最新网络安全管理制度11.doc

网络安全管理制度11(可以直接使用，可编辑 优秀版资料，欢迎下载）水富云水医院网络信息管理制度一、信息网络安全管理制度  1.局域网由医院办公室统一管理。  2。计算机用户加入局域网，必须由系统管理员安排接入网络，分配计算机名、IP地址、帐号和使用权限，并记录归档。  3.入网用户必须对所分配的帐号和密码负责,严格按要求做好密码或口令的保密和更换工作，不得泄密。登录时必须使用自己的帐号.口令长度不得小于6位，必须是字母数字混合。  4。任何人不得未经批准擅自接入或更改计算机名、地址、帐号和使用权限.业务系统岗位变动时，应及时重新设置该岗帐号和工作口令。  5.凡需联接互联网的用户，必需填写计算机入网申请表经单位分管领导或部门负责人同意后，由办公室安排和监控、检查，已接入互联网的用户应妥善保管其计算机所分配帐号和密码,并对其安全负责。不得利用互联网做任何与其工作无关的事情，若因此造成病毒感染,其本人应付全部责任。  6。入网计算机必须有防病毒和安全保密措施，确因工作需要与外单位通过各种存储媒体及网络通讯等方式进行数据交换，必须进行病毒检查。因违反规定造成电子数据失密或病毒感染，由违反人承担相应责任,同时应追究其所在部门负责人的领导责任。  7.所有办公电脑都应安装统一指定的趋势防病毒系统，并定期升级病毒码及杀毒引擎，按时查杀病毒。未经信息中心同意,不得以任何理由删除或换用其他杀毒软件（防火墙)，发现病毒应及时向办公室汇报，由系统管理员统一清除病毒。8.入网用户不得从事下列危害公司网络安全的活动:（1）未经允许，对公司网络及其功能进行删除、修改或增加；  （2）未经允许，对公司网络中存储、处理或传输的数据和应用程序进行删除修改或增加；  （3）使用的系统软件和应用软件、关键数据、重要技术文档未经领导批准，不得擅自拷贝提供给外单位或个人，如因非法拷贝而引起的问题，由拷贝人承担全部责任。  9。入网用户必须遵守国家的有关法律法规和公司的有关规定，如有违反，信息中心将停止其入网使用权，并追究其相应的责任。  10。用户必须做好防火、防潮、防雷、防盗、防尘和防泄密等防范措施，重要文件和资料须做好备份。 二、计算机使用管理制度  1.使用计算机必须经过培训学习后才能上岗。开启、关闭计算机应按照正确步骤进行,严禁直接人为的非法关机。主机和键盘旁不要放置水杯等盛满液体的容器.  2.不得私自拆装计算机和安装来历不明的软件.计算机发生故障不能工作时，不得擅自维修，应及时向系统管理员报告,由系统管理员或专业技术人员负责维护.  3.严禁私自带外设接入互联网.严禁将计算机中存储的软件和其它信息文档擅自拷贝给他人使用。也不得擅自修改、移动或删除计算机文件和系统设置。  4。不准使用来历不明的光盘、软盘.工作软盘、光盘应妥善保管，不得乱放乱用。  5.计算机系统中要求设置密码的地方都应设置个人密码并妥善保存，不可透露给无关人员。由于不设置个人密码或密码保密不力而发生问题的，由本人负全责。  6.计算机一般要求专人专用.多人共用的计算机要求设置各自的登录用户名及密码，不可越权使用。办公计算机不得用于业务以外的用途，与本工作无关的人员不得使用计算机。 7.对计算机保存的重要资料必须经常做好异机备份，以防系统崩溃而丢失。 8.所有办公电脑都应安装全省统一的趋势防病毒系统，并定期升级病毒码及杀毒引擎，未经信息中心同意，不得以任何理由删除系统内的防病毒软件，以保证电脑及网络安全。  9。计算机操作人员应采取措施做好电脑防尘、防盗、防潮、防触电、防鼠咬等工作。三、计算机病毒防范制度  1.信息网络管理员负责计算机病毒防范工作,并及时升级病毒库和杀毒引擎，定期进行病毒检测。  2。电脑操作员在工作中发现计算机有被病毒感染的迹象或因计算机病毒引起的计算机信息系统瘫痪、程序和数据严重破坏等重大事故时,应及时向系统管理员报告，并保护现场。  3。所有办公电脑都必须安装全省统一的趋势防病毒软件，任何人不得以任何理由关闭或删除系统内的病毒防火墙，以免电脑系统感染病毒，影响网络安全和日常工作。  4。载入办公网络电脑的软件系统安装前应进行病毒检测，禁止运行未经病毒检测的软件.  5.禁止在办公电脑上安装游戏软件、上色情网站以及使用QQ等即时通讯软件. 6.经远程通信传送的程序或数据，必须经过检测确认无病毒后方可使用。 7。任何部门和个人不得制作和传播计算机病毒，不得发布虚假的计算机病毒疫情。  8。各部门及电脑操作员在计算机病毒防治工作中应当履行下列职责： （1）不得故意输入计算机病毒; (2）不得向他人提供含有计算机病毒的文件、软件、媒体； （3)对在互联网上接收到来历不明的电子邮件，不要打开其附件,防止受到计算机病毒的攻击； (4)从互联网上直接下载的软件和浏览器插件要有可靠来源，因其可能有破坏性程序，必须对此严加防范;  (5）及时检测、清除计算机信息系统中的病毒,无法清除的，应当迅速采取隔离、控制措施,保护现场和相关数据，并及时向系统管理员报告。  四、计算机软件管理制度  1。核心业务软件使用全省统一软件，各单位、各部门不得自行设计、开发、 购买。办公类计算机软件由信息中心统一配置或采购,数量较大的软件项目采购应采取招标或议标方式，并经公司决策层批准。  2。购置的计算机软件由信息中心登记,填写计算机软件档案卡，每个软件一卡；并且必须采购正版软件,不得购买盗版软件.  3。购置的软件技术资料应归档保管。  4。需要安装业务系统和OA系统的，须经主管领导批准同意，其它软件安装须经信息中心同意。软件的安装与删除由系统管理员操作.  5.软件一经安装使用，未经领导批准或信息中心同意，任何人不得将其卸载、删除。  6。软件不得随意借入非信息部门人员使用，不得借入非本公司人员使用。 7。加强对计算机软件使用权限的管理。因业务需要开通使用权限,需经部门负责人同意，由系统管理员设置相应权限.  五、计算机设备管理制度  计算机设备管理是指计算机主机设备、网络通信设备和外围设备的采购、领用、维修和报废等的管理。计算机设备管理由信息中心负责.  （一）设备采购  1。各部门因业务需要配制计算机设备，应先填写计算机设备需求申请表,经领导批准后，由信息中心汇同有关部门按规定统一采购。  2。在购置设备前应首先考虑调移、升级现有计算机设备，现有设备无法满足需求的情况下再组织采购.  3.计算机设备选型必须综合考虑可靠性、耐用性、适用性和经济性，尽可能选用重点知名品牌和性价比高的产品。  4。采购计算机配件单一品种超过一千元以上的应报请主管领导批准。一次采购设备单一品种价值超过一万元以上的,必须比质比价,按办公用品集中采购的有关规定执行。  5.对新购置的设备，由系统管理员安装、测试、验收合格后交由使用部门使用，并通知有关部门做好财产登记.  （二）设备领用  1。计算机设备使用须履行领用手续，由使用人填写计算机设备使用登记表，由系统管理员建立设备管理档案。  2。对闲置不用的计算机设备，使用部门应将设备退回信息中心统一保管或调移其它部门使用,并办理财产转移手续.  3.计算机设备的配件领用、更换由信息中心系统管理员统一配置。 (三)设备维修  1。非系统管理员或专业维修人员不得擅自维修计算机及其他设备。 2。系统管理员在接到设备故障报告后，一般应在一个工作日内完成修复，需延长维修时间的应向使用部门说明原因。  3。系统管理员不能维修时，应及时与供应商或产品维修中心联系,派专业技术人员维修.  4。设备维护应做好记录,并建立管理档案。 (四）设备报废  1.对性能不稳定、陈旧换代、寿命终结或难于满足业务需求的设备,如无法通过升级、维修使其胜任工作，应作设备报废处理。  2.报废设备由使用部门提出申请，填写设备报废申请表，由系统管理员提出鉴定意见和有关部门审查后，报领导审批。  3。设备报废应做好登记并通知有关部门核销. 六、信息系统维护管理制度  1。本制度所指系统包括：各业务应用系统、计算机操作系统、数据库系统、通讯系统、邮件系统等信息系统。  2。系统管理员每月至少一次定期对各信息系统进行检查是否正常运行，并填写系统维护登记表.  3。要定期核实各系统功能是否达到公司业务需求，如有不符,应报告上级领导并做好需求方案。  4.对各信息系统进行升级的时候，须谨慎、严格地执行升级步骤.升级前应该分析系统升级维护的风险，进行严格的测试,并选择在非业务操作时间进行系统升级维护工作。  5.当系统升级失败时，应及时卸载升级维护操作，利用备份恢复重要数据，并检查系统上原有数据能否正常操作。  6。建立系统故障防范与应急处理服务体系、系统应急预案和系统故障等级分类。发生故障时，应及时、快速处理或上报，并对故障处理情况进行记录，为系统应急处理积累经验。  7.对日常系统业务数据要进行备份，并检查备份的完整性。 8.对系统数据要进行严密的保护，不得随意做删除和复制等操作。  9.对系统的安装、维护、改动、升级、卸载等操作，必须填写系统维护日志。 七、信息网络机房管理制度  1。非管理人员，未经允许,不准擅自进入,进入机房必须换鞋或穿鞋套。外来人员进出机房必须填写进出机房登记表。  2.机房内应保持整洁,严禁吸烟,不准吃东西、不准随地吐痰及乱扔废物。 3.机房内物品应摆放有序，网线、电源线、数据线及设备等标签铺设整齐。4。机房内禁止存放易燃、易爆、易腐蚀物品及强磁性物体，配备气体灭火器及做好防盗、防潮、防尘、防鼠咬、防静电、防雷击等措施。  5。机房内温度应控制在摄氏±；湿度应控制在;温度变化率小于/，不得结露.  6。机房内所有设备系统要妥善保管和使用，机房内的电源插座、开关及有关设施固定使用，不得变更用途,不得随意接入其它设备，不得随意开关电源；增加设备时，要考虑电源负荷，机房内布信号线时,要尽可能远离电源线及避免并排敷设。  7。管理人员每天要对机房所有设备工作情况进行细致的检查，发现问题及时处理；下班时,要对所有设备的电源进行检查，该关的要切断电源，并检查门窗是否关好.  8.机房内所有设备系统要妥善保管、维护，不得随意操作、搬动、拆装、外借. 八、技术档案管理制度  信息技术档案建档对象为:计算机软件、设备资料、数据、技术资料、采购合同、施工图纸和文件等。  1.技术档案管理应专人负责，严格执行保密制度。对有关资料要及时立卷归档，做好档案的管理和服务。  2。信息中心管理的所有服务器、交换机、路由器的用户名和密码口令、网络系统配置参数为秘密资料，由系统管理员掌握,必须妥善归档保存，不得泄露.  3.信息中心提供借用的软件、技术资料仅限本市烟草商业系统员工使用，不得转借他人。涉及系统安全和网络安全的重要技术档案只限于在信息中心内部查询.  4。员工借用软件、技术资料等档案时，须办理借用手续,并在使用完后及时归还。档案管理员必须对借出的档案进行跟踪管理，对逾期不还的要及时催还.  5.对已归还的软件、技术资料等档案，管理员须认真检查、登记。如发现人为造成的损坏或将所借软件、技术资料等档案遗失，要追究责任。网络安全信息系统管理制度计算机信息网络单位应当在根河市网络安全主管部门监督指导下，建立和完善计算机网络安全组织，成立计算机网络安全领导小组。     1、确定本单位计算机安全管理责任人和安全领导小组负责人（由主管领导担任），应当履行下列职责：    （一）组织宣传计算机信息网络安全管理方面的法律、法规和有关政策；    (二）拟定并组织实施本单位计算机信息网络安全管理的各项规章制度；    （三)定期组织检查计算机信息网络系统安全运行情况，及时排除各种安全隐患;    （四）负责组织本单位信息安全审查；    (五）负责组织本单位计算机从业人员的安全教育和培训；    （六）发生安全事故或计算机违法犯罪案件时,立即向公安机关网监部门报告并采取妥善措施,保护现场，避免危害的扩散，畅通与公安机关网监部门联系渠道.      2、配备至名计算机安全员（由技术负责人和技术操作人员组成）,应当履行下列职责：    （一)执行本单位计算机信息网络安全管理的各项规章制度;    （二)按照计算机信息网络安全技术规范要求对计算机信息系统安全运行情况进行检查测试，及时排除各种安全隐患；    (三）根据法律法规要求,对经本网络或网站发布的信息实行24小时审核巡查，发现传输有害信息,应当立即停止传输，防止信息扩散,保存有关记录,并向公安机关网监部门报告；    (四）发生安全事故或计算机违法犯罪案件时，应当立即向本单位安全管理责任人报告或直接向公安机关网监部门报告，并采取妥善措施，保护现场,避免危害的扩大；    （五）在发生网络重大突发性事件时，计算机安全员应随时响应，接受公安机关网监部门调遣,承担处置任务;    （六）我市计算机安全技术人员必须经过市公安机关网监部门认可的安全技术培训，考核合格后持证上岗。合格证有效期两年.      3、单位安全组织应保持与公安机关联系渠道畅通，保证各项信息网络安全政策、法规在本单位的落实，积极接受公安机关网监部门业务监督检查。      4、单位安全组织的安全负责人及安全技术人员应切实履行各项安全职责，对不依法履行职责，造成安全事故和重大损害的，由公安机关予以警告,并建议其所在单位给予纪律或经济处理；情节严重的，依法追究刑事责任。 网络信息监视、保存、清除和备份制度一、严格执行国家及地方制定的信息安全条例. 二、上网用户必须严格遵循网络安全保密制度。三、提供的上网信息，必须经过办公主的审核后方可上网，并及时予以登记. 四、用户必须配合有关部门依法进行信息安全检查。 五、建立健全网络安全管理制度,采取安全技术措施，落实安全管理责任,加强对BBS等交互式栏目信息发布的审核,网络运行日志的管理，并将系统运行日志完整仅用3个月以上,以备公安机关的监督检查。 六、”安全专管员"要加强网络信息、监测,定期检查安全情况、计算机是否感染病毒并及时清除，同时应配合网络管理员对各开通服务器的系统日志进行不定期检查，及时发现隐患及时汇报与处理. 七、对网络上有害信息及时控制并删除。严防非法用户侵入我方网络从事非法活动,一经发现及 时进行相应的技术处理，如及时清除有需信息的传播途径、关闭相应的服务器等，并且保护好相关日志等数据，及时向有关部门报告。 八、出现有关网络安全隐患及时上报办公室,及时处理并作日志. 九、加强对用户数据的管理,发现异常用户，及时处理并上报办 公室备案。十、定期组织网络管理人员进行安全管理学习和培训. 违法案件报告和协助查处制度1、各接入单位应当自觉遵守网络法规,严禁利用计算机从事违法犯罪行为。2、对于本单位发生的计算机违法犯罪行为，各级网络管理员应当及时制止并立即上报信息中心，同时做好系统保护工作。3、对于所遭受到的攻击,各接人单位同样应当上报信息中心，同时做好系统保护工作.4、各接入单位有义务接受校网络管理中心和上级主管部门的监督、检查,并应积极配合做好违法犯罪事件的查处工作.5、信息中心应及时掌握公司网内各接入单位网络违法情况，并定期向主管领导和上级主管部门报告，并应协助各主管部门做好查处工作.信息发布、审核、登记制度    公司计算机信息发布实行各信息发布单位提出申请，办公室审核批准，信息中心具体实施的办法，各部门在信息发布方面必须恪守如下规定:    1、发布申请单位应当确保发布信息准确、真实,符合国家有关的各项法律、法规制度;    2、信息发布单位应当对所发布的信息备案记录，以加强管理；    3、信息审核单位应在充分理解国家有关的各项法律、法规制度的基础上及时处理申请单位的请求，并将审核意见及时反馈给申请单位;    4、在审核单位同意的基础上应将信息及时转发给信息中心;    5、信息审核单位应当做好信息请求。处理、转发的备案工作;    6、信息中心对所收到的经过审核后的信息在确认审核意见后，应及时在网上发布,并确保发布信息的准确性；  7、信息中心对所发布的信息应当做好备案工作。  病毒检测和网络安全漏洞检测制度     为保证我公司网的正常运行,防止各类病毒、黑客软件对公司内网主机构成的威胁,最大限度地减少此类损失，特制定本制度：1、各接入部门计算机内应安装防病毒软件、防黑客软件及垃圾邮件消除软件，并对软件定期升级。2、各接入单位计算机内严禁安装病毒软件、黑客软件，严禁攻击其它联网主机，严禁散布黑客软件和病毒。3、信息中心应定期检测公司网内病毒和安全漏洞，并采取必要措施加以防治。4、公司网内主要服务器应当安装防火墙系统，加强网络安全管理。5、信息中心定期对网络安全和病毒检测进行检查，发现问题及时处理。  帐号使用登记和操作权限管理制度 1、采取严密的安全措施防止无关用户进入系统;2、数据库管理系统的口令必须由电脑中心专人掌管，并要求定期更换.禁止同一人掌管操作系统口令和数据库管理系统口令;3、操作人员应有互不相同的用户名，定期更换操作口令。4、严禁操作人员泄露自己的操作口令；5、各岗位操作权限要严格按岗位职责设置。应定期检查操作员的权限； 6、重要岗位的登录过程应增加必要的限制措施； 安全管理人员岗位工作职责 1、在公安机关的指导下做好本单位计算机信息系统安全防范工作；2、及时向公安机关提供安全保护所需的资料；3、负责本单位计算机信息系统安全知识的宣传教育工作；4、定期对本单位的计算机信息系统进行检查。 安全教育和培训制度 1、网络管理中心应定期召开网络安全会议，通报网络安全状况，解决网络安全问题:2、网络管理中心应定期开发网络安全培训班,学习网络法律、法规,提高各接入单位的网络安全意识，提高网络安全水平.3、各接入部门应积极配合网络管理中心的工作，自觉参加各种培训活动。4、网络管理中心应当定期对学生进行网络安全教育，强化网络安全意识.增强守法观念. 其他与安全保护相关的管理制度 1、严格机房管理。建立完整的计算机运行日志、操作记录及其它与安全有关的资料；机房必须有当班值班人员；严禁易燃易爆和强磁物品及其它与机房工作无关的物品进入机房.2、加强技术资料管理。明确责任人,重要技术资料应有副本并异地存放。3、建立软件开发及管理制度。开发维护人员与操作人员必须实行岗位分离，开发环境和现场必须与生产环境和现场隔离。*公司网络安全管理制度1、机房管理规定  1.1、机房环境   1.1.1、机房环境实施集中监控和巡检登记制度。环境监控应包括:烟雾、温湿度、防盗系统。   1.1.2、机房应保持整齐、清洁。进入机房应更换专用工作服和工作鞋。   1.1.3、机房应满足温湿度的要求，配有监视温湿度的仪表或装置.温度:低于28°C   湿度：小于80   1。1。4、机房的照明及直流应急备用照明电源切换正常,照明亮度应满足运行维护的要求，照明设备设专人管理，定期检修.   1。1。5、门窗应密封，防止尘埃、蚊虫及小动物侵入。   1。1。6、楼顶及门窗防雨水渗漏措施完善；一楼机房地面要进行防潮处理，在满足净空高度的原则下,离室外地面高度不得小于15CM。  1。2、机房安全   1。2。1、机房内用电要注意安全,防止明火的发生，严禁使用电焊和气焊。   1。2。2、机房内消防系统及消防设备应定期按规定的检查周期及项目进行检查，消防系统自动喷淋装置应处于自动状态.   1。2。3、机房内消防系统及消防设备应设专人管理，摆放位置适当,任何人不得擅自挪用和毁坏；严禁在消防系统及消防设备周围堆放杂物，维护值班人员要掌握灭火器的使用方法.  1。2.4、机房内严禁堆放汽油、酒精等易燃易爆物品.机房楼层间的电缆槽道要用防火泥进行封堵隔离。严禁在机房内大面积使用化学溶剂.   1.2.5、无人值守机房的安全防范措施要更加严格，重要机房应安装视像监视系统。  1。3、设备安全   1.3.1、每年雷雨季节到来之前的要做好雷电伤害的预防工作，主要检查机房设备与接地系统与连接处是否紧固、接触是否良好、接地引下线有无锈蚀、接地体附近地面有无异常，必要时挖开地面抽查地下掩蔽部分锈蚀情况,如发现问题应及时处理。   1.3.2、接地网的接地电阻宜每年测量一次,测量方法按DL54894标准附录B，接地电阻符合该标准附录A的表1所列接地电阻的要求,要防止设备地电位升高,击穿电器绝缘,引发通信事故。   1.3。3、每年雷雨季节到来之前应对运行中的防雷元器件进行一次检测，雷雨季节中要加强外观巡视，发现异常应及时处理。   1。3.4、房设备应有适当的防震措施。  1。4、接地要求   1。4.1、独立的数据网络机房必须有完善的接地系统，靠近建筑物或变电站的数据网络机房接地系统必须在本接地系统满足DL548-94标准附录A的表1所列接地电阻的要求后才可与附近建筑物或变电站的接地系统连接，连接点不得少于两点。   1.4。2、机房内接地体必须成环，与接地系统的连接点不得少于两点,机房内设备应就近可靠接地.  1。5、人身安全   1。5。1、检修及值班人员要严格遵守安全制度，树立安全第一的思想，确保设备和人身的安全。   1。5.2、通信站保卫值班人员不得在通信设备与电器设备上作业.通信站内高压设备出现故障应立即通知高压检修人员抢修，保卫值班、通信检修人员不得进入高压场地安全区内.  2、帐户管理规定  帐户是用户访问网络资源的入口，它控制哪些用户能够登录到网络并获取对那些网络资源有何种级别的访问权限。帐户作为网络访问的第一层访问控制，其安全管理策略在全网占有至关重要的地位。   在日常运维中发生的许多安全问题很大程度上是由于内部的安全防范及安全管理的强度不够。帐户管理混乱、弱口令、授权不严格、口令不及时更新、旧帐号及默认帐号不及时清除等都是引起安全问题的重要原因。   对于账户的管理可从三个方面进行：用户名的管理、用户口令的管理、用户授权的管理。  2.1、用户名管理   用户注册时，服务器首先验证所输入的用户名是否合法，如果验证合法，才继续验证用户输入的口令,否则，用户将被拒于网络之外。用户名的管理应注意以下几个方面：   隐藏上一次注册用户名   更改或删除默认管理员用户名   更改或删除系统默认帐号   及时删除作费帐号   清晰合理地规划和命名用户帐号及组帐号   根据组织结构设计帐户结构不采用易于猜测的用户名   用户帐号只有系统管理员才能建立  2.2、口令管理   用户的口令是对系统安全的最大安全威胁，对网络用户的口令进行验证是防止非法访问的第一道防线。用户不像系统管理员对系统安全要求那样严格，他们对系统的要求是简单易用.而简单和安全是互相矛盾的两个因素,简单就不安全,安全就不简单.简单的密码是暴露自己隐私最危险的途径，是对自己邮件服务器上的他人利益的不负责任，是对系统安全最严重的威胁，为保证口令的安全性,首先应当明确目前的机器上有没有绝对安全的口令，口令的安全一味靠密码的长度是不可以的。安全的口令真的可以让机器算几千年，不安全的口令只需要一次就能猜出。    不安全的口令有如下几种情况：   （1）使用用户名（账号)作为口令。尽管这种方法在便于记忆上有着相当的优势，可是在安全上几乎是不堪一击.几乎所有以破解口令为手段的黑客软件，都首先会将用户名作为口令的突破口,而破解这种口令几乎不需要时间。在一个用户数超过一千的电脑网络中,一般可以找到10至20个这样的用户。    （2）使用用户名（账号)的变换形式作为口令。将用户名颠倒或者加前后缀作为口令，既容易记忆又可以防止许多黑客软件。不错，对于这种方法的确是有相当一部分黑客软件无用武之地，不过那只是一些初级的软件。比如说著名的黑客软件John，如果你的用户名是fool，那么它在尝试使用fool作为口令之后，还会试着使用诸如fool123、fool1、loof、loof123、lofo等作为口令，只要是你想得到的变换方法，John也会想得到,它破解这种口令，几乎也不需要时间。    (3）使用自己或者亲友的生日作为口令。这种口令有着很大的欺骗性，因为这样往往可以得到一个6位或者8位的口令,但实际上可能的表达方式只有100×12×31=37200种,即使再考虑到年月日三者共有六种排列顺序，一共也只有37200×6=223200种。    （4）使用常用的英文单词作为口令.这种方法比前几种方法要安全一些.如果你选用的单词是十分偏僻的，那么黑客软件就可能无能为力了.不过黑客多有一个很大的字典库，一般包含10万20万的英文单词以及相应的组合,如果你不是研究英语的专家，那么你选择的英文单词恐怕十之八九可以在黑客的字典库中找到。如果是那样的话,以20万单词的字典库计算，再考虑到一些DES（数据加密算法）的加密运算，每秒1800个的搜索速度也不过只需要110秒.    (5)使用5位或5位以下的字符作为口令.从理论上来说，一个系统包括大小写、控制符等可以作为口令的一共有95个，5位就是7737809375种可能性，使用P200破解虽说要多花些时间,最多也只需53个小时，可见5位的口令是很不可靠的，而6位口令也不过将破解的时间延长到一周左右。    不安全的口令很容易导致口令被盗，口令被盗将导致用户在这台机器上的一切信息将全部丧失，并且危及他人信息安全，计算机只认口令不认人。最常见的是电子邮件被非法截获,上网时被盗用。而且黑客可以利用一般用户用不到的功能给主机带来更大的破坏。例如利用主机和Internet连接高带宽的特点出国下载大型软件,然后在从国内主机下载;利用系统管理员给用户开的shell和unix系统的本身技术漏洞获得超级用户的权利；进入其他用户目录拷贝用户信息。 获得主机口令的途径有两个: 利用技术漏洞。如缓冲区溢出，Sendmail漏洞，Sun的ftpd漏洞，Ultrix的fingerd，AIX的rlogin等等。Ø   利用管理漏洞.如root身份运行 d，建立shadow的备份但是忘记更改其属性,用电子邮件寄送密码等等。安全的口令应有以下特点： 用户口令不能未经加密显示在显示屏上 设置最小口令长度强制修改口令的时间间隔 口令字符最好是数字、字母和其他字符的混合 用户口令必须经过加密 口令的唯一性 限制登录失败次数 制定口令更改策略 确保口令文件经过加密 确保口令文件不会被盗取 对于系统管理员的口令即使是8位带！*的也不代表是很安全的，安全的口令应当是每月更换的带!。.的口令。而且如果一个管理员管理多台机器,请不要将每台机器的密码设成一样的，防止黑客攻破一台机器后就可攻击所有机器。 对于用户的口令，目前的情况下系统管理员还不能依靠用户自觉保证口令的安全，管理员应当经常运用口令破解工具对自己机器上的用户口令进行检查，发现如在不安全之列的口令应当立即通知用户修改口令。邮件服务器不应该给用户进shell的权利，新加用户时直接将其shell指向/bin/passwd。对能进shell的用户更要小心保护其口令,一个能进shell的用户等于半个超级用户。保护好/etc/passwd和/etc/shadow当然是首要的事情.  不应该将口令以明码的形式放在任何地方，系统管理员口令不应该很多人都知道.另外，还应从技术上保密,最好不要让root远程登录,少用Telnet或安装SSL加密Telnet信息。另外保护用户名也是很重要的事情。登录一台机器需要知道两个部分用户名和口令。如果要攻击的机器用户名都需要猜测,可以说攻破这台机器是不可能的。 2.3、授权管理帐户的权限控制是针对网络非法操作所进行的一种安全保护措施。在用户登录网络时，用户名和口令验证有效之后，再经进一步履行用户帐号的缺省限制检查，用户被赋予一定的权限，具备了合法访问网络的资格。 我们可以根据访问权限将用户分为以下几类： 特殊用户(即系统管理员）; 一般用户，系统管理员根据他们的实际需要为他们分配操作权限；审计用户,负责网络的安全控制与资源使用情况的审计。用户对网络资源的访问权限可以用一个访问控制表来描述。 授权管理控制用户和用户组可以访问哪些目录、子目录、文件和其他资源.可以指定用户对这些文件、目录、设备能够执行哪些操作。同时对所有用户的访问进行审计和安全报警，具体策略如下: 2.4、目录级安全控制 控制用户对目录、文件、设备的访问。用户在目录一级指定的权限对所有文件和子目录有效，用户还可进一步指定对目录下的子目录和文件的权限。对目录和文件的访问权限一般有八种： 系统管理员权限（Supervisor） 读权限（Read) 写权限（Write） 创建权限（Create） 删除权限（Erase） 修改权限（Modify） 文件查找权限（File Scan） 存取控制权限（Access Control） 网络系统管理员应当为用户指定适当的访问权限，这些访问权限控制着用户对服务器的访问。八种访问权限的有效组合可以让用户有效地完成工作,同时又能有效地控制用户对服务器资源的访问，从而加强了网络和服务器的安全性。 2。5、属性级安全控制 属性安全控制可以将给定的属性与网络服务器的文件、目录和网络设备联系起来.属性安全在权限安全的基础上提供更进一步的安全性。网络上的资源都应预先标出一组安全属性.用户对网络资源的访问权限对应一张访问控制表，用以表明用户对网络资源的访问能力，避免引起不同的帐户获得其不该拥有的访问权限。属性设置可以覆盖已经指定的任何有效权限。属性往往能控制以下几个方面的权限： 向某个文件写数据 拷贝一个文件 删除目录或文件 查看目录和文件 执行文件 隐含文件共享 系统属性 网络的属性可以保护重要的目录和文件,防止用户对目录和文件的误删除、执行修改、显示等。网络管理员还应对网络资源实施监控,网络服务器应记录用户对网络资源的访问，对非法的网络访问，服务器应以图形或文字或声音等形式报警，以引起网络管理员的注意。 定期扫描与帐户安全有关的问题。由于帐户设置的问题使得系统用户可以有意或无意地插入帐户。用户帐号检测可以在系统的口令文件中寻找这类问题，同时寻找非活动帐号，它们往往是被攻击的对象.对帐户进行安全问题的检测，应使第三方扫描软件搜索不到您的内部帐户名称和口令,将可能出现的安全问题提前处理掉，并将当前系统帐户设置同上一次系统安全扫描评价时的设置相比较，将发现的新增的未认证帐户和用户修改过的标识删除，及时将发现的其它安全问题修正。 3、 运行网络安全管理3.1、目的 保障连云港菜篮子网的网络的安全运行，明确日常运行网络管理责任。 3.2、范围 本制度适应于对连云港菜篮子网网络系统和业务系统。 3。3、定义 运行网络安全是指网络系统和业务系统在运行过程中的访问控制和数据的安全性。包括资源管理、入侵检测、日常安全监控与应急响应、人员管理和安全防范. 3。4、日常安全监控 3。4.1、值班操作员每隔50分钟检查一次业务系统的可用性、与相关主机的连通性及安全日志中的警报。 3.4.2、网络管理员每天对安全日志进行一次以上的检查、分析.检查内容包括防火墙日志、IDS日志、病毒防护日志、漏洞扫描日志等. 3.4。3、网络管理员每天出一份安全报告,安全报告送网络处主管领导。重要安全报告由主管领导转送部门领导、安全小组和相关部门.所有安全报告存档科技部综合处,网络管理员在分析处理异常情况时能够随时调阅。文档的密级为A级，保存期限为二年。 3。4.4、安全日志纳入系统正常备份，安全日志的调阅执行相关手续，以磁介质形式存放，文档的密级为B级，保存期限为一年。 3.5、安全响应 3。5.1、发现异常情况，及时通知网络管理员及网络处主管领导，并按照授权的应急措施及时处理。 3.5。2、黑客入侵和不明系统访问等安全事故,半小时内报知部门领导和安全小组。 3。5。3、对异常情况确认为安全事故或安全隐患时，确认当天报知部门领导和安全小组。 3。5.4、系统计划中断服务15分钟以上，提前一天通知业务部门、安全小组.系统计划中断服务1小时以上时，提前一天报业务领导。文档的密级为C级，保存期限为半年。 3。5.5、非计划中断服务,一经发现即作为事故及时报计算机中心管理处、安全小组、科技部部门领导。非计划中断服务半小时以上，查清原因后，提交事故报告给安全小组、科技部部门领导。文档的密级为A级，保存期限为两年.3.6、运行网络安全防范制度 3.6.1、网络管理员每一周对病毒防火墙进行一次病毒码的升级。 3.6.2、网络管理员每个月对网络结构进行分析，优化网络，节约网络资源,优化结果形成文档存档，文档的密级为A级,保存期限为二年。 3。6。3、网络管理员每个月对路由器、防火墙、安全监控系统的安全策略进行一次审查和必要的修改,并对修改部分进行备份保存，以确保安全策略的完整性和一致性.对审查和修改的过程和结果要有详细的记录，形成必要的文档存档，文档的密级为A级，保存期限为二年. 3。6.4、网络管理员每个月对网络、系统进行一次安全扫描，包括NETRECON的检测,及时发现并修补漏洞，检测结果形成文档,文档密级为B级，保存期限为一年。 3。6.5、新增加应用、设备或进行大的系统调整时，必须进行安全论证并进行系统扫描和检测，系统漏洞修补后,符合安全要求才可以正式运行。 3。6.6、重大系统修改、网络优化、安全策略调整、应用或设备新增时，必须经过详细研究讨论和全面测试,并要通过安全方案审核，确保网络和业务系统的安全和正常运行。 3.6。7、系统内部IP地址需要严格遵守相关的IP地址规定. 3。6.8、严格禁止泄露IP地址、防火墙策略、监控策略等信息. 3。7、运行网络人员管理制度 3.7。1、严格限制每个用户的权限，严格执行用户增设、修改、删除制度，防止非授权用户进行系统登录和数据存取。 3。7。2、严格网络管理人员、系统管理人员的管理，严格执行离岗审计制度。3.7.3、对公司技术支持人员进行备案登记制度，登记结果存档，密级为C级，保存期限为半年。 4、数据备份4。1、目的 规范业务数据备份和恢复操作，确保业务系统和数据安全。 4。2、适用范围 业务系统各服务器的磁带备份和硬盘备份。其它服务器备份可参考本制度。 4。3、定义 循环日志备份方式，也称为脱机备份方式,是指当备份任务运行时,只有备份任务可以与