公司信息系統(tǒng)、信息設備和存儲設備安全策略

10關于印發(fā)《XXX公司信息系統(tǒng)、信息設備和存儲公司各部門：為進一步加強公司信息系統(tǒng)、信息設備和存儲設備的標準化治理，確保公司各類信息系統(tǒng)、信息設備和存儲設備正常運XXX公司信息系統(tǒng)、信息設備和存儲設備安全策略》印發(fā)給你們，請嚴格遵照執(zhí)行。原安全策略同時作廢。XXX2021628XXX信息系統(tǒng)、信息設備和存儲設備安全策略第一條定義公司〔公司公司”〕備安全策略包括：物理環(huán)境安全、信息設備安全、存儲介質安全、操作安全、信息交換安全、審計安全以及運維安全。策略變更審批單進展調整。其次條安全目標XXX人民共和國保守國家隱秘法》、《中華人民共和國保守國家隱秘法實施條例》、《武器裝備科研生產單位認定方法》及《武器裝備科研生產單位標準》〔二級〕等有關法律法規(guī)，結合公司實際狀況，承受符合備中應當遵循的規(guī)章和要求進展了具體的表達，以保障公司涉密信息安全。第三條編制與適用范圍公司信息系統(tǒng)、信息設備和存儲設備安全保密策略編制依據如下：《中華人民共和國保守國家隱秘法》；《中華人民共和國保守國家隱秘法實施條例》；《武器裝備科研生產單位認定方法》；《武器裝備科研生產單位標準》〔二級〕；本安全策略適用于公司信息系統(tǒng)、信息設備和存儲設備安全保密治理工作。第四條安全方針及原則信息系統(tǒng)、信息設備和存儲設備安全保密治理的安全方針：分類治理、責任到人，預防為主、樂觀防范，共同努力、保證安全。信息系統(tǒng)、信息設備和存儲設備安全保密治理的安全原則：運行標準、事先預防、分類管控、按責落實。第五條安全組織機構保密委員會是公司保密治理的領導機構，貫徹國家有關保密工作的法律、法規(guī)、方針、政策，落實集團公司等上級單位及公司黨支部關于保密工作的部署和要求，組織開展各項保密工作，指導、檢查各部門保密工作，審議解決保密工作中的重大問題，催促落實有關重大泄密隱患的整改工作。息設備和存儲設備的規(guī)劃、建設、運行維護以及安全保密的監(jiān)視治理工作，承受保密工作機構的指導、監(jiān)視和檢查。科研生產部是公司信息系統(tǒng)責公司信息系統(tǒng)承受信息化主管部門監(jiān)視治理。第六條安全治理人員信息化治理部門配備相應的技術治理人員對公司信息系存儲設備的安全保密工作進展專業(yè)化治理。運行維護機構配備安全保密治理員，負責公司信息系統(tǒng)、信息設備和存儲設備的日常運維，落實安全保密技術防護措施。技術治理人員兼任安全審計員，負責對運維人員的日常操作行為進展審計。第七條安全保密產品和工具公司涉密信息設備和存儲設備使用的安全保密產品和工具主要有：〔一〕涉密計算機及移動存儲介質保密治理系統(tǒng)〔三合一〕；〔二〔三〕惡意代碼關心檢測系統(tǒng)；〔四〕終端安全登錄系統(tǒng)；〔五〕主機監(jiān)控審計系統(tǒng)；〔六〕輸出審計：打印刻錄監(jiān)控與審計系統(tǒng)；〔七〕電磁泄漏放射防護：視頻干擾器、紅黑隔離電源插座；〔八〕保密技術檢查工具；第八條安全策略〔一〕物理環(huán)境安全策略涉密信息設備不得與互聯(lián)網及其他任何信息網絡有直接或間接的連接，保證網絡在物理連接上是完全隔離的。具體物理環(huán)境安全策略如下：涉密信息設備和存儲設備制止承受有線或無線方式與互聯(lián)網及其他任何信息網絡的交換機、效勞器、信息終端等設備進展連接；涉密臺式計算機在機箱黏貼易碎貼，確保用戶不能私自拆開計算機機箱接觸到硬盤等存儲設備；涉密信息設備和存儲設備連接的外部設備制止承受有線或無線方4.涉密計算機嚴禁安裝調制解調器或實行其他方式直接、間接與互聯(lián)網及其它外部信息網絡連接；涉密計算機嚴禁安裝或使用任何無線設備，包括無線鍵盤、無線鼠標和無線網卡等；嚴禁將涉密存儲介質在連接互聯(lián)網的計算機及其它非涉密計算機中使用；承受電子門禁系統(tǒng)、視頻監(jiān)控系統(tǒng)和警報系統(tǒng)對保密室的人員出入狀況進展監(jiān)控；加強所處周邊環(huán)境邊界、涉密計算機和存儲設備所在建筑物主要出入口的安全掌握,外部人員進出實行登記制度。保密室門外安裝視頻監(jiān)控與門窗內安裝紅外報警系統(tǒng)，在人防、24〔二〕信息設備安全涉密計算機根本安全策略確定涉密計算機密級。依據計算機處理的國家隱秘信息的最高密級，確定該臺計算機的密級，確定計算機密級應辦理審批手續(xù)。建立完善的涉密計算機臺賬，臺賬中應至少包括保密編號、設備編號、密級、責任部門、責任人、物理安裝位置、用途、品牌型號、操作系統(tǒng)版本、操作系統(tǒng)安裝日期、硬盤序列號、使用狀況等工程。、編號、責任人、用途等信息。標識粘貼在設備明顯位置，不行涂改，并與涉密信息的存儲部件相關聯(lián)。嚴禁將涉密計算機以有線或無線等任何連接方式接入互聯(lián)網及其他任何信息網絡。涉密計算機使用的安全保密產品應選擇國產設備。所選產品必需證書等相關材料歸檔治理。涉密計算機不得存在攝像頭和無線網卡嚴禁在涉密計算機上接入手機、無線鼠標、鍵盤等無線設備和非授權使用的存儲介質。嚴禁未經審批擅自給涉密計算機連接設備，涉密計算機如需連料應辦理審批和登記手續(xù)。UPS設備供電的除外〕。要求的低輻射計算機或承受一級視頻干擾器進展防護。涉密計算機使用人不得私自格式化硬盤,如確因系統(tǒng)問題需要格式化的,必需先履行審批手續(xù)。制止私自更換硬盤和其他硬件設備。涉密計算機不得私自重裝操作系統(tǒng)，如確因系統(tǒng)問題需要重安裝的，必需先履行審批手續(xù)。涉密計算機不得隨便安裝軟件，涉密計算機上制止安裝和存安裝審批。涉密計算機制止刪除存儲介質及外部設備等日志記錄。涉密計算機數(shù)據存儲介質和移動存儲介質發(fā)生故障后，如確派人共同負責設備送取工作。涉密計算機和移動存儲介質需要報廢處理時，必需送到國家保密行政治理部門指定的銷毀機構進展銷毀。涉密中間機、工作機、便攜式計算機安全策略計算機除執(zhí)行根本安全策略外，還需具備以下安全策略：BIOS錄口令、屏?？诹睿也恍袨槟J口令。開機時屏蔽啟動菜單項選擇項。涉密計算機必需在BIOS防止通過光盤、USB介質等引導方式繞過身份鑒別策略直接訪問涉密信息。計算機BIOS8〔10〕，且為簡單密碼；101〔1〕。登陸操作系統(tǒng)承受USBKeyPin別時Pin610涉密計算機應安裝主機監(jiān)控審計、防病毒等安全軟件，審計日6一次。涉密計算機必需使用USB-KeyUSB-Key〔通常10〕后，在該用戶需要執(zhí)行其它操作之前，應對該用戶重定，同時形成審計大事并告警?！瞐dministrator〕和用戶日常使用賬號，刪除其他賬號，禁用guest〔四〕2〔1〕節(jié)執(zhí)行。嚴禁未經審批擅自給涉密計算機連接設備，涉密計算機如需連涉密文件資料應辦理審批和登記手續(xù)。涉密計算機不得保存操作系統(tǒng)恢復分區(qū)和一鍵恢復功能。公司涉密便攜式計算機由運維機構集中治理，各部門使用時應辦理借用手續(xù)，涉密便攜式計算機在使用過程中應使用紅黑電源隔離插座。涉密便攜式計算機不得帶有無線上網功能。涉密便攜式計算機綁定使用經過注冊的涉密專用移動存儲介質〔涉密計算機及移動存儲介質保密治理系統(tǒng)配套的涉密專用移動存儲介質〕，涉密便攜式計算機歸還時由安全保密治理員進展檢查并對計算機和存儲介質上的信息進展去除處理。公司設置專供外出攜帶的涉密便攜式計算機，外出訪用時須辦理借用及外出攜帶審批手續(xù)。借用前依據需求開放輸入輸出端口，歸還時由安全保密治理員進展檢查并對計算機和存儲介質進展去除處理，所承受的技術、設備和措施應當符合國家有關標準要求。由于操作系統(tǒng)版本或軟件沖突等特別緣由難以在涉密計算機上實行某項技術掌握措施的，必需由運維部門依據具體狀況進展技術分析和風險評估。經分析和評估后確認無法在技術上掌握的，由運維部門、信息化主管部門與責任部門共同爭論加強保密治理的措施，保證安全可控，對該涉密計算機落實責任人，明確治理要求和具體措施，并由責任人書面簽字確認。多人共用涉密計算機安全策略多人共用計算機除依據涉密計算機安全防護策略進展配置外，還需具備以下安全策略：共用一臺涉密計算機的用戶，原則上其密級和涉密信息知悉范圍必需一樣。多人共用的涉密計算機應安裝支持多用戶版本的客戶端安全防護軟件。應為每個用戶分別設置唯一的用戶標識，通過操作系統(tǒng)安全策略限制用戶的權限〔poweruser〕，通過安全軟件的策為每個用戶劃分一個獨立的硬盤分區(qū)用于處理使用人信息。配置相應分區(qū)的訪問權限、用戶的環(huán)境變量和我的文檔的所在位置，制止用戶訪問其他用戶分區(qū)?；ヂ?lián)網計算機安全策略建立互聯(lián)網計算機臺賬，臺賬中至少包括責任部門、責任人、IPMAC使用狀況、保密編號、設備編號、物理位置等工程。、責任人、用途等信息?；ヂ?lián)網計算機嚴禁處理涉密信息、嚴禁連接涉密介質，嚴禁使用涉密外部設備?；ヂ?lián)網計算機實行實名上網，上網人員須嚴格遵守安全保密規(guī)將設備讓他人使用，同時在進展打印、下載、發(fā)送郵件前進展審批并記錄。使用互聯(lián)網計算機公布信息必需辦理審查審批手續(xù)。不得私自關閉互聯(lián)網計算機的防病毒軟件改注冊表審批，審批同意后由設備責任人進展安裝。實行技術措施對互聯(lián)網計算機上網行為進展審計，進展檢查時將調閱審計日志。不得私自格式化硬盤、重裝系統(tǒng)、更換硬盤和其他硬件設備，依據保密程序審批同意后,由安全保密治理員進展相關操作。不得在互聯(lián)網計算機上接入手機、無線鼠標、無線鍵盤以及音頻和視頻輸入等設備。內部計算機安全策略內部計算機為不涉及國家隱秘的計算機，任何部門和個人不得備科研生產等內容的敏感信息。建立內部計算機臺賬，臺賬中至少包括責任部門、責任人、品IPMAC用狀況、保密編號、設備編號、物理位置等工程。內部計算機粘貼標識，設備標識包含設備名稱、密級、編號、責任人、用途等信息。內部計算機嚴禁處理涉密信息、嚴禁連接涉密介質，嚴禁使用涉密外部設備?！蚕到y(tǒng)自帶殺毒軟件也可以得私自關閉或卸載。不得私自格式化硬盤、重裝系統(tǒng)、更換硬盤和其他硬件設備，依據保密程序審批同意后,由安全保密治理員進展相關操作。不得在內部計算機上接入手機、無線鼠標、無線鍵盤、無線網卡等藍牙、NFC設備。〔三〕存儲設備安全嚴禁將光盤、軟盤、U盤、移動硬盤、存儲卡、錄音筆等任何存儲涉密信息的介質與互聯(lián)網計算機或非涉密計算機連接。嚴禁在涉密計算機和非密計算機之間穿插使用移動存儲介質。在涉密信息設備中不得使用非涉密移動存儲介質，涉密信息設備中只能保存和使用涉密移動存儲介質。全部涉密計算機安裝涉密計算機及移動存儲介質保密治理系統(tǒng)〔三合一〕，通過技術手段確保非涉密移動存儲介質和單位非受控移動存儲介質無法在涉密計算機上使用，涉密移動存儲介質無法在非涉密計算機上使用。移動存儲介質應建立臺賬，臺賬中應包括名稱、保密編號、介質品牌、介質類型、密級、U盤序列號、產品序列號、責任部門、責任人、啟用時間、使用狀況等。涉密移動存儲介質須依據涉密載體保密治理的要求嚴格落實制作、收發(fā)、傳遞、使用、復制、保存、銷毀等環(huán)節(jié)的保密措施。〔四〕操作安全身份鑒別涉密計算機、通信及辦公自動化設備中的用戶使用唯一的用戶標識符來表用戶身份。用戶登錄用戶終端均使用USBkey+PIN碼的形式進展身份鑒別。用戶通過身份認證進展工作，登錄客戶端后，當其空閑未操作時間超過規(guī)定值〔不超過10分鐘〕后，再次進展操作前必需重進展身份認證。用戶意外退出、強行退出涉密應用系統(tǒng)后，再次進入重進展身份認證。用戶嘗試身份認證失敗次數(shù)到達五次后，涉密計算機、通信及辦公自動化設備需進展身份認證失敗處理。身份認證失敗后，對于本地登錄，進展登錄鎖定，同時形成審計記錄。對于應用程序，制止使用該程序或鎖定一段時間后再允許重進展身份認證，同時形成審計記錄。，承受符合保密要求的用戶名/口令的方式進展身份鑒別。、不易猜測的口令，一般為大小寫英文字母、數(shù)字、特別符號的組合,口10訪問掌握涉密計算機及移動存儲介質保密治理系統(tǒng)〔三合一〕安全策略①全部涉密計算機安裝三合一系統(tǒng)。②標準策略：涉密輸入機策略：啟用多功能導入裝置〔單項導入〕、禁用PCMCIA接口卡、禁用光驅刻錄功能、禁用串口、禁用并口、禁用打印機、禁用智能卡讀卡器、禁用藍牙設備、禁用紅外設備、禁用IEEE1394IEEE1394USB帶機、禁用WindowsCEUSB〔多功能卡〕、禁用軟驅掌握器、禁用軟盤驅動器。涉密工作機策略：啟用多功能導入裝置〔單項導入〕、禁用PCMCIA接口卡、禁用CDROMIEEE1394設備、禁用IEEE1394USB器、禁用磁帶機、禁用WindowsCEUSB〔多功能卡〕、禁用軟驅掌握器、禁用軟盤驅動器?！矄雾棇隤CMCIA接口卡、禁用串口、禁用并口、禁用智能卡讀卡器、禁用藍牙設備、禁用紅外設備、禁用IEEE1394IEEE1394解調器、禁用磁帶機、禁用WindowsCEUSB〔多功能卡〕、禁用軟驅掌握器、禁用軟盤驅動器。涉密輸出機信息導出〔包含刻錄光盤和打印文件〕實行一事一批。④制止將三合一系統(tǒng)中涉密專用移動存儲介質策略設置為“通用”。⑤禁用虛擬機。終端安全登錄與監(jiān)控審計系統(tǒng)安全策略①全部涉密計算機安裝終端安全登錄與監(jiān)控審計系統(tǒng)，為全部涉密計算機用戶綁定USB-Key。②默認策略禁用本地打印、制止網絡打印、制止使用光驅、制止刻錄一般光盤、制止刻錄安全光盤、制止使用一般USB存儲介質、制止使用注冊存儲介質、制止使用軟驅、制止監(jiān)視移動存儲介質。使用USB1394PCMCIA與審計。③涉密輸出機策略驅、允許監(jiān)視移動存儲介質。使用USB1394PCMCIA監(jiān)控與審計?！参濉承畔⑤斎胼敵鲈O置涉密輸入機，安裝光驅，禁用光驅刻錄功能。不連接任何儲介質，承受光盤和本單位的涉密專用移動存儲介質。設置非密輸入機，安裝光驅，不連接任何網絡，全部輸入涉密計算機的非涉密信息均須在該機上進展病毒和木馬查殺處理后轉刻光盤，使用任何移動存儲介質，只承受光盤。不得處理內部及以上信息。中間機需定期更系統(tǒng)補丁并升級相關安全防護類軟件。設置一臺涉密輸出機，安裝刻錄光驅，配備涉密計算機及移動用于涉密計算機信息輸出。信息輸入輸出流程①非密信息輸入流程〔填XXX/全保密治理員，承辦人在《信息輸入登記本》上登記記錄。輸入按以下流機。②涉密信息輸入流程需要將涉密信息導入涉密計算機時，承辦人首先辦理審批手續(xù)〔填XXX/保密治理員，承辦人在《信息輸入登記本》上登記記錄。輸入按以下流程盤-將信息導入本人涉密計算機。③信息輸出流程需要將信息從涉密計算機輸出時，承辦人首先辦理審批手續(xù)〔填寫《XXX/將審批單交給到安全〔審批單〕--審計打印刻錄申請—通過三合件--刻錄成光盤或打印成紙質文件將計算機上的文件刪除。計系統(tǒng)的審計功能進展審計，安全保密治理員和安全審計員應定期進展檢查。文件打印刻錄輸出統(tǒng)一承受打印刻錄監(jiān)控與審計系統(tǒng)進展治理計員定期對審計記錄進展分析。〔六〕信息交換非密輸入機能且只能與涉密輸入機之間通過光盤進展信息交換。〔工作機〔不同責任人不得直接進展信息交換?！补ぷ鳈C〔三合一供給的涉密專用移動存儲介質進展信息交換。涉密計算機與外單位涉密計算機間交換數(shù)據僅可承受光盤形式。〔七〕應急響應嚴格執(zhí)行公司應急響應相關規(guī)定，明確各類大事的處理流程和處理方式。定期對應急響應策略進展審查和修正，適時更應急策略。針對不同的系統(tǒng)或設備制定不同應急處置預案，并預案分發(fā)給相應的治理人員?！舶恕硨徲嫲踩罁到y(tǒng)脆弱點、運行性能和安全需求確定系統(tǒng)安全審計范圍，審計范圍為安全大事的事后追查供給足夠信息。安全審計與身份鑒別、訪問掌握、數(shù)據完整性等安全功能的設計嚴密結合，并為下述可審計大事產生審計記錄：審計功能的啟動和關閉，系統(tǒng)內用戶增加、刪除，用戶權限的更改，安全保密治理員、安全審計員的可審計大事?！簿拧尺\維安全治理打印、刻錄監(jiān)控與