ISMSB信息安全管理標(biāo)準(zhǔn)規(guī)范

信息安全管理制度規(guī)范樣式編號(hào)ISMS-B-編制審核同意密級(jí)內(nèi)部版本V1.0公布日期8月目錄1 信息安全規(guī)范 31.1 總則 31.2 環(huán)境管理 31.3 資產(chǎn)管理 51.4 介質(zhì)管理 61.5 設(shè)備管理 61.5.1 總則 61.5.2 系統(tǒng)主機(jī)維護(hù)管理措施 61.5.3 涉密計(jì)算機(jī)安全管理措施 91.6 系統(tǒng)安全管理 91.7 惡意代碼防范管理 111.8 變更管理 111.9 安全事件處理 111.10 監(jiān)控管理和安全管理中心 121.11 數(shù)據(jù)安全管理 121.12 網(wǎng)絡(luò)安全管理 131.13 操作管理 151.14 安全審計(jì)管理措施 161.15 信息系統(tǒng)應(yīng)急預(yù)案 161.16 附表 17

信息安全規(guī)范總則為明確崗位職責(zé)，規(guī)范操作步驟，確保企業(yè)信息系統(tǒng)安全，依據(jù)《中國(guó)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》等相關(guān)要求，結(jié)合企業(yè)實(shí)際，特制訂本制度。信息系統(tǒng)是指由計(jì)算機(jī)及其相關(guān)和配套設(shè)備、設(shè)施（含網(wǎng)絡(luò)）組成，根據(jù)一定應(yīng)用目標(biāo)和規(guī)則對(duì)信息進(jìn)行采集、加工、存放、傳輸、檢索等處理人機(jī)系統(tǒng)。信息安全系統(tǒng)遵照安全性、可行性、效率性、可負(fù)擔(dān)性設(shè)計(jì)標(biāo)準(zhǔn)，將從物理安全、網(wǎng)絡(luò)安全、支撐層系統(tǒng)安全、應(yīng)用層系統(tǒng)安全、數(shù)據(jù)及資料安全幾方面進(jìn)行布署實(shí)施。環(huán)境管理信息機(jī)房由用戶安排指定，但應(yīng)該滿足以下要求：1、物理位置選擇(G3)序號(hào)等級(jí)保護(hù)要求1機(jī)房應(yīng)選擇在含有防震、防風(fēng)和防雨等能力建筑內(nèi)。2機(jī)房場(chǎng)地應(yīng)避免設(shè)在建筑物高層或地下室，和用水設(shè)備下層或隔壁,假如不可避免，應(yīng)采取有效防水方法。2、防雷擊(G3)序號(hào)等級(jí)保護(hù)要求1機(jī)房建筑應(yīng)設(shè)置避雷裝置。2應(yīng)設(shè)置防雷保安器，預(yù)防感應(yīng)雷。3機(jī)房應(yīng)設(shè)置交流電源地線。3、防火(G3)序號(hào)等級(jí)保護(hù)要求1機(jī)房應(yīng)設(shè)置火災(zāi)自動(dòng)消防系統(tǒng)，能夠自動(dòng)檢測(cè)火情、自動(dòng)報(bào)警，并自動(dòng)滅火。2機(jī)房及相關(guān)工作房間和輔助房應(yīng)采取含有耐火等級(jí)建筑材料。3機(jī)房應(yīng)采取區(qū)域隔離防火方法，將關(guān)鍵設(shè)備和其它設(shè)備隔離開。4、防水和防潮(G3)序號(hào)等級(jí)保護(hù)要求1主機(jī)房盡可能避開水源，和主機(jī)房無關(guān)給排水管道不得穿過主機(jī)房,和主機(jī)房相關(guān)給排水管道必需有可靠防滲漏方法；2應(yīng)采取方法預(yù)防雨水經(jīng)過機(jī)房窗戶、屋頂和墻壁滲透。5、防靜電(G3)序號(hào)等級(jí)保護(hù)要求1關(guān)鍵設(shè)備應(yīng)采取必需接地防靜電方法。2機(jī)房應(yīng)采取防靜電地板。6、溫濕度控制(G3)序號(hào)等級(jí)保護(hù)要求1機(jī)房應(yīng)設(shè)置溫、濕度自動(dòng)調(diào)整設(shè)施，使機(jī)房溫、濕度改變?cè)谠O(shè)備運(yùn)行所許可范圍之內(nèi)。7、電磁防護(hù)(S2)序號(hào)等級(jí)保護(hù)要求1應(yīng)采取接地方法預(yù)防外界電磁干擾和設(shè)備寄生耦合干擾。2電源線和通信線纜應(yīng)隔離鋪設(shè)，避免相互干擾。3應(yīng)對(duì)關(guān)鍵設(shè)備和磁介質(zhì)實(shí)施電磁屏蔽。8、物理訪問控制(G3)序號(hào)等級(jí)保護(hù)要求1機(jī)房各出入口應(yīng)安排專員值守或配置電子門禁系統(tǒng)，控制、判別和統(tǒng)計(jì)進(jìn)入人員。2需進(jìn)入機(jī)房來訪人員應(yīng)經(jīng)過申請(qǐng)和審批步驟，并限制和監(jiān)控其活動(dòng)范圍。3應(yīng)對(duì)機(jī)房劃分區(qū)域進(jìn)行管理，區(qū)域和區(qū)域之間應(yīng)用物理方法隔斷，在關(guān)鍵區(qū)域前設(shè)置交付或安裝等過渡區(qū)域；4關(guān)鍵區(qū)域應(yīng)配置電子門禁系統(tǒng)，控制、判別和統(tǒng)計(jì)進(jìn)入人員。9、防偷竊和防破壞(G3)序號(hào)等級(jí)保護(hù)要求1應(yīng)將關(guān)鍵設(shè)備放置在機(jī)房?jī)?nèi)。2應(yīng)將設(shè)備或關(guān)鍵部件進(jìn)行固定，并設(shè)置顯著不易除去標(biāo)識(shí)。3應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中。4應(yīng)對(duì)介質(zhì)分類標(biāo)識(shí)，存放在介質(zhì)庫或檔案室中。由用戶指定專門部門或人員定時(shí)對(duì)機(jī)房供配電、空調(diào)、溫濕度控制等設(shè)施進(jìn)行維護(hù)管理。出入機(jī)房要有登記統(tǒng)計(jì)。非機(jī)房工作人員不得進(jìn)入機(jī)房。外來人員進(jìn)機(jī)房參觀需經(jīng)保密辦同意，并有專員陪同。進(jìn)入機(jī)房人員不得攜帶任何易燃、易爆、腐蝕性、強(qiáng)電磁、輻射性、流體物質(zhì)、食品等對(duì)設(shè)備正常運(yùn)行組成威脅物品。嚴(yán)禁在機(jī)房?jī)?nèi)吸煙。嚴(yán)禁在機(jī)房?jī)?nèi)堆放和工作無關(guān)雜物。機(jī)房?jī)?nèi)應(yīng)按要求配置足夠量消防器材，并做到三定（定位存放、定時(shí)檢驗(yàn)、定時(shí)更換）。加強(qiáng)防火安全知識(shí)教育，做到會(huì)使用消防器材。加強(qiáng)電源管理，嚴(yán)禁亂接電線和違章用電。發(fā)覺火險(xiǎn)隱患，立即匯報(bào)，并采取安全方法。機(jī)房應(yīng)保持整齊有序，地面清潔。設(shè)備要排列整齊，布線要正規(guī)，儀表要齊備，工具要到位，資料要齊全。機(jī)房門窗不得隨意打開。天天上班前和下班后對(duì)機(jī)房做日常巡檢，檢驗(yàn)機(jī)房環(huán)境、電源、設(shè)備等并做好對(duì)應(yīng)統(tǒng)計(jì)（見表一）。對(duì)臨時(shí)進(jìn)入機(jī)房工作人員，不再發(fā)放門禁卡，在向用戶單位保密部門提出申請(qǐng)得到同意后，由安全保密管理員陪同進(jìn)入機(jī)房工作。資產(chǎn)管理編制并保留和信息系統(tǒng)相關(guān)資產(chǎn)清單，包含資產(chǎn)責(zé)任部門、關(guān)鍵程度和所處位置等內(nèi)容。要求信息系統(tǒng)資產(chǎn)管理責(zé)任人員或責(zé)任部門，并規(guī)范資產(chǎn)管理和使用行為。依據(jù)資產(chǎn)關(guān)鍵程度對(duì)資產(chǎn)進(jìn)行標(biāo)識(shí)管理。對(duì)信息分類和標(biāo)識(shí)方法作出要求，并對(duì)信息使用、傳輸和存放等進(jìn)行規(guī)范化管理。介質(zhì)管理建立介質(zhì)安全管理制度，對(duì)介質(zhì)存放環(huán)境、使用、維護(hù)和銷毀等方面作出要求。建立移動(dòng)存放介質(zhì)安全管理制度，對(duì)移動(dòng)存放介質(zhì)使用進(jìn)行管控。確保介質(zhì)存放在安全環(huán)境中，對(duì)各類介質(zhì)進(jìn)行控制和保護(hù)，并實(shí)施存放環(huán)境專員管理。對(duì)介質(zhì)在物理傳輸過程中人員選擇、打包、交付等情況進(jìn)行控制，對(duì)介質(zhì)歸檔和查詢等進(jìn)行登記統(tǒng)計(jì)，并依據(jù)存檔介質(zhì)目錄清單定時(shí)盤點(diǎn)。對(duì)存放介質(zhì)使用過程、送出維修和銷毀等進(jìn)行嚴(yán)格管理，對(duì)帶出工作環(huán)境存放介質(zhì)進(jìn)行內(nèi)容加密和監(jiān)控管理，對(duì)送出維修或銷毀介質(zhì)應(yīng)首先清除介質(zhì)中敏感數(shù)據(jù)，對(duì)保密性較高存放介質(zhì)未經(jīng)同意不得自行銷毀。依據(jù)數(shù)據(jù)備份需要對(duì)一些介質(zhì)實(shí)施異地存放，存放地環(huán)境要求和管理方法應(yīng)和當(dāng)?shù)叵嗤瑢?duì)關(guān)鍵數(shù)據(jù)或軟件采取加密介質(zhì)存放，并依據(jù)所承載數(shù)據(jù)和軟件關(guān)鍵程度對(duì)介質(zhì)進(jìn)行分類和標(biāo)識(shí)管理。設(shè)備管理總則由系統(tǒng)管理員對(duì)信息系統(tǒng)相關(guān)多種設(shè)備（包含備份和冗余設(shè)備）、線路等進(jìn)行定時(shí)維護(hù)管理。建立基于申報(bào)、審批和專員負(fù)責(zé)設(shè)備安全管理制度。建立明確維護(hù)人員責(zé)任、涉外維修和服務(wù)審批、維修過程監(jiān)督控制管理制度。對(duì)終端計(jì)算機(jī)、工作站、便攜機(jī)、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備操作和使用進(jìn)行規(guī)范化管理，按操作規(guī)程實(shí)現(xiàn)關(guān)鍵設(shè)備（包含備份和冗余設(shè)備）開啟/停止、加電/斷電等操作確保信息處理設(shè)備必需經(jīng)過審批才能帶離機(jī)房或辦公地點(diǎn)。系統(tǒng)主機(jī)維護(hù)管理措施系統(tǒng)主機(jī)由系統(tǒng)管理員負(fù)責(zé)維護(hù)，未經(jīng)許可任何人不得對(duì)系統(tǒng)主機(jī)進(jìn)行更改操作。依據(jù)系統(tǒng)設(shè)計(jì)方案和應(yīng)用系統(tǒng)運(yùn)行要求進(jìn)行主機(jī)系統(tǒng)安裝、調(diào)試，建立系統(tǒng)管理員賬戶，設(shè)置管理員密碼，建立用戶賬戶，設(shè)置系統(tǒng)策略、用戶訪問權(quán)利和資源訪問權(quán)限，并依據(jù)安全風(fēng)險(xiǎn)最小化標(biāo)準(zhǔn)及運(yùn)行效率最大化標(biāo)準(zhǔn)配置系統(tǒng)主機(jī)。建立系統(tǒng)設(shè)備檔案（見表二）、包含系統(tǒng)主機(jī)具體技術(shù)參數(shù)，如：品牌、型號(hào)、購置日期、序列號(hào)、硬件配置信息、軟件配置信息、網(wǎng)絡(luò)配置信息、系統(tǒng)配置信息，妥善保管系統(tǒng)主機(jī)保修卡，在系統(tǒng)主機(jī)軟硬件信息發(fā)生變更時(shí)對(duì)設(shè)備檔案進(jìn)行立即更新。每七天修改系統(tǒng)主機(jī)管理員密碼，密碼長(zhǎng)度不得低于八位，要求有數(shù)字、字母并區(qū)分大小寫。每七天經(jīng)過系統(tǒng)性能分析軟件對(duì)系統(tǒng)主機(jī)進(jìn)行運(yùn)行性能分析，并做具體統(tǒng)計(jì)（見表四），依據(jù)分析情況對(duì)系統(tǒng)主機(jī)進(jìn)行系統(tǒng)優(yōu)化，包含磁盤碎片整理、系統(tǒng)日志文件清理，系統(tǒng)升級(jí)等。每七天對(duì)系統(tǒng)日志、系統(tǒng)策略、系統(tǒng)數(shù)據(jù)進(jìn)行備份，做具體統(tǒng)計(jì)（見表四）。天天檢驗(yàn)系統(tǒng)主機(jī)各硬件設(shè)備是否正常運(yùn)行，并做具體統(tǒng)計(jì)（見表五）。天天檢驗(yàn)系統(tǒng)主機(jī)各應(yīng)用服務(wù)系統(tǒng)是否運(yùn)行正常，并做具體統(tǒng)計(jì)（見表五）。天天統(tǒng)計(jì)系統(tǒng)主機(jī)運(yùn)行維護(hù)日志，對(duì)系統(tǒng)主機(jī)運(yùn)行情況進(jìn)行總結(jié)。在系統(tǒng)主機(jī)發(fā)生故障時(shí)應(yīng)立即通知用戶，用最短時(shí)間處理故障，確保系統(tǒng)主機(jī)立即正常運(yùn)行，并對(duì)系統(tǒng)故障情況做具體統(tǒng)計(jì)（見表六）。每個(gè)月對(duì)系統(tǒng)主機(jī)運(yùn)行情況進(jìn)行總結(jié)、并寫出系統(tǒng)主機(jī)運(yùn)行維護(hù)月報(bào)，上報(bào)保密辦。系統(tǒng)主機(jī)信息安全等級(jí)保持要求：1、身份判別序號(hào)等級(jí)保護(hù)要求1對(duì)登錄操作系統(tǒng)用戶進(jìn)行身份標(biāo)識(shí)和判別。2操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份判別信息應(yīng)不易被冒用，口令復(fù)雜度應(yīng)滿足要求并定時(shí)更換?？诹铋L(zhǎng)度不得小于8位，且為字母、數(shù)字或特殊字符混合組合，用戶名和口令嚴(yán)禁相同。3啟用登錄失敗處理功效，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等方法。限制同一用戶連續(xù)失敗登錄次數(shù)。4當(dāng)對(duì)服務(wù)器進(jìn)行遠(yuǎn)程管理時(shí)，采取必需方法，預(yù)防判別信息在網(wǎng)絡(luò)傳輸過程中被竊聽。5為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)不一樣用戶分配不一樣用戶名，確保用戶名含有唯一性。2、訪問控制序號(hào)等級(jí)保護(hù)要求1啟用訪問控制功效，依據(jù)安全策略控制用戶對(duì)資源訪問。2依據(jù)管理用戶角色分配權(quán)限，實(shí)現(xiàn)管理用戶權(quán)限分離，僅授予管理用戶所需最小權(quán)限。3實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶權(quán)限分離。4限制默認(rèn)帳戶訪問權(quán)限，重命名系統(tǒng)默認(rèn)帳戶，修改這些帳戶默認(rèn)口令。5立即刪除多出、過期帳戶，避免共享帳戶存在。3、剩下信息保護(hù)序號(hào)等級(jí)保護(hù)要求1確保操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)用戶判別信息所在存放空間，被釋放或再分配給其它用戶前得到完全清除，不管這些信息是存放在硬盤上還是在內(nèi)存中。2確保系統(tǒng)內(nèi)文件、目錄和數(shù)據(jù)庫統(tǒng)計(jì)等資源所在存放空間，被釋放或重新分配給其它用戶前得到完全清除。4、入侵防范序號(hào)等級(jí)保護(hù)要求1操作系統(tǒng)應(yīng)遵照最小安裝標(biāo)準(zhǔn)，僅安裝必需組件和應(yīng)用程序，并經(jīng)過設(shè)置升級(jí)服務(wù)器等方法保持系統(tǒng)補(bǔ)丁立即得到更新，補(bǔ)丁安裝前應(yīng)進(jìn)行安全性和兼容性測(cè)試。2能夠檢測(cè)到對(duì)關(guān)鍵服務(wù)器進(jìn)行入侵行為，能夠統(tǒng)計(jì)入侵源IP、攻擊類型、攻擊目標(biāo)、攻擊時(shí)間，并在發(fā)生嚴(yán)重入侵事件時(shí)提供報(bào)警。3能夠?qū)﹃P(guān)鍵程序完整性進(jìn)行檢測(cè)，并含有完整性恢復(fù)能力。5、惡意代碼防范序號(hào)等級(jí)保護(hù)要求1在本機(jī)安裝防惡意代碼軟件或獨(dú)立布署惡意代碼防護(hù)設(shè)備，并立即更新防惡意代碼軟件版本和惡意代碼庫。2支持防惡意代碼統(tǒng)一管理。3主機(jī)防惡意代碼產(chǎn)品應(yīng)含有和網(wǎng)絡(luò)防惡意代碼產(chǎn)品不一樣惡意代碼庫。6、資源控制序號(hào)等級(jí)保護(hù)要求1經(jīng)過設(shè)定終端接入方法、網(wǎng)絡(luò)地址范圍等條件限制終端登錄。2依據(jù)安全策略設(shè)置登錄終端操作超時(shí)鎖定。3依據(jù)需要限制單個(gè)用戶對(duì)系統(tǒng)資源最大或最小使用程度。4對(duì)關(guān)鍵服務(wù)器進(jìn)行監(jiān)視，包含監(jiān)視服務(wù)器CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源使用情況。5能夠?qū)ο到y(tǒng)服務(wù)水平降低到預(yù)先要求最小值進(jìn)行檢測(cè)和報(bào)警。涉密計(jì)算機(jī)安全管理措施涉密計(jì)算機(jī)安全管理由安全保密管理員專員負(fù)責(zé)，未經(jīng)許可任何人不得進(jìn)行此項(xiàng)操作。依據(jù)網(wǎng)絡(luò)系統(tǒng)安全設(shè)計(jì)要求制訂、修改、刪除涉密計(jì)算機(jī)安全審計(jì)策略，包含打印控制策略、外設(shè)輸入輸出控制策略、應(yīng)用程序控制策略，并做統(tǒng)計(jì)。每日對(duì)涉密計(jì)算機(jī)進(jìn)行安全審計(jì)，立即處理安全問題，并做具體統(tǒng)計(jì)（見表十八），遇有重大問題上報(bào)保密部門。涉密計(jì)算機(jī)新增、變更、淘汰需經(jīng)保密部門審批，審批經(jīng)過后由安全保密管理員統(tǒng)一進(jìn)行操作，并做具體統(tǒng)計(jì)（見表十八）。新增涉密計(jì)算機(jī)聯(lián)入涉密網(wǎng)絡(luò)，需經(jīng)保密辦審批，由安全保密管理員統(tǒng)一進(jìn)行操作，并做具體統(tǒng)計(jì)（見表十八）。系統(tǒng)安全管理依據(jù)業(yè)務(wù)需求和系統(tǒng)安全分析確定系統(tǒng)訪問控制策略。序號(hào)等級(jí)保護(hù)要求1啟用訪問控制功效，依據(jù)安全策略控制用戶對(duì)資源訪問。2依據(jù)管理用戶角色分配權(quán)限，實(shí)現(xiàn)管理用戶權(quán)限分離，僅授予管理用戶所需最小權(quán)限。3實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶權(quán)限分離。4限制默認(rèn)帳戶訪問權(quán)限，重命名系統(tǒng)默認(rèn)帳戶，修改這些帳戶默認(rèn)口令。5立即刪除多出、過期帳戶，避免共享帳戶存在。6對(duì)關(guān)鍵信息資源設(shè)置敏感標(biāo)識(shí)，系統(tǒng)不支持設(shè)置敏感標(biāo)識(shí)，應(yīng)采取專用安全設(shè)備生成敏感標(biāo)識(shí)，用以支持強(qiáng)制訪問控制機(jī)制。7依據(jù)安全策略嚴(yán)格控制用戶對(duì)有敏感標(biāo)識(shí)關(guān)鍵信息資源操作。定時(shí)進(jìn)行漏洞掃描，對(duì)發(fā)覺系統(tǒng)安全漏洞立即進(jìn)行修補(bǔ)。安裝系統(tǒng)最新補(bǔ)丁程序，在安裝系統(tǒng)補(bǔ)丁前，首先在測(cè)試環(huán)境中測(cè)試經(jīng)過，并對(duì)關(guān)鍵文件進(jìn)行備份后，方可實(shí)施系統(tǒng)補(bǔ)丁程序安裝。依據(jù)操作手冊(cè)對(duì)系統(tǒng)進(jìn)行維護(hù)，具體統(tǒng)計(jì)操作日志，包含關(guān)鍵日常操作、運(yùn)行維護(hù)統(tǒng)計(jì)、參數(shù)設(shè)置和修改等內(nèi)容，嚴(yán)禁進(jìn)行未經(jīng)授權(quán)操作。定時(shí)對(duì)運(yùn)行日志和審計(jì)數(shù)據(jù)進(jìn)行分析，方便立即發(fā)覺異常行為。信息系統(tǒng)運(yùn)行維護(hù)由系統(tǒng)管理員負(fù)責(zé)維護(hù)，未經(jīng)許可任何人不得對(duì)信息系統(tǒng)進(jìn)行任何操作。依據(jù)信息系統(tǒng)設(shè)計(jì)要求及實(shí)施細(xì)則安裝、調(diào)試、配置信息系統(tǒng)，建立信息系統(tǒng)管理員賬號(hào)，設(shè)置管理員密碼，密碼要求由數(shù)字和字母組成，區(qū)分大小寫，密碼長(zhǎng)度不得低于8位。對(duì)信息系統(tǒng)基礎(chǔ)配置信息做具體統(tǒng)計(jì)，包含系統(tǒng)配置信息、用戶帳戶名稱，系統(tǒng)安裝目錄、數(shù)據(jù)文件存貯目錄，在信息系統(tǒng)配置信息發(fā)生改變時(shí)立即更新統(tǒng)計(jì)（見表三）。每七天對(duì)信息系統(tǒng)系統(tǒng)數(shù)據(jù)、用戶ID文件、系統(tǒng)日志進(jìn)行備份，并做具體統(tǒng)計(jì)（見表四），備份介質(zhì)交保密辦存檔。當(dāng)信息系統(tǒng)用戶發(fā)生增加、降低、變更時(shí)，新建用戶帳戶，新建用戶郵箱，需經(jīng)保密單位審批，并填寫系統(tǒng)用戶申請(qǐng)單或系統(tǒng)用戶變更申請(qǐng)單（見表七），審批經(jīng)過后，由系統(tǒng)管理員進(jìn)行操作，并做具體統(tǒng)計(jì)。依據(jù)用戶需求設(shè)置信息系統(tǒng)各功效模塊訪問權(quán)限，并提交保密辦審批。天天檢驗(yàn)信息系統(tǒng)各項(xiàng)應(yīng)用功效是否運(yùn)行正常，并做具體統(tǒng)計(jì)（見表五）。在信息系統(tǒng)發(fā)生故障時(shí)，應(yīng)立即通知用戶，并用最短時(shí)間處理故障，確保信息系統(tǒng)立即正常運(yùn)行，并對(duì)系統(tǒng)故障情況做具體統(tǒng)計(jì)（見表六）。天天統(tǒng)計(jì)信息系統(tǒng)運(yùn)行維護(hù)日志，對(duì)信息系統(tǒng)運(yùn)行情況進(jìn)行總結(jié)。每個(gè)月對(duì)信息系統(tǒng)運(yùn)行維護(hù)情況進(jìn)行總結(jié)，并寫出信息系統(tǒng)維護(hù)月報(bào)，并上報(bào)保密辦。惡意代碼防范管理經(jīng)過培訓(xùn)及標(biāo)識(shí)提升全部用戶防病毒意識(shí)，立即通知防病毒軟件版本，在讀取移動(dòng)存放設(shè)備上數(shù)據(jù)和網(wǎng)絡(luò)上接收文件或郵件之前，優(yōu)異行病毒檢驗(yàn)，對(duì)外來計(jì)算機(jī)或存放設(shè)備接入網(wǎng)絡(luò)系統(tǒng)之前也應(yīng)進(jìn)行病毒檢驗(yàn)。信息安全專員對(duì)網(wǎng)絡(luò)和主機(jī)進(jìn)行惡意代碼檢測(cè)并保留檢測(cè)統(tǒng)計(jì)。定時(shí)檢驗(yàn)信息系統(tǒng)內(nèi)多種產(chǎn)品惡意代碼庫升級(jí)情況并進(jìn)行統(tǒng)計(jì)，對(duì)主機(jī)防病毒產(chǎn)品、防病毒網(wǎng)關(guān)和郵件防病毒網(wǎng)關(guān)上截獲危險(xiǎn)病毒或惡意代碼進(jìn)行立即分析處理，并形成報(bào)表和總結(jié)匯報(bào)。變更管理確定系統(tǒng)中要發(fā)生變更，并制訂變更方案。建立變更管理制度，系統(tǒng)發(fā)生變更前，向主管領(lǐng)導(dǎo)申請(qǐng)，變更和變更方案經(jīng)過評(píng)審、審批后方可實(shí)施變更，并在實(shí)施后將變更情況向相關(guān)人員通告。建立變更控制申報(bào)和審批文件化程序，對(duì)變更影響進(jìn)行分析并文檔化，統(tǒng)計(jì)變更實(shí)施過程，并妥善保留全部文檔和統(tǒng)計(jì)。建立中止變更并從失敗變更中恢復(fù)文件化程序，明確過程控制方法和人員職責(zé)，必需時(shí)對(duì)恢復(fù)過程進(jìn)行演練。安全事件處理匯報(bào)所發(fā)覺安全弱點(diǎn)和可疑事件，但任何情況下用戶均不應(yīng)嘗試驗(yàn)證弱點(diǎn)。制訂安全事件匯報(bào)和處理管理制度，明確安全事件類型，要求安全事件現(xiàn)場(chǎng)處理、事件匯報(bào)和后期恢復(fù)管理職責(zé)。依據(jù)國(guó)家相關(guān)管理部門對(duì)計(jì)算機(jī)安全事件等級(jí)劃分方法和安全事件對(duì)本系統(tǒng)產(chǎn)生影響，對(duì)本系統(tǒng)計(jì)算機(jī)安全事件進(jìn)行等級(jí)劃分。制訂安全事件匯報(bào)和響應(yīng)處理程序，確定事件匯報(bào)步驟，響應(yīng)和處理范圍、程度，和處理方法等。在安全事件匯報(bào)和響應(yīng)處理過程中，分析和判定事件產(chǎn)生原因，搜集證據(jù)，統(tǒng)計(jì)處理過程，總結(jié)經(jīng)驗(yàn)教訓(xùn)，制訂預(yù)防再次發(fā)生補(bǔ)救方法，過程形成全部文件和統(tǒng)計(jì)均應(yīng)妥善保留。對(duì)造成系統(tǒng)中止和造成信息泄密安全事件應(yīng)采取不一樣處理程序和匯報(bào)程序。監(jiān)控管理和安全管理中心對(duì)通信線路、主機(jī)、網(wǎng)絡(luò)設(shè)備和應(yīng)用軟件運(yùn)行情況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行監(jiān)測(cè)和報(bào)警，形成統(tǒng)計(jì)并妥善保留。信息安全專員組織相關(guān)人員定時(shí)對(duì)監(jiān)測(cè)和報(bào)警統(tǒng)計(jì)進(jìn)行分析、評(píng)審，發(fā)覺可疑行為，形成份析匯報(bào)，并采取必需應(yīng)對(duì)方法。對(duì)設(shè)備狀態(tài)、惡意代碼、補(bǔ)丁升級(jí)、安全審計(jì)等安全相關(guān)事項(xiàng)進(jìn)行集中管理。數(shù)據(jù)安全管理凡包含企業(yè)機(jī)密數(shù)據(jù)或文件，非工作需要不得以任何形式轉(zhuǎn)移，更不得透露給她人。離開原工作崗位職員由所在部門責(zé)任人將其全部工作資料收回并保留。計(jì)算機(jī)終端用戶務(wù)必將關(guān)鍵數(shù)據(jù)存放在計(jì)算機(jī)硬盤中除系統(tǒng)盤分區(qū)(操作系統(tǒng)所在硬盤分區(qū)，通常是C盤)外硬盤分區(qū)。計(jì)算機(jī)信息系統(tǒng)發(fā)生故障，應(yīng)立即和信息專員聯(lián)絡(luò)并采取保護(hù)數(shù)據(jù)安全方法。計(jì)算機(jī)終端用戶未做好備份前不得刪除任何硬盤數(shù)據(jù)。對(duì)關(guān)鍵數(shù)據(jù)應(yīng)準(zhǔn)備雙份，存放在不一樣地點(diǎn)；對(duì)采取磁性介質(zhì)或光盤保留數(shù)據(jù)，應(yīng)做好防磁、防火、防潮和防塵工作，并定時(shí)進(jìn)行檢驗(yàn)、復(fù)制，預(yù)防因?yàn)榇判越橘|(zhì)損壞，丟失數(shù)據(jù)。1、數(shù)據(jù)保密性序號(hào)等級(jí)保護(hù)要求1采取加密或其它保護(hù)方法實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、判別信息和關(guān)鍵業(yè)務(wù)數(shù)據(jù)傳輸保密性；2、備份和恢復(fù)序號(hào)等級(jí)保護(hù)要求1提供數(shù)據(jù)當(dāng)?shù)貍浞莺突謴?fù)功效，對(duì)關(guān)鍵信息進(jìn)行備份，數(shù)據(jù)備份最少天天一次，已經(jīng)有數(shù)據(jù)備份可完全恢復(fù)至備份實(shí)施時(shí)狀態(tài)，并對(duì)備份可恢復(fù)性進(jìn)行定時(shí)演練，備份介質(zhì)場(chǎng)外存放。（增強(qiáng)）2提供異地?cái)?shù)據(jù)備份功效，利用通信網(wǎng)絡(luò)將關(guān)鍵數(shù)據(jù)定時(shí)批量傳送至備用場(chǎng)地；3應(yīng)提供關(guān)鍵網(wǎng)絡(luò)設(shè)備、通信線路和數(shù)據(jù)處理系統(tǒng)硬件冗余，確保系統(tǒng)高可用性。網(wǎng)絡(luò)安全管理信息安全專員對(duì)網(wǎng)絡(luò)進(jìn)行管理，負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控統(tǒng)計(jì)日常維護(hù)和報(bào)警信息分析和處理工作。依據(jù)廠家提供軟件升級(jí)版本對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行更新，并在更新前對(duì)現(xiàn)相關(guān)鍵文件進(jìn)行備份。定時(shí)對(duì)網(wǎng)絡(luò)系統(tǒng)進(jìn)行漏洞掃描，對(duì)發(fā)覺網(wǎng)絡(luò)系統(tǒng)安全漏洞進(jìn)行立即修補(bǔ)。實(shí)現(xiàn)設(shè)備最小服務(wù)配置，并對(duì)配置文件進(jìn)行定時(shí)離線備份。確保全部和企業(yè)外部網(wǎng)絡(luò)連接均得到授權(quán)和同意。依據(jù)安全策略許可或拒絕便攜式和移動(dòng)式設(shè)備網(wǎng)絡(luò)接入。未進(jìn)行安全配置、未裝防火墻或殺毒軟件計(jì)算機(jī)終端，不得連接企業(yè)網(wǎng)絡(luò)和服務(wù)器。企業(yè)職員應(yīng)定時(shí)對(duì)所配置計(jì)算機(jī)終端操作系統(tǒng)、殺毒軟件等進(jìn)行升級(jí)和更新，并定時(shí)進(jìn)行病毒查殺。計(jì)算機(jī)終端用戶應(yīng)使用復(fù)雜密碼，并定時(shí)更改。企業(yè)職員應(yīng)妥善保管依據(jù)職責(zé)權(quán)限所掌握各類辦公賬號(hào)和密碼，嚴(yán)禁隨意向她人泄露、借用自己賬號(hào)和密碼。IP地址為計(jì)算機(jī)網(wǎng)絡(luò)關(guān)鍵資源，企業(yè)職員應(yīng)在信息專員計(jì)劃下使用這些資源，不得私自更改。對(duì)于影響網(wǎng)絡(luò)系統(tǒng)服務(wù)，企業(yè)職員應(yīng)在信息專員指導(dǎo)下使用，嚴(yán)禁隨意開啟、關(guān)閉計(jì)算機(jī)中系統(tǒng)服務(wù)，確保計(jì)算機(jī)網(wǎng)絡(luò)通暢運(yùn)行。經(jīng)遠(yuǎn)程通信傳送程序或數(shù)據(jù)，必需經(jīng)過檢測(cè)確定無病毒后方可安裝和使用。11.1網(wǎng)絡(luò)系統(tǒng)運(yùn)行維護(hù)管理措施網(wǎng)絡(luò)系統(tǒng)運(yùn)行維護(hù)由系統(tǒng)管理員專員負(fù)責(zé)，未經(jīng)許可任何人不得對(duì)網(wǎng)絡(luò)系統(tǒng)進(jìn)行操作。依據(jù)網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)方案和實(shí)施細(xì)則安裝、調(diào)試、配置網(wǎng)絡(luò)系統(tǒng)，包含交換機(jī)配置、路由器配置，建立管理員賬號(hào)，設(shè)置管理員密碼，并關(guān)閉全部遠(yuǎn)程管理端口。建立系統(tǒng)設(shè)備檔案（見表二），包含交換機(jī)、路由器品牌、型號(hào)、序列號(hào)、購置日期、硬件配置信息，具體統(tǒng)計(jì)綜合布線系統(tǒng)信息配置表，交換機(jī)系統(tǒng)配置，路由器系統(tǒng)配置，網(wǎng)絡(luò)拓?fù)錂C(jī)構(gòu)圖，VLAN劃分表，并在系統(tǒng)配置發(fā)生變更時(shí)立即對(duì)設(shè)備檔案進(jìn)行更新。天天檢驗(yàn)網(wǎng)絡(luò)系統(tǒng)設(shè)備（交換機(jī)、路由器）是否正常運(yùn)行。每七天對(duì)網(wǎng)絡(luò)系統(tǒng)設(shè)備（交換機(jī)、路由器）進(jìn)行清潔。每七天修改網(wǎng)絡(luò)系統(tǒng)管理員密碼。每七天檢測(cè)網(wǎng)絡(luò)系統(tǒng)性能，包含數(shù)據(jù)傳輸穩(wěn)定性、可靠性、傳輸速率。網(wǎng)絡(luò)變更后進(jìn)行網(wǎng)絡(luò)系統(tǒng)配置資料備份。當(dāng)網(wǎng)絡(luò)系統(tǒng)發(fā)生故障時(shí)，應(yīng)立即通知用戶，并在最短時(shí)間內(nèi)處理問題，確保網(wǎng)絡(luò)系統(tǒng)立即正常運(yùn)行，并對(duì)系統(tǒng)故障情況作具體統(tǒng)計(jì)（見表六）。每個(gè)月對(duì)網(wǎng)絡(luò)系統(tǒng)運(yùn)行維護(hù)情況進(jìn)行總結(jié)，并作出網(wǎng)絡(luò)系統(tǒng)運(yùn)行維護(hù)月報(bào)。11.2網(wǎng)絡(luò)病毒入侵防范管理措施網(wǎng)絡(luò)病毒入侵防護(hù)系統(tǒng)由系統(tǒng)管理員專員負(fù)責(zé)，任何人未經(jīng)許可不得進(jìn)行此項(xiàng)操作。依據(jù)網(wǎng)絡(luò)系統(tǒng)安全設(shè)計(jì)要求安裝、配置瑞星網(wǎng)絡(luò)病毒防護(hù)系統(tǒng)，包含服務(wù)器端系統(tǒng)配置和用戶機(jī)端系統(tǒng)配置，開啟用戶端防病毒系統(tǒng)實(shí)時(shí)監(jiān)控。每日監(jiān)測(cè)防病毒系統(tǒng)系統(tǒng)日志，檢測(cè)是否有病毒入侵、安全隱患等，對(duì)所發(fā)覺問題進(jìn)行立即處理，并做具體統(tǒng)計(jì)（見表八）。每七天登陸防病毒企業(yè)網(wǎng)站，下載最新升級(jí)文件，對(duì)系統(tǒng)進(jìn)行升級(jí)，并作具體統(tǒng)計(jì)（見表九）。每七天對(duì)網(wǎng)絡(luò)系統(tǒng)進(jìn)行全方面病毒查殺，對(duì)病毒查殺結(jié)果做系統(tǒng)分析，并做具體統(tǒng)計(jì)（見表十）。每日瀏覽國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心網(wǎng)站，了解最新病毒信息公布情況，立即向用戶公布病毒預(yù)警和預(yù)防方法。11.3網(wǎng)絡(luò)信息安全策略管理措施網(wǎng)絡(luò)安全策略管理由安全保密管理員專職負(fù)責(zé)，未經(jīng)許可任何人不得進(jìn)行此項(xiàng)操作。依據(jù)網(wǎng)絡(luò)信息系統(tǒng)安全設(shè)計(jì)要求及主機(jī)審計(jì)系統(tǒng)數(shù)據(jù)分析結(jié)果，制訂、配置、修改、刪除主機(jī)審計(jì)系統(tǒng)各項(xiàng)管理策略，并做統(tǒng)計(jì)（見表十一）。依據(jù)網(wǎng)絡(luò)信息系統(tǒng)安全設(shè)計(jì)要求制訂、配置、修改、刪除網(wǎng)絡(luò)安全評(píng)定分析系統(tǒng)各項(xiàng)管理策略，并做統(tǒng)計(jì)（見表十一）。依據(jù)網(wǎng)絡(luò)信息系統(tǒng)安全設(shè)計(jì)要求制訂、配置、修改、刪除入侵檢測(cè)系統(tǒng)各項(xiàng)管理策略，并做統(tǒng)計(jì)（見表十一）。依據(jù)網(wǎng)絡(luò)信息系統(tǒng)安全設(shè)計(jì)要求制訂、配置、修改、刪除、內(nèi)網(wǎng)主機(jī)安全監(jiān)控和審計(jì)系統(tǒng)各項(xiàng)管理策略，并做統(tǒng)計(jì)（見表十一）。每七天對(duì)網(wǎng)絡(luò)信息系統(tǒng)安全管理策略進(jìn)行數(shù)據(jù)備份，并作具體統(tǒng)計(jì)（見表十二）。網(wǎng)絡(luò)信息安全技術(shù)防護(hù)系統(tǒng)（主機(jī)審計(jì)系統(tǒng)、漏洞掃描系統(tǒng)、防病毒系統(tǒng)、內(nèi)網(wǎng)主機(jī)安全監(jiān)控和審計(jì)系統(tǒng)）由網(wǎng)絡(luò)安全保密管理員統(tǒng)一負(fù)責(zé)安裝和卸載。11.4網(wǎng)絡(luò)信息系統(tǒng)安全檢驗(yàn)管理措施網(wǎng)絡(luò)信息系統(tǒng)安全檢驗(yàn)由安全保密管理員專職負(fù)責(zé)實(shí)施，未經(jīng)許可任何人不得進(jìn)行此項(xiàng)操作。天天依據(jù)入侵檢測(cè)系統(tǒng)系統(tǒng)策略檢測(cè)、審計(jì)系統(tǒng)日志，檢驗(yàn)是否有網(wǎng)絡(luò)攻擊、異常操作、不正常數(shù)據(jù)流量等，對(duì)異常情況做立即處理，遇有重大安全問題上