广州石化：网络安全实现主动防御动态管控-第2页

建立整套信息安全管理制度体系，发布《广州石化信息安全管理规定》等系列规章制度，作为对出现安全隐患或事件的责任部门，执行经济责任制考核的重要依据。建立信息安全通报机制，2017年发布4期信息安全简报和5次紧急通报，对信息安全隐患坚决“零容忍”。

建立在线化权限矩阵管理机制，明确管理流程，细分部门职责，不相容岗位得到有效落实。持续开展关键岗位人员信息安全审计和信息系统权限清理工作，去年清理总量超万条。通过综合应用中石化统一身份管理平台、IT服务管理平台和堡垒机，建立安全、可控、可审计的运维通道，权限管理得到有效控制。

让信息安全“看得见”网络“信得过”

梳理和识别企业在生产经营中的信息安全风险，是让信息安全“看得见”的基础。广州石化运用安全风险矩阵标准和风险评估工具，识别信息HSSE“十大风险源”并形成清单，制定具体目标/指标/管控措施以及责任人、完成时间，在HSSE委员会月度会议上进行落实情况跟踪。每半年开展回顾工作，年底进行后评估，结合本年度剩余风险滚动评估更新下一年度清单，建成一套完整的信息安全风险管控PDCA模型。2017年，通过信息HSSE“十大风险源”识别与管控，90%以上主要风险源的剩余风险降低至可接受程度。