公司信息系统安全管理办法

公司信息系统安全管理办法第一章总则第一条为加强公司信息系统安全管理工作，提高信息系统建设运行质量，根据国家有关法律、法规，结合公司的实际，制定本办法。

第二条本办法适用于公司信息系统安全管理。

第三条本办法中的信息系统指为了实现企业管理信息化或业务管理信息化而购置和开发（含合作开发与自行开发）的计算机软件。

第四条公司信息管理部负责信息系统安全工作的组织与实施。

第五条公司信息管理部设系统管理员岗位，负责信息系统安全工作的日常落实，主要职责有：1、负责信息系统开发、实施、变更、验收、上线、维护、升级等阶段的组织与协调工作；2、负责信息系统后台的日常维护，包括服务器参数配置、访问控制策略的制定和服务器操作系统安全性维护等；3、负责配合业务部门针对信息系统的培训推广和用户管理等工作；4、负责配合安全管理员和网络管理员开展其他网络信息安全有关工作。

第六条公司各部门负责整理和确定本业务系统所辖业务的管理需求、信息系统使用与运维保障的安全需求等，并对本业务系统信息的安全性负责。

第二章系统开发管理第七条系统开发之前应分析确定详细的业务管理需求、技术需求（如数据库选择与数据结构设计、技术平台的选择与搭建、开发语言与网络协议的选择等）以及信息安全使用需求等，为系统开发创造条件。

第八条系统开发阶段应完成代码设计、系统测试和安全评估工作。

第九条在信息系统的代码设计阶段，应根据安全需求设计实施安全技术，对信息系统技术实现过程进行质量管理，防止技术人员故意保留“后门”，保证系统最终产品的安全性质量。

第十条软件开发设计人员与操作人员必须实行岗位分离。

软件设计方案、数据结构加密算法、源代码等技术资料严禁散失和外泄。

第十一条对开发完成的系统原型，必须经过局部功能测试、整体功能测试、压力测试，以及与安全需求目标一致的系统安全性能、操作流程、应急方案等重要安全性测试和安全评估，并试运行三个月，确认达到设计要求后，方可正式投入使用。

测试的结果应进行详细记录并存档。

第三章系统实施管理第十二条应与系统开发单位签订与安全相关的协议，约束系统开发单位的行为。

第十三条应要求系统开发单位制定详细的系统实施方案，能正式地执行安全实施过程，并通过系统监理控制项目的实施过程。

第十四条应要求系统开发单位在实施完成后，提供系统功能说明书、系统维护手册、用户操作说明书等文档。

第四章系统变更管理第十五条系统变更由业务需求部门和信息管理部共同分析变更的必要性和合理性，确定是否实施变更。

第十六条信息管理部记录变更信息，编制变更计划和方案，报公司信息化工作领导小组审批。

第五章系统验收管理第十七条系统验收管理包括系统整体功能测试、安全性测试和文档审核工作。

第十八条在测试验收前应根据设计方案或合同要求等制订测试验收方案。

第十九条系统整体功能测试和安全性测试应由需求提交部门和信息管理部共同进行，测试工作应按照需求说明书内容逐条进行，并形成功能测试报告及安全性测试报告。

第二十条应组织相关部门和相关人员共同对系统进行审定，审定后由甲乙双方签字。

第六章系统交付上线管理第二十一条系统交付工作应由需求提交部门、信息管理部和系统开发单位共同参与。

第二十二条系统交付工作包括产品交付、文档交付和系统培训。

第二十三条应要求系统开发单位制定详细的培训计划、培训文档，并完成对需求提交部门和信息管理部的人员进行培训，同时提交系统运行维护的指导文档。

第二十四条系统上线前，应制定规范化的信息系统上线流程，待流程审批测试后，才能获准上线；信息系统未经严格测试不得上线运行。

第二十五条系统上线后，应评估信息系统上线风险，做好相应的应急和备份计划。

第七章系统维护管理第二十六条制定系统主机及存储设备维护计划，明确维护工作的责任人、职责、维护周期、维护项目、维护内容，并付诸实施。

第二十七条定期进行漏洞扫描，及时修补系统安全漏洞，安装系统的最新补丁程序。

系统服务器上必须统一安装专用杀毒软件，并及时升级病毒库。

第二十八条定期检查各信息系统运行状况，对主要系统要保证每天检查，发现问题应及时处理并进行登记。

定期对系统运行日志和审计数据进行分析，以便及时发现异常行为。

第二十九条详细记录操作日志，包括重要的日常操作、运行维护记录、参数的设置和修改等内容。

至少每月一次对维护记录进行分析和整理，并留档备查。

第八章系统升级管理第三十条对系统进行的重大升级和更新前应制定详细的升级方案。

第三十一条升级方案的建立包含以下内容：1、升级所影响到的相关硬件设备和相关应用系统的范围；2、明确受影响硬件设备或应用系统所需要进行的相应变更，并认真评价这些变更会被波及范围的边界；3、针对升级引起的每一项变更，设计相应的测试方案、明确测试工具、测试数据及测试结果的复核方法等；4、针对所做变更，设计相应的恢复步骤、恢复方法。

第三十二条升级过程应形成完整的技术文档，并妥善保存。

系统升级后，同步更新系统配置文档。

第九章数据安全管理第三十三条各信息系统的数据安全，由该系统的业务主管部门及信息管理部共同保障，业务主管部门负责业务数据使用权限的分配审批工作及监督检查数据备份和保护的完成情况；信息管理部负责业务数据安全的技术保障，保证业务数据免受病毒破坏或信息泄露，并且做好数据备份工作。

第三十四条应制定数据备份的保护策略，根据不同重要程度确定信息资料相应的保留时间、备份周期等，数据备份后应进行数据完整性验证，并定期做好数据恢复测试，确保备份数据和备份介质的可用性，妥善保存所有文件和记录。

第三十五条如果需要对管理系统的数据库进行读取数据或接口开发等工作，必须经业务主管部门审批后方可操作；若开发过程中出现第三方的软件开发商，则必须与之签订保密协议。

第三十六条做好重要信息资料和数据存储介质的存放、运输安全和保密管理工作，保证存储介质的物理安全，备份数据资料保管地点应有防火、防热、防潮、防尘、防磁、防盗设施。

第三十七条数据恢复前，必须对原环境的数据进行备份，以备恢复失败时的还原。

数据恢复过程中要严格按照数据恢复手册执行，出现问题时联系相关软硬件厂商进行现场技术支持。

数据恢复后，必须进行验证、确认，确保数据恢复的完整性和可用性。

第三十八条非本单位技术人员对设备、系统等进行维修、维护时，必须由系统管理员现场全程监督。

设备外出送修前，需将设备存储介质内涉及企业商业秘密的信息备份后删除，并进行登记。

第三十九条报废设备中存有的程序、数据资料应进行备份后进行清除，并妥善处理废弃无用的资料和介质，防止泄密。

第十章人员账号及密码管理第四十条企业内的人员账号统一由信息管理部负责设置分配。

第四十一条应严格限制默认用户的访问权限，用户应妥善保管自己的系统账号、口令，并定期更改口令。

不得擅自将口令转告他人，不得使用他人账号、口令进行操作。

第四十二条应用系统账号授权变更和注销申请由主管部门提出，系统维护人员及时做调整。

第四十三条应用系统的授权管理过程应进行痕迹化保留。

第四十四条严格规范人员离岗过程，及时终止离岗员工的所有访问权限；取回各种身份证件、钥匙等以及企业提供的软硬件设备；办理严格的调离手续，关键岗位人员离岗须承诺调离后的保密义务后方可离开。

第四十五条密码设置应具有安全性、保密性，不能使用简单的代码和标记。

密码设置不应是名字、生日，重复、顺序、规律数字等容易猜测的数字和字符串；密码应定期修改，间隔时间不得超过90天，如发现或怀疑密码遗失或泄漏应立即修改，并在相应登记簿记录用户名、修改时间、修改人等内容。

系统维护用户的密码应至少由两人共同设置、保管和使用。

第十一章附则第四十六条本办法由公司信息管理部负责解释。

第四十七条本办法自发布之日起执行。

公司中心机房管理办法第一章总则第一条本办法适用于公司中心机房的管理。

第二条信息管理部负责公司中心机房的管理，包括设备采购、机房设备设施的日常管理等。

第三条公司中心机房实行值班制管理。

值班员负责当值期间机房环境、基本设施（空调、新风、变配电、消防、办公用具等）的日常管理和来访接待等工作。

第四条网络管理员负责对机房设备（路由器、防火墙、交换机、服务器等）进行日常维护维修、应用配置、更新升级等工作。

第五条系统管理员负责信息系统服务器参数配置、系统安装、软件升级等工作。

第二章机房进出管理第六条机房为机要重地，非工作原因的任何人员不得进入机房。

未经主管部门负责人批准，任何人不得引领外来人员参观机房。

第七条外来人员（包括外单位来访人员、厂家服务商、物业人员等）因工作原因进入机房时，应进行登记备案。

外来人员进入机房后应在指定的区域活动，未经许可不得接触区域内的任何设备。

机房值班员或信息管理部管理人员应全程陪同。

第八条工作人员凭实名制门禁卡进入机房，门禁卡只限本人使用，不得转借他人。

第九条其他由于工作原因需要申领机房门禁卡的人员，须向信息管理部申请门禁卡办理手续。

第十条机房门禁系统的访问记录保留一年不得删除，并每隔三个月对所有的门禁系统数据进行离线存储。

值班员应不定期查看机房出入登记记录和门禁卡系统日志。

第三章机房环境与设施管理第十一条应保持机房环境的日常卫生，并定期组织机房清洁工作。

第十二条不得携带任何易燃、易爆、腐蚀性、强电磁、辐射性、流体物质等对设备运行构成威胁的物品进入机房。

第十三条禁止在机房放置与机房运行无关的设备及私人物品，禁止携带食物带入机房，严禁吸烟。

第十四条定期检查供电系统、消防系统、机房监控系统、空调系统等环境监控设备的运行参数（包括温度、湿度、额定电压、额定电流等），确保机房运行环境符合机房设计标准。

第十五条定期维护环境监控系统设备，检查设备运行状态(如设备指示灯、温度、压强、额定电压及电流、预警指示等)，调阅设备运行自检报告，做好设备的维护保养工作。

第十六条机房内未经允许不得私拉电源线缆和通信线缆。

第四章机房设备管理第十七条机房设备的采购应符合国家的有关规定和要求，重要设备采购应预先对产品进行选型测试，确定产品的候选范围，并定期审定和更新候选产品名单。

第十八条机房内的设备应进行明确标识，针对设备的购置、维修、升级、调配、报废等工作及设备厂家、供应商等相关方信息应进行登记，并随时进行更新。

第十九条严格按照网络安全等级保护的安全标准管理和配置机房设备。

第二十条应定期检查机房设备的运行状况，定期检查设备运行日志及相关监控记录，并根据网络运行情况及时变更网络安全策略。

第二十一条定期更新机房设备的软件系统。

对设备的更改、升级、配置等操作之前应对现有的配件文件及数据进行备份，必要时应准备好备用设备应急。

第二十二条对可能会影响网络全局的重大操作应形成实施方案，经过论证后方可进行。

第二十三条每年应根据机房现有设备的设计使用年限及当前运行状态制定设备购置计划及硬件升级计划，并拟定升级方案。

第二十四条应建立测试环境，用于新配置策略、新程序测试等工作的开展。