第1篇 以管理信息系统规范班组的安全管理
飞来峡水利枢纽位于广东省北江干流中游清远市飞来峡管理区境内，以防洪为主，兼有航运、发电、养殖、供水、旅游和改善生态环境等多种效益。由于枢纽生产班组众多，且专业差别较大，班组内技术人员和工人的素质也不尽相同，这就导致了班组安全生产管理工作的难度增大。安全生产管理的职能部门难以及时掌握生产部门各班组有关的情况；班组之间有很多有用的信息难以共享，对整体安全生产管理水平的提高不利；故障和隐患处理等程序费时费力，跟不上社会信息化的步伐。随着电脑应用的普及和管理信息系统技术的日趋成熟，对班组的安全生产管理实行信息化处理显得更为迫切。
1 信息系统的设置
为实现管理信息化，管理局于2001年建立了信息管理系统。系统包括了生产、安全管理、政工、人事、后勤等方面的内容，包含了局日常工作的主要方面。其中安全监察子系统的功能就是实现局安全生产工作的信息化管理。目前安全监察子系统包括了安全工具检查、安全生产活动、安全生产档案、消防安全管理等4个方面：
(1) 安全工具，包含安全帽及绝缘工具的检查；
(2) 安全生产活动包含安全事故预想记录，反事故演习记录，异常情况分析，安全事故，障碍及异常分析；
(3) 安全生产档案，包含安全生产学习档案，安全生产检查档案，安全生产事故处理档案，人身事故情况，安全生产隐患处理档案；
(4) 消防安全管理，包含消防器材记录，消防检查记录，消防演习记录，火灾事故记录，火灾隐患处理档案。
班组安全管理的内容非常广泛，通常包括安全教育培训、安全活动以及现场作业安全管理等。经过系统的试运行表明，系统的模块设置是能满足目前班组的安全管理要求的。
2 信息管理系统的推广应用
信息管理系统建立以后，进入试运行阶段。班组常规安全生产学习活动照常进行，跟以往相比，不同的是将学习检查的情况录入信息管理系统内相应的模块，而不是记在笔记本上。安全监察职能部门定期在网络上进行检查，对于未按时录入或录入不规范的，要及时提醒，对于未开展相关活动的，要限期整改。大量的安全生产信息也通过系统实现共享和相互交流。通过1年多的推广应用，班组安全生产的日常管理工作均实现了信息化。
缺陷及故障处理是保证设备安全运行的一个重要环节，纳入mis系统以后，发现缺陷的部门可以直接进入系统，填写缺陷单，辅以电话通知就可立即将信息传达到维护检修部门，并且可以签收。检修部门处理后，同样可辅以电话，申请运行部门进行验收，运行部门可以在电脑上签字。从上面的过程可以看出，通过信息系统提高了处理缺陷和故障的效率。对于事故、重大的缺陷等紧急情况，则可进行特殊处理，过后及时填写有关记录。
信息管理系统的推广应用中也会遇到一些阻力，需要一个过程来适应。比如工作票的签发，按以往的做法是，以书面的形式，由工作负责人填写工作票，提交工作票签发人签发，然后开展工作。改成从管理信息系统签发以后，程序基本还是一样，工作负责人在电脑上填写，自动传到工作票签发人的电脑上，工作票签发人签发后，自动传到工作许可人的电脑上，再由许可人打印出来交给工作负责人开展工作。这个改动减少了工作负责人的跑动，也方便了存档。但有些工作人员习惯了书面的填写，觉得工作量并不加重很多，开始很不适应，在系统本身不完善的情况下有时会拖延一些时间，甚至有些抵触情绪。对于这种情况，先在试运行期间采取双轨制，在系统经过完善后再强制执行(原来的手工填写作为一种备用)。
采用信息系统规范班组的安全管理工作，提高了安全生产管理工作的效率，规范了各级人员的工作行为，也方便了档案的保存和调用，此外，通过共享信息，达到互相交流的目的，对枢纽运行管理的安全生产工作起到了良好的促进作用。
第2篇 天津电力信息系统安全管理的实践
(天津市电力公司，天津 300010)
天津电力信息大型综合系统始建于1994年，此后，各类系统建设又迅速得到发展并逐步完善。目前在公司广域网上运行的系统有：网上办公自动化(oa)、综合信息平台、用电mis、财务mis、民用电mis客户服务系统、负荷控制、调度自动化(scada)、调度mis、互联网代理及电子邮件系统等。正在建设的大型综合性系统有：生产mis、电网gis(电网地理图形辅助生产管理信息系统)以及综合信息平台整合升级。由于天津市地域比较集中，系统网络的覆盖面、容量及性能建设得很好，为便于统一规范、控制和安全防范，公司广域网各类信息系统全部采取集中式建设，集中式管理。
随着天津电力信息系统建设的迅速发展，信息系统在公司日常办公、生产和经营管理等方面所发挥的作用日益重要。公司广域网和某些局域网一旦发生严重事故，其经济损失和社会影响将无可估量，如果造成电网事故，则其影响可能是灾难性的。因而信息系统的安全运行，对于保证公司安全生产和正常的运营秩序已上升到至关重要的位置。同时，由于计算机和网络技术的飞速发展，信息系统安全的防范难度越来越大。而现阶段计算机专业技术和知识还不够普及，加上大多数领导干部的计算机知识和技术水平有限，对于公司生产和经营活动对信息系统越来越强的依赖性认识不足，所以加强信息系统的安全管理，不仅必要而且显得紧迫。
1 信息系统安全管理组织体系建设
(1) 将原挂靠于总经理工作部的信息中心分离出来，成立科技信息部，下设科技信息处，统一负责全公司信息系统的建设和运行管理，对各基层单位的计算机管理部门行使业务和职能管理。各单位下属车间(含工区、所、站，下同)和配备计算机的班组设有计算机专责人，公司本部各部门设有兼职的信息员。这样便建立了公司、厂(分公司)、车间和班组四级管理网。
(2) 由调度通信中心负责网络骨干通道和骨干交换机的建设与管理，并负责调度scada系统、通讯系统和调度mis系统的建设与管理，对各基层单位的调度部门行使职能和技术管理。必要时可请科技信息部在技术上给予指导和帮助。以上构成了信息系统安全技术管理的保证体系。
(3) 由公司安全监察部和各单位安监部门负责信息系统安全管理的监督与考核，公司本部和各基层单位均设1名安全员(目前为兼职)，负责信息系统安全管理的日常监督工作。由此构成信息系统安全管理的监督体系。
2 不断建立健全规章制度
在建立健全组织体系的同时，公司还致力于建章立制。目前已建立信息系统网络和机房建设规范、运行监管、应用系统开发与管理、系统验收启用、日常监督与考核以及信息保密等一系列规章制度。其间经历了由粗到细、由浅入深，不断补充、修改和完善的过程。有的制度是先期发出1个或几个通知，经过一段实践后，再进一步整理完善，形成正式文件下发，有的文件执行一两年后又被新的、更详细、更完善的文件所取代。
3 信息系统安全管理的几点注意事项
(1) 要通过广泛宣传信息系统安全的重要性，及时通报信息系统故障情况及其影响，严惩人为事故责任人及责任单位，教育全公司的干部职工，增强公司员工，特别是领导干部对信息系统安全管理的责任心，促进各级专业管理部门建章立制，规范化管理，确保公司信息系统的安全稳定运行，进而保证公司的正常生产和经营秩序。
(2) 信息系统安全运行的关键在于充分发挥保证体系，即充分发挥职能部门专业管理人员的作用，落实各级管理人员责任制。由于该专业技术性很强，所以更要强调落实技术责任。对信息系统故障的处理，应遵循'三不放过'的原则。
(3) 由于个人计算机的操作时间不受限制，其操作具有个体独立性和一定的隐蔽性，加上各级领导干部计算机知识和操作水平有限，所以，专业技术部门应不断强化网上监控技术手段和个人pc机的日常监督检查工作，防止个别人员在联网的计算机上加装与工作无关的软件，或私接modem等违规设备。对发生的违规行为必须严惩，并予通报。
(4) 调度scada系统必须独立运行，并同其它系统严格隔离。
(5) 各应用系统必须和其它系统可靠地隔离，并有严格的访问权限控制。
(6) 禁止联入广域网的各单位局域网服务器另开互联网出口，严禁在联网计算机上私接modem上互联网。因工作需要使用modem的个人计算机必须经过统一审批、备案，且该计算机必须同单位局域网和公司广域网断开。
(7) 严禁在联网计算机上设立对外开放的网站，严禁加装对外开放的网络聊天、网络游戏、网上炒股等与工作无关的软件。
(8) 对登录各类信息系统的用户名和密码应有严格的保密责任，所设密码不能过于简单，防止他人盗用上网。
第3篇 信息系统安全管理规定
系统安全管理规定
文档号CSLJC_COM_STD_ISMS_1202_P_V0.1密级
ISO27001信息安全管理体系文件
ISMS-MP-A.12-01活动
签名
日期
创建
2011-8-24审核
批准II
文档变更历史
作者(或修订人)版本号
日期
修改内容与原因
V0.12011-8-24新建
评审记录
评审方式
版本号
日期
评审意见
文档状态：草稿
目录
1概述11.1目的11.2定义11.3范围11.4原则12角色与职责13安全要求23.1系统安全规划要求23.2系统运行与维护安全要求23.3操作系统安全配置策略53.3.1Windows系统安全配置管理策略53.3.2UNI*系统安全管理策略84附录10概述
1.1目的
为了加强公司各类计算机系统的安全运维管理，特制定本规定。
1.2定义
本程序引用ISO/IEC
17799:2005标准中的术语。
1.3范围
本文档适用于公司建立的信息安全管理体系。
1.4原则
本文档将依据信息技术和信息安全技术的不断发展和信息安全风险与信息安全保护目标的不断变化而进行版本升级。
角色与职责
表2-1系统安全管理规定的角色和职责
序号
角色
职责
信息安全管理委员会
负责对系统安全管理进行指导和检查
系统运维部
负责生产环境系统的维护工作
系统支援及维护部
负责系统安全管理的落地和实施工作
员工遵守公司系统安全管理规定
安全要求
3.1系统安全规划要求
1、系统在投入使用前需要做好前期的规划和设计，除了要满足公司目前业务需要外还要考虑该业务系统将来的应用需求，使系统具有一定的扩充能力。
2、系统服务器操作系统应选用正版软件并且遵守软件规定的最终用户使用协议，禁止使用盗版软件。
3、新规划使用系统应考虑和原来系统的兼容性问题。
4、在新系统安装之前应有详细的实施计划，并严格按照计划来实施。
5、在新系统安装完成，投入使用前，应对所有组件包括设备、服务或应用进行连通性测试、性能测试、安全性测试，并在《系统测试记录》做详细记录，最终形成测试报告。
6、在新系统安装完成，测试通过，投入使用前，应删除测试用户和口令，最小化合法用户的权限，最优化配置，应及时对系统软件、文件和重要数据进行备份。
3.2系统运行与维护安全要求
1、各个系统设备应进行资产登记。
2、系统的帐号、口令应符合《帐号与密码安全管理规定》，并定期对帐号口令实施安全评估。
3、严格限制操作系统管理员权限帐号和普通账号的数量和使用范围。对于系统管理员的帐号要详细登记备案，编制《管理员权限账号记录》，每季度对该记录进行审核，更新帐号记录。
4、操作系统帐号的申请与变更参考《帐号与密码安全管理规定》3.5节“账号权限控制流程”。
5、严格禁止非本系统管理、维护人员直接进入主机设备进行操作，若在特殊情况下（如系统维修、升级等）需要外部人员（主要是指厂家技术工程师、非本系统技术工程师、安全管理员等）进入主机设备进行操作时，必须由维护人员员亲自登录，并对操作全过程进行记录备案。
6、应尽可能减少主机设备的远程管理方式。
7、严禁随意安装、卸载系统组件和驱动程序，如确实需要，应及时评测可能由此带来的影响；如果需要安装补丁程序，参考《病毒与补丁安全管理规定》进行安装。
8、禁止主机系统上开放具有“写”权限的共享目录，如果确实必要，优先考虑建立FTP站点，紧急情况下可临时开放，但要设置强共享口令，并在使用完之后立刻取消共享；应禁止不被系统明确使用的服务、协议和设备的特性，避免使用不安全的服务。
9、应严格并且合理的分配服务安装分区或者目录的权限，如果可能的话，给每项服务安装在独立分区；取消或者修改服务的banner信息；避免让应用服务运行在root或者administrator权限下。
10、应严格控制重要文件的许可权和拥有权，重要的数据应当加密存放在主机上，取消匿名FTP访问，并合理使用信任关系。
11、应对日志功能的启用、日志记录的内容、日志的管理形式、日志的审查分析做出明确的规定；对于重要主机系统，应建立集中的日志管理服务器，实现对重要主机系统日志的统一管理，以利于对主机系统日志的审查分析；应保证各设备的系统日志处于运行状态，并定期对日志做一次全面的分析，对登录的用户、登录时间、所做的配置和操作做检查，在发现有异常的现象时应及时向相关人员报告，日志审核要求详见《安全审计管理规定》。
12、应及时监视、收集主机设备操作系统生产厂商公布的软件以及补丁更新，要求下载补丁程序的站点必须是相应的官方站点，并对更新软件或补丁进行评测，在获得部门领导的批准下，对实际环境实施软件更新或者补丁安装；必须订阅CERT
(计算机紧急响应小组)公告或其他专业安全机构提供的安全漏洞信息的相关资源，应立即提醒信息安全工作组任何可能影响网络正常运行的漏洞；及时评测对漏洞采取的对策，在获得部门领导的批准下，对实际环境实施评测过的对策，并将整个过程记录备案；软件更新或者补丁安装应尽量安排在非业务繁忙时段进行，操作必须由两人以上完成，由一人监督，一人操作，并在升级（或修补）前后做好数据和软件的备份工作，同时将整个过程记录备案；软件更新或者补丁安装后应重新对系统进行安全设置，并进行系统的安全检查。
13、应定期进行安全漏洞扫描和病毒查杀工作，平均频率应不低于每月一次，并在《月度网络安全扫描记录》中详细记录评估扫描结果。重大安全漏洞发布后，应在3个工作日内进行；为了防止网络安全扫描以及病毒查杀对网络性能造成影响，应根据业务的实际情况对扫描时间做出规定，应一般安排在非业务繁忙时段；当发现主机设备上存在病毒、异常开放的服务或者开放的服务存在安全漏洞时应及时上报信息安全工作组，并采取相应措施。
14、应至少每周1次，对所有主机设备进行检查，确保各设备都能正常工作；应通过各种手段监控主机系统的CPU利用率、进程、内存和启动脚本等的使用状况，在发现异常系统进程或者系统进程数量异常变化时，或者CPU利用率，内存占用量等突然异常时，应立即上报信息安全工作组，并同时采取适当控制措施，并记录备案。
15、当主机系统出现以下现象之一时，必须进行安全问题的报告和诊断：
系统中出现异常系统进程或者系统进程数量有异常变化。
系统突然不明原因的性能下降。
系统不明原因的重新启动。
系统崩溃，不能正常启动。
系统中出现异常的系统账号
系统账号口令突然失控。
系统账号权限发生不明变化。
系统出现来源不明的文件。
系统中文件出现不明原因的改动。
系统时钟出现不明原因的改变。
系统日志中出现非正常时间系统登录，或有不明IP地址的系统登录。
发现系统不明原因的在扫描网络上其它主机。
16、应及时报告任何已知的或可疑的信息安全问题、违规行为或紧急安全事件，并在采取适当措施的同时，应向信息安全工作组报告细节；应定期提交安全事件和相关问题的管理报告，以备管理层检查。
17、应根据“知所必需”原则严格限制泄漏安全违规行为、安全事件或安全漏洞。如果必须向任何公司外部方（包括任何合法的权威机构）泄漏这类受限信息，应先咨询公司相关法律部门。
18、系统软件安装之后，应立即进行备份；在后续使用过程中，在系统软件的变更以及配置的修改之前和之后，也应立即进行备份工作；应至少每年1次对重要的主机系统进行灾难影响分析，并进行灾难恢复演习。
19、应至少每年1次对整个网络进行风险评估，每次风险评估时，手工检查的比例应不低于10％，渗透测试的比例应不低于5％；风险评估后应在10个工作日内完成对网络的修补和加固，并进行二次评估。
3.3操作系统安全配置策略
3.13.23.33.3.1Windows系统安全配置管理策略在应用以下安全策略之前应根据业务系统的实际情况进行操作，注意实施操作后对业务的风险。
1、物理安全策略
应设置BIOS口令以增加物理安全。
应禁止远程用户使用光驱和软驱。
2、补丁管理策略
应启动Windows自动更新功能，及时安装Windows补丁（SP、hotfi*）。
对于不能访问Internet的Windows系统，应采用手工打补丁的方式。
3、帐户与口令策略所有帐户均应设置口令。
应将系统管理员账号administrator重命名。
应禁止Guest账号。
应启用“密码必须符合复杂性要求”，设置“密码长度最小值”、“密码最长存留期”、“密码最短存留期”、“密码强制历史”，停用“为域中用户使用可还原的加密来存储”。
应设置“账户锁定时间”，“账户锁定阈值”，“复位账户锁定计数器”来防止远程密码猜测攻击。
在信息安全组批准下，应定期利用口令破解软件进行口令模拟破解测试，在发现脆弱性口令后及时通告并采取强制性的补救修改措施。
4、网络服务策略
应尽可能减少网络服务，关闭不必要的服务。
应通过修改注册表项，调整优化TCP/IP参数，来提高系统抵抗DoS攻击的能力。
应限制使用SNMP服务。如果的确需要，应使用V3版本替代V1、V2版本，并启用MD5校验等功能。
5、文件系统策略
所有分区均应使用NTFS。
尽量使用磁盘配额管理、文件加密（EFS）等功能。
应卸载OS/2和POSI*操作环境子系统。
应将所有常用的管理工具放在%systemroot%外的特殊目录下，并对其进行严格的访问控制，保证只有管理员才具有执行这些工具的权限。
应关闭NTFS生成
8.3文件名格式。
应设置访问控制列表（ACL），对重要的目录、文件进行访问权限的限制。
6、日志策略
应启用系统和文件审核功能，包括应用程序日志、安全日志、系统日志、以及各种服务的日志。
应更改日志存放的目录，并及时监控，特别是安全日志、系统日志。对于重要主机设备，应建立集中的日志管理服务器，实现对重要主机设备日志的统一管理，以利于对主机设备日志的审查分析。
7、安全性增强策略
对于独立服务器应直接检查本地的策略和配置。对于属于域的服务器，应检查域控制器上对计算机的域管理策略。检查内容主要为用户、用户组及其权限管理策略。
应限制对注册表的访问，严禁对注册表的匿名访问，严禁远程访问注册表，并对关键注册表项进行访问控制，以防止它们被攻击者用于启动特洛伊木马等恶意程序。
应定期检查注册表启动项目，避免系统被安装非法的自启动程序。
应隐含最后登陆用户名，避免攻击者猜测系统内的用户信息。
在登录系统时应显示告警信息，防止用户对远程终端服务口令进行自动化的脚本猜测，并删除关机按钮。
应删除Windows主机上所有默认的网络共享。
应关闭对Windows主机的匿名连接。
对于不需要共享服务的主机，应彻底关闭文件和打印机共享服务。
应限制Pcanywhere等远程管理工具的使用，如确实需要，应使用最新版本，完整安装补丁程序并经过评测，获得信息安全工作组的许可；并使用Pcanywhere加密方式进行管理。
应安装防病毒软件，并及时更新软件版本和病毒库。
尽量安装防火墙。
3.3.2UNI*系统安全管理策略
1、补丁管理策略
应及时安装系统最新补丁。
应及时升级服务至最新版本。
2、帐户与口令策略
所有帐户均应设置口令。
去除不需要的帐户、修改默认帐号的shell变量。
除root外，不应存在其他uid=0的帐户。
应设置超时自动注销登陆，减少安全隐患。
应限制可以su为root的组。
应禁止root远程登陆。
在信息安全组批准下，应定期利用口令破解软件进行口令模拟破解测试，在发现脆弱性口令后及时通告并采取强制性的补救修改措施。
3、网络服务策略
应尽可能减少网络服务，关闭不必要的服务。
应启用inetd进站连接日志记录，增强审计功能。
应调整优化TCP/IP参数，来提高系统抵抗DoS攻击的能力。
应调整TCP/IP参数，禁止IP源路由。
应限制使用SNMP服务。如果的确需要，应使用V3版本替代V1、V2版本，并启用MD5校验等功能。
应调整内核参数打开“TCP随机序列号”功能。
4、文件系统策略
尽量使系统root用户初始创建权限(umask)为077。
尽量使用磁盘配额管理功能。
去除适当文件的set-uid和set-gid位。
应限制/etc目录的可写权限。
增强对关键文件的执行权限控制。
为不同的挂载点指派不同的属性。
5、日志策略
应对ssh、su登陆日志进行记录。
除日志服务器外，应禁止syslogd网络监听514端口。
对于重要主机设备，应建立集中的日志管理服务器，实现对重要主机设备日志的统一管理，以利于对主机设备日志的审查分析。
6、安全性增强策略
应保证bashshell保存少量的（或不保存）命令。
应禁止GUI登陆。
应隐藏系统提示信息。
尽量安装第三方安全增强软件。
附录
附录一：相关文件
《信息安全管理体系手册》
《系统测试记录》
《操作系统管理员权限帐号记录》
《操作系统普通权限账号记录》
《操作系统账号开通申请》
《月度网络安全扫描记录》
第4篇 信息系统密码安全管理办法
1.1制定目的
(1) 规范公司信息系统密码管理。
(2) 确保网络安全运行,保护信息系统、服务器不受侵害。
1.2适用范围
凡隶属本公司信息系统用户,悉依照本办法所规范之体制管理。
1.3权责单位
(1) 信息科负责本办法制定、修改、废止之起草工作。
(2) 总经理负责本办法、修改、废止之核准。
2 信息系统密码安全管理办法
(1) 服务器、应用系统账号和密码要专人专管不得转借他人使用。为了避免账号被盗,密码不定期更换,建议密码长度不少于6位,建议数字与密码组合使用。
(2) 如果用户密码忘记,需用户本人亲自申请恢复密码。
(3) 拥有新账户的员工,需尽快修改初始密码,防止账号被盗用。
(4) 服务器和服务器数据库超级用户必须设置密码,系统管理员严格保管数据库和服务器的登录密码。
(5) 服务器和数据库的超级用户密码设置位数必须大于10位。除数据库的超级用户密码和服务器密码不定期更换,其他密码由信息中心工程师定期更换,操作时间为每月1号,并在信息总监处以电子形式留有备份,提交备份时间为每月1号。 密码类型 密码长度 更换时间 服务器超级用户密码 大于10位 两个月更换一次 数据库超级用户密码 大于10位 设置好后不做更换 系统管理员密码 大于6位 一个月更换一次 ftp及防火墙等管理员密码 大于6位 一个月更换一次
(6) 机房工作人员应严格执行密码管理规定,对操作密码定期更改,任何密码不得外泄,如有因密码外泄而造成各种损失的,由当事人负全部责任。
2022-2-1
第5篇 计算机和信息系统安全保密管理办法
第一章 总 则
第一条 为确保公司计算机和信息系统的运行安全,确保国家秘密安全,根据国家有关规定和要求,结合工作实际情况,制定本办法。
第二条 公司计算机和信息系统安全保密工作遵循“积极防范、突出重点、依法管理”的方针,切实加强领导,明确管理职责,落实制度措施,强化技术防范,不断提高信息安全保障能力和水平。
第二章 组织机构与职责
第三条 计算机和信息系统安全保密管理工作贯彻“谁主管,谁负责”、“谁使用,谁负责”的原则,实行统一领导,分级管理,分工负责,有效监督。
第四条 保密委员会全面负责计算机和信息系统安全保密工作的组织领导。主要职责是:
(一)审订计算机和信息系统安全保密建设规划、方案;
(二)研究解决计算机和信息系统安全保密工作中的重大事项和问题;
(三)对发生计算机和信息系统泄密事件及严重违规、违纪行为做出处理决定。
第五条 保密管理部门负责计算机和信息系统的安全保密指导、监督和检查。主要职责是:
(一)指导计算机和信息系统安全保密建设规划、方案的编制及实施工作;
(二)监督计算机和信息系统安全保密管理制度、措施的落实;
(三)组织开展计算机和信息系统安全保密专项检查和技术培训;
(四)参与计算机和信息系统安全保密的风险评估、分析及安全保密策略的制定工作。
第六条 信息化管理部门负责计算机和信息系统的安全保密管理工作。主要职责是:
(一)负责计算机和信息系统安全保密建设规划、方案、制度的制订和实施;
(二)负责计算机和信息系统安全保密技术措施的落实及运行维护管理;
(三)负责建立、管理信息设备台帐;
(四)负责计算机和信息系统安全保密策略的制定、调整、更新和实施;
(五)定期组织开展风险评估、风险分析,提出相应的安全措施建议,并编制安全保密评估报告;
(六)开展计算机和信息系统安全保密技术检查工作;
(七)涉及计算机和信息系统有关事项的审查、审批;
(八)计算机和信息系统安全保密的日常管理工作。
第七条 公司应结合工作实际设定涉密计算机和信息系统的系统管理员、安全保密管理员、安全审计员,分别负责涉密计算机和信息系统的运行、安全保密和安全审计工作。“三员”的权限设置应当相互独立、相互制约,安全保密管理员与安全审计员不得由一人兼任。
没有涉密信息系统,只使用单台涉密计算机的单位,应当配备安全保密管理员。
第八条 涉密计算机和信息系统管理人员应当符合以下要求:
(一)符合国家及集团公司对涉密人员的要求;
(二)熟悉计算机和信息系统各项安全保密法律、法规和标准;
(三)熟练掌握有关专业知识和业务技能;
(四)通过国家有关部门的上岗培训,并获得上岗资格。
第三章 涉密信息系统的建设管理
第九条 建设涉密信息系统必须依照国家有关规定、标准和规范进行,安全保密设施必须与涉密信息系统同步规划、同步建设、同步运行。
第十条 建设涉密信息系统,应当在方案设计前,由保密委员会根据所建系统拟涉及国家秘密的最高密级确定保护等级。
第十一条 涉密信息系统建设方案的设计应当选择具有相应涉密资质的单位承担,建设方案按照建设系统的对应密级进行定密和管理。建设方案完成后,由保密办报请上级保密管理部门组织评审并备案。
第十二条 涉密信息系统建设过程中,必须采取严格的安全保密管理措施。系统集成、综合布线、系统服务、系统咨询、软件开发、工程监理等,应当选择具有相应资质的单位承担,并明确提出保密要求,签订保密协议。涉及国家秘密的工程资料应当根据需要控制发放,并做出登记。工程完工后,应当按登记如数收回。施工现场应当采取措施,禁止无关人员进入。
第十三条 涉密信息系统所采用的安全保密产品,必须选用通过国家相关主管部门授权测评机构检测合格的产品,并应当查验产品合格证书、产品检测报告中所描述的适用范围及其有效期。
第十四条 涉密信息系统的测评工作统一由集团公司保密办委托国家涉密信息系统测评中心兵器分中心实施。
第十五条 涉密信息系统经测评完成,取得涉密信息系统检测评估报告后,由上级保密管理部门向集团公司保密办正式提交《涉及国家秘密的信息系统投入使用申请书》,并经集团公司保密办审核批准后,报相关保密行政管理部门审批,领取《涉及国家秘密的信息系统使用许可证》。
第十六条 新建涉密信息系统在投入运行前,应当经地方保密工作部门审批,在未取得《涉及国家秘密的信息系统使用许可证》前,不得投入使用。在正式运行之前,不得存储和处理国家秘密信息。
第十七条 涉密信息系统在设计、评审、施工及验收过程中发生失泄密事件或因有关工程信息资料泄露导致涉密信息系统防护措施失效、削弱的,属于建设单位责任的,由建设单位承担;属于其他环节责任的,由相关环节负责人负责。
第四章 信息设备台帐与标识管理
第十八条 信息化管理部门应当根据实际,建立信息设备总台帐,内设机构或部门应当相应建立二级台帐。信息设备台帐可按以下类别分类:
(一)计算机,包括服务器、用户终端;
(二)网络设备和外部设备,包括交换机、路由器、网关、网闸、vpn设备、打印机、制图(绘图)机、扫描仪、光盘刻录机(外接式)等;
(三)安全保密产品,包括计算机病毒防护产品,密码产品及身份鉴别、访问控制、安全审计、入侵检测、边界防护和电磁泄漏发射防护等产品;
(四)移动存储介质。
第十九条 各类台帐应当包括以下内容:
(一)计算机管理台帐:部门、责任人、名称型号、密级或用途、操作系统安装日期、硬盘序列号、ip地址、mac地址、使用情况等;
(二)网络设备和外部设备管理台帐:部门、责任人、名称、型号、使用情况等;
(三)安全保密产品管理台帐:责任人、名称、型号、检测证书名称和编号、购置时间、使用情况等;
(四)移动存储介质管理台帐:部门、责任人、名称、编号、序列号、密级或用途、使用情况等。
第二十条 信息设备台帐管理工作实行专人负责,动态管理,并建立、健全信息设备从配置到销毁全过程的报告、审批和定期核验机制,确保信息设备台帐能够适时、准确的反映信息设备的客观情况。
第二十一条 公司应对信息设备进行标识管理。设备标识由公司统一制作。
标识内容应与台帐信息的主要内容相符,并保持完好。不得故意损毁、涂改、撕揭或擦除。计算机和信息系统中的服务器、用户终端、外部设备、存储介质、安全保密产品等,应当根据其处理和存储信息的最高密级或主要用途进行标识。标识应当粘贴在明显位置,并与涉密信息的存储部件相关联。
移动存储介质如无法粘贴标识的,可以采取不可擦除的方式标注。
第五章 计算机和信息系统的保密管理
第二十二条 计算机和信息系统的使用管理必须遵守如下规定:
(一)严禁使用涉密计算机和信息系统连接国际互联网或公共信息网络;
(二)严禁使用连接国际互联网或公共信息网络的计算机及其它非涉密计算机存储、处理涉密信息;
(三)严禁将涉密计算机接入内部非涉密网络。
第二十三条 涉密信息系统经安全保密技术测评,并正式投入运行后,如发生下列变更事项时,应当及时报告上级保密管理部门和负责审批的保密行政管理部门:
(一)涉密等级;
(二)连接范围;
(三)环境设施;
(四)主要应用;
(五)安全保密责任管理单位。
由保密行政管理部门决定是否需要重新进行测评和审批。
第二十四条 外部信息导入涉密计算机和信息系统的,应当通过中间转换机或经过国家相关部门批准的安全可靠的信息交换措施进行。使用中间转换机转换信息的,中间转换机应当按涉密和非涉密分别设立,并严格按照相关标准的规定程序进行操作。
第二十五条 涉及涉密计算机和信息系统的设备,应当由单位统一选配,统一安装,严格控制,规范使用。
第二十六条 禁止在涉密计算机和信息系统中使用无线键盘、无线鼠标、无线网卡、无线路由器等具有无线功能的设备或产品。
第二十七条 涉密计算机和信息系统应当根据其相应密级采取对应的身份鉴别、数字签名、访问控制、安全审计、信息加密、数据保护、介质管理、防违规外联等技术措施。
第二十八条 涉密计算机和信息系统服务器、用户终端应当设置相关安全策略,设置原则是:关闭全部共享、与应用无关的所有端口、服务、链接和系统授权。
第二十九条 涉密计算机和信息系统应当采取计算机病毒防护措施,定期对计算机病毒与恶意代码防护措施进行查验,并及时更新计算机病毒与恶意代码样本库。更新周期为:涉密信息系统不超过3天,单台涉密计算机不超过15天。
第三十条 各单位应建立统一的补丁程序分发安装机制,在补丁程序发布后3个月内及时安装,保证系统的安全性,对不能安装系统补丁程序的非正版操作系统,应当更换操作系统。
第三十一条 下列事项必须报经信息化管理部门批准后由相关管理人员实施:
(一)因系统崩溃、操作系统损坏等原因需重新安装操作系统的;
(二)更改或清除涉密计算机和信息系统的移动存储介质及外部设备安装、使用等日志记录的;
(三)因工作需要对涉密计算机和信息系统安装、扩展、缩减、拆卸软硬件的;
(四)因工作需要卸载、修改涉密信息系统的安全技术程序、管理程序的。
第三十二条 需经常安装的应用软件和软件工具,经信息化管理部门审批后,由系统管理员上传到指定的服务器或存储在一次性刻录光盘中,供涉密计算机和信息系统用户终端下载、安装使用。
第三十三条 公司要加强对连接国际互联网计算机的管理和使用,应遵循以下原则:
(一)未经批准,不得擅自以任何方式连接国际互联网;
(二)公司集中使用的国际互联网计算机应当指定专人负责管理,分散使用的国际互联网计算机应当明确责任人,做好上网记录;
(三)应制定国际互联网信息发布管理制度,明确需要通过保密审查的信息范围和审查程序。审查一般应由拟发布信息的业务主管部门负责,业务主管部门把握不准的,由保密管理部门审查,单位业务主管领导审批;
(四)公司应采取有效技术措施,对通过互联网或公共信息系统发送电子邮件等信息进行监控和记录。
第三十四条 密码设备的使用和管理按照公司有关规定执行。
第六章 便携式计算机和存储介质保密管理
第三十五条 建立健全便携式计算机和移动存储介质的管理制度和措施,根据工作实际,采取集中管理,指定专人负责。
第三十六条 涉密便携式计算机应当拆除具有无线联网功能(如无线网卡、蓝牙、红外等)的硬件模块,如无法进行拆除的,不得作为涉密计算机使用。
第三十七条 携带涉密便携式计算机和移动存储介质外出,应当履行审批手续和领用前状态检查;返还时,应当对外出使用情况进行技术检查。
第三十八条 外出携带涉密便携式计算机和移动存储介质要确保安全,全程有效控制。同时携带涉密便携式计算机和移动存储介质时,二者应分开保管。
第三十九条 不得使用低密级便携式计算机和移动存储介质存储、处理高密级信息;不得在低密级计算机上使用高密级移动存储介质。
第四十条 在涉密计算机和信息系统内使用的存储介质应当采取有效的技术控制措施,确保未经授权的移动存储介质不能在涉密计算机和信息系统中使用。
第四十一条 在使用便携式计算机和移动存储介质时不得有下列行为:
(一)在非涉密便携式计算机和移动存储介质中存储、处理涉密信息的;
(二)涉密移动存储介质在非涉密计算机和信息系统中使用的;
(三)将非涉密和个人具有存储功能的介质和设备接入涉密计算机和信息系统的;
(四)私自携带涉密便携式计算机和移动存储介质外出的;
(五)移动存储介质在涉密计算机、信息系统和非涉密计算机、信息系统之间交叉使用的。
第四十二条 涉密移动存储介质不得降为非涉密移动存储介质使用。
第七章 信息安全保密管理
第四十三条 涉密计算机和信息系统中的涉密信息应当标明密级,密级标识不得与正文分离。标注方式应当遵行以下原则:
(一)处于起草、设计、编辑、修改过程中和已完成的电子文档、图表、图形、图像、数据等,只要内容涉及国家秘密,在首页应当标明密级;
(二)电子数据文件、图表、图形、图像等涉密信息在首页无法直接标注密级标识的,可将密级标识作为文件名称的一部分进行标注;
(三)涉及国家秘密的程序、数据库文件、数据文件、视频文件等,在软件运行首页、数据视图首页和影像播映首页应当标注密级。
第四十四条 涉密计算机和信息系统应当采取有效的技术控制措施,禁止涉密信息非授权输出。涉密信息系统中涉密信息输出点要按照最小化原则设置。指定专人负责。
第四十五条 涉密信息远程传输应当按照国家有关规定采取密码保护措施,存储与传输、使用的加密措施应当与涉密信息的密级相适应,并得到国家主管部门批准。
第四十六条 密钥的管理和使用应符合国家有关安全保密规定,并接受国家相关主管部门的指导和监督。
第四十七条 公司应当制定完善的涉密信息备份制度,并采取有效的防盗、防灾措施,保证备份的安全。
第四十八条 涉密计算机软硬件配置情况及本身有涉密内容的各种应用软件等信息,不得进行公开学术交流,不得公开发表。
第八章 维修、报废与销毁
第四十九条 涉密计算机和信息系统服务器、用户终端、外部设备、存储介质发生故障时,使用部门应当向信息管理部门提出维修申请,经批准后维修。涉密计算机和信息系统、存储介质维修应当遵循以下原则:
(一)现场维修时,一般应当由公司内部维修人员实施;需外部人员到现场维修时,维修过程中应当由有关人员旁站陪同;禁止维修人员恢复、读取和复制被维修设备中的涉密信息;禁止通过远程连接,对涉密计算机和信息系统进行维修和维护工作;
(二)需要带离现场进行维修的,应当拆除所有可能存储过涉密信息的硬件和固件。维修地点在公司内部的,应在符合保密要求的维修场所进行;维修地点在外部的,应与维修单位和维修人员签订保密协议;
(三)设备中存储过涉密信息的硬件和固件不能拆除或发生故障时,如不能保证安全的,应当按照涉密载体销毁要求予以销毁;确需维修时,送至具有涉密信息系统数据恢复资质的单位进行维修,并由专人负责取送;
(四)信息化管理部门应当建立维修日志和档案,并将所有涉密设备维修情况记录在案,记录内容应包括维修单位、维修人、故障现象、保密措施、维修内容、维修结果、监督检查等。
第五十条 禁止将未经安全技术处理的退出使用的涉密计算机、涉密存储设备赠送、出售、丢弃或改作其他用途。如将退出使用的涉密计算机、涉密存储设备赠送、出售、丢弃或改作其他用途时,应当经信息化管理部门审批,拆除涉密存储部件和固件上交保密办进行销毁处理。
第五十一条 保密管理部门应建立报废、销毁涉密设备和存储介质台帐。报废、销毁涉密设备和存储介质应当履行清点、登记、审批手续,并将涉密设备和存储介质的密级、型号规格、经办人、采取的方法措施以及最终去向等情况记录在案并归档。
第九章 场所的安全保密
第五十二条 安装、使用涉密计算机信息系统的场所,应与境外机构驻地和人员住所保持相应的安全距离,并根据所处理信息的涉密程度设立必要的控制区域,未经批准无关人员不得进入。
第五十三条 安装、使用涉密计算机信息系统的场所应当每半年或根据需要,由公司保密管理部门组织安全保密技术检查。
第五十四条 安装、使用涉密计算机和信息系统的场所采取的电磁泄漏发射防护措施应当满足bmb5-2000《涉密信息设备使用现场的电磁泄漏发射防护要求》,有关设备或技术措施应得到国家保密行政管理部门或国家安全部门的认可。
第五十五条 安装、使用涉密计算机信息系统场所的其它物理安全要求,应符合国家有关安全保密管理要求,保密级别按系统中的最高密级设定。
第五十六条 涉密计算机信息系统的中心机房和密码机房应列为保密要害部位进行管理,建立健全相应安全保密制度和采取有效的出入控制措施。
第十章 监督管理
第五十七条 对违反本办法使用涉密信息系统的部门和个人,保密办责令其限期整改。对拒不整改的,停止使用,由单位给予处罚。
第五十八条 保密管理部门和信息化管理部门要经常对涉密计算机和信息系统、存储介质的使用、管理情况进行检查。对违反保密管理规定的,及时做出处理。造成失泄密的,要给予相关责任人行政处分和经济处罚,情节严重的,应依据国家有关法律追究有关领导和直接责任人的法律责任。
第五十九条 发现涉密信息设备、移动存储介质遗失、被盗,在全力查找、追缴的同时,报告上级保密管理部门和当地保密行政管理部门,并采取积极有效的措施减少失泄密隐患。
第十一章 附 则
第六十条 本办法由公司保密办负责解释。
第六十一条 本办法自*****年**月***日起执行。
第6篇 安全管理信息系统运行管理办法
第一章 总则
第一条 为加强中心安全管理信息系统(以下简称系统)运行管理,确保系统稳定高效运行,根据神东煤炭集团安全风险预控管理体系运行要求,制定本办法。
第二条 本办法适用于中心业务部门(以下简称部门)和本质安全管理体系实施单位(以下简称单位)。
第三条 本办法中的网络包含服务器及软件;基础数据包括单位、部门及职员信息、考核评分标准、危险源及管控标准、不安全行为认定标准、承包商信息;应用数据指系统运行中录入的业务数据。
第二章 系统管理
第四条 基础数据管理及维护
中心安管部负责基础数据管理及维护,相关部门必须落实专人进行管理,并严格履行下列职责:
(一)负责组织各单位上报基础数据修改意见的审核工作;
(二)负责数据库基础数据的监视和优化,并定期组织评估;
(三)负责对数据库中基础数据的变更操作;
(四)负责对新增数据的导入;
(五)对应用单位反馈的相关问题和数据错误予以答复和更正。
第五条 系统运行管理模式
系统运行管理采取中心统一组织,各部门、单位分工负责的方式,中心在安管部设专职系统管理员,所有部门和单位设置系统管理员。中心系统管理员负责系统运行总体协调,在业务上具有指导和监督其他系统管理员的权利。
第六条 系统管理员岗位及任职条件
系统管理员岗位要列入本单位岗位设置,职员配备由各部门、单位自行确定,可兼职、兼岗,但必须具备下列条件:
(一)熟悉本质安全管理体系及本安信息系统;
(二)具备一定计算机应用基础;
(三)能够深入基层和生产一线。
第七条 系统管理员职责
(一)中心系统管理员
1.维护管理层用户账户、密码及权限;
2.解答管理层用户在使用本系统时提出的操作问题;
3. 管理各单位、部门系统管理员的权限;
4. 及时发布升级程序;
5.收集整理系统软件问题和故障并及时记录,定期向安监局反馈改进意见;
6.负责对各单位、部门系统管理员的业务指导,并解答其遇到的系统操作问题。
(二)单位(部门)系统管理员
1.负责本单位(部门)人员的系统应用培训;
2.负责本单位(部门)系统应用人员账户、密码管理及权限分配(权限分配详见附件1);
3.负责本单位(部门)基础数据的维护,以及应用数据真实性、规范性的监督管理;
4.接受中心系统管理员的业务指导,及时将系统问题和故障反馈中心系统管理员;
5.系统管理员变更时,负责对本单位(部门)继任人员进行相关知识的培训。
第三章 系统应用
第八条 各单位(部门)都必须制定本单位(部门)系统运行管理办法,明确分管领导,落实管理责任,每年至少进行一次修订,并上报中心备案。
第九条 各单位(部门)员工都有浏览系统的权利,具有安全管理职责的员工均有录入信息的义务和要求督促员工应用系统的责任。
第十条 账户管理
系统设有独立的用户名和登录密码,非授权人员不得用他人密码进入系统。所有用户要及时修改密码,并妥善保管。所有用户要对自己账户下录入数据的真实性和规范性负责。
第十一条 应用数据要求
(一)动态检查中发现的隐患(问题)和人员不安全行为,通过登录本人账户后录入系统。对权限受限的区队(车间)级管理人员,发现非本区队(车间)存在的隐患(问题)和人员不安全行为,可向本单位安全管理部门报告、录入,并予以说明。
(二)应用数据要按照系统表单或格式要求完整填写,信息真实、及时、规范、准确。隐患(问题)和人员不安全行为描述要具体,对应标准及危险源要准确,录入工作要在检查后24小时内完成。对现场发现的隐患(问题)、不安全行为无法对应相应标准时,可先行录入,并按《安全管理信息系统运行规范》要求上报存在的问题。对发现的不安全行为当事人信息未纳入系统时,要及时反馈所在单位系统管理员进行数据补充后进行录入。
(三)单位内部审核必须按程序文件规定的程序和周期组织,信息要完整录入系统。
第十二条 预警与消警信息管理
各级管理人员要及时关注和查看与本单位、本部门及岗位人员相关的信息,涉及与其相关的整改项时,要及时整改,整改后要及时反馈。
检查人员对查出的限期整改隐患,要及时跟踪复查,并对已完成整改的隐患进行消警。本人因故不能及时完成复查工作时,可委托他人复查,但被委托人必须使用本人账号进行复查消警。
被检查单位(车间、区队)确因实际情况无法按期整改的,需在信息录入后24小时内,联系检查人对整改期限进行延长。
第十三条 基础数据改进
各部门、单位负责动态考核评分标准的改进,要将审核后的数据通过“增补考核标准意见”途径上报。
各部门、单位负责人员不安全行为认定标准的改进以及危险源与动态考核评分标准的对应关系确定。中心定期对各部门、单位通过“增补考核标准意见”上报的数据组织审核,并及时上报安监局。
危险源辨识及风险评估成果依据《神东煤炭集团安全风险管理办法》,纳入系统管理。
各单位要通过系统,及时查看已通过安监局审核并导入公司数据库的考核评分标准、危险源及管控标准,并将适用于本单位的数据选取到单位数据库中,实时应用。
第十四条 系统的改进与升级
各单位(部门)应将系统应用过程中发现的问题以及改进意见,通过“员工建议管理”途径上报,由安监局定期组织审核,并及时纠正系统错误或作为系统升级的依据。
第四章 罚则
第十五条 未按本办法相关条款规定职责履行管理义务的,且造成系统不能正常运行的单位和部门,除按日常动态检查和季度定期检查进行考核外,将视情节严重给予相应处罚。
第十六条 系统应用过程中,对存在下列情形之一的单位予以通报批评,并视情节处以500-2000元/次罚款:
(一)未严格执行本单位的安全管理信息系统管理办法;
(二)未设置系统管理员岗位,未明确人员和职责;
(三)未履行本办法中规定的管理职责。
第五章 附则
第十九条 本办法解释权归神东煤炭集团洗选中心。
第二十条 本办法自公布之日起执行,原《神东煤炭集团洗选中心本质安全管理信息系统运行管理办法(试行)》同时废止。
第7篇 建业集团信息系统安全管理细则
第一条 目的
为了保护集团计算机信息系统安全，规范信息系统管理,合理利用系统资源，推进集团信息化建设，促进计算机的应用和发展，保障集团信息系统的正常运行，充分发挥信息系统在企业管理中的作用，更好地为集团运营服务。根据《中华人民共和国计算机信息系统安全保护条例》及有关法律、法规，结合集团实际情况，制定本细则。
第二条 术语与定义
（一） 信息系统安全管理范围：业务软件系统信息安全、硬件网络信息安全。
（二） 系统管理员：是集团信息化管理系统建设的主要执行者，负责系统的设备保障、运行监测、及时维护、数据备份以及信息系统规划、计划、方案的起草工作；同时，负责集团信息化管理系统和各工作站系统软件、应用软件的安装、调试和维护工作；
第三条 适用范围
本细则适用于集团信息系统安全管理。
第四条 系统服务器和网络设备管理方法：
（一） 服务器和各网络设备的放置详见《机房管理细则》第五条的第三项；
（二） 非集团指定系统管理员，未经批准不得对服务器和各网络设备进行硬件维护、软件安装卸载等操作；
（三） 保证服务器和各网络设备24小时不间断正常工作，不得在服务器专用电路上加载其它用电设备；
（四） 非工作需要，内网服务器严禁直接接入因特网，并安装好杀毒软件，做好病毒防范，杜绝病毒感染。
第五条 业务软件系统信息安全：
（一） 帐户申请：对符合开通帐户的申请人，根据权责对软件所负责管理的职能归属部门进行申请，经该主责部门同意后，转信息管理部系统管理员处备案；
（二） 帐户删除：对于离职人员，在办理工作交接时。由离职人员的主管通过办公平台向业务软件主责部门提交删除离职人员相关业务软件帐户的申请。经该主责部门同意后，转信息管理部系统管理员处备案；
（三） 操作人员应该严格保密帐户信息，如因故意或过失造成信息泄漏的，将根据《员工奖惩管理细则》追究其相关责任；
（四） 系统管理人员应熟悉并严格监督数据库使用权限、用户密码使用情况，适时更换、更新用户帐号或密码。
第六条 网络信息安全：
（一） 系统管理员要主动对网络系统实行监控、查询，及时对故障进行有效隔离、排除和恢复工作，以防灾难性网络风暴发生；
（二） 网络系统所有设备的配置、安装、调试必须由系统管理员负责，其它人员不得随意拆卸和移动；
（三） 所有上网操作人员必须严格遵守计算机及其它相关设备的操作规程，禁止其它人员进行与系统操作无关的工作；
（四） 在管理员还没有有效解决网络安全（未安装防火墙、杀毒软件）的情况下，内外网独立运行，所有终端内外网不能混接，严禁外网用户通过u盘等存贮介质拷贝文件到内网终端。
第七条 资料备份工作方法：
（一） 数据备份关系到整个集团信息化管理系统的正常运转，影响到集团正常的运营秩序，必须严格执行；
（二） 数据库服务器每周日做一次数据备份；
（三） 备份的数据存储于专门的硬盘内，备份必需以覆盖的形式存储，确保数据不会遗漏；
（四） 所有重要数据、信息化管理系统源程序要刻录成光盘存盘；
（五） 若遇重大程序更新、修改，必须在程序更新、修改前要做好数据的备份工作；
（六） 上传到集团网站上提供给查询的数据必须每日定时更新，确保查询数据的准确性；
（七） 系统管理员若遇重大程序更新、修改，必须填写工作日志；
（八） 非共享的文件不能设置成网络共享，提供共享使用的文档必须设置相应权限，由于没有安全设置相应权限而造成本单位数据丢失的情况，后果自负。
第八条 管理员有权制止一切违反安全管理的行为。
第九条 本细则的解释权属于运营管理中心信息管理部。
第十条 本细则由运营管理中心信息管理部进行起草与修订，由总裁办公会审核，执行总裁批准后发布。
第十一条 本细则自发布之日起生效，集团原有相关规定、通知、办法等同时废止。
第8篇 煤矿安全管理信息系统的开发与应用
安全管理是人类改造客观世界推动社会经济发展过程中的一项重要工作，随着计算机数据化、信息化的发展，我们会对煤矿安全管理中的实际情况，开发一套较为实用的煤矿安全管理系统，对实现煤矿安全生产和高产高效起到了促进作用。
1系统特点及构成
1.1系统特点
煤矿安全信息管理系统具有以下特点：
（1） 对各种安全信息分类管理，交叉操作，突破以往单一数据处理。
（2） 实现了对干部的考核与评价，避免人为因素带来不公平等现象。
（3） 计算机代替人工建立报表、台帐等工作，极大节约人力、物力、提高工作质量及效率。
（4） 所有安全信息不再利用人工传阅，可以在线适时浏览。
（5） 可以发布各种宣传信息，实现信息传递的快捷、准确、方便。
1.2系统构成
根据煤矿实际情况把系统划分5个系统，即：
（1） 人员信息子系统。用于全面、准确掌握人员信息，主要功能有人员信息录入、查询、检索和信息修改等。
（2） 信息站子系统。主要包括职工签到、隐患登记、隐患处理、违章情况、“三违”登记、“三违”处理、干部评估、人身伤亡事故、安全检查安全评估日报等信息的录入、浏览、检索、修改等能。
（3） 安检部门子系统。主要用于煤矿安全检部门对安全质量进行检查，对发生的事故进行处罚与奖励等。
（4） 考核统计子系统。包括对干部的考核和有关情况报表。主要有：对干部的下井、质量控制、事故控制、安全行为、安全培训、业务学习的方面进行综和考评，并以得分的形式进行奖励或处罚；对干部的考核、安全检查、违章罚款、干部下井覆盖情况、事故情况等以报表的形式进行上报。
（5） 安全教育技能文献子系统。发布有关国家、集团公司和矿方煤矿安全教育的法律、制度、规程、规范供有关人员参考学习；并且可宣传各种最新技术和安全精神，提高所有工作人员的安全意识。系统构成结构框图如图1所示。
图1 安全管理是信息系统组成结构
2系统硬件构成
系统采用基于网络的传输方式。从矿级领导、科室干部到管理人员都可通过网络进行信息传输。因此，利用本系统结合煤矿的网络硬件资源条件，实现煤矿安全信息的录入、查询、修改、浏览和删除等系统的硬件组成如图2所示。
图2 系统硬件组成
3 系统软件的设计
由于安全信息数据量大，系统访问人数多，所以本系统采用c/s（客户机/服务器）的设计模式，以减少网络的数据传输量。服务器操作系统采用nt server4.0，客户端操作系统采用windiows98/2000，数据库平台选用sql server7.0，系统编程软件采用asp、vbscript javascript。系统软件设计流程图如图3所示。
图3 系统软件设计流程图
4系统应用
屯兰矿是西山煤电（集团）有限责任公司的一座新型现代化大型矿井，矿井设计生产能力为400万t/a，矿井1988年动工兴建，1996年建成并通过投产验收，1997年正式生产，截止2001年底已实现安全生产1500d，生产原煤623.6万t。
安全信息管理系统通过在本矿一年多的生产实际中的应用，使煤矿领导及安全管理人员及时了解掌握了全矿安全信息，准确、有效的对矿井各类安全信息进行一系列数据处理，并在矿区计算机网络中迅速提取不同时段的各类安全报表，大大提高了矿井的安全管理水平，减少矿井安全管理人员，基本实现了煤矿安全管理办公自动化，无论是在经济效益上还是在社会效益上都有了显著的提高。(薛占儒)
第9篇 某大学网络及信息系统安全管理办法
z大学网络及信息系统安全管理办法
近年来，国内信息安全形势严峻，各类信息安全事件频发。为此，教育部办公厅发布了《关于加强网络安全检查的通知》(教技厅函[2014]51号)、《教育行业信息系统安全等级保护定级工作指南(试行)》(教技厅函[2014]74号)和《教育部办公厅关于开展国家级重要信息系统和重点网站安全检查工作的通知》(教技厅函[2015]45号)要求高校加强网络及信息系统安全管理;《z市教育委员会关于进一步加强和规范网络与信息安全管理的通知》(渝教科〔2014〕32号)进一步明确高校需加强网络、信息系统和网站安全管理;z市重要信息系统安全等级保护工作协调小组办公室发布的《z市重要信息系统安全等级保护工作协调小组办公室关于加强重点网站安全防范工作的紧急通知》(渝等保办〔2015〕9号)要求高校加强信息系统和网站安全，落实信息系统等级保护定级管理工作。
第一章 总则
第一条 为贯彻落实国家及教育主管部门相关文件精神，进一步加强我校网络及信息安全工作，特制定本办法。
第二条 本办法所指网络(以下简称校园网)包括z大学教学办公区、学生宿舍区和部分由学校建设管理的教师住宅区网络，不包括由电信运营商自主建设运营的住宅区网络。
第三条 本办法所指信息系统指由学校及各二级单位建设管理各类业务系统和网站。
第四条 涉密网络和涉密系统根据国家及学校的相关管理规定单独管理，不适用本管理办法。
第二章 管理机构及职责
第五条 为进一步加强网络及信息安全组织领导，学校将原“z大学计算机网络及信息安全领导小组”、“z大学数字化校园建设领导小组”整合调整为“z大学网络信息安全及信息化工作领导小组”(以下简称领导小组)。领导小组负责制定全校网络及信息安全工作的总体方针和安全策略，审定全校网络及信息安全管理制度，指导并监督网络及信息安全管理。领导小组办公室设在党委办公室。
第六条 网络信息安全及信息化工作领导小组办公室负责网络及信息安全总体事务，主要职责包括：
(一) 统筹协调全校网络及信息安全工作;
(二) 网络及信息安全总体规划;
(三) 制定网络及信息安全管理制度;
(四) 组织信息网络安全工作检查和考评;
(五) 网络及信息安全事件查处。
第七条 宣传部主要职责包括：
(一) 学校主页内容审核、发布及安全管理;
(二) 学校新闻网内容审核、发布及安全管理;
(三) 民主湖论坛内容审核、发布及安全管理;
(四) 全校舆情监控及内容管理。
第八条 保卫处主要职责包括：
(一) 全校信息安全监控管理;
(二) 网络及信息安全违法违纪事件的调查;
(三) 网络及信息安全事件处理中的对外联络与接洽。
第九条 信息化办公室负责网络及信息安全技术支撑，主要职责包括：
(一) 校园网出口安全基础设施的建设和管理;
(二) 学校数据中心安全基础设施建设和管理;
(三) 校园无线网络接入安全管理;
(四) 校园网安全监控管理;
(五) 定期实施校内服务器安全漏洞扫描及安全预警;
(六) 定期组织实施信息系统安全等级测评;
(七) 落实专职人员负责网络及信息安全管理工作;
(八) 组织信息网络安全培训和教育。
第十条 虎溪校区管委会具体负责虎溪校区网络及信息安全管理，主要职责包括：
(一) 虎溪校区校园网出口安全基础设施建设和管理;
(二) 虎溪校区校园网内容审计系统监测管理;
(三) 虎溪校区网络信息中心机房的网络及信息安全管理;
(四) 虎溪校区门户及各业务系统内容及系统安全管理。
第十一条 图书馆主要职责：
(一) 民主湖论坛的系统安全管理;
(二) 图书馆网络(有线部分)接入安全管理;
(三) 图书馆业务系统及网站的安全管理。
第十二条 学工部、研工部主要职责：
(一) 学工、研工业务系统及网站安全管理;
(二) “易班”系统接入安全管理;
(三) 协助进行舆情监控及内容管理。
第十三条 其它二级单位主要职责包括:
(一) 本单位局域网和校园网接入安全管理;
(二) 本单位联网计算机审核(有线部分);
(三) 本单位上网信息审核;
(四) 本单位业务系统及网站的安全管理。
第三章 校园网安全管理
第十四条 信息化办公室总体负责校园网安全管理工作，虎溪校区管委会具体负责虎溪校区校园网安全管理工作。
第十五条 校园网(有线部分)由信息化办公室负责在校园网出口处实施实名上网认证，各二级单位负责接入端安全管理;校园网(无线部分)由信息化办公室负责实施实名接入上网认证。
第十六条 信息化办公室负责学校数据中心网络安全设施建设和管理。
第十七条 接入校园网的各单位和用户必须严格遵守执行《中华人民共和国计算机信息网络国际联网管理暂行规定》和国家有关法律法规，严格执行信息安全及保密相关制度。
第十八条 二级单位根据国家有关规定对上网信息进行审查，凡涉及国家秘密的信息严禁上网。使用校园网的相关单位和用户必须对所提供的信息负责。不得利用校园网从事危害国家安全、泄露国家秘密等犯罪活动，不得制作、查阅、复制和传播有碍社会治安、社会稳定的信息。
第十九条 在校园网上不允许进行任何干扰网络用户、破坏网络服务和网络设备的活动，不得在网络上散布计算机病毒，未经授权不得使用校园网。
第二十条 接入校园网的各二级单位需指定一名主管领导负责本单位的网络及信息安全工作，设立网络管理员具体负责相应的网络安全和信息安全技术工作。
第二十一条 校园网上所有单位和用户有义务向学校网络信息安全相关部门报告网络违法犯罪行为和网上有害信息情况。
第二十二条 与校园网相关的所有单位和用户必须接受并配合国家有关部门依法进行的监督检查。
第四章 信息系统安全管理
第二十三条 各二级单位是信息系统安全管理的责任主体，对本单位信息系统安全负责。
第二十四条 信息系统安全遵循“同步规划、同步建设、同步运行”的原则，信息系统的立项采购、测试验收、交付使用、升级改造必须符合国家对信息系统安全等级保护的相关要求。
第二十五条 二级单位负责制定信息系统安全管理策略，加强人员安全能力与安全意识培训，落实学校安全要求;确定信息系统数据安全要求，明确数据访问权限，制定数据备份机制，接入学校统一灾备体系。
第二十六条 二级单位负责信息系统的安全运行维护工作，按照《信息系统安全等级保护基本要求》(GB/T 22239-2008)基本技术要求规定，做好系统安全、角色权限、口令增强等系统管理工作，定期进行安全检查、漏洞修补、系统升级、数据备份等安全管理工作;信息系统一旦出现信息安全事件，二级单位应及时查处整改，对多次出现安全事件的信息系统由信息化办公室暂停其网络连接及服务。
第五章 信息系统安全等级保护定级
第二十七条 根据“自主定级、自主保护”的原则，由学校“网络信息安全及信息化工作领导小组”确定我校信息系统安全等级保护定级方案。
第二十八条 学校现有信息系统的定级由“网络信息安全及信息化工作领导小组”根据教育部办公厅《教育行业信息系统安全等级保护定级工作指南(试行)》(教技厅函[2014]74号)并结合我校实际情况确定，定级确定后按要求报公安机关审核备案并定期开展等级测评。
第二十九条 信息系统安全等级保护定级、变更由学校“网络信息安全及信息化工作领导小组”审定，各二级单位负责准备相关备案材料，信息化办公室负责组织等级测评、报公安机关审核备案。
第三十条 信息化办公室定期组织对重要信息系统进行安全检测。
第六章 安全事件查处
第三十一条 网络及信息安全事件(以下简称安全事件)包括有害程序、网络攻击、信息破坏、信息内容安全、信息设施故障、灾害性事件及其它危害网络及信息安全的事件。
第三十二条 校园网上所有单位和用户有义务向学校网络信息安全相关部门报告安全事件。
第三十三条 二级单位发现安全事件或接到安全事件报告后应在第一时间将相关情况报学校保卫处和信息化办公室。
第三十四条 学校保卫处负责安全事件的调查取证，信息化办公室负责技术支撑，二级单位负责配合举证。
第三十五条 发生安全事件后应首先留存相关证据，中断网络连接以减小安全事件扩散影响，在调查取证结束以前不执行数据删除、系统恢复等操作，避免影响调查取证。
第三十六条 二级单位应建立安全事件应急处理机制，制定应急预案，定期实施应急测试、演练和培训。
第三十七条 网络信息安全及信息化工作领导小组办公室负责对一般安全事件责任人和责任单位进行处理，对造成重大影响和重大损失的安全事件报请网络信息安全及信息化工作领导小组处理。
第七章 附则
第三十八条 本管理办法由学校授权网络信息安全及信息化工作领导小组办公室负责解释。
第三十九条 本管理办法自公布之日起执行。
z大学
第10篇 管理信息系统概述安全信息管理系统
一、管理信息系统的概念
所谓系统就是指由若干互相联系、互相影响、互相制约的各个部分为了一定目标而组合在一起所形成的一个整体。构成整体的各个组成部分，称为子系统。假若以一个经济组织的会计作为一个系统，而有关结算中心、会计报表、成本核算、资产台帐和货币资金等则是它的子系统。至于有关供销、生产、人事等方面的信息则属于会计系统以外的环境系统。会计信息系统见图10-2。
过去，国外大多数企业和我国一些先行单位，为了适应不同职能组织的需要，除了设立会计信息系统以外，还有生产技术、供销、人事、后勤等科室也都分别设立适合于它们各自需要的信息系统。这样一个企业就有若干信息管理系统，易于发生重复劳动，同一原始资料要分别输入若干个信息管理系统。如有关材料的采购、耗用、转移、完工、职工的基本工资、出勤记录等都要同时输入若干个信息系统。这样不仅出现重复劳动，易于发生差错，而且更改也不方便，造成相互不协调，成本也就比较高。
近年来在信息管理中提出综合性管理系统。就是将一个经济组织作为一个系统，而其生产、技术、会计、供销、后勤、人事等职能业务则是这个系统下的各个子系统。实施综合信息系统需要具有三个条件：
（1）分散的信息活动必须通过组织的集中统一安排；
（2）这些活动必须是整体的组成部分；
（3）这些活动必须由一个集中、独立的信息中心加以处理。
这样就能把企业看作一个整体，使一个数据多用，提高效率和更有效地使用信息，成本也可随之降低。
二、综合管理信息系统的建立
设计一个新的或改进一个现有的管理信息系统，是一项既复杂又繁重的工作。首先要用系统分析的方法，对系统（包括子系统）的本身范围及其周围环境的关系进行分析，提出若干设计方案，决定不同类型，不同管理层次的系统，进行技术和经济的论证，层层提高设计质量，消除不必要的重复劳动，然后加以评估比较，最后从中决定统一的综合信息管理标准，包括经济信息分类、编码和文件统一化工作。经过试验证明切实可行后，再应用到实际工作中去。其中要注意以下几方面：
1.明确信息的需求
即对输出的要求，要通过充分的调查研究，特别是管理中现有的信息种类，它们流转的来龙去脉，由哪里产生，由谁传递，传到何处，经过怎样处理，以什么形式输出，供谁使用，是否可以“一数多用”，是否有别的来源替代，是否要保存等等。所以在建立过程中，专业人员与使用人员之间要经常交换意见，使提供的各项信息都能满足使用者的要求。
2.信息的收集和处理
这项工作的目的就是要改善信息总的质量，一般包括五项内容：
（1）检核。要确定各项信息的可靠性的程度，包括来源的可靠性，数据的准确性和有效性等。
（2）整理。将输入的信息和数据加以提炼整理，以符合规定的要求。
（3）编制索引。按规定编制索引，以供日后储存和检索。
（4）传输。将正确的信息及时提供给各级主管人员。
（5）存储。要保存必需的数据资料和文件档案，准备日后再次使用。
第11篇 信息系统运行维护及安全管理规定
第一章 总则
第一条 为了确保总公司信息系统的安全、稳定和可靠运行，充分发挥信息系统的作用，依据《计算机信息网络国际联网安全保护管理办法》，结合总公司实际，特制定本规定。
第二条 本规定所称的信息系统，是指由网络传输介质、网络设备及服务器、计算机终端所构成的，为正常业务提供应用及服务的硬件、软件的集成系统。
第三条 信息系统安全管理实行统一规划、统一规范、分级管理和分级负责的原则。
第二章 管理机构及职责
第四条 总公司办公室是公司信息系统运行维护和安全管理的主管部门，其安全管理职责是：
（一）负责总公司机关内互联网的运行管理，保证与城建局、各所属单位网络连接的畅通；
（二）负责总公司机关局域网的运行维护管理；
（三）落实安全技术措施，保障总公司信息系统的运行安全和信息安全；
（四）指导、协调所属单位局域网系统的安全运行管理。
第五条 总公司各所属单位信息员负责本单位局域网的运行维护和安全管理，服从总公司办公室的指导和管理。其安全管理职责是：
（一）负责广域网本单位节点、本单位局域网的运行维护和安全管理，保证与总公司网络连接的畅通；
（二）负责本单位人员的信息安全教育和培训，建立健全安全管理制度；
（三）与总公司办公室密切配合，共同做好总公司信息系统的安全运行、管理和维护工作。
第三章 网络接入及ip地址管理
第六条 需要接入总公司网络的所属单位应向总公司办公室提交申请，经审批同意后方可接入。
第七条 总公司机关内部局域网的ip地址由办公室统一规划、管理和分配，ip地址的申请、补充、更换均需办理相关手续。
第八条 申请与使用ip地址，应与登记的联网计算机网卡的以太网地址（mac地址，即硬件地址）捆绑，以保证一个ip地址只对应一个网卡地址。
第九条 入网单位和个人应严格使用由总公司办公室及本单位网络管理员分配的ip地址和指定的网关和掩码。严禁盗用他人ip地址或私自设置ip地址。总公司办公室有权切断私自设置的ip地址入网，以保证总公司内部局域网的正常运行。
第四章 安全运行管理
第十条 总公司机关和各所属单位均应指定专人担任信息系统管理员，负责信息系统的日常运行维护、故障处理及性能调优工作。
第十一条 建立电子设备运行档案，对所发生的故障、处理过程和结果等要做好详细的记录。关键设备应有备品备件，并进行定期的检测和维护，确保随时处于可用状态。
第十二条 系统软件（操作系统和数据库）必须使用正版软件，其选用应充分考虑软件的安全性、可靠性、稳定性，并具备身份验证、访问控制、故障恢复、安全保护、安全审计、分权制约等功能。
第十三条 对会影响到全公司的硬件设备或软件的更改、调试等操作应预先制定具体实施方案，必要时准备好后备配件和应急措施。
第十四条 数据库管理系统和关键网络设备(如服务器、防火墙、交换机等)的口令必须使用强口令，由专人掌管，定期更换。
第十五条 业务信息系统应严格控制操作权限，原则上采用专人专用的用户名及密码登录；对数据库的维护不允许通过外网远程登录进行。
第十六条 接入总公司信息系统的所有服务器和计算机均应采用国家许可的正版防病毒软件并及时更新软件版本，发现问题及时解决。具体措施如下：
（一）所有计算机全部安装和使用网络版防毒软件，未经许可，不得随意禁用或卸载，并设置好定期升级和杀毒的安全策略；
（二）对新购进的、修复的或重新启用的计算机设备，必须预先进行计算机病毒检查后方可安装运行；
（三）杜绝病毒传播的各种途径，光盘和优盘等存储介质及经远程通信传送的程序或数据在使用前应进行病毒检测，如工作需要使用共享目录，必须做好有关防范措施；
（四）在接入internet网时，严格控制下载软件，谨慎接收电子邮件；在接收电子邮件时，不随意打开附件；
（五）当出现计算机病毒传染迹象时，立即拔掉网线，隔离被感染的系统和网络，并进行处理，不应带“毒”继续运行。
第十七条 总公司及所属各单位信息系统如发生严重的网络中断故障，应按规定进行先期处置，同时报总公司办公室。
第六章 数据管理
第十八条 系统管理员应对系统数据（主要包括数据字典、权限设置、存储分配、网络地址、网管参数、硬件配置及其他系统配置参数）实施严格的安全与保密管理，并定期核对，防止系统数据的非法生成、变更、泄漏、丢失与破坏。
第十九条 各单位应定期进行数据备份，保证系统发生故障时能够迅速恢复；业务数据必须设置在线定时自动备份策略，必要时应采用双机备份。
第二十条 各单位重要业务数据必须每年定期、完整、真实、准确地转储到不可更改的介质上，实行集中存储和异地保管，保存期至少2年。备份数据不得更改，应指定专人负责保管和登记。
第二十一条 各单位业务数据不得随意进行数据恢复，因数据丢失或故障确需恢复的，应由系统管理员报本单位信息化工作部门，经批准后方可进行数据恢复操作，并做好记录。
第二十二条 总公司信息系统的数据采集、存储、处理、传递、输出和发布应遵守计算机信息系统相关保密管理规定，以保证公司信息系统无泄密事件发生。
第七章 附则
第二十三条 本办法由总公司办公室负责解释。
第二十四篥 本办法自印发之日起施行。
第12篇 涉密计算机及信息系统安全和保密管理办法
第一条 为加强公司涉密计算机及涉密计算机信息系统的安全保密管理，根据国家有关保密法规和铁道部的有关规定，结合哈佳铁路客运专线有限责任公司（以下简称“公司”）实际，制定本办法。
第二条 本办法所称的涉密计算机，是指专门用于处理或存储国家秘密信息、收发文电、连接互联网的台式计算机；涉密计算机信息系统，是指专门用于处理国家秘密信息的计算机信息系统。
第三条 为确保国家秘密、公司工程项目相关技术资料的安全，公司各部门或个人不得使用便携式计算机处理国家秘密信息。
第四条 公司设保密领导小组，具体负责公司内部的涉密计算机及信息系统的安全保密管理工作，日常保密管理、监督职责如下：
（一）审查、选定专人分别作为涉密计算机信息及信息系统的系统管理员、安全保密管理员和密钥口令管理员，要求职责清晰，分工明确。
（二）定期对涉密计算机、涉密计算机信息系统以及涉密移动存储介质的使用、保管情况进行安全保密检查，及时消除隐患。
（三）加强对有关人员的安全保密教育，建立健全保密规章制度，完善各项保密防范措施。
第五条 涉密计算机日常管理人员是涉密计算机安全保密的责任人，其日常保密管理监督职责如下：
（一）对计算机及软件安装情况进行登记备案，定期核查。
（二）设置开机口令，长度在8个字符以上，并定期更换，防止他人盗用和破译。
（三）不得安装、运行、使用与工作无关的软件。
（四）应在涉密计算机的显著位置进行标识，不得让其他无关人员使用涉密计算机。
（五）未安装隔离卡的涉密计算机单机，管理人员应拆除网卡，严禁涉密计算机上网；已安装隔离卡的涉密计算机应严格按照正确方法使用，严禁他人在外网上处理（即打开、查看、拷贝、传递涉密文件）和存储任何涉密信息；严禁他人在外网上使用涉密移动存储介质。
（六）定期做好涉密计算机的病毒查杀、防治和系统升级工作，及时进行数据备份，防止涉密信息的意外丢失。
第六条 涉密计算机信息系统的管理人员由系统管理员、安全保密管理员和密钥口令管理员组成，具体职责如下：
（一）系统管理员负责涉密计算机信息系统的登录权限分配、访问控制和日常维护及修理，保证系统和单机的正常运行。定期开展涉密计算机信息系统重要数据的备份工作，防止因系统的损坏或意外造成的数据丢失。
（二）安全保密管理员负责涉密计算机信息系统的病毒防治、安全审计等工作，并负责对系统的运行进行安全保密监视。
（三）密钥口令管理员负责定期更换并管理系统登录口令、开机密码及部分重要程序和文件的密钥，保证口令和密钥的安全。对集中产生的涉密计算机信息系统口令，应定期分发并更改，不得由用户自行产生。处理秘密级信息的系统，口令长度不得少于8个字符，口令更换周期不得超过一个月；处理机密级信息的系统，口令长度不得少于10个字符，口令更改周期不得超过一周。口令必须加密存储，口令在网络中必须加密传输，口令的存放载体必须保证物理安全。
第七条 涉密计算机信息系统实行“同步建设、严格审批、注重防范、规范管理”的保密管理原则。
第八条 涉密计算机及信息系统所在的场所，必须采取必要的安全防护措施，安装防盗门窗和报警器，并指定专人进行日常管理，严禁无关人员进入该场所。
第九条 涉密计算机及信息系统不得直接或间接与国际互联网连接，必须实行严格的物理隔离，并采取相应的防电磁信息泄漏的保密措施。
第十条 涉密计算机按所存储和处理的涉密信息的最高密级进行标识；对涉密计算机信息系统的服务器，应按本系统所存储和处理的涉密信息的最高级别进行标识。
第十一条 涉密计算机中的涉密信息应有相应的密级标识，密级标识不能与正文分离。对图形、程序等首页无法标注的，应标注在文件名后。打印输出的涉密文件、资料，应按相应的密级文件进行管理。
第十二条 涉密计算机的维修或销毁一般应由公司人员在本公司内部进行，并应确保秘密信息在维修、销毁过程中不被泄露。公司不具备自行维修、销毁条件的，应报公司主管领导批准，委托保密部门认定的定点单位进行维修或销毁。销毁涉密存储介质，应采用物理或化学的方法彻底销毁。
第十三条 对于违反本办法的有关人员，应给予批评教育，责令其限期整改；造成泄密的，公司将根据有关保密法规进行查处，追究有关人员泄密责任。
第十四条 本办法由公司保密委员会负责解释。
第十五条 本办法自发布之日起执行。
