杭州市长征中学

安全管理部门及成员工作职责

为进一步落实杭州市长征中学网络安全和信息化工作，学校网络与信息安全领导小组办公室负责学校教育网络与信息安全日常具体工作。办公室成员郑潇轩为安全管理员，郑潇轩为机房管理员，郑潇轩为网络管理员，郑潇轩为主机管理员，郑潇轩为应用管理员。

办公室各成员工作职责如下：

一、安全管理员

负责安全制度的贯彻执行。

负责制订信息系统安全规划，并在实施过程中逐步完善。

负责制定安全设备或系统的相关资产清单。内容包括资产管理的责任部门、信息分类和资产标识的方法和资产名称、重要程度、所处位置等。

负责规范安全设备或系统管理流程，建立管理台帐，明确资产所有者、使用者与维护者，对安全设备或系统进行标记，实现对机房资产购买、使用、变更、报废整个周期的安全管理。

负责制定安全设备或系统的文档化的操作和维护规程，使得相关人员能够采用规范化的形式对系统进行操作，降低和避免因误操作所引发信息安全事件的可能性。

负责对安全设备或系统运行维护管理，对安全设备或系统运转情况进行定期巡检、维护、故障处理和变更管理。负责组织实施安全设备或系统各类事故（故障）的应急处理。

每年进行风险评估，根据评估结果会同其他负责人进行风险处置。

负责协助领导安排安全培训，负责协助负责制定每年安全教育计划，加强信息系统的安全教育，通过各种方式进行宣传和培训，提高全系统安全防范意识。

负责制定安全检查计划，至少每季度检查一次。包括检查职责、检查周期、检查范围、检查内容、检查报告的编制、检查整改、检查通报等内容。对信息系统安全检查并进行情况通报。对记录进行收集、整理、归档。

当出现安全事件时，负责对发生的安全事件及时上报，并配合相关的调查和纠正工作。

当信息系统运行发生重大问题时，协助相关人员正确判断原因，根据指令立即采取安全措施启动相关处理程序。

负责与外部安全机构的协调联系，在发生重大安全事件时以协调获取外部安全机构的支持。

负责对介质的管理。对介质的归档、查询和借用进行记录，对介质进行定期盘点并记录，对故障介质的进行送修和销毁并记录，对于保密性高的介质销毁需要申报领导批准，并进行记录。对介质物理传输的交接进行记录。

负责对各种记录文档、表单，半年一次进行汇总，并对制度开展情况向杭州市长征中学信息系统安全领导小组领导进行汇报。

加强对信息系统外包业务与外包方的管理，在与信息系统外包方签署的服务协议中，对信息系统安全加以要求。通过审批、访问控制、监控、签署保密协议等措施，加强外部方访问信息系统的管理，防止外部方危害信息系统安全。

重视对IT服务连续性的管理，建立对各类信息安全事件的预防、预警、响应、处置、恢复机制，编写针对外网等重要系统的应急预案，并定期进行测试和演练，在信息系统发生故障或事故时，能迅速、有序地进行应急处置，最大限度地降低因信息系统突发事件或意外灾害给信息系统所带来的影响。

在符合国家密码管理相关规定的条件下，合理使用密码技术和密码设备，严格密钥生成、分发、保存等方面的安全管理，保障密码技术使用的安全性

二、机房管理员职责

负责保障机房物理与环境的安全建设管理，对实施方责任、时间进度、任务要求、质量控制等进行监督管理。

负责制定机房基础设施的相关资产清单。内容包括资产管理的责任人、信息分类和资产标识的方法和资产名称、重要程度、所处位置等。

规范机房资产（包括机房物理与环境等）管理流程，建立机房资产管理台帐，明确资产所有者、使用者与维护者，对所有机房资产进行标记，实现对机房资产购买、使用、变更、报废整个周期的安全管理。

负责制定重要基础设施等的文档化的操作和维护规程，使得相关人员能够采用规范化的形式对系统进行操作，降低和避免因误操作所引发信息安全事件的可能性。

负责保障机房物理与环境安全。实施包括温度监控、报警等安全防范措施，确保机房物理安全。部署机房空调、UPS等环境保障设施，对机房设施运转情况进行定期巡检、维护、故障处理和变更管理。严格对机房人员和设备的出入管理， 进出需登记，外来人员需由相关管理人员陪同方能访问机房。

在机房基础设施变更、重要操作、物理访问等的进行逐级审批，负责日常审批，重大变更上报到信息系统安全领导小组。

负责组织实施机房基础设施各类事故（故障）的应急处理。

三、网络管理员职责

负责保障网络安全建设管理，对实施方责任、时间进度、任务要求、质量控制等进行监督管理。

规范网络管理流程，建立网络相关资产管理台帐，明确资产所有者、使用者与维护者，对所有信息资产进行标记，实现对信息资产购买、使用、变更、报废整个周期的安全管理。

采用技术和管理两方面的控制措施，加强对外网的安全控制，不断提高网络的安全性和稳定性。外网与互联网进行逻辑隔离。通过实施网络访问控制等技术防范措施，对接入进行严格审批并登记，加强使用安全管理，加强对杭州市长征中学师生网络使用的安全培训和教育，确保外网的安全。

对重要网络设备应有文档化的操作和维护规程，使得各个相关人员能够采用规范化的形式对系统进行操作，降低和避免因误操作所引发信息安全事件的可能性。

负责保障网络安全。协助安全管理员部署网络安全产品，确保网络安全。对网络设备设施运转情况进行定期巡检、维护、故障处理和变更管理。

在网络系统变更、重要操作、访问等的进行逐级审批，负责日常审批，重大变更上报到网络与信息安全工作领导小组。

负责组织实施网络各类事故（故障）的应急处理。

四、主机管理员职责

负责保障主机（包括服务器设备、操作系统、数据库系统、数据备份）安全建设管理，对实施方责任、时间进度、任务要求、质量控制等进行监督管理。

负责主机运行维护体系和主机技术支持平台的建设与运行管理。负责建立服务器设备、操作系统、数据库系统、数据备份文档化的操作和维护规程，使得各个相关人员能够采用规范化的形式对系统进行操作，降低和避免因误操作所引发信息安全事件的可能性。

负责灾难备份系统及相关设施的完善及日常管理工作。制订并完善灾难备份系统运行的评估标准，形成标准化管理模式。监控灾难备份系统运行状况，定期或不定期组织防灾备灾演练，对灾难备份系统的运行状况进行审计和评估，并提出改进意见。

对重要的信息和信息系统进行备份，并对备份介质进行安全地保存，以及对备份数据定期进行备份测试验证，保证各种备份信息的保密性、完整性和可用性，确保所有重要信息系统和重要数据在故障、灾难后及其它特定要求下进行可靠的恢复。

在外网上统一部署网络防恶意代码软件，并进行恶意代码库的统一更新，防范恶意代码、木马等恶意代码对信息系统的影响。通过强化恶意代码防范的管理措施，如加强主机管理，严禁擅自安装软件，定期进行恶意代码检测等，提高信息系统对恶意代码的防范能力。负责全系统的计算机恶意代码防治和主机安全的管理工作，制定检查计划（包含在主机巡检工作中），督促检查工作。

加强信息安全日常管理，包括系统口令管理、无人值守设备管理、屏幕保护、便携机管理等，促使每位人员的日常工作符合系统信息安全策略和制度要求。

按照“仅知”原则，通过功能和技术配置，对重要信息系统、数据等实施访问控制。对系统特殊权限和系统实用工具的使用进行严格的审批和监管。

规范主机（包括服务器设备、操作系统、数据库系统、数据备份）资产管理流程，建立主机相关资产管理台帐，明确资产所有者、使用者与维护者，对所有信息资产进行标记，实现对主机相关资产购买、使用、变更、报废整个周期的安全管理。

在主机系统变更、重要操作、访问等的进行逐级审批，负责日常审批，重大变更上报到网络与信息安全工作领导小组。

负责组织实施网络各类事故（故障）的应急处理。

五、应用管理员职责

负责保障软件开发管理，对实施方责任、时间进度、任务要求、质量控制等进行监督管理。进一步重视软件开发安全。在系统各信息系统立项和审批过程中，同步考虑信息安全需求和目标。应保证系统设计、开发过程的安全，重点加强对软件代码安全性的管理。属于外包软件开发的，应与服务提供商签署保密协议。系统开发完成后，应要求通过第三方安全机构对软件安全性的测评。

规范信息资产管理流程，建立信息资产管理台帐，明确资产所有者、使用者与维护者，对所有信息资产进行标记，实现对信息资产购买、使用、变更、报废整个周期的安全管理。

负责建立重要应用的文档化操作和维护规程，使得各个相关人员能够采用规范化的形式对系统进行操作，降低和避免因误操作所引发信息安全事件的可能性。

规范应用系统资产管理流程，建立应用系统资产管理台帐，明确资产所有者、使用者与维护者，对所有信息资产进行标记，实现对主机相关资产购买、使用、变更、报废整个周期的安全管理。

加强信息安全日常管理，包括应用系统口令管理、授权审批管理等，促使每位人员的日常工作符合信息安全策略和制度要求。

在应用系统变更、重要操作、访问等的进行逐级审批，负责日常审批，重大变更上报到网络与信息安全工作领导小组。

负责组织实施应用系统各类事故（故障）的应急处理。

杭州市长征中学

2021年9月10日