【文章內(nèi)容簡介】 助事件調(diào)查。應經(jīng)信息安全管理部門批準后才可以處置記錄，并應用碎紙機處理。8計算機和網(wǎng)絡運行管理策略計算機和信息系統(tǒng)所擁有的和使用的大多數(shù)信息都在計算機上進行處理和存儲。為了保護這些信息，需要使用安全且受控的方式管理和操作這些計算機，使它們擁有充分的資源。由于公司計算機和信息系統(tǒng)采用三層管理模式，不排除聯(lián)接到外部網(wǎng)絡，計算機和信息系統(tǒng)的運行必須使用可控且安全的方式來管理，網(wǎng)絡軟件、數(shù)據(jù)和服務的完整性和可用性必須受到保護。應該制定管理和操作所有計算機和網(wǎng)絡所必須的職責和規(guī)程，來指導正確的和安全的操作。這些規(guī)程包括：u 數(shù)據(jù)文件處理規(guī)程，包括驗證網(wǎng)絡傳輸?shù)臄?shù)據(jù)；u 對所有計劃好的系統(tǒng)開發(fā)、維護和測試工作的變更管理規(guī)程； u 為意外事件準備的錯誤處理和意外事件處理規(guī)程；u 問題管理規(guī)程，包括記錄所有網(wǎng)絡問題和解決辦法（包括怎樣處理和誰處理）； u 事故管理規(guī)程； u 為所有新的或變更的硬件或軟件，制定包括性能、可用性、可靠性、可控性、可恢復性和錯誤處理能力等方面的測試/評估規(guī)程；u 日常管理活動，例如啟動和關閉規(guī)程，數(shù)據(jù)備份，設備維護，計算機和網(wǎng)絡管理，安全方法或需求；u 當出現(xiàn)意外操作或技術(shù)難題時的技術(shù)支持合同。對信息處理設施和系統(tǒng)控制不力是導致系統(tǒng)或安全故障的常見原因，所以應該控制對信息處理設施和系統(tǒng)的變動。應落實正式的管理責任和措施，確保對設備、軟件或程序的所有變更得到滿意的控制。應該對計算機介質(zhì)進行控制，如果必要的話需要進行物理保護： u 可移動的計算機介質(zhì)應該受控；u 應該制定并遵守處理包含機密或關鍵數(shù)據(jù)的介質(zhì)的規(guī)程； u 與計算相關的介質(zhì)應該在不再需要時被妥善廢棄。鑒別和網(wǎng)絡安全包括以下方面：u 網(wǎng)絡訪問控制應包括對人員的識別和鑒定；u 用戶連接到網(wǎng)絡的能力應受控，以支持業(yè)務應用的訪問策略需求； u 專門的測試和監(jiān)控設備應被安全保存，使用時要進行嚴格控制； u 通過網(wǎng)絡監(jiān)控設備訪問網(wǎng)絡應受到限制并進行適當授權(quán)； u 應配備專門設備自動檢查所有網(wǎng)絡數(shù)據(jù)傳輸是否完整和正確； u 應評估和說明使用外部網(wǎng)絡服務所帶來的安全風險； u 根據(jù)不同的用戶和不同的網(wǎng)絡服務進行網(wǎng)絡訪問控制； u 對IP地址進行合理的分配； u 關閉或屏蔽所有不需要的網(wǎng)絡服務； u 隱藏真實的網(wǎng)絡拓撲結(jié)構(gòu)；u 采用有效的口令保護機制，包括：規(guī)定口令的長度、有效期、口令規(guī)則或采用動態(tài)口令等方式，保障用戶登錄和口令的安全；u 應該嚴格控制可以對重要服務器、網(wǎng)絡設備進行訪問的登錄終端或登錄 6 節(jié)點，并且進行完整的訪問審計；u 嚴格設置對重要服務器、網(wǎng)絡設備的訪問權(quán)限； u 嚴格控制可以對重要服務器、網(wǎng)絡設備進行訪問的人員；u 保證重要設備的物理安全性，嚴格控制可以物理接觸重要設備的人員，并且進行登記；u 對重要的管理工作站、服務器必須設置自動鎖屏或在操作完成后，必須手工鎖屏；u 嚴格限制進行遠程訪問的方式、用戶和可以使用的網(wǎng)絡資源； u 接受遠程訪問的服務器應該劃分在一個獨立的網(wǎng)絡安全區(qū)域； u 安全隔離措施必須滿足國家、行業(yè)的相關政策法規(guī)。個人終端用戶（包括個人計算機）的鑒別，以及連接到所有辦公自動化網(wǎng)絡和服務的控制職責，由信息安全管理部門決定。操作人員應保留日志記錄。根據(jù)需要，日志記錄應包括： u 系統(tǒng)及應用啟動和結(jié)束時間； u 系統(tǒng)及應用錯誤和采取的糾正措施； u 所處理的數(shù)據(jù)文件和計算機輸出； u 操作日志建立和維護的人員名單。對錯誤及時報告并采取措施予以糾正。應記錄報告的關于信息處理錯誤或通信系統(tǒng)故障。應有一個明確的處理錯誤報告的規(guī)則，包括：1）審查錯誤日志，確保錯誤已經(jīng)得到滿意的解決；2）審查糾正措施，確保沒有違反控制措施，并且采取的行動都得到充分的授權(quán)。網(wǎng)絡安全管理的目標是保證網(wǎng)絡信息安全，確保網(wǎng)絡基礎設施的可用性。網(wǎng)絡管理員應確保計算機信息系統(tǒng)的數(shù)據(jù)安全，保障連接的服務的有效性，避免非法訪問。應該注意以下內(nèi)容：應將網(wǎng)絡的操作職責和計算機的操作職責分離；u 制定遠程設備（包括用戶區(qū)域的設備）的管理職責和程序；u 應采取特殊的技術(shù)手段保護通過公共網(wǎng)絡傳送的數(shù)據(jù)的機密性和完整性，并保護連接的系統(tǒng)，采取控制措施維護網(wǎng)絡服務和所連接的計算機的可用性；u 信息安全管理活動應與技術(shù)控制措施協(xié)調(diào)一致，優(yōu)化業(yè)務服務能力； u 使用遠程維護協(xié)議時，要充分考慮安全性。計算機和信息系統(tǒng)應制定有關使用電子郵件的策略，包括： u 對電子郵件的攻擊，例如病毒、攔截；u 必要時，使用相關技術(shù)保護電子郵件的機密性、完整性和不可抵賴。病毒防范包括預防和檢查病毒（包括實時掃描/過濾和定期檢查），主要內(nèi)容包括：u 控制病毒入侵途徑； u 安裝可靠的防病毒軟件； u 對系統(tǒng)進行實時監(jiān)測和過濾； u 定期殺毒； u 及時更新病毒庫； u 及時上報； u 詳細記錄。防病毒軟件的安裝和使用由信息安全管理部門專門的病毒防范管理員執(zhí)行。嚴格控制盜版軟件及其它第三方軟件的使用，必要時，在運行前先對其進行病毒檢查。內(nèi)部工作人員因為上不安全的網(wǎng)站下載文件或其他方式導致中毒，造成的后果由其本人負責。定義計算機及信息系統(tǒng)備份與恢復應該采用的基本措施： u 建立有效的備份與恢復機制； u 定期檢測自動備份系統(tǒng)是否正常工作；u 明確備份的操作人員職責、工作流程和工作審批制度；u 建立完善的備份工作操作技術(shù)文檔；u 明確恢復的操作人員職責、工作流程和工作審批制度； u 建立完善的恢復工作操作技術(shù)文檔； u 針對建立的備份與恢復機制進行演習； u 對備份的類型和恢復的方式進行明確的定義； u 妥善保管備份介質(zhì)。對于應用系統(tǒng)安全需求分析中要求采用加密措施，或相關法規(guī)中要求采用加密措施的處理，一定要滿足要求。采用加密技術(shù)或選用加密產(chǎn)品，要求符合國家有關政策或行業(yè)規(guī)范的要求。選用的加密機制與密碼算法應符合國家密碼政策，密鑰強度符合國家規(guī)定。對于敏感或重要信息，要求通過加密保障其私密性、通過信息校驗碼或數(shù)字簽名保障其完整性、通過數(shù)字簽名保障其不可否認性。要求采用高強度的密鑰管理系統(tǒng)，保證密鑰全過程的安全。包括密鑰的生成、使用、交換、傳輸、保護、歸檔、銷毀等。對敏感或重要密鑰，要求分人制衡管理。對敏感或重要密鑰，要求采用一定的密鑰備份措施以保障在密鑰丟失、破壞時系統(tǒng)的可用性。密鑰失密或懷疑失密時，必須及時向安全主管部門報告，更新密鑰。并采取有效措施，防止再次發(fā)生類似情況。9訪問控制策略為了保護計算機系統(tǒng)中信息不被非授權(quán)的訪問、操作或破壞，必須對信息系統(tǒng)和數(shù)據(jù)實行控制訪問。計算機系統(tǒng)控制訪問包括建立和使用正式的規(guī)程來分配權(quán)限，并培訓工作人員安全地使用系統(tǒng)。對系統(tǒng)進行監(jiān)控檢查是否遵守所制定的規(guī)程。應該根據(jù)相關國家法律的要求和指導方針控制對信息系統(tǒng)和數(shù)據(jù)的訪問： u 計算機活動應可以被追蹤到人；u 訪問所有多用戶計算機系統(tǒng)應有正式的用戶登記和注銷規(guī)程； u 應使用有效的訪問系統(tǒng)來鑒別用戶；u 應通過安全登錄進程訪問多用戶計算機系統(tǒng)； u 特殊權(quán)限的分配應被安全地控制；u 用戶選擇和使用密碼時應慎重參考良好的安全慣例； u 用戶應確保無人看管的設備受到了適當?shù)陌踩Ｗo； u 應根據(jù)系統(tǒng)的重要性制定監(jiān)控系統(tǒng)的使用規(guī)程。u 必須維護監(jiān)控系統(tǒng)安全事件的審計跟蹤記錄； u 為準確記錄安全事件，計算機時鐘應被同步。10風險管理及安全審計策略信息安全審計及風險管理對于幫助公司識別和理解信息被攻擊、更改和不可用所帶來的（直接和間接的）潛在業(yè)務影響來說至關重要。所有信息內(nèi)容和信息技術(shù)過程應通過信息安全審計活動及風險評估活動來識別與它們相關的安全風險并執(zhí)行適當?shù)陌踩珜Σ?。計算機及信息系統(tǒng)的信息安全審計活動和風險評估應當定期執(zhí)行。特別是系統(tǒng)建設前或系統(tǒng)進行重大變更前，必須進行風險評估工作。信息安全審計應當3個月進行一次，并形成文檔化的信息安全審計報告。信息安全風險評估應當至少1年一次，可由公司自己組織進行或委托有信息系統(tǒng)風險評估資質(zhì)的第三方機構(gòu)進行。信息安全風險評估必須形成文檔化的風險評估報告。11信息系統(tǒng)應急計劃和響應策略應該制定和實施應急計劃和響應管理程序，將預防和恢復控制措施相結(jié)合，將災難和安全故障（可能是由于自然災害、事故、設備故障和蓄意破壞等引起）造成的影響降低到可以接受的水平。應該分析災難、安全故障和服務損失的后果。制定和實施應急計劃，確保能夠在要求的時間內(nèi)恢復業(yè)務的流程。應該維護和執(zhí)行此類計劃，使之成為其它所有管理程序的一部分。應該在整個計算機信息系統(tǒng)內(nèi)部制定應急計劃和響應的管理流程。包括以下 主要內(nèi)容：u 考慮突發(fā)事件的可能性和影響。u 了解中斷信息系統(tǒng)服務可能對業(yè)務造成的影響（必須找到適當?shù)慕鉀Q方案，正確處理較小事故以及可能威脅組織生存的大事故），并確定信息處理設施的業(yè)務目標。u 適當考慮風險處理措施，可以將其作為業(yè)務連續(xù)性程序的一部分。u 定期對應急計劃和響應程序進行檢查和進行必要的演練，確保其始終有效。u 適當?shù)貙夹g(shù)人員進行培