市国资局软件安装维护管理规定

市国资局软件安装维护管理规定一、第一章总则1.1第一条目的与依据为规范市国资局（以下简称“本局”）计算机软件的安装、使用与维护行为，防范非授权软件引入的病毒传播、数据泄露、许可证合规风险，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《计算机软件保护条例》及本局信息化管理有关制度，结合本局实际，制定本规定。1.2第二条适用范围•本规定适用于本局机关各科室、直属单位的全部台式计算机、笔记本电脑、服务器及虚拟化环境中运行的操作系统、办公软件、业务系统客户端及辅助工具软件。•外包驻场人员使用的接入本局网络的终端，参照本规定执行。1.3第三条基本原则•统一采购、统一分发：所有软件必须经信息科审核并通过政府采购渠道引入，严禁个人私自下载安装。•最小权限：普通办公终端一律不开放管理员（Administrator）权限，软件安装由信息科远程或现场执行。•台账对应：每一套安装的软件必须录入《软件资产台账》，做到“机器—软件—许可证—责任人”四对应。二、第二章组织与职责2.1第四条职责分工角色责任内容考核/验收方式分管副局长审批年度软件采购计划、重大软件变更每年12月审定次年计划信息科软件准入审核、安装分发、补丁管理、台账维护、故障处置月度台账核对、季度安全巡检各科室负责人审核本科室软件需求、督促本科室人员遵守规定纳入科室年度信息化考核终端使用人报备软件需求、不私自安装卸载、配合维护违规按第六章追责外包运维人员按运维合同执行维护作业，作业前后填报工单工单双人签字确认2.2第五条工作机制•信息科每月第一个工作周召开例会，汇总上月软件准入、故障、补丁情况，会后2个工作日内下发会议纪要并跟踪办理。•重大软件变更（业务系统升级、操作系统整体更换、全局性安全补丁）实行“变更评审制”：由信息科提交变更方案（含回退方案），经分管副局长批准后，在周五下班后至周日的维护窗口内实施。三、第三章软件安装管理3.1第六条软件准入审核任何软件进入本局终端前必须完成以下四项审核，任一项不通过即禁止安装：1.必要性审核：由需求科室填写《软件安装申请表》（见附表1），说明用途、替代方案，科室负责人签字。已有功能等同软件的（如已配WPS再申请Office），原则上不予批准。2.来源审核：必须来自官方渠道或政府采购供应商，安装包哈希值（SHA-256）与官方公布值比对一致。来源不明的安装包一律删除并溯源。3.安全审核：安装前在隔离测试机上试运行3个工作日，经杀毒软件全盘扫描无威胁、无异常外联行为（通过流量日志核查）方可放行。4.合规审核：核查软件许可证类型与数量，开源软件须核查其许可证条款（禁止引入GPL类强制开源传染条款软件用于需保密的业务系统二次开发）。3.2第七条安装分级与权限软件类别示例安装权限时限要求基础办公类WPS、浏览器、压缩工具信息科统一镜像预装终端交付时业务系统类国资监管业务平台客户端信息科凭业务科室书面需求安装申请后2个工作日内专用工具类财务软件、审计取数工具信息科安装+科室负责人确认申请后3个工作日内临时性软件项目评审用的专用阅读器限时授权，最长保留30天后卸载到期信息科核查卸载安装后24小时内，信息科须将软件名称、版本号、序列号或授权凭证、安装终端编号、安装日期、安装人录入《软件资产台账》。3.3第八条严禁行为及替代方案•严禁使用个人U盘、移动硬盘拷贝安装包安装软件（外来介质是勒索病毒进入内网的最主要途径，历史上多起政务内网感染事件均由此引发）→替代方案：通过本局内部软件分发服务器（或信息科现场安装）获取安装包；确需使用外部介质时，介质先在病毒查杀专机上全盘扫描30分钟无异常后使用。•严禁安装破解版、绿色版、去广告修改版软件（除侵权违法外，此类软件2023年以来多起被证实捆绑后门程序，可窃取终端上的公文与账号凭证）→替代方案：预算不足时申请开源替代软件或列入次年采购计划。•严禁在业务终端安装与工作无关的娱乐、游戏、挖矿类软件（挤占带宽、引入高危组件、违反办公设备用途）→替代方案：确有正当需求的（如宣传视频剪辑），按第六条流程申请并安装于指定非涉密终端。•严禁私自关闭或卸载统一部署的杀毒软件与终端管控客户端（将导致终端脱离统一防护与审计体系，成为内网薄弱点）→替代方案：因软件冲突确需临时退出的，向信息科书面申请，经批准后由信息科操作，事情处置完毕当日恢复。四、第四章软件维护管理4.1第九条补丁与版本管理•操作系统与办公软件安全补丁：信息科每月第2周统一测试后推送，重要紧急漏洞补丁（CVSS评分9.0及以上）必须在漏洞公告发布后72小时内完成全局推送。补丁推送前必须在3台以上代表性终端上验证24小时，确认无兼容性故障。•业务系统升级：升级前必须完成数据备份（数据库全量备份+备份文件恢复演练验证，每半年至少1次）并发布停机公告（提前3个工作日通知各科室）。•补丁安装失败的终端，信息科应在5个工作日内定位原因（磁盘空间不足、依赖缺失等）并完成处置，处置期间将该终端纳入重点监控名单。4.2第十条故障分级响应级别判定标准响应时限处置权限处置原则一级（重大）业务系统整体不可用、勒索病毒感染、疑似数据泄露15分钟内响应，2小时内给出处置方案信息科负责人启动，报分管副局长优先隔离（断网、封端口），防止扩散；保留现场证据，严禁自行“格式化重装”销毁证据二级（严重）单科室多台终端同一软件故障、业务系统功能模块异常30分钟内响应，4小时内恢复信息科工程师处置先启用备用方案（如客户端故障改用网页端）保障业务，再排查根因三级（一般）单台终端单个软件异常、性能缓慢2小时内响应，1个工作日内解决信息科常规工单处理工单闭环，填写故障原因分类所有故障处置完成后，处置人须在工单中记录：故障现象、根因、处置步骤、耗时、预防措施，工单经使用人签字确认后归档，保存期不少于2年。4.3第十一条故障演化路径与阻断点以勒索病毒事件为例，其典型演化路径为：外来介质或钓鱼邮件带入木马→终端感染并提权→通过共享目录和弱口令横向扩散至文件服务器→业务数据被加密→全局业务中断。据此设置四个阻断点：1.源头阻断：介质扫描专机+邮件网关附件沙箱检测；2.终端阻断：终端管控软件强制启用、管理员权限收紧、补丁及时率纳入考核；3.扩散阻断：科室间共享目录按需最小化授权、服务器弱口令每季度专项排查；4.损失兜底：核心业务数据每日增量、每周全量备份，备份介质异机存放，每半年开展1次恢复演练，演练恢复时间超过4小时即判定备份方案不合格并整改。4.4第十二条日常巡检•信息科每季度对全局终端开展1次软件合规巡检：核对终端已装软件与台账的一致性、杀毒软件与管控客户端在位状态、补丁安装率。巡检覆盖率必须达到100%，单次巡检在5个工作日内完成。•巡检发现台账外软件的，当场登记并评估风险：高危（含破解组件、异常外联）立即卸载，一般软件限使用人3个工作日内提交补办申请或由信息科卸载。•巡检结果形成《季度软件合规巡检报告》，报分管副局长，抄送违规人员所在科室负责人。五、第五章软件卸载、更换与退出5.1第十三条卸载管理•终端报废、人员调离时，使用人科室须在3个工作日内通知信息科，信息科在5个工作日内完成该终端软件清点：专用工具类软件卸载并回收许可证，业务系统客户端注销账号，涉密数据按保密规定清除，台账同步销账。•软件授权到期前30天，信息科比对台账向使用科室发出续费或卸载通知；到期未续费的软件，信息科在第31天统一卸载，卸载前将软件产生的业务数据导出备份并移交科室。5.2第十四条版本更换同功能软件更换（如办公套件整体替换）必须执行：新旧软件并行试运行不少于1个月→收集不少于3类典型岗位使用反馈→制定数据迁移方案并在测试环境验证→分批切换（先试点1个科室，运行2周无重大问题后全局推广）→旧软件保留只读环境3个月供历史文件调阅，期满卸载。六、第六章监督与责任追究6.1第十五条违规分级处理•一般违规：私自安装非涉密普通软件，未造成后果的，责令当日卸载，由信息科登记，对使用人进行提醒谈话；同一人年度累计2次的，通报所在科室。•严重违规：安装破解软件、关闭安全防护软件、将办公终端借予无关人员安装软件的，通报批评并纳入年度考核，限期完成安全整改。•重大违规：违规行为导致病毒扩散、数据泄露、业务中断或侵权赔偿的，按《中华人民共和国网络安全法》及本局有关规定追究责任；涉及违法犯罪的移交司法机关。6.2第十六条考核软件合规情况纳入科室年度信息化考核，考核指标包括：补丁安装率（目标≥98%）、台账一致率（目标100%）、故障工单按时办结率（目标≥95%）、违规安装次数（目标0次）。七、第七章附则7.1第十七条解释与生效本规定由信息科负责解释，自发布之日起施行。原有与本规定不一致的要求，以本规定为准。本规定每年由信息科评估1次，根据漏洞态势、软件资产变化提出修订建议。八、附表1：软件安装申请表（样表）项目内容申请科室/申请人申请日期软件名称及版本软件来源（官方网址/采购合同号）安装终端编号用途说明现有软件是否可替代是/否（说明：）许可证类型及数量科室负责人意见签字/日期信息科安全审核意见试运行结论/扫描结论/签字批准人（分管副局长，重大软件）签字/日期九、附表2：软件资产台账（样表）序号终端编号使用人软件名称版本号许可证号/授权凭证安装日期安装人状态（在用/卸载/到期）备注1十、附表3：故障工单（样表）项目内容工单编