点对点分析CII与等级保护系列：安全管理部分（一）

CII要求

对应等保要求

运营者应符合国家网络安全等级保护制度相关要求，对相关信息系统开展定级备案、相应等级的测评、安全建设、整改及自查工作。

略

CII要求

对应等保要求

运营者应：

a）建立适合本组织的网络安全保护计划，结合关键业务流的安全风险报告，明确关键信息基础设施网络安全保护工作的目标、安全策略、组织架构、管理制度、技术措施、实施细则及资源保障等，形成文档并经审批后发布至相关人员。网络安全保护计划应至少每年修订一次，或发生重大变化时进行修订。

安全管理制度

安全策略

a）应制定网络安全工作的总体方针和安全策略，阐明机构安全工作的总体目标、范围、原则和安全框架等。

CII要求

对应等保要求

b）基于关键业务链、供应链等安全需求建立或完善安全策略和制度，并根据关键信息基础设施面临的安全风险和威胁的变化相应调整。

管理制度

a）应对安全管理活动中的主要管理内容建立安全管理制度；

b）应对管理人员或操作人员执行的日常管理操作建立操作规程。

CII要求

对应等保要求

运营者应：

a）成立指导和管理网络安全工作的委员会或领导小组，由组织主要负责人担任其领导职务，设置专门的网络安全管理机构，建立首席网络安全官制度，建立并实施网络安全考核及监督问责机制。

安全管理机构

岗位设置

a）应成立指导和管理网络安全工作的委员会或领导小组，其最高领导由单位主管领导担任或授权；

CII要求

对应等保要求

b）安全管理机构主要人员应参与本组织信息化决策。

无

CII要求

对应等保要求

c）安全管理机构相关人员应参加国家、行业或业界网络安全相关活动，及时获取网络安全动态，并传达到本组织。

a）应加强各类管理人员、组织内部机构和网络安全管理部门之间的合作与沟通，定期召开协调会议，共同协作处理网络安全问题；

b）应加强与网络安全职能部门、各类供应商、业界专家及安全组织的合作与沟通；

c）应建立外联单位联系列表，包括外联单位名称、合作内容、联系人和联系方式等信息。