1、最新整理江西中磊支付科技有限公司密級：內部中磊第三方支付平臺網絡安全關鍵崗位人員管理制度文檔編號：V1.0項目名稱：江西中磊支付平臺編寫：楊文輝編寫日期：2014-4-15審核：李駿審核日期：2014-6-13批準：朱志龍批準日期：2014-6-17最新整理江西中磊支付科技有限公司2014 年 7 月最新整理修訂記錄版本日期擬稿和修改說明草稿2014-04-15擬稿V1.02014-06-17正式簽發文檔網絡安全關鍵崗位人員管理制度一、安全管理機構1 、崗位設置a) 應設立信息安全管理工作的職能部門，設立安全主管、安全管理各個方面的負責人崗位，并定義各負責人的職責；b) 應設立系統管理員、網絡

2、管理員、安全管理員等崗位，并定義各個工作崗位的職責；c) 應成立指導和管理信息安全工作的委員會或領導小組，其最高領導由單位主管領導委任或授權；d) 應制定文件明確安全管理機構各個部門和崗位的職責、分工和技能要求。2 、人員配備a) 應配備一定數量的系統管理員、網絡管理員、安全管理員等；b) 應配備專職安全管理員，不可兼任；c) 關鍵事務崗位應配備多人共同管理。3 、授權和審批a) 應根據各個部門和崗位的職責明確授權審批事項、審批部門和批準人等；b) 應針對系統變更、重要操作、物理訪問和系統接入等事項建立審批程序，按照審批程序執行審批過程，對重要活動建立逐級審批制度；c) 應定期審查審批事項，及

3、時更新需授權和審批的項目、審批部門和審批人等信息；d) 應記錄審批過程并保存審批文檔。4、溝通和合作a) 應加強各類管理人員之間、組織內部機構之間以及信息安全職能部門內部的合作與溝通，定期或不定期召開協調會議，共同協作處理信息安全問題；b) 應加強與兄弟單位、公安機關、電信公司的合作與溝通；c) 應加強與供應商、業界專家、專業的安全公司、安全組織的合作與溝通；d) 應建立外聯單位聯系列表，包括外聯單位名稱、合作內容、聯系人和聯系方式等信息；e) 應聘請信息安全專家作為常年的安全顧問，指導信息安全建設，參與安全規劃和安全評審等。5 、審核和檢查a) 安全管理員應負責定期進行安全檢查，檢查內容包括

4、系統日常運行、系統漏洞和數據備份等情況；b) 應由內部人員或上級單位定期進行全面安全檢查，檢查內容包括現有安全技術措施的有效性、安全配置與安全策略的一致性、安全管理制度的執行情況等；c) 應制定安全檢查表格實施安全檢查，匯總安全檢查數據，形成安全檢查報告，并對安全檢查結果進行通報；d) 應制定安全審核和安全檢查制度規范安全審核和安全檢查工作，定期按照程序進行安全審核和安全檢查活動。二、 人員安全管理1 、 人員錄用a) 應指定或授權專門的部門或人員負責人員錄用；b) 應嚴格規范人員錄用過程，對被錄用人的身份、背景、專業資格和資質等進行審查，對其所具有的技術技能進行考核；c) 應簽署保密協議；d

5、) 應從內部人員中選拔從事關鍵崗位的人員，并簽署崗位安全協議。2 、 人員離崗a) 應嚴格規范人員離崗過程，及時終止離崗員工的所有訪問權限;b) 應取回各種身份證件、鑰匙、徽章等以及機構提供的軟硬件設備；c) 應辦理嚴格的調離手續，關鍵崗位人員離崗須承諾調離后的保密義務后方可離開。3 、人員考核a) 應定期對各個崗位的人員進行安全技能及安全認知的考核；b) 應對關鍵崗位的人員進行全面、嚴格的安全審查和技能考核；c) 應對考核結果進行記錄并保存。4、安全意識教育和培訓a) 應對各類人員進行安全意識教育、崗位技能培訓和相關安全技術培訓；b) 應對安全責任和懲戒措施進行書面規定并告知相關人員，對違反

6、違背安全策略和規定的人員進行懲戒；c) 應對定期安全教育和培訓進行書面規定，針對不同崗位制定不同的培訓計劃，對信息安全基礎知識、崗位操作規程等進行培訓；d) 應對安全教育和培訓的情況和結果進行記錄并歸檔保存。附件（相關人員的管理制度）：第一節 信息安全管理人員第一條 公司應選派政治思想過硬、具有較高計算機水平的人員從事信息安全管理工作。凡是因違反國家法律法規和公司有關規定受到過處罰或處分的人員，不得從事此項工作。第二條 公司信息安全管理人員應經過總部組織的專業培訓與審核，培訓與審核合格后方可上崗。上崗后，每年至少參加一次信息安全專業培訓。第三條公司信息安全管理人員在如下職責范圍內開展本單位信息

7、安全管理工作：（1） 組織落實上級信息安全管理規定，制定信息安全管理制度，協調部門計算機安全員工作，監督檢查信息安全保障工作。（2） 審核信息化建設項目中的安全方案，組織實施信息安全保障項目建設，維護、管理信息安全專用設施。（3） 檢測網絡和信息系統的安全運行狀況，檢查運行操作、備份、 機房環境與文檔等安全管理情況，發現問題，及時通報和預警，并提出整改意見。統計分析和協調處置信息安全事件。（4） 定期組織信息安全宣傳教育活動，開展信息安全檢查、評估與培訓工作。第四條信息安全管理人員在履行職責時，確因工作需要查詢相關涉密信息，須經本單位主管同意后向保密工作委員會辦公室提交申請，獲得批準后方可查詢

8、。第五條 信息安全管理人員實行備案管理制度。信息安全管理人員的配備和變更情況應及時報上一級運維部門備案。信息安全管理人員調離原崗位時應辦理交接手續，并履行其調離后的保密義務。第二節 部門計算機安全員第六條 各部門應指派素質好、較熟悉計算機知識的人員擔任部門計算機安全員，并報本單位運維部門備案。如有變更應做好交接工作，并及時通報運維部門。第七條 部門計算機安全員配合信息安全管理人員工作，并參加各項信息安全技能培訓。第八條部門計算機安全員在如下職責范圍內開展工作：（1） 負責本部門計算機病毒防治工作，監督檢查本部門客戶端安全管理情況。（2） 負責提出本部門信息安全保障需求，及時與信息安全管理人員溝

9、通信息安全信息。（3） 負責本部門國際互聯網使用和接入安全管理，組織開展本部門信息安全自查，協助運維部門完成對本部門的信息安全檢查工作。第三節 技術支持人員第九條 本規定所稱技術支持人員，是指參與公司網絡、計算機系統、機房環境等建設、運行、維護的內部技術支持人員和外包服務人員。第十條 公司內部技術支持人員在履行網絡和信息系統建設和日常運行維護職責過程中，應承擔如下安全義務：（1） 不得對外泄漏或引用工作中觸及的任何敏感信息。嚴格權限訪問，未經業務主管部門授權不得擅自改變系統設置或修改系統生成的任何數據。（2） 主動檢查和監控生產系統安全運行狀況，發現安全隱患或故障及時報告本部門主管領導，并及時響應、處置。（3） 嚴格操作管理、測試管理、應急管理、配置管理、變更管理、檔案管理等工作制度，做好數據備份工作。第十一條外部技術支持人員應嚴格履行外包服務合同（協議）的各項安全承諾。提供技術服務期間，嚴格遵守新生公司相關安全規定與操作規程，關鍵操作應經授權，并有新生公司內部員工在場。不得拷貝或帶走任何配置參數信息或業務數據，不得對外泄漏或引用任何工作信息。第四節 業務系統操作人員第十二條本規定所稱業務系統操作人員是指直接操作業務系統進行業務處理的業務部門工作人員。第十三條業務系統操作人員應承擔如下安全義務：（1） 嚴格規程操作，防止誤操作。定期修改操作密碼并妥