為規范網絡安全管理工作，需要加強領導，落實責任，完善措施，建立健全網絡安全責任制和網絡安全相關管理制度，制定網絡安全工作的總體方針和目標，明確網絡安全工作的主要任務和原則，以推動網絡安全工作的開展。
一、總體框架
網絡安全管理組織由網絡安全領導小組、網絡安全工作小組和執行機構組成。管理組織框架如下：
網絡安全領導小組組成如下：
1、網絡安全領導小組組長：由網絡安全工作分管領導（副部級領導）擔任；
2、網絡安全領導小組副組長：由網絡安全責任部門網絡安全工作主管領導（司局級領導）擔任；
3、網絡安全領導小組成員：由各部門主管領導組成；
網絡安全工作小組組成如下：
1、網絡安全工作小組組長：由網絡安全領導小組副組長擔任；
2、網絡安全工作小組副組長：由網絡安全責任部門網絡安全工作負責人擔任；
3、網絡安全工作小組成員：由網絡安全責任部門網絡安全工作人員、支撐單位負責人和各部門網絡安全員組成。
二、主要職責
網絡安全領導小組負責本組織網絡安全工作的領導、決策和資源提供。具體職責為：
1、負責本單位網絡安全管理工作；
2、確定網絡安全工作職責，指導、監督網絡安全工作；
3、制定網絡安全方針，確定網絡安全總體目標；
4、為網絡安全工作提供人力、物力和財力資源保障；
5、確定網絡安全的風險級別，對重大網絡安全事件的處置進行決策；
6、建立健全網絡安全組織管理體系和管理機制。
網絡安全工作小組負責研究本組織的重大網絡安全事件，落實網絡安全方針和目標，制定網絡安全總體策略、規范和技術標準。具體職責為：
1、負責本單位網絡安全工作的具體落實；
2、組織網絡安全檢查和風險評估工作；
3、宣貫網絡安全方針和總體目標；
4、負責對網絡安全工作人力、物力和財力需求進行策劃；
5、根據國家法律、法規和有關要求制定網絡安全管理制度和辦法；
6、負責網絡安全教育培訓。
網絡安全工作執行機構由政府部門信息技術相關部門承擔，負責網絡安全具體工作的開展和執行。
1、根據網絡安全制度或辦法，制定網絡安全規范、策略和具體防護措施；
2、負責重點領域網絡安全檢查，開展網絡安全風險評估工作；
3、宣傳網絡安全相關知識；
4、負責網絡安全日常運行維護工作。
三、網安全管理范疇
網絡安全管理范疇包括人員安全管理、信息資產安全管理、訪問控制安全管理、密碼控制安全管理、物理環境安全管理、操作安全管理、通信安全管理、信息系統獲取開發維護管理、供應關系管理、信息安全事件管理、信息安全方面的業務連續性管理、信息安全符合性管理、信息安全風險管理等方面。
（一）人員安全管理
人員安全管理的目的是確保信息安全相關人員理解其信息安全職責，確保信息安全相關人員能夠履行信息安全職責。
人員安全管理內容主要包括針對內部員工、外包人員和臨時訪客等第三方人員制定信息安全相關規定，明確信息安全管理部門、人力資源部門、信息技術部門等信息安全相關部門在人員安全管理各環節中的相關職責。
（二）資產安全管理
資產安全管理制度建設目的是實現和保持對信息資產的保護，對信息資產進行識別和分類，對不同級別的信息資產采取不同的保護措施。
主要內容包括對信息資產的分類、識別和分級保護的相關規定，明確信息資產管理者、所有者和使用者的安全職責，規范信息資產在創建、使用、維護和處置整個生命周期中的安全管理。
（三）訪問控制安全管理
訪問控制安全管理的目的是防止對信息和信息處理設施的未授權或越權訪問。
主要內容包括建立主機、網絡設備、安全設備以及應用系統等訪問控制策略，明確用戶賬號標識，訪問應用系統的申請程序及相應訪問權限的分配，用戶賬號和口令的基本要求，規范設備入網準入流程及設備變更等流程。
（四）密碼控制安全管理
密碼控制安全管理的目的是使用密碼技術保護信息的機密性、真實性和完整性。
主要內容包括根據業務要求和相關法律法規要求制定密碼策略；保護密鑰免遭泄密、修改、丟失和毀壞。對密鑰的生成、使用、存儲、分發、歸檔、銷毀整個環節進行安全管理。
（五）物理環境安全管理
物理環境安全管理的目的是防止對場所和信息的非法訪問、損壞和干擾，防止資產的丟失、損壞、失竊或危及資產安全以及組織活動的中斷。
主要內容包括明確物理和環境安全責任部門職責，按照信息資產重要度、業務類型、物理或邏輯區域和組織結構等進行安全區域的劃分，對不同的安全區域制定相應的安全管理規定。
（六）操作安全管理
操作安全管理的目的是明確信息處理設施的操作流程和相關職責，減少系統的安全風險，確保正確、規范地使用信息資產。
主要內容包括針對通信和操作設備相關的活動制定流程和規范，如安全日志管理、防病毒管理、移動介質安全管理、終端安全管理、應用系統安全測試規范等。
（七）通信安全管理
通信安全管理的目的是確保網絡中信息的安全性并保護支持性的信息處理設施，維護組織與任何外部實體的信息傳輸安全。
主要內容包括對網絡活動采取日志記錄和監視措施，明確所提供的網絡服務的安全特性、服務級別和管理要求，確保網絡服務的安全性。
（八）信息系統獲取開發管理
信息系統獲取開發管理的目的是保障信息系統在獲取和開發過程中的信息安全，確保在整個信息系統生命周期中的信息安全設計與實施，確保測試數據的安全。
主要內容包括明確信息系統安全需求分析，在購買產品之前須考慮引入的風險和相關控制措施，信息系統上線須提供可行性設計方案等。
（九）供應關系管理
供應關系管理的目的是明確第三方人員在實施服務活動時必須遵守的信息安全要求。
主要內容包括對外包人員進行必要的背景審查，與外包人員簽訂保密協議等。
（十）信息安全事件管理
信息安全事件管理的目的是規范信息安全事件的報告、處置、責任追溯、回顧和改進機制，明確信息安全事件的管理職責和流程，將信息安全事件造成的損害降到最低。
主要內容包括對信息安全事件分類分級，按照信息安全事件的危害程度、影響范圍和造成的損失，從高到低將信息安全事件分為特別重大事件、重大事件、較大事件和一般事件四個等級。制定信息安全事件處理流程，進行事件定性及責任認定。
（十一）信息安全業務連續性管理
信息安全業務連續性管理的目的是將信息安全的連續性嵌入業務連續性管理，以確保信息處理設施的可用性。
主要內容包括制定業務連續性管理目標，對業務影響性進行分析，評估災難帶來的損失。制定業務連續性風險處理策略，定期開展應急演練，明確災難恢復流程和措施。
（十二）信息安全符合性管理
信息安全符合性管理的目的是保障信息安全管理按照已經制定的信息安全制度和策略正常運行。
主要內容包括提出信息安全合規管理的要求，明確信息安全年度審查的內容，如信息安全控制目標、控制措施、信息安全策略以及信息安全審查的范圍等等。
（十三）信息安全風險管理
信息安全風險管理的目的是通過制定一個科學、合理的風險管理方法，對信息資產進行風險評估和風險處置，將信息資產的安全風險控制在可接受的水平，為信息安全管理提供依據。主要內容包括建立風險評估的模型，根據威脅及威脅利用脆弱性的難易程度判斷安全事件發生的可能性；根據脆弱性的嚴重程度及安全事件所作用的資產的價值計算安全事件的損失。建立風險評估的實施流程，提出風險管理的要求。
四、應用案例
根據網絡安全管理范疇，結合各單位實際情況，進行網絡安全管理制度建設。某單位為規范網絡安全管理，制定網絡安全管理相關制度如下：
1、互聯網使用管理辦法
指定互聯網管理工作的責任部門，明確互聯網的網絡管理及維護保障工作，具體內容包括網站發布信息的審核、輿論導向的指引、登記備案、規范移動存儲介質的使用及有關法律法規的宣傳教育。
2、內網安全管理制度
明確內網的使用范圍，一般覆蓋黨政內網處理的所有事務和應用系統，包含但不僅限于：公文交換、公務員之窗、組織人事管理、內網門戶發布、內部考勤、黨員干部遠程教育等。內網安全制度內容涉及網絡管理、終端管理、用戶管理、介質管理和安全事件報告等。
3、信息安全事件管理辦法
對信息安全事件進行分類，并根據信息安全事件造成的后果及影響的嚴重程度進行分級，規范安全事件的處置流程及安全事件報告程序。
4、信息系統信息發布制度
明確信息系統信息發布的原則，建立信息發布流程，建立信息發布登記制度，促進信息系統信息發布、審核工作的規范化、制度化，保障信息系統發布信息的權威性、及時性、準確性、嚴肅性和安全性。
5、機房安全管理制度
涉及機房日常維護及監控管理等內容。
6、網絡安全管理制度
對網絡系統架構、安全域劃分、網絡接入控制等網絡系統安全管理及賬號管理、病毒防治管理、網絡事件報告和查處等方面進行規定。
7、信息系統運行維護管理制度
對業務系統的運行維護、業務數據的備份和恢復、口令安全和權限設置、惡意代碼防范以及系統補丁等進行規范與管理。
8、信息系統用戶管理制度
根據信息系統崗位配置原則，設置安全管理員、系統管理員、網絡管理員、機房管理員、安全審計員等崗位職責，對人員錄用及調（離）崗、用戶權限審批管理及安全培訓教育管理。
9、信息資產和設備管理制度
對硬件、軟件、電子數據、紙質文檔、人員及相關服務設施等信息資產的獲取、分類、使用和處置進行管理。
10、信息系統安全審計管理制度
明確信息系統安全審計的目的、范圍、準則、時間及審計人員的工作職責，包括制定審計計劃，規范具體的審計實施過程等內容。
11、數據存儲介質管理制度
對服務器/臺式電腦/筆記本電腦的硬盤、移動硬盤、U盤、用于備份數據的磁帶、CD/DVD碟片等存儲介質的使用、存放、維修及報廢等進行管理。
蘇公網安備32050802010292號