计算机信息安全管理新规制度.doc

计算机信息安全管理制度1 目标加强计算机网络及计算机信息安全管理，保障企业网络平台、应用系统正常运行及数据安全，预防泄密。2 范围适适用于企业及各事业部、分企业、控股子企业（以下简称各经营单元）全部计算机信息安全管理。3 术语3.1 办公计算机：办公用台式机、笔记本电脑等属于企业资产计算机设备。3.2 计算机信息：是指存放在计算机上软件、数据、图纸等含有一定意义计算机信息资料。3.3 内部网络：企业长沙园区网络及经过专线和长沙园区互联其它园区、驻外机构网络（以下简称内网）。3.4 外部网络：互联网或除互联网和企业内网之外第三方专网（以下简称外网）。4 职责企业计算机信息安全采取集中控制、分级管理标准。4.1 企业信息化管理部门：负责制订企业计算机信息安全战略目标及信息安全策略、督导企业日常计算机信息安全管理，负责直属部门计算机信息安全日常工作。负责协调企业内外部资源，处理企业重大计算机信息安全事件。4.2 经营单元信息化管理部门：负责本经营单元计算机信息安全日常工作，立即向企业信息化管理部门、督察部门汇报重大计算机信息安全隐患和计算机信息安全事件。4.3计算机用户：负责本人领用办公计算机日常保养、正常操作及安全管理，负责所接触信息保密性、可用性和完整性；立即向信息化管理部门汇报计算机信息安全隐患和计算机信息安全事件。信息起草人须按保密制度相关要求提出信息密级定级申请。5 内容和要求51账号和密码安全管理5.1.1. 信息化管理部门须统一生成信息系统用户账号，并确保身份账号在此系统生命周期中唯一性；对账号密码信息进行加密处理，确保用户账号密码不被非授权地访问、修改和删除。5.1.2. 职员因工作岗位或职责变动需变更账号权限时，须向信息化管理部门提出申请权限变更。信息化管理部门应立即变更异动职员权限，冻结离职职员账号。5.1.3. 职员使用企业计算机信息系统时，须参考附件9.1网络和计算机外部设备访问权限申请步骤，向信息化管理部门提出申请，经审批后方可取得账号和初始密码。职员使用初始密码登录信息系统后，须立即更改密码。5.1.4. 密码须满足以下要求：密码长度最少8位，密码必需由大写字母（A到Z）、小写字母（a到z）、符号（!#$%&*等）和数字（09）4组类型最少需取2种组合。是否考虑由2种改为3种，和域账号密码要求统一？写最少2种组合是考虑到现在OA账号密码强度，提议不改动。5.1.5. 密码更换周期不得长于两个月，且变更前后密码不能相同。5.1.6. 用户登录系统时，密码连续输错5次，用户账号将变成锁定状态，用户须向信息化管理部门申请解锁。严禁以非法手段尝试获取她人账号密码信息，未经授权不得使用她人账号密码登录系统。5.1.7. 用户对自己账号密码安全性负责，严禁泄露给她人。因个人账号密码管理不慎造成信息安全事件由账号全部者负最终责任。52 办公计算机安全管理5.2.1. 信息化管理部门在日常管理办公计算机时，应进行以下安全设置：a) 须为全部办公计算机设置BIOS密码，关闭未申请使用接口并贴封条和配置机箱锁；b) 须为全部办公计算机布署对应内网安全管理系统及防病毒软件；c) 主机设备需要带离现场维修时，应由保密专员进行全程陪同，并拆除全部存放介质；d) 存放介质应到含有涉密信息系统数据恢复资质单位进行维修；e) 不再使用或无法使用设备应按相关要求立即进行报废处理。5.2.2. 计算机使用人在日常使用办公计算机时应遵守以下要求：a) 计算机用户使用计算机在处理企业涉密信息及账号信息时，应注意信息安全防范，预防被无关人员窥视泄密；临时离开计算机时应启用带密码保护屏幕保护程序或直接锁定计算机。b) 定时检验计算机设备标签、封条、机箱锁，如有破损立即通知信息化管理部门处理。c) 不得私自挂接计算机输入输出设备和有意损毁计算机设备标签、封条和硬件锁。不得将相关设备挪作私用。d) 如需使用计算机以外输入输出设备（如打印机、扫描仪、移动存放类设备及刻录光驱等）及硬件接口时，须参考附件9.1网络和计算机外部设备访问权限申请步骤实施。e) 严禁利用办公计算机处理和工作无关内容、破坏或影响其它职员正常工作。f) 严禁私自卸载企业内网管理系统及防病毒系统。g) 严禁使用办公计算机公布不良信息、牟取私利、泄露企业机密和从事违法犯罪活动。53 计算机防病毒管理5.3.1计算机用户在使用计算机过程中应注意采取以下防病毒安全方法：a) 严禁私自关闭、卸载或更换防病毒软件，应立即更新病毒库和操作系统补丁，确保计算机安全运行。b) 发觉或怀疑有办公计算机被病毒感染，应立即断开网络并实施全盘扫描病毒程序，如感染症状未能解除须立即上报信息化管理部门。c) 对任何外来资料，须使用防病毒软件进行扫描后方可使用，不要打开外来不明链接。d) 严禁有意瞒报、制作、下载、运行及传输计算机病毒 。5.3.2信息化管理部门须维护防病毒系统及补丁更新系统正常运行。在发生重大病毒发作事件时，应立即公布病毒预警，立即采取有效预防方法预防病毒大面积扩散。54网络安全管理5.4.1信息化管理部门在管理办公计算机网络安全时，应遵照以下要求：a) 必需严格隔断许可访问外网计算机和内网计算机之间直接通讯。b) 必需严格隔断内网中财务、研发和其它管理类计算机之间直接通讯。c) 办公计算机在使用企业网络时，用户身份、网卡物理地址必需和网络访问资源一对一绑定。5.4.2信息化管理部门在保护信息化应用系统网络安全时，应遵照以下要求：a) 信息化应用系统服务器及存放设备只许可安装在企业网络机房、数据中心机房内，特殊情况可申请托管在第三方机房内，严禁安装在一般办公场所及其它不安全场所内。b) 信息化应用系统需要开启远程管理时，须使用加密远程管理协议，而且实现专员、专机、专网管理，预防远程管理权限被非法窃用。c) 必需在企业内外部网络交汇处设置必需防火墙系统，并制订必需防火墙策略；未经授权，不许可将任何内部IP地址和服务端口映射到外部网络。d) 对外信息化应用系统必需布署必需安全手段以检测和降低被攻击行为，并采取必需方法便于对非法行为进行审计取证。e) 定时检验内部网络运行情况，立即发觉非法网络接入。f) 需要变更网络安全相关管理策略时，按9.1网络和计算机外部设备访问权限申请步骤办理。5.4.3用户在使用企业网络资源时，应遵照以下安全要求：a) 在默认情况下，全部办公用台式机和工作站只能访问企业内网；笔记本不许可接入企业内网。计算机用户需要申请网络权限时，须按附件9.1网络和计算机外部设备访问权限申请步骤审批后开通。b) 职员因岗位职责改变不再需要使用外网时，应立即通知信息化管理部门关闭外网权限。c) 严禁职员私自修改办公计算机IP地址、网卡地址等，严禁将办公计算机私自接入非指定网络环境。d) 当需进行信息提取时，按附件9.2计算机信息提取(输入)步骤办理。55 信息化应用系统开发安全管理5.5.1信息化应用系统开发安全需求a) 必需有可靠身份认证机制，不许可匿名访问，账号和密码须满足安全管理要求。b) 必需有完整权限管理系统，支持分层分级授权。c) 账号密码必需加密存放在后台数据库中。d) 必需基于职责分离标准定义不一样业务模块使用权限。e) 信息化应用系统必需经过第三方安全测评机构测评合格后才能正式投入运行。f) 信息化应用系统开发各阶段产生源代码程序、编译程序及文档资料严格按用户授权集中管理。5.5.2 信息化应用系统运行安全管理a) 必需定时审计信息化应用系统用户行为。b) 必需定时备份信息化应用系统数据。c) 严禁篡改信息化应用系统数据及更更正式系统环境下信息化应用系统程序文件。d) 必需严格权限控制，按业务职责对用户合理授权，信息化应用系统权限变更须经信息化管理部门审批。e) 需定时进行风险检测和评定，确保信息化应用系统运行安全。56 网络设备安全配置5.6.1全部网络设备必需由信息化管理部门指定专员、专机管理。需要使用远程管理时，优先使用统一加密远程管理协议实现功效，并确保专员、专机、专网管理，严防远程管理权限被非法窃用。5.6.2管理网络设备时需要用到密码信息必需以密文形式保留。5.6.3未经授权，网络管理工程师不得私自更改网络设备配置文件。5.6.4网络管理工程师 更改关键网络设备配置前，必需先备份现有配置文件，更改网络设备时，需填写配置变更记录表并严格根据表内容进行。5.6.5网络管理工程师必需周期性备份管辖范围内全部网络设备配置文件。5.6.6网络设备故障时，尽可能抢救现有配置文件，并用最终备份版本配置文件快速配置替换设备。5.6.7定时审计网络配置。5.6.8 需定时进行风险检测和评定，确保网络设备运行在可接收安全。5.7数据备份和恢复管理5.7.1信息化管理部门必需为全部信息化应用系统制订对应数据备份和恢复策略，填写数据备份统计表，参考信息备份和数据恢复管理措施实施。5.7.2 信息化管理部门须定时检验备份策略有效性和实施情况，进行备份恢复测试，确保备份介质不仅有效，而且能在恢复操作步骤分配时间内完成。5.7.3 数据备份应确保立即、完整、真实、正确地转储到不可更改介质上，备份介质须异地存放。5.8 机房安全管理5.8.1信息化应用系统硬件设备只许可放置在企业网络机房、数据中心机房内，特殊情况可申请托管第三方机房，严禁放置在一般办公场所及其它不安全场所内。5.8.2机房配置温湿度计和干冰灭火器，信息化管理部门须对机房人员进行消防安全指导，并做好机房防火、防盗、防水、防静电、防雷击方法，杜绝相关安全事故发生。5.8.3信息化管理部门须指定专员负责对机房内各类设备进行安全维护和管理，对机房进行定时巡检，碰到异常情况立即处理，并参考计算机机房管理要求实施。59出图管理5.9.1信息化管理部门须指定专员负责对出图设备进行安全管理和维护，为出图申请部门提供对应技术支持。5.9.2图纸只能在出图室出图设备上打印。技术部门如配置有打印机，需指定专员管理，且打印机只能打印文档资料，不得打印图纸，违者按保密制度相关要求处理。5.9.3出图人员须在OA中提议出图申请步骤经审批后方能出图，具体参考附件9.3CAD出图管理步骤实施。5.9.4出图人员未经许可不得操作出图室打印服务器和出图设备。5.9.5出图人员取图时须出示本人职员卡，由信息化管理部门进行身份核实，并将其清点图纸和所填写出图申请表上内容查对一致后方可取走图纸，严禁代领和冒领。 5.10 信息安全培训管理5.10.1信息化管理部门应及做好信息安全培训工作，降低因意识和操作失误带来安全风险。5.10.2信息化管理部门必需依据中国外及行业内信息安全发展现实状况每十二个月制订信息安全培训计划，培训计划要求以下：a) 确保培训内容能指导职员正常处理日常工作中可能碰到并应该引发注意信息安全问题。b) 针对不一样培训对象如通常新职员、通常老职员、信息化内部职员、及关键涉密岗位需制订不一样培训内容。c) 针对不一样培训对象和内容明确培训形式及目标。d) 必需针对培训效果进行考评。 6 违纪和处罚6.1 对违反本制度违纪行为，信息化管理部门填写信息安全违规统计表，并定时上报督察部门，依据违纪类型进行对应处罚。6.1.1以下违纪行为，视其情节最高可给开除处分，并移交司法处理：a) 违反国家相关信息管理法规，利用网络从事违反中国法律和法规活动，发表违反法律法规言论（包含以任何理由），泄露国家机密，进行任何破坏国家安全活动；b) 利用网络对她人进行欺侮、诽谤、骚扰；侵害她人正当权益；侵犯她人声誉权、肖像权、姓名权等人身权利；侵犯她人商誉、商标、版权、专利、专有技术等多种知识产权； c) 利用网络或电子邮件传输任何非法、骚扰性、中伤她人、辱骂性、恐吓性、伤害性、淫秽信息数据；传输任何教唆她人组成犯罪行为信息数据；主动发送连锁邮件或垃圾邮件和主动散布计算机病毒或恶意代码；以任何形式、任何目标对电子邮件功效进行滥用；盗用她人任何系统帐号；传输助长国家不利原因、包含国家安全，和任何不符合国家法律、法规、规章信息数据；d) 终端用户使用破解、猜测和嗅探口令工具企图侵入信息化应用系统；或使用黑客工具攻击内部网络；或私自修改和删除信息系统信息；e) 利用企业信息化资源牟取私利。f) 有其它严重违反计算机信息安全要求行为，造成严重后果或重大损失。6.1.2以下违纪行为，视其情节最高可给记大过处分：a) 私自拆装计算机设备，或自行插拔机内部件或添加设备；b) 因为保管不善而泄漏个人账号和密码，使企业关键信息泄漏或信息系统遭到攻击，给企业造成重大损失；c) 职员在所使用计算机上私自卸载企业统一安装内网监控软件；d) 有其它较严重违反计算机信息安全要求行为，造成较严重后果或一定损失。6.1.3以下违纪行为，视其情节最高可给记过处分：a) 私自删除或修改计算机标准软件及系统配置（如用户名、用户IP地址等）；b) 职员在所使用计算机上私自卸载企业统一安装防病毒软件，或有意使防病毒软件处于未激活状态；c) 工作时间长时间参与工作无关网上聊天、浏览和业务无关网站、玩电脑游戏；d) 下载互联网上非法软件或拷贝外来非法软件进入企业网络；e) 大量下载或传输和业务无关数据或非法软件，占用网络带宽； f) 有其它通常违反计算机信息安全要求行为。6.1.4以下违纪行为，视其情节最高可给通报批评处分：a) 离开计算机时不立即进行锁屏或不按要求设置自动启用屏幕保护；b) 职员随意在自己计算机内设置共享目录，未设置口令保护，并在共享完成后未能立即取消共享功效；c) 有其它轻度违反计算机信息安全要求行为。7相关文件71 信息化应用系统管理要求72 保密制度73 计算机机房管理要求74 信息备份和数据恢复管理制度75 计算机设备管理措施8统计81计算机信息提取（输入）申请单82出图申请单83信息安全违规统计表84计算机安全检验统计表85数据备份统计表8. 6配置变更记录表9 附件91网络和计算机外部设备访问权限申请步骤92计算机信息提取（输入）步骤93 CAD出图管理步骤94 电子数据归档步骤附加说明： 本制度由信息化管理部门提出并解释。本制度关键起草人：翟艺 曾筝本制度审核人： 张飞庆 本制度同意人：王玉坤 统计1：计算机信息提取（输入）申请单申请人信息等级提取时间信息起源部门责任人信息提取部门责任人审批人信息名称介质信息起源及目标地计算机信息安全工程师销毁人证实人销毁时间注：信息等级审批，绝密信息CEO； 机密信息分管领导； 秘密和通常信息部门责任人。统计2：出 图 申 请 单部门出图人项目用 途图幅数量代 号（编 码）名 称A0A1A2A3A4项目责任人审批计算机信息安全工程师日期备注：A0、A1必需填写代号、名称。 总图、一级部件不管图幅大小，必需填写代号、名称。统计3：信息安全违规统计表基础信息违规人姓名所属部门计算机名/IP账号违规时间违规行为描述违纪定级呈报单位呈报人呈报时间统计4：计算机安全检验统计表单位名称： 年 季度设备号机器IP 使用者部门时间系统状态描述统计人： 审批人：统计5：数据备份统计表信息化应用系统基础信息应用名称所在园区操作员操作系统类型数据库类型支撑平台备份内容数据库/程序备份类型（增备/全备）备份周期备份目标园区备份方法手动/自动备份介质备份操作统计表时间备份情况说明备份结果统计6：配置变更记录表 编号： G+年月日+次序号 日 期设备名设备编号统计人变更原因： 配 置 内 容原内容：变更内容： 审核：_附件9.1 网络和计算机外部设备访问权限申请步骤适用范围：本步骤适适用于企业计算机网络（包含跨网段计算机、互联网等网络）及计算机外部设备（包含光驱、USB外设、移动存放等设备）访问权限申请管理。步骤图说明责任人（参与人）接收申请审批No Yes开通权限归档l 接收直属部门或经营单元相关责任人审批经过后申请l 按权限分级审批申请： 直属部门及没有派驻信息化主管经营单元申请 有派驻信息化主管经营单元申请l 按权限分级开通计算机安全权限，并将结果反馈给申请人： 直属部门申请及跨网段计算机访问 经营单元申请（不包含跨网段计算机访问）l 存档汇总企业信息化部信息安全工程师、经营单元信息安全工程师企业信息化部部长派驻经营单元信息化主管企业信息化部信息安全工程师经营单元信息安全工程师企业信息化部信息安全工程师9.2计算机信息提取(输入)步骤适用范围：本步骤适适用于企业全部计算机信息提取（输入）管理。步骤图说明责任人（参与人）归档验收提取信息接收申请No Yes 派发任务l 接收按计算机信息涉密等级分级审批经过后申请： “通常”和“秘密”级信息申请 “机密”级信息申请 “绝密”级信息申请l 派发信息提取（输入）任务l 提取（输入）信息l 确定信息提取（输入）是否完成l 存档汇总企业信息安全室主任、经营单元信息化相关室主任信息输入或输出部门责任人申请部门分管领导经营单元总经理或CEO企业信息安全室主任、经营单元信息化相关室主任企业信息化部信息安全工程师、经营单元信息安全工程师企业信息化部信息安全工程师、经营单元信息安全工程师(申请人)企业信息化部信息安全工程师9.3 CAD出图管理步骤适用范围：本步骤适适用于企业全部CAD图纸输出管理。步骤图说明责任人（参与人）归档图纸清收出图接收申请NoYesl 接收申请部门责任人审批经过后申请l 图纸输出： 依据图纸输出类型（白图、描图）安排绘图仪 立即更换纸张，定时检验墨盒容量，保障绘图仪正常运行l 图纸输出后进行清点： 清点领取图纸，如有误，重新出图 对申请人清点后图纸进行图纸代号和名称查对，统计实际出图数量l 存档汇总： 每三个月将步骤汇总，统计出图数量 计算各部门出图费用，交申请部门分管领导签字后汇总给财务部门企业信息化部信息安全工程师、经营单元信息安全工程师企业信息化部信息安全工程师、经营单元信息安全工程师申请人企业信息化部信息安全工程师、经营单元信息安全工程师企业信息化部信息安全工程师、经营单元信息安全工程师9.4电子数据备份及归档步骤适用范围：本步骤适适用于企业全部电子数据归档、应用系统备份管理。步骤图说明责任人（参与人）接收申请实施备份归档Yes备份方案校验No方案审批NoYesl 接收申请部门和信息化部责任人审批经过后申请： 电子数据归档 应用系统备份l 根据信息备份和数据恢复管理措施要求依据备份类型设计信息备份方案： 电子数据归档 应用系统备份l 方案审批l 依据信息备份和数据恢复管理措施实施数据备份： 电子数据归档 应用系统备份l 确定信息备份是否成功 电子数据归档 应用系统备份l 存档汇总： 将电子数据备份介质密封提交给企业档案室保管 删除相关临时文件，以预防泄密 统计应用系统备份日志信息安全室主任信息系统运行室主任信息化部信息安全工程师信息化部信息系统运行工程师信息化部部长信息化部信息安全工程师(督察部、申请人)信息化部信息系统运行工程师(信息化部系统管理员)信息化部信息安全工程师(申请人）信息化部信息系统运行工程师(信息化部系统管理员)信息化部信息安全工程师(督察部、企业档案管理员)信息化部信息安全工程师(督察部)信息化部信息系统运行工程师(信息化部系统管理员)