系統運維管理制度

一、系統維護管理

1.安全系統必須做好防火、防熱、防潮、防塵、防磁、防盜各方面的物理安全

防護。

2.內部服務器和業務應用系統需部署網絡入侵檢測系統，實現對網絡中的入侵

行為的監測。分析入侵的警報，采取相應的預防措施。

3.信息部的操作人員上崗前必須經過上崗前的專業知識培訓，包括專門的信息

安全培訓，能正確地執行本崗位操作工作。

4.重要信息系統的操作手冊和系統運行維護保養手冊作為工作秘密由安全管理

員保存并存檔，根據“責任分割”的原則，各崗位操作人員只能得到操作手

冊的相關部分，并要求其妥善保管。操作手冊更新后，由安全管理員發到各

操作人員手中，同時回收舊版本，確保崗位操作人員得到最新和正確的操作

手冊。

5.定期對系統使用中的信息安全管理情況進行檢查。

6.在制定的所有系統外包服務協議中，必須包括網絡的安全特性、服務級別以

及所有系統服務的管理要求等內容。

7.在系統服務過程中，需艱據系統服務協議中規定的安全條款、安全特性、服

務級別管理等要求對服務提供商的服務進行定期評審和監督。

8.系統管理員對系統中運行的軟件版本進行嚴格控制，對系統軟件版本升級、

補丁更新、安全加固等活動組織評審和測試，防止因上述變更影響到應用系

統的正常運行。

9.定期對系統進行漏洞掃描，對發現的系統安全漏洞及時進行修補。

10.安全系統如遇故障，安全管理員立即向單位領導匯報，同時通知相關技術人

員和單位進行維修。

二、系統訪問控制

由信息部基于業務和訪問的安全要求，建立各應用系統的訪問控制策略,

作為系統維護保養手冊的一部分。

1.訪問控制策略需考慮到下列內容：

?各個業務應用的安全要求；

?業務應用中工作角色和用戶訪問需求；

?網絡環境中的訪問權限的管理要求；

?訪問控制角色的分離，例如訪問請求、訪問授權、訪問管理；

?用戶訪問請求的正式授權管理要求；

?用戶訪問控制的定期檢查與評審要求；

?用戶訪問權的取消。

2.基于訪問控制策略，對操作系統的登錄程序加以控制：

?不顯示系統或應用標識符，直到登錄過程己成功完成為止；

?顯示只有己授權的用戶才能訪問計算機的告警通知；

?在登錄過程中，不提供對未授權用戶的幫助消息；

?限制所允許的不成功登錄嘗試的次數；

?記錄不成功的嘗試和成功的嘗試；

?如果達到登錄的最大嘗試次數，向系統控制臺發送警報消息。

3.系統管理員需限制用戶對應用系統遠程訪問的范圍和內容，在遠程訪問過程

結束后需確保斷開連接；

4.系統管理員負責記錄用戶遠程訪問操作過程，包括訪問時間、連接方式、訪

問用戶、操作過程等。

5.針對防火墻及入侵檢測等安全系統的遠程訪問，必須使用嚴格的用戶認證手

段，任何情況下都不允許通過其他網絡對安全系統實施遠程訪問。另外，安

全系統的遠程連接中必須使用加密技術，以防竊聽。

三、系統用戶安全管理

1.系統用戶注冊與注銷程序

?在服務器和系統進行安裝時，要改變默認的操作系統管理員賬號名稱

和數據庫賬號名稱；

?新用戶注冊時，由用戶所在部門遞交訪問授權異動申請，并報相關系

統管理員審核：

?系統管理員需檢查所授予的訪問級別是否與業務目的相適合，是否與

組織的安全方針保持一致，例如，它沒有違背責任分割原則；

?如申請不符合業務要求，則不予批準，如符合要求，由系統管理員根

據訪問授權異動記錄，在系統中建立唯一用戶ID；

?在對于業務或操作而言必需的地方，才允許使用組ID,此時需遞交組

ID申請，并報相關系統主管審核批準；

?當用戶的工作角色或崗位發生變更，或離職時，員工所在單位（部門）

需立刻遞交訪問授權異動申請，并報相關系統管理員批準；系統管理

員根據新的訪問授權異動申請取消或封鎖該用戶的訪問權；

?各信息系統管理人員負責定期（每月）檢查并取消或封鎖多余的用戶

ID和帳號，確保多余的用戶ID不會發給其他用戶。

2.系統用戶標識和鑒別

?所有用戶擁有唯一指定標識，如員工工號；

?用戶ID是應用系統中用戶唯一的、專供其使用的標識符，系統管理

員需配置系統，使用戶的各個活動能追蹤到責任者；

?當需要采用一組用戶或一項特定作業使用一個共享的用戶ID時，需

遵照組ID管理進行控制，具體參見“用戶注冊及注銷程序”的組ID

條款；

3.系統用戶口令管理

?在用戶初次使用應用系統時，系統管理員提供給一個安全的臨時口令,

并強制其立即修改；臨時口令以安全的方式給予用戶，不得使用第三

方或未保護的（明文）電子郵件消息；

?系統管理員需對用戶口令設置進行指導和要求，如口令長度和復雜性、

定期更換等；

?系統管理員需確保口令不以未保護的形式存儲在計算機系統內；

?系統管理員需在系統或軟件安裝后改變提供商的默認口令；

4,各信息系統管理人員根據已審核批準的訪問授權異動申請表為用戶進行正確

的授權，使得用戶與其行為相連接；

5.特殊權限管理應遵守用戶注冊和注銷管理程序的規定，特殊權限包括操作系

統、數據庫管理系統和每個應用程序，特殊權限需被分配一個不同于正常業

務用途所用的用戶ID；

6.用戶訪問權限復查

?系統管理員負責定期（每年）或在有任何變更之后（如人員提升、降

級或雇用終止）清查并填寫訪問授權相關記錄；

?對于特定的特殊權限的訪問權的授權，系統管理員每6個月進行一次

訪問權復查，填寫訪問授權相關記錄；具有特殊權限的帳戶的變更需

在周期性復查時記入日志。

四、系統審計

1.系統日志包含的內容：

?用戶ID；

?日期、時間和關鍵事件的細節，例如登錄和退出；

?終端身份或位置；

?成功的和被拒絕的對系統嘗試訪問的記錄；

?成功的和被拒絕的對數據以及其他資源嘗試訪問的記錄；

?系統配置的變化；

?特殊權限的使用；

?系統實用工具和應用程序的使用；

?訪問的文件和訪問類型；

?網絡地址和協議；

?訪問控制系統引發的警報；

?防惡意代碼系統等防護設施的激活和停用。

2.系統管理員必須將系統所有服務器、應用軟件等等系統審核、帳號審核和應

用審核的日志系統的功能打開，如有警報其功能也必須打開。

3.日志必須保存一定的期限，任何個人和部門不得以任何理由刪除保存期之內

的日志。

4.日志必須由系統管理員定期檢查，特權使用、非授權訪問、系統故障和異常

等條目必須進行評審，以查找影響信息安全的風險來源和事實。

5.安全審計員負責人需定期評審系統管理員和系統操作員的活動日志。

6.系統管理員和安全審計員共同確保入侵檢測系統和安全審計系統處于啟動狀

態，日志需保存一定期限，定期評審異常事件，對所有可疑或經確認的入侵

行為或入侵企圖需及時匯報并采取相應的響應措施。

7.安全審計員負責記錄、分析故障日志，并對其采取適當的措施。

8.安全管理員負責評審故障日志，以確保已滿意地解決故障。

9.安全管理員負責評審糾正措施，以確保沒有危及控制措施的安全，以及所采

取的措施給予了充分授權。

五、監視系統的使用

信息部建立信息處理設施的監視使用程序，并定期評審監視活動的結果。

各個設施的監視級別由風險評估決定。要考慮的監視范圍包括：

1.授權訪問的細節。

?用戶ID；

?關鍵事件的日期和時間；

?事件類型；

?訪問的文件；

?使用的程序/工具。

2.所有特殊權限操作。

?特殊權限帳戶的使用，例如監督員、根用戶、管理員；

?系統的啟動和終止；

?I/O設備的裝配/拆卸。

3.未授權的訪問嘗試。

?失敗的或被拒絕的用戶活動；

?失敗的或被拒絕的涉及數據和其他資源的活動；

?違反訪問策略或網關和防火墻的通知；

?私有入侵檢測系統的警報。

4.系統警報或故障。

?控制臺警報或消息；

?系統H志異常；

?網絡管理警報；

?訪問控制系統引發的警報。

5.改變或企圖改變系統的安全設置和控制措施的活動。

六、系統備份

1.