信息安全工作總體規(guī)劃v1(文件)
【正文】 和組織安全管理，建立組織機構(gòu)，明確人員崗位職責，提供安全教育和培訓，對第三方人員進行管理、協(xié)調(diào)信息安全監(jiān)管部門與行內(nèi)其它部門之間的關(guān)系，保證信息安全工作的人力資源要求，避免由于人員和組織上的錯誤產(chǎn)生的信息安全風險。167。167。167。167。12項信息安全管理類之間的關(guān)系，如下圖所示。 人員和組織管理：是要依據(jù)方針和策略來執(zhí)行信息安全管理工作。167。 根據(jù)信息系統(tǒng)的生命周期，可以將信息系統(tǒng)劃分為兩個階段，即項目工程開發(fā)階段和運行維護階段。信息系統(tǒng)可以劃分成5個層次，從底層到上層依次為環(huán)境與設(shè)備管理、網(wǎng)絡(luò)與通信管理、主機與系統(tǒng)管理、應(yīng)用與業(yè)務(wù)管理、數(shù)據(jù)/文檔/介質(zhì)管理。167。其中信息安全管理機構(gòu)負責信息安全策略的審核與頒布、統(tǒng)一技術(shù)標準和管理規(guī)范的制定、指導和監(jiān)督信息安全建設(shè)工作、對信息安全系統(tǒng)進行監(jiān)控與審計管理。在進行網(wǎng)絡(luò)安全建設(shè)的同時，可以進行系統(tǒng)安全建設(shè)，在內(nèi)部網(wǎng)絡(luò)中全面部署網(wǎng)絡(luò)病毒查殺系統(tǒng)，有效抑制計算機病毒在內(nèi)部網(wǎng)絡(luò)中傳播，避免對系統(tǒng)和數(shù)據(jù)造成損害；另外，主機系統(tǒng)管理員還應(yīng)該按照主機系統(tǒng)管理規(guī)范的要求，借助主機脆弱性分析和安全加固工具，定期對主機系統(tǒng)進行檢查，更新安全漏洞補丁的級別，修正不當?shù)南到y(tǒng)和服務(wù)配置，查看和分析系統(tǒng)審計日志，控制和保證主機系統(tǒng)的良好安全狀態(tài)。 組織機構(gòu)建立專職的信息安全監(jiān)管機構(gòu)，明確各級管理機構(gòu)的人員崗位配置和職能權(quán)限，全面負責信息安全建設(shè)工作和維護信息安全系統(tǒng)的運營。 網(wǎng)絡(luò)管理網(wǎng)絡(luò)安全是信息安全保障的重點，制定統(tǒng)一的網(wǎng)絡(luò)結(jié)構(gòu)技術(shù)標準，對如何劃分內(nèi)部信息系統(tǒng)的安全區(qū)域，安全區(qū)域的邊界采取的隔離措施，進行約定，保證內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)、辦公網(wǎng)與業(yè)務(wù)生產(chǎn)網(wǎng)之間的安全隔離。制定統(tǒng)一的網(wǎng)絡(luò)病毒查殺系統(tǒng)的建設(shè)標準和管理規(guī)范，有效抑制計算機病毒在內(nèi)部網(wǎng)絡(luò)和信息系統(tǒng)中的傳播和蔓延。 運維管理運維管理是在網(wǎng)絡(luò)的基礎(chǔ)設(shè)施建設(shè)完成之后，對運行環(huán)境（包括物理網(wǎng)絡(luò)，軟硬件環(huán)境等）、業(yè)務(wù)系統(tǒng)等進行維護管理。在發(fā)生安全事件后，盡快作出適當?shù)捻憫?yīng)，將安全事件的負面影響降至最低，保障業(yè)務(wù)正常運轉(zhuǎn)。（2）關(guān)鍵應(yīng)用系統(tǒng)的服務(wù)器主機和前置機服務(wù)器、主要的網(wǎng)絡(luò)設(shè)備必須放置于計算機機房內(nèi)部的適當位置，通過物理訪問控制機制，保證這些設(shè)備自身的安全性。（6）建立計算機機房管理制度，對設(shè)備安全管理、介質(zhì)安全管理、人員出入訪問控制管理等做出詳細的規(guī)定。（3）應(yīng)當對關(guān)鍵的通信線路、網(wǎng)絡(luò)設(shè)備提供冗余設(shè)計，防止關(guān)鍵線路和設(shè)備的單點故障造成通信服務(wù)中斷。（7）應(yīng)當指定專門的部門和人員，負責網(wǎng)絡(luò)安全系統(tǒng)的規(guī)劃、建設(shè)、管理維護。（2）應(yīng)當建立主機弱點分析機制，發(fā)現(xiàn)和彌補系統(tǒng)軟件中存在的不當配置和安全漏洞，及時進行自我完善。（6）應(yīng)當指定專門的部門和人員，負責主機系統(tǒng)的管理維護。 應(yīng)用安全策略（1）應(yīng)用系統(tǒng)必須在登錄時要求輸入用戶名和口令。（5）應(yīng)用系統(tǒng)必須開啟登錄連接超時自動退出等措施。 數(shù)據(jù)安全策略（1）在業(yè)務(wù)系統(tǒng)主要應(yīng)用服務(wù)器中采用硬件冗余技術(shù)，避免硬件的單點故障導致服務(wù)中斷。（5）數(shù)據(jù)本機備份時應(yīng)檢測其完整性。（9）建立日常數(shù)據(jù)備份管理制度，對備份周期和介質(zhì)保管進行統(tǒng)一規(guī)定。（3）所有內(nèi)部網(wǎng)絡(luò)上的計算機系統(tǒng)都應(yīng)當定期進行完整的系統(tǒng)掃描。（8）應(yīng)當建立網(wǎng)絡(luò)病毒防治系統(tǒng)的管理規(guī)范，有效發(fā)揮病毒防治系統(tǒng)的安全效能。本文件自頒布之日起發(fā)布執(zhí)行。（10）應(yīng)當定期對與病毒查殺有關(guān)安全管理制度的有效性和實施狀況進行檢查，發(fā)現(xiàn)問題，進行改進。（5）第三方數(shù)據(jù)和程序在安裝到內(nèi)部網(wǎng)絡(luò)的系統(tǒng)之前，必須在隔離受控的模擬系統(tǒng)上進行病毒掃描測試。 病毒管理策略（1）應(yīng)當建立全面網(wǎng)絡(luò)病毒查殺機制，實現(xiàn)教育局全網(wǎng)范圍內(nèi)的病毒防治，抑止病毒的傳播。（7）建立災(zāi)難恢復(fù)計劃，提供災(zāi)難恢復(fù)手段，在災(zāi)難事件發(fā)生之后，快速對被破壞的信息系統(tǒng)進行恢復(fù)。（3）業(yè)務(wù)應(yīng)用數(shù)據(jù)和設(shè)備配置文檔都必須進行備份，以便發(fā)生問題時進行恢復(fù)。（7）應(yīng)用系統(tǒng)必須開啟日志審計功能。（3）應(yīng)用系統(tǒng)中設(shè)置的用戶都必須是唯一用戶，不能名稱相同，且不能出現(xiàn)多人使用同一賬戶的情況。（8）應(yīng)當建立桌面系統(tǒng)使用管理規(guī)范，約束和指導用戶使用桌面系統(tǒng)，并對其進行正確有效的配置和管理。（4）應(yīng)當建立主機系統(tǒng)軟件備份和恢復(fù)機制，在災(zāi)難事件發(fā)生之后，能夠快速實現(xiàn)系統(tǒng)恢復(fù)。（9）管理機構(gòu)應(yīng)當定期對網(wǎng)絡(luò)安全措施和安全管理制度的有效性和實施狀況進行檢查，發(fā)現(xiàn)問題，進行改進。（5）應(yīng)當建立網(wǎng)絡(luò)弱點分析機制，發(fā)現(xiàn)和彌補網(wǎng)絡(luò)中存在的安全漏洞，及時進行自我完善。 網(wǎng)絡(luò)安全策略（1）必須對網(wǎng)絡(luò)和信息系統(tǒng)進行安全域劃分，建立隔離保護機制，并且在各安全域之間建立訪問控制機制，杜絕發(fā)生未授權(quán)的非法訪問現(xiàn)象，特別的，必須對生產(chǎn)網(wǎng)和辦公網(wǎng)進行劃分和隔離。（4）進入機房的工作人員必須由安全管理員或機房管理員全程陪同。總體策略的設(shè)計堅持管理與技術(shù)并重的原則，以確保網(wǎng)絡(luò)和信息系統(tǒng)的安全性為主，采用多重保護、最小授權(quán)、和嚴格管理等措施，從宏觀整體的角度進行闡述，是信息安全建設(shè)總的指導原則。災(zāi)難是指對網(wǎng)絡(luò)和信息系統(tǒng)造成任何破壞作用的意外事件，要制定詳細的災(zāi)難恢復(fù)計劃，考慮到數(shù)據(jù)大集中的安全需求，采用異地容災(zāi)備份等技術(shù)，確保數(shù)據(jù)的安全性和業(yè)務(wù)的持續(xù)性，在災(zāi)難發(fā)生后，盡快完成恢復(fù)。制定統(tǒng)一的身份認證、授權(quán)與訪問控制、應(yīng)用層通信加密等應(yīng)用層安全系統(tǒng)的建設(shè)標準和管理規(guī)范，改善業(yè)務(wù)應(yīng)用系統(tǒng)的整體安全性。制定統(tǒng)一的網(wǎng)絡(luò)安全系統(tǒng)建設(shè)標準和管理規(guī)范，包括防火墻、網(wǎng)絡(luò)入侵檢測、網(wǎng)絡(luò)脆弱性分析、網(wǎng)絡(luò)層加密等。制定統(tǒng)一的人員安全管理和教育培訓規(guī)范，定期對信息系統(tǒng)的用戶進行安全教育和培訓，對普通用戶進行基本的安全教育，
語文相關(guān)推薦
鄂ICP備17016276號-1