17.4.1安全组织

    安全组织的目的在于通过建立管理框架，以启动和控制组织范围内的信息安全的

实施。

    管理者应通过清晰的方向、说明性承诺、明确的信息安全职责分配和确认，来积极

地支持组织内的安全。管理者并应批准整个组织内的信息安全方针、分配安全角色并协

调和评审安全的实施。

    组织可建立信息安全领导小组，负责本组织机构的信息系统安全工作，并至少履行

以下职能。

    (1)安全管理的领导职能：根据国家和行业有关信息安全的政策、法律和法规，批

准机构信息系统的安全策略和发展规划；确定各有关部门在信息系统安全中的职责，领

导安全工作的实施；监督安全措施的执行，并对重要安全事件的处理进行决策；指导和

检查信息系统安全职能部门和应急处理小组的各项工作：建设和完善信息系统安全的集

中控管的组织体系和管理机制。

    (2)保密监督的管理职能：在上述基础上，对保密管理部门进行有关信息系统安全

保密监督管理方面的指导和检查。

    组织可建立信息安全职能部门，在信息安全领导小组监管下，负责本组织机构信息

系统安全的具体工作，至少履行以下管理职钝之一。

    (1)基本的安全管理职能：根据国家和行业有关信息安全的政策法规，起草组织机

构信息系统的安全策略和发展规划；管理机构信息系统安全日常事务，检查和指导下级

单位信息系统安全工作；负责安全措施的实旖或组织实施，组织并参加对安全重要事件

的处理：监控信息系统安全总体状况，提出安全分析报告；指导和检查各部门和下级单

位信息系统安全人员及要害岗位人员的信息系统安全工作；应与有关部门共同组成应急

处理小组或协助有关部门建立应急处理小组，并实施相关应急处理工作。

    (2)集中的安全管理职能：在上述基础上，管理信息系统安全机制集中管理机构的

各项工作，实现信息系统安全的集中控制管理；完成信息系统安全领导小组交办的工作，

并向领导小组报告机构的信息系统安全工作。

    如果需要，要在组织范围内建立信息安全专家建议的资料源，并在整个组织内均可

获得该资料。要发展与外部安全专家或组织（包括相关权威人士）的联系，以便跟上行

业发展趋势、跟踪标准和评估方法，并且当处理信息安全事故时，提供合适的联络地点。

应鼓励构建信息安全的多学科交叉途径。