9、終端安全管理規(guī)定

1、終端安全管理規(guī)定主導(dǎo)部門(mén):支持部門(mén): 審 批:文檔編號(hào):生效日期:IT部N/AIT部IT-V01版本Versio n發(fā)布日期Issua nee Date發(fā)布原因Reas ons of Issua nee生效日期Effective Date1.0新版本發(fā)布會(huì)簽批準(zhǔn)人Approval(s)簽名Sig natures簽署日期Date Signed起草人EditorIT經(jīng)理IT Ma nagerIT總監(jiān) VPIT Director終端安全管理規(guī)定目的 終端安全管理規(guī)定的目的是為了加強(qiáng)公司信息安全保障能力，建立健全公司的安全管理體系，提高整 體的網(wǎng)絡(luò)與信息安全水平， 保證業(yè)務(wù)系統(tǒng)的正常運(yùn)營(yíng)， 提高網(wǎng)絡(luò)服

2、務(wù)質(zhì)量， 在公司安全體系框架下 準(zhǔn) 入系統(tǒng)，本規(guī)定加強(qiáng)公司終端的管理，標(biāo)準(zhǔn)公司終端的配置和使用，降低由于個(gè)人對(duì)終端的使用不 當(dāng)而給公司造成的風(fēng)險(xiǎn)，提高公司終端標(biāo)準(zhǔn)化程度。范圍本規(guī)定適用于公司所有使用終端的職工以及管理終端的系統(tǒng)管理員。定義終端終端泛指一切可以接入網(wǎng)絡(luò)的計(jì)算設(shè)備，如筆記本電腦、臺(tái)式電腦、智能 、平板電腦等。用戶賬號(hào) 用戶賬號(hào)是用戶用于訪問(wèn)公司信息系統(tǒng)的唯一的身份標(biāo)識(shí)，包括用戶名和密碼。用戶賬號(hào)分為終 端賬號(hào)、 AD 賬號(hào)、業(yè)務(wù)系統(tǒng)賬號(hào)、 VPN 賬號(hào)，以及后臺(tái)管理賬號(hào)。辦公終端辦公終端指用戶辦公目的，連接辦公系統(tǒng)的終端。職責(zé)和權(quán)限闡述本規(guī)定涉及的部門(mén)角色職責(zé)與權(quán)限。IT 部的職責(zé)

3、和權(quán)限公司 IT 部門(mén)負(fù)責(zé)終端安全策略的統(tǒng)一規(guī)劃， 制定終端的技術(shù)安全標(biāo)準(zhǔn)， 定期檢查公司終端的安全 情況。IT 系統(tǒng) Infra 組和 CIM 組的職責(zé)和權(quán)限IT系統(tǒng)Infra組負(fù)責(zé)辦公終端安全的具體工作，IT CIM組負(fù)責(zé)生產(chǎn)終端安全的具體工作， 要求各系統(tǒng)進(jìn)行終端區(qū)域的劃分，定期檢查各系統(tǒng)終端的安全使用情況。系統(tǒng)管理員的職責(zé)和權(quán)限各系統(tǒng)的管理員應(yīng)根據(jù)要求嚴(yán)格執(zhí)行終端的安全操作標(biāo)準(zhǔn)。內(nèi)容5.1 生產(chǎn)終端安全要求公司生產(chǎn)終端系統(tǒng)安全配置應(yīng)該遵循以下原則：應(yīng)劃分專用的生產(chǎn)終端接入網(wǎng)絡(luò)區(qū)域，生產(chǎn)終端應(yīng)根據(jù)接入?yún)^(qū)域的配置要求進(jìn)行接入。各系統(tǒng)生產(chǎn)終端都應(yīng)統(tǒng)一部署系統(tǒng)安全配置策略，并對(duì)系統(tǒng)信息配置信息

4、進(jìn)行備案登記。公司生產(chǎn)終端使用的軟件必須是正版軟件， 禁止安裝與生產(chǎn)工作無(wú)關(guān)的軟件， 如游戲、 音樂(lè)、 視頻、第三方檢測(cè)工具等。公司生產(chǎn)終端必須安裝防病毒系統(tǒng)， Infra 系統(tǒng)管理員應(yīng)定期檢查并保持更新病毒碼為最新病 毒碼。公司生產(chǎn)終端必須及時(shí)安裝安全補(bǔ)丁， Infra 系統(tǒng)管理員應(yīng)定期檢查并保持系統(tǒng)補(bǔ)丁 泛指操 作系統(tǒng)高危漏洞的安全補(bǔ)丁全面安裝。公司生產(chǎn)終端應(yīng)根據(jù)用戶權(quán)限設(shè)置賬戶和口令，根據(jù)公司用戶賬號(hào)管理流程規(guī)定中的規(guī) 定進(jìn)行設(shè)置。公司生產(chǎn)終端禁止開(kāi)放沒(méi)有限制的文件共享。公司生產(chǎn)終端應(yīng)根據(jù)業(yè)務(wù)需要僅打開(kāi)必須的端口服務(wù),其它端口全部關(guān)閉。公司生產(chǎn)終端應(yīng)根據(jù)公司電腦命名方式統(tǒng)一命名。公司生產(chǎn)

5、終端應(yīng)設(shè)定帶密碼保護(hù)的屏幕保護(hù)，并確保在無(wú)人看管的情況下能夠進(jìn)行限時(shí)自動(dòng)鎖屏。公司生產(chǎn)終端在未經(jīng)授權(quán)的情況下， 禁止通過(guò)任何方式接入 Internet 網(wǎng)絡(luò)。嚴(yán)禁通過(guò)安裝 USB 無(wú)線網(wǎng)卡或使用智能 設(shè)置熱點(diǎn)的方式訪問(wèn)互聯(lián)網(wǎng)，如生產(chǎn)需要必須訪問(wèn)互聯(lián)網(wǎng)或遠(yuǎn)程協(xié)助調(diào) 試設(shè)備時(shí)，根據(jù)公司已頒布的 IT 網(wǎng)絡(luò)及電腦使用規(guī)定 ，向 IT Infra 組提交用戶權(quán)限申請(qǐng)表 ， 審核通過(guò)后，由 Infra 工程師開(kāi)放其對(duì)應(yīng)端口的網(wǎng)絡(luò)訪問(wèn)權(quán)限，并在約定的時(shí)間點(diǎn)內(nèi)關(guān)閉端口， 同時(shí)做好相應(yīng)的記錄。在未經(jīng)公司允許的情況下，禁止私自在生產(chǎn)終端接入光驅(qū)、移動(dòng)存儲(chǔ)、調(diào)制解調(diào)器、紅外設(shè) 備、無(wú)線設(shè)備和串口設(shè)備等外設(shè)。對(duì)用于

6、非 24 小時(shí)監(jiān)控用途的生產(chǎn)終端，考慮到節(jié)約能源、提高產(chǎn)品的使用效率及更好的實(shí) 行成本效益控制，要求在下班后必須關(guān)閉機(jī)器。對(duì)于超過(guò)使用期限的生產(chǎn)終端，如果需要淘汰、報(bào)廢或者利舊，應(yīng)按照公司資產(chǎn)管理流程要 求和涉密信息處理流程進(jìn)行數(shù)據(jù)清除后再進(jìn)行資產(chǎn)處置。辦公終端安全要求公司所有的使用辦公終端，必須統(tǒng)一安裝公司標(biāo)準(zhǔn)的準(zhǔn)入系統(tǒng)客戶端。公司所有辦公終端的命名應(yīng)符合公司電腦命名標(biāo)準(zhǔn)。公司所有的辦公終端應(yīng)統(tǒng)一部署預(yù)定義的系統(tǒng)安全配置策略和授權(quán)的標(biāo)準(zhǔn)軟件。公司所有的辦公終端應(yīng)正確安裝防病毒系統(tǒng)，確保及時(shí)更新病毒碼。公司所有的辦公終端應(yīng)及時(shí)安裝高危系統(tǒng)漏洞弄補(bǔ)丁，應(yīng)與公司發(fā)布的補(bǔ)丁保持一致。公司所有辦公終端

7、的密碼不能為空，根據(jù)用戶賬號(hào)管理流程規(guī)定中的密碼規(guī)定嚴(yán)格 執(zhí)行。公司所有辦公終端不得私自轉(zhuǎn)借給他人使用或用于其他商業(yè)形式的用途。公司的移動(dòng)辦公終端在外出辦公時(shí)，不得使其處于無(wú)人看管狀態(tài)。公司的移動(dòng)辦公終端不允許借給無(wú)關(guān)人員操作，防止信息的泄密和數(shù)據(jù)破壞。公司辦公終端不得私自安裝盜版軟件和與工作無(wú)關(guān)的軟件，不得私自安裝掃描軟件或黑 客攻擊工具例如 360 安全衛(wèi)士和 QQ 騰訊管家等第三方掃描工具 。公司辦公終端在無(wú)工作需求的情況下，應(yīng)關(guān)閉 IIS,TELNET 以及 FTP 等不必要的服務(wù)；公司辦公終端的 Internet 訪問(wèn)需有策略或者工具進(jìn)行控制和監(jiān)控；公司辦公終端應(yīng)啟用 設(shè)置密碼的屏幕

8、保護(hù)程序。報(bào)告和處理使用終端的過(guò)程中，如果發(fā)現(xiàn)設(shè)備具有可疑安全情況，或發(fā)生病毒和安全事件，應(yīng)由 IT Infra 部門(mén)組織人員或 Helpdesk 工程師進(jìn)行處理。IT 系統(tǒng)人員如發(fā)現(xiàn)終端的信息安全問(wèn)題， 應(yīng)以 或郵件的方式通知本部門(mén)和 IT 部門(mén)最 高領(lǐng)導(dǎo)，由 IT 部負(fù)責(zé)調(diào)查，并組織協(xié)調(diào)安全問(wèn)題的處理。終端的信息安全事件應(yīng)依照信息安全事件管理程序中定義的流程進(jìn)行處理和響應(yīng)。終端的信息安全問(wèn)題在處理完畢后應(yīng)按照信息安全事件管理程序進(jìn)行記錄備案。審核和監(jiān)督5.4.1 系統(tǒng)在使用終端的安全管理方面應(yīng)接受 IT 系統(tǒng)的監(jiān)督和檢查， 對(duì)在檢查中提出的問(wèn)題要 及時(shí)改良。5.4.2 公司信息安全管理部定期對(duì)各系統(tǒng)終端的使用情況進(jìn)行有效監(jiān)督和管理，對(duì)違反管理規(guī) 定的行為應(yīng)進(jìn)行記錄和上報(bào)，并協(xié)調(diào)相應(yīng)部門(mén)予以處罰。參考文件6.1用戶