第1篇 以管理信息系統(tǒng)規(guī)范班組的安全管理
飛來峽水利樞紐位于廣東省北江干流中游清遠(yuǎn)市飛來峽管理區(qū)境內(nèi)，以防洪為主，兼有航運、發(fā)電、養(yǎng)殖、供水、旅游和改善生態(tài)環(huán)境等多種效益。由于樞紐生產(chǎn)班組眾多，且專業(yè)差別較大，班組內(nèi)技術(shù)人員和工人的素質(zhì)也不盡相同，這就導(dǎo)致了班組安全生產(chǎn)管理工作的難度增大。安全生產(chǎn)管理的職能部門難以及時掌握生產(chǎn)部門各班組有關(guān)的情況；班組之間有很多有用的信息難以共享，對整體安全生產(chǎn)管理水平的提高不利；故障和隱患處理等程序費時費力，跟不上社會信息化的步伐。隨著電腦應(yīng)用的普及和管理信息系統(tǒng)技術(shù)的日趨成熟，對班組的安全生產(chǎn)管理實行信息化處理顯得更為迫切。
1 信息系統(tǒng)的設(shè)置
為實現(xiàn)管理信息化，管理局于2001年建立了信息管理系統(tǒng)。系統(tǒng)包括了生產(chǎn)、安全管理、政工、人事、后勤等方面的內(nèi)容，包含了局日常工作的主要方面。其中安全監(jiān)察子系統(tǒng)的功能就是實現(xiàn)局安全生產(chǎn)工作的信息化管理。目前安全監(jiān)察子系統(tǒng)包括了安全工具檢查、安全生產(chǎn)活動、安全生產(chǎn)檔案、消防安全管理等4個方面：
(1) 安全工具，包含安全帽及絕緣工具的檢查；
(2) 安全生產(chǎn)活動包含安全事故預(yù)想記錄，反事故演習(xí)記錄，異常情況分析，安全事故，障礙及異常分析；
(3) 安全生產(chǎn)檔案，包含安全生產(chǎn)學(xué)習(xí)檔案，安全生產(chǎn)檢查檔案，安全生產(chǎn)事故處理檔案，人身事故情況，安全生產(chǎn)隱患處理檔案；
(4) 消防安全管理，包含消防器材記錄，消防檢查記錄，消防演習(xí)記錄，火災(zāi)事故記錄，火災(zāi)隱患處理檔案。
班組安全管理的內(nèi)容非常廣泛，通常包括安全教育培訓(xùn)、安全活動以及現(xiàn)場作業(yè)安全管理等。經(jīng)過系統(tǒng)的試運行表明，系統(tǒng)的模塊設(shè)置是能滿足目前班組的安全管理要求的。
2 信息管理系統(tǒng)的推廣應(yīng)用
信息管理系統(tǒng)建立以后，進入試運行階段。班組常規(guī)安全生產(chǎn)學(xué)習(xí)活動照常進行，跟以往相比，不同的是將學(xué)習(xí)檢查的情況錄入信息管理系統(tǒng)內(nèi)相應(yīng)的模塊，而不是記在筆記本上。安全監(jiān)察職能部門定期在網(wǎng)絡(luò)上進行檢查，對于未按時錄入或錄入不規(guī)范的，要及時提醒，對于未開展相關(guān)活動的，要限期整改。大量的安全生產(chǎn)信息也通過系統(tǒng)實現(xiàn)共享和相互交流。通過1年多的推廣應(yīng)用，班組安全生產(chǎn)的日常管理工作均實現(xiàn)了信息化。
缺陷及故障處理是保證設(shè)備安全運行的一個重要環(huán)節(jié)，納入mis系統(tǒng)以后，發(fā)現(xiàn)缺陷的部門可以直接進入系統(tǒng)，填寫缺陷單，輔以電話通知就可立即將信息傳達到維護檢修部門，并且可以簽收。檢修部門處理后，同樣可輔以電話，申請運行部門進行驗收，運行部門可以在電腦上簽字。從上面的過程可以看出，通過信息系統(tǒng)提高了處理缺陷和故障的效率。對于事故、重大的缺陷等緊急情況，則可進行特殊處理，過后及時填寫有關(guān)記錄。
信息管理系統(tǒng)的推廣應(yīng)用中也會遇到一些阻力，需要一個過程來適應(yīng)。比如工作票的簽發(fā)，按以往的做法是，以書面的形式，由工作負(fù)責(zé)人填寫工作票，提交工作票簽發(fā)人簽發(fā)，然后開展工作。改成從管理信息系統(tǒng)簽發(fā)以后，程序基本還是一樣，工作負(fù)責(zé)人在電腦上填寫，自動傳到工作票簽發(fā)人的電腦上，工作票簽發(fā)人簽發(fā)后，自動傳到工作許可人的電腦上，再由許可人打印出來交給工作負(fù)責(zé)人開展工作。這個改動減少了工作負(fù)責(zé)人的跑動，也方便了存檔。但有些工作人員習(xí)慣了書面的填寫，覺得工作量并不加重很多，開始很不適應(yīng)，在系統(tǒng)本身不完善的情況下有時會拖延一些時間，甚至有些抵觸情緒。對于這種情況，先在試運行期間采取雙軌制，在系統(tǒng)經(jīng)過完善后再強制執(zhí)行(原來的手工填寫作為一種備用)。
采用信息系統(tǒng)規(guī)范班組的安全管理工作，提高了安全生產(chǎn)管理工作的效率，規(guī)范了各級人員的工作行為，也方便了檔案的保存和調(diào)用，此外，通過共享信息，達到互相交流的目的，對樞紐運行管理的安全生產(chǎn)工作起到了良好的促進作用。
第2篇 信息系統(tǒng)運行維護安全管理規(guī)定
第一章 總則
第一條 為了確?？偣拘畔⑾到y(tǒng)的安全、穩(wěn)定和可靠運行,充分發(fā)揮信息系統(tǒng)的作用,依據(jù)《計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護管理辦法 <>》,結(jié)合總公司實際,特制定本規(guī)定。
第二條 本規(guī)定所稱的信息系統(tǒng),是指由網(wǎng)絡(luò)傳輸介質(zhì)、網(wǎng)絡(luò)設(shè)備及服務(wù)器、計算機終端所構(gòu)成的,為正常業(yè)務(wù)提供應(yīng)用及服務(wù)的硬件、軟件的集成系統(tǒng)。
第三條 信息系統(tǒng)安全管理實行統(tǒng)一規(guī)劃、統(tǒng)一規(guī)范、分級管理和分級負(fù)責(zé)的原則。
第二章 管理機構(gòu)及職責(zé)
第四條 總公司辦公室是公司信息系統(tǒng)運行維護和安全管理的主管部門,其安全管理職責(zé)是:
(一)負(fù)責(zé)總公司機關(guān)內(nèi)互聯(lián)網(wǎng)的運行管理,保證與城建局、各所屬單位網(wǎng)絡(luò)連接的暢通;
(二)負(fù)責(zé)總公司機關(guān)局域網(wǎng)的運行維護管理;
(三)落實安全技術(shù)措施,保障總公司信息系統(tǒng)的運行安全和信息安全;
(四)指導(dǎo)、協(xié)調(diào)所屬單位局域網(wǎng)系統(tǒng)的安全運行管理。
第五條 總公司各所屬單位信息員負(fù)責(zé)本單位局域網(wǎng)的運行維護和安全管理,服從總公司辦公室的指導(dǎo)和管理。其安全管理職責(zé)是:
(一)負(fù)責(zé)廣域網(wǎng)本單位節(jié)點、本單位局域網(wǎng)的運行維護和安全管理,保證與總公司網(wǎng)絡(luò)連接的暢通;
(二)負(fù)責(zé)本單位人員的信息安全教育和培訓(xùn),建立健全安全管理制度;
(三)與總公司辦公室密切配合,共同做好總公司信息系統(tǒng)的安全運行、管理和維護工作。
第三章 網(wǎng)絡(luò)接入及ip地址管理
第六條 需要接入總公司網(wǎng)絡(luò)的所屬單位應(yīng)向總公司辦公室提交申請,經(jīng)審批同意后方可接入。
第七條 總公司機關(guān)內(nèi)部局域網(wǎng)的ip地址由辦公室統(tǒng)一規(guī)劃、管理和分配,ip地址的申請、補充、更換均需辦理相關(guān)手續(xù)。
第八條 申請與使用ip地址,應(yīng)與登記的聯(lián)網(wǎng)計算機網(wǎng)卡的以太網(wǎng)地址(mac地址,即硬件地址)捆綁,以保證一個ip地址只對應(yīng)一個網(wǎng)卡地址。
第九條 入網(wǎng)單位和個人應(yīng)嚴(yán)格使用由總公司辦公室及本單位網(wǎng)絡(luò)管理員分配的ip地址和指定的網(wǎng)關(guān)和掩碼。嚴(yán)禁盜用他人ip地址或私自設(shè)置ip地址?？偣巨k公室有權(quán)切斷私自設(shè)置的ip地址入網(wǎng),以保證總公司內(nèi)部局域網(wǎng)的正常運行。
第四章 安全運行管理
第十條 總公司機關(guān)和各所屬單位均應(yīng)指定專人擔(dān)任信息系統(tǒng)管理員,負(fù)責(zé)信息系統(tǒng)的日常運行維護、故障處理及性能調(diào)優(yōu)工作。
第十一條 建立電子設(shè)備運行檔案,對所發(fā)生的故障、處理過程和結(jié)果等要做好詳細(xì)的記錄。關(guān)鍵設(shè)備應(yīng)有備品備件,并進行定期的檢測和維護,確保隨時處于可用狀態(tài)。
第十二條 系統(tǒng)軟件(操作系統(tǒng)和數(shù)據(jù)庫)必須使用正版軟件,其選用應(yīng)充分考慮軟件的安全性、可靠性、穩(wěn)定性,并具備身份驗證、訪問控制、故障恢復(fù)、安全保護、安全審計、分權(quán)制約等功能。
第十三條 對會影響到全公司的硬件設(shè)備或軟件的更改、調(diào)試等操作應(yīng)預(yù)先制定具體實施方案,必要時準(zhǔn)備好后備配件和應(yīng)急措施。
第十四條 數(shù)據(jù)庫管理系統(tǒng)和關(guān)鍵網(wǎng)絡(luò)設(shè)備(如服務(wù)器、防火墻、交換機等)的口令必須使用強口令,由專人掌管,定期更換。
第十五條 業(yè)務(wù)信息系統(tǒng)應(yīng)嚴(yán)格控制操作權(quán)限,原則上采用專人專用的用戶名及密碼登錄;對數(shù)據(jù)庫的維護不允許通過外網(wǎng)遠(yuǎn)程登錄進行。
第十六條 接入總公司信息系統(tǒng)的所有服務(wù)器和計算機均應(yīng)采用國家許可的正版防病毒軟件并及時更新軟件版本,發(fā)現(xiàn)問題及時解決。具體措施如下:
(一)所有計算機全部安裝和使用網(wǎng)絡(luò)版防毒軟件,未經(jīng)許可,不得隨意禁用或卸載,并設(shè)置好定期升級和殺毒的安全策略;
(二)對新購進的、修復(fù)的或重新啟用的計算機設(shè)備,必須預(yù)先進行計算機病毒檢查后方可安裝運行;
(三)杜絕病毒傳播的各種途徑,光盤和優(yōu)盤等存儲介質(zhì)及經(jīng)遠(yuǎn)程通信傳送的程序或數(shù)據(jù)在使用前應(yīng)進行病毒檢測,如工作需要使用共享目錄,必須做好有關(guān)防范措施;
(四)在接入internet網(wǎng)時,嚴(yán)格控制下載軟件,謹(jǐn)慎接收電子郵件;在接收電子郵件時,不隨意打開附件;
(五)當(dāng)出現(xiàn)計算機病毒傳染跡象時,立即拔掉網(wǎng)線,隔離被感染的系統(tǒng)和網(wǎng)絡(luò),并進行處理,不應(yīng)帶“毒”繼續(xù)運行。
第十七條 總公司及所屬各單位信息系統(tǒng)如發(fā)生嚴(yán)重的網(wǎng)絡(luò)中斷故障,應(yīng)按規(guī)定進行先期處置,同時報總公司辦公室。
第六章 數(shù)據(jù)管理
第十八條 系統(tǒng)管理員應(yīng)對系統(tǒng)數(shù)據(jù)(主要包括數(shù)據(jù)字典、權(quán)限設(shè)置、存儲分配、網(wǎng)絡(luò)地址、網(wǎng)管參數(shù)、硬件配置及其他系統(tǒng)配置參數(shù))實施嚴(yán)格的安全與保密管理,并定期核對,防止系統(tǒng)數(shù)據(jù)的非法生成、變更、泄漏、丟失與破壞。
第十九條 各單位應(yīng)定期進行數(shù)據(jù)備份,保證系統(tǒng)發(fā)生故障時能夠迅速恢復(fù);業(yè)務(wù)數(shù)據(jù)必須設(shè)置在線定時自動備份策略,必要時應(yīng)采用雙機備份。
第二十條 各單位重要業(yè)務(wù)數(shù)據(jù)必須每年定期、完整、真實、準(zhǔn)確地轉(zhuǎn)儲到不可更改的介質(zhì)上,實行集中存儲和異地保管,保存期至少2年。備份數(shù)據(jù)不得更改,應(yīng)指定專人負(fù)責(zé)保管和登記。
第二十一條 各單位業(yè)務(wù)數(shù)據(jù)不得隨意進行數(shù)據(jù)恢復(fù),因數(shù)據(jù)丟失或故障確需恢復(fù)的,應(yīng)由系統(tǒng)管理員報本單位信息化工作部門,經(jīng)批準(zhǔn)后方可進行數(shù)據(jù)恢復(fù)操作,并做好記錄。
第二十二條 總公司信息系統(tǒng)的數(shù)據(jù)采集、存儲、處理、傳遞、輸出和發(fā)布應(yīng)遵守計算機信息系統(tǒng)相關(guān)保密管理規(guī)定,以保證公司信息系統(tǒng)無泄密事件發(fā)生。
第七章 附則
第二十三條本辦法由總公司辦公室負(fù)責(zé)解釋。
第二十四篥本辦法自印發(fā)之日起施行。
第3篇 信息系統(tǒng)安全管理規(guī)定
系統(tǒng)安全管理規(guī)定
文檔號CSLJC_COM_STD_ISMS_1202_P_V0.1密級
ISO27001信息安全管理體系文件
系統(tǒng)安全管理規(guī)定
ISMS-MP-A.12-01活動
簽名
日期
創(chuàng)建
2011-8-24審核
批準(zhǔn)II
文檔變更歷史
作者(或修訂人)版本號
日期
修改內(nèi)容與原因
V0.12011-8-24新建
評審記錄
評審方式
版本號
日期
評審意見
文檔狀態(tài)：草稿
目錄
1概述11.1目的11.2定義11.3范圍11.4原則12角色與職責(zé)13安全要求23.1系統(tǒng)安全規(guī)劃要求23.2系統(tǒng)運行與維護安全要求23.3操作系統(tǒng)安全配置策略53.3.1Windows系統(tǒng)安全配置管理策略53.3.2UNI*系統(tǒng)安全管理策略84附錄10概述
1.1目的
為了加強公司各類計算機系統(tǒng)的安全運維管理，特制定本規(guī)定。
1.2定義
本程序引用ISO/IEC
17799:2005標(biāo)準(zhǔn)中的術(shù)語。
1.3范圍
本文檔適用于公司建立的信息安全管理體系。
1.4原則
本文檔將依據(jù)信息技術(shù)和信息安全技術(shù)的不斷發(fā)展和信息安全風(fēng)險與信息安全保護目標(biāo)的不斷變化而進行版本升級。
角色與職責(zé)
表2-1系統(tǒng)安全管理規(guī)定的角色和職責(zé)
序號
角色
職責(zé)
信息安全管理委員會
負(fù)責(zé)對系統(tǒng)安全管理進行指導(dǎo)和檢查
系統(tǒng)運維部
負(fù)責(zé)生產(chǎn)環(huán)境系統(tǒng)的維護工作
系統(tǒng)支援及維護部
負(fù)責(zé)系統(tǒng)安全管理的落地和實施工作
員工遵守公司系統(tǒng)安全管理規(guī)定
安全要求
3.1系統(tǒng)安全規(guī)劃要求
1、系統(tǒng)在投入使用前需要做好前期的規(guī)劃和設(shè)計，除了要滿足公司目前業(yè)務(wù)需要外還要考慮該業(yè)務(wù)系統(tǒng)將來的應(yīng)用需求，使系統(tǒng)具有一定的擴充能力。
2、系統(tǒng)服務(wù)器操作系統(tǒng)應(yīng)選用正版軟件并且遵守軟件規(guī)定的最終用戶使用協(xié)議，禁止使用盜版軟件。
3、新規(guī)劃使用系統(tǒng)應(yīng)考慮和原來系統(tǒng)的兼容性問題。
4、在新系統(tǒng)安裝之前應(yīng)有詳細(xì)的實施計劃，并嚴(yán)格按照計劃來實施。
5、在新系統(tǒng)安裝完成，投入使用前，應(yīng)對所有組件包括設(shè)備、服務(wù)或應(yīng)用進行連通性測試、性能測試、安全性測試，并在《系統(tǒng)測試記錄》做詳細(xì)記錄，最終形成測試報告。
6、在新系統(tǒng)安裝完成，測試通過，投入使用前，應(yīng)刪除測試用戶和口令，最小化合法用戶的權(quán)限，最優(yōu)化配置，應(yīng)及時對系統(tǒng)軟件、文件和重要數(shù)據(jù)進行備份。
3.2系統(tǒng)運行與維護安全要求
1、各個系統(tǒng)設(shè)備應(yīng)進行資產(chǎn)登記。
2、系統(tǒng)的帳號、口令應(yīng)符合《帳號與密碼安全管理規(guī)定》，并定期對帳號口令實施安全評估。
3、嚴(yán)格限制操作系統(tǒng)管理員權(quán)限帳號和普通賬號的數(shù)量和使用范圍。對于系統(tǒng)管理員的帳號要詳細(xì)登記備案，編制《管理員權(quán)限賬號記錄》，每季度對該記錄進行審核，更新帳號記錄。
4、操作系統(tǒng)帳號的申請與變更參考《帳號與密碼安全管理規(guī)定》3.5節(jié)“賬號權(quán)限控制流程”。
5、嚴(yán)格禁止非本系統(tǒng)管理、維護人員直接進入主機設(shè)備進行操作，若在特殊情況下（如系統(tǒng)維修、升級等）需要外部人員（主要是指廠家技術(shù)工程師、非本系統(tǒng)技術(shù)工程師、安全管理員等）進入主機設(shè)備進行操作時，必須由維護人員員親自登錄，并對操作全過程進行記錄備案。
6、應(yīng)盡可能減少主機設(shè)備的遠(yuǎn)程管理方式。
7、嚴(yán)禁隨意安裝、卸載系統(tǒng)組件和驅(qū)動程序，如確實需要，應(yīng)及時評測可能由此帶來的影響；如果需要安裝補丁程序，參考《病毒與補丁安全管理規(guī)定》進行安裝。
8、禁止主機系統(tǒng)上開放具有“寫”權(quán)限的共享目錄，如果確實必要，優(yōu)先考慮建立FTP站點，緊急情況下可臨時開放，但要設(shè)置強共享口令，并在使用完之后立刻取消共享；應(yīng)禁止不被系統(tǒng)明確使用的服務(wù)、協(xié)議和設(shè)備的特性，避免使用不安全的服務(wù)。
9、應(yīng)嚴(yán)格并且合理的分配服務(wù)安裝分區(qū)或者目錄的權(quán)限，如果可能的話，給每項服務(wù)安裝在獨立分區(qū)；取消或者修改服務(wù)的banner信息；避免讓應(yīng)用服務(wù)運行在root或者administrator權(quán)限下。
10、應(yīng)嚴(yán)格控制重要文件的許可權(quán)和擁有權(quán)，重要的數(shù)據(jù)應(yīng)當(dāng)加密存放在主機上，取消匿名FTP訪問，并合理使用信任關(guān)系。
11、應(yīng)對日志功能的啟用、日志記錄的內(nèi)容、日志的管理形式、日志的審查分析做出明確的規(guī)定；對于重要主機系統(tǒng)，應(yīng)建立集中的日志管理服務(wù)器，實現(xiàn)對重要主機系統(tǒng)日志的統(tǒng)一管理，以利于對主機系統(tǒng)日志的審查分析；應(yīng)保證各設(shè)備的系統(tǒng)日志處于運行狀態(tài)，并定期對日志做一次全面的分析，對登錄的用戶、登錄時間、所做的配置和操作做檢查，在發(fā)現(xiàn)有異常的現(xiàn)象時應(yīng)及時向相關(guān)人員報告，日志審核要求詳見《安全審計管理規(guī)定》。
12、應(yīng)及時監(jiān)視、收集主機設(shè)備操作系統(tǒng)生產(chǎn)廠商公布的軟件以及補丁更新，要求下載補丁程序的站點必須是相應(yīng)的官方站點，并對更新軟件或補丁進行評測，在獲得部門領(lǐng)導(dǎo)的批準(zhǔn)下，對實際環(huán)境實施軟件更新或者補丁安裝；必須訂閱CERT
(計算機緊急響應(yīng)小組)公告或其他專業(yè)安全機構(gòu)提供的安全漏洞信息的相關(guān)資源，應(yīng)立即提醒信息安全工作組任何可能影響網(wǎng)絡(luò)正常運行的漏洞；及時評測對漏洞采取的對策，在獲得部門領(lǐng)導(dǎo)的批準(zhǔn)下，對實際環(huán)境實施評測過的對策，并將整個過程記錄備案；軟件更新或者補丁安裝應(yīng)盡量安排在非業(yè)務(wù)繁忙時段進行，操作必須由兩人以上完成，由一人監(jiān)督，一人操作，并在升級（或修補）前后做好數(shù)據(jù)和軟件的備份工作，同時將整個過程記錄備案；軟件更新或者補丁安裝后應(yīng)重新對系統(tǒng)進行安全設(shè)置，并進行系統(tǒng)的安全檢查。
13、應(yīng)定期進行安全漏洞掃描和病毒查殺工作，平均頻率應(yīng)不低于每月一次，并在《月度網(wǎng)絡(luò)安全掃描記錄》中詳細(xì)記錄評估掃描結(jié)果。重大安全漏洞發(fā)布后，應(yīng)在3個工作日內(nèi)進行；為了防止網(wǎng)絡(luò)安全掃描以及病毒查殺對網(wǎng)絡(luò)性能造成影響，應(yīng)根據(jù)業(yè)務(wù)的實際情況對掃描時間做出規(guī)定，應(yīng)一般安排在非業(yè)務(wù)繁忙時段；當(dāng)發(fā)現(xiàn)主機設(shè)備上存在病毒、異常開放的服務(wù)或者開放的服務(wù)存在安全漏洞時應(yīng)及時上報信息安全工作組，并采取相應(yīng)措施。
14、應(yīng)至少每周1次，對所有主機設(shè)備進行檢查，確保各設(shè)備都能正常工作；應(yīng)通過各種手段監(jiān)控主機系統(tǒng)的CPU利用率、進程、內(nèi)存和啟動腳本等的使用狀況，在發(fā)現(xiàn)異常系統(tǒng)進程或者系統(tǒng)進程數(shù)量異常變化時，或者CPU利用率，內(nèi)存占用量等突然異常時，應(yīng)立即上報信息安全工作組，并同時采取適當(dāng)控制措施，并記錄備案。
15、當(dāng)主機系統(tǒng)出現(xiàn)以下現(xiàn)象之一時，必須進行安全問題的報告和診斷：
系統(tǒng)中出現(xiàn)異常系統(tǒng)進程或者系統(tǒng)進程數(shù)量有異常變化。
系統(tǒng)突然不明原因的性能下降。
系統(tǒng)不明原因的重新啟動。
系統(tǒng)崩潰，不能正常啟動。
系統(tǒng)中出現(xiàn)異常的系統(tǒng)賬號
系統(tǒng)賬號口令突然失控。
系統(tǒng)賬號權(quán)限發(fā)生不明變化。
系統(tǒng)出現(xiàn)來源不明的文件。
系統(tǒng)中文件出現(xiàn)不明原因的改動。
系統(tǒng)時鐘出現(xiàn)不明原因的改變。
系統(tǒng)日志中出現(xiàn)非正常時間系統(tǒng)登錄，或有不明IP地址的系統(tǒng)登錄。
發(fā)現(xiàn)系統(tǒng)不明原因的在掃描網(wǎng)絡(luò)上其它主機。
16、應(yīng)及時報告任何已知的或可疑的信息安全問題、違規(guī)行為或緊急安全事件，并在采取適當(dāng)措施的同時，應(yīng)向信息安全工作組報告細(xì)節(jié)；應(yīng)定期提交安全事件和相關(guān)問題的管理報告，以備管理層檢查。
17、應(yīng)根據(jù)“知所必需”原則嚴(yán)格限制泄漏安全違規(guī)行為、安全事件或安全漏洞。如果必須向任何公司外部方（包括任何合法的權(quán)威機構(gòu)）泄漏這類受限信息，應(yīng)先咨詢公司相關(guān)法律部門。
18、系統(tǒng)軟件安裝之后，應(yīng)立即進行備份；在后續(xù)使用過程中，在系統(tǒng)軟件的變更以及配置的修改之前和之后，也應(yīng)立即進行備份工作；應(yīng)至少每年1次對重要的主機系統(tǒng)進行災(zāi)難影響分析，并進行災(zāi)難恢復(fù)演習(xí)。
19、應(yīng)至少每年1次對整個網(wǎng)絡(luò)進行風(fēng)險評估，每次風(fēng)險評估時，手工檢查的比例應(yīng)不低于10％，滲透測試的比例應(yīng)不低于5％；風(fēng)險評估后應(yīng)在10個工作日內(nèi)完成對網(wǎng)絡(luò)的修補和加固，并進行二次評估。
3.3操作系統(tǒng)安全配置策略
3.13.23.33.3.1Windows系統(tǒng)安全配置管理策略在應(yīng)用以下安全策略之前應(yīng)根據(jù)業(yè)務(wù)系統(tǒng)的實際情況進行操作，注意實施操作后對業(yè)務(wù)的風(fēng)險。
1、物理安全策略
應(yīng)設(shè)置BIOS口令以增加物理安全。
應(yīng)禁止遠(yuǎn)程用戶使用光驅(qū)和軟驅(qū)。
2、補丁管理策略
應(yīng)啟動Windows自動更新功能，及時安裝Windows補?。⊿P、hotfi*）。
對于不能訪問Internet的Windows系統(tǒng)，應(yīng)采用手工打補丁的方式。
3、帳戶與口令策略所有帳戶均應(yīng)設(shè)置口令。
應(yīng)將系統(tǒng)管理員賬號administrator重命名。
應(yīng)禁止Guest賬號。
應(yīng)啟用“密碼必須符合復(fù)雜性要求”，設(shè)置“密碼長度最小值”、“密碼最長存留期”、“密碼最短存留期”、“密碼強制歷史”，停用“為域中用戶使用可還原的加密來存儲”。
應(yīng)設(shè)置“賬戶鎖定時間”，“賬戶鎖定閾值”，“復(fù)位賬戶鎖定計數(shù)器”來防止遠(yuǎn)程密碼猜測攻擊。
在信息安全組批準(zhǔn)下，應(yīng)定期利用口令破解軟件進行口令模擬破解測試，在發(fā)現(xiàn)脆弱性口令后及時通告并采取強制性的補救修改措施。
4、網(wǎng)絡(luò)服務(wù)策略
應(yīng)盡可能減少網(wǎng)絡(luò)服務(wù)，關(guān)閉不必要的服務(wù)。
應(yīng)通過修改注冊表項，調(diào)整優(yōu)化TCP/IP參數(shù)，來提高系統(tǒng)抵抗DoS攻擊的能力。
應(yīng)限制使用SNMP服務(wù)。如果的確需要，應(yīng)使用V3版本替代V1、V2版本，并啟用MD5校驗等功能。
5、文件系統(tǒng)策略
所有分區(qū)均應(yīng)使用NTFS。
盡量使用磁盤配額管理、文件加密（EFS）等功能。
應(yīng)卸載OS/2和POSI*操作環(huán)境子系統(tǒng)。
應(yīng)將所有常用的管理工具放在%systemroot%外的特殊目錄下，并對其進行嚴(yán)格的訪問控制，保證只有管理員才具有執(zhí)行這些工具的權(quán)限。
應(yīng)關(guān)閉NTFS生成
8.3文件名格式。
應(yīng)設(shè)置訪問控制列表（ACL），對重要的目錄、文件進行訪問權(quán)限的限制。
6、日志策略
應(yīng)啟用系統(tǒng)和文件審核功能，包括應(yīng)用程序日志、安全日志、系統(tǒng)日志、以及各種服務(wù)的日志。
應(yīng)更改日志存放的目錄，并及時監(jiān)控，特別是安全日志、系統(tǒng)日志。對于重要主機設(shè)備，應(yīng)建立集中的日志管理服務(wù)器，實現(xiàn)對重要主機設(shè)備日志的統(tǒng)一管理，以利于對主機設(shè)備日志的審查分析。
7、安全性增強策略
對于獨立服務(wù)器應(yīng)直接檢查本地的策略和配置。對于屬于域的服務(wù)器，應(yīng)檢查域控制器上對計算機的域管理策略。檢查內(nèi)容主要為用戶、用戶組及其權(quán)限管理策略。
應(yīng)限制對注冊表的訪問，嚴(yán)禁對注冊表的匿名訪問，嚴(yán)禁遠(yuǎn)程訪問注冊表，并對關(guān)鍵注冊表項進行訪問控制，以防止它們被攻擊者用于啟動特洛伊木馬等惡意程序。
應(yīng)定期檢查注冊表啟動項目，避免系統(tǒng)被安裝非法的自啟動程序。
應(yīng)隱含最后登陸用戶名，避免攻擊者猜測系統(tǒng)內(nèi)的用戶信息。
在登錄系統(tǒng)時應(yīng)顯示告警信息，防止用戶對遠(yuǎn)程終端服務(wù)口令進行自動化的腳本猜測，并刪除關(guān)機按鈕。
應(yīng)刪除Windows主機上所有默認(rèn)的網(wǎng)絡(luò)共享。
應(yīng)關(guān)閉對Windows主機的匿名連接。
對于不需要共享服務(wù)的主機，應(yīng)徹底關(guān)閉文件和打印機共享服務(wù)。
應(yīng)限制Pcanywhere等遠(yuǎn)程管理工具的使用，如確實需要，應(yīng)使用最新版本，完整安裝補丁程序并經(jīng)過評測，獲得信息安全工作組的許可；并使用Pcanywhere加密方式進行管理。
應(yīng)安裝防病毒軟件，并及時更新軟件版本和病毒庫。
盡量安裝防火墻。
3.3.2UNI*系統(tǒng)安全管理策略
1、補丁管理策略
應(yīng)及時安裝系統(tǒng)最新補丁。
應(yīng)及時升級服務(wù)至最新版本。
2、帳戶與口令策略
所有帳戶均應(yīng)設(shè)置口令。
去除不需要的帳戶、修改默認(rèn)帳號的shell變量。
除root外，不應(yīng)存在其他uid=0的帳戶。
應(yīng)設(shè)置超時自動注銷登陸，減少安全隱患。
應(yīng)限制可以su為root的組。
應(yīng)禁止root遠(yuǎn)程登陸。
在信息安全組批準(zhǔn)下，應(yīng)定期利用口令破解軟件進行口令模擬破解測試，在發(fā)現(xiàn)脆弱性口令后及時通告并采取強制性的補救修改措施。
3、網(wǎng)絡(luò)服務(wù)策略
應(yīng)盡可能減少網(wǎng)絡(luò)服務(wù)，關(guān)閉不必要的服務(wù)。
應(yīng)啟用inetd進站連接日志記錄，增強審計功能。
應(yīng)調(diào)整優(yōu)化TCP/IP參數(shù)，來提高系統(tǒng)抵抗DoS攻擊的能力。
應(yīng)調(diào)整TCP/IP參數(shù)，禁止IP源路由。
應(yīng)限制使用SNMP服務(wù)。如果的確需要，應(yīng)使用V3版本替代V1、V2版本，并啟用MD5校驗等功能。
應(yīng)調(diào)整內(nèi)核參數(shù)打開“TCP隨機序列號”功能。
4、文件系統(tǒng)策略
盡量使系統(tǒng)root用戶初始創(chuàng)建權(quán)限(umask)為077。
盡量使用磁盤配額管理功能。
去除適當(dāng)文件的set-uid和set-gid位。
應(yīng)限制/etc目錄的可寫權(quán)限。
增強對關(guān)鍵文件的執(zhí)行權(quán)限控制。
為不同的掛載點指派不同的屬性。
5、日志策略
應(yīng)對ssh、su登陸日志進行記錄。
除日志服務(wù)器外，應(yīng)禁止syslogd網(wǎng)絡(luò)監(jiān)聽514端口。
對于重要主機設(shè)備，應(yīng)建立集中的日志管理服務(wù)器，實現(xiàn)對重要主機設(shè)備日志的統(tǒng)一管理，以利于對主機設(shè)備日志的審查分析。
6、安全性增強策略
應(yīng)保證bashshell保存少量的（或不保存）命令。
應(yīng)禁止GUI登陸。
應(yīng)隱藏系統(tǒng)提示信息。
盡量安裝第三方安全增強軟件。
附錄
附錄一：相關(guān)文件
《信息安全管理體系手冊》
《系統(tǒng)測試記錄》
《操作系統(tǒng)管理員權(quán)限帳號記錄》
《操作系統(tǒng)普通權(quán)限賬號記錄》
《操作系統(tǒng)賬號開通申請》
《月度網(wǎng)絡(luò)安全掃描記錄》
第4篇 綠谷集團計算機信息系統(tǒng)安全管理規(guī)定
綠谷集團計算機信息系統(tǒng)安全管理規(guī)定
第一章 總則
第一條 為了保護綠谷集團網(wǎng)絡(luò)系統(tǒng)的安全、促進計算機網(wǎng)絡(luò)的應(yīng)用和發(fā)展、保證網(wǎng)絡(luò)的正常運行和網(wǎng)絡(luò)用戶的使用權(quán)益，制定本安全管理規(guī)定。
第二條 本管理規(guī)定所稱的網(wǎng)絡(luò)系統(tǒng)，是指由綠谷集團投資購買、由網(wǎng)絡(luò)與信息中心負(fù)責(zé)維護和管理的網(wǎng)絡(luò)節(jié)點設(shè)備、配套的網(wǎng)絡(luò)線纜設(shè)施及網(wǎng)絡(luò)服務(wù)器、工作站所構(gòu)成的、為網(wǎng)絡(luò)應(yīng)用及服務(wù)的硬件、軟件的集成系統(tǒng)。
第三條 綠谷網(wǎng)絡(luò)系統(tǒng)的安全運行和系統(tǒng)設(shè)備管理維護工作由信息設(shè)計部負(fù)責(zé)。任何單位和個人，未經(jīng)網(wǎng)絡(luò)負(fù)責(zé)單位同意、不得擅自安裝、拆卸或改變網(wǎng)絡(luò)設(shè)備。
第四條 任何單位和個人、不得利用聯(lián)網(wǎng)計算機從事危害綠谷網(wǎng)站及本地局域網(wǎng)服務(wù)器、工作站的活動，不得危害或侵入未授權(quán)的服務(wù)器、工作站。
第五條 任何單位和個人不得利用公司內(nèi)部網(wǎng)和國際聯(lián)網(wǎng)危害公司安全、泄露公司秘密，不得侵犯公司的利益，不得從事違法犯罪活動。
第二章安全保護運行
一、操作管理
第六條 除網(wǎng)絡(luò)負(fù)責(zé)單位，其它單位或個人不得以任何方式對計算機信息網(wǎng)絡(luò)功能及計算機信息網(wǎng)絡(luò)中存儲、處理或者傳輸?shù)臄?shù)據(jù)和應(yīng)用程序進行刪除、修改或者增加;
第七條未經(jīng)保管人允許，任何人不得擅自使用她人電腦;
第八條 任何單位和個人不得利用內(nèi)部網(wǎng)國際聯(lián)網(wǎng)制作、復(fù)制、查閱和傳播下列信息：
1、捏造或者歪曲事實，散布謠言，擾亂公司秩序的;
2、宣揚淫穢、色情的;
3、公然侮辱她人或者捏造事實誹謗她人的;
4、損害公司形象的;
第九條 任何單位和個人不得將涉及公司秘密的計算機信息系統(tǒng)，直接或間接地與國際互聯(lián)網(wǎng)或其它公共信息網(wǎng)絡(luò)相聯(lián)接;
第十條 任何單位和個人不得將公司秘密的信息，在國際聯(lián)網(wǎng)的計算機信息系統(tǒng)中存儲、處理、傳遞;
第十一條 任何單位和個人不得在電子公告系統(tǒng)、聊天室、網(wǎng)絡(luò)新聞組上發(fā)布、談?wù)摵蛡鞑ス久孛苄畔?
第十二條 未經(jīng)允許，任何單位和個人不得私自將計算機接入局域網(wǎng);
第十三條 有密碼功能的計算機要求設(shè)置密碼;人員離開計算機后，要求退出系統(tǒng)并關(guān)機，或設(shè)計屏幕保護密碼;
二、軟件管理
第十四條 公司上網(wǎng)計算機操作軟件必須由專人負(fù)責(zé)同一安裝，任何單位和個人不得擅自安裝其它軟件;
第十五條 嚴(yán)禁在公司網(wǎng)絡(luò)及計算機上使用來歷不明、引發(fā)病毒傳染的軟件;
第十六條 嚴(yán)禁在公司網(wǎng)絡(luò)及計算機上使用盜版軟件;
三、文件管理
第十七條 重要文件必須及時備份;
第十八條 盡量減少文件共享，共享文件必須設(shè)置密碼;
四、病毒管理
第十九條 每臺計算機必須安裝殺毒軟件及防火墻;
第二十條 每臺計算機必須定時查毒和升級殺毒軟件，發(fā)現(xiàn)病毒立即上報信息設(shè)計部;
第二十一條 嚴(yán)禁故意制作、傳播計算機病毒等破壞性程序;
第二十二條 嚴(yán)禁使用未經(jīng)殺毒的軟盤;
第二十三條 嚴(yán)禁未經(jīng)殺毒拷貝文件，或?qū)⑽募l(fā)送到其它客戶機上;
第二十四條 嚴(yán)禁接受和發(fā)送未經(jīng)殺毒的電子郵件;
第二十五條 新系統(tǒng)安裝前必須進行病毒檢測;
五、硬件管理
第二十五條 任何單位和個人不得以任何借口盜竊、破壞網(wǎng)絡(luò)設(shè)施;
第二十六條 公司內(nèi)從事施工、建設(shè)，不得危害計算機網(wǎng)絡(luò)系統(tǒng)的安全;
第二十七條 除計算機維護人員，任何單位和個人不得隨意拆卸所使用的計算機或相關(guān)設(shè)備;
第二十八條 計算機房間鑰匙不得隨意轉(zhuǎn)借她人使用，做到人走鎖門;
第二十九條 裝有計算機房間內(nèi)的電線必須按規(guī)定鋪設(shè)，不得私拉亂接;
六、監(jiān)督管理
第三十條 每臺計算機由使用人負(fù)責(zé)日常維護及安全管理;
第三十一條 網(wǎng)絡(luò)各類服務(wù)器中開設(shè)的帳戶和口令為個人用戶所擁有，信息設(shè)計部對用戶口令保密，任何單位和個人不得隨意提供這些信息。
第三十二條 各單位和用戶，應(yīng)當(dāng)接受并配合信息設(shè)計部實施的監(jiān)督檢查，并根據(jù)信息設(shè)計部的要求，刪除計算機及網(wǎng)上不符合規(guī)定的內(nèi)容;
第三十三條 各部門和用戶，發(fā)現(xiàn)違反規(guī)定情況時，應(yīng)當(dāng)立即向信息設(shè)計部報告;
第三十四條 負(fù)責(zé)部門必須定期檢查安全情況，對網(wǎng)絡(luò)上有害信息及時控制并刪除，不得傳播;
第三十五條 人員離崗離職必須到信息設(shè)計部登記，做好軟硬件及帳號、密碼交接工作;
第三章 違規(guī)責(zé)任與處罰
第三十六條 違反上述規(guī)定造成公司秘密泄漏、數(shù)據(jù)丟失、硬件損壞、病毒感染、對公司或她人造成不良影響者以及使用盜版軟件者，根據(jù)具體情況追究當(dāng)事人及其直接領(lǐng)導(dǎo)責(zé)任;
第四章 其她
第三十七條 本管理制度自公布之日起實行。
第5篇 信息系統(tǒng)運行維護及安全管理規(guī)定
第一章 總則
第一條 為了確?？偣拘畔⑾到y(tǒng)的安全、穩(wěn)定和可靠運行，充分發(fā)揮信息系統(tǒng)的作用，依據(jù)《計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護管理辦法》，結(jié)合總公司實際，特制定本規(guī)定。
第二條 本規(guī)定所稱的信息系統(tǒng)，是指由網(wǎng)絡(luò)傳輸介質(zhì)、網(wǎng)絡(luò)設(shè)備及服務(wù)器、計算機終端所構(gòu)成的，為正常業(yè)務(wù)提供應(yīng)用及服務(wù)的硬件、軟件的集成系統(tǒng)。
第三條 信息系統(tǒng)安全管理實行統(tǒng)一規(guī)劃、統(tǒng)一規(guī)范、分級管理和分級負(fù)責(zé)的原則。
第二章 管理機構(gòu)及職責(zé)
第四條 總公司辦公室是公司信息系統(tǒng)運行維護和安全管理的主管部門，其安全管理職責(zé)是：
（一）負(fù)責(zé)總公司機關(guān)內(nèi)互聯(lián)網(wǎng)的運行管理，保證與城建局、各所屬單位網(wǎng)絡(luò)連接的暢通；
（二）負(fù)責(zé)總公司機關(guān)局域網(wǎng)的運行維護管理；
（三）落實安全技術(shù)措施，保障總公司信息系統(tǒng)的運行安全和信息安全；
（四）指導(dǎo)、協(xié)調(diào)所屬單位局域網(wǎng)系統(tǒng)的安全運行管理。
第五條 總公司各所屬單位信息員負(fù)責(zé)本單位局域網(wǎng)的運行維護和安全管理，服從總公司辦公室的指導(dǎo)和管理。其安全管理職責(zé)是：
（一）負(fù)責(zé)廣域網(wǎng)本單位節(jié)點、本單位局域網(wǎng)的運行維護和安全管理，保證與總公司網(wǎng)絡(luò)連接的暢通；
（二）負(fù)責(zé)本單位人員的信息安全教育和培訓(xùn)，建立健全安全管理制度；
（三）與總公司辦公室密切配合，共同做好總公司信息系統(tǒng)的安全運行、管理和維護工作。
第三章 網(wǎng)絡(luò)接入及ip地址管理
第六條 需要接入總公司網(wǎng)絡(luò)的所屬單位應(yīng)向總公司辦公室提交申請，經(jīng)審批同意后方可接入。
第七條 總公司機關(guān)內(nèi)部局域網(wǎng)的ip地址由辦公室統(tǒng)一規(guī)劃、管理和分配，ip地址的申請、補充、更換均需辦理相關(guān)手續(xù)。
第八條 申請與使用ip地址，應(yīng)與登記的聯(lián)網(wǎng)計算機網(wǎng)卡的以太網(wǎng)地址（mac地址，即硬件地址）捆綁，以保證一個ip地址只對應(yīng)一個網(wǎng)卡地址。
第九條 入網(wǎng)單位和個人應(yīng)嚴(yán)格使用由總公司辦公室及本單位網(wǎng)絡(luò)管理員分配的ip地址和指定的網(wǎng)關(guān)和掩碼。嚴(yán)禁盜用他人ip地址或私自設(shè)置ip地址?？偣巨k公室有權(quán)切斷私自設(shè)置的ip地址入網(wǎng)，以保證總公司內(nèi)部局域網(wǎng)的正常運行。
第四章 安全運行管理
第十條 總公司機關(guān)和各所屬單位均應(yīng)指定專人擔(dān)任信息系統(tǒng)管理員，負(fù)責(zé)信息系統(tǒng)的日常運行維護、故障處理及性能調(diào)優(yōu)工作。
第十一條 建立電子設(shè)備運行檔案，對所發(fā)生的故障、處理過程和結(jié)果等要做好詳細(xì)的記錄。關(guān)鍵設(shè)備應(yīng)有備品備件，并進行定期的檢測和維護，確保隨時處于可用狀態(tài)。
第十二條 系統(tǒng)軟件（操作系統(tǒng)和數(shù)據(jù)庫）必須使用正版軟件，其選用應(yīng)充分考慮軟件的安全性、可靠性、穩(wěn)定性，并具備身份驗證、訪問控制、故障恢復(fù)、安全保護、安全審計、分權(quán)制約等功能。
第十三條 對會影響到全公司的硬件設(shè)備或軟件的更改、調(diào)試等操作應(yīng)預(yù)先制定具體實施方案，必要時準(zhǔn)備好后備配件和應(yīng)急措施。
第十四條 數(shù)據(jù)庫管理系統(tǒng)和關(guān)鍵網(wǎng)絡(luò)設(shè)備(如服務(wù)器、防火墻、交換機等)的口令必須使用強口令，由專人掌管，定期更換。
第十五條 業(yè)務(wù)信息系統(tǒng)應(yīng)嚴(yán)格控制操作權(quán)限，原則上采用專人專用的用戶名及密碼登錄；對數(shù)據(jù)庫的維護不允許通過外網(wǎng)遠(yuǎn)程登錄進行。
第十六條 接入總公司信息系統(tǒng)的所有服務(wù)器和計算機均應(yīng)采用國家許可的正版防病毒軟件并及時更新軟件版本，發(fā)現(xiàn)問題及時解決。具體措施如下：
（一）所有計算機全部安裝和使用網(wǎng)絡(luò)版防毒軟件，未經(jīng)許可，不得隨意禁用或卸載，并設(shè)置好定期升級和殺毒的安全策略；
（二）對新購進的、修復(fù)的或重新啟用的計算機設(shè)備，必須預(yù)先進行計算機病毒檢查后方可安裝運行；
（三）杜絕病毒傳播的各種途徑，光盤和優(yōu)盤等存儲介質(zhì)及經(jīng)遠(yuǎn)程通信傳送的程序或數(shù)據(jù)在使用前應(yīng)進行病毒檢測，如工作需要使用共享目錄，必須做好有關(guān)防范措施；
（四）在接入internet網(wǎng)時，嚴(yán)格控制下載軟件，謹(jǐn)慎接收電子郵件；在接收電子郵件時，不隨意打開附件；
（五）當(dāng)出現(xiàn)計算機病毒傳染跡象時，立即拔掉網(wǎng)線，隔離被感染的系統(tǒng)和網(wǎng)絡(luò)，并進行處理，不應(yīng)帶“毒”繼續(xù)運行。
第十七條 總公司及所屬各單位信息系統(tǒng)如發(fā)生嚴(yán)重的網(wǎng)絡(luò)中斷故障，應(yīng)按規(guī)定進行先期處置，同時報總公司辦公室。
第六章 數(shù)據(jù)管理
第十八條 系統(tǒng)管理員應(yīng)對系統(tǒng)數(shù)據(jù)（主要包括數(shù)據(jù)字典、權(quán)限設(shè)置、存儲分配、網(wǎng)絡(luò)地址、網(wǎng)管參數(shù)、硬件配置及其他系統(tǒng)配置參數(shù)）實施嚴(yán)格的安全與保密管理，并定期核對，防止系統(tǒng)數(shù)據(jù)的非法生成、變更、泄漏、丟失與破壞。
第十九條 各單位應(yīng)定期進行數(shù)據(jù)備份，保證系統(tǒng)發(fā)生故障時能夠迅速恢復(fù)；業(yè)務(wù)數(shù)據(jù)必須設(shè)置在線定時自動備份策略，必要時應(yīng)采用雙機備份。
第二十條 各單位重要業(yè)務(wù)數(shù)據(jù)必須每年定期、完整、真實、準(zhǔn)確地轉(zhuǎn)儲到不可更改的介質(zhì)上，實行集中存儲和異地保管，保存期至少2年。備份數(shù)據(jù)不得更改，應(yīng)指定專人負(fù)責(zé)保管和登記。
第二十一條 各單位業(yè)務(wù)數(shù)據(jù)不得隨意進行數(shù)據(jù)恢復(fù)，因數(shù)據(jù)丟失或故障確需恢復(fù)的，應(yīng)由系統(tǒng)管理員報本單位信息化工作部門，經(jīng)批準(zhǔn)后方可進行數(shù)據(jù)恢復(fù)操作，并做好記錄。
第二十二條 總公司信息系統(tǒng)的數(shù)據(jù)采集、存儲、處理、傳遞、輸出和發(fā)布應(yīng)遵守計算機信息系統(tǒng)相關(guān)保密管理規(guī)定，以保證公司信息系統(tǒng)無泄密事件發(fā)生。
第七章 附則
第二十三條 本辦法由總公司辦公室負(fù)責(zé)解釋。
第二十四篥 本辦法自印發(fā)之日起施行。
第6篇 集團信息系統(tǒng)安全管理細(xì)則
第一條 目的
為了保護集團計算機信息系統(tǒng)安全,規(guī)范信息系統(tǒng)管理,合理利用系統(tǒng)資源,推進集團信息化建設(shè),促進計算機的應(yīng)用和發(fā)展,保障集團信息系統(tǒng)的正常運行,充分發(fā)揮信息系統(tǒng)在企業(yè)管理中的作用,更好地為集團運營服務(wù)。根據(jù)《中華人民共和國計算機信息系統(tǒng)安全保護條例》及有關(guān)法律、法規(guī),結(jié)合集團實際情況,制定本細(xì)則。
第二條 術(shù)語與定義
(一) 信息系統(tǒng)安全管理范圍:業(yè)務(wù)軟件系統(tǒng)信息安全、硬件網(wǎng)絡(luò)信息安全。
(二) 系統(tǒng)管理員:是集團信息化管理系統(tǒng)建設(shè)的主要執(zhí)行者,負(fù)責(zé)系統(tǒng)的設(shè)備保障、運行監(jiān)測、及時維護、數(shù)據(jù)備份以及信息系統(tǒng)規(guī)劃、計劃、方案的起草工作;同時,負(fù)責(zé)集團信息化管理系統(tǒng)和各工作站系統(tǒng)軟件、應(yīng)用軟件的安裝、調(diào)試和維護工作;
第三條 適用范圍
本細(xì)則適用于集團信息系統(tǒng)安全管理。
第四條 系統(tǒng)服務(wù)器和網(wǎng)絡(luò)設(shè)備管理方法:
(一) 服務(wù)器和各網(wǎng)絡(luò)設(shè)備的放置詳見《機房管理細(xì)則》第五條的第三項;
(二) 非集團指定系統(tǒng)管理員,未經(jīng)批準(zhǔn)不得對服務(wù)器和各網(wǎng)絡(luò)設(shè)備進行硬件維護、軟件安裝卸載等操作;
(三) 保證服務(wù)器和各網(wǎng)絡(luò)設(shè)備24小時不間斷正常工作,不得在服務(wù)器專用電路上加載其它用電設(shè)備;
(四) 非工作需要,內(nèi)網(wǎng)服務(wù)器嚴(yán)禁直接接入因特網(wǎng),并安裝好殺毒軟件,做好病毒防范,杜絕病毒感染。
第五條 業(yè)務(wù)軟件系統(tǒng)信息安全:
(一) 帳戶申請:對符合開通帳戶的申請人,根據(jù)權(quán)責(zé)對軟件所負(fù)責(zé)管理的職能歸屬部門進行申請,經(jīng)該主責(zé)部門同意后,轉(zhuǎn)信息管理部系統(tǒng)管理員處備案;
(二) 帳戶刪除:對于離職人員,在辦理工作交接時。由離職人員的主管通過辦公平臺向業(yè)務(wù)軟件主責(zé)部門提交刪除離職人員相關(guān)業(yè)務(wù)軟件帳戶的申請。經(jīng)該主責(zé)部門同意后,轉(zhuǎn)信息管理部系統(tǒng)管理員處備案;
(三) 操作人員應(yīng)該嚴(yán)格保密帳戶信息,如因故意或過失造成信息泄漏的,將根據(jù)《員工獎懲管理細(xì)則》追究其相關(guān)責(zé)任;
(四) 系統(tǒng)管理人員應(yīng)熟悉并嚴(yán)格監(jiān)督數(shù)據(jù)庫使用權(quán)限、用戶密碼使用情況,適時更換、更新用戶帳號或密碼。
第六條 網(wǎng)絡(luò)信息安全:
(一) 系統(tǒng)管理員要主動對網(wǎng)絡(luò)系統(tǒng)實行監(jiān)控、查詢,及時對故障進行有效隔離、排除和恢復(fù)工作,以防災(zāi)難性網(wǎng)絡(luò)風(fēng)暴發(fā)生;
(二) 網(wǎng)絡(luò)系統(tǒng)所有設(shè)備的配置、安裝、調(diào)試必須由系統(tǒng)管理員負(fù)責(zé),其它人員不得隨意拆卸和移動;
(三) 所有上網(wǎng)操作人員必須嚴(yán)格遵守計算機及其它相關(guān)設(shè)備的操作規(guī)程,禁止其它人員進行與系統(tǒng)操作無關(guān)的工作;
(四) 在管理員還沒有有效解決網(wǎng)絡(luò)安全(未安裝防火墻、殺毒軟件)的情況下,內(nèi)外網(wǎng)獨立運行,所有終端內(nèi)外網(wǎng)不能混接,嚴(yán)禁外網(wǎng)用戶通過u盤等存貯介質(zhì)拷貝文件到內(nèi)網(wǎng)終端。
第七條 資料備份工作方法:
(一) 數(shù)據(jù)備份關(guān)系到整個集團信息化管理系統(tǒng)的正常運轉(zhuǎn),影響到集團正常的運營秩序,必須嚴(yán)格執(zhí)行;
(二) 數(shù)據(jù)庫服務(wù)器每周日做一次數(shù)據(jù)備份;
(三) 備份的數(shù)據(jù)存儲于專門的硬盤內(nèi),備份必需以覆蓋的形式存儲,確保數(shù)據(jù)不會遺漏;
(四) 所有重要數(shù)據(jù)、信息化管理系統(tǒng)源程序要刻錄成光盤存盤;
(五) 若遇重大程序更新、修改,必須在程序更新、修改前要做好數(shù)據(jù)的備份工作;
(六) 上傳到集團網(wǎng)站上提供給查詢的數(shù)據(jù)必須每日定時更新,確保查詢數(shù)據(jù)的準(zhǔn)確性;
(七) 系統(tǒng)管理員若遇重大程序更新、修改,必須填寫工作日志;
(八) 非共享的文件不能設(shè)置成網(wǎng)絡(luò)共享,提供共享使用的文檔必須設(shè)置相應(yīng)權(quán)限,由于沒有安全設(shè)置相應(yīng)權(quán)限而造成本單位數(shù)據(jù)丟失的情況,后果自負(fù)。
第八條 管理員有權(quán)制止一切違反安全管理的行為。
第九條 本細(xì)則的解釋權(quán)屬于運營管理中心信息管理部。
第十條 本細(xì)則由運營管理中心信息管理部進行起草與修訂,由總裁辦公會審核,執(zhí)行總裁批準(zhǔn)后發(fā)布。
第十一條 本細(xì)則自發(fā)布之日起生效,集團原有相關(guān)規(guī)定、通知、辦法等同時廢止。
第7篇 安全管理信息系統(tǒng)的基本構(gòu)成和設(shè)計原則
安全管理信息靠安全管理信息系統(tǒng)收集、加工和提供，因此，研究安全管理信息，必然要研究安全管理信息系統(tǒng)。
一、安全管理信息系統(tǒng)的構(gòu)成
管理信息系統(tǒng)，國外簡稱mis，是專指以電子計算機網(wǎng)絡(luò)為基礎(chǔ)的自動化數(shù)據(jù)處理系統(tǒng)。但是從一般意義上來說，所謂管理信息系統(tǒng)實際是指那些專門為管理系統(tǒng)生產(chǎn)和提供有用信息以便使其正確地發(fā)揮管理職能，達到管理目的的系統(tǒng)。
根據(jù)以上對管理信息系統(tǒng)概念的理解，一個完整的企業(yè)安全管理信息系統(tǒng)主要由以下部分構(gòu)成。
1.信息源
即根據(jù)安全管理系統(tǒng)的需要，解決應(yīng)從哪里收集安全信息的問題。區(qū)分信息源可以有兩個標(biāo)準(zhǔn)。一是根據(jù)地點不同，可分為內(nèi)源和外源。內(nèi)源是指安全管理系統(tǒng)內(nèi)部的信息，外源則是指安全管理系統(tǒng)以外但與之有關(guān)的安全管理環(huán)境的信息；二是根據(jù)時間不同，
可分為一次信息源和二次信息源。一次信息源是指從內(nèi)源和外源收集的原始安全信息，二次信息源是指安全管理信息系統(tǒng)儲存待用的安全信息。選擇適當(dāng)?shù)男畔⒃词前踩芾硇畔⑾到y(tǒng)及時、準(zhǔn)確地為管理用戶提供有用安全信息，進行有效服務(wù)的重要前提。
2．信息接收系統(tǒng)
即根據(jù)企業(yè)安全管理的需要和可能，解決以什么方式收集安全信息的問題。隨著科學(xué)技術(shù)的發(fā)展，人們收集安全信息的方式多種多樣，其中有直接的人工收集方式，也有采用無線電傳感技術(shù)進行安全信息收集的方式。及時、真實、完整地收集原始安全信息，是保證安全管理信息系統(tǒng)其他環(huán)節(jié)工作質(zhì)量的重要基礎(chǔ)。因此，根據(jù)企業(yè)安全管理的需要，考慮技術(shù)和經(jīng)濟上的可能，選擇適當(dāng)?shù)陌踩畔⑹占绞胶拖鄳?yīng)的安全信息接收裝置是設(shè)計安全管理信息系統(tǒng)的重要環(huán)節(jié)。
3．信息處理系統(tǒng)
是指包括信息加工、存儲和輸出裝置，解決如何根據(jù)安全管理的需要，對安全信息進行加工、存儲和輸出到安全管理用戶的系統(tǒng)。根據(jù)技術(shù)條件的不同，信息處理可采用多種方式。目前，安全信息加工和存儲越來越多地運用電子計算機，特別是微型電腦。與此相適應(yīng)，信息傳輸也越來越多采用現(xiàn)代化通信設(shè)備，如衛(wèi)星通信和光纖通信等。
4．信息控制系統(tǒng)
為了保證安全管理信息系統(tǒng)不斷為安全管理系統(tǒng)提供及時、準(zhǔn)確、可靠的安全信息，安全管理信息系統(tǒng)要建立靈敏的信息控制系統(tǒng)，以不斷取得反饋信息，糾正工作中的偏差，控制整個安全管理信息系統(tǒng)按照安全管理用戶的需要提供有效的服務(wù)。根據(jù)安全管理信息系統(tǒng)規(guī)模的大小，安全信息控制系統(tǒng)可以設(shè)專門機構(gòu)，也可由專人負(fù)責(zé)。
5．信息工作者
信息工作者是安全管理信息系統(tǒng)最重要的構(gòu)成要素。在安全管理信息系統(tǒng)中，信息工作者的主要任務(wù)是負(fù)責(zé)對安全管理信息系統(tǒng)的設(shè)計和管理。在安全管理信息系統(tǒng)的每一個工作環(huán)節(jié)編制程序、操作設(shè)備，形成有效的人—機系統(tǒng)，對安全信息進行收集、加工、存儲和輸出。所以，在現(xiàn)代化安全管理信息系統(tǒng)中，信息管理者既要有懂安全管理的人員，也要有懂計算機和現(xiàn)代化通信技術(shù)的人員。應(yīng)當(dāng)指出，安全管理信息系統(tǒng)在技術(shù)上愈是現(xiàn)代化，信息管理者的作用就愈重要。為此，不斷提高信息管理者的素質(zhì)，是保證安全信息管理系統(tǒng)有效運轉(zhuǎn)的關(guān)鍵。
綜合上述各要素，安全管理信息系統(tǒng)的構(gòu)成和運轉(zhuǎn)情況，如圖6—2所示。
在實際安全生產(chǎn)中，安全管理信息系統(tǒng)主要是指那些專門為各種安全管理活動收集、加工、儲存、提供信息的部門和機構(gòu)。如統(tǒng)計部門、情報部門、咨詢部門、預(yù)測部門、圖書資料部門、計算中心等。上述各種部門其軀干雄居于大中城市，四肢伸向各個單位、各個企業(yè)，上下結(jié)合，縱橫交錯，共同形成一個國家或地區(qū)范圍內(nèi)的龐大的安全管理信息系統(tǒng)。
二、安全管理信息系統(tǒng)的設(shè)計原則
任何有效的安全管理都必須由安全管理信息系統(tǒng)提供及時、準(zhǔn)確、適量、經(jīng)濟的信息。為了達到這一目的，安全管理信息系統(tǒng)的設(shè)計必須遵循以下原則。
1.要有明確的目的性
安全管理信息系統(tǒng)是為安全管理系統(tǒng)提供信息服務(wù)的。因此它的設(shè)計必須要首先明確服務(wù)對象的性質(zhì)、范圍及其所需安全信息在數(shù)量、質(zhì)量、時間等方面的要求。做到這一點，在安全管理系統(tǒng)設(shè)計前，就要詳細(xì)調(diào)查安全管理用戶的情況，標(biāo)清所服務(wù)的對象經(jīng)常需要哪些安全信息，這些信息應(yīng)從哪里獲取，以什么方式收集和傳遞，摸清這些情況，系統(tǒng)設(shè)計才能有明確的目的。
2．要堅持系統(tǒng)的完整性和統(tǒng)一性
所謂完整性，就是根據(jù)信息加工需要，必須具備的環(huán)節(jié)不能缺少，同時要保證各環(huán)節(jié)的相互聯(lián)系和正常運轉(zhuǎn)；所謂統(tǒng)一性，就是要求整個信息系統(tǒng)的工作要統(tǒng)一，要制度化。整個系統(tǒng)各個工作環(huán)節(jié)所加工和輸送的信息在語法、語意和格式上要標(biāo)準(zhǔn)化、規(guī)范化。堅持安全管理信息系統(tǒng)設(shè)計的統(tǒng)一性，主要是為了各個環(huán)節(jié)工作的協(xié)調(diào)，同時便于與別的管理信息系統(tǒng)聯(lián)系、合作，所加工的信息也便于各個管理系統(tǒng)使用。
3．要保證一定的可靠性
安全管理信息系統(tǒng)的可靠性，集中表現(xiàn)在所提供的信息的準(zhǔn)確性、適用性和及時性。只有這樣，才能贏得用戶的信任并樂于采用?？煽啃允前踩芾硇畔⑾到y(tǒng)的生命所在，為了保證安全管理信息系統(tǒng)的可靠性，必須要使整個系統(tǒng)有良好的素質(zhì)，其中包括設(shè)備、人員、服務(wù)態(tài)度、工作作風(fēng)等素質(zhì)。同時還有必要在整個系統(tǒng)中配備一定的控制裝置和監(jiān)督人員。
4．要允許一定的相對獨立性
允許安全管理信息系統(tǒng)一定的相對獨立性，主要目的是要保證信息的真實性和可靠性。為此，一些主要的安全管理信息系統(tǒng)應(yīng)在組織上與安全管理系統(tǒng)分設(shè)，即使對于從屬于安全管理系統(tǒng)的信息機構(gòu)，也要從紀(jì)律、制度上，甚至通過立法來保證其行使職能的相對獨立性，避免某些長官意志和過多的行政干預(yù)。
5．要注意一定的適應(yīng)性和靈活性
在科學(xué)技術(shù)日新月異，社會和經(jīng)濟形勢千變?nèi)f化的情況下，現(xiàn)代安全管理要求有很強的適應(yīng)性和靈活性。安全管理上的這種適應(yīng)性和靈活性，主要靠及時獲取安全信息來達到，這就要求安全管理信息系統(tǒng)也應(yīng)具有一定的適應(yīng)性和靈活性。只有這樣才能在條件一旦變化時仍能及時提供可靠的、具有現(xiàn)實意義的安全信息，以便安全管理系統(tǒng)的決策、計劃等能隨時適應(yīng)新的情況。忽視安全管理信息系統(tǒng)設(shè)計的適應(yīng)性與靈活性的原則，實際上是對資源的浪費，有時還可能導(dǎo)致安全管理決策的失誤。當(dāng)然重視適應(yīng)性、靈活性原則，并不排斥相對的穩(wěn)定性，這就要在設(shè)備采用、人員配備、機構(gòu)設(shè)置等方面正確處理好需要與可能、穩(wěn)定與靈活、長遠(yuǎn)與眼前的關(guān)系。
6．要講究經(jīng)濟性
在安全信息系統(tǒng)設(shè)計中，所謂經(jīng)濟性原則，就是不但要考慮所提供安全信息的準(zhǔn)確性、適用性、及時性，而且要考慮獲取、加工和輸送這些安全信息的費用或成本。實際上就是要講究安全管理信息系統(tǒng)的工作效率和經(jīng)濟效益。影響安全管理信息系統(tǒng)經(jīng)濟效益的因素是多方面的。為此，進行安全管理信息系統(tǒng)設(shè)計必須要進行經(jīng)濟技術(shù)分析，綜合考慮各種影響因素，使設(shè)備上的先進性、技術(shù)上的可行性和經(jīng)濟上的合算性達到滿意的結(jié)合。
安全管理信息系統(tǒng)設(shè)計的以上原則是一個矛盾統(tǒng)一體。從總的方面說，安全管理信息系統(tǒng)的設(shè)計過程就是要從如何滿足各安全管理用戶需要出發(fā)，不斷使上述原則達到統(tǒng)一的過程。在這個過程中，根據(jù)需要與可能有所側(cè)重，但完全忽略某一方面則是不行的。
三、安全管理信息系統(tǒng)現(xiàn)代化的技術(shù)策略
安全管理信息現(xiàn)代化是安全管理現(xiàn)代化的客觀要求，也是時代發(fā)展的客觀要求。安全管理信息系統(tǒng)現(xiàn)代化是一個綜合性概念，它包括指導(dǎo)思想現(xiàn)代化、組織結(jié)構(gòu)現(xiàn)代化、人員素質(zhì)現(xiàn)代化和技術(shù)手段現(xiàn)代化。根據(jù)當(dāng)代科學(xué)技術(shù)水平和安全管理水平，所謂安全管理信息系統(tǒng)技術(shù)手段現(xiàn)代化，主要是指建立以電子計算機和現(xiàn)代通信技術(shù)為基礎(chǔ)的網(wǎng)絡(luò)化、? 自動化的信息收集、加工、儲存、傳遞系統(tǒng)。要達到這一目標(biāo)，必須要從實際出發(fā)，采取正確的技術(shù)策略。
1.要有正確的指導(dǎo)思想和明確目標(biāo)
一個企業(yè)的安全管理信息系統(tǒng)現(xiàn)代化水平，在何時要達到什么程度，這是制定技術(shù)策略首先要解決的問題。總結(jié)國內(nèi)外經(jīng)驗，制定安全管理信息系統(tǒng)現(xiàn)代化技術(shù)策略的指導(dǎo)思想應(yīng)該是：既不能脫離一個企業(yè)的實際，急于求成、全面引進，在一切方面都要“迎頭趕上”，也不能亦步亦趨照抄別人所走過的路子，要立足自己的情況，充分利用有利時機和一切可能條件，全面規(guī)劃，逐步實施。在目標(biāo)的制定上，總的說要與本國的經(jīng)濟和科學(xué)技術(shù)發(fā)展目標(biāo)相適應(yīng)，要和安全管理現(xiàn)代化的水平相適應(yīng)。具備了一定條件，個別方面和某些領(lǐng)域也可首先突破。
2．要全面規(guī)劃、配套進行
安全管理信息系統(tǒng)技術(shù)手段現(xiàn)代化是一項復(fù)雜的系統(tǒng)工程。必須全面規(guī)劃、配套進行。安全管理信息系統(tǒng)向安全管理系統(tǒng)提供安全信息，包括要綜合發(fā)揮信息收集、加工、儲存、傳遞等一系列的功能，這就要求信息收集、加工、儲存、傳遞等技術(shù)手段要相互協(xié)調(diào)和配套。具體說，沒有電子計算機，信息就不能高速度、高質(zhì)量地加工、處理；而沒有先進的傳感技術(shù)和通信技術(shù)，信息就不能迅速、大量、有效地獲得和傳遞，電子計算機也無展其技。特別是要做到安全管理信息系統(tǒng)的網(wǎng)絡(luò)化、自動化，更要求傳感、通信和計算機技術(shù)相互配套，同步發(fā)展。因為計算機和傳感技術(shù)只能形成離散的信息收集和加工點，只有通信技術(shù)才能把這些離散的點連成線、結(jié)成網(wǎng)。同時還要想到，在實現(xiàn)安全管理信息系統(tǒng)技術(shù)手段現(xiàn)代化的過程中，不但要大力發(fā)展信息技術(shù)，而且還要大力發(fā)展與其有關(guān)的各種支持技術(shù)和為之提供新材料，新能源的基礎(chǔ)技術(shù)，這樣又要考慮一批批技術(shù)群和產(chǎn)業(yè)群的協(xié)調(diào)、配套發(fā)展。
3．加快人才培養(yǎng)，適應(yīng)技術(shù)現(xiàn)代化的需要
先進的技術(shù)手段要靠高素質(zhì)的人才操作使用。因此，安全管理信息系統(tǒng)技術(shù)手段的現(xiàn)代化水平要與現(xiàn)有人才的素質(zhì)相適應(yīng)，高素質(zhì)人才的培養(yǎng)也要與不斷發(fā)展的信息業(yè)和不斷提高的信息獲取、加工和傳遞的技術(shù)水平相適應(yīng)。當(dāng)代，隨著信息業(yè)的不斷發(fā)展，對于從事信息業(yè)人才的需求量不斷增加。為此，應(yīng)該運用多種形式加快培養(yǎng)。其中主要包括對預(yù)測專家、情報專家、咨詢專家、計算機專家、通信專家和信息管理專家的培養(yǎng)。此外，為了加快安全管理信息系統(tǒng)技術(shù)手段現(xiàn)代化的步伐，還要注意提高廣大安全管理者和勞動者的科學(xué)文化素質(zhì)，如果廣大安全管理者和勞動者的科學(xué)文化水平不高，吸收和運用安全信息的能力不強，同樣也影響安全管理信息系統(tǒng)技術(shù)手段現(xiàn)代化水平的提高。
第8篇 安全監(jiān)察管理信息系統(tǒng)的開發(fā)與應(yīng)用
(江蘇省電力公司，江蘇 南京 210024)
〔摘 要〕 詳細(xì)介紹了江蘇省電力公司安全監(jiān)察管理信息系統(tǒng)的功能、設(shè)計思路以及系統(tǒng)開發(fā)、推廣 應(yīng)用的過程。
〔關(guān)鍵詞〕 安全管理；信息系統(tǒng)；開發(fā)
2000年，江蘇省電力公司確立了在2001年實現(xiàn)創(chuàng)建中國一流電力公司的第一步發(fā)展戰(zhàn)略目標(biāo)。一流的公司要有一流的管理，安全生產(chǎn)的重要地位要求有嶄新的安全生產(chǎn)管理體制和管理手段，并要求安監(jiān)部門能及時掌握有關(guān)安全生產(chǎn)的信息和安全管理的動態(tài)。而要使安全生產(chǎn)信息能及時、準(zhǔn)確、完整地反饋給領(lǐng)導(dǎo)和有關(guān)管理人員，提高公司系統(tǒng)安全管理現(xiàn)代化水平，必須建立一套完整的安全監(jiān)察信息系統(tǒng)。
1 安監(jiān)mis系統(tǒng)開發(fā)前的狀況
1998年，省公司向基層發(fā)供電單位推廣的安監(jiān)mis系統(tǒng)，是根據(jù)南京供電局的安全管理模式開發(fā)的，基層單位使用后反映這套系統(tǒng)問題比較多：系統(tǒng)功能不全，不能涵蓋本單位的安全管理內(nèi)容；許多原始資料如安全工器具、“五防”裝置在車間、班組，收集、錄入、維護工作量相當(dāng)大，影響了系統(tǒng)的推廣應(yīng)用；系統(tǒng)不是網(wǎng)絡(luò)化設(shè)計，車間、班組不能查看系統(tǒng)內(nèi)上級和本單位的安全生產(chǎn)信息；安監(jiān)部門不能及時全面了解車間、班組的現(xiàn)場安全檢查、安全活動等動態(tài)情況； 省公司不能查看系統(tǒng)內(nèi)的信息，基層單位只能通過郵寄的方式將文件、安全簡報、匯報材料上報，不僅浪費資源，還干了許多重復(fù)勞動。另外，供電局、發(fā)電廠的安全管理內(nèi)容、模式不盡相同，因此，這套系統(tǒng)不適用于發(fā)電單位。
2 系統(tǒng)功能設(shè)置的目的與指導(dǎo)思想
江蘇省電力公司開發(fā)安監(jiān)mis系統(tǒng)的目的是要把整個安全監(jiān)督管理全過程納入計算機管理之中。因此，根據(jù)省安全管理的現(xiàn)狀，吸取以往開發(fā)安全監(jiān)察mis系統(tǒng)的經(jīng)驗、教訓(xùn)，結(jié)合現(xiàn)有的網(wǎng)絡(luò)模式，計劃用2年的時間完成整套安全監(jiān)察mis系統(tǒng)的調(diào)研、開發(fā)、試點、培訓(xùn)、推廣應(yīng)用。根據(jù)公司系統(tǒng)mis建設(shè)的基本原則，即統(tǒng)一領(lǐng)導(dǎo)、統(tǒng)一規(guī)劃、統(tǒng)一開發(fā)應(yīng)用，確定系統(tǒng)功能設(shè)置的指導(dǎo)思想為：安全監(jiān)察mis系統(tǒng)需求的提出和功能模塊的設(shè)置必須堅持安全管理規(guī)范的要求，根據(jù)省公司、發(fā)供電企業(yè)的不同情況，做到既有省公司與各廠、供電公司之間的“大統(tǒng)一”，又有各廠、供電公司內(nèi)部根據(jù)本企業(yè)情況的“小自由”原則，由省公司統(tǒng)一牽頭，負(fù)責(zé)開發(fā)與應(yīng)用，各基層單位可根據(jù)各自的管理模式作適當(dāng)?shù)恼{(diào)整。
3 系統(tǒng)開發(fā)模式
系統(tǒng)開發(fā)分3種模式；即省電力公司模式、供電模式、發(fā)電模式。
4 系統(tǒng)功能設(shè)計過程
根據(jù)“三統(tǒng)一”的原則，為了設(shè)置既滿足科學(xué)管理需要，又貼近實際業(yè)務(wù)處理流程的功能需求，保證系統(tǒng)在使用過程中能真正提高效率，在調(diào)研的基礎(chǔ)上，研究確定省公司、供電公司(發(fā)電廠)兩個層面的系統(tǒng)功能初步設(shè)計報告，提交給省公司、供電公司、發(fā)電廠安監(jiān)部門負(fù)責(zé)人、安監(jiān)人員進行廣泛深入的討論，根據(jù)討論結(jié)果進行修改，確定系統(tǒng)的總體框架。然后，召集省公司和基層單位的具體業(yè)務(wù)人員和計算機開發(fā)人員進行反復(fù)的討論，反復(fù)磋商后確定需求總體設(shè)計報告，再由開發(fā)人員拿出系統(tǒng)的初步程序設(shè)計，經(jīng)反復(fù)修改后，由開發(fā)單位提交一份完整的安監(jiān)mis系統(tǒng)。
5 系統(tǒng)需求功能模塊的設(shè)計
5.1 省公司的系統(tǒng)功能模塊設(shè)計
設(shè)計思路：既要能查看到供電公司、發(fā)電廠的安監(jiān)mis子系統(tǒng)的信息，又要滿足省公司本身安全管理的需要，同時，系統(tǒng)內(nèi)的大部分信息對基層開放。圖1為省公司級安監(jiān)mis系統(tǒng)環(huán)境。
省公司安全監(jiān)察mis系統(tǒng)根據(jù)國家電網(wǎng)公司頒發(fā)的《安全生產(chǎn)工作規(guī)定》、《事故調(diào)查規(guī)程》結(jié)合工作實際，確定子系統(tǒng)共分10個模塊(各模塊可選用)。
圖1 省公司級安全監(jiān)察mis系統(tǒng)環(huán)境
進入系統(tǒng)的首頁，顯示本年省公司安全情況，數(shù)據(jù)從國電公司事故統(tǒng)計分析軟件提取。
下一頁是系統(tǒng)功能模塊，以拉菜單形式出現(xiàn)：
(1) 組織網(wǎng)絡(luò)管理模塊：包含安委會組織、安全監(jiān)察網(wǎng)等內(nèi)容。
安委會組織：包括省公司安委會成員的基本信息，如：姓名、性別、學(xué)歷、年齡、職務(wù)(從勞動人事管理系統(tǒng)獲取)，安委會職務(wù)、進入安委會的時間?？梢匀斯や浫牖蜻x取。
(2) 計劃目標(biāo)管理模塊：包含安全生產(chǎn)奮斗目標(biāo)、年度安全工作計劃、月度安全工作計劃、安全技術(shù)措施計劃、反事故技術(shù)措施計劃等內(nèi)容。
安全生產(chǎn)奮斗目標(biāo)：包含省公司安全生產(chǎn)奮斗目標(biāo)的內(nèi)容和完成情況。功能：兩項內(nèi)容單立，分年度以文本格式顯示，內(nèi)容可以從word文檔引入?？梢圆榭?、打印任1年的內(nèi)容。
(3) 例行工作管理模塊： 包含安委會會議、安全分析會、安全監(jiān)督例會、安全檢查報告、專題材料、安全簡報、安全通報、安全快報等內(nèi)容。
安委會會議材料分年度和開會次數(shù)，包括序號、簡題、主持人、時間列表顯示，會議記錄材料或會議紀(jì)要文本格式顯示。可以查看、打印內(nèi)容。
(4) 辦公管理：包含通知管理、收發(fā)文信息。
通知管理的主要功能包括按年度顯示本單位的通知列表，顯示序號、日期、通知號、標(biāo)題，查看、打印通知內(nèi)容。內(nèi)容可能從辦公自動化提取。
(5) 考核獎懲管理：包含安全表彰、安全懲處、百日無事故獎。
安全表彰分年度、分次數(shù)，包括序號、表彰單位、文號、標(biāo)題列表顯示，內(nèi)容文本格式顯示。
(6) 安全教育：包含安規(guī)考試記錄、安監(jiān)人員崗位培訓(xùn)記錄、緊急救護培訓(xùn)記錄；
安規(guī)考試記錄分年度、分單位，包括序號、姓名、職務(wù)、成績。可以打印表格。
(7) 統(tǒng)計報表：可直接進入國電公司事故統(tǒng)計分析軟件。
(8) 制度與文獻管理：包含安全標(biāo)準(zhǔn)、安全法規(guī)、規(guī)章制度等。
(9) 其他管理：安全工器具入網(wǎng)登記，包含序號、生產(chǎn)廠家、產(chǎn)品型號、入網(wǎng)證號、發(fā)證日期、有效期等列表顯示?？梢源蛴”砀?。
(10) 功能維護：包含系統(tǒng)授權(quán)、單位代碼維護、查詢發(fā)供電數(shù)據(jù)等。若點擊“查詢發(fā)供電數(shù)據(jù)”功能，頁面將切換到發(fā)供電上報的安監(jiān)mis系統(tǒng)內(nèi)的安全管理信息。
5.2 供電(發(fā)電)安全監(jiān)察mis系統(tǒng)功能模塊設(shè)計
供電(發(fā)電)安全監(jiān)察mis系統(tǒng)共分11個功能模塊。
(1) 組織網(wǎng)絡(luò)管理：包含安委會組織、安全監(jiān)察網(wǎng)組織、工作票三種人員管理、特種作業(yè)人員管理、單獨巡視電氣高壓設(shè)備的管理。
(2) 計劃目標(biāo)管理：包含安全生產(chǎn)奮斗目標(biāo)、年度安全工作計劃、月度安全工作計劃、安全網(wǎng)活動計劃、兩措計劃。
(3) 例行工作管理：包含安全簡報、安全通報、安全快報、現(xiàn)場安全檢查、安全大檢查、安全分析會記錄、安全活動記錄、安全網(wǎng)活動紀(jì)要、安全委員會活動紀(jì)要、不安全情況分析會記錄、安全工作總結(jié)、安全記事、安全生產(chǎn)情況登記、人身傷亡情況登記、設(shè)備損壞情況登記。
(4) 辦公管理：包含通知管理、收發(fā)文登記。
(5) 考核獎懲管理：包含安全獎勵、安全懲處、基層單位獎懲匯總表、先進榮譽稱號。
(6) 安全教育：包含年度《安規(guī)》考試記錄、安全教育培訓(xùn)計劃及完成情況、職工三級安全教育、專題安全教育培訓(xùn)、臨時工三級安全教育、安全網(wǎng)培訓(xùn)記錄。
(7) 統(tǒng)計報表：包含國電公司事故統(tǒng)計分析系統(tǒng)、安全生產(chǎn)風(fēng)險抵押、變壓器匯總表、線路匯總表、 事故(障礙)明細(xì)月報表、基層單位監(jiān)察月報、安全記錄管理、違章記分一覽表。
(8) 制度與文獻管理：包含安全標(biāo)準(zhǔn)、安全法規(guī)、規(guī)章制度、文獻等。
(9) 外包工程管理： 包含外包工程單位登記、資審合格通知書管理、施工人員安全教育、外包工程工作票簽發(fā)人和負(fù)責(zé)人名單、外包工程項目管理、工程項目現(xiàn)場檢查記錄、外包工程安全責(zé)任書、協(xié)議書登記、現(xiàn)場交底單登記。
(10) 其他管理：包含安全工器具管理、特殊設(shè)備管理、工傷登記表、兩票考核、五防裝置查詢。
(11) 功能維護：包含系統(tǒng)授權(quán)、單位代碼維護等。
6 系統(tǒng)介紹
6.1 概況
安全監(jiān)察mis系統(tǒng)硬件：pc機，window2000server網(wǎng)絡(luò)結(jié)構(gòu)；軟件：win98、2000操作系統(tǒng)，數(shù)據(jù)庫采用ibm db2 for ibm aix，客戶機與服務(wù)器數(shù)據(jù)訪問方式，并實現(xiàn)與勞動人事管理系統(tǒng)訪問。
6.2 系統(tǒng)特點
(1) 系統(tǒng)將安全監(jiān)察管理過程納入計算機管理之中。整個應(yīng)用范圍涵蓋了從省電力公司到地市供電公司及其下屬的分(縣)供電公司以及省公司下屬的所有電廠、車間班組。
(2) 通過系統(tǒng)內(nèi)廣域網(wǎng)，在安全監(jiān)察數(shù)據(jù)中心的基礎(chǔ)上，建立面向管理層的綜合信息查詢系統(tǒng)。
(3) 統(tǒng)一的界面風(fēng)格。界面力求實用、簡潔、美觀，用戶操作簡便，避免重復(fù)性輸入，力求減輕維護人員工作量。
(4) 靈活的功能與權(quán)限控制，既方便各級安監(jiān)人員查詢、又保證了系統(tǒng)的穩(wěn)定性和數(shù)據(jù)的可靠性。
(5) 豐富的查詢與輸出手段，著重對數(shù)據(jù)進行分析比較，以多種表現(xiàn)方式反映綜合數(shù)據(jù)的查詢及統(tǒng)計分析結(jié)果。
(6) 集中式的代碼管理。由代碼管理部門統(tǒng)一設(shè)置全省的代碼，保證全系統(tǒng)代碼的唯一性和一致性。
7 結(jié) 論
目前，整套系統(tǒng)已在全省供電公司和公司所屬發(fā)電廠投入運行。 該系統(tǒng)的推廣應(yīng)用，規(guī)范了我公司安全監(jiān)察管理的業(yè)務(wù)流程和業(yè)務(wù)標(biāo)準(zhǔn)，大大縮短了省公司與基層單位、企業(yè)內(nèi)部、兄弟單位之間的距離，使省公司與基層單位安全生產(chǎn)信息處理、信息反饋渠道暢通，可以及時準(zhǔn)確地取得全省安全管理的各方面信息，掌握全省安全監(jiān)督管理的現(xiàn)狀，為領(lǐng)導(dǎo)決策提供了依據(jù)，提高了安全管理的現(xiàn)代化水平，為我省創(chuàng)國際一流奠定了良好的基礎(chǔ)。
第9篇 信息系統(tǒng)密碼安全管理辦法
1.1制定目的
(1) 規(guī)范公司信息系統(tǒng)密碼管理。
(2) 確保網(wǎng)絡(luò)安全運行,保護信息系統(tǒng)、服務(wù)器不受侵害。
1.2適用范圍
凡隸屬本公司信息系統(tǒng)用戶,悉依照本辦法所規(guī)范之體制管理。
1.3權(quán)責(zé)單位
(1) 信息科負(fù)責(zé)本辦法制定、修改、廢止之起草工作。
(2) 總經(jīng)理負(fù)責(zé)本辦法、修改、廢止之核準(zhǔn)。
2 信息系統(tǒng)密碼安全管理辦法
(1) 服務(wù)器、應(yīng)用系統(tǒng)賬號和密碼要專人專管不得轉(zhuǎn)借他人使用。為了避免賬號被盜,密碼不定期更換,建議密碼長度不少于6位,建議數(shù)字與密碼組合使用。
(2) 如果用戶密碼忘記,需用戶本人親自申請恢復(fù)密碼。
(3) 擁有新賬戶的員工,需盡快修改初始密碼,防止賬號被盜用。
(4) 服務(wù)器和服務(wù)器數(shù)據(jù)庫超級用戶必須設(shè)置密碼,系統(tǒng)管理員嚴(yán)格保管數(shù)據(jù)庫和服務(wù)器的登錄密碼。
(5) 服務(wù)器和數(shù)據(jù)庫的超級用戶密碼設(shè)置位數(shù)必須大于10位。除數(shù)據(jù)庫的超級用戶密碼和服務(wù)器密碼不定期更換,其他密碼由信息中心工程師定期更換,操作時間為每月1號,并在信息總監(jiān)處以電子形式留有備份,提交備份時間為每月1號。 密碼類型 密碼長度 更換時間 服務(wù)器超級用戶密碼 大于10位 兩個月更換一次 數(shù)據(jù)庫超級用戶密碼 大于10位 設(shè)置好后不做更換 系統(tǒng)管理員密碼 大于6位 一個月更換一次 ftp及防火墻等管理員密碼 大于6位 一個月更換一次
(6) 機房工作人員應(yīng)嚴(yán)格執(zhí)行密碼管理規(guī)定,對操作密碼定期更改,任何密碼不得外泄,如有因密碼外泄而造成各種損失的,由當(dāng)事人負(fù)全部責(zé)任。
2022-2-1
第10篇 某大學(xué)繼續(xù)教育學(xué)院信息系統(tǒng)安全管理規(guī)定
z大學(xué)繼續(xù)教育學(xué)院信息系統(tǒng)安全管理規(guī)定
第一章 總則
第一條 為了進一步加強我院信息系統(tǒng)安全管理，保證設(shè)施設(shè)備、人員及信息安全，確保網(wǎng)絡(luò)正常運行，根據(jù)《中華人民共和國計算機信息系統(tǒng)安全保護條例》、《計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護管理辦法》、《中華人民共和國治安處罰法》第29條、《互聯(lián)網(wǎng)安全保護技術(shù)措施》、《教育行業(yè)信息系統(tǒng)安全等級保護定級工作指南(試行)》等相關(guān)法律法規(guī)的要求，特制定本規(guī)定。
第二條 本管理規(guī)定所稱的網(wǎng)絡(luò)系統(tǒng)，是指由學(xué)?；?qū)W院投資購買，由我院維護和管理的，為教學(xué)、科研、管理服務(wù)的各類網(wǎng)絡(luò)設(shè)備、配套設(shè)施、數(shù)據(jù)資料等軟硬件系統(tǒng)的總和。
第二章 機構(gòu)與制度
第三條 信息系統(tǒng)安全管理應(yīng)遵循統(tǒng)一管理、分級負(fù)責(zé)的原則。學(xué)院應(yīng)成立專門部門負(fù)責(zé)網(wǎng)絡(luò)安全管理工作。該部門在網(wǎng)絡(luò)安全責(zé)任人的領(lǐng)導(dǎo)下，負(fù)責(zé)制定和完善相關(guān)的管理制度，組織和指導(dǎo)各部門實施網(wǎng)絡(luò)安全管理工作，監(jiān)督和評估制度的執(zhí)行效果。
第四條 學(xué)院各部門應(yīng)指定專人(部門網(wǎng)絡(luò)安全責(zé)任人)負(fù)責(zé)本部門業(yè)務(wù)范圍所涉及的信息系統(tǒng)安全的管理工作。各部門應(yīng)結(jié)合自身工作性質(zhì)和特點，制定具體的網(wǎng)絡(luò)安全管理實施細(xì)則，明確工作職責(zé)和管理權(quán)限，責(zé)任要落實到人。
第五條 網(wǎng)絡(luò)安全主管部門要強化有關(guān)網(wǎng)絡(luò)安全法律、法規(guī)和網(wǎng)絡(luò)安全意識的宣傳教育工作，開展多種形式的安全檢查，對發(fā)現(xiàn)的網(wǎng)絡(luò)安全隱患，要及時督促整改。
第三章 技術(shù)措施
第六條 學(xué)院應(yīng)對服務(wù)器、交換機、通信線路、IP地址等網(wǎng)絡(luò)軟硬件資源的使用進行統(tǒng)籌管理，按需分配。任何部門或個人不得通過任何手段私自使用以上資源或更改其用途。網(wǎng)絡(luò)安全主管部門要對網(wǎng)絡(luò)資源的使用和分配情況進行登記，并上報學(xué)校相關(guān)部門備案。
第七條 重要的網(wǎng)絡(luò)設(shè)施設(shè)備必須實行專人專管。
第八條 信息系統(tǒng)中賬號、密碼、權(quán)限的安全設(shè)置必須符合相關(guān)的技術(shù)規(guī)范。重要的服務(wù)器應(yīng)做到“功能單一、專機專用”，嚴(yán)禁在服務(wù)器中安裝與其功能無關(guān)的服務(wù)類軟件，不得用服務(wù)器做與其功能無關(guān)的事。
第九條 嚴(yán)格管理信息系統(tǒng)中的賬號和密碼，不得向無關(guān)的單位和個人提供相關(guān)信息(法律法規(guī)另有規(guī)定除外)。任何人不得以任何手段偵聽、破解、盜用賬號和密碼，嚴(yán)禁登錄與本人工作職責(zé)無關(guān)的網(wǎng)絡(luò)設(shè)備。
第十條 所有接入網(wǎng)絡(luò)的計算機必須安裝防病毒軟件;網(wǎng)絡(luò)服務(wù)器必須采取防范網(wǎng)絡(luò)入侵和攻擊的技術(shù)手段;定期備份重要數(shù)據(jù);網(wǎng)絡(luò)中的重要設(shè)備應(yīng)采取容災(zāi)措施。
第十一條 學(xué)院開設(shè)的服務(wù)器必須啟用日志記錄功能，記錄并留存用戶登錄和退出時間、操作內(nèi)容、訪問地址或域名等關(guān)鍵信息，歷史記錄保留時間不得低于60天。
第十二條 對網(wǎng)絡(luò)中的各類應(yīng)用軟件、數(shù)據(jù)庫系統(tǒng)等信息資源應(yīng)視其重要程度采取相應(yīng)的保密措施和權(quán)限控制。
第十三條 養(yǎng)成良好的計算機使用習(xí)慣，不隨意下載和安裝不熟悉的軟件、不無序存放數(shù)據(jù)資料、不使用盜版軟件、不接收和轉(zhuǎn)發(fā)來歷不明的電子郵件、不隨意訪問不熟悉的網(wǎng)站、不隨意修改系統(tǒng)參數(shù)，及時升級系統(tǒng)和應(yīng)用軟件、及時備份重要的數(shù)據(jù)資料。
第十四條 學(xué)院教學(xué)用機房一律不準(zhǔn)對社會開放，嚴(yán)禁向?qū)W生提供有償網(wǎng)絡(luò)服務(wù)。在教學(xué)過程中不能無限制對教師和學(xué)生開通上網(wǎng)服務(wù)，應(yīng)視具體的教學(xué)內(nèi)容而定。
第四章 審查與備案制度
第十五條 學(xué)院應(yīng)建立完備的審查與備案制度。需要審查和備案的事項包括：信息發(fā)布、提供網(wǎng)絡(luò)服務(wù)、新建網(wǎng)絡(luò)設(shè)施、申請網(wǎng)絡(luò)賬號等。
第十六條 各部門對外的信息發(fā)布的審查和備案工作由部門網(wǎng)絡(luò)安全責(zé)任人負(fù)責(zé)。學(xué)院對外提供網(wǎng)絡(luò)服務(wù)、新建網(wǎng)絡(luò)設(shè)施或申請網(wǎng)絡(luò)賬號等由網(wǎng)絡(luò)安全主管部門負(fù)責(zé)向?qū)W校提交相關(guān)申請和備案工作。
第十七條 未經(jīng)批準(zhǔn)，任何部門和個人不得以學(xué)院的名義對外發(fā)布信息，不得私自對外開設(shè)代理、郵件、文件、信息等網(wǎng)絡(luò)服務(wù)服務(wù)。如無特殊需要，學(xué)院的服務(wù)器一般不對學(xué)生和學(xué)院以外的人員開通信息發(fā)布功能。
第五章 應(yīng)急處置機制和信息通報制度
第十八條 網(wǎng)絡(luò)安全事件的處理應(yīng)堅持“加強監(jiān)控、主動防范、先期處置、及時匯報”的原則。
第十九條 出現(xiàn)以下情況可視為網(wǎng)絡(luò)安全事件：
1.網(wǎng)站主頁被惡意篡改，出現(xiàn)*、反政府、分裂國家、危害社會穩(wěn)定等違法言論，出現(xiàn)宣揚色情、暴力、封建迷信的信息或損害他人利益、聲譽的不實言論以及其他違法的信息。
2.網(wǎng)絡(luò)服務(wù)器遭受入侵，數(shù)據(jù)被非法復(fù)制、修改、刪除等。
3.網(wǎng)絡(luò)服務(wù)器受到攻擊，導(dǎo)致服務(wù)中斷或嚴(yán)重受阻。
4.網(wǎng)絡(luò)服務(wù)器感染計算機病毒，導(dǎo)致重大損失。
第二十條 若發(fā)生網(wǎng)絡(luò)安全事件或疑似網(wǎng)絡(luò)安全事件，應(yīng)按以下步驟處理：
1.相關(guān)技術(shù)人員應(yīng)立即停止受到影響的服務(wù)器、工作站的運行，關(guān)閉交換機等網(wǎng)絡(luò)設(shè)備，防止勢態(tài)蔓延、危害擴大;備份系統(tǒng)和應(yīng)用軟件的各類日志文件及重要的數(shù)據(jù)文件。
2.立即向?qū)W院網(wǎng)絡(luò)安全主管部門匯報情況，由網(wǎng)絡(luò)安全責(zé)任人召集技術(shù)人員對事件的性質(zhì)進行認(rèn)定。若確認(rèn)為網(wǎng)絡(luò)安全事件，應(yīng)及時以書面形式向?qū)W校相關(guān)部門匯報。并在保留證據(jù)的前提下，及時修復(fù)受損的網(wǎng)絡(luò)設(shè)備和數(shù)據(jù)。若確由必要，可向?qū)W校相關(guān)部門提出技術(shù)支持的請求。
3.處置完成后應(yīng)總結(jié)教訓(xùn)、查找漏洞，制定相應(yīng)的防范措施，盡量杜絕相同事件再次發(fā)生。
第六章 違約責(zé)任與處罰
第二十一條 違反本規(guī)定的行為一經(jīng)查實，學(xué)院將視情節(jié)給予相應(yīng)的行政紀(jì)律處分，情節(jié)嚴(yán)重或造成重大影響和損失的向?qū)W校相關(guān)部門報告，違反法律者，依法承擔(dān)相關(guān)責(zé)任。
第七章 其他
第二十二條 本規(guī)定自公布之日起實行。
繼續(xù)教育學(xué)院、應(yīng)用技術(shù)學(xué)院
第11篇 安全管理信息系統(tǒng)運行管理辦法
第一章 總則
第一條 為加強中心安全管理信息系統(tǒng)(以下簡稱系統(tǒng))運行管理,確保系統(tǒng)穩(wěn)定高效運行,根據(jù)神東煤炭集團安全風(fēng)險預(yù)控管理體系運行要求,制定本辦法。
第二條 本辦法適用于中心業(yè)務(wù)部門(以下簡稱部門)和本質(zhì)安全管理體系實施單位(以下簡稱單位)。
第三條 本辦法中的網(wǎng)絡(luò)包含服務(wù)器及軟件;基礎(chǔ)數(shù)據(jù)包括單位、部門及職員信息、考核評分標(biāo)準(zhǔn)、危險源及管控標(biāo)準(zhǔn)、不安全行為認(rèn)定標(biāo)準(zhǔn)、承包商信息;應(yīng)用數(shù)據(jù)指系統(tǒng)運行中錄入的業(yè)務(wù)數(shù)據(jù)。
第二章 系統(tǒng)管理
第四條 基礎(chǔ)數(shù)據(jù)管理及維護
中心安管部負(fù)責(zé)基礎(chǔ)數(shù)據(jù)管理及維護,相關(guān)部門必須落實專人進行管理,并嚴(yán)格履行下列職責(zé):
(一)負(fù)責(zé)組織各單位上報基礎(chǔ)數(shù)據(jù)修改意見的審核工作;
(二)負(fù)責(zé)數(shù)據(jù)庫基礎(chǔ)數(shù)據(jù)的監(jiān)視和優(yōu)化,并定期組織評估;
(三)負(fù)責(zé)對數(shù)據(jù)庫中基礎(chǔ)數(shù)據(jù)的變更操作;
(四)負(fù)責(zé)對新增數(shù)據(jù)的導(dǎo)入;
(五)對應(yīng)用單位反饋的相關(guān)問題和數(shù)據(jù)錯誤予以答復(fù)和更正。
第五條 系統(tǒng)運行管理模式
系統(tǒng)運行管理采取中心統(tǒng)一組織,各部門、單位分工負(fù)責(zé)的方式,中心在安管部設(shè)專職系統(tǒng)管理員,所有部門和單位設(shè)置系統(tǒng)管理員。中心系統(tǒng)管理員負(fù)責(zé)系統(tǒng)運行總體協(xié)調(diào),在業(yè)務(wù)上具有指導(dǎo)和監(jiān)督其他系統(tǒng)管理員的權(quán)利。
第六條 系統(tǒng)管理員崗位及任職條件
系統(tǒng)管理員崗位要列入本單位崗位設(shè)置,職員配備由各部門、單位自行確定,可兼職、兼崗,但必須具備下列條件:
(一)熟悉本質(zhì)安全管理體系及本安信息系統(tǒng);
(二)具備一定計算機應(yīng)用基礎(chǔ);
(三)能夠深入基層和生產(chǎn)一線。
第七條 系統(tǒng)管理員職責(zé)
(一)中心系統(tǒng)管理員
1.維護管理層用戶賬戶、密碼及權(quán)限;
2.解答管理層用戶在使用本系統(tǒng)時提出的操作問題;
3. 管理各單位、部門系統(tǒng)管理員的權(quán)限;
4. 及時發(fā)布升級程序;
5.收集整理系統(tǒng)軟件問題和故障并及時記錄,定期向安監(jiān)局反饋改進意見;
6.負(fù)責(zé)對各單位、部門系統(tǒng)管理員的業(yè)務(wù)指導(dǎo),并解答其遇到的系統(tǒng)操作問題。
(二)單位(部門)系統(tǒng)管理員
1.負(fù)責(zé)本單位(部門)人員的系統(tǒng)應(yīng)用培訓(xùn);
2.負(fù)責(zé)本單位(部門)系統(tǒng)應(yīng)用人員賬戶、密碼管理及權(quán)限分配(權(quán)限分配詳見附件1);
3.負(fù)責(zé)本單位(部門)基礎(chǔ)數(shù)據(jù)的維護,以及應(yīng)用數(shù)據(jù)真實性、規(guī)范性的監(jiān)督管理;
4.接受中心系統(tǒng)管理員的業(yè)務(wù)指導(dǎo),及時將系統(tǒng)問題和故障反饋中心系統(tǒng)管理員;
5.系統(tǒng)管理員變更時,負(fù)責(zé)對本單位(部門)繼任人員進行相關(guān)知識的培訓(xùn)。
第三章 系統(tǒng)應(yīng)用
第八條 各單位(部門)都必須制定本單位(部門)系統(tǒng)運行管理辦法,明確分管領(lǐng)導(dǎo),落實管理責(zé)任,每年至少進行一次修訂,并上報中心備案。
第九條 各單位(部門)員工都有瀏覽系統(tǒng)的權(quán)利,具有安全管理職責(zé)的員工均有錄入信息的義務(wù)和要求督促員工應(yīng)用系統(tǒng)的責(zé)任。
第十條 賬戶管理
系統(tǒng)設(shè)有獨立的用戶名和登錄密碼,非授權(quán)人員不得用他人密碼進入系統(tǒng)。所有用戶要及時修改密碼,并妥善保管。所有用戶要對自己賬戶下錄入數(shù)據(jù)的真實性和規(guī)范性負(fù)責(zé)。
第十一條 應(yīng)用數(shù)據(jù)要求
(一)動態(tài)檢查中發(fā)現(xiàn)的隱患(問題)和人員不安全行為,通過登錄本人賬戶后錄入系統(tǒng)。對權(quán)限受限的區(qū)隊(車間)級管理人員,發(fā)現(xiàn)非本區(qū)隊(車間)存在的隱患(問題)和人員不安全行為,可向本單位安全管理部門報告、錄入,并予以說明。
(二)應(yīng)用數(shù)據(jù)要按照系統(tǒng)表單或格式要求完整填寫,信息真實、及時、規(guī)范、準(zhǔn)確。隱患(問題)和人員不安全行為描述要具體,對應(yīng)標(biāo)準(zhǔn)及危險源要準(zhǔn)確,錄入工作要在檢查后24小時內(nèi)完成。對現(xiàn)場發(fā)現(xiàn)的隱患(問題)、不安全行為無法對應(yīng)相應(yīng)標(biāo)準(zhǔn)時,可先行錄入,并按《安全管理信息系統(tǒng)運行規(guī)范》要求上報存在的問題。對發(fā)現(xiàn)的不安全行為當(dāng)事人信息未納入系統(tǒng)時,要及時反饋所在單位系統(tǒng)管理員進行數(shù)據(jù)補充后進行錄入。
(三)單位內(nèi)部審核必須按程序文件規(guī)定的程序和周期組織,信息要完整錄入系統(tǒng)。
第十二條 預(yù)警與消警信息管理
各級管理人員要及時關(guān)注和查看與本單位、本部門及崗位人員相關(guān)的信息,涉及與其相關(guān)的整改項時,要及時整改,整改后要及時反饋。
檢查人員對查出的限期整改隱患,要及時跟蹤復(fù)查,并對已完成整改的隱患進行消警。本人因故不能及時完成復(fù)查工作時,可委托他人復(fù)查,但被委托人必須使用本人賬號進行復(fù)查消警。
被檢查單位(車間、區(qū)隊)確因?qū)嶋H情況無法按期整改的,需在信息錄入后24小時內(nèi),聯(lián)系檢查人對整改期限進行延長。
第十三條 基礎(chǔ)數(shù)據(jù)改進
各部門、單位負(fù)責(zé)動態(tài)考核評分標(biāo)準(zhǔn)的改進,要將審核后的數(shù)據(jù)通過“增補考核標(biāo)準(zhǔn)意見”途徑上報。
各部門、單位負(fù)責(zé)人員不安全行為認(rèn)定標(biāo)準(zhǔn)的改進以及危險源與動態(tài)考核評分標(biāo)準(zhǔn)的對應(yīng)關(guān)系確定。中心定期對各部門、單位通過“增補考核標(biāo)準(zhǔn)意見”上報的數(shù)據(jù)組織審核,并及時上報安監(jiān)局。
危險源辨識及風(fēng)險評估成果依據(jù)《神東煤炭集團安全風(fēng)險管理辦法》,納入系統(tǒng)管理。
各單位要通過系統(tǒng),及時查看已通過安監(jiān)局審核并導(dǎo)入公司數(shù)據(jù)庫的考核評分標(biāo)準(zhǔn)、危險源及管控標(biāo)準(zhǔn),并將適用于本單位的數(shù)據(jù)選取到單位數(shù)據(jù)庫中,實時應(yīng)用。
第十四條 系統(tǒng)的改進與升級
各單位(部門)應(yīng)將系統(tǒng)應(yīng)用過程中發(fā)現(xiàn)的問題以及改進意見,通過“員工建議管理”途徑上報,由安監(jiān)局定期組織審核,并及時糾正系統(tǒng)錯誤或作為系統(tǒng)升級的依據(jù)。
第四章 罰則
第十五條 未按本辦法相關(guān)條款規(guī)定職責(zé)履行管理義務(wù)的,且造成系統(tǒng)不能正常運行的單位和部門,除按日常動態(tài)檢查和季度定期檢查進行考核外,將視情節(jié)嚴(yán)重給予相應(yīng)處罰。
第十六條 系統(tǒng)應(yīng)用過程中,對存在下列情形之一的單位予以通報批評,并視情節(jié)處以500-2000元/次罰款:
(一)未嚴(yán)格執(zhí)行本單位的安全管理信息系統(tǒng)管理辦法;
(二)未設(shè)置系統(tǒng)管理員崗位,未明確人員和職責(zé);
(三)未履行本辦法中規(guī)定的管理職責(zé)。
第五章 附則
第十九條 本辦法解釋權(quán)歸神東煤炭集團洗選中心。
第二十條 本辦法自公布之日起執(zhí)行,原《神東煤炭集團洗選中心本質(zhì)安全管理信息系統(tǒng)運行管理辦法(試行)》同時廢止。
第12篇 天津電力信息系統(tǒng)安全管理的實踐
(天津市電力公司，天津 300010)
天津電力信息大型綜合系統(tǒng)始建于1994年，此后，各類系統(tǒng)建設(shè)又迅速得到發(fā)展并逐步完善。目前在公司廣域網(wǎng)上運行的系統(tǒng)有：網(wǎng)上辦公自動化(oa)、綜合信息平臺、用電mis、財務(wù)mis、民用電mis客戶服務(wù)系統(tǒng)、負(fù)荷控制、調(diào)度自動化(scada)、調(diào)度mis、互聯(lián)網(wǎng)代理及電子郵件系統(tǒng)等。正在建設(shè)的大型綜合性系統(tǒng)有：生產(chǎn)mis、電網(wǎng)gis(電網(wǎng)地理圖形輔助生產(chǎn)管理信息系統(tǒng))以及綜合信息平臺整合升級。由于天津市地域比較集中，系統(tǒng)網(wǎng)絡(luò)的覆蓋面、容量及性能建設(shè)得很好，為便于統(tǒng)一規(guī)范、控制和安全防范，公司廣域網(wǎng)各類信息系統(tǒng)全部采取集中式建設(shè)，集中式管理。
隨著天津電力信息系統(tǒng)建設(shè)的迅速發(fā)展，信息系統(tǒng)在公司日常辦公、生產(chǎn)和經(jīng)營管理等方面所發(fā)揮的作用日益重要。公司廣域網(wǎng)和某些局域網(wǎng)一旦發(fā)生嚴(yán)重事故，其經(jīng)濟損失和社會影響將無可估量，如果造成電網(wǎng)事故，則其影響可能是災(zāi)難性的。因而信息系統(tǒng)的安全運行，對于保證公司安全生產(chǎn)和正常的運營秩序已上升到至關(guān)重要的位置。同時，由于計算機和網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，信息系統(tǒng)安全的防范難度越來越大。而現(xiàn)階段計算機專業(yè)技術(shù)和知識還不夠普及，加上大多數(shù)領(lǐng)導(dǎo)干部的計算機知識和技術(shù)水平有限，對于公司生產(chǎn)和經(jīng)營活動對信息系統(tǒng)越來越強的依賴性認(rèn)識不足，所以加強信息系統(tǒng)的安全管理，不僅必要而且顯得緊迫。
1 信息系統(tǒng)安全管理組織體系建設(shè)
(1) 將原掛靠于總經(jīng)理工作部的信息中心分離出來，成立科技信息部，下設(shè)科技信息處，統(tǒng)一負(fù)責(zé)全公司信息系統(tǒng)的建設(shè)和運行管理，對各基層單位的計算機管理部門行使業(yè)務(wù)和職能管理。各單位下屬車間(含工區(qū)、所、站，下同)和配備計算機的班組設(shè)有計算機專責(zé)人，公司本部各部門設(shè)有兼職的信息員。這樣便建立了公司、廠(分公司)、車間和班組四級管理網(wǎng)。
(2) 由調(diào)度通信中心負(fù)責(zé)網(wǎng)絡(luò)骨干通道和骨干交換機的建設(shè)與管理，并負(fù)責(zé)調(diào)度scada系統(tǒng)、通訊系統(tǒng)和調(diào)度mis系統(tǒng)的建設(shè)與管理，對各基層單位的調(diào)度部門行使職能和技術(shù)管理。必要時可請科技信息部在技術(shù)上給予指導(dǎo)和幫助。以上構(gòu)成了信息系統(tǒng)安全技術(shù)管理的保證體系。
(3) 由公司安全監(jiān)察部和各單位安監(jiān)部門負(fù)責(zé)信息系統(tǒng)安全管理的監(jiān)督與考核，公司本部和各基層單位均設(shè)1名安全員(目前為兼職)，負(fù)責(zé)信息系統(tǒng)安全管理的日常監(jiān)督工作。由此構(gòu)成信息系統(tǒng)安全管理的監(jiān)督體系。
2 不斷建立健全規(guī)章制度
在建立健全組織體系的同時，公司還致力于建章立制。目前已建立信息系統(tǒng)網(wǎng)絡(luò)和機房建設(shè)規(guī)范、運行監(jiān)管、應(yīng)用系統(tǒng)開發(fā)與管理、系統(tǒng)驗收啟用、日常監(jiān)督與考核以及信息保密等一系列規(guī)章制度。其間經(jīng)歷了由粗到細(xì)、由淺入深，不斷補充、修改和完善的過程。有的制度是先期發(fā)出1個或幾個通知，經(jīng)過一段實踐后，再進一步整理完善，形成正式文件下發(fā)，有的文件執(zhí)行一兩年后又被新的、更詳細(xì)、更完善的文件所取代。
3 信息系統(tǒng)安全管理的幾點注意事項
(1) 要通過廣泛宣傳信息系統(tǒng)安全的重要性，及時通報信息系統(tǒng)故障情況及其影響，嚴(yán)懲人為事故責(zé)任人及責(zé)任單位，教育全公司的干部職工，增強公司員工，特別是領(lǐng)導(dǎo)干部對信息系統(tǒng)安全管理的責(zé)任心，促進各級專業(yè)管理部門建章立制，規(guī)范化管理，確保公司信息系統(tǒng)的安全穩(wěn)定運行，進而保證公司的正常生產(chǎn)和經(jīng)營秩序。
(2) 信息系統(tǒng)安全運行的關(guān)鍵在于充分發(fā)揮保證體系，即充分發(fā)揮職能部門專業(yè)管理人員的作用，落實各級管理人員責(zé)任制。由于該專業(yè)技術(shù)性很強，所以更要強調(diào)落實技術(shù)責(zé)任。對信息系統(tǒng)故障的處理，應(yīng)遵循'三不放過'的原則。
(3) 由于個人計算機的操作時間不受限制，其操作具有個體獨立性和一定的隱蔽性，加上各級領(lǐng)導(dǎo)干部計算機知識和操作水平有限，所以，專業(yè)技術(shù)部門應(yīng)不斷強化網(wǎng)上監(jiān)控技術(shù)手段和個人pc機的日常監(jiān)督檢查工作，防止個別人員在聯(lián)網(wǎng)的計算機上加裝與工作無關(guān)的軟件，或私接modem等違規(guī)設(shè)備。對發(fā)生的違規(guī)行為必須嚴(yán)懲，并予通報。
(4) 調(diào)度scada系統(tǒng)必須獨立運行，并同其它系統(tǒng)嚴(yán)格隔離。
(5) 各應(yīng)用系統(tǒng)必須和其它系統(tǒng)可靠地隔離，并有嚴(yán)格的訪問權(quán)限控制。
(6) 禁止聯(lián)入廣域網(wǎng)的各單位局域網(wǎng)服務(wù)器另開互聯(lián)網(wǎng)出口，嚴(yán)禁在聯(lián)網(wǎng)計算機上私接modem上互聯(lián)網(wǎng)。因工作需要使用modem的個人計算機必須經(jīng)過統(tǒng)一審批、備案，且該計算機必須同單位局域網(wǎng)和公司廣域網(wǎng)斷開。
(7) 嚴(yán)禁在聯(lián)網(wǎng)計算機上設(shè)立對外開放的網(wǎng)站，嚴(yán)禁加裝對外開放的網(wǎng)絡(luò)聊天、網(wǎng)絡(luò)游戲、網(wǎng)上炒股等與工作無關(guān)的軟件。
(8) 對登錄各類信息系統(tǒng)的用戶名和密碼應(yīng)有嚴(yán)格的保密責(zé)任，所設(shè)密碼不能過于簡單，防止他人盜用上網(wǎng)。
第13篇 建業(yè)集團信息系統(tǒng)安全管理細(xì)則
第一條???????? 目的
為了保護集團計算機信息系統(tǒng)安全，規(guī)范信息系統(tǒng)管理,合理利用系統(tǒng)資源，推進集團信息化建設(shè)，促進計算機的應(yīng)用和發(fā)展，保障集團信息系統(tǒng)的正常運行，充分發(fā)揮信息系統(tǒng)在企業(yè)管理中的作用，更好地為集團運營服務(wù)。根據(jù)《中華人民共和國計算機信息系統(tǒng)安全保護條例》及有關(guān)法律、法規(guī)，結(jié)合集團實際情況，制定本細(xì)則。
第二條???????? 術(shù)語與定義
（一）?? 信息系統(tǒng)安全管理范圍：業(yè)務(wù)軟件系統(tǒng)信息安全、硬件網(wǎng)絡(luò)信息安全。
（二）?? 系統(tǒng)管理員：是集團信息化管理系統(tǒng)建設(shè)的主要執(zhí)行者，負(fù)責(zé)系統(tǒng)的設(shè)備保障、運行監(jiān)測、及時維護、數(shù)據(jù)備份以及信息系統(tǒng)規(guī)劃、計劃、方案的起草工作；同時，負(fù)責(zé)集團信息化管理系統(tǒng)和各工作站系統(tǒng)軟件、應(yīng)用軟件的安裝、調(diào)試和維護工作；
第三條???????? 適用范圍
本細(xì)則適用于集團信息系統(tǒng)安全管理。
第四條???????? 系統(tǒng)服務(wù)器和網(wǎng)絡(luò)設(shè)備管理方法：
（一）? 服務(wù)器和各網(wǎng)絡(luò)設(shè)備的放置詳見《機房管理細(xì)則》第五條的第三項；
（二）? 非集團指定系統(tǒng)管理員，未經(jīng)批準(zhǔn)不得對服務(wù)器和各網(wǎng)絡(luò)設(shè)備進行硬件維護、軟件安裝卸載等操作；
（三）? 保證服務(wù)器和各網(wǎng)絡(luò)設(shè)備24小時不間斷正常工作，不得在服務(wù)器專用電路上加載其它用電設(shè)備；
（四）? 非工作需要，內(nèi)網(wǎng)服務(wù)器嚴(yán)禁直接接入因特網(wǎng)，并安裝好殺毒軟件，做好病毒防范，杜絕病毒感染。
第五條? 業(yè)務(wù)軟件系統(tǒng)信息安全：
（一）?? 帳戶申請：對符合開通帳戶的申請人，根據(jù)權(quán)責(zé)對軟件所負(fù)責(zé)管理的職能歸屬部門進行申請，經(jīng)該主責(zé)部門同意后，轉(zhuǎn)信息管理部系統(tǒng)管理員處備案；
（二）?? 帳戶刪除：對于離職人員，在辦理工作交接時。由離職人員的主管通過辦公平臺向業(yè)務(wù)軟件主責(zé)部門提交刪除離職人員相關(guān)業(yè)務(wù)軟件帳戶的申請。經(jīng)該主責(zé)部門同意后，轉(zhuǎn)信息管理部系統(tǒng)管理員處備案；
（三）?? 操作人員應(yīng)該嚴(yán)格保密帳戶信息，如因故意或過失造成信息泄漏的，將根據(jù)《員工獎懲管理細(xì)則》追究其相關(guān)責(zé)任；
（四）?? 系統(tǒng)管理人員應(yīng)熟悉并嚴(yán)格監(jiān)督數(shù)據(jù)庫使用權(quán)限、用戶密碼使用情況，適時更換、更新用戶帳號或密碼。
第六條? 網(wǎng)絡(luò)信息安全：
（一）?? 系統(tǒng)管理員要主動對網(wǎng)絡(luò)系統(tǒng)實行監(jiān)控、查詢，及時對故障進行有效隔離、排除和恢復(fù)工作，以防災(zāi)難性網(wǎng)絡(luò)風(fēng)暴發(fā)生；
（二）?? 網(wǎng)絡(luò)系統(tǒng)所有設(shè)備的配置、安裝、調(diào)試必須由系統(tǒng)管理員負(fù)責(zé)，其它人員不得隨意拆卸和移動；
（三）?? 所有上網(wǎng)操作人員必須嚴(yán)格遵守計算機及其它相關(guān)設(shè)備的操作規(guī)程，禁止其它人員進行與系統(tǒng)操作無關(guān)的工作；
（四）?? 在管理員還沒有有效解決網(wǎng)絡(luò)安全（未安裝防火墻、殺毒軟件）的情況下，內(nèi)外網(wǎng)獨立運行，所有終端內(nèi)外網(wǎng)不能混接，嚴(yán)禁外網(wǎng)用戶通過u盤等存貯介質(zhì)拷貝文件到內(nèi)網(wǎng)終端。
第七條? 資料備份工作方法：
（一）?? 數(shù)據(jù)備份關(guān)系到整個集團信息化管理系統(tǒng)的正常運轉(zhuǎn)，影響到集團正常的運營秩序，必須嚴(yán)格執(zhí)行；
（二）?? 數(shù)據(jù)庫服務(wù)器每周日做一次數(shù)據(jù)備份；
（三）?? 備份的數(shù)據(jù)存儲于專門的硬盤內(nèi)，備份必需以覆蓋的形式存儲，確保數(shù)據(jù)不會遺漏；
（四）?? 所有重要數(shù)據(jù)、信息化管理系統(tǒng)源程序要刻錄成光盤存盤；
（五）?? 若遇重大程序更新、修改，必須在程序更新、修改前要做好數(shù)據(jù)的備份工作；
（六）?? 上傳到集團網(wǎng)站上提供給查詢的數(shù)據(jù)必須每日定時更新，確保查詢數(shù)據(jù)的準(zhǔn)確性；
（七）?? 系統(tǒng)管理員若遇重大程序更新、修改，必須填寫工作日志；
（八）?? 非共享的文件不能設(shè)置成網(wǎng)絡(luò)共享，提供共享使用的文檔必須設(shè)置相應(yīng)權(quán)限，由于沒有安全設(shè)置相應(yīng)權(quán)限而造成本單位數(shù)據(jù)丟失的情況，后果自負(fù)。
第八條? 管理員有權(quán)制止一切違反安全管理的行為。
第九條? 本細(xì)則的解釋權(quán)屬于運營管理中心信息管理部。
第十條? 本細(xì)則由運營管理中心信息管理部進行起草與修訂，由總裁辦公會審核，執(zhí)行總裁批準(zhǔn)后發(fā)布。
第十一條? 本細(xì)則自發(fā)布之日起生效，集團原有相關(guān)規(guī)定、通知、辦法等同時廢止。
第14篇 涉密計算機及信息系統(tǒng)安全和保密管理辦法
第一條 為加強公司涉密計算機及涉密計算機信息系統(tǒng)的安全保密管理，根據(jù)國家有關(guān)保密法規(guī)和鐵道部的有關(guān)規(guī)定，結(jié)合哈佳鐵路客運專線有限責(zé)任公司（以下簡稱“公司”）實際，制定本辦法。
第二條 本辦法所稱的涉密計算機，是指專門用于處理或存儲國家秘密信息、收發(fā)文電、連接互聯(lián)網(wǎng)的臺式計算機；涉密計算機信息系統(tǒng)，是指專門用于處理國家秘密信息的計算機信息系統(tǒng)。
第三條 為確保國家秘密、公司工程項目相關(guān)技術(shù)資料的安全，公司各部門或個人不得使用便攜式計算機處理國家秘密信息。
第四條 公司設(shè)保密領(lǐng)導(dǎo)小組，具體負(fù)責(zé)公司內(nèi)部的涉密計算機及信息系統(tǒng)的安全保密管理工作，日常保密管理、監(jiān)督職責(zé)如下：
（一）審查、選定專人分別作為涉密計算機信息及信息系統(tǒng)的系統(tǒng)管理員、安全保密管理員和密鑰口令管理員，要求職責(zé)清晰，分工明確。
（二）定期對涉密計算機、涉密計算機信息系統(tǒng)以及涉密移動存儲介質(zhì)的使用、保管情況進行安全保密檢查，及時消除隱患。
（三）加強對有關(guān)人員的安全保密教育，建立健全保密規(guī)章制度，完善各項保密防范措施。
第五條? 涉密計算機日常管理人員是涉密計算機安全保密的責(zé)任人，其日常保密管理監(jiān)督職責(zé)如下：
（一）對計算機及軟件安裝情況進行登記備案，定期核查。
（二）設(shè)置開機口令，長度在8個字符以上，并定期更換，防止他人盜用和破譯。
（三）不得安裝、運行、使用與工作無關(guān)的軟件。
（四）應(yīng)在涉密計算機的顯著位置進行標(biāo)識，不得讓其他無關(guān)人員使用涉密計算機。
（五）未安裝隔離卡的涉密計算機單機，管理人員應(yīng)拆除網(wǎng)卡，嚴(yán)禁涉密計算機上網(wǎng)；已安裝隔離卡的涉密計算機應(yīng)嚴(yán)格按照正確方法使用，嚴(yán)禁他人在外網(wǎng)上處理（即打開、查看、拷貝、傳遞涉密文件）和存儲任何涉密信息；嚴(yán)禁他人在外網(wǎng)上使用涉密移動存儲介質(zhì)。
（六）定期做好涉密計算機的病毒查殺、防治和系統(tǒng)升級工作，及時進行數(shù)據(jù)備份，防止涉密信息的意外丟失。
第六條 涉密計算機信息系統(tǒng)的管理人員由系統(tǒng)管理員、安全保密管理員和密鑰口令管理員組成，具體職責(zé)如下：
（一）系統(tǒng)管理員負(fù)責(zé)涉密計算機信息系統(tǒng)的登錄權(quán)限分配、訪問控制和日常維護及修理，保證系統(tǒng)和單機的正常運行。定期開展涉密計算機信息系統(tǒng)重要數(shù)據(jù)的備份工作，防止因系統(tǒng)的損壞或意外造成的數(shù)據(jù)丟失。
（二）安全保密管理員負(fù)責(zé)涉密計算機信息系統(tǒng)的病毒防治、安全審計等工作，并負(fù)責(zé)對系統(tǒng)的運行進行安全保密監(jiān)視。
（三）密鑰口令管理員負(fù)責(zé)定期更換并管理系統(tǒng)登錄口令、開機密碼及部分重要程序和文件的密鑰，保證口令和密鑰的安全。對集中產(chǎn)生的涉密計算機信息系統(tǒng)口令，應(yīng)定期分發(fā)并更改，不得由用戶自行產(chǎn)生。處理秘密級信息的系統(tǒng)，口令長度不得少于8個字符，口令更換周期不得超過一個月；處理機密級信息的系統(tǒng)，口令長度不得少于10個字符，口令更改周期不得超過一周?？诹畋仨毤用艽鎯Γ诹钤诰W(wǎng)絡(luò)中必須加密傳輸，口令的存放載體必須保證物理安全。
第七條 涉密計算機信息系統(tǒng)實行“同步建設(shè)、嚴(yán)格審批、注重防范、規(guī)范管理”的保密管理原則。
第八條 涉密計算機及信息系統(tǒng)所在的場所，必須采取必要的安全防護措施，安裝防盜門窗和報警器，并指定專人進行日常管理，嚴(yán)禁無關(guān)人員進入該場所。
第九條 涉密計算機及信息系統(tǒng)不得直接或間接與國際互聯(lián)網(wǎng)連接，必須實行嚴(yán)格的物理隔離，并采取相應(yīng)的防電磁信息泄漏的保密措施。
第十條 涉密計算機按所存儲和處理的涉密信息的最高密級進行標(biāo)識；對涉密計算機信息系統(tǒng)的服務(wù)器，應(yīng)按本系統(tǒng)所存儲和處理的涉密信息的最高級別進行標(biāo)識。
第十一條 涉密計算機中的涉密信息應(yīng)有相應(yīng)的密級標(biāo)識，密級標(biāo)識不能與正文分離。對圖形、程序等首頁無法標(biāo)注的，應(yīng)標(biāo)注在文件名后。打印輸出的涉密文件、資料，應(yīng)按相應(yīng)的密級文件進行管理。
第十二條 涉密計算機的維修或銷毀一般應(yīng)由公司人員在本公司內(nèi)部進行，并應(yīng)確保秘密信息在維修、銷毀過程中不被泄露。公司不具備自行維修、銷毀條件的，應(yīng)報公司主管領(lǐng)導(dǎo)批準(zhǔn)，委托保密部門認(rèn)定的定點單位進行維修或銷毀。銷毀涉密存儲介質(zhì)，應(yīng)采用物理或化學(xué)的方法徹底銷毀。
第十三條 對于違反本辦法的有關(guān)人員，應(yīng)給予批評教育，責(zé)令其限期整改；造成泄密的，公司將根據(jù)有關(guān)保密法規(guī)進行查處，追究有關(guān)人員泄密責(zé)任。
第十四條 本辦法由公司保密委員會負(fù)責(zé)解釋。
第十五條? 本辦法自發(fā)布之日起執(zhí)行。
第15篇 某大學(xué)網(wǎng)絡(luò)及信息系統(tǒng)安全管理辦法
z大學(xué)網(wǎng)絡(luò)及信息系統(tǒng)安全管理辦法
近年來，國內(nèi)信息安全形勢嚴(yán)峻，各類信息安全事件頻發(fā)。為此，教育部辦公廳發(fā)布了《關(guān)于加強網(wǎng)絡(luò)安全檢查的通知》(教技廳函[2014]51號)、《教育行業(yè)信息系統(tǒng)安全等級保護定級工作指南(試行)》(教技廳函[2014]74號)和《教育部辦公廳關(guān)于開展國家級重要信息系統(tǒng)和重點網(wǎng)站安全檢查工作的通知》(教技廳函[2015]45號)要求高校加強網(wǎng)絡(luò)及信息系統(tǒng)安全管理;《z市教育委員會關(guān)于進一步加強和規(guī)范網(wǎng)絡(luò)與信息安全管理的通知》(渝教科〔2014〕32號)進一步明確高校需加強網(wǎng)絡(luò)、信息系統(tǒng)和網(wǎng)站安全管理;z市重要信息系統(tǒng)安全等級保護工作協(xié)調(diào)小組辦公室發(fā)布的《z市重要信息系統(tǒng)安全等級保護工作協(xié)調(diào)小組辦公室關(guān)于加強重點網(wǎng)站安全防范工作的緊急通知》(渝等保辦〔2015〕9號)要求高校加強信息系統(tǒng)和網(wǎng)站安全，落實信息系統(tǒng)等級保護定級管理工作。
第一章 總則
第一條 為貫徹落實國家及教育主管部門相關(guān)文件精神，進一步加強我校網(wǎng)絡(luò)及信息安全工作，特制定本辦法。
第二條 本辦法所指網(wǎng)絡(luò)(以下簡稱校園網(wǎng))包括z大學(xué)教學(xué)辦公區(qū)、學(xué)生宿舍區(qū)和部分由學(xué)校建設(shè)管理的教師住宅區(qū)網(wǎng)絡(luò)，不包括由電信運營商自主建設(shè)運營的住宅區(qū)網(wǎng)絡(luò)。
第三條 本辦法所指信息系統(tǒng)指由學(xué)校及各二級單位建設(shè)管理各類業(yè)務(wù)系統(tǒng)和網(wǎng)站。
第四條 涉密網(wǎng)絡(luò)和涉密系統(tǒng)根據(jù)國家及學(xué)校的相關(guān)管理規(guī)定單獨管理，不適用本管理辦法。
第二章 管理機構(gòu)及職責(zé)
第五條 為進一步加強網(wǎng)絡(luò)及信息安全組織領(lǐng)導(dǎo)，學(xué)校將原“z大學(xué)計算機網(wǎng)絡(luò)及信息安全領(lǐng)導(dǎo)小組”、“z大學(xué)數(shù)字化校園建設(shè)領(lǐng)導(dǎo)小組”整合調(diào)整為“z大學(xué)網(wǎng)絡(luò)信息安全及信息化工作領(lǐng)導(dǎo)小組”(以下簡稱領(lǐng)導(dǎo)小組)。領(lǐng)導(dǎo)小組負(fù)責(zé)制定全校網(wǎng)絡(luò)及信息安全工作的總體方針和安全策略，審定全校網(wǎng)絡(luò)及信息安全管理制度，指導(dǎo)并監(jiān)督網(wǎng)絡(luò)及信息安全管理。領(lǐng)導(dǎo)小組辦公室設(shè)在黨委辦公室。
第六條 網(wǎng)絡(luò)信息安全及信息化工作領(lǐng)導(dǎo)小組辦公室負(fù)責(zé)網(wǎng)絡(luò)及信息安全總體事務(wù)，主要職責(zé)包括：
(一) 統(tǒng)籌協(xié)調(diào)全校網(wǎng)絡(luò)及信息安全工作;
(二) 網(wǎng)絡(luò)及信息安全總體規(guī)劃;
(三) 制定網(wǎng)絡(luò)及信息安全管理制度;
(四) 組織信息網(wǎng)絡(luò)安全工作檢查和考評;
(五) 網(wǎng)絡(luò)及信息安全事件查處。
第七條 宣傳部主要職責(zé)包括：
(一) 學(xué)校主頁內(nèi)容審核、發(fā)布及安全管理;
(二) 學(xué)校新聞網(wǎng)內(nèi)容審核、發(fā)布及安全管理;
(三) 民主湖論壇內(nèi)容審核、發(fā)布及安全管理;
(四) 全校輿情監(jiān)控及內(nèi)容管理。
第八條 保衛(wèi)處主要職責(zé)包括：
(一) 全校信息安全監(jiān)控管理;
(二) 網(wǎng)絡(luò)及信息安全違法違紀(jì)事件的調(diào)查;
(三) 網(wǎng)絡(luò)及信息安全事件處理中的對外聯(lián)絡(luò)與接洽。
第九條 信息化辦公室負(fù)責(zé)網(wǎng)絡(luò)及信息安全技術(shù)支撐，主要職責(zé)包括：
(一) 校園網(wǎng)出口安全基礎(chǔ)設(shè)施的建設(shè)和管理;
(二) 學(xué)校數(shù)據(jù)中心安全基礎(chǔ)設(shè)施建設(shè)和管理;
(三) 校園無線網(wǎng)絡(luò)接入安全管理;
(四) 校園網(wǎng)安全監(jiān)控管理;
(五) 定期實施校內(nèi)服務(wù)器安全漏洞掃描及安全預(yù)警;
(六) 定期組織實施信息系統(tǒng)安全等級測評;
(七) 落實專職人員負(fù)責(zé)網(wǎng)絡(luò)及信息安全管理工作;
(八) 組織信息網(wǎng)絡(luò)安全培訓(xùn)和教育。
第十條 虎溪校區(qū)管委會具體負(fù)責(zé)虎溪校區(qū)網(wǎng)絡(luò)及信息安全管理，主要職責(zé)包括：
(一) 虎溪校區(qū)校園網(wǎng)出口安全基礎(chǔ)設(shè)施建設(shè)和管理;
(二) 虎溪校區(qū)校園網(wǎng)內(nèi)容審計系統(tǒng)監(jiān)測管理;
(三) 虎溪校區(qū)網(wǎng)絡(luò)信息中心機房的網(wǎng)絡(luò)及信息安全管理;
(四) 虎溪校區(qū)門戶及各業(yè)務(wù)系統(tǒng)內(nèi)容及系統(tǒng)安全管理。
第十一條 圖書館主要職責(zé)：
(一) 民主湖論壇的系統(tǒng)安全管理;
(二) 圖書館網(wǎng)絡(luò)(有線部分)接入安全管理;
(三) 圖書館業(yè)務(wù)系統(tǒng)及網(wǎng)站的安全管理。
第十二條 學(xué)工部、研工部主要職責(zé)：
(一) 學(xué)工、研工業(yè)務(wù)系統(tǒng)及網(wǎng)站安全管理;
(二) “易班”系統(tǒng)接入安全管理;
(三) 協(xié)助進行輿情監(jiān)控及內(nèi)容管理。
第十三條 其它二級單位主要職責(zé)包括:
(一) 本單位局域網(wǎng)和校園網(wǎng)接入安全管理;
(二) 本單位聯(lián)網(wǎng)計算機審核(有線部分);
(三) 本單位上網(wǎng)信息審核;
(四) 本單位業(yè)務(wù)系統(tǒng)及網(wǎng)站的安全管理。
第三章 校園網(wǎng)安全管理
第十四條 信息化辦公室總體負(fù)責(zé)校園網(wǎng)安全管理工作，虎溪校區(qū)管委會具體負(fù)責(zé)虎溪校區(qū)校園網(wǎng)安全管理工作。
第十五條 校園網(wǎng)(有線部分)由信息化辦公室負(fù)責(zé)在校園網(wǎng)出口處實施實名上網(wǎng)認(rèn)證，各二級單位負(fù)責(zé)接入端安全管理;校園網(wǎng)(無線部分)由信息化辦公室負(fù)責(zé)實施實名接入上網(wǎng)認(rèn)證。
第十六條 信息化辦公室負(fù)責(zé)學(xué)校數(shù)據(jù)中心網(wǎng)絡(luò)安全設(shè)施建設(shè)和管理。
第十七條 接入校園網(wǎng)的各單位和用戶必須嚴(yán)格遵守執(zhí)行《中華人民共和國計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)管理暫行規(guī)定》和國家有關(guān)法律法規(guī)，嚴(yán)格執(zhí)行信息安全及保密相關(guān)制度。
第十八條 二級單位根據(jù)國家有關(guān)規(guī)定對上網(wǎng)信息進行審查，凡涉及國家秘密的信息嚴(yán)禁上網(wǎng)。使用校園網(wǎng)的相關(guān)單位和用戶必須對所提供的信息負(fù)責(zé)。不得利用校園網(wǎng)從事危害國家安全、泄露國家秘密等犯罪活動，不得制作、查閱、復(fù)制和傳播有礙社會治安、社會穩(wěn)定的信息。
第十九條 在校園網(wǎng)上不允許進行任何干擾網(wǎng)絡(luò)用戶、破壞網(wǎng)絡(luò)服務(wù)和網(wǎng)絡(luò)設(shè)備的活動，不得在網(wǎng)絡(luò)上散布計算機病毒，未經(jīng)授權(quán)不得使用校園網(wǎng)。
第二十條 接入校園網(wǎng)的各二級單位需指定一名主管領(lǐng)導(dǎo)負(fù)責(zé)本單位的網(wǎng)絡(luò)及信息安全工作，設(shè)立網(wǎng)絡(luò)管理員具體負(fù)責(zé)相應(yīng)的網(wǎng)絡(luò)安全和信息安全技術(shù)工作。
第二十一條 校園網(wǎng)上所有單位和用戶有義務(wù)向?qū)W校網(wǎng)絡(luò)信息安全相關(guān)部門報告網(wǎng)絡(luò)違法犯罪行為和網(wǎng)上有害信息情況。
第二十二條 與校園網(wǎng)相關(guān)的所有單位和用戶必須接受并配合國家有關(guān)部門依法進行的監(jiān)督檢查。
第四章 信息系統(tǒng)安全管理
第二十三條 各二級單位是信息系統(tǒng)安全管理的責(zé)任主體，對本單位信息系統(tǒng)安全負(fù)責(zé)。
第二十四條 信息系統(tǒng)安全遵循“同步規(guī)劃、同步建設(shè)、同步運行”的原則，信息系統(tǒng)的立項采購、測試驗收、交付使用、升級改造必須符合國家對信息系統(tǒng)安全等級保護的相關(guān)要求。
第二十五條 二級單位負(fù)責(zé)制定信息系統(tǒng)安全管理策略，加強人員安全能力與安全意識培訓(xùn)，落實學(xué)校安全要求;確定信息系統(tǒng)數(shù)據(jù)安全要求，明確數(shù)據(jù)訪問權(quán)限，制定數(shù)據(jù)備份機制，接入學(xué)校統(tǒng)一災(zāi)備體系。
第二十六條 二級單位負(fù)責(zé)信息系統(tǒng)的安全運行維護工作，按照《信息系統(tǒng)安全等級保護基本要求》(GB/T 22239-2008)基本技術(shù)要求規(guī)定，做好系統(tǒng)安全、角色權(quán)限、口令增強等系統(tǒng)管理工作，定期進行安全檢查、漏洞修補、系統(tǒng)升級、數(shù)據(jù)備份等安全管理工作;信息系統(tǒng)一旦出現(xiàn)信息安全事件，二級單位應(yīng)及時查處整改，對多次出現(xiàn)安全事件的信息系統(tǒng)由信息化辦公室暫停其網(wǎng)絡(luò)連接及服務(wù)。
第五章 信息系統(tǒng)安全等級保護定級
第二十七條 根據(jù)“自主定級、自主保護”的原則，由學(xué)校“網(wǎng)絡(luò)信息安全及信息化工作領(lǐng)導(dǎo)小組”確定我校信息系統(tǒng)安全等級保護定級方案。
第二十八條 學(xué)?，F(xiàn)有信息系統(tǒng)的定級由“網(wǎng)絡(luò)信息安全及信息化工作領(lǐng)導(dǎo)小組”根據(jù)教育部辦公廳《教育行業(yè)信息系統(tǒng)安全等級保護定級工作指南(試行)》(教技廳函[2014]74號)并結(jié)合我校實際情況確定，定級確定后按要求報公安機關(guān)審核備案并定期開展等級測評。
第二十九條 信息系統(tǒng)安全等級保護定級、變更由學(xué)校“網(wǎng)絡(luò)信息安全及信息化工作領(lǐng)導(dǎo)小組”審定，各二級單位負(fù)責(zé)準(zhǔn)備相關(guān)備案材料，信息化辦公室負(fù)責(zé)組織等級測評、報公安機關(guān)審核備案。
第三十條 信息化辦公室定期組織對重要信息系統(tǒng)進行安全檢測。
第六章 安全事件查處
第三十一條 網(wǎng)絡(luò)及信息安全事件(以下簡稱安全事件)包括有害程序、網(wǎng)絡(luò)攻擊、信息破壞、信息內(nèi)容安全、信息設(shè)施故障、災(zāi)害性事件及其它危害網(wǎng)絡(luò)及信息安全的事件。
第三十二條 校園網(wǎng)上所有單位和用戶有義務(wù)向?qū)W校網(wǎng)絡(luò)信息安全相關(guān)部門報告安全事件。
第三十三條 二級單位發(fā)現(xiàn)安全事件或接到安全事件報告后應(yīng)在第一時間將相關(guān)情況報學(xué)校保衛(wèi)處和信息化辦公室。
第三十四條 學(xué)校保衛(wèi)處負(fù)責(zé)安全事件的調(diào)查取證，信息化辦公室負(fù)責(zé)技術(shù)支撐，二級單位負(fù)責(zé)配合舉證。
第三十五條 發(fā)生安全事件后應(yīng)首先留存相關(guān)證據(jù)，中斷網(wǎng)絡(luò)連接以減小安全事件擴散影響，在調(diào)查取證結(jié)束以前不執(zhí)行數(shù)據(jù)刪除、系統(tǒng)恢復(fù)等操作，避免影響調(diào)查取證。
第三十六條 二級單位應(yīng)建立安全事件應(yīng)急處理機制，制定應(yīng)急預(yù)案，定期實施應(yīng)急測試、演練和培訓(xùn)。
第三十七條 網(wǎng)絡(luò)信息安全及信息化工作領(lǐng)導(dǎo)小組辦公室負(fù)責(zé)對一般安全事件責(zé)任人和責(zé)任單位進行處理，對造成重大影響和重大損失的安全事件報請網(wǎng)絡(luò)信息安全及信息化工作領(lǐng)導(dǎo)小組處理。
第七章 附則
第三十八條 本管理辦法由學(xué)校授權(quán)網(wǎng)絡(luò)信息安全及信息化工作領(lǐng)導(dǎo)小組辦公室負(fù)責(zé)解釋。
第三十九條 本管理辦法自公布之日起執(zhí)行。
z大學(xué)
