企業(yè)信息安全管理制度試行(編輯修改稿)
2025-05-16 02:02 本頁面
【文章內(nèi)容簡介】 進行授權(quán)的用戶。由系統(tǒng)管理崗位或網(wǎng)絡(luò)管理崗位主管進行分配，由系統(tǒng)管理員或網(wǎng)絡(luò)管理員負責(zé)用戶口令的日常管理。（二） 授權(quán)用戶。擁有由超級用戶根據(jù)應(yīng)用系統(tǒng)開發(fā)或運行維護的特殊需要，經(jīng)過崗位主管的審批，將一些系統(tǒng)命令運行權(quán)限所授予的普通用戶，由授權(quán)用戶負責(zé)用戶口令的日常管理。（三） 普通用戶。應(yīng)用系統(tǒng)開發(fā)或運行維護人員為應(yīng)用系統(tǒng)一般監(jiān)控、維護的需要，由超級用戶分配的一般用戶，這類用戶僅擁有缺省用戶訪問權(quán)限的用戶，由用戶負責(zé)口令的日常管理。（四） 匿名用戶。匿名用戶用于向公司網(wǎng)絡(luò)內(nèi)所有用戶提供相應(yīng)服務(wù)，這類用戶一般僅擁有瀏覽權(quán)限，無用戶名及口令，一般情況下只允許提供如：標(biāo)準(zhǔn)、期刊等無安全要求的系統(tǒng)服務(wù)時使用匿名用戶。三、 對用戶以及權(quán)限的設(shè)定進行嚴格管理，用戶權(quán)限的分配遵循 “最小特權(quán)”原則。四、 口令是用戶用以保護所訪問計算機資源權(quán)利，不被他人冒用的基本控制手段。口令策略的應(yīng)用與其被保護對象有關(guān)，口令強度與口令所保護的資源、數(shù)據(jù)的價值或敏感度成正比。（一） 所有在公司局域網(wǎng)網(wǎng)上運行的設(shè)備、計算機系統(tǒng)及存有公司涉密數(shù)據(jù)的計算機設(shè)備都必須設(shè)置口令保護。（二） 所有有權(quán)掌握口令的人員必須保證口令在產(chǎn)生、分配、存儲、銷毀過程中的安全性和機密性。（三） 口令應(yīng)至少要含有8個字符；應(yīng)同時含有字母和非字母字符口令。（四） 口令設(shè)置不能和用戶名或登錄名相同，不能使用生日、人名、英文單詞等易被猜測、易被破解的口令，如有可能，采用機器隨機生成口令。（五） 口令使用期限由各個系統(tǒng)安全要求而定。（六） 口令的使用期限和過期失效應(yīng)盡可能由系統(tǒng)強制執(zhí)行。（七） 設(shè)備在啟用時，默認口令必須更改。第二十一條 系統(tǒng)運行安全檢查是安全管理的常用工作方法，也是預(yù)防事故、發(fā)現(xiàn)隱患、指導(dǎo)整改的必要工作手段。信息系統(tǒng)安全管理人員應(yīng)做好系統(tǒng)運行安全檢查與記錄（格式見附錄35）。檢查范圍：一、 應(yīng)用系統(tǒng)的訪問控制檢查。包括物理和邏輯訪問控制，是否按照規(guī)定的策略和程序進行訪問權(quán)限的增加、變更和取消，用戶權(quán)限的分配是否遵循“最小特權(quán)”原則。二、 應(yīng)用系統(tǒng)的日志檢查。包括數(shù)據(jù)庫日志、系統(tǒng)訪問日志、系統(tǒng)處理日志、錯誤日志及異常日志。三、 應(yīng)用系統(tǒng)可用性檢查：包括系統(tǒng)中斷時間、系統(tǒng)正常服務(wù)時間和系統(tǒng)恢復(fù)時間等。四、 應(yīng)用系統(tǒng)能力檢查。包括系統(tǒng)資源消耗情況、系統(tǒng)交易速度和系統(tǒng)吞吐量等。五、 應(yīng)用系統(tǒng)的安全操作檢查。用戶對應(yīng)用系統(tǒng)的使用是否按照信息安全的相關(guān)策略和程序進行訪問和使用。六、 應(yīng)用系統(tǒng)維護檢查。維護性問題是否在規(guī)定的時間內(nèi)解決，是否正確地解決問題，解決問題的過程是否有效等。七、 應(yīng)用系統(tǒng)的配置檢查。檢查應(yīng)用系統(tǒng)的配置是否合理和適當(dāng)，各配置組件是否發(fā)揮其應(yīng)有的功能。八、 惡意代碼的檢查。是否存在惡意代碼，如病毒、木馬、隱蔽通道導(dǎo)致應(yīng)用系統(tǒng)數(shù)據(jù)的丟失、損壞、非法修改、信息泄露等。九、 檢查出現(xiàn)異常時應(yīng)進行記錄，非受控變化應(yīng)及時報告，以確定是否屬于信息安全事件，屬于信息安全事件的應(yīng)及時處理。第二十二條 信息管理部門應(yīng)定期對重要系統(tǒng)、配置及應(yīng)用進行備份。備份管理要求如下：一、 各系統(tǒng)應(yīng)于投產(chǎn)前明確數(shù)據(jù)備份方法，對數(shù)據(jù)備份和還原進行必要的測試，并根據(jù)實際運行需要及時調(diào)整，每次調(diào)整應(yīng)進行測試； 二、 對系統(tǒng)配置、網(wǎng)絡(luò)配置和應(yīng)用軟件應(yīng)進行備份。在發(fā)生變動時，應(yīng)及時備份；三、 業(yè)務(wù)數(shù)據(jù)備份按照各生產(chǎn)系統(tǒng)備份計劃的具體要求進行，盡可能實現(xiàn)異地備份；四、 集中管理的系統(tǒng)、設(shè)備數(shù)據(jù)的備份工作由所在單位的信息部門負責(zé)；五、 備份介質(zhì)交接應(yīng)嚴格履行交接手續(xù)，做好交接登記；六、 介質(zhì)存放地必須符合防盜、防火、防水、防鼠、防蟲、防磁以及相應(yīng)的潔凈度、溫濕度等要求。第八章 網(wǎng)絡(luò)與通信安全管理第二十三條 信息化管理部門采取必要的技術(shù)手段和管理措施，加強對網(wǎng)絡(luò)和通信安全的管理，保障公司內(nèi)外信息傳遞安全。網(wǎng)絡(luò)
公司管理相關(guān)推薦
鄂ICP備17016276號-1