桂林師范高等?？茖W(xué)校計算機信息網(wǎng)絡(luò)安全管理制度 - 桂林師范高等.doc

桂林師范高等?？茖W(xué)校計算機信息網(wǎng)絡(luò)安全管理制度 一、引 言為了國家政治、經(jīng)濟和社會的穩(wěn)定，規(guī)范互聯(lián)網(wǎng)信息服務(wù)活動，促進互聯(lián)網(wǎng)信息服務(wù)健康有序發(fā)展，使國際互聯(lián)網(wǎng)為我校的科研單位和黨政管理部門以及師生員工服務(wù)，在本校計算機網(wǎng)絡(luò)安全領(lǐng)導(dǎo)小組的指導(dǎo)下，制定本辦法。二、安全組織與管理（一）安全機構(gòu)1單位最高領(lǐng)導(dǎo)必須主管計算機安全工作。2建立安全組織：21安全組織由單位主要領(lǐng)導(dǎo)人領(lǐng)導(dǎo)，不能隸屬于計算機運行或應(yīng)用部門。22安全組織由管理、系統(tǒng)分析、軟件、硬件、保衛(wèi)、審計、人事、通信等有關(guān)方面人員組成。 23安全負責(zé)人負責(zé)安全組織的具體工作。 24安全組織的任務(wù)是根據(jù)本單位的實際情況定期做風(fēng)險分析，提出相應(yīng)的對策并監(jiān)督實施。3安全負責(zé)人制：3I確定安全負責(zé)人對本單位的計算機安全負全部責(zé)任。32只有安全負責(zé)人或其指定的專人才有權(quán)存取和修改系統(tǒng)授權(quán)表及系統(tǒng)特權(quán)口令。33安全負責(zé)人要審閱每天的違章報告，控制臺操作記錄、系統(tǒng)日志、系統(tǒng)報警記錄、系統(tǒng)活動統(tǒng)計、警衛(wèi)報告、加班報表及其他與安全有關(guān)的材料。34安全負責(zé)人負責(zé)制定安全培訓(xùn)計劃。35在信義校區(qū)和甲山校區(qū)分設(shè)地區(qū)安全負責(zé)人，地區(qū)安全負責(zé)人接受中心安全負責(zé)人的領(lǐng)導(dǎo)。36各部門發(fā)現(xiàn)違章行為，應(yīng)向中心安全負責(zé)人報告，系統(tǒng)中發(fā)現(xiàn)違章行為要通知各地有關(guān)安全負責(zé)人。 4計算機系統(tǒng)的建設(shè)應(yīng)與計算機安全工作同步進行。（二）保密制度和保密監(jiān)督1 保密制度1 根據(jù)國家保密局發(fā)布的計算機信息系統(tǒng)國際聯(lián)網(wǎng)保密管理規(guī)定以及教育科研網(wǎng)CERNET關(guān)于加強網(wǎng)絡(luò)安全管理的通知精神，結(jié)合我校實際，特制定本保密制度。2 未經(jīng)領(lǐng)導(dǎo)批準(zhǔn)，不允許利用計算機復(fù)制、存儲各類保密文件；經(jīng)批準(zhǔn)后存儲的保密文件、磁盤等視同機要文件保管。 3 嚴禁利用計算機網(wǎng)絡(luò)傳遞保密文件。 4 重要的程序和數(shù)據(jù)文件要有備份。 5 具有保密性質(zhì)的磁盤要妥善保管，未經(jīng)批準(zhǔn)不得向他人提供查詢或拷貝。 7 未經(jīng)領(lǐng)導(dǎo)批準(zhǔn)，操作人員不得私自給任何外單位或私人復(fù)制、打印、拷貝帶秘級的文件或材料。 8 計算機網(wǎng)絡(luò)入網(wǎng)人員應(yīng)遵守網(wǎng)絡(luò)中心規(guī)定，攜帶身份證、工作證（學(xué)生證）到網(wǎng)絡(luò)中心辦理用戶備案手續(xù)。 9 計算機網(wǎng)絡(luò)帳戶不得轉(zhuǎn)借、轉(zhuǎn)讓使用。 10 發(fā)現(xiàn)反動、黃色、散布謠言等不健康內(nèi)容的信息，須在24小時之內(nèi)上報校保衛(wèi)處和公安系統(tǒng)。故意瀏覽不健康的網(wǎng)站和內(nèi)容，一經(jīng)發(fā)現(xiàn)取消上網(wǎng)資格，并交有關(guān)部門處理。 11 需在網(wǎng)絡(luò)上發(fā)布信息的單位和個人，須由所在單位領(lǐng)導(dǎo)審核、簽字，報校長辦公室主任批準(zhǔn)后，由網(wǎng)絡(luò)中心負責(zé)上網(wǎng)。未經(jīng)批準(zhǔn)私自上網(wǎng)者，責(zé)任自負，所在單位領(lǐng)導(dǎo)負連帶責(zé)任。 2 保密監(jiān)督1 各級保密工作部門應(yīng)當(dāng)有相應(yīng)機構(gòu)或人員負責(zé)計算機信息系統(tǒng)國際聯(lián)網(wǎng)的保密管理工作，應(yīng)當(dāng)督促互聯(lián)單位、接入單位及用戶建立健全信息保密管理制度，監(jiān)督、檢查國際聯(lián)網(wǎng)保密管理制度規(guī)定的執(zhí)行情況。對于沒有建立信息保密管理制度或責(zé)任不明、措施不力、管理混亂，存在明顯威脅國家秘密信息安全隱患的部門或單位，保密工作部門應(yīng)責(zé)令其進行整改，整改后仍不符合保密要求的，應(yīng)當(dāng)督促其停止國際聯(lián)網(wǎng)。2 各級保密工作部門，應(yīng)當(dāng)加強計算機信息系統(tǒng)國際聯(lián)網(wǎng)的保密檢查，依法查處各種泄密行為。3 互聯(lián)單位、接入單位和用戶，應(yīng)當(dāng)接受并配合保密工作部門實施的保密監(jiān)督檢查，協(xié)助保密工作部門查處利用國際聯(lián)網(wǎng)泄露國家秘密的違法行為，并根據(jù)保密工作部門的要求，刪除網(wǎng)上涉及國家秘密的信息。4 互聯(lián)單位、接入單位和用戶，發(fā)現(xiàn)國家秘密泄露或可能泄露情況時，應(yīng)當(dāng)立即向保密工作部門或機構(gòu)報告。 5 各級保密工作部門和機構(gòu)接到舉報或檢查發(fā)現(xiàn)網(wǎng)上有泄密情況時，應(yīng)當(dāng)立即組織查處，并督促有關(guān)部門及時采取補救措施，監(jiān)督有關(guān)單位限期刪除網(wǎng)上涉及國家秘密的信息。（三）人事管理1人員審查：根據(jù)接觸計算機系統(tǒng)的密級確定審查標(biāo)準(zhǔn)。如：處理機要信息的系統(tǒng)，接觸系統(tǒng)的所有工作人員必須按機要人員的標(biāo)準(zhǔn)進行審查。2關(guān)鍵崗位的人選。如：系統(tǒng)分析員，不僅要有嚴格的政審，還要考慮其現(xiàn)實表現(xiàn)、工作態(tài)度、道德修養(yǎng)和業(yè)務(wù)能力等方面。盡可能保證這部分人員安全可靠。3所有工作人員除進行業(yè)務(wù)培訓(xùn)外，還必須進行相應(yīng)的計算機安全課程培訓(xùn)，才能進入系統(tǒng)工作。 4人事部門應(yīng)定期對系統(tǒng)所有工作人員從政治思想、業(yè)務(wù)水平、工作表現(xiàn)等方面進行考核，對不適于接觸信息系統(tǒng)的人員要適時調(diào)離。5對調(diào)離人員，特別是在不情愿的情況下被調(diào)走的人員，必須認真辦理手續(xù)。除人事手續(xù)外，必須進行調(diào)離談話，申明其調(diào)離后的保密義務(wù)，收回所有鑰匙及證件，退還全部技術(shù)手冊及有關(guān)材料。系統(tǒng)必須更換口令和機要鎖。在調(diào)離決定通知本人的同時，必須立即進行上述工作，不得拖延。（四）安全管理1根據(jù)系統(tǒng)所處理數(shù)據(jù)的秘密性和重要性確定安全等級，井據(jù)此采用有關(guān)規(guī)范和制定相應(yīng)管理制度。2安全等級分為保密等級和可靠性等級兩種，系統(tǒng)的保密等級與可靠性等級可以不同。21保密等級按有關(guān)規(guī)定劃為絕密、機密、秘密。22可靠性等級可分為三級。對可靠性要求最高的為A級，系統(tǒng)運行所要求的最低限度可靠性為C級，介于中間的為B級。3用于重要部門的計算機系統(tǒng)投入運行前，向公安機關(guān)的計算機監(jiān)察部門進行安全檢查。4必須制定有關(guān)電源設(shè)備、空凋設(shè)備，防水防盜消防等防范設(shè)備的管理規(guī)章制度。確定專人負責(zé)設(shè)備維護和制度實施。5根據(jù)系統(tǒng)的重要程度，設(shè)立監(jiān)視系統(tǒng)，分別監(jiān)視設(shè)備的運行情況或工作人員及用戶的操作情況，或安裝自動錄象等記錄裝置。對這些設(shè)備必須制定管理制度，并確定負責(zé)人。6 制定嚴格的計算中心出入管理制度：1計算機中心要實行分區(qū)控制，限制工作人員出入與己無關(guān)的區(qū)域。2向所有工作人員，包括來自外單位的人員，發(fā)行帶有照片的身份證件，并定期進行檢查或更換。3 網(wǎng)絡(luò)管理人員不能帶其他無關(guān)人員到網(wǎng)絡(luò)中心。4短期工作人員或維修人員的證件，應(yīng)注明有效日期，屆時收回。5參觀人員必須由主管部門辦理參觀手續(xù)，參觀時必須有專人陪同。6因系統(tǒng)維修或其它原因需外國籍人進入機房時，必須始終有人陪同。7進出口的鑰匙應(yīng)保存在約定的場所，由專人管理，并明確其責(zé)任。記錄最初人室者及最后離室者和鑰匙交換時間。8 當(dāng)發(fā)生網(wǎng)絡(luò)中心鑰匙丟失時，必須在12小時內(nèi)向校園網(wǎng)絡(luò)安全領(lǐng)導(dǎo)小組匯報，在24小時內(nèi)更換門鎖。9在無警衛(wèi)的場合，必須保證室內(nèi)無人時，關(guān)鎖所有出入口。10禁止攜帶與上機工作無關(guān)的物品進入機房。11對于帶進和帶出的物品，如有疑問，進行查驗。 7制定嚴格的技術(shù)文件管理制度。1計算機系統(tǒng)的技術(shù)文件如說明書、手冊等應(yīng)妥善保存，要有嚴格的借閱手續(xù)，不得損壞及丟失。2必須備有關(guān)計算機系統(tǒng)操作手冊規(guī)定的文件。3常備計算機系統(tǒng)出現(xiàn)故障時的替代措施及恢復(fù)順序所規(guī)定的文件。8制定嚴格的操作規(guī)程：I系統(tǒng)操作人員應(yīng)為專職，操作時要有兩名操作人員在場。 2對系統(tǒng)開發(fā)人員和系統(tǒng)操作人員要進行職責(zé)分離。9制定系統(tǒng)運行記錄編寫制度，系統(tǒng)運行記錄包括系統(tǒng)名稱、姓名、操作時間、處理業(yè)務(wù)名稱、故障記錄及處理情況等。10制定完備的系統(tǒng)維護制度：1對系統(tǒng)進行維護時，應(yīng)采取數(shù)據(jù)保護措施。如：數(shù)據(jù)轉(zhuǎn)貯、抹除、卸下磁盤磁帶，維護時安全人員必須在場等。運程維護時，應(yīng)事先通知。2對系統(tǒng)進行預(yù)防維修或故障維修時，必須記錄故障原因、維修對象、維修內(nèi)容和維修前后狀況等。3必須建立完整的維護記錄檔案。11制定危險品管理制度。13定期進行安全設(shè)備維護及使用訓(xùn)練，保證每個工作人員都能熟練地操作有關(guān)的安全設(shè)備。 三、安全技術(shù)措施（一） 實體安全1設(shè)計或改建計算機機房時必須符合下列標(biāo)準(zhǔn)：11計算機場地技術(shù)要求(GB2887-87)。12計算站場地安全要求國家標(biāo)準(zhǔn)(待公布)。2計算中心機房建筑和結(jié)構(gòu)必須具備以下條件：21機房為專用建筑。22機房設(shè)置在電梯或樓梯不能直接進入的場所。23機房與外部人員頻繁出入的場所隔離。24機房周圍設(shè)有圍墻或柵欄等防止非法進入的設(shè)施。25建筑物周圍有足夠照度的照明設(shè)施，以防夜間非法侵入。 26外部容易接近的窗口采取防范措施。如鋼化玻璃、嵌網(wǎng)玻璃及卷簾和鐵窗。無人值守時應(yīng)有自動報警設(shè)備。27在合適的位置上開設(shè)應(yīng)急出口，作為避險通道或應(yīng)急搬運通道。28機房內(nèi)部設(shè)計龐便于出入控制和分區(qū)控制。3重要部門的計算機中心外部不允許設(shè)置標(biāo)明系統(tǒng)及有關(guān)設(shè)備所在位置的標(biāo)志。4安全設(shè)備除符合計算站場地安全要求標(biāo)準(zhǔn)外，還要具備以下條件：41機房進出口設(shè)置應(yīng)急電話。42各房間設(shè)置報警喇叭。以免由于隔音及空調(diào)的原因而聽不到告警通知。43機房內(nèi)用于動力、照明的供電線路與計算機系統(tǒng)的供電線路分開。44機房內(nèi)不同電壓的供電系統(tǒng)安裝互不兼容的插座。45設(shè)置溫、濕度自動記錄儀及溫、濕度報警設(shè)備。5主機及外設(shè)的電磁干擾輻射必須符合國家標(biāo)準(zhǔn)或軍隊標(biāo)準(zhǔn)的要求，外國產(chǎn)品則必須符合生產(chǎn)國的標(biāo)準(zhǔn)，如FCC或VDE等標(biāo)準(zhǔn)。6機要信息處理系統(tǒng)中要考慮防止電磁波信息輻射被非法截收。61采取區(qū)域控制的辦法，即將可能截獲輻射信息的區(qū)域控制起來，不許外部人員接近。62采用機房屏蔽的方法，使得信息不能輻射出機房。63采用低輻射設(shè)備。64采取其它技術(shù)，使得難以從被截獲的輻射信號中分析出有效信息。65向公安部有關(guān)部門咨詢關(guān)于屏蔽技術(shù)的具體要求和技術(shù)指標(biāo)。7磁媒休管理：71磁盤、磁帶必須按照系統(tǒng)管理員及制造廠確定的操作規(guī)程安裝。72傳遞過程的數(shù)據(jù)磁盤、磁帶應(yīng)裝在金屬盒中。73磁帶在使用前在機房經(jīng)過二十四小時溫度適應(yīng)。74磁帶、磁盤放在距鋼筋房柱或類似結(jié)構(gòu)物十厘米以上處，以防雷電經(jīng)鋼筋傳播時產(chǎn)生的磁場損壞媒體上的信息。75存有機要信息的磁帶清除時必須進行消磁，不得只進行磁帶初始化。 76所有入庫的盤帶目錄清單必須具有統(tǒng)一格式，如文件所有者、卷系列號、文件名及其描述、作業(yè)或項目編號、建立日期及保存期限。77盤帶出入庫必須有核準(zhǔn)手續(xù)并有完備記錄。78定期轉(zhuǎn)貯長期保存的磁帶。79存有記錄機要信息磁帶的庫房，必須符合相應(yīng)密級的文件保存和管理條例的要求，不得與一般數(shù)據(jù)磁帶混合存放。710重要的數(shù)據(jù)文件必須多份拷貝異地存放。711磁帶庫必須有專人負責(zé)管理。（二）軟件安全1系統(tǒng)軟件必須具有以下安全措施：11操作系統(tǒng)要有較完善的存取控制功能，以防止用戶越權(quán)存取信息。12操作系統(tǒng)要有良好的存貯保護功能，以防止用戶作業(yè)在指定范圍以外的存貯區(qū)域進行讀寫。13操作系統(tǒng)要有較完善的管理功能，以記錄系統(tǒng)的運行情況，監(jiān)測對數(shù)據(jù)文件的存取。14維護人員進行維護時，能處于系統(tǒng)安全控制之下。15操作系統(tǒng)發(fā)生故障時，不會暴露口令，授權(quán)表等重要信息。16操作系統(tǒng)在作業(yè)正常或非正常結(jié)束以后，能清除分配給該作業(yè)的全部臨時工作區(qū)域。17系統(tǒng)能像保護信息的原件一樣，精確地保護信息的拷貝。2應(yīng)用軟件：21應(yīng)用程序必須考慮充分利用系統(tǒng)所提供的安全控制功能。22應(yīng)用程序在保證完成業(yè)務(wù)處理要求的同時，在設(shè)計時增加必要的安全控制功能。23程序員與操作員職責(zé)分離。24安全人員應(yīng)定期用存檔的源程序與現(xiàn)行運行程序進行對照，以有效地防止對程序的非法修改。3數(shù)據(jù)庫：31數(shù)據(jù)庫必須有嚴格的存取控制措施，數(shù)據(jù)庫管理員采取層次、分區(qū)、表格等各種授權(quán)方式，控制用戶對數(shù)據(jù)庫的存取權(quán)限。32通過實體安全、備份和恢復(fù)等多種技術(shù)手段來保護數(shù)據(jù)庫的完整性。 33對輸人數(shù)據(jù)進行邏輯檢驗，數(shù)據(jù)庫更新時保證數(shù)據(jù)的準(zhǔn)確性。 34數(shù)據(jù)庫管理員實時檢查數(shù)據(jù)庫的邏輯結(jié)構(gòu)、數(shù)據(jù)元素的關(guān)聯(lián)及數(shù)據(jù)內(nèi)容。35數(shù)據(jù)庫管理系統(tǒng)應(yīng)具有檢查跟蹤能力，可以記錄數(shù)據(jù)庫查詢、密碼利用率、終端動作、系統(tǒng)利用率、錯誤情況及重新啟動和恢復(fù)等。36庫管理系統(tǒng)應(yīng)能檢測出涉及事務(wù)處理內(nèi)容及處理格式方面的錯誤，并予以記錄。37必須有可靠的日志記錄。對數(shù)據(jù)完整性要求較高的場合要建立雙副本日志，分別存于磁盤和磁帶上以保證意外時的數(shù)據(jù)恢復(fù)。 38應(yīng)建立定期轉(zhuǎn)貯制度，并根據(jù)實際情況決定轉(zhuǎn)貯頻度。39數(shù)據(jù)庫軟件應(yīng)具備從各種人為故障、軟件故障和硬件故障中進行恢復(fù)的能力。310數(shù)據(jù)庫管理軟件應(yīng)能確定是否由于系統(tǒng)故障而引起了文件或數(shù)據(jù)的丟失。311重要的系統(tǒng)應(yīng)采取安全控制實時終端，專門處理各類報警信息。312對于從日志或?qū)崟r終端上查獲的全部非法操作都應(yīng)加以分析，找出原因及對策。4軟件開發(fā)：41軟件開發(fā)過程應(yīng)按照下述標(biāo)準(zhǔn)的要求進行：(l)軟件工程術(shù)語國家標(biāo)準(zhǔn)(待公布)。(2)軟件開發(fā)中的產(chǎn)品文件編制指南國家標(biāo)準(zhǔn)(待公布)。(3)軟件需求說明規(guī)范國家標(biāo)準(zhǔn)(待公布)。(4)軟件開發(fā)規(guī)范國家標(biāo)準(zhǔn)(待公布)。(5)軟件測試規(guī)范國家標(biāo)準(zhǔn)(待公布)。42產(chǎn)品鑒定驗收：(l)鑒定驗收是軟件產(chǎn)品化的關(guān)鍵環(huán)節(jié)，必須給予足夠的重視。提交鑒定的軟件產(chǎn)品，應(yīng)具有上述標(biāo)準(zhǔn)中列出的各種產(chǎn)品文件。(2)將鑒定會上提供的上述文件裝訂成冊，編好頁碼目錄，作為技術(shù)檔案，妥善保存。(3)未經(jīng)鑒定驗收的軟件，不得投入運行。(4)購買的軟件應(yīng)附有完整的技術(shù)文件。5軟件維護與管理：51較重要的軟件產(chǎn)品，其技術(shù)檔案應(yīng)復(fù)制副本，正本存檔，不準(zhǔn)外借。52軟件產(chǎn)品除建立檔案文件外，其源文件應(yīng)記在磁盤或磁帶上，并編寫詳細目錄，以便長期保存。53重要的軟件，均應(yīng)復(fù)制兩份，一份作為主拷貝存檔，一份作為備份。54對系統(tǒng)軟件的維護和二次開發(fā)要慎重，必須事先對系統(tǒng)有足夠的了解。55對軟件進行維護和二次開發(fā)前，必須寫出書面申請報告，經(jīng)有關(guān)領(lǐng)導(dǎo)批準(zhǔn)，方可進行。56在維護和二次開發(fā)中，必須有詳細的規(guī)范化的書面記載，主要記載修補部位，修改內(nèi)容，增加功能，修改人，修改日期等，以便查找或別人接替。57二次開發(fā)只能在系統(tǒng)軟件的副本上進行。58對軟件的任何修改都必須有文字記載，并與修改前后的軟件副本一起并人軟件技術(shù)檔案，妥善保存。59對軟件的修改必須保證不降低系統(tǒng)的安全性。（三）輸入輸出控制。1明確系統(tǒng)各環(huán)節(jié)工作人員的責(zé)任：11系統(tǒng)各程序設(shè)計人員與操作人員必須分離。12重要事務(wù)處理項目，必須規(guī)定由合法文件的法定人提交。13修改文件必須規(guī)定批準(zhǔn)和執(zhí)行的手續(xù)。14工作期間至少應(yīng)有兩人在機房值班，以防止非法使用計算機。15保存控制臺打印記錄。2制定統(tǒng)一的數(shù)據(jù)格式并盡可能使用統(tǒng)一編碼。3操作控制：31對操作人員制定有關(guān)處理輸人數(shù)據(jù)的操作制度和規(guī)程。32必須建立一個整齊、清潔、安靜符合生理衛(wèi)生要求的操作環(huán)境，以減少操作失誤。33嚴格規(guī)定媒體管理制度，以防止媒體中數(shù)據(jù)的破壞和損失。如：磁帶在保管、傳遞及安裝時的要求，卡片、磁盤、膠片、紙帶的管理規(guī)程等。34向操作人員提供完整的操作指南，以便掌握有關(guān)作業(yè)安排，作業(yè)優(yōu)先級分配，建立和控制作業(yè)，規(guī)定場所安全措施和作業(yè)運行等的合理規(guī)程。 35需要保存的數(shù)據(jù)文件必須有完備的記錄，存人符合要求的媒體庫中。36充分利用作業(yè)統(tǒng)計功能提供的信息，如：調(diào)查完成某個特定功能所需的時間，比較實際機器工作時間與預(yù)定時間的差異，判別實際的作業(yè)資源需求所預(yù)定需求的差異。37處理機要數(shù)據(jù)的終端室各終端，采用屏風(fēng)隔離，以防各用戶互看屏幕內(nèi)容。4數(shù)據(jù)在投入使用前，必須確保其準(zhǔn)確可靠，采用各種方法進行檢驗。如：標(biāo)號檢查、順序檢查、極限校驗、運算驗證、記錄數(shù)核對等。5輸出控制：51數(shù)據(jù)處理部門的輸出控制應(yīng)有專人負責(zé)。52輸出文件必須有可讀的密級標(biāo)志，如：秘密、機密、絕密等宇樣或顏色標(biāo)志。 53等級標(biāo)志必須與相應(yīng)文件在整個處理環(huán)節(jié)中同時生存。54輸出文件在發(fā)到用戶之前，應(yīng)由數(shù)據(jù)處理部門進行審核。55輸出文件的發(fā)放應(yīng)有完備手續(xù)。6可以設(shè)置獨立于用戶和數(shù)據(jù)處理部門兩者的管理小組，以監(jiān)督和指導(dǎo)進入或離開數(shù)據(jù)處理中心的數(shù)據(jù)。（四）聯(lián)機處理1聯(lián)機系統(tǒng)應(yīng)該確定系統(tǒng)安全管理員，對系統(tǒng)安全負責(zé)。2用戶識別：21必須充分利用系統(tǒng)提供的技術(shù)手段。如：用戶授權(quán)表，存取控制矩陣等。(l)由于計算機識別用戶的最常用的方法是口令，所以必須對口令的產(chǎn)生、登記、更換期限實行嚴格管理。(2)研究和采用多種口令密碼方式，如：單一密碼、可變或隨機密碼、函數(shù)型密碼等。(3)口令應(yīng)加密存貯。(4)系統(tǒng)能跟蹤各種非法請求并記錄某些文件的使用情況。(5)根據(jù)系統(tǒng)的位置，若錯誤的口令被連續(xù)地使用若干次后，系統(tǒng)應(yīng)采取相應(yīng)措施，如封鎖那個終端，記錄所用終端及用戶名，并立即報警。(6)教育用戶必須遵循口令的使用規(guī)則。3需要保護的數(shù)據(jù)和軟件必須加有標(biāo)志，在整個生存期，標(biāo)志應(yīng)和數(shù)據(jù)或軟件結(jié)合在一起，不能丟失。特別是在復(fù)制、轉(zhuǎn)移、輸出打印時，不能丟失。4計算機通信線路安全問題：4I通信線路必須遠離強電磁場輻射源，埋于地下或采用金屬套管。42定期測試信號強度，以確定是否有非法裝置接人線路。43定期檢查接線盒及其他易被人接近的線路部位。5加密：51傳輸需要保密的數(shù)據(jù)，應(yīng)該加密保護。52需長期保存的機要文件，應(yīng)加密后保存。53系統(tǒng)應(yīng)建立完善的密鑰產(chǎn)生、管理和分配系統(tǒng)。54所有數(shù)據(jù)應(yīng)由數(shù)據(jù)主管部門負責(zé)劃分密級，密級確定后交數(shù)據(jù)處理部門進行分類處理。55根據(jù)數(shù)據(jù)的密級和保密時效的長短，選擇相應(yīng)強度的密碼算法，既不能強度太高，過多增加系統(tǒng)開銷，又不要強度太低，起不到保密效果。56不要擴大加密的范圍。對于可加密可不加密的數(shù)據(jù)，不要加密。57對于密鑰管理人員要盡可能地縮小范圍，并嚴格審查。 58定期對工作人員進行保密教育。6當(dāng)系統(tǒng)密級發(fā)生變化，特別是密級降低時，應(yīng)用疊寫的方法清除全部磁存貯器，用停電的方法清除非磁存貯器。7計算機系統(tǒng)必須有完整的日志記錄。71重要計算機日志記錄：(l)每次成功的使用：記錄節(jié)點名、用戶名、口令、終端名、上下機時間、操作的數(shù)據(jù)或程序名、操作的類型、修改前后的數(shù)據(jù)值。(2)用戶每次越權(quán)存取的嘗試：記錄節(jié)點名、用戶名、終端名、時間、欲越權(quán)存取的數(shù)據(jù)及操作類型、存取失敗的原因。(3)每次不成功的用戶身份：記錄節(jié)點名、用戶名、終端名、時間。 72操作員對越權(quán)存取龐通過控制臺進行干預(yù)。73打印出的日志應(yīng)完整而連續(xù)，不得拼接。74重要的日志應(yīng)由安全負責(zé)人簽名，規(guī)定保存期限。8對特定的終端設(shè)備，限定操作人員。特定終端設(shè)備指：可對重要數(shù)據(jù)進行存取的、有控制臺功能的、系統(tǒng)管理員所用的終端等。限定操作人員的方法有：采用口令、識別碼等資格認定或設(shè)置終端設(shè)備的鑰匙等。（五）網(wǎng)絡(luò)安全1網(wǎng)絡(luò)安全比單機系統(tǒng)或聯(lián)機系統(tǒng)更為重要。如果沒有必要的安全措施，網(wǎng)絡(luò)不能正式投入使用。2重要部門的計算機網(wǎng)絡(luò)應(yīng)設(shè)立全網(wǎng)管理中心，由專人實施對全網(wǎng)的統(tǒng)一管理、監(jiān)督與控制，不經(jīng)網(wǎng)絡(luò)主管領(lǐng)導(dǎo)同意，任何人不得變更網(wǎng)絡(luò)拓撲、網(wǎng)絡(luò)配置及網(wǎng)絡(luò)參數(shù)。3從實際出發(fā)，分階段、分層次逐步完善網(wǎng)絡(luò)安全可?？梢圆捎么尜A加密、傳輸加密、存取控制、數(shù)字簽名及驗證等安全措施。 四、安全監(jiān)督（一）應(yīng)急計劃與備份1系統(tǒng)安全人員必須詳細列出影響系統(tǒng)正常工作的各種可能出現(xiàn)的緊急情況。如火災(zāi)、水災(zāi)、意外停電、外部攻擊、誤操作等。 2必須制定萬一發(fā)生意外時的應(yīng)急計劃。3應(yīng)急計劃必須確定所要采取的具體步驟、確定每個步驟的內(nèi)容。4與執(zhí)行應(yīng)急計劃有關(guān)人員的姓名、住址、電話號碼以及有關(guān)職能部門(如消防、公安等有關(guān)部門)的聯(lián)系方法應(yīng)放在明顯、易取的地方或貼在墻上。5應(yīng)付緊急情況的具體步驟也應(yīng)貼在墻上。如：如何使用備份設(shè)備、緊急情況下關(guān)機步驟等。6應(yīng)定期進行應(yīng)急計劃實施演習(xí)，保證每個系統(tǒng)值班人員都能正確實施應(yīng)急計劃。7除了必須備份的基本數(shù)據(jù)文件。如：操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、應(yīng)用程序等以外，各單位必須根據(jù)自己的實際情況定出需備份的數(shù)據(jù)文件。 8必須在機房附近存放一套備份文件的副本，以便緊急情況下能迅速取出。9重要的實時系統(tǒng)在建立時必須進行備份。如：CPU備份，主機備份，系統(tǒng)備份等。91備份系統(tǒng)應(yīng)安裝在主機房有一定距離的備份機房。92備份機房應(yīng)具有與主機房相同的安全標(biāo)準(zhǔn)與措施。93備份系統(tǒng)必須定期進行實際運行，以檢驗備份系統(tǒng)的可靠性。 10在對數(shù)據(jù)完整性要求較高的場合，必須采取嚴格的數(shù)據(jù)備份措施，以保證在發(fā)生意外時數(shù)據(jù)的可靠恢復(fù)。101數(shù)據(jù)庫轉(zhuǎn)貯。應(yīng)根據(jù)本單位情況確定轉(zhuǎn)貯周期。 102日志文件。日志必須雙副本，即保存在盤、帶上的聯(lián)機日志與檔案日志。103對于較長的作業(yè)，要考慮在其中間設(shè)置檢查點、重新啟動人口、恢復(fù)與備份。（二）審計1在對計算機安全要求較高的場合，必須建立審計制度，配備專職審計人員。2審計人員應(yīng)該是精通業(yè)務(wù)，對計算機系統(tǒng)有較好的掌握又有一定實際工作經(jīng)驗的高級技術(shù)人員。 3在系統(tǒng)設(shè)計階段就應(yīng)有審計人員參加，以評價系統(tǒng)設(shè)計是否滿足安全要求。4在系統(tǒng)設(shè)計中增加安全控制以后，要重新評價系統(tǒng)，以保證系統(tǒng)功能不退化。 5系統(tǒng)安全控制包括以下幾方面：51實體控制：防止天災(zāi)、人為事故以及電氣和機械支持系統(tǒng)的失效。52系統(tǒng)控制：涉及系統(tǒng)的邏輯和實體結(jié)構(gòu)以及有關(guān)硬、軟件的保護措施。53管理控制：有關(guān)人員、文