一般情况下，一套全面的安全管理制度体系最常见的为四层架构，即由网络安全工作的总体方针策略、各种安全管操作规程和安全配置规范、各类记录表单构成。
一级文件： 安全策略：阐明使命和意愿，明确安全总体目标，范围、原则和安全框架等，建立工作运行模式等。
二级文件： 管理制度：对信息系统的建设、开发、运维升级和改造各个阶段和环节应遵循的行为加以规范。
三级文件： 操作规范：对各项的具体操作步骤和方法，可以是一个手册、一个流程图、或者是一个实施方法。
四级文件： 记录表单：日常运维记录、审批记录、会议纪要等文档。
以等保三级为例，通常情况下所需的制度、文档清单如下：
| 文件级别 |
分类 |
文件内容 |
| 一级文件 |
安全策略 |
安全策略总纲 |
| 二级文件 |
管理制度 |
管理制度制定、发布、维护方面的管理制度 |
| 安全管理机构 |
安全组织及岗位职责管理制度 |
|
| 授权审批类制度 |
||
| 安全审核和检查制度 |
||
| .... |
||
| 安全管理人员 |
人员录用、离岗、考核等方面的管理制度 |
|
| 人员安全教育和培训方面的管理制度 |
||
| 外部人员管理制度 |
||
| .... |
||
| 安全建设管理 |
工程实施过程管理方面的管理制度 |
|
| 产品选型、采购方面的管理制度 |
||
| 测试、验收、交付方面的管理制度 |
||
| 软件开发管理制度 |
||
| 代码编写安全规范 |
||
| 外包软件开发管理制度 |
||
| ...... |
||
| 安全运维管理 |
办公环境管理制度 |
|
| 机房安全管理制度 |
||
| 资产安全管理制度 |
||
| 介质安全管理制度 |
||
| 设备安全管理制度 |
||
| 网络系统安全管理制度 |
||
| 恶意代码防范管理制度 |
||
| 密码管理制度 |
||
| 配置管理制度 |
||
| 变更管理制度 |
||
| 备份与恢复管理制度 |
||
| 安全事件管理制度 |
||
| 应急预案管理制度（包括各类专项应急预案） |
||
| ...... |
||
| 三级文件 |
配置规范 |
网络/安全设备、操作系统、数据库等的配置基线 |
| 操作手册 |
应用软件设计程序文件 |
|
| 软件使用指南 |
||
| 源代码说明文档 |
||
| 操作运维手册（流程表单/图、实施方法） |
||
| ...... |
||
| 四级文件 |
记录、表单类 |
制度制定、修改记录 |
| 各类审批记录 |
||
| 培训记录 |
||
| 会议记录 |
||
| 安全检查表、安全检查报告等 |
||
| 安全管理岗位人员信息表 |
||
| 网络安全外联单位沟通合作联系表 |
||
| 保密协议 |
||
| 关键岗位安全协议 |
||
| 人员录用、离职记录 |
||
| 程序资源库的修改、更新、发布进行授权审批记录 |
||
| 工程实施方案 |
||
| 测试验收方案、记录等 |
||
| 安全测试报告 |
||
| 交付清单 |
||
| 服务供应商合同、协议等 |
||
| 对服务供应商的安全考核记录 |
||
| 外部人员访问登记登记审批表 |
||
| 外部人员访问登记记录表 |
||
| 外部人员保密协议 |
||
| 采购申请审批单 |
||
| 资产清单 |
||
| 等级保护对象资产报废申请表 |
||
| 设备出门条 |
||
| 设备维护记录表 |
||
| 网络安全事件报告表 |
||
| 系统异常事件处理记录 |
||
| 应急处置审批表 |
||
| 漏洞扫描、风险评估报告 |
||
| 恶意代码检查记录、病毒处置记录 |
||
| 数据备份、恢复测试等记录 |
||
| 日常运维表单、记录 |
||
| 系统变更方案、审批记录 |
||
| 应急演练、培训记录 |
||
| ...... |
企业可以根据自身情况进行选择调整，比如：没有自己的开发团队，那么软件开发管理制度、代码编写安全规范，就可以没有；软件定制开发交由外包团队开发实现，则需要外包开发管理制度。