2022年新海关高级认证标准（内部控制标准）信息系统

2022年新高级认证通用标准（2022年第106号）

一、内部控制标准

第3项.信息系统

（9）建立并执行信息安全管理制度，包括防火墙、密码等保护信息系统免受未经授权的访问，以及防止信息丢失的程序和备份功能，并对违反信息安全管理制度造成损害的行为予以责任追究。

企业信息安全管理制度的书面文件。应明确信息安全管理部门（岗位）、信息安全责任、安全管理要求、信息系统日常运维保障、应急处置、系统定期更新、档案资料保管等内容。

以上内容过于宽泛，在此举个例子来说明企业信息安全管理制度应该包括什么具体内容：

1. 总则：明确制度目的，制度中信息安全专业名词解释，制度的最终决定者；
2. 管理体制：明确管理部门或管理组织，信息安全责任，工作内容，报告体制等；
3. 信息安全对策（物理）：电脑，手提电脑，移动存储设备等使用，保管，移动，持出，废弃，修理，设置密码等内容。
4. 信息安全对策（数据程序）：软件安装，病毒防范，邮件使用，网络连接，远程控制，数据备份，访问及上网权限管理等内容；
5. 危机管理：当发生信息安全事故的处置方法和程序；
6. 教育和监督：日常教育培训制度，退职人员保密义务，以及对违反信息安全制度的人员的惩处措施。

    以上就是一个完整的信息安全管理制度内容，下一回再说明如何执行。

参考：旧标准

一、内部控制标准

第三项，11.信息安全

第1款，建立并执行信息安全管理制度。