计算机系统安全管理规范

计算机系统安全管理规范一、规范目的计算机系统作为业务运行的核心支撑，其安全性直接关系到数据隐私、业务连续性及单位信誉。本规范通过明确管理要求、规范操作流程，建立覆盖物理环境、网络架构、系统运行、数据使用及人员行为的全维度安全管理体系，防范黑客攻击、数据泄露、系统故障等风险，保障计算机系统的保密性、完整性与可用性。二、适用范围本规范适用于本单位所有计算机系统（含服务器、终端设备、网络设备、存储设备等）的规划、建设、运维及使用环节，覆盖信息安全管理部门、技术运维团队、业务使用人员等相关主体。三、管理职责1.信息安全管理部门：统筹计算机系统安全管理工作，制定安全策略与规范，组织风险评估、审计及应急演练，协调跨部门安全事务。2.技术运维团队：负责计算机系统的日常运维，包括设备部署、补丁更新、漏洞修复、数据备份、日志监控等技术层面的安全保障工作。3.业务使用部门：配合落实安全管理要求，规范本部门人员的计算机操作行为，及时反馈系统安全隐患，参与安全事件处置。4.全体人员：遵守本规范的各项要求，提升安全意识，发现可疑安全事件时及时上报，对自身操作行为的安全性负责。四、安全管理要求（一）物理安全管理物理环境与设备是计算机系统的基础载体，需从环境管控、设备全生命周期管理两方面保障安全：1.机房环境安全机房温度保持在20℃-25℃，湿度控制在40%-60%，配备恒温恒湿系统及环境监控设备，实时监测温湿度、电力、漏水等状态。电力供应采用“市电+不间断电源（UPS）+备用发电机”三级保障，UPS容量满足关键设备30分钟以上运行需求，发电机定期启动测试。机房部署烟感报警器、气体灭火系统（如七氟丙烷），禁止存放易燃易爆物品；门禁系统采用“刷卡+密码”双因子认证，无关人员严禁进入，进入人员需登记并由专人陪同。2.设备全生命周期管理采购：设备选型需通过安全合规性评估，优先选用具备安全认证（如国家信息安全产品认证）的硬件、软件，禁止采购来源不明的设备。使用：服务器、网络设备等关键设备应放置于机房专用机柜，终端设备粘贴资产标签，明确责任人；禁止在设备上私接外设（如非授权U盘、移动硬盘），确需使用时需经审批并进行病毒查杀。维护：定期对设备进行巡检（如服务器硬件状态、网络设备端口流量），记录维护日志；硬件故障需由专业人员维修，维修前需对数据进行加密或销毁处理。报废：报废设备需拆除存储介质（硬盘、U盘等），通过物理销毁（如硬盘消磁、粉碎）或软件擦除（如使用DoD5220.22-M标准）确保数据不可恢复，销毁过程需留存记录。（二）网络安全管理网络是数据传输的通道，需通过边界防护、访问控制、流量监控等手段防范外部入侵与内部违规操作：1.网络边界防护内外网采用物理或逻辑隔离（如防火墙、网闸），禁止未经授权的内网设备直接访问互联网；互联网出口部署下一代防火墙（NGFW），基于业务需求设置访问规则（如禁止非必要端口对外访问）。部署入侵检测系统（IDS）/入侵防御系统（IPS），实时监控网络流量，识别并阻断恶意攻击（如SQL注入、DDoS攻击）；定期更新攻击特征库，确保检测规则有效性。2.访问控制管理用户接入网络需通过身份认证，核心业务系统采用“用户名+密码+动态令牌”三因子认证，普通终端采用“用户名+密码”双因子认证；密码复杂度要求为“8位以上，包含大小写字母、数字、特殊字符”，每90天强制更换。网络权限遵循“最小必要”原则，业务人员仅开放其岗位所需的网络访问权限（如财务人员仅能访问财务系统网段）；禁止员工私自搭建代理服务器、热点共享等违规网络接入行为。（三）系统安全管理系统是业务运行的核心，需从操作系统、应用软件、账户管理三方面保障运行安全：1.操作系统安全服务器操作系统（如WindowsServer、Linux）需及时安装厂商发布的安全补丁，禁用不必要的服务（如Windows的Telnet服务、Linux的rsh服务），关闭冗余端口（如139、445端口）。配置系统安全策略：Windows启用“本地安全策略”中的密码策略、账户锁定策略；Linux启用SELinux强制模式，限制进程权限；定期对系统进行安全加固（如关闭不必要的用户账户、修改默认服务端口）。2.应用软件安全所有软件需使用正版授权版本，禁止安装破解版、盗版软件；业务系统需通过安全测试（如代码审计、渗透测试）后方可上线，上线后每季度进行漏洞扫描（使用Nessus、AWVS等工具），发现高危漏洞需在72小时内修复。禁止在生产系统中安装与业务无关的软件（如游戏、非授权插件），终端设备安装软件需经部门负责人审批，安装前需进行病毒查杀。3.账户管理建立账户全生命周期管理流程：新员工入职时由HR发起账户创建申请，技术部门审核后开通权限；员工岗位变更时，同步调整账户权限；员工离职时，24小时内注销账户并回收所有访问凭证（如密钥、令牌）。特权账户（如系统管理员、数据库管理员）需单独管理，操作需记录日志并双人复核；定期（每季度）审计特权账户的使用记录，排查违规操作。（四）数据安全管理数据是核心资产，需通过分类分级、备份恢复、加密传输存储等手段保障安全：1.数据分类分级按敏感度将数据分为“公开数据”（如企业宣传资料）、“内部数据”（如员工考勤记录）、“机密数据”（如客户信息、财务报表）三类，不同类别数据采用不同的保护措施（如机密数据需加密存储、传输，内部数据需授权访问）。2.数据备份与恢复核心业务数据（如交易数据、客户信息）采用“本地备份+异地备份”策略：本地每天全量备份，存储于独立备份服务器；异地每周增量备份，通过加密传输至异地灾备中心；每月进行一次恢复测试，验证备份数据的可用性。3.数据加密存储加密：服务器硬盘启用全盘加密（如WindowsBitLocker、LinuxLUKS），数据库敏感字段（如用户密码、银行卡号）采用字段级加密（如AES-256算法），加密密钥需定期轮换并安全存储。（五）人员安全管理人员是安全管理的核心环节，需通过培训、权限管控、行为规范提升安全意识与合规性：1.安全培训新员工入职时需完成信息安全培训（内容包括《网络安全法》《数据安全法》、本规范要求、常见攻击手段与防范方法），考核通过后方可上岗；在职员工每半年参加一次安全意识培训，培训内容结合最新安全威胁（如新型勒索病毒、钓鱼邮件）动态更新。2.权限与行为管控员工权限遵循“职责分离”原则，禁止一人同时拥有“系统开发”与“生产环境运维”权限；定期（每季度）审计员工权限，清理冗余权限（如员工岗位变更后未回收的旧权限）。禁止员工私自泄露账号密码、将办公设备借给外部人员使用、在公共网络（如网吧、酒店WiFi）处理敏感数据；发现可疑邮件（如伪装成“系统升级”的钓鱼邮件）、异常弹窗（如勒索病毒提示）时，需立即断开网络并上报。五、应急响应管理安全事件具有突发性，需通过预案制定、演练、事件处置保障业务连续性：1.应急预案制定针对常见安全事件（如病毒爆发、勒索攻击、硬件故障、网络瘫痪）制定专项应急预案，明确事件分级（如一级事件：核心系统瘫痪超过4小时；二级事件：局部数据泄露）、响应流程（上报、隔离、分析、处置、恢复）、责任分工（技术组、沟通组、决策组）。2.应急演练每半年组织一次应急演练，模拟真实安全事件场景（如模拟勒索病毒攻击服务器），检验预案的可操作性与团队响应能力；演练后召开复盘会，总结不足并优化预案。3.事件处置流程发现安全事件时，第一时间断开受影响设备的网络连接（如拔掉网线、关闭无线），防止事件扩散；立即上报信息安全管理部门，提交事件初步分析（如现象、涉及设备、可能原因）。技术团队对事件进行深度分析（如日志审计、病毒样本提取），制定处置方案（如杀毒、数据恢复、系统重装），处置过程需留存操作记录；事件恢复后，需进行全系统安全检测，确认无残留风险后方可重新上线。六、审计与持续改进安全管理需动态适应威胁变化，通过审计、评估实现持续优化：1.日志审计2.安全评估每年开展一次全面风险评估，识别计算机系统的安全隐患（如未修复的高危漏洞、弱密码账户），形成风险清单并制定整改计划；每两年邀请第三方机构进行渗透测试，检验系统的抗攻击能力。3.持续优化根