第一章 总 则
第一条为加强和规范上海石化工业学校信息系统安全工作，提高信息系统整体安全防护水平，实现信息安全的可查、可视、可控，依据国家有关法律、法规的要求，特制定本制度。
第二条本制度的目的是为信息系统安全管理提供一个总体的策略性架构文件，该文件将指导信息系统安全管理体系的建立。信息安全管理体系的建立是为信息系统安全管理工作提供依据，以实现信息中心统一的安全策略管理，提高整体的网络与信息安全水平，确保安全控制措施落实到位，保障网络通信畅通和业务系统的正常运营。
第三条本制度适用于指导信息系统资产和信息技术人员的安全管理，适用于指导信息系统安全策略的制定、安全方案的规划和安全建设的实施，适用于安全管理体系中安全管理措施的选择。
第四条本制度所称信息系统包括上海石化工业学校外网网站、管理系统、办公系统等。
第五条引用标准及参考文件
本制度的编制参照了以下国家的标准和文件：
(一)《中华人民共和国计算机信息系统安全保护条例》
(二)《关于信息安全等级保护建设的实施指导意见》（信息运安〔2009〕27 号）
(三)《信息安全技术 信息系统安全等级保护基本要求》（GB/T 22239-2008）
(四)《信息安全技术 信息系统安全管理要求》（GB/T 20269—2006）
(五)《信息系统等级保护 安全建设技术方案设计要求》（报批稿）
(六)《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安[2009]1429号）
第二章 方针、目标、原则、要求
第六条信息系统安全坚持“安全第一，预防为主，管理和技术并重，综合防范”的总体方针，实现信息系统安全可查、可视、可控。依照“分区、分级、分域”总体安全防护策略，执行信息系统安全等级保护制度。信息网络分为生产专网、政务内网、政务外网、互联网，实现“专网专用、专机专用”。
第七条信息系统安全总体目标是确保信息系统持续、稳定、可靠运行和确保信息内容的机密性、完整性、可用性，防止因信息系统本身故障导致信息系统不能正常使用和系统崩溃，抵御黑客、病毒、恶意代码等对信息系统发起的各类攻击和破坏，防止信息内容及数据丢失和失密，防止有害信息在网上传播，防止对外服务中断和由此造成的系统运行事故。
第八条信息安全工作的总体原则
(一)基于安全需求原则：上海石化工业学校应根据其信息系统担负的使命，信息资产的重要性，可能受到的威胁及面临的风险分析安全需求，按照信息系统等级保护要求确定相应的信息系统安全保护等级，遵从相应等级的规范要求，从全局上恰当地平衡安全投入与效果；
(二)领导负责制原则：主管领导应明确统一的信息安全保障宗旨和政策，负责提高员工的安全意识，组织有效的信息安全保障队伍，调动并优化配置必要的资源，协调信息安全管理工作与各部门工作的关系，并确保其落实、有效；
(三)全员参与原则：信息系统所有相关人员（信息系统的使用者、管理者等）应普遍参与信息系统的安全管理，并与相关方面协同、协调，共同保障信息系统安全；
(四)持续改进原则：安全管理是一种动态反馈过程，贯穿整个安全管理的生存周期，随着安全需求和系统脆弱性的时空分布变化，威胁程度的提高，系统环境的变化以及对系统安全认识的深化等，应及时地将现有的安全策略、风险接受程度和保护措施进行复查、修改、调整，提升信息安全管理水平，维护和持续改进信息安全管理体系的有效性；
(五)分权和授权原则：对特定职能或责任领域的管理功能实施分离、独立审计，避免权力过分集中所带来的隐患，以避免未授权的修改或滥用。任何实体（如用户、管理员、进程、应用或系统）仅享有该实体需要完成其任务所必须的权限，不应享有任何多余权限；
(六)分等级保护原则：按等级划分标准确定信息系统的安全保护等级，实行分等级保护；对多个子系统构成的大型信息系统，确定系统的基本安全保护等级，并根据实际安全需求，分别确定各子系统的安全保护等级，实行多级安全保护；
(七)管理与技术并重原则：坚持积极防御和综合防范相结合，全面提高信息系统安全防护能力，立足实际，采用管理与技术相结合，管理科学性和技术前瞻性结合的方法，保障信息系统的安全性达到所要求的目标；
(八)自保护和国家监管结合原则：对信息系统安全实行自保护和国家保护相结合。组织机构要对自己的信息系统安全保护负责，政府相关部门有责任对信息系统的安全进行指导、监督和检查，形成自管、自查、自评和国家监管相结合的管理模式，提高信息系统的安全保护能力和水平，保障国家信息安全。
第九条在规划和建设信息系统时，信息系统安全防护措施应按照“三同步”原则，与信息系统建设同步规划、同步建设、同步投入运行。
第十条信息安全工作要求
(一)信息化主管部门必须建立和完善信息安全管理规章制度和操作程序，规范和加强信息安全管理工作，所有员工必须遵守与其相关的信息安全规章制度。
(二)加强内部人员安全管理，依据最小特权原则清晰划分岗位，在所有岗位职责中明确信息安全责任，要害工作岗位实现职责分离，关键事务双人临岗，重要岗位要有人员备份，定期进行人员的安全审查。
(三)所有员工都应签署保密协议，并接受信息安全教育培训，提高安全意识，及时报告网络与信息安全事件。
(四)必须加强第三方访问和外包服务的安全控制，在风险评估的基础上制定安全控制措施，并与第三方公司和外包服务公司签署安全责任协议，明确其安全责任。
(五)各信息资产使用部门必须加强信息资产管理，建立和维护信息资产清单。信息化主管部门对信息资产使用部门进行业务指导和监督，维护最新的网络拓扑图，建立信息资产责任制，对信息资产进行分类管理。
(六)加强机房和办公区域的信息安全管理，为设备的正常运行提供物理和环境安全保障。
(七)建立日常维护操作规程和变更控制规程，规范日常运行维护操作，严格控制和审批任何变更行为。
(八)加强项目建设的安全管理，配套安全系统必须与业务系统“同步规划、同步建设、同步运行”，加强安全规划、安全审批、安全验收管理。
(九)建立信息安全运维作业计划，严格执行运维作业计划，加强对设备、操作系统、数据库、应用系统的运行监控，编写日常运行维护报告。
(十)部署物理层面、网络层面、主机层面、应用层面的访问控制、安全审计、安全监控技术等措施，保障业务系统的安全运行。
(十一) 增强信息系统安全配置，定期进行安全评估和安全加固。
(十二) 制定业务系统的应急预案，定期更新、维护和演练，做好数据备份工作，保证数据的安全。
(十三) 加强用户帐号和权限管理，按照最小特权原则为用户分配权限，避免出现越权行为。
(十四) 加强应用系统的安全管理，包括软件开发安全管理、投产测试和上线安全管理、应用软件版本和配置管理，加强外包开发的业务系统软件的安全管理。
(十五) 建立安全检查制度和安全处罚制度，对违反规章制度的部门和人员按照规定进行处罚。
第三章 组织保障
第十一条 设立由校领导组成的信息安全领导小组，校长担任信息安全领导小组组长，负责信息安全管理领导工作；各条线副校长担任信息安全领导小组成员，信息安全领导小组办公室设在校综合办公室。
第十二条 设立信息安全工作小组，由主管安全工作的校领导担任信息安全工作小组组长，信息中心负责人担任副组长并负责日常信息安全工作，相关科室职能部门（校综合办公室、人事科、信息中心）负责人及工作人员担任信息安全工作小组成员，协助落实信息安全相关工作。信息安全工作小组办公室设在信息中心。
第十三条 校综合办公室负责信息安全规章制度的组织制定、协调发布，组织对信息安全规章制度的有效性和可用性进行审查，负责对学校门户网站的文章进行审核与发布。
第十四条 人事科根据信息安全领导小组的要求，负责指导、落实、监督和检查信息安全管理工作；负责人员安全方面的管理工作，包括人员录用、人员离岗、人员考核、安全意识教育和培训等方面管理工作。
第十五条 信息中心负责信息系统安全规划和建设等工作。
第十六条 信息中心负责信息系统的日常安全管理和日常运维工作，中心信息资产管理、信息化设备采购及维修的管理工作，并协助校综合办公室完成信息安全规章制度的制定、修订和完善。
第十七条 各部门积极配合信息安全工作小组完成相关的信息安全管理工作。
第四章 附 则
第十八条 本制度由信息安全领导小组负责解释。
第十九条 本制度正式发布之日起执行。