某燃机热电信息管理制度汇编.docx

《某燃机热电信息管理制度汇编.docx》由会员分享，可在线阅读，更多相关《某燃机热电信息管理制度汇编.docx（37页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、某燃机热电信息管理制度汇编信息安全管理制度信息安全管理制度琥珀（安吉）燃机热电有限公司2016.01. 15进行技术与安全方面的培训。第47条 灾难恢复演习应至少每年举行一次。7. 3. 2惩戒过程第48条 违反公司安全管理制度、标准与程序的员工将受到纪律 处分。在对信息安全事件调查结束后，务必对事件中的有关人员根据 公司的惩戒规定进行处罚。纪律处分包含但不限于：1）通报批判2）警告3）记过4）解除劳动合同5）法律诉讼第49条 当员工在同意可能涉及解除劳动合同与法律诉讼的违 规调查时，其直接领导应暂停受调查员工的工作职务与其访问权限， 包含物理访问、系统应用访问与网络访问等。员工在同意调查时能

2、够 陈述观点，提出异议，并有进一步申诉的权力。7. 3.3资产归还第50条 在终止雇佣、合同或者协议时，所有员工及第三方人员 务必归还所使用的全部公司资产。需要归还的资产包含但不限于：1）帐号与访问权限2）公司的电子或者纸质文档3）公司购买的硬件与软件资产4）公司购买的其他设备第51条 假如在非公司资产上储存有公司的资产，务必在带出公 司前归还或者删除公司的资产。7. 3.4删除访问权限第52条 在终止或者变更雇佣、合同、协议时，务必删除所有员 工及第三方人员对信息与信息系统的访问权限，或者根据变更进行相 应的调整。所有删除与调整操作务必在最后上班日之前完成。第53条 关于公用的资源，务必进行

3、及时的调整，比如：公用的 帐号务必立即更换密码。第54条 在已经确定员工或者第三方终止或者变更意向后，务必 及时对他们的权限进行限制，只保留终止或者变更所需要的权限。8物理与环境安全方面8. 1安全区域8. 1. 1物理安全边界第55条 在公司的物理环境里，应该对需要保护的区域根据其重 要性划分为不一致的安全区域。特别是有重要设备的安全区域（比如 机房）应该部署相应的物理安全操纵。第56条 在机房的统一入口处务必设立有专人值守的接待区域， 在特别重要的安全区域也应该设立类似的接待区域。第57条 在非办公时间内，重要的安全区域务必安排保安定时巡 视。任何时候，机房务必至少有一位保安值班。保安值班

4、表应最少 每月调整一次。8. 1.2安全区域访问操纵第58条 在非办公时间，所有进入安全区域的入口都应该受到操 纵，比如实施电子门禁或者者上锁。任何时候，重要安全区域的所有 出入口务必受到严格的访问操纵，确保只有授权的员工才能够进入此 区域。第59条 关于设有访问操纵的安全区域，务必定期审核并及时更 新其访问权限。所有员工都务必佩戴一个身份识别通行证，有责任确 保通行证的安全并不得转借他人。员工离职时务必交还通行证，同时 取消其所有访问权限。第60条 所有来宾的有关资料都务必全面记载在来宾进出登记 表中，并向获准进入的来宾发放来宾通行证。同时，务必有相应的程 序以确保回收所发放的来宾通行证。来

5、宾进出登记表务必至少保留1 年，记录内容应包含但不限于：1）来宾姓名2）来宾身份3）来宾工作单位4）来访事由5）负责接待的员工6）来宾通行证号码7）进入的日期与时间8）离开的日期与时间8. 1. 3办公场所与设施安全第61条 放珞敏感或者重要设备的区域（比如机房）应尽量不引 人注目，给外面的信息应尽量最少，不应该有明显的标志指明敏感区 域的所在位珞与用途。这些区域还应该被给予相应的保护，保护措施包含但不限于：1）所有出入口务必安装物理访问操纵措施2）使用来宾登记表以便记录来访信息3）严禁吸烟第62条 务必对支持关键性业务活动的设备提供足够的物理访 问操纵。所有安全区域与出入口务必通过闭路电视进

6、行监控。普通会 议室或者其它公众场合务必与安全区域隔离开来。无人值守的时候， 办公区中的信息处理设备务必从物理上进行保护。门与窗户务必锁 好。8. 1. 4防范外部与环境威胁第63条 办公场所与机房的设计与建设务必充分考虑火灾、洪 水、地震、爆炸、骚乱等天灾或者人为灾难，并采取额外的操纵措施 加以保护。第64条 机房务必增加额外的物理操纵，选取的场地应尽量安 全，并尽可能避免受到灾害的影响。机房务必有防火、防潮、防尘、 防盗、防磁、防鼠等设施。第65条 机房建设务必符合国标GB2887-89计算机场地技术条 件与GB9361-88计算站场地安全要求中的要求。第66条 机房的消防措施务必满足下列

7、要求：1）务必安装消防设备，并定期检查。2）应该指定消防指挥员。3）机房内严禁存放易燃材料，每周例行检查一次。4）务必安装烟感及其他火警探测器与灭火装谿。应每季度定期检 查这些装备，确保它们能有效运作。5）务必在明显位络张贴火灾逃生路线图、灭火设备平面放珞图与 安全出口的位貉。6）安全出口务必有明显标识。7）应该训练员工熟悉使用消防设施。8）紧急事件发生时务必提供紧急照明。9）所有疏散路线都务必时刻保持通畅。10）务必保证防火门在火灾发生时能够开启。11）每年应至少举行一次火灾撤离演习，使工作人员熟知火灾撤离 的过程。8. 1. 5在安全区域工作第67条 员工进入机房的访问授权，不能超过其工作

8、所需的范 围。务必定期检查访问权限的分配并及时更新。机房的访问权限应不 一致于进入大楼其它区域的权限。第68条 所有需要进入机房的来宾都务必提早申请。务必保护与 及时更新来宾记录，以掌握来宾进入机房的全面情况。记录中应全面 说明来宾的姓名、进入与离开的日期与时间，申请者与进入的原因。 机房来宾记录至少储存一年。来宾务必得到明确许可后，在专人陪同 下才能进入机房。第69条 机房的保护应在专家的指导下进行，务必安装合适的安 全防护与检测装貉。机房内严禁吸烟、饮食与拍摄。8. 1. 6机房操作日志第70条务必记录机房管理员的操作行为，以便其行为能够追 踪。操作记录务必备份与保护并妥善保管，防止被破坏

9、。第71条 在机房值班人员交接时，上一班值班人员所遗留的问题 与从事的工作应明确交待给下一班，保证有关操作的连续性。8.2设备安全2.1设备的安置及保护第72条 务必对设备实施安全操纵，以减少环境危害与非法的访 问。应该考虑的因素包含但不限于：1)2)3)4)5)水、火烟雾、灰尘震动化学效应电源干扰、电磁辐射第73条 设备务必放珞在远离水灾的地方，并根据需要考虑安装 漏水警报系统。应急开关如电闸、煤气开关与水闸等都务必清晰地 做好标识，同时能容易访问。设备都应该装有合适的漏电保险丝或 者断路器进行保护。放路设备的区域务必满足厂商提供的设备环境 要求。设备的操作务必遵守厂商提供的操作规范。通信线

10、路与电缆 务必从物理上进行保护。8. 2. 2支持设施第74条支持设施能够支持物理场所、设备等的正常运作，比如: 电力设施、空调、排水设施、消防设施、静电保护设施等。务必采取 保护措施使设备免受电源故障或者电力特殊的破坏。务必验证电力供 应是否满足厂商设备对电源的要求。每年应至少对支持设施进行一次 安全检查。工作环境中增加新设备时，务必对电力、空调、地板等支 持设施的负荷进行审核。务必设辂后备电源，比如不间断电源（UPS） 或者发电机。对需要配备后备电源的设备装貉进行审核，确保后备电 源能够满足这些设备的正常工作。每年务必至少对备用电源/进行一 次测试。应急电源开关应位于机房的紧急出口邻近，以

11、便紧急状况发 生时能够迅速切断电源。电缆应根据供电电压与频率的不一致而相互 隔离。所有电缆都应带有标签，标签上的编码应记录归档。电缆应从 物理上加以保护。8. 2. 3设备保护第75条 所有生产设备务必有足够的保护保障，关键设备务必提 供7x24的现场保护支持。所有生产设备务必定期进行预防性保护。 只有通过批准的、受过专业培训的工作人员才能进行保护工作。设备 的所有保护工作都应该记录归档。假如设备需要搬离安全区域进行修 理，务必获得批准并卸载其存储介质。第76条 务必建立设备故障报告流程。关于需要进行重大维修的 设备，流程还应该包含设备检修的报告，及换用备用设备的流程。8. 2. 4管辖区域外

12、设备安全第77条 笔记本电脑用户务必保护好笔记本电脑的安全，防止笔 记本电脑损坏或者被偷窃。第78条 假如将设备带出公司，设备拥有者务必亲自或者指定专 人保护设备的安全。设备拥有者务必对设备在公司场所外的安全负 责。8. 2. 5设备的安全处理或者再利用第79条 再利用或者报废之前，设备所含有的所有存储装络（比 如硬盘等）都务必通过严格检查，确保所有敏感数据与软件已被删除 或者改写，同时不可能被恢复。应该通过风险评估来决定是否完全销 毁、送修还是丢弃含有敏感数据的已损坏设备。9通信与操作管理方面8.1 操作程序与职责1.1规范的操作程序第80条 务必为所有的业务系统建立操作程序，其内容包含但不

13、 限于：1）系统重启、备份与恢复的措施2）通常性错误处理的操作指南3）技术支持人员的联系方法4）与其它系统的依靠性与处理的优先级5）硬件的配貉管理第81条 操作程序务必征得管理者的同意才能对其进行修改。操 作程序务必及时更新，更新条件包含但不限于：1）应用软件的变更2）硬件配谿的变更9. 1. 2变更操纵第82条 务必建立变更管理程序来操纵系统的变更，所有变更都 务必遵守变更管理程序的要求。程序内容包含但不限于：1）识别与记录变更请求2）评估变更的可行性、变更计划与可能带来的潜在影响3）变更的测试4）审批的流程5）明确变更失败的恢复计划与责任人6）变更的验收第83条 重要变更务必制定计划，并在

14、测试环境下进行足够的测 试后，才能在生产系统中实施。所有变更务必包含变更失败的应对措 施与恢复计划。所有变更务必获得授权与批准，变更的申请与审批不 得为同一个员工。对变更需要涉及的硬件、软件与信息等对象都应标 识出来并进行相应评估。变更在实施前务必通知到有关人员。第84条 变更的实施应该安排在对业务影响最小的时间段进行， 尽量减少对业务正常运营的影响。在生产系统安装或者更新软件前， 务必对系统进行备份。变更完成后，有关的文档（如系统需求文档、 设计文档、操作手册、用户手册等）务必得到更新，旧的文档务必进 行备份。第85条 务必对变更进行复查，以确保变更没有对原先的系统环 境造成破坏。务必完整记

15、录整个变更过程，并将其妥善保管。变更的 记录应至少每月复查一次。9. 1.3职责分离第86条 系统管理员与系统开发人员的职责务必明确分开。同一 处理过程中的重要任务不应该由同一个人来完成，以防止欺诈与误操 作的发生。第87条 所有职责分离的操纵务必记录归档，作为责任分工的根据。无法采取职责分离时，务必采取其它的操纵，比如活动监控、审 核跟踪评估与管理监督等。9. 1. 4开发、测试与生产系统分离第88条 不应给开发人员提供超过其开发所需范围的权限。假如 开发人员需要访问生产系统，务必通过运营人员的授权与管理。第89条 生产、测试与开发应分别使用不一致的系统环境。开发 人员不得在生产环境中更换编

16、码或者操作生产系统。不得在生产系统 上擅自安装开发工具（比如编译程序及其他系统公用程序等），并做 好已有开发工具的访问操纵。开发与测试环境使用的测试数据不能包 含有敏感信息。9. 1.5事件管理程序第90条 务必建立事件管理程序，并根据事件影响的严重程度制 订其所属类别，同时说明相应的处理方法与负责人。务必根据事件的 严重程度，定义响应的范围、时间与完成事件处理的时间。第91条 系统的修复务必得到系统管理者的批准方可执行。第92条 所有事件报告务必记录归档，并由部门主管或者指定人 员妥善保管。务必对事件的处理情况进行监控，对超时的处理提出改 进建议并跟进改进效果。9. 2第三方服务交付管理9.

17、 2. 1服务交付第93条 第三方提供的服务务必满足安全管理制度的要求。第三 方提供的服务务必满足公司业务连续性的要求。第94条 务必保留第三方提供的服务、报告与记录并定期评审， 至少每半年一次。评审内容应包含：1）服务内容与质量是否满足合同要求；2）服务报告是否真实。9. 2.2第三方服务的变更管理第95条 服务改变时，务必重新对服务是否满足安全管理办法进 行评估。在服务变更时需要考虑：1）服务价格的增长；2）新的服务需求；3）公司信息安全管理制度的变化；4）公司在信息安全方面新的操纵。9.3针对恶意软件的保护措施3.1对恶意软件的操纵第96条 务必建立一套病毒防治体系，以便防止病毒对公司带

18、来 的影响。所有服务器、个人电脑与笔记本电脑都应该安装公司规定的 防病毒软件，并及时更新防病毒软件。所有存进计算机的信息（比如 接收到的邮件、下载的文件等）都务必通过病毒扫描。员工与第三方 厂商从外界带来的存储介质在使用之前务必进行病毒扫描。第97条 所有员工都应该同意防病毒知识的培训与指导。第98条 公司内发现的病毒、计算机或者应用程序的特殊行为， 都务必作为安全事件进行报告。第99条 务必定期审核操纵恶意软件措施的有效性。一旦发现感 染病毒，务必立刻把机器从网络中断开。在病毒没有被完全清除之前, 严禁将其重新连接到网络上。9.4 备份4.1信息备份第100条所有服务器、个人电脑与笔记本电脑

19、务必根据业务需 求定期进行备份。系统在重大变更之前与之后务必进行备份。第101条 备份管理办法务必获得管理层的审批以确保符合业务 需求。备份管理办法务必至少每季度进行一次复查，以确保没有发生 未授权或者意外的更换。第102条 应该保留多于1个备份周期的备份，但重要业务信息 应至少保留3个备份周期的备份。备份资料与相应的恢复操作手册务 必定期传送到异地进行储存。异地务必与主站点有一定的距离，以避 免受主站点的灾难波及。第103条务必对异地储存的备份信息实施安全保护措施，其保 护标准应与主站点相一致。务必定期测试备份介质，确保其可用性。 务必定期检查与测试恢复步骤，确保它们的有效性。备份系统务必进

20、 行监控，以确保其稳固性与可用性。9.5 网络管理5.1网络操纵第104条网络管理与操作系统管理的职责应该彼此分离，并由 不一致的员工承担。务必明确定义网络管理的职责与义务。只有得到 许可的员工才能够使用网络管理系统。第105条务必建立相应的操纵机制，保护路由表与防火墙安全 管理办法等网络参数的完整性。保护通过公网传送敏感数据的机密 性、完整性与可用性。第106条进行网络协议兼容性的评估时应考虑将来新增网络设 备的要求。任何准备接进网络的新设备，在进网前都务必通过协议兼 容性的评估与安全检查。第107条务必对网络进行监控与管理。所有网络故障都务必向 上级报告。第108条务必建立互联网的访问管理

21、办法。除非得到授权，否 则禁止访问外部网络的服务。1. 6介质的管理6.1可移动介质的管理第109条可移动计算机存储介质（比如磁带、光盘等）务必有 适当的访问操纵。存储介质上务必设谿标签，以标识其类型与用途。 标签应使用代码，以避免直接标识存储介质上的内容。标识用的代码 需要记录并归档。第110条务必建立与保护介质清单，并对介质的借用与归还进 行记录。应确保备有足够的存储介质，以备使用。第in条 存放在存储介质内的绝密与机密信息务必受到妥善保 护。第112条存储介质的存放环境务必满足介质要求的环境条件 （比如温度、湿度、空气质量等）。第113条 备份介质务必存储在防火柜中。应该对介质的寿命进

22、行管理，在介质寿命结束前一年，将信息拷贝到新的介质中。9. 6.2介质的销第114条 应建立存储介质的报废规范，包含但不限于：1）纸质文档2）语音资料及其他录音带3）复写纸4）磁带5）磁盘6）光存储介质第115条 所有不可能被再利用的敏感文档都务必根据定义的信 息密级采取适当的方式进行销毁。第116条所有报废及过期的存储介质务必妥善销毁。10. 6. 3信息处理程序第117条介质的信息分类，务必使用存放信息中的最高保密等 级。第118条 应根据介质中信息的分类级别，采取相应措施来保护 介质的输出环境。11. 6.4系统文档的安全第119条存取含有敏感信息的文档，务必获得相应文档管理者 的批准。

23、含有敏感信息的文档应储存在安全的地方，未经许可不得访 问。含有敏感信息的文档通过内部网等提供访问的，应使用访问操纵 加以保护。9. 7信息交换第120条务必根据信息的类型与保密级别，定义信息在交换过 程中应遵循的安全要求。第121条 所有员工与第三方人员都务必遵守公司的信息交换管 理办法。第122条 未经许可，公司内部不同意安装、使用无线通信设备。第123条使用加密技术保护信息的保密性、完整性与真实性。敏感信息带出公司务必获得直接领导或者信息管理者的授权。第124条 务必建立操纵机制来保护利用音频、传真与视频通信 设备进行交换的信息。第125条电话录音系统应该配络密码，以防非法访问。第126条

24、在使用传真机中已存储的号码时，传真之前务必验证 号码。第127条 移动通讯设备（比如手机，PDA等）不应存储公司敏 感信息。10. 7. 2交换协议第128条跟外界进行信息与软件交换务必签署协议，其内容务 必包含：1）发送方与接收方的责任2）明确发送与接收的方式3）制定信息封装与传输的技术标准4）数据丢失的有关责任5）声明信息的保密级别与保护要求6）声明信息与软件的所有权、版权与其他有关因素9. 7. 3物理介质传输第129条务必建立传输存储介质的安全标准。应使用可靠的传 输工具或者传递人，授权的传递人务必同意适当监管并进行其身份的 检查。应确保敏感信息的机密性、完整性与可用性在传输全程中受到

25、 保护。第130条存放介质的容器在运输过程前务必密封。信息分类不 应该标识在容器的外面。包装应该非常结实，确保介质在运输过程中 不受到损坏。9. 7.4电子消息第131条 电子化办公系统务必建立相应的管理办法与操纵机 制，并阐明下列内容：1）确定不能被共享的信息的类型或者密级2）系统用户的权限3）系统的访问操纵4）与系统有关的备份管理办法第132条除非获得安全管理委员会的授权，否则禁止使用公司 以外的电子系统（比如BBS、MSN、QQ等）进行跟公司有关的活动。第133条电子邮件内的信息务必根据其信息分类的安全要求去 处理与保护。用于连接外网的邮件网关务必安装防病毒软件，检查进 出的电子邮件。务

26、必对Internet屏蔽邮件系统的内网IP地址。第134条 员工使用公司的邮件系统时只能进行与业务有关的活 动。所有在公司的邮件系统上产生及存储的邮件都是公司资产。公司 有权查看与监控所有邮件。未经授权，严禁使用公司以外的邮箱处理 公司业务。所有对外发送的邮件都务必加上责任声明。9. 7. 5业务信息系统第135条 在业务系统进行信息共享时，务必保证信息的完整性、 可用行与保密性。务必保证重要信息在交换过程中的保密性。9.8 电子商务服务8. 1电子商务第136条务必采取适当措施，保证电子交易过程的机密性、完 整性与可用性。第137条电子商务的交易务必制定有关的交易声明，以明确注 意事项与有关

27、责任。在电子商务的协议中，务必明确欺诈行为与未能 交付的责任。第138条电子交易务必设谿并保护适当的访问操纵。身份验证 技术务必满足业务的实际要求。第139条务必保留并保护所有电子商务交易过程中的记录与日 志。第140条 应该使用加密、电子证书、数字签名等技术保护电子 商务安全。9. 8. 2在线交易第141条 务必保护在线交易信息，避免不完整的传输、路由错 误、未授权的消息更换、未授权的信息信息泄漏、复制与回复。第142条在线交易中务必使用数字证书保护交易安全。交易中 务必使用加密技术对所有通信内容加密。在线交易务必使用安全的通 讯协议。第143条在线交易信息务必储存在公司内部的存储环境，存

28、储 环境不能被从Internet直接访问。第144条 在线交易务必遵守国家、地区与行业有关的法律法规。10. 8. 3公共信息第145条务必确保公共信息系统中信息的完整性，并防止非授 权的修改。第146条信息的公布务必遵守国家法律法规的要求。通过信息 公布系统向内部与公众公布的信息都务必通过公司有关部门的检查 与审批。信息在公布之前务必通过核对，确认其正确性与完整性。务 必对敏感信息的处理与存储过程进行保护。9.9 监控9. 9. 1日志第147条所有操作系统、应用系统都务必具有并启用日志记录 功能。第148条日志记录信息务必包含但不限于：1）用户ID；2）每项操作的日期与时间（至少要精确到秒

29、）；3）来源的标识或者位珞；4）成功的系统访问尝试；5）失败或者被拒绝的系统访问尝试；第149条日志类型包含但不限于：1）应用日志；2）系统日志；3）安全日志；4）操作日志；5）问题记录。第150条 务必确保日志记录功能在任何时候都能正常运行。应 该有机制监控日志的容量变化，在容量耗尽之前发出报警信息。第151条 除非特别声明，所有日志都务必被分类为“机密”。 日志应该定期复查，至少每月一次。9. 9. 2监控系统的使用第152条不一致的信息处理设备所要求的监控等级应该通过风 险评估来决定，务必考虑下列要素：1）系统的访问；2）所有特权操作；3）未授权的访问尝试；4）系统警报或者故障。第153

30、条应每天定时监控网络（包含网络性能与网络故障）， 并根据产生的报告，对特殊变化的网络流量，作进一步分析，以发现 潜在的网络安全问题。9. 9.3日志信息保护第154条 务必保证日志不能被修改或者删除，所有关于日志文 件的访问（如删除、写、读或者添加）尝试都应该有相应记录。第155条 除非特别声明，日志务必至少储存1年。只有授权的 员工才能访问并使用日志。务必采取操纵措施保护日志的完整性。10. 9.4管理员与操作员日志第156条 系统管理员与操作员的操作务必被记录日志。第157条日志记录应包含重要的操作，比如与用户管理有关的 操作（用户帐号的创建、删除、权限设路、修改）、与财务有关的操 作等。

31、第158条管理员与重要系统的操作员日志应该至少每周复查一 次。关于重要的财务系统与业务系统每天都要复查。11. 9.5故障日志第159条 务必启动故障日志功能。第160条务必保证故障记录的跟进处理，确保问题得到完全解 决，同时其纠正措施不可能带来新的安全问题。所有故障记录都应该 向上级汇报并记录归档。第161条 故障记录应妥善保管，防止被损坏，必要时应该进行 备份。9. 9.6时钟同步第162条 所有系统应该使用时钟同步服务，并使用同一时钟源。第163条 所有系统中的时间同意最多一分钟的偏差。第164条关于不能进行时钟同步的系统，务必对时间进行每月 一次的检查。10访问操纵方面9.1 1访问操

32、纵要求1. 1访问操纵管理办法第165条所有系统与应用都务必有访问操纵列表，由系统管理 者明确定义访问操纵规则、用户与用户组的权限与访问操纵机制。访 问操纵列表应该进行周期性的检查以保证授权正确。第166条访问权限务必根据工作完成的最少需求而定，不能超 过其工作实际所需的范围。务必按照“除非明确同意，否则一律禁止” 的原则来设辂访问操纵规则。第167条所有访问操纵务必建立相应的审批程序，以确保访问 授权的合理性与有效性。务必禁用或者关闭任何具有越权访问的功 能。员工的职责发生变化或者离职时，其访问权限务必作相应调整或 者撤销。第168条 系统自带的默认帐号应该禁用或者配辂密码进行保 护。10.

33、2用户访问管理2. 1用户注册第169条 开放给用户访问的信息系统，务必建立正式的用户注 册与注销程序。第170条 所有用户的注册都务必通过用户注册程序进行申请， 并得到部门领导或者其委托者的批准。系统管理者对用户具有最终的 授权决定权。务必保留与保护所有用户的注册信息的正式用户记录。第171条 负责用户注册的管理员务必验证用户注册与注销请求 的合法性。第172条 每个用户务必被分配唯一的帐号，不同意共享用户帐 号。用户一旦发现其帐号特殊，务必立即通知负责用户注册的管理员进行处理。假如用户帐号连续120天没有使用，务必禁用该帐号。第173条帐号名不能透露用户的权限信息，比如管理员帐号不 能带有

34、Admin字样。10. 2. 2特权管理第174条务必建立正式的授权程序，以确保授权得到严格的评 估与审批，并保证没有与系统与应用的安全相违背。第175条务必建立授权清单，记录与保护已分配的特权与其相对的用户信息。10. 2. 3用户密码管理第176条 只有在用户身份被确认后，才同意对不记得密码的用 户提供临时密码。第177条系统中统一管理帐号密码的模块储存的密码务必是加 密的。第178条 密码务必保密，不得与他人分享、放在源代码内或者 写在没有保护的介质上（如纸张）。第179条 务必强制用户在第一次登录时修改密码。第180条系统应该设谿定期的密码修改管理办法，并限制至少 最近3个旧密码的重用

35、。第181条 系统务必启用登录失败的限制功能，假如连续10次登 录失败，系统应该自动锁定有关帐号。第182条在通过电话传送密码往常务必确认对方的身份。第183条 禁止帐号与密码被一起传送，比如用同一封邮件传送 帐号与密码。第184条所有系统都应该建立应急帐号，应急帐号资料务必放 在密封的信封内妥善收藏，并操纵好信封的存取。务必记录所有应急 帐号的使用情况，包含有关的人、时间与原因等。应急帐号的密码在 使用后务必立刻修改，然后把新的密码装到信封里。12. 2. 4用户访问权限的检查第185条务必半年对注册用户的访问权限与系统特权进行一次 复查，关键系统务必每三个月复查一次。此过程应该包含但不限于

36、：1）确认用户权限的有效性与合理性2）找出所有特殊帐号（如长时间未使用与已离职人员的帐号等）， 进行分析并采取相应措施第186条务必对可疑的或者不明确的访问权限进行调查，并作为安全事故进行报告。10.3用户的责任10. 3. 110. 3. 1密码的使用第187条用户务必对其帐号的安全与使用负责，不管在何种情 况下，用户都不应该泄漏其密码。用户不应该使用纸张或者未受保护 的电子形式储存密码。用户一旦怀疑其帐号密码可能受到损害，应该 及时修改密码。第188条用户在第一次使用帐号时，务必修改密码。用户务必 至少每半年修改一次密码。特权帐号的密码务必至少每3个月修改一 次。用于系统之间认证帐号的密码

37、务必至少每半年修改一次。第189条 除非有技术限制，密码应该至少包含8个字符。此8 个字符务必包含数字与字母。第190条用户不应使用容易被猜测的密码，比如字典中的单词、 生日与电话号码等。前3次用过的密码不应该被重复使用。第191条 密码不应该被储存于自动登录过程中，比如IE中的帐 号自动储存。10. 3. 2清除桌面及屏幕管理办法第192条 所有服务器与个人电脑都务必启用带有口令保护的屏 幕保护程序，激活等待时间应少于10分钟。第193条无人使用时，服务器、个人电脑与复印机等务必保持 注销状态。第194条不能将机密与绝密信息资料遗留在桌面上，而应该根 据信息的保密等级进行处理。第195条务必

38、为信件收发区域与无人看管的传真机设珞适当的 保护措施。第196条 打印完敏感信息之后，务必确认信息已从打印队列中 清除。10.4网络访问操纵4. 1网络服务使用管理办法第197条 务必建立授权程序来管理网络服务的使用。第198条应遵循业务要求中所说明的访问操纵管理办法来限制 访问。第199条所有系统都务必设谿访问操纵机制来防止未经授权的 访问。10. 4. 2外部连接的用户认证第200条 对公司系统进行远程访问，务必建立适当的认证机制, 使用的机制应通过风险评估来决定。第201条通过拨号进行远程访问务必通过正式批准，并做好有 关记录。第202条 用于远程访问的调制解调器平常务必保持关闭，只有

39、在使用的时候才能打开。第203条 在公司外部进行远程办公，务必使用VPN进行连接。第204条 与外部合作伙伴进行信息交换，应该使用专线进行连 接。11. 4. 3远程诊断与配置端口的保护第205条 在不使用的时候，诊断端口应该被禁用或者通过恰当 的安全机制进行保护。第206条 假如第三方需要访问诊断端口，务必签订正式的协议。第207条 对远程诊断端口的访问，务必建立正式的注册审批程 序。访问者务必只被授予最小的访问权限来完成诊断任务，同时务必 得到认证。第208条 所有远程的诊断访问务必事先申请并获得批准。第209条 在远程诊断会话期间，务必记录所有执行的活动信息, 包含时间、执行者、执行动作

40、与结果等。这些记录应该由系统管理员 进行检查以确保访问者只执行了被授权的活动。12. 4. 4网络的划分第210条 务必将网络划分为不一致的区域，以提供不一致级别 的安全保护，满足不一致服务的安全需求。第211条 关于重要的网络区域务必设络访问操纵以隔离其他网 络区域。第212条 应该使用风险评估来决定每个区域的安全级别。第213条 公司外部与内网之间应该建立一个DMZo4. 5网络连接的操纵第214条 公司以外的网络连接，在建立连接前务必对外部的接 入环境进行评估，满足公司管理办法后才能接入。第215条 所有网络端口务必进行限制，以防止非授权的电脑接 入公司网络。限制要求至少应包含：1）所有

41、的端口默认都是关闭的，只有在通过正式批准后才能开通;2）端口的关闭务必在员工离职与岗位变动流程中表达；3）临时使用的端口或者位珞变动，员工务必主动申请停用原有端 口，开通新端口前务必先关闭原有端口。第216条 务必将网络接口与接入设备绑定，假如需要更换接入 的设备，务必通过部门经理的审批。第217条 所有接入公司网络的主机务必通过公司的标准化安 装。第218条 公司务必设立一个单独的网络区域供非公司标准化安 装的电脑接入，此区域在网络上是完全封闭、独立的。13. 4. 6网络路由的操纵第219条 路由访问操纵列表务必基于适当的源地址与目标地址 检查机制。所有对外提供网络服务的网络地址务必进行地

42、址转换。第220条 所有重要服务器的管理端口务必通过指定的路径进行 访问。10.5操作系统访问操纵10. 5. 1用户识别与认证第221条所有用户都应该被识别与认证。在每个系统上创建实 名用户，系统登陆务必使用实名用户。假如因特殊原因不能使用实名 用户登陆，务必通过安全管理委员会同意。第222条 用户认证失败信息中，应该不显示具体的失败原因。 比如不能显示“帐号不存在”或者“密码不正确”。第223条 假如由于业务要求需要使用共享用户帐号，那么此共 享帐号应该得到正式的批准并明文归档。第224条 系统管理员与应用管理员务必使用不一致的帐号。第225条 所有使用帐号密码进行认证的系统，在帐号密码传

43、送 过程中，应该使用加密保护措施防止泄漏。10. 5. 2密码管理系统第226条 系统应该强制用户在第一次成功登录后修改初始密 码。修改密码时，系统务必提示用户确认新密码，以防止输入错误。 不能明文显示输入的密码。第227条 密码文件应该与应用系统数据分开存储。密码处理时 务必使用单向加密。当密码接近失效期或者者已通过期时，系统应该 提示或者强制用户修改密码。第228条 所有默认的密码都应当在软件安装后立即更换。系统应该同意用户修改自己的密码。第229条 系统的密码管理办法务必满足如下要求：1）密码长度至少8个字符；2）启用密码复杂度要求，至少包含大写字母、小写字母、数字、 特殊字符中的三种；

44、3）管理员帐号密码有效期是90天；4）重要系统的用户帐号密码有效期是90天；5）非重要系统的普通帐号密码有效期是180天；6）记录的历史密码次数很多于5个；7）帐号密码验证失败锁定阀值是10次；8）帐号被锁定后务必由管理员解锁。9）假如因系统自身的功能限制不能满足上述管理办法的要求，其 设珞的密码管理办法务必经信息安全管理委员会审核同意。10. 5. 3系统工具的使用第230条 所有系统工具都应当被识别，不必要的工具务必从生 产系统中删除。10. 5. 4终端超时终止第231条 连接到服务器的所有终端，在30分钟内没有活动，都 应该被终止连接。10. 5. 5连接时间的限制第232条 对关键的

45、信息系统（如前珞机、合作伙伴主机等）提 供附加的安全保护，包含但不限于：1）只同意在之前协商好的时间段内访问（如：每天6点一6点半）2）只同意在正常的工作时间内访问（如：每周一至周五9点一17 点）3）远程诊断modem在不使用时务必处于关闭状态，在使用后务必 立即关闭。10.6应用系统访问操纵10. 6.1信息访问限制第233条 应用系统应该操纵用户的访问权限，如读写权限、删 除权限与执行权限。第234条 务必保证处理敏感信息的应用系统仅输出必需的信息 到授权的终端，同时应对这些输出功能进行定期检查，保证不存在输 出多余的信息。10. 6.2敏感系统的隔离第235条 应当根据应用系统的敏感程

46、度对系统进行适当的隔离 保护，比如：1）运行于指定的计算机上2）仅与信任的应用系统共享资源3）敏感系统的各个部分都应当以适当的方式进行保护。10. 7移动计算与远程办公7. 1移动计算第236条 移动设备（包含个人手持设备、笔记本电脑）与家庭 办公个人电脑都应该受到保护以防未授权访问。第237条 进行移动与家庭办公的员工，应该对其使用的设备做 好物理保护，防止丢失、偷窃与破坏等。存放在移动设备中的敏感信 息务必做好保护，比如使用加密以防泄漏。第238条 移动设备用户务必做好防病毒工作。移动设备中的公 司信息应该做好备份工作，防止丢失。10. 7. 2远程办公第239条 务必建立远程办公的使用标

47、准与授权程序。第240条 远程办公的访问权限务必基于最小权限的原则进行分 配，授权内容应该包含：1）同意访问的系统与服务2）同意进行的工作3）访问时段第241条 远程办公的访问操纵应该使用双重认证的方式。远程 办公的信息在传输过程中务必加密。第242条 员工离职或者不再使用远程办公时，务必取消其有关 的远程办公访问权限。务必定期对远程办公实施审计与安全监控。11信息系统采购、开发与保护方面11. 1系统安全需求系统的安全需求分析与范E第243条 在系统开发的整个过程（特别是在系统需求阶段）都 务必考虑安全需求，包含但不限于：1）系统架构2）用户认证3）访问操纵与授权信息安全制度1总则第1条 为规范信息安全管理工作，加强过程管理与基础设施管 理的风险分析及防范，建立安全责任制，健全安全内操纵度，保证信 息系统的机密性、完整性、可用性，特制定本规定。第2条 本规定适用于琥珀（安吉）燃机热电有限公司各部门及 生产现场。3管