企业信息安全的制度和组织安排.docx

企业信息安全的制度和组织安排企业信息安全的制度和组织安排IT项目组2009年8月目录1.目的32.范围33.背景34.组织和职责45.制度75.1.访问控制75.2.主机安全75.3.主机安全与管理员职责管理95.4.应用系统管理员95.5.信息安全审计105.6.信息安全事件与责任105.7.信息系统安全建设116.说明151. 目的为信息系统集中管理确立相应的信息安全管理制度的原则，本文档目的并非编写完整的制度文档，而是说明这些制度的作用和控制机制和所依据的原则。以及对所需的组织和制度给出规划。本文遵循ISSE（信息安全系统工程）的原则，对我所信息系统安全建设给出概要说明。本文档作为成都生物制品研究所信息系统规划的附件，对其中的有关内容进行较详细的说明。本文档主要供所领导及有关决策者阅读。2. 范围本文关注信息安全范畴内的访问控制、安全审计、信息安全建设的基本要求等。其他内容（备份恢复、容灾、病毒防御等，在本文中有概要性说明）。3. 背景成都生物制品研究所信息系统包含300多台电脑，以及近10台分布在4个以上不同科室的各种应用的服务器。部分有服务器的科室，有一个计算机系统管理员，兼做应用系统管理员，并同时从事该科室的业务工作。成都生物制品研究所的信息中包括疫苗质量检定数据、科研资料、产品制造工艺和检验工艺、财务数据、人力资源数据等企业的机密。这些信息资源中可能直接或间接包含疫情信息，如果泄密，可能造成社会不安定。因此，可归属于国家信息安全等级保护管理规定的第三级，本所按照第三级保护的规定的主要要求进行信息安全保护。成都生物制品研究所具有包括产品质量信息、设施监测数据、销售数据、原材料仓储和供应信息、成品仓储信息等受到法规管控的信息及处理这些信息的系统。法规对这些系统的要求的核心是保证数据真实、不被非法访问、不被篡改、高可用性（如果需要，即可获得）。法规要求这些系统有可审计的安全管理机制。GAMP5指出，（对法规管控的系统）不应将系统维护支持（系统管理员）和业务操作员设置为同一人。即，将系统管理与业务操作分离，避免业务操作员以系统管理员身份对操作和数据进行篡改。GAMP5同时指出，业务负责人、系统负责人分别对系统的运行操作及数据、系统的功能负责，业务负责人指应用系统用户部门负责人，系统负责人通常为企业工程部负责人（GAMP4使用的“system owner”“platform owner”术语已分别改为“process owner”“system owner”）。Windows操作系统自带的日志功能并不能简单地实现足够可靠可信的安全审计，并且不能阻止系统管理员删改日志，因而，仅仅依靠系统自带的审计功能将不能实现合规审计的要求。4. 组织和职责完整的信息系统规划，不能没有组织规划。无论信息安全法规还是GAMP规范都要求信息系统需有组织地进行维护和管理。信息安全管理是一个责任需落实到人的工作，GMP相关规范对信息系统的要求也包含组织、职责内容。信息系统作为在现代企业中无处不在的设施，已经深入到工作的各个方面，作为必要工具，人们高度依赖信息系统，犹如水电气设施一样，须臾不可或缺。不能指望最终使用者自己建设、维护、管理好这些信息系统设施，也不能指望临时组织的人员可管理好这些系统。因此，为配合GMP推进工作以及QIMS系统实施，应该建立相应的组织并赋予相应的责权。这个机构需履行的职责范围是：全所信息系统的规划和组织实施，全所信息系统的配置管理、全所信息系统使用者的培训、全所信息系统的维修和关键性维护、全所信息系统日常维护的技术支持、账户管理、信息系统管理制度的起草和维护、信息安全事件的处理、信息安全风险的发现和控制等。其中，信息系统的配置管理，是工作量较大、技术要求较高的日常工作。为履行这些职责，需配置如下岗位和人员：IT经理，负责全所信息系统规划，辅助领导对IT相关项目的决策，组织实施有关IT项目，IT系统管理制度的建立，组织IT相关的工作，包括培训、日常维护、信息安全事件处理等。现由IT项目组长代行。IT系统配置管理人员2名，负责在技术措施辅助下完成全所计算机系统的配置管理、有关配置管理的文档记录的管理，重要系统的日常维护及其配置管理。参与IT有关的项目实施。计算机网络管理员2名，负责在技术措施辅助下，完成全所网络的监管，信息安全事件处理，信息安全风险发现和预防控制，信息安全账户管理。配合配置管理员完成网络配置管理。参与IT有关项目的实施。全所使用计算机的部门应该有专人兼职负责该部门的计算机的日常维护。全所的管理工作都是基于信息的，因为离开各种形式的信息，管理工作将无从下手。信息技术是为管理工作所依赖的信息的采集、传递、存储、处理提供技术手段和技术保障的，同时，信息技术工作者有责任和能力辅助管理者建立正确的信息处理模型，而且，所领导应该分管信息工作，为信息技术工作人员提供支持和指导。并且，信息安全工作涉及到对不同员工使用信息系统权限的管理，高风险级别的信息安全事件也在所级领导的责任范围内，因此，所领导应该分管信息安全工作，负责签署确认信息安全的方针策略等文件。鉴于生研所目前人力情况，应该在有合适人选等有关条件合适后，完成上述组织建设。在上述常设组织未建立时，由IT项目组暂时代行有关职责。组织配置说明：人员能力需求职责说明IT经理知识技能：全面熟悉企业发展战略，较全面了解IT技术，全面了解国际国内相关法规、标准，了解企业管理相关概念并能结合信息技术进行分析、建模能力：相适应的团队组织能力、沟通协调能力、表达能力提出企业信息化规划、方案，负责全所信息系统规划，辅助领导对IT相关项目的决策，组织实施有关IT项目，IT系统管理制度的建立，组织IT相关的工作，包括培训、日常维护、信息安全事件处理等。若无此项，相关职责无法有效行使，IT系统难以维护其规划一致性。企业信息化将具有随机性、临时性、各系统难保协同，信息整合难度加大。网络管理员2知识技能：熟悉网络管理技术、熟悉相关技术架构的维护操作、掌握一定的程序开发技能、熟悉相关的管理制度能力：较强独立工作能力、团队协同能力、表达能力负责在技术措施辅助下，完成全所网络的监管，信息安全事件处理，信息安全风险发现和预防控制，信息安全账户管理。配合配置管理员完成网络配置管理。参与IT有关项目的实施。若无此项，所级网络的日常维护监管措施、制度将形同虚设。信息安全不能切实保证。IT配置管理员2知识技能：全面熟悉计算机系统软硬件知识、有关应用系统的知识、配置管理知识能力：较强独立工作能力、团队协同能力、表达能力负责在技术措施辅助下完成全所计算机系统的配置管理、有关配置管理的文档记录的管理，重要系统的日常维护及其配置管理。参与IT有关的项目实施。若无此项，所级信息资产管理制度措施将形同虚设，系统配置管理工作将无法开展。信息安全也不能切实保证。兼职IT管理员若干知识技能：了解计算机一般软硬件知识，熟悉相关系统的配置和使用，熟悉相关部门的业务能力：协同工作能力，表达能力部门计算机系统日常维护，业务需求采集，信息安全事件采集和报告，计算机系统配置维护若无此项，难以保证使用部门的计算机系统确实受控，难以保证部门信息技术需求、事件能正确提出和报告。信息安全难以切实保证。在上述人员中，网络管理员、配置管理员可作为系统管理员和安全审计管理员。兼职IT管理员则隶属于各科室，但业务上，也执行IT部门指派的有关任务，以及负责各子系统的应用系统管理员的工作。后文中提到的系统管理员、安全审计员、安全审计管理员等，均为上表中岗位人员兼。审计和被审计者不得为同一人。5. 制度5.1. 访问控制建立访问控制制度，从物理接入、系统授权、应用系统授权三个层面进行访问控制。制度至少应包含如下内容：a) 任何计算机需经批准（使用部门、IT部门）才能接入网络。b) 任何接入后的计算机需经使用部门批准的用户权限申请，才能访问限定的网络资源。c) 任何应用系统的用户需由使用部门决定权限分配，由应用系统管理员（或IT部门的值班管理员代行）完成用户账户及权限设置。完成后向IT部门备案。5.2. 主机安全本节内容针对服务器，主要针对服务器的非法访问、信息泄露、非法篡改。制度应该保证：确保用户具有最小特权、用户必需的功能得到满足、系统管理员的敏感操作受控等。系统管理员的敏感操作包括：进入机房、用Administrators组用户登录等。本节不深入说明网络安全管理。由于Windows系统的特点，Administrator用户具有无限权力，这成为企业敏感信息安全的主要隐患，即使通过外部网络访问系统的有目的的非法访问者也往往通过窃取的Administrator账号进行非法操作。为保证企业信息安全，需对Administrator的权限进行分散、监控。由于Windows系统难以简单实现这个权限的分散，故需通过管理制度进行。对身份认证采用除Windows身份认证方法外，对Administrators用户进一步采用人员到场限定登录地点的认证策略，系统管理员进行敏感操作需有安全审计管理员在场（或有合规审计软件监控）并对照进入机房申请表，记录进行的活动。同时，对安全事件进行审计并进行日常分析、报告。如此，除未接受国家信息安全监管部门对该级信息系统信息安全等级保护工作进行指导、监督、检查外，可达到国家第三级信息安全保护等级的基本要求注。通过Windows 2003和2008的组策略，采用最小特权原则对用户进行权限控制。包括值班管理员，均只具有完成其日常工作必需的权限（即使用users组用户、domainusers、domainadmin等身份登录，该用户被赋予值班管理员日常工作所需的一些权限，若需使用Administrators组用户工作则需安全审计管理员在场或接受合规审计软件监控），不能单独或无监控地进入机房接触服务器。除非经使用部门和IT部门批准，禁止主机管理员、安全审计人员以外的其他人进入机房接触服务器。对关键业务服务器，采取措施，使用机柜加锁的方式，防止被未经授权人触及或被人错误触及。主机管理员如果需要进入机房，需有安全审计管理员在场，并对照进入机房申请表，记录进行的活动。禁止Administrators组用户远程登录、通过网络访问服务器。禁止所有用户使用远程控制台。在现有技术条件下，任何人如果要获取服务器上的敏感信息，需满足以下条件：1）具有服务器上的账号，2）该账号具有访问该敏感信息的权限，3）该账号持有者通过网络或直接在服务器本地登录成功。4）该敏感信息以对访问者而言是可读的形式存在，即，非加密或虽然加密但访问者具有解密方法如获取密钥。因此，只要做到下述要求，即可最大限度防止敏感信息被非法访问和窃取：1）限定人员只有经授权才能拥有访问敏感信息的权限的账号，2）防止人员通过控制台操作计算机来获取具有访问敏感信息权限的账号，3）加密敏感信息，只有经授权人方能解密，4）使用防火墙防止非法侵入，使用防病毒黑客的系统，防止木马等，5）防止具有所有权限的系统管理员单独进行敏感操作。只有通过制度和技术措施配合，才能实现上述要求。简言之，通过下表所示措施，实现主机安全的信息受控访问方面的需求：主要措施相关作用1硬件防火墙、软件防火墙、VLAN、AD、账号策略、AOS（网络行为监控）阻止非授权用户访问特定受控信息系统2AD、组策略、AOS阻止、监控非授权用户访问信息资源3机房准入制度*、访问控制制度、组策略、主机安全审计系统（合规审计系统）防止Administrator（可能是管理员也可能是窃取管理员账号的其他访问者包括黑客）造成信息安全事故* Administrator只能持已批准的进入机房申请进入机房，在主机安全审计系统或信息安全审计员的监控下操作，并进行记录，这项制度成为信息资源的最后防线5.3. 主机安全与管理员职责管理由于企业信息系统中的机密信息通常能被管理员接触并处理，这也是公认的信息系统的泄密隐患。必需从机制上、技术措施上保证泄密难以发生，如果发生泄密，其责任在系统和管理员的操作也是难以置信的。为此，需设置值班系统管理员、信息安全审计管理员（兼作值班系统管理员的后备，以保证业务持续性）。基于GAMP5对应用系统和基础系统的划分，分别设置系统和应系统系统管理员。系统管理员负责主机系统、域控制器、域的管理，一般情况下，系统管理员不负责网络管理。网络管理员职责包括网络设备维护管理、网络参数设置、VLAN管理、网络接入配置管理，网络管理员的职责不在本文档做更多说明。系统管理员岗位的主要工作如下：l 系统值班管理员的日常工作：1）用户管理：添加、删除、停用、启用用户，重置用户密码、权限2）文件服务器共享文件、文件夹管理：创建文件夹、分配及修改用户对文件夹的权限、删除文件夹3）安装自行开发的应用系统，记录安装过程、参数4）设定系统升级补丁策略5）检查修改应用系统的服务器端配置参数（必要时由供应商执行，值班系统管理员、安全审计管理员配合监督）6）接收新的系统（包括文档验收）7）编制系统需求、计划8）执行备份（若有备份操作管理员则由备份操作管理员执行）9）系统故障初检、修复10）系统故障外修、报告11）安装采购的需自行安装的系统，修改其参数，建立配置记录12）清洁由于Windows内置的系统管理员具有无限制的权限，因此，对敏感系统，应进行安全审计、行为监控，以确保执行系统管理员任务的人及企业双方的权益。采用合规审计系统，可从技术上保证实现上述目的。5.4. 应用系统管理员应用系统管理员是直接为部门的应用系统进行维护、管理的角色。其主要工作为：1) 在应用系统中，为应用系统添加、删除用户，密码重置及权限设定2) 设定应用系统升级补丁策略3) 按应用系统的手册规定，进行参数调定4) 对应用系统的故障进行初步检查，记录，报告5) 配合供应商对应用系统进行升级、修改、修复，记录，报告6) 对应用系统进行数据备份，记录7) 对应用系统的安全事件进行记录，报告，初步处置5.5. 信息安全审计信息安全审计管理员的主要工作：1) 检查日志2) 检查监督值班管理员、应用系统管理员的敏感操作3) 记录分析报告信息安全事件（非法访问、病毒事件、违规操作等）4) 检查备份5) 编制、修改敏感操作清单和对应的安全审计工作清单、策略6) 作为系统值班管理员的备份，熟悉掌握值班管理员所需的技术、工作程序，保证业务连续性5.6. 信息安全事件与责任针对信息安全事件的责任，有关的制度应该包含如下规定：IT部门经理是全系统信息安全的第一责任人，任何信息安全事件，IT部门经理均有责任组织人员防止信息安全事件扩大，负责组织人员对故障进行修复。必要时承担相应的处罚，除非证明IT部门完整遵循了既定制度，采取了必要措施。IT部门经理不承担任何管理员职责，除信息安全审计系统服务器管理员密码外，不掌握任何生产系统的密码。审核进入机房等敏感操作的申请。信息安全审计管理员是当值期间所负责系统的信息安全责任人，如果未发现其他人对系统安全事件负有直接责任的证据的话，信息安全审计管理员需证明自己已按既定规定执行了信息安全监控和审计。否则，承担相应责任和处罚。如果配备合规审计系统，则信息安全审计管理员只掌握审计系统客户端用户密码，其服务器管理员密码由IT部门经理掌握，需维护审计服务器时，由IT部门经理以服务器管理员登录，并观察审计管理员操作，完成后退出登录。信息安全审计管理员掌握机房钥匙，不掌握机柜钥匙。系统值班管理员是当值期间，所负责系统的信息安全责任人，信息安全事件发生后，系统值班管理员需证明自己的所有敏感活动处于审计管理员有效监控中，所进行的敏感活动均获得审核批准或符合规定。值班系统管理员进行敏感操作和一般操作，仅规定的敏感操作时，需使用Administrators组用户在机房由安全审计管理员随同操作，其余情况，使用域管理员或域用户。掌握机柜钥匙，不掌握机房钥匙。应用系统管理员是所负责的应用系统的数据安全和应用安全的责任人。应用系统的管理员密码原则上由该应用系统所主要服务的业务部门的负责人掌握，除非由其授权给该应用系统管理员。信息密级和保密要求由所保密委员会核定。所有信息系统管理员均需签订安全保密协议。保密数据与非保密数据不存储在同一逻辑设备上。尽可能不存储在同一物理设备上。对系统值班管理员及应用系统管理员、信息安全管理员的管理机制，补充的说明见“6.说明”。5.7. 信息系统安全建设制定一套制度，这套制度规定在信息系统建设中，需确保信息安全。首先确定信息安全的目标，识别信息资源中的关键资产（对生产经营和科研有直接关系的信息资产软件、硬件、数据），对相关的操作进行风险评估，基于此风险评估，建立管理制度和配置必要的信息设备，定期对此机制进行评估，给出修改意见，并进行相应的整改。信息系统自策划之日起至退役的全生命周期，均需考虑信息安全，为此，需制定在建信息系统建设期间到运维期间的制度。工作要点包括：1) 信息资源标识和评级，这是所有工作的起点，是信息安全保护的目标。信息系统划分和评级的方法参照国家标准。需由所保密委员会和所领导主持进行。2) 风险评估，基于风险评估，确定适当的保护重点。3) 建立运行及维护的管理机制，包括：a）信息安全监测和审计体系，b）信息系统访问控制、输入输出和存储备份体系，c）信息系统安全事件报告体系。包含组织和制度方面的内容。4) 区分网络管理、系统管理、应用系统管理、信息安全审计管理，从组织和制度上保证无人能拥有全部管理权限。5) 为关键系统设立两名管理员，其中一人为值班管理员，另一名为安全审计管理员，同时作为值班管理员的备份，确保关键系统无安全管理阴影区。6) 对照下表检查：类型检查项物理安全a)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内b)机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁c)机房场地应当避开强电场、强磁场、强震动源、强噪声源、重度环境污染、易发生火灾、水灾、易遭受雷击的地区网络安全a)网络设备的业务处理能力应具备冗余空间，要求满足业务高峰期需要b)应设计和绘制与当前运行情况相符的网络拓扑结构图c)应根据机构业务的特点，在满足业务高峰期需要的基础上，合理设计网络带宽d)应在业务终端与业务服务器之间进行路由控制建立安全的访问路径e)应根据各部门的工作职能、重要性、所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段f)重要网段应采取网络层地址与数据链路层地址绑定措施，防止地址欺骗g)应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要业务数据主机主机系统安全a)操作系统和数据库系统用户的身份标识应具有唯一性b)应对登录操作系统和数据库系统的用户进行身份标识和鉴别c)应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别d)操作系统和数据库系统用户的身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期更新等e)应具有登录失败处理功能，如结束会话、限制非法登录次数，当登录连接超时，自动退出f)应具有鉴别警示功能g)重要的主机系统应对与之相连的服务器或终端设备进行身份标识和鉴别a)系统用户的身份标识应具有唯一性b)应对登录的用户进行身份标识和鉴别c)系统用户的身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等d)应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别e)应具有登录失败处理功能，如结束会话、限制非法登录次数，当登录连接超时，自动退出f)应具有鉴别警示功能g)应用系统应及时清除存储空间中动态使用的鉴别信息数据安全a)应能够检测到系统管理数据、鉴别信息和用户数据在传输过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施b)应能够检测到系统管理数据、鉴别信息和用户数据在存储过程中完整性受到破，并在检测到完整性错误时采取必要的恢复措施c)应能够检测到重要系统的完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施安全管理机构a)应设立信息安全管理工作的职能部门，设立安全主管人、安全管理各个方面的负责人，定义各负责人的职责b)应设立系统管理人员、网络管理人员、安全管理人员岗位，定义各个工作岗位的职责c)应成立指导和管理信息安全工作的委员会或领导小组，其最高领导应由单位主管领导委任或授权d)应制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求安全管理制度a)应制定信息安全工作的总体方针、政策性文件和安全策略等，说明机构安全工作的总体目标、范围、方针、原则、责任等b)应对安全管理活动中的各类管理内容建立安全管理制度，以规范安全管理活动，约束人员的行为方式c)应对要求管理人员或操作人员执行的日常管理操作，建立操作规程，以规范操作行为，防止操作失误d)应形成由安全政策、安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系e)应由安全管理职能部门定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定人员安全a)应保证被录用人具备基本的专业技术水平和安全管理知识b)应对被录用人的身份、背景、专业资格和资质进行审查c)应对被录用人所具备的技术技能进行考核d)应对被录用人说明其角色和职责e)应签署保密协议f)对从事关键岗位的人员应从内部人员选拔，并定期进行信用审查g)对从事关键岗位的人员应签署岗位安全协议系统建设安全a)应明确信息系统划分的方法b)应确定信息系统的安全保护等级c)应以书面的形式定义确定了安全保护等级的信息系统的属性，包括使命、业务、网络、硬件、软件、数据、边界、人员等d)应以书面的形式说明确定一个信息系统为某个安全保护等级的方法和理由e)应组织相关部门和有关安全技术专家对信息系统的定级结果的合理性和正确性进行论证和审定f)应确保信息系统的定级结果经过相关部门的批准系统运维管理a)应对机房供配电、空调、温湿度控制等设施指定专人或专门的部门定期进行维护管理b)应配备机房安全管理人员，对机房的出入、服务器的开机或关机等工作进行管理c)应建立机房安全管理制度，对有关机房物理访问，物品带进、带出机房和机房环境安全等方面作出规定d)应加强对办公环境的保密性管理，包括如工作人员调离办公室应立即交还该办公室钥匙和不在办公区接待来访人员等e)应有指定的部门负责机房安全，并配置电子门禁系统，对机房来访人员实行登记记录和电子记录双重备案管理f)应对办公环境的人员行为作出规定，如规定工作人员离开座位应确保终端计算机退出登录状态或进入锁定和桌面上没有包含敏感信息的纸档文件等关键系统需满足上表的主要规定。6. 说明综上所述，通过技术措施、组织措施和制度措施，共同保证企业信息安全。本节补充说明上述规划原则是利用规划中的资源可最大限度保证信息安全（保密性、不可抵赖性、不可篡改等）的。在防止物理损坏的基础上，只要达到防止非法访问，则可达到保密、不可抵赖、不可篡改目的。下表说明这些措施防止非法访问以及对访问的监控，同时说明这些措施保障必要的访问能力。访问者角色访问需求技术措施组织措施制度措施访问服务器系统管理员（包括窃取了Administrator账号的其他访问者）非法访问AD组策略禁止Administrator通过网络访问服务器，禁止使用控制台命令使用合规审计系统达到主机监控目的必须到机房在服务器本地操作，安全审计管理员需在场，非法访问者不能通过机房准入制度规定进入机房的申请的审核批准以及登记，非法访问者不能通过系统管理员要通过这些措施非法访问服务器是难以置信的合法访问允许在服务器本地登录必须到机房在服务器本地操作，安全审计管理员需在场，合法访问者可以通过机房准入制度规定进入机房的申请的审核批准以及登记，合法访问者可以通过合法访问者必能正常访问信息安全审计员和审计系统管理员违规访问审计管理员是只有只读审计权限的域用户，对审计服务器也只有审计员的权限，无管理员权限，故不能修改审计记录，限定审计管理员必须登录本地机器而不能通过网络登录只有安全审计员与审计系统管理员不能为同一人。审计员不能篡改记录。审计系统管理员不能单独登录审计服务器，需在审计员在场情况下进行操作。只有经登记后，审计系统管理员才能进入机房登录审计系统服务器，不能通过网络登录，只有审计系统管理员才允许本地登录审计系统服务器，审计员不掌握审计服务器的管理员密码实现权限分开违规者不可能访问安全审计服务器合规访问限定审计管理员访问审计工作站，可实现审计工作功能要求安全审计员、审计系统管理员分别负责全系统的审计，以及审计系统的配置，实现功能的需求机房准入制度、权限分开制度合规者可以相应身份访问审计服务器应用系统管理员违规访问在VLAN、AD、域安全策略限制非法访问、网络行为监控系统监控非法访问企图等技术措施基础上，限制应用系统管理员只能本地登录而不能通过网络登录服务器，同时，采用数据库服务器管理员和操作系统管理员集成权限控制措施对GxP系统，应用系统管理员不能具有业务操作员的权限（限定应用系统管理员只能在服务器登录，且受监控），应用系统管理员的操作申请经业务部门负责人批准或备案，受安全审计管理员监控机房准入、访问控制制度、GxP系统权限分开制度等非法访问者不可能访问服务器合规访问合法用户赋予适当权限应用系统管理员可在服务器本机登录，受监控，操作备案或经批准经批准或备案后，应用系统管理员可进入机房，受监控操作服务器符合规定者可访问服务器用户违规访问VLAN、AD、域安全策略、限定IP和MAC地址绑定的工作站等限制非法访问，网络行为监控系统监控非法访问企图经向应用系统所属部门申请批准后，设立用户账号，受限访问应用系统账号管理制度，系统操作规范非法访问者极难达到非法访问系统的目的合规访问合法访问的用户具有VLAN、AD等限定的权限业务操作人员向使用部门申请账号制度允许业务人员在限定的计算机上处理业务合法身份的用户可在本地、网络访问服务器资源部门负责人违规访问在VLAN、AD及域安全策略、限定IP和MAC地址绑定的基础上，赋予域用户权限，除规定的能访问的范围外都不能访问负责本部门管理的子系统的访问权、敏感操作的批准，但不具有访问权的设置、敏感操作的执行权，作为本部门系统的安全责任人，负责听取、审核系统安全审计报告，因而不具有安全审计的执行权机房准入、访问控制、信息安全审计：制度限制部门负责人接触服务器，禁止部门负责人亲自设定账号、访问权、进行敏感操作，这些操作需用文档指令记录，由相应的管理员（应用系统、公用系统、网络、安全审计等）进行不能访问禁止访问的资源合规访问在VLAN、AD及域安全策略、限定IP和MAC地址绑定的基础上，赋予域用户权限，能访问规定的范围按规定访问部门负责人可访问的范围，负责审核敏感操作申请、权限设定等申请，具体的敏感操作则由相应的管理员执行敏感操作需经部门负责人批准可访问规定的资源IT部门经理违规访问限定IT部门经理可访问的范围，不具有管理员权限，不能单独进入机房进行不受监控的操作分权：IT部门经理不具有系统管理员权限，但具有敏感操作的审批权限，具有安全审计系统的管理员权限（在安全审计员监控下）机房准入、访问控制、敏感操作规定等限制其权限不能单独操作服务器合规访问以域用户身份可访问规定的范围授权审批账号申请、访问权限申请（与部门负责人共同审批），负责系统安全审计系统的服务器管理（在安全审计员监控下）安全审计服务器管理规定：规定安全审计服务器的配置、维护由IT部门经理负责（在安全审计员监督下）可访问服务器上的限定资源外部访问者违规访问在VLAN、AD及域安全策略、限定IP和MAC地址绑定的基础上，外来访问者不具有访问内部系统的权限，除非特别申请，以临时账号访问网络，默认可访问互联网接入申请经IT部门经理批准，无批准的，不能访问网络，接待部门还负责证明、审批其访问服务器的申请 访问控制制度规定若无接入许可的，不能使用网络，未经许可，不能访问服务器未经许可，不能访问网络，未经许可，不能访问服务器资源合规访问经申请、批准后，以临时账号访问内部网络外来人员