炼油厂——信息系统应用管理规定

1、qg/shcz 03208-2008 (a/0)沧州分公司企业标准信息系统应用管理办法qg/shcz 03208-2008 (a/0)1 范围本标准规定了管理信息系统的应用管理的要求。本标准适用于沧州分公司所有信息系统的应用管理活动的管理。2 规范性引用文件中国石油化工股份有限公司管理信息系统应用管理办法（试行）。3 职责和权限3.1 信息中心是本标准的归口管理部门。负责企业管理信息系统的应用管理工作，并进行监督、检查和考核。4 管理内容与控制要求4.1 用户权限管理4.1.1 要加强管理信息系统的用户权限管理，按照“岗位需要、权责对等、统一授权”的原则，对用户进行分类分级管理，明确各级用户职

2、责，严格控制权限范围。4.1.2 重要的管理信息系统，要配备专职或兼职应用系统管理员，兼职应用系统管理员的职责应遵循不相容岗位原则，主要负责应用系统用户增加、删除、权限分配与变更；系统用户及权限定期审核；应用系统数据备份与恢复；应用系统日常维护等工作。4.1.3 数据库管理员、操作系统管理员（以下统称系统管理员）和应用系统管理员的任命要经过严格审批和定期审核。应用系统管理员和系统管理员不能由同一人担任。4.1.4 对访问信息系统的用户要有严格的申请审批流程，用户的增加、删除、权限变更必须填写申请表，经相关部门负责人审批后，方可访问系统；系统按权限组或角色分配用户权限时，权限组、角色的定义要经过

3、相关负责人审批。4.1.5 系统管理员要在岗位职责权限范围内做好系统监控、备份、恢复、系统变更等工作，记录操作过程并形成相关文档，不得进行职责权限范围以外的具体业务处理和操作。4.1.6 应用系统管理员至少每半年检查一次系统中的用户和权限及使用情况，发现有异常情况及时向相关部门负责人汇报；相关部门负责人要定期审核系统内用户清单及权限是否与其岗位职责相符，如有不符，及时通知应用系统管理员做出调整。4.2 用户访问管理4.2.1 应用系统中用户帐号不得重复；业务操作账号不得共享，对查询、加油站班组等共享账号的申请审批要严格控制，并定期审核。4.2.2 要严格控制第三方人员对系统的访问，第三方人员必

4、须访问系统时，应填写账号申请表，说明账号使用的原因、时间和期限，并由相关部门负责人批准，到期要及时删除或锁定其账号。4.2.3 开发人员不得进入生产环境，确有需要时，开发人员临时进入生产系统要经过严格审批和授权，到期要及时删除或锁定开发人员的账号。4.2.4 应用系统管理员要定期审核系统内的用户账号清单，发现异常情况及时向相关部门负责人汇报。4.2.5 系统用户须妥善管理自己的用户账号，用户账号只限本人使用，不得转借他人，临时离开时要退出系统或锁定计算机。4.3 密码管理4.3.1 为保证管理信息系统安全，系统密码的长度至少为6位，复杂度为数字与字母的组合；所有用户首次登录系统必须更改初始密码

5、，使用中要定期更改密码，新密码不得与历史密码相同；登录时，密码多次输入错误应锁定该用户账号。4.3.2 操作系统、数据库、应用系统的初始密码必须在系统投用前修改，系统管理员和应用系统管理员必须定期更改密码。4.3.3 如果密码长度、密码复杂度、密码定期修改、密码多次输错锁定等要求不能在应用系统中强制控制实现，各单位信息部门负责人、应用系统管理员要加强用户密码使用的培训和定期监督检查工作。4.4 系统变更管理 4.4.1 要严格管理和控制应用系统的变更，总部统一实施的系统，应用程序变更必须上报总部信息系统管理部和相关业务部门，由总部统一组织升级、测试和变更。分公司自建系统的变更，必须经过分公司信

6、息管理部门和相关业务部门负责人审批后，方可变更。4.4.2 应用程序变更移植到生产系统前必须进行系统测试和最终用户测试，测试不能在生产环境中进行；变更过程中，要做好系统数据的迁移工作，确保数据安全、完整。4.4.3 凡操作系统和数据库打补丁、系统性能优化等配置变更，必须严格审批程序，并经过严格测试后，才能在生产环境中生效。4.4.4 总部统一实施的管理信息系统不允许紧急变更。4.4.5 信息管理部门必须做好操作系统、数据库、应用系统的版本管理，记录每次变更的版本号，存档变更文档和变更升级程序。4.5 数据及接口管理4.5.1 要严格控制应用系统数据导入、导出权限；需与总部统一实施的系统建立接口

7、时，必须报总部信息系统管理部和相关业务部门审批，分）公司、各实施单位不得自行接入接口程序。4.5.2 要严格管理信息系统的主数据，对总部统一制定下发的信息标准代码，分公司必须遵照执行，需要增加、删除、修改时，必须按照相关规定，上报总部有关部门审批。4.6 终端用户计算管理4.6.1 终端用户计算是指与财务报告生成相关的并含有计算公式的小程序和电子表格，各部门要加强终端用户计算管理，需接入总部统一实施系统的终端用户计算，须报总部信息系统管理部和相关业务部门审批；其他终端用户计算报信息中心和相关业务部门审批。4.6.2 终端用户计算启用前必须经过严格测试和公式运算，并提供详细的使用说明文档；终端用

8、户计算的变更，必须经过严格审批和测试，并存档变更文档和变更升级程序，其数据要定期备份。4.6.3 要严格控制终端用户计算的访问权限和数据导入导出权限，对访问终端用户计算的用户要严格申请审批流程，各相关业务部门要定期检查终端用户计算的用户权限和访问情况。4.7 日志管理4.7.1 系统管理员、应用系统管理员要定期备份和审核相关系统日志，发现异常情况，及时上报有关负责人，同时查明原因，提出处理意见，记录处理情况。4.7.2 独立于系统管理员、应用系统管理员的安全管理员要定期审核网络、数据库、操作系统和应用系统的日志。4.8 备份管理4.8.1 为保证信息系统数据安全，要定期备份应用系统程序和应用数

9、据，备份方式、备份频率根据系统的具体情况确定。4.8.2 为防止意外，须异地备份或将备份介质异地存放，备份介质存放时要办理交接手续；严格控制备份介质的访问权限，备份介质的存取要有记录。备份介质存放地点必须防火、防潮、防磁。4.8.3 原则上每半年做一次备份数据的可读性测试；必要时，每年做一次恢复性测试，要详细记录恢复的步骤、数据情况、恢复结果，并经相关负责人审核确认。系统管理员或应用系统管理员要熟练掌握数据恢复的操作步骤。4.9 问题管理4.9.1 系统管理员、应用系统管理员要对系统运行状况进行监控；系统运行中出现故障时，普通操作人员不得擅自处理，应保护现场，及时与系统管理员联系；系统管理员不

10、能排除故障时，向总部信息系统管理部求助。4.9.2 对用户申报的问题，必须及时处理和跟踪，详细记录故障发生时间、故障情况、解决办法、处理结果等，并经相关部门负责人审核签字。4.10 第三方服务供应商管理4.10.1 对于第三方服务供应商，应签署保密协议或在合同中订立保密条款，保证其服务的安全、准确和有效性。4.11 培训和规避风险4.11.1 应强化本单位管理信息系统的应用培训，培训内容除包括系统操作外，还应加强有关安全政策、权限申请、系统访问、密码管理等方面的安全教育，提高全员安全意识。4.11.2 投入运行的系统，其系统功能达不到本办法的有关要求，应进行系统升级或变更；目前暂无升级计划的系

11、统，必须加强管理和培训，加大监控力度，有效规避风险。5 形成的文件与记录5.1 应用系统管理员工作记录5.2 应用系统用户权限分配、变更记录5.3 应用系统日志备份记录6 检查和考核6.1 各部门负责管理信息系统的应用系统管理员必须每三个月检查一次系统中的用户和权限情况，有用户调动或岗位变更的，必须同时变更该用户在应用系统中的权限，应用管理员至少每半年打印一次用户帐号权限清单，并由相关部门负责人审核。6.2 数据库管理员必须及时打上所负责的数据库系统的补丁，每周检查数据库的运行日志，至少每月对数据库日志进行一次备份。6.3 变更的应用程序必须经过系统测试和最终用户测试，并做好测试记录。6.4

12、用于生产系统的计算机，不得接入互联网。最终用户不得擅自安装程序，不得更改计算机的硬件设施。7 附则7.1 本标准解释权归信息中心。附加说明：本标准由沧州分公司提出。本标准由信息中心负责起草。本标准主要起草人：路丙卫 王文琦附表1 应用系统管理员工作记录 *应用系统管理员工作记录qg/shczb 03.208-01序号工 作内 容时间签名12345678910111213 14151617第 9 页 共 9 页附表2 应用系统用户权限分配、变更记录（用户权限内容根据具体应用系统需要设置，此模板以erp系统为例）*应用系统用户权限分配、变更记录qg/shczb 03.208-02姓名用户权限用户账号报表定义报表修改报表删除报表查询报表打印报表转出报表转入报表数据上报报表数据接收报表存档报表