三级保密资质信息系统安全策略文件V2.0

部资料注意保存信息设备与存储设备平安策略目录第一条概述2第二条适用围2第三条目标2第四条平安原则2第五条平安方针4第六条平安组织机构4第七条平安管理人员策略5第八条平安产品和工具7第九条物理和环境平安策略8第十条运行管理策略9第十一条通讯和传输平安管理策略9第十二条信息设备平安策略10第十三条存储设备平安11第十四条操作平安策略11第十五条访问控制策略12第十六条导入导出策略13第十七条备份与恢复策略13第十八条设备维修策略14第十九条设备报废策略14第二十条风险管理及平安审计谋略14第二十一条信息系统应急方案和响应策略15第二十二条遵循性15第一条概述公司涉密计算机及信息系统涉及到存储、传输、处理国家秘密、公司商业秘密和业务关键信息，关系到公司的形象和公司业务的持续运行，必须保证其平安。因此，必须从技术、管理、运行等方面制定确保涉密计算机和信息系统持续可靠运行的平安策略，做好平安保障。第二条适用围2.1公司所有通过计算机及信息系统存贮、处理或传输的信息及存贮、处理或传输这些信息的硬件、软件及固件。2.2第三条目标本方针的目的是为本公司信息系统平安管理提供一个总体性架构文件，该文件将指导本公司信息系统的平安管理体系建立。平安管理体系以实现统一的平安策略管理、提高整体的网络与信息平安水平、确保平安控制措施落实到位、保障网络通信畅通和业务系统的正常运营为建立目的。并通过一系列预防措施将信息平安可能受到的危害降到最低。信息平安管理应在确保信息和计算机受到保护的同时，确保计算机和信息系统能够在允许的围正常运行使用。同时，本策略的目的也是让所有员工能够了解信息平安问题以及明确各自的信息平安职责，严格遵守本平安策略，并遵守国家相关的计算机或信息平安法律要求。第四条平安原则(一)基于平安需求原则技术部根据公司信息系统担负的业务功能、积累的信息资产的重要性、可能受到的威胁及面临的风险分析平安需求，按照信息系统等级保护要求确定相应的信息系统平安保护等级，遵从相应等级的规要求，从全局上平衡平安投入与效果；(二)主要领导负责原则主要领导应确立统一的信息平安保障宗旨和政策，负责指导提高全员平安意识的教育方法、培养优秀的平安技术队伍、调动并优化资源的配置、协调平安管理工作与各部门工作的关系，并确保其有效落实；(三)全员参与原则信息系统涉及的所有相关人员应积极参与信息系统的平安管理，并与相关方面协调，共同保障信息系统的平安；(四)系统方法原则按照系统工程的要求，识别和理解信息平安保障相互关联的层面和过程，采用管理和技术相结合的方法，保证平安保障工作的高效有序进展；(五)持续改良原则平安管理是一种动态反应过程，贯穿整个平安管理的生存周期，随着平安需求和系统脆弱性的时空分布变化，威胁程度的提高，系统环境的变化以及对系统平安认识的深化等，应及时地将现有的平安策略、风险承受程度和保护措施进展复查、修改、调整以至提升平安管理等级，维护和持续改良信息平安管理体系的有效性；(六)依法管理原则信息平安管理工作主要表达为管理行为，应保证信息系统平安管理主体合法、管理行为合法、管理容合法、管理程序合法。对平安事件的处理，应由授权者适时发布准确一致的有关信息，防止带来不良的社会影响；(七)分权和授权原则对特定职能或责任领域的管理功能实施别离、独立审计等实行分权，防止权力过分集中，带来隐患，以减少未授权的修改或滥用系统资源的时机。任何实体〔如用户、管理员、进程、应用或系统〕仅享有该实体需要完成其任务所必须的最小权限，不应享有任何多余权限；(八)选用成熟技术原则成熟的技术具有较好的可靠性和稳定性，采用新技术时要重视其成熟度，并应首先局部试点然后逐步推广，以减少或防止可能出现的失误；(九)分等级保护原则按等级划分标准确定信息系统的平安保护等级，实行分等级保护；对多个子系统构成的大型信息系统，确定系统的根本平安保护等级，并根据实际平安需求，分别确定各子系统的平安保护等级，实行多级平安保护；(十)管理与技术并重原则坚持积极防御和综合防相结合，全面提高信息系统平安防护能力，立足国情，采用管理科学性和技术前瞻性结合的方法，保障信息系统的平安性到达所要求的目标；(十一)自主保护和国家监管结合原则对信息系统平安实行自主保护和国家保护相结合。组织机构要对自己的信息系统平安保护负责，相关部门有责任对信息系统的平安进展指导、监视和检查，形成自管、自查、自评和国家监管相结合的管理模式，提高信息系统的平安保护能力和水平，保障国家信息平安。第八条在规划和建立信息系统时，信息系统平安防护措施应按照“三同步〞原则，与信息系统建立同步规划、同步建立、同步投入运行。第五条平安方针信息系统平安建立坚持“平安第一、预防为主，管理和技术并重，综合防〞的总体方针，依照总体平安防护策略，执行信息系统平安等级保护制度，信息网络实行涉密电脑与其他电脑物理隔离，公司、外网之间物理隔离的方法。平安组织机构6.1公司设立委员会，委员会主任由总经理担任，工作实行总经理负责制，委员会由公司相关领导和部门主管组成，下设办公室作为委员会的常设工作机构，并配备员，配备系统管理员、平安管理员、平安审计员；设置定密工作小组，明确定密责任人，按“业务谁主管、工作谁负责〞原则，各部门主管负责本部门的管理工作。6.2技术部是信息系统平安管理的领导机关，负责领导信息平安管理体系的建立和信息平安管理的实施，主要包括：提供清晰的指导方向，可见的管理支持，明确的信息平安职责授权；审查、批准信息平安策略和岗位职责；审查业务关键平安事件；批准增强信息平安保障能力的关键措施和机制；保证必要的资源分配，以实现数据有效性以及信息平安管理体系的持续开展。6.3技术部具体负责建立和维持信息平安管理体系，协调相关活动，主要承当如下职责：调整并制定所有必要的信息平安管理规程、制度以及实施指南等；提议并配合执行信息平安相关的实施方法和程序，如风险评估、信息管理分层等；主动采取部门的信息平安措施，如平安意识培训及教育等；配合执行新系统或效劳的特殊信息平安措施；审查对信息平安策略的遵循性；配合并参与平安评估事项；根据信息平安管理体系的要求，定期向上级主管领导和委员会报告。第七条平安管理人员策略为防止信息遭受人为过失、窃取、欺骗、滥用的风险，应当识别信息系统系统部每项工作的信息平安职责并补充相关的程序文件。公司全体人员都应该了解计算机及系统的网络与信息平安需求，公司必须为全体人员提供足够的培训以到达该平安目的，并为他们提供报告平安事件和威胁的渠道。7.1工作定义及资源的平安工作人员从事或离开岗位时必须进展信息平安考虑，相关的平安事项必须包括在工作描述或合同中。包括：对涉及访问秘密或关键信息，或者访问处理这些信息的系统的工作人员应进展严格审查和挑选；对信息系统具有特殊访问权限的工作人员应该签署承诺，保证不会滥用权限；当工作人员离开公司时应该移交信息系统的访问权限，或工作人员在公司部更换工作岗位时应该重新检查并调整其访问权限。7.2员工培训公司全体人员应了解计算机及信息系统的平安需求，并对如何平安地使用信息及相关系统和工具、信息平安策略和相关管理规定承受培训，熟悉信息平安的实施并加强平安意识。7.3事件报告必须建立有效的信息反应渠道，以便于公司人员一旦发现平安威胁、事件和故障，能及时向有关领导报告。7.4信息处理设备可承受的使用策略公司制止工作人员滥用计算机及信息系统的计算机资源，仅为工作人员提供工作所需的信息处理设备。公司所有人员对系统网络和计算资源的使用〔包括访问互联网〕都必须遵守计算机及信息系统的平安策略和标准及所有适用的法律。公司的计算机及信息系统应能防止使用人员连接到访问含有、种族歧视及其他不良容的及*些非业务。包括但不限于以下例子是不可承受的使用行为：使用信息系统资源成心从事影响他人工作和生活的行为。工作人员通过信息系统的网络效劳及设备传输、存储任何非法的、有威胁的、滥用的材料。任何工作人员使用信息系统的计算机工具、设备和互联网访问效劳来从事用于个人获益的商业活动〔如炒股〕。工作人员使用信息系统效劳来参与任何政治或活动。在没有信息平安管理部门的事先允许或审批的情况下，工作人员在使用的计算机中更改或安装任何类型的计算机软件和硬件。在没有信息平安管理部门的事先允许或审批的情况下，工作人员拷贝、安装、处理或使用任何未经许可的软件。7.5处理从互联网下载的软件和文件必须使用病毒检测软件对所有通过互联网〔或任何其他公网〕从信息系统之外的途径获得的软件和文件进展检查，同时，在获得这些软件和文件之前，信息平安管理部门必须研究和确认使用这些工具的必要性。7.6工作人员协议公司所有人员必须在开场工作前，亲自签订信息系统协议。7.7知识产权权利尊重互联网上他人的知识产权。公司工作人员在被雇佣期间使用公司系统资源开发或设计的产品，无论是以何种方式涉及业务、产品、技术、处理器、效劳或研发的资产，都是公司的专有资产。第八条平安产品和工具8.1平安产品为了构建计算机良好的平安环境，每台涉密机都必须安装有平安产品。通过硬件、软件俩个方面多角度的保护涉密机的信息平安。平安产品主要包括“三合一〞平安系统、主机审计系统、防辐射干扰器等相关产品。提供平安产品的单位必须具备相应的资质和相关产品的检测证书；任何需求安装平安产品的部门，办都须直接参与，并由办办理相关手续后，即可使用；平安产品一旦安装，未经批准任何人不可私自修改、卸载；按照要求正确使用平安产品,如有问题可以随时询问计算机平安管理员；但凡平安产品涉及到的USB-Key、遥控器、单项导入盒等，相关负责人使用完毕后应尽快放入密码柜中妥善保管；8.2平安检查工具公司配备检查工具。通过检查工具能够及时的发现问题。第九条物理和环境平安策略计算机信息和其他用于存储、处理或传输信息的物理设施，例如硬件、磁介质、电缆等，对于物理破坏来说是易受攻击的，同时也不可能完全消除这些风险。因此，应该将这些信息及物理设施放置于适当的环境中并在物理上给予保护使之免受平安威胁和环境危害。9.1平安区域根据信息平安的分层管理，应将支持涉密信息或关键业务活动的信息技术设备放置在平安区域中。平安区域应当考虑物理平安边界控制及有适当的进出控制措施保护，平安区域防护等级应当与平安区域的信息平安等级一致，平安区域的访问权限应该被严格控制。办公区、生产区重要部位及通道设置红外视频监控系统，出入通道设置管理员值守。9.2设备平安对支持涉密信息或关键业务过程〔包括备份设备和存储过程〕的设备应该适当地在物理上进展保护以防止平安威胁和环境危险。包括：应该对计算机介质进展控制，涉密机的USB-Key必须进展物理保护；涉密笔记本待用时，必须存放在密码柜中；对设备应该进展保护，定期检查电源插排，防止电力异常而造成损坏等保护措施；对计算机和设备环境应该进展监控，检查环境的影响因素，温度和湿度是否超过正常界限〔正常工作室温：10℃—35℃；相对湿度:35%—80%〕；设备应该按照生产商的说明进展有序的维护与保养；9.3物理访问控制信息平安管理部门应建立访问控制程序，控制并限制所有对计算计及信息系统计算、存储和通讯系统设施的物理访问。应有适宜的出入控制来保护平安场所，确保只允许授权的人员进入。必须仅限公司工作人员和技术维护人员访问公司办公场所、布线室、机房和计算根底设施。9.4建筑和环境的平安管理为确保计算机处理设施能正确的、连续的运行，应至少考虑及防以下威胁：偷窃、火灾、温度、湿度、水、电力供给中断、爆炸物、吸烟、灰尘、振动、化学影响等。必须在平安区域建立环境状况监控机制，以监控厂商建议围外的可能影响信息处理设施的环境状况。应在运营围安装自动灭火系统。定期测试、检查并维护环境监控警告机制，并至少每年操作一次灭火设备。9.5室、计算机房访问记录管理室、计算机房应设立物理访问记录，信息平安管理部门应定期检查物理访问记录本，以确保正确使用了这项控制。物理访问记录应至少保存12个月，以便协助事件调查。应经信息平安管理部门批准后才可以处置记录，并应用碎纸机处理。第十条运行管理策略为防止信息遭受人为过失、窃取、欺骗、滥用的风险，应当识别计算机及信息系统部每项工作的信息平安职责，并补充相关的程序文件。公司全体相关人员都应该了解计算机及系统的网络与信息平安需求。信息设备和存储介质应当具有标识、涉密的应当标明，非密的应当标明用途；涉密计算机应当与部非涉密网络和互联网计算机实行物理隔离；只有指定的涉密人员才能访问秘密、关键信息并处理这些信息；制止使用非涉密的计算机和存储介质存储和处理涉密信息；未经办审批，制止对计算机系统格式化或重装系统；涉密人员在使用白软件时可以自行修改安装，但以外的软件必须事先通过办的审批；当涉密人员离开公司时应该移交信息系统的访问权限，或涉密人员在公司部更换工作岗位时应该重新检查并调整其访问权限第十一条通讯和传输平安管理策略计算机和信息系统所拥有的和使用的大多数信息都在计算机上进展处理和存储。为了保护这些信息，需要使用平安且受控的方式管理和操作这些计算机，使它们拥有充分的资源。11.1公司计算机网络构造公司计算机及信息系统管理分为涉密计算机管理、部网络〔局域网〕及计算机信息管理、互联网计算机信息管理三个管理层次。涉密计算机只能处理涉及国家秘密的信息，实行物理隔离管理，只能由公司涉密人员使用，由公司员管理。涉密计算机信息数据必须被保护以防止被泄漏、破坏或修改。部网络〔局域网〕及计算机配置加密管理措施，与互联网隔离，配置管理措施，只能通过局域网传输、储存技术文档、软件等涉及公司商业信息。上述信息必须定期备份进展保护，以免破坏和非授权修改。互联网计算机主要处理来自于外部资源的普通信息，配置上网行为管理措施，同样在信息平安防护上进展平安考虑。上述计算机及信息系统根据分层次管理的要求应当依据其分类进展物理标记。由于公司计算机和信息系统采用三层管理模式，不排除联接到外部网络，计算机和信息系统的运行必须使用可控且平安的方式来管理，网络软件、数据和效劳的完整性和可用性必须受到保护。信息设备平安策略为保护存储计算机的数据信息的平安性、完整性、可用性，保护系统中的信息免受恶意的或偶然的篡改、伪造和窃取，有效控制部泄密的途径，防来自外部的破坏，制订以下平安措施。设置屏幕保护，要求设置保护时间为10分种，恢复时有密码保护；终端计算机制止安装多启动操作系统，只能安装一个操作系统；及时安装操作系统、数据库、应用程序的升级补丁；禁用终端危险效劳〔包括远程注册表管理、共享效劳、终端效劳等〕；撤除便携式移动计算机中具有无线联网功能的硬件模块；涉密计算机应配备电磁泄露发射防护装置；非涉密机向涉密机导入信息时，必须通过涉密中间机转换，然后通过三合一设备导入涉密计算机；涉密机之间导入导出信息时，须采用一次性写入光盘，也可申请使用单项导入设备；第十三条存储设备平安应该对存储介质进展控制，如果必要的话需要进展物理保护：可移动的计算机介质应该受控；应该制定并遵守处理包含或关键数据的介质的规程；与计算相关的介质应该在不再需要时被妥善处理。第十四条操作平安策略14.1操作规程和职责应该制定管理和操作所有计算机和网络所必须的职责和规程，来指导正确的和平安的操作。这些规程包括：数据文件处理规程，包括验证网络传输的数据；对所有方案好的系统开发、维护和测试工作的变更管理规程；为意外事件准备的错误处理和意外事件处理规程；问题管理规程，包括记录所有网络问题和解决方法〔包括怎样处理和谁处理〕；事故管理规程；为所有新的或变更的硬件或软件，制定包括性能、可用性、可靠性、可控性、可恢复性和错误处理能力等方面的测试/评估规程；日常管理活动，例如启动和关闭规程，数据备份，设备维护，计算机和网络管理，平安方法或需求；当出现意外操作或技术难题时的技术支持。14.2操作变更控制对信息处理设施和系统控制不力是导致系统或平安故障的常见原因，所以应该控制对信息处理设施和系统的变动。应落实正式的管理责任和措施，确保对设备、软件或程序的所有变更得到满意的控制。14.3操作人员日志操作人员应保存日志记录。根据需要，日志记录应包括：系统及应用启动和完毕时间；系统及应用错误和采取的纠正措施；所处理的数据文件和计算机输出；操作日志建立和维护的人员。14.4错误日志记录对错误及时报告并采取措施予以纠正。应记录报告的关于信息处理错误或通信系统故障。应有一个明确的处理错误报告的规则，包括：1〕审查错误日志，确保错误已经得到满意的解决；2〕审查纠正措施，确保没有违反控制措施，并且采取的行动都得到充分的授权。14.5病毒防策略病毒防包括预防和检查病毒〔包括实时扫描/过滤和定期检查〕，主要容包括：控制病毒入侵途径，外来资料必须进过平安杀毒后才能使用；安装可靠的防病毒软件，公司杀毒软件使用360杀毒系统；对系统进展实时检测和过滤，执行检测和过滤的过程以自查为主，发现问题及时向计算机管理员报告；定期杀毒并及时查杀计算机平安管理员应及时对发现的病毒进展处理并记录，查杀不了的及时向有关部门报告；防病毒软件的安装和使用由计算机平安管理员执行；严格控制盗版软件及其它第三方软件的使用，必要时，在运行前先对其进展病毒检查。第十五条访问控制策略为了保护计算机系统息不被非授权的访问、操作或破坏，必须对信息系统和数据实行控制访问。计算机系统控制访问包括建立和使用正式的规程来分配权限，并培训工作人员平安地使用系统。对系统进展监控检查是否遵守所制定的规程。计算机访问控制应该根据相关国家法律的要求和指导方针控制对信息系统和数据的访问：计算机活动应可以被追踪到人；访问所有多用户计算机系统应有正式的用户登记和注销规程；应使用有效的访问系统来鉴别用户；应通过平安登录进程访问多用户计算机系统；特殊权限的分配应被平安地控制；用户选择和使用密码时应慎重参考良好的平安惯例；用户应确保无人看管的设备受到了适当的平安保护；应根据系统的重要性制定监控系统的使用规程。必须维护监控系统平安事件的审计跟踪记录；为准确记录平安事件，计算机时钟应被同步。第十六条导入导出策略输入输出应实行“集中管理、有效控制、过程审计〞的管理原则；涉密中间机、涉密打印机、涉密一体机、涉密计算机，只可单一方向导入或导出；扫描输入时须由部门领导审批，完成后办收回纸介质；电子文档录入时须经部门领导同意，才可将电子信息输入到固定文件夹；电子输出时只可采取一次性光盘导出，或者申请单导设备。写入光盘时须粘贴条码，标识光盘；涉密信息打印时须经领导同意，打印完成后做涉密载体登记第十七条备份与恢复策略定义计算机及信息系统备份与恢复应该采用的根本措施：建立有效的备份与恢复机制；定期检测自动备份系统是否正常工作；明确备份的操作人员职责、工作流程和工作审批制度；建立完善的备份工作操作技术文档；明确恢复的操作人员职责、工作流程和工作审批制度；建立完善的恢复工作操作技术文档；针对建立的备份与恢复机制进展演习；对备份的类型和恢复的方式进展明确的定义；妥善保管备份介质。第十八条设备维修策略涉密计算机及相关设备维修，应当在本单位部现场进展，并指定专人全程监视，严禁维修人员读取和复制涉密信息；确需送外维修的，应当撤除涉密信息存储部件。选择本系统涉密单位或者行政管理部门批准或授权的维修机构,并由信息化管理部门与维修单位签订维修合同和协议。特殊设备维修,由单位制定相应制度与措施,履行审批手续,满足旁站陪同等要求。无法撤除硬件和固件的,一般不得送修。第十九条设备报废策略涉密计算机及相关设备不再用于处理涉密信息或报废时，应当将涉密信息存储部件撤除或及时销毁。计算机、打印机等信息设备的主板、存、显卡等不能进展信息去除,只能做报废销毁处理。销毁前,应当将待销毁设备与清单一一核对,经办公室部门指定的销毁机构进展销毁。单位自行销毁的,应当保存销毁清单和相关记录,对涉密信息设备和涉密存储设备的名称、等级、序列号、经办人、采取的销毁方法和控制措施,以及销毁后残留物的最终去向等情况详细记录并存档。涉密硒鼓属于涉密外部设施设备，应履行审批手续,逐一登记有关要素信息，送国家行政管理部门指定的销毁机构进展销毁。销毁证明和清单应当妥善保存。同时,拆下的报废硒鼓应当建立台账，粘贴标识，集中管理，统按照要求进展报废和销毁处理。第二十条风险管理及平安审计谋略信息平安审计及风险管理对于帮助公司识别和理解信息被攻击、更改和不可用所带来的〔直接和间接的〕潜在业务影响来说至关重要。所有信息容和信息技术过程应通过信息平安审计活动及风险评估活动来识别与它们相关的平安风险并执行适当的平安对策。计算机及信息系统的信息平安审计活动