安全管理體系設計包括安全策略和管理制度建設、安全管理機構和人員建設、安全建設管理，及安全運維管理等幾個部分。

安全策略和管理制度設計

安全策略和管理制度是對信息安全目標和工作原則的規定，其表現形式是一系列安全策略體系文件。安全策略和管理制度是信息安全保障體系的核心，是信息安全管理工作、技術工作和運維工作的目標和依據。具體安全策略和管理制度可參考以下內容建設：

· 設立信息安全管理工作的職能部門，設立安全主管人、安全管理各個方面的負責人，定義各負責人的職責；

· 設立系統管理人員、網絡管理人員、安全管理人員崗位，定義各工作崗位的職責；

· 成立指導和管理信息安全工作的委員會或領導小組，其最高領導應由單位主管領導委任或授權；

· 制定文件明確安全管理機構各部門和崗位的職責、分工和技能要求；配備安全管理專職人員，不可兼任；

· 授權審批部門及批準人，對關鍵活動進行審批；建立各審批事項的審批程序，按照審批程序執行審批過程；

· 信息安全職能部門應定期或不定期召集相關部門和人員召開安全工作會議，協調安全工作的實施；

· 信息安全領導小組應定期召開例會對信息安全工作進行指導、決策；

· 加強與供應商、安全企業、安全機構的合作與溝通，獲取信息安全的最新發展動態；

· 聘請信息安全專家，作為常年的安全顧問，指導信息安全建設，參與安全規劃和安全評審；

· 由安全管理人員定期進行安全檢查，檢查內容包括用戶賬號情況、系統漏洞情況、系統審計情況等；

· 由安全管理部門定期進行全面安全檢查，檢查內容包括現有安全技術措施的有效性、安全配置與安全策略的一致性、安全管理制度的執行情況等；

· 制定、實施安全檢查，匯總安全檢查數據，形成安全檢查報告，并對安全檢查結果進行通報。

安全管理機構和人員管理設計

安全管理機構和人員管理建設將決定整個安全管理體系的成敗。信息安全領導小組應由單位高層領導和有關部門的管理人員組成，負責協調、指導及管理信息安全各個方面的工作。

人員安全管理應作為安全管理的重中之重，需要重點考慮人員錄用、人員離崗、安全意識教育和培訓，以及外部人員管理等。信息安全領導小組應履行如下職責：

· 就整個單位的信息安全策略方針和責任達成一致；

· 就信息安全的重要和原則性的方法、處理過程達成一致，并提供支持，如風險評估、信息分類方法等；

· 確保將安全作為制定業務系統建設和維護計劃的重要部分；

· 授權對安全控制措施是否完善進行評估，并協調新系統或新服務的特定信息安全控制措施的實施情況；

· 審查重大的信息安全事故，制定改進措施；

· 審核信息安全建設和管理的重要活動，如重要安全項目建設、重要安全管理措施出臺等。

安全建設管理

安全建設管理應貫穿到信息系統整個生命周期，在系統審批、建設、安全定級與備案、安全方案設計、軟件開發與實施、驗收與測試、系統交付與等級測評，以及服務商選擇等過程均需要進行安全管理。

安全運維管理

安全運維管理是整個系統安全運營的重要環節，其內容涵蓋機房環境管理、資產管理、介質管理、設備管理、漏洞和風險管理、網絡及系統安全管理、惡意代碼防范、配置管理、密碼管理、變更管理、備份與恢復管理、安全應急處置，以及安全服務管理工作等內容。具體如下：

機房環境管理

在機房環境管理中需要對機房供配電、空調、溫濕度控制等設施指定專人或專門部門定期進行維護管理；

同時還應建立機房安全管理制度，對機房人員出入、物品帶進帶出和機房環境安全等方面作出規定；配置電子門禁系統和監控錄像系統，對機房出入人員實行電子記錄和監控錄像。

資產管理

針對資產管理，應建立資產安全管理制度，規定信息系統資產管理的責任人員或責任部門，規范資產管理和使用的行為；編制并保存與信息系統相關的資產、資產隸屬關系、安全級別和所處位置等資產清單。

同時應根據資產的重要程度對資產進行定性賦值和標識管理，根據資產的價值選擇相應的管理措施，確定信息分類與標識的原則和方法，對信息的使用、傳輸和存儲作出規定。

介質管理

應建立介質安全管理制度，對介質存放環境、使用、維護和銷毀等方面作出規定；如介質的歸檔和查詢須有記錄，并對存檔介質的目錄清單定期盤點。除此之外，還應對存儲介質的數據安全進行管理和防范，具體如下：

· 對于需要送出維修或銷毀的介質，應采用多次讀寫覆蓋，清除介質中的敏感或重要數據，防止數據泄露；

· 根據數據備份需要對某些介質實行異地存儲，存儲地的環境要求和管理方法應與本地相同；

· 根據所承載數據和軟件的重要程度對介質進行分類和標識管理，并實行專人管理；

· 對介質物理運輸過程中人員選擇、打包、交付等情況進行控制；

· 保密性較高的信息存儲介質未經批準不得自行銷毀，銷毀時必須做到雙人監銷，銷毀記錄應妥善保存；

· 重要數據存儲介質帶出工作環境應采取加密方式，并進行監控管理；

· 對存放的介質定期進行完整性和可用性檢查，確認其數據或軟件沒有受到損壞或丟失。

設備維護管理

· 對信息系統相關的各種設備、線路等指定專人或專門部門定期進行維護管理；

· 對信息系統的各種軟硬件設備的選型、采購、發放或領用等過程建立申報、審批管理規定；

· 對終端計算機、工作站、便攜機、系統和網絡等設備的操作和使用進行規范化管理；

· 按操作規程實現服務器的啟動/停止、加電/斷電等操作，加強對服務器、網絡設備等重要設備或系統的日志文件檢查和監控；

· 建立軟硬件設備維護管理制度，包括明確維護人員的責任、涉外維修和服務的審批、維修過程的監督控制等；

漏洞和風險管理

針對漏洞和風險管理，需要通過漏洞掃描系統對發現的系統安全漏洞進行及時修補；需要定期安裝最新補丁程序，對重要漏洞進行及時修補；定期開展安全測評，形成安全測評報告，采取措施應對發現的安全問題。

網絡和系統安全管理

· 指定專人對網絡進行管理，負責運行日志、網絡監控記錄的日常維護和報警信息分析處理工作；

· 對網絡設備和系統的安全策略維護、配置文件更改進行流程審批；

· 通過身份鑒別、訪問控制等措施限制遠程管理賬戶的操作行為；

· 指定專人對系統進行管理，刪除或者禁用不使用的系統缺省賬戶；

· 對能夠使用系統工具的人員及數量進行限制和控制；

· 根據業務需求和系統安全確定系統的訪問控制策略、文件及服務的訪問權限；

· 對系統賬戶進行分類管理，權限設定應當遵循最小授權要求；

· 對于賬戶安全管理的執行情況進行檢查和監督，定期審計和分析用戶賬戶的使用情況；

· 定期檢查違反規定無線上網及其他違反網絡安全策略的行為。

惡意代碼防范管理

· 提高全體員工的網絡病毒、惡意代碼安全防范意識，及時升級防病毒軟件；

· 在讀取移動存儲設備上的數據以及接收文件或郵件之前，先進行病毒檢查；

· 對防惡意代碼軟件的授權使用、惡意代碼庫升級、定期匯報等作出明確管理規定；

· 定期檢查惡意代碼庫的升級情況并進行記錄，對防病毒軟件、防病毒網關上截獲的危險病毒或惡意代碼進行及時分析處理，形成書面報表和總結匯報。

配置管理

應建立對包括網絡拓撲結構、設備和系統安裝的服務組件、組件版本和補丁信息、設備或系統的配置參數等進行記錄和保存的管理模式；建立配置信息變更流程，及時更新配置信息庫。

密碼管理

密碼管理環節需要建立密碼使用管理制度，保證密碼算法使用符合國家密碼管理規定。

變更管理

· 建立變更管理制度，重要系統變更前需經過申請審批，變更和變更方案經過評審、審批后方可實施變更；

· 應建立變更控制的申報和審批程序，如變更影響分析應文檔化，變更實施過程應記錄，所有文檔記錄應妥善保存；

· 應明確變更過程控制方法和人員職責，必要時恢復過程應經過演練；

備份與恢復管理

· 識別需要定期備份的重要業務信息、系統數據及軟件系統等；

· 規定備份信息的備份方式（如增量備份或全備份等）、備份頻度（如每日或每周等）、存儲介質、保存期等；

· 根據數據的重要性和對系統運行的影響程度，制定數據備份和恢復策略；備份策略應指明備份數據的放置場所、文件命名規則、介質替換頻率和離站運輸的方法；

· 指定相應的負責人定期維護和檢查備份及冗余設備的運行狀況，確保需要接入系統時能夠正常運行；

· 建立數據備份和恢復過程控制程序，如備份過程應記錄，所有文件和記錄應妥善保存；

· 建立備份及冗余設備的安裝、配置、啟動、操作及維護過程控制的程序，如記錄設備運行過程狀況，所有文件和記錄應妥善保存；

· 定期執行恢復程序，檢查和測試備份介質的有效性，確保可在規定的時間內完成備份恢復。

安全事件處置

· 制定安全事件報告和處置管理制度，如規定安全事件的現場處理、事件報告和恢復的管理職責；

· 了解本系統和同類系統已發生的安全事件，識別本系統需要防止發生的安全事件，如可能來自攻擊、錯誤、故障、事故或災難；

· 根據安全事件在本系統產生的影響，將安全事件進行等級劃分；

· 制定的安全事件報告和響應處理程序，如確定事件的報告流程，響應和處置的范圍、程度，以及處理方法等；

· 在安全事件響應處理過程中，應分析和鑒定事件產生的原因，收集證據，記錄處理過程，總結經驗教訓。

應急預案管理

· 應在統一應急預案框架下制定不同事件的應急預案。應急預案框架應包括啟動應急預案的條件、應急處理流程、系統恢復流程，以及教育和培訓等內容；

· 應從人員、技術和財務等方面確保應急預案執行有足夠的資源保障；

· 進行人員進行培訓，以了解如何及何時使用應急預案中的控制手段及恢復策略，對應急預案的培訓至少每年舉辦一次；

· 應急預案須定期演練，應根據不同的應急恢復內容，確定演練周期。

外包運維管理

· 應與外包運維服務商簽訂服務協議，約定外包運維的范圍和內容；

· 建立外包運維服務商審核評定機制，保證其在技術和管理方面具有等級保護要求的安全運維能力；

· 與外包運維服務商簽訂的協議中應明確所有安全要求，如可能涉及對敏感信息的訪問、處理、存儲要求，對基礎設施中斷服務的應急保障要求等。

安全評估服務

安全風險評估服務將提供如下安全服務：

· 評估和分析網絡上存在的技術和管理風險；

· 梳理業務訪問關聯關系，分析業務運作和管理方面存在的安全缺陷；

· 調查信息系統的現有安全控制措施，評價業務安全風險承擔能力；

· 評價風險的優先等級，據此提出風險控制措施建議。

滲透測試服務

現有業務系統的安全性與否可以通過滲透測試服務來進行測試和驗證；針對現有安全防御措施是否發生最大效用也可以通過滲透測試服務來檢測；

因此，通過滲透測試服務可以盡早發現現有安全技術和管理措施是否存在隱蔽性的安全弱點。

源代碼審計服務

通過源代碼審計服務可以發現軟件代碼的隱形缺陷和編碼設計錯誤；

通過源代碼審計服務可以提供代碼安全性驗證，防止由于人為失誤或有意嵌入惡意代碼情況；還可以為軟件安全編碼提供技術指導和支持。

安全加固服務

安全加固服務可以針對系統和網絡中存在的安全漏洞、配置錯誤、設計錯誤等安全問題進行安全性加固和修復。

安全值守服務

安全值守服務是針對網絡中大量安全設備、安全措施、安全策略的日常維護和檢查，而自身安全運維力量比較薄弱的情況下量身定做的現場安全運維服務。采用安全值守服務可以有效保障系統及網絡安全運維的安全性和可靠性。

安全培訓服務

安全培訓主要是從人員的角度出發來強化安全知識以增強抵御攻擊的能力，主要培訓建議如下：

· 安全基礎知識培訓：主要對普通人員提供個人計算機使用的基本安全知識，提高個人計算機系統的安全防范能力。

· 安全管理培訓：主要對安全管理員進行系統安全管理培訓，強化信息人員的安全技術水平。

· 安全技術培訓：主要針對安全運維人員、系統維護人員提供安全技能及相關安全技術知識培訓。

· 安全認證培訓：主要針對安全運維人員、網絡管理人員、系統管理人員提供系統化、體系化的安全知識技能培訓，并通過國家專業安全機構的資格認證考試，提供人員自身安全技術能力。