联通分公司通信网信息安全管理规程

信息安全管理规程 - 1 - 中国联通 安徽分公司 通信网 信 息安全管理 规程 （暂行） 联通 安徽分公司 2006 年 11 月 信息安全管理规程 - i - 目 录 第一章 总则 . 1 1.1 编制说明 . 1 1.2 适用范围 . 1 1.3 规程执行 . 1 第二章 安全组织和人员职责 . 2 2.1 组织结构 . 2 2.2 信息安全相关人员职责 . 2 2.2.1 网络管理员职责 . 2 2.2.2 数据库系统管理员职责 . 2 2.2.3 操作系统管理员职责 . 3 2.2.4 业务系统管理员职责 . 3 2.2.5 资产管理员职责 . 3 2.3 信息安全相关人员职责 . 3 第三章 用户帐号与口令安全管理 . 4 3.1 口令设置原则 . 4 3.2 用户新增、注销 . 4 3.3 帐号配置与管理 . 4 3.4 权限设置及变更 . 5 3.5 帐号、口令使用管理 . 6 第四章 网络安全管理 . 6 4.1 基础管理 . 6 4.1.1 网络结构管理 . 6 4.1.2 网络配置管理 . 7 4.1.3 网络互连管理 . 7 4.1.4 终端接入管理 . 7 4.2 运行管理 . 8 4.2.1 网络监控管理 . 8 4.2.2 网络审计管理 . 8 第五章 数据安全管理 . 9 5.1 数据安全范围 . 9 5.2 数据管理通则 . 9 5.3 存储、备份与恢复 . 10 第六章 保密安全管理 . 10 6.1 涉密数据安全管理 . 10 6.1.1 数据密级分类原则 . 10 - ii - ii 6.1.2 涉密数据密级确认 .11 6.1.3 涉密数据的获取 . 12 6.1.4 涉密数据的传递 . 12 6.1.5 涉密数据保管、存档 . 12 6.2 涉密网络安全管理 . 13 6.3 涉密人员安全管理 . 14 第七章 防病毒安全管理 . 14 7.1 建立病毒预警机制 . 14 7.2 防病毒软件的安装使用 . 15 7.3 防范病毒措施 . 15 7.4 病毒处理 . 16 7.5 员工防病毒安全管理 . 16 第八章 终端用户安全管理 . 17 8.1 终端安全管理 . 17 8.2 终端用户帐户与口令管理 . 17 8.3 终端用户行为规范 . 17 8.4 终端用户防病毒安全管理 . 18 第九章 安装及升级安全管理 . 18 9.1 软件安装安全管理 . 18 9.2 主机设备安装安全管理 . 18 9.3 网络设备安装安全管理 . 20 9.4 补丁 /升级安全管理 . 20 9.4.1 补丁 /升级检查 . 20 9.4.2 补丁 /升级文件下载 . 20 9.4.3 补丁 /升级文件安装 . 20 9.5 变更管理 . 21 9.5.1 软件变更的安全管理 . 21 9.5.2 系统配置安全管理 . 21 第十章 应急安全管理 . 21 10.1 应急工作定义 . 21 10.2 应急响应组的组建 . 22 10.3 应急响应计划的 制定 . 22 10.4 信息安全事件的报告和应急处理 . 22 10.5 应急信息库的建立 . 23 10.6 应急恢复演练和测试 . 23 10.7 应急恢复培训 . 23 附件一、系统帐号权限申请表 . 24 附件二、数据密级分类记录表 . 25 附件三、系统安全检查记录表 . 25 信息安全管理规程 - 1 - 第第 一一 章章 总总 则则 1.1 编编 制制 说说 明明 为加强中国联通 安徽分公司通信网 信息安全管理，保障各种信息资产的机密性、完整性和可用性，特制定中国联通 安徽分公司通信网 信息安全管理 规程 (以下简称“本规程” )。 本规程是 中国 联通 安徽分公司通信网 信息安全管理的总原则，与中国联通 通行 网运行维护规程互为补充，二者具有同等效力。 本规程的解释和修改权 属于中国联通 安徽分公司运行维护 部。 1.2 适适 用用 范范 围围 本规程 适用于对中国联通 安徽分公司通信网 信息资产各要素（包括：人员、数据、网络、终端等） 的安全管理 ， 各市级分公司 在涉及到 通信网 信息安全时应遵照执行。 中国联通安徽分公司运行维护部和安徽 联通 各市级分公司通信网维护部门 的所有员工必须遵守本规程的规定，并依据本规程加强对第三方的管理，如由于未遵循本规程导致出现安全问题，相关部门和人员负有责任。 1.3 规规 程程 执执 行行 本规程是联通 安徽分公司通信网 信息安全管理的基础性文件，各 市级 分公司 要结合自身的实际情况制定实施细则。实施细则不能违反本 规程的原则，细则在实施前应报相关管理部门备案。 本规程自下发之日起正式执行。 信息安全管理规程 - 2 - 第第 二二 章章 安安 全全 组组 织织 和和 人人 员员 职职 责责 2.1 组组 织织 结结 构构 中国联通 安徽分公司通信网 信息安全实施统一领导、分级管理、专业分工负责的原则。 通信网 信息安全采用三级管理体制，分为：联通总部 、 省 级 分公司 、 市 级 分公司。总部信息安全组织负责全公司的信息安全指导和运行管理和总部的信息安全运行 ， 省级信息安全组织负责本省信息安全指导、运行和运行管理 ， 市 级 分公司负责当地的信息安全运行。 总部信息安全组织在安全管理上领导各省分公司信息安全组织，省级信息安全组织在安全管理上领导 各地市信息安全组织。 总部和省级分公司的信息安全组织中均设置 信息安全指导委员会和信息安全工作组，市 级 分公司设立信息安全工作组或 指定一位信息安全员承担信息安全管理工作。 2.2 信信 息息 安安 全全 相相 关关 人人 员员 职职 责责 2.2.1 网网 络络 管管 理理 员员 职职 责责 (1) 负责防病毒管理、防火墙系统管理、入侵检测管理、安全漏洞扫描管理等； (2) 参与网络系统安全策略、计划和事件处理程序的制定； (3) 承担网络安全事件的处理； (4) 参与网络安全建设和运营方案的制定； (5) 负责网络设备操作系统升级、补丁； (6) 负责网络日常监控、优化和安全加固； (7) 负责网络设备操作系统和配置数据备份。 2.2.2 数数 据据 库库 系系 统统 管管 理理 员员 职职 责责 (1) 参与数据库系统安全策略、计划和事件处理程序的制定； (2) 承担数据库系统安全事件的处理； (3) 负责数据库系统升级、补丁和和安全加固； (4) 负责数据库系统的日常安全监控、配置和数据备份； (5) 负责数据库系统权限和口令管理。 信息安全管理 规程 - 3 - 3 2.2.3 操操 作作 系系 统统 管管 理理 员员 职职 责责 (1) 参与操作系统系统安全策略、计划和事件处理程序的制定； (2) 承担操作系统系统安全事件的处理； (3) 负责操作系统系统的升级、补丁和安全加固； (4) 负责操作系统的日常安全监控和操作系统和文件系统的备份； (5) 负责操作系统权限和口令管理。 2.2.4 业业 务务 系系 统统 管管 理理 员员 职职 责责 (1) 参与应用系统安全策略、计划和事件处理程序的制定； (2) 承担应用系统安全事件的处理； (3) 负责应用系统的安全加固； (4) 负责应用系统的日常安全监控和数据备份； (5) 负责应用系统帐号权限和口令管理； (6) 负责应用系统在操作系统和数据库中帐号及该帐号下数据安全。 2.2.5 资资 产产 管管 理理 员员 职职 责责 (1) 按照资产存放环境要求存放相关物资和资料； (2) 根据信息资产的分类分级标识的要求进行资产、资料的标识； (3) 根据资产的信息安全等级进行物资的入库、出库、销毁，资料的保管、借阅、销毁； (4) 资产管理员应特别注意以下内容的安全管理：系统备份、数据备份载体及相应文档管理；业务数据、经营数据、运行数据的载体及相应文档的管理；软件资料管理（包括软件开发的源代码、软件设计说明书、使用说明书、许可证等）；硬件随机文档；系统设计方案、工程施工过程文档、系统运行维护文档、招投标过程文档；其它文档管理（包括各种规章制度、收发文、工作日志归档、设备清单、合同）等等。 2.3 信信 息息 安安 全全 相相 关关 人人 员员 职职 责责 联通安徽分公司通信网各信息系统内，应有恰当的职责分离制度。若无法成立职责分离制度时，则应建立适当的监管机制，以监督个人的表现与其矛盾的角色。 通信网各信息系统需由系统负责人建立自身组织结构图以及系统职责分工明细表，并报分管领导审批同意后执行。 系统职责分工明 细表应详尽描述系统中各角色所对应具体人员以及组织领导关系，明确权责关系。在人员角色变动时，需有正式文档进行变更记录。 部门安全监督员应每年进行一次检查，同时要进行不定期的抽查。 信息安全管理 规程 - 4 - 4 第第 三三 章章 用用 户户 帐帐 号号 与与 口口 令令 安安 全全 管管 理理 3.1 口口 令令 设设 置置 原原 则则 (1) 口令中至少应包括以下三种：数字、大写字母、小写字母以及特殊字符（特殊符号举例如下： !#$%&*()_+|-=:”；?,./） ； (2) 口令长度不应小于 8 位； (3) 口令 避免以下选择： 亲戚、朋友、同事、单位等的名字，生日、车牌号、电话号码； 一串相同的数字或字母； 明显的键盘序列； 所有上面情况的逆序或前后加一个数字； 常见的词语或字典词语。 3.2 用用 户户 新新 增增 、 注注 销销 (1) 新增用户：必须由申请部门提出正式申请，填写相关信息 ，包括 使用者姓名、联系电话、职责（岗位）、 IP 地址、 使用时间、 申请使用的系统范围和权限等信息。由申请部门领导审批后移交给信息安全工作组，审核后，下发至相应的管理员，管理员根据申请的内容进行赋权； (2) 注销用户 ： 由于人事变动，帐号的使用者发生岗位变动或者离职，人力资源部发报 人事变更讯息，通知至系统管理员所在部门。由系统管理员提出正式申请经系统所在部门领导审批后，立即进行相应的权限变动或帐号回收，严格防止由于岗位变动，帐号、权限没有进行变更的情况； (3) 权限变更：由申请员工填写工单详细描述需要变更的权限内容。由申请部门领导审批后提交信息安全工作组，经审核下发至相应的管理员进行权限的变更。 3.3 帐帐 号号 配配 置置 与与 管管 理理 (1) 帐号权限在建立 /更新 /取消时，用户应填写系统帐号权限申请 表 （参见附件一）来申请；该表单应由系统拥有者来审批和签署 ； (2) 系统管理员负责对应用系统、网络、服务器或其他信息设备的用户帐号 、权限进行管理。对用户帐号和权限进行登记备案，至少每半年审核一次用户帐号的使用情况，对长期未使用的或过期的帐号进行清理； (3) 在系统上线运行前，系统管理员必须重新配置或更改厂商在开发、测试阶段设置的应用系统、网络、服务器或其他信息设备的系统口令、用户帐号及口令，更改数据库内置帐号的口令； (4) 如果必须给予第三方人员 (如厂商支持工程师 )帐号口令，或当外包方人员申 信息安全管理 规程 - 5 - 5 请开通系统帐号时，须事先与系统拥有部门签订保密协议，按照普通用户新增、注销管理规定执行。系统管理员必须予以登记并纳入统一管理，同时对帐号安全负有责任； (5) 帐号配 置不允许由系统管理员外其他任何用户操作，也不能在系统管理员使用的终端之外进行安装； (6) 系统管理员给新增用户分配 帐号必须设置口令，并限定有效期。 必须强制新用户在第一次登陆时更改口令； (7) 系统管理员必须有能力更改口令，帮助用户开启被锁定的口令，对非法操作及时查明原因；解决口令使用过程中出现的问题；定期向主管领导和信息安全工作组汇报帐号、口令使用情况和需要解决的问题； (8) 重大操作后、口令使用期满、被其他人知悉或认为口令不保密时，系统管理员应按照口令更改流程变换口令。口令更换操作应在保密条件下进行； (9) 业务系统管理员在配置 应用系统用户帐号时，必须采用加密口令格式，在登陆输入口令过程中不能以任何方式显示口令； (10) 系统管理员应定期检查、审核账号的操作日志记录； (系统管理员至少每六个月要对系统的帐号及相关权限进行检查或抽查，形成相应的检查记录报告，由系统拥有者或信息安全经理签字确认 )； (11) 信息安全监督员应每三个月对系统用户和管理员的访问权限进行审核，对于涉及重要数据的账号和权限应提交相关领导审核确认；信息安全经理应至少每三个月一次对系统管理员帐号、权限做检查，对相应的访问及操作日志进行审核；并形成安全检查报告存档。 (12) 临时帐号的申请单应 独立存档并由第三者 (非批准人 )作至少每月进行一次检查；在使用期满时，系统管理员应审核临时帐号操作日志记录并形成相应的检查记录报告，由系统拥有者或信息安全经理签字确认。 (13) 严禁多人和多系统共用帐号。 每个操作用户必须有且只有一个专用帐号； (14) 口令在数据库中的存放和通过网络传输不应采用明码方式，对口令的访问和存取必须加以控制，以防止口令被非法修改或泄露； (15) 具有口令功能的计算机、网络设备等系统处理公司秘密信息，必须使用口令对用户进行身份验证和确认。 3.4 权权 限限 设设 置置 及及 变变 更更 (1) 对系统、网络、数据库、信息的访问采用分级管理，根据人 员职责设定权限； (2) 超级用户权限只允许系统管理员使用，其他用户需要使用超级权限时需提出申请，经审批后，由系统管理员作一次性授权，并在系统管理员随工下操作； (3) 员工只能拥有本岗位内的权限，且采取最低可用原则配置；如因工作需要另外增加岗位外权限的，需要领导审批；经使用员工所在部门领导和信息安全工作组同意后方可增加，增加后要保留操作日志和审批记录； (4) 系统管理员对到期的使用授权负责收回； (5) 在权限建立 /更新 /取消时，用户应填写系统权限申请单来申请权限。该表单 信息安全管理 规程 - 6 - 6 应由系统拥有者来审批和签署。操作人员在完成操作后需在系统帐号 权限申请 表 中进行情况说明并有第三者进行确认。 3.5 帐帐 号号 、 口口 令令 使使 用用 管管 理理 (1) 用户使用系统时，必须使用帐号以及口令进行登陆，方可进行操作 ； (2) 禁止 使用系统内置帐号进行应用系统数据的维护工作。严禁使用数据库内置帐号的口令进行数据库管理； (3) 重要的设备、系统的管理员帐号口令在每次修改之后必须备案； (4) 口令必须定期修改，口令使用周期不能超过 3 个月，在涉密较多、人员复杂、保密条件较差的地方应尽可能缩短口令的使用时间； (5) 用户应记住自己的帐号、口令，不允许记载在不保密的媒介物或贴在终端上。同时，避免泄漏口令，不要将口令告诉其他人。如果 发现口令泄漏，应立即通知系统管理员及时更改； (6) 用户 通过公网连接到公司内部网站时，需注意帐号、口令的保密，避免在公共场所泄漏帐号、口令； (7) 企业内用户口令不应当用作其他非企业应用的口令，如公网邮箱口令等。 第第 四四 章章 网网 络络 安安 全全 管管 理理 4.1 基基 础础 管管 理理 4.1.1 网网 络络 结结 构构 管管 理理 (1) 中国联通通信网 分为 联通总部 省 级分 公司市 级 分公司三级结构，包括 总部（大区） 中心、省中心和地市三层节点； (2) 总部中心网络及省际骨干网络的安全建设和维护由总部负责，各省分公司负责省内网络的安全建设和维护管理，地市分公司负责地市的网络安全维护； (3) 网络整体的拓扑结构需进行严格的规 划、设计和管理，一经确定，不能轻易更改； (4) 如因业务需要，确需对网络的整体拓扑结构进行调整和改变，需按照相应的运维管理规程上报； (5) 对重要网段要进行重点保护，要使用防火墙等安全设备以及 VLAN 或其他访问控制方式与技术将重要网段与其它网段隔离开； (6) 网络结构要按照分层网络设计的原则来进行规划， 合理清晰的层次划分和设计，可以保证网络系统骨干稳定可靠、接入安全、便于扩充和管理、易于故障隔离和排除。 信息安全管理 规程 - 7 - 7 4.1.2 网网 络络 配配 置置 管管 理理 (1) 总部网络管理部门负责对总部到各省广域网络的统一配置管理工作，未经总部网络管理部门同意，各分公司无权更改广域网 的网络配置； (2) 省分网络管理部门负责对省分到各地市分公司广域网络的统一配置管理工作，未经省分网络管理部门同意，各地市分公司无权更改广域网的网络配置； (3) 各级网络管理部门需负责网络的性能分析，以充分了解 系统资源的运行情况及通信效率情况 ，提出网络优化方案； (4) 各级网络管理部门负责进行本地局域网的统一的配置管理工作； (5) 所有的网络配置工作都要有文档记录，网络设备的配置文件需要定期备份； (6) 按照最小服务原则为每台基础网络设备进行安全配置； (7) 网络需保持持续不断的运行，维护工作要在用户使用量小的时候进行。 4.1.3 网网 络络 互互 连连 管管 理理 (1) 网络按访 问控制策略划分不同的逻辑区域； (2) 公司内部不同业务的计算机网络之间的互连原则： 互连点上必须实施安全措施，如安装防火墙、实施入侵检测等； 网络之间互连点采取集中原则，并考虑安全冗余； 网络互连点及安全设备必须纳入到网管体系的监控。 (3) 公司内部计算机网络和第三方网络之间的互连原则： 网络之间互连点采取集中原则，并考虑安全冗余； 互连点上必须实施安全措施，如安装防火墙、实施入侵检测等； 网络互连点及安全设备必须纳入到网管体系的监控。 在公司内部计算机网络内必须设置接口机或代理服务器，用于与第三方网络连接，禁止生产用 的主机、服务器与第三方网络直接连接； 与第三方网络的连接中，在互连点上的防火墙上应该进行 IP 地址转换，保护公司内部接口机或代理服务器真实的 IP 地址； 在防火墙上实施策略控制，严格限制访问的地址和端口。 (4) 内部计算机网络与互联网之间的互连原则： 禁止 通信网设备维护 网络与互联网之间直接连接； 严格控制公司内部的计算机网络与互联网连接，由于业务需要，必须进行连接的，必须实施严格的安全措施，如安装防火墙、实施入侵检测等； 与互联网连接的互连点应统一集中在省公司，在地市不得再设出口； 遵循公司内部计算机网络和第三方网络 之间的互连原则。 4.1.4 终终 端端 接接 入入 管管 理理 (1) 只有遵循本规程第 八 章终端用户安全管理的计算机终端方能接入联通内部计算机网络； 信息安全管理 规程 - 8 - 8 (2) 终端接入系统时必须通过用户名、口令进行身份验证后方能接入； (3) 外单位人员一般不允许接入联通内部网，如因维护需要确需连入网络，必须履行审批手续，并在有联通员工随工的情况下方可接入； (4) 确需通过网络进行远程访问的，必须履行审批手续，在固定时间，通过身份验证后接入。对连接时间、事由都要有详细记录。 4.2 运运 行行 管管 理理 4.2.1 网网 络络 监监 控控 管管 理理 (1) 网络管理部门负责网管系统和网络安全的建设和维护，以实现对网元以及网络安全情况的实时监 控和管理， 确保 整个 网络安全 、稳定运行； (2) 各级网络管理部门可使用入侵检测、漏洞扫描等设备和技术定期对网络安全情况进行监控和分析，对于监控到的异常行为要有及时、有效的处理机制； (3) 各级网络管理部门在监控过程中， 如发现 网络异常、严重影响业务的问题 ，要立即向 上一级报告； (4) 网络管理员负责网络设备的日常检查，监测网络设备性能参数和网络运行状况；对关键设备要做到每日检查，发现问题应迅速解决，全部管理工作应保留记录； (5) 定期或不定期对备件及备用线路进行检测和维护； (6) 网络安全监控设备的运行不能影响网络的正常使用； (7) 各级网络管理部 门要对所有在线网络设备运行情况记录登记，并定期向上级上报网络运行状况报告。 4.2.2 网网 络络 审审 计计 管管 理理 (1) 系统管理员 要至少每三个月 对涉及网络配置的增、删、修改等操作的配置更改记录进行审计； (2) 重要的网元要有日志，并采取必要措施统一日志，系统管理员 至少每三个月对日志进行分析，检查违规行为； (3) 安全监督员 至少每三个月 对系统用户和管理员的访问权限进行审查； (4) 建立统一的时钟服务器，保证日志信息的准确性； (5) 重要资源的访问控制策略至少要每六个月审计一次 ； (6) 如果在上述审计和检查工作中发现有安全事故 ,应遵照安全事故 处理流程 进行处理 ； (7) 各级网络 管理部门要对所有审计和检查工作情况记录登记，并向上级上报网络运行状况报告 ； 信息安全管理 规程 - 9 - 9 第第 五五 章章 数数 据据 安安 全全 管管 理理 5.1 数数 据据 安安 全全 范范 围围 数据安全范围是指中国联通 安徽分公司通信网所有数据对象及其存在形式（如文本、程序、系统数据）等 ；需要保护的重要数据包括： 系统 数据 、 原始话单 、 用户 数据和 操作 数据 等 。 5.2 数数 据据 管管 理理 通通 则则 (1) 数据的访问范围和权限设置必须由系统或业务系统管理员集中控制，并可以控制授权范围内的信息流向和行为方式。 (2) 数据访问采用分级管理， 数据的操作必须经过严格的身份鉴别与权限控制，确保数据访问 遵循最小授权原则 。 关键业务数据和用户帐号信息必须实 行专人管理； (3) 数据的更改应严格遵循相关管理办法及操作规范执行。 应采取有效措施防止系统数据的非法生成、变更、泄漏、丢失与破坏。 (4) 严禁通过系统管理员帐号直接对 系统中存储、处理或传输的业务数据信息进行增加、修改、复制和删除等； (5) 重要数据的更改必须两人负责，一人操作，一人审核， 防止使用过程中产生误操作或被非法篡改； (6) 应用软件对用户的任何操作均应记入日志，日志中包含该用户的工号、操作时间、操作内容等等。日志可由具有权限的管理人员随时查询及统计； (7) 应用软件必须确保各处理环节数据输入、输出的平衡，并进行必要的稽核； (8) 应用软件对重要数据应进行传输加密和完整性校验处理； (9) 网络管理员应定期改善网络系统的安全策略设置，尽量减少安全漏洞； (10) 对外提供系统业务数据的统计必须参照数据提取流程进行审批，并签订保密协议，保障数据信息的使用 范围可控制 ； (11) 系统管理员必须定期对系统数据的处理和传输进行详细的安全检查和维护，避免因为系统崩溃和损坏而对系统内的信息造成破坏和损失； (12) 系统管理员必须加强对信息的审查，防止和控制非法、有害的信息通过公司内部计算机网络进行传播，避免对国家利益、公共利益以及个人利益造成损害； (13) 系统管理员必须对所负责系统的数据 内容安全进行评测，保护信息的机密性、完整性和可用性，并采取技术措施对所发现的漏洞进行补救，防止窃取、冒充信息等。对于发现的数据安全问题必须立即向主管领导和信息安全工作组汇报； (14)数据安全保密管理应 严格执行第 六 章保密安全管理的规定 。 信息安全管理 规程 - 10 - 10 5.3 存存 储储 、 备备 份份 与与 恢恢 复复 (1) 数据备份应保证及时、完整、真实、准确地转储到 外部存储 介质上，并规定保存期限； (2) 备份介质应采用性能可靠、不易损坏的介质，如磁带、光盘等，并采取防盗、防毁、防电磁干扰等措施，保障数据安全； (3) 备份介质应注明数据的来源、备份日期、恢复步骤等信息，并于安全环境保管； (4) 备份数据（包括系统 数据、原始话单 、 用户数据等 ）应专人统一管理。要建立备份介质保管登记制度，由专人负责。严防数据泄密或丢失 ； (5) 备份数据尽量做到异地、异人保存； (6) 根据系统特点制定详细的备份恢复方案。重要系统自运行开始必须作好备份与恢复等应急措施，一旦系统出现问题能够及时恢复正常； (7) 定期对备份数据的可用性进行检查。要保证备份数据是可读的，经常对备份介质进行测试； (8) 备份数据应做到定期全备份和增量备份。备份内容包括系统备份和数据备份两部分。系统常规备份至少每月一次 ，关键业务 数据备份至少每天一次； (9) 系统进行升级前必须进 行系统的完整备份； (10) 网络设备和主机的配置信息在每次更新后及时备份，更新前的备份按需要保存一定时间； (11) 备份完成后要认真填写备份日志； (12) 当发现数据丢失后，应保护好现场，停止任何操作，立即通知系统管理员，由系统管理员采取相应恢复措施； (13) 如系统管理员不能恢复数据，视数据的重要程度，通知相关领导和信息安全工作组，并联系第三方工程师解决； (14) 备份数据的恢复需经主管人员签字认可后，方可进行； (15) 对存储有涉密数据的设备故障，需交外单位人员修理时，本单位必须派专人在场监督； (16) 过期的备份数据应经主管人员认可后，方可销毁。 第第 六六 章章 保保 密密 安安 全全 管管 理理 6.1 涉涉 密密 数数 据据 安安 全全 管管 理理 6.1.1 数数 据据 密密 级级 分分 类类 原原 则则 数据密级根据其内容重要性的不同，划分为：机密、秘密、内部、公共四个级别。其中，机密、秘密、内部数据属于涉密信息。 信息安全管理 规程 - 11 - 11 (1) 机密数据 机密数据是指那些具有最高安全级别，对企业正常经营、管理和安全运行起到至关重要作用，一旦被非法访问或篡改，会导致灾难性的影响，并且这种影响在短时期内是不可恢复的；或者会严重影响公司业务发展，使公司在市场竞争中非常被动的关键数据。 (2) 秘密数据 秘密数据是指那些必须在企业内使用，并且有严格访问控制的信息。任何对秘密数据的非法访问、修改或删除会严重影响企 业内计算机系统的安全，但这种影响是可以在短时期内恢复的；或者会对公司业务拓展产生不利影响但通过努力可以逐渐扭转的数据。 (3) 内部数据 内部数据通常是指那些只供公司内部使用的信息资料，任何对内部数据的非法访问、修改或删除可能会对企业安全造成一定的影响，但不可能是严重的或不可恢复的。 (4) 公共数据 公共数据是指可以公共访问和对外发布的信息，并且公共数据可以自由散布而不会产生任何安全问题。 6.1.2 涉涉 密密 数数 据据 密密 级级 确确 认认 (1) 根据 公司 有关的保密文件，确定需要保密的信息内容、划分编发等级、明确信息提供范围。对于信源单位已提出保密要求的信息， 信息编发部门要严格按照信源单位提出的保密要求和提供范围确定网上编发级别；对于未明确密级但内容涉密的信息，要根据有关的保密规定，确定编发级别；对有涉密嫌疑又来源不明的信息不予编发 ； (2) 数据的管理者应确保这些数据被恰当的分类，并确保原创人或其他员工理解他们的责任； (3) 保密文件由拟制人根据文件密级不同，提交不同级别的领导进行密级确认，保密数据由业务系统管理员根据数据密级不同，做好数据密级分类记录 ，提交不同级别的领导进行密级确认，数据密级分类记录表可参考附件二 ， 在确认之前不得将文件内容透露给与确认密级无关的人； (4) 密级确 认的具体权限为： 机密数据 、秘密数据 由中国联通 安徽分公司 领导确认； 内部数据由各部门经理确认； 公共数据由发文单位根据需要进行确认。 (5) 对涉密数据的密级，每年需要评审，密级变化后应改变文档的分类标签同时通知相关的人员； (6) 所有的涉密数据都有一段密级保持时间。 信息安全管理 规程 - 12 - 12 6.1.3 涉涉 密密 数数 据据 的的 获获 取取 (1) 必须首先经过申请批准，才能查阅文档、数据。查阅权限申请流程： 机密数据 、秘密数据 ：中国联通 安徽分公司领导 及其签字批准的人员； 内部数据：部门 经理及其签字批准的人员。 (2) 严禁复制机密数据。申请复制秘密数据 、内部数据 必须 依密级 由 相应领导签字批准； (3) 信息使用、加工处理部门及网络管理部门，不得通过不正当的手段，超越权限查看、使用、复制保密信息，也不能擅自降低保密级别，把 涉密 信息作为非 涉密 信息传播。 (4) 管理者负责从那些不再需要的员工手中取回任何公司涉密数据； 6.1.4 涉涉 密密 数数 据据 的的 传传 递递 (1) 涉密数据的传递必须经过审批并采用适当的方式进行传递； (2) 文档的密级必须清楚地标识在各种电子信息文档的每一页上，或每个电子文件的开始；如果不能标识，原创人必须告知所有接受者数据的密级； (3) 涉密数据的披露或分发应当有所记录，涉密数据的分发必须发至收件人本人，并由收件人签收； (4) 在对外合作中，如确 实需向合作方提供 涉密及 数据的，必须按密级由相应领导书面批准，并在提供前与之签订保密协议； (5) 内部公共数据可以按部门分发或在联通内部公告栏内张贴，也可以在联通内部计算机网络上发布； (6) 机密、秘密数据严禁在计算机网络上发布、公开和传送，内部数据如需在网络上传送，应得到相应领导的批准； (7) 计算机信息系统处理、传递、储存涉密信息的文件、资料特别是涉及国家秘密信息的文件、资料时，要严格执行 BM21-2000 涉及国家秘密的计算机信息系统保密技术要求。 6.1.5 涉涉 密密 数数 据据 保保 管管 、 存存 档档 (1) 要加强对计算机介质（软盘、磁带、光盘、磁卡等）的 管理，对储存有秘密文件、资料的计算机等设备要有专人或兼职人员操作，采取必要的防范措施，严格对涉密存储介质的管理，建立规范的管理制度，存储有涉密内容的介质一律不得进入互联网络使用 ； (2) 机密、秘密数据由数据的签收人和签发人亲自保管。内部数据由收件人本人或本部门专人保管，内部公共数据一般由各部门专人保管； (3) 涉密数据的查阅和复制应当在文件保管人处进行登记，以备核查； (4) 如涉密数据的保管人不慎将文件丢失，应立即向相应的领导汇报情况，尽快挽回损失，减小影响； 信息安全管理 规程 - 13 - 13 (5) 中国联通 安徽分公司 机密以及行政机密、内部数据在文件管理部门存档； (6) 各部门机密、秘密数据在部门内存档； (7) 在文档和程序中注明版权（非授权批准）不允许传递（卖）给第三方； (8) 时效性特别强的信息的处理不能通过 EMAIL、电话等等，除非这些信息己经公开发布； (9) 在日常工作时间之外，所有员工必须清除所有的桌面和办公场所，保护有价值和涉密数据； (10) 在日常工作时间之外，含有涉密数据的必须加密，除非特别授权； (11) 在无人照看的场所应保护敏感信息（锁在柜中、如果离开时间超过 30 分钟房间应上锁）； (12) 在个人计算机上的涉密数据存储，必须加设访问口令；如果拷贝到可移动介质上，应加上涉密分类区别 ，介质 不再使用 时，需要锁在柜中； (13) 计算机存储介质不再用于涉密数据存储时，必须要进行消磁或者重新格式化； 系统内涉密数据数据不再有效时，应由数据使用部门提出正式申请，系统拥有者或信息安全经理签字 审批后，由系统管理员立即进行彻底删除，并由第三者进行确认； (14) 不要在 PC 或者 个人工作台上保留涉密数据（除非信息安全组批准并实施了控制方法）； (15) 执行公司或行业的其它信息保密制度。 6.2 涉涉 密密 网网 络络 安安 全全 管管 理理 (1) 凡使用互联网络的部门，必须有一位领导分管并指定专人负责本单位或本部门网络节点内安全保密工作，经常进行监督、检查，处理本单位涉及网络安全保密的有 关事宜，并协助主管部门开展安全保密工作的检查指导 ； (2) 网络运行 维护 ，必须有技术上的安全和保密控制措施，拒绝未经授权的访问 ； (3) 计算机网络用户的口令和采取的安全措施，属于秘密级事项；有调阅机密内容权限的用户口令和网络系统级口令及安全措施属于机密事项，不能转告非授权用户 ； (4) 不得在网上擅自 连 接各类网络设备。所有网络设备的增减与变动，其技术方案必须经 过审批， 并 在联通 技术人员 的监督下执行； (5) 各 部门 需要安装主机、服务器等设备时，必须预先报 系统主管部门 核准，并由 其 进行安全和技术审核，分配网络地址和设置安全措施后，方可实施安装 ； (6) 各单位需要通过互联网与外单位进行信息（含数据）交换，应经过 公司 提供的统一网络信道进出。由于特殊原因个别部门要求建立独立的网络信息通道时，应事先报 公司 领导批准并经 系统主管部门 进行内部技术安全审查 ； (7) 对预先未经安全技术审核、批准，而私自接入或使用网络设备的单位以及进行其他违章操作的单位，一经发现，即停止该单位的入网资格，并拆除私自联入的设备。造成损失的，要追究责任 ； (8) 经核准配备主机、服务器，自建网络的单位，其自建网络的安全保密工作由该网络的技术安全管理部门负责，并承担由于自建网络导致的保密和安 信息安全管理 规程 - 14 - 14 全责任 ； (9) 凡属 公司涉 密文件、资料一律不得输入计算机互联网络，本单位、本部门科学研究方面的文件、资料、成果，如属国家秘密范围，不得进入互联网络 ； (10) 必须做好 涉密数据 的保管工作，管好秘密源头。 6.3 涉涉 密密 人人 员员 安安 全全 管管 理理 (1) 必须签订保密协议，保密协议应包括： 保密的内容和范围 保密的期限 双方的义务 违约责任 (2) 基本保密义务： 应当遵守组织的保密制度，妥善保管其所保存的组织秘密资料，不得刺探与本职工作、本身业务无关的公司秘密，不得泄露公司的技术秘密； 非经公司书面同意，不得利用公司的商业秘密进行生产、经营和兼职活动，不得利用公司的商业秘密组 建新的企业； 如果发现公司秘密被泄露，应当采取有效措施防止泄密扩大，并及时告知公司； 无论是在职还是离职，不得披露、使用或者允许他人使用公司的商业秘密，不得利用公司的商业秘密从事兼职活动，不得利用公司的商业秘密到其他单位任职； 员工离职时，应当将所持有的秘密资料如数归还公司，不得保留拷贝； 员工离职后在约定期限内不得泄露原公司机密。 第第 七七 章章 防防 病病 毒毒 安安 全全 管管 理理 7.1 建建 立立 病病 毒毒 预预 警警 机机 制制 (1) 制定防病毒的管理制度和操作指南； (2) 设立专门的管理员负责防病毒的管理工作； (3) 管理员要 及时了解防杀计算机病毒厂商公布的计算机病毒情报， 关注 新产生的 、传播面广的计算机病毒，并知道它们的发作特征和存在形态，及时发现计算机系统出现的异常是否与新的计算机病毒有关 ； (4) 管理员要 及时了解 操作系统厂商所发布的漏洞情况，对于很可能被病毒利用的远程控制的漏洞要及时提醒用户安装相关补丁； (5) 对有严重破坏力的计算机病毒的爆发日期或爆发条件，及时通知所有相关人员进行相应防范。 信息安全管理 规程 - 15 - 15 (6) 如遇病毒安全事故，则按照信息安全事件响应。 7.2 防防 病病 毒毒 软软 件件 的的 安安 装装 使使 用用 (1) 防病毒软件的部署： 应在全网范围内建立多层次的防病毒体系，要使用国家规定的、服务技术支持优秀、具有计算机使用系统安全专用产品销售许可证的网 络防病毒产品。 每个 市 分公司对防病毒软件的部署应该做到统一规划，统一部署，统一管理。 在 Internet 出口处部署网关型防病毒软件，重点要对进入网络的 SMTP邮件进行实时病毒过滤； 在 Lotus、 Exchange 等群件系统上部署群件防病毒软件，对邮件、文档等进行实时的病毒过滤， 防止计算机病毒通过 群 件服务器扩散、传播 ； 在所有的 Windows 服务器与客户端中部署病毒实时监控软件； 服务器和客户端的防病毒系统必须能够统一管理，可以统一升级、杀毒、监控。 (2) 防病毒软件的安装： 对新购进的计算机及设备，在安装完操作系 统后，要在第一时间内安装防病毒软件； 没有安装防病毒软件的 Windows 系统不得接入到生产网络中； 防病毒软件的类型遵循统一规划，不得私自安装其他类型的软件。 (3) 防病毒软件的升级： 病毒特征库至少要做到每天自动升级检查，自动部署； 对病毒特征库的升级情况应该进行手工检查，将当前版本与软件厂商在网站上公布的版本进行比较。应该每周检查一次； 一旦出现传播速度快，威胁大的新病毒，应该立即进行手工升级。 (4) 防病毒软件的维护： 防病毒系统管理员负责软件的总体维护，定期（每天）检查防病毒服务器端软件的运转情况，如有异常及时 处理； 各个服务器系统的管理员有责任维护本机防病毒系统的正常运转，也需要定期对防病毒软件的升级情况进行监控。如果遇到问题或者病毒报警，与防病毒管理员共同解决。 7.3 防防 范范 病病 毒毒 措措 施施 (1) 操作系统和应用软件应该及时安装最新的稳定版安全补丁，防止被病毒利用相关的漏洞；系统安全小组成员每周对防病毒软件进行安装、升级版本的更新情况进行检查，并形成相应的检查报告经系统拥有者签字确认后存档； (2) 操作 系统 和重要应用的管理员帐号的口令应该具备一定的复杂度，防止被病毒利用，口令设置遵循本规程第 三 章用户帐号与口令安全 管理 ； (3) 关键服务器 要尽量做到专机专用，不应该开启任何网络共享； 信息安全管理 规程 - 16 - 16 (4) 对共享的网络文件服务器，应特别加以维护，控制读写权限，尽量不在服务器上 远程 运行软件程序 ； (5) 充分发挥入侵检测系统的网络病毒监控作用，对于相关警报要及时发现、跟踪、消除； (6) 对于出现的最新病毒，在厂家没有发布特征库解决方案之前，要根据病毒自身特点在网关处进行内容过滤； (7) 在网络设备上关闭病毒的常用端口； (8) IE 安全级别设置在中以上，对 ActiveX 控件要确认安全后才可打开； (9) 建立网内防病毒技术支持系统，使用电话、邮件等手段对用户在防病毒方面进行技术支持。 7.4 病病 毒毒 处处 理理 (1) 隔离受 感染主机： 当出现计算机病毒传染迹象时，立即隔离被感染的系统和网络，并进行处理，原则上不应带“毒”继续运行； (2) 确定病毒种类特征： 采用多种手段确定病毒的类型和传播途径，如查看防病毒软件的报警信息、搜索互联网相关信息、和防病毒厂商沟通等途径。对于未知病毒，可以尽快提交给有关部门或厂商； (3) 防止扩散： 如果出现大面积传播的趋势，要根据病毒的传播形式，采取网络访问控制、内容过滤等手段控制病毒的扩散； (4) 查杀病毒： 尽量使用专杀工具对病毒进行查杀，杀毒完成后，重启计算机，再次用最新升级的 防病毒软件检查系统中是否还存在该病毒，如是系统漏洞应及时打上相应补丁，并确定被感染破坏的数据是否确实完全恢复； (5) 如果重要数据文件被感染，无法修复，可以请数据恢复的专业人员进行处理。 7.5 员员 工工 防防 病病 毒毒 安安 全全 管管 理理 (1) 重视管理员发布的病毒和补丁通告，提高病毒的防范意识，及时安装操作系统补丁； (2) 只有安装了防病毒软件的计算机系统才能够接入联通内部计算机网络，防病毒软件必须选择联通统一指定的类型； (3) 用户有协助管理员维护本机系统防病毒软件的义务，如果防病毒软件出现工作异常，病毒特征库过旧 (更新时间为两周前 )等问题，应该及时通知管理 员进行维护； (4) 严禁用户以任何方式卸载防病毒软件和停止防病毒服务； (5) 软盘、光盘等移动媒体，以及外来的系统和软件，下载软件等，要先进行计 信息安全管理 规程 - 17 - 17 算机病毒检查，确认无计算机病毒后才可以使用；严禁使用未经清查的、来历不明的软盘、光盘等； (6) 不要阅读和传播来历不明的邮件，用邮件客户端收取邮件时设置默认为文本方式； (7) 如果发现本机有感染病毒的迹象，应立刻通知系统管理员，必要时拔掉网线。 (8) 定期对所有重要敏感数据进行备份； (9) 用户有义务为自己的电脑设置帐户口令，口令长度 8 位以上，不得设置简单口令，口令设置遵循本规程第 三 章用户帐号与口令 安全 管理 ； (10) 定期对自己的电脑进行杀毒和漏洞扫描； 第第 八八 章章 终终 端端 用用 户户 安安 全全 管管 理理 8.1 终终 端端 安安 全全 管管 理理 根据终端用途的不同，将终端分为：办公终端和系统维护终端 两 大类。对终端管理要求如下： (1) 发现终端 运行异常，及时与 终端维护部门或单位 联系，非专业管理人员不得擅自拆开终端调换设备配件 ； (2) 外来人员携带电脑需要接入联通内部计算机网络的，必须征得相关 部门 负责人允许方可接入，并且要在相关人员随工的情况下完成操作； (3) 新购终端入网前要进行病毒扫描并统一部署安全软件（如：防病毒软件、网络防火墙和入侵检测软件等）； (4) 系统维护终端只能用来进行系统维护 管理和优化操作，不得接入互联网。 8.2 终终 端端 用用 户户 帐帐 户户 与与 口口 令令 管管 理理 终端用户要严格遵循本规程第 三 章用户帐号与口令安全 管理 中的有关规定，定期更换口令，并尽量避免口令泄露，否则按照安全事件的严重程度追究相应人员的责任。 8.3 终终 端端 用用 户户 行行 为为 规规 范范 (1) 未经授权严禁使用他人帐号口令进行系统操作； (2) 不得随意将终端设备提供给他人使用，长时间离开时，应将终端置于锁定状态或关机； (3) 不得利用终端安装或使用嗅探、扫描、攻击等各类黑客软件进行信息窃取或攻击他人或其他系统； (4) 禁止 利用 终端 从事危害国家安全、泄漏国家秘密等违法犯罪活动， 禁止 编制、运行、 传播危害网络安全的软件， 禁止 制作、查阅、复制和传播妨碍社会治 信息安全管理 规程 - 18 - 18 安的信息和淫秽色情等信息 ； (5) 用户私自安装盗版软件造成版权争议的，应由该用户承担责任；用户私自安装盗版软件或游戏的，经发现应通知其主管领导，造成公司损失的，应追究其相应责任； (6) 禁止利用终端进行大量占用网络资源的操作，以免造成整体网络处理性能的下降； (7) 禁止用户随意改动自己的网络参数配置，包括 IP 地址、网关、子网掩码、DNS、域服务器等； (8) 禁止用户采用任何工具私自修改网卡的 MAC 地址。 8.4 终终 端端 用用 户户 防防 病病 毒毒 安安 全全 管管 理理 终端用户必须提高病毒的防范意识，严格遵循本规 程第 七 章防病毒安全管理中的规定，统一部署杀毒软件，及时更新病毒库。 第第 九九 章章 安安 装装 及及 升升 级级 安安 全全 管管 理理 9.1 软软 件件 安安 装装 安安 全全 管管 理理 (1) 所有新的应用系统软件或者软件增强部分功能必须在用户需求说明中详细定义，并提交给业务系统管理员审核； (2) 所有的应用软件包必须与中国联通首选并且认证过的计算机系统平台保持兼容； (3) 为了遵守法规和取得卖方的各方面支持，软件必须附带包括各种条款的最终用户授权协议； (4) 新软件和升级软件在实施前必须搭建测试环境进行功能、性能和兼容性测试。测试前应提供测试方案，测试后提供详细的测试报告 ； (5) 公司应有明确规定各类服务器设备 、终端安装的软件，禁止安装盗版软件和非认可软件 (6) 对于公司设备及所安装的软件及 LICENSE 应有清晰的记录； (7) 对于非规定范围内的软件安装前应由系统维护人员进行评估和记录，并交由信息安全经理审核批准后，方可认为为认可软件，进入系统使用 (8) 制定所有设备（含终端设备）所安装软件定期（ 6 个月）和不定期检查流程，并进行结果通报；检查内容包括设备型号、具体配置、安装的软件名称、用途、许可证号等 9.2 主主 机机 设设 备备 安安 装装 安安 全全 管管 理理 每个操作系统必须要有系统加固手册，信息安全工作组应对每一平台 (如 Linux, 信息安全管理 规程 - 19 - 19 Solaris, Windows, HPUX, AIX 等 )的加固方式进行评估。系统的加固手册应至少包括如下内容： 关闭不必要的服务； 系统中的密码设置 要严格遵循本规程第三章用户帐号与口令安全管理中的有关规定 ； 系统管理员可以锁定账号和为用户账号进行解锁； 系统安装运行所需要的 PATCH 的列表 ； 禁用不必要的用户和用户组； 系统配置和配置程序应加强设置的访问和修改权限。例如在 Unix 系统上的 /etc/* 的访问和修改权限的设置和在 Windows 系统上可修改有关 Password Policy 的 Registry 的权限 ； 开启 或安装必要的日志审计功能，对于系统配置的修改需要应留下审计日志及审计日志的保留时限。 操作系统的安全管理还需要包括下面的内容： (1) 主机设备初始安装后必须安装厂商提供的最新系统补丁。系统管理员在接受到安全监督员的安全通告后，应根据软件安全规程中的要求进行补丁升级； (2) 主机设备上线运行前或者新应用系统上线前，系统管理员需要对操作系统进行加固； (3) 如果没有特殊情况，严格禁止使用在线运行的服务器进行浏览网页或下载操作； (4) 在线运行的服务器禁止任何未正式批准的变更操作，包括安装不相关的软件、修改配置、增加用户等。所有变更操作 必须经系统管理员批准并进行变更记录。有重大影响的变更需要得到相关部门领导批准，并及时通知所有用户； (5) 系统管理员需要定期检查系统日志，特别是安全日志 ； (6) 对于无法进行上述加固的系统或者新上应用系统与上述加固方案有冲突， 系统开发者和系统管理员应对 无法 进行加固的系统作风险评估 ， 风险评估的报告应交由安全小组作分析 ， 如安全小组组长 同意 分析结果则系统可以对某些加固措施 放松。对于无法进行系统加固或者加固措施放松的系统，每半年至少进行一次系统的安全检查，并将检查结果记录到系统安全检查记录表（见附件三）。 (7) 对于无法进行上述加固 的系统，应用系统开发者和系统管理员对无法进行加固的系统作风险评估，风险评估的报告应交由系统拥有者确认和认可。 (8) 对于新上应用系统与上述加固方案有冲突，系统开发者和系统管理员应对系统作风险评估，交由系统拥有者确认，认可风险评估则可以对加固措施放松。 (9) 对于无法加固的或者加固措施放松的系统， 至少 每半年进行一次系统的安全检查，并将检查结果记录到系统安全检查记录表中；对于进行加固的系统 至少 每年进行一次系统的安全检查，并将检查结果记录到系统安全检查记录表中，并由系统拥有者进行审核；同时，根据检查的结果和安全要求，更新系统 的安全加固手册。 信息安全管理 规程 - 20 - 20 9.3 网网 络络 设设 备备 安安 装装 安安 全全 管管 理理 (1) 网络设备在购入时要保证是最新的设备软件版本，并且定期进行升级，保证其安全性； (2) 网络设备上线时要进行一些专门的安全功能设置，如： 采用安全方式 (如安全协议、串口连接等 )对网络设备进行远程或本地管理，禁止以明文传输协议进行远程管理网络设备； 配置身份认证、授权和统计； 对密码进行高级别的加密保护； 加强对基于广播的风暴攻击的防范； 加强对内部地址欺骗的防范； 加强对源路由欺骗的防范； 禁止不必要的服务，实行最小服务原则； 加强对于 SNMP 的默认管理字符串的安全管理； 依据 需求提升访问控制规则的严格程度； 设置明确的禁止非授权访问的警告提示。 9.4 补补 丁丁 /升升 级级 安安 全全 管管 理理 9.4.1 补补 丁丁 /升升 级级 检检 查查 (1) 各单位 /部门的安全监督员应定期检查系统或相关安全软件的补丁或升级文件的更新情况； (2) 安全监督 员要根据厂商的补丁公告和安全公告的紧急程度以及对系统的影响上报给信息安全工作组。 9.4.2 补补 丁丁 /升升 级级 文文 件件 下下 载载 (1) 安全监督员及时向相关部门通告补丁或升级信息； (2) 系统管理员根据通告自行下载； (3) 所有补丁或升级文件的下载应尽量从原厂商的技术支持网站下载或原厂商提供的光盘文件中获得，以保障补丁或升级文件的可靠性。 9.4.3 补补 丁丁 /升升 级级 文文 件件 安安 装装 (1) 各部门针对自己的情况，安排补丁或升级文件的测试，以防止补丁或升级文件与现有业务或应用系统的冲突，应综合考虑安装补丁对系统安全和运行效率的影响； 信息安全管理 规程 - 21 - 21 (2) 补丁安装升级工作需相关的系统管理员的授权，由他们根据系统的实际情况决定是否进行补丁的安装； (3) 系统管理员在 安装补丁之前需要 对重要系统进行 备份，制订 严密的实施 方案和回退措施； (4) 系统管理员 对升级补丁的执行情况必须上报给安全监督员。 9.5 变变 更更 管管 理理 9.5.1 软软 件件 变变 更更 的的 安安 全全 管管 理理 (1) 软件变更必须严格进行版本控制，版本的差异有明确的记录； (2) 检查所有提出的系统更新，评估更新会 否 破坏系统或操作环境 的安全。 9.5.2 系系 统统 配配 置置 安安 全全 管管 理理 应保护及控制系统配置信息，控制措施如下： (1) 对测试软件时使用的系统软硬件、操作系统、数据库等配置参数建立系统化的管理文档，并指定各系统管理员管理； (2) 建立管理文档访问控制程序，给予不同角色的人不同的访问权限；对于无权限但需访问人员需向系统维护组长申请并批准、系统安全管理员登记后进行访问；当测试的系统各种配置参数应用上线后应作标记，并进行登记； (3) 系统应通过日志记录操作参数的访问记录，以便提供审计追踪 (4) 系统各种配置参数应进行备份 (5) 系统各种配置参数发生变化时，对于参数变更进行登记和 及时更新相关文档。 第第 十十 章章 应应 急急 安安 全全 管管 理理 10.1 应应 急急 工工 作作 定定 义义 信息安全应急工作主要是指由于自然、社会及技术问题而引起重大的信息灾害后，为尽可能减少系统损失而采取的应急工作，其中信息灾害包括不可预期的黑客攻击， DoS 入侵，系统崩溃等重大信息安全问题。信息安全应急工作 的目的是以最快速度恢复系统的机密性、完整性和可用性，阻止和减小安全事件带来的影响。同时收集与突发安全事件有关的信息，提供有价值的报告和建议。 信息安全管理 规程 - 22 - 22 10.2 应应 急急 响响 应应 组组 的的 组组 建建 (1) 中国联通安徽分公司运行维护部和安徽联通各市 级分公司应设置信息安全应急响应机构，由专业的应急响应人员组成 。负责设计和实施整体应急方案，管理 通信网 信息系统安全的应急事务，协调各 级 应急响应人员、其他安全管理人员或安全服务商，并向管理层汇报应急响应工作情况； (2) 中国联通安徽分公司运行维护部和安徽联