终端安全管理标准

终端安全管理标准一、总则（一）目的与适用范围。为规范终端设备安全管理，防范信息安全风险，保障信息系统稳定运行，特制定本标准。本标准适用于公司所有接入信息系统的终端设备，包括但不限于台式机、笔记本电脑、移动设备等。所有单位和个人必须严格遵守本标准，确保终端安全管理工作有效落实。（二）基本原则。坚持预防为主、综合防治的原则；坚持最小权限、纵深防御的原则；坚持动态监控、及时处置的原则；坚持责任明确、协同联动原则。（三）管理职责。公司信息安全管理部是终端安全管理的归口部门，负责制定、监督和修订本标准。各部门负责人是本部门终端安全管理的第一责任人，应组织本部门人员学习并执行本标准。终端使用人员应严格遵守本标准规定的安全操作要求。二、终端设备分类分级（一）分类依据。根据终端设备的重要程度、敏感信息存储情况、网络接入方式等因素，将终端设备分为核心类、重要类和一般类三类。（二）分级标准。核心类终端是指存储重要敏感信息、直接连接核心业务系统的终端设备；重要类终端是指存储一般敏感信息、连接重要业务系统的终端设备；一般类终端是指不存储敏感信息、仅用于日常办公的终端设备。（三）管理要求。核心类终端必须实施最严格的安全管理措施，重要类终端实施一般安全管理措施，一般类终端实施基础安全管理措施。三、终端安全配置管理（一）操作系统安全配置。所有终端设备必须安装符合国家标准的操作系统，并按照本标准附件一的要求进行安全配置。操作系统应定期更新补丁，及时修复安全漏洞。（二）应用软件安全配置。禁止在终端设备上安装未经审批的应用软件，所有应用软件必须经过信息安全管理部审批后方可安装。应用软件应定期更新版本，及时修复安全漏洞。（三）网络接入安全配置。所有终端设备接入网络前必须经过安全检查，符合安全要求后方可接入。终端设备应配置防火墙、入侵检测等安全设备，并按照本标准附件二的要求进行配置。四、终端安全使用管理（一）密码安全。所有终端设备必须设置密码，密码长度不少于12位，且必须包含字母、数字和特殊字符。密码应定期更换，且不得使用生日、电话号码等容易猜测的密码。（二）账号管理。禁止使用共享账号登录终端设备，每个使用人员必须使用自己的账号登录。禁止将账号密码告知他人，禁止将账号密码存储在终端设备上。（三）数据安全。禁止在终端设备上存储重要敏感信息，所有重要敏感信息必须存储在安全服务器上。禁止将重要敏感信息复制到U盘等移动存储设备上，禁止将重要敏感信息通过邮件、即时通讯工具等途径传输。五、终端安全监控管理（一）安全审计。所有终端设备必须启用安全审计功能，记录所有操作行为。安全审计日志应至少保存6个月，并定期进行安全审计。（二）漏洞扫描。所有终端设备应定期进行漏洞扫描，发现漏洞后应立即修复。漏洞扫描应至少每月进行一次，核心类终端应每周进行一次。（三）安全监控。信息安全管理部应建立终端安全监控平台，对所有终端设备进行实时监控。发现异常行为后应立即采取措施，并调查处理。六、终端安全事件处置（一）事件报告。发生终端安全事件后，应立即向信息安全管理部报告。报告内容应包括事件时间、事件类型、影响范围、处置措施等。（二）事件处置。信息安全管理部接到事件报告后，应立即组织人员进行处置。处置措施应包括隔离受感染终端、清除病毒、修复漏洞、恢复数据等。（三）事件调查。事件处置完成后，应进行调查，分析事件原因，并制定防范措施。调查报告应提交信息安全管理部备案。七、终端安全培训与宣传（一）培训对象。所有终端使用人员必须接受终端安全培训。新员工入职时必须接受终端安全培训，每年至少接受一次终端安全培训。（二）培训内容。终端安全培训应包括本标准规定的安全要求、安全操作规范、安全事件处置流程等。（三）宣传方式。信息安全管理部应通过多种方式宣传终端安全知识，提高员工的安全意识。宣传方式包括但不限于宣传栏、邮件