【正文】 裁批準(zhǔn)后實(shí)施。
。
2 范圍
適用于ERP系統(tǒng)的建立、使用和維護(hù)的管理。安全管理員應(yīng)定期就“遠(yuǎn)程接入問題”進(jìn)行重點(diǎn)審核。若因軟件移植或系統(tǒng)維護(hù)需要，應(yīng)事先經(jīng)維護(hù)部門主管領(lǐng)導(dǎo)書面確認(rèn)（緊急狀態(tài)下應(yīng)實(shí)現(xiàn)口頭申請、事后補(bǔ)文字確認(rèn)說明），方可臨時授予開發(fā)人員操作帳號，并在維護(hù)人員全程陪同下進(jìn)行相關(guān)操作，操作完成后，陪同人員負(fù)責(zé)完成對臨時帳號的刪除或禁止。對于由于操作系統(tǒng)、數(shù)據(jù)庫平臺等限制而使用的共享帳號，當(dāng)使用此共享帳號的任一人員發(fā)生變更，必須修改密碼，并保留密碼變更記錄。員工離職或調(diào)離工作崗位后，應(yīng)按照情況，及時對帳號和權(quán)限進(jìn)行調(diào)整。對于用戶的增加、刪除，用戶權(quán)限的變更均需預(yù)先提出變更申請，在得到維護(hù)管理部門書面批準(zhǔn)后由系統(tǒng)管理員負(fù)責(zé)實(shí)施。各級應(yīng)用、維護(hù)部門應(yīng)合理劃分用戶組，并根據(jù)用戶所承擔(dān)職責(zé)合理劃分用戶權(quán)限。信息系統(tǒng)帳號管理規(guī)定系統(tǒng)管理員帳號、系統(tǒng)維護(hù)帳號應(yīng)保證一人一帳號，對于重要操作，可以由系統(tǒng)日志追溯到執(zhí)行操作的帳號、直至相關(guān)操作人員。在計(jì)算機(jī)上應(yīng)安裝防病毒軟件，每天更新病毒庫；未經(jīng)變更流程，嚴(yán)禁將業(yè)務(wù)系統(tǒng)與公眾互聯(lián)網(wǎng)進(jìn)行連接；嚴(yán)禁未通過鑒權(quán)認(rèn)證的撥號等形式接入信息系統(tǒng)；在辦公網(wǎng)絡(luò)、生產(chǎn)網(wǎng)絡(luò)與互聯(lián)網(wǎng)或其他外部網(wǎng)絡(luò)的網(wǎng)絡(luò)連接處必須安裝防火墻，并指定防火墻管理員，只有指定的系統(tǒng)（網(wǎng)絡(luò)）管理員才能擁有防火墻管理帳號，未經(jīng)批準(zhǔn)，不得進(jìn)行防火墻策略的更改；嚴(yán)禁在生產(chǎn)系統(tǒng)中安裝未經(jīng)授權(quán)的軟件；不得在生產(chǎn)系統(tǒng)上運(yùn)行與工作無關(guān)的程序；未經(jīng)批準(zhǔn)，不得利用生產(chǎn)系統(tǒng)進(jìn)行培訓(xùn)實(shí)習(xí)；未經(jīng)批準(zhǔn)不得擅自抄錄、復(fù)制配置資料、技術(shù)檔案，內(nèi)部資料不得泄露；設(shè)備管理和維護(hù)人員都應(yīng)熟悉并嚴(yán)格遵守和執(zhí)行信息安全保密相關(guān)規(guī)定。若發(fā)生系統(tǒng)信息泄密事件，各應(yīng)用系統(tǒng)維護(hù)部門應(yīng)及時向董事會信息安全委員會進(jìn)行匯報(bào)，并按照關(guān)于信息安全相關(guān)管理制度要求開展補(bǔ)救工作。九、安全保密管理信息安全應(yīng)滿足國家、行業(yè)、金融業(yè)各級監(jiān)管部門和關(guān)于信息安全保密的各項(xiàng)規(guī)定及要求。非電氣人員不準(zhǔn)安裝電氣設(shè)備和線路。當(dāng)機(jī)房的交流供電系統(tǒng)停止工作時，管理人員應(yīng)立即向相關(guān)主管部門報(bào)告并采取可靠措施盡快恢復(fù)；無法及時恢復(fù)的情況下，維護(hù)人員在計(jì)算UPS蓄電池的工作電壓降至最低前，應(yīng)通過正常操作及時關(guān)機(jī)。安排專人負(fù)責(zé)機(jī)房的安全管理，主管部門定期審核進(jìn)出機(jī)房的權(quán)限，授權(quán)人員的增加、減少和變更須每次保留審批記錄，無關(guān)人員未經(jīng)管理維護(hù)人員的批準(zhǔn)嚴(yán)禁進(jìn)入機(jī)房。機(jī)房內(nèi)均應(yīng)有經(jīng)消防認(rèn)證的消防設(shè)施，應(yīng)配備氣體滅火裝置。機(jī)房電源輸入應(yīng)有大功率應(yīng)急發(fā)電設(shè)備以保證緊急情況下的電力供應(yīng)。網(wǎng)絡(luò)配線架應(yīng)整潔有序，對應(yīng)清晰，設(shè)備連接線纜應(yīng)順直不凌亂。八、機(jī)房管理原則上，數(shù)據(jù)中心機(jī)房環(huán)境應(yīng)達(dá)到國家標(biāo)準(zhǔn) GB501742008描述的A類機(jī)房標(biāo)準(zhǔn)，機(jī)房環(huán)境應(yīng)達(dá)到B類機(jī)房標(biāo)準(zhǔn)，/網(wǎng)點(diǎn)機(jī)房環(huán)境應(yīng)達(dá)到C類機(jī)房標(biāo)準(zhǔn)。對于有安全使用期限限制的存儲介質(zhì)，應(yīng)在安全使用期限內(nèi)更換，確保數(shù)據(jù)存儲安全。對于承載備份數(shù)據(jù)的備份介質(zhì)，應(yīng)確保在其安全使用期限內(nèi)使用。除介質(zhì)保管人員外，其他人員未經(jīng)授權(quán)，不得進(jìn)入介質(zhì)存放地點(diǎn)。各級維護(hù)部門應(yīng)定期對備份日志進(jìn)行檢查，發(fā)現(xiàn)問題及時整改補(bǔ)救。各級維護(hù)部門應(yīng)按照備份計(jì)劃，對所維護(hù)系統(tǒng)進(jìn)行定期備份，原則上對于在線系統(tǒng)應(yīng)實(shí)施每天一次的增量備份、每月一次的數(shù)據(jù)庫級備份以及每季度一次的系統(tǒng)級備份。各級維護(hù)部門應(yīng)針對所維護(hù)系統(tǒng)，依據(jù)數(shù)據(jù)變動的頻繁程度以及業(yè)務(wù)數(shù)據(jù)重要性制定備份計(jì)劃，經(jīng)過上級維護(hù)主管部門批準(zhǔn)后組織實(shí)施。各級維護(hù)部門維護(hù)人員應(yīng)每日對操作日志、安全日志進(jìn)行審查，對異常事件及時跟進(jìn)解決，并每周形成日志審查匯總意見報(bào)上級維護(hù)主管部門審核。規(guī)劃發(fā)展部負(fù)責(zé)運(yùn)行記錄的管理：１、維護(hù)作業(yè)計(jì)劃和適用的各種規(guī)章制度；２、系統(tǒng)運(yùn)行記錄和巡檢記錄；３、故障及處理、設(shè)備檢修、返修記錄；４、系統(tǒng)備份磁帶、磁盤、光盤的更換及相關(guān)信息匯總記錄；軟、硬件設(shè)備變更和系統(tǒng)參數(shù)變更。軟件資料管理應(yīng)包含以下內(nèi)容：１、所有軟件的介質(zhì)、許可證、版本資料及補(bǔ)丁資料；２、所有軟件的安裝手冊、操作使用手冊、應(yīng)用開發(fā)手冊等技術(shù)資料；３、上述資料的變更記錄。四、技術(shù)檔案和資料管理公司辦公室檔案庫負(fù)責(zé)技術(shù)檔案和資料的管理，應(yīng)建立健全必要的技術(shù)資料和原始記錄，包括但不限于：１、系統(tǒng)結(jié)構(gòu)圖及相關(guān)技術(shù)資料；２、機(jī)房平面圖、設(shè)備布置圖、電源電纜、信號線、地線圖；３、網(wǎng)絡(luò)連接圖和相關(guān)配置資料；４、各類軟硬件設(shè)備配置清單。４、巡檢返回后十個工作日內(nèi)，在各單位巡檢表基礎(chǔ)上整理一份巡檢總結(jié)報(bào)告，提交信息系統(tǒng)維護(hù)管理部門。３、確定巡檢線路、時間，安排專業(yè)技術(shù)人員參加現(xiàn)場巡檢，要求：，由各單位的技術(shù)員進(jìn)行配合；，應(yīng)先向其部門負(fù)責(zé)人匯報(bào)巡檢工作安排，與其技術(shù)員交流、溝通，掌握當(dāng)前各設(shè)備運(yùn)行情況，了解系統(tǒng)存在的問題；，解決設(shè)備運(yùn)行問題，如實(shí)填寫巡檢表，列出發(fā)現(xiàn)并已解決的問題以及未解決的問題。根據(jù)年度巡檢重點(diǎn)、內(nèi)容，調(diào)查設(shè)備近期運(yùn)行情況，統(tǒng)計(jì)出各類型設(shè)備在運(yùn)行過程中曾出現(xiàn)的故障。四、巡檢管理信息系統(tǒng)維護(hù)管理部門負(fù)責(zé)組織全行范圍信息系統(tǒng)相關(guān)的機(jī)房環(huán)境、計(jì)算機(jī)硬件、配套網(wǎng)絡(luò)、基礎(chǔ)軟件和應(yīng)用軟件的巡檢，下發(fā)巡檢通知，協(xié)調(diào)各分支機(jī)構(gòu)、廠家的關(guān)系，管控巡檢進(jìn)度和質(zhì)量。數(shù)據(jù)備份、存儲和管理應(yīng)根據(jù)相關(guān)業(yè)務(wù)特性和需要制訂作業(yè)實(shí)施步驟。根據(jù)自動作業(yè)執(zhí)行周期，對自動作業(yè)執(zhí)行日志進(jìn)行審查，發(fā)現(xiàn)問題及時處理，并做詳細(xì)記錄，按月度、季度和年度定期匯總分析。如因特殊情況不能達(dá)到預(yù)期質(zhì)量和進(jìn)度，應(yīng)限期補(bǔ)齊，認(rèn)真分析作業(yè)結(jié)果，發(fā)現(xiàn)問題及時處理解決，并做詳細(xì)記錄，按月度、季度和年度定期匯總分析。二、維護(hù)作業(yè)計(jì)劃管理各級維護(hù)部門應(yīng)根據(jù)系統(tǒng)不同特點(diǎn)及維護(hù)質(zhì)量要求，制定不同周期作業(yè)計(jì)劃，并報(bào)維護(hù)管理部門審批。對于緊急變更需求，允許口頭申請、審批后組織具體實(shí)施。對于系統(tǒng)的軟件升版、增加補(bǔ)丁等變更，必須遵照《軟件版本管理辦法》相關(guān)條例組織實(shí)施。普通變更指非緊急變更，本管理辦法中的變更，如果沒有特殊說明，都指普通變更。變更包括緊急變更和普通變更。三、變更管理信息系統(tǒng)變更包括硬件擴(kuò)容、冗余改造、軟件升級、搬遷、數(shù)據(jù)移植、數(shù)據(jù)維護(hù)等工作以及電子表格模板、文檔模板、安全策略、配置參數(shù)、系統(tǒng)結(jié)構(gòu)、部署的改變等。問題解決過程中凡涉及投產(chǎn)和變更的，應(yīng)遵守《信息系統(tǒng)投產(chǎn)及變更管理辦法》和《信息系統(tǒng)投產(chǎn)變更管理辦法實(shí)施細(xì)則》相關(guān)規(guī)定和流程。問題一經(jīng)提出，由歸口管理部門組織討論，明確問題的責(zé)任人、配合人員，制定解決方案、工作計(jì)劃和時限要求。二、問題管理在信息系統(tǒng)運(yùn)行維護(hù)中或在故障處理中發(fā)現(xiàn)的系統(tǒng)隱患或暫時不能解決的故障均列入問題庫進(jìn)行持續(xù)的跟蹤管理。所有的較大（三級）或以上故障應(yīng)在月度運(yùn)維報(bào)告中進(jìn)行記錄，并在規(guī)定時限內(nèi)向風(fēng)險管理部門和內(nèi)審部門提交故障分析報(bào)告（具體要求參見《信息系統(tǒng)故障管理辦法》）。各級維護(hù)人員應(yīng)擁有上級主管部門和相關(guān)業(yè)務(wù)部門的聯(lián)系方式，包括電話、手機(jī)、傳真等。參與故障處理的各方必須如實(shí)、及時填寫故障處理單（表單格式參見《信息系統(tǒng)應(yīng)急預(yù)案》），現(xiàn)場技術(shù)支持還須當(dāng)?shù)鼐S護(hù)人員予以簽字確認(rèn)或維護(hù)部門蓋章。廠商技術(shù)人員現(xiàn)場處理故障時，公司維護(hù)人員應(yīng)全程陪同并積極協(xié)助，并在故障解決后進(jìn)行書面確認(rèn)。對無法解決的故障，應(yīng)立即向軟硬件最終提供商、代理商或維保服務(wù)商（以下簡稱廠商）提出技術(shù)支持申請，督促廠商安排技術(shù)支持，必要時進(jìn)行跟蹤處理，與廠商一起到現(xiàn)場進(jìn)行解決。２、信息系統(tǒng)故障受理部門受理各單位故障申告，緊急情況下，可以利用電話申告和受理，但事后必須補(bǔ)填故障受理單。故障處理時限要求參見《信息系統(tǒng)應(yīng)急預(yù)案》。具體分級標(biāo)準(zhǔn)參見《信息系統(tǒng)應(yīng)急預(yù)案》。規(guī)劃發(fā)展部負(fù)責(zé)全行生產(chǎn)環(huán)境在線系統(tǒng)的監(jiān)控和維護(hù)工作（包括日常作業(yè)計(jì)劃、故障處理、系統(tǒng)改進(jìn)、數(shù)據(jù)變更、數(shù)據(jù)的備份與恢復(fù)），維護(hù)和更新相應(yīng)操作規(guī)范和技術(shù)文檔。三、 維護(hù)界面劃分信息系統(tǒng)設(shè)備現(xiàn)場、物理環(huán)境的維護(hù)工作由規(guī)劃發(fā)展部機(jī)房人員負(fù)責(zé)。信息系統(tǒng)發(fā)生較大（III級）或以上故障時，按照重大突發(fā)事件匯報(bào)路徑上報(bào)上級主管部門；