资产安全管理制度文档信息4-8资产安全管理制度第一章总则第一条本管理办法旨在对淄博市卫生和计划生育委员会内部重要的信息资产进行分类分级，以便对信息的分发和流转进行恰当的控制，确保信息资产的保密性、完整性和可用性能够实现。

第二条本管理办法适用于淄博市卫生和计划生育委员会。

第三条定义（一）本制度所涉及的信息包括各种存储或者存在形式，包括但不限于电子信息、纸质数据文件、语音和图像等。

（二）本制度所称信息是指以任何形式存在或传播的对我单位具有价值的内容，包括电子信息、纸质数据文件、语音图像等。

信息安全关注的是信息的保密性、可用性和完整性。

（三）本制度所称信息资产是指任何对本单位具有价值的信息的存在形式或者载体，包括计算机硬件、通信设施、IT环境、数据库、软件、文档资料、信息服务和人员等，所有这些资产都需要妥善保护。

第二章组织与管理第四条本单位各部门负责人是本部门信息资产管理的第一责任人，负责组织本制度的贯彻落实。

第五条全体员工理解并遵守本制度定义的内容。

第六条本制度定义以下相关角色，履行相应的信息安全管理、执行和审核职责。

（一）责任人，信息资产的创建者，或者主要用户所在单位或部门的负责人。

信息资产责任人对所属信息资产负直接责任。

其主要职责包括：1、理解和各种信息访问活动相关的安全风险；2、根据单位信息密级划分标准来确定所属信息资产的级别；3、根据单位相关策略确定并检查信息访问权限；4、针对所属信息资产提出恰当的保护措施。

（二）保管者，受信息资产责任人委托，对信息资产进行日常的管理，维护已经建立的保护措施。

资产保管者通常是本单位淄博市卫生和计划生育委员会或者代表（例如系统管理员）。

其主要职责包括：1、根据相关策略和信息资产责任人的要求，负责信息资产的维护操作和日常管理事务；2、负责具体设置信息访问权限；3、负责所管理的信息资产的安全控制；4、部署恰当的安全机制，进行备份和恢复操作；5、按照信息资产责任人的要求实施其他控制。

（三）用户，信息资产的使用者，除了本单位内部员工，也可能是因为业务需要而访问本单位信息的客户或第三方组织。

其主要职责包括：1、向信息资产责任人申请信息访问；2、按照单位信息安全策略要求正当访问信息，禁止非授权访问；3、向相关组织报告隐患、故障或者违规事件。

第三章资产管理要求第七条信息资产分类信息资产责任人应该指导进行相关资产的调查，资产调查以业务流程为线索，包括各类输入、中间环节和输出信息，所有这些信息资产都为业务流程的运转提供支持。

信息资产可以分为以下几大类。

（一）数据文件，通常包括各种电子文档：业务数据、客户数据、配置文件、记录数据（日志、审计记录）、管理文件（策略、流程文件、操作手册等）、商务文件（合同、协议等）。

也包括以实物方式存在的资产：各类电子数据的归档、打印件、书面管理文件、业务报表、包含重要商业成果的文件，还有胶片等。

（二）软件资产，各种系统软件、应用软件（OA、业务软件等）和工具软件（开发系统、网管软件、安全软件等），包括操作系统、数据库应用程序、网络软件、办公应用系统、业务系统程序、软件开发工具等，这些软件资产负责处理、存储或传输各类信息。

（三）实物资产，与业务相关的IT物理设备，包括计算机（工作站和服务器等）和网络通信设备、磁介质（磁带和磁盘等）、装置、环境等，这些实物资产容纳着软件和数据文件。

（四）人员，承担某项与业务活动相关责任的角色和职位。

例如普通用户、系统管理员、网络管理员、保安、清洁员等，这些人员与各类数据、软件和实物资产的操作直接相关。

（五）服务，安保（例如监控、门禁、保安等），环境服务（例如清洁），基础保障（供水、供热、供电），设备维护，通信服务（例如互联网接入）。

第八条信息资产分级标准保密性、完整性和可用性是评价资产的三个安全属性。

风险评估中资产的价值不是以资产的经济价值来衡量，而是由资产在这三个安全属性上的达成程度或者其安全属性未达成时所造成的影响程度来决定的。

安全属性达成程度的不同将使资产具有不同的价值，而资产面临的威胁、存在的脆弱性、以及已采用的安全措施都将对资产安全属性的达成程度产生影响。

（一）保密性赋值根据资产在保密性上的不同要求，将其分为五个不同的等级，分别对应资产在保密性上应达成的不同程度或者保密性缺失时对整个组织的影响。

下表提供了一种保密性赋值的参考。

表1.1资产保密性赋值表（二）完整性赋值根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上缺失时对整个组织的影响。

下表提供了一种完整性赋值的参考。

表1.2资产完整性赋值表（三）可用性赋值根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上应达成的不同程度。

下表提供了一种可用性赋值的参考。

表 1.3资产可用性赋值表（四）资产重要性等级资产重要性等级（资产价值）应依据资产在保密性、完整性和可用性上的赋值等级，由以下公式计算得出：A=ln[(e C + e I + e A)/3]通常，根据最终赋值将资产划分为五级，级别越高表示资产越重要，也可以根据组织的实际情况确定资产识别中的赋值依据和等级。

下表中的资产等级划分表明了不同等级的重要性的综合描述。

表1.4资产等级及含义描述第九条各部门根据业务流程列出信息资产清单并将每项资产的名称，对资产实施编号、标识管理，所处位置，资产价值，资产负责人等相关信息记录在《资产清单》，并每年以抽查形式验证《资产清单》与实际设备相一致。

第一节硬件安全管理第十条设备选型（一）业务系统设备的选型与采购由淄博市卫生和计划生育委员会负责。

（二）设备选型的原则是在满足工作需要的前提下，保证所选产品的先进性和实用性，避免过早被淘汰，但也不要搞超前消费而造成资金的浪费。

（三）选用或购置涉密设备时应符合有关规定，确保这些设备的可靠性。

第十一条设备购置与安装（一）对大宗采购的设备要在国内和国际厂商间进行招标，并根据厂商的产品性能、质量、价格和售后服务等指标做出优化选择，实行集中采购。

（二）下属机构购置的设备，都要填写购置申请表上报淄博市卫生和计划生育委员会，经淄博市卫生和计划生育委员会和其他相关部门审批后由相关部门负责购置。

（三）新购置的网络设备及网络安全产品应经过安全检测和实际测试，测试合格后方能投入使用。

（四）复杂的设备由厂商或集成商负责安装调试，保证设备的可靠运行。

（五）关键的设备由信息技术人员经过培训进行安装。

第十二条设备登记与使用（一）建立设备登记档案，详细记录每台设备的名称、规格、配置、装载软件、单价、购入日期、供货商、存放地点、使用部门、耐用年限等参数，关键设备应建立维护档案。

（二）设备应由网络管理员登记网络拓扑图，所有带网卡的设备都应登记网卡号，严格限定相应的网络权限。

（三）所有设备都应粘贴印有其设备编号、名称、类别、使用部门的标签，并填写一式两份的固定资产登记卡，一份交使用部门的行政秘书或负责人保管，另一份淄博市卫生和计划生育委员会保管。

（四）各部门及个人领用的设备应实行个人负责制，每台设备有专人负责管理和使用，不得随意转借，更不得交给无关人员使用。

（五）各部门间设备的调拨由调入部门填写设备调入申请单，由调入部门、调出部门及相关部门负责人签字同意后方可进行调拨。

（六）对于不再需要或长期闲置的设备，各部门应及时归还给资产管理部门，以充分发挥设备的使用价值。

第十三条设备维护（一）遵守定期维护检查制度，对关键设备的维护与维修要建立详细的维护档案，凡因疏于保养而造成的设备损坏或工作延误将追究当事人的责任。

（二）建立设备管理维护记录，实行维护记录制度。

对故障发生的时间、表现、采取的解决措施、结果及软硬件的升级情况等进行详细记录，并由系统管理员予以签字，以便今后解决故障。

（三）建立相关电子设备的维护和维修手册，详细记录各厂商的联系电话、服务热线等信息。

（四）设备自然使用损坏后，当事人需填写故障维修申请单报淄博市卫生和计划生育委员会，由淄博市卫生和计划生育委员会指派专人检查损坏情况后进行维修，对无法当时维修好的设备联系厂商或维修单位进行修理。

（五）非淄博市卫生和计划生育委员会指定维护人员不得私自拆卸电子设备、不得维修设备或更换零件，凡因此而造成的设备损坏或配件丢失由当事人负责赔偿。

（六）系统设备的扩容和升级应由淄博市卫生和计划生育委员会考察必要性和可行性，经领导批准后，统一安排购买配件和实施升级。

任何人不得自行联系设备升级。

（七）设备需要维修时，需填写《设备维修申请》。

第十四条设备报废（一）长期闲置或不再使用的设备可向淄博市卫生和计划生育委员会提出调拨或报废申请，由淄博市卫生和计划生育委员会根据设备的完好率、使用年限等因数决定进行调拨或报废。

（二）对各部门内确无使用价值的设备的报废申请，由淄博市卫生和计划生育委员会核准后报领导批准，并由财务室备案。

（三）由于使用人员重大责任事故而造成的部门内的设备报废，必须追究当事人的责任，经领导批准后，再作报废处理，并由财务室备案。

（四）各部门大额设备(单件购买价超过五万)的调拨和报废工作原则上采用各部门提申请，淄博市卫生和计划生育委员会审核批准的方式。

（五）设备报废依据财务管理办法和有关规定执行，对报废设备上保存的存贮介质要进行清除，防止泄密。

（六）形成《设备销毁记录》文件，其中需体现时间、地点、内容、责任人等信息。

第二节软件安全管理第十五条软件的选型（一）应用软件在开发或购买之前应正式立项，成立由技术人员、业务人员和管理人员共同组成的项目小组并建立软件质量保证体系。

（二）选用的软件必须是正版软件。

第十六条软件安全检测审查（一）软件在正式使用之前应进行必要的安全功能检测，保证业务能正常安全可靠的运行。

不得建立无关的用户，测试用户在完成测试后必须加以限制或删除。

（二）应用软件在正式投入使用前必须经过内部评审，确认系统功能、测试结果和试运行结果均满足设计要求，技术文档齐全，并经分管领导批准。

（三）重要的业务应用系统应具有如下安全特性：（四）自动记录全部操作过程；（五）关键数据不得以明码存放；（六）无法绕过应用界面直接查看或操作数据库；（七）系统管理与业务操作权限严格分开；（八）防止异常中断后非法进入系统；（九）提供超时键盘锁定功能；（十）业务数据在通信网络上以加密方式传输；（十一）应存储一年以上完整的系统运行记录；（十二）提供系统运行状态监控模块；（十三）提供数据接口，满足稽核、审计及技术监控的要求；（十四）其它有助于控制业务操作风险的功能特性。

（十五）系统软件应具备如下安全功能：（十六）身份验证功能，防止非法用户随意进入系统；（十七）访问控制功能，防止越权访问；（十八）故障恢复功能，能够自动或在人工干预下从故障状态恢复到正常状态而不致造成系统混乱和数据丢失；（十九）安全保护功能，对信息的交换、传输、存储提供安全保护；（二十）安全审计功能，便于应用系统建立访问用户资源的审计记录；（二十一）分权制约功能，支持对操作员和管理员的权限分离与相互制约。