信息系统 · 操作规程
规范中心信息系统安全管理工作，提升中心整体信息安全保障能力和应急处置水平，切实保障中心计算机信息系统及设备的安全稳定运行。
本规程适用于中心信息化建设及信息系统日常安全运维管理工作，主要包括计算机主机系统、网络系统及应用系统的日常安全巡检，专项安全检查测评，安全整改加固以及安全事件应急处置等。
信息管理处设立安全管理员岗位，负责中心整体信息安全管理协调工作，主要包括日常信息安全巡检、各项安全检查评估的实施、信息系统安全整改加固、安全事件的应急处置、安全培训教育等。
信息管理处各个岗位管理员负责本岗位相关的安全检查配合工作，安全事件处置工作及安全整改加固实施工作。
信息安全服务商负责中心整体信息安全运维服务工作，主要包括信息安全检查、安全事件应急响应、项目方案安全性评估、安全整改加固配合、安全培训教育等工作。
信息安全巡检每月1次，一般在每个月的月底开展。由安全管理员组织信息安全服务商针对中心内外网在用服务器、网络和安全设备，内网综合办公平台和外网网上服务厅、微信公众号等公积金综合服务平台应用进行信息安全日志的采集和分析、漏洞扫描、渗透测试、系统运行状况检测等。流程如下：
(1) 每月月底，安全管理员和信息安全服务商约定本月信息安全巡检时间，并提前告知各岗位管理员，以便现场配合。
(2) 信息安全服务商在约定时间内，来中心开展信息安全巡检,安全管理员全程协助配合。安全管理员根据需要及时通知相关岗位管理员现场配合。
安全管理员应做好对安全服务商的监督管理工作，确保信息安全服务商在巡检过程中，严格遵守安全服务合同内容、保密条款及中心安全管理的相关规定，合法合规地开展工作。
(3) 巡检过程中，如果发现高危漏洞，需紧急处理，信息安全服务商应当场告知安全管理员，由安全管理员协调先期处理。
(4) 信息安全巡检结束后，安全管理员及时填写《计算机信息系统运维台账》，做好台账登记工作。
(5) 信息安全服务商在安全巡检结束后1周内提交详细的电子版巡检报告。巡检报告需包括巡检内容、存在问题及处理建议等。
(6) 安全管理员对巡检报告内容进行审核，确认无误后，将巡检报告上传至SVN服务器，以便信息管理处全员查阅。
信息安全检查测评工作主要包括信息系统网络安全等级保护测评、信息系统风险评估、以及上级主管部门开展的各类专项检查测评。信息安全检查测评工作流程如下：
(1) 根据安全检查测评工作要求，安全管理员编制安全检查测评方案，选择符合要求的安全检查测评备案机构开展检查测评工作。测评项目如需采购，则参照《计算机信息系统采购管理规程》办理采购手续。
对于上级主管部门开展的各类专项检查测评，信息管理处按文件通知规定做好配合执行工作。
(2) 安全检查测评机构按照相关文件要求、测评标准及流程开展专项测评工作。信息管理处各岗位管理员全程配合。
安全管理员应做好全程监督管理工作，确保安全检查测评机构严格遵守测评合同约定、保密条款及中心安全管理的相关规定，合法合规地开展测评工作。安全管理员应及时登记《计算机信息系统运维台账》。
(3) 测评结束后，安全测评机构在规定时间内提交测评报告给安全管理员，测评报告应包含测评标准、测评过程、测评结果、存在问题及建议等。
(4) 安全管理员对测评报告进行审核，确认无误后，将测评报告上传至SVN服务器，以便信息管理处全员查阅。相关纸质文档进行存档。
中心住房公积金综合办公平台已在市公安局进行了定级备案，级别为三级。第三级信息系统应当每年开展一次等保测评。信息系统在发生重大变更或级别发生变化时，应及时按照要求重新定级备案，并开展等保测评工作。
信息安全整改加固工作主要包括日常巡检发现问题的整改，各项检查测评后的整改以及各类临时突发性问题的整改。
(1) 安全管理员对检查报告中涉及的问题或突发性的问题进行初步分析，判断问题涉及范围及整改的难易程度。
对于较容易整改的问题，安全管理员与相关岗位管理员沟通确定整改内容和完成时间，然后在内网办公平台信息管理模块进行安全整改问题登记。登记时，应输入登记事项、计划完成时间、问题描述、整改责任人等，不同问题可分派给不同岗位的整改责任人，经过部门负责人和分管领导审核后，问题派发给整改责任人进行整改。
对于较难整改的问题，信息管理处召开内部整改讨论会，可邀请维保合作服务商、信息安全服务商、安全测评机构等对问题进行讨论，提出整改意见建议等。信息管理处根据讨论结果，确定整改内容、整改措施、完成时间及整改责任人，然后安全管理员在内网办公平台信息管理模块进行安全整改问题登记派发。处理流程同上。
(2) 相关岗位管理员在内网办公平台收到安全整改问题待办事项后，及时开展整改加固工作，安全管理员做好协助配合工作。
如果涉及到需要采购设备、调整网络架构、优化系统类的整改，相关岗位管理员应先编制整改加固方案，经领导审批后，按方案开展后续整改工作。
整改完成时间要求：对较容易整改的问题，原则上两周内完成整改；对于较难整改的问题或需编制整改方案再实施的，按照讨论后确定的时间点完成整改。
(3) 安全问题整改完成后，整改责任人在内网办公平台提交整改结果，必要时可上传附件详细说明整改情况。
(4) 安全管理员对整改结果进行确认，必要时可联系信息安全服务商或检查测评机构进行复测，确保已全部整改到位。
(5) 信息管理处部门负责人及分管领导在内网办公平台安全整改模块中可实时查看所有安全问题整改进展情况。
(6) 安全管理员全程协助配合各岗位管理员开展整改加固工作，并做好相关文档资料存档及《计算机信息系统运维台账》登记工作。各岗位管理员做好涉及各自岗位的文档资料存档及台账登记工作。
(1) 网络与信息安全事件发生后，应急处置工作小组应视事件严重程度及时启动安全事件应急预案，并按应急处置操作规程进行安全事件处置。
(2) 安全事件在先期处置的同时, 应急处置工作小组应根据安全事件的严重程度、影响范围等因素立即组织研判，确定安全事件级别，按要求向应急处置领导小组汇报情况或上报上级网信主管部门。
(3) 安全事件处置过程中，应急处置工作小组一方面协调安排安全事件应急处置技术人员采取必要技术措施，尽快控制信息安全事态；另一方面在控制事态基础上，及时应急处置，查找问题，排除故障，恢复信息系统的正常运行。
(4) 故障排除后，应急处置工作小组应对安全事件进行认真总结分析，查明详细故障原因 ，确保故障彻底解决。
(5) 信息安全事件结束后，相关责任人需在两周内通过内网邮箱向应急处置领导小组和工作小组提交详细的事件处置说明报告，必要时需按要求上报上级网信主管部门。
(6) 相关责任人开展后续安全整改加固工作。如果涉及到需要采购设备、调整网络架构、优化系统类的整改，应先编制整改方案，领导审批后，按方案开展后续整改工作。
(1) 每年年初，安全管理员按人教处要求在内网上报信息安全年度培训需求，确定培训主题、培训对象和培训时间段。
信息安全培训，可以是针对全体员工的信息安全意识提升培训，也可以是针对信息处员工的专业安全技能培训。视实际情况而定。每年至少开展一次培训。
(2) 在中心整体培训方案下，信息管理处按计划开展信息安全培训工作。可邀请信息安全服务商参与培训。
(3) 安全管理员按照培训管理要求，做好培训材料的准备、现场签到、培训结果上报等一系列工作。
(1) 所有文档资料按要求及时收集、整理。电子文档及时上传SVN，纸质台账及时登记。
(2) 由外部协作单位提交的文档，应督促外部协作单位在指定时间内提交。
(3) 每年年初将上一年度的纸质文档整理后移交本部门负责文档管理工作的岗位进行统一归档管理。
1、信息安全巡检时，安全管理员必须协助、配合外部协作人员的工作，同时做好外部协作人员的监督管理工作。
2、对服务器、网络设备和应用系统进行检测时，要尽量选择空闲时间段，避免对信息系统的正常运行产生影响。
3、巡检报告应及时提交，安全事件需及时上报。
4、安全管理员在检查过程中做好问题记录，并跟踪问题的整改情况，确保问题得到有效整改。
《中华人民共和国网络安全法》
中华人民共和国主席令（第五十三号）
全国人民代表大会常务委员会
《信息安全技术 网络安全等级保护基本要求》
GB/T22239-2019
国家市场监督管理总局，中国国家标准化管理委员会
1．《计算机信息系统运维台账》(电) QR-F-062
PAGE
PAGE 9