廣西移動(dòng)網(wǎng)絡(luò)與信息安全管理辦法

1、廣西移動(dòng)網(wǎng)絡(luò)與信息安全管理辦法中國(guó)移動(dòng)廣西公司 網(wǎng)絡(luò)與信息安全管理辦法 （2006年V1.0） 第一章 總則 第一章 總則 第1條 本管理辦法適用于中國(guó)移動(dòng)廣西公司的所有網(wǎng)絡(luò)與信息系統(tǒng)(包括但不限于業(yè)務(wù)網(wǎng)絡(luò)、支撐網(wǎng)絡(luò))、網(wǎng)絡(luò)與信息安全相關(guān)組織和人員。 第2條 網(wǎng)絡(luò)與信息安全工作是企業(yè)運(yùn)營(yíng)與發(fā)展的基礎(chǔ)和核心；是保證網(wǎng)絡(luò)品質(zhì)的基礎(chǔ);是保障客戶利益的基礎(chǔ). 第3條 網(wǎng)絡(luò)與信息安全工作以國(guó)家相關(guān)政策法規(guī)和條例為依據(jù)，以中國(guó)移動(dòng)網(wǎng)絡(luò)與信息安全總綱為指導(dǎo)，以統(tǒng)一規(guī)劃，集中控制為原則，以符合網(wǎng)絡(luò)和業(yè)務(wù)發(fā)展要求的安全管理組織體系和安全技術(shù)支援保障體系為目標(biāo)。 第4條 本管理辦法將用于指導(dǎo)中國(guó)移動(dòng)廣西公司互聯(lián)網(wǎng)

2、、各類業(yè)務(wù)網(wǎng)絡(luò)、支撐網(wǎng)絡(luò)等網(wǎng)絡(luò)安全和信息管理工作。它是各級(jí)部門開展網(wǎng)絡(luò)與信息安全工作的依據(jù). 第5條 本管理辦法由區(qū)公司網(wǎng)絡(luò)部負(fù)責(zé)解釋。 第二章 安全組織及職責(zé) 第二章 安全組織及職責(zé) 第6條 安全工作指導(dǎo)思想 安全工作“三分靠技術(shù),七分靠管理，建立有效的組織機(jī)構(gòu)是安全管理的基礎(chǔ)。 第7條 領(lǐng)導(dǎo)機(jī)構(gòu) (一） 中國(guó)移動(dòng)廣西公司常設(shè)網(wǎng)絡(luò)與信息安全領(lǐng)導(dǎo)小組，全面負(fù)責(zé)公司的網(wǎng)絡(luò)與信息安全工作。領(lǐng)導(dǎo)小組組長(zhǎng)由公司總經(jīng)理?yè)?dān)任，副組長(zhǎng)由公司主管網(wǎng)絡(luò)的副總經(jīng)理?yè)?dān)任，小組成員由綜合部、發(fā)展戰(zhàn)略部、人，力資源部、市場(chǎng)經(jīng)營(yíng)部、數(shù)據(jù)部、集團(tuán)客戶部、網(wǎng)絡(luò)部、計(jì)劃技術(shù)部、網(wǎng)絡(luò)運(yùn)營(yíng)中心、運(yùn)營(yíng)支撐中心、工程管理中心、客戶服務(wù)

3、營(yíng)銷中心等部門、中心負(fù)責(zé)人組成。 (二) 網(wǎng)絡(luò)與信息安全領(lǐng)導(dǎo)小組為公司的網(wǎng)絡(luò)與信息安全管理指(二） 明清晰的方向，領(lǐng)導(dǎo)小組承擔(dān)以下責(zé)任： 1、審查并批準(zhǔn)公司的網(wǎng)絡(luò)與信息安全策略； 2、分配安全管理總體職責(zé); 3、在網(wǎng)絡(luò)與信息資產(chǎn)暴露于重大威脅時(shí)，監(jiān)督控制可能發(fā)生的重大變化; 4、對(duì)網(wǎng)絡(luò)與信息安全管理相關(guān)的重大更改事項(xiàng)進(jìn)行決策; 5、指揮、協(xié)調(diào)、督促并審查網(wǎng)絡(luò)與信息安全重大事件的處理. 第8條 工作組織 （一) 網(wǎng)絡(luò)與信息安全領(lǐng)導(dǎo)小組下設(shè)網(wǎng)絡(luò)與信息安全辦公室，負(fù)責(zé)(一） 公司具體的網(wǎng)絡(luò)與信息安全工作,辦公室主任由公司網(wǎng)絡(luò)與信息安全領(lǐng)導(dǎo)小組副組長(zhǎng)兼任，區(qū)公司網(wǎng)絡(luò)部為牽頭部門，網(wǎng)絡(luò)部的網(wǎng)絡(luò)與信息安全

4、崗位人員為具體聯(lián)絡(luò)人，綜合部、發(fā)展戰(zhàn)略部、人力資源部、市場(chǎng)經(jīng)營(yíng)部、數(shù)據(jù)部、集團(tuán)客戶部、網(wǎng)絡(luò)部、計(jì)劃技術(shù)部、網(wǎng)絡(luò)運(yùn)營(yíng)中心、運(yùn)營(yíng)支撐中心、工程管理中心、客戶服務(wù)營(yíng)銷中心等部門、中心各確定一名從事網(wǎng)絡(luò)與信息安全工作相關(guān)的人員參與組成辦公室成員。 . (二) 網(wǎng)絡(luò)與信息安全辦公室承擔(dān)以下責(zé)任： 1、制定相關(guān)的安全崗位及職責(zé)； 2、制定并落實(shí)相關(guān)網(wǎng)絡(luò)與信息安全管理制度； 3、制定并落實(shí)網(wǎng)絡(luò)與信息安全保護(hù)方案; 4、審批新系統(tǒng)、服務(wù)規(guī)劃和設(shè)計(jì)中的網(wǎng)絡(luò)與信息安全部分，并監(jiān)督其實(shí)施落實(shí)； 5、審批與網(wǎng)絡(luò)與信息相關(guān)的業(yè)務(wù)連續(xù)性方案; 6、牽頭處理網(wǎng)絡(luò)與信息安全事件; 7、組織網(wǎng)絡(luò)與信息安全評(píng)估和安全審計(jì)工作;

5、8、輔助領(lǐng)導(dǎo)機(jī)構(gòu)進(jìn)行網(wǎng)絡(luò)與信息安全方面的決策； 9、完成部門間的協(xié)調(diào)工作，分派并落實(shí)某項(xiàng)具體工作中各部門的職責(zé); 10、獲取和發(fā)布網(wǎng)絡(luò)與信息安全信息; 11、組織公司人員的網(wǎng)絡(luò)與信息安全教育培訓(xùn). 12、負(fù)責(zé)網(wǎng)絡(luò)與信息安全技術(shù)的跟蹤及研究工作。 13、組織網(wǎng)絡(luò)與信息安全事件處理演練。 14、完成領(lǐng)導(dǎo)機(jī)構(gòu)下達(dá)的各項(xiàng)任務(wù)。 第9條 安全職責(zé) (一） 安全責(zé)任基本原則是“誰(shuí)主管，誰(shuí)負(fù)責(zé)”。公司擁有的每項(xiàng)網(wǎng)絡(luò)與信息資產(chǎn)都按主管權(quán)限歸屬確定的“責(zé)任人”.“責(zé)任人”對(duì)資產(chǎn)安全保護(hù)負(fù)有完全責(zé)任?！柏?zé)任人”可以是個(gè)人或部門，當(dāng)“責(zé)任人”是部門時(shí)，由該部門領(lǐng)導(dǎo)實(shí)際負(fù)責(zé). （二） “責(zé)任人”可將具體的執(zhí)行工作委派

6、給“維護(hù)人”，但必須承擔(dān)資產(chǎn)安全的最終責(zé)任?！柏?zé)任人”要明確規(guī)定“維護(hù)人”的工作職責(zé),并定期檢查“維護(hù)人是否正確履行了安全職責(zé)?！熬S護(hù)人”可以是個(gè)人或部門，也可以是外包服務(wù)提供商.當(dāng)“維護(hù)人”是部門時(shí)，應(yīng)由該部門領(lǐng)導(dǎo)實(shí)際負(fù)責(zé)。 第10條 安全工作人員(領(lǐng)導(dǎo)小組及辦公室成員)的職責(zé)是指導(dǎo)、監(jiān)督、管理、考核“責(zé)任人”的安全工作,不能替代“責(zé)任人”對(duì)具體網(wǎng)絡(luò)與信息資產(chǎn)進(jìn)行安全保護(hù)。 在資產(chǎn)的安全保護(hù)工作中,應(yīng)清楚地說(shuō)明每個(gè)獨(dú)立的網(wǎng)絡(luò)與信息系統(tǒng)所包含的各種資產(chǎn)和相應(yīng)的安全保護(hù)流程?！柏?zé)任人”與“維護(hù)人”都應(yīng)明確接受其負(fù)責(zé)的安全職責(zé)和安全保護(hù)流程,并對(duì)該職責(zé)的詳細(xì)內(nèi)容記錄在案.所有授權(quán)的內(nèi)容和權(quán)限應(yīng)當(dāng)被

7、明確規(guī)定，并記錄在案。 第三章 網(wǎng)絡(luò)與信息安全日常管理 第三章 網(wǎng)絡(luò)與信息安全日常管理 第一節(jié) 基本安全管理制度 第一節(jié) 基本安全管理制度 第11條 網(wǎng)絡(luò)與信息相關(guān)崗位人員的安全管理 人員考察 對(duì)關(guān)鍵崗位人員要進(jìn)行審查,保證具備較強(qiáng)業(yè)務(wù)技術(shù)能 人員考察 力，確?？尚趴煽?，勝任本職工作。員工應(yīng)簽署保密協(xié)議，保密協(xié)議應(yīng)明確規(guī)定員工承擔(dān)的安全責(zé)任、保密要求和違約責(zé)任。 人員考核 每年組織一次對(duì)從事關(guān)鍵業(yè)務(wù)的人員的全面考核；對(duì)違規(guī)人員考核 人員視情節(jié)輕重進(jìn)行批評(píng)、教育、調(diào)離工作崗位。 人員調(diào)離 關(guān)鍵崗位人員調(diào)離，應(yīng)嚴(yán)格辦理調(diào)離手續(xù)。自人員調(diào)離決人員調(diào)離 定通知之日起，應(yīng)及時(shí)更換系統(tǒng)口令。應(yīng)由相關(guān)人員和

8、該員工一起回顧應(yīng)其簽訂的保密協(xié)議,并使該員工明確所有保密事項(xiàng)，如是離職，應(yīng)明確在離開公司后3年內(nèi)不得披露、使用公司的技術(shù)資料的規(guī)定. 人員培訓(xùn) 所有員工必須接受安全教育或培訓(xùn)，一般內(nèi)容包括：公司人員培訓(xùn) 網(wǎng)絡(luò)與信息安全策略、安全職責(zé)、安全管理規(guī)章制度和法律法規(guī)。不同崗位的員工應(yīng)接受符合其工作要求的必要的專業(yè)技能培訓(xùn)。 第12條 操作安全管理 職責(zé)分離 任務(wù)的管理、執(zhí)行及職責(zé)范圍應(yīng)盡量分散進(jìn)行，并增加執(zhí)行和監(jiān)督人員，以減少誤用或?yàn)E用職責(zé)帶來(lái)風(fēng)險(xiǎn)的概率。例如關(guān)鍵數(shù)據(jù)修改的審批與制作必須分開。在無(wú)法實(shí)現(xiàn)職責(zé)充分分散的情況下,應(yīng)采取其他補(bǔ)償控制措施并記錄在案。 職責(zé)履行 各類人員必須按規(guī)定行事，不得從

9、事超越自己職責(zé)以外的 任何事務(wù)或操作。 崗位監(jiān)督 進(jìn)行系統(tǒng)維護(hù)、復(fù)原、強(qiáng)行更改數(shù)據(jù)時(shí)，至少有兩名操作崗位監(jiān)督 人員相互監(jiān)督操作,并進(jìn)行詳細(xì)的登記及簽名。 安全稽核 安全監(jiān)察人員和安全管理人員有權(quán)對(duì)一線操作、管理人員安全稽核 進(jìn)行監(jiān)督與核查。 規(guī)范操作 操作應(yīng)依據(jù)安全策略制訂網(wǎng)絡(luò)與信息處理設(shè)施的操作細(xì)規(guī)范操作則進(jìn)行。操作細(xì)則應(yīng)作為正式文件，履行審批手續(xù),獲得管理人員授權(quán)后才能修改。操作細(xì)則應(yīng)包含操作活動(dòng)的職責(zé)、內(nèi)容、目的、時(shí)間、場(chǎng)所、方法等，并涵蓋以下內(nèi)容: 1、信息的處理和信息載體的處置; 2、時(shí)間進(jìn)度的要求,包括同其他系統(tǒng)的相關(guān)性、最早的開始時(shí)間與最晚的結(jié)束時(shí)間等; 3、操作過(guò)程中發(fā)生非預(yù)期

10、的錯(cuò)誤或其他異常情況的指導(dǎo)說(shuō)明; 4、意外的操作困難或技術(shù)難題出現(xiàn)時(shí)的支持聯(lián)系人; 5、特殊輸出處置的說(shuō)明。例如:特殊設(shè)備的使用，或輸出機(jī)密內(nèi)容的管理，包括如何安全處置失敗的任務(wù)輸出的程序； 6、故障情況下系統(tǒng)的重啟和恢復(fù)程序； 7、系統(tǒng)維護(hù)的相應(yīng)程序。例如：計(jì)算機(jī)啟動(dòng)和關(guān)閉、備份、設(shè)備維護(hù)等. 規(guī)范維護(hù) 正確規(guī)范地維護(hù)設(shè)備，可以保護(hù)設(shè)備的可用性和完整性.應(yīng)按以下基本要求進(jìn)行設(shè)備維護(hù): 1、根據(jù)設(shè)備供應(yīng)商建議的維護(hù)周期和規(guī)范進(jìn)行維護(hù)； 2、設(shè)備維護(hù)人員必須經(jīng)過(guò)授權(quán)； 3、設(shè)備維護(hù)人員必須具備相應(yīng)的技術(shù)技能； 4、必須儲(chǔ)備一定數(shù)量的備品備件； 5、所有日常維護(hù)和故障處理都應(yīng)記錄在案; 6、當(dāng)設(shè)備

11、送到外部場(chǎng)所進(jìn)行維護(hù)時(shí),應(yīng)當(dāng)采取有效的控制措施防止信息泄露; 7、系統(tǒng)關(guān)鍵設(shè)備應(yīng)冗余配置；關(guān)鍵部件在達(dá)到標(biāo)稱的使用期限時(shí)，不管其是否正常工作，必須予以更換; 8、若該設(shè)備已投保,則必須遵守相關(guān)保險(xiǎn)合同的所有規(guī)定. 變更控制 網(wǎng)絡(luò)與信息系統(tǒng)的任何變更必須受到嚴(yán)格控制,包括：網(wǎng)絡(luò)結(jié)構(gòu)/局?jǐn)?shù)據(jù)/安全策略/系統(tǒng)參數(shù)的調(diào)整、硬件的增減與更換、軟件版本與補(bǔ)丁的變更、處理流程的改變等。任何變更必須經(jīng)過(guò)授權(quán)，記錄在案并接受測(cè)試，操作和應(yīng)用的變更控制程序應(yīng)盡可能相互銜接.變更控制應(yīng)至少包含下列措施： 1、識(shí)別并記錄重大變更; 2、評(píng)估此類變更的潛在影響; 3、正式的變更申請(qǐng)批準(zhǔn)流程; 4、向所有相關(guān)人員傳達(dá)變更

12、細(xì)節(jié)； 5、變更失敗的恢復(fù)措施和責(zé)任； 6、變更成功與失敗回退后的驗(yàn)證測(cè)試； 7、保留所有與變更相關(guān)信息的審核日志; 8、變更后的重新評(píng)估。 迅速響應(yīng) 建立安全事件管理責(zé)任和程序，迅速、有效和有序地對(duì)安全事件響應(yīng)。安全事件響應(yīng)管理應(yīng)按以下要求進(jìn)行: 1、建立涵蓋所有潛在的安全事件類型的響應(yīng)程序; 2、除正常的用以盡快恢復(fù)系統(tǒng)或服務(wù)的應(yīng)急方案之外,還應(yīng)包括事件通報(bào)、分析總結(jié)、彌補(bǔ)措施、檢查審計(jì)等內(nèi)容； 3、明確授權(quán)可以進(jìn)行安全事件處理的人員; 4、嚴(yán)格遵守安全事件處理流程，嚴(yán)禁隨意操作，避免更大損失; 5、在必要時(shí)，應(yīng)收集并保護(hù)相關(guān)記錄和證據(jù)。 設(shè)備分離 開發(fā)、測(cè)試與現(xiàn)網(wǎng)設(shè)備要分離以有效降低運(yùn)行

13、系統(tǒng)被破壞或非授權(quán)訪問的風(fēng)險(xiǎn)，按下列控制措施執(zhí)行: 1、前期開發(fā)調(diào)試工作與現(xiàn)網(wǎng)設(shè)備盡可能實(shí)現(xiàn)物理分離或邏輯分離，例如：獨(dú)立的實(shí)驗(yàn)環(huán)境、不同的計(jì)算機(jī)或不同的域、目錄等; 2、后期在現(xiàn)網(wǎng)進(jìn)行測(cè)試時(shí)，必須做好必要的安全防護(hù)措施，并對(duì)其進(jìn)行安全檢查. 第13條 物理與環(huán)境安全管理 場(chǎng)地標(biāo)準(zhǔn) 依據(jù)計(jì)算機(jī)場(chǎng)地安全要求、計(jì)算機(jī)場(chǎng)地技術(shù)條件標(biāo)準(zhǔn)進(jìn)行. 制度制定 對(duì)IT網(wǎng)絡(luò)的場(chǎng)地與設(shè)施進(jìn)行安全等級(jí)劃分，制定安全管 制度制定 理規(guī)定的技術(shù)措施和管理辦法。 。 安全區(qū)域保護(hù) 包括安全邊界建立、出入控制、物理保護(hù)、安全區(qū)安全區(qū)域保護(hù) 域工作規(guī)章制度建立、送貨、裝卸區(qū)與設(shè)備的隔離等. 。 設(shè)備安全 包括設(shè)備安置及物理保

14、護(hù)、電源保護(hù)、線纜安全、工作區(qū)設(shè)備安全 域外設(shè)備的安全、設(shè)備處置與重用的安全等。 存儲(chǔ)媒介安全 包括可移動(dòng)存儲(chǔ)媒介的管理、存儲(chǔ)媒介的處置、信息存儲(chǔ)媒介安全 處置程序、系統(tǒng)文檔的安全管理等. 第14條 設(shè)備安全使用管理 設(shè)備使用管理 包括指定專人負(fù)責(zé)設(shè)備的使用、建立詳細(xì)的運(yùn)行日設(shè)備使用管理 志、設(shè)備的維護(hù)和定期保養(yǎng)、設(shè)備故障處理等。 設(shè)備維修管理 包括指定專人負(fù)責(zé)設(shè)備的維修，建立滿足正常運(yùn)行的設(shè)備維修管理 最低要求的易損件備件庫(kù)，記錄設(shè)備維修對(duì)象、故障原因、排除方法、主要維修過(guò)程及其它的有關(guān)情況. 備品備件管理 指未被使用或修復(fù)后性能正常的各種設(shè)備的集中統(tǒng)備品備件管理 指未被使用或修復(fù)后性能正常

15、的各種設(shè)備的集中統(tǒng)一管理。 一管理。第15條 操作系統(tǒng)和數(shù)據(jù)庫(kù)安全管理 應(yīng)從以下幾方面對(duì)操作系統(tǒng)和數(shù)據(jù)庫(kù)進(jìn)行安全管理: 1、系統(tǒng)要求、運(yùn)行安全。 2、運(yùn)行日志安全管理。 3、備份安全管理、異常情況管理。 4、系統(tǒng)安全恢復(fù)管理。 5、操作系統(tǒng)有關(guān)安全方面的補(bǔ)丁和版本升級(jí)。 第16條 安全軟件版本管理 從以下幾方面進(jìn)行安全軟件版本管理: 1、所有安全軟件（如:安全訪問軟件、病毒防護(hù)軟件、入侵檢測(cè)軟件等）盡可能選擇經(jīng)實(shí)踐驗(yàn)證穩(wěn)定運(yùn)行的版本，不應(yīng)立即使用廠商發(fā)布的最新版本，但病毒代碼庫(kù)和系統(tǒng)漏洞庫(kù)例外。 2、在風(fēng)險(xiǎn)分析的基礎(chǔ)上,廠商發(fā)布的安全補(bǔ)丁應(yīng)進(jìn)行功能測(cè)試,并在規(guī)定期限內(nèi)投入應(yīng)用。功能測(cè)試應(yīng)確保安

16、全服務(wù)、安全機(jī)制的完善性和有效性，并符合相關(guān)規(guī)定，同時(shí)還應(yīng)確保其變化不會(huì)影響其他安全控制措施. 3、如果出現(xiàn)確實(shí)無(wú)法按時(shí)完成安全補(bǔ)丁加載的例外情況，資產(chǎn)責(zé)任人應(yīng)向安全組織匯報(bào)不能完成的原因，采取的臨時(shí)措施，及后續(xù)工作計(jì)劃，并得到安全組織的批準(zhǔn)。 4、所有安全軟件的升級(jí)必須由變更控制流程進(jìn)行控制。 第17條 系統(tǒng)文檔安全管理 系統(tǒng)文檔包含一系列敏感信息，比如應(yīng)用流程、程序、數(shù)據(jù)結(jié)構(gòu)、授權(quán)流程的說(shuō)明。應(yīng)采取下列控制程序，避免系統(tǒng)非法訪問. 1、安全保存系統(tǒng)文檔. 2、將系統(tǒng)文檔的訪問列表控制在最小范圍,并由應(yīng)用責(zé)任人授權(quán)。 3、有效的保護(hù)保存在公共網(wǎng)絡(luò)的系統(tǒng)文檔或者通過(guò)公共網(wǎng)絡(luò)提供的系統(tǒng)文檔。 第

17、18條 審計(jì)管理 安全審計(jì)要保持獨(dú)立性，審計(jì)方與被審計(jì)方應(yīng)保持相對(duì)獨(dú)立，即不能自己審計(jì)自己的工作，以確保審計(jì)結(jié)果的公正可靠。 安全審計(jì)包含但不限于如下內(nèi)容： 1、審計(jì)系統(tǒng)安全日志內(nèi)容。 2、審計(jì)相關(guān)網(wǎng)絡(luò)設(shè)備日志。 3、審計(jì)日常報(bào)警信息。 4、審計(jì)網(wǎng)絡(luò)統(tǒng)計(jì)數(shù)據(jù). 第二節(jié) 運(yùn)行維護(hù)安全規(guī)定 第二節(jié)運(yùn)行維護(hù)安全規(guī)定第19條 訪問控制 控制措施 采用安全域之間的隔離與訪問控制、用戶分級(jí)管理及嚴(yán)控制措施 格的身份鑒別、有效的訪問控制手段 、對(duì)各系統(tǒng)的權(quán)限和口令進(jìn)行有效的管理等方式進(jìn)行. 權(quán)限管理 依據(jù)特權(quán)分散原則和最小授權(quán)原則。 權(quán)限管理 身份鑒別 使用用戶名/口令、硬件令牌/生物識(shí)別等方式。 身份鑒別

18、 第20條 網(wǎng)絡(luò)攻擊防范 應(yīng)符合以下要求: 1、履行國(guó)家相關(guān)部門在防范網(wǎng)絡(luò)攻擊方面的相關(guān)法律和規(guī)定； 2、使用獲得國(guó)家計(jì)算機(jī)信息系統(tǒng)安全專用產(chǎn)品銷售許可證的網(wǎng)絡(luò)攻擊防范產(chǎn)品； 3、網(wǎng)絡(luò)設(shè)備和應(yīng)用系統(tǒng)在正常運(yùn)行階段，應(yīng)關(guān)閉與業(yè)務(wù)無(wú)關(guān)的服務(wù)和端口，防止非法訪問 ； 4、防止非授權(quán)信息的通過(guò); 5、進(jìn)行網(wǎng)絡(luò)實(shí)時(shí)入侵檢測(cè)； 6、網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估掃描; 7、采用有效手段保證網(wǎng)絡(luò)上敏感信息的傳輸安全. 第21條 病毒防范 應(yīng)符合以下要求: 1、相關(guān)設(shè)備上禁止安裝、運(yùn)行與業(yè)務(wù)無(wú)關(guān)的軟件，防止通過(guò)無(wú)關(guān)軟件和操作感染病毒； 2、對(duì)相關(guān)設(shè)備進(jìn)行病毒檢測(cè)，發(fā)現(xiàn)病毒立即匯報(bào)有關(guān)部門，并及時(shí)處理; 3、重要的主機(jī)或網(wǎng)絡(luò)進(jìn)行

19、實(shí)時(shí)病毒監(jiān)測(cè)，發(fā)現(xiàn)病毒立即匯報(bào)有關(guān)部門,及時(shí)處理； 4、使用國(guó)家主管部門認(rèn)證通過(guò)的病毒防范系統(tǒng)； 5、運(yùn)行維護(hù)人員應(yīng)增強(qiáng)病毒防范意識(shí)，配合安全管理人員做好病毒防范工作. 第22條 審計(jì)跟蹤 應(yīng)符合以下要求： 1、審計(jì)跟蹤將對(duì)各系統(tǒng)相關(guān)設(shè)備的操作進(jìn)行記錄，防止對(duì)相關(guān)設(shè)備的非法使用; 2、相關(guān)設(shè)備、系統(tǒng)軟件或應(yīng)用軟件都應(yīng)具有并打開審計(jì)功能； 3、及時(shí)對(duì)審計(jì)記錄進(jìn)行審查和分析，發(fā)現(xiàn)異常情況立即匯報(bào)相關(guān)主管人員； 4、相關(guān)設(shè)備和主機(jī)的審計(jì)記錄應(yīng)符合相應(yīng)備份原則； 5、審計(jì)記錄不能被未授權(quán)用戶修改或刪除； 6、審計(jì)所包括的事件內(nèi)容及信息請(qǐng)參閱相關(guān)文檔。 第23條 數(shù)據(jù)安全 1、重要的系統(tǒng)數(shù)據(jù)應(yīng)實(shí)施嚴(yán)格的

20、安全保密管理。 2、對(duì)系統(tǒng)數(shù)據(jù)的操作應(yīng)經(jīng)過(guò)嚴(yán)格的身份鑒別與權(quán)限控制,防止非授權(quán)操作。 3、采取有效措施防止系統(tǒng)數(shù)據(jù)的非法生成、變更、泄漏、丟失與破壞。 4、系統(tǒng)數(shù)據(jù)應(yīng)進(jìn)行核對(duì)審查，防止使用過(guò)程中產(chǎn)生誤操作或被非法篡改。 5、系統(tǒng)數(shù)據(jù)應(yīng)有完備的備份和恢復(fù)流程。 6、對(duì)系統(tǒng)數(shù)據(jù)應(yīng)實(shí)行專人管理。 7、重要的業(yè)務(wù)數(shù)據(jù)應(yīng)實(shí)施嚴(yán)格的安全保密管理。 8、業(yè)務(wù)數(shù)據(jù)應(yīng)進(jìn)行核對(duì)審查，防止使用過(guò)程中產(chǎn)生誤操作或被非法篡改 9、業(yè)務(wù)數(shù)據(jù)應(yīng)及時(shí)、完整、真實(shí)、準(zhǔn)確地轉(zhuǎn)儲(chǔ)到不可更改的介質(zhì)上,并規(guī)定保存期限. 10、業(yè)務(wù)數(shù)據(jù)應(yīng)有完備的備份和恢復(fù)流程. 11、對(duì)業(yè)務(wù)數(shù)據(jù)應(yīng)實(shí)行專人管理. 12、保密數(shù)據(jù)應(yīng)僅用于明確規(guī)定的目的，未

21、經(jīng)批準(zhǔn)不得它用. 13、保密數(shù)據(jù)的多個(gè)副本應(yīng)編號(hào)保存,防止丟失;保密數(shù)據(jù)以電子形式存在時(shí),應(yīng)盡量避免以明碼形式存儲(chǔ)和傳輸 14、機(jī)密資料不得抄錄影印或?qū)ν庑孤?15、無(wú)正當(dāng)理由和有關(guān)批準(zhǔn)手續(xù)，不得查閱用戶資料。經(jīng)正式批件查閱數(shù)據(jù)時(shí)應(yīng)登記，并由查閱人簽字. 16、各級(jí)有關(guān)部門應(yīng)根據(jù)數(shù)據(jù)的保密規(guī)定和用途,確定各類保密數(shù)據(jù)使用人員的存取權(quán)限、存取方式和審批手續(xù)。 17、計(jì)算機(jī)終端及存儲(chǔ)設(shè)備故障送修時(shí)注意數(shù)據(jù)和信息安全,確定硬盤內(nèi)沒有保密資料，或拆卸硬盤等存儲(chǔ)設(shè)備后再將終端送修。 第三節(jié) 安全事件的處理 第三節(jié) 安全事件的處理 第24條 安全事件定義 非授權(quán)訪問、信息泄密 、拒絕服務(wù) 、系統(tǒng)性能嚴(yán)重下

22、降 、非法登錄者 、計(jì)算機(jī)病毒 、強(qiáng)行嘗試登錄 、不明的新用戶賬號(hào) 、警告信、訪問權(quán)限被修改 、安全漏洞 、其它的入侵行為。 第25條 安全事件分類 有物理安全事件和邏輯安全事件。 第26條 安全事件等級(jí) 分為安全事故、嚴(yán)重安全事件和一般安全事件。 第27條 安全事件處理流程 安全管理人員需根據(jù)具體情況及時(shí)盡采取相應(yīng)措施，恢復(fù)網(wǎng)絡(luò)系統(tǒng)的完整性和可用性，盡可能清除安全事件造成的影響，修補(bǔ)存在的安全漏洞。涉及犯罪的安全事件，上報(bào)相關(guān)信息至國(guó)家公安部門處理。 安全事件處理流程圖: 安全事件處理流程圖： 出 現(xiàn) 安 全 事 件 判定安全事件等級(jí) 填寫安全事件報(bào)表（見附錄3) 否 是否是安全事故 或嚴(yán)重

23、安全事件 是 事件報(bào)表上報(bào)上級(jí)安全組織 采取相應(yīng)安全處理措施 否 是否處理完畢 完畢 是 向上級(jí)組織提交安全處理報(bào)告報(bào)告 上級(jí)組織 通報(bào)典型安全事件 第四節(jié) 應(yīng)急計(jì)劃 第四節(jié) 應(yīng)急計(jì)劃 第28條 應(yīng)急計(jì)劃指在IT網(wǎng)絡(luò)系統(tǒng)崩潰或停止運(yùn)行時(shí)，為使系統(tǒng)恢復(fù)正常運(yùn)行狀態(tài)而事先制定的各種方案和措施 第29條 應(yīng)急計(jì)劃應(yīng)滿足規(guī)范化、制度化、公開化、責(zé)任化的要求. 第30條 應(yīng)急計(jì)劃的內(nèi)容 1、準(zhǔn)備:包括物質(zhì)準(zhǔn)備、人員準(zhǔn)備、組織準(zhǔn)備等內(nèi)容。 2、演練:通過(guò)網(wǎng)絡(luò)實(shí)驗(yàn)進(jìn)行各系統(tǒng)應(yīng)急系統(tǒng)的提前操作和演練. 3、實(shí)施：遭遇緊急事件，啟動(dòng)各系統(tǒng)的應(yīng)急計(jì)劃。 4、系統(tǒng)實(shí)施恢復(fù)方案:啟動(dòng)備份通信設(shè)備、線路及重要備份數(shù)據(jù)，

24、保證各系統(tǒng)的業(yè)務(wù)系統(tǒng)恢復(fù)正常運(yùn)行。 第四章 安全技術(shù)要求 第四章 安全技術(shù)要求 第一節(jié) 安全防范系統(tǒng) 第一節(jié) 安全防范系統(tǒng) 第31條 安全防范系統(tǒng)能夠?qū)W(wǎng)絡(luò)上傳輸?shù)男畔⑦M(jìn)行檢測(cè)，防止非法連接或服務(wù).典型的安全防范系統(tǒng)有防火墻系統(tǒng)等. 第32條 安全防范系統(tǒng)應(yīng)遵循以下原則： 1、使用國(guó)家主管部門認(rèn)可的安全防范產(chǎn)品。 2、盡量減小安全防范系統(tǒng)對(duì)網(wǎng)絡(luò)性能造成的影響. 3、根據(jù)業(yè)務(wù)系統(tǒng)提供的服務(wù)情況和網(wǎng)絡(luò)安全策略確定安全防范系統(tǒng)的配置. 4、根據(jù)網(wǎng)絡(luò)規(guī)模、網(wǎng)絡(luò)拓?fù)?、用戶使用?quán)限、業(yè)務(wù)系統(tǒng)提供的服務(wù)等的變動(dòng)情況及時(shí)調(diào)整安全防范系統(tǒng)的配置方式和配置策略。 5、做好安全防范系統(tǒng)配置文件的備份工作 6、應(yīng)檢查安全防范系統(tǒng)的日志以判斷網(wǎng)絡(luò)中是否存在不安全因素 第二節(jié) 安全掃描系統(tǒng) 第二節(jié) 安全掃描系統(tǒng) 第33條 安全掃描系統(tǒng)可以對(duì)系統(tǒng)中的安全漏洞進(jìn)行掃