F4-B-研發(fā)服務體系-001-V1.0-運行時信息資產安全分級管理制度

【運行時信息資產安全分級管理制度】F4-B-研發(fā)服務體系-001-V1.0第頁運行時信息資產安全分級管理制度目錄TOC\o"1-3"\h\u一、運行時可導致信息資產安全風險的因素分類及責任部門 2二、各部門管理職責： 2三、運營時資產使用監(jiān)管單位： 4四、管理制度 4

運行時信息資產安全分級管理制度運行時可導致信息資產安全風險的因素分類及責任部門一級風險：直接導致服務器運行中斷，介質損壞，信息資產大范圍損壞的風險，造成嚴重經濟損失。由系統(tǒng)服務部承擔安全管理責任。主要原因有：設備斷電存儲介質故障感染病毒二級風險：直接導致信息資產被非法拷貝傳播，信息系統(tǒng)停止運行等重大故障，造成較大的經濟損失。由系統(tǒng)服務部和各使用部門和研發(fā)部門共同承擔安全管理責任。主要原因有：軟件、系統(tǒng)、平臺、數(shù)據(jù)庫管理員密碼泄露，非法登錄，運行數(shù)據(jù)被修改。程序入侵系統(tǒng)運行配置文件非法拷貝傳播，使安全管控配置數(shù)據(jù)外泄。代碼BUG和溢出漏洞外部攻擊三級風險：導致系統(tǒng)運行結果數(shù)據(jù)錯誤或業(yè)務數(shù)據(jù)被非法復制傳播，造成一定的經濟損失。由系統(tǒng)維護部承擔安全管理責任。主要原因有：業(yè)務管理員誤操作系統(tǒng)管理員誤操作操作人員帳號口令被竊。各部門管理職責：系統(tǒng)服務部：須保證服務器配置了防火墻，只允許信息系統(tǒng)運行的最小資源開放。須保證網(wǎng)絡通暢、高效，有良好的系統(tǒng)運行環(huán)境。對一級風險：a.房保證電源可靠性，雙回供電或服務器增加UPS不間斷電源。b.執(zhí)行變更管理流程前，對運行數(shù)據(jù)進行安全備份。c.安裝有效的防病毒軟件，每周一次更新病毒庫，在有嚴重病毒傳播警告時，及時更新病毒庫。對二級風險：a.內部和外部網(wǎng)路及軟硬件的弱點掃描至少每季度進行一次，在網(wǎng)絡發(fā)生重大變更后，在應用程序和軟件發(fā)布前、安裝、升級后也需執(zhí)行一次掃描檢查。b.網(wǎng)站應采取有效的數(shù)據(jù)保護、防釣魚攻擊等方面的安全防控措施，定期開展計算機病毒木馬查殺、漏洞掃描、滲透性測試等。c.須保證系統(tǒng)管理員密碼符合《訪問控制程序》中口令使用規(guī)定。須保證系統(tǒng)管理員密碼安全可靠保存。d.每天須監(jiān)控網(wǎng)絡流量數(shù)據(jù)，發(fā)現(xiàn)流量異常，即刻查明原因。按《信息安全事件管理程序》的要求執(zhí)行相關事件處理流程。保證即時發(fā)現(xiàn)外部攻擊風險，采取適當措施應對，將損失降到最低。研發(fā)部：敏感數(shù)據(jù)加密傳輸：制定加密方案，傳輸方式。對二級風險：a.對所開發(fā)程序提交測試部進行系統(tǒng)性測試，對測試出的問題進行處理解決，減少程序BUG的產生。b.對可能有安全隱患的程序代碼進行溢出漏洞測試，保證代碼的可用性、可靠性。各業(yè)務部門為應對三級風險，各業(yè)務相關部門應做到：對業(yè)務系統(tǒng)權限進行嚴格管理。嚴格執(zhí)行《訪問控制程序》中權限管理的規(guī)定和管理流程。對帳號密碼須嚴格執(zhí)行《訪問控制程序》中口令使用規(guī)定。業(yè)務人員操作應嚴格執(zhí)行相關業(yè)務流程，避免誤操作發(fā)生。見《訊鳥流程操作規(guī)范》和其他業(yè)務流程操作規(guī)范。運營時資產使用監(jiān)管單位：系統(tǒng)服務部管理制度引用文件：訊鳥流程操作規(guī)范訪問控制制度信息安全事件管理制度本制度相關修改及解釋權屬于研發(fā)服務體系文檔編號（由總經辦填寫）F4-B-研發(fā)服務體系-001-V1.0密級內部公開文檔發(fā)布級別公司級文檔發(fā)布及實行范圍研發(fā)服務體系制度試行日期（可選）制度執(zhí)行日期2017/07/01文檔起草人簽字：日期：2017/07/01文檔修訂人：簽字：日期：修訂說明：