城市供排水、電力、燃氣、熱力設(shè)施，城市河湖及其他重要水務(wù)工程等重要城市基礎(chǔ)設(shè)施；
(五)國家法律、法規(guī)規(guī)定的其他地點和區(qū)域。
公共安全圖像信息系統(tǒng)建設(shè)的市級主管部門可以根據(jù)需要確定其他應(yīng)當(dāng)安裝公共安全圖像信息系統(tǒng)的區(qū)域，報市人民政府批準。
第六條 單位按照本辦法規(guī)定自建公共安全圖像信息系統(tǒng)，應(yīng)當(dāng)符合政府的統(tǒng)一規(guī)劃和要求，不得采集本單位范圍以外的公共區(qū)域的圖像信息。
第七條 交通道路、廣場等公共場所公共安全圖像信息系統(tǒng)的建設(shè)由政府負責(zé)，其他任何單位和個人不得在該區(qū)域設(shè)置公共安全圖像信息系統(tǒng)。
第八條 公共安全圖像信息系統(tǒng)的建設(shè)，應(yīng)當(dāng)符合國家和本市的技術(shù)規(guī)范和標準。
市質(zhì)量技術(shù)監(jiān)督、信息化主管部門和公安機關(guān)共同制定本市公共安全圖像信息系統(tǒng)的技術(shù)規(guī)范和標準，公共圖像信息系統(tǒng)應(yīng)當(dāng)具有采集、錄像、傳輸?shù)裙δ堋?/p>
第九條 設(shè)置公共安全圖像信息系統(tǒng)，不得侵犯公民個人隱私；對涉及公民個人隱私的圖像信息，應(yīng)當(dāng)采取保密措施。
涉及國家秘密、商業(yè)秘密的公共安全圖像信息系統(tǒng)的建設(shè)，按照國家有關(guān)規(guī)定執(zhí)行。
第十條 新建、改建、擴建建設(shè)項目應(yīng)當(dāng)安裝公共安全圖像信息系統(tǒng)的，公共安全圖像信息系統(tǒng)應(yīng)當(dāng)與項目主體工程同步規(guī)劃、同步建設(shè)、同時投入使用。
第十一條 公共安全圖像信息系統(tǒng)的使用單位，應(yīng)當(dāng)自系統(tǒng)竣工驗收合格之日起30日內(nèi)，將公共安全圖像信息系統(tǒng)的建設(shè)情況按照保衛(wèi)隸屬關(guān)系向市或者區(qū)、縣公安機關(guān)備案；沒有保衛(wèi)隸屬關(guān)系的，向本單位所在地的區(qū)、縣公安機關(guān)備案。
本辦法施行前已經(jīng)建成的公共安全圖像信息系統(tǒng)的使用單位應(yīng)當(dāng)自本辦法施行之日起30日內(nèi)，將公共安全圖像信息系統(tǒng)的建設(shè)情況按照前款規(guī)定向公安機關(guān)備案。
第十二條 公共安全圖像信息系統(tǒng)的使用單位，應(yīng)當(dāng)采取下列措施，保證公共安全圖像信息系統(tǒng)安全運行：
(一)對與公共安全圖像信息系統(tǒng)密切接觸的人員進行崗位技能和保密知識的培訓(xùn)；
(二)建立安全檢查、運行維護、應(yīng)急處理等制度；
(三)保持圖像信息畫面清晰，保證系統(tǒng)正常運行；
(四)不得擅自改變公共安全圖像信息系統(tǒng)的用途和攝像設(shè)備的位置。
第8篇 建業(yè)集團信息系統(tǒng)安全管理細則
第一條???????? 目的
為了保護集團計算機信息系統(tǒng)安全，規(guī)范信息系統(tǒng)管理,合理利用系統(tǒng)資源，推進集團信息化建設(shè)，促進計算機的應(yīng)用和發(fā)展，保障集團信息系統(tǒng)的正常運行，充分發(fā)揮信息系統(tǒng)在企業(yè)管理中的作用，更好地為集團運營服務(wù)。根據(jù)《中華人民共和國計算機信息系統(tǒng)安全保護條例》及有關(guān)法律、法規(guī)，結(jié)合集團實際情況，制定本細則。
第二條???????? 術(shù)語與定義
（一）?? 信息系統(tǒng)安全管理范圍：業(yè)務(wù)軟件系統(tǒng)信息安全、硬件網(wǎng)絡(luò)信息安全。
（二）?? 系統(tǒng)管理員：是集團信息化管理系統(tǒng)建設(shè)的主要執(zhí)行者，負責(zé)系統(tǒng)的設(shè)備保障、運行監(jiān)測、及時維護、數(shù)據(jù)備份以及信息系統(tǒng)規(guī)劃、計劃、方案的起草工作；同時，負責(zé)集團信息化管理系統(tǒng)和各工作站系統(tǒng)軟件、應(yīng)用軟件的安裝、調(diào)試和維護工作；
第三條???????? 適用范圍
本細則適用于集團信息系統(tǒng)安全管理。
第四條???????? 系統(tǒng)服務(wù)器和網(wǎng)絡(luò)設(shè)備管理方法：
（一）? 服務(wù)器和各網(wǎng)絡(luò)設(shè)備的放置詳見《機房管理細則》第五條的第三項；
（二）? 非集團指定系統(tǒng)管理員，未經(jīng)批準不得對服務(wù)器和各網(wǎng)絡(luò)設(shè)備進行硬件維護、軟件安裝卸載等操作；
（三）? 保證服務(wù)器和各網(wǎng)絡(luò)設(shè)備24小時不間斷正常工作，不得在服務(wù)器專用電路上加載其它用電設(shè)備；
（四）? 非工作需要，內(nèi)網(wǎng)服務(wù)器嚴禁直接接入因特網(wǎng)，并安裝好殺毒軟件，做好病毒防范，杜絕病毒感染。
第五條? 業(yè)務(wù)軟件系統(tǒng)信息安全：
（一）?? 帳戶申請：對符合開通帳戶的申請人，根據(jù)權(quán)責(zé)對軟件所負責(zé)管理的職能歸屬部門進行申請，經(jīng)該主責(zé)部門同意后，轉(zhuǎn)信息管理部系統(tǒng)管理員處備案；
（二）?? 帳戶刪除：對于離職人員，在辦理工作交接時。由離職人員的主管通過辦公平臺向業(yè)務(wù)軟件主責(zé)部門提交刪除離職人員相關(guān)業(yè)務(wù)軟件帳戶的申請。經(jīng)該主責(zé)部門同意后，轉(zhuǎn)信息管理部系統(tǒng)管理員處備案；
（三）?? 操作人員應(yīng)該嚴格保密帳戶信息，如因故意或過失造成信息泄漏的，將根據(jù)《員工獎懲管理細則》追究其相關(guān)責(zé)任；
（四）?? 系統(tǒng)管理人員應(yīng)熟悉并嚴格監(jiān)督數(shù)據(jù)庫使用權(quán)限、用戶密碼使用情況，適時更換、更新用戶帳號或密碼。
第六條? 網(wǎng)絡(luò)信息安全：
（一）?? 系統(tǒng)管理員要主動對網(wǎng)絡(luò)系統(tǒng)實行監(jiān)控、查詢，及時對故障進行有效隔離、排除和恢復(fù)工作，以防災(zāi)難性網(wǎng)絡(luò)風(fēng)暴發(fā)生；
（二）?? 網(wǎng)絡(luò)系統(tǒng)所有設(shè)備的配置、安裝、調(diào)試必須由系統(tǒng)管理員負責(zé)，其它人員不得隨意拆卸和移動；
（三）?? 所有上網(wǎng)操作人員必須嚴格遵守計算機及其它相關(guān)設(shè)備的操作規(guī)程，禁止其它人員進行與系統(tǒng)操作無關(guān)的工作；
（四）?? 在管理員還沒有有效解決網(wǎng)絡(luò)安全（未安裝防火墻、殺毒軟件）的情況下，內(nèi)外網(wǎng)獨立運行，所有終端內(nèi)外網(wǎng)不能混接，嚴禁外網(wǎng)用戶通過u盤等存貯介質(zhì)拷貝文件到內(nèi)網(wǎng)終端。
第七條? 資料備份工作方法：
（一）?? 數(shù)據(jù)備份關(guān)系到整個集團信息化管理系統(tǒng)的正常運轉(zhuǎn)，影響到集團正常的運營秩序，必須嚴格執(zhí)行；
（二）?? 數(shù)據(jù)庫服務(wù)器每周日做一次數(shù)據(jù)備份；
（三）?? 備份的數(shù)據(jù)存儲于專門的硬盤內(nèi)，備份必需以覆蓋的形式存儲，確保數(shù)據(jù)不會遺漏；
（四）?? 所有重要數(shù)據(jù)、信息化管理系統(tǒng)源程序要刻錄成光盤存盤；
（五）?? 若遇重大程序更新、修改，必須在程序更新、修改前要做好數(shù)據(jù)的備份工作；
（六）?? 上傳到集團網(wǎng)站上提供給查詢的數(shù)據(jù)必須每日定時更新，確保查詢數(shù)據(jù)的準確性；
（七）?? 系統(tǒng)管理員若遇重大程序更新、修改，必須填寫工作日志；
（八）?? 非共享的文件不能設(shè)置成網(wǎng)絡(luò)共享，提供共享使用的文檔必須設(shè)置相應(yīng)權(quán)限，由于沒有安全設(shè)置相應(yīng)權(quán)限而造成本單位數(shù)據(jù)丟失的情況，后果自負。
第八條? 管理員有權(quán)制止一切違反安全管理的行為。
第九條? 本細則的解釋權(quán)屬于運營管理中心信息管理部。
第十條? 本細則由運營管理中心信息管理部進行起草與修訂，由總裁辦公會審核，執(zhí)行總裁批準后發(fā)布。
第十一條? 本細則自發(fā)布之日起生效，集團原有相關(guān)規(guī)定、通知、辦法等同時廢止。
第9篇 網(wǎng)絡(luò)與信息安全管理組織機構(gòu)設(shè)置及工作職責(zé)
1：總則
1.1為規(guī)范北京愛迪通聯(lián)科技有限公司（以下簡稱“公司”）信息安全管理工作，建立自上而下的信息安全工作管理體系，需建立健全相應(yīng)的組織管理體系，以推動信息安全工作的開展。
2：范圍
本管理辦法適用于公司的信息安全組織機構(gòu)和重要崗位的管理。
3：規(guī)范性引用文件
下列文件中的條款通過本標準的引用而成為本標準的條款。凡注明日期的應(yīng)用文件，其隨后的所有的修改單或修訂版均不適用于本標準（不包括勘誤、通知單），然而，鼓勵根據(jù)本標準達成協(xié)議的各方研究是否可以使用這些文件的最新版本。凡未注日期的引用文件，其最新版本適用于本標準
《信息安全技術(shù) 信息系統(tǒng)安全保障評估框架》（gb/t 20274.1-2006）
《信息安全技術(shù) 信息系統(tǒng)安全管理要求》（gb/t 20269-2006）
《信息安全技術(shù) 信息系統(tǒng)安全等級保護基本要求》（gb/t 22239-2008）
4：組織機構(gòu)
4.1 公司成立信息安全領(lǐng)導(dǎo)小組，是信息安全的最高決策機構(gòu)，下設(shè)辦公室，負責(zé)信息安全領(lǐng)導(dǎo)小組的日常事務(wù)。
4.2 信息安全領(lǐng)導(dǎo)小組負責(zé)研究重大事件，落實方針政策和制定總體策略等。職責(zé)主要包括：
根據(jù)國家和行業(yè)有關(guān)信息安全的策略、法律和法規(guī)，批準公司信息安全總體策略規(guī)劃、管理規(guī)范和技術(shù)標準；
確定公司信息安全各有關(guān)部門工作職責(zé)，知道、監(jiān)督信息安全工作。
4．3 信息安全領(lǐng)導(dǎo)小組下設(shè)兩個工作組：信息安全工作組、應(yīng)急處理工作組。組長均由公司負責(zé)人擔(dān)任。
4.4信息安全工作組的主要職責(zé)包括：
4.4.1 貫徹執(zhí)行公司信息安全領(lǐng)導(dǎo)小組的決議，協(xié)調(diào)和規(guī)范公司信息安全工作；
4.4.2 根據(jù)信息安全領(lǐng)導(dǎo)小組的工作部署，對信息安全工作進行具體安排、落實；
4.4.3 組織對重大的信息安全工作制度和技術(shù)操作策略進行審查，擬定信息安全總體策略規(guī)劃，并監(jiān)督執(zhí)行；
4.4.4 負責(zé)協(xié)調(diào)、督促各職能部門和有關(guān)單位的信息安全工作，參與信息系統(tǒng)工程建設(shè)中的安全規(guī)劃，監(jiān)督安全措施的執(zhí)行；
4.4.5 組織信息安全工作檢查，分析信息安全總體狀況，提出分析報告和安全風(fēng)險的防范對策；
4.4.6 負責(zé)接收各單位的緊急信息安全事件報告，組織進行時間調(diào)查，分析原因、涉及范圍，并評估安全事件的嚴重程度，提出信息安全時間防范措施；
4.4.7 及時向信息安全工作領(lǐng)導(dǎo)小組和上級有關(guān)部門、單位報告信息安全時間。
4.4.8 跟蹤先進的信息安全技術(shù)，組織信息安全知識的培訓(xùn)和宣傳工作。
4.5應(yīng)急處理工作組的主要職責(zé)包括：
4.5.1 審定公司網(wǎng)絡(luò)與信息系統(tǒng)的安全應(yīng)急策略及應(yīng)急預(yù)案；
4.5.2 決定相應(yīng)應(yīng)急預(yù)案的啟動，負責(zé)現(xiàn)場指揮，并組織相關(guān)人員排除故障，恢復(fù)系統(tǒng)；
4.5.3 每年組織對信息安全應(yīng)急策略和應(yīng)急預(yù)案進行測試和演練。
4.6 公司應(yīng)指定分管信息的領(lǐng)導(dǎo)負責(zé)本單位信息安全管理，并配備信息安全技術(shù)人員，有條件的應(yīng)設(shè)置信息安全工作小組或辦公室，對公司信息安全領(lǐng)導(dǎo)小組和工作小組負責(zé)，落實本單位信息安全工作和應(yīng)急處理工作。
5： 關(guān)鍵崗位
5.1 設(shè)置信息系統(tǒng)的關(guān)鍵崗位并加強管理，配備系統(tǒng)管理員、網(wǎng)絡(luò)管理員、應(yīng)用開發(fā)管理員、安全審計員、安全保密管理員要求無人各自獨立。要害崗位人員必須嚴格遵守保密法規(guī)和有關(guān)信息安全的管理規(guī)定。
5.2 系統(tǒng)管理員主要職責(zé)有：
5.2.1負責(zé)系統(tǒng)的運行管理，實施系統(tǒng)安全運行細則；
5.2.2嚴格用戶權(quán)限管理，維護系統(tǒng)安全正常運行；
5.2.3認真記錄系統(tǒng)安全事項，及時向信息安全人員報告安全事件；
5.2.4對進行系統(tǒng)操作的其他人員予以安全監(jiān)督。
5.3網(wǎng)絡(luò)管理員的主要職責(zé)有：
5.3.1負責(zé)網(wǎng)絡(luò)的運行管理，實施網(wǎng)絡(luò)安全策略和安全云心細則；
5.3.2安全配置網(wǎng)絡(luò)參數(shù)，嚴格控制網(wǎng)絡(luò)用戶訪問權(quán)限，維護網(wǎng)絡(luò)安全正常運行；
5．3.3監(jiān)控網(wǎng)絡(luò)關(guān)鍵設(shè)備、網(wǎng)絡(luò)端口、網(wǎng)絡(luò)物理線路，防范黑客入侵，及時向信息安全人員報告安全事件；
5.3.4對操作網(wǎng)絡(luò)管理功能的其他人員進行安全監(jiān)督。
5.4應(yīng)用開發(fā)管理員主要職責(zé)有：
5．4.1負責(zé)在系統(tǒng)開發(fā)建設(shè)中，嚴格執(zhí)行系統(tǒng)安全策略，保證系統(tǒng)安全功能的準確實現(xiàn)；
5.4.2系統(tǒng)投產(chǎn)運行前，完整移交系統(tǒng)相關(guān)的安全策略等資料；
5.4.3不得對系統(tǒng)設(shè)置“后門”；
5.4.4對系統(tǒng)核心技術(shù)保密等。
5.5安全審計員負責(zé)對設(shè)計系統(tǒng)安全的事件和各類操作人員的行為進行審計和監(jiān)督，主要職能包括：
5.5.1按操作員證書號進行審計；
5.5.2按操作時間審計；
5.5.3按操作類型審計；
5.5.4事件類型進行審計；
5.5.5日志管理等。
5.6安全保密管理員負責(zé)日常安全保密管理活動，主要職責(zé)有：
5.6.1監(jiān)視全網(wǎng)運行和安全告警信息
5.6.2網(wǎng)絡(luò)審計信息的常規(guī)分析
5.6.3安全設(shè)備的常規(guī)設(shè)置和維護
5.6.4執(zhí)行應(yīng)急中心指定的具體安全策略
5.6.5向應(yīng)急管理機構(gòu)和領(lǐng)導(dǎo)機構(gòu)報告重大的網(wǎng)絡(luò)安全時間等。
6 附則
6.1本辦法由公司科技部負責(zé)解釋。
6.2本辦法自發(fā)布之日起實施。
第10篇 信息部:職業(yè)健康安全管理職責(zé)
(1)負責(zé)組織對本單位的危險源、環(huán)境因素進行辨識、評價、更新和學(xué)習(xí),并制定措施或管理方案加以控制。
(2)負責(zé)對本部門員工進行環(huán)境職業(yè)健康安全知識的教育和培訓(xùn),不斷提高本部門員工的環(huán)保和安全意識。
(3)確保公司信息管理系統(tǒng)安全穩(wěn)定運行,為公司各單位/部門在環(huán)境職業(yè)健康安全管理方面提供所需的信息,確保信息安全和財產(chǎn)安全。
(4)負責(zé)公司信息管理系統(tǒng)相關(guān)硬件設(shè)備的管理,硬件設(shè)備廢棄要按公司廢物處理的相關(guān)規(guī)定進行。
(5)認真履行環(huán)境職業(yè)健康安全管理體系文件內(nèi)規(guī)定的本部門的各項具體工作。
第11篇 南方醫(yī)院信息與網(wǎng)絡(luò)安全保護管理規(guī)定
大學(xué)附屬醫(yī)院信息與網(wǎng)絡(luò)安全保護管理規(guī)定
第一章 總則
第一條 為了加強對醫(yī)院信息網(wǎng)絡(luò)系統(tǒng)的安全保護,促進醫(yī)院信息網(wǎng)絡(luò)的應(yīng)用和發(fā)展,保障醫(yī)院信息網(wǎng)絡(luò)系統(tǒng)有序運行,根據(jù)《中華人民共和國計算機信息系統(tǒng)安全保護條 例》、《中華人民共和國計算機信息網(wǎng)絡(luò)國際互聯(lián)網(wǎng)管理暫行規(guī)定》、《廣東省計算機信息系統(tǒng)安全保護管理規(guī)定》、《廣東省計算機信息系統(tǒng)安全保護管理規(guī)定實施細則(試行)》和有關(guān)法律、法規(guī),結(jié)合醫(yī)院實際,制定本規(guī)定。
第二條 本規(guī)定所指的信息網(wǎng)絡(luò)系統(tǒng),是指在醫(yī)院信息系統(tǒng)中,由計算機及其相關(guān)配套的設(shè)備、設(shè)施構(gòu)成,按照系統(tǒng)應(yīng)用目標和規(guī)定對醫(yī)院信息進行采集、存儲、傳輸、檢索、匯總、加工等處理的人機系統(tǒng)。
第三條 醫(yī)院信息網(wǎng)絡(luò)系統(tǒng)管理及安全保護,是為了保障醫(yī)院信息管理系統(tǒng)功能的正常發(fā)揮,保障運行環(huán)境和信息的安全,以維護信息網(wǎng)絡(luò)系統(tǒng)的安全運行。
第四條 本規(guī)定適用于醫(yī)院全部上網(wǎng)運行的計算機。
第五條 本規(guī)定適用于全院應(yīng)用“zz一院信息系統(tǒng)”的所有科室和個人。
第六條 任何科室或者個人不得利用上網(wǎng)計算機從事危害醫(yī)院利益的活動,不得危害醫(yī)院信息網(wǎng)絡(luò)系統(tǒng)的安全。
第二章 安全監(jiān)督
第七條 醫(yī)院信息網(wǎng)絡(luò)系統(tǒng)的組織管理機構(gòu)是醫(yī)院信息網(wǎng)絡(luò)管理領(lǐng)導(dǎo)小組(簡稱領(lǐng)導(dǎo)小組)。
㈠領(lǐng)導(dǎo)小組由下列人員組成:
組長:院長或主管副院長
副組長:業(yè)務(wù)副院長或職能機關(guān)領(lǐng)導(dǎo)
成員:院長辦公室主任、醫(yī)務(wù)處處長、護理部主任、藥學(xué)部主任、信息網(wǎng)絡(luò)科科長、醫(yī)務(wù)處主管醫(yī)療工作人員和護理部主管護理工作人員各1名、計算機工程技術(shù)人員若干名。
㈡領(lǐng)導(dǎo)小組的主要職能和任務(wù):
1、制定醫(yī)院信息系統(tǒng)建設(shè)和應(yīng)用總體規(guī)劃及階段實施計劃,審查和制定系統(tǒng)應(yīng)用中的工作流程、技術(shù)規(guī)范、性能指標、有關(guān)人員職責(zé)和規(guī)章制度。
2、協(xié)調(diào)解決工程實施和系統(tǒng)應(yīng)用中的重大問題。
3、組織安排系統(tǒng)建設(shè)和應(yīng)用中的重要活動,如網(wǎng)絡(luò)管理、系統(tǒng)配置、人員培訓(xùn)等。
4、緊急情況下,領(lǐng)導(dǎo)小組可以采取特別措施以維護醫(yī)院信息網(wǎng)絡(luò)系統(tǒng)安全。
第八條 信息網(wǎng)絡(luò)科是系統(tǒng)建設(shè)、應(yīng)用組織的主要負責(zé)部門,是系統(tǒng)運行的保障者,應(yīng)對所屬人員實行分工負責(zé)。信息網(wǎng)絡(luò)科應(yīng)對醫(yī)院信息網(wǎng)絡(luò)系統(tǒng)的安全策略和解決方案作出規(guī)劃并組織實施。信息網(wǎng)絡(luò)科對信息網(wǎng)絡(luò)系統(tǒng)安全保護工作行使下列職責(zé):
1、監(jiān)督、檢查、指導(dǎo)信息網(wǎng)絡(luò)系統(tǒng)安全維護工作;
2、查處危害信息網(wǎng)絡(luò)系統(tǒng)安全的違章行為;
3、履行信息網(wǎng)絡(luò)系統(tǒng)安全工作的其他監(jiān)督職責(zé)。
第九條 計算機工程技術(shù)人員全面負責(zé)信息網(wǎng)絡(luò)系統(tǒng)的規(guī)劃、設(shè)計、配置,負責(zé)系統(tǒng)的調(diào)試、維護、安全管理、人員培訓(xùn)等具體實施工作。
計算機工程技術(shù)人員發(fā)現(xiàn)影響信息網(wǎng)絡(luò)系統(tǒng)安全的隱患時,可立即采取各種有效措施予以制止。
計算機工程技術(shù)人員在緊急情況下,可以就涉及信息網(wǎng)絡(luò)系統(tǒng)安全的特定事項采取特殊措施進行防范。
第三章 安全保護管理
第十條 任何科室和個人不得利用醫(yī)院信息網(wǎng)絡(luò)系統(tǒng)制作、復(fù)制、傳播和查閱以下信息:
㈠煽動抗拒、破壞憲法和法律、法規(guī)的實施的;
㈡煽動顛覆國家政權(quán),推翻社會主義制度的;
㈢煽動分裂國家、破壞國家統(tǒng)一的;
㈣煽動民族仇恨、民族歧視,破壞民族團結(jié)的;
㈤捏造或者歪曲事實,散布謠言,擾亂社會秩序的;
㈥宣揚封建迷信、淫穢、色情、賭博、暴力、兇殺、恐怖,教唆犯罪的;
㈦公然侮辱他人或者捏造事實誹謗他人的;
㈧損害國家機關(guān)信譽的;
㈨其他違反憲法和法律、行政法規(guī)的。
第十一條 任何科室和個人不得從事下列危害醫(yī)院信息網(wǎng)絡(luò)系統(tǒng)安全的活動:
㈠未經(jīng)允許,進入醫(yī)院信息網(wǎng)絡(luò)系統(tǒng)或者使用信息網(wǎng)絡(luò)系統(tǒng)資源的;
㈡未經(jīng)允許,對信息網(wǎng)絡(luò)系統(tǒng)功能進行刪除、修改或者增加的;
㈢未經(jīng)允許,對信息網(wǎng)絡(luò)系統(tǒng)中存儲、處理或者傳輸?shù)臄?shù)據(jù)和應(yīng)用程序進行刪除、修改或者增加的;
㈣未經(jīng)允許,擅自盜取醫(yī)院相關(guān)數(shù)據(jù)或程序代碼的;
㈤故意制作、傳播計算機病毒等破壞性程序的;
㈥其他危害信息網(wǎng)絡(luò)系統(tǒng)安全的。
第十二條 信息網(wǎng)絡(luò)系統(tǒng)的安全保護
㈠信息網(wǎng)絡(luò)系統(tǒng)的建設(shè)和應(yīng)用,應(yīng)遵守上級主管機關(guān)頒發(fā)的行政法規(guī)、用戶手冊和其他有關(guān)規(guī)定。
㈡信息網(wǎng)絡(luò)系統(tǒng)實行安全等級保護和用戶使用權(quán)限劃分,所有訪問信息網(wǎng)絡(luò)系統(tǒng)的人員必須按程序報審。
㈢信息網(wǎng)絡(luò)系統(tǒng)中心機房應(yīng)符合國家標準和國家規(guī)定,由信息網(wǎng)絡(luò)科作好日常清潔及防干擾工作。
㈣在信息網(wǎng)絡(luò)系統(tǒng)設(shè)施附近進行房屋維修、改造及其他活動,不得危害信息網(wǎng)絡(luò)系統(tǒng)的安全。如無法避免而影響信息網(wǎng)絡(luò)系統(tǒng)設(shè)施安全的作業(yè),須事先通知信息網(wǎng)絡(luò)科,經(jīng)負責(zé)人同意并采取保護措施后,方可實施作業(yè)。
㈤信息網(wǎng)絡(luò)系統(tǒng)的使用科室和個人都必須遵守計算機安全使用規(guī)定,以及有關(guān)的操作規(guī)程和規(guī)章制度。
㈥對信息網(wǎng)絡(luò)系統(tǒng)中發(fā)生的問題,使用科室應(yīng)立即上報信息網(wǎng)絡(luò)科。
對計算機病毒和其他危害信息網(wǎng)絡(luò)系統(tǒng)安全的數(shù)據(jù)信息的防治工作,由信息網(wǎng)絡(luò)科負責(zé)處理。
㈧對信息網(wǎng)絡(luò)系統(tǒng)軟件、設(shè)備、設(shè)施的安裝、調(diào)試以及故障排除等項操作由計算機工程技術(shù)人員負責(zé)。其他任何科室或個人不得自行拆卸、安裝任何軟、硬件設(shè)施。
㈨在醫(yī)院信息網(wǎng)絡(luò)系統(tǒng)未與外網(wǎng)連接之前,所有連接醫(yī)院信息系統(tǒng)的計算機絕對禁止連接internet網(wǎng)或其他公共網(wǎng)絡(luò)。
所有科室及個人不得使用非醫(yī)院指定計算機連接醫(yī)院信息網(wǎng)絡(luò)。
(十一)任何科室和個人不得私自架設(shè)無線網(wǎng)絡(luò)設(shè)備和基站。
第十三條 網(wǎng)絡(luò)的技術(shù)管理
㈠計算機工程技術(shù)人員是信息網(wǎng)絡(luò)系統(tǒng)技術(shù)管理的直接責(zé)任者,應(yīng)以實現(xiàn)系統(tǒng)功能為目的,以滿足用戶需求為宗旨,對網(wǎng)絡(luò)系統(tǒng)的操作和維護進行管理。
㈡網(wǎng)絡(luò)內(nèi)各類設(shè)備的配置,由系統(tǒng)負責(zé)人提出配置規(guī)劃和計劃,報有關(guān)領(lǐng)導(dǎo)審批后實施。
㈢每一子系統(tǒng)或掛接的可執(zhí)行程序在上網(wǎng)運行前,計算機工程技術(shù)人員必須嚴格按照功能要求在備用服務(wù)器上進行全面調(diào)試,達到功能要求且排除一切可能的數(shù)據(jù)沖突后交用戶實際上網(wǎng)使用。
計算機
工程技術(shù)人員實行分工負責(zé)制。信息網(wǎng)絡(luò)系統(tǒng)的各種設(shè)備由信息網(wǎng)絡(luò)科負責(zé)人管理或指定專人負責(zé)。
㈤系統(tǒng)管理員或機房值班人員負責(zé)網(wǎng)絡(luò)服務(wù)器的數(shù)據(jù)備份和日常工作。
㈥系統(tǒng)負責(zé)人全面負責(zé)技術(shù)支持和運行保障工作,出現(xiàn)技術(shù)問題或故障時,應(yīng)組織技術(shù)力量在最短時間內(nèi)處理。
第十四條 工作站管理
㈠網(wǎng)絡(luò)工作站作為信息網(wǎng)絡(luò)系統(tǒng)專用設(shè)備,使用科室、個人不得擅自在終端機上裝載其他軟件和移動存儲設(shè)備如3.5”軟盤或優(yōu)盤等。
㈡各工作站所有使用人員必須嚴格遵守《新his系統(tǒng)工作站用戶手冊》所規(guī)范的各項操作規(guī)程以及有關(guān)計算機管理制度,嚴格按照計算機操作使用規(guī)程進行操作。
㈢各工作站配置的計算機、打印機等設(shè)備須指定專人使用、保管和維護,轉(zhuǎn)交他人保管時需嚴格辦理交接手續(xù)。使用人必須保持各種網(wǎng)絡(luò)設(shè)備、設(shè)施整潔干凈,并認真做好網(wǎng)絡(luò)設(shè)備的日清月檢,使網(wǎng)絡(luò)設(shè)備始終處于良好的工作狀態(tài)。
㈣加強設(shè)備定位定人管理,未經(jīng)信息網(wǎng)絡(luò)科允許,不得隨意挪動、拆卸和外借所有網(wǎng)絡(luò)設(shè)備、設(shè)施。
不得擅自裝載、卸載和變更計算機網(wǎng)絡(luò)設(shè)置。
各工作站周圍嚴禁存放易燃、易爆、易腐蝕及強磁性物品,做好放火、防盜措施。
各工作站使用科室必須按程序報審本科室的操作人員名單,如操作人員有變動應(yīng)及時上網(wǎng)調(diào)整,或上報信息網(wǎng)絡(luò)科予以變更。
操作人員應(yīng)嚴格保密個人密碼,嚴禁泄漏、外借密碼;個人秘密必須在第一次使用時進行修改,經(jīng)信息科檢查發(fā)現(xiàn)超過三個月未修改的,將暫時取消相應(yīng)的操作權(quán)限,操作人員憑個人身份證明到信息科修改后方可繼續(xù)使用。
嚴禁無關(guān)人員上機操作或進行其他影響系統(tǒng)正常運行的工作。
嚴格交接班制度,工作中遇到問題要及時報告。
(十一)使用時如發(fā)現(xiàn)運行故障,要及時上報信息網(wǎng)絡(luò)科。
第四章 罰則
第十五條 任何科室或個人利用網(wǎng)絡(luò)從事危害國家安全的活動,違反刑法的,依法交相關(guān)國家機關(guān),依照有關(guān)法律法規(guī)予以處罰。
第十六條 違反本規(guī)定,有以下行為之一的,由計算機工程技術(shù)人員以口頭或書面形式進行警告:
㈠違反信息網(wǎng)絡(luò)系統(tǒng)安全保護制度,危害網(wǎng)絡(luò)系統(tǒng)安全的;
㈡接到計算機工程技術(shù)人員要求改進安全狀況的通知后,拒不改進的;
擅自安裝、拆卸軟、硬件設(shè)備的;
㈣擅自更改網(wǎng)絡(luò)設(shè)置的;
㈤發(fā)現(xiàn)信息網(wǎng)絡(luò)系統(tǒng)出現(xiàn)問題不立即報告的;
㈥有危害信息網(wǎng)絡(luò)系統(tǒng)安全的其他行為。
第十七條 違反本規(guī)定,有下列行為之一的,全院通報批評并處予扣發(fā)酬金100-500元:
㈠在工作站進行與醫(yī)院信息網(wǎng)絡(luò)系統(tǒng)無關(guān)操作而造成危害的;
㈡私自拆卸、更改網(wǎng)絡(luò)設(shè)備而造成危害的;
㈢向他人泄露帳號密碼而造成不良后果的。
第十八條 利用終端設(shè)備進行與信息系統(tǒng)無關(guān)的操作,導(dǎo)致病毒侵襲而造成下列損害之一的,全院通報批評并處以以下經(jīng)濟處罰:
㈠造成設(shè)備損害的,原價賠償;
㈡造成工作站系統(tǒng)破壞的,扣發(fā)酬金1-3個月,并賠償全部修復(fù)費用;
㈢造成網(wǎng)絡(luò)部分或全部癱瘓的,處予嚴厲的行政處分,造成的經(jīng)濟損失由個人承擔(dān)40%,科室承擔(dān)60%。
第十九條 因以下行為對醫(yī)院信息系統(tǒng)的運行造成下列后果之一的,由醫(yī)院給予以下處罰:
㈠下發(fā)的計算機、打印機等設(shè)備由所屬科室負責(zé)管理,對由于責(zé)任心不強而造成計算機、打印機被盜或損壞者,原價賠償。
㈡由于操作者違章操作,造成計算機軟、硬件故障,而影響醫(yī)院信息網(wǎng)絡(luò)系統(tǒng)的正常運行者,扣發(fā)酬金1-3個月,情節(jié)特別嚴重的追究科室負責(zé)人的領(lǐng)導(dǎo)責(zé)任。
㈢對因違章操作造成系統(tǒng)數(shù)據(jù)丟失、核算錯誤,給醫(yī)院造成重大經(jīng)濟損失的,個人承擔(dān)損失費用的40%,科室承擔(dān)60%。
㈣私自添加、刪除計算機保存內(nèi)容;私自更改計算機的各種文件配置;私自更改本信息網(wǎng)絡(luò)系統(tǒng)應(yīng)用程序以及參數(shù)設(shè)置,未造成重大技術(shù)事故和經(jīng)濟損失者,扣發(fā)酬金1-3個月。造成重大技術(shù)事故和經(jīng)濟損失者,造成的經(jīng)濟損失由個人承擔(dān)40%,科室承擔(dān)60%。
第二十條 在網(wǎng)絡(luò)系統(tǒng)設(shè)備、設(shè)施附近作業(yè)而危害網(wǎng)絡(luò)系統(tǒng)安全,影響網(wǎng)絡(luò)正常運行造成經(jīng)濟損失的,由作業(yè)科室賠償;造成醫(yī)院財產(chǎn)嚴重損失的,追究其民事責(zé)任。
第二十一條 對于其它違反本規(guī)定的行為,由醫(yī)院信息網(wǎng)絡(luò)管理領(lǐng)導(dǎo)小組按有關(guān)管理辦法進行處罰。
第五章 附則
第二十二條 本規(guī)定由信息網(wǎng)絡(luò)科負責(zé)解釋。
第12篇 涉密計算機及信息系統(tǒng)安全和保密管理辦法
第一條 為加強公司涉密計算機及涉密計算機信息系統(tǒng)的安全保密管理，根據(jù)國家有關(guān)保密法規(guī)和鐵道部的有關(guān)規(guī)定，結(jié)合哈佳鐵路客運專線有限責(zé)任公司（以下簡稱“公司”）實際，制定本辦法。
第二條 本辦法所稱的涉密計算機，是指專門用于處理或存儲國家秘密信息、收發(fā)文電、連接互聯(lián)網(wǎng)的臺式計算機；涉密計算機信息系統(tǒng)，是指專門用于處理國家秘密信息的計算機信息系統(tǒng)。
第三條 為確保國家秘密、公司工程項目相關(guān)技術(shù)資料的安全，公司各部門或個人不得使用便攜式計算機處理國家秘密信息。
第四條 公司設(shè)保密領(lǐng)導(dǎo)小組，具體負責(zé)公司內(nèi)部的涉密計算機及信息系統(tǒng)的安全保密管理工作，日常保密管理、監(jiān)督職責(zé)如下：
（一）審查、選定專人分別作為涉密計算機信息及信息系統(tǒng)的系統(tǒng)管理員、安全保密管理員和密鑰口令管理員，要求職責(zé)清晰，分工明確。
（二）定期對涉密計算機、涉密計算機信息系統(tǒng)以及涉密移動存儲介質(zhì)的使用、保管情況進行安全保密檢查，及時消除隱患。
（三）加強對有關(guān)人員的安全保密教育，建立健全保密規(guī)章制度，完善各項保密防范措施。
第五條? 涉密計算機日常管理人員是涉密計算機安全保密的責(zé)任人，其日常保密管理監(jiān)督職責(zé)如下：
（一）對計算機及軟件安裝情況進行登記備案，定期核查。
（二）設(shè)置開機口令，長度在8個字符以上，并定期更換，防止他人盜用和破譯。
（三）不得安裝、運行、使用與工作無關(guān)的軟件。
（四）應(yīng)在涉密計算機的顯著位置進行標識，不得讓其他無關(guān)人員使用涉密計算機。
（五）未安裝隔離卡的涉密計算機單機，管理人員應(yīng)拆除網(wǎng)卡，嚴禁涉密計算機上網(wǎng)；已安裝隔離卡的涉密計算機應(yīng)嚴格按照正確方法使用，嚴禁他人在外網(wǎng)上處理（即打開、查看、拷貝、傳遞涉密文件）和存儲任何涉密信息；嚴禁他人在外網(wǎng)上使用涉密移動存儲介質(zhì)。
（六）定期做好涉密計算機的病毒查殺、防治和系統(tǒng)升級工作，及時進行數(shù)據(jù)備份，防止涉密信息的意外丟失。
第六條 涉密計算機信息系統(tǒng)的管理人員由系統(tǒng)管理員、安全保密管理員和密鑰口令管理員組成，具體職責(zé)如下：
（一）系統(tǒng)管理員負責(zé)涉密計算機信息系統(tǒng)的登錄權(quán)限分配、訪問控制和日常維護及修理，保證系統(tǒng)和單機的正常運行。定期開展涉密計算機信息系統(tǒng)重要數(shù)據(jù)的備份工作，防止因系統(tǒng)的損壞或意外造成的數(shù)據(jù)丟失。
（二）安全保密管理員負責(zé)涉密計算機信息系統(tǒng)的病毒防治、安全審計等工作，并負責(zé)對系統(tǒng)的運行進行安全保密監(jiān)視。
（三）密鑰口令管理員負責(zé)定期更換并管理系統(tǒng)登錄口令、開機密碼及部分重要程序和文件的密鑰，保證口令和密鑰的安全。對集中產(chǎn)生的涉密計算機信息系統(tǒng)口令，應(yīng)定期分發(fā)并更改，不得由用戶自行產(chǎn)生。處理秘密級信息的系統(tǒng)，口令長度不得少于8個字符，口令更換周期不得超過一個月；處理機密級信息的系統(tǒng)，口令長度不得少于10個字符，口令更改周期不得超過一周?？诹畋仨毤用艽鎯Γ诹钤诰W(wǎng)絡(luò)中必須加密傳輸，口令的存放載體必須保證物理安全。
第七條 涉密計算機信息系統(tǒng)實行“同步建設(shè)、嚴格審批、注重防范、規(guī)范管理”的保密管理原則。
第八條 涉密計算機及信息系統(tǒng)所在的場所，必須采取必要的安全防護措施，安裝防盜門窗和報警器，并指定專人進行日常管理，嚴禁無關(guān)人員進入該場所。
第九條 涉密計算機及信息系統(tǒng)不得直接或間接與國際互聯(lián)網(wǎng)連接，必須實行嚴格的物理隔離，并采取相應(yīng)的防電磁信息泄漏的保密措施。
第十條 涉密計算機按所存儲和處理的涉密信息的最高密級進行標識；對涉密計算機信息系統(tǒng)的服務(wù)器，應(yīng)按本系統(tǒng)所存儲和處理的涉密信息的最高級別進行標識。
第十一條 涉密計算機中的涉密信息應(yīng)有相應(yīng)的密級標識，密級標識不能與正文分離。對圖形、程序等首頁無法標注的，應(yīng)標注在文件名后。打印輸出的涉密文件、資料，應(yīng)按相應(yīng)的密級文件進行管理。
第十二條 涉密計算機的維修或銷毀一般應(yīng)由公司人員在本公司內(nèi)部進行，并應(yīng)確保秘密信息在維修、銷毀過程中不被泄露。公司不具備自行維修、銷毀條件的，應(yīng)報公司主管領(lǐng)導(dǎo)批準，委托保密部門認定的定點單位進行維修或銷毀。銷毀涉密存儲介質(zhì)，應(yīng)采用物理或化學(xué)的方法徹底銷毀。
第十三條 對于違反本辦法的有關(guān)人員，應(yīng)給予批評教育，責(zé)令其限期整改；造成泄密的，公司將根據(jù)有關(guān)保密法規(guī)進行查處，追究有關(guān)人員泄密責(zé)任。
第十四條 本辦法由公司保密委員會負責(zé)解釋。
第十五條? 本辦法自發(fā)布之日起執(zhí)行。
第13篇 數(shù)字化礦山安全信息管理系統(tǒng)
數(shù)字化礦山安全監(jiān)控系統(tǒng)為集團公司領(lǐng)導(dǎo)及安全管理部門提供了高效、穩(wěn)定、快捷的瓦斯實時監(jiān)測數(shù)據(jù)，公司領(lǐng)導(dǎo)在辦公室、會議室可以隨時查詢各礦井瓦斯、通風(fēng)、井下風(fēng)速、風(fēng)量的實時數(shù)據(jù)，各相關(guān)領(lǐng)導(dǎo)隨時根據(jù)所掌握的情況，制定可行的安全生產(chǎn)對策，系統(tǒng)同時還可以查詢礦井瓦斯綜合報表、瓦斯變化分析曲線、井下傳感器動態(tài)示意圖、礦山地質(zhì)圖形、地質(zhì)儲量三維立體圖形查、井下巷道公布圖，并實現(xiàn)了風(fēng)機視頻監(jiān)控等各項功能，做到了礦井安全監(jiān)控縱向到底、橫向到邊、信息準確、反應(yīng)靈敏。七煤集團數(shù)字化礦山安全監(jiān)測系統(tǒng)，公開了井下瓦斯變化的全過程，為安全生產(chǎn)的科學(xué)決策，提供了信息支持，實現(xiàn)了礦井瓦斯重點排查跟蹤、重大安全隱患排查跟蹤，系統(tǒng)功能包括：
1、數(shù)字化礦山瓦斯監(jiān)測監(jiān)控管理信息系統(tǒng)
2、礦井風(fēng)機監(jiān)控管理信息系統(tǒng)
3、井下巷道風(fēng)流、風(fēng)速、風(fēng)量實時監(jiān)測管理系統(tǒng)
4、gis網(wǎng)絡(luò)數(shù)字煤礦安監(jiān)管信息系統(tǒng)、
5、gis網(wǎng)站煤炭安全隱患排查信息系統(tǒng)、
6、礦山地質(zhì)圖形管理信息系統(tǒng)
系統(tǒng)地提供了完備的安全監(jiān)測與信息管理，建立了煤礦信息基本數(shù)據(jù)庫，對通風(fēng)系統(tǒng)圖、采掘工程平面圖、井下運輸系統(tǒng)圖等實現(xiàn)了動態(tài)網(wǎng)絡(luò)監(jiān)測，實現(xiàn)了礦井通風(fēng)安全多級監(jiān)管、統(tǒng)一監(jiān)測的目的，使集團公司安全管理更加科學(xué)化、規(guī)范化、系統(tǒng)化。
數(shù)字化礦山安全監(jiān)控系統(tǒng)為集團公司領(lǐng)導(dǎo)及安全管理部門提供了高效、穩(wěn)定、快捷的礦井環(huán)境實時監(jiān)測數(shù)據(jù)，公司各級領(lǐng)導(dǎo)及管理人員可隨時查詢各礦井瓦斯、溫度、一氧、負壓、粉塵、井下風(fēng)速、風(fēng)量的實時數(shù)據(jù)信息，根據(jù)所掌握的情況，制定可行的安全生產(chǎn)指揮策略，系統(tǒng)支持礦井瓦斯變化分析曲線、井下傳感器動態(tài)示意圖、礦山地質(zhì)圖形、地質(zhì)儲量三維立體圖形查詢、礦井圖，做到了礦井環(huán)境安全監(jiān)控縱向到底、橫向到邊、信息準確，為礦井安全生產(chǎn)提供了保障。
第14篇 信息系統(tǒng)密碼安全管理辦法
1.1制定目的
(1) 規(guī)范公司信息系統(tǒng)密碼管理。
(2) 確保網(wǎng)絡(luò)安全運行,保護信息系統(tǒng)、服務(wù)器不受侵害。
1.2適用范圍
凡隸屬本公司信息系統(tǒng)用戶,悉依照本辦法所規(guī)范之體制管理。
1.3權(quán)責(zé)單位
(1) 信息科負責(zé)本辦法制定、修改、廢止之起草工作。
(2) 總經(jīng)理負責(zé)本辦法、修改、廢止之核準。
2 信息系統(tǒng)密碼安全管理辦法
(1) 服務(wù)器、應(yīng)用系統(tǒng)賬號和密碼要專人專管不得轉(zhuǎn)借他人使用。為了避免賬號被盜,密碼不定期更換,建議密碼長度不少于6位,建議數(shù)字與密碼組合使用。
(2) 如果用戶密碼忘記,需用戶本人親自申請恢復(fù)密碼。
(3) 擁有新賬戶的員工,需盡快修改初始密碼,防止賬號被盜用。
(4) 服務(wù)器和服務(wù)器數(shù)據(jù)庫超級用戶必須設(shè)置密碼,系統(tǒng)管理員嚴格保管數(shù)據(jù)庫和服務(wù)器的登錄密碼。
(5) 服務(wù)器和數(shù)據(jù)庫的超級用戶密碼設(shè)置位數(shù)必須大于10位。除數(shù)據(jù)庫的超級用戶密碼和服務(wù)器密碼不定期更換,其他密碼由信息中心工程師定期更換,操作時間為每月1號,并在信息總監(jiān)處以電子形式留有備份,提交備份時間為每月1號。 密碼類型 密碼長度 更換時間 服務(wù)器超級用戶密碼 大于10位 兩個月更換一次 數(shù)據(jù)庫超級用戶密碼 大于10位 設(shè)置好后不做更換 系統(tǒng)管理員密碼 大于6位 一個月更換一次 ftp及防火墻等管理員密碼 大于6位 一個月更換一次
(6) 機房工作人員應(yīng)嚴格執(zhí)行密碼管理規(guī)定,對操作密碼定期更改,任何密碼不得外泄,如有因密碼外泄而造成各種損失的,由當(dāng)事人負全部責(zé)任。
2022-2-1
第15篇 數(shù)據(jù)中心信息安全管理及管控要求
隨著在世界范圍內(nèi),信息化水平的不斷發(fā)展,數(shù)據(jù)中心的信息安全逐漸成為人們關(guān)注的焦點,世界范圍內(nèi)的各個機構(gòu)、組織、個人都在探尋如何保障信息安全的問題。英國、美國、挪威、瑞典、芬蘭、澳大利亞等國均制定了有關(guān)信息安全的本國標準,國際標準化組織(iso)也發(fā)布了iso17799、iso13335、iso15408等與信息安全相關(guān)的國際標準及技術(shù)報告。目前,在信息安全管理方面,英國標準iso27000:2005已經(jīng)成為世界上應(yīng)用最廣泛與典型的信息安全管理標準,它是在bsi/disc的bdd/2信息安全管理委員會指導(dǎo)下制定完成。
iso27001標準于1993年由英國貿(mào)易工業(yè)部立項,于1995年英國首次出版bs 7799-1:1995《信息安全管理實施細則》,它提供了一套綜合的、由信息安全最佳慣例組成的實施規(guī)則,其目的是作為確定工商業(yè)信息系統(tǒng)在大多數(shù)情況所需控制范圍的唯一參考基準,并且適用于大、中、小組織。1998年英國公布標準的第二部分《信息安全管理體系規(guī)范》,它規(guī)定信息安全管理體系要求與信息安全控制要求,它是一個組織的全面或部分信息安全管理體系評估的基礎(chǔ),它可以作為一個正式認證方案的根據(jù)。iso27000-1與iso27000-2經(jīng)過修訂于1999年重新予以發(fā)布,1999版考慮了信息處理技術(shù),尤其是在網(wǎng)絡(luò)和通信領(lǐng)域應(yīng)用的近期發(fā)展,同時還非常強調(diào)了商務(wù)涉及的信息安全及信息安全的責(zé)任。2000年12月,iso27000-1:1999《信息安全管理實施細則》通過了國際標準化組織iso的認可,正式成為國際標準iso/iec17799-1:2000《信息技術(shù)-信息安全管理實施細則》。2002年9月5日,iso27000-2:2002草案經(jīng)過廣泛的討論之后,終于發(fā)布成為正式標準,同時iso27000-2:1999被廢止?，F(xiàn)在,iso27000:2005標準已得到了很多國家的認可,是國際上具有代表性的信息安全管理體系標準。許多國家的政府機構(gòu)、銀行、證券、保險公司、電信運營商、網(wǎng)絡(luò)公司及許多跨國公司已采用了此標準對信息安全進行系統(tǒng)的管理,數(shù)據(jù)中心(idc)應(yīng)逐步建立并完善標準化的信息安全管理體系。
一、 數(shù)據(jù)中心信息安全管理總體要求
1、信息安全管理架構(gòu)與人員能力要求
1.1信息安全管理架構(gòu)
idc在當(dāng)前管理組織架構(gòu)基礎(chǔ)上,建立信息安全管理委員會,涵蓋信息安全管理、應(yīng)急響應(yīng)、審計、技術(shù)實施等不同職責(zé),并保證職責(zé)清晰與分離,并形成文件。
1.2人員能力
具備標準化 信息安全管理體系內(nèi)部審核員、cisp(certified information security professional,國家注冊信息安全專家)等相關(guān)資質(zhì)人員。5星級idc至少應(yīng)具備一名合格的標準化信息安全管理內(nèi)部審核員、一名標準化 主任審核員。4星級idc至少應(yīng)至少具備一名合格的標準化信息安全管理內(nèi)部審核員
2、信息安全管理體系文件要求,根據(jù)idc業(yè)務(wù)目標與當(dāng)前實際情況,建立完善而分層次的idc信息安全管理體系及相應(yīng)的文檔,包含但不限于如下方面:
2.1信息安全管理體系方針文件
包括idc信息安全管理體系的范圍,信息安全的目標框架、信息安全工作的總方向和原則,并考慮idc業(yè)務(wù)需求、國家法律法規(guī)的要求、客戶以及合同要求。
2.2風(fēng)險評估
內(nèi)容包括如下流程:識別idc業(yè)務(wù)范圍內(nèi)的信息資產(chǎn)及其責(zé)任人;識別資產(chǎn)所面臨的威脅;識別可能被威脅利用的脆弱點;識別資產(chǎn)保密性、完整性和可用性的喪失對idc業(yè)務(wù)造成的影響;評估由主要威脅和脆弱點導(dǎo)致的idc業(yè)務(wù)安全破壞的現(xiàn)實可能性、對資產(chǎn)的影響和當(dāng)前所實施的控制措施;對風(fēng)險進行評級。
2.3風(fēng)險處理
內(nèi)容包括:與idc管理層確定接受風(fēng)險的準則,確定可接受的風(fēng)險級別等;建立可續(xù)的風(fēng)險處理策略:采用適當(dāng)?shù)目刂拼胧?、接受風(fēng)險、避免風(fēng)險或轉(zhuǎn)移風(fēng)險;控制目標和控制措施的選擇和實施,需滿足風(fēng)險評估和風(fēng)險處理過程中所識別的安全要求,并在滿足法律法規(guī)、客戶和合同要求的基礎(chǔ)上達到最佳成本效益。
2.4文件與記錄控制
明確文件制定、發(fā)布、批準、評審、更新的流程;確保文件的更改和現(xiàn)行修訂狀態(tài)的標識、版本控制、識別、訪問控制有完善的流程;并對文件資料的傳輸、貯存和最終銷毀明確做出規(guī)范。
記錄控制內(nèi)容包括:保留信息安全管理體系運行過程執(zhí)行的記錄和所有發(fā)生的與信息安全有關(guān)的重大安全事件的記錄;記錄的標識、貯存、保護、檢索、保存期限和處置所需的控制措施應(yīng)形成文件并實施。
2.5內(nèi)部審核
idc按照計劃的時間間隔進行內(nèi)部isms審核,以確定idc的信息安全管理的控制目標、控制措施、過程和程序符標準化標準和相關(guān)法律法規(guī)的要求并得到有效地實施和保持。五星級idc應(yīng)至少每年1次對信息安全管理進行內(nèi)部審核。四星級idc應(yīng)至少每年1次對信息安全管理進行內(nèi)部審核。
2.6糾正與預(yù)防措施
idc建立流程,以消除與信息安全管理要求不符合的原因及潛在原因,以防止其發(fā)生,并形成文件的糾正措施與預(yù)防措施程序無
2.7控制措施有效性的測量
定義如何測量所選控制措施的有效性;規(guī)定如何使用這些測量措施,對控制措施的有效性進行測量(或評估)。
2.8管理評審
idc管理層按計劃的時間間隔評審內(nèi)部信息安全管理體系,以確保其持續(xù)的適宜性、充分性和有效性,最終符合idc業(yè)務(wù)要求。
五星級idc管理層應(yīng)至少每年1次對idc的信息安全管理體系進行評審四星級idc管理層應(yīng)至少每年1次對idc的信息安全管理體系進行評審。
2.9適用性聲明
適用性聲明必須至少包括以下3項內(nèi)容: idc所選擇的控制目標和控制措施,及其選擇的理由;當(dāng)前idc實施的控制目標和控制措施;標準化附錄a中任何控制目標和控制措施的刪減,以及刪減的正當(dāng)性理由。
2.10業(yè)務(wù)連續(xù)性
過業(yè)務(wù)影響分析,確定idc業(yè)務(wù)中哪些是關(guān)鍵的業(yè)務(wù)進程,分出緊急先后次序; 確定可以導(dǎo)致業(yè)務(wù)中斷的主要災(zāi)難和安全失效、確定它們的影響程度和恢復(fù)時間; 進行業(yè)務(wù)影響分析,確定恢復(fù)業(yè)務(wù)所需要的資源和成本,決定對哪些項目制作業(yè)務(wù)連續(xù)性計劃(bcp)/災(zāi)難恢復(fù)計劃(drp)。
2.11其它相關(guān)程序
另外,還應(yīng)建立包括物理與環(huán)境安全、信息設(shè)備管理、新設(shè)施管理、業(yè)務(wù)連續(xù)性管理、災(zāi)難恢復(fù)、人員管理、第三方和外包管理、信息資產(chǎn)管理、工作環(huán)境安全管理、介質(zhì)處理與安全、系統(tǒng)開發(fā)與維護、法律符合性管理、文件及材料控制、安全事件處理等相關(guān)流程與制度。
二、信息安全管控要求
1、安全方針
信息安全方針文件與評審建立idc信息安全方針文件需得到管理層批準、發(fā)布并傳達給所有員工和外部相關(guān)方。
至少每年一次或當(dāng)重大變化發(fā)生時進行信息安全方針評審。
2、信息安全組織
2.1 內(nèi)部組織
2.1.1信息安全協(xié)調(diào)、職責(zé)與授權(quán)
信息安全管理委員會包含idc相關(guān)的不同部門的代表;所有的信息安全職責(zé)有明確成文的規(guī)定;對新信息處理設(shè)施,要有管理授權(quán)過程。
2.1.2保密協(xié)議
idc所有員工須簽署保密協(xié)議,保密內(nèi)容涵蓋idc內(nèi)部敏感信息;保密協(xié)議條款每年至少評審一次。
2.1.3權(quán)威部門與利益相關(guān)團體的聯(lián)系
與相關(guān)權(quán)威部門(包括,公安部門、消防部門和監(jiān)管部門)建立溝通管道;與安全專家組、專業(yè)協(xié)會等相關(guān)團體進行溝通。
2.1.4獨立評審
參考“信息安全管理體系要求”第5和第8條關(guān)于管理評審、內(nèi)部審核的要求,進行獨立的評審。
審核員不能審核評審自己的工作;評審結(jié)果交管理層審閱。
2.2 外方管理
2.2.1外部第三方的相關(guān)風(fēng)險的識別
將外部第三方(設(shè)備維護商、服務(wù)商、顧問、外包方臨時人員、實習(xí)學(xué)生等)對idc信息處理設(shè)施或信息納入風(fēng)險評估過程,考慮內(nèi)容應(yīng)包括:需要訪問的信息處理設(shè)施、訪問類型(物理、邏輯、網(wǎng)絡(luò))、涉及信息的價值和敏感性,及對業(yè)務(wù)運行的關(guān)鍵程度、訪問控制等相關(guān)因素。
建立外部第三方信息安全管理相關(guān)管理制度與流程。
2.2.2客戶有關(guān)的安全問題
針對客戶信息資產(chǎn)的保護,根據(jù)合同以及相關(guān)法律、法規(guī)要求,進行恰當(dāng)?shù)谋Ｗo。
2.2.3處理第三方協(xié)議中的安全問題
涉及訪問、處理、交流(或管理)idc及idc客戶的信息或信息處理設(shè)施的第三方協(xié)議,需涵蓋所有相關(guān)的安全要求。
3、信息資產(chǎn)管理
3.1 資產(chǎn)管理職責(zé)
3.1.1資產(chǎn)清單與責(zé)任人
idc對所有信息資產(chǎn)度進行識別,將所有重要資產(chǎn)都進行登記、建立清單文件并加以維護。
idc中所有信息和信息處理設(shè)施相關(guān)重要資產(chǎn)需指定責(zé)任人。
3.1.2資產(chǎn)使用
指定信息與信息處理設(shè)施使用相關(guān)規(guī)則,形成了文件并加以實施。
3.2 信息資產(chǎn)分類
3.2.1資產(chǎn)分類管理
根據(jù)信息資產(chǎn)對idc業(yè)務(wù)的價值、法律要求、敏感性和關(guān)鍵性進行分類,建立一個信息分類指南。
信息分類指南應(yīng)涵蓋外來的信息資產(chǎn),尤其是來自客戶的信息資產(chǎn)。
3.2.2信息的標記和處理
按照idc所采納的分類指南建立和實施一組合適的信息標記和處理程序。
4、人力資源安全
這里的人員包括idc雇員、承包方人員和第三方等相關(guān)人員。
4.1信息安全角色與職責(zé)
人員職責(zé)說明體現(xiàn)信息安全相關(guān)角色和要求。
4.2背景調(diào)查
人員任職前根據(jù)職責(zé)要求和崗位對信息安全的要求,采取必要的背景驗證。
4.3雇用的條款和條件
人員雇傭后,應(yīng)簽署必要的合同,明確雇傭的條件和條款,并包含信息安全相關(guān)要求。
4.4信息安全意識、教育和培訓(xùn)
入職新員工培訓(xùn)應(yīng)包含idc信息安全相關(guān)內(nèi)容。
至少每年一次對人員進行信息安全意識培訓(xùn)。
4.5安全違紀處理
針對安全違規(guī)的人員,建立正式的紀律處理程序。
4.6雇傭的終止與變更
idc應(yīng)清晰規(guī)定和分配雇用終止或雇用變更的職責(zé);雇傭協(xié)議終止于變更時,及時收回相關(guān)信息資產(chǎn),并調(diào)整或撤銷相關(guān)訪問控制權(quán)限。
5、物理與環(huán)境安全
5.1 安全區(qū)域
5.1.1邊界安全與出入口控制
根據(jù)邊界內(nèi)資產(chǎn)的安全要求和風(fēng)險評估的結(jié)果對idc物理區(qū)域進行分區(qū)、分級管理,不同區(qū)域邊界與出入口需建立卡控制的入口或有人管理的接待臺。
入侵檢測與報警系統(tǒng)覆蓋所有門窗和出入口,并定期檢測入侵檢測系統(tǒng)的有效性。
機房大樓應(yīng)有7×24小時的專業(yè)保安人員,出入大樓需登記或持有通行卡。
機房安全出口不少于兩個,且要保持暢通,不可放置雜物。
5星級idc:出入記錄至少保存6個月,視頻監(jiān)控至少保存1個月。
4星級idc:出入記錄至少保存6個月,視頻監(jiān)控至少保存1個月。
5.1.2 idc機房環(huán)境安全
記錄訪問者進入和離開idc的日期和時間,所有的訪問者要需要經(jīng)過授權(quán)。
建立訪客控制程序,對服務(wù)商等外部人員實現(xiàn)有效管控。
所有員工、服務(wù)商人員和第三方人員以及所有訪問者進入idc要佩帶某種形式的可視標識,已實現(xiàn)明顯的區(qū)分。外部人員進入idc后,需全程監(jiān)控。
5.1.3防范外部威脅和環(huán)境威脅
idc對火災(zāi)、洪水、地震、爆炸、社會動蕩和其他形式的自然或人為災(zāi)難引起的破壞建立足夠的防范控制措施;危險或易燃材料應(yīng)在遠離idc存放;備份設(shè)備和備份介質(zhì)的存放地點應(yīng)與idc超過10公里的距離。
機房內(nèi)應(yīng)嚴格執(zhí)行消防安全規(guī)定,所有門窗、地板、窗簾、飾物、桌椅、柜子等材料、設(shè)施都應(yīng)采用防火材料。
5.1.4公共訪問區(qū)和交接區(qū)
為了避免未授權(quán)訪問,訪問點(如交接區(qū)和未授權(quán)人員可以進入的其它地點)需進行適當(dāng)?shù)陌踩刂?設(shè)備貨物交接區(qū)要與信息處理設(shè)施隔開。
5.2 設(shè)備安全
5.2.1設(shè)備安全
設(shè)備盡量安置在可減少未授權(quán)訪問的適當(dāng)?shù)攸c;對于處理敏感數(shù)據(jù)的信息處理設(shè)施,盡量安置在可限制觀測的位置;對于需要特殊保護的設(shè)備,要進行適當(dāng)隔離;對信息處理設(shè)施的運行有負面影響的環(huán)境條件(包括溫度和濕度),要進行實時進行監(jiān)視。
5.2.2支持性設(shè)備安全
支持性設(shè)施(例如電、供水、排污、加熱/通風(fēng)和空調(diào)等)應(yīng)定期檢查并適當(dāng)?shù)臏y試以確保他們的功能,減少由于他們的故障或失效帶來的風(fēng)險。
實現(xiàn)多路供電,以避免供電的單一故障點。
5.2.3線纜安全
應(yīng)保證傳輸數(shù)據(jù)或支持信息服務(wù)的電源布纜和通信布纜免受竊聽或損壞。
電源電纜要與通信電纜分開;各種線纜能通過標識加以區(qū)分,并對線纜的訪問加以必要的訪問控制。
線纜標簽必須采用防水標簽紙和標簽打印機進行正反面打印(或者打印兩張進行粘貼),標簽長度應(yīng)保證至少能夠纏繞電纜一圈或一圈半,打印字符必須清晰可見,打印內(nèi)容應(yīng)簡潔明了,容易理解。標簽的標示必須清晰、簡潔、準確、統(tǒng)一,標簽打印應(yīng)當(dāng)前后和上下排對齊。
5.2.4設(shè)備維護
設(shè)備需按照供應(yīng)商推薦的服務(wù)時間間隔和說明書,進行正確維護;設(shè)備維護由已授權(quán)人員執(zhí)行,并保存維護記錄1年。
5.2.5組織場所外的設(shè)備安全
應(yīng)對組織場所的設(shè)備采取安全措施,要考慮工作在組織場所以外的不同風(fēng)險。
5.2.6設(shè)備的安全處置或再利用
包含儲存介質(zhì)的設(shè)備的所有項目應(yīng)進行檢查,以確保在銷毀之前,任何敏感信息和注冊軟件已被刪除或安全重寫。
5.2.7資產(chǎn)的移動
設(shè)備、信息或軟件在授權(quán)之前不應(yīng)帶出組織場所,設(shè)置設(shè)備移動的時間限制,并在返還時執(zhí)行符合性檢查;對設(shè)備做出移出記錄,當(dāng)返回時,要做出送回記錄。
6、通信和操作管理
6.1 運行程序和職責(zé)
6.1.1運行操作程序文件化
運行操作程序文件化并加以保持,并方便相關(guān)使用人員的訪問。
6.1.2變更管理
對信息處理設(shè)施和系統(tǒng)的變更是否受控,并考慮:重大變更的標識和記錄;變更的策劃和測試;對這種變更的潛在影響的評估,包括安全影響;對建議變更的正式批準程序;向所有有關(guān)人員傳達變更細節(jié);返回程序,包括從不成功變更和未預(yù)料事態(tài)中退出和恢復(fù)的程序與職責(zé)。
6.1.3職責(zé)分離
各類責(zé)任及職責(zé)范圍應(yīng)加以分割,以降低未授權(quán)或無意識的修改或者不當(dāng)使用組織資產(chǎn)的機會。
6.1.4開發(fā)設(shè)施、測試設(shè)施和運行設(shè)施的分離
開發(fā)、測試和運行設(shè)施應(yīng)分離,以減少未授權(quán)訪問或改變運行系統(tǒng)的風(fēng)險。
6.2 第三方服務(wù)交付管理
6.2.1服務(wù)交付
應(yīng)確保第三方實施、運行和保持包含在第三方服務(wù)交付協(xié)議中的安全控制措施、服務(wù)定義和交付水準。
idc應(yīng)確保第三方保持足夠的服務(wù)能力和可使用的計劃以確保商定的服務(wù)在大的服務(wù)故障或災(zāi)難后繼續(xù)得以保持。
6.2.2第三方服務(wù)的監(jiān)視和評審
應(yīng)定期監(jiān)視和評審由第三方提供的服務(wù)、報告和記錄,審核也應(yīng)定期執(zhí)行,并留下記錄。
6.2.3第三方服務(wù)的變更管理
應(yīng)管理服務(wù)提供的變更,包括保持和改進現(xiàn)有的信息安全方針策略、程序和控制措施,要考慮業(yè)務(wù)系統(tǒng)和涉及過程的關(guān)鍵程度及風(fēng)險的再評估
6.3系統(tǒng)規(guī)劃和驗收
6.3.1容量管理
idc各系統(tǒng)資源的使用應(yīng)加以監(jiān)視、調(diào)整,并做出對于未來容量要求的預(yù)測,以確保擁有所需的系統(tǒng)性能。
系統(tǒng)硬件系統(tǒng)環(huán)境的功能、性能和容量要滿足idc業(yè)務(wù)處理的和存貯設(shè)備的平均使用率宜控制在75%以內(nèi)。
網(wǎng)絡(luò)設(shè)備的處理器和內(nèi)存的平均使用率應(yīng)控制在75%以內(nèi)。
6.3.2系統(tǒng)驗收
建立對新信息系統(tǒng)、升級及新版本的驗收準則,并且在開發(fā)中和驗收前對系統(tǒng)進行適當(dāng)?shù)臏y試。
6.4防范惡意代碼和移動代碼
6.4.1對惡意代碼的控制措施
實施惡意代碼的監(jiān)測、預(yù)防和恢復(fù)的控制措施,以及適當(dāng)?shù)奶岣哂脩舭踩庾R的程序
6.4.2對移動代碼的控制措施
當(dāng)授權(quán)使用移動代碼時,其配置確保授權(quán)的移動代碼按照清晰定義的安全策略運行,應(yīng)阻止執(zhí)行未授權(quán)的移動代碼。
6.5 備份
6.5.1備份
應(yīng)按照客戶的要求以及已設(shè)的備份策略,定期備份和測試信息和軟件。各個系統(tǒng)的備份安排應(yīng)定期測試以確保他們滿足業(yè)務(wù)連續(xù)性計劃的要求。對于重要的系統(tǒng),備份安排應(yīng)包括在發(fā)生災(zāi)難時恢復(fù)整個系統(tǒng)所必需的所有系統(tǒng)信息、應(yīng)用和數(shù)據(jù)。
應(yīng)確定最重要業(yè)務(wù)信息的保存周期以及對要永久保存的檔案拷貝的任何要求。
6.6 網(wǎng)絡(luò)安全管理
6.6.1網(wǎng)絡(luò)控制
為了防止使用網(wǎng)絡(luò)時發(fā)生的威脅和維護系統(tǒng)與應(yīng)用程序的安全,網(wǎng)絡(luò)要充分受控;網(wǎng)絡(luò)的運行職責(zé)與計算機系統(tǒng)的運行職責(zé)實現(xiàn)分離;敏感信息在公用網(wǎng)絡(luò)上傳輸時,考慮足夠的加密和訪問控制措施。
6.6.2網(wǎng)絡(luò)服務(wù)的安全
網(wǎng)絡(luò)服務(wù)(包括接入服務(wù)、私有網(wǎng)絡(luò)服務(wù)、增值網(wǎng)絡(luò)和受控的網(wǎng)絡(luò)安全解決方案,例如防火墻和入侵檢測系統(tǒng)等)應(yīng)根據(jù)安全需求,考慮如下安全控制措施:為網(wǎng)絡(luò)服務(wù)應(yīng)用的安全技術(shù),例如認證、加密和網(wǎng)絡(luò)連接控制;按照安全和網(wǎng)絡(luò)連接規(guī)則,網(wǎng)絡(luò)服務(wù)的安全連接需要的技術(shù)參數(shù);若需要,網(wǎng)絡(luò)服務(wù)使用程序,以限制對網(wǎng)絡(luò)服務(wù)或應(yīng)用的訪問。
6.7 介質(zhì)管理
6.7 .1可移動介質(zhì)的管理
建立適當(dāng)?shù)目梢苿咏橘|(zhì)的管理程序,規(guī)范可移動介質(zhì)的管理。
可移動介質(zhì)包括磁帶、磁盤、閃盤、可移動硬件驅(qū)動器、cd、dvd和打印的介質(zhì)
6.7 .2介質(zhì)的處置
不再需要的介質(zhì),應(yīng)使用正式的程序可靠并安全地處置。保持審計蹤跡,保留敏感信息的處置記錄。
6.7 .3信息處理程序
建立信息的處理及存儲程序,以防止信息的未授權(quán)的泄漏或不當(dāng)使用。
包含信息的介質(zhì)在組織的物理邊界以外運送時,應(yīng)防止未授權(quán)的訪問、不當(dāng)使用或毀壞。
6.8 信息交換
6.8.1信息交換策略和程序
為了保護通過使用各種類型的通信設(shè)施進行信息交換,是否有正式的信息交換方針、程序和控制措施。
6.8.2外方信息交換協(xié)議
在組織和外方之間進行信息/軟件交換時,是否有交換協(xié)議。
6.8.3電子郵件、應(yīng)用系統(tǒng)的信息交換與共享
建立適當(dāng)?shù)目刂拼胧?保護電子郵件的安全;為了保護相互連接的業(yè)務(wù)信息系統(tǒng)的信息,開發(fā)與實施相關(guān)的方針和程序。
6.9 監(jiān)控
6.9.1審計日志
審計日志需記錄用戶活動、異常事件和信息安全事件;為了幫助未來的調(diào)查和訪問控制監(jiān)視,審計日志至少應(yīng)保存1年。
6.9.2監(jiān)視系統(tǒng)的使用
應(yīng)建立必要的信息處理設(shè)施的監(jiān)視使用程序,監(jiān)視活動的結(jié)果應(yīng)定期評審。
6.9.3日志信息的保護
記錄日志的設(shè)施和日志信息應(yīng)加以保護,以防止篡改和未授權(quán)的訪問。
6.9.4管理員和操作員日志
系統(tǒng)管理員和系統(tǒng)操作員活動應(yīng)記入日志。系統(tǒng)管理員與系統(tǒng)操作員無權(quán)更改或刪除日志。
6.9.5故障日志
與信息處理或通信系統(tǒng)的問題有關(guān)的用戶或系統(tǒng)程序所報告的故障要加以記錄、分析,并采取適當(dāng)?shù)拇胧?/p>
6.9.6時鐘同步
一個安全域內(nèi)的所有相關(guān)信息處理設(shè)施的時鐘應(yīng)使用已設(shè)的精確時間源進行同步。
5星級idc各計算機系統(tǒng)的時鐘與標準時間的誤差不超過10秒。
4星級idc各計算機系統(tǒng)的時鐘與標準時間的誤差不超過25秒。
7、訪問控制
7.1用戶訪問管理
應(yīng)有正式的用戶注冊及注銷程序,來授權(quán)和撤銷對所有信息系統(tǒng)及服務(wù)的訪問。
應(yīng)限制和控制特殊權(quán)限的分配及使用;應(yīng)通過正式的管理過程控制口令的分配,確?？诹畎踩?管理層應(yīng)定期使用正式過程對用戶的訪問權(quán)進行復(fù)查。
7.2用戶職責(zé)
建立指導(dǎo)用戶選擇和使用口令的指南規(guī)定,使用戶在選擇及使用口令時,遵循良好的安全習(xí)慣。
用戶應(yīng)確保無人值守的用戶設(shè)備有適當(dāng)?shù)谋Ｗo,防止未授權(quán)的訪問。
建立清空桌面和屏幕策略,采取清空桌面上文件、可移動存儲介質(zhì)的策略和清空信息處理設(shè)施屏幕的策略,idc并定期組織檢查效果。
7.3網(wǎng)絡(luò)訪問控制
建立訪問控制策略,確保用戶應(yīng)僅能訪問已獲專門授權(quán)使用的服務(wù)。
應(yīng)使用安全地鑒別方法以控制遠程用戶的訪問,例如口令+證書。
對于診斷和配置端口的物理和邏輯訪問應(yīng)加以控制,防止未授權(quán)訪問。
根據(jù)安全要求,應(yīng)在網(wǎng)絡(luò)中劃分安全域,以隔離信息服務(wù)、用戶及信息系統(tǒng);對于共享的網(wǎng)絡(luò),特別是越過組織邊界的網(wǎng)絡(luò),用戶的聯(lián)網(wǎng)能力應(yīng)按照訪問控制策略和業(yè)務(wù)應(yīng)用要求加以限制,并建立適當(dāng)?shù)穆酚煽刂拼胧?/p>
7.4操作系統(tǒng)訪問控制
建立一個操作系統(tǒng)安全登錄程序,防止未授權(quán)訪問;所有用戶應(yīng)有唯一的、專供其個人使用的標識符(用戶id),應(yīng)選擇一種適當(dāng)?shù)蔫b別技術(shù)證實用戶所宣稱的身份。
可能超越系統(tǒng)和應(yīng)用程序控制的管理工具的使用應(yīng)加以限制并嚴格控制。
不活動會話應(yīng)在一個設(shè)定的休止期后關(guān)閉;使用聯(lián)機時間的限制,為高風(fēng)險應(yīng)用程序提供額外的安全。
7.5應(yīng)用和信息訪問控制
用戶和支持人員對信息和應(yīng)用系統(tǒng)功能的訪問應(yīng)依照已確定的訪問控制策略加以限制。
敏感系統(tǒng)應(yīng)考慮系統(tǒng)隔離,使用專用的(或孤立的)計算機環(huán)境。
7.6移動計算和遠程工作
應(yīng)有正式策略并且采用適當(dāng)?shù)陌踩胧?以防范使用移動計算和通信設(shè)施時所造成的風(fēng)險。
通過網(wǎng)絡(luò)遠程訪問idc,需在通過授權(quán)的情況下對用戶進行認證并對通信內(nèi)容進行加密。
8、信息系統(tǒng)獲取、開發(fā)和維護
8.1安全需求分析和說明
在新的信息系統(tǒng)或增強已有信息系統(tǒng)的業(yè)務(wù)需求陳述中,應(yīng)規(guī)定對安全控制措施的要求。
8.2信息處理控制
輸入應(yīng)用系統(tǒng)的數(shù)據(jù)應(yīng)加以驗證,以確保數(shù)據(jù)是正確且恰當(dāng)?shù)摹?/p>
驗證檢查應(yīng)整合到應(yīng)用中,以檢查由于處理的錯誤或故意的行為造成的信息的訛誤。
通過控制措施,確保信息在處理過程中的完整性,并對處理結(jié)果進行驗證。
8.3密碼控制
應(yīng)開發(fā)和實施使用密碼控制措施來保護信息的策略,并保證密鑰的安全使用。
8.4系統(tǒng)文件的安全
應(yīng)有程序來控制在運行系統(tǒng)上安裝軟件;試數(shù)據(jù)應(yīng)認真地加以選擇、保護和控制;應(yīng)限制訪問程序源代碼。
8.5開發(fā)過程和支持過程中的安全
建立變更控制程序控制變更的實施;當(dāng)操作系統(tǒng)發(fā)生變更后,應(yīng)對業(yè)務(wù)的關(guān)鍵應(yīng)用進行評審和測試,以確保對組織的運行和安全沒有負面影響。
idc應(yīng)管理和監(jiān)視外包軟件的開發(fā)。
8.6技術(shù)脆弱性管理
應(yīng)及時得到現(xiàn)用信息系統(tǒng)技術(shù)脆弱性的信息,評價組織對這些脆弱性的暴露程度,并采取適當(dāng)?shù)拇胧﹣硖幚硐嚓P(guān)的風(fēng)險。
9、信息安全事件管理
9.1報告信息安全事態(tài)和弱點
建立正式的idc信息安全事件報告程序,并形成文件。
建立適當(dāng)?shù)某绦?保證信息安全事態(tài)應(yīng)該盡可能快地通過適當(dāng)?shù)墓芾砬肋M行報告,要求員工、承包方人員和第三方人員記錄并報告他們觀察到的或懷疑的任何系統(tǒng)或服務(wù)的安全弱點。
9.2職責(zé)和程序
應(yīng)建立管理職責(zé)和架構(gòu),以確保能對信息安全事件做出快速、有效和有序的響應(yīng)。
9.3對信息安全事件的總結(jié)和證據(jù)的收集
建立一套機制量化和監(jiān)視信息安全事件的類型、數(shù)量和代價,并且當(dāng)一個信息安全事件涉及到訴訟(民事的或刑事的),需要進一步對個人或組織進行起訴時,應(yīng)收集、保留和呈遞證據(jù),以使證據(jù)符合相關(guān)訴訟管轄權(quán)。
10、業(yè)務(wù)連續(xù)性管理
10.1業(yè)務(wù)連續(xù)性計劃
建立和維持一個用于整個組織的業(yè)務(wù)連續(xù)性計劃,通過使用預(yù)防和恢復(fù)控制措施,將對組織的影響減少到最低,并從信息資產(chǎn)的損失中恢復(fù)到可接受的程度。
10.2業(yè)務(wù)連續(xù)性和風(fēng)險評估
通過恰當(dāng)?shù)某绦?識別能引起idc業(yè)務(wù)過程中斷的事態(tài)(例如,設(shè)備故障、人為錯誤、盜竊、火災(zāi)、自然災(zāi)害和恐怖行為等),這種中斷發(fā)生的概率和影響,以及它們對信息安全所造成的后果。
業(yè)務(wù)資源與過程責(zé)任人參與業(yè)務(wù)連續(xù)性風(fēng)險評估。
10.3制定和實施包括信息安全的連續(xù)性計劃
建立業(yè)務(wù)運行恢復(fù)計劃,以使關(guān)鍵業(yè)務(wù)過程在中斷或發(fā)生故障后,能在規(guī)定的水準與規(guī)定的時間范圍恢復(fù)運行
10.4測試、維護和再評估業(yè)務(wù)連續(xù)性計劃
業(yè)務(wù)連續(xù)性計劃應(yīng)定期測試和更新,以確保其及時性和有效性。
定期測試及更新業(yè)務(wù)連續(xù)性計劃(bcp)/災(zāi)難恢復(fù)計劃(drp),并對員工進行培訓(xùn);定期對idc的風(fēng)險進行審核和管理評審,及時發(fā)現(xiàn)潛在的災(zāi)難和安全失效。
5星級idc:至少每年一次測試及更新;bcp/drp,并對員工進行培訓(xùn); 至少每年一次對idc的風(fēng)險進行審核和管理評審,及時發(fā)現(xiàn)潛在的災(zāi)難和安全失效。
4星級idc:至少每年一次測試及更新;bcp/drp,并對員工進行培訓(xùn);至少每年一次對idc的風(fēng)險進行審核和管理評審,及時發(fā)現(xiàn)潛在的災(zāi)難和安全失效。
11、符合性
11.1可用法律、法規(guī)的識別
idc所有相關(guān)的法令、法規(guī)和合同要求,以及為滿足這些要求組織所采用的方法,應(yīng)加以明確地定義、收集和跟蹤,并形成文件并保持更新。
11.2知識產(chǎn)權(quán)
應(yīng)實施適當(dāng)?shù)某绦?以確保在使用具有知識產(chǎn)權(quán)的材料和具有所有權(quán)的軟件產(chǎn)品時,符合法律、法規(guī)和合同的要求。
11.3保護組織的記錄
應(yīng)防止重要的記錄遺失、毀壞和偽造,以滿足法令、法規(guī)、合同和業(yè)務(wù)的要求。
11.4技術(shù)符合性檢查
定期地對信息系統(tǒng)進行安全實施標準符合檢查,由具有勝任能力的已授權(quán)的人員執(zhí)行,或在他們的監(jiān)督下執(zhí)行。
11.5數(shù)據(jù)保護和個人信息的隱私
應(yīng)依照相關(guān)的法律、法規(guī)和合同條款的要求,確保數(shù)據(jù)保護和隱私。
第16篇 煤礦安全信息閉環(huán)管理系統(tǒng)體系暫行辦法
林場煤礦安全信息運行閉環(huán)管理是全礦安全隱患管理的關(guān)鍵，其運行質(zhì)量如何直接影響著礦井安全隱患管理水平得高低。為進一步規(guī)范和完善我礦的安全信息運行管理系統(tǒng)，夯實我礦安全管理基礎(chǔ)，提高我礦安全管理水平，保證我礦安全生產(chǎn)長治久安，特制定本管理制度。
一、 運行程序：
安全信息運行必須遵守以下五個程序，即：檢查→填卡→篩選處理和通知→整改反饋→復(fù)查
二、 具體要求：
（一）、檢查：
1、礦屬各級安全管理、檢查人員到現(xiàn)場后，要對現(xiàn)場的安全隱患進行全面的檢查、識別、評價。
2、對發(fā)現(xiàn)的“三違”要立即制止并按有關(guān)規(guī)定處罰。
3、對查出的、可對現(xiàn)場施工人員直接構(gòu)成威脅的安全隱患：
（1）、能現(xiàn)場處理的，必須立即采取措施組織現(xiàn)場人員處理解決。
（2）、不能現(xiàn)場處理而又不能保證現(xiàn)場施工安全的，必須立即責(zé)令其停止作業(yè)并匯報調(diào)度室，由調(diào)度員及時匯報礦分管領(lǐng)導(dǎo)采取措施組織處理。在隱患沒有得到解決之前，不準進入作業(yè)。
（3）、不能現(xiàn)場解決，暫時又不會對現(xiàn)場人員造成傷害的，要提出整改意見并作好準確記錄，由現(xiàn)場負責(zé)人簽字，上井后按要求到礦安全信息中心填寫信息卡，限期解決。
（4）、對現(xiàn)場檢查不認真，該查出的隱患沒查出，該制止的“三違”不制止，一經(jīng)發(fā)現(xiàn)，將給予20至50元罰款。若在其檢查過的路線內(nèi)24小時內(nèi)發(fā)生事故，經(jīng)分析認定檢查人員有責(zé)任的，將給予嚴肅處理。
（二）填卡：凡進行安全檢查的礦屬各級干部和各類安全監(jiān)察人員，必須到礦調(diào)度室即安全信息中心平臺，按照要求填寫記錄簿。填寫時要詳細填寫：
1、檢查人的單位、姓名、同行人、年、月、日、班次、詳細經(jīng)過路線。
2、所查隱患的單位、地點或工程名稱、隱患的具體內(nèi)容、整改意見、是否整改、接受指令人的姓名等，內(nèi)容不得少于兩條。
3、大檢查和陪同上級領(lǐng)導(dǎo)的檢查同行人員可填寫同一張卡上，正常檢查一律要求一人一卡。填寫要符合有關(guān)質(zhì)量標準化要求。對填卡不認真，經(jīng)信息中心平臺信息員篩選不合格的填卡人將給予每條10元罰款、通知重新填卡并通報批評。
（三）篩選處理和通知：
安全信息中心平臺信息員對安全信息卡要進行認真篩選處理：
1、 檢查鑒定信息卡是否合格并做好標記，對填寫不認真、字跡潦草、內(nèi)容不清楚的不合格卡進行處罰并通知其本人重填。
2、 對篩選出的安全隱患要登記做好臺帳，同時一式三份填寫隱患整改通知單，于當(dāng)班將通知單通知到責(zé)任單位值班人員，并按照貫徹要求讓被通知單位的人員在通知單第一聯(lián)上簽字。
3、對確需礦領(lǐng)導(dǎo)平衡處理的，另行填寫安監(jiān)人員意見書，報礦分管領(lǐng)導(dǎo)，由礦領(lǐng)導(dǎo)在意見書上簽署意見后，將意見書下達到有關(guān)責(zé)任單位整改。
4、篩選出的不危機現(xiàn)場安全的問題，用電話通知有關(guān)單位的人員加強注意和改正，并在卡上記錄通知人、接收人及時間。
（四）整改和反饋：
1、責(zé)任單位值班人員接到隱患整改通知后，除由兼職信息員將隱患登記做好臺帳外，要根據(jù)整改意見采取措施，安排人員負責(zé)處理。對重要隱患，要立即交單位負責(zé)人根據(jù)整改意見，制定專門措施，安排專人負責(zé)處理。
2、在解決過程中要嚴格按章作業(yè)，保證人員安全。
3、整改單位在接到整改通知單的第二天，要在現(xiàn)場隱患反饋單上認真填寫：接到整改指令人、整改人、整改時間、填表人、由單位負責(zé)人簽字后，及時傳遞反饋到安全信息中心。
4、反饋單的填寫要符合所有體系貫標的要求。
5、對不能在限期內(nèi)整改完的，要在反饋單上詳細說明原因，必要時應(yīng)有業(yè)務(wù)科室及分管礦領(lǐng)導(dǎo)簽字認可。
6、對電話通知的問題應(yīng)詳細記錄接整改指令人、整改人、整改時間和結(jié)果。
7、對不按要求整改、簽字、將給予50元的罰款。
（五）復(fù)查
由安全科組織安全小分隊或小班安檢員進行復(fù)查并記錄。對經(jīng)復(fù)查，發(fā)現(xiàn)有簽字已整改而現(xiàn)場未整改的弄虛作假現(xiàn)象，對整改負責(zé)人和單位負責(zé)人分別給予每條罰款100元，對單位每條加罰100元，并通報批評、責(zé)令立即整改，重新下達隱患整改通知單，納入新的信息運行系統(tǒng)。
同時，對電話通知，信息反饋已整改的問題，要實行抽查制度，具體每天由信息主任篩選確定安排復(fù)查。
三、 統(tǒng)計、通報、處罰：
信息主任（1）每天對信息員執(zhí)行制度的質(zhì)量情況進行檢查，重點檢查是否有該通知而未通知，該下卡而未下卡的情況，一經(jīng)發(fā)現(xiàn)應(yīng)視其情節(jié)給予批評教育、罰款20--50元，督促指導(dǎo)信息員做好信息運行工作。
（2）每周對信息運行情況進行統(tǒng)計，形成統(tǒng)計報表。由安全科在周一安全辦公會上通報各單位隱患整改情況；對未按要求整改的責(zé)任單位和責(zé)任人給予通報批評、處罰和考核扣分。
四、信息溝通、反饋及爭議處理：
為及時發(fā)現(xiàn)和糾正信息的失實和不足，有效解決安全生產(chǎn)過程中存在的各類問題，消除事故隱患，消除誤解和爭議，消除錯罰和誤法給安全工作帶來的負面影響，安全科將罰款通知、意見反饋及爭議處理過程作修改補充后規(guī)定如下：
1、 安全科信息中心三班信息員每班將罰款的事由和罰款金額，用電話通知道有關(guān)單位，并作好記錄。
2、信息中心每日下達一份各類問題及書面通知單，由信息員按早、中、夜三班順序?qū)⒁粋€圓班的各類問題和罰款金額，分單位填寫在書面通知單上。由區(qū)隊信息員每日上午9：00前將通知單領(lǐng)回本單位。區(qū)隊信息員在領(lǐng)取通知單時，要在通知單領(lǐng)取登記簿上簽字。
3、單位值班人員和主要領(lǐng)導(dǎo)在接到書面通知單后，對存有異議的罰款，應(yīng)首先通過安全信息中心查詢檢查人員，在全面調(diào)查和了解的基礎(chǔ)上，應(yīng)及時辦好書面說明，檢查當(dāng)事人及單位主要領(lǐng)導(dǎo)簽字后由單位信息員在當(dāng)天下午17：00前，報到安全科信息中心。由安全礦長安排有關(guān)科室和有關(guān)人員進行調(diào)查分析、再次核實，由安全礦長根據(jù)調(diào)查結(jié)果研究相應(yīng)的處理意見。
4、有關(guān)單位接到電話通知后，值班人員要做好記錄，并安排信息員到信息中心及時領(lǐng)回通知，對有爭議的罰款問題，要及時調(diào)查并以書面的形式報安全科。否則，因自身原因未能及時將問題反映到安全科，造成無法調(diào)查的，后果由單位自己承擔(dān)。
5、各單位主要領(lǐng)導(dǎo)要高度重視此項工作，對偏聽當(dāng)事人一面之詞，不作全面詳細了解或明知當(dāng)事人有錯，不做思想工作，而把矛盾上交，放任當(dāng)事人胡攪蠻纏，擾亂正常工作的，對當(dāng)事人加倍處罰并升級考核處理，同時對其單位黨政領(lǐng)導(dǎo)給予通報批評和罰款。
五、評價與提高
安全科嚴格安全信息運行閉合管理系統(tǒng)進行檢查評價，不斷總結(jié)、學(xué)習(xí)、創(chuàng)新、完善和提高，使安全信息閉合管理系統(tǒng)保持嚴密、科學(xué)、適用。
職工業(yè)余安全學(xué)習(xí)培訓(xùn)考試制度
為認真貫徹執(zhí)行《安全生產(chǎn)法》，加強對我礦職工安全生產(chǎn)教育和培訓(xùn)，提高職工安全生產(chǎn)意識，保證職工具備必要的安全生產(chǎn)知識，熟悉相應(yīng)的安全生產(chǎn)規(guī)章制度和安全操作規(guī)程，真正掌握安全操作技能和預(yù)防事故的實際能力，逐步向“本質(zhì)安全型”員工轉(zhuǎn)變，從而最大限度地防止和減少生產(chǎn)安全事故的發(fā)生，保障職工群眾生命和財產(chǎn)安全，促進礦井經(jīng)濟正常發(fā)展。特制定本制度，具體如下：
礦成立業(yè)余安全學(xué)習(xí)培訓(xùn)考試領(lǐng)導(dǎo)小組：
組長：李建國
副組長：沈遠東、陳萬峰、朱學(xué)金、趙書東、王永濤、司繼江、孫立民
成員：各科室、工區(qū)負責(zé)人及各分管負責(zé)人
領(lǐng)導(dǎo)小組下設(shè)辦公室，辦公室設(shè)在安全科，孫立民任辦公室主任，具體負責(zé)制定林場煤礦安全學(xué)習(xí)培訓(xùn)計劃及業(yè)務(wù)考核工作。
一、 學(xué)習(xí)培訓(xùn)人員范圍：
全礦各科室、區(qū)隊的各級管理人員和職工。
二、 學(xué)習(xí)內(nèi)容：
《煤礦安全規(guī)程》、各單位對應(yīng)的《煤礦作業(yè)規(guī)程》、各工種對應(yīng)的《煤礦操作規(guī)程》、《安全生產(chǎn)法》、《林場煤礦崗位安全生產(chǎn)責(zé)任制》、安全管理制度、隱患識別的方法、事故案例等。
三、 學(xué)習(xí)組織的形式：
1、 各單位根據(jù)礦的需要，結(jié)合本單位實際，制定出本單位每月、每周的詳細安全學(xué)習(xí)計劃，于每月5號前書面報到安全科。
2、 利用班前班后會、周五安全活動等時間組織業(yè)余培訓(xùn)，由單位主要管理人員主持，技術(shù)人員講課。采取每日一題的形式每周不少于5題，5天學(xué)習(xí)，1天復(fù)習(xí)，1天考試。對部分綜合安全素質(zhì)差的職工，單位應(yīng)安排人員進行重點指導(dǎo)、幫助，單位應(yīng)做好備課教案，職工要認真做好學(xué)習(xí)記錄，以備檢查。
四、 考試形式：
（一）、單位自考：各單位在學(xué)習(xí)培訓(xùn)的基礎(chǔ)上，每周組織自考，考試應(yīng)以書面為主，對個別確實不會書寫的也可采用口頭考試形式，但必須記錄真實。單位要保存好試卷和考試成績備查。
（二）、礦抽查、考試：
1、每周由安全科牽頭，有關(guān)部門參加，根據(jù)規(guī)定進行抽查各單位制度執(zhí)行情況。
2、每月礦安全科根據(jù)各單位報送的學(xué)習(xí)計劃內(nèi)容，組織對有關(guān)單位進行抽查考試，重點對班組長、安全不放心人員（素質(zhì)差、技能低、違章人員）等進行考試，對考試不合格的，一律不得安排上崗作業(yè)，由安全科書面通知其單位組織待崗培訓(xùn)，直至合格方可返崗工作。
3、對各單位、各部門的管理人員采用不定期書面或口頭抽查考試的方法。
4、對各科室、區(qū)隊單位職工的考試：
（1）、井下區(qū)隊單位采用每月組織集中書面考試和井上下現(xiàn)場動態(tài)口頭抽查相結(jié)合的方式。
（2）、地面單位根據(jù)各工種分類情況，由安全科具體組織書面抽查或現(xiàn)場口頭抽查的方式。
五、考核獎罰辦法：
根據(jù)工作性質(zhì)結(jié)合專業(yè)特點，將井上下單位分成若干類后分別比較考核獎罰，具體為：
1、 每季度將各區(qū)隊單位職工的考試成績分別實行獎罰制度，獎罰資金平均三級落實三大員。每月公布考核兌現(xiàn)結(jié)果。
2、 對單位管理人員的考試成績，以平均分為標準，超獎少罰，每分10元。
全礦各單位，各部門要根據(jù)礦上的統(tǒng)一安排和部署，結(jié)合本單位的實際情況，制定出詳細嚴密的年度業(yè)余安全學(xué)習(xí)培訓(xùn)計劃，充分利用班前班后會、周五安全活動等時間，組織本單位的職工系統(tǒng)學(xué)習(xí)、培訓(xùn)考試，真正達到提高本單位職工的安全生產(chǎn)意識，養(yǎng)成遵章作業(yè)、按章操作的嚴謹作風(fēng)，掌握安全操作技能和預(yù)防事故實際能力的目的，為提高我礦全員的綜合安全素質(zhì)打下堅實的基礎(chǔ)。
