信息安全管理办法.doc

信息安全管理办法编 号：版 本：A/2页 码：第1页，共8页生效日期：2014-07-10信息安全管理办法编制/日期审核/日期批准/日期王银平/2014.07.01部门会签需求份数部门会签需求份数总经办制造中心营销中心品质中心研发中心人力资源中心采购中心财务中心资材中心信息安全管理办法编 号： 版 本： A/2页 码：第2页，共8页生效日期：2014-07-10文件修改记录序号版本修改页更 改 内 容生效日期修改人批准人修改前修改后信息安全管理办法编 号： 版 本：A/2页 码：第3页，共8页生效日期：2014-07-101、目的为了保证信息和数据安全、规范操作流程，使其更好的为公司服务，特制订此制度。2、适用范围适用于迈腾电子（深圳）有限公司及其下属子公司和各分公司，以下简称公司。3、名词定义 无。4、权责4.1系统管理员负责信息系统和网络系统的运行维护管理，主要职责是：信息系统主机的日常运行维护；信息系统的系统安装、备份、维护；信息系统数据库的备份管理； 应用系统访问权限的管理；网络设备的管理；网络的线路保障；网络服务器平台的运行管理，网络病毒入侵防范。4.2网络安全管理员负责网络信息系统的安全管理，主要职责是：网络策略管理；信息系统安全检查；违规外联的监控。5、作业程序5.1总则5.1.1为进一步规范公司计算机信息系统安全管理，制定本制度5.1.2计算机信息系统的安全工作坚持积极防范、突出重点，既确保公司信息安全又有利于信息化发展的方针。5.1.3计算机信息系统的管理，坚持“谁使用，谁负责”的原则，同时实行主要领导负责制。5.2系统服务器维护管理5.2.1系统主机由系统管理员负责维护，未经允许任何人不得对系统主机进行操作。5.2.2根据系统设计方案和应用系统运行要求进行主机系统安装、调试，建立至少两个系统管理员账户，设置独立的管理员密码，建立用户账户，设置系统策略、用户访问权利和资源访问权限，并根据安全风险最小化原则及运行效率最大化原则配置系统主机。5.2.3建立系统设备档案、包括系统主机详细的技术参数，如：品牌、型号、购买日期、序列号、硬件配置信息、软件配置信息、网络配置信息、系统配置信息，妥善保管系统主机保修卡，在系统主机软硬件信息发生变更时对设备档案进行及时更新。信息安全管理办法编 号： 版 本：A/2页 码：第4页，共8页生效日期：2014-07-105 .2.4定期修改系统主机管理员密码，且密码符合复杂度要求，密码长度不得低于八位，要求有数字、字母并区分大小写,不同的管理员必须使用自己的独立帐户，严禁系统帐号和密码扩散。5.2.5每周通过系统性能分析软件对系统主机进行运行性能分析，并做详细记录，根据分析情况对系统主机进行系统优化，包括磁盘碎片整理、系统日志文件清理，系统升级等。5.2.6每周检查系统日志、监控系统运作状况、系统数据备份检查、病毒库升级、查杀病毒、系统防火墙配置、漏洞扫描、系统补丁更新做详细记录。5.2.7进行系统例行维护时，必须先事通知用户，并告之详细维护时间段，并做好维护记录。5.2.8根据信息系统的设计要求及实施细则安装、调试、配置信息系统，建立信息系统管理员账号，设置管理员密码，密码要求由数字和字母组成，区分大小写，密码长度不得低于8位。5.2.9对信息系统的基本配置信息做详细记录，包括系统配置信息、用户帐户名称，系统安装目录、数据文件存储目录，在信息系统配置信息发生改变时及时更新记录。5.2.10每周对信息系统系统数据、用户ID文件、系统日志进行备份，并做详细记录，备份介质存档。公司的ERP系统、财务进销存及其它正版软件一律不外借。5.2.11计算机软件及各类设备驱动程序、配置软件，要求存放在防磁、防潮的安全地方。5.2.12当信息系统用户发生增加、减少、变更，新建用户帐户，新建用户邮箱，需经流程审批，审批通过后，由系统管理员进行操作。5.2.13根据用户需求设置信息系统各功能模块访问权限，并定期审计。5.2.14在信息系统发生故障时，应及时通知用户，并用最短的时间解决故障，保证信息系统尽快正常运行，并对系统故障情况做详细记录。5.2.15未经允许，任何人不得对服务器、UPS、网关服务器、交换机、网桥等设备进行移动、关机、重新启动或进行其它操作。5.3网络系统运行维护管理5.3.1网络系统运行维护由系统管理员专人负责，未经允许任何人不得对网络系统进行操作。5.3.2根据网络系统设计方案和实施细则安装、调试、配置网络系统，包括交换机配置、路由器配置，建立管理员账号，设置管理员密码，并关闭所有远程管理端口。5.3.3建立网络系统设备档案，包括交换机、路由器的品牌、型号、序列号、购买日期、硬件配置信息，详细记录综合布线系统信息配置表，交换机系统配置，路由器系统配置，网络拓扑机构图，VLAN划分表，并在系统配置发生变更时及时对设备档案进行更新。信息安全管理办法编 号： 版 本：A/2页 码：第5页，共8页生效日期：2014-07-105.3.4每天检查网络系统设备（交换机、路由器）是否正常运行。5.3.5网络变更后进行网络系统配置资料备份。5.3.6当网络系统发生故障时，应及时通知用户，并在最短的时间内解决问题，保证网络系统尽快正常运行，并对系统故障情况作详细记录。5.3.7每月对网络系统运行维护情况进行总结，并做出网络系统运行维护月报。5.4终端计算机运行维护管理办法5.4.1周边或外部设备：泛指计算机及其网络基本配置外之附属设备如光驱、软驱、打印机、条码打印机、扫描仪、扫描器、ZIP机、MODEM、UPS电源。5.4.2根据用户应用需求和安全要求安装、调试电脑主机，安装操作系统、应用软件、杀毒软件、技防软件。5.4.3计算机外部设备不使用时，应关掉外部设备的电源。禁止长期打开不使用的外部设备电源，显示器应设置节能模式，要求做到人走机关，下班时应该关闭主机和显示器电源。5.4.4个人不得私自拆卸机、增加、减少或试用新配件，不得私自接入移动存储设备，不得在机箱上放置重物、带电、带磁等物品。5.4.5建立系统设备档案，包括电脑的品牌、型号、购买日期、序列号、硬件配置信息、软件配置信息、网络配置信息、系统配置信息，在电脑主机软硬件信息发生变更时对设备档案进行及时更新。5.4.6在电脑主机发生故障时应及时进行处理，备份用户文件，用最短的时间解决故障，保证电脑主机尽快能够正常运行，并对电脑主机故障情况做详细记录。5.4.7各部门需要使用或安装新软件时，应该先提出申请，经部门经理同意后，向IT部提出申请，由IT部派专人负责安装调试工作。5.4.8不得在电脑上安装各类游戏软件，存放与工作无关的音频，视频，和其它非工作文档。不得随意增加、删改计算机主要设备的驱动程序，重要的公用程序（应用软件）不允许任意复制，防止出现版权问题。5.4.9公司统一进行电脑终端的补丁自动下载更新软件，员工不得以任何形式阻止补丁的更新安装过程，员工应及时反馈补丁安装的不良影响如系统蓝屏、系统瘫痪、应用程序不能正常运行等。5.4.10公司建立统一的文件共享机制，建立文件服务器，各个部门均有自己本部门的共享文件夹，用于交换文件，也会向全体公司成员开放一个公用临时文件夹，用于临时存放和共享文件，但不得存放公司机密资料。公用临时文件夹将会按周或月定期清理。信息安全管理办法编 号： 版 本：A/2页 码：第6页，共8页生效日期：2014-07-105.4.11公司内部员工严禁攻击数据库服务器等其它服务器，或利用黑客软件对其它电脑进行攻击，一经发现，报总经办处理，并保留送交公安机关的权利。5.4.12当电脑出现重大故障时，应立即关掉电脑电源，及时向IT部报告，禁止带电拔插IT部件和自行装、卸设备，损坏设备照价赔偿。5.4.13未经准许不得私自拆开电脑主机，不得私自安装主机硬件设备（如内存，网卡，CPU），不得在主机上放置重物、液体或腐蚀性化学物品。5.4.14每台电脑安装的标准软件以IT部提供的标准为准则，不得随意安装超出标准之外的软件，如工作需要安装其它软件，必须向IT部申请，批准后方可安装。5.4.15电脑均要设置密码，并符合密码复杂度，要求至少8位，含字母、数字、特殊符号组合。设置离开电脑十分钟以上自动屏保锁定。5.4.16公司统一制定企业杀毒软件的选型规划和安装，不得使用非指定的杀毒软件。5.4.17任何人不得禁用和绕过计算机防病毒软件或指定使用的其他防护产品，不能修改病毒防护护软件的设置以降低软件的防护性能，或者减少软件的更新频率。5.4.18公司禁止使用任何移动设备（USB接口的或其它外部存储设备，或网盘、云盘），如需使用，必须备报，经部门领导同意后，在IT部进行备案，方可使用，不得随意撕开机箱易碎贴纸。5.4.19如特殊原因使用软盘、光盘、U盘、MP3、MP4、移动硬盘等移动存储，在使用前必须进行查毒，确认无计算机病毒后才可以使用。5.4.20任何部门和个人不得制作计算机病毒，或进行传播计算机病毒的行为；也不得向他人提供含有计算机病毒的文件、软件、媒体。5.4.21任何不得阻碍系统管理按要求安装、配置IT部指定的网络安全管理软件和病毒防护系统，包括服务器端系统配置和客户机端系统配置和开启客户的实时监控。5.4.22严禁用户随意更改计算机的IP地址、DNS、网关等信息，IP地址等信息由IT部统一管理备案，如有特殊需要修改计算机的IP信息，必须由IT部同意并备案。5.4.23每日监测防病毒系统的系统日志，检测是否有病毒入侵、安全隐患等，对所发现的问题进行及时处理。5.4.24每周下载最新的升级文件，对系统进行升级，每周对网络系统进行全面的病毒查杀。5.4.25系统管理员需了解最新病毒信息发布情况，及时向用户发布病毒预警和预防措施。信息安全管理办法编 号： 版 本：A/2页 码：第7页，共8页生效日期：2014-07-105.4.26根据网络信息系统的安全设计要求及主机审计系统数据的分析结果，制定、配置、修改、删除主机审计系统的各项管理策略，并做记录。5.4.27网络信息安全技术防护系统（主机审计系统、漏洞扫描系统、防病毒系统、内网主机安全监控与审计系统）由网络安全管理员统一负责安装和卸载。5.4.28每月通过漏洞扫描系统对网络系统终端进行安全评估分析，并对扫描结果进行分析，及时对终端系统漏洞及安全隐患进行处理，并将安全评估分析报告上报。5.4.29所有的办公电脑均要安装并运行病毒防火墙。一旦发现病毒报警，应立即保存相关文件，断开网络，并与IT部联系。5.4.30不允许将公司机密资料以任何形式发布到Internet网上。一经发现，将按公司奖惩制度进行处罚。5.4.31由于安全和特殊的需要，IT部会通过邮件平台发布通知，随时关闭Internet网。如发现某人上网有异常现象，IT部有权关闭其上网权限，进行维护检查。5.4.32员工不得在网上下载和存储软件、音乐、电影片断、电影或电视剧，不得使用BT、电驴等下载软件。5.4.33员工在上网时，除非工作需要，否则不允许使用QQ、MSN等聊天软件。更不得私自通过其它途径或手段使用QQ、MSN等聊天软件。5.4.34如工作需要访问论坛、博客、网络盘、空间等具有上传、回复、评价等功能的网站，或新闻、股票、娱乐、等类型的网站时，需经上网权限申请流程，由部门领导审核，再由信息中心提供可靠安全通信信道进行访问。5.4.35禁止员工用外部私人邮箱进行工作活动，如需使用如Gmail、Yahoo等类型邮箱进行工作活动时，由公司统一申请、分配、管理，该邮箱只做工作用途。禁止一切与工作无关的邮件往来。5.4.36新入职的员工，由人力资源部发出入职通知提交到IT部，IT部在1个工作日内为该员工开通RTX腾讯通、内部邮箱并配置。5.4.37公司内部邮箱的命名，统一以名字拼音的前三个字母命名，如张五良，则内部邮箱命令为：， 如有重名，则用全拼命名。5.4.38外部邮箱则需要由用人部门提出申请，经部门领导审批后，方可由IT部开通，外部邮箱的命名同内部邮箱的命名一样。5.4.39邮箱的回收，IT部在收到离职单时，会即时停掉该员工的邮箱和其它相关IT帐户，特殊用途的邮箱， 信息安全管理办法编 号： 版 本：A/2页 码：第8页，共8页生效日期：2014-07-10如采购、商务、销售这些对外邮箱，在离职时没有明确转接人员的情况下，邮箱会暂时停用，直到使用部门领导指定使用人之后重新启用。5.4.40公共邮箱如采购、商务、销售这些对外邮箱的转接给其它人（人员未离职的情况），由使用人提出转接邮箱申请，由部门领导确认后，再由IT部执行转接。IT部不受理这类邮箱口头提出的申请转接。5.4.41公司电脑的IP地址由IT部统一规划，不得恶意占用他人的地址。不得随意更改IP地址，电脑名称，MAC地址等信息。不得盗用他人IP上网。5.4.42员工办离职手续时，请说明是否有上网权限。如有上网权限，IT部将关闭其上网权限。5.4.43申请直接上网的员工，在OA里面填写上网申请单，经部门经理批准，IT部审核后，再由系统管理员开放相应权限。5.4.44为了安全和