信息安全管理.doc

文件编号:OP-ITSM-020文件名称:信息安全管理规范版本:1.01.0简介为明确及落实信息安全管理流程的要求，清晰日常工作中的信息安全管理要求及措施，减少因信息安全做成的风险和业务损失。2.0适用范围此流程适用IT服务管理手册中定义的服务范围。适用参考信息安全管理流程中定义的明细管理范围。3.0相关流程信息安全管理流程(OP-ITSM-015)变更管理流程(OP-ITSM-010)事件和服务请求管理流程(OP-ITSM-007)4.0定义4.1 术语表术语说明保密协议保密协议是资方和劳方的双方行为，是通过合同约定劳方保密义务的手段，违反保密协议需要承担违约责任。员工信息技术部有雇佣合同的同事及临时工。资产对集团有价值的有形或无形物品， 例如可见的各类设备或不可见的系统数据。机房环境泛指放置运行硬体设备的环境。包括为保证环境条件达成所设置的 UPS、空调、配电系统、消防设备等设施。机房区域机房区域分为设备区域及控制区域， 设备区域指伺服器、网络设备等安装及提供服务的物理区域、控制区域是指KVM控制区域。电脑网络包括网络主机、网络设备及其相关配套的设备、设施(含网络线路)及相关软体等组成的架构。操作系统是管理电脑硬体与软体资源的电脑程式，同时也是电脑系统的核心与基石。初始管理员账号操作系统或伺服器平台，如：Windows 操作系统 的Administrator账号， SQL Server 伺服器 sa 帐号等。但不包括Domino。数据库普通用户指数据库系统中除初始管理员账号和数据库管理员外的其它账号。4.2 角色职责表角色职责部门主管 按本规范要求，保管初始管理员账号。 按本规范要求，对各管理员的角色进行合适的授权。流程经理 按信息安全管理流程要求，依本规范要求进行对执行情况及效果、记录进行核查或审计。 按本规范要求，对相关记录进行审核。5.0内容5.1规范说明因适用范围及管理要求，本规范分成 8个不同领域明确信息安全要求。5.2信息安全规范总则5.2.1组织管理 部门相应的职能小组负责按信息安全流程要求制定工作手则及指引。 每个信息安全领域每年最少一次对领域内的管理、技术进行工作检讨。 5.2.2 授权管理 因日常管理工作要求，部门遵循分层授权体系进行角色、分工管理。5.2.3 账户管理员工有责任保障自己所拥有帐号安全，不得将自己所拥有帐号转借给他人使用。员工不得以任何方式泄露自己的帐号、密码。一旦发生泄密事件，须立即通知上司或相关管理小组并安排更换密码。帐号/密码不可交由非指定授权人员使用，使用完毕应尽快登出。 员工在需要在自己不拥有帐号的系统进行操作时，应向相关的服务负责人进行帐号的申请。 员工不得以任何方式获取(或企图获取)他人账户。 初始管理员账号仅供处理系统设定及授权用途，基于安全理由， 除系统不支持多帐号管理情况外，此帐户将由部门主管统一保存， 并只可于有需要时使用。所有的管理员账户应尽量避免共用，可行下均需有独立的管理员账户。管理员权限账户管理 管理员权限应及时跟进权限分配表并至少每年进行一次检查。 不得擅自更改或任意开放权限。 若拥有管理权的人不在需要有一个应急安排。所有申请的账户，要明确需要的权限，确保不需要的权限不要授予。5.2.4密码管理员工应做好自己所拥有的账户密码的保密，并根据相关管理要求，定期或不定期更换修改密码，密码的设置上要符合保密性要求。密码设定要求 强密码定义为密码长度至少为八个字元。 需由大写英文, 小写英文, 数字及符号4项中的其中3项组成。 中等复杂密码：密码长度至少为八个字元。 需由大写英文， 小写英文， 数字及符号4项中的其中2项组成。 禁止设定使用者帐号、姓名、生日、身份证号码、电话号码或单位代名等与个人或单位相关的信息作为密码。密码策略 更换密码的间隔时间最长不得超过1年。 所有管理员权限的帐号密码均需使用强密码(包括但不限于初始管理员账号、伺服器管理员账号等)。 初始管理员账号及各管理员账户均有独立的管理员密码，不可重复。 对于临时短期授权使用的初始管理员密码，使用完成后需立即回收并及时调整密码。 如需长期使用初始管理员账号，需由部门主管授权批签形成记录后方可使用，相关密码每次调整后必须同步通报部门主管。5.2.5监视管理时钟设备应设定自动时钟同步或至少每年进行一次的时钟校验，时钟误差不应当超10分钟。5.3人员管理(行政工作)本段落的编写目的是为了定义了人员管理规范， 减少由于人员的疏忽或固意而做成的信息资产毁坏或外泄机会， 降低相关风险造成的业务损失。5.3.1责任要求 员工必须遵照安全管理规范，防止信息安全管理存在问题。 员工发现有其他人违反本规范，有义务通知流程经理或部门主管。 发现并报告安全事件软件故障和安全薄弱点是员工应尽的义务。 任何影响到他人正常使用集团系统和网络的行为都是不允许的。 当发现任何安全漏洞后，员工禁止用任何方式来利用它。 公司有权要求承担关键性任务的员工与公司签订额外保密协议。 如有需要，应定期按地区法规发出电脑软件版权合法使用提示通告， 提醒集团用户合法使用软件版权 如发现用户非法安装盗版软件或核准软件清单以外的软件，信息技术部需立即删除，然后向用户及其部门主管发出非法安装软件通知书，并要求用户于7天内直接以书面形式向集团总经理解释安装原因同时将副本抄送信息技术部存档。如用户未有于指定日期前发出解释书，信息技术部应发出非法安装软件跟进通知书，跟进通知书除发送至用户外，副本会抄送至其主管及集团总经理。相关的用户通知书及解释书会存放于信息技术部中央文件库内。 对出现的违规员工，公司有权视具体情况对当事人进行处理，处理方式包括警告调离岗位辞退送司法机关等。5.3.2安全保密制度安全保密协议是任何能访问敏感信息的员工、能接触关键资料的合约供应商人员需要在访问信息处理设施前，均需签署的承诺。 顾佣条款或保密协议或合同内条件应澄清和说明以下具体内容： 保密的内容和范围； 双方的义务； 员工的法律职责和权利，例如关于版权法、资料保护法等； 如果员工或合约供应商人员无视安全要求所产生的违约责任及可能需要采取的措拖； 在顾用期员工应承担的责任结束后持续的时间参照保密协议。基本保密义务： 应当遵守的保密制度，妥善保管其所保存的公司秘密资料，不得刺探与本职工作、本身业务无关的秘密，不得泄露公司的技术秘密。 非经公司书面同意，不得利用公司的商业秘密进行生产、经营和兼职活动，不得利用公司的商业秘密组建新的企业。 如果发现公司秘密被泄露，应当采取有效措施防止泄密扩大，并及时上报公司。 无论是在职还是离职，不得披露、使用或者允许他人使用公司的商业秘密，不得利用公司的商业秘密从事兼职活动，不得利用公司的商业秘密到其他单位任职。 员工离职时，应当将所持有的秘密资料全部归还集团，不得保留拷贝。 所有管理文件系统帐户及密码网络资源状况系统(含软件)资源状况商务文件(如内外合约)均属受保护范畴，接触相关内容的员工不得在未经许可的情况下，有意或无意对外泄露(含无了解需要的部门和人员)。5.3.3人员聘用一般要求 员工必须学习并遵守公司信息安全管理体系所有要求内容。 员工应自觉遵守职业道德，有高度的责任心并自觉维护公司的利益，不能利用电脑私自收集、泄漏企业机密信息。人员筛选在对应聘人员进行筛选的过程中，对求职者的背景调查应该符合相关的法律法规以及道德准则的要求，并根据不同职位的业务需求、所接触的信息情况、以及可能由此引发的风险做不同程度的调查，包括工作经历、犯罪记录或不良工作记录。审查应包括以下内容： 对应聘人员简历的完整性和准确性进行查证。 对应聘人员声明的学术和专业资格进行查证。员工入职安全管理 员工入职必须签订保密协议。 在员工的入职培训内容中应该包括信息安全管理规范的培训。5.3.4工作期间管理职责在正式投入工作、获准访问敏感信息或信息系统之前，直属上司/各系统管理员应再次向其明确和细化其岗位所承担的信息安全责任和相关要求，确保所有的员工了解并遵从： 了解本人在被授权访问的敏感信息或信息系统中应承担的安全角色和职责。 对于他们在公司内的角色和职责的相关安全问题的意识程度达到一定级别。 禁止在工作要求以外的情况下对于敏感信息作私人查询。 遵守顾佣及部门的条款和条件，包括的信息安全方针要求。 当顾佣或合同变化，保密协议需要重新审视(如合同到期、员工调职或工作范围发生重大变化)。个人电脑安全管理职责 执行管理制度要求的软体使用规范，不安装和运行在网路上下载的不可信应用程式，以防止被安装电脑木马程式、网路窃听程式或者感染电脑病毒。 未经批准不应使用未经公司许可的软体，特别是没有正式版权的软体。 不得私自编制与其工作职责不相符的软体。 若发现有擅自改变预先安装的软体、安装与工作无关的软体、安装非法使用的软体等情况，将按照规定向集团总经理通报。 做好使用的电脑安全保护工作，防止电脑被网路攻击者攻破而成为进入内部网路的跳板。禁止电脑上开放具有“写”许可权的共用目录，如果实在有必要，可临时开放，但要设置共用的密码，并在使用完之后立刻取消共用。 长时间离开公司办工区域前有责任确认个人电脑及负责范围内的用电设备处于关闭状态。 设置萤幕保护，养成离开坐位前锁定萤幕的习惯。 不得私自开启电脑主机壳，如需拆主机壳，应当向当地系统管理组提出申请。 不得私自重装个人电脑的系统。 使用印表机列印文档时，列印完成后立即从印表机上取回文档，防止文档信息泄漏。 内部重要文件、资料的销毁，应全部送入碎纸机，不得任意丢弃。电脑病毒的预防职责 保证电脑防毒软件正常运作， 不得私自缷载、关闭防毒软件。 禁止安装使用自行从网上下载的软体，对于外来的程式和文档，在运行或打开前必须进行电脑病毒的检测和清除。 对于电子邮件附件所带的程式和文档在确认来自可信的寄件者之前不得运行或打开，并且在运行或打开前必须进行电脑病毒的检测和清除。 在收到来自公司内部其他同事发来的含有病毒的邮件，除进行杀毒外，还应及时通知对方杀毒。 发现有防毒软体查杀不彻底的病毒时，应立即关闭电源并联系当地系统管理组进行处理。 不得进行电脑病毒的制作和传播。在公司内部活动职责 进入部门办公区的人员都应佩戴指定证件。一旦发现任何未佩戴证件的人员，应立即向行政组报告。 指定的证件包括：职员证或访客临时出入证。 访客临时出入证在客人进入公司时由公司保安发放，离开公司时收回。 如需在部门办公区域存放敏感文件，该文件必须加锁保存，一般性文件如合同、投标档等必须归档由行政组保存。 在使用各类移动存储介质进行资料转移或传递时须防止资料泄密或丢失。 员工安全培训为确保员工意识到信息安全威胁和隐患，并在他们正常工作时遵守公司的信息安全性原则，部门需要提供必要的信息安全教育与培训。根据工作岗位对从业者的能力需求、从业者本身的实际能力以及从业者所面临信息安全风险，确定培训内容。也就是说培训应考虑不同层次的职责、能力、文化程度以及所面临的风险。 员工惩罚机制为保证员工严格执行各项安全要求，应对违规者进行惩罚。根据员工违反安全管理规范的程度实施以下惩罚措施，惩罚的手段可包括： 行政警告。 调离岗位。 根据合同予以辞退。 触犯刑律者移交司法机关。5.3.5 离职或转岗终止职责 离职或转岗前，直属上司/各系统管理员应重申其离职后一段时间内仍须遵守的安全条款，如在保密协议签订的相关内容以及可能由此引发的法律责任。 对于公司辞退员工，必须在第一时间完成交接工作，通知其辞退后，所有的工作交接内容必须有专人陪同。 应注意防止员工离职或转岗前蓄意破坏及盗取资料等行为的发生。归还资产员工离职或转岗前，应归还所持有的公司信息资产。归还的内容包括： 归还所有的物理安全设备，包括笔记本、门禁卡、钥匙和证件等。 归还所有工作资料，包括纸介质和电子介质。 若员工已购买了公司的设备，或在工作中使用了个人设备，应确保其存储的公司相关信息被正确返还，同时在设备上永久擦除。撤销存取权限 员工离职或转岗时，应收回所有的密码，并确认密码的正确性。 员工离职或转岗时，应立刻删除相关账户或更改所有此人员曾掌握过的密码或金钥。 员工离职或转岗后，应移除员工对信息系统的存取权限，撤销或更改员工使用过的密码或金钥，例如停用个人帐号、调整所在组的帐号等。 员工离职后，应立即删除相关生物识别的存取权限。5.4机房管理本段落的编写目的是为了规范机房环境和活动管理的安全要求， 有效控制安全风险， 保障各业务系统访问的可用性、 安全性及完整性，减少资产被破坏或盗窃对集团做成损失的风险。5.4.1一般要求 受保护的信息处理设备，例如是伺服器、存储等重要设备，必需放入受保护区域或机房。 机房的钥匙需安排专人管理。 禁止允许或默许未登记或未经授权人员进入机房。 禁止在未经授权下擅自处理故障。 禁止在机房进行任何无关工作的行为。 禁止任何未经授权人仕于机房内拍照或录像。 除在供应商的认可及指导下、 禁止非电力技术人员接触供电相关设备和线路。 禁止在非授权及无机房运维人员监视的情况下进入设备区接触任何设备。 当发现机房内来访者有不恰当行为，任何人都有权提出质疑并向上级报告。 禁止携带易燃易爆品进入机房。 禁止堆放备件、杂物等于非指定位置。 每天对机房进行巡检,并记录于 机房运行巡检记录表。5.4.2环境要求温湿度 机房范围应尽量保持恒温恒湿， 温度可按季节及外间室温调整为 20C-23C +2C 之间。 相对湿度应维持在45%至65%之间；防尘 严禁在机房内堆放产生尘埃及废物的设备。消防 机房应常备灭火器并摆放于指定位置，且通知相关同事；灭火器设备必须是乎合国家或国际标准的产品。 选用灭火器时，必须注意选用二氧化碳或气体灭火器，禁止使用水、干粉或泡沫等容易产生二次破坏的灭火剂。 核心机房需设置乎合标准的火灾自动报警及FM200自动灭火系统。 机房内的消防设施每半年最少检查一次，保持处于正常状态。 易燃物品，如使用的纸、磁带、废弃物等，应放入有防火盖的金属器皿或防火柜内。防水 若机房有给排水管道，则必须做到不渗、不漏。 如发现机房内水管有渗漏情况， 必需安排紧急处理。 如机房立于用水设备下层，其顶上必须设置防水层，并设漏水检查装置。静电防护 机房内的地面、工作台面及座椅套材料等应是导静电的，且应进行静电接地。 所有导体须保证可靠接地，不得有对地绝缘的独立导体。 静电接地的连接线应有足够的可靠性，导电性能也应长期稳定。 在易生静电的地方，可配备静电消除剂和静电消除器。防雷击 机房必须有有效的防雷设计、防雷施工。 防雷内容可包括设备防雷、线路(电力线及信号线)防雷及防雷接地。 必需使用经国家或国际认可的防雷产品。鼠害 在易受鼠害的场所，机房内的电缆和电线上应涂上驱鼠药剂。 如有需要,机房内应设置捕鼠或驱鼠装置。卫生 机房内应保持整洁，不可堆积杂物、易燃物品。 机房内严禁抽烟及饮食。供配电 应有可靠的供电线路，其电源设备应稳定可靠。 非机房运维设备， 其电力负荷不得由电脑主机电源或 UPS 系统供电。 UPS 系统应是可联网运作，提供顺序自动关闭伺服器功能。0其它 机房内的各种线(电源线、信号线、网线等)应分别铺设。 机房内的网线应有明确的标号。 机房内有合适亮度的照明， 及应急照明。 机房内应配接至少一部电话。 应视具体情况设置监视设备，及时发现异常状态。根据不同的使用目的，应选择配备以下监视设备：-自动火灾报警器-漏水传感器-温湿度传感器-监视摄像机5.4.3机房进出管理 本地系统管理组主管按需要签署及核查机房运维授权表，授权指定有需要运维人员的机房，并通知部门主管。 非预授权员工进出机房时，必须在人员出入登记表内登记后才能进出机房。 对于未有提供任何保密承诺的系统维护厂商，维护人员进入机房前除在人员出入登记表内登记外， 需于现场签署临时保密声明，经相关机房运维经理确认及核准后才能进出机房。 系统维护厂商维护人员进行现场维护时， 过程中需全程由系统管理组人员监视。5.4.4物品进出机房管理 机房设备需进入机房安装前必须提前至少2个工作日通知，分配好相关资源(IP，网路埠，具体安装位置，电源插座等)并填写仪器进入机房审批表，经系统管理组主管审批后方可进入。 系统管理组需负责机房内各类记录、介质的保管、收集，资讯载体必须安全存放、保管，防止丢失或损坏。 机房物品包含当前正在运行设备和备件设备、线缆、测试仪器等一切跟机房运行维护相关设备、资料、仪器、工具。 对这些物品的进出流向必须做好登记备案。 对正在运行的设备需要更换拆除并运离机房时，需要填写物品出入登记表后，方可关闭设备搬离机房。5.4.5空调管理规范 空调过滤网需定期清洁并登记相关记录。 对设备的设定及操作作按照机房环境要求进行。5.4.6消防安全 机房及周边地区严禁烟火，禁止明火作业以及使用电热器具。 在发生零星火灾而火警铃未有响起的时候， 可以试使用机房内指定灭火筒进行扑救。 火警铃响时在机房内作业的所有人员必须在30秒内撤离现场，保证个人人身安全后立即向系统管理组主管汇报情况。5.4.7电源使用安全 改动电力线路工作必需由电力技术人员进行。5.4.8门禁系统故障或断电时的处置 机房门禁系统若因故障或断电无法使用时，系统管理组应纪录无法使用的开始与结束时间，并采取人工手段保护机房安全，必要时应寻求保安部门协助。5.4.9共用机房管理 对于跟其他部门共用的机房， 需要有明确的权责分工协议。 系统管理组需每季度最少对相关机房作出视察。5.4.10记录检查 系统管理组应按月向信息安全流程经理提交机房运行巡检记录表,人员出入登记表，流程经理有权要求系统管理组提供门禁出入日志(如有)为作核对， 于检视完成后若发现有异常应立即向部门主管通报并作后续处理。5.5网络管理本段落的编写目的是规范网络设备管理以及网络访问行为，以确保资讯与网络的访问与许可权能适当的授权、配置及维持，避免未获授权的资源访问，并确保使用手提电脑与远端存取时的资讯安全。5.5.1一般要求 应加强网络基础设施和网络设备的物理安全，防止自然或人为的破坏。 用户对资讯的访问，其管理的要求于下列各章节进行约定，用户仅限于访问授权范围内的资讯、服务与设备，不得作未经授权的访问。 对于网络架构(信息安全管理流程定义的范围)的变动， 必需通过变更管理流程提出申请。 所有的网络的重要参数与设定，均由系统管理组负责按 配置管理流程设定与处理。5.5.2网络管理规定 网络构建规定以TCP/IP 协议为基础， 信息安全管理流程所定义的网络范围内可使用固定IP或自动绑定。 网络设计应考虑容错与备份。 网络线路应提防未经授权的接驳或改动。 系统管理组每季最少对线路巡视一次，及时发现环境或线路故障隐患。 网络设备密码应尽量使用强密码， 如设备存在多层管理机制，各层密码必需独立设置，要求为网络设备配置密码增强式加密与启用密码加密。 未经系统管理组许可网络中电脑禁止-a. 通过Modem、3G上网卡或其他非集团提供方式连接互联网服务-b. 通过电信服务提供商提供的其他宽带ADSLISDN 等互联网服务-c. 于本地开放 ftp、web、pop3、smtp 等类服务5.5.3网络地图管理规定 旭日集团网络地图由系统管理组专人绘制。 网络地图须清晰反映:-a.主要设备位置分布-b.网络节点-c.网络IP 分配及地域/部门对照关系-d.网络拓朴结构及各设备连接关系-e.地图时间及责任人。 网络地图需随网络变动及时更新， 并按配置管理要求存档。 集团网络地图实行严格保密管理，不得有意或无意对外泄露。 系统管理组组员可因应工作需要保存本地域的精简版本网络地图。 完整的网络地地图须征得系统管理组主管及部门主管授权并有系统管理组人员陪同方可查阅， 网络地图禁止带离。5.5.4防火墙管理通用规定 应该在内网与外网间使用防火墙设备隔离，使互联网与内部网之间建立起一个安全闸道，保证内部网络隐藏在公共网络之后，防止非法的使用者对内部网络的攻击和资料的非法窃取修改。 在相对独立的网络区域或与风险区域间，需采用防火墙网络安全模型。 任何关键性的伺服器，都必须放在防火墙之后。 为隐藏内部地址，并克服IP地址可能的数量限制，规定采用静态模式，即建立对外公开IP 地址和内部真正IP 地址之间的映射。 尽量保持规则集简洁和简短，以减少犯错机会和提高运转效率。 对于按顺序方式检查信息包的防火墙系统，应将较特殊的规则放在前面，较普通的规则放在后面，以防止防火墙的配置错误。5.5.5防火墙设定与使用要求 正确划分网络风险区域安全区域和非军事区域(DMZ)三类区域的应用，控制好各区间的访问授权。 一般无需重启的版本升级容许通过得到本地系统组主管批签的服务请求处理，涉及停机的版本必需按变更管理流程处理。 为确保防火墙遵循安全策略，每次策略更改后均需确保所作更改生效。 为防止各类网络攻击，在包处理中心，应设置有效的防入侵策略。 充分利用防火墙管理软件，设置站点和端口过滤(永久性及临时性过滤)，未经明确允许的协议和埠会被防火墙禁止。 为保护内部网络，需建立网络地址转换(NAT)体系，尽可能对外网隐藏内部网络的资讯。 在防火墙上对ip位址进行过滤，仅仅对内部合法存在的ip位址可通过防火墙出到外网，禁止内部网以任何形式直接接入Internet。 在防火墙设备上,仅允许内部网对Internet开通必要的业务。 在防火墙上对个别通讯连接埠进行过滤，保证非授权使用者不能通过 telnetsnmp 等进入网络对设备进行管理和资料的读写。 防火墙策略内的用户及参数调整可按事件和服务请求管理流程使用服务请求申请调整，只需每月一次进行综合备份。 对于策略建立与废除均应按变更管理流程处理，完成后需立即进行配置档备份。 5.5.6路由器及交换机管理规定 现时集团网络以惠州为连线及资料交换核心各分部网络应按实际环境及需求，依以下优先次序选择连线方式-MPLS VPN-IPSec VPN-Internet 需正确划分各子网网络地址。集团现时选用非公共网络地址172.20.X.X作为内部网络范围各连线网络均会获分配一段IP地址，系统管理组需按此规定设置路由器IP地址分配。路由器子网分配设定资料通过 配置管理流程存放于CMDB。5.5.7网络存取控制措施为有效管理网络访问， 避免被误用与破坏。所有网络的访问均应符合下列要求： 各项网络服务，仅限于业务的需要并经授权用户使用，并应注意不得有超出授权范围的行为。 所有从用户终端(机)至电脑服务(例如资料库伺服器主机、应用网络伺服器主机等)的访问路径，均应予以控管。 执行诊断程式的许可权需加以管理，尤其是自远端执行的诊断程式更需加以控管，为避免远端诊断可能引发的资讯安全危机，除核准者外，禁止从远端执行诊断程式。 网络应有路由管理，非合法的IP不准通行，对于连线的实际来源及目的地址应加以检查，以避免电脑的连接与资讯的流动违反访问管理要求。5.5.8路由存取控制 系统管理组应该为互联网出口和广域网络线路的接入路由器制定相关访问策略，对进出入的IP资料包进行过滤，保证合法IP进入公司网内部。 对任何由外网进入公司网内部网络会话连接的目的地址必须是内部网络的位址。 对任何由外网进入公司网内部网络会话连接的源位址不可以是本身内部的网络位址。 任何由内部网络经由路由器出去的会话连接的源位址必须是内部网络的位址。 任何由内部网络经由路由器出去的会话连接的目的地址必须不是内部网络的位址。 任何进入或是离开网络的资料包的来源或是目的地位址不可以是虚拟IP位址或是RFC1918所列的保留IP地址。5.5.9内部网络的安全 未经许可，任何入网单位和个人不得在所连网络上改动或连接或架设其它设备，包括交换机、路由器、AP、代理伺服器。所有网络设备的增减与变动，其技术方案必须得到系统管理组审核。 内部网络所有关键线缆上都应有明确的标签标识。 用户在使用网络资源时，不得下载、测试、使用各种恶意程式码、病毒或其他可能危害网络安全的程式，不得在网络上安装各种骇客工具、密码探测程式、包嗅探程式，使用网络进入未授权的电脑、网络，散布电脑病毒，破坏网络服务和网络设备的行为，干扰网络中其他用户正常使用。 如果发现用户针对网络的恶意攻击，必须立即取消攻击者对的资讯、网络和工作场所的存取权限。 所有上网用户有义务报告所有违反规范的行为。 用户对工作用电脑进行网络设置时需遵守发布的网络设置相关规定，包括但不限于域、DNS、组、IP的设置。 网络用户必须在联网电脑上安装指定的品牌和版本的防毒软体，按公司要求进行网络加固，安装系统管理组要求的补丁服务，防止病毒影响网络。 对在内部进行无线联网应有登录认证，传输加密等安全手段。5.5.10互联网管理规定 网络用户不得利用互联网从事违法及与工作无关的行为如聊天、游戏、音视频下载等。 系统管理组须保证互联网用户上网用电脑的基本安全性包括：安全更新并安装防毒软体、更新至最新病毒码。 网络用户访问互联网都须经过防火墙的控制管理。 未经明确允许的用户或网段被禁止访问互联网。 禁止使用各伺服器内的浏览器流览网站、下载软体、收发邮件、即时消息软体用户端等用途。 系统管理组有权随时中止与本规定相违的互联网访问行为并应对违规行为做进一步调查。 系统管理组保留对网络使用者访问互联网的内容做审计的权利。 禁止网络用户通过无线网络与非本公司网络或AP相联。 外来设备在公司内通需过无线网络的接入公司内网时，必须统一由系统管理组进行设置，经过正确认证验证后才能接入， 对于外来的用户接入， 应采取合适的手段控制使用范围。5.5.11远端存取管理 通过公共网络的远端连接到公司内部网络须进行用户识别，并且每个用户有唯一ID。 对远端存取设备的访问必需仅基于业务的需要，且需经系统管理组主管的书面批准。 对在外的移动员工的电脑，如要连入内部网络，在未采取安全措施的情况下,禁止移动用户直接拨号接入内部网，只能通过安全加密的VPN帐户在经身份认证后可访问指定的内部网主机。5.5.12垃圾邮件防护 在网域电邮的入口应架设垃圾邮件防护系统。 垃圾邮件系统应拥有依据国际黑名单网站更新能力。 垃圾邮件系统应拥有邮件病毒侦测及阻截能力。 除拥有垃圾邮件防护系统的入口外， 其他互联网出入口必需将对外的 SMTP 端口关闭。5.6操作系统管理本段落的编写目的是为了就安全与管理层面，规范系统设备管理及访问行为，以确保信息与系统的访问与许可权能适当的授权、配置及维持，避免未获授权的访问，并确保系统和重要信息的可用性和完整性。5.6.1终端规范 帐户在最多15分钟没有操作后需自动进入锁定。 5.6.2员工电脑要求-所有电脑均要求设有BIOS 的管理密码密码由仪器归属地系统管理组保管。-未经信息技术部及相关部门主管授权的员工，帐户权限为 Power User。-在共享数据时确保只共享所需目录给已赋权的用户。5.6.3用户密码交付安全原则 授予使用者的初始密码，应以适当方式交付用户，并要求用户获得初始密码后，应立即更改成自订的密码。5.6.4伺服器权责分配规范 因业务需要而产生对各系统或服务的访问， 用户仅限于访问授权范围内的信息、系统与数据，不得作未经授权的访问。 在未有特别授权情况下， 各角色人员均应于授权责任范围内运作，以降低信息或服务遭受未授权的修改或误用。 此规范内列明的规则需由伺服器统筹人按变更管理流程向系统系统管理组申请修改，其他项目以服务请求申请处理。5.6.5伺服器帐号管理原则 为确保系统的访问与许可权均能适当地授权、分配和管理， 系统的帐号要进行分级管理， 所有系统存取权限均应分为伺服器管理员帐号和普通使用者帐号， 伺服器管理员帐号由伺服器统筹人及系统管理组共同审批； 普通使用者账号伺服器统筹人审批， 批核完成后由系统管理组建立。 用户需要进行伺服器访问时，需向该伺服器统筹人提交具用户部门主管批签的申请始得使用，在申请时必需说明必要的许可权范围，伺服器统筹人应考虑申请者的实际业务需要，要确保只授予必要的许可权。 当系统管理组收到任何关于用户任务解除或离职讯息时，须立即办理帐号停用或注消。 所有已上线的生产环境伺服器， 相关管理员密码由部门主管授权伺服器统筹人及系统管理组保管和管理。 无特殊需要， 在系统正式上线后，负责安装的一般项目组成员及系统集成人员权限应立即删除。 任何人员对所有伺服器的管理员和地区管理员帐号的使用，均须经系统管理组管理员授权。若发现未经授权下使用管理员帐号， 定当作纪律处分， 情况严重者定当报请公司要求辞退处理。各授权人员名单需存放于统一文档并依人事变化而更新。 在每台伺服器上根据业务需要，建立权责到人的地区管理员帐户，该帐户在日常生产中隶属Administrators群组，用于给各地区伺服器管理员对伺服器做设定或日常维护，帐户的使用由伺服器统筹人及系统管理组管理员负责授权。 地区管理员帐户只授权于各地区伺服器管理员使用，不可交给非指定授权人员使用。5.6.6保安原则和措施为保证系统的安全性，设备在安装及配置作业系统时要注意以下问题： 伺服器及客户端电脑通用要求-除必需情况外电脑中BIOS 的启动设置，不可设定为可移动的存储介质优先启动。-禁用不必要的服务，不应安装不需要的服务和协议种类。-禁用或删除不必要的帐户。-尽量不要在本地硬盘上共享文件或目录。若一定需要，必需设定访问密码，使用完毕后应尽快删除该共用。-对所有必要的档共用设置适当的 ACL。-安装防毒软体并确保及时更新。-伺服器 按 5.6.8 节要求处理补丁， 用户则应设定为自动更新。-设置帐户锁定策略，设备在操作人员离开或忘记应通过键盘锁定时自动登出或上锁，在不使用时需用密码或其它控制加以保护。-禁止在公司范围内通过非公司网络连接互联网。-为防止软件后门，禁止下载安装未经系统管理组安全认证的软件和插件，禁止使用未经授权的软件(参看)。-系统管理组负责收集及审批用户需求的软件，适时更新。-用户都必需要使用输入使用者帐号和密码方式登入，通过系统验证之后，使用者才能进入系统。禁止使用空密码。 伺服器端操作系统管理要求（主要为生产环境）-新增用户时为用户设定的密码， 应控制用户首次登录必需更改密码。-各管理员权限账号必需设置强密码。-操作系统、应用系统和用户数据应分别储存在不同的磁盘上。-未经拥有人或管理人授权禁止设定一般用户在伺服器上拥有除读/执行以外的权限（FTP/文件伺服器除外）。-禁止为用户直接赋权， 必需通过用户组分配权限。 微软操作系统伺服器管理要求-所有磁碟分割都应采用 NTFS 格式。-如非必要，应确保来宾帐户为禁用。-防止注册表被匿名访问。-应用适当的注册表 ACL。-针对微软作业系统，要求安装完关键补丁后，立即联网配置WSUS，接受其补丁分发管理，继续完成补丁安装，确保系统不会因为漏洞而被感染病毒或者被骇客攻击。 Linux操作系统伺服器管理指引 -在完成 Linux 系统的安装和配置后，对整个系统进行备份，以用于系统完整性验证和发现系统文件是否被纂改; 也预防当系统出现问题时，使其恢复到正常状态。-删除操作系统中不必要的预置帐号(每次升级或安装软件后都要检查一下)。-谨慎配置“etc/inetd.conf”文件，禁止，最好是卸载不需要的服务。-通过hosts.deny 文件， 禁止所有远程主机对本地服务的访问。而对那些允许的远程访问，由host.allow 文件逐个加入指明；-禁止不必要的SUID程序。-修改系统中的某些关键性文件属性并防止意外修改和被普通用户查看。-若非绝对必要，不要用root 帐号登录，更不要在别的电脑上用“root”登录自己的伺服器。5.6.7系统防病毒管理原则 系统管理组需建立集中式的防病毒机制，进行防病毒系统管理，配置专门的防病毒伺服器，所有作业系统必须先安装防毒软体用户端，方可连入局域网。 防病毒日常管理工作内容如下：-每周检查防病毒伺服器上病毒定义码下载情况是否正常。-每周检查防病毒伺服器上病毒定义码下发情况是否正常，如有未正常下发的用户端，通知管理人查找原因。-每周检查防病毒伺服器中记录的病毒发作情况，分析是否有异常；-对于出现防病毒系统无法处理的新病毒，管理人需及时提取病毒样本，上传到防病毒厂家，并跟进处理。如得到防病毒厂家的专杀工具，及时进行下发，避免更大损失。 每月使用扫瞄软件，找出各网段中因各种原因损坏或未安装防毒软件的设备，并于一周内补装5.6.8补丁管理系统管理组需建立统一的补丁管理机制，进行补丁管理。具体工作内容如下：通用要求 涉及外网能攻击的仪器，补丁需优先完成更新。 对于大型的服务包， 应采取分批升级，防止全部设备同时出现问题。 重大补丁分发要制定分发计画。计画中关键要根据企业的环境分批安装，原则是业务重要、资产价值大、威胁等级高的系统优先安装，确定顺序后，组织相关人员进行补丁安装。网络设备要求(防火墙、路由器及交换机等) 一般无需重启的防火墙日常补丁容许于防火墙自动进行。 防火墙、路由器及交换机等网络设备，补丁涉及版本升级但无需重启容许通过服务请求处理，涉及停机的版本必需按变更管理流程处理。 大型补丁、服务包、其他类型补丁及涉及主要版本变动的更新，需按变更管理流程处理伺服器日常补丁 对于微软的系统需配置专门的补丁管理伺服器（WSUS） 对于微软日常发放的补丁， 于WSUS伺服器下载后会尽快发放到各伺服器。 大型补丁、服务包、其他类型补丁及涉及主要版本变动的更新，需按变更管理流程处理 对于较大型的服务包(Service Pack)则需要通过相关小组的兼容测试， 如果发现与公司开发的系统有冲突， 则应立即停止更新计划。伺服器端的应用类补丁 伺服器端的应用类补丁需按变更管理流程处理，需要通过相关小组的兼容测试， 如果发现与公司开发的系统有冲突， 则应立即停止更新。客户端补丁 客户端的操作系统应设为自动更新，通过WSUS或互联网自动更新。 客户端的应用类按需要设定为自动更新或通过服务请求手动更新。异常处理 异常处理和记录 - 在补丁的安装过程中，由于系统的多样性和负责性，经常会发生很多异常，一般可以分为两种情况:-不能安装补丁，这时就需要确定一个临时的解决办法消除漏洞的威胁，或者暂时接受这个风险。-安装上补丁后系统或者应用不能正常运行，这时就需要采用应急方案，采用备份系统或者卸载补丁等临时办法解决。 在处理上述的异常中，系统管理工作小组及时收集异常和解决方案，记录异常的情况进行跟踪， 并且将信息及时公布给相关伺服器统筹人。异常记录 系统管理工作小组需每月检查补丁服器的安装记录， 确认安装情况合乎预期 。5.6.9伺服器的安全检查和审计 对于WINDOWS系统建议使用安全范本，扩大安全性记录档档大小(建议最小10M)，如果启用了登陆事件、策略更改、帐户登陆、系统事件的成功失败的审核，那么任何成功的入侵都将在安全性记录档中留下痕迹。5.7数据库管理*数据库系统的环境是指数据库系统所处的安装目录以及网络环境，数据库系统时整个业务系统的核心应用，在安装设置初期就要考虑其所处的环境，以避免安全性和可维护性上的问题。本规定所指数据库系统只包括 MS SQL Server和 IBM DB2 及MYSQL，如未特别说明，以下条款适用于以上三种数据库系统。*5.7.1环境管理对于数据库所处的网络环境，使用以下基本原则： 伺服器不使用公网IP地址，特殊情况除外(如：商务合作需求)。 服务端口建议使用默认端口(MS SQL Server为1433；DB2为50000,523；MySQL为：3306)；如使用新端口，设置后务必通知所有使用该数据库的人员。5.7.2账户管理账户最小权限原则 所有申请的数据库账户，要明确需要的权限，确保不需要的权限不要授予。密码复杂性、安全性要求和检查 除应用系统用户账户外其它账户和密码必须符合本规范要求，应用系统用户账户建议按本规范要求执行。 数据库账户的口令必须经常更改，至少每半年更改一次(应用系统用户账户除外)，每次更新的口令不得与旧的口令相同，应设置相应的口令规则。账户有效期限 应该记录账户的有效期限，尤其适用于开发测试人员等非数据库长期用户。数据库普通用户的账户申请注销原则 数据库普通用户的账户(即除初始管理员账号和数据库管理员账户外的数据库账户)需通过DB数据库账户申请表向伺服器统筹人申请，由数据库管理员进行账户建立并同时登记数据库账户更新记录表。不再需要的数据库普通用户的账户需通过通过DB数据库账户申请表申请，由数据库管理员进行账户注销，并通知相应使用人员，同时登记数据库账户更新记录表。多账户原则 建议每一个应用系统或模块对应使用一个数据库账户，不要一个账户应用于所有应用系统或模块。对各个应用系统的数据库的用户应有名单。 不同维护人员或角色应该使用各自独立的数据库帐户，不要一个账户应用于多个维护人员或角色。对各维护管理人员或角色的数据库的用户应有名单。数据库管理员分工 数据库管理员分工应遵循“任期有限、权限分散”的原则。 数据库管理员分工可根据系统的安全性要求而定，每年检讨后，决定是否调整。帐户授权 数据库用户角色：初始管理员账号、数据库管理员、数据库维护人员、应用系统用户、开发测试用户。 数据库管理员负责按审批规定办理具体用户的授权、变更权限和注销等管理工作，并需要伺服器统筹人批签。 应用系统用户的账户授权和审批 - 应用系统用户账户的授权由使用部门或小组填写DB数据库账户申请表，经伺服器统筹人批准后，由数据库管理员进行设置。 数据库维护人员帐户的授权和审批 - 数据库维护账户的授权由使用部门或小组填写DB数据库账户申请表，经伺服器统筹人批准后，由数据库管理员进行设置。 外部组织帐户的授权和审批i) 外部组织需要使用数据库系统时, 须经业务的公司/部门主管及公司管理层批签, 填写DB数据库账户申请表，报伺服器统筹人批准后, 由数据库管理员按规定的权限、时限设置专门的用户帐号。ii) 外部组织的身份核查应包括使用者姓名、身份证明（如：身份证号）、工作单位等。iii) 严禁员工将自己的用户帐号提供给外部组织使用。员工均应遵守公司保密制度，未经许可不得对外提供数据库中相关数据，不得越权使用和修改数据。需经过信息资产责任人或小组主管及部门主管授权，才允许将生产环境数据库恢复到开发环境或测试环境中使用。5.7.3日志管理 数据库管理小组中数据库维护人员应定期（建议每周）检查伺服器日志和数据库系统运行日志，发现有错误的，必须立即检查并排除故障。 伺服器日志和数据库系统运行日志至少保留半年，只允许授权用户访问，且不能进行修改。5.7.4安全检查 数据库管理小组应经常检查数据库系统的安全配置，幷确保符合安全配置要求。 数据库管理小组应定期查看数据库系统的运行日志和审计日志，以及时发现出现的安全问题。5.8Domino OA 系