操作系统安全保障措施

操作系统安全保障措施操作系统安全保障措施 系统安全防护能力 一 文件访问控制 1 所有办公终端的命名应符合公司计算机命名规范 2 所有的办公终端应加入公司的域管理模式 正确是使用 公司的各项资源 3 所有的办公终端应正确安装防病毒系统 确保及时更新 病毒码 4 所有的办公终端应及时安装系统补丁 应与公司发布的 补丁保持一致 5 公司所有办公终端的密码不能为空 根据 云南地方 it 系统使用手册 中的密码规定严格执行 6 所有办公终端不得私自装配并使用可读写光驱 磁带机 磁光盘机和 usb 硬盘等外置存储设备 7 所有办公终端不得私自转借给他人使用 防止信息的泄 密和数据破坏 8 所有移动办公终端在外出办公时 不要使其处于无人看 管状态 9 办公终端不得私自安装盗版软件和与工作无关的软件 不得私自安装扫描软件或黑客攻击工具 10 未经公司 it 服务部门批准 员工不得在公司使用 modem 进行拨号上网 11 员工不允许向外面发送涉及公司秘密 机密和绝密的信 息 二 用户权限级别 1 各系统应根据最小授权的原则设定账户访问权限 控制 用户仅能够访问到工作需要的信息 2 从账号管理的角度 应进行基于角色的访问控制权限的 设定 即对系统的访问控制权限是以角色或组为单位进行授予 3 细分角色根据系统的特性和功能长期存在 基本不随人 员和管理岗位的变更而变更 4 一个用户根据实际情况可以分配多个角色 5 各系统应该设置审计用户的权限 审计用户应当具备比 较完整的读权限 审计用户应当能够读取系统关键文件 检查 系统设置 系统日志等信息 三 防病毒软件 硬件 1 所有业务系统服务器 生产终端和办公电脑都应当按照 公司要求安装了相应的病毒防护软件或采用了相应的病毒防护 手段 2 应当确保防止病毒软件每天进行病毒库更新 设置防病 毒软件定期 每周或没月 对全部硬盘进行病毒扫描 3 如果自己无法对病毒防护措施的有效性进行判断 应及 时通知公司 it 服务部门进行解决 4 各系统防病毒系统应遵循公司病毒防护系统整体规划 5 如果发现个人办公终端感染病毒 应首先拔掉网线 降 低可能对公司网络造成的影响 然后进行杀毒处理 6 各系统管理员在生产和业务网络发现病毒 应立即进行 处理 操作日志记录 一 对各项操作均应进行日志记录 内容包括操作人 操 作时间和操作内容等详细信息 各级维护部门维护人员每日对 操作日志 安全日志进行审查 对异常事件及时跟进解决 并 每周形成日志审查汇总意见报上级维护主管部门审核 安全日 志包括但不局限于以下内容 1 对于应用系统 包括系统管理员的所有系统操作记录 所有的登录访问记录 对敏感数据或关键数据有重大影响的系 统操作记录以及其他重要系统操作记录的日志 2 对于操作系统 包括系统管理员的所有操作记录 所 有的登录日志 3 对于数据库系统 包括数据库登录 库表结构的变更 记录 二 系统的日常运行维护由专人负责 定期进行保养 并 检查系统运行日志 1 对于应用程序级别的备份有运维部制定工程师做每周的 备份 重大变更前要整体做备份 2 对于操作系统的日志备份通过定制计划任务定期执行 并有制定人员检查运行情况 并登记在案 3 对于数据库系统的日志备份有 dba 制定计划任务定期执 行 并有 dba 人员检查运行情况 并登记在案 三 各级维护部门针对所维护系统 依据数据变动的频繁 程度以及业务数据重要性制定备份计划 经过上级维护主管部 门批准后组织实施 四 备份数据包括系统软件和数据 业务数据 操作日志 五 重要系统的运行日志定期异地备份 说明 除在本地备份 每天晚上同步到异地机房 六 对系统的操作 使用进行详细记录 七 各级维护部门按照备份计划 对所维护系统进行定 期备份 原则上对于在线系统应实施每天一次的增量备份 每 月一次的数据库级备份以及每季度一次的系统级备份 对于需 实施变更的系统 在变更实施前后均进行数据备份 必要时进 行系统级备份 八 各级维护部门定期对备份日志进行检查 发现问题及 时整改补救 备份操作人员须检查每次备份是否成功 并填写 备份工 作汇总记录 对备份结果以及失败的备份操作处理需进行记 录 汇报及跟进 九 备份介质由专人管理 与生产系统异地存放 并保证 一定的环境条件 除介质保管人员外 其他人员未经授权 不 得进入介质存放地点 介质保管应建立档案 对于介质出入库 进行详细记录 对于承载备份数据的备份介质 确保在其安全 使用期限内使用 对于需长期保存数据 考虑通过光盘等方式 进行保存 对于有安全使用期限限制的存储介质 在安全使用 期限内更换 确保数据存储安全 十 对网站的运行情况做到每日一统计 每周一报告 十一 各级维护部门按照本级维护工作相关要求 根据业 务数据的性质 确定备份数据保存期限 根据备份介质使用寿 命至少每年进行一次恢复性测试 并记录测试结果 十二 信息技术部负责人制定相应的备份日志审查计划 包括由于业务需求发起的备份日志审查以及日志文件的格式时 间的内容审查 计划中遵循数据重要性等级分类 保证按照优 先级对备份日志审查 十三 需要备份日志审查数据时 需求部门应填写 备份 日志审查表 内容包括数据内容 备份时间 数据来源 操 作系统时间等 由需求部门以及信息技术部门相关负责人审批 十四 备份管理员按照备份恢复计划制定详细的备份恢复 操作手册 手册包含备份恢复的操作步骤 恢复前的准备工作 恢复失败的处理方法和跟进步骤 验收标准等 备份功能 1 各系统管理员对本系统的设备 系统等 it 资产的配置进 行记录 并备份配置记录信息 2 各系统在发生变更操作时 根据 地方信息安全管理流 程 安全配置变更管理流程 进行审批 测试 3 各系统执行变更操作前 要对变更操作进行测试 确定 无不利影响后 提交系统测试结果 系统配置变更实施方案和 回退方案 由本部门三级经理和公司相关主管部门提出配置变 更申请 4 申请审批通过后 才可以进行配置变更操作 进行配置 变更操作前 需要对变更设备进行配置备份 5 各系统管理员对变更操作的具体步骤进行记录并保存 6 各系统管理员进行配置变更操作后 将变更后的配置信 息进行记录 7 各系统发生配置变更后 在公司信息安全小组进行备案 专人定时负责软件升级和补丁 已配备专人负责进行软件升级 查看最新的系统安全公告 随时为系统打补丁 系统补丁公布之后 会在 1 周之内完成升 级工作 等工作 弱口令管理 1 系统管理员对系统帐号使用情况进行统一管理 并对每 个帐号的使用者信息 帐号权限 使用期限进行记录 2 禁止随意使用系统默认账号 系统管理员为每一个系统 用户设置一个帐号 坚决杜绝系统内部存在共享帐号 3 各系统管理员对系统中存在的账号进行定期检查 确保 系统中不存在无用或匿名账号 4 部门信息安全组定期检查各系统帐号管理情况 内容应 包含如下几个方面 1 员工离职或帐号已经过期 相应的帐号在系统中仍 然存在上 2 用户是否被授予了与其工作职责不相符的系统访问 权限 3 帐号使用情况是否和系统管理员备案的用户账号权 限情况一致 4 是否存在非法账号或者长期未使用账号 5 是否存在弱口令账号 5 各系统具有系统安全日志功能 能够记录系统帐号的登 录和