xx公司信息安全方針策略

xx公司信息安全方針策略第一章總則第一條為加強和規(guī)范xx公司（以下簡稱“xx公司"）及各部門信息系統(tǒng)安全工作，提高本單位信息系統(tǒng)整體安全防護水平，實現(xiàn)信息安全的可控、能控、在控，依據(jù)國家有關法律、法規(guī)的要求，特制定本方針。第二條本文件的目的是為xx公司信息系統(tǒng)安全管理提供一個總體的策略性架構(gòu)文件，該文件將指導xx公司信息系統(tǒng)的安全管理體系的建立。安全管理體系的建立是為xx公司信息系統(tǒng)的安全管理工作提供參照，以實現(xiàn)xx公司統(tǒng)一的安全策略管理，提高整體的網(wǎng)絡與信息安全水平，確保安全控制措施落實到位，保障網(wǎng)絡通信暢通和業(yè)務系統(tǒng)的正常運營。第三條本文件涵蓋安全管理機構(gòu)、人員安全管理、系統(tǒng)建設安全管理、系統(tǒng)運維安全管理、安全技術、業(yè)務運作安全管理等方面內(nèi)容，適用于xx公司各部門信息系統(tǒng)資產(chǎn)和信息技術人員的安全管理和指導，適用于指導xx公司信息系統(tǒng)安全策略的制定、安全方案的規(guī)劃和安全建設的實施，適用于xx公司安全管理體系中安全管理措施的選擇。第四條引用標準及參考文件本文檔的編制參照了以下國家的標準和文件：（一）《中華人民共和國計算機信息系統(tǒng)安全保護條例》（二）《關于信息安全等級保護建設的實施指導意見》（信息運安〔2009〕27號）（三）《信息安全技術信息系統(tǒng)安全等級保護基本要求》（GB/T22239-2008）（四）《信息安全技術信息系統(tǒng)安全管理要求》（GB/T20269—2006）（五）《信息系統(tǒng)等級保護安全建設技術方案設計要求》（報批稿）（六）《關于開展信息安全等級保護安全建設整改工作的指導意見》（公信安[2009]1429號）（七）《征信機構(gòu)信息安全規(guī)范》（JR/T0117-2014）（以下簡稱：“征信規(guī)范”）第二章方針、目標和原則第五條xx公司信息系統(tǒng)安全堅持“安全第一、預防為主，管理和技術并重，綜合防范”的總體方針，實現(xiàn)信息系統(tǒng)安全可控、能控、在控。依照“分區(qū)、分級、分域”總體安全防護策略，執(zhí)行信息系統(tǒng)安全等級保護制度。管理信息網(wǎng)絡分為統(tǒng)內(nèi)網(wǎng)和外網(wǎng)，實現(xiàn)“雙機雙網(wǎng)”，內(nèi)網(wǎng)定位為承載涉密數(shù)據(jù)，外網(wǎng)定位為對外業(yè)務網(wǎng)絡和訪問互聯(lián)網(wǎng)用戶終端網(wǎng)絡。內(nèi)、外網(wǎng)之間實施強邏輯隔離的措施。第六條信息系統(tǒng)安全總體目標是確保信息系統(tǒng)持續(xù)、穩(wěn)定、可靠運行和確保信息內(nèi)容的機密性、完整性、可用性，防止因信息系統(tǒng)本身故障導致信息系統(tǒng)不能正常使用和系統(tǒng)崩潰，抵御黑客、病毒、惡意代碼等對信息系統(tǒng)發(fā)起的各類攻擊和破壞，防止信息內(nèi)容及數(shù)據(jù)丟失和失密，防止有害信息在網(wǎng)上傳播，防止xx公司對外服務中斷和由此造成的系統(tǒng)運行事故。第七條信息安全工作的總體原則（1）基于安全需求原則xx公司信息技術部需要根據(jù)征信信息系統(tǒng)擔負的使命，積累的信息資產(chǎn)的重要性，可能受到的威脅及面臨的風險分析安全需求，遵從信息系統(tǒng)等級保護的規(guī)范要求，恰當?shù)仄胶獍踩度肱c效果；（2）主要領導負責原則網(wǎng)絡與信息安全領導小組確立xx公司信息安全保障的宗旨和政策，負責提高員工的安全意識，組織有效安全保障隊伍，調(diào)動并優(yōu)化配置必要的資源，協(xié)調(diào)安全管理工作與各部門工作的關系，并確保其落實、有效；（3）全員參與原則信息系統(tǒng)所有相關人員需要普遍參與信息系統(tǒng)的安全管理，并與相關方面協(xié)同、協(xié)調(diào)，共同保障信息系統(tǒng)安全；（4）系統(tǒng)方法原則按照系統(tǒng)工程的要求，識別和理解信息安全保障相互關聯(lián)的層面和過程，采用管理和技術結(jié)合的方法，提高實現(xiàn)安全保障的目標的有效性和效率；（5）持續(xù)改進原則隨著安全需求和系統(tǒng)脆弱性的時空分布變化，威脅程度的提高，系統(tǒng)環(huán)境的變化以及對系統(tǒng)安全認識的深化等，及時地將現(xiàn)有的安全策略、風險接受程度和保護措施進行復查、修改、調(diào)整以至提升安全管理等級，維護和持續(xù)改進信息安全管理體系的有效性；（6）依法管理原則保證信息系統(tǒng)安全管理主體合法、管理行為合法、管理內(nèi)容合法、管理程序合法。對安全事件的處理，需要由授權者適時發(fā)布準確一致的有關信息，避免帶來不良的社會影響;（7）分權和授權原則對特定職能或責任領域的管理功能實施分離、獨立審計等實行分權。任何實體（如用戶、管理員、進程、應用或系統(tǒng)）僅享有該實體需要完成其任務所必須的權限；（8）選用成熟技術原則成熟的技術具有較好的可靠性和穩(wěn)定性，采用新技術時要重視其成熟的程度，并首先試點然后逐步推廣；（9）分級保護原則按等級劃分標準確定信息系統(tǒng)的安全保護等級，實行分級保護；（10）管理與技術并重原則采用管理與技術相結(jié)合，管理科學性和技術前瞻性結(jié)合的方法，保障信息系統(tǒng)的安全性達到所要求的目標；（11）自主保護和國家監(jiān)管結(jié)合原則xx公司在政府相關部門對信息系統(tǒng)的安全進行指導、監(jiān)督和檢查下，形成自管、自查、自評和國家監(jiān)管相結(jié)合的管理模式，提高信息系統(tǒng)的安全保護能力和水平，保障國家信息安全。第八條在規(guī)劃和建設信息系統(tǒng)時，信息系統(tǒng)安全防護措施應按照“三同步”原則，與信息系統(tǒng)建設同步規(guī)劃、同步建設、同步投入運行。第三章安全管理一、內(nèi)部管理制度第九條根據(jù)本文件中征信系統(tǒng)建設管理及運維管理的條例，落實對機房管理、資產(chǎn)安全、設備管理、網(wǎng)絡安全和系統(tǒng)安全等方面的信息安全管理。第十條對數(shù)據(jù)的存儲、訪問、使用、展示、備份與恢復、傳輸及樣本數(shù)據(jù)處理等需要符合數(shù)據(jù)管理制度。第十一條需要根據(jù)重大事項報告和處置管理制度，有效避免和及時報告事故造成的危害。對重大信息安全事故及時向中國人民銀行及其派出機構(gòu)報告。第十二條根據(jù)信息安全檢查制度，定期或根據(jù)需要（如可能存在安全隱患時）不定期開展安全自查工作，主動接受和配合中國人民銀行及其派出機構(gòu)的安全檢查。第十三條根據(jù)信息安全內(nèi)部審計制度，每兩年1次（根據(jù)實際情況可增加），對可能帶來信息安全風險的因素進行審計和評估。系統(tǒng)中的審計記錄保存半年（根據(jù)實際情況可大于半年），紙質(zhì)版審計記錄保存三年（根據(jù)實際情況可大于三年）。二、安全管理機構(gòu)第十四條信息技術部在網(wǎng)絡與信息安全領導小組管理下，負責信息安全管理工作。第十五條安全主管、信息安全管理員等各崗位需要履行崗位職責，遵守各自審批權限。各部門、各崗位之間，與同業(yè)機構(gòu)、監(jiān)管部門需要加強合作和溝通。第十六條加強安全主管、信息安全管理員、技術支持人員、業(yè)務操作人員、一般計算機用戶等人員的安全管理，根據(jù)不同崗位的職責，對人員錄用、離崗、考核和培訓等工作進行規(guī)范。三、系統(tǒng)建設管理第十七條安全產(chǎn)品、密碼產(chǎn)品的采購和使用需要符合國家密碼主管部門的規(guī)定，并指定專門部門負責采購。第十八條指定專門人員負責工程實施過程管理，控制工程實施過程。軟件開發(fā)需要開發(fā)測試環(huán)境與實際運行環(huán)境物理分開，軟件設計相關文檔交由專人保管。外包軟件開發(fā)的部分，要求開發(fā)單位提供軟件源代碼，并進行“后門”檢測。第十九條征信系統(tǒng)測試驗收需要包括安全性測試，對測試驗收過程中形成的測試報告需要進行審定，簽字確定。征信系統(tǒng)交付時需要制定交付清單，并進行設備、軟件和文檔清點。需要對系統(tǒng)運行維護技術人員進行技能培訓。第二十條將系統(tǒng)等級及相關材料報中國人民銀行及其派出機構(gòu)備案。第二十一條征信系統(tǒng)上線運行前，進行安全規(guī)范測評。運行過程中，每兩年對系統(tǒng)進行一次安全規(guī)范測評，測評報告報中國人民銀行及其派出機構(gòu)。第二十二條外包及安全服務商提供服務時，需要簽訂與安全相關的協(xié)議，明確約定相關責任。涉及敏感操作（如輸入用戶口令等）由xx公司人員進行操作。外包服務方需要遵守xx公司相關安全規(guī)定與操作規(guī)程，不得查看、復制或帶離任何敏感信息。四、系統(tǒng)運維管理第二十三條在讀取移動存儲設備上的數(shù)據(jù)、網(wǎng)絡上接收文件或郵件之前，和外來計算機或存儲設備接入網(wǎng)絡系統(tǒng)之前需要進行病毒檢查。第二十四條每半年修改一次密碼，包括網(wǎng)絡設備用戶密碼、操作系統(tǒng)用戶密碼、數(shù)據(jù)庫用戶密碼和應用程序用戶密碼等。網(wǎng)絡設備、操作系統(tǒng)、數(shù)據(jù)庫和應用程序的超級管理員用戶密碼要紙質(zhì)密封交專人保管。密碼設置規(guī)則需要符合征信規(guī)范中相關要求。第二十五條征信系統(tǒng)發(fā)生變更前，需要經(jīng)過審批，在做好征信數(shù)據(jù)的備份和恢復工作基礎上，方可實施變更，并在實施后向相關人員通告。第二十六條安全事件處置和應急管理需符合安全事件報告和處置管理制度，重大事項處置和應急管理需符合重大事項報告和處置管理制度。第四章安全技術第二十七條為保障通信網(wǎng)絡安全，征信系統(tǒng)面向互聯(lián)網(wǎng)時，需使用強壯的加密算法和安全協(xié)議保證信息傳輸?shù)臋C密性和完整性。征信系統(tǒng)服務器需使用安全的協(xié)議和強壯的加密算法進行安全、可靠的身份認證。第二十八條服務器端物理安全（1）機房和辦公場地選擇在具有防震、防風和防雨等能力的建筑內(nèi)。（2）機房出入口安排專人值守，控制、鑒別和記錄進入的人。需進入機房的來訪人員應經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍。（3）主機房應安裝必要的防盜報警設施和監(jiān)控報警系統(tǒng)。應將通信線纜鋪設在隱蔽處，可鋪設在地下或管道中。（4）防雷擊、防火、防水防潮、防靜電。（5）設置溫、濕度自動調(diào)節(jié)設施。（6）在機房供電線路上配置穩(wěn)壓器和過電壓防護設備，提供短期的備用電力供應。（7）電源線和通信線纜隔離鋪設，避免互相干擾。第二十九條服務器端網(wǎng)絡安全（1）保證接入網(wǎng)絡的帶寬滿足業(yè)務高峰期需要。（2）根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段。（3）按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進行資源訪問。（4）對網(wǎng)絡系統(tǒng)中的網(wǎng)絡設備運行狀況、網(wǎng)絡流量、用戶行為等進行日志記錄。（5）監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡蠕蟲攻擊等。（6）對登錄網(wǎng)絡設備的用戶進行身份鑒別，限制非法登錄次數(shù)，當網(wǎng)絡登錄連接超時自動退出。（7）對網(wǎng)絡設備進行遠程管理時，防止信息在網(wǎng)絡傳輸過程中被竊聽。第三十條服務器端主機安全（1）對登錄操作系統(tǒng)和數(shù)據(jù)庫的用戶進行身份鑒別。（2）根據(jù)管理用戶的角色分配權限，實現(xiàn)管理用戶的權限分離，僅授予管理用戶所需的最小權限。實行操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權用戶的權限分離。（3）對服務器上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶進行安全審計，包括用戶權限、重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全操作。保護審計記錄。（4）操作系統(tǒng)遵循最小安裝的原則，僅安裝需要的組件和應用程序，并通過設置升級服務器等方式保持系統(tǒng)補丁及時得到更新。（5）通過設定終端接入方式、網(wǎng)絡地址范圍等條件限制終端登錄。設置登錄終端的操作超時鎖定。限制單個用戶對系統(tǒng)資源的使用限度。對重要服務器進行監(jiān)視，包括監(jiān)視服務器的CPU、硬盤、內(nèi)存、網(wǎng)絡等資源的使用情況。第三條服務器端應用安全（1）對登錄用戶進行身份標識和鑒別。（2）依據(jù)安全策略控制用戶對文件、數(shù)據(jù)庫表等客體的訪問。授予不同賬戶為完成各自承擔任務所需的最小權限，并在它們之間形成相互制約的關系。（3）對用戶權限及應用系統(tǒng)重要安全事件進行審計，保證無法刪除、修改或覆蓋審計記錄。（4）采用校驗碼技術保證通信過程中數(shù)據(jù)的完整性。（5）在通信雙方建立連接之前，應用系統(tǒng)利用密碼技術進行會話初始化驗證，對通信過程中的敏感信息字段進行加密。（6）通過數(shù)據(jù)有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的數(shù)據(jù)格式或長度符合系統(tǒng)設定要求。在故障發(fā)生時，應用系統(tǒng)應能夠繼續(xù)提供一部分功能，確保能夠?qū)嵤┍匾拇胧?。?）當應用系統(tǒng)通信雙方中的一方在一段時間內(nèi)未作任何響應時，另一方能夠自動結(jié)束會話。第三十二條數(shù)據(jù)安全及備份恢復策略（1）檢測數(shù)據(jù)在傳輸、存儲過程中的破壞并做恢復。（2）征信系統(tǒng)采用加密或其他有效措施實現(xiàn)系統(tǒng)管理數(shù)據(jù)和鑒別信息傳輸、保存中的保密性。（3）提供本地數(shù)據(jù)備份與恢復功能，增量數(shù)據(jù)備份至少每天一次，完全數(shù)據(jù)備份至少每周一次，備份介質(zhì)場外存放。（4）提供關鍵網(wǎng)絡設備、通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余，保證系統(tǒng)的可用性。第五章業(yè)務運作第三十三條根據(jù)外部機構(gòu)接入征信系統(tǒng)管理辦法，對申請接入征信系統(tǒng)的外部機構(gòu)進行綜合評估，確認符合條件并測試通過后方可接入征信系統(tǒng)生產(chǎn)環(huán)境。第三十四條根據(jù)外部機構(gòu)從征信系統(tǒng)注銷管理辦法，對信息提供者、信息使用者的注銷申請進行審核，審核通過后再進行注銷操作。對停止經(jīng)營活動且營業(yè)執(zhí)照等已注銷，但是不主動申請從征信系統(tǒng)注銷的機構(gòu)，經(jīng)核實后發(fā)起主動注銷操作。第三十五條根據(jù)征信系統(tǒng)內(nèi)部用戶管理制度對各類內(nèi)部用戶的申請、創(chuàng)建、變更、終止及用戶操作等行為進行規(guī)范。根據(jù)征信系統(tǒng)外部用戶管理制度對各類外部用戶的操作進行規(guī)范。對異常操作行為進行監(jiān)控，必要時采取措施暫停違規(guī)用戶權限。第三十六條通過接口和非接口規(guī)范方式進行信息采集時，采集的范圍、內(nèi)容、方式和頻次、報文接收與反饋、審核、意外事件處理需要符合規(guī)定。第三十七條對征信信息進行整理加工，形成信用報告、信用評分、信用評級等征信產(chǎn)品時，不得擅自更改原始數(shù)據(jù)。同時需要對信息加工所采用的方法和模型作出說明。第三十八條征信系統(tǒng)需要保存原始報文文件、反饋文件、信息查詢文件等對外交互過程中產(chǎn)生的信息文件及相應日志信息，并防止數(shù)據(jù)泄露。對征信系統(tǒng)采集的個人不良信息應當按照法律法規(guī)規(guī)定的期限進行保存，并確保個人不良信息去標識化處理。第三十九條對查詢用戶輸入的查詢條件設置校驗規(guī)則，進行有效性檢查。記錄查詢用戶所屬機構(gòu)、查詢用戶、查詢時間、查詢原因、被查詢對象等信息。批量查詢請求需要填寫請求文件，征信系統(tǒng)記錄并審核后通過可靠方式反饋結(jié)果。信息使用者發(fā)生異常查詢的，xx公司采取暫停查詢權限等緊急措施，并及時核查異常查詢產(chǎn)生的原因。第四十條異議申請與受理、內(nèi)外部核查、異議信息更正等事項需要符合異議處理制度。第四十一條xx公司生產(chǎn)數(shù)據(jù)庫、備份數(shù)據(jù)庫設在中國境內(nèi)。在中