企業(yè)信息安全管理制度匯編(試行)(編輯修改稿)
2025-05-16 02:02 本頁面
【文章內容簡介】 ，由系統(tǒng)管理員或網絡管理員負責用戶口令的日常管理。（二） 授權用戶。擁有由超級用戶根據應用系統(tǒng)開發(fā)或運行維護的特殊需要，經過崗位主管的審批，將一些系統(tǒng)命令運行權限所授予的普通用戶，由授權用戶負責用戶口令的日常管理。（三） 普通用戶。應用系統(tǒng)開發(fā)或運行維護人員為應用系統(tǒng)一般監(jiān)控、維護的需要，由超級用戶分配的一般用戶，這類用戶僅擁有缺省用戶訪問權限的用戶，由用戶負責口令的日常管理。（四） 匿名用戶。匿名用戶用于向公司網絡內所有用戶提供相應服務，這類用戶一般僅擁有瀏覽權限，無用戶名及口令，一般情況下只允許提供如：標準、期刊等無安全要求的系統(tǒng)服務時使用匿名用戶。三、 對用戶以及權限的設定進行嚴格管理，用戶權限的分配遵循 “最小特權”原則。四、 口令是用戶用以保護所訪問計算機資源權利，不被他人冒用的基本控制手段?？诹畈呗缘膽门c其被保護對象有關，口令強度與口令所保護的資源、數據的價值或敏感度成正比。（一） 所有在公司局域網網上運行的設備、計算機系統(tǒng)及存有公司涉密數據的計算機設備都必須設置口令保護。（二） 所有有權掌握口令的人員必須保證口令在產生、分配、存儲、銷毀過程中的安全性和機密性。（三） 口令應至少要含有8個字符；應同時含有字母和非字母字符口令。（四） 口令設置不能和用戶名或登錄名相同，不能使用生日、人名、英文單詞等易被猜測、易被破解的口令，如有可能，采用機器隨機生成口令。（五） 口令使用期限由各個系統(tǒng)安全要求而定。（六） 口令的使用期限和過期失效應盡可能由系統(tǒng)強制執(zhí)行。（七） 設備在啟用時，默認口令必須更改。第二十一條 系統(tǒng)運行安全檢查是安全管理的常用工作方法，也是預防事故、發(fā)現隱患、指導整改的必要工作手段。信息系統(tǒng)安全管理人員應做好系統(tǒng)運行安全檢查與記錄（格式見附錄35）。檢查范圍：一、 應用系統(tǒng)的訪問控制檢查。包括物理和邏輯訪問控制，是否按照規(guī)定的策略和程序進行訪問權限的增加、變更和取消，用戶權限的分配是否遵循“最小特權”原則。二、 應用系統(tǒng)的日志檢查。包括數據庫日志、系統(tǒng)訪問日志、系統(tǒng)處理日志、錯誤日志及異常日志。三、 應用系統(tǒng)可用性檢查：包括系統(tǒng)中斷時間、系統(tǒng)正常服務時間和系統(tǒng)恢復時間等。四、 應用系統(tǒng)能力檢查。包括系統(tǒng)資源消耗情況、系統(tǒng)交易速度和系統(tǒng)吞吐量等。五、 應用系統(tǒng)的安全操作檢查。用戶對應用系統(tǒng)的使用是否按照信息安全的相關策略和程序進行訪問和使用。六、 應用系統(tǒng)維護檢查。維護性問題是否在規(guī)定的時間內解決，是否正確地解決問題，解決問題的過程是否有效等。七、 應用系統(tǒng)的配置檢查。檢查應用系統(tǒng)的配置是否合理和適當，各配置組件是否發(fā)揮其應有的功能。八、 惡意代碼的檢查。是否存在惡意代碼，如病毒、木馬、隱蔽通道導致應用系統(tǒng)數據的丟失、損壞、非法修改、信息泄露等。九、 檢查出現異常時應進行記錄，非受控變化應及時報告，以確定是否屬于信息安全事件，屬于信息安全事件的應及時處理。第二十二條 信息管理部門應定期對重要系統(tǒng)、配置及應用進行備份。備份管理要求如下：一、 各系統(tǒng)應于投產前明確數據備份方法，對數據備份和還原進行必要的測試，并根據實際運行需要及時調整，每次調整應進行測試； 二、 對系統(tǒng)配置、網絡配置和應用軟件應進行備份。在發(fā)生變動時，應及時備份；三、 業(yè)務數據備份按照各生產系統(tǒng)備份計劃的具體要求進行，盡可能實現異地備份；四、 集中管理的系統(tǒng)、設備數據的備份工作由所在單位的信息部門負責；五、 備份介質交接應嚴格履行交接手續(xù)，做好交接登記；六、 介質存放地必須符合防盜、防火、防水、防鼠、防蟲、防磁以及相應的潔凈度、溫濕度等要求。第八章 網絡與通信安全管理第二十三條 信息化管理部門采取必要的技術手段和管理措施，加強對網絡和通信安全的管理，保障公司內外信息傳遞安全。網絡安全管理包含網絡訪問控制、安全機制、網絡服務、網絡隔離等，基本要求是：一、 定期對重要網絡
公司管理相關推薦
鄂ICP備17016276號-1