信息系统安全管理办法

《信息系统安全管理办法》由会员分享，可在线阅读，更多相关《信息系统安全管理办法（7页珍藏版）》请在金锄头文库上搜索。

1、陕西煤业化工集团财务有限公司信息系统安全管理办法第一章 总 则第一条 为加强公司信息系统安全的规范管理，对可能影响系统的各种因素进行控制，确保系 统、网络设备以及其他设施的安全正常运行，特制订本办法。第二条 本管理办法从系统层安全角度建立公司的信息系统安全保障体系。第二章 主机安全策略第三条 系统硬件采购必须符合公司的信息安全策略和其他技术策略，并符合公司的长期商业 需求。第四条 系统硬件采购必须考虑：新设备在满足功能需要的同时，应有优秀的性能和足够的容 量，以避免影响数据处理；数据必须有适当的保护策略，以避免丢失或意外或不可预测的破坏；系 统必须有较大的冗余（电源、CPU以及其他组件）来避免

2、出现突然的意外事件。第五条 系统硬件采购时，必须通过结构评估，应尽量获得最好的价格，性能，可靠性，容错 性和售后技术支持，包括相应的技术文档或IT使用文档，以降低购买硬件设备的风险。第六条 所有主机设备应由专职人员负责定点存放和管理，定期检查存放处的物理环境，并按 照物理安全管理要求进行维护；应对所有主机设备进行资产登记，登记记录上应该标明硬件型号， 厂家，操作系统版本，已安装的补丁程序号，安装和升级的时间、系统配置信息等内容；第七条 应对日常运维，监控、配置管理和变更管理在职责上进行分离，由不同的人员负责； 在用户权限的设置时应遵循最小授权和权限分割的原则，只给系统用户、数据库系统用户或其它

3、应 用系统用户授予业务所需的最小权限，应禁止为所管理主机系统无关的人员提供主机系统用户账 号，并且关闭一切不需要的系统账号；对两个月以上不使用的用户账号进行锁定；应对主机设备中 所有用户账号进行登记备案。第八条 各个业务系统应对其口令的选取、组成、长度、保存、修改周期做出明确规定；组成 口令的字符应包含大小写英文字母、数字、标点、控制字符等，口令长度要求在8 位以上；对于重 要的主机系统，要求至少每个月修改一次口令，或者使用一次性口令设备；对于管理用的工作站和 个人计算机，要求至少每三个月修改一次口令；若掌握口令的管理人员调离本职工作时，必须立即 更改所有相关口令；应定期利用口令破解软件进行口

4、令模拟破解测试，在发现脆弱性口令后及时采 取强制性的补救修改措施。第九条 严格禁止非本系统管理人员直接进入主机设备进行操作，若在特殊情况下（如系统维 修、升级等）需要外部人员（主要是指厂家技术工程师、非本系统技术工程师、安全管理员等）进 入主机设备进行操作时，必须由本系统管理员登录，并对操作全过程进行记录备案；禁止将系统用 户账号及口令直接交给外部人员，在紧急情况下需要为外部人员开放临时账号时，必须向安全管理 机构和相关领导申请，在申请中写明开放临时账号的原因、时间、期限、对外部人员操作的监控方 法、负责开放和注销临时账号的人员等内容，并严格根据安全管理机构的批复进行临时账号的开放、 注销、监

5、控，并记录备案。第十条 应尽可能减少主机设备的远程管理方式，例如 Telnet 等，如果的确需要进行远程管理，应使用SSH代替Telnet,并且限定远程登录的超时时间，远程管理的用户数量，远程管理的 终端 IP 地址，并在配置完后立刻关闭此类远程管理功能；应尽可能避免使用 SNMP 协议进行管理， 如果的确需要，应使用 V3 版本替代 V1、V2 版本，并启用 MD5 等校验功能；进行远程管理时，应设 置控制口和远程登录口的 idle timeout 时间，让控制口和远程登录口在空闲一定时间后自动断开。第十一条 严禁随意安装、卸载系统组件和驱动程序，如确实需要，应及时评测可能由此带来 的影响，

6、在获得信息安全管理员的批准下，将整个过程记录备案；禁止随意下载、安装和使用来历 不明，没有版权的软件，严禁安装本地或网络游戏以及即时通讯程序（ICQ, MSN，QQ等），在服 务器系统上禁止安装与该服务器所提供服务和应用无关的其它软件；禁止在重要的主机系统上浏览 外部网站网页、接收电子邮件、编辑文档以及进行与主机系统维护无关的其它操作。如果需要安装 补丁程序，补丁程序必须通过日常维护管理用的工作站或 PC 机进行下载，然后再移到相应的主机 系统安装。第十二条 系统维护人员应在主机设备接入、系统配置变更、废弃等变更操作前进行数据备份， 为一些关键的主机设备准备备件，保证一些常用主机设备的库存，以

7、便在不成功的情况下及时进行 恢复。第十三条 新的主机设备的接入应确定最佳接入方案，才可以进行实施，如果接入后对系统有 影响，则由应急响应小组进行响应解决接入带来的故障。禁止私自安装或移动网络设备；业务系统 人员如果需要使用主机设备，要求主机系统配置变更，应首先向系统维护人员提出申请，并由信息 安全员进行安全确认签字后由系统维护人员负责安排实施，禁止私自变更主机系统配置；主机系统 的废弃应首先向相关部门提出申请，由该部门根据实际业务需要进行审核，确定最佳废弃方案，禁 止私自废弃或移动主机设备。第十四条 应对所有新接入的主机系统进行资产登记，登记记录上应该标明硬件型号，厂家， 操作系统版本，已安装

8、的补丁程序号，安装和升级的时间等内容。第十五条 任何新的主机系统的接入都应进行记录备案，记录内容应包括：接入人，接入时 间，接入原因等；任何主机系统的配置变更情况都应进行记录，记录内容应包括：变更人，变更时 间，变更原因，变更内容等，以便后期问题的查询分析；任何主机系统的废弃都应进行记录备案， 记录内容应包括：废弃人，废弃时间，废弃原因。第十六条 任何新的主机系统接入、配置变更、废弃前，都应做好详细的应急预案，以备紧急 情况时的应用，这些重大变更必须做到一人操作一人监督的管理。第十七条 新的主机系统在正式上架运行前应由系统维护人员进行功能测试，由信息安全员进 行安全测试并确认签字后方能正式运行

9、使用。严禁在不测试或测试不成功的情况下接入网络。信息 安全员需要测试的内容如下：查看硬件和软件系统的运行情况是否正常、稳定。查看 OS 版本和补丁是否最新。OS 是否存在已知的系统漏洞或者其他安全缺陷。第十八条 新的主机系统在正式上架运行前，应严格按照相关系统安全配置管理规定中的内容 进行配置，并记录备案。第十九条 新的主机系统在正式上架运行后，应经过一段时间的试运行，在试运行阶段，应严 密监控其运行情况；当发现网络运行不稳定或者出现明显可疑情况时，应立即启动应急预案；试运 行阶段后，应按照相关日常运维管理规定进行管理。第二十条 任何主机系统的配置变更前，应严格按照相关系统安全管理规定中的内容

10、进行配置 检查，主机系统的软件变更或配置变更后，应经过一段时间的试运行，在试运行阶段，同时还应严 密监控其运行情况；当发现网络运行不稳定或者出现明显可疑情况时，应立即启动应急预案；试运 行阶段后，应按照相关日常运维管理规定进行管理。第二十一条 当主机系统的硬件存在变更情况时，应遵循“先废弃，再接入”的策略。第二十二条 主机系统废弃的安全考虑应有一套完整的流程，防止废弃影响到其他系统。任 何主机系统废弃后，应经过一段时间的试运行，在试运行阶段，应严密监控网络中其他系统的运行 情况；当发现网络运行不稳定或者出现明显可疑情况时，应立即启动应急预案；试运行阶段后，应 对废弃的主机系统进行妥善保管或者按

11、照有关规定对系统内的内容进行销毁。第三章 操作系统安全策略第二十三条 在新系统安装之前应有详细的实施计划，包括：时间进度计划，人力资源分配 计划，应急响应计划；应充分考虑新系统接入网络时对原网络中系统的影响，并制定详细的应急计 划，避免因新系统的接入出现意外情况造成原网络中系统的损失。第二十四条 在新系统的安装过程中，应严格按照实施计划进行，并对每一步实施，都进行 详细记录，最终形成实施报告。第二十五条 在新系统安装完成，投入使用前，应对所有组件包括设备、服务或应用进行连 通性测试、性能测试、安全性测试，并做详细记录，最终形成测试报告。第二十六条 在新系统安装完成，测试通过，投入使用前，应删除

12、测试用户和口令，最小化 合法用户的权限，最优化配置。第二十七条 新系统安装后，应及时对系统软件、文件和重要数据进行备份。第二十八条 新系统安装后，应立即更改操作系统以及应用服务默认的配置和策略，并进行 备份。第二十九条 禁止主机系统上开放具有“写”权限的共享目录，如果确实必要，可临时开放， 但要设置强共享口令，并在使用完之后立刻取消共享。第三十条 应严格并且合理的分配服务安装分区或者目录的权限，如果可能的话，给每项服务 安装在独立分区；取消或者修改服务的banner信息；避免让应用服务运行在root权限下。第三十一条 应严格控制重要文件的许可权和拥有权，重要的数据应当加密存放在主机上，取消匿名

13、FTP访问，并合理使用信任关系。第三十二条 关闭不必要的用户账号，对于在系统中默认创建的用户账号，应该将其关闭。 并且经常检查系统的账户，删除已经不再使用的账户。第三十三条 应对日志功能的启用、日志记录的内容、日志的管理形式、日志的审查分析做 出明确的规定；对于重要主机系统，应建立集中的日志管理服务器，实现对重要主机系统日志的统 一管理，以利于对主机系统日志的审查分析；应保证各设备的系统日志处于运行状态，并每两周对 日志做一次全面的分析，对登录的用户、登录时间、所做的配置和操作做检查，在发现有异常的现 象时应及时向信息安全工作组报告。第三十四条 原则上应用系统经过测试上线后操作系统不进行后续补

14、丁更新。但当应用系统故 障是由操作系统漏洞引起的则需要为操作系统打补丁，补丁需经过测试机严格测试稳定后才能打到 生产机上。第三十五条 应至少每天1 次，对所有主机设备进行检查，确保各设备都能正常工作；应通 过各种手段监控主机系统的 CPU 利用率、进程、内存和启动脚本等的使用状况，在发现异常系统进 程或者系统进程数量异常变化时，或者 CPU 利用率，内存占用量等突然异常时，应立即上报信息安 全工作组，并同时采取适当控制措施，并记录备案。第三十六条 当主机系统出现以下现象之一时，必须进行安全问题的报告和诊断：（一）系统中出现异常系统进程或者系统进程数量有异常变化。（二）系统突然不明原因的性能下降

15、。（三）系统不明原因的重新启动。（四）系统崩溃，不能正常启动。（五）系统中出现异常的系统账号（六）系统账号口令突然失控。（七）系统账号权限发生不明变化。（八）系统出现来源不明的文件。（九）系统中文件出现不明原因的改动。（十）系统时钟出现不明原因的改变。（十一）系统日志中出现非正常时间系统登录，或有不明 IP 地址的系统登录。（十二）发现系统不明原因的在扫描网络上其它主机。第三十七条 应及时报告任何已知的或可疑的信息安全问题、违规行为或紧急安全事件，并 在采取适当措施的同时，应向信息技术部报告细节；并不得试图干扰、防止、阻碍或劝阻其他员工 报告此类事件；同时禁止以任何形式报复报告或调查此类事件的

16、个人；应定期提交安全事件和相关 问题的管理报告，以备管理层检查。第三十八条 系统软件安装之后，应立即进行备份；在后续使用过程中，在系统软件的变更 以及配置的修改之前和之后，也应立即进行备份工作；应至少每年 1 次对重要的主机系统进行灾难 影响分析，并进行灾难恢复演习。第三十九条 应至少每年 1 次对整个网络进行风险评估，每次风险评估时，手工检查的比例 应不低于 10，渗透测试的比例应不低于 5；风险评估后应在 10 个工作日内完成对网络的修补 和加固，并进行二次评估。第四十条 用户口令策略一般口令系统的强度可从以下几个方面来加强：（一）口令的复杂性：规定口令中不能有口令字典中很容易构造的单词；混有大、小写字母、 数字和特殊字符。每种类型至少包含一个字符（例如 emPagd2!）；（二）口令的长度：系统中有效口令的长度不短于