第一章總則

第一條為規(guī)范河北藝術(shù)職業(yè)學(xué)院（以下簡稱“河北藝?！保┬畔⑾到y(tǒng)安全運(yùn)維管理工作，增強(qiáng)并提高運(yùn)維部門安全運(yùn)維管理能力，保持運(yùn)維部門所維護(hù)的信息系統(tǒng)安全穩(wěn)定運(yùn)行，提高運(yùn)維部門安全保障能力，制定本制度，本制度規(guī)定如下管理要求：

1、安全運(yùn)維管理方針。

2、安全運(yùn)維管理范圍。

3、安全運(yùn)維管理組織機(jī)構(gòu)和職責(zé)。

第二條河北藝校設(shè)置安全運(yùn)維管理組織，負(fù)責(zé)河北藝校信息系統(tǒng)的安全運(yùn)維管理工作。安全運(yùn)維管理組織由信息安全執(zhí)行小組成員組成，對信息安全領(lǐng)導(dǎo)小組負(fù)責(zé)。

第二章適用范圍

第三條本制度適用于河北藝術(shù)職業(yè)學(xué)院各部門。

第三章安全運(yùn)維管理方針

第四條河北藝校的安全運(yùn)維管理基本方針如下：

1、遵循國家有關(guān)信息安全的法律、法規(guī)及管理規(guī)范。

2、保障信息資產(chǎn)的安全，保證信息安全管理制度的深入貫徹執(zhí)行是運(yùn)維部門全體員工的責(zé)任。

3、對運(yùn)維方針的有效性進(jìn)行評價和不斷改善。

第五條河北藝校安全運(yùn)維管理目標(biāo)如下：

1、保障信息系統(tǒng)安全、穩(wěn)定、持續(xù)、高效地運(yùn)行。

2、預(yù)防和處置黑客攻擊、信息泄密、數(shù)據(jù)篡改等信息安全事件。

3、防范計(jì)算機(jī)病毒爆發(fā)，維護(hù)計(jì)算機(jī)網(wǎng)絡(luò)和系統(tǒng)正常運(yùn)行。

第四章安全運(yùn)維管理范圍

第六條安全運(yùn)維管理范圍對應(yīng)河北藝校具體運(yùn)維工作執(zhí)行部門，包括人員、物理環(huán)境、信息資產(chǎn)等。

第七條人員

1、運(yùn)維執(zhí)行部門的內(nèi)部員工。

2、第三方技術(shù)服務(wù)供應(yīng)商的人員。

3、其他涉及人員。

第八條物理環(huán)境，包括由河北藝校負(fù)責(zé)運(yùn)維的XXXX非涉密信息系統(tǒng)機(jī)房及非涉密業(yè)務(wù)辦公區(qū)。

第九條信息資產(chǎn)，包括基礎(chǔ)網(wǎng)絡(luò)、硬件設(shè)備、軟件、應(yīng)用系統(tǒng)和信息系統(tǒng)業(yè)務(wù)數(shù)據(jù)等。

第五章安全運(yùn)維管理組織架構(gòu)

第十條安全運(yùn)維管理組織負(fù)責(zé)信息系統(tǒng)日常安全運(yùn)維和信息安全管理工作，組織運(yùn)維工作人員對安全運(yùn)維管理制度合理性和適用性進(jìn)行審定。

第十一條組織架構(gòu)：運(yùn)維部門設(shè)立運(yùn)維管理小組，由運(yùn)維部門主管領(lǐng)導(dǎo)擔(dān)任組長，運(yùn)維工作分管領(lǐng)導(dǎo)擔(dān)任副組長，承擔(dān)運(yùn)維工作的處室及各類系統(tǒng)管理員擔(dān)任組員：

  

第一條具體職責(zé)說明

一、運(yùn)維管理小組

運(yùn)維管理小組主要工作職責(zé)包括：

1、負(fù)責(zé)制定安全運(yùn)維工作總體方針。

2、依據(jù)《信息安全策略綱要》制定具體的安全運(yùn)維操作規(guī)程，組織相關(guān)人員對運(yùn)維管理制度的合理性和適用性進(jìn)行審定和修訂，報(bào)信息安全領(lǐng)導(dǎo)小組審批發(fā)布。

二、運(yùn)維工作分管領(lǐng)導(dǎo)

負(fù)責(zé)領(lǐng)導(dǎo)與組織日常安全運(yùn)維工作，負(fù)責(zé)系統(tǒng)管理員、網(wǎng)絡(luò)管理員、數(shù)據(jù)庫管理員、安全管理員等工作崗位的委任與授權(quán)。主要工作職責(zé)包括：

1、負(fù)責(zé)信息系統(tǒng)日常安全運(yùn)維工作管理。

2、負(fù)責(zé)各個安全運(yùn)行維護(hù)工作崗位的委任與授權(quán)。

3、負(fù)責(zé)向信息安全領(lǐng)導(dǎo)小組報(bào)告日常安全運(yùn)維工作。

4、負(fù)責(zé)加強(qiáng)各類運(yùn)維工作人員之間的合作與溝通，定期或不定期召開協(xié)調(diào)會議，共同協(xié)作處理各種運(yùn)維和信息安全問題。

三、安全管理員

安全管理員負(fù)責(zé)信息安全日常執(zhí)行工作，信息安全工作協(xié)調(diào)以及信息安全控制策略的制定、執(zhí)行、檢查，主要工作職責(zé)包括：

1、負(fù)責(zé)準(zhǔn)入系統(tǒng)、身份認(rèn)證、安全監(jiān)控、訪問控制、入侵檢測、事件管理、證書管理等安全管理系統(tǒng)的規(guī)劃、部署、運(yùn)維、管理。

2、在新建系統(tǒng)正式上線前，負(fù)責(zé)組織協(xié)調(diào)系統(tǒng)管理員、數(shù)據(jù)庫管理員、防病毒管理員等對服務(wù)器進(jìn)行安全加固，包括操作系統(tǒng)補(bǔ)丁更新、數(shù)據(jù)庫漏洞修復(fù)、防病毒軟件安裝和病毒庫更新等。

3、負(fù)責(zé)組織協(xié)調(diào)系統(tǒng)管理員、數(shù)據(jù)庫管理員、應(yīng)用系統(tǒng)管理員、安全審計(jì)員等完成對突發(fā)信息安全事件的響應(yīng)、分析、處置。

4、組織協(xié)調(diào)系統(tǒng)管理員、數(shù)據(jù)庫管理員、應(yīng)用系統(tǒng)管理員、安全審計(jì)員等完成重大信息安全事件的安全檢查和監(jiān)控。

5、配合安全審計(jì)員完成安全審計(jì)策略、事件監(jiān)控策略配置，同時協(xié)助安全審計(jì)員完成日志安全審計(jì)。

6、每月針對近期安全態(tài)勢，制定具有針對性的安全策略，并指導(dǎo)系統(tǒng)管理員、數(shù)據(jù)庫管理員完成配置變更。

7、每月對信息系統(tǒng)進(jìn)行全面漏洞掃描，根據(jù)掃描結(jié)果制定漏洞修復(fù)策略，并指導(dǎo)系統(tǒng)管理員、數(shù)據(jù)庫管理員等完成漏洞修復(fù)。

8、每半年對信息系統(tǒng)進(jìn)行一次整體安全評估，包括漏洞掃描、滲透測試和安全配置核查，了解信息系統(tǒng)整體安全狀況，從而發(fā)現(xiàn)并解決問題。

9、每日二次對信息系統(tǒng)安全運(yùn)行狀況和日志進(jìn)行檢查，檢查是否存在攻擊行為，及時掌握信息系統(tǒng)的安全現(xiàn)狀并做出應(yīng)對措施，一旦發(fā)現(xiàn)攻擊事件，立即上報(bào)運(yùn)維工作分管領(lǐng)導(dǎo)并及時通知其他崗位管理員共同處置。

10、負(fù)責(zé)對防火墻、防毒墻、VPN等安全設(shè)備故障原因進(jìn)行分析并協(xié)調(diào)資源對故障進(jìn)行處理。

11、負(fù)責(zé)VPN賬號建立、撤銷及權(quán)限分配。

12、負(fù)責(zé)協(xié)調(diào)其他相關(guān)人員對新購安全設(shè)備進(jìn)行調(diào)試、測試及部署。

13、每日對安全設(shè)備運(yùn)行日志進(jìn)行保存，每周對保存日志進(jìn)行備份，并對備份有效性進(jìn)行檢查。

14、每月對安全設(shè)備策略進(jìn)行檢查，依據(jù)最新的信息安全事件態(tài)勢對策略進(jìn)行設(shè)當(dāng)調(diào)整，使策略具有針對性。

15、負(fù)責(zé)信息安全相關(guān)信息收集與整理，并將重要信息轉(zhuǎn)發(fā)給相關(guān)管理員。

四、系統(tǒng)管理員

系統(tǒng)管理員負(fù)責(zé)主機(jī)操作系統(tǒng)維護(hù)管理等工作，其主要工作職責(zé)包括：

1、負(fù)責(zé)操作系統(tǒng)賬號管理，包括建立、修改、注銷、權(quán)限分配。

2、負(fù)責(zé)操作系統(tǒng)安全相關(guān)信息收集與整理，并轉(zhuǎn)發(fā)給其他相關(guān)管理員。

3、負(fù)責(zé)操作系統(tǒng)補(bǔ)丁通告、測試、安裝、驗(yàn)證與歸檔。

4、負(fù)責(zé)操作系統(tǒng)安全加固工作。

5、負(fù)責(zé)配合有關(guān)操作系統(tǒng)信息安全事件的調(diào)查取證。

6、負(fù)責(zé)操作系統(tǒng)相關(guān)的備份與恢復(fù)的檢查與驗(yàn)證。

7、配合安全審計(jì)員完成操作系統(tǒng)賬號權(quán)限、策略、日志備份的審計(jì)。

8、配合安全管理員完成重大信息安全事件的安全檢查和監(jiān)控。

9、配合安全管理員完成對突發(fā)信息安全事件的響應(yīng)、分析和處置。

10、負(fù)責(zé)對服務(wù)器操作系統(tǒng)故障原因進(jìn)行分析與排除。

11、在新建系統(tǒng)正式部署前，配合安全管理員對服務(wù)器操作系統(tǒng)進(jìn)行安全加固。

12、負(fù)責(zé)每日操作系統(tǒng)日志的存儲，每周存儲日志的備份。

13、負(fù)責(zé)每周服務(wù)器磁盤空間的整理，刪除垃圾文件。

14、負(fù)責(zé)每月操作系統(tǒng)安全配置變更及維護(hù)。

15、負(fù)責(zé)每月操作系統(tǒng)的安全性檢查并及時修復(fù)系統(tǒng)漏洞。

五、網(wǎng)絡(luò)管理員

網(wǎng)絡(luò)管理員負(fù)責(zé)信息系統(tǒng)基礎(chǔ)網(wǎng)絡(luò)和硬件設(shè)備運(yùn)維和安全管理工作。其主要工作職責(zé)包括：

1、網(wǎng)絡(luò)IP地址分配、VLAN劃分、安全域配置。

2、負(fù)責(zé)網(wǎng)絡(luò)設(shè)備部署、維護(hù)和管理。

3、負(fù)責(zé)對路由器、交換機(jī)、流量管理等網(wǎng)絡(luò)設(shè)備故障原因進(jìn)行分析與排除。

4、負(fù)責(zé)辦公電腦的IP地址分配和綁定。

5、每日對網(wǎng)絡(luò)設(shè)備日志進(jìn)行保存，每周對保存日志進(jìn)行備份，并對備份有效性進(jìn)行檢查。

6、負(fù)責(zé)對網(wǎng)絡(luò)流量進(jìn)行實(shí)時監(jiān)控。

7、每月對路由器、交換機(jī)、流量管理策略進(jìn)行有效性檢測。

8、每半年負(fù)責(zé)配合安全管理員針對信息系統(tǒng)整體安全狀況進(jìn)行風(fēng)險(xiǎn)評估。

9、配合安全管理員完成安全設(shè)備部署和調(diào)試。

10、配合安全管理員、審計(jì)管理員完成重大信息安全事件的安全檢查和監(jiān)控。

11、每季度配合審計(jì)管理員完成網(wǎng)絡(luò)監(jiān)控、設(shè)備策略有效性、設(shè)備日志保存與備份的審計(jì)工作。

12、配合安全管理員完成對突發(fā)信息安全事件的響應(yīng)、分析和處置。

六、數(shù)據(jù)庫管理員

數(shù)據(jù)庫管理員負(fù)責(zé)數(shù)據(jù)庫相關(guān)的運(yùn)維和安全管理工作。其主要工作職責(zé)包括：

1、負(fù)責(zé)數(shù)據(jù)庫安全相關(guān)的信息收集與整理，并發(fā)布給其他相關(guān)管理員。

2、負(fù)責(zé)數(shù)據(jù)庫安全漏洞評估和修補(bǔ)。

3、負(fù)責(zé)數(shù)據(jù)庫補(bǔ)丁的通告、測試、安裝、驗(yàn)證與歸檔。

4、負(fù)責(zé)數(shù)據(jù)庫安全事件的調(diào)查、取證、追蹤。

5、負(fù)責(zé)數(shù)據(jù)庫安全相關(guān)的事件監(jiān)控與管理。

6、負(fù)責(zé)數(shù)據(jù)庫日常備份、恢復(fù)、有效性測試以及備份策略的制定。

7、負(fù)責(zé)數(shù)據(jù)庫故障原因分析與排除。

8、負(fù)責(zé)每日數(shù)據(jù)庫日志的存儲，每周對保存日志進(jìn)行備份。

9、每月協(xié)助安全管理員完成數(shù)據(jù)庫安全策略的制定與變更，同時針對攻擊事件，配合安全管理員完成數(shù)據(jù)庫安全的檢查、排除。

10、每季度配合安全審計(jì)員完成數(shù)據(jù)庫賬號、權(quán)限、安全策略、日志備份的審計(jì)。

11、配合安全管理員完成重大信息安全事件的安全檢查、監(jiān)控工作。

12、配合安全管理員完成對突發(fā)信息安全事件的響應(yīng)、分析和處置。

七、應(yīng)用系統(tǒng)管理員

應(yīng)用系統(tǒng)管理員負(fù)責(zé)應(yīng)用系統(tǒng)獲取、開發(fā)、運(yùn)維等過程中的安全管理工作，其主要工作職責(zé)包括：

1、從第三方獲取應(yīng)用系統(tǒng)時，應(yīng)用系統(tǒng)管理員對該應(yīng)用系統(tǒng)進(jìn)行安全性評估（可以借助第三方），向應(yīng)用系統(tǒng)的使用單位和管理單位提交安全評估報(bào)告。

2、由第三方合作開發(fā)應(yīng)用系統(tǒng)時，由應(yīng)用系統(tǒng)管理員提出安全需求，并在開發(fā)過程中監(jiān)督第三方應(yīng)用系統(tǒng)開發(fā)商落實(shí)應(yīng)用軟件安全需求，以及在應(yīng)用系統(tǒng)的交付驗(yàn)收前進(jìn)行安全測試。

3、負(fù)責(zé)維護(hù)應(yīng)用系統(tǒng)安全，每半年對應(yīng)用系統(tǒng)進(jìn)行安全評估，并提供應(yīng)用系統(tǒng)的安全評估報(bào)告（可借助第三方）。

4、在發(fā)生信息安全事件時，負(fù)責(zé)應(yīng)用系統(tǒng)安全事件的調(diào)查、取證和追蹤。

5、負(fù)責(zé)應(yīng)用系統(tǒng)的安裝、配置、維護(hù)和管理。

6、負(fù)責(zé)應(yīng)用系統(tǒng)賬號的建立、修改、注銷和權(quán)限分配。

7、每日對應(yīng)用系統(tǒng)日志進(jìn)行保存，每周對保存日志進(jìn)行備份，每兩個月負(fù)責(zé)協(xié)調(diào)應(yīng)用系統(tǒng)支撐單位完成對應(yīng)用系統(tǒng)軟件的備份。

8、每月負(fù)責(zé)協(xié)助安全管理員完成對應(yīng)用系統(tǒng)安全策略的制定與調(diào)整，同時針對應(yīng)用安全事件，配合安全管理員完成事件的檢查和排除。

9、每季度負(fù)責(zé)協(xié)助系統(tǒng)管理員完成操作系統(tǒng)補(bǔ)丁的安裝測試工作。

10、每季度負(fù)責(zé)配合安全審計(jì)員完成應(yīng)用系統(tǒng)賬號、權(quán)限、應(yīng)用策略、日志備份的審計(jì)。

11、配合安全管理員完成重大信息安全事件的安全檢查和監(jiān)控。

12、配合安全管理員完成對突發(fā)信息安全事件的響應(yīng)、分析和處置。

八、防病毒管理員

防病毒管理員負(fù)責(zé)信息系統(tǒng)防病毒工作，主要的工作職責(zé)包括：

1、負(fù)責(zé)防病毒系統(tǒng)的運(yùn)維及管理。

2、負(fù)責(zé)病毒防護(hù)相關(guān)的信息的收集與整理，并采用適當(dāng)?shù)姆绞较騿T工通告防病毒預(yù)報(bào)及做好相關(guān)的預(yù)防措施。

3、負(fù)責(zé)消除網(wǎng)絡(luò)中發(fā)現(xiàn)的病毒（可借助第三方）。

4、每月對信息系統(tǒng)服務(wù)器進(jìn)行一次全面的病毒檢查工作，主要檢查可疑進(jìn)程、可疑服務(wù)、可疑文件并完成病毒的清除。

5、每月對防病毒服務(wù)器進(jìn)行特征庫和病毒庫升級。

6、負(fù)責(zé)解答防病毒相關(guān)的疑難問題并提供防病毒技術(shù)支持。

7、負(fù)責(zé)防病毒體系規(guī)劃和防病毒相關(guān)的技術(shù)方案論證。

九、介質(zhì)管理員

介質(zhì)管理員負(fù)責(zé)存儲介質(zhì)管理，其主要工作職責(zé)包括：

1、負(fù)責(zé)介質(zhì)的保管、使用、維護(hù)。

2、負(fù)責(zé)過期介質(zhì)信息的清除和銷毀。

3、負(fù)責(zé)介質(zhì)相關(guān)安全信息的收集和整理、并將發(fā)現(xiàn)的安全問題通知其他管理員。

十、信息資產(chǎn)管理員

信息資產(chǎn)管理員負(fù)責(zé)信息資產(chǎn)的管理，其主要工作職責(zé)包括：

1、負(fù)責(zé)信息資產(chǎn)的識別、記錄、變更。

2、負(fù)責(zé)《信息資產(chǎn)登記表》的記錄和維護(hù)。

3、負(fù)責(zé)建立信息資產(chǎn)的清單和標(biāo)識。

十一、安全審計(jì)員

安全審計(jì)員負(fù)責(zé)信息安全管理內(nèi)審，主要的工作職責(zé)包括：

1、定期或不定期根據(jù)相應(yīng)信息安全策略對安全設(shè)備、網(wǎng)絡(luò)設(shè)備、主機(jī)、數(shù)據(jù)庫、終端、防病毒系統(tǒng)等進(jìn)行審計(jì)與檢查，將審計(jì)結(jié)果上報(bào)給運(yùn)維管理小組，并作為安全設(shè)備、網(wǎng)絡(luò)設(shè)備、主機(jī)、數(shù)據(jù)庫、終端、防病毒系統(tǒng)等安全運(yùn)行管理人員的考核指標(biāo)。

2、負(fù)責(zé)對信息安全策略執(zhí)行情況進(jìn)行審計(jì)與檢查，并將審計(jì)或檢查的結(jié)果上報(bào)運(yùn)維管理小組。

3、負(fù)責(zé)定期對信息系統(tǒng)的信息安全狀況進(jìn)行審計(jì)與檢查，并將信息安全審計(jì)或檢查的結(jié)果上報(bào)運(yùn)維管理小組。

4、檢查審計(jì)信息完整性，根據(jù)審計(jì)數(shù)據(jù)制作審計(jì)報(bào)表。

十二、機(jī)房管理員

機(jī)房管理員負(fù)責(zé)機(jī)房的物理環(huán)境安全管理和維護(hù)，其主要的工作職責(zé)包括：

1、根據(jù)信息安全策略，落實(shí)機(jī)房安全工作，確保機(jī)房物理環(huán)境安全。

2、負(fù)責(zé)對機(jī)房進(jìn)行安全巡檢，發(fā)現(xiàn)安全問題后，通知運(yùn)維工作分管領(lǐng)導(dǎo)及相關(guān)人員并及時處置。

3、按照機(jī)房管理制度管理機(jī)房出入權(quán)限，定期檢查機(jī)房出入日志，保障機(jī)房的物理訪問控制。

4、負(fù)責(zé)機(jī)房人員、設(shè)備的進(jìn)出管理。

5、其他機(jī)房安全管理責(zé)任。

第六章相關(guān)文件

第二條與本制度相關(guān)的其他文件及表單包括：

1、《機(jī)房管理制度》

2、《信息資產(chǎn)安全管理制度》

3、《介質(zhì)安全管理制度》

4、《設(shè)備管理制度》

5、《信息系統(tǒng)安全監(jiān)控管理制度》

6、《網(wǎng)絡(luò)安全管理制度》

7、《賬號與密碼管理制度》

8、《安全事件管理制度》

9、《變更管理制度》

10、《計(jì)算機(jī)病毒防護(hù)管理制度》

11、《應(yīng)急響應(yīng)管理制度》

12、《技術(shù)維護(hù)服務(wù)供應(yīng)商管理制度》

13、《備份與恢復(fù)管理制度》

14、《信息資產(chǎn)登記表》

第七章附則

第三條本制度自發(fā)布之日起執(zhí)行。

第四條第十五條本制度的解釋和修改權(quán)屬于信息安全領(lǐng)導(dǎo)小組。

第五條第十六條信息安全領(lǐng)導(dǎo)小組每年統(tǒng)一檢查和評估本制度，并做出適當(dāng)更新。在業(yè)務(wù)環(huán)境和安全需求發(fā)生重大變化時，也將對本制度進(jìn)行檢查和更新。