行业动态

（三）加强顶层设计

各企业应加强统筹规划、顶层设计，在企业战略发展规划、信息化专项规划的基础上，做好信息安全体系的设计，制定信息安全专项规划或工作计划。充分重视企业信息资源、资产的梳理、界定工作，将信息安全与企业商业秘密保护工作密切结合，切实保护企业在经营、研发、并购重组等对外行为中的合法权益。

（四）强化组织保障

各企业是信息安全的责任主体。各企业应明确专门信息安全管理机构和安全管理负责人，并对该负责人和关键岗位的人员进行安全背景审查。信息化工作领导小组组长应承担起信息安全的领导责任，建立并完善信息化管理部门与保密及其他业务部门齐抓共管、协同配合的信息安全工作机制，并逐级落实信息安全责任制。

各企业应加强信息安全人才培养，打造适应信息化要求的专业人才队伍。建立健全信息安全专业岗位持证上岗制度。加强全员信息安全教育培训工作，把相关培训纳入员工培训计划。定期对从业人员进行网络安全教育、技术培训和技能考核，积极组织或参与信息安全知识技能竞赛，形成培养、选拔、吸引和使用信息安全人才的良性机制。

（五）确保资金投入

各企业应加强统筹规划，做好信息安全体系顶层设计，制定专项规划或工作计划。按照企业信息化总体规划和信息安全工作目标，将信息安全工作经费纳入企业年度预算，将信息安全建设经费纳入信息化项目总投资，加强资金保障和使用监管，确保信息安全工作的资金投入。

（六）完善制度规范

各企业应建立相关的信息安全自查制度，定期开展信息安全自查工作，建立“以查促建、以查促改、以查促管”的长效机制。

各企业应按照国家有关信息安全风险评估及信息安全审计的政策和标准建立信息安全风险评估和安全审计制度，加强企业IT治理。对新建信息系统，通过信息安全测试或风险评估后方能验收和上线运行；对已运行但尚未开展过风险评估或发现有严重安全隐患的重要网络和重要系统，应立即进行安全审计，尽快完成整改。

各企业应严格准入管理，建立重要人员和重要设备审查制度。根据需要，建立健全企业敏感岗位的信息安全责任制，加强员工入职信息安全教育。在进行关键信息基础设施的网络产品和服务采购时，应与提供者签订安全保密协议，明确安全和保密义务与责任。关键信息基础设施中采购的网络产品或者服务，可能影响国家安全的，应通过国家有关部门组织的安全审查。