【正文】 ；第十四章 工作人員安全守則 工作人員安全守則l 保護(hù)信息資產(chǎn)的安全是每位工作人員的責(zé)任。建設(shè)全市出租汽車電子準(zhǔn)營證系統(tǒng)。系統(tǒng)服務(wù)安全等級的確定依據(jù)AAAAA公司的BBBBB系統(tǒng)受到破壞時(shí)所侵害的客體以及侵害程度，確定系統(tǒng)服務(wù)安全等級為二級。 系統(tǒng)應(yīng)能夠提供訪問控制機(jī)制，實(shí)現(xiàn)依據(jù)安全策略控制用戶對客體（如文件和數(shù)據(jù)庫中的數(shù)據(jù)）的訪問；216。l 軟件容錯(cuò)層面需求，包括但不限于以下方面：216。 應(yīng)對一個(gè)時(shí)間段內(nèi)可能的并發(fā)會話連接數(shù)進(jìn)行限制；216。 靜電、設(shè)備寄生耦合干擾和外界電磁干擾，需要采取防靜電和電磁防護(hù)措施來解決靜電、設(shè)備寄生耦合干擾和外界電磁干擾帶來的安全威脅；216。216。 攻擊者利用網(wǎng)絡(luò)協(xié)議存在的漏洞進(jìn)行可躲避檢測的攻擊（如碎片重組，協(xié)議端口重定位等），需通過網(wǎng)絡(luò)入侵檢測、防病毒系統(tǒng)、控制臺審計(jì)、訪問控制等技術(shù)手段解決；216。需通過惡意代碼防范技術(shù)手段解決；216。 系統(tǒng)軟件、應(yīng)用軟件過度使用內(nèi)存、CPU等系統(tǒng)資源，需要對系統(tǒng)軟件和應(yīng)用軟件進(jìn)行入侵行為的防范，并進(jìn)行實(shí)時(shí)的監(jiān)控管理，同時(shí)，對系統(tǒng)使用的資源進(jìn)行管理控制來解決過度使用帶來的安全問題；216。需通過安全審計(jì)、數(shù)據(jù)備份和恢復(fù)等技術(shù)手段解決；216。 攻擊者利用通用安全協(xié)議/算法/軟件等缺陷，獲取信息、解密密鑰或破壞通信完整性，需要通過控制臺審計(jì)、惡意代碼防范、國密辦認(rèn)證的算法及協(xié)議產(chǎn)品；216。l 網(wǎng)絡(luò)威脅及需求，包括但不限于以下方面：216。 線路老化等原因?qū)е峦ㄐ啪€路損壞或傳輸質(zhì)量下降，需要通過采取對網(wǎng)絡(luò)進(jìn)行安全管理，對網(wǎng)絡(luò)通信線路的傳輸能力進(jìn)行必要的監(jiān)控，以及建立數(shù)據(jù)備份和恢復(fù)系統(tǒng)、實(shí)行備份與恢復(fù)管理來解決因線路老化等原因?qū)е峦ㄐ啪€路損壞或傳輸質(zhì)量下降帶來的安全問題；216。 硬件系統(tǒng)基本安全需求l 物理威脅及需求，包括但不限于以下方面：216。 對通過人機(jī)接口方式進(jìn)行的操作提供“回退”功能，即允許按照操作的序列進(jìn)行回退；216。 應(yīng)實(shí)現(xiàn)應(yīng)用系統(tǒng)特權(quán)用戶的權(quán)限分離（如將系統(tǒng)管理員、安全員和審計(jì)員的權(quán)限分離），權(quán)限之間確保相互制約（如系統(tǒng)管理員、安全管理員等不能對審計(jì)日志進(jìn)行管理，安全審計(jì)員不能管理審計(jì)功能的開啟、關(guān)閉、刪除等重要事件的審計(jì)日志等）。 安全設(shè)計(jì)需求分析及評估 應(yīng)用系統(tǒng)基本安全需求l 身份鑒別層面需求，包括但不限于以下方面：216。業(yè)務(wù)信息受到破壞時(shí)所侵害客體的確定AAAAA公司的BBBBB系統(tǒng)受到破壞后，所侵害的客體是社會秩序和公民的合法權(quán)益。對于不能確定是否為涉密信息或重要信息的，在對外披露時(shí)，必須征得安全責(zé)任人的同意；l 工作人員必須遵守“AAAAA公司”制定并下發(fā)的安全保密管理體系；l 工作人員必須了解安全事件處理流程，并能遵守和使用；l XXXXX有權(quán)對工作人員的計(jì)算機(jī)設(shè)備定期審查；l 工作人員登錄或使用AAAAA公司核心網(wǎng)絡(luò)和系統(tǒng)的所有操作，都將被記錄形成日志備查；l 對于自己的計(jì)算機(jī)必須設(shè)置開機(jī)口令（所有計(jì)算機(jī)在使用之前必須修改由廠商所設(shè)置的原始口令）；若懷疑口令泄露或經(jīng)過廠商維修后必須修改口令；l 當(dāng)離開計(jì)算機(jī)時(shí)，必須激活帶口令的屏幕保護(hù)程序，或?qū)⑾到y(tǒng)鎖定，或返回登錄狀態(tài)，或關(guān)機(jī)；l 設(shè)置的任何口令，必須是字母、數(shù)字和符號組合，且不少于8位。職責(zé)一般包括：l 歸還資產(chǎn)方面各相關(guān)單位（部門）的職責(zé)；l 撤銷訪問權(quán)方面各相關(guān)單位（部門）的職責(zé)；l 崗位人員變動(dòng)方面各相關(guān)單位（部門）的職責(zé)；l 離開崗位后還應(yīng)承擔(dān)的責(zé)任，如保密限制等。 信息安全違規(guī)紀(jì)律處理l 對于信息安全事故和在信息安全檢查中發(fā)現(xiàn)的違規(guī)行為，由根據(jù)有關(guān)考核規(guī)定對該人員進(jìn)行處罰；l 對于情節(jié)特別嚴(yán)重的違規(guī)行為，需向全體人員進(jìn)行通報(bào)和宣傳，避免同類問題再次發(fā)生。如交流與合作內(nèi)容比較正式，且有正式的會議形式，則需要由XXXXX做好會議記錄工作，會議記錄的模板可用信息安全例會的模板代替，但會議主題需注明為“合作溝通”。在發(fā)生小范圍內(nèi)信息安全事件時(shí)如需要，信息安全工作小組可隨時(shí)召集發(fā)起信息安全工作會議，通知相關(guān)人員參加，就信息安全管理各項(xiàng)制度和執(zhí)行情況做出及時(shí)調(diào)整和部署。g) 工作人員調(diào)離辦公室應(yīng)立即交還該辦公室鑰匙h) 不在辦公區(qū)接待來訪人員等2） 個(gè)人辦公區(qū)域標(biāo)準(zhǔn)a) 辦公桌椅排放整齊，椅子不得放在走道內(nèi)阻礙通行；b) 桌面上允許擺放的物品包括：電腦、茶杯、常用辦公用品、小飾物（1－2件）及1個(gè)月內(nèi)常用資料和工作文件。需授權(quán)的審批事項(xiàng)如下：事項(xiàng)類型事項(xiàng)名稱負(fù)責(zé)人硬件運(yùn)維硬件維修進(jìn)出機(jī)房服務(wù)器配置變更系統(tǒng)配置變更安全變更特權(quán)用戶授權(quán)（主機(jī)、網(wǎng)絡(luò)）特權(quán)用戶授權(quán)（數(shù)據(jù)庫）系統(tǒng)軟件應(yīng)用變更數(shù)據(jù)庫變更第六章 審核與檢查管理制度 審核與檢查管理制度 定期安全檢查l 由安全領(lǐng)導(dǎo)小組組織專門人員每三個(gè)月進(jìn)行安全檢查；l 對包括網(wǎng)絡(luò)、安全設(shè)備、系統(tǒng)、文檔等各方面的安全檢查；l 檢查完畢后提交檢查報(bào)告，并由AAAAA公司安全管理員進(jìn)行檢查報(bào)告復(fù)核，確定安全檢查結(jié)果，并對于不符合要求的地方提出整改措施并規(guī)定整改期限，以電子郵件或書面形式通知被檢查人員；（詳見附17）l 檢查時(shí)針對上一次的檢查結(jié)果進(jìn)行復(fù)查，若發(fā)現(xiàn)仍未整改的，需上報(bào)信息安全領(lǐng)導(dǎo)小組并進(jìn)行書面通告。13. 加強(qiáng)對信息系統(tǒng)外包業(yè)務(wù)與外包方的管理在與信息系統(tǒng)外包方簽署的服務(wù)協(xié)議中，對信息系統(tǒng)安全加以要求。9. 嚴(yán)格遵守保密協(xié)議。 信息安全管理人員AAAAA公司設(shè)置有系統(tǒng)管理員、安全管理員和安全審計(jì)員、應(yīng)用管理員、主機(jī)管理員、機(jī)房管理員，配備多名管理人員和技術(shù)人員承擔(dān)信息系統(tǒng)日常運(yùn)行維護(hù)和管理任務(wù)。l 對安全檢查中查出的問題和隱患應(yīng)逐一向AAAAA公司交底，并提出整改意見和建議；對查出的重大事故隱患應(yīng)及時(shí)通報(bào)AAAAA公司結(jié)束后，應(yīng)如實(shí)記錄檢查情況，并在檢查記錄上簽字。l 加強(qiáng)對信息系統(tǒng)外包業(yè)務(wù)與外包方的管理，在與信息系統(tǒng)外包方簽署的服務(wù)協(xié)議中，對信息系統(tǒng)安全加以要求。l 在應(yīng)用系統(tǒng)變更、重要操作、訪問等的進(jìn)行逐級審批，負(fù)責(zé)日常審批，重大變更需報(bào)到AAAAA公司領(lǐng)導(dǎo)小組進(jìn)行核準(zhǔn)和審批后，方可進(jìn)行變更；l 負(fù)責(zé)組織實(shí)施應(yīng)用系統(tǒng)各類事故（故障）的應(yīng)急處理。主機(jī)管理員任職要求如下：一年以上相關(guān)工作經(jīng)驗(yàn)。嚴(yán)格對機(jī)房人員和設(shè)備的出入管理，進(jìn)出需登記，外來人員需由相關(guān)管理人員陪同方能訪問機(jī)房。l 負(fù)責(zé)AAAAA公司信息系統(tǒng)安全事件管理工作。l 負(fù)責(zé)對機(jī)房值班人員及技術(shù)維護(hù)人員（外包方）進(jìn)行日常工作管理和檢查；l 負(fù)責(zé)AAAAA公司的AAAAA公司的BBBBB系統(tǒng)的使用控制及處置管理。 風(fēng)險(xiǎn)評估在體系建立過程中，AAAAA公司確定信息安全風(fēng)險(xiǎn)評估方法，對AAAAA公司的BBBBB系統(tǒng) 實(shí)施風(fēng)險(xiǎn)評估(詳見附8)，識別AAAAA公司的BBBBB系統(tǒng) 所面臨的風(fēng)險(xiǎn)，并根據(jù)風(fēng)險(xiǎn)進(jìn)行相應(yīng)的處理。如需要，可邀請專家對體系文件進(jìn)行專家評審（詳見附附附7）。評審流程如下： (1) 信息安全工作小組發(fā)起對體系文件的評審申請，信息安全領(lǐng)導(dǎo)小組確認(rèn)后批準(zhǔn)評審要求。本管理制度適用于AAAAA公司的BBBBB系統(tǒng)建設(shè)和運(yùn)維過程。 信息安全系統(tǒng)運(yùn)維管理l 保障機(jī)房物理與環(huán)境安全實(shí)施多種手段對機(jī)房安全進(jìn)行監(jiān)控，包括門禁、視頻監(jiān)控、紅外線報(bào)警等安全防范措施，確保機(jī)房物理安全。l 定期審查信息安全管理體系監(jiān)督各項(xiàng)安全控制措施的落實(shí)情況，并針對有偏差的地方進(jìn)行糾正，以保證信息安全管理體系持續(xù)有效。AAAAA公司安全管理制度（）文檔編制單位：AAAAA文檔編制時(shí)間：文檔總頁數(shù)：頁文檔編制： 文檔審核人： 審核時(shí)間：注：替換：AAAAA為公司名稱，DDDDD為公司簡稱，BBBBB為系統(tǒng)名稱，XXXXX為信息安全管理的部門（如“XXXXX”）。l 加強(qiáng)信息安全的授權(quán)和審批對于系統(tǒng)變更（包含軟件和硬件）實(shí)施審批，并記錄在案。 信息建設(shè)安全管理制度l 文檔發(fā)布制度化制定文檔發(fā)布規(guī)范制度，統(tǒng)一文檔版本、格式等，并定期按照制度對文檔進(jìn)行更新，以保證所有文檔的時(shí)效性。 適用范圍本手冊按照ISO/IEC 27001：2005 《信息安全管理體系要求》，結(jié)合AAAAA公司的BBBBB系統(tǒng)的實(shí)際編制而成，符合ISO/IEC 27001：2005 標(biāo)準(zhǔn)的全部要求。對體系文件的評審應(yīng)至少每年進(jìn)行一次。會簽后，由文檔評審責(zé)任人進(jìn)行文檔修改。 信息安全管理體系建立 管理體系范圍根據(jù)AAAAA公司系統(tǒng)業(yè)務(wù)特點(diǎn)、組織機(jī)構(gòu)、物理位置確定AAAAA公司的BBBBB系統(tǒng) 信息安全管理體系的范圍為：l 所有部門和正式工作人員，包括AAAAA公司所有成員；l AAAAA公司XXXXX主要負(fù)責(zé)AAAAA公司的BBBBB系統(tǒng) 建設(shè)和運(yùn)行工作及系統(tǒng)維護(hù)和管理；l 與系統(tǒng)業(yè)務(wù)活動(dòng)相關(guān)的應(yīng)用系統(tǒng)及其包含的全部信息資產(chǎn)，其中應(yīng)用系統(tǒng)包括：AAAAA公司的BBBBB系統(tǒng)；信息資產(chǎn)包括：與上述業(yè)務(wù)應(yīng)用系統(tǒng)相關(guān)的數(shù)據(jù)、硬件、軟件、服務(wù)及文檔等；l AAAAA公司的BBBBB系統(tǒng) 涉及的辦公場所和上述業(yè)務(wù)應(yīng)用系統(tǒng)所處機(jī)房，其中機(jī)房為AAAAA公司的BBBBB系統(tǒng)所在機(jī)房。AAAAA公司信息安全體系組織機(jī)構(gòu)圖如下： 信息安全職能部門職責(zé)信息安全職能部門為XXXXX，主要職責(zé)如下：l 保障機(jī)房信息系統(tǒng)的安全運(yùn)行；負(fù)責(zé)機(jī)房的環(huán)境維護(hù)和物理訪問管理；負(fù)責(zé)機(jī)房的設(shè)備維護(hù)及設(shè)備管理；負(fù)責(zé)機(jī)房內(nèi)任何事故的上報(bào)及處理；負(fù)責(zé)制定及修訂有關(guān)機(jī)房安全管理制度。l 負(fù)責(zé)AAAAA公司信息系統(tǒng)數(shù)據(jù)備份與恢復(fù)管理工作。部署機(jī)房專用空調(diào)、UPS等環(huán)境保障設(shè)施，對機(jī)房設(shè)施運(yùn)轉(zhuǎn)情況進(jìn)行每日兩次巡檢、維護(hù)、故障處理和變更管理。l 負(fù)責(zé)統(tǒng)一部署防病毒軟件，并每周更新病毒庫；l 負(fù)責(zé)全系統(tǒng)的計(jì)算機(jī)惡意代碼防治和主機(jī)安全的管理工作，制定檢查計(jì)劃（包含在主機(jī)巡檢工作中），督促檢查工作；l 負(fù)責(zé)重要信息系統(tǒng)的訪問控制管理，對系統(tǒng)特殊權(quán)限和系統(tǒng)實(shí)用工具的使用進(jìn)行嚴(yán)格的審批和監(jiān)管；l 負(fù)責(zé)組織實(shí)施主機(jī)各類事故（故障）的應(yīng)急處理。l 負(fù)責(zé)建立重要應(yīng)用的文檔化操作和維護(hù)規(guī)程（詳見附10），使得各個(gè)相關(guān)人員能夠采用規(guī)范化的形式對系統(tǒng)進(jìn)行操作，降低和避免因誤操作所引發(fā)信息安全事件的可能性；l 負(fù)責(zé)信息安全日常管理，包括應(yīng)用系統(tǒng)口令管理、授權(quán)審批管理等，促使每位人員的日常工作符合AAAAA公司的BBBBB系統(tǒng)系統(tǒng)信息安全策略和制度要求。對介質(zhì)物理傳輸?shù)慕唤舆M(jìn)行記錄。確保經(jīng)檢查、整改和復(fù)查，安全制度、應(yīng)急救援、消防設(shè)施、安全設(shè)施等重要設(shè)施，屏蔽機(jī)房等重要場所部位符合相關(guān)規(guī)范要求。l 安全審計(jì)員安全管理員只擁有審計(jì)權(quán)，包括查看審計(jì)日志，審核審查系統(tǒng)和網(wǎng)絡(luò)配置更改，審查各種數(shù)據(jù)庫記錄等。5. 負(fù)責(zé)統(tǒng)一部署防病毒軟件，并定期更新病毒庫；6. 負(fù)責(zé)全系統(tǒng)的計(jì)算機(jī)惡意代碼防治和主機(jī)安全的管理工作，制定檢查計(jì)劃（包含在主機(jī)巡檢工作中），督促檢查工作；7. 負(fù)責(zé)重要信息系統(tǒng)的訪問控制管理，對系統(tǒng)特殊權(quán)限和系統(tǒng)實(shí)用工具的使用進(jìn)行嚴(yán)格的審批和監(jiān)管；8. 負(fù)責(zé)組織實(shí)施主機(jī)各類事故（故障）的應(yīng)急處理。對介質(zhì)物理傳輸?shù)慕唤舆M(jìn)行記錄。授權(quán)審批流程如下：l 由相關(guān)信息安全組長判斷職責(zé)、并授權(quán)給相應(yīng)的管理人員；l 由外包服務(wù)公司申請，相應(yīng)的管理員進(jìn)行授權(quán)、審批（見附15）；l 填寫授權(quán)審批表（見附16）；l 組織AAAAA公司人員每季度審查審批事項(xiàng)，及時(shí)更新需授權(quán)和審批的項(xiàng)目、審批部門和審批人等信息，保存審批文檔。e) 愛護(hù)公共設(shè)備設(shè)施；f) 遵循ISO環(huán)境管理體系要求。f) 未經(jīng)允許，不得隨意挪用他人或公用辦公設(shè)備；g) 設(shè)備使用人須配合辦公設(shè)備管理員的工作；第八章 溝通與合作管理制度 溝通與合作管理制度 信息安全例會管理(一) 中層信息安全例會由信息安全工作小組負(fù)責(zé)發(fā)起，至少每月需要組織一次常規(guī)的信息安全例會，例會參會人員至少要包括信息安全工作小組主要成員和執(zhí)行層各角色的管理人員。 外部協(xié)作管理(一)由信息安全工作小組負(fù)責(zé)建立并保持與兄弟單位的合作與溝通，就兄弟單位的成熟經(jīng)驗(yàn)、政策法規(guī)、當(dāng)前的信息熱點(diǎn)事件展開交流與合作。第十章 人員在崗管理制度 人員在崗信息安全管理 崗位信息安全檢查l AAAAA公司全體成員應(yīng)提高安全意識，定期對本部門崗位進(jìn)行信息安全檢查，確保信息安全規(guī)定得到了有效地執(zhí)行；l AAAAA公司的BBBBB系統(tǒng) 安全小組不定期抽查各部門的崗位信息安全職責(zé)的落實(shí)情況，確保各部門的崗位信息安全職責(zé)的落實(shí)。明確人員離職和轉(zhuǎn)崗時(shí)的手續(xù)，明確離職和轉(zhuǎn)崗管理職責(zé)。每個(gè)工作人員必須認(rèn)識到信息資產(chǎn)的價(jià)值，負(fù)責(zé)保管好自己所轄的涉及AAAAA公司的數(shù)據(jù)和信息；l 每個(gè)工作人員必須遵守AAAAA公司信息保密策略規(guī)定，了解信息的重要度級別。為全市12萬出租汽車駕駛員新配IC卡電子準(zhǔn)營證。（三）安全保護(hù)等級的確定依據(jù)業(yè)務(wù)信息安全等級和系統(tǒng)服務(wù)安全等級均為二級，最終確定AAAAA公司的BBBBB系統(tǒng)安全保護(hù)等級為二級。 由授權(quán)主體設(shè)置對系統(tǒng)功能操作和對數(shù)據(jù)訪問的權(quán)限；216。 對通過人機(jī)接口輸入或通過通信接口輸入的數(shù)據(jù)進(jìn)行有效性檢驗(yàn)；216。 應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時(shí)鎖定和鑒別失敗鎖定，并規(guī)定解鎖或終止方式。 強(qiáng)電磁場、強(qiáng)震動(dòng)源、強(qiáng)噪聲源等污染，需要通過對物理位置的選擇、采取適當(dāng)?shù)碾姶欧雷o(hù)措施，同時(shí)，建立數(shù)據(jù)備份和恢復(fù)系統(tǒng)、實(shí)行備份與恢復(fù)管理來解決強(qiáng)電磁場、強(qiáng)震動(dòng)源、強(qiáng)噪聲源等污染帶來的安全隱患；216。 攻擊者非法物理訪問系統(tǒng)設(shè)備、網(wǎng)絡(luò)設(shè)備或存儲介質(zhì)等，需要通過數(shù)據(jù)保密、通信保密性、防盜竊和防破壞、物理訪問控制、產(chǎn)品采購、密碼管理等技術(shù)手段完成。 攻擊者利用網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)缺陷旁路安全策略，未授權(quán)訪問網(wǎng)絡(luò)，需通過網(wǎng)絡(luò)入侵檢測、訪問控制、身份鑒別、網(wǎng)絡(luò)結(jié)構(gòu)優(yōu)化和調(diào)整等技術(shù)手段解決；216。 授權(quán)用戶對系統(tǒng)錯(cuò)誤配置或更改。 應(yīng)用軟件、系統(tǒng)軟件缺陷導(dǎo)致