系统运维安全管理规定.docx

《系统运维安全管理规定.docx》由会员分享，可在线阅读，更多相关《系统运维安全管理规定.docx（5页珍藏版）》请在第一文库网上搜索。

1、系统运维安全管理规定文档信息单位名称烟台市教育装备与技术研究中心文档名称系统运维安全管理规定文档编号YTEDU-CS-3.5受控状态受控文件扩散范围内部使用制作人尹磊审核人姜静批准人冷作福页数共5页发布日期2018.10.10生效日期2018.10.10版本历史版本日期说明修订人1.02018.10.10创建文件尹磊2.02019.07.17修订尹磊系统运维安全管理规定第一章总则第一条为加强烟台市教育城域网的网络安全管理工作，防范计算机信息技术风险，保障信息系统安全、稳定运行，保障信息化建设的稳步发展，参照国家有关规定，制定本规定。第二条本规定适用于烟台市教育城域网内系统运维过程的管理。第二章

2、系统安全运行基本要求第三条计算机信息系统的使用应建立相应安全操作规程与规章制度。第四条计算机信息系统的运行场所应满足相应的安全要求。第五条计算机信息系统应配备必要的计算机病毒防范工具。第六条重要计算机信息系统应配备必要的备份设备和设施。第三章信息系统运行环境管理第七条机房UPS、供电系统、机房空调、网络及机房消防设施等是生产系统的基础环境支持系统。严格按照机房安全管理制度执行，保证机房安全。第八条应对机房的基础环境支持系统做好规划，具备冗余能力，并及时调整、升级或改造，满足业务的发展要求。第九条机房功能区域的布局应合理，应按使用要求划分功能区域，各功能区域原则上相对独立，包括但不限于主机房、前

3、置机房、UPS和空调机房、辅助机房等。第十条机房应建立必须的消防系统，机房区域应采用消防预警系统，配备有干冰灭火器或自动消防灭火器，内部装修和通道等符合消防要求，并通过消防验收且定期进行消防演练。第十一条机房应有完善的供电方案。供电应实施双路市电+UPS供电+发电机供电，烟台市教育装备与技术研究中心应采取必要措施，保证机房供电系统、UPS、发电机等电力系统的正常运转，每月检查UPS和发电机的运行情况，定期进行电池放电操作。机房UPS不得连接机房之外设备。第十二条机房应配置必要的空调系统，保持恒温恒湿，以确保机房设备正常运转。同时,应加强机房空调日常运行维护，定期清洗和更换滤网。第十三条机房应配

4、备环境监控系统，对基础环境支持设施实施每天24小时实时监测，并保留监测记录供故障诊断和事后审计。第十四条机房还应采取防磁、防水、防盗和防鼠虫害等保护措施。第十五条机房应制定和完善有效的管理制度，实行进出机房专人管理，配备视频监控，进出机房人员应有记录，非本单位人员进出机房应有批准程序。出入和监控记录保存时间应满足事件分析和审计的需要。第十六条关键信息系统通信线路应采用两家或两家以上通信运营商线路，互为备份，互为备份的线路不应经过同一路由节点。第十七条相关工作人员办公可能涉及一些敏感或涉密信息，需参考办公环境安全管理制度，规范环境人员行为。第三章系统数据的安全管理第七条按数据管理制度规定进行数据

5、备份，并检查备份介质的有效性。第八条备份介质（磁带、磁盘、光盘、纸介质等）统一编号，并标明备份日期、密级及保密期限。第九条备份介质须妥善保管，特别重要的应异地存放，并定期进行检查，确保数据的完整性、可用性。第十条建立备份介质的销毁审批登记制度，并采取相应的安全销毁措施。第十一条重要计算机信息系统所用计算机设备的维修，应保证本单位数据信息的完整性和安全性。在维修过程中不得泄露涉密数据信息。第十二条重要计算机信息系统使用的计算机设备更换或报废时，应彻底清除相关业务信息，并拆除所有相关的涉密配件，由使用科室登记封存。第四章系统运行平台的安全管理第十三条系统管理人员应合理配置各设备和系统所提供的安全审

6、计功能，以达到相应安全标准。第十四条系统管理人员应屏蔽与应用系统无关的所有网络功能，防止非法用户的侵入。第十五条系统管理人员应按照恶意代码防范管理制度及时安装正式发布的系统补丁，修补系统存在的安全漏洞。第十六条系统管理人员应启用系统提供的审计功能，监测系统运行日志，掌握系统运行状况。第十七条系统管理人员不得泄露操作系统、数据库的系统管理员账号、密码。第十八条联网设备的IP地址及网络参数，必须按照网络安全管理制度及其业务应用范围进行设置，非系统管理人员不得修改。第五章口令密码、密钥安全管理第十九条计算机信息系统关键人员的口令密码编制应具有一定的复杂性，对记录密码的载体应严格管理，确保其物理安全，

7、详见密码管理制度。第二十条计算机信息系统关键岗位人员的口令密码，应定期或不定期进行更换，独享使用，不得泄露。第二十一条应用密钥保障网络安全时，对所用密钥生命周期的全过程（产生、存储、分配、使用、废除、归档、销毁）应实施严格的安全保密管理。第二十二条密钥必须作为绝密数据由专人保管。密钥必须通过机要渠道传递或采用加密通信方式网内分配。第二十三条密钥必须定期更换，对已泄漏或怀疑泄漏的密钥必须及时废除。旧密钥必须安全归档，并在安全管理负责人的严格监督下，由管理责任人定期销毁。第二十四条密钥备份是针对主要密码设备和保密工作人员的意外事件而采取的必要措施，密钥副本的保存必须是物理安全的。必须有在紧急情况下

8、销毁密钥的手段和措施，以防密钥丢失。第六章系统文档安全管理第二十五条网络参数配置文档、重要计算机信息系统详细开发资料及其源程序等核心技术文档，由烟台市教育装备与技术研究中心严格管理。第二十六条系统核心技术文档资料的外借应有审批手续和记录，借阅人不得转借给他人，不得复制、泄露和引用具体内容。第七章系统的安全监测第二十七条安全人员要按照系统监控管理制度经常监测、分析计算机信息系统运行状况，发现异常情况应立即采取应对措施。第二十八条业务操作人员应审查业务处理结果，发现问题应及时查明原因。对不能确认的异常现象，必须向烟台市教育装备与技术研究中心报告。第二十九条对计算机信息系统安全运行的监测记录及其分析

9、结果应严格管理，未经烟台市教育装备与技术研究中心许可不得对外发布或引用。第八章应急处理第三十条本单位应加强网络安全防范意识，建立应急处理指挥体系，按照应急预案指挥协调各科室能迅速进入应急处理程序。第三十一条本单位应优化组合和配置应急技术人员及应急资源，集中使用，统一调度，以保证应急处理的高效性。第三十二条本单位应制定重要计算机信息系统应急方案，明确岗位职责、人员分工以及应急处理程序。第三十三条本单位应加强应急处理技能的培训和应急处理方案的演练。提高各岗位人员判断、处理问题的能力，验证应急处理程序的有效性。第九章重大安全事件处理第三十四条安全事件管理制度规定非法侵入、破坏计算机信息系统或利用计算机实施诈骗、盗窃、贪污、挪用公款的计算机犯罪案件以及造成不良社会影响的网络安全事故,属重大安全事件。第三十五条确认计算机信息系统出现重大安全事件，必须果断采取控制措施，立即逐级如实上报烟台市教育装备与技术研究中心。第三十六条重大安全事件发生后，有关人员应保护事件现场，积极协助网络安全事件的调查，做好善后处理工作。第三十七条重大安全事件的处理情况，风险管理人员必须上报书面材料，根据本单位应急事件报告要求报告有关领导。第十章附则第三十八条本规定由烟台市教育装备与技术研究中心负责解释和修订。第三十九条本规定自发布之日起执行。