【正文】 。 系統(tǒng)維護(hù)人員不應(yīng)該擁有前臺應(yīng)用程序的訪問權(quán)限，更不應(yīng)該在前臺應(yīng)用程序中擔(dān)任實際的操作任務(wù)。 對授權(quán)訪問運(yùn)行環(huán)境的人員進(jìn)行詳細(xì)記錄，并定期進(jìn)行檢查。通過物理和邏輯隔離的手段，控制對運(yùn)行環(huán)境的訪問。 應(yīng)對下發(fā)的軟件進(jìn)行版本控制，由專責(zé)人員負(fù)責(zé)發(fā)布軟件的版本管理。詳細(xì)流程參見 《 緊急變更流程 》 。信息部應(yīng)對緊急變更的處理進(jìn)行規(guī)范的文檔記錄。 信息部按照事先明確的緊急變更定義做出判斷，確定其優(yōu)先級和影響程度，并進(jìn)行相應(yīng)的處理。詳細(xì)流程參見 《 系統(tǒng)變更流程 》 。 信息部將所有的變更請求記錄在 《 任務(wù)管理表 》 中，并按照優(yōu)先級安排實施的先后次序進(jìn)行跟蹤處理。信息部負(fù)責(zé)人審批 《 變更申請書 》 。 ? 一般性變更流程 需求部門提出系統(tǒng)變更需求，并將變更需求整理成 《 變更申請書 》 ，由部門負(fù)責(zé)人審批后提交給信息部。保留期限為三年。評估之后，須根據(jù)基準(zhǔn)配置要求和評估結(jié)果對具體的配置設(shè)置進(jìn)行變更； 二、檢查基礎(chǔ)架構(gòu)變動情況，審閱 《 基礎(chǔ)架構(gòu)變更申請表 》 以及 《 配置 /基礎(chǔ)架構(gòu)變更記錄表 》 ，保證基礎(chǔ)架構(gòu)變更是經(jīng)過授權(quán)的； 信息安全管理員填寫 《 系統(tǒng)配置與基礎(chǔ)架構(gòu)審閱報告 》 ，報告中記錄總體審閱過程和結(jié)論，并提交給信息部負(fù)責(zé)人審閱。 基礎(chǔ)架構(gòu)變更時，必須遵照統(tǒng)一的變更申請流程，參見 《 配置變更 /基礎(chǔ)架構(gòu)變更管理流程 》 。 ? 基礎(chǔ)架構(gòu)的變更 信息部建立基礎(chǔ)架構(gòu)的相關(guān)文檔，包括網(wǎng)絡(luò)拓?fù)鋱D、設(shè)備分布圖、機(jī)架分布圖、跳線表、地址表等，當(dāng)基礎(chǔ)架構(gòu)發(fā)生變更時及時更新此類文檔。 在對系統(tǒng)或網(wǎng)絡(luò)設(shè)備配置變更時，配置變更必須遵照統(tǒng)一的變更申請流程。 ? 運(yùn)行環(huán)境配置的設(shè)置與維護(hù) 經(jīng)授權(quán)的配置管理人員根據(jù)系統(tǒng)安裝手冊和基準(zhǔn)配置對初裝系統(tǒng)或設(shè)備進(jìn)行安裝和配置，詳細(xì)記錄安裝過程和配置清單。 總部信息部信息安全管理員每年須對各類基準(zhǔn)配置進(jìn)行檢查，以確保基準(zhǔn)配置滿足業(yè)務(wù)需求和技術(shù)要求。 總部信息部信息安全管理員先在測試環(huán)境中對各種基準(zhǔn)配置進(jìn)行測試，以確?；鶞?zhǔn)配置的有效性、安全性和可行性。 ? 基準(zhǔn)配置的制定與維護(hù) 在保證應(yīng)用系統(tǒng)高效、安全運(yùn)行的前提下，總部信息部建立操作系統(tǒng)、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等基準(zhǔn)配置，基準(zhǔn)配置必須與公司整體安全要求一致。 基礎(chǔ)架構(gòu)： 包括支持業(yè)務(wù)運(yùn)營的網(wǎng)絡(luò)、系統(tǒng)平臺和線路結(jié)構(gòu)等。 系統(tǒng)配置與基礎(chǔ)架構(gòu)管理制度（試行） 系統(tǒng)配置： 是指各應(yīng)用系統(tǒng)、操作系統(tǒng)、數(shù)據(jù)庫設(shè)置，以及路由器、防火墻、核心交換機(jī)等網(wǎng)絡(luò)設(shè)備和安全設(shè)備的設(shè)置。嚴(yán)禁共享個人用戶帳號口令。 用戶帳號口令最小長度為 6位，并具有一定復(fù)雜度。具體流程參見 《 用戶帳號審閱及權(quán)限確認(rèn)流程 》 。 員工離職后，帳號管理人員及時禁用并刪除離職人員所使用的帳號。 ? 用戶帳號及權(quán)限審閱 系統(tǒng)擁有部門指定專人負(fù)責(zé)每季度對系統(tǒng)應(yīng)用層面帳號及權(quán)限進(jìn)行審閱，并填寫 《 帳號 /權(quán)限清理清單 》 。 緊急帳號使用完畢后，緊急帳號使用人員及時通知帳號管理人員禁用緊急帳號。 帳號管理人員負(fù)責(zé)緊急帳號的下發(fā)和記錄。具體流程參見 《 臨時訪問帳號管理流程 》 。 帳號管理人員負(fù)責(zé)臨時帳號的建立和記錄。 帳號申請人所屬部門負(fù)責(zé)人及系統(tǒng)擁有部門負(fù)責(zé)人根據(jù) 《 崗位權(quán)限對照表 》 對應(yīng)用層面的臨時用戶帳號申請進(jìn)行審批。具體流程參見 《 特權(quán)帳號和超級用戶帳號管理流程 》 。 臨時使用超級用戶帳號必須有監(jiān)督人員在場記錄其工作內(nèi)容。 信息部每季度查看系統(tǒng)日志，監(jiān)督特權(quán)帳號和超級用戶帳號使用情況。超級用戶帳號指系統(tǒng)中最高權(quán)限帳號，如 root等管理員帳號。具體流程參見 《 普通帳號管理流程 》 。 信息部負(fù)責(zé)人根據(jù) 《 崗位權(quán)限對照表 》 對系統(tǒng)層面的普通用戶帳號申請進(jìn)行審批。 ? 普通帳號管理 申請人使用統(tǒng)一而規(guī)范的 《 帳號 /權(quán)限申請表 》 提出用戶帳號創(chuàng)建、修改、刪除 /禁用等申請。 用戶帳號申請、審批及設(shè)置由不同人員負(fù)責(zé)。 公司信息部防火墻管理人員每月分析防火墻日志，并編制防火墻運(yùn)行報告交公司信息部安全管理員和公司信息部負(fù)責(zé)人審閱。備份文件須安全妥善地保存。 公司信息部防火墻管理人員須及時了解防火墻的有關(guān)升級信息，防火墻的升級應(yīng)嚴(yán)格按照 《 系統(tǒng)配置與基礎(chǔ)架構(gòu)管理制度 》進(jìn)行。 需要對防火墻的配置進(jìn)行變更時，必須按照 《 系統(tǒng)配置與基礎(chǔ)架構(gòu)管理制度 》 中配置變更申請流程進(jìn)行。 通過對路由器、交換機(jī)和防火墻等網(wǎng)絡(luò)設(shè)備的設(shè)置，控制數(shù)據(jù)在網(wǎng)絡(luò)中安全傳遞，公司網(wǎng)絡(luò)與外部的數(shù)據(jù)傳輸只能通過指定的路徑進(jìn)行。 未經(jīng)許可，任何人不得登錄防火墻，廠商工程師只能在信息部防火墻管理人員的陪同和監(jiān)督下進(jìn)行調(diào)試，調(diào)試完畢后防火墻管理人員應(yīng)立即更改口令。 公司信息部要配備后備防火墻管理人員，并收集后備防火墻管理人員的聯(lián)系方式，以確保緊急時刻能夠立即取得聯(lián)系。 公司信息部指定專人負(fù)責(zé)防火墻的管理工作。 公司信息部應(yīng)向本級公司管理層匯報防病毒抽查情況，并及時采取措施解決防病毒抽查中出現(xiàn)的問題。 ? 防病毒檢查 公司信息部應(yīng)每季度對公司范圍內(nèi)的個人電腦進(jìn)行一次抽查，抽查個人電腦防病毒產(chǎn)品的安裝和使用情況，填寫 《 個人電腦防病毒抽查情況登記表 》 。 計算機(jī)用戶在使用軟盤、光盤和 U盤等移動存儲介質(zhì)前，必須對該介質(zhì)進(jìn)行殺毒處理。 如果發(fā)生不明原因的系統(tǒng)工作異?；驁缶F(xiàn)象 , 計算機(jī)用戶應(yīng)立即斷掉網(wǎng)絡(luò)連接，并及時通知公司信息部問題受理人員。 根據(jù)公司信息部的通知，計算機(jī)用戶須及時做好防病毒產(chǎn)品的升級、系統(tǒng)安全補(bǔ)丁的安裝和病毒隔離區(qū)的維護(hù)等工作。 未接入公司內(nèi)部網(wǎng)絡(luò)的計算機(jī)用戶須安裝公司信息部指定的單機(jī)版病毒防治產(chǎn)品，定時掃描計算機(jī)系統(tǒng)并及時更新病毒特征碼。 公司信息部信息安全管理員建立突發(fā)病毒事件應(yīng)急處理預(yù)案，及時響應(yīng)用戶的病毒事件報告，協(xié)調(diào)有關(guān)方面制定處理方案并組織實施，同時跟蹤相關(guān)反饋信息和處理結(jié)果，按 《 信息安全監(jiān)控和安全事件報告管理制度 》 規(guī)定逐級上報有關(guān)部門。 公司信息部防病毒管理人員須及時獲取防病毒產(chǎn)品補(bǔ)丁和最新病毒特征碼，并對防病毒服務(wù)器進(jìn)行及時更新。 公司信息部防病毒管理人員負(fù)責(zé)對防病毒服務(wù)器進(jìn)行日常維護(hù)，并定期審閱服務(wù)器日志，確保防病毒系統(tǒng)的正常運(yùn)行。 防病毒管理制度（試行） ? 防病毒管理 總部信息部負(fù)責(zé)病毒防治體系的統(tǒng)一構(gòu)建和部署，公司信息部指定專人負(fù)責(zé)計算機(jī)病毒防治工作。 備份操作人員須每半年對備份進(jìn)行恢復(fù)測試，確保備份恢復(fù)工作能夠順利進(jìn)行。 備份操作人員將備份恢復(fù)的審批文檔及備份恢復(fù)工作的系統(tǒng)日志保存歸檔。 需要恢復(fù)備份數(shù)據(jù)時，需求部門應(yīng)填寫數(shù)據(jù)恢復(fù)申請表，