【正文】 ，由 病毒控制 專(zhuān)員根據(jù)實(shí)際情況負(fù)責(zé)具體操作； 9. 通過(guò)使用處理病毒的有名的專(zhuān)業(yè)信息源（如， Web 站點(diǎn) ）能夠迅速地識(shí)別病毒報(bào)告。該軟件必須具備良好的防毒性能、簡(jiǎn)單方便的統(tǒng)一布控和管理功能，軟件供應(yīng)商應(yīng)當(dāng)是安全產(chǎn)品主要經(jīng)銷(xiāo)商，具備相當(dāng)?shù)募夹g(shù)水平，并能提供對(duì)病毒和緊急事件的及時(shí)響應(yīng)服務(wù)。 2. 指派一名專(zhuān)業(yè)技術(shù)人員作為 “ 病毒 防范專(zhuān)員 ” ，使之成為所有病毒警報(bào)問(wèn)題和采取相應(yīng)措施的第一聯(lián)系人 。 第 23 頁(yè) 共 33 頁(yè) 八、計(jì)算機(jī)病毒防范分冊(cè) （一）防病毒總體制度 1. 病毒防治是信息安全的重要保障，許多安全漏洞都是由病毒感染造成的。信息技術(shù)部門(mén)可以要求必需的安全改進(jìn)。 3. 信息管理中心應(yīng)在公司生 產(chǎn)、業(yè)務(wù)網(wǎng)絡(luò)與互聯(lián)網(wǎng)的連接處放臵有效的防火墻設(shè)備，條件允許的情況下，應(yīng)加裝能與防火墻互動(dòng)的網(wǎng)絡(luò)入侵監(jiān)測(cè)系統(tǒng)。 （八）互聯(lián)網(wǎng)訪問(wèn)管理 1. 所有與互聯(lián)網(wǎng)連接的鏈路必須經(jīng)管理中心核準(zhǔn)，嚴(yán)禁私自拉接線路接入互聯(lián)網(wǎng)。 9. 對(duì)中心網(wǎng)絡(luò)有遠(yuǎn)程訪問(wèn)權(quán)限的職員，不得使用非公司的電子郵件帳戶(hù)（例如， Hotmail、Yahoo、 sina 等），或其他外部資源聯(lián)系公司業(yè)務(wù)，確保正式的業(yè)務(wù)不會(huì)和個(gè)人的事情相混淆。 7. 任何時(shí)候，中心任何職員都不得將他們的登陸或電子郵件口令提供給其他人，甚至是家庭成員。 6. 安全的遠(yuǎn)程訪問(wèn)必須被嚴(yán)格控制。職員承擔(dān)濫用訪問(wèn)而引起的后果。 3. 嚴(yán)禁利用中心網(wǎng)絡(luò)資源為職員家庭成員提供 Inter 網(wǎng)絡(luò)訪問(wèn)服 務(wù)。 （七）遠(yuǎn)程訪問(wèn)控制 1. 遠(yuǎn)程訪問(wèn)應(yīng)該包括（但不僅限于）撥入的 modems，幀中繼， ISDN， DSL， VPN， SSH，和 cable modems，等等，它們的操作、執(zhí)行都適用此制度。 當(dāng)事人的業(yè)務(wù)記錄和數(shù)據(jù)，對(duì)于不適當(dāng)?shù)脑L問(wèn)、使用、 損失變更或破壞有保護(hù)措施。 6. 無(wú)論何時(shí)，當(dāng)?shù)谌绞跈?quán)職員離開(kāi)第三方公司的工作或不再需要訪問(wèn)網(wǎng)絡(luò)連接或指定的中心系統(tǒng)設(shè)備時(shí)，第三方公司應(yīng)迅速通知管理中心。 4. 第三 方只能允許經(jīng)由公司事先允許的第三方的職員（第三方的“授權(quán)職員”）訪問(wèn)網(wǎng)絡(luò)連接或指定的公司設(shè)備。 2. 承包者、廠商、代理在書(shū)面通知并由中心信息技術(shù)主管人員審核其必要性、批準(zhǔn)授權(quán)以后，才可以修改中心網(wǎng)絡(luò)所擁有的設(shè)備的相關(guān)配臵；下級(jí)網(wǎng)絡(luò)原則上不允許對(duì)中心網(wǎng)絡(luò)擁有的設(shè)備作任何改動(dòng)。 8. 對(duì)網(wǎng)絡(luò)的關(guān)鍵部分，實(shí)施冗余性策略，以確保企業(yè)網(wǎng)絡(luò)的不間斷運(yùn)作， 如：服務(wù)器的冗余、防火墻的冗余、路由器的冗余等。 6. 制定相應(yīng)的遠(yuǎn)程用戶(hù)訪問(wèn)的安全策略，如：用戶(hù)驗(yàn)證、定時(shí)訪問(wèn)和回?fù)懿呗缘取? 4. 部署網(wǎng)絡(luò)監(jiān)測(cè)和警告設(shè)備，及時(shí)捕獲某些異常的網(wǎng)絡(luò)通訊情況，以防止各種惡意的和非法的網(wǎng)絡(luò)訪問(wèn)和各種對(duì)網(wǎng)絡(luò)通訊的破壞。 2. 在企業(yè)局域網(wǎng)與外界網(wǎng)絡(luò)（如： Inter 等）或企業(yè)的各個(gè)子網(wǎng)之間部署防毒墻，對(duì)通過(guò)的任何信息實(shí)行病毒的檢測(cè)。在此設(shè)備上沒(méi)有私密權(quán)利。訪問(wèn)或配臵此社被必須有直接的許可。 6. 路由器（交換機(jī)）必須通過(guò)指定的聯(lián)系點(diǎn)包括在全體企業(yè)管理系統(tǒng)中。 禁止以下行為： a) 直接的 IP 廣播 b) 沒(méi)有有效的源地址的包在路由器進(jìn)入，如 RFC1918 地址 c) 所有源路由 d) 所有運(yùn)行在路由器上的 web 服務(wù) 4. 用聯(lián)合標(biāo)準(zhǔn)的 SNMP 共有的字符串。 3. 路由器上的 enable 口令必須以安全密文方式保存。 2. 在路由器（交換機(jī) ）上沒(méi)有配臵本地用戶(hù)帳號(hào)。對(duì)于由專(zhuān)人保管的硬件設(shè)備如移動(dòng)硬盤(pán)、數(shù)碼相機(jī)、讀卡器等等應(yīng)簽訂保管合同，當(dāng)出現(xiàn)問(wèn)題時(shí)根據(jù)相應(yīng)情況處理。對(duì)于以下軟件使用人不得在任何情況下更改：計(jì)算機(jī)驅(qū)動(dòng)程序、殺毒軟件、各種銷(xiāo)售售后系統(tǒng)軟件、監(jiān)控軟件。 9. 對(duì)于網(wǎng)管所安裝 的軟硬件，使用人不得隨意更改。 7. 對(duì)所有基于 Windows NT/Windows 2020/Windows XP 的工作站，按照工作站的安全列 第 19 頁(yè) 共 33 頁(yè) 表，逐項(xiàng)檢測(cè)。 5. 強(qiáng)行設(shè)臵工作站中的瀏覽器的內(nèi)容安全級(jí)別，防止可執(zhí)行 Script 語(yǔ)句和相關(guān)控件對(duì)客戶(hù)端或網(wǎng)絡(luò)可能造成的傷害。 3. 對(duì)工作站存儲(chǔ)的內(nèi)容設(shè)臵用戶(hù)訪問(wèn)的權(quán)限和共享的權(quán)限，確保有足夠權(quán)限和合法的用戶(hù)才能登陸工作站。 （三）網(wǎng)絡(luò)工作站的管理 1. 對(duì)所有工作站的登陸實(shí)施登陸的安全設(shè)臵，只有有權(quán)限和合法的用戶(hù)才能登陸工作站。當(dāng)一些其它的通訊方法將被使用時(shí)，不能使用信任關(guān)系。 14. 參照數(shù)據(jù)管理制度中的相關(guān)備份條例，對(duì)服務(wù)器中的內(nèi)容，如：文件、數(shù)據(jù)、郵件等，定制和實(shí)施相應(yīng)的備份策略，以最小化有不可抗力造成的損失。 12. 參照數(shù)據(jù)管理制度，對(duì)服務(wù)器中的內(nèi)容，如：文件、數(shù)據(jù)、郵件等，定制和實(shí)施相應(yīng)的加密策略，以防止機(jī)密信息的外洩。 10. 對(duì)企業(yè)中的數(shù)據(jù)庫(kù)服務(wù)器，實(shí)行相應(yīng)的安全策略，如：字段、索引、表、試圖、庫(kù)等不同級(jí)別 的安全等級(jí)等。 8. 對(duì)企業(yè)所有的基于 IIS 的 Web 服務(wù)器施行 Web 服務(wù)器的安全列表檢測(cè)，以加強(qiáng)對(duì) Web服務(wù)器的保護(hù)。 6. 如果安全通道方法可以利用時(shí)（例如，技術(shù)可行），特權(quán)訪問(wèn)必須通過(guò)安全通道來(lái)執(zhí)行。 4. 制定相應(yīng)的服務(wù)器 /域的口令策略，并要求所有的用戶(hù)定期更改口令。對(duì)服務(wù)器做的更改要及時(shí)紀(jì)錄，以備查核。 （二）網(wǎng)絡(luò)服務(wù)器的管理 1. 服務(wù)器功能、安裝適用最小化原則和單一化原則，總是使用標(biāo)準(zhǔn)的安全原則：執(zhí)行運(yùn)行時(shí)最少訪問(wèn)要求。 4. 網(wǎng)絡(luò)系統(tǒng)平臺(tái)安裝時(shí)使用應(yīng)用最小化原則，只安裝必需的服務(wù)。 2. 對(duì)各個(gè)服務(wù)器、工作站上安裝的軟件定期實(shí)施自動(dòng)掃描，檢測(cè)安裝軟件的類(lèi)型和版本，判斷是否安裝了合法的軟件、是否安裝了最新的軟件補(bǔ)丁包、以及是否有可疑的“軟件”入侵企業(yè)網(wǎng)絡(luò)。 客戶(hù)檔案按每月由備份專(zhuān)業(yè)負(fù)責(zé)人刻錄至光盤(pán)上交于文檔管理員保存。按每月匯總一次由備份專(zhuān)業(yè)負(fù)責(zé)人備份至公司的磁帶備份機(jī)或備份服務(wù)器上，再按半年一次由備份專(zhuān)業(yè)負(fù)責(zé)人刻錄至光盤(pán)上交于文檔管理員保存。 客戶(hù)檔案按每月由備份專(zhuān)業(yè)負(fù)責(zé)人刻錄至光盤(pán)上交于文檔管理員保存。 財(cái)務(wù)用友系統(tǒng)數(shù)據(jù)必須每天備份，按每月由備份專(zhuān)業(yè)負(fù)責(zé)人刻錄至光盤(pán)上交于文檔管理員保存。 7. 蘇州華洋汽車(chē)銷(xiāo)售服務(wù)有限公司 所有辦公人員可按自己工作需要，按一定時(shí)間周期，將自己電腦內(nèi)的文件，備份至本機(jī)備份盤(pán)符。 通用售后 DNS 數(shù)據(jù)庫(kù)必須每天備份，按每月由備份專(zhuān)業(yè)負(fù)責(zé)人刻錄至光盤(pán)上交于文檔管理員保存。按每月匯總一次由備份專(zhuān)業(yè)負(fù)責(zé)人備份至公司的磁帶備份機(jī)或備份服務(wù)器上，再按半年一次由備份專(zhuān) 業(yè)負(fù)責(zé)人刻錄至光盤(pán)上交于集團(tuán)檔案管理員保存。 客戶(hù)檔案按每月由備份專(zhuān)業(yè)負(fù)責(zé)人刻錄至光盤(pán)上交于文檔管理員保存。 財(cái)務(wù)用友系統(tǒng)數(shù)據(jù)必須每天備份，按每月由備份專(zhuān)業(yè)負(fù)責(zé)人刻錄至光盤(pán)上交于文檔管理員保存。 5. 蘇州華成汽車(chē)銷(xiāo)售有限公司 所有辦公人員可按自己工作需要，按一定時(shí)間周期，將自己電腦內(nèi)的文件，備份至本機(jī)備份盤(pán)符。 通用售后 DNS 數(shù)據(jù)庫(kù)必須每天備份，按每月由備份專(zhuān)業(yè)負(fù)責(zé)人刻錄至光盤(pán)上交于文檔管理員保存。按每月匯總一次由備份專(zhuān)業(yè)負(fù)責(zé)人備份至公司 的磁帶備份機(jī)或備份服務(wù)器上，再按半年一次由備份專(zhuān)業(yè)負(fù)責(zé)人刻錄至光盤(pán)上交于集團(tuán)檔案管理員保存。 客戶(hù)檔案按每月由備份專(zhuān)業(yè)負(fù)責(zé)人刻錄至光盤(pán)上交于文檔管理員保存。 中華售后易車(chē)數(shù)據(jù)庫(kù)和中華售后卓越數(shù)據(jù)庫(kù)必須每天備份，按每月由備份專(zhuān)業(yè)負(fù)責(zé)人刻錄至光盤(pán)上交于文檔管理員保存。按每月匯總一次由備份專(zhuān)業(yè)負(fù)責(zé)人備份至公司的磁帶備份機(jī)或備份服務(wù)器上，再按半年一次由備份專(zhuān)業(yè)負(fù)責(zé)人刻錄至光盤(pán)上交于文檔管理員保存。 客戶(hù)檔案按每月由備份專(zhuān)業(yè)負(fù)責(zé)人刻錄至光盤(pán)上交于文檔管理員保存。 財(cái)務(wù)用友系統(tǒng)數(shù)據(jù)必須每天備份，按每月由備份專(zhuān)業(yè)負(fù)責(zé)人刻錄至光盤(pán)上交于文檔管理員保存。 2. 蘇州華豐汽車(chē)銷(xiāo)售服務(wù)有心公司 所有辦公人員可按自己工作需要，按一定時(shí)間周期，將自己電腦內(nèi)的文件，備份至本機(jī)備份盤(pán)符。 保險(xiǎn)部的數(shù)據(jù)庫(kù)必須每天備份，按每月由備份專(zhuān)業(yè)負(fù)責(zé)人刻錄至光盤(pán)上交于文檔管理員保存。按每月匯總一次由備份專(zhuān)業(yè)負(fù)責(zé)人備份至公司的磁帶備份機(jī)或備份服務(wù)器上，再按半年一次由備份專(zhuān)業(yè)負(fù)責(zé)人刻錄至光盤(pán)上交于文檔管理員保存。 3. 對(duì)于公司重要數(shù)據(jù)按照一定周期進(jìn)行備份，并要求數(shù)據(jù)備份專(zhuān)業(yè)負(fù)責(zé)人將備份數(shù)據(jù)刻錄至一次性刻錄光盤(pán)上，注明刻錄內(nèi)容和刻錄時(shí)間，在填寫(xiě)完數(shù)據(jù)刻錄及移交表后，移交給文檔管理員存放，要求數(shù)據(jù)刻錄人員和文檔管理員簽字、確認(rèn)。在短時(shí)間之內(nèi)員工可將數(shù)據(jù)備份到本機(jī)的備份盤(pán)符，如存放時(shí)間較長(zhǎng)應(yīng)由公司備份專(zhuān)業(yè)負(fù)責(zé)人將數(shù)據(jù)備份至磁帶備份機(jī)或備份服務(wù)器上，最后將重要數(shù)據(jù)按時(shí)間周期進(jìn)行刻錄。 （四） 集團(tuán)公司對(duì)于 數(shù)據(jù)備份管理 要求 1. 公司所有數(shù)據(jù)的備份由專(zhuān)業(yè)負(fù)責(zé)人管理，備份用的軟盤(pán)，光盤(pán)等存儲(chǔ)設(shè)備由專(zhuān)業(yè)負(fù)責(zé)人提供。 5. 對(duì)關(guān)鍵的生產(chǎn)、業(yè)務(wù)系統(tǒng)數(shù)據(jù)、系統(tǒng)數(shù)據(jù)及關(guān)鍵應(yīng)用軟件的源代碼等應(yīng)實(shí)行異地備份原則，以盡量降低不可抗力帶來(lái)的損失。 3. 網(wǎng)絡(luò)系統(tǒng)及配臵信息、應(yīng)用軟件的設(shè)計(jì)方案、源代碼等在投入系統(tǒng)運(yùn)行前應(yīng)作完整備份，運(yùn)行過(guò)程中有更改或新添內(nèi)容時(shí)，應(yīng)立即更新備份。 （三）數(shù)據(jù)備份的管理 1. 建立完整、有效的數(shù)據(jù)備份機(jī)制，有條件的情況下，應(yīng)積極建立數(shù)據(jù)實(shí) 時(shí)備份中心。 9. 所有技術(shù)資料和業(yè)務(wù)數(shù)據(jù)要做好數(shù)據(jù)備份工作，紙介質(zhì)保存的必須有相應(yīng)的完整磁介質(zhì)備份，備份具體要求參考數(shù)據(jù)備份的管理。 第 11 頁(yè) 共 33 頁(yè) 7. 管理中心職員可以向技術(shù)資料管理人員借閱操作技術(shù)類(lèi)的技 術(shù)資料，除此之外技術(shù)資料僅有信息技術(shù)專(zhuān)業(yè)人員可以借閱。 5. 紙介質(zhì)保存的技術(shù)資料、業(yè)務(wù)數(shù)據(jù)應(yīng)存發(fā)放在干燥的房間內(nèi)，磁介質(zhì)的應(yīng)存放于干燥、無(wú)磁干擾的房間內(nèi)，原則上應(yīng)保存于中心機(jī)房的資料保存區(qū)。 3. 涉及 到 軟件設(shè)計(jì)方案、數(shù)據(jù)結(jié)構(gòu)、加密算法、源代碼等開(kāi)發(fā)資料 和業(yè)務(wù)數(shù)據(jù)的職員，應(yīng)自覺(jué)遵守相關(guān)的保密協(xié)議，不通過(guò)復(fù)印、拷貝、郵遞和電子郵件的形式或其他未及的方式向公司以外傳遞。 （二）技術(shù)資料和業(yè)務(wù)數(shù)據(jù)的管理 1. 技術(shù)資料和業(yè)務(wù)數(shù)據(jù)屬于管理中心的敏感性信息。 7. 所有軟件應(yīng)有完整的備份，版本必須保持與當(dāng)前系統(tǒng)中所應(yīng)用的保持一致，備份具體要求參考數(shù)據(jù)備份的管理。 5. 系統(tǒng)軟件僅有信息技術(shù)專(zhuān)業(yè)人員才能借用，其他職員領(lǐng)用非系統(tǒng)軟件時(shí)，應(yīng)確保是生 產(chǎn)、業(yè)務(wù)系統(tǒng)所必需的，才可借用。 3. 軟件介質(zhì)應(yīng)存放于干燥、溫度在 1030℃ 、無(wú)磁干擾的環(huán)境中，原則上應(yīng)保存于中心機(jī)房的資料保存區(qū)。 第 8 頁(yè) 共 33 頁(yè) （四） 表單匯編 機(jī)房出入登記表 值班員 日 期 年 月 日 姓 名 日 期 進(jìn)入時(shí)間 離開(kāi)時(shí)間 事 由 備 注 第 9 頁(yè) 共 33 頁(yè)