关于安全管理机构的管理标准
1.引言
本规范作为 XX 信息通信分公司（以下简称“公司”）信息安全规范的重要组成
部分，阐述了公司在安全机构管理方面的基本方法和原则，确定了在信息安全机构
管理方面的职责和义务，明确了公司建立安全组织机构、设立要害岗位、授权与审
批方面的关系和作用。
2.范围
本规定适用于指导公司建立信息安全机构，
本规定适用于指导公司编制信息安全机构管理办法
3.规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款。凡注明日期的引用
文件，其随后所有的修改单或修订版均不适用于本标准（不包括勘误、通知单），
然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡未
注日期的引用文件，其最新版本适用于本标准
《信息安全技术 信息系统安全保障评估框架》（GB/T -2006）
《信息安全技术 信息系统安全管理要求》（GB/T 20269-2006 ）
《信息安全技术 信息系统安全等级保护基本要求》（GBT 22239-2008）
本标准未涉及的管理内容，参照国家、电力行业、南方电网公司的有关标准和
规定执行。
4.总则
为规范公司信息安全管理工作，建立健全管理体系和管理机制，需建立健全相
应的组织管理体系。
建立组织管理体系是为了建立自上而下的信息安全工作管理体系，确定安全管
理组织机构的职责，统筹规划、专家决策，以推动信息安全工作的开展。
5.信息安全组织体系构架
信息安全组织结构
公司应设置独立于各部门、各下级机构职责的信息安全工作组，负责全企业范
围的信息安全管理、维护和执行工作。信息安全工作组共分为两个小组，形成两层
结构：领导小组和工作小组。
图表 1 信息安全工作组结构
设立的信息安全领导小组，该小组是信息安全的最高决策机构。信息安全领导
小组组长可由分管信息的副总担任，信息安全领导小组的成立应该由相应机构正式
发文，并说明领导小组及办事机构的职能和人员组成。
工作小组由负责本地的信息安全管理和维护，并向供电局信息安全工作小组反映
信息安全执行情况。
信息安全工作组基本职责
根据国家和行业有关信息安全的政策、法律和法规，批准公司计算机信
息系统的安全政策；
根据公司总体安全规划制定企业信息系统建设的详细安全计划并组织实
施；
负责对安全策略体系进行管理和维护，并据此制定信息安全管理制度；
对各执行工作组提出的工作计划、建议、办法和措施进行决策；
监督和指导企业范围的信息安全工作的贯彻和实施；
组织企业全体技术人员和普通员工的安全技术交流与培训；
直接负责企业信息系统的安全管理和维护工作；
参与企业信息系统相关的新工程建设和新业务开展的方案论证，并提出
安全方面的相应建议；
在企业信息系统相关的工程验收时，对信息安全方面的验收测试方案进
行审查并参与验收；
参加国家电力行业及省公司召开的信息安全的重大活动；
每月至少组织信息安全工作组成员进行一次企业范围的信息安全巡检；
授权信息安全管理员处理日常工作。
安全职责的分配
信息系统中包括以下信息系统安全责任人和维护人。
安全责任人
公司信息部门负责管理网络设备、服务器，以及安全设备，作为底层系
统的安全责任人。信息部门可指派网络管理员、服务器管理员、安全设备管理员负
责相应的资产；
公司业务部门负责管理具体业务系统的运行和数据资源的安全性，作为
业务系统数据资产的安全负责人；
公司业务部门负责基于业务使用需要，分配必要的访问权；
公司和业务部门每年需要审查资产的访问权限。
安全维护人
a)公司是支持和维护网络与信息资产的人员；
b)公司根据所保管的信息的保密类别来确定相应的实物资产的安全管理流程，
包括物理保护及程序性保护，以确保网络与信息资产责任人所要求的机密性、完整
性和可用性；
c)公司应确保适当的安全措施到位，并可以适度向下委派。如若需要，可以确
定备用联络人；
d)公司应保留责任人的名单；
e)公司应通知责任人其所应承担的安全职责。
6.岗位的安全职责
公司中设立以下岗位角色，分别负责不同的工作内容，确保信息系统的安全运
行，岗位人员安排如下：
安全管理员
主要是指公司安全管理员岗位。其安全职责包括：
1)负责信息安全工作的具体实施和有关信息安全问题的处理，根据信息安全事
件的处理情况和对网络系统安全检测的结果，提交事件处理报告；
2)根据网络系统安全需求，定期提出网络系统安全整改意见，上报信息安全工
作组领导；
3)组织企业定期的信息安全巡检，并在其他管理员的协助下建立完整的安全巡
检报告，及时向组长提交报告，汇报网络的信息安全现状；
4)指导和监督其他管理员和普通用户与安全相关的工作，为他们的安全改进提
供建议；
5)监控信息系统的安全需求变化，及时获取来自其他管理员和普通用户的安全
意见，进行必要的安全策略体系修订；
6)信息安全工作组涉及的岗位职责，处理信息安全工作组核准的其它事务。
网络管理员
主要是指公司网络管理员岗位。其安全职责包括：
负责对所管理网络设备的日常运行、管理和维护，保持系统处于良好的运行状
态；
接受安全管理员的安全整改建议，对网络设备进行必要的安全性增强；
参加定期的信息安全巡检，并记录巡检结果，在巡检结束后提交给安全管理员，
配合安全管理员完成信息安全巡检报告；
在每个网络系统工程验收后，应对工程所涉及的网络设备、网络服务作相应的
安全设置，删除设备的测试账号，对需要保留的账号口令重新进行设置，并且在口
令的设置上要符合保密性要求；
编制网络设备的维修、报损、报废计划，报 XX 公司相关部门审核；
监控信息系统的安全需求变化，及时获取来自其他管理员和普通用户的安全意
见，进行必要的安全策略体系修订；
信息安全工作组涉及的岗位职责，处理信息安全工作组核准的其它事务。
系统管理员
主要是指公司的系统管理员岗位。其安全职责包括：
负责对所管理的主机系统的日常运行、管理和维护，保持系统处于良好的运行
状态；
接受安全管理员的安全整改建议，对主机系统进行必要的安全性增强；
参加定期的信息安全巡检，并记录巡检结果，在巡检结束后提交给安全管理员，
配合安全管理员完成信息安全巡检报告；
在每个网络系统工程验收后，对工程所涉及的主机系统作相应的安全设置，删
除系统的测试账号，对需要保留的账号口令重新进行设置，并且在口令的设置上要
符合保密性要求；
编制计算机设备的维修、报损、报废计划，报企业相关部门审核；
监控信息系统的安全需求变化，及时获取来自其他管理员和普通用户的安全意
见，进行必要的安全策略体系修订；
信息安全工作组涉及的岗位职责，处理信息安全工作组核准的其它事务。
应用管理员
主要是指公司的业务应用系统管理员岗位。其安全职责包括：
a)负责对所管理的业务应用系统的日常运行、管理和维护，保持系统处于良好
的运行状态；
b)接受安全管理员的安全整改建议，对应用系统进行必要的安全性增强；
c)参加企业定期的信息安全巡检，并记录巡检结果，在巡检结束后提交给安全
管理员，配合安全管理员完成信息安全巡检报告；
d)在每个业务应用系统工程验收后，对工程所涉及的业务应用系统作相应的安
全设置，删除系统的测试账号，对需要保留的账号口令重新进行设置，并且在口令
的设置上要符合保密性要求；
e)监控信息系统的安全需求变化，及时获取来自其他管理员和普通用户的安全
意见，进行必要的安全策略体系修订；
f)信息安全工作组涉及的岗位职责，处理信息安全工作组核准的其它事务。
项目管理员
主要是指公司的项目管理员岗位。其安全职责包括：
负责各公司信息相关项目的项目生命周期管理；
审核所管理项目的设计对公司信息安全的影响；
审核所管理项目的实施中贯彻设计中信息安全相关的内容；
参加信息系统技术事故、安全事件、信息泄密事件等安全事故的事故分析和调
查处理。
安全联络员
安全由企业的各个职能部门各抽取一名员工兼任。其安全职责包括：
1)负责企业信息安全策略的宣传，协调部门内部的信息安全执行工作；
2)严格遵循企业的安全管理实施指南的相关安全要求；
3)配合企业的信息安全巡检，完成信息安全检查工作。
资料管理员
主要是指公司的资料管理员岗位。其安全职责包括：
存放收藏每天运营生产系统的数据备份资料载体及产生的相关书面文档；
信息系统方案文档(施工规划、网络设计、软件设计、硬件设计、安全设计、
网络拓扑、网络布线、电力布置、卫星天线工程图及技术参数等)的整理收藏工作；
每月进行计算机软件载体(光盘、软盘等)以及软件(自行开发的软件源代码、软
件设计书、使用说明书等)资料清点工作；
中心机房的软硬件系统、设备的技术资料(产品手册、使用手册、相关单据)整
理汇总保管；
其他有关的文档管理(各种工作规章制度、个人工作日志、培训计划、办公文
件归档等)；
信息安全工作组涉及的岗位职责，处理信息安全工作组核准的其它事务。
终端人员
是指企业的办公终端用户。其安全职责包括：
1)配合安全管理员进行终端的安全检查和安全加固工作；
2)严格遵循企业的安全管理实施指南的相关安全要求；
3)配合企业的信息安全巡检，完成信息安全检查工作。
7.授权与审批
为加强公司信息系统的安全管理工作，规范明确各部门授权与审批方面的工作，
贯彻执行授权与审批事项是各项工作顺利开展的基础；审批表单也应有专门人员保
存理管。
系统投入使用的审批
系统安装调试场地应该受控制并用使用部门人员陪同，必须保证与在线
运行的应用系统隔离或远离应用系统，避免重大问题的发生；
系统安装调试无误后，使用部门人员填写《系统上线申请授权审批表》，
经部门负责人批准后，报信息系统运行管理部门审批；
审批同意后，系统安装调试人员、使用部门人员协同信息安全管理员对
系统各项安全情况进行检查。不符合公司安全要求的责令使用部门调整，直到符合
公司安全规定才签字批准；
所有审批完成，系统上线执行人员才可以进行系统上线工作；
访问控制变更的审批
各应用系统部门如需要增加设置或修改网络访问控制策略必须经过授权，
由需求单位填写《网络访问控制策略变更审批表》（参见附表），经信息管理部门
负责人批准后实施；
网络管理员应依据经过批准的访问控制策略进行网络访问控制的设置和
修改；
只有网络管理员和网络安全审计员才有权登录网络设备，发生人员变更
后，应及时更改网络设备帐户和口令设置；
应用系统管理员、审计员账户的审批
应用系统管理员、审计员账户的授权由系统运行维护单位填写《应用系
统账户授权审批表》（参见附表）；
经信息系统运行管理部门负责人批准后进行设置；
应用系统管理员与审计员应根据角色给予不同权限；
信息安全员确保相应账户是职责所需最小权限；
业务应用的账户审批
用于业务应用的账户的授权由使用单位填写《业务应用的账户授权审批
表》（参见附表）；
经业务管理部门及信息系统运行管理部门负责人批准后，由应用系统管
理员进行设置；
信息安全员确保相应账户是职责所需最小权限；
防火墙配置变革审批
防火墙配置要求人员与单位填写《防火墙配置变更审批表》（参见附表）；
防火墙设备安全规则的设置、更改，应该得到信息系统运行管理部门负责人的
批准，由系统管理员具体负责实施；
远程访问控制审批
需要远程访问的人员提交策略的制定、修改应提出申请，填写《访问策略变更
审批表》；
经信息部门负责人审批同意后方可按照策略制定、修改有关设备的配置，并要
求做好相关的记录；
8.沟通与合作
沟通让公司了解到国家与行业最新安全发展趋势与动态，为公司信息安全全面、
健康发展提供了宝贵意义。
公司应该定期进行信息安全方面的会议，研究审计发现存在的安全隐患，协作
处理信息安全问题。
公司加强与南方电网、兄弟单位、公安机关、电网公司沟通与合作，完善信息
安全建设。
建立外联单位联系列表，包括外联单位名称、联系人和联系方式、合作内容等
信息。
聘请信息安全专家团队提供常年的安全顾问服务，指导公司信息安全的规划与
建设。
9.安全检查
公司安全管理员应组织对供电局范围内网络设备、主机、终端等进行定期的信
息安全技术巡检，从技术上对不同业务系统或不同部门的设备进行抽样检查，发现
普遍存在的安全问题。为了实现安全审计的独立性和公平性，公司可以请第三方的
安全服务厂商协助进行定期的信息安全技术巡检，或者组织不同区域的信息部门进
行交叉技术巡检。
公司安全管理员应组织对企业范围的安全管理状况进行定期的信息安全管理巡
检，发现企业安全管理方面存在的问题。为了实现安全审计的独立性和公平性，企
业可以请第三方的安全服务厂商协助进行定期的信息安全管理巡检，或者组织不同
区域的信息部门进行交叉安全管理巡检。。
公司安全管理员应至少每月一次通过安全漏洞扫描系统查看整个企业范围的安
全漏洞状况，应至少每工作日一次通过入侵检测系统查看企业的安全威胁状况。
公司各系统和网络管理员应至少每周一次通过安全漏洞扫描系统自查自己管辖
范围内设备和主机的安全漏洞状况。
10.附 则
1)本办法由 XX 公司信息通信分公司负责解释。
2)本办法自 2010 年 12 月 01 日起施行。
3)附 录
相关表格
