市国资局软件日常使用管理规定

市国资局软件日常使用管理规定一、第一章总则软件是市国资局履行出资人监管、财务监测、数据报送等职能的基础工具，软件使用不规范导致的直接后果包括：监管数据报送错误引发上级通报、办公终端中毒导致企业产权信息泄露、盗版软件引发法律索赔。本章明确规定的适用范围与责任体系，是后续各章执行的依据。1.1第一条目的与依据为规范市国资局（以下简称“本局”）各科室软件的安装、使用、维护与退出行为，保障业务系统连续稳定运行，防范信息安全与知识产权风险，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《计算机软件保护条例》及国家关于机关信息化管理的有关要求，结合本局实际，制定本规定。1.2第二条适用范围1.本局机关全体在编人员、聘用人员、借调人员及进入办公场所提供现场服务的外部人员。2.覆盖对象包括：办公终端（台式机、笔记本）上运行的全部软件、本局自建业务系统、上级部门下发部署的专网系统、移动办公终端上的工作类应用。3.涉密信息系统按照保密管理部门专项规定执行，本规定不替代涉密要求；涉密终端与非涉密终端的软件管理要求发生冲突时，从严执行。1.3第三条管理职责分工•局信息化主管领导（分管副局长）：审批软件引入与退出年度计划，审批重大变更（见第五条分级标准），每季度听取一次信息化管理情况汇报。•办公室（信息化管理员岗位）：归口管理软件台账、安装审批、补丁分发、杀毒管控、账号开通回收，为各项事务的第一责任岗位。•各科室负责人：本科室人员软件使用的日常监督责任人，负责核实本科室台账真实性、督促问题整改，整改不力的在月度考核中扣分。•全体使用人员：遵守本规定的直接责任人，对个人账号下的全部操作行为负责。二、第二章软件安装与台账管理软件风险的大头不在技术，而在“装了什么没人知道”。一台终端私自安装的来路不明软件，可能成为勒索病毒入侵整个内网的入口；一个无人登记的共享账号，可能让数据泄露后无法追溯责任人。本章的核心是“先审批、后安装、可追溯”。2.1第四条软件引入审批分级级别范围审批人时限A类全局部署的业务系统、办公软件、杀毒软件分管副局长审批，报局党组备案5个工作日内答复B类单科室使用、不联网或仅访问内网的小工具软件办公室主任审批3个工作日内答复C类临时性使用不超过30天的软件科室负责人同意+信息化管理员登记当日答复1.申请流程：填写《软件安装申请表》（附件1），注明软件名称、来源、版本、用途、使用范围、数据接触情况，提交信息化管理员。2.审批要点：办公室应在审批前完成三项核查——软件来源是否为官方渠道或政府采购目录内产品、是否存在已知高危漏洞（查询国家信息安全漏洞库）、是否与已装软件功能冲突。3.逾期未答复视为不同意，申请人不得自行安装。2.2第五条严禁行为与替代方案1.严禁安装未经审批的软件，尤其严禁从非官方渠道下载安装包（捆绑安装、二次打包是木马的主要传播途径）。需要某类功能时，向信息化管理员申请，由管理员从可信渠道获取替代软件。2.严禁使用个人网盘、个人邮箱传输本局业务数据。工作文件传输必须使用局内网共享目录或政务外网规定的传输渠道；确需外发的，经科室负责人审批后使用加密压缩并另行报备。3.严禁关闭或卸载统一部署的终端杀毒软件与终端管控客户端。若杀毒软件误报正常业务软件，联系信息化管理员处理（管理员应在1个工作日内评估并加白名单），不得自行停用。4.严禁多人共用同一账号操作系统。系统必须实名开通个人账号；因系统本身不支持多账号的（如部分上级下发系统），由科室指定专人操作并登记《共用账号使用登记表》，账号密码每季度更换一次。2.3第六条软件台账1.信息化管理员维护全局《软件资产台账》，记录软件名称、版本号、授权方式、授权数量、安装终端编号、责任人、引入审批文号、到期时间。2.台账实行动态更新：新装软件3个工作日内录入；卸载或版本变更3个工作日内更新；每年6月底、12月底各组织一次全面盘点，盘点结果与终端实际安装清单（用管控客户端导出）比对，差异项5个工作日内查明原因并处理。3.台账保存期限不少于5年，作为审计、保密检查与责任追溯的依据。三、第三章软件日常使用要求日常使用环节的问题多为低级错误——弱口令、不退出系统、桌面文件混存——但恰恰是这些低级错误构成了绝大多数泄露与中断事件的起点。本章将使用要求落到具体动作与数值标准上。3.1第七条账号与口令1.口令长度不少于12位，须同时包含大写字母、小写字母、数字、特殊字符中的至少三类；不得使用姓名拼音、生日、工号、连续字符（如123456、abc123）。2.口令每90天更换一次；同一口令不得在两个及以上系统中重复使用；系统提示口令到期前7天由使用人自行更换，逾期未更换的系统自动锁定后由管理员核实身份解锁。3.离开工位超过30分钟或每日下班，必须锁定屏幕或退出系统；操作业务系统完毕必须点击退出，不得直接关闭浏览器（会话残留可能被同终端后续使用者劫持）。4.连续5次输错口令账号自动锁定30分钟；管理员解锁前须核对申请人身份（工牌+电话回拨科室座机确认）。3.2第八条数据操作规范1.业务数据录入实行“谁录入、谁核对、谁负责”：涉及上报数据（如企业财务快报、产权登记数据）的，录入人自查一遍、科室第二人复核一遍并签字确认，方可提交。2.涉及企业产权、财务、人事等敏感信息的文件，必须存放于指定加密目录（终端管控客户端设置的受控区），不得存放于桌面、个人文件夹或U盘根目录。3.U盘使用实行登记制：办公U盘由信息化管理员统一编号发放，外来U盘接入办公终端前必须经管理员查毒；涉密终端严禁插入任何未经保密审批的移动介质。4.打印敏感文件后必须当场取走；打印错误或废弃的含敏感信息纸张必须用碎纸机销毁，不得放入普通废纸篓。3.3第九条外部人员现场服务管理1.厂商人员现场维护必须提前1个工作日报信息化管理员登记（人员姓名、身份证号、服务内容、预计时长），进入机房或操作终端时须由本科室人员全程陪同。2.厂商人员不得使用管理人员账号，须由管理员临时开通受限账号，服务完毕当日回收；陪同人员记录操作内容，形成服务记录单存档。3.厂商远程维护必须在管理员监视下通过受控远程工具进行，全程录屏留存不少于90天；严禁直接向厂商开放内网映射端口。四、第四章运行维护与故障处置维护工作的价值在于把故障消灭在用户感知之前，故障处置的价值在于把影响范围控制到最小。本章按故障严重程度分级响应，避免“所有问题都等管理员排队”导致的业务停摆。4.1第十条日常维护1.补丁管理：信息化管理员每月第1周内完成当月操作系统与办公软件补丁测试（在2台测试终端验证3个工作日无异常），第2周分批推送全局，遇高危漏洞（CVSS评分9.0及以上）不受批次限制，24小时内紧急推送。2.杀毒查杀：终端统一设置为每日凌晨自动全盘查杀，每周五下午管理员汇总查杀结果，发现感染终端当日处置。3.备份：业务系统数据库每日凌晨2:00自动全量备份，保留最近30天；每季度末进行一次恢复演练（抽取备份在隔离环境恢复并抽验10条数据），演练记录存档。4.2第十一条故障分级响应级别判定标准响应时限处置权限一级（重大）业务系统整体瘫痪、数据丢失或疑似泄露、被勒索病毒感染管理员15分钟内响应，1小时内报告分管副局长分管副局长启动应急处置，可决定断网、停系统二级（较大）单系统功能异常影响一个科室业务、单终端中毒已隔离30分钟内响应，4小时内恢复或给出临时方案信息化管理员处置三级（一般）单终端个别软件异常、不影响数据安全2小时内响应，1个工作日内解决信息化管理员处置1.报障渠道：统一通过局内工单系统提交（工单号即追溯依据）；工单系统本身故障时，电话报障并事后补录工单。2.一级故障处置原则：先隔离、后排查、再恢复——立即断开涉事终端或系统的网络连接，保护现场（不得擅自重装、删除日志），由管理员配合上级技术部门取证，恢复操作必须在备份验证通过后进行。严禁为“尽快恢复”而格式化中毒终端——这会销毁入侵路径证据，且若备份已感染，重装后二次感染。3.故障闭环：每起故障处置完毕后3个工作日内填写《故障处置记录单》，写明故障原因、处置过程、恢复验证结果、防范措施；一级、二级故障由分管副局长在下次季度汇报中通报。五、第五章软件退出与数据清理软件退出的风险最易被忽视：一个停用系统里的历史数据、一个离职人员未回收的账号，都是长期存在的泄露隐患。软件“从生到死”必须全程留痕。5.1第十二条软件停用与卸载1.软件停用审批：因授权到期、功能替代、系统升级等原因停用软件，由信息化管理员提出，按第四条同级别审批后执行。2.停用顺序：先导出归档数据并经数据责任科室书面确认归档完整，再停止服务，最后统一卸载终端客户端。严禁未归档先卸载。3.卸载后3个工作日内更新台账，标注退出原因与日期。5.2第十三条数据清理与账号回收1.人员离职或调岗当日，科室负责人通知信息化管理员，管理员在1个工作日内完成：停用全部系统账号、收回共用账号操作权限、变更该人员知悉的共用口令。2.终端重新分配使用前，管理员按《终端数据清理检查表》（附件3）逐项清理，含浏览器缓存、本地文件、邮件客户端缓存。3.报废终端的硬盘必须经低级格式化或物理销毁处理，留存处理记录；严禁未经数据清除直接报废或外送维修。六、第六章监督检查与责任追究没有检查的规定只是纸面文章，没有追责的检查只是走过场。本章通过“定期检查+差异处理+分级追责”形成PDCA闭环。6.1第十四条监督检查安排1.月度抽查：信息化管理员每月随机抽取不少于10台终端，检查安装软件与台账一致性、杀毒客户端状态、口令合规性，抽查结果当月通报。2.半年度专项检查：每半年由办公室会同纪检部门开展一次全面检查，覆盖全部终端与账号，形成检查报告报局党组。3.问题整改：检查发现问题按“整改通知—限期整改—复查销号”闭环管理，一般问题整改期限5个工作日，涉及数据安全的问题48小时内完成整改。6.2第十五条责任追究分级级别违规情形处理方式提醒级屏幕未锁、口令到期未换、桌面存放敏感文件等轻微违规口头提醒并记录，月度累计3次转为通报级通报级私装软件、使用个人网盘传文件、未按流程报障造成业务延误全局通报，科室负责人约谈，扣减当月考核分追责级造成数据泄露、系统瘫痪、病毒传播，或隐瞒不报依据《中华人民共和国公职人员政务处分法》及局相关规定追究责任，涉嫌违法的移送有关机关1.违规行为主动报告且未造成后果的，可从轻处理；隐瞒不报或推卸责任的，从重处理。2.外部人员违规的，立即终止其现场服务资格，并按合同约定追究所属单位责任。七、第七章附则1.本规定由局办公室负责解释，自印发之日起施行。2.本规定每年至少评估一次，结合上级新要求、系统变化和检查发现的问题修订；修订版经分管副局长审核、局党组审定后发布。3.上级部门出台的新规定与本规定不一致的，按上级规定执行，办公室应在10个工作日内启动本规定相应条款修订。附件附件1软件安装申请表项目填写内容申请人/科室软件名称/版本号获取渠道官方网站/政府采购/上级下发/其他（说明）用途说明使用范围单机/科室/全局是否接触敏感数据是（说明类型）/否申请日期/期望启用日期科室负责人意见签字：日期：信息化管理员核查意见来源核查/漏洞核查/冲突核查，签字：日期：审批人意见签字：日期：附件2应急联络通讯录（样表）岗位姓名办公电话移动电话职责分管副局长张某某0XXX-XXXXXXXX138******一级故障启动、重大事项审批办公室主任李某某0XXX-XXXXXXXX138******B类审批、检查组织信息化管理员王某某0XXX-XXXXXXXX138******台账、补丁、故障响应上级技术支持热线——————一级故障技术支援保密部门联络人——————涉密事项报告附件3终端数据清理检查表序号检查项完成情况复核人1系统