技术符合性检查管理程序

1、QEPTechnical Compliance Management ProcedureDOC NO文件编号QEP-XXX程序文件 i技术符合性管理程序REV版本APAGE页码1 of 3目的本标准规定了信息技术符合性检查控制范围公司安全区域内的管理控制。定义（无）权责IT部：负责对公司网络及信息系统进行技术符合性的检查控制作业内容5.1计算机系统5.1.1计算机系统包括服务器（主机）、桌面机的硬件和系统软件。5.1.2计算机系统应采用数据服务器、应用服务器、桌面工作站三层架构技术，并将服务器的分散管理逐 步做到地理集中、物理集中、数据集中的集中式管理，最终实现应用的集中。最大限度地提高系统的

2、可靠 性、安全性、可管理性、易维护性和设备利用率。5.1.3根据数据和事务处理能力以及安全可靠性方面的要求，数据库服务器（主机）可选用小型机或高档微 机服务器。对重要服务器的选型，均应充分考虑在技术上实现多机的集群功能和在管理上降低运行维护的 成本。5.1.4根据应用系统的需要，原则上，应用服务器应选用高档PC服务器，必要时也可选用专用工作站。5.1.5桌面工作站一般选用PC机，操作系统可选Windows系列。对于特殊应用的需要也可选UNIX或Linux 工作站。5.2网络系统5.2.1网络系统平台包括网络布线、网络交换机、集线器、路由器等主要设备的硬件和软件。5.2.2网络布线可选用符合EI

3、A/TIA-568、ISO/IEC 11801标准要求的国内外公司的产品。一般选用超五 类非屏蔽双绞线到桌面和垂直布线，对于距离限制或重要应用场所的垂直布线应考虑采用多模光纤布线， 对户外双绞线应布设信息防雷装置。5.2.3信息网络主干层应优先选用千兆以太网技术，主干层交换机优先考虑采用支持标准的多层交换技 术，备具有冗余通道。5.2.4网络的工作站接入层优先选用快速以太网交换技术，根据应用业务类型、服务质量要求和网络预算， 也可采用以太网的一种技术或几种技术的综合。5.2.5局域网、内部网采用网络交换技术。设备选型应充分考虑网络的安全保密性、可靠性、兼容性、可 管理性、可扩展性。例如，为了保

4、证网络的安全性和多应用系统的易管理性，接入层交换机采用支持多虚QEPTechnical Compliance Management ProcedureDOC NO文件编号QEP-XXX程序文件 i技术符合性管理程序REV版本APAGE页码2 of 3拟网划分技术和IP地址端口绑定技术。5.3安全系统5.3.1安全问题是企业应用的保证，应采取整体和积极的安全防范策略。安全系统平台包括整个信息系统 安全体系所涉及到的硬件和软件。5.3.2整体的安全体系应覆盖OSI的七个层次，通过每个层次的安全措施来保证信息系统的安全。服务器、 数据库系统、应用系统的安全平台由这些系统本身提供的安全措施构成。根据网

5、上不同子网的网络性能和 不同业务系统和用户具体的安全需求，网络安全平台可采用以下成熟的安全防范技术和产品。5.3.3数据加密传输：支持DES、IDEA、RSA等算法。支持SHTTP、SSL、IPsec等网络安全协议。5.3.4认证：除身份验证外，对根据需要对关键系统实现数字签名和数字证明。支持采用X.509的数字证 书、DSS数字签名标准、Koreros身份认证协议等。5.3.5商用密码管理：系统的数据加密只能使用经国家密码管理部门认可的商用密码产品，不得使用自行 研制的或者境外生产的密码产品。任何人不得非法攻击商用密码，不得利用商用密码危害国家的安全和利 益、危害社会治安或者进行其他违法犯罪

6、活动的要求。5.3.6存取控制：包括人员限制、数据标识、权限控制、类型控制和风险分析。5.3.7防火墙：包过滤实现对通过防火墙的IP包地址、TCP/UDP的Port ID(端口标识符)及I CMP进行检 查。能实现 FTP、TELNET、HTTP、SMTP、RLOGIN、SSL、X-WINDOWS 等代理服务。5.3.8虚拟网划分(VLAN)：网络可以针对不同的应用和应用者在应用中的不同角色，进行基于交换机端 口、基于协议、基于IP地址、基于MAC地址以及基于策略的VLAN。5.3.9 虚拟专网(VPN):支持 Point-to-Point Tunneling Protocol(PPTP)、L

7、ay2 TunnelingProtocol(L2TP)、IP Security(IPsec)、Layer2 Forwarding(L2F)等几种隧道(Tunnel)方式和 PPTP、IPsec、 L2TP、L2F 等 Tunnel 协议。5.3.10跟踪审计：实现安全事件记录、攻击监控、检查安全漏洞。5.3.11病毒防治：全面的病毒防治系统，实现实时检测、清除病毒。5.3.12备份和恢复：自动备份和恢复、跨网络备份、提供高速备份能力。5.4应用系统及数据库系统5.4.1应用系统平台包括数据库、电子邮件服务和文件服务服务器等涉及到的软件。5.4.2中小型或非关键事务处理系统的数据库管理系统可选用

8、Microsoft公司的SQL Server、Access数 据库系统。5.4.3 电子邮件采用 Exchange2010SP3。5.4.4浏览器统一采用Microsoft公司的IE、谷歌浏览器。QEPTechnical Compliance Management ProcedureDOC NO文件编号QEP-XXX程序文件 i技术符合性管理程序REV版本APAGE页码3 of 35.4.5以统一的企业内部网络为基础，目前以C/S及B/S技术为手段，采用多层分布式应用体系结构，构 造企业信息系统，是当前信息技术的发展方向。应用服务器是这种体系结构的重要组成部分。应用服务器 应满足以下技术条件：a）跨平台能力:Unix、Windows NT等。b）跨数据库能力：Oracle、Microsoft SQL Server、Access 等。c）企业应用的安全性要求。应该满足事物处理、安全管理、容错、负载平衡、可伸缩性、高性能方面的 要求。5.5运行管理5.5.1信息运行管理采取集中管理和分散管理相结合的管理策略。所配置的运行管理系统包括对信息系统 各类资源实现有效单点管理