【正文】 規(guī)避，對低風(fēng)險進(jìn)行管理、分析和識別。為規(guī)避風(fēng)險，運維人員應(yīng)定期進(jìn)行風(fēng)險檢控，制定風(fēng)險評估管理計劃，提交運維管理員進(jìn)行審批，并召集人員進(jìn)行風(fēng)險評估。跟蹤風(fēng)險，風(fēng)險隨著時間在變化，原則上定期進(jìn)行風(fēng)險跟蹤并按照變化情況修改風(fēng)險列表。需要對風(fēng)險進(jìn)行控制，運維人員將已經(jīng)消失的風(fēng)險放入數(shù)據(jù)庫作為過期的風(fēng)險，圍繞它的所有流程和過程均被保留。1)、對于西南基地管理支撐應(yīng)用的帳戶，必需遵循《西南基地管理支撐系統(tǒng)帳號密碼管理辦法（）》，并結(jié)合實際情況，補(bǔ)充并完善相關(guān)管理辦法。2)、系統(tǒng)用戶帳號原則上不允許存在共享帳號，所有帳號必須明確至個人；由于系統(tǒng)特殊原因必須使用共享帳號的情況下，系統(tǒng)必須制訂對共享帳號的審核授權(quán)流程，明確共享帳號的有效期以及使用帳號人員資料。3)、用戶帳號原則上采用用戶中文名稱的漢語拼音，當(dāng)遇到用戶的中文漢語拼音相同時，系統(tǒng)將為重復(fù)的帳號后加上順序號，如此類推，如：liming , liming2 , liming3，liming5……順序號將避開數(shù)字‘4’。4)、各系統(tǒng)用戶數(shù)據(jù)屬性應(yīng)包括用戶中文姓名和用戶中文ID，原則上用戶中文ID就是用戶姓名，當(dāng)不同用戶具有相同中文名稱時，系統(tǒng)除了按3的命名規(guī)范為其分配用戶帳號外，用戶中文ID后面加上與帳號一致的后綴。而用戶的中文名后面不加順序號。5)、測試人員和代維人員帳號：各系統(tǒng)測試人員和代維人員帳號原則上應(yīng)以該系統(tǒng)的英文縮寫作為前綴加上用戶名稱的漢語拼音生成。6)、各系統(tǒng)用戶密碼長度不得低于6位；不得采用弱密碼（弱密碼定義參見《南方基地管理支撐系統(tǒng)帳號密碼管理辦法》）；最少每90天必須強(qiáng)制用戶更改密碼；并不得使用5次以內(nèi)重復(fù)的密碼；登錄系統(tǒng)時，如重復(fù)嘗試3次不成功，則系統(tǒng)暫停該帳號登錄功能。7)、信息化系統(tǒng)安全體系系 統(tǒng) 平 臺 管 理檢查點檢查要求交付物 日常維護(hù)核心系統(tǒng)及關(guān)鍵服務(wù)器定義需對關(guān)鍵系統(tǒng)和服務(wù)器有清晰的定義（如DNS/DHCP、防病毒等影響全網(wǎng)層面的服務(wù)器、承載重要業(yè)務(wù)或包含敏感信息的系統(tǒng)等）核心業(yè)務(wù)、關(guān)鍵服務(wù)器列表應(yīng)急與演練園區(qū)信息化系統(tǒng)和關(guān)鍵服務(wù)器需有詳盡故障應(yīng)急預(yù)案應(yīng)急預(yù)案應(yīng)定期進(jìn)行相關(guān)應(yīng)急演練，并形成演練報告，保證每年所有的平臺和關(guān)鍵服務(wù)器都至少進(jìn)行一次演練應(yīng)急演練報告根據(jù)應(yīng)急演練結(jié)果更新應(yīng)急預(yù)案，并保留更新記錄，記錄至少保留3年應(yīng)急預(yù)案更新記錄，預(yù)案版本記錄備份管理系統(tǒng)所涉及不同層面（如系統(tǒng)的重要性、操作系統(tǒng)/數(shù)據(jù)庫）應(yīng)當(dāng)制定數(shù)據(jù)的備份恢復(fù)以及備份介質(zhì)管理制度備份管理制度，包括備份策略管理制度與備份介質(zhì)管理制度系統(tǒng)所涉及不同層面應(yīng)根據(jù)業(yè)務(wù)要求制定數(shù)據(jù)的本地和異地備份（存放）策略備份管理制度，包括備份策略管理制度與備份介質(zhì)管理制度相關(guān)人員對本地和異地備份策略的結(jié)果進(jìn)行每季度審核策略審核表，加入備份管理制度備份的數(shù)據(jù)進(jìn)行恢復(fù)性測試，確保數(shù)據(jù)的可用性，每年不少于一次備份恢復(fù)應(yīng)急演練記錄相關(guān)人員對備份介質(zhì)的更換記錄進(jìn)行每半年審核備份介質(zhì)更換記錄表，加入備份管理制度相關(guān)人員對備份介質(zhì)的銷毀記錄進(jìn)行每半年審核備份介質(zhì)銷毀記錄表，加入備份管理制度故障管理各地市需制定相應(yīng)的園區(qū)信息化系統(tǒng)及服務(wù)器故障處理流程故障處理流程系統(tǒng)中發(fā)現(xiàn)的異常情況由系統(tǒng)維護(hù)人員根據(jù)相關(guān)流程在規(guī)定時間內(nèi)處理故障處理流程故障處理完成后必須留有相應(yīng)的故障處理記錄故障處理報告上線管理為保障設(shè)備接入網(wǎng)絡(luò)的安全性，設(shè)備上線前必須安裝防病毒系統(tǒng)及更新操作系統(tǒng)補(bǔ)丁，并對設(shè)備進(jìn)行進(jìn)行安全掃描評估，針對安全漏洞進(jìn)行安全加固企業(yè)網(wǎng)接入管理辦法接入記錄為避免系統(tǒng)上線對其它系統(tǒng)和設(shè)備造成影響，發(fā)布前必須對系統(tǒng)應(yīng)用站點、數(shù)據(jù)庫、后臺服務(wù)、網(wǎng)絡(luò)端口進(jìn)行安全評估。系統(tǒng)投入正式運營前必須在測試環(huán)境中對系統(tǒng)進(jìn)行模擬運行一周以上應(yīng)用系統(tǒng)接入申請流程接入記錄系統(tǒng)上線之后如需對系統(tǒng)進(jìn)行功能更新，必須由系統(tǒng)管理員或系統(tǒng)管理員指定專門維護(hù)人員進(jìn)行更新操作，嚴(yán)格按照公司安全管理規(guī)范執(zhí)行應(yīng)用系統(tǒng)更新申請流程更新記錄Web應(yīng)用應(yīng)根據(jù)業(yè)務(wù)需求與安全設(shè)計原則進(jìn)行安全編碼,合理劃分帳號權(quán)限，確保用戶帳號密碼安全,加強(qiáng)敏感數(shù)據(jù)安全保護(hù)，提供詳細(xì)的日志 101229_1832_(全部合訂)根據(jù)規(guī)范對開發(fā)規(guī)范進(jìn)行修正，用戶名密碼的管理要求、敏感數(shù)據(jù)的管理要求、系統(tǒng)日志的開發(fā)要求現(xiàn)有應(yīng)用的安全檢查漏洞與防病毒定期進(jìn)行服務(wù)器漏洞掃描，并根據(jù)漏洞掃描報告封堵高危漏洞，每季度至少對所有服務(wù)器掃描一次掃描記錄與掃描結(jié)果報告需建立統(tǒng)一的WSUS服務(wù)器，并每季度對關(guān)鍵服務(wù)器進(jìn)行高危漏洞升級，并留有升級記錄WSUS服務(wù)器中的關(guān)鍵更新的補(bǔ)丁清單，每個月1份應(yīng)用服務(wù)器端每次更新的補(bǔ)丁清單任何終端必須安裝正版防病毒軟件，且保證90%以上病毒庫最新（五日以內(nèi)）防病毒檢查記錄每周檢查防病毒軟件隔離區(qū)，排除病毒威脅防病毒檢查記錄核心系統(tǒng)和關(guān)鍵服務(wù)器日志審計在操作系統(tǒng)層、數(shù)據(jù)庫層、應(yīng)用層建立日志記錄功能，日志記錄中保存1年的內(nèi)容，日志安全記錄能夠關(guān)聯(lián)操作用戶的身份操作系統(tǒng)層日志策略數(shù)據(jù)庫日志策略應(yīng)用層日志要求加入開發(fā)規(guī)范中操作系統(tǒng)日志中需記錄“賬戶管理”“登錄事件”“策略更改”“系統(tǒng)事件”等內(nèi)容操作系統(tǒng)層日志策略操作行為記錄需進(jìn)行定期審計數(shù)據(jù)庫層日志需記錄每次數(shù)據(jù)庫操作的內(nèi)容數(shù)據(jù)庫日志策略應(yīng)用層日志需記錄每次應(yīng)用系統(tǒng)出錯的信息應(yīng)用層日志要求加入開發(fā)規(guī)范中檢查關(guān)鍵錯誤日志、應(yīng)用程序日志中的關(guān)鍵錯誤記錄，保證日志審核正常關(guān)鍵訪問與操作應(yīng)立即啟用日志記錄功能，避免因日志記錄不全，造成入侵后無法被追蹤的問題信息發(fā)布管理每天檢查平臺短信發(fā)送、接收的可用性每天短信檢查記錄短信必須設(shè)置關(guān)鍵字過濾，每個月進(jìn)行關(guān)鍵字更新，并檢查其有效性短信關(guān)鍵字更新記錄，有效性檢查記錄信息防泄密需對所有園區(qū)信息化系統(tǒng)、應(yīng)用系統(tǒng)的核心信息進(jìn)行清晰的界定，核心信息包括但不限于涉及客戶資料、客戶賬戶信息、客戶密碼、操作記錄應(yīng)用系統(tǒng)核心信息矩陣圖需對核心信息設(shè)定保密措施應(yīng)用系統(tǒng)核心信息管理制度對核心信息的操作進(jìn)行特殊監(jiān)控，并留下記錄訪問控制賬號密碼管理服務(wù)器上任何賬號必須有審批人員審核確認(rèn)賬號管理辦法賬號申請表所有系統(tǒng)和服務(wù)器上賬號必須每季度進(jìn)行審核賬號審核表密碼復(fù)雜度要求：一．靜態(tài)密碼：密碼應(yīng)至少每90天進(jìn)行更新，密碼長度應(yīng)至少6位或以上，密碼應(yīng)由大小寫字母、數(shù)字或標(biāo)點符號等字符組成，五次內(nèi)不能重復(fù)二．動態(tài)密碼。密碼修改記錄表歷史密碼記錄表遠(yuǎn)程訪問不得有互聯(lián)網(wǎng)遠(yuǎn)程維護(hù)的訪問方式?，F(xiàn)場檢查MDCN網(wǎng)系統(tǒng)的遠(yuǎn)程訪問只能通過省公司的SSL VPN或IBM VPN，不得在市公司層面存在互聯(lián)網(wǎng)以VPN等形式的遠(yuǎn)程訪問現(xiàn)場檢查指遵照相關(guān)的數(shù)據(jù)備份管理規(guī)定，對園區(qū)信息化系統(tǒng)及其產(chǎn)品的數(shù)據(jù)信息進(jìn)行備份和還原操作。根據(jù)園區(qū)信息化系統(tǒng)及其產(chǎn)品的數(shù)據(jù)重要性和應(yīng)用類別，把需要備份的數(shù)據(jù)分為數(shù)據(jù)庫、系統(tǒng)附件、應(yīng)用程序三部分。每周檢查NBU備份系統(tǒng)期備份結(jié)果檢查，處理相關(guān)問題。備份系統(tǒng)狀態(tài)、備份策略檢查，對備份策略以及備份狀態(tài)檢查以及調(diào)優(yōu)，主要服務(wù)器變更、應(yīng)用統(tǒng)一接入等。1)、導(dǎo)出防病毒安全檢查報告、對有風(fēng)險和中毒的文件與數(shù)據(jù)進(jìn)行檢查。2)、對病毒分析處理。3)、定期檢測病毒，防止病毒對系統(tǒng)的影響.1)、定期修改系統(tǒng)Administrator密碼：主要修改AD、Cluster、服務(wù)器密碼；2)、安裝操作系統(tǒng)補(bǔ)丁，系統(tǒng)重啟，應(yīng)用系統(tǒng)檢查測試。3)、數(shù)據(jù)庫的賬號、密碼管理，保證數(shù)據(jù)庫系統(tǒng)安全和數(shù)據(jù)安全。4)、對系統(tǒng)用戶的系統(tǒng)登錄、使用情況進(jìn)行檢查，對系統(tǒng)日志進(jìn)行日常審計。1）、監(jiān)控Agent的配置與管理，對端對端監(jiān)控產(chǎn)生檢查結(jié)果核實，處理相應(yīng)問題；2）、信息化所有系統(tǒng)需有詳盡故障應(yīng)急預(yù)案；3）、應(yīng)定期進(jìn)行相關(guān)應(yīng)急演練，并形成演練報告，保證每年所有的平臺和關(guān)鍵服務(wù)器都至少進(jìn)行一次演練；4）、根據(jù)應(yīng)急演練結(jié)果更新應(yīng)急預(yù)案，并保留更新記錄，記錄至少保留3年。 系統(tǒng)及網(wǎng)絡(luò)安全1）、流量分析（netscount）XX股份根據(jù)南方基地的安全及分析需求，提供netscount分析服務(wù)支撐，對各系統(tǒng)性能提供全面分析。并提供優(yōu)化建議及方案。2）、應(yīng)用分析（splunk）XX股份根據(jù)南方基地的園區(qū)信息化系統(tǒng)安全，建立splunk的日志分析服務(wù)，并針對日志進(jìn)行全面分析。對系統(tǒng)的安全、保障提供優(yōu)化建議及優(yōu)化方案。提供流量分析和應(yīng)用分析提供10個以上的專題分析報告，并根據(jù)報告提供具體的實。3）、施方案及優(yōu)化手段根據(jù)優(yōu)化建議及方案對平臺及網(wǎng)絡(luò)進(jìn)行安全整改，以全面提升平臺的性能、安全，解決瓶頸。1）、網(wǎng)頁文件保護(hù)，通過系統(tǒng)內(nèi)核層的文件驅(qū)動，按照用戶配置的進(jìn)程及路徑訪問規(guī)則。2）、設(shè)置網(wǎng)站目錄、文件的讀寫權(quán)限，確保網(wǎng)頁文件不被非法篡改。3）、網(wǎng)絡(luò)攻擊防護(hù)，Web核心模塊對每個請求進(jìn)行合法性檢測，對非法請求或惡意掃描請求進(jìn)行屏蔽，防止SQL注入式攻擊。4）、集中管理，通過管理服務(wù)器集中管理多臺服務(wù)器，監(jiān)測多主機(jī)實時狀態(tài)，制定保護(hù)規(guī)則。5）、安全網(wǎng)站發(fā)布，使用傳輸模塊從管理服務(wù)器的鏡像站點直接更新受保護(hù)的網(wǎng)站目錄，數(shù)據(jù)通過SSL加密傳輸，杜絕傳輸過程的被篡改的可能。6）、網(wǎng)站備份還原，通過管理控制端進(jìn)行站點備份及還原。7）、網(wǎng)頁流出檢查，在請求瀏覽客戶端請求站點網(wǎng)頁時觸發(fā)網(wǎng)頁流出檢查，對被篡改的網(wǎng)頁進(jìn)行實時恢復(fù)，再次確保被篡改的網(wǎng)頁不會被公眾瀏覽。8）、實時報警，系統(tǒng)日志，手機(jī)短信，電子郵件多種方式提供非法訪問報警。9）、管理員權(quán)限分級，可對管理員及監(jiān)控端分配不同的權(quán)限組合。10）、日志審計，提供管理員行為日志，監(jiān)控端保護(hù)日志查詢審計。11）、對站點主機(jī)進(jìn)行監(jiān)控，對CPU，內(nèi)存，流量的作統(tǒng)計，以便實時監(jiān)控站點服務(wù)器的運作情況。12）、站點系統(tǒng)賬號監(jiān)控，對站點服務(wù)器的賬號進(jìn)行監(jiān)控，對賬號的修改，添加等改動有阻攔和日志記錄及報警，使站點服務(wù)器更加安全。 合理授權(quán)1）、合理授權(quán)的定義：合理授權(quán)是指對IT管理支撐應(yīng)用系統(tǒng)及其相關(guān)資源的訪問設(shè)定嚴(yán)格的授權(quán)審批機(jī)制，確保IT管理支撐應(yīng)用系統(tǒng)的安全性。2）、為了保證南方基地IT管理支撐應(yīng)用系統(tǒng)的安全性，確保相關(guān)IT資源的訪問經(jīng)過合理授權(quán)，所有IT管理支撐應(yīng)用系統(tǒng)及其相關(guān)資源的訪問必須遵照申請 → 評估 → 授權(quán) 的合理授權(quán)管理流程。3）、需要合理授權(quán)的IT資源包括但不局限于應(yīng)用系統(tǒng)的測試環(huán)境、程序版本管理服務(wù)器、正式環(huán)境（包括應(yīng)用服務(wù)器和數(shù)據(jù)服務(wù)器等）。4）、申請：由訪問者（一般是應(yīng)用開發(fā)商、應(yīng)用系統(tǒng)管理員等）提交書面的訪問申請表（書面訪問申請表，包括但不局限于紙質(zhì)、Word文檔以及電子郵件等），提交安全管理員（一般是系統(tǒng)管理員或者專職的安全管理員）進(jìn)行風(fēng)險評估。5）、評估：安全管理員對接到的訪問申請書進(jìn)行風(fēng)險評估，并根據(jù)訪問者及被訪問IT資源的具體情況，進(jìn)行靈活處理。6）、授權(quán)：在訪問申請表通過安全風(fēng)險評估后，安全管理員會對訪問者進(jìn)行合理授權(quán)。原則上，對程序版本管理服務(wù)器和正式環(huán)境的訪問申請，安全管理員必需根據(jù)有關(guān)管理流程給出正式授權(quán)，以滿足安全審計的要求。1）、安全隔離的定義：安全隔離是指對IT應(yīng)用系統(tǒng)的相關(guān)數(shù)據(jù)（包括應(yīng)用系統(tǒng)的程序代碼、數(shù)據(jù)文件等）進(jìn)行邏輯隔離、物理隔離等，以確保應(yīng)用系統(tǒng)的安全性。如果開發(fā)商在開發(fā)、維護(hù)合作過程當(dāng)中可能接觸到我公司的敏感數(shù)據(jù)，必須與南方基地簽訂安全保密協(xié)議。2）、對安全等級為機(jī)密的IT應(yīng)用系統(tǒng)（包括但不局限于企業(yè)內(nèi)部的機(jī)密檔案信息等），我們需要對它的有關(guān)數(shù)據(jù)進(jìn)行物理隔離，以提高應(yīng)用系統(tǒng)的安全防范能力；對安全等級為秘密的IT應(yīng)用系統(tǒng)以及應(yīng)用系統(tǒng)的基礎(chǔ)數(shù)據(jù)（如綜合應(yīng)用平臺的基礎(chǔ)數(shù)據(jù)、組織架構(gòu)等），需要進(jìn)行邏輯隔離。系統(tǒng)應(yīng)用層面的訪問必須通過帳號進(jìn)行訪問，系統(tǒng)的帳號及口令管理參照本規(guī)定的帳號管理部分。3)、應(yīng)用系統(tǒng)管理員或者專職的安全管理員應(yīng)根據(jù)具體應(yīng)用系統(tǒng)的數(shù)據(jù)的敏感度制定相應(yīng)的安全隔離措施，具體措施包括但不限于訪問控制列表、安全加固、文件系統(tǒng)權(quán)限設(shè)定等。 安全審計安全審計的定義：安全審計是指出于安全考慮，通過對IT應(yīng)用系統(tǒng)的異動記錄、操作過程、數(shù)據(jù)轉(zhuǎn)換等進(jìn)行詳細(xì)記錄，為事后的偵察和取證提供依據(jù)。安全審計的范圍：我們需要對一些重要的具有較高安全風(fēng)險的操作進(jìn)行安全審計，操作系統(tǒng)層、應(yīng)用系統(tǒng)層以及數(shù)據(jù)庫層的所有重要操作，特別是管理層認(rèn)定對財務(wù)報表有關(guān)的操作留有系統(tǒng)日志。系統(tǒng)日志由系統(tǒng)主管部門根據(jù)風(fēng)險和重要性的原則確定檢查內(nèi)容（如超級管理員的帳戶登陸操作、正式環(huán)境的訪問、數(shù)據(jù)轉(zhuǎn)換的操作活動、版本升級的操作活動、補(bǔ)丁升級操作活動等等）負(fù)責(zé)每月進(jìn)行審核。系統(tǒng)所需的自動或手動批處理作業(yè)應(yīng)制定作業(yè)安排計劃，留有電子或紙質(zhì)文檔操作說明。自動批處理作業(yè)應(yīng)在系統(tǒng)中留有運行日志記錄，手工批處理作業(yè)的執(zhí)行結(jié)果由批處理操作人員負(fù)責(zé)檢察確認(rèn)。只有授權(quán)的系統(tǒng)維護(hù)人員可以在系統(tǒng)中維護(hù)作業(yè)安排計劃或安排手工作業(yè)安排計劃，批處理計劃上線前都必需通過測試，并由相關(guān)人員簽字審批。安全審計的管理流程：每年至少舉行一次全范圍的安全審計活動，具體操作可以結(jié)合管理支撐系統(tǒng)的年終巡檢等活動，由南方基地管理信息部根據(jù)實際情況自行決定。統(tǒng)一用戶管理的安全審計：用戶帳戶信息（包括組織單元屬性、崗位屬性等）是所有應(yīng)用系統(tǒng)最基礎(chǔ)的數(shù)據(jù)，用戶帳戶所對應(yīng)的應(yīng)用系統(tǒng)訪問權(quán)限（這里特指是否對應(yīng)用系統(tǒng)具有訪問權(quán)限，而不考慮在應(yīng)用系統(tǒng)本身的具體授權(quán)）是安全管理的重要內(nèi)容，因此原則上需要對用戶的異動信息及應(yīng)用系統(tǒng)訪問權(quán)限進(jìn)行安全審計，以提高整個IT管理支撐應(yīng)用系統(tǒng)的安全性。安全審計的目的：在指定周期內(nèi)對信息系統(tǒng)的系統(tǒng)（操作系統(tǒng)、數(shù)據(jù)庫）用戶、系統(tǒng)管理員、應(yīng)用層面的用戶、系統(tǒng)批處理任務(wù)等涉及財務(wù)報表的操作進(jìn)行安全審計。流程：信息系統(tǒng)安全審計流程:說明：系統(tǒng)安全審計由各系統(tǒng)安全審計員發(fā)起，本流程涉及角色為：安全審計員、安全管理員、應(yīng)用管理員以及各系統(tǒng)使用相關(guān)