系统安全管理制度

系统平安管理制度文档信息单位名称烟台市教育装备与技术研究中心文档名称系统平安管理制度文档编号YTEDU-CS-4.14受控状态受控文件扩散范围内部使用制作人尹磊审核人姜静批准人冷作福页数共7页发布日期生效日期2018.10.10版本历史系统平安管理制度版本日期说明修订人1.02018.10.10创立文件尹磊2.02019.07.17修订尹磊第一章总那么第一条为加强烟台市教育城域网系统管理工作，保障系统的规范化建设和平安稳定运行,制定本制度。第二条本制度所称信息系统是指计算机业务系统及其支持系统。第三条信息平安管理工作的指导方针是预防为主、平安第一、依法办事、综合治理。预防为主是信息平安管理工作的基本方针。第四条本文件适用各类系统运行管理。第二章系统规划与立项的平安管理第五条计算机信息系统的规划和建设应同步做好系统平安保护工作，以确保系统平安目标的实现。第六条计算机信息系统应采取与业务平安等级要求相应的平安机制，在平安防护方面应符合以下基本平安要求：（一）采取必要的技术手段，建立严密的平安管理控制机制，保证数据信息在处理、存储和传输过程中的完整性和平安性，防止数据信息被非法使用、修改和复制；（二）提供完整的数据备份和恢复功能，能方便的根据系统和数据的备份介质进行灾难恢复；（三）具有严格的用户和密码管理，能对不同级别的用户进行有限授权，特别应严格限制和分流特权用户的权限，防止非法用户的侵入和破坏；（四）重要计算机信息系统应设置审计监控程序，具有身份识别和实体认证功能。能够自动记录操作人员的重要操作，具有防止抵赖机制；（五）涉密信息系统的平安设计应符合涉密信息保密管理的有关规定。第七条重要计算机信息系统立项的平安管理实行审批制度。对工程管理部门初审合格的工程申报材料，烟台市教育装备与技术研究中心应进行平安性专项审查，提出审查意见后由工程管理部门最后审批。第八条工程申报材料在符合电子化工程管理规定有关要求的同时，还应包括以下与信息系统平安有关的内容：（一）业务主管部门对保证业务正常开展的平安需求;（二）系统的平安性指标；（三）系统运行平台的平安性要求；（四）系统采取的平安策略、平安保护措施及其平安功能设计；（五）涉密信息系统的申报还应取得保密主管部门的同意。第九条对没有通过烟台市教育装备与技术研究中心审查的工程，工程管理部门不得予以立项。第三章系统开发的平安管理第十条计算机信息系统的开发必须符合软件工程规范，并在软件开发的各阶段按照平安管理目标进行管理和实施。第十一条计算机信息系统的开发人员或参加开发的协作单位应经过严格资格审查，并签订保密协议书，承诺其负有的平安保密责任和义务。第十二条计算机信息系统的开发环境和现场应当与生产环境和现场隔离，测试数据不得直接使用生产环境数据。第十三条计算机信息系统开发完成后，开发人员或参加开发的外部单位应及时移交程序源代码及其相关技术文档。第十四条计算机信息系统采用的关键平安技术措施和核心平安功能设计不得进行公开学术交流或发表。第十五条计算机信息系统软件开发完成后，须提交业务部门进行整体功能性测试；第十六条计算机信息系统软件开发实行平安审计制度，由烟台市教育装备与技术研究中心牵头组织平安审计。第十七条对计算机信息系统实行外包开发的，除了明确知识产权、保密、服务等责任外，还应对软件程序进行必要的代码检查和平安审计。第四章系统平安的评估与审批第十八条计算机信息系统投入运行前，应向烟台市教育装备与技术研究中心提出平安评估和审批申请，并报送以下材料：（-）系统的用途、总体结构及软硬件配置等基本情况；（二）关于系统平安需求、平安策略、平安性指标、平安保护措施以及平安功能设计等情况的说明；（三）系统平安性测试提纲和测试报告。第十九条烟台市教育装备与技术研究中心应当对计算机信息系统主管部门报送的书面材料进行平安性测试、认证。第二十条对信息系统的平安评估应当包括以下内容：（一）系统的平安策略；（二）系统的平安措施；（三）系统平安功能的实现程度；（四）系统运行的稳定性、可靠性；（五）系统运行平台的平安可靠性。第二十一条烟台市教育装备与技术研究中心应对测试、认证的信息系统提出平安评估报告。第二十二条对符合平安运行要求的信息系统，方可投入运行。对不能保证平安运行的，经修改完善后另行申报评估。第二十三条对尚未经过平安审批但已经投入使用的计算机信息系统，烟台市教育装备与技术研究中心应要求其使用部门报送系统平安建设情况书面材料，并按照上述程序进行安全评估和审批。第五章系统使用与废止的平安管理第二十四条计算机信息系统投入使用时业务部门应当建立相应的操作规程和平安管理制度，以防止各类平安事故的发生。第二十五条计算机信息系统使用人员应严格按照操作规程和有关平安管理制度进行操作，保证系统平安运行。第二十六条对计算机信息系统在运行过程中出现的异常现象，以及有关平安制度在执行过程中出现的问题，操作人员有责任向部门领导报告。第二十七条计算机信息系统的使用部门应当加强对计算机系统运行环境的管理，加强对计算机病毒的防治，保证系统平安运行。第二十八条计算机信息系统的使用部门应当严格用户和密码（口令）的管理，严格控制各级用户对数据的访问权限。第二十九条计算机信息系统应定期进行数据备份，对备份介质应按有关规定指定专人妥善保管，重要业务系统的备份介质必须异地保存。第三十条重要计算机信息系统应当制定信息平安保护的应急计划，保证业务的不间断运行。第三十一条重要计算机信息系统应严格执行保密管理的有关规定，确保国家秘密的安全。第三十二条对计算机信息系统使用部门及有关操作人员报告的平安问题，烟台市教育装备与技术研究中心应当认真受理并及时反应处理意见。第三十三条计算机信息系统的废止实行备案制度，退出使用应向烟台市教育装备与技术研究中心报告并备案。第三十四条对废止的计算机信息系统，在业务规定的保存期限内应当对软硬件和数据备份媒体妥善加以保管。第五章系统运行平安管理第一节系统平安运行基本要求第三十五条计算机信息系统的使用部门应建立《系统运行维护日志》，记录运行和维护过程中的事件、处理过程和处理结果等信息。第三十六条计算机信息系统的运行场所应满足相应的平安等级要求。第三十七条计算机信息系统应配备必要的计算机病毒防范工具。第三十八条重要计算机信息系统应配备必要的备份设备和设施。第三十九条信息平安员经烟台市教育装备与技术研究中心批准，可对网络进行平安检测、扫描和评估，网络管理人员须对检测、扫描和评估的过程给予协助和监督。严禁未经烟台市教育装备与技术研究中心批准的单位和个人对网络进行平安检测和扫描。第二节系统数据的平安管理第四十条烟台市教育装备与技术研究中心应按规定进行数据备份，并定期检查备份数据的有效性。第四十一条应对备份数据统一编号，并标明备份日期、密级及保密期限。第四十二条应对备份定期进行检查，确保数据的完整性、可用性。第四十三条应建立备份介质的销毁审批登记制度，并采取相应的平安销毁措施。第四十四条重要计算机信息系统所用计算机设备的维修，应保证数据信息的完整性和安全性。在维修过程中不得泄露涉密数据信息。第四十五条重要计算机信息系统使用的计算机设备更换或报废时，应彻底清除相关业务信息，并撤除所有相关的涉密配件，由使用部门登记封存。第三节系统运行平台的平安管理第四十六条系统管理人员应合理配置操作系统、数据库管理系统所提供的平安审计功能,以到达相应平安等级标准。第四十七条系统管理人员应屏蔽与应用系统无关的所有网络功能，防止非法用户的侵入。第四十八条系统管理人员应及时安装正式发布的系统补丁，修补系统存在的平安漏洞。第四十九条系统管理人员应启用系统提供的审计功能，监测系统运行日志，掌握系统运行状况。第五十条系统管理人员不得泄露操作系统、数据库的系统管理员账号、密码。第五十一条联网设备的IP地址及网络参数，必须按照网络管理规范及其业务应用范围进行设置，非系统管理人员不得修改。第四节口令密码、密钥平安管理第五十二条计算机信息系统关键人员的口令密码编制应具有一定的复杂性，对记录密码的载体应严格管理，确保其物理平安。第五十三条计算机信息系统关键岗位人员的口令密码，应定期或不定期进行更换，独享使用，不得泄露。第五十四条应用密钥保障信息平安时，对所用密钥生命周期的全过程（产生、存储、分配、使用、废除、归档、销毁）应实施严格的平安保密管理。第五十五条密钥必须作为绝密数据由专人保管。密钥必须通过机要渠道传递或采用加密通信方式网内分配。第五十六条密钥必须定期更换，对已泄漏或怀疑泄漏的密钥必须及时废除。旧密钥必须平安归档，并在平安管理负责人的严格监督下，由管理责任人定期销毁。第五十七条密钥备份是针对主要密码设备和保密工作人员的意外事件而采取的必要措施，密钥副本的保存必须是物理平安的。必须有在紧急情况下销毁密钥的手段和措施，以防密钥丧失。第五节系统文档平安管理第五十八条网络参数配置文档、重要计算机信息系统详细开发资料及其源程序等核心技术文档，由烟台市教育装备与技术研究中心严格管理。第五十九条系统核心技术文档资料的外借应有审批手续和记录，借阅人不得转借给他人,不得复制、泄露和引用具体内容。第六节系统的平安监测第六十条平安人员要经常监测、分析计算机信息系统运行