系統(tǒng)安全管理規(guī)定-文庫吧
2025-04-03 23:45 本頁面
【正文】 系統(tǒng)運(yùn)行與維護(hù)安全要求各個(gè)系統(tǒng)設(shè)備應(yīng)進(jìn)行資產(chǎn)登記。系統(tǒng)的帳號(hào)、口令應(yīng)符合《帳號(hào)與密碼安全管理規(guī)定》，并定期對(duì)帳號(hào)口令實(shí)施安全評(píng)估。嚴(yán)格限制操作系統(tǒng)管理員權(quán)限帳號(hào)和普通賬號(hào)的數(shù)量和使用范圍。對(duì)于系統(tǒng)管理員的帳號(hào)要詳細(xì)登記備案，編制《管理員權(quán)限賬號(hào)記錄》，每季度對(duì)該記錄進(jìn)行審核，更新帳號(hào)記錄。操作系統(tǒng)帳號(hào)的申請(qǐng)與變更參考《帳號(hào)與密碼安全管理規(guī)定》“賬號(hào)權(quán)限控制流程”。嚴(yán)格禁止非本系統(tǒng)管理、維護(hù)人員直接進(jìn)入主機(jī)設(shè)備進(jìn)行操作，若在特殊情況下（如系統(tǒng)維修、升級(jí)等）需要外部人員（主要是指廠家技術(shù)工程師、非本系統(tǒng)技術(shù)工程師、安全管理員等）進(jìn)入主機(jī)設(shè)備進(jìn)行操作時(shí)，必須由維護(hù)人員員親自登錄，并對(duì)操作全過程進(jìn)行記錄備案。 應(yīng)盡可能減少主機(jī)設(shè)備的遠(yuǎn)程管理方式。嚴(yán)禁隨意安裝、卸載系統(tǒng)組件和驅(qū)動(dòng)程序，如確實(shí)需要，應(yīng)及時(shí)評(píng)測(cè)可能由此帶來的影響；如果需要安裝補(bǔ)丁程序，參考《病毒與補(bǔ)丁安全管理規(guī)定》進(jìn)行安裝。禁止主機(jī)系統(tǒng)上開放具有“寫”權(quán)限的共享目錄，如果確實(shí)必要，優(yōu)先考慮建立FTP站點(diǎn)，緊急情況下可臨時(shí)開放，但要設(shè)置強(qiáng)共享口令，并在使用完之后立刻取消共享；應(yīng)禁止不被系統(tǒng)明確使用的服務(wù)、協(xié)議和設(shè)備的特性，避免使用不安全的服務(wù)。應(yīng)嚴(yán)格并且合理的分配服務(wù)安裝分區(qū)或者目錄的權(quán)限，如果可能的話，給每項(xiàng)服務(wù)安裝在獨(dú)立分區(qū)；取消或者修改服務(wù)的banner信息；避免讓應(yīng)用服務(wù)運(yùn)行在root或者administrator權(quán)限下。應(yīng)嚴(yán)格控制重要文件的許可權(quán)和擁有權(quán)，重要的數(shù)據(jù)應(yīng)當(dāng)加密存放在主機(jī)上，取消匿名FTP訪問，并合理使用信任關(guān)系。1應(yīng)對(duì)日志功能的啟用、日志記錄的內(nèi)容、日志的管理形式、日志的審查分析做出明確的規(guī)定；對(duì)于重要主機(jī)系統(tǒng)，應(yīng)建立集中的日志管理服務(wù)器，實(shí)現(xiàn)對(duì)重要主機(jī)系統(tǒng)日志的統(tǒng)一管理，以利于對(duì)主機(jī)系統(tǒng)日志的審查分析；應(yīng)保證各設(shè)備的系統(tǒng)日志處于運(yùn)行狀態(tài)，并定期對(duì)日志做一次全面的分析，對(duì)登錄的用戶、登錄時(shí)間、所做的配置和操作做檢查，在發(fā)現(xiàn)有異常的現(xiàn)象時(shí)應(yīng)及時(shí)向相關(guān)人員報(bào)告，日志審核要求詳見《安全審計(jì)管理規(guī)定》。1應(yīng)及時(shí)監(jiān)視、收集主機(jī)設(shè)備操作系統(tǒng)生產(chǎn)廠商公布的軟件以及補(bǔ)丁更新，要求下載補(bǔ)丁程序的站點(diǎn)必須是相應(yīng)的官方站點(diǎn)，并對(duì)更新軟件或補(bǔ)丁進(jìn)行評(píng)測(cè)，在獲得部門領(lǐng)導(dǎo)的批準(zhǔn)下，對(duì)實(shí)際環(huán)境實(shí)施軟件更新或者補(bǔ)丁安裝；必須訂閱CERT (計(jì)算機(jī)緊急響應(yīng)小組)公告或其他專業(yè)安全機(jī)構(gòu)提供的安全漏洞信息的相關(guān)資源，應(yīng)立即提醒信息安全工作組任何可能影響網(wǎng)絡(luò)正常運(yùn)行的漏洞；及時(shí)評(píng)測(cè)對(duì)漏洞采取的對(duì)策，在獲得部門領(lǐng)導(dǎo)的批準(zhǔn)下，對(duì)實(shí)際環(huán)境實(shí)施評(píng)測(cè)過的對(duì)策，并將整個(gè)過程記錄備案；軟件更新或者補(bǔ)丁安裝應(yīng)盡量安排在非業(yè)務(wù)繁忙時(shí)段進(jìn)行，操作必須由兩人以上完成，由一人監(jiān)督，一人操作，并在升級(jí)（或修補(bǔ)）前后做好數(shù)據(jù)和軟件的備
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1