信息系统运维安全管理建设规范.docx

《信息系统运维安全管理建设规范.docx》由会员分享，可在线阅读，更多相关《信息系统运维安全管理建设规范.docx（13页珍藏版）》请在第一文库网上搜索。

1、信息系统运维安全管理建设规范信息系统运维安全管理规定笫一章总则第一条为加强XXXXX信息系统运维的安全管理，保障信息系统的网络安全与信息安全，依据国家有关法律、法规和XXXXX有关规章制度，特制定本规定。第二条XXXXX信息系统运维安全管理范围包括网络安全管理、操作系统安全管理、用户访问授权管理、密码管理、防病毒管理、系统补丁管理、介质管理、信息交换管理、安全监控和审计管理、数据备份和恢复管理、日常运行维护管理以及监督检查等相关内容。第三条本规定适用于XXXXX信息系统运维中的安全管理。第二章网络安全管理第四条信息中心统一规划XXXXX网络架构，并根据安全风险情况部署安全设备，确保网络安全和信

2、息安全。第五条网络管理员应对网络拓扑进行统一管理，应保持拓扑结构图与现行网络运行环境的一致性，拓扑图应包括网络设备、安全设备的型号、名称以及与链路的链接情况等。第六条网络管理员应维护所有网络设备的物理连接情况，控制和管理网络接口的使用。第七条网络管理员应监控网络的运行状况，发现影响较大的网络故障时，必须及时向XXXXX信息中心报告。第八条通信链路及带宽资源管理应当遵循合理分配、高效使用的原则，禁止使用网络传送非业务需要的内容。第九条未经允许，网络中严禁随意使用无线网络通讯设备进行访问。第十条未经允许，任何计算机、网络设备、安全设备不允许随意接入网络中。第十一条外部人员在接入互联网时，应经过部门

3、领导的审核审批后才可接入，同时要指定IP地址并进行记录,根据人员安全管理规定进行管理。第十二条应对网络区域中的非法访问部署检测和审计措施，能够做到安全事件可监控、可追踪和可审计。第十三条对于网络中重要的网络设备、安全设备应开启审计功能，记录对于设备配置变更的操作。第十四条网络安全管理应建立必要的安全技术措施确保网络的统一管理，包括信息资产管理、网络拓扑管理、信息资源管理、网络异常流量管理、安全事件监控管理、安全策略管理、安全预警管理等网络安全管理内容。第十五条应根据不同的业务安全等级合理划分网络安全域，安全域间应采取逻辑隔离措施，根据业务需要仅开放必要的网络访问端口和服务，区域和边界的访问控制

4、策略应根据业务需要进行设置。第十六条关键业务应用和网络访问应使用静态路由，如果使用动态路由，应启用路由协议的安全认证机制，并控制路由信息的广播范围。第十七条干路和核心的网络设备、安全设备、网络链路应建立冗余备份机制，如果出现全网安全事件应根据应急处理预案进行应急响应。第三章操作系统安全管理第十八条对于每个管理员建立单独的用户账号，特别要区分普通用户账户号和管理员账号，账号不得共享。第十九条操作系统中应限制登录和认证的次数，避免外界尝试登录和暴力破解的安全风险。第二十条操作系统的安装须遵从最小化安装原则，仅仅安装并运行必须的系统服务和应用程序；第二十一条各应用系统主管在按规定安装各类软件时遵从最

5、小化安装原则，关闭和卸载与办公和业务无关的功能和服务。第二十二条运行业务应用系统时，要使用保证应用系统正常运行的最小账户权限，原则上禁止使用最高权限账号。第二十三条为了能够发现和跟踪系统中发生的各种可疑事件，需要启用安全审计功能，以日志的形式记录用户登录系统、文件访问操作、账户修改等行为的过程和结果信息，做到发生可疑事件时有据可查。第四章用户访问授权管理第二十四条XXXXX各系统应根据不同角色确定不同的用户账号，账号至少分为以下角色：（一）系统管理员：负责维护系统的管理员，一般具有超级用户权限；（二）普通用户：访问系统的普通用户，一般只具有相应访问内容和操作的最小权限；（三）第三方人员：临时或

6、长期进行系统维护的非XXXXX内部人员，根据第三方人员的维护范围确定其使用权限；（四）系统安全管理员：XXXXX进行安全审计的人员，具有能够查看系统的日志和审计信息。第二十五条XXXXX各系统应根据“最小授权”的原则设定账户访问权限，控制用户仅能够访问到工作需要的信息。第二十六条应根据XXXXX要求和员工岗位来创建、变更和撤销用户的账号及权限，并定期对用户账号和权限进行监督、检查。第二十七条各系统的账号能标识系统访问的不同角色，并尽量避免使用系统默认账号。第二十八条应避免系统中存在多余、无用和测试账号，确保服务器中所有的操作系统账号能够唯一标识操作人员。第二十九条系统安全管理员应当对系统中存在

7、的账号进行定期审计，系统中不能存在无用或匿名账号。第三十条各系统应该设置审计用户的权限，审计用户应当具备比较完整的读权限，审计用户应当能够读取系统关键文件，检查系统设置、系统日志等信息。第三十一条各系统应人员安全管理规定的要求限制第三方人员的访问权限，对第三方的访问进行定期的检查和审计。第五章密码管理第三十二条XXXXX设备及系统的密码的设置至少符合以下要求：（一）长度大于8位；（二）大小写字母、数字，以及特殊字符混合使用；（S）不是任何语言的单词；（四）不能使用缺省设置的密码。第三十三条账号密码至少应该保证每三个月换一次，包括：UN1X/1inux系统root用户的密码、网络设备的enab1

8、e密码、WindoWS系统AdminiStratOr用户的密码，以及应用系统的后台管理用户密码等。第三十四条系统须强制指定密码的策略，包括密码的最短有效期、最长有效期、最短长度、复杂性等。第三十五条密码不能以明文的方式通过电子邮件或者其它网络传输方式进行传输。第三十六条不得将密码告诉与该工作无关的人员，如果第三方系统维护人员需要登录系统，系统管理员为其设置临时密码，完成工作后必须立刻修改密码；第三十七条系统管理员不能共享超级用户的密码，应采用组策略控制超级用户的访问。第三十八条除了系统管理员外，一般用户不能改变其它用户的密码。第三十九条当密码使用期满时，被其他人知悉或认为密码不保密时，网络管理

9、人员可按照密码更改程序变换密码。第四十条所有用户严禁将密码贴在终端上，输入的密码不应显示在显示屏幕上，严禁随意丢弃记载有用户名密码的纸条等媒介物，不准用电话、电子邮件等告诉密码。第四十一条对于系统重要性高、资产价值高、威胁可能性大可以使用强度更高的认证机制，例如采用双因素认证等。笫六章防病毒管理第四十二条信息中心统一规划、统一部署具有国家许可的正版计算机防病毒系统软件。所有服务器和终端必须安装XXXXX配发的计算机防病毒软件，否则不允许连入网络和处理工作。第四十三条所有的服务器和计算机终端应安装XXXXX要求的网络防病毒软件，并对安装情况做相应记录，使用各种介质复制或者从网络上下载文件到计算机

10、上，应首先进行病毒查杀。第四十四条应使用XXXXX下发的正版软件，禁止随意安装软件，防止其中可能存在恶意软件。第四十五条信息安全管理员对防病毒软件系统进行监控，并记录病毒查杀情况。安全管理员负责每周对防病毒系统的病毒库进行两次升级，升级完成后进行记录。第四十六条XXXXX服务器、桌面计算机及便携式计算机一旦发现被计算机病毒感染，应先将计算机与网络隔离，确保病毒库已更新至最新版本，并及时进行病毒查杀处理；当情况严重且无法在规定时限内紧急恢复或有效控制时，应按照信息安全事件应急管理规定及时上报启动相应应急响应预案，应注意保留防病毒系统记录。第七章系统补丁管理第四十七条应及时跟进各产品的安全漏洞信息

11、和产品厂商发布的安全补丁信息。第四十八条安全补丁根据其对应漏洞的严重程度分为三个级别：紧急补丁、重要补丁和一般补丁；紧急补丁必须在15天内完成加载，重要补丁必须在一个月内完成加载，一般补丁要求六个月内完成加载，对于不能加载补丁的情况，一定要采取其他的有效安全控制措施。第四十九条必须从各产品厂商官方渠道获取安全补丁，补丁加载应制定严格的计划。第五十条补丁加载之前必须经过严格的测试，测试环境与生产环境尽可能一致，严禁未经测试直接在生产系统上加载补丁。第五十一条补丁测试的内容包括补丁安装测试、补丁功能性测试、补丁兼容性测试和补丁回退测试：（一）安装测试主要测试补丁安装过程是否正确无误，补丁安装后系统

12、是否正常启动。（二）补丁功能性测试主要测试补丁是否对安全漏洞进行了修补。（S）补丁兼容性测试主要测试补丁加载后是否对应用系统带来影响，业务是否可以正常运行。（四）补丁回退测试主要包括补丁卸载测试、系统还原测试。第五十二条补丁加载必须安排在业务比较空闲的时间进行，对补丁加载的操作过程必须按照计划严格操作，并详细记录。第五十三条系统管理员对加载补丁后的系统必须按照计划和验证方案进行的测试验证，确保补丁加载后不影响系统的性能，确保各项业务操作正常。第五十四条补丁加载后的一周内，系统管理员必须对系统性能和事件进行密切的监控。第五十五条完成补丁加载后系统管理员应将补丁安装情况通知系统安全管理员。笫八章介

13、质管理第五十六条本规定中的存储介质是指设备内或者独立存放的磁介质、光介质及其它记录载体（如计算机硬盘、光盘、移动硬盘、U盘、软盘和录音带、录像带等）。第五十七条对存储介质应根据信息中心机房信息资产登记记录进行统一的登记和记录，介质的使用、转移、维修和销毁必须严格管理。第五十八条存储介质应贴好标签进行标识，标识标志必须贴在表面易于辨识的地方，应标注介质编号、介质有效期截止日、日期、操作人员、环境名称、内容、用途和数据保存时间等信息。第五十九条所有含有内部信息的存储介质对外部人员访问是受控的，严禁任何人带离工作场所，如外出进行更换或者维修的损坏介质，需要签订保密协议。第六十条存储介质应保存在安全的

14、物理环境下（如：防火、电力、空调、湿度、静电及其他环境保护措施），对于存放重要数据的存储介质应当在异地进行备份。第六十一条应根据存储介质的使用寿命，制定数据恢复测试计划，以避免数据丢失。第六十二条对含有重要数据的存储介质不再使用时，必须执行重复写操作防止数据恢复。第六十三条对于磁带、光盘、纸质等存储介质进行报废处理时，应采取切碎或者烧毁的方式进行。笫九章信息交换第六十四条防止XXXXX与外部单位间或者XXXXX内部交换信息时信息受损、修改或者滥用，做到对信息交换的有效控制，确保信息交换的有效性和安全性；第六十五条信息交换方式包括传输介质、电子邮件、OA办公系统、电话、传真及其他信息交换形式；第

15、六十六条通过信息系统进行自动信息交换或者数据传送时，必须选择安全的通讯协议，要在信息系统间进行认证确认发送方和接受方，并对传输的数据进行完整性验证，对于敏感数据的传输要采用加密措施。第六十七条在电子邮件中不得明文发送XXXXX敏感信息，可通过对信息加密再传送的方法实现，明确要求不能在网络中明文传送密码信息。第六十八条在使用办公系统时，应控制业务信息的扩散范围，禁止非XXXXX人员访问办公系统。第六十九条通过传真发送重要信息时，要确保收件人号码正确，并先通知收件人接收后再正式开始发送，发送后并立即与接受方确认。第七十条传送物理介质（如纸质、光盘、移动介质）时，要使用可靠的传输工具或投递人，以保证

16、传送过程的安全，并在提交时识别投递人身份，包装外观必须采取非透明材料，并且包装本身应能够保证介质本身的物理安全，需要的时候采取特殊的控制措施保护敏感数据免遭非法公开或修改。第十章安全监控和审计管理第七十一条各个网络设备、服务器及服务应根据实际情况调整时间的一致性。第七十二条应监控网络、主机、数据库及应用系统的运行状态，并定期对日志信息进行审计，如发现存在错误，或可疑日志信息，并将该信息详细记录并通知系统安全管理员进行详细调查。第七十三条应对网络系统中的网络设备运行状况、网络流量、网络基础服务等信息进行监控。第七十四条应对关键主机的重要用户行为、系统资源的异常使用和重要系统命令的使用等重要安全相关事件进行监控。