信息安全管理规范

信息安全管理制度规范内部公布日期2023年8月1.1总则……………错误!未定义书签。1.2环境管理………1.3资产管理………1.4介质管理………1.5设备管理………1.6系统安全管理…………………错误!未定义书签。1.7恶意代码防备管理…………1.8变更管理……1.9安全事件处置…………………错误!未定义书签。1.10监控管理和安全1.11数据安全管理…………………错误!未定义书签。1.12网络安全管理……1.13操作管理………………………错误!未定义书签。1.14安全审计管理措施……………错误!未定义书签。1.15信息系统应急预第1条为明确岗位职责，规范操作流程，保证企业信息系统的安全，根据《中华人民共和国计算机第2条信息系统是指由计算机及其有关的和配套的设备、设施(含网络)构成的，按照一定的应用第3条信息安全系统遵照安全性、可行性、效率性、可承担性的设计原则，将从物理安全、网络安12机房场地应防止设在建筑物的高层或地下室，以及用水设备的123231主机房尽量避开水源，与主机房无关的给排水管道不得穿过主机房，与主机房有关的给排水管道必须有可靠的防渗漏措施；2应采用措施防止雨水通过机房窗户、屋顶和墙壁渗透。121应采用接地方式防止外界电磁干扰和设备寄231机房各出入口应安排专人值守或配置电子门别和记录进入的人员。2需进入机房的来访人员应通过申请和审批流程，并限制和监控3应对机房划分区域进行管理，区域和区域之间应用物理方式隔断，在重要区域前设置交付或安装等过渡区域；4重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。1234第3条出入机房要有登记记录。非机房工作人员不得进入机房。外来人员进机房参观需经保密办同第4条进入机房人员不得携带任何易燃、易爆、腐蚀性、强电磁、辐射性、流体物质、食品等对设第5条机房内应按规定配置足够量的消防器材，并做到三定(定位寄存、定期检查、定期更换)。加强防火安全知识教育，做到会使用消防器材。加强电源管理，严禁乱接电线和违章用电。发第7条每天上班前和下班后对机房做平常巡检，检查机房环境、电源、设备等并做好对应记录(见第3条根据资产的重要程度对资产进行标识管理。第4条对信息分类与标识措施作出规定，并对信息的使用、传播和存储等进行规范第4条对介质在物理传播过程中的人员选择、打包、交付等状况进行控制，对介质归档和查询等进第5条对存储介质的使用过程、送出维修以及销毁等进行严格的管理，对带出工作环境的存储介质进行内容加密和监控管理，对送出维修或销毁的介质应首先清除介质中的敏感数据，对保密第6条根据数据备份的需要对某些介质实行异地存储，存储地的环境规定和管理措施应与当地相似第7条对重要数据或软件采用加密介质存储，并根据所承载数据和软件的重要程度对介质进行分类第4条对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理，按操作规程实现重要设备(包括备份和冗余设备)的启动/停止、加电/断电等操作第2条根据系统设计方案和应用系统运行规定进行主机系统安装、调试，建立系统管理员账户，设置管理员密码，建立顾客账户，设置系统方略、顾客访问权利和资源访问权限，并根据安全第3条建立系统设备档案(见表二)、包括系统主机详细的技术参数，如：品牌、型号、购置日期、序列号、硬件配置信息、软件配置信息、网络配置信息、系统配置信息，妥善保管系统主机第5条每周通过系统性能分析软件对系统主机进行运行性能分析，并做详细记录(见表四),根据分第6条每周对系统日志、系统方略、系统数据进行备份，做详细记录(见表四)。第7条每天检查系统主机各硬件设备与否正常运行，并做详细记录(见表五)。第8条每天检查系统主机各应用服务系统与否运行正常，并做详细记录(见表五)。第10条在系统主机发生故障时应及时告知顾客，用最短的时间处理故障，保证系统主机尽快正常运行，并对系统故障状况做详细记录(见表六)。12操作系统和数据库系统管理顾客身份鉴别信息应不易被冒足规定并定期更换。口令长度不得不大于8位，且为字母、数字或特殊字符的3启用登录失败处理功能，可采用结束会话、限制非法登录次数和自动退出等措4当对服务器进行远程管理时，采用必要措施，防止鉴别信息在网络传播过程中5为操作系统和数据库系统的不一样顾客分派不一样的顾客名，保证顾客名具有1启用访问控制功能，根据安全方略控制顾客对2根据管理顾客的角色分派权限，实现管理顾客的权限分离34限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐51保证操作系统和数据库系统顾客的鉴别信息所在的存储给其他顾客前得到完全清除，无论这些信息是寄存在硬盘上还是在内存中。2保证系统内的文献、目录和数据库记录等资源所在的存1操作系统应遵照最小安装的原则，仅安装必要的组件和应升级服务器等方式保持系统补丁及时得到更新，补丁2可以检测到对重要服务器进行入侵的行为，可以记录型、袭击的目的、袭击的时间，并在发生严重入侵事件3可以对重要程序的完整性进行检测，并具有完整1在本机安装防恶意代码软件或独立布署恶意代码防护设备，并及时更新防恶意2支持防恶意代码的统一管理。3主机防恶意代码产品应具有与网络防恶意代码产品不一样的恶意1通过设定终端接入方式、网络地址范围等条件限23根据需要限制单个顾客对系统资源的最大或最4对重要服务器进行监视，包括监视服务器的CPU、硬盘、5可以对系统的服务水平减少到预先规定的最小值进行第2条根据网络系统安全设计规定制定、第3条每日对涉密计算机进行安全审计，及时处理安全问题，并做详细记录(见表十八),遇有重大第4条涉密计算机的新增、变更、淘汰需经保密部门审批，审批通过后由安全保密管理员统一进行操作，并做详细记录(见表十八)。第5条新增涉密计算机联入涉密网络，需经保密办审批，由安全保密管理员统一进行操作，并做详细记录(见表十八)。1启用访问控制功能，根据安全方略控制顾客对2根据管理顾客的角色分派权限，实现管理顾客的权限分离34限制默认帐户的访问权限，重命名系统默认帐户，修改这些56对重要信息资源设置敏感标识，系统不支持设置敏感标识7根据安全方略严格控制顾客对有敏感标识重要信息第2条定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补。第3条安装系统的最新补丁程序，在安装系统补丁前，首先在测试环境中测试通过，并对重要文献第4条根据操作手册对系统进行维护，详细记录操作日志，包括重要的平常操作、运行维护记录、第5条定期对运行日志和审计数据进行分析，以便及时发现第7条根据信息系统的设计规定及实行细则安装、调试、配置信息设置管理员密码，密码规定由数字和字母构成，辨别大小写，密码长度不得低于8位。数据文献存贮目录，在信息系统配置信息发生变化时及时更新记录(见表三)。第9条每周对信息系统系统数据、顾客ID文献、系统日志进行备份，并做详细记录(见表四),备第10条当信息系统顾客发生增长、减少、变更时，新建顾客帐户，新建顾客邮箱，需经保密单位审批，并填写系统顾客申请单或系统顾客变更申请单(见表七),审批通过后，由系统管理员进第12条每天检查信息系统各项应用功能与否运行正常，并做详细记录(见表五)。第13条在信息系统发生故障时，应及时告知顾客，并用最短的时间处理故障，保证信息系统尽快正常运行，并对系统故障状况做详细记录(见表六)。第1条通过培训及标识提高所有顾客的防病毒意识，及时告知防病毒软件版本，在读取移动存储设备上的数据以及网络上接受文献或邮件之前，先进行病毒检查，对外来计算机或存储设备接第3条定期检查信息系统内多种产品的恶意代码库的升级状况并进行记录，对主机防病毒产品、防病毒网关和邮件防病毒网关上截获的危险病毒或恶意代码进行及时分析处理，并形成报表和第2条建立变更管理制度，系统发生变更前，向主管领导申请，变更和变更方案通过评审、审批后第4条建立中断变更并从失败变更中恢复的文献化程序，明确过程控制措施和人员职责，必要时对第2条制定安全事件汇报和处置管理制度，明确安全事件的类型，规定安全事件的现场处理、事件第3条根据国家有关管理部门对计算机安全事件等级划分措施和安全事件对本系统产生的影响，对第4条制定安全事件汇报和响应处理程序，确定事件的汇报流程，响应和处置的范围、程度，以及第6条对导致系统中断和导致信息泄密的安全事件应采用不一样的处理程序和汇报第1条对通信线路、主机、网络设备和应用软件的运行状况、网络流量、顾客行为等进行监测和报第2条信息安全专人组织有关人员定期对监测和报警记录进行分析、评审，发现可疑行为，形成分第1条凡波及企业机密的数据或文献，非工作需要不得以任何形式转移，更不得透露给他人。离开第2条计算机终端顾客务必将重要数据寄存在计算机硬盘中除系统盘分区(操作系统所在的硬盘分第3条计算机终端顾客未做好备份前不得删除任何硬盘数据。对重要的数据应准备双份，寄存在不一样的地点；对采用磁性介质或光盘保留的数据，应做好防磁、防火、防潮和防尘工作，并据传播保密性；1提供数据当地备份与恢复功能，对重要信息进行备份，数据备份至少每天一次，已经有数据备份可完全恢复至备份执可恢复性进行定期演习，备份介质场外寄存。(增强)2提供异地数据备份功能，运用通信网络将关键用场地；3应提供重要网络设备、通信线路和数据处理系统的硬件冗余，保证系第1条信息安全专人对网络进行管理，负责运行日志、网络监控记录的平常维护和报警信息分析和第5条保证所有与企业外部网络的连接均得到授权和同意。第6条根据安全方略容许或者拒绝便携式和移动式设备的网第7条未进行安全配置、未装防火墙或杀毒软件的计算机终端，不得连接企业网络和服务器。企业员工应定期对所配置的计算机终端的操作系统、杀毒软件等进行升级和更新，并定期进行病第8条计算机终端顾客应使用复杂密码，并定期更改。企业员工应妥善保管根据职责权限所掌握的第9条IP地址为计算机网络的重要资源，企业员工应在信息专人的规划下使用这些资源，不得私自更改。对于影响网络的系统服务，企业员工应在信息专人的指导下使用，严禁随意启动、关11.1网络系统运行维护管理措施第2条根据网络系统设计方案和实行细则安装、调试、配置网络系统，包括互换机配置、路由器配第3条建立系统设备档案(见表二),包括互换机、路由器的品牌、型号、序列号、购置日期、硬件配置信息，详细记录综合布线系统信息配置表，互换机系统配置，路由器系统配置，网络拓第4条每天检查网络系统设备(互换机、路由器)与否正常运行。第5条每周对网络系统设备(互换机、路由器)进行清洁。第9条当网络系统发生故障时，应及时告知顾客，并在最短的时间内处理问题，保证网络系统尽快正常运行，并对系统故障状况作详细记录(见表六)。第2条根据网络系统安全设计规定安装、配置瑞星网络病毒防护系统，包括服务器端系统配置和客第3条每日监测防病毒系统的系统日志，检测与否有病毒入侵、安全隐患等，对所发现的问题进行及时处理，并做详细记录(见表八)。第4条每周登陆防病毒企业网站，下载最新的升级文献，对第6条每日浏览国家计算机病毒应急处理中心网站，理解最新病毒信息公布状况，及时向顾客公布第2条根据网络信息系统的安全设计规定及主机审计系统数据的分析成果，制定、配置、修改、删除主机审计系统的各项管理方略，并做记录(见表十一)。第3条根据网络信息系统的安全设计规定制定、配置、修改、删除网络安全评估分析系统的各项管理方略，并做记录(见表十一)。第4条根据网络信息系统的安全设计规定制定、配置、修改、删除入侵检测系统的各项管理方略，并做记录(见表十一)。第5条根据网络信息系统的安全设计规定制定、配置、修改、删除、内网主机安全监控与审计系统的各项管理方略，并做记录(见表十一)。第6条每周对网络信息系统安全管理方略进行数据备份，并作详细记录(见表十二)。第7条网络信息安全技术防护系统(主机审计系统、漏洞扫描系统、防病毒系统、内网主机安全监控与审计系统)由网络安全保密管理员统一负责安装和卸载。第1条网络信息系统安全检查由安全保密第2条每天根据入侵检测系统的系统方略检测、审计系统日志，检查与否有网络袭击、异常操作、不正常数据流量等，对异常状况做及时处理，遇有重大安全问题上报保密办，并做详细记录第3条每周登陆入侵检测系统产品网站，下载最新升级文