中国石化公司内部控制与业务流程汇总29

1、1 / 711.5 基础设施 IT 一般性控制流程一、业务目标1经营目标1.1保证信息基础设施长期安全、可靠、稳定运行。2合规目标2.1信息基础设施的使用遵守保护知识产权、合同法等 有关国家法律法规。2.2信息基础设施配置和使用符合股份公司信息系统安全管理办法等规定。二、业务风险1经营风险1.1网络控制管理不符合信息安全要求，导致内部网络 被非授权访问和攻击。1.2服务器管理不规范，导致系统运行不可靠、不稳定1.3备份介质管理不规范，导致备份介质损坏或系统及 数据恢复困难。1.4机房管理不符合规范和安全要求，导致机房设备及 资源存在受损的风险。2 / 71.5信息基础设施故障或信息系统突发事件

2、处理不及本流程适用于包括 ERP 系统在内的所有应用系统相关的信息基础设施。时，导致信息系统不能正常运行。2 合规风险2.1信息基础设施的使用未遵守保护知识产权、合同法 等有关国家法律、法规，股份公司声誉受到损害， 受到相关部门处罚。2.2信息基础设施不符合安全规定， 导致系统存在被入侵 风险。二、 业务流程步骤与控制点1 网络管理1.1网络基础管理。1.1.1总部和分（子）公司依据中国石油化工股份有限公 司网络管理办法 （以下简称网络管理办法 ）及 相关管理制度和工作流程实施对网络的管理 ， 包括 网络运行维护管理、网络互联管理、网络设备密码 管理、网络管理员管理、远程接入网络管理、病毒 防

3、护管理等。1.1.2各级信息管理部门依据 网络管理办法 及相应岗位 职责，配备网络管理员、安全管理员，由信息管理 部门负责人审批。3 / 71.1.3各级信息管理部门负责编制网络运行维护的相关技 术文档，包括网络拓扑图、 IP 地址分配表以及网络 设备配置文件等，由专人负责整理和保存。1.2 网络设备登录设置合理的密码规则， 密码要求长度六位以上，采用数字和字符组合方式，新密码不得与前五次历史密码相同。网络管理员必须每六个月修改网络设备登录密码，填写密码更换记录，经安全 管理员确认并在信息管理部门备案。1.3网络互联安全管理。1.3.1总部和分 （子）公司依据网络管理办法 相关要求，在关键网络

4、互联接口处部署安全设备，信息管理部门授权专人负责安全设备的管理，并备有安全设备配置文档。分（子）公司与外部网互联情况上报信 息系统管理部备案。1.3.2安全管理员每季度对安全设备的规则进行复核、确 认、检查，填写安全设备配置检查记录表。1.3.3安全管理员每周对网络设备登陆日志、防火墙日志、 入侵检测日志等进行分析审计。1.4 终端用户接入管理1.4.1用户终端接入网络需填写申请表，由申请人所在部门 确认，信息管理部门（责任处 （科）室 ）负责人批准并 备案。4 / 7申请表内容应包含终端接入安全责任条款。1.4.2建立用户登录网络认证机制， 避免对中国石化内部网 络未经授权的访问。1.4.3

5、根据人事部门提供的人员离职交接表， 信息管理部门 应及时注销该用户的网络接入服务。1.5远程接入网络申请人依据网络管理办法相关要 求，填写远程接入服务申请表和远程用户接入服务 安全承诺书，由所在部门负责人确认，信息管理部 门（责任处 （科）室 ）负责人审批并备案。1.6依据网络管理办法相关要求，网络管理员负责 部署防病毒系统并及时进行版本和病毒特征库的升 级；安全管理员每周对防病毒系统日志进行分析审 计。2 服务器管理2.1各级信息管理部门配备系统管理员，由信息管理部 门（责任处 （科）室 ）负责人审批。2.2系统管理员须建立服务器档案，内容包括设备的详 细硬件配置、设备唯一性标记和设备用途等信息。2.3服务器操作系统管理。2.3.1操作系统用户须填写操作系统用户申请表，经信息 管理部门（责任处 （科）室 ）负责人审批后，由系统 管理员创