安全等级保护管理办法
开篇：润墨网以专业的文秘视角，为您筛选了八篇安全等级保护管理办法范文，如需获取更多写作素材，在线客服老师一对一协助。欢迎您的阅读与分享！
安全等级保护管理办法范文第1篇
本报讯 7月20日，公安部、国务院信息办等4部门在北京联合召开“全国重要信息系统安全等级保护定级工作电视电话会议”，部署在全国范围内开展重要信息系统安全等级保护定级工作(以下简称“定级工作”)。国家信息安全等级保护协调小组组长、公安部副部长张新枫，国务院信息化工作办公室副主任、国家网络与信息安全协调小组办公室主任杨学山出席会议并讲话。
张新枫指出，当前，我国信息安全面临的形势仍然十分严峻，维护国家信息安全的任务非常艰巨、繁重。随着我国经济的持续发展和国际地位的不断提高，我国的基础信息网络和重要信息系统面临的安全威胁及安全隐患比较严重，计算机病毒传播和网络非法入侵十分猖獗，网络违法犯罪持续大幅上升，犯罪分子利用一些安全漏洞，使用黑客病毒技术、网络钓鱼技术、木马间谍程序等新技术，进行网络盗窃、网络诈骗、网络赌博等违法犯罪，给用户造成严重损失。特别是“科技奥运”和“数字奥运”是2008年北京奥运会的一大亮点，网络与信息安全已经成为事关北京奥运安全的重大问题之一。
张新枫强调，信息安全等级保护制度是国家信息安全保障工作的基本制度。为了加快推进信息安全等级保护工作，此前，公安部、国务院信息办等部门已联合出台了有关信息安全等级保护工作的实施意见、管理办法等相关文件。定级是等级保护工作的首要环节，是开展信息系统建设、整改、测评、备案、监督检查等后续工作的重要基础。此次定级工作的主要内容：一是开展信息系统基本情况的摸底调查，确定定级对象。二是信息系统主管部门和运营使用单位按照等级保护管理办法和定级指南，初步确定定级对象的安全保护等级，请专家进行评审，并报经上级行业主管部门审批同意。三是信息系统安全保护等级为第二级以上的信息系统运营使用单位或主管部门到公安机关备案。公安机关和国家有关部门受理备案后，要对信息系统的安全保护等级和备案情况进行审核、管理。
会议由公安部公共信息网络安全监察局局长李昭主持，公安部公共信息网络安全监察局副局长、国家网络与信息安全信息通报中心主任顾建国对定级工作作了具体说明。
安全等级保护管理办法范文第2篇
【 关键词 】 云计算；云安全；CSA信息安全等级保护
1 云安全现状分析
1.1 全球企业和消费者对云计算安全的关注
云计算是一种新兴的商业计算模型，它利用高速互联网的传输能力，将数据的处理过程从个人计算机或服务器转移到一个大型的计算中心，并将计算能力、存储能力当作服务来提供。云计算模式已得到业界普遍认同，成为信息技术领域新的发展方向。但是随着云计算的大量应用，云环境的安全问题也日益突出。在拥抱云计算的同时云计算面对的风险也是不容忽视，如果不能很好的解决相关的安全管理问题，云计算就会成为过眼“浮云”。 在众多对云计算的讨论中，SafeNet的调查非常具有代表性。
“对于云计算面临的安全问题， 88.5%的企业对云计算安全担忧，占首位。一方面，安全保护被视为云计算广泛使用的绊脚石；另一方面，它也可以成为云计算的推动力量。在“云”模式下，通过找到一个有效的保护数据的方法，企业则可以将“云”模式所带来的商业潜力最大化，从而在行业中保持持续创新和增长。” 从调查和社会反馈来看，如何保证云环境的安全成为企业和消费者最为关注的问题，如何做好企业和消费者所关注的云计算的安全和管理问题也成为发展云计算产业急需解决的关键问题。
1.2 云计算安全理论研究及规范、标准现状分析
云计算作为全新的Web服务模式，其本质是计算与存储能力从桌面端到网络端（云端）迁移、以及网络资源的动态伸缩，包括软件即服务（SaaS）、平台即服务（PaaS）和基础设施即服务（IaaS）等内容，以实现缩减IT成本、提高企业业务运营效率等目的。可预见的是，云计算将在互联网、电信、IT、金融及政府企事业单位等领域的信息化建设中扮演重要角色，为现有工作方式以及商业应用带来根本性变化。
云计算应用安全研究目前还处于起步阶段，业界尚未形成统一标准，目前主要的研究组织主要包括CSA（Cloud Security Alliance，云安全联盟）、CAM（common assurance metric beyond the cloud通用保障测量体系）等相关论坛。 为了推动云计算应用安全的研究交流与协作发展，业界多家公司在2008年12月联合成立了CSA，该组织是一个非赢利组织，旨在推广云计算应用安全的最佳实践，并为用户提供云计算方面的安全指引。CSA在2009年12月17日的新版的《云计算安全指南》（V2.1），着重总结了云计算的技术架构模型、安全控制模型以及相关合规模型之间的映射关系，从云计算用户角度阐述了可能存在的商业隐患、安全威胁以及推荐采取的安全措施。另外，欧洲网络信息安全局（ENISA）和CSA联合发起了CAM项目。CAM项目的研发目标是开发一个客观、可量化的测量标准，供客户评估和比较云计算服务提供商安全运行的水平。 此外，2011年1月美国国家标准委员会推出了SP800-144标准草案，针对公有云计算的安全与隐私保护提出了指导性意见。
目前，国内专门针对云计算提出的安全管理标准和规范尚属空白，尚无云安全的相关法律法规政策出台。2007年，国家公安部、保密局、国家密码管理局、国务院信息化领导小组办公室联合颁布了861号文件《关于开展全国重要信息系统安全等级保护定级工作的通知》和《信息安全等级保护管理办法》，要求涉及国计民生的信息系统应达到一定的安全等级。现在相关部门正在针对云计算平台与传统信息系统的技术及管理方面的差别进行深入研究。未来将可能在此基础上对信息安全等级保护管理办法进行针对性的升级，作为国内云计算平台的安全管理标准及规范。
1.3 云安全的两种研究方向
当前，由于云计算方兴未艾，许多云服务提供商也纷纷出台了自己的云安全解决方案。目前云安全基本上有两种研究方向：云计算平台的安全和安全云。
安全云：是研究如何以云计算的模式提供安全服务，目前的服务比较单一，已防病毒为主，主要来源于传统的杀毒厂商，如瑞星、PANDA、McAfee等。
云计算安全：则是研究如何保护云计算平台本身的安全性，是目前很多云服务提供商和云安全研究机构研究的主体。
2 云安全需求分析
2.1 CSA云计算关键领域安全指南V2.1
CSA云计算关键领域安全指南V2.1中为云安全构建了技术及管理框架（如下图），其中包含了3个层面，13个关注点。
CSA安全指南v2.1在技术上面明确阐述了法律、电子证据发现（D3）以及虚拟化（D13）方面的安全关注建议，另外对于数据的可移植性和互操作性（D6）也是新版CSA安全指南的独特之处。这些内容在ISO27001或者PCI-DSS中或者没有要求，或者很少阐述。
D3和D6都是法律层面的关注点；而D13虚拟化则是安全技术关注点，这也是云计算中心相对于传统信息中心在技术方面最大的区别之一。
2.2 传统信息系统的基本安全需求
《信息安全等级保护管理办法》中对信息系统的安全需求的深入研究，对传统信息系统的安全做出了很全面的规定，主要包含两个层面的要求：技术层面和管理层面。
应用系统应根据《计算机信息系统安全保护等级划分准则》确定自身的等保级别，并根据《信息系统安全等级保护基本要求》的具体要求进行安全系统与制度建设。不同级别间的大项要求相同，细项不同。下图对不同级别系统控制项的差异进行了汇总。
安全等级保护管理办法范文第3篇
近年来，国家对信息安全高度重视，各有关方面协调配合、共同努力，我国信息安全保障工作取得了很大进展。根据原卫生部的《关于全面开展卫生行业信息安全等级保护工作的通知》（卫办综函[2011]1126号文）指示精神，阜外医院作为卫生行业开展信息安全等级保护工作的试点单位，依据国家相关信息安全政策及技术标准，对医院的重要信息系统进行等级保护整改建设，切实提高了自身的信息安全防护水平。
通过对阜外医院的信息系统业务流程的梳理，并根据业务数据的重要程度和业务安全需求，准确划分系统边界，阜外医院信息系统共有6个定级对象，其定级情况如下：HIS系统为第三级信息系统，LIS系统、PACS系统、电子病历系统、阜外医院网站和财务为第二级信息系统。由于信息系统彼此间业务关联较大，所以总体上按照第三级进行整体防护体系建设。
本次阜外医院的信息系统安全等级保护工程的建设，主要是根据四部委的《信息安全等级保护管理办法》（公通字[2007]43号文）以及卫生部 [2011]1126号文的指示精神，从信息安全技术体系、信息安全管理体系、信息安全运行体系等三个方面入手，建设完整的医疗行业信息安全等级保护保障体系：
1. 建立阜外医院信息安全技术体系，从物理安全、网络安全、主机安全、应用安全、数据安全等方面进行整改建设。通过对内外网网络层面的安全整改建设，达到等级保护第三级信息系统的基本技术要求；
2. 建立阜外医院信息安全管理体系，通过安全管理策略和制度、人员安全管理、安全事件管理、系统建设管理以及系统运维管理等五个方面的建设，达到了等级保护第三级信息系统的安全管理要求；
3. 建立阜外医院安全运维体系，通过综合运维系统、安全管理中心、信息安全服务等内容的建设，实现了日常安全运维管理，使阜外医院的信息系统安全保障体系能够有效落实。
信息安全等级保护保建设，使阜外医院信息安全保障体系成功通过了等级保护第三级信息系统的安全测评。因此，本次阜外医院信息安全保障工程的建设，具有以下三个方面的重大意义：
一、有效落实了国家政策要求。首先是完成了国家信息安全等级保护的的工作部署，使阜外医院重要信息系统安全防护能力达到规定要求，确保业务工作有效开展。
通过本次工程建设，确保阜外医院重要信息系统安全防护工作符合国家等级保护制度要求，确保方向正确、方法得当、结果合规，使信息安全建设工作不偏离国家监管的大方向，这是阜外医院作为国家三甲级医疗机构的地位决定的，是确保阜外医院的权威性、严肃性的有力保障，具有重要的政治意义。
二、能够有效推动行业安全建设。有利于形成阜外医院信息安全工作统一规划、统一指导、统一要求的工作机制，为国家卫计委指导各医疗单位进行等级保护建设方面起到试点示范效应。
通过本次工程建设，可以分析清楚阜外医院信息系统数量、分布、安全防护程度等基本情况，研究清楚系统信息安全的各自特点，通过调研和分析，提出全院信息安全工作“一盘棋”的管理思路，统一管理、统一指导、统一具体要求，实质性推动行业信息安全建设工作。
安全等级保护管理办法范文第4篇
【 关键词 】 等级保护；烟草企业；信息安全体系
1 等级保护思想
等级保护思想自20世纪80年代在美国产生以来，对信息安全的研究和应用产生着深远的影响。以ITSEC、TCSEC、CC等为代表的一系列安全评估准则相继出台，被越来越多的国家和行业所引入。我国于20世纪80年代末开始研究信息系统安全防护问题，1994年国务院颁布《中华人民共和国计算机信息系统安全保护条例》（国务院147号令），明确规定计算机信息系统实行安全等级保护。至此，等级保护思想开始在我国逐渐盛行。
我国的安全等级保护主要对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护。其核心思想就是对信息系统分等级、按标准分类指导，分阶段实施建设、管理和监督，以保障信息系统安全正常运行和信息安全。信息系统的安全等级保护由低到高划分为五级，通过分级分类，以相应的技术和管理为支撑，实现不同等级的信息安全防护。
2 烟草行业引入等级保护思想的意义
烟草行业高度重视等级保护工作，实施信息安全等级保护，能有效地提高烟草行业信息安全和信息系统安全建设的整体水平。
2.1 开展安全等级结构化安全设计
安全等级保护在注重分级的同时，也强调分类、分区域防护。烟草行业虽强调分类、分区域，但存在一定局域性。同时，由于缺少分级准则，差异化保护尚未深化。引入等级保护思想，有助于深化结构化安全设计理念，通过细分类型、划分区域，全面梳理安全风险，明晰防护重点，构建统一的安全体系架构。
2.2 注重全生命周期安全管理
等级保护工作遵循“自主保护、重点保护、同步建设、动态调整”四大基本原则，其“同步建设、动态调整”原则充分体现了全生命周期管理的思想。烟草行业在全建设“同步”思想方面体现不深，未在系统的建设初期将安全需求纳入系统的整体阶段。引入新思想，明确新建系统安全保护要求，提升安全管理效率。
3 等级保护在烟草行业的实施路径
信息安全等级保护工作的内容主要涉及系统定级备案、等级保护建设、风险评估与等级安全测评、安全建设整改。烟草行业推行等级保护工作，其实施路径主要有几条。
3.1 信息系统安全定级
主要包括信息系统识别、信息系统划分、安全等级确定。其中，原有信息系统根据业务信息安全重要性、系统服务安全重要性等方面综合判定，合理定级。
3.2 等级保护安全测评
在等级保护环境下对信息系统重要资产进行风险评估，通过等保测评，发现与等级保护技术、管理要求的不符合项。
3.3 制订等级保护实施方案
依据安全建设总体方案、等级保护不符合项，全面梳理存在问题，分类形成各层级问题清单；并合理评估安全建设整改的难易度，全面有效制订等级保护方案，明确安全整改目标。
3.4 开展安全整改与评估
根据等级保护实施方案开展建设，具体主要包括安全域划分、产品采购与部署、安全策略实施、安全整改加固以及等级保护管理建设等。并不定期开展安全评估，不断巩固信息安全与信息系统安全。
4 基于等级保护的烟草企业信息安全体系建设
根据等级保护工作的实施路径分析得出，等级保护与信息安全体系存在许多共性，有较好的融合度。因此，探索基于等级保护的行业信息安全体系具有深刻意义。
信息安全体系的核心是策略，由管理、技术、运维三部分组成。在等级保护思想的融合下，信息安全体系建设更加注重“分级保护、分类设计、分阶段实施”。根据等级保护思想，烟草行业信息安全体系概述有几点。
4.1 分级保护
烟草行业的信息安全体系以信息系统等级为落脚点，实行系统关联分级，具体分为人员分级、操作权限分级、应用对象分级。首先确定使用对象的范围。对人员实行不同分级，即人员、可信人员、不可信人员等；其次，根据人员分级，划分操作权限，即高权限、特殊权限、中权限、低权限等；最后根据业务信息安全等级和应用服务等级，明确应用系统等级，即一至五级安全等级。通过“人员—操作—应用”的关联链，制订分级准则，从而达到分级保护的目的。
4.2 分类设计
信息安全体系分类设计，主要涉及不同类型、不同区域、不同边界三方面的结构化设计。
4.2.1 类型设计
根据安全等级保护要求以及安全体系特点，分为技术、管理和运维三大类型，并进行类型策略设计。其中技术要求分为物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复等四部分，管理要求分为安全管理制度、安全管理机构、人员安全管理、系统建设管理等四部分。运维要求分为系统运维管理、系统运维评估等两部分。
（1）技术策略注重系统自身安全防护功能以及系统遭损害后的恢复功能两大层面。如主机管理，其中主机管理、身份鉴别、访问控制、安全审计、入侵方法等标准要按级体现；而不同的策略同样也要根据两大层面按需设计。
（2）管理策略注重管理范围全面性、资源配置到位性和运行机制顺畅性。诸如安全管理机构是否明确了机构组成，岗位设置是否合理、人员配置是否到位、沟通运行机制是否顺畅等。
（3）运维策略主要体现运维流程的清晰度、运维监督考核的执行度。诸如系统运维管理是否明确运维流程及运维监督考核指标，诸如重大事件、巡检管理、故障管理等。通过分类设计达到结构化层级要求。
4.2.2 区域设计
区域设计主要指安全域。安全域从不同角度可以进行划分，主要分为横向划分和纵向划分，横向划分按照业务分类将系统划分为各个不同的安全域，如硬件系统部分、软件系统部分等；纵向在各业务系统安全域内部，综合考虑其所处位置或连接以及面临威胁，将它们划分为计算域、用户域和网络域。
烟草行业根据体系建设需要，将采用多种安全域划分方法相结合的方式进行区域划分。
（1）以系统功能和服务对象划分烟草重要信息系统安全域和一般应用系统安全域。采取严格的访问控制措施，防止重要信息系统数据被其它业务系统频繁访问。
（2）以网络区域划分烟草行业信息系统的数据存储区、应用服务区、管理中心、信息系统内网、DMZ区等不同的安全域。数据存储区的安全保护级别要高于应用服务区，DMZ区的安全级别要低于其它所有安全域。
4.2.3 边界设计
要清晰系统、网络、应用等边界，通过区域之间划分，明晰边界安全防护措施。边界设计的理念基于区域设计，在区域划分成不同单元的基础上，实行最小安全边界防护。边界防护本着“知所必需、用所必需、共享必需、公开必需、互联互通必需”的信息系统安全控制管理原则实施。
4.3 分阶段实施
烟草信息安全体系建设要充分体现全生命周期管理思想，从应用系统需求开始，分阶段推进体系建设。
4.3.1 明确安全需求
为保证信息安全体系建设能顺利开展，行业新建系统必须在规划和设计阶段，确定系统安全等级，明确安全需求，并将应用系统的安全需求纳入到项目规划、设计、实施和验证，以避免信息系统后期反复的整改。
4.3.2 加强安全建设
要在系统建设过程中，根据安全等级保护要求，以类型、区域和边界的设计为着力点，全面加强安全环节的监督，及时跟踪安全功能的“盲点”，使在系统建设中充分体现安全总体设计的要求，稳步推进安全体系稳步开展。
4.3.3 健全安全运维机制
自系统进入运维期后，要建立健全安全运维机制。梳理运维工作事项，理顺运维业务流程，并通过制订运维规范、运维质量评价标准、运维考核标准等，规范安全运维管理，提高安全运维执行力，以确保系统符合安全等级要求。
4.3.4 开展全面安全测评
在安全建设阶段，对行业现状要全面诊断评估，尤其是对已定级的信息系统，加强安全测评，形成安全整改方案，并结合安全体系设计框架，按阶段、分步骤落实，注重整改质量与效率，降低安全风险。
4.3.5 落实检查与评估
检查评估必须以安全等保要求为检查内容，充分借助第三方力量，准确评估行业安全管理水平，并及时调整安全保护等级，不断促进行业信息安全工作上台阶。
5 结束语
信息安全体系建设作为一项长期的系统工程，等级保护思想的引入，以其保护理念的先进性和实施路径的可行性，为信息安全体系建设提供了新的思路和方法。烟草行业将在信息安全等级保护工作中切实提高烟草业务核心系统的信息安全，保障行业系统的安全、稳定、优质运行，更好地服务国家和社会。
参考文献
[1] 公安部等.信息安全等级保护管理办法[Z]. 2007-06-22.
[2] 国家烟草专卖局.烟草行业信息安全保障体系建设指南[Z].2008-04-25.
安全等级保护管理办法范文第5篇
信息安全作为国家安全的重要组成部分,是一项关系全局的战略任务,具有极端的重要性、紧迫性、长期性和复杂性。可以说,目前我国信息安全产业是通过等级保护、可信计算和产业化发展相互结合,实现网络虚拟世界秩序的安全和可信。
产业化成为重点
中国的信息安全产业仅有二十多年历史,快速发展也只是近十年的事,尚存诸多不足。在互联网应用与普及方面,我国已经进入了世界大国的行列,因此我国的信息安全问题与国际上的问题基本一样。
中国工程院院士方滨兴认为,我国在网络安全方面的解决策略是政府重在行动,企业重在引导,公众重在宣传。就是说,凡是政府信息系统,必须接受信息系统安全等级保护条例的约束,以行政的手段来强化信息系统的安全。凡是企业的系统,通过对信息安全产品的市场准入制度,以保证企业所采用的信息安全防护手段符合国家的引导思路。公众方面则通过对网络安全方面的广泛宣传,让公众对网络安全具有正确的认识,从而提高相应的防范能力。
据悉,教育部、公安部、工业和信息化部、国家标准化管理委员会等单位已经将“为国家信息化建设及国家信息安全基础设施提供支撑的信息安全产品产业化”作为2009年信息安全重点工作。其中涉及到四个方面:
1.重点支持基于国产可信计算芯片的安全应用产品,以及基于自主密码技术的高性能集成应用产品的产业化。
2.重点支持移动存储介质保密管理、恶意代码防治、电子文档安全管理、网络数字版权保护、电子数据取证、安全保密检查等产品,移动终端、桌面终端安全防护等计算机安全保护产品,以及面向无线网络的安全管理与安全应用产品的产业化。
3.重点支持安全操作系统、安全数据库、安全中间件、安全服务器、安全接入设备、安全存储、容灾备份软件、安全办公软件等产品的产业化。
4.重点支持高性能专用安全芯片和专用安全设备,以及适用于新一代网络环境的具有高性能、多安全功能的软硬件集成化产品的产业化。
技术成果的产业化过程应当是一个市场化、社会化的过程。将核心技术产品产业化地发展,推动产业结构升级,是提升核心技术发展的破局之举。
可信计算成为标尺
虽然我国的信息化技术同国际先进技术相比,存在一定的差距。但是,中国和国际上其他组织几乎是同步在进行可信计算平台的研究和部署工作。其中,部署可信计算体系中,密码技术是最重要的核心技术。
绝对的信息安全是不存在的,但信息安全却存在着一种终极的理想状态,那就是:进不去、看不见、拿不走和赖不掉。总结起来,这12字方针的目标就是可信计算。
中国可信计算工作组组长、中科院软件所副总工程师冯登国介绍,可信计算的基础是在每个终端平台上植入一个信任根,让PC从BIOS到操作系统内核层,再到应用层,均构建信任关系,由此建立一个能在网络上广泛传递的信任链。这样,人们将梦想进入一个计算免疫的时代――终端被攻击时可以实现自我保护、自我管理和自我恢复。
可以说,可信计算根就像是一把丈量计算机可信度的标尺。它会在启动之初对计算机系统上所有的运行软件进行可信性(完整性)分析,由此判定它们是否被非授权篡改。若判定不可信则阻止该软件运行,并自动恢复其合法的版本。所以,计算机一旦嵌入了该技术,即可在启动操作系统时发现内核已改,并根据用户需求进行阻止和恢复。
中国可信计算工作组发言人刘晓宇说,随着《可信计算密码支撑平台功能与接口规范》等一系列国家政策的出台与推动,以可信密码模块为TCM核心的PC、笔记本电脑、服务器、加密机等系列产品和解决方案,将逐步被我国政府/军队、制造、金融、企业/科研、公共机构、航天等行业在IT领域广泛采用。
刘晓宇说,我国自主研发的可信技术从芯片到PC硬件到系统/应用软件以及CA认证,早已形成了一条初具规模的完整产业链。
冯登国表示:“2009年将是中国可信计算蓬勃发展的一年,为打造更为强大的可信计算体系,中国可信计算工作组将优化和完善TCM硬件平台,还将致力于打通产、学、研之间的一切壁垒,促进业内同行实质性的合作交流。”
等级保护推力强劲
信息安全等级保护,是这几年听到最多的词之一。从1994年国务院147号令至今,已经过去了15年。这些年间我国在信息安全领域已经制定了数十个国家标准和行业标准,初步形成了信息安全等级保护标准体系。
方滨兴说,目前,政府在信息系统等级保护方面加大了推进力度,已经完成了等级保护的定级工作,接下来的工作就是采取有效措施来实施信息系统的安全等级保护技术。等级保护的大力推动,一方面在国际上展示了我国政府对信息安全和网络安全的管理决心;另一方面,等级管理制度的建立,突破了我国惯性思维的管理理念。
随着工业和信息化部的成立,公安部与工业和信息化部在信息系统等级保护管理方面出现了职能交叉,因此,等级保护工作的进一步开展将取决于两个部委的有效协调和合作。
2003年,国家出台《国家信息化领导小组关于加强信息安全保障工作的意见》(简称“27号文件”),明确要求我国信息安全保障工作实行等级保护制度,2007年出台《信息安全等级保护管理办法》(简称“43号文件”)。随着两项标志性文件的下发,2007年被称为等级保护的启动元年;由于要对现有信息安全系统进行加固,大量产品和服务采购开始,2008年被普遍视为等级保护采购元年;更有业内人士说,2009年等级保护的好戏才真正上演。
“当前的信息与网络安全研究,处在忙于封堵现有信息系统安全漏洞的阶段。”公安部网络安全保卫局处长郭启全认为,“要彻底解决这些迫在眉睫的问题,归根结底取决于信息安全保障体系的建设。目前,我们迫切需要根据国情,从安全体系整体着手,在建立全方位的防护体系的同时,完善法律体系,并加强管理体系。只有这样,才能保证国家信息化的健康发展,确保国家安全和社会稳定。”
“事实上,信息安全等级保护的核心思想就是根据不同的信息系统保护需求,构建一个完整的信息安全保护体系。分析《计算机信息系统安全保护等级划分准则(GB 17859-1999)》可以看出,信息安全等级保护的重点在于内网安全措施的建设和落实。建立一个完整的内网安全体系,是信息系统在安全等级保护工作中的一个重点。”郭启全说。
安全等级保护管理办法范文第6篇
关键词：信息安全；信息安全管理
中图分类号：TP393文献标识码：A文章编号：1009-3044(2012)15-3491-03
计算机、网络已经逐渐成为我们工作生活中必不可少的一部分了，企业办公自动化已经成为普遍现象。但是我们在享受信息化带来诸多便利的同时，也要看到信息化给企业带来的诸多不便。2011年上半年，花期银行由于遭受黑客攻击，二十多万客户资料信息外泄，为银行和客户带来巨大的损失，同期国际著名的安全解决方案提供商RSA遭受黑客的恶意攻击，对其超过五百家客户造成潜在风险，给该企业带来高达数百万的损失。信息安全是企业整体安全的重要方面，一旦企业重要的信息外泄，会给企业带来巨大的风险，甚至有可能将企业带入破产的境地。
1企业信息系统安全的发展
随着信息技术的产生，信息系统安全的保护也随之而来，并且随着信息技术的不断更新换代，信息系统安全保护的战略也不断发展，接下来我们可以简要地分析一下信息安全系统的发展历程。
信息系统安全的第一步是保障信息的安全，当时各个电子业务系统较为独立，互联网还不太流行，这时主要技术是对信息进行加密，普遍运用风险分析法来对系统可能出现的漏洞进行分析，合理地填补漏洞，消除威胁，这是一种基于传统安全理念指导下的系统安全保护。
随着互联网技术的深入，信息系统安全开始逐步向业务安全转化，开始从信息产业的角度出发来考虑安全状况，此时的互联网已经成为工作生活的一个组成部分。这时候我们需要保护的不再仅仅是相关信息了，我们需要对整个业务流程进行保护，分析其可能出现的问题。本阶段的安全防护理念关注整个业务流程的周期，对流程的每一个节点进行综合考虑。信息保护在此时只是整个系统安全的一部分，是作为最为基础的防护技术，除此之外，还强调对整个流程的监控，防止某个节点可能出现的不安全因素，一旦出现任何风吹草动的现象我们可以立即予以控制。此外，审计技术在这个时候也被引入，通过对技术操作的跟踪，可以对攻击发起者进行责任追究，对攻击者起到一种震慑的效果。
到目前为止，业务系统的独立性和边界已经逐步弱化，系统间的融合更为常见。以矿业企业为例，在大型集团中，往往存在财务系统、生产系统、销售系统、统计分析系统等，这些系统之间需要相互勾稽，系统与系统之间需要互相取数，因此大量的系统集中到了一个业务平台中，由该平台来提供整体服务。这样的话，我们对于信息系统安全的需求也从单系统向多系统转换，我们在关心单个系统安全的同时，还要对其系统平台服务给予更多的关注。这样的话，企业信息安全也开始由业务流程向服务转换。
2企业信息安全存在的问题分析
信息安全问题我们可以将其进行进一步细分为物理、技术以及人为等三类因素。
首先来看物理方面，物理安全主要指的是机器设备以及网络线路出现的问题。一般企业在进行信息设备设置时最先考虑的因素是人员安全，即在保证信息设备不会对企业员工人身安全造成威胁的前提下再进行设备本身考虑。信息设备一般属于电气设备，容易受到打雷、水电等灾害的影响。如果服务器主机受到严重破坏，有可能导致企业整个信息系统崩溃。相对于其他电气设备而言，信息设备耐压数值比较小，企业需要其持续不断地运行，并且磁场的干扰对网络影响比较明显，这些都对信息设备的物理安全提出了要求，需要防止可能出现的问题。
其次是技术方面，对于大量企业而言，可以分为内部网络和外部网络，内部网络相对安全性较高。对于绝大多数企业而言，局域网都会通过一定途径与外部网相连接。这样内部网路安全性就受到内部网络设备与外部网络进行的沟通的威胁。同时，操作系统的安全以及应用程序的安全都是技术上所面临的困扰。
在操作系统方面，我们的选择比较狭窄，大多数企业只能选择微软操作系统，每个系统都存在一定的漏洞，都会造成信息的外泄。其实操作系统同样是软件，微软为系统安全会不定期推出安全更新与漏洞补丁，虽然我们可以通过系统的Windows Update或其他辅助软件来给系统修修补补，但这还不是100%的安全保证。随着微软在安全技术上的逐渐改进，系统漏洞出现的次数越来越少，现在很多黑客开始把注意力转移到常用的第三方软件上来，也就是要利用这些软件的漏洞来进行攻击。相对于操作系统而言，应用软件方面我们选择性比较大，但目前流行的各种病毒、木马都会给我们企业的信息安全带来极大的影响。
尤其是现在大部分企业都建立有自己的官方网站，保存着企业的重要数据和客户资料等，而如果网站存在一个通用漏洞，就会被恶意的黑客攻击，甚至黑客还会进行木马的上传来得到WebShell，添加隐藏超级账号，使用远程桌面连接等操作，从而导致网络沦落为黑客手中的“肉鸡”。因此，如果使用网站模板代码，必须要时刻关注该网站模板是否有最新的漏洞被曝光，及时到官网上下载并打上相关的漏洞补丁程序。另外，网管务必要有经常查看网站登录日志的习惯，检查后台登录的IP是否有异地的可疑信息，或者是否被添加了异常的管理账号等等，永远绷紧安全这根弦。
对局域网进行妥善管理，让网络运行始终安全、稳定，一直是所有网络管理员的主要职责。为了保证局域网的安全性，不少网络管理员开动脑筋，并且不惜花费重金，“请”来了各式各样的专业安全工具，来为局域网进行保驾护航。然而在实际工作过程中，如果没有现成的专业安全防范工具，也可以利用客户端系统自带的安全功能，保护自己的上网安全。
最后是人员方面，人员是企业信息外泄的重要途径，其中我们可以将其分为两大类，一类是内部人员的泄密。这往往体现在员工将企业核心机密通过硬盘等设备将其带出公司信息设备，并且造成遗失等现象，最终导致公司机密为外界所获取，信息安全受到严重威胁。另一部分是黑客攻击，这类攻击对公司造成的损失非常大。该行为的目标就是获取相应的信息。随着黑客技术的发展，传统的防火墙甚至物理网闸断开都难以完全避免黑客的攻击。目前企业繁多的保护程序对黑客的防护效果不佳，反倒给用户带来了诸多不便。
3企业信息安全改进建议
3.1物理安全防护
网络结构设计直接影响到企业的信息安全，局域网的网络拓扑设计也成了信息防护的关键所在，一般情况下，企业的网络拓扑结构图如下：
图1内部网拓扑结构图
在整个流程中，核心交换机是关键，首先它必须满足国家相关的规定标准，可以承载相应的功能。机房设计要考虑到防盗、防火等，必须实行24小时监控。硬件防火墙是我们进行信息保护的一个重要措施，性能比软件防火墙更为强大，这也决定了硬件防火墙的价格相对而言更为昂贵。硬件加密卡也是我们目前使用范围比较广泛的一个技术措施，它独立于计算机系统，一般难以通过常用的软件模拟方式来对其进行攻击，因此独立性能更高。通过合理配置计算机硬件保护器，我们可以将信息保护的基础工作做得更加有效，能够为控制技术风险和人为风险提供良好的基础。
3.2技术安全
相对而言，技术安全是比较难以处理的，信息技术的发展非常迅速，我们难以面对层出不穷的网络技术攻击做出完全有效的防御，需要及时改变技术防御措施。
3.2.1数字签名和加密技术
在网络中，我们可以不断发展传统的数字签名和加密技术，防止黑客的多种入侵。
我们可以以数字签名为例，通过设定数字签名，用户在进行各种操作时会打上自身的印记，可以防止除授权者以外的修改，能够极大地提高整体的安全系数，抵御黑客的攻击。在这个程序中，我们需要予以关注的是数字证书的获取，一般有以下三个途径：a使用相关软件创建自身的数字证书；b从商业认证授权机构获取；c从内部专门负责认证安全管理机构获取。
3.2.2入侵防护系统（IPS）
传统的防火墙旨在拒绝那些明显可疑的网络流量，但仍然允许某些流量通过，因此防火墙对于很多入侵攻击仍然无计可施。绝大多数IDS系统都是被动的，而入侵防护系统(IPS)则倾向于提供主动防护，其设计宗旨是预先对入侵活动和攻击性网络流量进行拦截，避免其造成损失，而不是简单地在恶意流量传送时或传送后才发出警报。IPS是通过直接嵌入到网络流量中实现这一功能的，即通过一个网络端口接收来自外部系统的流量，经过检查确认其中不包含异常活动或可疑内容后，再通过另外一个端口将它传送到内部系统中。这样一来，有问题的数据包，以及所有来自同一数据流的后续数据包，都能在IPS设备中被清除掉。
3.2.3统一威胁管理（UTM）
美国著名的IDC对统一威胁管理(UTM)安全设备的定义的是由硬件、软件和网络技术组成的具有专门用途的设备，它主要提供一项或多项安全功能。它将多种安全特性集成于一个硬设备里，构成一个标准的统一管理平台。UTM设备应该具备的基本功能包括网络防火墙、网络入侵检测/防御和网关防病毒功能。这几项功能并不一定要同时都得到使用，不过它们应该是UTM设备自身固有的功能。
UTM安全设备也可能包括其它特性，例如安全管理、日志、策略管理、服务质量(QoS)、负载均衡、高可用性(HA)和报告带宽管理等。不过，其它特性通常都是为主要的安全功能服务的。
3信息安全管理
这主要是针对人员管理而设定的，是企业内部管理流程的一个重要方面，这是企业内部管控制度的一个重要组成方面。
每个企业都要有明确的硬件设备管理制度，专人负责保管，监督审查，确保硬件使用的合理和安全性。其次要对操作人员进行足够的培训，要求每一个使用人员都了解应当进行的合理操作，明白可能存在的网络安全隐患。第三要对数据保管有明确的责任和制度，防止大量数据的丢失，导致公司整体系统瘫痪。
为了进一步加强和规范计算机信息系统安全，公安部、国家保密局、国家密码管理局、国务院信息化工作办公室于2007年6月和7月联合颁布了《信息安全等级保护管理办法》和《关于开展全国重要信息系统安全等级保护定级工作的通知》，并召开了全国重要信息系统安全等级保护定级工作部署专题电视电话会议，标志着我国信息安全等级保护制度历经十多年的探索正式开始实施。
建立计算机信息系统安全等级保护制度，是我国计算机信息系统安全保护工作中的一件大事，它直接关系到各行各业的计算机信息系统建设和管理，是一项复杂的社会化的系统工程，需要社会各界的共同参与。大中型企业应该认真学习《信息安全等级保护管理办法》及相关技术标准规范，大力开展培训工作，落实好信息网络安全管理、安全技术、信息安全等岗位人员的继续教育培训，不断提高信息安全等级保护的能力与水平。
4结束语
在我们进行企业信息安全管理过程中，企业及企业员工是否对信息安全工作有足够的认识十分重要，企业领导和上层应该对企业信息安全工作给予必要的关注，企业信息安全不能仅仅依靠专业的IT技术人员，它需要我们全体企业员工的共同努力。
参考文献：
[1]孙博.企业信息安全及相关技术概述[J].科技创新导报,2009(04).
[2]徐国芹.浅议如何建立企业信息安全体系架构[J].中国高新技术企业,2009(5).
[3]王东.“北京移动案”暴露信息安全管理软肋[J].中国新通信,2006(6).
[4]吴辉.浅谈企业信息安全管理方案[J].科技情报开发与经济,2010(25).
[5]徐新件,朱健华.关于企业网络信息安全管理问题研究[J].供电企业管理,2008(2).
[6]汪红梅.我国信息安全保障体系存在的问题及对策刍议[J].信息网络安全,2008(2).
[7]盛玉.档案信息安全与安全保障体系内容的关系分析[J].网络财富,2009(12).
安全等级保护管理办法范文第7篇
从软件的应用领域来看，行业应用软件尤其是制造、能源、流通、金融等行业信息化的升级拉动了应用的升级，而应用的拓展又直接推动了信息安全产品需求的快速增长，嵌入式软件在从平台件到中间件的应用产业链逐步完善，已然蔚为大观。
2007年，中国软件产品市场规模达到738.84亿元，同比增长17.9％，与2006年增长速度基本持平，中国软件市场处于平稳增长阶段。未来5年中国软件市场将保持16.2％的年均复合增长率，预计到2012年中国软件市场将形成超过1500亿元的规模。在我看来，2008年软体与服务市场将出现五大走势。
SaaS将成为中小企业IT解决方案应用主要途径。在传统的产品模式中，软件产品交付给客户后在客户内部的IT系统中进行安装、实施、运营及维护；而在SaaS模式下，软件以托管的方式由SaaS服务提供商运营维护，客户通过Internet租赁并远程使用软件，通常按订购的功能模块、Licence数量和时间长短向厂商支付租赁费用。软件以及软件赖以运行的IT基础设施的所有权属于SaaS服务提供商，客户仅在租赁的期间内拥有使用权。SaaS模式正好切合了中小企业IT应用灵活、投入低、快速变化等特点，成为未来中小企业IT解决方案应用的主要途径。
绩效评估将成为企业用户IT系统及服务投资的关注重点。在中国信息化建设的20年中，大部分企业已经认识到IT的价值并逐步部署了信息化设施，目前如何清晰的呈现IT为业务带来的价值成为用户关注的重点，这也是用户消费更加理性、市场发展更加成熟的一个表现。竞争的压力及环境的快速变化使得用户对成本更加敏感，在这样一种背景下，用户与IT提供商的关系也逐渐的从供需关系转变为伙伴关系，在提供的内容上，产品的重要性逐渐下降，而包括规划咨询、流程梳理、培训等的服务重要性迅速提升。
统一通信推动解决方案的整合和厂商的联盟。当我们通过不断的投资积累起一个庞大的由网络、硬件、软件、IT服务构成的信息化系统，我们就会开始关注如何发挥这些组件的整体协同优势，产品及解决方案的整合成为必然，而在不同领域具有各自专业性的厂商也就必然要联盟，似乎一切都是必然，那么SOA以及标准将为这种“必然”加速。在统一通信蓝图中，硬件是基础，软件及服务将在其中起到关键性的作用，因此有关统一通信的竞争与合作一定有软件及服务商参与。
通过并购为用户提供整体解决方案。并购是已经延续几年的热点话题，但这毫不影响它继续成为热点话题。我们看到了Oracle、微软、SAP、IBH等不断的收购。专业的软件厂商，如BI、CAD、PLM等等，或者通过满足用户“细节专业管理”的需求存活，或者与综合性厂商紧密合作为客户提供整体解决方案，也处于被并购的可能性中。
安全等级保护管理办法范文第8篇
关键词：证券行业信息安全网络安全体系
近年来，我国资本市场发展迅速，市场规模不断扩大，社会影响力不断增强．成为国民经济巾的重要组成部分，也成为老百姓重要的投资理财渠道。资本市场的稳定健康发展，关系着亿万投资者的切身利益，关系着社会稳定和国家金融安全的大局。证券行业作为金融服务业，高度依赖信息技术，而信息安全是维护资本市场稳定的前提和基础。没有信息安全就没有资本市场的稳定。
目前．国内外网络信息安全问题日益突出。从资本市场看，近年来，随着市场快速发展，改革创新深入推进，市场交易模式日趋集巾化，业务处理逻辑日益复杂化，网络安全事件、公共安全事件以及水灾冰灾、震灾等自然灾害都对行业信息系统的连续、稳定运行带来新的挑战。资本市场交易实时性和整体性强，交易时问内一刻也不能中断。加强信息安全应急丁作，积极采取预防、预警措施，快速、稳妥地处置信息安全事件，尽力减少事故损失，全力维护交易正常，对于资本市场来说至关重要。
1证券行业倍息安全现状和存在的问题
1．1行业信息安全法规和标准体系方面
健全的信息安全法律法规和标准体系是确保证券行业信息安全的基础。是信息安全的第一道防线。为促进证券市场的平稳运行，中国证监会自1998年先后了一系列信息安全法规和技术标准。其中包括2个信息技术管理规范、2个信息安全等级保护通知、1个信息安全保障办法、1个信息通报方法和10个行业技术标准。行业信息安全法规和标准体系的初步形成，推动了行业信息化建设和信息安全工作向规范化、标准化迈进。
虽然我国涉及信息安全的规范性文件众多，但在现行的法律法规中。立法主体较多，法律法规体系庞杂而缺乏统筹规划。面对新形势下信息安全保障工作的发展需要，行业信息安全工作在政策法规和标准体系方面的问题也逐渐显现。一是法规和标准建设滞后，缺乏总体规划；二是规范和标准互通性和协调性不强，部分规范和标准的可执行性差；三是部分规范和标准已不适应，无法应对某些新型信息安全的威胁；四是部分信息安全规范和标准在行业内难以得到落实。
1．2组织体系与信息安全保障管理模型方面
任何安全管理措施或技术手段都离不开人员的组织和实施，组织体系是信息安全保障工作的核心。目前，证券行业采用“统一组织、分工有序”的信息安全工作体系，分为决策层、管理层、执行层。
为加强证券期货业信息安全保障工作的组织协调，建立健全信息安全管理制度和运行机制，切实提高行业信息安全保障工作水平，根据证监会颁布的《证券期货业信息安全保障管理暂行办法》，参照ISO／IEC27001：2005，提出证券期货业信息安全保障管理体系框架。该体系框架采用立方体架构．顶面是信息安全保障的7个目标(机密性、完整性、可用性、真实性、可审计性、抗抵赖性、可靠性)，正面是行业组织结构．侧面是各个机构为实现信息安全保障目标所采取的措施和方式。
1．3IT治理方面
整个证券业处于高度信息化的背景下，IT治理已直接影响到行业各公司实现战略目标的可能性，良好的IT治理有助于增强公司灵活性和创新能力，规避IT风险。通过建立IT治理机制，可以帮助最高管理层发现信息技术本身的问题。帮助管理者处理IT问题，自我评估IT管理效果．可以加强对信息化项目的有效管理，保证信息化项目建设的质量和应用效果，使有限的投入取得更大的绩效。
2003年lT治理理念引入到我国证券行业，当前我国证券业企业的IT治理存在的问题：一是IT资源在公司的战略资产中的地位受到高层重视，但具体情况不清楚；二是IT治理缺乏明确的概念描述和参数指标；是lT治理的责任与职能不清晰。
1．4网络安全和数据安全方面
随着互联网的普及以及网上交易系统功能的不断丰富、完善和使用的便利性，网上交易正逐渐成为证券投资者交易的主流模式。据统计，2008年我同证券网上交易量比重已超过总交易量的80％。虽然交易系统与互联网的连接，方便了投资者。但由于互联网的开放性，来自互联网上的病毒、小马、黑客攻击以及计算机威胁事件，都时刻威胁着行业的信息系统安全，成为制约行业平稳、安全发展的障碍。此，维护网络和数据安全成为行业信息安全保障工作的重要组成部分。近年来，证券行业各机构采取了一系列措施，建立了相对安全的网络安全防护体系和灾舴备份系统，基木保障了信息系统的安全运行。但细追究起来，我国证券行业的网络安全防护体系及灾备系统建设还不够完善，还存存以下几方面的问题：一是网络安全防护体系缺乏统一的规划；二是网络访问控制措施有待完善；三是网上交易防护能力有待加强；四是对数据安全重视不够，数据备份措施有待改进；五是技术人员的专业能力和信息安全意识有待提高。
1．5IT人才资源建设方面
近20年的发展历程巾，证券行业对信息系统日益依赖，行业IT队伍此不断发展壮大。据统计，2008年初，在整个证券行业中，103家证券公司共有IT人员7325人，占证券行业从业总人数73990人的9．90％，总体上达到了行业协会的IT治理工作指引中“IT工作人员总数原则上应不少于公司员工总人数的6％”的最低要求。目前，证券行业的IT队伍肩负着信息系统安全、平稳、高效运行的重任，IT队伍建设是行业信息安全IT作的根本保障。但是，IT人才队伍依然存在着结构不合理、后续教育不足等问题，此行业的人才培养有待加强。
2采取的对策和措施
2．1进一步完善法规和标准体系
首先，在法规规划上，要统筹兼顾，制定科学的信息技术规范和标准体系框架。一是全面做好立法规划；二是建立科学的行业信息安全标准和法规体系层次。行业信息安全标准和法规体系初步划分为3层：第一层是管理办法等巾同证监会部门规章；第二层是证监会相关部门制定的管理规范等规范性文件；第三层是技术指引等自律规则，一般由交易所、行业协会在证监会总体协调下组织制定。其次，在法规制定上．要兼顾规范和发展，重视法规的可行性。最后，在法规实施上．要坚持规范和指引相结合，重视监督检查和责任落实。
2．2深入开展证券行业IT治理工作
2．2．1提高IT治理意识
中国证券业协会要进一步加强IT治理理念的教育宣传工作，特别是对会员单位高层领导的IT治理培训，将IT治理的定义、工具、模型等理论知识纳入到高管任职资格考试的内容之中。通过举办论坛、交流会等形式强化证券经营机构的IT治理意识，提高他们IT治理的积极性。
2．2．2通过设立IT治理试点形成以点带面的示范效应
根据IT治理模型的不同特点，建议证券公司在决策层使用CISR模型，通过成立lT治理委员会，建立各部门之间的协调配合、监督制衡的责权体系；在执行层以COBIT模型、ITFL模型等其他模型为补充，规范信息技术部门的各项控制和管理流程。同时，证监会指定一批证券公司和基金公司作为lT试点单位，进行IT治理模型选择、剪裁以及组合的实践探索，形成一批成功实施IT治理的优秀范例，以点带面地提升全行业的治理水平。
2．3通过制定行业标准积极落实信息安全等级保护
行业监管部门在推动行业信息安全等级保护工作中的作用非常关键．应进一步明确监管部门推动行业信息安全等级保护工作的任务和工作机制，统一部署、组织行业的等级保护丁作，为该项丁作的顺利开展提供组织保证。行业各机构应采取自主贯彻信息系统等级保护的行业要求，对照标准逐条落实。同时，应对各单位实施信息系统安全等级保护情况进行测评，在测评环节一旦发现信息系统的不足，被测评单位应立即制定相应的整改方案并实施．且南相芙的监督机构进行督促。
2．4加强网络安全体系规划以提升网络安全防护水平
2．4．1以等级保护为依据进行统筹规划
等级保护是围绕信息安全保障全过程的一项基础性的管理制度，通过将等级化的方法和安全体系规划有效结合，统筹规划证券网络安全体系的建设，建立一套信息安全保障体系，将是系统化地解决证券行业网络安全问题的一个非常有效的方法。
2．4．2通过加强网络访问控制提高网络防护能力
对向证券行业提供设备、技术和服务的IT公司的资质和诚信加强管理，确保其符合国家、行业技术标准。根据网络隔离要求，要逐步建立业务网与办公网、业务网与互联网、网上交易各子系统间有效的网络隔离。技术上可以对不同的业务安全区域划分Vlan或者采用网闸设备进行隔离；对主要的网络边界和各外部进口进行渗透测试，进行系统和设备的安全加固．降低系统漏洞带来的安全风险；在网上交易方面，采取电子签名或数字认证等高强度认证方式，加强访问控制；针对现存恶意攻击网站的事件越来越多的情况，要采取措施加强网站保护，提高对恶意代码的防护能力，同时采用技术手段，提高网上交易客户端软件使朋的安全性。
2．4．3提高从业人员安全意识和专业水平
目前在证券行业内，从业人员的网络安全意识比较薄弱．必要时可定期对从业人员进行安全意识考核，从行业内部强化网络安全工作。要加强网络安全技术人员的管理能力和专业技能培训，提高行业网络安全的管理水平和专业技术水平。
2．5扎实推进行业灾难备份建设
数据的安全对证券行业是至关重要的，数据一旦丢失对市场各方的损失是难以估量的。无论是美国的“9·11”事件，还是我国2008年南方冰雪灾害和四川汶川大地震，都敲响了灾难备份的警钟。证券业要在学习借鉴国际经验的基础上，针对自身需要，对重要系统开展灾难备份建设。要继续推进证券、基金公司同城灾难备份建设，以及证券交易所、结算公司等市场核心机构的异地灾难备份系统的规划和建设。制定各类相关的灾难应急预案，并加强应急预案的演练，确保灾难备份系统应急有效．使应急工作与日常工作有机结合。
2．6抓好人才队伍建设
证券行业要采取切实可行的措施，建立吸引人才、留住人才、培养人才、发展人才的用人制度和机制。积极吸引有技术专长的人才到行业巾来，加强lT人员的岗位技能培训和业务培训，注重培养既懂得技术义懂业务和管理的复合型人才。要促进从业人员提高水平、转变观念，行业各机构应采取采取请进来、派出去以及内部讲座等多种培训方式。通过建立规范有效的人才评价体系，对信息技术人员进行科学有效的考评，提升行业人才资源的优化配置和使用效率，促进技术人才结构的涮整和完善。