基層單位信息系統(tǒng)安全等級保護三級管理制度-運行和維護管理規(guī)定-文庫吧
2025-09-29 11:27 本頁面
【正文】 注意識別重大變更，并進行記錄；評估這些變更的潛在影響；向所有相關(guān)人員通報變更細節(jié)；明確中止變更并從失敗變更中恢復的責任和處理方法；重用設(shè)備中原有信息的清除；對操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用系統(tǒng)、人員、服務(wù)等的變更控制應(yīng)制度化； 對信息系統(tǒng)的任何變更必須考慮全面安全事務(wù)一致性。第十七條 在公眾網(wǎng)站、內(nèi)部網(wǎng)站發(fā)布的信息，以及提供查詢的信息應(yīng)符合國家有關(guān)政策法規(guī)的規(guī)定；對所公布的信息應(yīng)采取適當?shù)陌踩胧┍Ｗo其完整性；應(yīng)保護業(yè)務(wù)應(yīng)用中的信息交換的安全性，防止欺詐、合同糾紛以及泄露或修改信息事件的發(fā)生；第四章 運行維護管理第十八條 運行維護管理的內(nèi)容包括四個方面：日常運行安全管理、運行狀況監(jiān)控、軟件硬件維護管理、外部服務(wù)方訪問管理。第十九條 應(yīng)通過正式授權(quán)程序委派專人負責系統(tǒng)運行的安全管理；應(yīng)建立運行值班等有關(guān)安全規(guī)章制度；應(yīng)正確實施為信息系統(tǒng)可靠運行而采取的各種檢測、監(jiān)控、審計、分析、備份及容錯等方法和措施；應(yīng)對運行安全進行監(jiān)督檢查；應(yīng)明確各個崗位人員對信息系統(tǒng)各類資源的安全責任；應(yīng)明確信息系統(tǒng)安全管理人員和普通用戶對信息系統(tǒng)資源的訪問權(quán)限；按風險管理計劃和操作規(guī)程定期對信息系統(tǒng)的運行進行風險分析與評估，并向管理層提交正式的風險分析報告。第二十條 所有的系統(tǒng)日志應(yīng)保留一定期限，不能被改變，只允許授權(quán)用戶訪問；日志應(yīng)有脫機保存的介質(zhì)；信息系統(tǒng)應(yīng)使用統(tǒng)一的時間，以確保記錄日志準確；日志應(yīng)定期處理并產(chǎn)生報告；審計日志須經(jīng)授權(quán)方可查閱；應(yīng)告知用戶某些行為是會被審計的。第二十一條 應(yīng)明確信息系統(tǒng)的軟件、硬件維護的人員和責任，規(guī)定維護的時限，以及設(shè)備更新和替換的管理辦法；制定有關(guān)軟件、硬件維修的制度；對需要外出維修的設(shè)備，應(yīng)經(jīng)過審批，磁盤數(shù)據(jù)應(yīng)進行刪除；外部維修人員進入機房維修，應(yīng)經(jīng)過審批，并有專人負責陪同。第二十二條 對外部服務(wù)方訪問的要求，應(yīng)經(jīng)過相應(yīng)的申報和審批程序；應(yīng)對外部服務(wù)方訪問建立相應(yīng)的安全管理制度；外部服務(wù)方訪問應(yīng)簽署保密合同；應(yīng)對外部服務(wù)方訪問進行風險分析和評估；應(yīng)對外部服務(wù)方訪問實施嚴格控制；應(yīng)對外部服務(wù)方訪問實施監(jiān)視。第五章 外包服務(wù)管理第二十三條 外包服務(wù)管理的內(nèi)容包括三個方面：外包服務(wù)合同管理、外包服務(wù)商管理、外包服務(wù)的運行管理。第二十四條 對由外部服務(wù)商承擔完成的外包服務(wù)，應(yīng)簽署正式的書面合同，至少包括：對符合法律要求的說明，對外包服務(wù)的風險的說明，對外包服務(wù)合同各方的安全責任界定，對控制安全風險應(yīng)采用的控制措施的說明，對外包服務(wù)風險發(fā)生時應(yīng)采取措施的說明，對外包服務(wù)的期限、中止的條件和善后處理的事宜以及由此產(chǎn)生責任問題的說明，對審計人員權(quán)限的說明。第二十五條 應(yīng)選擇具有相應(yīng)服務(wù)資質(zhì)并信譽好的外包服務(wù)商；對較為重要的業(yè)務(wù)應(yīng)用，應(yīng)在行業(yè)認可或者是經(jīng)過上級主管部門批準的范圍內(nèi)，選擇具有相應(yīng)服務(wù)資質(zhì)并信譽好的可信的外包服務(wù)商；關(guān)鍵的或涉密的業(yè)務(wù)應(yīng)用，一般不應(yīng)采用外包服務(wù)方式。第二十六條 對外包服務(wù)的業(yè)務(wù)應(yīng)用系統(tǒng)運行的安全狀況應(yīng)進行監(jiān)控和檢查，應(yīng)定期進行評估，出現(xiàn)問題應(yīng)遵照合同規(guī)定及時處理和報告；當出現(xiàn)重大安全問題或隱患時應(yīng)進行重新評估，提出改進意見，直至停止外包服務(wù)。第六章 安全機制保障第二十七條 安全機制保障的內(nèi)容包括七個方面：身份鑒別機制管理、訪問控制機制管理、系統(tǒng)安全管理、網(wǎng)絡(luò)安全管理、應(yīng)用系統(tǒng)安全管理、病毒防護管理、密碼管理。第二十八條 對網(wǎng)絡(luò)、操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)等系統(tǒng)管理員和應(yīng)用系統(tǒng)管理員以及普通用戶，應(yīng)明確使用和保護身份鑒別機制的責任，采用不可偽造的鑒別 信息進行身份鑒別，采用有關(guān)身份鑒別和認證系統(tǒng)的管理維護措施；應(yīng)指定安全管理人員定期進行檢查，鑒別信息應(yīng)進行相應(yīng)的保護。第二十九條 應(yīng)根據(jù)自主訪問控制機制的要求，由授權(quán)用戶為主、客體設(shè)置相應(yīng)訪問的參數(shù)；應(yīng)將自主訪問控制與審計密切結(jié)合，實現(xiàn)對自主訪問控制過程的審計，使訪問者必須為自己的行為負責；并保證最高管理層對自主訪問控制管理的掌握。第三十條 應(yīng)對操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)按其安全技術(shù)和機制的不同要求實施相應(yīng)的安全管理；應(yīng)通過正式授權(quán)程序委派專人負責系統(tǒng)安全管理；建立系統(tǒng)安全配置、備份等安全管理規(guī)章制度；按規(guī)章制度的要求及時進行補丁升級；應(yīng)進行日常安全管理，包括對用戶安全使用進行指導和審計等；應(yīng)根據(jù)訪問控制安全策略的要求，全面考慮和統(tǒng)一設(shè)置、維護用戶及主、客體的標記信息。第三十一條 應(yīng)對網(wǎng)絡(luò)按其安全技術(shù)和機制的不同要求實施相應(yīng)的安全管理；應(yīng)通過正
試題試卷相關(guān)推薦
鄂ICP備17016276號-1