信息中心管理制度.doc

互助县人民医院微机室管理制度和操作规范第一部分 计算机信息系统管理制度第一章 总则为加强对计算机网络系统的运行管理，提高工作质量和管理有效性，实现计算机系统维护、操作规范化，确保计算机系统安全、可靠运作，结合我院实际情况，特制定如下规定： 第二章 微机室管理 微机室是指安装有计算机主机、服务器、网络设备或重要计算机外部设备的场所。系统网络的主微机室，是各类信息控制及传输的重要枢纽。第一条：建立网络系统日常运行日志。工作时间以外，须建立专人24小时手机值班制度。如发生突发事件，严格按突发事件处理规范执行（见微机室突发事件处理规范）。第二条：保持计算机微机室整洁。严禁将食品和杂物带入微机室区内；第三条：微机室工作人员应严格按照有关操作规程使用设备，严禁私自拆卸、搬移设备或私自出借微机室物品。严禁擅自在设备中安装无关软件。第四条：为保障微机室安全，严禁携带易燃、易爆、易腐蚀、强磁物品及与信息中心工作无关的物品进入微机室。第五条：不得将与工作无关的人员带入微机室。第六条：应严格遵守保密制度，未经批准不得向外来人员提供任何数据信息。数据资料和软件必须由专人负责保管，未经允许、不得私自拷贝、下载和外借。第七条：值日人员下班离开微机室时，必须检查照明、显示器等电源是否关闭，所有的门窗是否关好。第三章 日常维护管理日常维护管理工作主要包括对整个网络、系统、数据库等进行日常的管理和维护。第八条：微机室配备管理员，对网络设备、系统和数据库等进行管理与维护，必须按规定查看网络、系统、数据库和有关设备运行状况。第九条：建立网络防病毒系统，定期对网络版防病毒软件进行安全评估，并及时对其升级。第十条：及时对各种操作系统和应用软件系统进行最新补丁程序更新。第十一条：定期对服务器尤其是关键的服务器进行安全评估，发现其中的安全漏洞，及时进行修补。第四章 设备管理设备管理工作的主要内容是对设备进行保管、报废、借用、调拨、报损、报失等统一管理。第十二条：计算机及外部设备的添置更新与资产管理，按固定资产管理办法中的有关规定执行。第十三条：各部门负责保管及合理使用计算机及外部设备。使用部门根据本部门的实际情况及工作需求，明确设备使用范围及责任人，制订设备操作的具体规程，设备的操作及使用必须职责明确。 第十四条：定期对主机和网络等硬件设备进行维护，如发现设备存在故障问题，应及时处理，以确保系统运行的安全、可靠。第十五条：设备如因使用年限已久，需做报废处理，则相关人员应及时向部门领导反映，经部门领导批准，方可办理设备报废处理手续。第十六条：微机室负责对局域网上工作的计算机进行统一管理，各类系统和应用软件、IP地址以及其他网络设定由信息中心负责安装、设置和维护。第五章 安全管理计算机系统的安全是指计算机及外部设备（包括网络设备）的安全，机器运行环境安全，计算机系统内使用的信息资源安全等，计算机安全管理是计算机系统安全运行的保证。第十七条：微机室工作人员必须遵守中华人民共和国计算机信息系统安全保护条例、计算机信息网络国际联网安全保护管理办法和有关计算机网络安全保密的法律法规。不得利用网络危害国家安全、泄露国家秘密，不得侵犯国家的、社会的、集体的利益和公民的合法权益，不得从事违法犯罪活动。第十八条：微机室负责 范围内的计算机安全技术实施。第十九条：任何部门和个人不得擅自将外来的软盘、光盘等介质在已联网的计算机上运行。如确实需要，须将外来介质经防病毒软件检查后，方可使用。第二十条：任何部门和个人不得擅自使用他人IP地址和私自以拨号等方式上互联网。第二十一条：对来历可疑信件不可随意打开。第二十二条：严禁安装、使用盗版软件或黑客软件。第二十三条：不得通过不正当的手段超越权限查看、使用、复制保密信息，也不能擅自降低保密级别，把保密信息作为非保密信息传播。第六章 项目管理 项目管理主要包括项目规划、项目监控、项目评价三方面内容，它是对项目计划、组织以及对项目所需资源的控制，目的是确保项目在规定时间内、规定预算内达成预定的绩效目标。第二十四条：在信息化建设的统一规划下，微机室作为信息化建设项目开发的监控者和项目实施的组织协调者，推进和管理信息化项目的建设。第二十五条：项目建设中所涉及的重大设备的采购，由微机室审核实施方案后，提交并进行统一采购。第七章涉密信息系统的管理第二十六条：凡对经有关部门认定的涉密信息系统，须严格按涉密计算机信息系统安全管理制度进行管理（详见附件二：涉密计算机信息系统安全管理制度）。第八章 应急计划应急计划包括操作系统、数据库、物理设备发生故障等情况下的应急措施。第二十七条：制定系统和数据备份策略，一旦系统和数据库发生故障，即可进行系统和数据的恢复措施。第二十八条：对关键的服务器和网络设备，采用双机热备或冷备方式，一旦发生故障，及时更换。第二十九条：在条件允许下，对重要数据实施异地实时备份。附件涉密计算机信息系统安全管理制度为加强涉密计算机信息系统（以下简称涉密信息系统）的安全管理，确保数据信息、计算机网络和设备安全，特制定如下规定：第一章 管理机构第一条 院办组织处理重大安全违规、违纪及泄密事件；负责协调涉及多个部门的或综合性问题。第二条 院办负责本信息安全保密管理工作，包括：信息安全保密制度的落实和检查；负责涉密介质、口令文件的管理。第三条 微机室负责本信息安全技术管理工作，包括：涉密信息系统方案、应急方案制定与实施，日常工作检查；负责审阅系统安全报告。第二章 人员管理第四条 岗位设置 涉密信息系统安全管理工作的岗位：安全负责人、安全管理员、保密员、系统管理员、文档管理员等。人员必须具有政治可靠、思想进步、作风正派、技术合格等基本素质。根据工作任务确定活动范围，严禁越范围使用权限。第五条 培训每半年对从事操作和维护信息系统的工作人员进行操作技能、保密知识培训，未经培训的人员不得上岗。第六条 签订保密合同参与涉密信息系统工作的人员，应与所在单位保密委签订保密合同。第七条 调离对调离人员，应交回所有钥匙及证件，退还全部技术手册、软件及有关资料，更换系统口令。第八条 考核组织人事部门年终组织对涉密信息系统的所有工作人员进行考核。经考核不合格者应及时调离岗位，不得让其再接触系统。第三章 软件管理软件管理的范围包括：操作系统、数据库、应用软件、防病毒软件的使用、维护、更新。第九条 软件的安装和使用涉密信息系统所使用的操作系统、应用软件、数据库、安全软件必须是正版软件，严禁使用盗版软件。软件安装后，须进行安全性测试，重新审查系统安全状态，必要时对安全策略进行调整。第十条 软件的登记和保管软件安装或更新后，新旧版本均须登记造册，由文档管理员负责保管。操作系统、应用系统软件介质应做好备份，一份交 保密室保存，一份由 信息中心保存。第十一条 日志审查操作系统和数据库以及安全软件由系统管理员负责维护，定期进行审计、安全漏洞扫描，分析与安全有关的事件，堵塞安全漏洞，并做好记录。处理秘密级、机密级信息的系统审查周期不得长于一个月。第十二条 软件的防病毒管理计算机必须安装经国家安全部门认可的防、杀病毒软件产品。病毒代码库更新周期为4小时。发现病毒后立即使用防病毒软件等工具进行控制，并详细记录。第四章 设备管理设备管理范围包括的网络设备、安全设备、密码设备、计算机。第十三条 设备环境 涉密信息系统应与其它网络实行严格的物理隔离，主要网络设备、服务器、信息安全设备（防火墙、IDS）应放置在具有一定防灾能力的屏蔽机柜内。第十四条 设备购置第十五条 设备安装安全设备（防火墙、入侵检测）均应在测试环境下经过连续72小时以上的单机运行测试和联机48小时的应用系统兼容性运行测试。测试通过方可正式运行。第十六条 设备管理涉密信息系统所涉及的网络设备、安全设备、计算机设备由 负责管理。设备管理参见 计算机系统管理办法。涉密信息系统所涉及的密码设备（加密机用户IC卡、USB数字证书）由 保密员负责。第十七条 设备维修系统应建立满足正常运行最低要求的易损件的备件库。安全设备维修时应有安全管理员在场，并由国家保密 指定的资质合格的维修单位负责维修。设备达到规定的使用期限或因严重故障不能恢复时，应由 对设备进行鉴定， 科技教育处提出处理意见，由资产管理部门批准后方能送国家保密 指定的单位进行报废处理。第五章 介质管理涉密介质包括软盘、磁带、硬盘、光盘。涉密介质的管理应严格按照中共中央保密委员会办公室、国家保密 关于国家秘密载体保密管理的规定执行。第十八条 涉密介质的管理部门及要求涉密介质由 保密室负责按照同密级纸质文件的要求进行管理。涉密介质根据其中信息的最高密级决定介质的密级。涉密系统必须使用由 保密室签发标识的介质。涉密介质不得挪作它用。发现涉密介质失窃应立即向主管部门报告，并及时查处。第十九条 涉密介质登记和借用新购置或系统生成的介质应造册登记。涉密人员需要借用涉密介质时，应填写申请表，报 办公室主管领导审批。使用归还时，应检验并消除其上的涉密信息，并做好登记工作。第二十条 涉密介质的复制和销毁涉密介质根据需要定期复制备份。涉密介质的销毁须报 办公室主管领导审批。介质销毁前，需要清除介质上的信息，并做好销毁记录。第六章 信息管理第二十一条 口令管理口令的长度根据访问等级确定，涉及国家机密级信息的口令不应少于十个字符（或五个汉字）,更换周期不得长于一周。口令表必须备份。严禁将口令记载在不保密的媒介物上，或贴在终端上。输入的口令字不应显示在显示终端上。第二十二条 涉密信息涉密信息应严格按照有关规定划分密级，对涉密信息的密级进行标识，并根据需要设定保密期限。涉密信息系统必须采取身份认证、访问控制、审计跟踪、防电磁辐射等技术防范措施。第二十三条 涉密信息传输 涉密信息应当加密传输，使用的加密措施必须经过国家保密 批准，并且与所保护的信息密级一致。第二十四条 数据备份与恢复管理 系统管理员负责系统的数据备份及灾难恢复，应制定系统数据备份计划及灾难恢复方案，并做好备份记录工作。第七章 其他第二十五条 技术文档技术文档是指涉密信息系统的设计方案、实施方案、IP地址分配表及有关系统配置文件。借阅、复制技术文档要履行相应的手续。对报废的技术文档，要有严格的销毁的措施。第二十六条 微机室微机室管理参见 计算机信息系统管理办法。第二十七条 应急制度微机室实行24小时手机、电话值班制度，微机室人员在接到远程报警电话后，应立即奔赴现场查看。按事件程度，启动不同预案。第二部分 管理和操作规范为了规范和统一对信息系统的管理和维护，特制订本规范。第一章 微机室突发事件处理规范（微机室值班人员）一、 值班人员在非工作时段（下班后、节假日等）情况下如遇重要突发事件（火灾、停电、盗窃、漏水、温湿度非正常状态等），应立即通知大楼警卫人员和微机室相关负责人。二、 基本对应措施：相关负责人在接到报警后应立即了解初步情况并尽快赶到现场，进行事故处理。三、 具体事件处理措施：1、消防事故报警：处理原则：尽量减低损失，注意善后工作。如果属于轻微火警事故，多数情况下已经由大楼警卫解决，这种情况下微机室值班人员到达微机室后应妥善处理现场，检查并关闭微机室所有设备的电源，清点设备，了解损失情况。如果属于重大火警事故，则由消防支队处理，值班人员到场后应配合消防 工作，维持现场秩序，保护微机室安全。2、停电事故报警：处理原则：确保设备及数据安全为前提，兼顾应用和网络系统的不间断运行。微机室值班人员到达现场后，先进入微机室，察看UPS工作状况，如UPS已经正常切换至电池供电，则与大楼警卫取得联系，了解停电原因，结合UPS电池维持能力，决定是否关闭服务器及微机室其他电器设备。3、防盗事故报警：处理原则：与大楼警卫协调，避免不法人员逃脱。微机室值班人员到达现场后，应协助大楼警卫处理，并清点微机室设备估计损失。4、漏水事故报警：处理原则：在做好自身保护措施的前提下尽量避免微机室设备财产的损失。进入微机室后首先查看漏水状况，并在尽可能短的时间内关闭服务器并切断电源；比较严重的情况下应立即通知水电办公室。查找水源，可能的漏水区域主要是窗台，自来水管。然后进行排水工作，最后清点设备，估算损失，以便事后处理。在安全的前提下，警卫应保护现场的同时，及时通知微机室工作人员，并事后协助微机室工作人员清点设备损失状况。第二章 计算机网络信息安全管理实施细则一、 目的为了维护计算机信息系统的安全，促进计算机的应用和发展，保障信息化建设的顺利进行，制定本细则。二、适用范围 本细则为数据库管理、网络管理和系统管理提供了安全管理的指导规范。三、方法和要求1、账户管理账户设立与管理，必须遵循以下原则： 以最少授权为原则，严格划分不同用户的访问权限，避免越权访问或交叉授权； 以“不肯定即为否定”原则设计访问权限的管理方案； 数据库管理人员和网络管理人员、系统管理人员相互制约； 考虑针对内部用户和外部用户的不同的安全策略； 考虑权限管理配置的灵活性和可扩展性。2、口令管理 所有账户必须都设有口令； 口令应当至少有8个字符长，使用大小写字母，数字混编，且建议口令中要有一些非字母（如标点符号等）； 不准使用用户名（账号）作为口令；3、病毒防治 建立病毒服务器，及时查杀服务器、客户端病毒； 定期对网络版病毒防治软件进行安全评估，并及时对其升级； 限制共享目录及读写权限的使用； 限制网上软件的下载和禁止盗版软件； 对外来的软盘必须先查毒后使用； 将服务器上某些可执行文件的写属性设为禁止。4、 网络管理 合理划分网段，减少无用的广播包括对网络攻击的风险； 使用网络日志，对网络进行适当监控； 通过定义虚拟子网隔断非法访问； 通过IP地址与网卡MAC地址捆绑的方法防止IP盗用。5 、系统管理 在各种操作系统使用最新的补丁； 定期对服