安全管理体系设计包括安全策略和管理制度建设、安全管理机构和人员建设、安全建设管理，及安全运维管理等几个部分。

安全策略和管理制度设计

安全策略和管理制度是对信息安全目标和工作原则的规定，其表现形式是一系列安全策略体系文件。安全策略和管理制度是信息安全保障体系的核心，是信息安全管理工作、技术工作和运维工作的目标和依据。具体安全策略和管理制度可参考以下内容建设：

· 设立信息安全管理工作的职能部门，设立安全主管人、安全管理各个方面的负责人，定义各负责人的职责；

· 设立系统管理人员、网络管理人员、安全管理人员岗位，定义各工作岗位的职责；

· 成立指导和管理信息安全工作的委员会或领导小组，其最高领导应由单位主管领导委任或授权；

· 制定文件明确安全管理机构各部门和岗位的职责、分工和技能要求；配备安全管理专职人员，不可兼任；

· 授权审批部门及批准人，对关键活动进行审批；建立各审批事项的审批程序，按照审批程序执行审批过程；

· 信息安全职能部门应定期或不定期召集相关部门和人员召开安全工作会议，协调安全工作的实施；

· 信息安全领导小组应定期召开例会对信息安全工作进行指导、决策；

· 加强与供应商、安全企业、安全机构的合作与沟通，获取信息安全的最新发展动态；

· 聘请信息安全专家，作为常年的安全顾问，指导信息安全建设，参与安全规划和安全评审；

· 由安全管理人员定期进行安全检查，检查内容包括用户账号情况、系统漏洞情况、系统审计情况等；

· 由安全管理部门定期进行全面安全检查，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等；

· 制定、实施安全检查，汇总安全检查数据，形成安全检查报告，并对安全检查结果进行通报。

安全管理机构和人员管理设计

安全管理机构和人员管理建设将决定整个安全管理体系的成败。信息安全领导小组应由单位高层领导和有关部门的管理人员组成，负责协调、指导及管理信息安全各个方面的工作。

人员安全管理应作为安全管理的重中之重，需要重点考虑人员录用、人员离岗、安全意识教育和培训，以及外部人员管理等。信息安全领导小组应履行如下职责：

· 就整个单位的信息安全策略方针和责任达成一致；

· 就信息安全的重要和原则性的方法、处理过程达成一致，并提供支持，如风险评估、信息分类方法等；

· 确保将安全作为制定业务系统建设和维护计划的重要部分；

· 授权对安全控制措施是否完善进行评估，并协调新系统或新服务的特定信息安全控制措施的实施情况；

· 审查重大的信息安全事故，制定改进措施；

· 审核信息安全建设和管理的重要活动，如重要安全项目建设、重要安全管理措施出台等。

安全建设管理

安全建设管理应贯穿到信息系统整个生命周期，在系统审批、建设、安全定级与备案、安全方案设计、软件开发与实施、验收与测试、系统交付与等级测评，以及服务商选择等过程均需要进行安全管理。

安全运维管理

安全运维管理是整个系统安全运营的重要环节，其内容涵盖机房环境管理、资产管理、介质管理、设备管理、漏洞和风险管理、网络及系统安全管理、恶意代码防范、配置管理、密码管理、变更管理、备份与恢复管理、安全应急处置，以及安全服务管理工作等内容。具体如下：

机房环境管理

在机房环境管理中需要对机房供配电、空调、温湿度控制等设施指定专人或专门部门定期进行维护管理；

同时还应建立机房安全管理制度，对机房人员出入、物品带进带出和机房环境安全等方面作出规定；配置电子门禁系统和监控录像系统，对机房出入人员实行电子记录和监控录像。

资产管理

针对资产管理，应建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，规范资产管理和使用的行为；编制并保存与信息系统相关的资产、资产隶属关系、安全级别和所处位置等资产清单。

同时应根据资产的重要程度对资产进行定性赋值和标识管理，根据资产的价值选择相应的管理措施，确定信息分类与标识的原则和方法，对信息的使用、传输和存储作出规定。

介质管理

应建立介质安全管理制度，对介质存放环境、使用、维护和销毁等方面作出规定；如介质的归档和查询须有记录，并对存档介质的目录清单定期盘点。除此之外，还应对存储介质的数据安全进行管理和防范，具体如下：

· 对于需要送出维修或销毁的介质，应采用多次读写覆盖，清除介质中的敏感或重要数据，防止数据泄露；

· 根据数据备份需要对某些介质实行异地存储，存储地的环境要求和管理方法应与本地相同；

· 根据所承载数据和软件的重要程度对介质进行分类和标识管理，并实行专人管理；

· 对介质物理运输过程中人员选择、打包、交付等情况进行控制；

· 保密性较高的信息存储介质未经批准不得自行销毁，销毁时必须做到双人监销，销毁记录应妥善保存；

· 重要数据存储介质带出工作环境应采取加密方式，并进行监控管理；

· 对存放的介质定期进行完整性和可用性检查，确认其数据或软件没有受到损坏或丢失。

设备维护管理

· 对信息系统相关的各种设备、线路等指定专人或专门部门定期进行维护管理；

· 对信息系统的各种软硬件设备的选型、采购、发放或领用等过程建立申报、审批管理规定；

· 对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理；

· 按操作规程实现服务器的启动/停止、加电/断电等操作，加强对服务器、网络设备等重要设备或系统的日志文件检查和监控；

· 建立软硬件设备维护管理制度，包括明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等；

漏洞和风险管理

针对漏洞和风险管理，需要通过漏洞扫描系统对发现的系统安全漏洞进行及时修补；需要定期安装最新补丁程序，对重要漏洞进行及时修补；定期开展安全测评，形成安全测评报告，采取措施应对发现的安全问题。

网络和系统安全管理

· 指定专人对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析处理工作；

· 对网络设备和系统的安全策略维护、配置文件更改进行流程审批；

· 通过身份鉴别、访问控制等措施限制远程管理账户的操作行为；

· 指定专人对系统进行管理，删除或者禁用不使用的系统缺省账户；

· 对能够使用系统工具的人员及数量进行限制和控制；

· 根据业务需求和系统安全确定系统的访问控制策略、文件及服务的访问权限；

· 对系统账户进行分类管理，权限设定应当遵循最小授权要求；

· 对于账户安全管理的执行情况进行检查和监督，定期审计和分析用户账户的使用情况；

· 定期检查违反规定无线上网及其他违反网络安全策略的行为。

恶意代码防范管理

· 提高全体员工的网络病毒、恶意代码安全防范意识，及时升级防病毒软件；

· 在读取移动存储设备上的数据以及接收文件或邮件之前，先进行病毒检查；

· 对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确管理规定；

· 定期检查恶意代码库的升级情况并进行记录，对防病毒软件、防病毒网关上截获的危险病毒或恶意代码进行及时分析处理，形成书面报表和总结汇报。

配置管理

应建立对包括网络拓扑结构、设备和系统安装的服务组件、组件版本和补丁信息、设备或系统的配置参数等进行记录和保存的管理模式；建立配置信息变更流程，及时更新配置信息库。

密码管理

密码管理环节需要建立密码使用管理制度，保证密码算法使用符合国家密码管理规定。

变更管理

· 建立变更管理制度，重要系统变更前需经过申请审批，变更和变更方案经过评审、审批后方可实施变更；

· 应建立变更控制的申报和审批程序，如变更影响分析应文档化，变更实施过程应记录，所有文档记录应妥善保存；

· 应明确变更过程控制方法和人员职责，必要时恢复过程应经过演练；

备份与恢复管理

· 识别需要定期备份的重要业务信息、系统数据及软件系统等；

· 规定备份信息的备份方式（如增量备份或全备份等）、备份频度（如每日或每周等）、存储介质、保存期等；

· 根据数据的重要性和对系统运行的影响程度，制定数据备份和恢复策略；备份策略应指明备份数据的放置场所、文件命名规则、介质替换频率和离站运输的方法；

· 指定相应的负责人定期维护和检查备份及冗余设备的运行状况，确保需要接入系统时能够正常运行；

· 建立数据备份和恢复过程控制程序，如备份过程应记录，所有文件和记录应妥善保存；

· 建立备份及冗余设备的安装、配置、启动、操作及维护过程控制的程序，如记录设备运行过程状况，所有文件和记录应妥善保存；

· 定期执行恢复程序，检查和测试备份介质的有效性，确保可在规定的时间内完成备份恢复。

安全事件处置

· 制定安全事件报告和处置管理制度，如规定安全事件的现场处理、事件报告和恢复的管理职责；

· 了解本系统和同类系统已发生的安全事件，识别本系统需要防止发生的安全事件，如可能来自攻击、错误、故障、事故或灾难；

· 根据安全事件在本系统产生的影响，将安全事件进行等级划分；

· 制定的安全事件报告和响应处理程序，如确定事件的报告流程，响应和处置的范围、程度，以及处理方法等；

· 在安全事件响应处理过程中，应分析和鉴定事件产生的原因，收集证据，记录处理过程，总结经验教训。

应急预案管理

· 应在统一应急预案框架下制定不同事件的应急预案。应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程，以及教育和培训等内容；

· 应从人员、技术和财务等方面确保应急预案执行有足够的资源保障；

· 进行人员进行培训，以了解如何及何时使用应急预案中的控制手段及恢复策略，对应急预案的培训至少每年举办一次；

· 应急预案须定期演练，应根据不同的应急恢复内容，确定演练周期。

外包运维管理

· 应与外包运维服务商签订服务协议，约定外包运维的范围和内容；

· 建立外包运维服务商审核评定机制，保证其在技术和管理方面具有等级保护要求的安全运维能力；

· 与外包运维服务商签订的协议中应明确所有安全要求，如可能涉及对敏感信息的访问、处理、存储要求，对基础设施中断服务的应急保障要求等。

安全评估服务

安全风险评估服务将提供如下安全服务：

· 评估和分析网络上存在的技术和管理风险；

· 梳理业务访问关联关系，分析业务运作和管理方面存在的安全缺陷；

· 调查信息系统的现有安全控制措施，评价业务安全风险承担能力；

· 评价风险的优先等级，据此提出风险控制措施建议。

渗透测试服务

现有业务系统的安全性与否可以通过渗透测试服务来进行测试和验证；针对现有安全防御措施是否发生最大效用也可以通过渗透测试服务来检测；

因此，通过渗透测试服务可以尽早发现现有安全技术和管理措施是否存在隐蔽性的安全弱点。

源代码审计服务

通过源代码审计服务可以发现软件代码的隐形缺陷和编码设计错误；

通过源代码审计服务可以提供代码安全性验证，防止由于人为失误或有意嵌入恶意代码情况；还可以为软件安全编码提供技术指导和支持。

安全加固服务

安全加固服务可以针对系统和网络中存在的安全漏洞、配置错误、设计错误等安全问题进行安全性加固和修复。

安全值守服务

安全值守服务是针对网络中大量安全设备、安全措施、安全策略的日常维护和检查，而自身安全运维力量比较薄弱的情况下量身定做的现场安全运维服务。采用安全值守服务可以有效保障系统及网络安全运维的安全性和可靠性。

安全培训服务

安全培训主要是从人员的角度出发来强化安全知识以增强抵御攻击的能力，主要培训建议如下：

· 安全基础知识培训：主要对普通人员提供个人计算机使用的基本安全知识，提高个人计算机系统的安全防范能力。

· 安全管理培训：主要对安全管理员进行系统安全管理培训，强化信息人员的安全技术水平。

· 安全技术培训：主要针对安全运维人员、系统维护人员提供安全技能及相关安全技术知识培训。

· 安全认证培训：主要针对安全运维人员、网络管理人员、系统管理人员提供系统化、体系化的安全知识技能培训，并通过国家专业安全机构的资格认证考试，提供人员自身安全技术能力。