DB15∕T 1109-2017 信用信息系统运行维护管理规范(内蒙古自治区).pdf

ICS 03.080.99 A 20 备案号:52654-2017 DB15 内蒙古自治区地方标准 DB15/T 11092017 信用信息系统运行维护管理规范 Management specification for credit information system 2017-01-05 发布 2017-04-05 实施 内蒙古自治区质量技术监督局 发 布 DB15/T 11092017 I 目 次 前言 . II 1 范围 . 1 2 规范性引用文件 . 1 3 术语和定义 . 1 4 运维管理 . 1 4.1 环境管理 . 1 4.2 资产管理 . 1 4.3 介质管理 . 2 4.4 设备管理 . 2 4.5 监控管理和安全管理中心 . 2 4.6 网络安全管理 . 2 4.7 系统安全管理 . 3 4.8 恶意代码防范管理 . 3 4.9 密码管理 . 3 4.10 变更管理 . 3 4.11 备份与恢复管理 . 4 4.12 安全事件处置 . 4 4.13 应急预案管理 . 4 5 运行维护人员管理 . 4 5.1 人员录用 . 4 5.2 人员离岗 . 4 5.3 安全意识教育和培训 . 5 5.4 外部人员访问管理 . 5 6 日常巡检内容 . 5 6.1 概述 . 5 6.2 设备巡检 . 5 6.3 机房环境巡检 . 5 6.4 其他设备巡检 . 5 7 安全防范 . 6 7.1 安全管理制度 . 6 7.2 安全管理机构 . 6 DB15/T 11092017 II 前言 本标准按照GB/T 1.12009给出的规则起草。 本标准由内蒙古自治区社会信用管理中心提出。 本标准由内蒙古自治区发展和改革委员会归口。 本标准起草单位：内蒙古自治区社会信用管理中心（内蒙古自治区信用征信中心）、内蒙古自治区标准化院。 本标准的主要起草人：郭俊兰、李世繁、刘默、陈爱国、马慧芳。 DB15/T 11092017 1 信用信息系统运行维护管理规范 1 范围 本标准规定了信用信息系统运维管理、人员管理、日常巡检内容以及安全防范。 本标准适用于各级地方政府建设、运维的社会信用信息平台以及相关设施和人员的管理活动。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。 凡是注日期的引用文件， 仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 22117 信用 基本术语 GB/T 23792 信用标准化工作指南 GB/T 31167 信息安全技术 云计算服务安全指南 GB 50174 电子信息系统机房设计规范 DB15/T 1110 信用信息征集与应用术语 3 术语和定义 GB/T 22117、GB/T 23792、 GB/T 31167、 GB 50174、 DB15/T 1110 信用信息征集与应用术语界定的术语和定义适用于本文件。 4 运维管理 4.1 环境管理 本项目要求包括： a) 机房环境的设计、建设和管理应符合 GB 50174 规范的 C 级要求； b) 应指定专门部门或人员定期对前置采集设备、 备份中心设备和云平台数据中心的设备所处的环境供电、空调、温湿度等设施进行巡检并记录巡检结果； c) 应指定专门部门或人员负责设备安全,对设备的访问、配置和开关机等工作进行管理； d) 建立设备安全管理制度，对物理设备的访问、访问配置策略、设备说明书、介质进行登记和定期备份； e) 人员调离岗位， 应立即归还钥匙， 工作人员离开座位应确保终端设备退出登录状态并在桌上没有包含不宜公开的信息文档、文件。 4.2 资产管理 本项目要求包括： a) 应编制并保存与信息系统相关的资产清单，包括资产责任部门、重要程度和使用说明等； b) 建立资产安全管理制度，规定信息系统管理的部门，规范资产管理和使用行为。 DB15/T 11092017 2 4.3 介质管理 本项目要求包括： a) 应建立介质安全管理制度，对介质的存放、使用、维护和销毁等做出规定； b) 应确保介质存放在安全的环境中，对各类介质进行控制和保护，并实行存储环境专人管理； c) 应对介质的交付、使用流转进行登记记录，对存档介质的目录清单定期进行盘点； d) 应对介质的送出维修、销毁过程进行严格管理，首先清除介质中的敏感信息；对带出工作环境的存储介质进行监控管理，保密性较高的介质未经批准不应自行销毁； e) 应根据数据备份的需要对某些介质实行异地存储，存储环境和管理办法应与本地相同； f) 应建立申报、审批和专人负责的数据和介质安全管理制度。 4.4 设备管理 本项目要求包括： a) 应对信息系统相关的各种设备（包括备份和冗余设备）、线路等指定专门的部门和人员定期进行巡检和维护； b) 应建立配套设施、软硬件维护方面的管理制度，对其维护进行有效的管理，包括明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等； c) 应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理，按照操作规程实现主要设备（包括备份和冗余设备）的启动/停止、通电/断电等操作； d) 应确保信息存储或处理设备必须经过审批才能带离机房或办公地点。 4.5 监控管理和安全管理中心 本项目要求包括： a) 应对通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等进行监测和报警，形成记录并妥善保存； b) 应组织专业人员定期对监测和报警记录进行分析、评审，发现可疑行为，形成分析报告，并采取必要的整改和应对措施； c) 应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理。 4.6 网络安全管理 本项目要求包括： a) 应指定专人对网络进行管理， 负责运行日志、 网络监控记录的日常维护和报警信息分析和处理工作； b) 应建立网络安全管理制度，对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面做出规定； c) 应根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有重要文件进行备份； d) 应定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的修补； e) 应实现设备的最小服务配置，并对配置文件进行定期离线备份； f) 应保证所有与外部系统连接均得到授权和批准； g) 应依据安全策略允许或者拒绝便携式和移动式设备的网络接入； h) 应定期检查违反网络安全策略的行为。 DB15/T 11092017 3 4.7 系统安全管理 本项目要求包括： a) 应根据业务需求和系统安全分析确定系统的访问控制策略； b) 应定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补； c) 应安装系统的最新补丁程序，在安装系统补丁前，首先在测试环境中测试通过,并对重要文件进行备份后,方可实施系统补丁程序的安装； d) 应建立系统安全管理制度，对系统安全策略、安全配置、日志管理和日常操作流程等方面作出具体规定； e) 应指定专人对系统进行管理，划分系统管理员角色，明确各个角色的权限、责任和风险，权限设定应当遵循最小授权原则； f) 应依据操作手册对系统进行维护，详细记录操作日志，包括重要的日常操作、运行维护记录、参数的设置和修改等内容，严禁进行未经授权的操作； g) 应定期对运行日志和审计数据进行分析，以便及时发现异常行为； h) 对严重异常警告启动应急机制。 4.8 恶意代码防范管理 本项目要求包括： a) 应提高所有用户的防病毒意识， 及时告知防病毒软件版本， 在读取移动存储设备上的数据以及网络上接收文件或邮件之前， 先进行病毒检查， 对外来计算机或存储设备接入网络系统之前也应进行病毒检查； b) 应定期升级病毒库,并指定专人对网络和主机进行恶意代码检测并保存检测记录； c) 应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等做出明确规定； d) 应定期检查信息系统内各种产品的恶意代码库的升级情况并进行记录， 对主机防病毒产品、 防病毒网关和邮件防病毒网关上截获的危险病毒或恶意代码进行及时分析处理， 并形成书面的报表和总结汇报。 4.9 密码管理 本项目要求包括： a) 应建立密码使用管理制度，使用符合国家密码管理规定的密码技术和产品； b) 应用系统和硬件设备的密码长度不少于 8 位，应为数字、字母和特殊符号的组合； c) 密码应定期更换，更换周期不超过 3 个月。 4.10 变更管理 本项目要求包括： a) 应确认系统中要发生的变更，并制定变更方案； b) 应建立变更管理制度，系统发生变更前，向主管领导申请，变更和变更方案经过评审、审批后方可实施变更，并在实施后将变更情况向相关人员通告； c) 应建立变更控制的申报和审批文件化程序， 对变更影响进行分析并文件化， 记录变更实施过程，并妥善保存所有文档和记录； d) 应建立终止变更并从失败变更中恢复的文件化程序， 明确过程控制方法和人员职责， 必要时对恢复过程进行演练。 DB15/T 11092017 4 4.11 备份与恢复管理 本项目要求包括： a) 应识别需要定期备份的重要业务信息、系统数据及软件系统等； b) 应建立备份与恢复管理相关的安全管理制度，对备份信息的备份方式、备份频度、存储介质和保存期等进行规范； c) 应根据数据的重要性和数据对系统运行的影响， 制定数据的备份策略和恢复策略， 备份策略需指明备份数据的放置场所、文件命名规则、介质替换频率和将数据离站运输的方法； d) 应建立控制数据备份和恢复过程的程序，对备份过程进行记录，所有文件和记录应妥善保存； e) 应定期执行恢复程序， 检查和测试备份介质的有效性， 确保可以在恢复过程规定的时间内完成备份的恢复。 4.12 安全事件处置 本项目要求包括： a) 应报告所发现的安全弱点和可疑事件，但任何情况下用户均不应尝试验证弱点； b) 应制定安全事件报告和处置管理制度，明确安全事件的类型，规定安全事件的现场处理、事件报告和后期恢复的管理职责； c) 应根据国家相关管理部门对计算机安全事件等级划分方法和安全事件对本系统产生的影响， 对本系统计算机安全事件进行等级划分； d) 应制定不同安全等级事件报告和响应处理程序，确定事件的报告流程，响应和处置的范围、程度，以及处理方法等； e) 应在安全事件报告和响应处理过程中， 分析和鉴定事件产生的原因， 收集证据， 记录处理过程，总结经验教训，制定防止再次发生的补救措施，过程形成的所有文件和记录均应妥善保存； f) 对造成系统中断和造成信息泄密的安全事件应采用不同的处理程序和报告程序。 4.13 应急预案管理 本项目要求包括： a) 应在统一的应急预案框架下制定不同事件的应急预案， 应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等内容； b) 应从人力、设备、技术和财务等方面确保应急预案的执行有足够的资源保障； c) 应对系统相关的人员进行应急预案培训，应急预案的培训应至少每年举办一次； d) 应定期对应急预案进行演练，根据不同的应急恢复内容，确定演练的周期； e) 应规定应急预案需要定期审查和根据实际情况更新的内容，并按照执行。 5 运行维护人员管理 5.1 人员录用 本项目要求包括： a) 应严格规范运维人员录用，在录用人员时应制定相关制度； b) 上岗前应与运维人员签署安全保密协议。 5.2 人员离岗 本项目要求包括： DB15/T 11092017 5 a) 应严格规范人员离岗过程，及时终止离岗人员的所有访问权限； b) 应交回各种工作证件、钥匙、徽章等所有文档以及机构提供的软硬件设备； c) 离岗人员须履行承诺离岗后的保密义务方可离开； d) 离岗人员应交回相关技术、涉密等文档。 5.3 安全意识教育和培训 本项目要求包括： a) 应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训； b) 应对安全责任和惩戒措施进行书面规定并告知相关人员， 对违反违背安全策略和规定的人员进行惩戒； c) 应对定期安全教育和培训进行书面规定， 针对不同岗位制定不同的培训计划， 对信息安全基础知识、岗位操作规程等进行培训； d) 应对安全教育和培训的情况和结果进行记录并归档保存。 5.4 外部人员访问管理 本项目要求包括： a) 应确保在外部人员访问受控区域前提出书面申请， 批准后由专人全程陪同或监督， 并登记备案； b) 对外部人员允许访问的区域、设备、系统、信息等内容应进行书面的规定，并按照规定执行。 6 日常巡检内容 6.1 概述 信用信息平台应建立巡检工作制度，并出具巡检报告，及时存档，对警告信息进行分析并上报。 6.2 设备巡检 本项要求包括： a) 各服务器的 CPU 和内存的工作状况； b) 防火墙的工作状况； c) 网站的工作状况； d) 交换机的工作状况； e) 终端的网络运行速度； f) 其他设备的工作状况。 6.3 机房环境巡检 本项要求包括： a) 机房门的闭合情况； b) 机房的卫生状况； c) 机房的灯光状况； d) 机房的温度、湿度及空气状况； e) 机房的其他设备状况。 DB15/T 11092017 6 6.4 其他设备巡检 本项要求包括： a) 对机房空调系统进行经常性巡检，密切注意工作负荷、电池容量、室内温湿度等数值； b) 主配电柜的供电电压、电流； c) 其他设备。 7 安全防范 7.1 安全管理制度 本项要求包括： a) 应制定信息安全工作的总体方案和安全策略，说明安全工作的总体目标、范围、原则和安全框架等； b) 应对安全活动中重要的管理内容建立安全管理制度； c) 应对安全管理人员或操作人员执行的重要管理操作建立操作规程； d) 安全管理制度的制定和发布应由专门的部门或人员负责； e) 应组织相关人员对制定的安全管理制度进行论证和审定； f) 应将安全管理制度以某种形式发布到相关人员手中； g) 应制定专门的安全应急管理制度，制定和发布方式与其余安全制度相同； h) 应定期对安全管理制度进行评审，对存在不足或需要改进的安全管理制度进行修订。 7.2 安全管理机构 7.2.1 岗位设置 本项要求包括： a) 应设立安全管理各个方面的负责人岗位，并定义负责人的职责； b) 应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位的职责。 7.2.2 人员配备 本项要求包括： a) 应配备一定数量的系统管理员、网络管理员、安全管理员等； b) 安全管理员不能兼任网络管理员、主机管理员、系统管理员、数据库管理员等。 7.2.3 授权和审批 本项要求包括： a) 应根据各个部门和岗位的职责明确授权审批部门及批准人， 对系统投入运行、 网络系统接入和重要资源的访问等关键活动进行审批； b) 应针对关键活动建立审批流程，并由批准人签字确认。 7.2.4 沟通和合作 本项要求包括： a) 应加强信用信息平台管理部门、软件运维单位、硬件运维单位、云平台管理单位以及安全测评公司等内部职能部门的合作与沟通； DB15/T 11092017 7 b) 应加强与信息报送和共享单位、公安机关、运营商之间的沟通； c) 其他。 7.2.5 检查 本项要求包括： a) 应定期检查数据是否定期备份，并能够恢复； b) 应定期检查系统漏洞是否按照安全要求制定补漏方案并实施整改； c) 应定期检查各版本软件是否备份，配套文档是否完整； d) 应跟进各类安全报告所描述的异常告警信息，并移交岗位负责人处理； e) 其他应当检查的项目。 _