第一章 范圍
第一條 計(jì)算機(jī)信息系統(tǒng)是指由計(jì)算機(jī)及其相關(guān)的配套設(shè)備、設(shè)施（含網(wǎng)絡(luò)、主機(jī)、應(yīng)用）構(gòu)成的，按照一定的應(yīng)用目標(biāo)和規(guī)則對信息進(jìn)行采集、加工、存儲(chǔ)、傳輸、檢索等處理的人機(jī)系統(tǒng)。本“安全崗位職責(zé)”適用于單位內(nèi)所有的計(jì)算機(jī)信息系統(tǒng)以及單位內(nèi)參與信息系統(tǒng)安全服務(wù)商選擇的所有部門和所有人員。
第二章 規(guī)范性引用文件
第二條 下列文件中的條款通過本標(biāo)準(zhǔn)的引用而成為本標(biāo)準(zhǔn)的條款。凡注明日期的引用文件，其隨后所有的修改單或修訂版均不適用于本標(biāo)準(zhǔn)（不包括勘誤、通知單），然而，鼓勵(lì)根據(jù)本標(biāo)準(zhǔn)達(dá)成協(xié)議的各方研究是否可使用這些文件的最新版本。凡未注日期的引用文件，其最新版本適用于本標(biāo)準(zhǔn)。
《信息安全技術(shù) 信息系統(tǒng)安全保障評估框架》（GB/T 20274.1-2006）
《信息安全技術(shù) 信息系統(tǒng)安全管理要求》（GB/T 20269-2006）
《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》（GBT 22239-2019）
第三章 機(jī)構(gòu)安全管理制度內(nèi)容
第三條 網(wǎng)絡(luò)安全和信息化辦公室作為天津醫(yī)科大學(xué)的網(wǎng)絡(luò)安全單位，設(shè)置安全主管、系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員四個(gè)網(wǎng)絡(luò)工作崗位及相應(yīng)職責(zé)，由各個(gè)崗位責(zé)任制來確定各個(gè)崗位負(fù)責(zé)人，不再另設(shè)負(fù)責(zé)人。安全主管由單位領(lǐng)導(dǎo)擔(dān)任。
第四條 各個(gè)崗位至少有一名人員專門負(fù)責(zé)相應(yīng)的工作，對于重要崗位，可根據(jù)實(shí)際情況增加一名人員。
第五條 針對信息系統(tǒng)的各項(xiàng)活動(dòng)，需要按照嚴(yán)格的審批流程進(jìn)行，并將結(jié)果存檔記錄。
第六條 定期對名種事項(xiàng)的審批活動(dòng)進(jìn)行審核，若人員或單位發(fā)生變動(dòng)，需及時(shí)更新審批單位或?qū)徟说仁马?xiàng)，必要時(shí)可招開專門的審批會(huì)議。
第七條 安全主管應(yīng)與網(wǎng)絡(luò)管理員、系統(tǒng)管理員與安全管理員之間的溝通，定期或不定期召開協(xié)調(diào)會(huì)議，共同協(xié)作處理信息安全問題。
第八條 安全單位同時(shí)應(yīng)與第三方安全服務(wù)商、公安單位及兄弟單位進(jìn)行合作與交流，及時(shí)解決工作是遇到的問題，隨時(shí)學(xué)習(xí)最新的安全技術(shù)及安全認(rèn)識(shí)知識(shí)。保證整個(gè)信息系統(tǒng)的安全、高效、平穩(wěn)運(yùn)行。
第九條 安全單位應(yīng)聘請信息安全專家作為常年的安全顧問，指導(dǎo)信息安全建設(shè)，參與安全規(guī)劃和安全評審等信息系統(tǒng)活動(dòng)。
第十條 安全單位應(yīng)建立外聯(lián)單位聯(lián)系列表，包括外聯(lián)單位名稱、合作內(nèi)容、聯(lián)系人和聯(lián)系方式等信息并及時(shí)更新，保證信息的有效性。
第十一條 安全單位同時(shí)也要與電信運(yùn)營商、安全產(chǎn)品供應(yīng)商、安全組織保證良好的合作與溝通，及時(shí)獲取最新的安全資訊與攻擊防御手段。
第十二條 安全單位各項(xiàng)制度的執(zhí)行結(jié)果應(yīng)全部存檔及詳細(xì)記錄。
第十三條 實(shí)施及修改。本辦法經(jīng)主管領(lǐng)導(dǎo)及網(wǎng)絡(luò)安全領(lǐng)導(dǎo)小組通過實(shí)施，修改時(shí)亦同。
第四章 安全主管崗位職責(zé)
第十四條 安全主管需要對整個(gè)網(wǎng)絡(luò)進(jìn)行全面規(guī)劃，包括以下幾個(gè)方面基礎(chǔ)設(shè)施管理、操作系統(tǒng)管理、安全保密管理、應(yīng)用系統(tǒng)管理、機(jī)房管理、信息存儲(chǔ)備份管理、用戶服務(wù)管理進(jìn)行規(guī)劃性管理
第十五條 基礎(chǔ)設(shè)施管理方面：
（一）確保網(wǎng)絡(luò)通信傳輸暢通；
（二）優(yōu)化整個(gè)網(wǎng)絡(luò)通訊過程，保證高效、穩(wěn)定運(yùn)行。
（三）評估網(wǎng)絡(luò)基礎(chǔ)設(shè)施中存在的潛在隱患，并及時(shí)解決。
第十六條 信息存儲(chǔ)備份管理：
（一）對信息存儲(chǔ)備份管理進(jìn)行日常檢查，保證備份流程正確執(zhí)行。
（二）檢查對備份的數(shù)據(jù)與信息，確認(rèn)手工操作備份是否正常執(zhí)行。
（三）評估信息存儲(chǔ)備份設(shè)施中存在的潛在隱患，并及時(shí)解決。
第十七條 機(jī)房管理：
（一）規(guī)劃機(jī)房數(shù)據(jù)通信電纜布線情況，在增減設(shè)備時(shí)確保布線合理，管理維護(hù)方便。
（二）規(guī)劃機(jī)房設(shè)備供電線路安排，在增減設(shè)備時(shí)注意負(fù)載的合理配置。
（三）評估機(jī)房管理中存在的潛在隱患，并及時(shí)解決。
第十八條 操作系統(tǒng)管理：
（一）規(guī)劃服務(wù)器整體安全策略，制定相應(yīng)的操作規(guī)程。
（二）對操作系統(tǒng)管理員進(jìn)行監(jiān)督與檢查。
（三）評估操作系統(tǒng)管理中可能存在的安全隱患，及時(shí)解決。
第十九條 應(yīng)用系統(tǒng)管理：
（一）規(guī)劃信息系統(tǒng)中應(yīng)用系統(tǒng)的安全部署，制定相應(yīng)的安全策略，保證應(yīng)用系統(tǒng)正常、穩(wěn)定工作。
（二）對于用戶訪問頻率高、系統(tǒng)負(fù)荷的應(yīng)用服務(wù)，必要時(shí)安全主管與網(wǎng)絡(luò)管理員可采取負(fù)載均衡設(shè)備或其它設(shè)備降低系統(tǒng)負(fù)載。
（三）評估應(yīng)用系統(tǒng)潛在的安全風(fēng)險(xiǎn)（含正在運(yùn)行及新應(yīng)用系統(tǒng)），及時(shí)解決安全隱患。
第二十條 安全保密管理：
（一）根據(jù)國家相關(guān)的安全保密條例，制定相應(yīng)的安全保密規(guī)程，并嚴(yán)格監(jiān)督信息系統(tǒng)中敏感信息，保證信息系統(tǒng)的安全。
（二）評估整個(gè)安全保密過程中存在的安全隱患，及時(shí)解決安全保密問題。
第二十一條 用戶服務(wù)管理：
規(guī)劃整個(gè)信息系統(tǒng)中的用戶服務(wù)管理框架，保證用戶權(quán)限、服務(wù)最小化，重點(diǎn)關(guān)注用戶服務(wù)中權(quán)限分配，保證安全性。
第二十二條 評估用戶服務(wù)管理中存在的風(fēng)險(xiǎn)，及時(shí)消除安全隱患。
第五章 安全管理員崗位職責(zé)
第二十三條 依據(jù)國家有關(guān)法規(guī)政策，從事本單位的信息網(wǎng)絡(luò)安全保護(hù)工作，確保網(wǎng)絡(luò)安全運(yùn)行。
第二十四條 定期進(jìn)行網(wǎng)絡(luò)安全檢查，對隱患及時(shí)報(bào)告，并督促相關(guān)部門進(jìn)行整改。
第二十五條 開展安全培訓(xùn)活動(dòng)，總結(jié)推廣安全管理先進(jìn)經(jīng)驗(yàn)。
第二十六條 監(jiān)督各部門做好安全管理工作。
第二十七條 負(fù)責(zé)各類事故的調(diào)查、處理、匯總、統(tǒng)計(jì)上報(bào)工作。
第二十八條 建立健全安全管理網(wǎng)絡(luò)體系，指導(dǎo)安全工作，加強(qiáng)網(wǎng)絡(luò)基礎(chǔ)設(shè)施建設(shè)。
第二十九條 熟悉掌握設(shè)備的性能、使用方法及排除一般故障的能力，要定期對設(shè)備安全檢查。
第三十條 做好安全檔案資料管理工作，負(fù)責(zé)填報(bào)各種安全報(bào)表。
第三十一條 根據(jù)網(wǎng)信辦有關(guān)計(jì)算機(jī)和網(wǎng)絡(luò)運(yùn)行的條例及崗位責(zé)任對學(xué)校計(jì)算機(jī)和網(wǎng)絡(luò)系統(tǒng)的使用進(jìn)行規(guī)范化的管理，及時(shí)制止違規(guī)現(xiàn)象發(fā)生。
第三十二條 對計(jì)算機(jī)和學(xué)校網(wǎng)絡(luò)系統(tǒng)進(jìn)行日常維護(hù)，做好網(wǎng)絡(luò)設(shè)備的巡檢工作和安全防范工作，確保網(wǎng)絡(luò)暢通無阻。
第三十三條 認(rèn)真做好計(jì)算機(jī)和網(wǎng)絡(luò)系統(tǒng)的數(shù)據(jù)記錄、安全備份和用戶管理工作，保證各類運(yùn)行數(shù)據(jù)記錄的正確性和實(shí)時(shí)性。
第三十四條 為學(xué)校應(yīng)用信息網(wǎng)絡(luò)的工作提供技術(shù)支持，保證學(xué)校計(jì)算機(jī)和網(wǎng)絡(luò)設(shè)備安全運(yùn)行的環(huán)境要求。
第三十五條 做好學(xué)校內(nèi)網(wǎng)和Internet接入情況的監(jiān)測工作，及時(shí)向網(wǎng)信辦網(wǎng)絡(luò)管理員提供信息。
第三十六條 負(fù)責(zé)學(xué)校信息系統(tǒng)的安全防護(hù)和運(yùn)行監(jiān)控，做好信息系統(tǒng)運(yùn)行數(shù)據(jù)的記錄和安全備份，及時(shí)向有關(guān)信息中心提供信息。
第三十七條 完成上級(jí)交辦的其他工作任務(wù)。
第六章 網(wǎng)絡(luò)管理員崗位職責(zé)
第三十八條 基礎(chǔ)設(shè)施管理
（一）確保網(wǎng)絡(luò)通信傳輸暢通；
（二）掌控主干設(shè)備的配置情況及配置參數(shù)變更情況，備份各個(gè)設(shè)備的配置文檔；
（三）對運(yùn)行關(guān)鍵業(yè)務(wù)網(wǎng)絡(luò)的主干設(shè)備配備相應(yīng)的備份設(shè)備，并配置為熱后備設(shè)備；
（四）負(fù)責(zé)網(wǎng)絡(luò)布線配線架的管理，確保配線的合理有序；
（五）掌控用戶端設(shè)備接入網(wǎng)絡(luò)的情況，以便發(fā)現(xiàn)問題時(shí)可迅速定位；
（六）采取技術(shù)措施，對網(wǎng)絡(luò)內(nèi)經(jīng)常出現(xiàn)的用戶需要變更位置和部門的情況進(jìn)行管；
（七）掌控和外部網(wǎng)絡(luò)的連接配置，監(jiān)督網(wǎng)絡(luò)通信狀況，發(fā)現(xiàn)問題后和有關(guān)機(jī)構(gòu)及時(shí)聯(lián)系；
（八）實(shí)時(shí)監(jiān)控整個(gè)局域網(wǎng)的運(yùn)轉(zhuǎn)和網(wǎng)絡(luò)通信流量情況；
（九）定制、發(fā)布網(wǎng)絡(luò)基礎(chǔ)設(shè)施使用管理辦法并監(jiān)督執(zhí)行情況。
第三十九條 信息存儲(chǔ)備份管理
（一）采取一切可能的技術(shù)手段和管理措施，保護(hù)網(wǎng)絡(luò)中的信息安全。
（二）對于實(shí)時(shí)工作級(jí)別需要不高的系統(tǒng)和數(shù)據(jù)，最低限度網(wǎng)絡(luò)管理員也應(yīng)該進(jìn)行定期手工操作備份。
（三）對于關(guān)鍵業(yè)務(wù)服務(wù)系統(tǒng)和實(shí)時(shí)性需要高的數(shù)據(jù)和信息，網(wǎng)絡(luò)管理員應(yīng)該建立存儲(chǔ)備份系統(tǒng)，進(jìn)行集中式的備份管理。
（四）最后將備份數(shù)據(jù)隨時(shí)保存在安全地點(diǎn)更是很重要。
第四十條 機(jī)房管理
（一）掌控機(jī)房數(shù)據(jù)通信電纜布線情況，在增減設(shè)備時(shí)確保布線合理，管理維護(hù)方便；
（二）掌管機(jī)房設(shè)備供電線路安排，在增減設(shè)備時(shí)注意負(fù)載的合理配置；
（三）管理網(wǎng)絡(luò)機(jī)房的溫度、濕度和通風(fēng)狀況，提供適合的工作環(huán)境；
（四）確保網(wǎng)絡(luò)機(jī)房內(nèi)各種設(shè)備的正常運(yùn)轉(zhuǎn)；
（五）確保網(wǎng)絡(luò)機(jī)房符合防火安全需要，火警監(jiān)測系統(tǒng)工作正常，滅火措施有效；
（六）采取措施，在外部供電意外中斷和恢復(fù)時(shí)，實(shí)現(xiàn)在無人值守情況下確保網(wǎng)絡(luò)設(shè)備安全運(yùn)行；
（七）無關(guān)人員不得進(jìn)入機(jī)房，更不得接觸系統(tǒng)設(shè)備。
（八）保持機(jī)房整潔有序，按時(shí)記錄網(wǎng)絡(luò)機(jī)房運(yùn)行日志，定制網(wǎng)絡(luò)機(jī)房管理制度并監(jiān)督執(zhí)行。
第七章 系統(tǒng)管理員崗位職責(zé)
第四十一條 操作系統(tǒng)管理:
（一）確保網(wǎng)絡(luò)通信傳輸暢通.
（二）在網(wǎng)絡(luò)操作系統(tǒng)配置完成并投入正常運(yùn)行后，為了確保網(wǎng)絡(luò)操作系統(tǒng)工作正常，系統(tǒng)管理員首先應(yīng)該能夠熟練的利用系統(tǒng)提供的各種管理工具軟件，實(shí)時(shí)監(jiān)督系統(tǒng)的運(yùn)轉(zhuǎn)情況，及時(shí)發(fā)現(xiàn)故障征兆并進(jìn)行處理。
（三）在網(wǎng)絡(luò)運(yùn)行過程中，系統(tǒng)管理員應(yīng)隨時(shí)掌控網(wǎng)絡(luò)系統(tǒng)配置情況及配置參數(shù)變更情況，對配置參數(shù)進(jìn)行備份。系統(tǒng)管理員還應(yīng)該做到隨著系統(tǒng)環(huán)境的變化、業(yè)務(wù)發(fā)展需要和用戶需求，動(dòng)態(tài)調(diào)整系統(tǒng)配置參數(shù)，優(yōu)化系統(tǒng)性能。
（四）系統(tǒng)管理員應(yīng)為關(guān)鍵的網(wǎng)絡(luò)操作系統(tǒng)服務(wù)器建立熱備份系統(tǒng)，做好防災(zāi)準(zhǔn)備。
第四十二條 服務(wù)器系統(tǒng)的管理。服務(wù)器系統(tǒng)的管理采用A、B角制度，A管理員負(fù)責(zé)服務(wù)器日常的的管理工作，B管理員應(yīng)掌握服務(wù)器的知識(shí)，當(dāng)A管理員外出的時(shí)候擔(dān)負(fù)管理服務(wù)器的職責(zé)。主要包括以下工作：
（一）做好服務(wù)器配置、安裝和改動(dòng)記錄，編寫內(nèi)部網(wǎng)絡(luò)和系統(tǒng)運(yùn)行日志，內(nèi)容要詳盡、科學(xué)。和服務(wù)器的配置的每次改動(dòng)都要做記錄，包括時(shí)間、原因、配置記錄文件等。如果發(fā)生故障，就必須記錄故障發(fā)生的時(shí)間、故障情況、處理方法，及預(yù)防措施等。
（二）系統(tǒng)管理員要定期對硬盤進(jìn)行整理，清除緩存或垃圾文件。
（三）定期保存系統(tǒng)日志。
（四）做好系統(tǒng)的硬件維護(hù)，對設(shè)備定期檢查，定期清潔、除塵，保持設(shè)備正常運(yùn)行。
（五）網(wǎng)絡(luò)設(shè)備或服務(wù)器的性能測試或系統(tǒng)軟件的升級(jí)。
第四十三條 用戶的管理。
服務(wù)器超級(jí)用戶的密碼要定期更換，密碼設(shè)定要有一定的規(guī)定，不能少于八位，系統(tǒng)管理員不得對任何無關(guān)人員泄露。知道超級(jí)用戶和密碼的人員不得超過兩人。
對服務(wù)器用戶的權(quán)限進(jìn)行嚴(yán)格、詳細(xì)的審核，對廢棄的用戶要及時(shí)進(jìn)行刪除。用戶要記錄進(jìn)數(shù)據(jù)庫，以便查詢，用戶密碼的設(shè)定不得少于六位字母或數(shù)字。系統(tǒng)管理員要嚴(yán)守保密制度，不得泄漏用戶密碼。
第四十四條 應(yīng)用系統(tǒng)管理:
（一）確保各種網(wǎng)絡(luò)應(yīng)用服務(wù)運(yùn)行的不間斷性和工作性能的良好性，出現(xiàn)故障時(shí)應(yīng)將故障造成的損失和影響控制在最小范圍內(nèi)。
（二）對于需要不可中斷的關(guān)鍵型網(wǎng)絡(luò)應(yīng)用系統(tǒng)，除了在軟件手段上要掌控、備份系統(tǒng)參數(shù)和定期備份系統(tǒng)業(yè)務(wù)數(shù)據(jù)外，必要時(shí)在硬件手段上還要建立和配置系統(tǒng)的熱備份。
（三）對于用戶訪問頻率高、系統(tǒng)負(fù)荷的網(wǎng)絡(luò)應(yīng)用服務(wù)，必要時(shí)系統(tǒng)管理員還應(yīng)該采取分擔(dān)的技術(shù)措施。
第四十五條 用戶服務(wù)和管理
（一）用戶的開戶和撤銷；
（二）用戶組的配置和管理；
（三）用戶可用服務(wù)和資源的的權(quán)限管理和配額管理；
（四）用戶計(jì)費(fèi)管理；
（五）包括用戶桌面連網(wǎng)電腦的技術(shù)支持服務(wù)和用戶技術(shù)培訓(xùn)服務(wù)的用戶端支持服務(wù)。
第四十六條 為了保證應(yīng)用系統(tǒng)的正常運(yùn)轉(zhuǎn)，單一服務(wù)器上原則上提供單一應(yīng)用服務(wù)，不得在單一服務(wù)器上同時(shí)提供兩種應(yīng)用服務(wù)（系統(tǒng)相互備份例外）。
第四十七條 為了保證系統(tǒng)的正常運(yùn)轉(zhuǎn)，系統(tǒng)管理員不得在應(yīng)用服務(wù)器上做軟件或系統(tǒng)功能試驗(yàn)，不得在應(yīng)用服務(wù)器上隨意安裝與應(yīng)用無關(guān)的軟件，不得在服務(wù)器上安裝盜版軟件?；颈ＷC單服務(wù)器單應(yīng)用。
第四十八條 防病毒：網(wǎng)絡(luò)內(nèi)所有的服務(wù)器必須安裝網(wǎng)絡(luò)防病毒軟件，并及時(shí)升級(jí)病毒定義文件。定期對服務(wù)器進(jìn)行全面的病毒檢測。對檢測出的病毒要做病毒記錄。
第四十九條 備份。
（一）系統(tǒng)備份，對重要的應(yīng)用服務(wù)器，要做雙機(jī)備份（有條件的話），必須保證一旦一臺(tái)服務(wù)器出現(xiàn)故障，另一臺(tái)服務(wù)器能在最短的時(shí)間內(nèi)切換使用。主要包括：郵件服務(wù)、Internet服務(wù)、DNS服務(wù)。
（二）數(shù)據(jù)備份，做好網(wǎng)絡(luò)內(nèi)所有系統(tǒng)數(shù)據(jù)和應(yīng)用數(shù)據(jù)的定期自動(dòng)備份，定期做人工備份，確保數(shù)據(jù)的安全，要采用多種備份形式。
第五十條 數(shù)據(jù)保密工作，對在Intranet或Internet上發(fā)布的信息，需要做保密處理的，必須進(jìn)行密碼或用戶驗(yàn)證服務(wù)等處理，并對密碼進(jìn)行嚴(yán)格的管理。
第五十一條 系統(tǒng)管理員應(yīng)努力學(xué)習(xí)、積極進(jìn)取，不斷學(xué)習(xí)新的網(wǎng)絡(luò)和服務(wù)器系統(tǒng)技術(shù)，不斷提高自我。
第八章其他管理員崗位職責(zé)
第五十二條 應(yīng)用開發(fā)管理員主要職責(zé)有：
（一）負(fù)責(zé)在系統(tǒng)開發(fā)建設(shè)中，嚴(yán)格執(zhí)行系統(tǒng)安全策略，保證系統(tǒng)安全功能的準(zhǔn)確實(shí)現(xiàn)；
（二）系統(tǒng)投產(chǎn)運(yùn)行前，完整移交系統(tǒng)相關(guān)的安全策略等資料；
（三）不得對系統(tǒng)設(shè)置“后門”；
（四）對系統(tǒng)核心技術(shù)保密等。
第五十三條 安全審計(jì)員負(fù)責(zé)對涉及系統(tǒng)安全的事件和各類操作人員的行為進(jìn)行審計(jì)和監(jiān)督，主要職能包括：
（一）按操作員證書號(hào)進(jìn)行審計(jì)；
（二）按操作時(shí)間審計(jì)；
（三）按操作類型審計(jì)；
（四）事件類型進(jìn)行審計(jì)；
（五）日志管理等。
第五十四條 安全保密管理員負(fù)責(zé)日常安全保密管理活動(dòng)，主要職責(zé)有：
（一）監(jiān)視全網(wǎng)運(yùn)行和安全告警信息；
（二）網(wǎng)絡(luò)審計(jì)信息的常規(guī)分析；
（三）安全設(shè)備的常規(guī)設(shè)置和維護(hù)；
（四）執(zhí)行應(yīng)急中心制定的具體安全策略；
（五）向應(yīng)急管理機(jī)構(gòu)和領(lǐng)導(dǎo)機(jī)構(gòu)報(bào)告重大的網(wǎng)絡(luò)安全事件。
天津醫(yī)科大學(xué)網(wǎng)絡(luò)安全和信息化辦公室
2021年 9 月 22 日
附件
網(wǎng)絡(luò)安全崗位人員 |
| A角 | B角 |
安全主管 | | |
安全管理員 | | |
系統(tǒng)管理員 | | |
數(shù)據(jù)庫管理員 | | |
網(wǎng)絡(luò)管理員 | | |
備注：安全管理員為專職，不可兼任系統(tǒng)管理員、數(shù)據(jù)庫管理員、網(wǎng)絡(luò)管理員等崗位。
