計算機信息系統(tǒng)安全的基本要求(doc格式)

1、計算機信息系統(tǒng)安全的基本要求 作者：佚名轉貼自：摘自法規(guī)匯編點擊數(shù)：915文章錄入：admin根據(jù)公安部的有關規(guī)定，下面是計算機信息系統(tǒng)安全的基本要求：一、實體安全1、中心周圍 100 米內(nèi)沒有危險建筑， 主要指沒有易燃、 易爆、 有害氣體等存放的場所，如加油站、燃氣管道、煤氣站散發(fā)較強腐蝕氣體的設施等。2、設有監(jiān)控系統(tǒng)，指對系統(tǒng)運行的外圍環(huán)境、操作環(huán)境實施監(jiān)控（視）的設施。3、有防火、防水措施。如機房內(nèi)有火災自動報警系統(tǒng)，有適用于計算機機房的滅火器材（氣體滅火器） ，有應急計劃及相關制度。防水：指機房內(nèi)無滲水、漏水現(xiàn)象，如果機房上層有用水設施需加防水層。4、機房環(huán)境（溫度、濕度、潔凈度）達到

2、要求。作為中心機房溫度應保持在18-24 度，相對濕度保持在 40-60為好。機房和設備應保持清潔、衛(wèi)生，進出機房時要更衣、換鞋，機房的門窗在建造時應考慮封閉性能。5、防雷（防雷裝置、接地）措施。機器設備應有專用地線，機房本身有避雷設施，設備（包括通信設備和電源設備）有防雷擊技術設施。6、有備用電源，如長時間ups，停電后可供電8 小時或更長時間，或者自備發(fā)電機。7、平時使用ups 供電。8、有防靜電措施，如防靜電地板、設備接地良好等。9、為保證設備用電質量，采取專線供電，與空調(diào)、照明、動力等分開。10、采取防盜措施， 中心應有值班守衛(wèi)，出入口安裝防盜安全門，窗戶安裝金屬防護裝置。二、網(wǎng)絡通信

3、安全1、裝有通信設備的場所要設有標志，如“機房重地”、“請勿觸摸”等醒目的文字、圖形等。2、重要的通信線路及通信控制裝置要有備份，如備用網(wǎng)絡通信線路，類似于調(diào)制解調(diào)器等服務于網(wǎng)絡通信的設備也要有備用。3、加密措施，包括網(wǎng)絡通訊及軟、硬件，即網(wǎng)絡傳輸?shù)男畔⒁用埽浖?、硬件有防止非法入侵的手?、網(wǎng)絡運行狀態(tài)應有安全審計跟蹤措施，能隨時掌握網(wǎng)絡用戶的工作狀況。安全審計是指在計算機信息系統(tǒng)中模擬社會的監(jiān)察機構對于系統(tǒng)（包括網(wǎng)絡） 的活動進行監(jiān)視和記錄的一種機制。 其主要功能有： 監(jiān)視和記錄系統(tǒng)的活動情況， 使影響系統(tǒng)安全性的存取以及其他非法企圖留下線索， 以便查出非法操作者； 檢測和判定對系統(tǒng)的攻

4、擊， 及時提供報警和處理；提供審計報告，使系統(tǒng)安全管理人員能夠了解運行情況；識別合法用戶的誤操作等。5、網(wǎng)絡系統(tǒng)有訪問控制措施，根據(jù)工作性質劃分網(wǎng)絡用戶的訪問權限。6、有工作站身份識別措施，以辨別該工作站是否本網(wǎng)絡的合法用戶。三、軟件與信息安全1、操作系統(tǒng)及數(shù)據(jù)庫要有訪問控制措施，按工作性質劃分對操作系統(tǒng)及數(shù)據(jù)庫的訪問權限。能對不正常的運行狀況或操作及時發(fā)現(xiàn)并進行控制或糾正。2、應用軟件、系統(tǒng)信息能防止惡意攻擊和非法存取。3、對數(shù)據(jù)庫及系統(tǒng)狀態(tài)要有監(jiān)控、防護措施。（1）系統(tǒng)標識與驗證，即將系統(tǒng)有關數(shù)據(jù)處理的有關成份如用戶、數(shù)據(jù)文件、軟件和硬件設置唯一的機器可識別的標識符， 使這些組件在預先建立

5、的存取控制規(guī)則的控制下進行運作。（ 2）系統(tǒng)存取控制，是對處理狀態(tài)下的信息進行保護的措施，它通過對所有直接存取活動進行授權的措施， 對訪問系統(tǒng)或系統(tǒng)資源 （如數(shù)據(jù)庫） 的程序和行為進行是否合法的檢查。（ 3）隔離技術，其目的在于堵住安全缺口。隔離技術使操作系統(tǒng)內(nèi)受到破壞的部份不影響其它部份。4、有用戶身份識別措施，工作站開機有輸入用戶名、口令等要求。5、系統(tǒng)用戶信息要有異地備份，即備份信息不能存放在同一建筑物內(nèi)，至少不能放在同一樓層，是否異地備份和備份的份數(shù)視信息數(shù)據(jù)的重要性和恢復的難度而定。四、管理組織與制度安全1、有專門的安全防范組織和計算機安全員。2、有健全的安全管理規(guī)章制度，如機房安全

6、管理制度、設備、數(shù)據(jù)管理制度及人員調(diào)離的安全管理制度等。 例如在宣布人員調(diào)離的同時應馬上收回鑰匙、 更換口令、 取消帳戶等，并向被調(diào)離人員申明其保密義務。3、要有詳盡的工作手冊和完整的工作記錄。4、定期進行風險分析，制定災難處理對策，如關鍵崗位人員的聯(lián)絡方法，備份設備如何取得，如何組織系統(tǒng)重建等。5、建立有安全培訓制度，進行計算機安全法律教育、職業(yè)道德教育及計算機安全常識教育。6、制定有人員的安全管理制度， 如關鍵崗位人員的定期考核、 各部門人員職責的明確、參觀中心機房人員的審批和陪同等。五、安全技術措施1、有災難恢復的技術措施。這里所說的災難，是指計算機系統(tǒng)受火災、水災或人為破壞而產(chǎn)生的嚴重

7、的后果，災難恢復是指災難產(chǎn)生后迅速采取措施恢復計算機系統(tǒng)的正常運行。2、采取開發(fā)工作與業(yè)務工作分離的措施3、有應用業(yè)務、系統(tǒng)安全審計功能4、有系統(tǒng)操作日志，如每天開、關機、設備運行狀況等文字記錄。5、有服務器備份措施6、有計算機防病毒措施，即計算機預防、清除病毒的軟、硬件產(chǎn)品。2003-09-27金融機構計算機信息系統(tǒng)安全保護工作暫行規(guī)定年 8 月 31日發(fā)布）（公安部、 中國人民中國人民銀行1998金融事業(yè)的順利發(fā)展，根據(jù)中華人民共和國中國人民銀行法息系統(tǒng)安全保護條例等有關法律、法規(guī)制定本暫行規(guī)定。中華人民共和國計算機信息系統(tǒng)安全保護工作實行誰主管、 誰負責、 預防為主、 綜合治理、人員防范

8、和技術防范相結合的原則， 逐級建立安全保護責任制，加強制度建設，逐步實現(xiàn)科學化、規(guī)范化管理。針對金融機構計算機信息系統(tǒng)進行的違法犯罪活動， 預防、處理各種安全事故， 提高金融機構計算機信息系統(tǒng)的整體安全水平，保障國家、集體和個人財產(chǎn)的安全。人。金融機構的計算機信息系統(tǒng)安全保護領導小組、專職部門和專及其他有關人員應當協(xié)助第一責任人組織落實有關規(guī)定。（兼） 職安全管理人員以報有關計算機信息系統(tǒng)案件和事故情況，協(xié)助公安機關查處與本單位有關的案件和事故。機房的構筑防護設施和計算機信息系統(tǒng)及其相關的配套設備的技術防護設施。（一）主機房在建筑內(nèi)應為獨立區(qū)域。100 米內(nèi)不得有危險建筑，如：加油站、煤氣站等

9、。110 聯(lián)網(wǎng)，以便報警。八小時以上的 UPS 等設施。有可靠接地， 接地電阻不大于相應設備的技術要求，并裝置必要的防雷電設施。障時切換使用。當加強信息科技管理部門，并設立專職的計算機信息系統(tǒng)安全管理人員。導任組長， 并確定專職部門負責日常的計算機信息系統(tǒng)安全保護工作。領導小組名單應當報同級人民銀行計算機信息系統(tǒng)安全保護領導小組和公安機關計算機管理監(jiān)察部門備案。其專職部門應當接受公安機關計算機管理監(jiān)察部門的工作指導和監(jiān)督。入職工的崗位責任制，并與其他工作同時進行檢查考核。定期對職工進行法制教育、安全意識教育和防范技能訓練。安全管理和檢查，并積極配合和支持公安機關計算機管理監(jiān)察部門開展安全監(jiān)察和

10、查處案件。要計算機信息系統(tǒng)資源配置、 技術人員構成進行登記， 報同級公安機關計算機管理監(jiān)察部門備案。人員必須及時調(diào)離。對重要崗位計算機信息系統(tǒng)的安全情況經(jīng)常進行檢查，及時整改不安全隱患。算機的有關口令和密鑰。 涉及銀行業(yè)務核心部分開發(fā)的技術人員調(diào)離本系統(tǒng)時， 應當確認對本系統(tǒng)安全不會造成危害后方可調(diào)離。進行定期檢查維護。員密碼制度， 分清各自責任。 密碼修改要有記錄。操作員、程序員的權限和操作范圍。 建立系統(tǒng)運行日志， 每天打印重要的操作清單。日志信息長期保存，以備稽查。用介質交換信息要按規(guī)定手續(xù)管理，并進行病毒預檢，防止病毒對系統(tǒng)和數(shù)據(jù)的破壞。嚴格的管理措施，以防止各類事故的發(fā)生。限，包括訪

11、問的方式和內(nèi)容。必須派專人在場監(jiān)督。做好文檔資料的相應修改。務系統(tǒng)分離， 程序員只能在開發(fā)系統(tǒng)上工作。業(yè)務用機不得用于項目開發(fā)，不得含有源程序、編譯工具、連接工具等工具軟件，不使用與業(yè)務無關的任何存貯介質。參加過應用系統(tǒng)開發(fā)的人員，不得擔任相應系統(tǒng)的管理員。務系統(tǒng)，并做好日志記錄。級銀行安全管理職能部門， 做好詳細記錄， 經(jīng)領導同意后， 由系統(tǒng)管理人員進行檢查、 修改、維護。的版本及其目錄打印清單，以備系統(tǒng)和程序的恢復。建立嚴格的管理措施，以防“黑客”的侵襲。應當采用專線聯(lián)接方式或者虛擬專線聯(lián)接方式。段和措施，以防止密鑰的失密。記備案。對生產(chǎn)機以及存放重要數(shù)據(jù)的計算機不得以任何方式與國際互聯(lián)網(wǎng)聯(lián)網(wǎng)。計算機信息系統(tǒng)安全的隱患時，應當及時通知該金融機構。識培訓，并頒發(fā)計算機安全員上崗證 ，并協(xié)助金融機構建立、完善計算機信息系統(tǒng)安全保護制度。息系統(tǒng)安全保護領導小組和專職部門，并填寫計算機事故申報表機管理監(jiān)察部門和人民銀行計算