- 目录
第1篇 信息系统安全管理制度
为进一步规范公司管理,防范企业涉密资料以及涉密数据外泄,经过公司研究决定,从即日起,规范相关关键信息、账户的管理。公司根据现在公司的管理需求,统一收回所有公司信息管理账号,集中管理,专人保管。各个部门如要使用可填写账户使用申请单。
具体管理办法如下:
第一章 总 则
第一条 为加强公司用户账号管理,规范用户账号的使用,提高信息系统使用安全性,特制定本制度。
第二条 本制度中系统账号是指应用层面及系统层面(平台、操作系统、数据库系统、信息管理系统、防火墙及其它网络设备)的用户账号。
第三条 本规定所指账号管理包括:
1、应用层面用户账号的申请、审批、分配、删除/禁用等的管理
2、系统层面用户账号的申请、审批、分配、删除/禁用等的管理
3、用户账号密码的管理。
第四条 系统拥有部门负责建立《岗位权限对照表》(附件一),制定工作岗位与系统权限的对应关系和互斥原则,对具体岗位做出具体的权限管理规定。
第五条 信息管理中心根据系统拥有部门提交的《岗位权限对照表》增加系统岗位权限控制。
第六条 用户账号申请、审批及设置由不同人员负责。
第七条 各信息系统需设置超级管理员、系统管理员、系统管理监督员和普通用户。超级管理员、系统管理员与系统管理监督员不能由同一人担任,并不能是系统操作用户。
1、超级管理员:负责按照领导审定的《信息系统权限申请表》(附件二)进入系统管理员的授权管理。
2、系统管理员:负责按照领导审定的授权进行录入,并对系统运行状况以及系统用户数据录入进行管理。系统管理员应对录入的授权和系统运行状态建立台帐,定期向系统管理监督备案。
3、系统管理监督员:负责对录入的数据和授权进行监督,并建立用户权限台帐,定期对系统管理员录入的授权和系统运行状态以及用户录入数据进行监督检查。
4、普通用户:负责对系统进行业务层面的操作。
第八条 信息管理中心将定期抽取系统岗位和用户清单进行检查,发现可疑授权、可疑使用将根据实际情况予以通报修正,并将检查结果记入信息化年度考核中。
第二章 普通账号管理
第九条 申请人使用统一规范的《信息系统权限申请表》(附件二)提出用户账号创建、修改、禁用、启用等申请。
第十条 账号申请人所属部门负责人及系统拥有部门负责人根据《岗位权限对照表》审核申请人所申请的权限是否与其岗位一致,确保权限分配的合理性、必要性和符合职责分工的要求。
第十一条 在受理申请时,权限管理人员根据申请配置权限,在系统条件具备的情况下,给用户分配独有的用户账号或禁用用户账号权限,以使用户对其行为负责。一旦分配好账号,用户不得使用他人账号或者允许他人使用自己的账号。
第十二条 新员工入职或员工岗位发生变化时,应主动申请所需系统的账号及权限。
第十三条 人员离职的情况下,该员工的账户应当被及时的禁用。离职人员的离职手续办理完毕后。员工所属部门以书面方式通知系统管理部门,由系统管理部门实施用户帐户及权限的回收操作。
第十四条 账号管理人员建立各种账号的文档记录,记录用户账号的相关信息,并在账号变动时同时更新此记录。
第三章 特权账号和超级用户账号管理
第十五条 特权账号指在系统中有专用权限的账号,如备份账号、权限管理账号、系统维护账号等。超级用户账号指系统中最高权限账号,如administrator(或admin)、root等管理员账号。
第十六条 只有经授权的用户才可使用特权账号和超级用户账号,严禁共享账号。
第十七条 信息系统管理部门每季度查看系统日志,监督特权账号和超级用户账号使用情况,并填写《系统日志审阅表》(附件三)。
第十八条 尽量避免特权账号和超级用户账号的临时使用,确需使用时必须履行正规的申请及审批流程,并保留相应的文档。
第十九条 临时使用超级用户账号必须有监督人员在场记录其工作内容。
第二十条 超级用户帐户必须由信息管理中心管理(如没有超级管理员,信息管理中心必须掌握系统管理员权限)。系统管理员和系统管理监督员可通过信息管理中心与系统拥有部门协商管理(如系统管理员由系统拥有部门管理,《信息系统权限申请表》必须以邮件方式电子文档交予信息管理中心备案便于监督审核)。
第二十一条 信息化各系统交使用单位验收合格后,必须由信息管理中心和系统拥有部门共同督促系统开发方删除临时测试帐户。
第四章 用户账号及权限审阅
第二十二条 系统拥有部门指定专人负责每季度对系统应用层面账号及权限进行审阅,并填写《信息系统权限清理清单》(附件四)。
第二十三条 信息管理中心指定专人负责每季度对系统层面账号及权限进行审阅,并填写《信息系统权限清理清单》。
第二十四条 员工离职后,账号管理人员及时禁用或删除离职人员所使用的账号。如果离职人员是系统管理员,则及时更改特权账号或超级用户口令。
第五章 用户账号口令管理
第二十五条 用户账号口令发放要严格保密,用户必须及时更改初始口令。
第二十六条 用户账号口令最小长度为6位(系统超级用户、管理员和监督员口令最小长度为8位),并具有一定复杂度。
第二十七条 用户账号口令必须严格保密,并定期进行更改,密码更新周期不得超过90天。
第二十八条 严禁共享个人用户账号口令。
第六章 附则
第二十九条 本制度与公司相关标准、规范相冲突时,应按照公司相关标准、规范执行。
第三十条 本制度适用于由信息管理中心归口管理的所有系统。
第三十一条 本制度由信息管理中心起草并解释。
第三十二条 本制度从发布之日起施行。
第2篇 信息化系统安全运行管理制度
第一章:总则
第一条 为确保公司信息化系统的正常运行,有效地保护信息资源,最大程度地防范风险,保障公司经营管理信息安全。根据《国家计算机信息系统安全保护条例》等有关法律、法规,结合公司实际,制订本规定。
第二条 本规定所称公司信息化系统,是指公司所使用的“集团管理软件”所覆盖的使用单位、使用人、以及计算机及其网络设备所构成的网络系统。具体有财务管理系统、物资供应管理系统、销售管理系统、地磅系统、资产管理系统、人力资源管理系统、oa办公自动化系统。
第三条 本规定适用于公司及所属单位所有使用信息系统的操作员和系统管理员。
第二章 职责描述
第四条 公司企管信息部
1、根据国家和行业的发展制定公司信息化工作的发展规划、年度计划和有关规章制度;
2、负责组织实施公司信息化建设;
3、负责公司信息系统的维护及软件管理;
4、负责对各单位信息系统工作的检查、指导和监督。
第五条 公司信息化系统负责人
1、协调公司各种资源,及时处理对系统运行过程中的出现的各种异常情况及突发事件;
2、负责督促检查本制度的执行;
第六条 公司系统管理员
1、负责应用系统及相关数据的正常使用和安全保障;
2、负责解答各所属单位人员的问题咨询,处理日常问题;
第七条 各单位系统管理员
1、熟悉掌握系统,能够处理系统应用中的问题;
2、要及时建立问题处理情况汇总表,并定期上报给公司系统管理员,由公司系统管理员汇编成册,定期下发给所有操作人员,以做到最大程度的知识共享;
3、负责本单位新进员工的信息系统技能培训;监督本单位操作人员进行规范操作;
第八条 操作员
1、严格按照业务流程和系统运行规定进行操作、不越权操作、不做违规业务;
2、保证自己的密码不泄密,定期更换密码;
第三章 内部支持体系管理
第九条 为了确保操作人员能够熟练掌握信息系统的运行,问题的提交与处理必须按照逐级处理方式,具体如下:
1、各单位操作人员发现问题填写“日常操作问题记录单”先提交给各自所属单位的系统管理员归集与处理;
2、在各单位系统管理员不能处理的情况下再提交到公司系统管理员处理;
3、公司系统管理员不能处理的情况下统一提交用友软件公司,用友技术顾问将制定处理解决方案,和公司系统管理员一起处理;
4、问题解决后,将问题解决过程记录清楚,并由公司系统管理员备案,形成全公司系统知识库;
第四章 系统安全管理
第十条 系统维护及软件安全管理
1、系统管理员,每天定时检查系统运行环境,并将检查结果进行记录;
2、使用信息系统的计算机都应安装统一杀毒软件并及时更新病毒库,在计算机需要读取外来数据时应先查杀病毒;
3、制定信息系统的灾难恢复计划,并确定实施方案;
4、服务器及系统软件涉及的各类用户名称及密码由企管信息部系统管理员严格管理、定期更换和及时存档;
5、服务器必须使用不间断电源(ups),以避免意外断电造成核算数据丢失或错误影响系统正常运行;
6、当信息系统数据紊乱或确需对信息系统数据库进行修改或删除时,必须由软件供应商的技术人员评估后,提出切实可行的解决方案,经公司分管副总经理批准后,方可进行数据库操作;
7、在系统运行过程中,应每天对系统及数据进行备份,每月刻录一张数据光盘备份;
8、发生计算机系统安全事故和计算机违法犯罪案件时,立即向保卫部及公司企管信息部报告,并保护现场;
第十一条 计算机管理制度
1、使用人员如发现计算机系统运行异常,应及时与信息中心人员联系,非专业管理人员不得擅自调换设备配件;
2、不得让无关的人员使用自己的计算机,严禁非专业技术人员修改计算机系统的重要设置;
第十二条 操作规范
1、操作人员必须爱护电脑设备,保持办公室和电脑设备的清洁卫生;
2、操作人员应加强计算机知识的学习,并能正确操作公司信息系统和熟练使用计算机;
3、工作时间禁止上网浏览任何与工作无关的信息,不得下载与安装与工作无关的软件,以防止计算机感染病毒和木马,影响系统正常运行;
第五章 系统人员权限管理
第十三条 系统权限指应用信息系统时,不同角色所需的权限,分为财务核算系统权限、系统报表权限、人力资源系统权限、供应链系统权限、地磅系统权限、资产管理权限、协同办公系统权限;
第十四条 信息系统中所有用户及所属角色的权限均由各单位系统管理员参照基础角色权限表填写并提交公司系统管理员,由公司系统管理员统一备案;
第十五条 权限变动
1、信息系统中用户及权限的新增、变动、撤消均由各单位业务部门负责人发起,由各单位系统管理员负责具体实施;
2、信息系统中用户权限新增、变动、撤销由各单位系统管理员具体实施后,报公司系统管理员备案;
第六章 系统日常操作管理规范
1、财务系统操作手册
2、人力系统操作手册
3、供应链系统操作手册
4、资产管理系统操作手册
第七章 客户端配置及网络要求
电脑配置要求
项目
最小配置
建议配置
cpu
p4 1.5g
p4 2.0g以上
内存
1g
2g
网络
100m
100m
硬盘
操作系统所在分区需要5g剩余空间
打印机
操作系统所能适配的打印机
显示适配器
桌面分辨率能显示1024*768即可
操作系统
windows2000、*p、vista
浏览器
ie6.0以上
网络带宽要求
需要安装系统的电脑在5台以内的接入2m以上稳定的带宽,5-10台接入3m以上的接入带宽,10台以上接入5m以上的带宽。
第八章 附则
1、本制度解释权归公司企管信息部。
2、各单位可根据本制度制定实施细则,并报公司备案。
3、本制度自20 年 月 日起执行。
第3篇 电子信息系统安全管理制度
为提高公司信息系统的可靠性、稳定性、安全性,降低人为因素导致信息系统失效的可能性,形成良好的信息传递渠道,特制定本规范。
1.机房管理规范
1.1非工作人员不得进出机房。工作人员出入机房注意锁好房门,未经上级批准,禁止将机房相关钥匙、密码等物品或信息外露给其它人员,同时有责任对信息保密。
1.2机房工作人员必须熟知机房内设备的基本安全操作和规则。定期检查机房的防晒、防水、防潮;检查、整理硬件物理连接线路;定期检查硬件运作状态(如设备指示灯)。不得乱拉乱接电线,应选用安全、有保证的供电、用电器材,严禁随意对设备断电、更改设备供电线路,严禁随意串接、并接、搭接各种供电线路。
1.3机房内禁止吃食物、抽烟、随地吐痰,对于意外或工作过程中弄污地板和其它物品的,必须及时采取措施清理干净;禁止在服务器上进行试验性质的软件调试,禁止在服务器随意安装软件。
1.4机房工作人员必须定期检查软件的运行状况、定期调阅软件运行日志记录,进行数据和软件日志备份,做好硬件设备的维护保养工作。
1.5任何人均不得在服务器、交换设备等核心设备上进行与工作无关的任何操作。未经上级允许,更不允许他人操作机房内部的设备。
2. 计算机操作人员管理规范
2.1计算机操作员应具备计算机基础知识,熟练使用windows、office、长安福特dms系统及常用软件,并对其所使用的计算机软、硬件负有维护保管责任。
2.2任何员工未经授权,不得修改计算机软硬件设置。严禁在工作机共享文件,员工所掌握的工作数据、文件等均属公司所有,严禁拷贝、传播、修改、破坏。凡违反网络操作规程,影响网络运行者罚款100元。
2.3计算机操作人员离开工作区域时应保证重要文件、资料、设备、数据处于安全保护状态;个人的工作文件应随时做好安全存放与备份,不得将个人工作文件存放于“c盘我的文档”。如有问题及时联系系统管理员,与系统管理员一同维护好日常网络的安全运行。
2.4计算机操作人员每次开机确保病毒实时监测程序和黑客防火墙程序的正常运行;日常工作中注意保持计算机等相关设备的清洁,下班时务必关掉所有办公设备的电源。
3. 计算机系统安全性维护
3.1计算机信息系统操作人员不得擅自进行系统软件的删除、拷贝、修改等操作,不得擅自升级、改变系统软件版本或更换系统软件,不得擅自改变软件系统环境配置。
3.2硬件设备的更新、扩充、修复等工作应当由相关人员提出申请,报上级主管负责人审批。未经允许,不得擅自拆装硬件设备。
3.3在使用任何外来的光盘,u盘,移动硬盘等外来媒体的文件前,必须进行杀毒;严禁浏览任何非法网站、黑客网站及不健康的网站,严禁下载带有附件的不明邮件;
3.4系统管理人员负责长安福特dms系统工作权限的设置,员工只能使用自己的工作权限,严禁盗用他人用户名与密码,严格执行工作流程;长安福特dms系统上使用的密码一经启用,不得随意修改、公开,并需在行政部做备份,如需修改须事先告知行政部。
3.5各部门如有计算机操作员人员更替,必须及时通知行政部,系统管理员注销或开设新用户。
3.6系统管理人员须严格管理公司无限网络的使用,接入密码要经常更新,以保证无线网络的安全;
第4篇 内部控制信息系统安全管理制度
第一章 总则3
第二章 系统管理人员的职责3
第三章机房管理制度4
第四章 系统管理员工作细则4
第五章安全保密管理员工作细则7
第六章 密钥管理员工作细则9
第七章 计算机信息系统应急预案10
第八章 附则10
第一章 总则
第1条依据《中华人民共和国保守国家秘密法》和有关保密规定,为进一步加强中船信息公司计算机信息系统安全保密管理,并结合用户单位的实际情况,制定本制度。
第2条计算机信息系统包括:涉密计算机信息系统和非涉密计算机信息系统。其中,涉密计算机信息系统指以计算机或者计算机网络为主体,按照一定的应用目标和规则构成的处理涉密信息的人机系统。
第3条涉密计算机信息系统的保密工作坚持积极防范、突出重点,既确保国家秘密安全又有利于信息化发展的方针。
第4条涉密计算机信息系统的安全保密工作实行分级保护与分类管理相结合、行政管理与技术防范相结合、防范外部与控制内部相结合的原则。
第5条涉密计算机信息系统的安全保密管理,坚持“谁使用,谁负责”的原则,同时实行主要领导负责制。
第二章 系统管理人员的职责
第6条用户单位的涉密计算机信息系统的管理由用户保密单位负责,具体技术工作由中船信息承担,设置以下安全管理岗位:系统管理员、安全保密管理员、密钥管理员。
第7条系统管理员负责信息系统和网络系统的运行维护管理,主要职责是:信息系统主机的日常运行维护;信息系统的系统安装、备份、维护;信息系统数据库的备份管理; 应用系统访问权限的管理;网络设备的管理;网络的线路保障;网络服务器平台的运行管理,网络病毒入侵防范。
第8条安全保密管理员负责网络信息系统的安全保密技术管理,主要职责是:网络信息安全策略管理;网络信息系统安全检查;涉密计算机的安全管理;网络信息系统的安全审计管理;违规外联的监控。
第9条密钥管理员负责密钥的管理,主要职责是:身份认证系统的管理;密钥的制作;密钥的更换;密钥的销毁。
第10条对涉密计算机信息系统安全管理人员的管理要遵循“从不单独原则”、“责任分散原则”和“最小权限原则”。
第11条新调入或任用涉密岗位的系统管理人员,必须先接受保密教育和网络安全保密知识培训后方可上岗工作。
第12条保密单位负责定期组织系统管理人员进行保密法规知识的宣传教育和培训工作。
第三章 机房管理制度
第13条出入机房要有登记记录。非机房工作人员不得进入机房。外来人员进机房参观需经保密办批准,并有专人陪同。
第14条进入机房人员不得携带任何易燃、易爆、腐蚀性、强电磁、辐射性、流体物质、食品等对设备正常运行构成威胁的物品。严禁在机房内吸烟。严禁在机房内堆放与工作无关的杂物。
第15条机房内不得使用无线通讯设备,禁止拍照和摄影。
第16条各类技术档案、资料由专人妥善保管并定期检查。
第17条机房内应按要求配置足够量的消防器材,并做到三定(定位存放、定期检查、定时更换)。加强防火安全知识教育,做到会使用消防器材。加强电源管理,严禁乱接电线和违章用电。发现火险隐患,及时报告,并采取安全措施。
第18条机房应保持整洁有序,地面清洁。设备要排列整齐,布线要正规,仪表要齐备,工具要到位,资料要齐全。机房的门窗不得随意打开。
第19条每天上班前和下班后对机房做日常巡检,检查机房环境、电源、设备等并做好相应记录(见表一)。
第20条机房大门必须随时关闭上锁。机房钥匙由集团公司保密办管理。
第21条机房门禁磁卡(以下简称门禁卡)由信息中心管理。
第22条门禁卡的发放范围是:系统管理员、安全保密管理员和密钥管理员。
第23条对临时进入机房工作的人员,不再发放门禁卡,在向用户单位保密部门提出申请得到批准后,由安全保密管理员陪同进入机房工作。
第24条门禁卡应妥善保管,不得遗失和互相借用。
第25条门禁卡遗失后,应立即上报信息中心,同时写出书面说明。
第四章 系统管理员工作细则
第一节 系统主机维护管理办法
第26条系统主机由系统管理员负责维护,未经允许任何人不得对系统主机进行操作。
第27条根据系统设计方案和应用系统运行要求进行主机系统安装、调试,建立系统管理员账户,设置管理员密码,建立用户账户,设置系统策略、用户访问权利和资源访问权限,并根据安全风险最小化原则及运行效率最大化原则配置系统主机。
第28条建立系统设备档案(见表二)、包括系统主机详细的技术参数,如:品牌、型号、购买日期、序列号、硬件配置信息、软件配置信息、网络配置信息、系统配置信息,妥善保管系统主机保修卡,在系统主机软硬件信息发生变更时对设备档案进行及时更新。
第29条每周修改系统主机管理员密码,密码长度不得低于八位,要求有数字、字母并区分大小写。
第30条每周通过系统性能分析软件对系统主机进行运行性能分析,并做详细记录(见表四),根据分析情况对系统主机进行系统优化,包括磁盘碎片整理、系统日志文件清理,系统升级等。
第31条每周对系统日志、系统策略、系统数据进行备份,做详细记录(见表四)。
第32条每天检查系统主机各硬件设备是否正常运行,并做详细记录(见表五)。
第33条每天检查系统主机各应用服务系统是否运行正常,并做详细记录(见表五)。
第34条每周下载安装最新版的系统补丁,对系统主机进行升级,做详细记录(见表四)。
第35条每天记录系统主机运行维护日记,对系统主机运行情况进行总结。
第36条在系统主机发生故障时应及时通知用户,用最短的时间解决故障,保证系统主机尽快正常运行,并对系统故障情况做详细记录(见表六)。
第37条每月对系统主机运行情况进行总结、并写出系统主机运行维护月报,上报保密办。
第二节 信息系统运行维护管理办法
第38条信息系统(办公自动化系统和档案管理系统)的运行维护由系统管理员负责维护,未经允许任何人不得对信息系统进行任何操作。
第39条根据信息系统的设计要求及实施细则安装、调试、配置信息系统,建立信息系统管理员账号,设置管理员密码,密码要求由数字和字母组成,区分大小写,密码长度不得低于8位,。
第40条对信息系统的基本配置信息做详细记录,包括系统配置信息、用户帐户名称,系统安装目录、数据文件存贮目录,在信息系统配置信息发生改变时及时更新记录(见表三)。
第41条每周对信息系统系统数据、用户id文件、系统日志进行备份,并做详细记录(见表四),备份介质交保密办存档。
第42条当信息系统用户发生增加、减少、变更时,新建用户帐户,新建用户邮箱,需经保密单位审批,并填写系统用户申请单或系统用户变更申请单(见表七),审批通过后,由系统管理员进行操作,并做详细记录。
第43条根据用户需求设置信息系统各功能模块访问权限,并提交保密办审批。
第44条每天检查信息系统各项应用功能是否运行正常,并做详细记录(见表五)。
第45条在信息系统发生故障时,应及时通知用户,并用最短的时间解决故障,保证信息系统尽快正常运行,并对系统故障情况做详细记录(见表六)。
第46条每天记录信息系统运行维护日志,对信息系统运行情况进行总结。
第47条每月对信息系统运行维护情况进行总结,并写出信息系统维护月报,并上报保密办。
第三节 网络系统运行维护管理办法
第48条网络系统运行维护由系统管理员专人负责,未经允许任何人不得对网络系统进行操作。
第49条根据网络系统设计方案和实施细则安装、调试、配置网络系统,包括交换机配置、路由器配置,建立管理员账号,设置管理员密码,并关闭所有远程管理端口。
第50条建立系统设备档案(见表二),包括交换机、路由器的品牌、型号、序列号、购买日期、硬件配置信息,详细记录综合布线系统信息配置表,交换机系统配置,路由器系统配置,网络拓扑机构图,vlan划分表,并在系统配置发生变更时及时对设备档案进行更新。
第51条每天检查网络系统设备(交换机、路由器)是否正常运行。
第52条每周对网络系统设备(交换机、路由器)进行清洁。
第53条每周修改网络系统管理员密码。
第54条每周检测网络系统性能,包括数据传输的稳定性、可靠性、传输速率。
第55条网络变更后进行网络系统配置资料备份。
第56条当网络系统发生故障时,应及时通知用户,并在最短的时间内解决问题,保证网络系统尽快正常运行,并对系统故障情况作详细记录(见表六)。
第57条每月对网络系统运行维护情况进行总结,并作出网络系统运行维护月报。
第四节 终端电脑运行维护管理办法
第58条终端电脑的维护由系统管理员负责,未经允许任何人不得对终端电脑进行维护操作。
第59条根据用户应用需求和安全要求安装、调试电脑主机,安装操作系统、应用软件、杀毒软件、技防软件,。
第60条建立系统设备档案(见表二)、包括电脑的品牌、型号、购买日期、序列号、硬件配置信息、软件配置信息、网络配置信息、系统配置信息,在电脑主机软硬件信息发生变更时对设备档案进行及时更新。
第61条在电脑主机发生故障时应及时进行处理,备份用户文件,用最短的时间解决故障,保证电脑主机尽快能够正常运行,并对电脑主机故障情况做详细记录(见表六),涉及存储介质损坏,直接送交保密办处理。
第五节 网络病毒入侵防范管理办法
第62条网络病毒入侵防护系统由系统管理员专人负责,任何人未经允许不得进行此项操作。
第63条根据网络系统安全设计要求安装、配置瑞星网络病毒防护系统,包括服务器端系统配置和客户机端系统配置,开启客户端防病毒系统的实时监控。
第64条每日监测防病毒系统的系统日志,检测是否有病毒入侵、安全隐患等,对所发现的问题进行及时处理,并做详细记录(见表八)。
第65条每周登陆防病毒公司网站,下载最新的升级文件,对系统进行升级,并作详细记录(见表九)。
第66条每周对网络系统进行全面的病毒查杀,对病毒查杀结果做系统分析,并做详细记录(见表十)。
第67条每日浏览国家计算机病毒应急处理中心网站,了解最新病毒信息发布情况,及时向用户发布病毒预警和预防措施。
第五章 安全保密管理员工作细则
第一节 网络信息安全策略管理办法
第68条网络安全策略管理由安全保密管理员专职负责,未经允许任何人不得进行此项操作。
第69条根据网络信息系统的安全设计要求及主机审计系统数据的分析结果,制定、配置、修改、删除主机审计系统的各项管理策略,并做记录(见表十一)。
第70条根据网络信息系统的安全设计要求制定、配置、修改、删除网络安全评估分析系统的各项管理策略,并做记录(见表十一)。
第71条根据网络信息系统的安全设计要求制定、配置、修改、删除入侵检测系统的各项管理策略,并做记录(见表十一)。
第72条根据网络信息系统的安全设计要求制定、配置、修改、删除、内网主机安全监控与审计系统的各项管理策略,并做记录(见表十一)。
第73条每周对网络信息系统安全管理策略进行数据备份,并作详细记录(见表十二)。
第74条网络信息安全技术防护系统(主机审计系统、漏洞扫描系统、防病毒系统、内网主机安全监控与审计系统)由网络安全保密管理员统一负责安装和卸载。
第二节 网络信息系统安全检查管理办法
第75条网络信息系统安全检查由安全保密管理员专职负责执行,未经允许任何人不得进行此项操作。
第76条每天根据入侵检测系统的系统策略检测、审计系统日志,检查是否有网络攻击、异常操作、不正常数据流量等,对异常情况做及时处理,遇有重大安全问题上报保密办,并做详细记录(见表十三)。
第77条每周登陆入侵检测系统产品网站,下载最新升级文件包,对系统进行更新,并做详细记录(见表十四)。
第78条每月通过漏洞扫描系统对网络系统终端进行安全评估分析,并对扫描结果进行分析,及时对终端系统漏洞及安全隐患进行处理,作详细记录(见表十五),并将安全评估分析报告上报保密办。
第79条每周登录全评估产品网站,下载最新升级文件包,对系统进行更新,并作详细记录(见表十六)。
第80条每周备份入侵检测系统和漏洞扫描系统的审计信息,并作详细记录(见表十七)。
第三节 涉密计算机安全管理办法
第81条涉密计算机安全管理由安全保密管理员专人负责,未经允许任何人不得进行此项操作。
第82条根据网络系统安全设计要求制定、修改、删除涉密计算机安全审计策略,包括打印控制策略、外设输入输出控制策略、应用程序控制策略,并做记录。
第83条每日对涉密计算机进行安全审计,及时处理安全问题,并做详细记录(见表十八),遇有重大问题上报保密部门。
第84条涉密计算机的新增、变更、淘汰需经保密部门审批,审批通过后由安全保密管理员统一进行操作,并做详细记录(见表十八)。
第85条新增涉密计算机联入涉密网络,需经保密办审批,由安全保密管理员统一进行操作,并做详细记录(见表十八)。
第四节 安全审计管理办法
第86条网络信息安全审计系统由安全保密管理员负责,未经允许任何人不得进行此项操作。
第87条根据网络系统主机安全设计要求安装、配置、管理主机安全审计系统,制定审计规则,包括系统运行状态、用户登录信息,网络文件共享操作等。
第88条每日查看安全审计系统信息,对审计结果进行分析整理,及时处理所发生的设备安全问题,并做详细记录(见表十九)。
第89条每周备份设备安全审计系统审计信息,并做详细记录(见表二十)。
第90条每月对主机安全审计系统记录信息进行分析总结,并向保密部门提交分析报告。
第五节 违规联接管理办法
第91条违规外联管理系统(北信源安全补丁管理软件)由安全保密管理员负责,未经允许任何人不得进行此项操作。
第92条根据网络信息系统安全管理要求安装、配置违规外联管理系统策略,包括联网涉密电脑,单机涉密电脑,便携式涉密电脑。
第93条每日检查违规外联系统审计信息,查看联网涉密电脑是否有违规外联操作。
第94条每月检查单机涉密电脑、便携式电脑是否有违规外联操作。
第95条每三个月协助保密办进行所有涉密电脑巡检,检查是否存在违规外联操作,并做详细记录。
第96条每日通过违规外联系统检查网络系统是否有非法主机联入,并做详细记录。
第六章 密钥管理员工作细则
第97条身份认证系统由密钥管理员专人负责,未经允许任何人不得进行此项操作。
第98条每日检查身份认证系统是否正常运行。
第99条负责向用户单位派发安全钥匙,用户需填写审批表,并提交保密部门审批(见表二十一)。
第100条根据用户需求,见保密部门审批单要求,制作、修改、注销证书(见表七)。
第101条负责为每台计算机安装主机登录系统。
第102条负责主机登录系统、身份认证系统的系统维护。
第七章 计算机信息系统应急预案
第103条系统管理人员参与制定各种意外事件处置预案,并具体执行,包括火灾、停电、设备故障等,每年进行预案演练。
第104条遇到火灾应根据火情采取以下措施:
1.如火情较轻时,应立即切断机房总电源,并迅速用消防器材,力争把火扑灭、控制在初期阶段,同时上报集团保卫部门。
2.如火情严重应迅速拨打报警电话“119”,同时通知集团保卫部门,听从消防工作人员的现场指挥,协助处理有关事项。
第105条如遇机房突发性停电,应迅速通知用户,同时关闭设备电源,来电后,及时通知用户,并检测设备是否正常运行。
第106条系统出现灾难性故障时,系统管理员应立刻通知部门主管,制定详细的系统恢复方案。
第107条遇紧急情况,值班员应立即通知保密办和系统管理员,保持24小时通讯畅通,随时处理紧急事件。
第108条线路故障应立即拨打线路故障电话“112”,同时上报部门主管,协助电信部门查找故障原因,尽快使线路恢复正常。
第八章 附则
第109条本管理制度自发布之日起执行,未尽事宜以用户单位的《保密工作管理实施办法》为准。
第110条本制度每年度审订一次,本制度所有表格请见附录。
第5篇 人民医院信息系统安全管理制度
人民医院信息系统安全管理制度
一、信息系统安全包括:软件安全和硬件网络安全两部分。
二、计算机中心人员必须采取有效的方法和技术,防止信息系统数据的丢失、破坏和失密;硬件破坏、失效等灾难性故障。
三、对系统用户的访问模块、访问权限由使用单位负责人提出,交信息化领导小组核准后,由计算机中心人员给予配置并存档,以后变更必须报批后才能更改,计算机中心做好变更日志存档。
四、系统管理人员应熟悉并严格监督数据库使用权限、用户密码使用情况,定期更换用户口令或密码。网络管理员、系统管理员、操作员调离岗位后一小时内由班组长监督检查更换新的密码;厂方调试人员调试维护完成后一小时内,由系统管理员关闭或修改其所用帐号和密码。
五、计算机中心人员要主动对网络系统实行监控、查询,及时对故障进行有效隔离、排除和恢复工作,以防灾难性网络风暴发生。
六、网络系统所有设备的配置、安装、调试必须由计算机中心人负责,其他人员不得随意拆卸和移动。
七、上网操作人员必须严格遵守计算机及其他相关设备的操作规程,禁止其他人员进行与系统操作无关的工作。
八、严禁自行安装软件,特别是游戏软件,禁止在工作用电脑上打游戏。
九、所有进入网络的软盘、光盘、u盘等其他存贮介质,必须经过计算机中心负责人同意并查毒,未经查毒的存贮介质绝对禁止上网使用,对造成“病毒”蔓延的有关人员,将对照《计算机信息系统处罚条例》进行相应的经济和行政处罚。
十、在医院还没有有效解决网络安全(未安装防火墙、高端杀毒软件、入侵检测系统和堡垒主机)的情况下,内外网独立运行,所有终端内外网不能混接,严禁外网用户通过u盘等存贮介质拷贝文件到内网终端。
十一、内网用户所有文件传递,一律通过网上办公系统和ftp服务器专门的上载、下载区进行,不得利用软盘、光盘和u盘等存贮介质进行拷贝。
十二、保持计算机硬件网络设备清洁卫生,做好防尘、防水、防静电、防磁、防辐射、防鼠等安全工作。
十三、计算机中心人员有权监督和制止一切违反安全管理的行为。
