4-8资产安全管理制度.doc

资产安全管理制度资产安全管理制度 文档信息文档信息 单位名称淄博市卫生和计划生育委员会 文档名称资产安全管理制度 文档编号 受控状态受控文件扩散范围内部使用 制作人审核人 批准人页数共 10 页 发布日期生效日期 版本历史版本历史 版本日期说明修订人 1 0 创建文件 4 8 资产安全管理制度资产安全管理制度 第一章第一章 总则总则 第一条 本管理办法旨在对淄博市卫生和计划生育委员会内部重要的信息资产进行分类 分级 以便对信息的分发和流转进行恰当的控制 确保信息资产的保密性 完整性和可用性 能够实现 第二条 本管理办法适用于淄博市卫生和计划生育委员会 第三条 定义 一 本制度所涉及的信息包括各种存储或者存在形式 包括但不限于电子信息 纸质 数据文件 语音和图像等 二 本制度所称信息是指以任何形式存在或传播的对我单位具有价值的内容 包括电 子信息 纸质数据文件 语音图像等 信息安全关注的是信息的保密性 可用性和完整性 三 本制度所称信息资产是指任何对本单位具有价值的信息的存在形式或者载体 包 括计算机硬件 通信设施 IT 环境 数据库 软件 文档资料 信息服务和人员等 所有 这些资产都需要妥善保护 第二章第二章 组织与管理组织与管理 第四条 本单位各部门负责人是本部门信息资产管理的第一责任人 负责组织本制度的 贯彻落实 第五条 全体员工理解并遵守本制度定义的内容 第六条 本制度定义以下相关角色 履行相应的信息安全管理 执行和审核职责 一 责任人 信息资产的创建者 或者主要用户所在单位或部门的负责人 信息资产 责任人对所属信息资产负直接责任 其主要职责包括 1 理解和各种信息访问活动相关的安全风险 2 根据单位信息密级划分标准来确定所属信息资产的级别 3 根据单位相关策略确定并检查信息访问权限 4 针对所属信息资产提出恰当的保护措施 二 保管者 受信息资产责任人委托 对信息资产进行日常的管理 维护已经建立的 保护措施 资产保管者通常是本单位淄博市卫生和计划生育委员会或者代表 例如系统管理 员 其主要职责包括 1 根据相关策略和信息资产责任人的要求 负责信息资产的维护操作和日常管理事务 2 负责具体设置信息访问权限 3 负责所管理的信息资产的安全控制 4 部署恰当的安全机制 进行备份和恢复操作 5 按照信息资产责任人的要求实施其他控制 三 用户 信息资产的使用者 除了本单位内部员工 也可能是因为业务需要而访问 本单位信息的客户或第三方组织 其主要职责包括 1 向信息资产责任人申请信息访问 2 按照单位信息安全策略要求正当访问信息 禁止非授权访问 3 向相关组织报告隐患 故障或者违规事件 第三章第三章 资产管理要求资产管理要求 第七条 信息资产分类 信息资产责任人应该指导进行相关资产的调查 资产调查以业务流程为线索 包括各类 输入 中间环节和输出信息 所有这些信息资产都为业务流程的运转提供支持 信息资产可以分为以下几大类 一 数据文件 通常包括各种电子文档 业务数据 客户数据 配置文件 记录数据 日志 审计记录 管理文件 策略 流程文件 操作手册等 商务文件 合同 协议等 也包括以实物方式存在的资产 各类电子数据的归档 打印件 书面管理文件 业务报表 包含重要商业成果的文件 还有胶片等 二 软件资产 各种系统软件 应用软件 OA 业务软件等 和工具软件 开发系统 网管软件 安全软件等 包括操作系统 数据库应用程序 网络软件 办公应用系统 业 务系统程序 软件开发工具等 这些软件资产负责处理 存储或传输各类信息 三 实物资产 与业务相关的 IT 物理设备 包括计算机 工作站和服务器等 和网 络通信设备 磁介质 磁带和磁盘等 装置 环境等 这些实物资产容纳着软件和数据文 件 四 人员 承担某项与业务活动相关责任的角色和职位 例如普通用户 系统管理员 网络管理员 保安 清洁员等 这些人员与各类数据 软件和实物资产的操作直接相关 五 服务 安保 例如监控 门禁 保安等 环境服务 例如清洁 基础保障 供 水 供热 供电 设备维护 通信服务 例如互联网接入 第八条 信息资产分级标准 保密性 完整性和可用性是评价资产的三个安全属性 风险评估中资产的价值不是以资 产的经济价值来衡量 而是由资产在这三个安全属性上的达成程度或者其安全属性未达成时 所造成的影响程度来决定的 安全属性达成程度的不同将使资产具有不同的价值 而资产面 临的威胁 存在的脆弱性 以及已采用的安全措施都将对资产安全属性的达成程度产生影响 一 保密性赋值 根据资产在保密性上的不同要求 将其分为五个不同的等级 分别对应资产在保密性上 应达成的不同程度或者保密性缺失时对整个组织的影响 下表提供了一种保密性赋值的参考 表 1 1 资产保密性赋值表 二 完整性赋值 根据资产在完整性上的不同要求 将其分为五个不同的等级 分别对应资产在完整性上 缺失时对整个组织的影响 下表提供了一种完整性赋值的参考 表 1 2 资产完整性赋值表 三 可用性赋值 根据资产在可用性上的不同要求 将其分为五个不同的等级 分别 对应资产在可用性上应达成的不同程度 下表提供了一种可用性赋值的参考 表 1 3 资产可用性赋值表 四 资产重要性等级 资产重要性等级 资产价值 应依据资产在保密性 完整性和可用性上的赋值等级 由 以下公式计算得出 A ln eC eI eA 3 通常 根据最终赋值将资产划分为五级 级别越高表示资产越重要 也可以根据组织的 实际情况确定资产识别中的赋值依据和等级 下表中的资产等级划分表明了不同等级的重要 性的综合描述 表 1 4 资产等级及含义描述 第 九条 各部门根据业务流程列出信息资产清单并将每项资产的名称 对资产实施编号 标识管理 所处位置 资产价值 资产负责人等相关信息记录在 资产清单 并每年以抽查形式验证 资产清单 与实际设备相一致 第一节第一节 硬件安全管理硬件安全管理 第十条 设备选型 一 业务系统设备的选型与采购由淄博市卫生和计划生育委员会负责 二 设备选型的原则是在满足工作需要的前提下 保证所选产品的先进性和实用性 避免过早被淘汰 但也不要搞超前消费而造成资金的浪费 三 选用或购置涉密设备时应符合有关规定 确保这些设备的可靠性 第十一条 设备购置与安装 一 对大宗采购的设备要在国内和国际厂商间进行招标 并根据厂商的产品性能 质 量 价格和售后服务等指标做出优化选择 实行集中采购 二 下属机构购置的设备 都要填写购置申请表上报淄博市卫生和计划生育委员会 经淄博市卫生和计划生育委员会和其他相关部门审批后由相关部门负责购置 三 新购置的网络设备及网络安全产品应经过安全检测和实际测试 测试合格后方能 投入使用 四 复杂的设备由厂商或集成商负责安装调试 保证设备的可靠运行 五 关键的设备由信息技术人员经过培训进行安装 第十二条 设备登记与使用 一 建立设备登记档案 详细记录每台设备的名称 规格 配置 装载软件 单价 购入日期 供货商 存放地点 使用部门 耐用年限等参数 关键设备应建立维护档案 二 设备应由网络管理员登记网络拓扑图 所有带网卡的设备都应登记网卡号 严格 限定相应的网络权限 三 所有设备都应粘贴印有其设备编号 名称 类别 使用部门的标签 并填写一式 两份的固定资产登记卡 一份交使用部门的行政秘书或负责人保管 另一份淄博市卫生和计 划生育委员会保管 四 各部门及个人领用的设备应实行个人负责制 每台设备有专人负责管理和使用 不得随意转借 更不得交给无关人员使用 五 各部门间设备的调拨由调入部门填写设备调入申请单 由调入部门 调出部门及 相关部门负责人签字同意后方可进行调拨 六 对于不再需要或长期闲置的设备 各部门应及时归还给资产管理部门 以充分发 挥设备的使用价值 第十三条 设备维护 一 遵守定期维护检查制度 对关键设备的维护与维修要建立详细的维护档案 凡因 疏于保养而造成的设备损坏或工作延误将追究当事人的责任 二 建立设备管理维护记录 实行维护记录制度 对故障发生的时间 表现 采取的 解决措施 结果及软硬件的升级情况等进行详细记录 并由系统管理员予以签字 以便今后 解决故障 三 建立相关电子设备的维护和维修手册 详细记录各厂商的联系电话 服务热线等 信息 四 设备自然使用损坏后 当事人需填写故障维修申请单报淄博市卫生和计划生育委 员会 由淄博市卫生和计划生育委员会指派专人检查损坏情况后进行维修 对无法当时维修 好的设备联系厂商或维修单位进行修理 五 非淄博市卫生和计划生育委员会指定维护人员不得私自拆卸电子设备 不得维修 设备或更换零件 凡因此而造成的设备损坏或配件丢失由当事人负责赔偿 六 系统设备的扩容和升级应由淄博市卫生和计划生育委员会考察必要性和可行性 经领导批准后 统一安排购买配件和实施升级 任何人不得自行联系设备升级 七 设备需要维修时 需填写 设备维修申请 第十四条 设备报废 一 长期闲置或不再使用的设备可向淄博市卫生和计划生育委员会提出调拨或报废申 请 由淄博市卫生和计划生育委员会根据设备的完好率 使用年限等因数决定进行调拨或报 废 二 对各部门内确无使用价值的设备的报废申请 由淄博市卫生和计划生育委员会核 准后报领导批准 并由财务室备案 三 由于使用人员重大责任事故而造成的部门内的设备报废 必须追究当事人的责任 经领导批准后 再作报废处理 并由财务室备案 四 各部门大额设备 单件购买价超过五万 的调拨和报废工作原则上采用各部门提申 请 淄博市卫生和计划生育委员会审核批准的方式 五 设备报废依据财务管理办法和有关规定执行 对报废设备上保存的存贮介质要进 行清除 防止泄密 六 形成 设备销毁记录 文件 其中需体现时间 地点 内容 责任人等信息 第二节第二节 软件安全管理软件安全管理 第十五条 软件的选型 一 应用软件在开发或购买之前应正式立项 成立由技术人员 业务人员和管理人员 共同组成的项目小组并建立软件质量保证体系 二 选用的软件必须是正版软件 第十六条 软件安全检测审查 一 软件在正式使用之前应进行必要的安全功能检测 保证业务能正常安全可靠的运 行 不得建立无关的用户 测试用户在完成测试后必须加以限制或删除 二 应用软件在正式投入使用前必须经过内部评审 确认系统功能 测试结果和试运 行结果均满足设计要求 技术文档齐全 并经分管领导批准 三 重要的业务应用系统应具有如下安全特性 四 自动记录全部操作过程 五 关键数据不得以明码存放 六 无法绕过应用界面直接查看或操作数据库 七 系统管理与业务操作权限严格分开 八 防止异常中断后非法进入系统 九 提供超时键盘锁定功能 十 业务数据在通信网络上以加密方式传输 十一 应存储一年以上完整的系统运行记录 十二 提供系统运行状态监控模块 十三 提供数据接口 满足稽核 审计及技术监控的要求 十四 其它有助于控制业务操作风险的功能特性 十五 系统软件应具备如下安全功能 十六 身份验证功能 防止非法用户随意进入系统 十七 访问控制功能 防止越权访问 十八 故障恢复功能 能够自动或在人工干预下从故障状态恢复到正常状态而不致造 成系统混乱和数据丢失 十九 安全保护功能 对信息的交换 传输 存储提供安全保护 二十 安全审计功能 便于应用系统建立访问用户资源的审计记录 二十一 分权制约功能 支持对操作员和管理员的权限分离与相互制约 二十二 系统软件应达到相应的安全级别才能投入正常使用 二十三 数据库管理软件除上述功能要求外 还应具有数据库的安全性 完整性 一 致性及可恢复性保障机制 二十四 应用软件应具备基本的访问控制和安全审计功能 第十六条 软件使用与维护 一 应规定软件的使用范围和使用权限 二 严禁擅自使用外来的磁盘 磁带和光盘 如工作需要 必须在确保无计算机病毒 计算机系统工作安全的情况下 经淄博市卫生和计划生育委员会批准 并做好登记后方可使 用 三 软件使用人员应经过适当的操作培训和安全教育 四 信息技术人员不得擅自进行软件维护和系统参数调整 五 应采取有效措施 防止对应用软件的非法修改 六 设专人负责业务软件的版本升级 及时为软件缺陷打补丁 第十七条 软件安全跟踪与报告 一 设专人负责跟踪系统软件的安全补丁 及时弥补安全漏洞 二 关键业务系统软件和应用软件必须启用其自身的安全审计留痕功能 便于系统建 立访问用户资源的审计记录 三 专人负责定期检查和跟踪审计日志 及时发现问题 并生成日志分析报告 四 定期对系统产生的日志进行转存和清除 第三节第三节 数据安全管理数据安全管理 第十八条 数据保密性管理 一 对系统数据实施严格的安全与保密管理 防止系统数据的非法生成 变更 泄露 丢失与破坏 二 关键业务数据不得泄露 禁止外传 三 重要数据的处理过程中 被批准使用数据人员以外的其它人员不应进入机房工作 处理结束后 应清除不能带走的本作业数据 妥善处理打印结果 任何记有重要信息的废弃 物在处理前应进行粉碎 四 各业务数据仅用于明确规定的目的 未经批准不得它用 五 无正当理由和有关批准手续 不得查阅客户资料 经正式批件查阅数据时必须登 记 并由查阅人签字 六 涉密数据不得以明码形式存储和传输 七 根据数据的保密规定和用途 确定数据使用人员的存取权限 存取方式和审批手 续 八 在数据的传输过程中采用各种加密手段进行保障 如利用 SSL PGP 等技术手段 九 未经允许 不准将机房设备 维护用品 软盘 资料等私自带出机房 如有特殊 情况 需经负责人同意并进行登记后方可带出 第十九条 数据访问控制管理 一 设置系统管理员岗位 对系统数据实行专人管理 二 设置数据库管理员岗位 对业务数据实行专人管理 三 数据库管理系统的口令必须由专人掌管 并定期更换 禁止同一人掌管操作系统 口令和数据库管理系统口令 四 在重要数据的处理过程中 被批准使用数据的人员以外的其它人员不应进入机房 工作 处理结束后 应清除不能带走的本次作业数据 应妥善处理打印结果 任何记有重要 信息的废弃物在处理前应进行粉碎 五 对数据的备份 恢复 转出 转入的权限都应严加控制 严禁未经授权将各种数 据等拷贝出系统 转给无关的人员或单位 严禁未经授权进行数据恢复或转入操作 六 采用实时监控机制 及时发现不良信息或破坏性数据 对其采取封堵 清除等相 应安全控制措施 七 对监控或检测到的可疑数据采用跟踪机制 并对其进行可控性操作 以便发现其 最终企图 第二十条 数据备份管理 一 每个工作日结束后必须制作数据的备