网络安全等级保护：安全管理制度

4个月前发布 SanS三石

18 0 0

安全管理制度

我们在等级保护中做了调整和安排。熟悉等级保护管理体系的朋友，至少是知道涵盖五个方面的内容，分别是：

——安全管理制度

——安全管理机构

——安全管理人员

——安全建设管理

——安全运维管理

也就是说，如果我们能够遵循ISO 27000去建设自己的网络安全管理制度体系，那么我们的管理制度体系是能够满足等级保护要求的。二者并没有违和的地方。

比如说，在ISO 27002中的“信息安全政策”这部分，与等级保护中“安全管理制度”其目的和方法论是一致的。首先ISO 27002的“信息安全政策”需要实现“依据业务要求和相关法律法规，为信息安全提供管理指导和支持”的目的，通过由管理者批准，并发布、传达给所有员工和外部相关方来控制。在最高层上，组织宜定义一个“信息安全方针”，该方针宜获得管理层批准，并建立组织管理其信息安全目的的方法。

而信息安全策略评审则宜按计划的时间间隔或当重大变化发生时进行信息安全策略评审，以确保其持续的适宜性、充分性和有效性。每个策略宜有专人负责，他对策略的制定、评审和评价具有被批准的管理责任。评审宜包括评估组织策略和信息安全管理方法的改进机会,以适应组织环境、业务状况、法律法规或技术环境发生的变化。信息安全策略评审宜考虑管理评审的结果。宜获得管理层对修订的策略的批准。

回到《网络安全等级保护基本要求》中的“安全管理制度”，面对的则是“安全策略、管理制度、制定和发布、评审和修订”，就是安全管理制度的方针策略、制定具体制度和操作规程以及制定和发布的合法性，对不适应的部分进行评审和修订。

安全策略是领导层决定的全面声明，是机构最高层的安全文件，阐明了机构网络安全工作的使命和意愿，明确了安全管理范围、网络安全总体目标和安全管理框架，规定了网络安全责任机构和职责，建立了网络安全工作运行模式等。

具体的安全管理制度应以安全策略为指导。对等级保护对象的建设、开发、运维、升级、改造等阶段和环节应当遵循的行为规范，以管理要求的方式进行限定。

应在安全策略文件的基础上，根据实际情况建立具体的安全管理制度。安全管理制度可以由若干单独的制度构成，也可以由若干分册制度构成，应覆盖但不限于机房安全管理、办公环境安全管理、网络和系统安全管理、供应商管理、变更管理、备份和恢复管理、软件开发管理等方面。在每个制度文档中，应明确该制度的使用范围、目的、需要规范的管理活动、具体的规范方式和要求等。

安全管理制度是对整个组织中不同相关部门的，制度需要有其权威性和适用性，所以对安全管理制度的制定和发布流程，需要进行严格的控制，以保证制度的正式性、科学性、适用性和权威。

同时，随着内外部环境的变化，制度不适应的情况时常发生，那么对制度记性评审和修订，也变得非常重要。安全管理制度体系制定并实施后，需要由网络安全领导小组或委员会定期对其适用性进行评审和修订。当发生重大安全事故、出现新的漏洞、技术基础结构发生变更时，需要对部分制度进行评审和修订，以适应外界环境和具体情况的变化。

总之，管理制度在制定过程中，需要有个方针策略，以方针策略为基础制定科学合理的相关制度，并以正式权威的方式进行发布，对制度中不适应的内容及时进行评审修订。制度的制定的好坏，直接影响实际工作。在工作中，我们发现非常多的单位对制度的理解，一直停留在“套模板”的水平，其实这类制度是无法发挥其作用的，这也就让这些人认为制度是无所谓的存在。

其实，我们在生活中之所以对法律敬畏，是因为一旦有人违法，就会被追究责任，其实法律则是一个高级的“管理制度”，没人会怀疑违反是需要受到处罚的，也没有人敢去随便找个模板不理解其含义就敢修订法律。所以，法律有其权威和威严，是因为和我们利益切身相关，而内部制度亦然。

参考：

网络安全等级保护基本要求

等级保护技术基础培训教程

网络安全等级保护基本要求应用指南

维基百科等互联网媒体等

网络安全等级保护基本技术系列

防火墙知识系列

网络安全等级保护：防火墙基础知识

网络安全等级保护：实施防火墙

网络安全等级保护：部署、选择、使用防火墙

网络安全等级保护：不同类型的防火墙

网络安全等级保护：防火墙实际应用

网络安全等级保护：使用单机防火墙

网络安全等级保护：Windows 11 防火墙

网络安全等级保护：Linux 防火墙

入侵检测知识系列

网络安全等级保护：入侵检测系统概念

网络安全等级保护：入侵检测组件和流程

网络安全等级保护：SIEM

网络安全等级保护：IDS/IPS规避技巧

网络安全等级保护：了解和实施 IDS

网络安全等级保护：了解和实施蜜罐

密码知识系列

网络安全等级保护：密码知识基础

网络安全等级保护：密码的历史

网络安全等级保护：二进制运算

网络安全等级保护：良好的加密及数字签名和证书

网络安全等级保护：隐写术及其分析

网络安全等级保护：量子计算和量子密码学

VPN知识系列

网络安全等级保护：虚拟专用网络介绍

网络安全等级保护：VPN基础技术

网络安全等级保护：点对点认证

网络安全等级保护：VPN之网络安全协议(IPsec)

网络安全等级保护：VPN之SSL/TLS及握手

网络安全等级保护：其他VPN协议

网络安全等级保护：实施VPN解决方案

网络安全等级保护：VPN的其他解决方案

操作系统知识系列

网络安全等级保护：强化操作系统介绍

网络安全等级保护：正确配置 Windows系统

网络安全等级保护：设置Windows安全策略

网络安全等级保护：账户锁定政策

网络安全等级保护：注册表设置

网络安全等级保护：限制空会话访问

网络安全等级保护：TCP/IP 堆栈设置

网络安全等级保护：关闭不必要的服务

网络安全等级保护：加密文件系统

网络安全等级保护：Windows下的安全模板

网络安全等级保护：正确配置 Linux

网络安全等级保护：加固修补操作系统

计算机病毒防范知识系列

网络安全等级保护：简析防范计算机病毒的合规要求

网络安全等级保护：了解计算机病毒攻击
 网络安全等级保护：了解计算机病毒骗局
 网络安全等级保护：各种病毒类型简介
 网络安全等级保护：恶意软件技术简介

网络安全等级保护：防病毒策略和程序及其他保护方法

网络安全等级保护：特洛伊木马介绍

网络安全等级保护：特洛伊木马特征及预防措施

网络安全等级保护：防御网络钓鱼

免责声明 本站提供的一切软件、教程和内容信息仅限用于学习和研究，不得用于商业或者非法用途，否则，一切后果请用户自负；本站信息来自网络收集整理，版权争议与本站无关，您必须在下载后的24个小时之内，从您的电脑或手机中彻底删除相应的内容；如果您喜欢该内容，请支持正版，得到更好的服务；我们非常重视版权问题，如有侵权请与我们联系，敬请谅解！邮箱：sanshi@sanshi.link