企業(yè)信息安全管理制度匯編(試行)(編輯修改稿)
2025-05-16 02:02 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 ，由系統(tǒng)管理員或網(wǎng)絡(luò)管理員負(fù)責(zé)用戶口令的日常管理。（二） 授權(quán)用戶。擁有由超級(jí)用戶根據(jù)應(yīng)用系統(tǒng)開發(fā)或運(yùn)行維護(hù)的特殊需要，經(jīng)過(guò)崗位主管的審批，將一些系統(tǒng)命令運(yùn)行權(quán)限所授予的普通用戶，由授權(quán)用戶負(fù)責(zé)用戶口令的日常管理。（三） 普通用戶。應(yīng)用系統(tǒng)開發(fā)或運(yùn)行維護(hù)人員為應(yīng)用系統(tǒng)一般監(jiān)控、維護(hù)的需要，由超級(jí)用戶分配的一般用戶，這類用戶僅擁有缺省用戶訪問(wèn)權(quán)限的用戶，由用戶負(fù)責(zé)口令的日常管理。（四） 匿名用戶。匿名用戶用于向公司網(wǎng)絡(luò)內(nèi)所有用戶提供相應(yīng)服務(wù)，這類用戶一般僅擁有瀏覽權(quán)限，無(wú)用戶名及口令，一般情況下只允許提供如：標(biāo)準(zhǔn)、期刊等無(wú)安全要求的系統(tǒng)服務(wù)時(shí)使用匿名用戶。三、 對(duì)用戶以及權(quán)限的設(shè)定進(jìn)行嚴(yán)格管理，用戶權(quán)限的分配遵循 “最小特權(quán)”原則。四、 口令是用戶用以保護(hù)所訪問(wèn)計(jì)算機(jī)資源權(quán)利，不被他人冒用的基本控制手段?？诹畈呗缘膽?yīng)用與其被保護(hù)對(duì)象有關(guān)，口令強(qiáng)度與口令所保護(hù)的資源、數(shù)據(jù)的價(jià)值或敏感度成正比。（一） 所有在公司局域網(wǎng)網(wǎng)上運(yùn)行的設(shè)備、計(jì)算機(jī)系統(tǒng)及存有公司涉密數(shù)據(jù)的計(jì)算機(jī)設(shè)備都必須設(shè)置口令保護(hù)。（二） 所有有權(quán)掌握口令的人員必須保證口令在產(chǎn)生、分配、存儲(chǔ)、銷毀過(guò)程中的安全性和機(jī)密性。（三） 口令應(yīng)至少要含有8個(gè)字符；應(yīng)同時(shí)含有字母和非字母字符口令。（四） 口令設(shè)置不能和用戶名或登錄名相同，不能使用生日、人名、英文單詞等易被猜測(cè)、易被破解的口令，如有可能，采用機(jī)器隨機(jī)生成口令。（五） 口令使用期限由各個(gè)系統(tǒng)安全要求而定。（六） 口令的使用期限和過(guò)期失效應(yīng)盡可能由系統(tǒng)強(qiáng)制執(zhí)行。（七） 設(shè)備在啟用時(shí)，默認(rèn)口令必須更改。第二十一條 系統(tǒng)運(yùn)行安全檢查是安全管理的常用工作方法，也是預(yù)防事故、發(fā)現(xiàn)隱患、指導(dǎo)整改的必要工作手段。信息系統(tǒng)安全管理人員應(yīng)做好系統(tǒng)運(yùn)行安全檢查與記錄（格式見(jiàn)附錄35）。檢查范圍：一、 應(yīng)用系統(tǒng)的訪問(wèn)控制檢查。包括物理和邏輯訪問(wèn)控制，是否按照規(guī)定的策略和程序進(jìn)行訪問(wèn)權(quán)限的增加、變更和取消，用戶權(quán)限的分配是否遵循“最小特權(quán)”原則。二、 應(yīng)用系統(tǒng)的日志檢查。包括數(shù)據(jù)庫(kù)日志、系統(tǒng)訪問(wèn)日志、系統(tǒng)處理日志、錯(cuò)誤日志及異常日志。三、 應(yīng)用系統(tǒng)可用性檢查：包括系統(tǒng)中斷時(shí)間、系統(tǒng)正常服務(wù)時(shí)間和系統(tǒng)恢復(fù)時(shí)間等。四、 應(yīng)用系統(tǒng)能力檢查。包括系統(tǒng)資源消耗情況、系統(tǒng)交易速度和系統(tǒng)吞吐量等。五、 應(yīng)用系統(tǒng)的安全操作檢查。用戶對(duì)應(yīng)用系統(tǒng)的使用是否按照信息安全的相關(guān)策略和程序進(jìn)行訪問(wèn)和使用。六、 應(yīng)用系統(tǒng)維護(hù)檢查。維護(hù)性問(wèn)題是否在規(guī)定的時(shí)間內(nèi)解決，是否正確地解決問(wèn)題，解決問(wèn)題的過(guò)程是否有效等。七、 應(yīng)用系統(tǒng)的配置檢查。檢查應(yīng)用系統(tǒng)的配置是否合理和適當(dāng)，各配置組件是否發(fā)揮其應(yīng)有的功能。八、 惡意代碼的檢查。是否存在惡意代碼，如病毒、木馬、隱蔽通道導(dǎo)致應(yīng)用系統(tǒng)數(shù)據(jù)的丟失、損壞、非法修改、信息泄露等。九、 檢查出現(xiàn)異常時(shí)應(yīng)進(jìn)行記錄，非受控變化應(yīng)及時(shí)報(bào)告，以確定是否屬于信息安全事件，屬于信息安全事件的應(yīng)及時(shí)處理。第二十二條 信息管理部門應(yīng)定期對(duì)重要系統(tǒng)、配置及應(yīng)用進(jìn)行備份。備份管理要求如下：一、 各系統(tǒng)應(yīng)于投產(chǎn)前明確數(shù)據(jù)備份方法，對(duì)數(shù)據(jù)備份和還原進(jìn)行必要的測(cè)試，并根據(jù)實(shí)際運(yùn)行需要及時(shí)調(diào)整，每次調(diào)整應(yīng)進(jìn)行測(cè)試； 二、 對(duì)系統(tǒng)配置、網(wǎng)絡(luò)配置和應(yīng)用軟件應(yīng)進(jìn)行備份。在發(fā)生變動(dòng)時(shí)，應(yīng)及時(shí)備份；三、 業(yè)務(wù)數(shù)據(jù)備份按照各生產(chǎn)系統(tǒng)備份計(jì)劃的具體要求進(jìn)行，盡可能實(shí)現(xiàn)異地備份；四、 集中管理的系統(tǒng)、設(shè)備數(shù)據(jù)的備份工作由所在單位的信息部門負(fù)責(zé)；五、 備份介質(zhì)交接應(yīng)嚴(yán)格履行交接手續(xù)，做好交接登記；六、 介質(zhì)存放地必須符合防盜、防火、防水、防鼠、防蟲、防磁以及相應(yīng)的潔凈度、溫濕度等要求。第八章 網(wǎng)絡(luò)與通信安全管理第二十三條 信息化管理部門采取必要的技術(shù)手段和管理措施，加強(qiáng)對(duì)網(wǎng)絡(luò)和通信安全的管理，保障公司內(nèi)外信息傳遞安全。網(wǎng)絡(luò)安全管理包含網(wǎng)絡(luò)訪問(wèn)控制、安全機(jī)制、網(wǎng)絡(luò)服務(wù)、網(wǎng)絡(luò)隔離等，基本要求是：一、 定期對(duì)重要網(wǎng)絡(luò)
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1