信息安全管理规范 (一)

信息安全管理制度规范

样式编号ISMS-B-2023

编制

审核

同意

密级内部

版本V1.0

公布日期2023年8月

目录

1信息安全规范

1.1总则.............................................................

1.2环境管理.........................................................

1.3资产管理.........................................................

1.4介质管理.........................................................

1.5设备管理.........................................................

总则........................................................

系统主机维护管理措施.......................................

涉密计算机安全管理措施.....................................

1.6系统安全管理.....................................................

1.7恶意代码防备管理................................................

1.8变更管理.........................................................

1.9安全事件处置....................................................

1.10监控管理和安全管理中心..........................................

1.11数据安全管理....................................................

1.12网络安全管理....................................................

1.13操作管理.........................................................

1.14安全审计管理措施................................................

1.15信息系统应急预案................................................

1.16附表.............................................................

1信息安全规范

1.1总则

第1条为明确岗位职责，规范操作流程，保证企业信息系统的安仝，根据《中华人民共和国计算机

信息系统安全保护条例》等有关规定，结合企业实际，特制定本制度。

第2条信息系统是指由计算机及其有关的和配套的)设备、设施(含网络)构成欧I,按照一定的应用

目的和规则对信息进行采集、加工、存储、传播、枪索等处理的人机系统。

第3条信息安全系统遵照安全性、可行性、效率性、可承担性的设计原则，将从物理安全、网络安

全、支撑层系统安全、应用层系统安全、数据及资料安全几方面进行布署实行。

1.2环境管理

第1条信息机房由客户安排指定，但应当满足如下的规定：

1、物理位置的选择(G3)

序号等级保护规定

1机房应选择在具有防震、防风和防雨等能力的J建筑内。

机房场地应防止设在建筑物的高层或地下室，以及用水设备的

2

下层或隔壁，假如不可防止，应采用有效防水措施。

2、防雷击(G3)

序号等级保护规定

1机房建筑应设置避雷装置。

2应设置防雷保安器，防止感应雷。

3机房应设置交流电源地线。

3、防火(G3)

序号等级保护规定

1机房应设置火灾自动消防系统，可以自动检测火情、自动报警，

并自动灭火。

机房及有关口勺工作房间和辅助房应采用品有耐火等级的建筑

2

材料。

机房应采用区域隔离防火措施，将重要设备与其他设备隔离

3

开。

4、防水和防潮(G3)

序号等级保护规定

主机房尽量避开水源，与主机房无关的给排水管道不得穿过主

1

机房，与主机房有关时给排水管道必须有可靠口勺防渗漏措施；

2应采用措施防止雨水通过机房窗户、屋顶和墙壁渗透“

5、防静电(G3)

序号等级保护规定

1重要设备应采用必要的接地防静电措施。

2机房应采用防静电地板。

6、温湿度控制(G3)

序号等级保护规定

机房应设置温、湿度自动调整设施，使机房温、湿度日勺变化在

1

设备运行所容许口勺范围之内。

7、电磁防护(S2)

序号等级保护规定

1应采用接地方式防止外界电磁干扰和设备寄生耦合干扰。

2电源线和通信线缆应隔离铺设，防止互相干扰。

3应对关键设备和磁介质实行电磁屏蔽。

8、物理访问控制(G3)

序号等级保护规定

机房各出入口应安排专人值守或配置电子门禁系统，控制、鉴

1

别和记录进入的人员。

需进入机房口勺来访人员应通过申请和审批流程，并限制和监控

2

其活动范围C

应对机房划分区域进行管理，区域和区域之间应用物理方式隔

3

断，在重要区域前设置交付或安装等过渡区域；

4重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。

9、防盗窃和防破坏（G3）

序号等级保护规定

1应将重要设备放置在机房内。

应将设备或重要部件进行固定，并设置明显的J不易除去日勺标

2

识。

3应将通信线缆铺设在隐蔽处，可铺设在地下或管道中。

4应对介质分类标识，存储在介质库或档案室中。

第2条由客户指定专门U勺部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理。

第3条出入机房要有登记记录。非机房工作人员不得进入机房。外来人员进机房参观需经保密办同

意，并有专人陪伴。

第4条进入机房人员不得携带任何易燃、易爆、腐蚀性、强电磁、辐射性、流体物质、食品等对设

备正常运行构成威胁的物品。严禁在机房内吸烟。严禁在机房内堆放与工作无关的杂物。

第5条机房内应按规定配置足够量的消防器材，并做到三定（定位寄存、定期检查、定期更换）。加

强防火安全知识教育，做到会使用消防器材。加强可源管理，严禁乱接电线和违章用电。发

现火险隐患，及时汇报，并采用安全措施。

第6条机房应保持整洁有序，地面清洁。设备要排列整洁，布线要正规，仪表要齐备，工具要到位,

资料要齐全。机房R勺门窗不得随意打开。

第7条每天上班前和下班后对机房做平常巡检，检查机房环境、电源、设备等并做好对应记录（见

表一）。

第8条对临时进入机房工作的人员，不再发放门禁卡，在向顾客单位保密部门提出申请得到同意后,

由安全保密管理员陪伴进入机房工作。

1.3资产管理

第1条编制并保留与信息系统有关的资产清单，包括资产责任部门、重要程度和所处位置等内容。

第2条规定信息系统资产管理的负责人员或责任部门，并规范资产管理和使用口勺行为。

第3条根据资产的重要程度对资产进行标识管理。

第4条对信息分类与标识措施作出规定，并对信息的使用、传播和存储等进行规范化管理。

1.4介质管理

第1条建立介质安全管理制度，对介质口勺寄存环境、使用、维护和销毁等方面作出规定。

第2条建立移动存储介质安全管理制度，对移动存储介质的使用进行管控。

第3条保证介质寄存在安全的环境中，对各类介质进行控制和保护，并实行存储环境专人管理。

第4条对•介质在物理传播过程中的人员选择、打包、交付等状况进行控制，对介质归档和查询等进

行登记记录，并根据存档介质的目录清单定期盘点。

第5条对存储介质的使用过程、送出维修以及销毁等进行严格的管理，对带出工作环境的存储介质

进行内容加密和监控管理，对送出维修或销毁的介质应首先清除介质中日勺敏感数据，对保密

性较高的存储介质未经同意不得自行销毁。

第6条根据数据备份日勺需要对某些介质实行异地存储，存储地日勺环境规定和管理措施应与当地相似

第7条对重要数据或软件采用加密介质存储，并根据所承载数据和软件口勺重要程度对介质进行分类

和标识管理。

1.5设备管理

1.5.1总则

第1条由系统管理员对信息系统有关的）多种设备（包括备份和冗余设备）、线路等进行定期维护管理。

第2条建立基于申报、审批和专人负责H勺设备安全管理制度。

第3条建立明确维护人员H勺责任、涉外维修和服务的审批、维修过程的监督控制H勺管理制度。

第4条对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理，按操作

规程实现重要设备（包括备份和冗余设备）的启动/停止、加电/断电等操作

第5条保证信息处理设备必须通过审批才能带离机房或办公地点。

1.5.2系统主机维护管理措施

第1条系统主机由系统管理员负责维护，未经容许任何人不得对系统主机进行更改操作。

第2条根据系统设计方案和应用系统运行规定进行主机系统安装、调试，建立系统管理员账户，设

置管理员密码，建立顾客账户，设置系统方略、顾客访问权利和资源访问权限，并根据安全

风险最小化原则及运行效率最大化原则配置系统主机。

第3条建立系统设备档案（见表二）、包括系统主机详细的I技术参数，如：品牌、型号、购置日期、

序列号、硬件配置信息、软件配置信息、网络配置信息、系统配置信息，妥善保管系统主机

保修卡，在系统主机软硬件信息发生变更时对设备档案进行及时更新。

第4条每周修改系统主机管理员密码，密码长度不得低于八位，规定有数字、字母并辨另!大小写。

第5条每周通过系统性能分析软件对系统主机进行运行性能分析，并做详细记录（见表四），根据分

析状况对系统主机进行系统优化，包括磁盘碎片整顿、系统日志文献清理，系统升级等。

第6条每周对系统日志、系统方略、系统数据进行备份，做详细记录（见表四）。

第7条每天检查系统主机各硬件设备与否正常运行，并做详细记录（见表五）。

第8条每天检查系统主机各应用服务系统与否运行正常，并做详细记录（见表五）。

第9条每天记录系统主机运行维护日忐，对系统主机运行状况进行总结。

第10条在系统主机发生故障时应及时告知顾客，用最短的时间处理故障，保证系统主机尽快正常运

行，并对系统故障状况做详细记录（见表六）。

第11条每月对系统主机运行状况进行总结、并写出系统主机运行维护月报，上报保密办。

第12条系统主机的信息安全等级保持规定：

1、身份鉴别

序号等级保护规定

1对登录操作系统的顾客进行身份标识和鉴别。

操作系统和数据库系统管理顾客身份鉴别信息应不易被冒用，口令复杂度应满

2足规定并定期更换。口令长度不得不大于2位，且为字母、数字或特殊字符的

混合组合，顾客名和口令严禁相似。

启用登录失败处理功能，可采用结束会话、限制非法登录次数和自动退出等措

3

施。限制同一顾客持续失败登录次数。

当对服务器进行远程管理时，采用必要措施，防止鉴别信息在网络传播过程中

4

被窃听。

为操作系统和数据库系统H勺不一样顾客分派不一样的顾客名，保证顾客名具有

5

唯一性。

2、访问控制

序号等级保护规定

1启用访问控制功能，根据安全方略控制顾客对资源的访问。

根据管理顾客的角色分派权限，实现管理顾客H勺权限分离，仅授予管理顾客所

2

需的最小权限。

3实现操作系统和数据库系统特权顾客的权限分离。

4限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户H勺默认口令。

5及时删除多出的、过期的帐户，防止共享帐户口勺存在。

3、剩余信息保护

序号等级保护规定

保证操作系统和数据库系统顾客的鉴别信息所在H勺存储空间，被糅放或再分派

1

给其他顾客前得到完全清除，无论这些信息是寄存在硬盘上还是在内存中。

2保证系统内的文献、目录和数据库记录等凳源所在H勺存储空间，被释放或重新

分派给其他顾客前得到完全清除。

4、入侵防备

序号等级保护规定

操作系统应遵照最小安装的原则，仅安装必要日勺组件和应用程序，并通过设置

1升级服务器等方式保持系统补丁及时得到更新，补丁安装前应进行安全性和兼

容性测试。

可以检测到对重要服务器进行入侵的行为，可以记录入侵的源IP、袭击的类

2

型、袭击的目的、袭击H勺时间，并在发生严重入侵事件时提供报警。

3可以对重要程序的完整性进行检测，并具有完整性恢复的能力。

5、恶意代码防备

序号等级保护规定

在本机安装防恶意代码软件或独立布署恶意代码防护设备，并及时更新防恶意

1

代码软件版本和恶意代码库。

2支持防恶意代码的统一管理。

3主机防恶意代码产品应具有与网络防恶意代码产品不一样的恶意代码库。

6、资源控制

序号等级保护翅定

1通过设定终端接入方式、网络地址范围等条件限制终端登录。

2根据安全方略设置登录终端R勺操作超时锁定。

3根据需要限制单个顾客对系统资源的最大或最小使用程度。

对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的

4

使用状况。

5可以对系统的服务水平减少到预先规定的最小值进行检测和报警。

1.5.3涉密计算机安全管理措施

第1条涉密计算机安全管理由安全保密管理员专人负责，未经容许任何人不得进行此项操作。

第2条根据网络系统安全设计规定制定、修改、删除涉密计算机安全审计方略，包括打印控制方略、

外设输入输出控制方略、应用程序控制方略，并做记录。

第3条每日对涉密计算机进行安全审计，及时处理安全问题，并做详细记录（见表十八），遇有重大

问题上报保密部门。

第4条涉密计算机的新增、变更、淘汰需经保密部门审批，审批通过后由安全保密管理员统一进行

操作，并做详细记录（见表十八）。

第5条新增涉密计算机联入涉密网络，需经保密办审批，由安全保密管理员统一进行操作，并做详

细记录（见表十八）。

1.6系统安全管理

第1条根据业务需求和系统安全分析确定系统日勺访问控制方略。

序号等级保护规定

1启用访问控制功能，根据安全方略控制顾客对资源的访问。

根据管理顾客的角色分派权限，实现管理顾客H勺权限分离，仅授予管理顾客所

2

需的最小权限。

3实现操作系统和数据库系统特权顾客的权限分离。

4限制默认帐户1向访问权限，重命名系统默认帐户，修改这些帐户的默认口令。

5及时删除多出的、过期的帐户，防止共享帐户11勺存在。

对重要信息资源设置敏感标识，系统不支持设置敏感标识的，应采用专用安全

6

设备生成敏感标识，用以支持强制访问控制机制。

7根据安全方略严格控制顾客对有敏感标识重要信息资源的操作。

第2条定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补。

第3条安装系统的最新补丁程序，在安装系统补丁前，首先在测试环境中测试通过，并对重要文献

进行备份后，方可实行系统补丁程序日勺安装。

第4条根据操作手册对系统进行维护，详细记录操作口志，包括重要的平常操作、运行维护记录、

参数的设置和修改等内容，严禁进行未经授权的I操作。

第5条定期对运行口志和审U数据进行分析，以便及时发现异常行为。

第6条信息系统的运行维护由系统管理员负责维护，未经容许任何人不得对信息系统进行任何操作。

第7条根据信息系统H勺设计规定及实行细则安装、调试、配置信息系统，建立信息系统管理员账号,

设置管理员密码，密码规定由数字和字母构成，辨别大小写，密码长度不得低于8位。

第8条对信息系统H勺基本配置信息做详细记录，包括系统配置信息、顾客帐户名称，系统安装目录、

数据文献存贮目录，在信息系统配置信息发生变化时及时更新记录（见表三）。

第9条每周对信息系统系统数据、顾客11）文献、系统日志进行备份，并做详细记录（见表四），备

份介质交保密办存档。

第10条当信息系统顾客发生博长、减少、变更时，新建顾客帐户，新建顾客邮箱，需经保密单位审

批，并填写系统顾客申请单或系统顾客变更申请单（见表七），审批通过后，由系统管理员进

行操作，并做详细记录。

第11条根据顾客需求设置信息系统各功能模块访问权限，并提交保密办审批。

第12条每天检查信息系统各项应用功能与否运行正常，并做详细记录（见表五）。

第13条在信息系统发生故障时，应及时告知顾客，并用最短的I时间处理故障，保证信息系统尽快正

常运行，并对系统故障状况做详细记录（见表六）。

第14条每天记录信息系统运行维护日志，对信息系统运行状况进行总结。

第15条每月对信息系统运行维护状况进行总结，并写出信息系统维护月报，并上报保密办。

1.7恶意代码防备管理

第1条通过培训及标识提高所有顾客日勺防病毒意识，及时告知防病毒软件版本，在读取移动存储设

备上的数据以及网络上接受文献或邮件之前，先进行病毒检查，对外来计算机或存储设备接

入网络系统之前也应进行病毒检查。

第2条信息安全专人对网络和主机进行恶意代码检测并保留检测记录。

第3条定期检查信息系统内多种产品的恶意代码库口勺升级状况并进行记录，对主机防病毒产品、防

病毒网关和邮件防病毒网关上截获H勺危险病毒或恶意代码进行及时分析处理，并形成报表和

总结汇报。

1.8变更管理

第1条确认系统中要发生的I变更，并制定变更方案。

第2条建立变更管理制度，系统发生变更前，向主管领导申请，变更和变更方案通过评审、审批后

方可实行变更，并在实行后将变更状况向有关人员通告。

第3条建立变更控制H勺申报和审批文献化程序，对•变更影响进行分析并文档化，记录变更实行过程,

并妥善保留所有文档和记录。

第4条建立中断变更并从失败变更中恢复口勺文献化程序，明确过程控制措施和人员职责，必要时对

恢复过程进行演习。

1.9安全事件处置

第1条汇报所发现的I安全弱点和可疑事件，但任何状况下顾客均不应尝试验证弱点。

第2条制定安全事件汇报和处置管理制度，明确安全事件的类型，规定安全事件H勺现场处理、事件

汇报和后期恢复H勺管理职黄。

第3条根据国家有关管理部门对计算机安全事件等级划分措施和安全事件对本系统产生的影响，对

本系记荥算机安全事件进行等级划分。

第4条制定安全事件汇报和响应处理程序，确定事件的汇报流程，响应和处置的范围、程度，以及

处理措施等。

第5条在安全事件汇报和响应处理过程中，分析和鉴定事件产生打勺原因，搜集证据，记录处理过程,

总结经验教训I,制定防止再次发生的补救措施，过程形成的I所有文献和记录均应妥善保留。

第6条对导致系统中断和导致信息泄密的安全事件应采用不一样的处理程序和汇报程序。

1.10监控管理和安全管理中心

第1条对通信线路、主机、网络设备和应用软件的运行状况、网络流量、顾客行为等进行监测和报

警，形成记录并妥善保留。

第2条信息安全专人组织有关人员定期对监测和报警记录进行分析、评审，发现可疑行为，形成分

析汇报，并采用必要的应对措施。

第3条对•设备状态、恶意代码、补丁升级、安全审计等安全有关事项进行集中管理。

1.11数据安全管理

第1条凡波及企业机密的数据或文献，非工作需要不得以任何形式转移，更不得透露给他人。离开

原工作岗位的I员工由所在部门负责人将其所有工作及料收回并保留。

第2条计算机终端顾客务必将重要数据寄存在计算机硬盘中除系统盘分区（操作系统所在的硬盘分

区，一般是C盘）外的）硬盘分区。计算机信息系统发生故障，应及时与信息专人联络并采用保

护数据安全欧I措施。

第3条计算机终端顾客未做好备份前不得删除任何硬盘数据。对重要的数据应准备双份，寄存在不

一样H勺地点；对采用磁性介质或光盘保留日勺数据，应做好防磁、防火、防潮和防尘工作，并

定期进行检查、复制，防止由于磁性介质损坏，丢失数据。

1、数据保密性

序号等级保护规定

采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数

1

据传播保密性；

2、备份和恢复

序号等级册规定

提供数据当地备份与恢复功能，对重要信息进行备份，数据备份至少

1每天一次，已经有数据备份可完全恢复至备份执行时状态，并对备份

可恢复性进行定期演习，备份介质场外寄存。（增强）

提供异地数据备份功能，运用通信网络将关键数据定期批量传送至备

2

用场地；

应提供重要网络设备、通佶线路和数据处理系统H勺硬件冗余，保证系

3

统的高可用性。

1.12网络安全管理

第1条信息安全专人对网络进行管理，负责运行日志、网络监控记录的平常维护和报警信息分析和

处理工作。

第2条根据厂家提供日勺软件升级版本对网络设备进行更新，并在更新前对既有的重要文献进行备份。

第3条定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的I修补。

第4条实现设备B勺最小服务配置，并对配置文献进行定期离线备份。

第5条保证所有与企业外部网络的连接均得到授权和同意。

第6条根据安全方略容许或者拒绝便携式和移动式设备的网络接入。

第7条未进行安全配置、未装防火墙或杀毒软件日勺计算机终端，不得连接企、业网络和服务器。企业

员工应定期对所配置的计算机终端H勺操作系统、杀毒软件等进行升级和更新，并定期进行病

毒查杀。

第8条计算机终端顾客应使用复杂密码，并定期更改。企业员工应妥善保管根据职责权限所掌握的

各类办公账号和密码，严禁随意向他人泄露、借用自己的账号和密码。

第9条IP地址为计算机网络的重要资源，企业员工应在信息专人的规划下使用这些资源，不得私自

更改。对于影响网络的系统服务，企业员工应在信息专人的指导下使用，严禁随意启动、关

闭计算机中U勺系统服务，保证计算机网络畅通运行。

第10条经远程通信传送H勺程序或数据，必须通过检测确认无病毒后方可安装和使用。

11.1网络系统运行维护管理措施

第1条网络系统运行维护由系统管理员专人负责，未经容许任何人不得对网络系统进行操作。

第2条根据网络系统设计方案和实行细则安装、调试、配置网络系统，包括互换机配置、路由器配

置，建立管理员账号，设置管理员密码，并关闭所有远程管理端口。

第3条建立系统设备档案（见表二），包括互换机、路由器II勺品牌.、型号、序列号、购置日期、硬件

配置信息，详细记录综合布线系统信息配置表，互换机系统配置，路由器系统配置，网络拓

扑机构图，VLAN划分表，并在系统配置发生变更时及时对设备档案进行更新。

第4条每天检查网络系统设备（互换机、路由器）与否正常运行。

第5条每周对网络系统设备（互换机、路由器）进行清洁。

第6条每周修改网络系统管理员密码。

第7条每周检测网络系统性能，包括数据传播的稳定性、可靠性、传播速率。

第8条网络变更后进行网络系统配置资料备份。

第9条当网络系统发生故障时，应及时告知顾客，并在最短的时间内处理问题，保证网络系统尽快

正常运行，并对系统故障状况作详细记录（见表六）。

第10条每月对网络系统运行维护状况进行总结，并作出网络系统运行维护月报。

11.2网络病毒入侵防备管理措施

第1条网络病毒入侵防护系统由系统管理员专人负责，任何人未经容许不得进行此项操作。

第2条根据网络系统安全设计规定安装、配置瑞星网络病毒防护系统，包括服务器端系统配置和客

户机端系统配置，启动客户端防病毒系统的实时监控.

第3条每日监测防病毒系统的系统日志，检测与否有病毒入侵、安全隐患等，对所发现的问题进行

及时处理，并做详细记录（见表八）。

第4条每周登陆防病毒企业网站，下载最新的升级文献，对系统进行升级，并作详细记录（见表九）。

第5条每周对网络系统进行全面的病毒查杀，对病毒查杀成果做系统分析，并做详细记录（见表十）。

第6条每日浏览国家计算机病毒应急处理中心网站，理解最新病毒信息公布状况，及时向顾客公布

病毒预警和防止措施。

11.3网络信息安全方略管理措施

第1条网络安全方略管理由安全保密管理员专职负责，未经容许任何人不得进行此项操作。

第2条根据网络信息系统的安全设计规定及主机审计系统数据的分析成果，制定、配置、修改、删

除主机审计系统的各项管理方略，并做记录（见表十一）。

第3条根据网络信息系统的安全设计规定制定、配置、修改、删除网络安全评估分析系统的各项管

理方略，并做记录（见表十一）。

第4条根据网络信息系统的安全设计规定制定、配置、修改、删除入侵检测系统口勺各项管理方略，

并做记录（见表十一）。

第5条根据网络信息系统的安全设计规定制定、配置、修改、删除、内网主机安全监控与审计系统

的各项管理方略，并做记录（见表十一）。

第6条每周对网络信息系统安全管理方略进行数据备份，并作详细记录（见表十二）。

第7条网络信息安全技术防护系统（主机审计