等級保護信息安全管理制度匯編-免費閱讀
【正文】 4. 歲月是無情的，假如你丟給它的是一片空白，它還給你的也是一片空白。e) 應規(guī)定應急預案需要定期審查和根據實際情況更新的內容,并按照執(zhí)行。c) 應根據國家相關管理部門對計算機安全事件等級劃分方法和安全事件對本系統產生的影響,對本系統計算機安全事件進行等級劃分。d) 應建立中止變更并從失敗變更中恢復的文件化程序,明確過程控制方法和人員職責,必要時對恢復過程進行演練。 惡意代碼防范管理(G3)本項要求包括:a) 應提高所有用戶的防病毒意識,及時告知防病毒軟件版本,在讀取移動存儲設備上的數據以及網絡上接收文件或郵件之前,先進行病毒檢查,對外來計算機或存儲設備接入網絡系統之前也應進行病毒檢查。h) 應定期檢查違反規(guī)定撥號上網或其他違反網絡安全策略的行為。c) 應建立安全管理中心,對設備狀態(tài)、惡意代碼、補丁升級、安全審計等安全相關事項進行集中管理。f) 應對重要介質中的數據和軟件采取加密存儲,并根據所承載數據和軟件的重要程度對介質進行分類和標識管理。b) 應建立資產安全管理制度,規(guī)定信息系統資產管理的責任人員或責任部門,并規(guī)范資產管理和使用的行為。 安全服務商選擇(G3)本項要求包括:a) 應確保安全服務商的選擇符合國家的有關規(guī)定。e) 應指定或授權專門的部門負責系統交付的管理工作,并按照管理規(guī)定的要求完成系統交付工作。b) 在測試驗收前應根據設計方案或合同要求等制訂測試驗收方案,在測試驗收過程中應詳細記錄測試驗收結果,并形成測試驗收報告。 外包軟件開發(fā)(G3)本項要求包括:a) 應根據開發(fā)需求檢測軟件質量。b) 應確保密碼產品采購和使用符合國家密碼主管部門的要求。c) 應組織相關部門和有關安全技術專家對信息系統定級結果的合理性和正確性進行論證和審定。 安全意識教育和培訓(G3)本項要求包括:a) 應對各類人員進行安全意識教育、崗位技能培訓和相關安全技術培訓。c) 應簽署保密協議。d) 應建立外聯單位聯系列表,包括外聯單位名稱、合作內容、聯系人和聯系方式等信息。c) 關鍵事務崗位應配備多人共同管理。 評審和修訂(G3)本項要求包括:a) 信息安全領導小組應負責定期組織相關部門和相關人員對安全管理制度體系的合理性和適用性進行審定。b) 應對安全管理活動中的各類管理內容建立安全管理制度。b) 應能夠檢測到系統管理數據、鑒別信息和重要業(yè)務數據在存儲過程中完整性受到破壞,并在檢測到完整性錯誤時采取必要的恢復措施。 資源控制(A3)本項要求包括:a) 當應用系統的通信雙方中的一方在一段時間內未作任何響應,另一方應能夠自動結束會話。b) 應保證系統內的文件、目錄和數據庫記錄等資源所在的存儲空間被釋放或重新分配給其他用戶前得到完全清除。d) 應授予不同帳戶為完成各自承擔任務所需的最小權限,并在它們之間形成相互制約的關系。 應用安全 身份鑒別(S3)本項要求包括:a) 應提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別。 惡意代碼防范(G3)本項要求包括:a) 應安裝防惡意代碼軟件,并及時更新防惡意代碼軟件版本和惡意代碼庫。d) 應能夠根據記錄數據進行分析,并生成審計報表。c) 應實現操作系統和數據庫系統特權用戶的權限分離。 主機安全 身份鑒別(S3)本項要求包括:a) 應對登錄操作系統和數據庫系統的用戶進行身份標識和鑒別。 網絡設備防護(G3)本項要求包括:a) 應對登錄網絡設備的用戶進行身份鑒別。c) 應能夠根據記錄數據進行分析,并生成審計報表。c) 應對進出網絡的信息內容進行過濾,實現對應用層HTTP、FTP、TELNET、SMTP、POP3等協議命令級的控制。b) 應保證網絡各個部分的帶寬滿足業(yè)務高峰期需要。 電力供應(A3)本項要求包括:a) 應在機房供電線路上配置穩(wěn)壓器和過電壓防護設備。c) 機房應采取區(qū)域隔離防火措施,將重要設備與其他設備隔離開。d) 應對介質分類標識,存儲在介質庫或檔案室中。b) 機房場地應避免設在建筑物的高層或地下室,以及用水設備的下層或隔壁。 防盜竊和防破壞(G3)本項要求包括:a) 應將主要設備放置在機房內。c) 機房應設置交流電源地線。 防靜電(G3)本項要求包括:a) 主要設備應采用必要的接地防靜電措施。b) 電源線和通信線纜應隔離鋪設,避免互相干擾。g) 應按照對業(yè)務服務的重要次序來指定帶寬分配優(yōu)先級別,保證在網絡發(fā)生擁堵的時候優(yōu)先保護重要主機。h) 應限制具有撥號訪問權限的用戶數量。b) 當檢測到攻擊行為時,記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間,在發(fā)生嚴重入侵事件時應提供報警。f) 應具有登錄失敗處理功能,可采取結束會話、限制非法登錄次數和當網絡登錄連接超時自動退出等措施。f) 應采用兩種或兩種以上組合的鑒別技術對管理用戶進行身份鑒別。 安全審計(G3)本項要求包括:a) 審計范圍應覆蓋到服務器和重要客戶端上的每個操作系統用戶和數據庫用戶。 入侵防范(G3)本項要求包括:a) 應能夠檢測到對重要服務器進行入侵的行為,能夠記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時間,并在發(fā)生嚴重入侵事件時提供報警。c) 應對重要服務器進行監(jiān)視,包括監(jiān)視服務器的CPU、硬盤、內存、網絡等資源的使用情況。 訪問控制(S3)本項要求包括:a) 應提供訪問控制功能,依據安全策略控制用戶對文件、數據庫表等客體的訪問。c) 審計記錄的內容至少應包括事件的日期、時間、發(fā)起者信息、類型、描述和結果等。b) 應具有在請求的情況下為數據原發(fā)者或接收者提供數據接收證據的功能。f) 應能夠對系統服務水平降低到預先規(guī)定的最小值進行檢測和報警。c) 應采用冗余技術設計網絡拓撲結構,避免關鍵節(jié)點存在單點故障。c) 應組織相關人員對制定的安全管理制度進行論證和審定。d) 應制定文件明確安全管理機構各個部門和崗位的職責、分工和技能要求。 溝通和合作(G3)a) 應加強各類管理人員之間、組織內部機構之間以及信息安全職能部門內部的合作與溝通,定期或不定期召開協調會議,共同協作處理信息安全問題。d) 應制定安全審核和安全檢查制度規(guī)范安全審核和安全檢查工作,定期按照程序進行安全審核和安全檢查活動。 人員考核(G3)本項要求包括:a) 應定期對各個崗位的人員進行安全技能及安全認知的考核。b) 對外部人員允許訪問的區(qū)域、系統、設備、信息等內容
公司管理相關推薦
鄂ICP備17016276號-1