企業(yè)信息安全管理制度(試行)(編輯修改稿)
2025-05-16 02:02 本頁面
【文章內(nèi)容簡介】 絡管理崗位主管進行分配，由系統(tǒng)管理員或網(wǎng)絡管理員負責用戶口令的日常管理。（二） 授權用戶。擁有由超級用戶根據(jù)應用系統(tǒng)開發(fā)或運行維護的特殊需要，經(jīng)過崗位主管的審批，將一些系統(tǒng)命令運行權限所授予的普通用戶，由授權用戶負責用戶口令的日常管理。（三） 普通用戶。應用系統(tǒng)開發(fā)或運行維護人員為應用系統(tǒng)一般監(jiān)控、維護的需要，由超級用戶分配的一般用戶，這類用戶僅擁有缺省用戶訪問權限的用戶，由用戶負責口令的日常管理。（四） 匿名用戶。匿名用戶用于向公司網(wǎng)絡內(nèi)所有用戶提供相應服務，這類用戶一般僅擁有瀏覽權限，無用戶名及口令，一般情況下只允許提供如：標準、期刊等無安全要求的系統(tǒng)服務時使用匿名用戶。三、 對用戶以及權限的設定進行嚴格管理，用戶權限的分配遵循 “最小特權”原則。四、 口令是用戶用以保護所訪問計算機資源權利，不被他人冒用的基本控制手段?？诹畈呗缘膽门c其被保護對象有關，口令強度與口令所保護的資源、數(shù)據(jù)的價值或敏感度成正比。（一） 所有在公司局域網(wǎng)網(wǎng)上運行的設備、計算機系統(tǒng)及存有公司涉密數(shù)據(jù)的計算機設備都必須設置口令保護。（二） 所有有權掌握口令的人員必須保證口令在產(chǎn)生、分配、存儲、銷毀過程中的安全性和機密性。（三） 口令應至少要含有8個字符；應同時含有字母和非字母字符口令。（四） 口令設置不能和用戶名或登錄名相同，不能使用生日、人名、英文單詞等易被猜測、易被破解的口令，如有可能，采用機器隨機生成口令。（五） 口令使用期限由各個系統(tǒng)安全要求而定。（六） 口令的使用期限和過期失效應盡可能由系統(tǒng)強制執(zhí)行。（七） 設備在啟用時，默認口令必須更改。第二十一條 系統(tǒng)運行安全檢查是安全管理的常用工作方法，也是預防事故、發(fā)現(xiàn)隱患、指導整改的必要工作手段。信息系統(tǒng)安全管理人員應做好系統(tǒng)運行安全檢查與記錄（格式見附錄35）。檢查范圍：一、 應用系統(tǒng)的訪問控制檢查。包括物理和邏輯訪問控制，是否按照規(guī)定的策略和程序進行訪問權限的增加、變更和取消，用戶權限的分配是否遵循“最小特權”原則。二、 應用系統(tǒng)的日志檢查。包括數(shù)據(jù)庫日志、系統(tǒng)訪問日志、系統(tǒng)處理日志、錯誤日志及異常日志。三、 應用系統(tǒng)可用性檢查：包括系統(tǒng)中斷時間、系統(tǒng)正常服務時間和系統(tǒng)恢復時間等。四、 應用系統(tǒng)能力檢查。包括系統(tǒng)資源消耗情況、系統(tǒng)交易速度和系統(tǒng)吞吐量等。五、 應用系統(tǒng)的安全操作檢查。用戶對應用系統(tǒng)的使用是否按照信息安全的相關策略和程序進行訪問和使用。六、 應用系統(tǒng)維護檢查。維護性問題是否在規(guī)定的時間內(nèi)解決，是否正確地解決問題，解決問題的過程是否有效等。七、 應用系統(tǒng)的配置檢查。檢查應用系統(tǒng)的配置是否合理和適當，各配置組件是否發(fā)揮其應有的功能。八、 惡意代碼的檢查。是否存在惡意代碼，如病毒、木馬、隱蔽通道導致應用系統(tǒng)數(shù)據(jù)的丟失、損壞、非法修改、信息泄露等。九、 檢查出現(xiàn)異常時應進行記錄，非受控變化應及時報告，以確定是否屬于信息安全事件，屬于信息安全事件的應及時處理。第二十二條 信息管理部門應定期對重要系統(tǒng)、配置及應用進行備份。備份管理要求如下：一、 各系統(tǒng)應于投產(chǎn)前明確數(shù)據(jù)備份方法，對數(shù)據(jù)備份和還原進行必要的測試，并根據(jù)實際運行需要及時調整，每次調整應進行測試； 二、 對系統(tǒng)配置、網(wǎng)絡配置和應用軟件應進行備份。在發(fā)生變動時，應及時備份；三、 業(yè)務數(shù)據(jù)備份按照各生產(chǎn)系統(tǒng)備份計劃的具體要求進行，盡可能實現(xiàn)異地備份；四、 集中管理的系統(tǒng)、設備數(shù)據(jù)的備份工作由所在單位的信息部門負責；五、 備份介質交接應嚴格履行交接手續(xù)，做好交接登記；六、 介質存放地必須符合防盜、防火、防水、防鼠、防蟲、防磁以及相應的潔凈度、溫濕度等要求。第八章 網(wǎng)絡與通信安全管理第二十三條 信息化管理部門采取必要的技術手段和管理措施，加強對網(wǎng)絡和通信安全的管理，保障公司內(nèi)外信息傳遞安全。網(wǎng)絡安全管理包含網(wǎng)絡訪問控制、安全機制、網(wǎng)絡服務、網(wǎng)絡隔離等，基本要求是：一、 定期對重要網(wǎng)絡設備運行情況進行安全檢查，發(fā)現(xiàn)隱患及時上
公司管理相關推薦
鄂ICP備17016276號-1