7系统运维安全管理规定

1、系统运维安全管理规定第一章总则第一条为加强国铁吉讯科技有限公司的信息安全管理工作，防范计算机信 息技术风险，保障本单位信息系统安全、稳定运行，保障信息化建设的稳步发 展，参照国家有关规定，制定本规定。第二条 本规定适用于系统运维过程的管理。第二章系统安全运行基本要求第三条计算机信息系统的使用科室应建立相应安全操作规程与规章制度。第四条计算机信息系统的运行场所应满足相应的安全等级要求。第五条计算机信息系统应配备必要的计算机病毒防范工具。第六条重要计算机信息系统应配备必要的备份设备和设施。第三章信息系统运行环境管理第七条机房UPS供电系统、机房空调、网络及机房消防设施等是生产系统的基础环境支持系统

2、。变电技术科应从思想上高度重视基础环境支持系统， 从人、财、物上应予保证，确保计算机信息系统运行安全。严格按照机房安 全管理制度执行，保证机房安全。第八条变电技术科应对机房的基础环境支持系统做好规划，应具备冗余能 力，并及时调整、升级或改造，满足业务的发展要求。第九条 机房功能区域的布局应合理，应按使用要求划分功能区域，各功能区域原则上相对独立，包括但不限于主机机房、前置机房、网络机房、UPS和空调机房、监控机房、辅助机房等。第十条 机房应建立必须的消防系统，机房区域应采用气体消防和自动消防 预警系统，内部装修和通道等符合消防要求，并通过消防验收且定期进行消防 演练。第十一条 机房应有完善的供

3、电方案。供电应实施双路市电 +UPS供电，变电技术科应采取必要措施，保证机房供电系统、UPS等电力系统的正常运转, 每月检查UPS的运行情况，定期进行电池放电操作。机房 UPS不得连接机房之 外设备，对于电力系统不稳定的地区，应配备发电机。对于多雷雨地区，必须 配置机房防雷设施。第十二条 机房应配置必要的空调系统，保持恒温恒湿，以确保机房设备正 常运转。同时，应加强机房空调日常运行维护，定期清洗和更换滤网。第十三条机房应配备环境监控系统，对基础环境支持设施实施每天24小时实时监测，并保留监测记录供故障诊断和事后审计。第十四条 机房还应采取防磁、防水、防盗和防鼠虫害等保护措施。第十五条 机房应制

4、定和完善有效的管理制度，实行门禁管理，配备视频监 控，进出机房人员应有记录，非本院人员进出机房应有批准程序。出入和监控 记录保存时间应满足事件分析和审计的需要。第十六条关键信息系统通信线路应采用两家或两家以上通信运营商线路， 互为备份，互为备份的线路不应经过同一路由节点。第十七条相关工作人员办公可能涉及一些敏感或涉密信息，需参考办公 环境安全管理制度，规范环境人员行为第三章系统数据的安全管理第七条 变电技术科应按规定数据管理制度进行数据备份，并检查备份 介质的有效性。第八条 应对备份介质（磁带、磁盘、光盘、纸介质等）统一编号，并标明 备份日期、密级及保密期限。第九条应对备份介质妥善保管，特别重

5、要的应异地存放，并定期进行检 查，确保数据的完整性、可用性。第十条应建立备份介质的销毁审批登记制度，并采取相应的安全销毁措 施。第十一条重要计算机信息系统所用计算机设备的维修，应保证本单位数据 信息的完整性和安全性。在维修过程中不得泄露涉密数据信息。第十二条 重要计算机信息系统使用的计算机设备更换或报废时，应彻底清 除相关业务信息，并拆除所有相关的涉密配件，由使用科室登记封存。第四章 系统运行平台的安全管理第十三条系统管理人员应合理配置操作系统、数据库管理系统所提供的安 全审计功能，以达到相应安全等级标准。第十四条系统管理人员应屏蔽与应用系统无关的所有网络功能，防止非法 用户的侵入。第十五条系

6、统管理人员应按照恶意代码防范管理制度及时安装正式发 布的系统补丁，修补系统存在的安全漏洞。第十六条 系统管理人员应启用系统提供的审计功能，监测系统运行日志， 掌握系统运行状况。第十七条 系统管理人员不得泄露操作系统、数据库的系统管理员账号、密 码。第十八条 联网设备的IP地址及网络参数，必须按照网络安全管理制 度及其业务应用范围进行设置，非系统管理人员不得修改。第五章口令密码、密钥安全管理第十九条 计算机信息系统关键人员的口令密码编制应具有一定的复杂 性，对记录密码的载体应严格管理，确保其物理安全，详见密码管理制度第二十条 计算机信息系统关键岗位人员的口令密码，应定期或不定期进 行更换，独享使

7、用，不得泄露。第二十一条应用密钥保障信息安全时，对所用密钥生命周期的全过程 （产生、存储、分配、使用、废除、归档、销毁）应实施严格的安全保密管 理。第二十二条密钥必须作为绝密数据由专人保管。密钥必须通过机要渠道 传递或采用加密通信方式网内分配。第二十三条密钥必须定期更换，对已泄漏或怀疑泄漏的密钥必须及时废 除。旧密钥必须安全归档，并在安全管理负责人的严格监督下，由管理责任人 定期销毁。第二十四条 密钥备份是针对主要密码设备和保密工作人员的意外事件而 采取的必要措施，密钥副本的保存必须是物理安全的。必须有在紧急情况下销毁密钥的手段和措施，以防密钥丢失第六章系统文档安全管理第二十五条网络参数配置文

8、档、重要计算机信息系统详细开发资料及其 源程序等核心技术文档，由变电技术科严格管理。第二十六条系统核心技术文档资料的外借应有审批手续和记录，借阅人 不得转借给他人，不得复制、泄露和引用具体内容。第七章系统的安全监测第二十七条 安全人员要按照系统监控管理制度经常监测、分析计算 机信息系统运行状况，发现异常情况应立即采取应对措施。第二十八条业务操作人员应审查业务处理结果，发现问题应及时查明原 因。对不能确认的异常现象，必须向变电技术科报告。第二十九条对计算机信息系统安全运行的监测记录及其分析结果应严格 管理，未经变电技术科许可不得对外发布或引用。第八章应急处理第三十条 本单位应加强信息安全防范意识

9、，建立应急处理指挥体系，按照 应急预案指挥协调各科室能迅速进入应急处理程序。第三十一条本单位应优化组合和配置应急技术人员及应急资源，集中使 用，统一调度，以保证应急处理的高效性。第三十二条本单位应制定重要计算机信息系统应急方案，明确岗位职 责、人员分工以及应急处理程序。第三十三条本单位应加强应急处理技能的培训和应急处理方案的演练。 提高各岗位人员判断、处理问题的能力，验证应急处理程序的有效性。第九章重大安全事件处理第三十四条 安全事件管理制度规定非法侵入、破坏计算机信息系统 或利用计算机实施诈骗、盗窃、贪污、挪用公款的计算机犯罪案件以及造成不 良社会影响的信息安全事故，属重大安全事件。第三十五条确认计算机信息系统出现重大安全事件，必须果断采取控制 措施，立即逐级如实上报变电技术科。第三十六条 重大安全事件发生后，有