计算机信息安全管理办法

计算机信息安全管理办法

第一章总则

第一条为加强公司计算机信息安全管理工作，规范操作流程，明确岗位职责，确保计算机信息系统的安全，根据《中华人民共和国保守国家秘密法》、《中华人民共和国计算机信息系统安全保护条例》等法律法规，结合公司实际工作需要，制订本办法。

第二条本办法所称的计算机系统是指由计算机及其相关和配套的设备、设施构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统或者网络。计算机信息是指通过计算机系统产生的所有相关数据、文件及其它电子资料。

第三条计算机系统规划、设计、建设和维护应当同步落实相应的信息安全措施，使用符合国家有关规定、满足计算机系统安全保护需求的信息技术产品。

第四条对计算机系统中发生的案件和重大安全事故，当在二十四小时内上报上级公司，同时报告县级以上人民政府公安机关，并保留有关原始记录。

第五条本办法适用于公司

第二章机构与职责

第六条公司计算机信息安全管理工作实行领导负责制，由分管保密工作和信息化工作领导负责统筹计算机信息安全管理工作。

第七条公司系统及网络管理员和安全管理员岗位，两者不可兼任，其中安全管理员相应工作职责如下：

1) 网络及系统管理员负责计算机系统的信息安全系统建设与技术管理工作。

2) 安全管理员负责信息安全审计工作。

第三章物理安全管理

第九条机房应选择在具有防震、防风和防雨等能力的建筑内。

第十条机房应采取防电磁干扰措施，电源线和通信线缆应隔离，避免互相干扰，对重要设备和磁介质实施电磁屏蔽。

第十一条机房应采取防静电、防水的相关措施。

第十二条机房应安装门禁系统、防雷系统、监视系统、消防系统、报警系统。

第十三条计算机系统供电应与其他供电分开。供电线路应设置冗余或并行的电力电缆线路，应建立备用供电系统，以备常用供电系统停电时启用。

第十四条机房应配备UPS 设备，以保证机房设备的电源能在发生断电的情况下维持机房所有设备的电源供应。

第十五条定时检查机房环境温度、湿度情况，确保温度控制在18℃~23℃的范围内，湿度控制在35%~80%的范围内，以保证机房设备和系统的正常运行。

第十六条重要服务器及相关设备必须放置在机房内，并固定在机柜的相应位置。

第十七条应将通信线缆铺设在隐蔽处，不允许祼线部署。

第四章网络安全管理

第一节总体安全要求

第十八条应对计算机网络进行安全区域划分，不同安全区域具有不同安全等级，并采取相应的安全防护措施。一般情况下，可划为如下几个区域：

(一) 办公内网：由本单位局域网内的服务器、客户端及相关设备组成的网络区域；

(二) 业务外网：由供互联网访问的服务器及相关设备组成的网络区域；

(三) 业务专网：由集团公司及各级下属单位共同组成的通过专用VPN 系统相连接的广域网络；

(四) 公众外网：由访问互联网的客户端及相关设备组成的网络区域。第十九条应在不同网络安全区域之间采取安全隔离措施。

(一) 公众外网与其它区域物理隔离；

(二) 业务外网使用单独的通信线路。业务外网和办公内网、业务专网之间通过数据安全交换平台方式进行物理隔离，不允许业务外网与公众外网之间通过内部网络线路互联； (三) 业务专网和办公内网之间逻辑隔离；

(四) 业务外网和办公内网之间进行数据交换时必须采用符合国家安全要求的 CA数字证书。

第二十条网络设计应充分考虑系统冗余。其中关键的网络设备和系统必须设立冗余备用设备或系统，使本单位网络故障对业务造成的影响降到最低。

第二十一条未经许可，不得更改本单位安全区域内的重要配置。各单位应设计和绘制与当前运行情况相符的网络拓扑结构图，当网络拓扑结构发生改变时，应及时更新。

第二十二条公司的网络设备及带宽的性能应能满足本单位所需最大资源的要求，并通过流量分配措施对网络的各种应用合理分配相应的带

宽，以保证重要应用系统的正常访问。

第二十三条所有网络设备管理员帐号设置应满足安全性要求。

(一) 口令长度应设置在 8 位字符以上、复杂度为数字、字母、特殊字符的组合，并且定期更新；

(二) 当登录失败超过三次时结束会话连接并锁定账号30分钟以上，当网络登录连接超时自动退出。

第二十四条应对网络设备的管理员用户登录地址进行限制。

第二十五条对网络设备进行远程管理时，应保证鉴别信息通过加密协议（如 HTTPS 协议）传输。

第二十六条应对所有网络设备进行日志审计。

(一) 审计内容应包含事件的日期和时间、用户、事件类型、事件成功情况；

(二) 应使用日志审计工具设置特定事件报警及生成日志报表；

(三) 应做好网络设备日志的保存工作，保存期大于30天，保存的日志不可修改。

第二节办公内网安全管理

第二十七条应为服务器、财务客户端分别划分独立的子网，其它客户端应根据各部门的工作职能、重要性、所涉及信息的重要程度等因素划分不同的子网。客户端的不同子网之间原则上不能互相访问。

第二十八条服务器与客户端之间应通过防火墙或ACL列表进行访问控制，确保客户端不能任意访问服务器的所有端口。

第二十九条应对重要子网采取防止 IP 地址欺骗措施。

第三节业务专网安全管理

第三十条业务专网采用统一的专用 VPN 系统组网。

(一) 办公内网采用硬件 VPN 方式接入业务专网；

(二) 移动办公用户采用 VPN 单机连接方式接入业务专网；

(三) VPN 连接必须采用安全的VPN 连接协议，办公内网VPN 互联必须采用硬件鉴权和口令双重认证。

第三十一条办公内网VPN 互联应配置双物理线路，以提高网络可靠性。

第四节业务外网管理

第三十二条在业务外网边界处应部署网络防火墙、入侵防御、防病毒网关等安全设备，并设置细致的安全访问策略，原则上禁止互联网自由访问业务外网。

第三十三条入侵防御应能检测各种已知的入侵行为，记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时

提供报警。

第三十四条重要的WEB 应用系统（如电子商务系统）应部署WEB应用防火墙。

第五节公众外网管理

第三十五条公众外网出口必须配备防火墙等安全设备。

第三十六条各单位应在公众外网部署上网行为管理设备，对公众外网进行有效管理与监控，其中包括：上网实时监控、互联网行为审计、上网情况统计分析、网络访问策略控制、带宽管理等。互联网行为审计记录保留 60 天，审计记录不可修改。

第五章主机安全管理

第三十七条主机包括服务器、终端计算机。

第三十八条应在主机操作系统中安装防病毒系统，并定期对服务器主机进行恶意代码查杀，并实时更新病毒库。防病毒系统应具有全方位网络恶意代码防护能力、集中管理与监控功能和系统自动更新功能，而且系统必须具有较好的兼容性，不能影响各应用系统的正常运行。

第三十九条所有主机应通过补丁服务器进行补丁统一自动分发。

第一节主机接入与授权管理

第四十条本章中的内部用户、外部用户、信息化运维人员定义如下：

(一) 内部用户：公司内部的办公用户；

(二) 外部用户：业务专网使用人员、外部来访人员及移动办公人员；

(三) 信息化运维人员：信息化维护人员及管理员。

第四十一条各类用户接入服务器主机的方式如下：

(一) 内部用户应安装安全客户端（使用内网安全管理系统统一部署安装的安全代理软件）方式接入服务器主机；

(二) 外部用户应采用 VPN 或安全客户端方式接入服务器主机；

(三) 信息化运维人员应通过信息安全运维系统接入服务器主机。

第四十二条所有用户接入服务器时应通过硬件 CA 数字证书和口令双重认证。

第四十三条所有用户访问服务器资源时都应通过相对应的安全接入系统进行安全授权和管理，对所有终端计算机只开放所需的最小权限。

第二节服务器主机管理

第四十四条服务器操作系统的管理员账号应具有唯一性，不允许多个用户使用同一账号。

第四十五条服务器操作系统的管理员帐号应满足安全性要求：

(一) 口令设置为长度在 8 位字符以上、复杂性为数字、字母、特殊字符的组合，并且定期更新；

(二) 当登录失败超过三次时结束会话连接并锁定账号30分钟以上。

第四十六条对于服务器操作系统应有严格的资源访问控制策略，访问控制细粒度应达到文件级。

第四十七条应严格限制服务器操作系统的默认用户访问权限，及时删除不必要的临时账号和测试账号等。

第四十八条应对服务器操作系统的所有用户进行安全审计。

(一) 审计内容应包含事件的日期和时间、用户、事件类型、事件成功情况；

(二) 应使用日志审计工具设置特定事件报警及生成日志报表；

(三) 应做好服务器操作系统日志的保存工作，保存期大于30 天，保存的日志不可修改。

第四十九条应妥善保存服务器操作系统的用户鉴别信息。

第五十条应定期扫描服务器安全漏洞。

第五十一条应对服务器的单个用户的多重并发会话数和连接数进行限制，禁止同一账号在同一时间内并发登录。

第三节终端主机管理

第五十二条办公内网终端计算机应部署内网安全管理系统，该系统应具有如下功能：

(一) 能够实现对终端计算机用户的口令及硬件 CA 数字证书双重身份认证；

(二) 能够根据安全策略阻断未授权的终端计算机接入办公内网；

(三) 能够对终端计算机访问办公内网服务器资源进行授权控制；

(四) 能够控制用户对终端计算机操作系统的配置更改和软件安装；

(五) 能够控制用户对终端计算机外部设备及接口的使用；

(六) 能够对终端计算机用户操作行为进行详尽的安全审计，应包括对本地资源、网络资源、外部设备等的访问行为。

第五十三条终端主机上使用的移动存储设备应由各单位统一购置、登记和发放，并对介质使用进行安全审计。非授权的移动存储禁止接入办公内网。

第六章应用安全管理

第五十四条本章所指的系统分为重要系统和一般系统，应对所有应用系统进行定级分类，其中含有敏感信息的应用系统应归为重要系统，其它应用系统归为一般系统。

第一节应用系统建设安全管理

第五十五条在系统设计阶段，系统开发单位应根据风险分析、风险管理以及充分调研的结果，对应用系统的基本安全功能和安全功能的强度

进行需求确认，包括是否需要身

份验证、角色访问控制、数据加密、自动备份、日志审计等安全功能。只有通过系统安全需求论证后才能进行系统开发。

第五十六条应用系统应考虑软件容错性。

(一) 应对人机接口输入数据的规范性提供检验；

(二) 应对人机接口操作提供回退功能；

(三) 应具备状态监测能力，当故障发生时，能实时检测到故障状态并报警；

(四) 应具备自动保护能力，当故障发生时，自动保护当前所有状态。第五十七条应制定应用系统代码编写安全规范，要求开发人员参照规范编写代码。

第五十八条系统上线前应对应用系统代码进行安全漏洞检测，识别可能存在的恶意代码，存在安全漏洞的应用系统不得上线。

第二节应用系统运行管理

第五十九条必须保证应用系统的安全性和可靠性，因安全漏洞导致的应用系统故障和安全事故，应立即中断此应用系统服务，并及时向相关单位发布通知，限期整改。

第六十条重要系统必须采用双机热备的方式运行。

第六十一条应定期对应用系统进行穿透性测试，并及时修补漏洞。

第六十二条一般情况下，部署在业务外网中的应用系统应通过安全发布服务器进行应用安全发布。

第六十三条应对WEB 应用系统采取防篡改措施，防止应用系统被非法篡改。

第六十四条应用系统的管理员帐号应满足安全性要求。

(一) 应用系统用户身份必须是唯一的，口令长度在8位字符以上、复杂性为数字、字母、特殊字符的组合，并且定期更新；

(二) 登录失败超过三次时自动结束会话连接并锁定账号30分钟以上，当网络登录连接超时，自动退出。

第六十五条所有用户接入重要系统时应进行双重身份验证（如口令结合 CA 数字证书认证）。

第六十六条应对应用系统设置相关的安全访问策略，非授权的用户不能访问应用系统的相关资源，访问控制细粒度至少为模块级。

第六十七条应对应用系统进行日志安全审计。

(一) 审计内容应包含事件的日期和时间、用户、事件类型、事件成功情况；

(二) 应使用日志审计工具设置特定事件报警及生成日志报表；

(三) 应做好应用系统日志的保存工作，保存期大于30天，保存的日志不可修改。

第六十八条应妥善保存应用系统的用户身份鉴别信息。

第六十九条应限制应用系统单个用户的最大并发会话和连接数。

第七十条应用系统的管理与审计的权限应分配给不同的管理员。

第三节数据库安全管理

第七十一条数据库系统的管理员口令应设置为长度在8 位字符以上、复杂性为数字、字母、特殊字符的组合，并且定期更新。

第七十二条对于数据库系统应有严格的资源访问控制策略，访问控制细粒度应达到数据库表级。

第七十三条应严格限制数据库系统的默认用户访问权限，及时删除不必要的临时账号和测试账号等。

第七十四条应禁止使用数据库的超级管理员账号（如sql中的sa账号）进行远程登录，并禁止使用数据库的超级管理员账号建立数据库实体、数据库表。

第七章数据安全及保密管理

第七十五条重要的数据存储应有可靠性保证，在线系统数据和业务数据应存储在冗余的介质中。

第七十六条操作系统、应用系统程序和业务数据应分别放在不同的逻辑磁盘中。

第七十七条制定重要数据的备份与恢复方案，并建立相应的备份与恢复系统，要求如下：

(一) 备份内容包括服务器操作系统、网络设备、数据库管理系统和应用系统的配置信息，应用系统的重要数据，服务器操作系统程序，应用系统程序；

(二) 备份方式为网络集中备份方式，将备份信息统一集中存放在备份介质内，重要系统的数据应实现本地和异地双重备份；

(三) 重要系统的数据每天最少备份一次，其余数据定期备份，备份数据的保存周期不得小于一周。

(四) 备份信息应存放在安全、可靠、有效的位置。

第七十八条当出现信息丢失、错误或出现系统故障时应及时进行信息和系统恢复工作。以保证各计算机信息和网络系统的正常运行。信息恢复过程中如果需要停止相关应用系统的运行，应提前通知相关使用人员做好应急准备。

第七十九条应对敏感信息采取加密存储。

第八十条不得在远程办公的相关终端设备上保存敏感信息。

第八章用户行为安全管理

第八十一条应对进出机房人员进行管理。禁止未经批准的人员进入机房，外来人员进出机房应办理登记手续，并由专业管理人员陪同。

第八十二条未经许可，任何人不得擅自拆卸、搬移、更换主机及网络设备的部件；对于设备、电源、线路，不得随意开关、更改，不得随意改换、移动电源、插座和布线。

第八十三条未经许可，任何人不得私自在主机设备上外接任何计算机外部设备。

第八十四条未经许可，办公内网中的终端计算机禁止使用光驱和软驱。

第八十五条所有人员应对各自使用的主机及相关设备采取防盗措施，一旦被窃取，应及时告知网络及系统管理员。

第八十六条未经许可，任何人不得私自将外带的主机及网络设备接入除公众外网的任何网络区域，办公内网的用户不得通过自带的相关设备接入互联网。

第八十七条对新购置、外修后、借入借出的主机和网络设备接入办公内网、业务外网或业务专网前应进行安全检查，合格后方可接入。

第八十八条做好主机操作系统和应用系统的用户名、口令、证书、加密验证设备等安全验证信息的保管、管理和保密工作。终端计算机用户必须保护好自己的用户身份鉴别信息，不得向无关人员透露。网络及系统管理员负责各服务器、网络设备及系统软件的安全验证信息的管理与保密工作，未经用户许可，不得随意更改该用户的身份鉴别信息。

第八十九条网络、主机或应用系统的身份鉴别信息被他人盗取，要及时进行修改，自己不能够修改的，要及时通知本单位网络及系统管理员；网络及系统管理员接到有关通知后，要及时对外泄的信息进行修改。对做过的修改过程、时间记录存档。

第九十条禁止在主机上安装和使用与办公无关的软件，对于从互联网下载的或其他渠道获得的、与工作有关的各类软件安装前要进行安全性检查后方可在办公内网及业务外网的主机上安装。

第九十一条未经许可，不得更改主机操作系统及应用系统的重要配置及数据。

第九十二条网络及系统管理员应每天检查主机病毒防护系统的升级情况，发现异常应及时处理。同时应监控本单位病毒感染与传播情况并进行统计分析，以防止病毒的大面积爆发。

第九十三条如果发生计算机病毒大面积爆发，网络及系统管理员应及时对被病毒感染的主机实施物理隔离，尽快查找病毒源头并进行病毒查

杀，同时通知相关负责人做好应急处理工作。如果重要应用系统服务器出现严重病毒感染，应及时停止应用系统使用并隔离该服务器，同时通知相关人员。如果出现计算机病毒大面积爆发，除做好前述应对工作外应及时将具体情况通知上级公司网络及系统管理员，以免出现更大范围内的病毒爆发。

第九十四条不得在公司网站或互联网上从事危害国家安全、泄露国家秘密等违法犯罪活动，不得制作、浏览、复制、传播反动及色情信息，不得在网络上发布反动、非法和虚假的消息，不得冒用他人名义发送信息，不得在网络上漫骂攻击他人，不得在网上泄露他人隐私。

第九十五条禁止在工作时间进行浪费网络资源和威胁网络安全的操作。禁止向他人发送恶意的挑衅性的邮件和商业广告，禁止打开来路不明的电子邮件，一旦发现立即删除。

第九十六条人员离岗时，应回收相关用户身份鉴别信息，并调整相应用户权限。

第九十七条涉密介质的使用应符合《中华人民共和国保密法》的相关规定。

第九十八条任何单位和个人不得利用计算机系统非法传递或者交易涉及国家秘密的电子文件与信息，不得将涉及国家秘密的计算机系统与国际互联网、其它公共信息网络相联接，不得利用非涉密计算机系统处理涉及国家秘密的信息。

第九十九条敏感信息使用者必须应妥善保存相关信息，若因保管不善造成信息外泄，使用者应负全责。

第一百条敏感信息的共享等级和范围须经有关部门和主管领导批准，明确共享资源的使用人员和操作权限，严格按照使用人员、操作权限进行共享。禁止将秘密或机密的信息进行网络存放或共享。

第一百零一条终端计算机应通过本单位的文件服务器进行个人文件的共享，不允许在两个或两个以上的终端计算机之间设置共享文件夹。

第一百零二条必须保护好相关的主机及应用系统有保密要求的信息，不得擅自复制抄录和对外泄露。如因工作需要，向合作单位提供相关信息要做好信息外泄安全防范工作。

第一百零三条禁止打听和窃取他人保密信息，假冒他人名义对相关应用系统进行违法操作。未经许可不得以他人身份使用网络及主机资源。第一百零四条网络及系统管理员负责做好集中备份系统的备份策略制定、完善和修改工作及每天检查备份情况。

第九章安全意识教育和培训

第一百零五条定期开展信息安全技术与管理培训，组织学习信息安全

技术及相关法律、法规，提高各信息安全技术保障与管理水平。

第一百零六条定期对内部办公人员进行信息安全普及教育，强化信息安全防范意识，普及信息安全及保密防护知识。

第一百零七条相关人员应积极配合，自觉参加各种教育和培训活动。第一百零八条凡违反本办法造成集团经济损失或恶劣影响的，除对相关当事人进行严肃处理外，情节严重的将根据有关法律法规追究相关责任。