范文模版_信息系统运维安全管理规定.docx

《范文模版_信息系统运维安全管理规定.docx》由会员分享，可在线阅读，更多相关《范文模版_信息系统运维安全管理规定.docx（10页珍藏版）》请在第一文库网上搜索。

1、范文模版.信息系统运维安全管理规定文件名称信息系统运维安全管理规定密级内部文件编号版本号V0.1编写部门编写人审批人发布时间信息系统运维安全管理规定第一章总则第一条 为加强XXXXX信息系统运维的安全管理，保障信息系统的网络安全 与信息安全，依据国家有关法律、法规和XXXXX有关规章制度，特制定本规 定。第二条XXXXX信息系统运维安全管理范围包括网络安全管理、操作系统安 全管理、用户访问授权管理、密码管理、防病毒管理、系统补丁管理、介质 管理、信息交换管理、安全监控和审计管理、数据备份和恢复管理、日常运 行维护管理以及监督检查等相关内容。第三条 本规定适用于XXXXX信息系统运维中的安全管理

2、。第二章网络安全管理第四条 信息中心统一规划XXXXX网络架构，并根据安全风险情况部署安全 设备，确保网络安全和信息安全。第五条网络管理员应对网络拓扑进行统一管理，应保持拓扑结构图与现行 网络运行环境的一致性，拓扑图应包括网络设备、安全设备的型号、名称以 及与链路的链接情况等。第六条网络管理员应维护所有网络设备的物理连接情况，控制和管理网络 接口的使用。第七条网络管理员应监控网络的运行状况，发现影响较大的网络故障时， 必须及时向XXXXX信息中心报告。第八条 通信链路及带宽资源管理应当遵循合理分配、高效使用的原则，禁 止使用网络传送非业务需要的内容。第九条未经允许，网络中严禁随意使用无线网络通

3、讯设备进行访问。第十条 未经允许，任何计算机、网络设备、安全设备不允许随意接入网络 中。第十一条外部人员在接入互联网时，应经过部门领导的审核审批后才可接 入，同时要指定IP地址并进行记录，根据人员安全管理规定进行管理。第十二条 应对网络区域中的非法访问部署检测和审计措施，能够做到安全 事件可监控、可追踪和可审计。第十三条 对于网络中重要的网络设备、安全设备应开启审计功能，记录对 于设备配置变更的操作。第十四条网络安全管理应建立必要的安全技术措施确保网络的统一管理， 包括信息资产管理、网络拓扑管理、信息资源管理、网络异常流量管理、安 全事件监控管理、安全策略管理、安全预警管理等网络安全管理内容。

4、第十五条 应根据不同的业务安全等级合理划分网络安全域，安全域间应采 取逻辑隔离措施，根据业务需要仅开放必要的网络访问端口和服务，区域和 边界的访问控制策略应根据业务需要进行设置。第十六条 关键业务应用和网络访问应使用静态路由，如果使用动态路由， 应启用路由协议的安全认证机制，并控制路由信息的广播范围。第十七条 干路和核心的网络设备、安全设备、网络链路应建立冗余备份机 制，如果出现全网安全事件应根据应急处理预案进行应急响应。第三章操作系统安全管理第十八条 对于每个管理员建立单独的用户账号，特别要区分普通用户账户 号和管理员账号，账号不得共享。第十九条 操作系统中应限制登录和认证的次数，避免外界尝

5、试登录和暴力 破解的安全风险。第二十条操作系统的安装须遵从最小化安装原则，仅仅安装并运行必须的 系统服务和应用程序；第二十一条各应用系统主管在按规定安装各类软件时遵从最小化安装原 则，关闭和卸载与办公和业务无关的功能和服务。第二十二条 运行业务应用系统时，要使用保证应用系统正常运行的最小账 户权限，原则上禁止使用最高权限账号。第二十三条为了能够发现和跟踪系统中发生的各种可疑事件，需要启用安 全审计功能，以日志的形式记录用户登录系统、文件访问操作、账户修改等 行为的过程和结果信息，做到发生可疑事件时有据可查。第四章 用户访问授权管理第二十四条XXXXX各系统应根据不同角色确定不同的用户账号，账号

6、至少 分为以下角色：（一）系统管理员：负责维护系统的管理员，一般具有超级用户权限；（二）普通用户：访问系统的普通用户，一般只具有相应访问内容和操作 的最小权限；（三）第三方人员：临时或长期进行系统维护的非XXXXX内部人员，根据 第三方人员的维护范围确定其使用权限；（四）系统安全管理员：XXXXX进行安全审计的人员，具有能够查看系统 的日志和审计信息。第二十五条XXXXX各系统应根据“最小授权”的原则设定账户访问权限， 控制用户仅能够访问到工作需要的信息。第二十六条应根据XXXXX要求和员工岗位来创建、变更和撤销用户的账号 及权限，并定期对用户账号和权限进行监督、检查。第二十七条 各系统的账号

7、能标识系统访问的不同角色，并尽量避免使用系 统默认账号。第二十八条 应避免系统中存在多余、无用和测试账号，确保服务器中所有 的操作系统账号能够唯一标识操作人员。第二十九条系统安全管理员应当对系统中存在的账号进行定期审计，系统 中不能存在无用或匿名账号。第三十条 各系统应该设置审计用户的权限，审计用户应当具备比较完整的 读权限，审计用户应当能够读取系统关键文件，检查系统设置、系统日志等 信息。第三十一条 各系统应人员安全管理规定的要求限制第三方人员的访问 权限，对第三方的访问进行定期的检查和审计。第五章密码管理第三十二条XXXXX设备及系统的密码的设置至少符合以下要求：（一）长度大于8位；（二）

8、大小写字母、数字，以及特殊字符混合使用；（三）不是任何语言的单词；（四）不能使用缺省设置的密码。第三十三条账号密码至少应该保证每三个月换一次，包括：UNIX/Linux系 统root用户的密码、网络设备的enable密码、WindoWS系统Administrator 用户的密码，以及应用系统的后台管理用户密码等。第三十四条系统须强制指定密码的策略，包括密码的最短有效期、最长有 效期、最短长度、复杂性等。第三十五条密码不能以明文的方式通过电子邮件或者其它网络传输方式 进行传输。第三十六条不得将密码告诉与该工作无关的人员，如果第三方系统维护人 员需要登录系统，系统管理员为其设置临时密码，完成工作后

9、必须立刻修改 密码；第三十七条系统管理员不能共享超级用户的密码，应采用组策略控制超级 用户的访问。第三十八条除了系统管理员外，一般用户不能改变其它用户的密码。第三十九条当密码使用期满时，被其他人知悉或认为密码不保密时，网络 管理人员可按照密码更改程序变换密码。第四十条所有用户严禁将密码贴在终端上，输入的密码不应显示在显示屏 幕上，严禁随意丢弃记载有用户名密码的纸条等媒介物，不准用电话、电子 邮件等告诉密码。第四十一条 对于系统重要性高、资产价值高、威胁可能性大可以使用强度 更高的认证机制，例如采用双因素认证等。第六章防病毒管理第四十二条信息中心统一规划、统一部署具有国家许可的正版计算机防病 毒

10、系统软件。所有服务器和终端必须安装XXXXX配发的计算机防病毒软件， 否则不允许连入网络和处理工作。第四十三条所有的服务器和计算机终端应安装XXXXX要求的网络防病毒软 件，并对安装情况做相应记录，使用各种介质复制或者从网络上下载文件到 计算机上，应首先进行病毒查杀。第四十四条应使用XXXXX下发的正版软件，禁止随意安装软件，防止其中 可能存在恶意软件。第四十五条 信息安全管理员对防病毒软件系统进行监控，并记录病毒查杀 情况。安全管理员负责每周对防病毒系统的病毒库进行两次升级，升级完成 后进行记录。第四十六条XXXXX服务器、桌面计算机及便携式计算机一旦发现被计算机 病毒感染，应先将计算机与网

11、络隔离，确保病毒库已更新至最新版本，并及 时进行病毒查杀处理；当情况严重且无法在规定时限内紧急恢复或有效控 制时，应按照信息安全事件应急管理规定及时上报启动相应应急响应预 案，应注意保留防病毒系统记录。第七章系统补丁管理第四十七条应及时跟进各产品的安全漏洞信息和产品厂商发布的安全补 丁信息。第四十八条 安全补丁根据其对应漏洞的严重程度分为三个级别：紧急补丁、 重要补丁和一般补丁；紧急补丁必须在15天内完成加载，重要补丁必须在 一个月内完成加载，一般补丁要求六个月内完成加载，对于不能加载补丁的 情况，一定要采取其他的有效安全控制措施。第四十九条必须从各产品厂商官方渠道获取安全补丁，补丁加载应制定

12、严 格的计划。第五十条补丁加载之前必须经过严格的测试，测试环境与生产环境尽可能 一致，严禁未经测试直接在生产系统上加载补丁。第五十一条 补丁测试的内容包括补丁安装测试、补丁功能性测试、补丁兼 容性测试和补丁回退测试：（一）安装测试主要测试补丁安装过程是否正确无误，补丁安装后系统是 否正常启动。（二）补丁功能性测试主要测试补丁是否对安全漏洞进行了修补。（三）补丁兼容性测试主要测试补丁加载后是否对应用系统带来影响，业 务是否可以正常运行。（四）补丁回退测试主要包括补丁卸载测试、系统还原测试。第五十二条补丁加载必须安排在业务比较空闲的时间进行，对补丁加载的 操作过程必须按照计划严格操作，并详细记录。

13、第五十三条系统管理员对加载补丁后的系统必须按照计划和验证方案进 行的测试验证，确保补丁加载后不影响系统的性能，确保各项业务操作正常。 第五十四条 补丁加载后的一周内，系统管理员必须对系统性能和事件进行 密切的监控。第五十五条完成补丁加载后系统管理员应将补丁安装情况通知系统安全 管理员。第八章介质管理第五十六条本规定中的存储介质是指设备内或者独立存放的磁介质、光介 质及其它记录载体（如计算机硬盘、光盘、移动硬盘、U盘、软盘和录音带、 录像带等）。第五十七条对存储介质应根据信息中心机房信息资产登记记录进行统一 的登记和记录，介质的使用、转移、维修和销毁必须严格管理。第五十八条存储介质应贴好标签进行

14、标识，标识标志必须贴在表面易于辨 识的地方，应标注介质编号、介质有效期截止日、日期、操作人员、环境名 称、内容、用途和数据保存时间等信息。第五十九条所有含有内部信息的存储介质对外部人员访问是受控的，严禁 任何人带离工作场所，如外出进行更换或者维修的损坏介质，需要签订保密 协议。第六十条 存储介质应保存在安全的物理环境下（如：防火、电力、空调、 湿度、静电及其他环境保护措施），对于存放重要数据的存储介质应当在异 地进行备份。第六十一条 应根据存储介质的使用寿命，制定数据恢复测试计划，以避免 数据丢失。第六十二条 对含有重要数据的存储介质不再使用时，必须执行重复写操作 防止数据恢复。第六十三条 对

15、于磁带、光盘、纸质等存储介质进行报废处理时，应采取切 碎或者烧毁的方式进行。第九章信息交换第六十四条防止XXXXX与外部单位间或者XXXXX内部交换信息时信息受 损、修改或者滥用，做到对信息交换的有效控制，确保信息交换的有效性和 安全性；第六十五条信息交换方式包括传输介质、电子邮件、OA办公系统、电话、 传真及其他信息交换形式；第六十六条 通过信息系统进行自动信息交换或者数据传送时，必须选择安 全的通讯协议，要在信息系统间进行认证确认发送方和接受方，并对传输的 数据进行完整性验证，对于敏感数据的传输要采用加密措施。第六十七条 在电子邮件中不得明文发送XXXXX敏感信息，可通过对信息加 密再传送的方法实现，明确要求不能在网络中明文传送密码信息。第六十八条在使用办公系统时，应控制业务信息的扩散范围，禁止非XXXXX 人员访问办公系统。第六十九条 通过传真发送重要信息时，要确保收件人号码正确，并先通知 收件人接收后再正式开始发送，发送后并立即与接受方确认。第七十条 传送物理介质（如纸质、光盘、移动介质）时，要使用可靠的传 输工具或投递人，以保证传送过程的安全，并在提交时识别投递人身份，包 装外观必须采取非透明材料，并且包装本身应能够保证介质本身的物理安 全，需要的时候采取特殊的控制措施保护敏感数据免遭非法公开或修改。第十章安全监控和