信息安全策略講義課件

ISMS信息安全策略批準人簽字審核人簽字制訂人簽字日期：2008/日期：2008/日期：2008/南京擎天科技有限公司NanjingSinosoftTechnologyCo.,Ltd.變更履歷序號版本編號或更改記錄編號變化狀態(tài)*簡要說明(變更內容、變更位置、變更原因和變更范圍)變更日期變更人審核人批準人批準日期1A1.0C創(chuàng)建，全頁。2008許明星茅建平汪曉剛2008*變化狀態(tài)：C——創(chuàng)建，A——增加，M——修改，D——刪除

目錄TOC\o"1-2"\h\z\u1. 文檔介紹 51.1. 文檔目的 51.2. 文檔范圍 51.3. 參考信息 52. 術語和定義 62.1. 解釋 62.2. 詞語使用 73. Sinosoft信息系統(tǒng)安全策略 73.1. 策略下發(fā) 73.2. 策略維護 73.3. 策略評審 83.4. 適用范圍 84. Sinosoft信息系統(tǒng)安全組織 84.1. 內部組織 84.2. 外部組織 95. Sinosoft資產(chǎn)管理 105.1. 資產(chǎn)責任 115.2. 信息分類 116. Sinosoft人員信息安全管理 116.1. 人員雇傭 126.2. 雇傭中 126.3. 人員信息安全管理原則 137. 物理和環(huán)境安全 147.1. 安全區(qū)域 147.2. 設備安全 158. Sinosoft通信和操作管理 218.1. 操作程序和責任 218.2. 第三方服務交付管理 238.3. 系統(tǒng)策劃與驗收 258.4. 防范惡意和移動代碼 278.5. 備份 288.6. 網(wǎng)絡安全管理 288.7. 介質處理 298.8. 信息交換 318.9. 監(jiān)視和審計 339. Sinosoft信息系統(tǒng)訪問控制 369.1. 訪問控制的業(yè)務要求 369.2. 用戶訪問管理 379.3. 用戶責任 409.4. 網(wǎng)絡訪問控制 419.5. 操作系統(tǒng)訪問控制 439.6. 應用程序和信息訪問控制 459.7. 移動計算和遠程工作 4610. 信息系統(tǒng)的獲取、開發(fā)和維護安全 4710.1. 信息系統(tǒng)的安全要求 4710.2. 應用系統(tǒng)的正確處理 4710.3. 加密控制 4710.4. 系統(tǒng)文件安全 4810.5. 開發(fā)和支持過程安全 4910.6. 技術漏洞管理 4911. 信息安全事故處理 5011.1. 報告信息安全事故和弱點 5011.2. 信息安全事故管理和改進 5012. 業(yè)務連續(xù)性管理 5112.1. 業(yè)務連續(xù)性管理中的信息安全 5113. 符合性要求 5313.1. 遵守法律法規(guī)的要求 5313.2. 安全策略和技術一致性檢查 5813.3. 信息系統(tǒng)審計考慮因素 59?3rdFloor,No.50Building,No.168LongpanZhongRoad,Nanjing,P.R.China5/76文檔介紹文檔目的本文檔制定了Sinosoft的信息系統(tǒng)安全策略，作為Sinosoft信息安全的基本標準，是所有安全行為的指導方針，同時也是建立完整的安全管理體系最根本的基礎。信息安全策略是在Sinosoft信息安全現(xiàn)狀調研的基礎上，根據(jù)ISO27001的最佳實踐，結合Sinosoft現(xiàn)有規(guī)章制度制定而成的信息安全方針和策略文檔。本文檔遵守政府制定的相關法律、法規(guī)、政策和標準。本安全策略得到Sinosoft領導的認可，并在Sinosoft內強制實施。建立信息安全策略目的概括如下：在Sinosoft內部建立一套通用的、行之有效的安全機制；在Sinosoft的員工中樹立起安全責任感；在Sinosoft中增強信息資產(chǎn)可用性、完整性和保密性；在Sinosoft中提高全體員工的信息安全意識和信息安全知識水平。文檔范圍本安全策略適用于Sinosoft全體員工。本安全策略由Sinosoft行政管理部負責解釋，自發(fā)布之日起執(zhí)行。參考信息安全戰(zhàn)略和體系架構設計信息安全手冊公司程序文件公司管理辦法PAGE術語和定義解釋信息安全是指保護信息資產(chǎn)免受多種安全威脅，保證業(yè)務連續(xù)性，將安全事件造成的損失降至最小，同時最大限度地獲得投資回報和商業(yè)機遇。可用性確保經(jīng)過授權的用戶在需要時可以訪問信息并使用相關信息資產(chǎn)。保密性確保只有經(jīng)過授權的人才能訪問信息。完整性保護信息和信息的處理方法準確而完整。保密信息Sinosoft安全規(guī)章定義的密級信息。信息安全策略正確使用和管理IT信息資源并保護這些資源使得它們擁有更好的保密性、完整性、可用性的策略。風險評估評估信息安全漏洞對信息處理設備帶來的威脅和影響及其發(fā)生的可能性。風險管理以可以接受的成本，確認、控制、排除可能影響信息系統(tǒng)的安全風險或將其帶來的危害最小化的過程。計算機機房裝有計算機主機、服務器和相關設備的，除了安裝和維護的情況外，不允許人員在里邊工作的專用房間。員工在Sinosoft系統(tǒng)內工作的正式員工、雇傭的臨時工作人員。用戶被授權能使用IT系統(tǒng)的人員。信息資產(chǎn)與信息系統(tǒng)相關聯(lián)的信息、信息的處理設備和服務。信息資產(chǎn)責任人是指對某項信息資產(chǎn)安全負責的人員。合作單位是指與Sinosoft有業(yè)務往來的單位，包括承包商、服務提供商、設備廠商、外包服務商、貿(mào)易伙伴等。第三方訪問指非本單位的人員對信息系統(tǒng)的訪問。安全事件利用信息系統(tǒng)的安全漏洞，對信息資產(chǎn)的保密性、完整性和可用性造成危害的事件。故障是指信息的處理、傳輸設備運行出現(xiàn)意外障礙，以至影響信息系統(tǒng)正常運轉的事件。安全審計通過將所選類型的事件記錄在服務器或工作站的安全日志中用來跟蹤用戶活動的過程。超時設置用戶如果超過特定的時限沒有進行動作，就觸發(fā)其他事件（如斷開連接、鎖定用戶等）。詞語使用必須表示強制性的要求。應當好的做法所要達到的要求，條件允許就要實施?？梢员硎鞠Ｍ_到的要求。Sinosoft信息系統(tǒng)安全策略目標：為信息安全提供管理指導和支持，并與業(yè)務要求和相關的法律法規(guī)保持一致。策略下發(fā)本策略必須得到Sinosoft管理層批準，并向Sinosoft所有員工和相關第三方公布傳達，全體人員必須履行相關的義務，享受相應的權利，承擔相關的責任。策略維護本策略通過以下方式進行文檔的維護工作：必須每年按照《信息安全風險評估管理程序》進行例行的風險評估，如遇以下情況必須及時進行風險評估：發(fā)生重大安全事故組織或技術基礎結構發(fā)生重大變更安全管理小組認為應當進行風險評估的其他應當進行安全風險評估的情形風險評估之后根據(jù)需要進行安全策略條目修訂，并在Sinosoft內公布傳達。策略評審每年必須參照《信息安全管理評審程序》執(zhí)行公司管理評審。適用范圍適用范圍是指本策略使用和涵蓋的對象，包括Sinosoft現(xiàn)有的業(yè)務系統(tǒng)、硬件資產(chǎn)、軟件資產(chǎn)、信息、通用服務、物理安全區(qū)域等。對于即將投入使用和今后規(guī)劃的信息系統(tǒng)項目也必須參照本策略執(zhí)行。Sinosoft信息系統(tǒng)安全組織目標：在Sinosoft組織內部管理信息安全，保持可被外部組織訪問、處理、溝通或管理的Sinosoft信息及信息處理設備的安全。內部組織Sinosoft的管理層對信息安全承擔最終責任。管理者職責參見《信息安全委員會組織機構》。Sinosoft的信息系統(tǒng)安全管理工作采取行政管理部統(tǒng)一管理方式，其他相關部門/單位配合執(zhí)行。Sinosoft的內部信息安全組織為信息安全管理委員會，委員會的人員組成以及相關職責參見《信息安全委員會組織機構》。Sinosoft各個部門之間必須緊密配合共同進行信息安全系統(tǒng)的維護和建設。相關部門崗位的分工與責任參見《崗位說明書》。任何新的信息系統(tǒng)處理設施必須經(jīng)過管理授權的過程。并更新至《信息資產(chǎn)識別表》。Sinosoft信息系統(tǒng)內的每個重要的資產(chǎn)需要明確所有者、安全責任人、安全維護人員、使用人員。參見《信息資產(chǎn)識別表》。凡是涉及Sinosoft重要信息、機密信息（相關定義參見《保密管理規(guī)定》等信息的處理，相關的Sinosoft工作崗位員工以及第三方都必須簽署保密協(xié)議。應當與政府機構保持必要的聯(lián)系共同協(xié)調信息安全相關問題。這些部門包括執(zhí)法部門、消防部門、上級監(jiān)管部門、電信供應商等提供公共服務的部門。應當與相關信息安全團體保持聯(lián)系，以取得信息安全上必要的支持。這些團體包括外部安全咨詢商、獨立的安全技術專家等。信息安全管理小組每年至少進行一次信息安全風險評估工作（參照《信息安全風險評估管理程序》，并對安全策略進行復審。信息安全領導小組每年對風險評估結果和安全策略的修改進行審批。每年或者發(fā)生重大信息安全變化時必須參照《信息安全管理評審程序》執(zhí)行公司管理評審。外部組織第三方訪問是指非Sinosoft人員對信息系統(tǒng)的的訪問。第三方至少包含如下人員：硬件及軟件技術支持、維護人員；項目現(xiàn)場實施人員；外單位參觀人員；合作單位人員；客戶；清潔人員、送餐人員、快遞、保安以及其它外包的支持服務人員；第三方的訪問類型包括物理訪問和邏輯訪問。物理訪問：重點考慮安全要求較高區(qū)域的訪問，包括計算機機房、重要辦公區(qū)域和存放重要物品區(qū)域等；邏輯訪問：主機系統(tǒng)網(wǎng)絡系統(tǒng)數(shù)據(jù)庫系統(tǒng)應用系統(tǒng)第三方訪問需要進行以下的風險評估后方可對訪問進行授權。被訪問資產(chǎn)是否會損壞或者帶來安全隱患；客戶是否與Sinosoft有商業(yè)利益沖突；是否已經(jīng)完成了相關的權限設定，對訪問加以控制；是否有過違反安全規(guī)定的記錄；是否與法律法規(guī)有沖突，是否會涉及知識產(chǎn)權糾紛；第三方進行訪問之前必須經(jīng)過被訪問系統(tǒng)的安全責任人的審核批準，包括物理訪問的區(qū)域和邏輯訪問的權限。（物理訪問區(qū)域安全責任人按《物理訪問控制管理規(guī)定》執(zhí)行。）對于第三方參與的項目，必須在合同中明確規(guī)定人員的安全責任，必要時應當簽署保密協(xié)議。第三方必須遵守Sinosoft的信息安全策略以及《參觀保密協(xié)議》，Sinosoft保留對第三方的工作進行審核的權利。Sinosoft資產(chǎn)管理目標：通過及時更新的信息資產(chǎn)目錄對Sinosoft信息資產(chǎn)進行適當?shù)谋Ｗo。資產(chǎn)責任所有Sinosoft的信息資產(chǎn)必須登記入冊，對于有形資產(chǎn)必須進行標識，同時資產(chǎn)信息應當及時更新。每項信息資產(chǎn)在登記入冊及更新時必須指定信息資產(chǎn)的安全責任人，信息資產(chǎn)的安全責任人必須負責該信息資產(chǎn)的安全。所有Sinosoft員工和第三方都必須遵守本策略中第65條至第102條關于信息設備安全管理的規(guī)定，以保護Sinosoft信息處理設備（包括移動設備和在非公共地點使用的設備）的安全。信息分類必須明確確認每項信息資產(chǎn)及其責任人和安全分類，信息資產(chǎn)包括業(yè)務系統(tǒng)、硬件資產(chǎn)、軟件資產(chǎn)、信息資產(chǎn)、物理設備和IT環(huán)境設施。（詳見《信息資產(chǎn)識別表》）。必須建立信息資產(chǎn)管理登記制度，至少詳細記錄信息資產(chǎn)的分類、名稱、用途、資產(chǎn)所有者、安全責任人、安全維護人員、使用人員、入庫時間、有效時限、報廢時間、借用及返還情況等，便于查找和使用。信息資產(chǎn)應當標明適用范圍。應當在每個有形信息資產(chǎn)上進行標識。當信息資產(chǎn)進行拷貝、存儲、傳輸（如郵遞、傳真、電子郵件以及語音傳輸【包括電話、語音郵件、應答機】等）或者銷毀等信息處理時，應當參照《保密管理規(guī)定》或者制定妥善的處理步驟并執(zhí)行。對重要的資料檔案要妥善保管，以防丟失泄密，其廢棄的打印紙及磁介質等，應按Sinosoft有關規(guī)定進行處理。Sinosoft人員信息安全管理目標：確保所有的員工、合同方和第三方用戶了解信息安全威脅和相關事宜、明確并履行信息安全責任和義務，并在日常工作中支持Sinosoft的信息安全方針，減少人為錯誤的風險，減少盜竊、濫用或設施誤用的風險。人員雇傭Sinosoft員工必須了解相關的信息安全責任，必須遵守《崗位說明書》。對第三方訪問人員和臨時性員工，也必須遵守《參觀保密協(xié)議》。涉及重要信息系統(tǒng)管理的員工、合同方及第三方應當進行相關技術背景調查和能力考評；涉及重要信息系統(tǒng)管理的員工、合同方及第三方應在合同中明確其信息安全責任并簽署保密協(xié)議；雇傭中Sinosoft管理層必須要求所有的員工、合同方及第三方用戶執(zhí)行Sinosoft信息安全的相關規(guī)定；應當設定信息安全的相關獎勵措施，任何違反信息安全策略的行為都將收到懲戒，具體執(zhí)行辦法參見《信息安全獎懲規(guī)定》；將信息安全培訓加入員工培訓中，培訓材料應當包括下列內容：Sinosoft信息安全策略Sinosoft信息安全制度相關獎懲辦法應當按下列群體進行不同類型的信息安全培訓：Sinosoft全體員工需要遵守Sinosoft信息安全策略、規(guī)章制度和各項操作流程的第三方人員信息安全培訓必須至少每年舉行一次，讓不同部門的人員能受到適當?shù)男畔踩嘤枴１仨殔⒓佑嬎銠C信息安全培訓的人員包括：計算機信息系統(tǒng)使用單位的安全管理責任人；重點單位或核心計算機信息系統(tǒng)的維護和管理人員；其他從事計算機信息系統(tǒng)安全保護工作的人員；能夠接觸到敏感數(shù)據(jù)或機密信息的關鍵用戶。人員信息安全管理原則員工錄用時，人力資源部或調入部門必須及時書面通知行政管理部添加相關的口令、帳號及權限等并備案。員工在崗位變動時，必須移交調出崗位的相關資料和有關文檔，檢查并歸還在Sinosoft借出的重要信息。人力資源部或調入部門必須及時書面通知行政管理部修改和刪除相關的口令、帳號及權限等。員工在調離時必須進行信息安全檢查。調離人員必須移交全部資料和有關文檔，刪除自己的文件、帳號，檢查并歸還在Sinosoft借出的保密信息。由人力資源部書面通知行政管理部刪除相關的口令、帳號、權限等信息。用戶帳號三個月未使用的將在系統(tǒng)中自動失效。必須每半年進行用戶使用情況的統(tǒng)計，凡是半年及半年以上未使用的帳號經(jīng)相關部門確認后刪除。如有特殊情況，必須事先得到部門經(jīng)理及安全責任人的批準。對第三方訪問人員和臨時性員工，也必須執(zhí)行第38條到第41條的相關規(guī)定。物理和環(huán)境安全安全區(qū)域目標：防止對Sinosoft工作場所和信息的非法訪問、破壞和干擾。Sinosoft必須明確劃分安全區(qū)域。安全區(qū)域至少包括Sinosoft各計算機機房、檔案室，IT部門、財務部、人力資源部等部門。所有進入本公司的人員都需經(jīng)過授權，本公司員工之外的人員進入本公司必須登記換取來賓卡才能進入(得到被訪者允許)。無人值守的門和窗戶必須上鎖，對于直接與外部相連的安全區(qū)域的窗戶必須考慮窗戶的外部保護；應按照地方、國內和國際標準建立適當?shù)娜肭謾z測體系，并定期檢測以覆蓋所有的外部門窗；安全區(qū)域必須配備充足的安全設備，例如熱敏和煙氣探測器、火警系統(tǒng)、滅火設備，并對設備定期檢查；只要可行，安全區(qū)域進出控制應當采用合適的電子卡或磁卡，并能雙向控制；對安全區(qū)域的訪問必須進行記錄和控制，以確保只有經(jīng)過授權的人員才可以訪問。對機房的訪問管理參見《機房管理規(guī)定》，其它區(qū)域可參照執(zhí)行。機房建設應符合GB9361中C類安全機房的要求；危險或易燃材料應在離安全區(qū)域安全距離以外的地方存放。大批供應品（例如文具等）不應存放于特殊安全區(qū)域內；應當控制外來人員對公共辦公區(qū)域的訪問，一般來說，非本公司人員必須要在主要出入口處填寫《來訪人員登記表》，并且在顯眼處佩戴本公司發(fā)出的來賓卡，由Sinosoft員工陪同。外來人員訪問三級含三級以上區(qū)域需簽署《參觀保密協(xié)議》；本公司工作人員都必須在顯眼處佩帶胸卡，并且調離本公司時，其實際進入權也同時相應取消；任何人如需要申請使用本公司感應卡門禁，申請人必須先填寫《門禁權限申請表》并獲得管理部或其授權代表的批準；管理部應定期(每三個月)審查訪問本公司的人員名單并將進出權限過期或作廢的人員從名單上劃掉。同時審查門禁系統(tǒng)控制權限分配，確保門禁權限控制正確。關鍵和敏感設施應當存放在與公共辦公區(qū)域相對隔離的場地，并應設計且實施保護，禁止在公共辦公區(qū)域處理重要的信息設施；危險或易燃物品應當擺放在離安全區(qū)域安全距離之外，機房操作員應當參見《機房管理規(guī)定》中的要求執(zhí)行值班任務。恢復設備和備份介質的存放地點應與主場地有一段安全的距離，要考慮信息設備面臨的可能的安全威脅，參考《業(yè)務持續(xù)性管理程序》的內容制定對應的業(yè)務連續(xù)性計劃，并要定期演練。人員離開安全區(qū)域時應當及時上鎖。除非經(jīng)過安全責任人授權，在安全區(qū)域不允許使用圖象、視頻、音頻或其它記錄設備。向本公司發(fā)送貨物必須預先通知管理部或其授權代表；送貨公司名稱和交貨時間應當在接收貨物之前由監(jiān)督人員確認；送貨公司在進入本公司區(qū)域之前要經(jīng)過工作人員鑒別確認；管理部或其授權代表應安排人員檢驗貨物，以保證沒有潛在的危害。設備安全目標：防止資產(chǎn)的丟失、損壞或被盜，以及對組織業(yè)務活動的干擾。設備應進行適當安置，以盡量減少不必要的對工作區(qū)域的訪問；應把處理敏感數(shù)據(jù)的信息處理設施放在適當?shù)南拗朴^測的位置，以減少在其使用期間信息被窺視的風險，還應保護儲存設施以防止未授權訪問；要求專門保護的部件要予以隔離，以降低所要求的總體保護等級；應采取控制措施以減小潛在的物理威脅的風險，例如偷竊、火災、爆炸、煙霧、水（或供水故障）、塵埃、振動、化學影響、電源干擾、通信干擾、電磁輻射和故意破壞；在信息處理設施附近禁止進食、喝飲料和抽煙；對于可能對信息處理設施運行狀態(tài)產(chǎn)生負面影響的環(huán)境條件（例如溫度和濕度）要予以監(jiān)視；所有建筑物都應采用避雷保護，所有進入的電源和通信線路都應裝配雷電保護過濾器；應保護處理敏感信息的設備，以減少信息泄露的風險；極其重要設備應部署在不同位置。計算機機房必須提供環(huán)境保障，機房建設必須遵照相關的機房建設規(guī)范進行。如中華人民共和國國家標準GB50174《電子計算機機房設計規(guī)范》，必須提供：穩(wěn)定的電源供給可靠的空氣質量控制（溫度，濕度，污染度）防火，防水，防高溫，防雷應盡量減少對機房不必要的訪問，在機房內工作必須遵守《機房管理規(guī)定》。Sinosoft各計算機機房是重要的信息處理場所，必須嚴格執(zhí)行Sinosoft有關安全保密制度和規(guī)定，并防止重要信息的泄露，保證業(yè)務數(shù)據(jù)、信息、資料的準確、安全可靠。計算機機房應列為單位重點防火部位，按照規(guī)定配備足夠數(shù)量的消防器材，并定期檢查更換。機房工作人員要熟悉機房消防用品的存放位置及使用方法，必須掌握防火設施的使用方法和步驟；要熟悉設備電源和照明用電以及其它電氣設備總開關位置，掌握切斷電源的方法和步驟。在遇到突發(fā)緊急情況時，必須以保護人身安全為首要目標。定期對機房供電線路及照明器具進行檢查，防止因線路老化短路造成火災。應當按照設備維護要求的時間間隔和規(guī)范，對設備進行維護。第三方支持和維護人員對重要設備技術支持前，必須經(jīng)過安全責任人的授權或審批。并且在對重要設備現(xiàn)場實施過程中必須有Sinosoft相關人員全程陪同，詳細規(guī)定參見《參觀保密協(xié)議》、《物理訪問控制管理規(guī)定》。設備的安全與重用應當按規(guī)定的操作程序來處理，特別是包含重要信息的存儲設備，應按照相關規(guī)定，以確定是否銷毀、修理或棄用該設備。對棄置的存儲有敏感信息的存儲設備，必須將其銷毀，或重寫數(shù)據(jù)，而不能只是使用標準的刪除功能進行數(shù)據(jù)刪除。當員工離開時，對于載有重要信息的紙張和可移動的存儲介質，應當妥善保管。遠程辦公人員有責任保護移動設備的安全，未經(jīng)網(wǎng)管中心批準，不得在公共場所訪問Sinosoft內部網(wǎng)絡。未經(jīng)信息安全責任人授權，不允許將載有重要信息的設備、信息或軟件帶離工作場所。機房內設備的出入必須填寫《機房進出記錄》。敷設到本公司內各個區(qū)域的其它電纜線的保護方式如下：1、進入信息處理設施的電源和通信線路宜在地下，若可能，或提供足夠的可替換的保護；2、網(wǎng)絡布纜要免受未授權竊聽或損壞，例如，利用電纜管道或使路由避開公眾區(qū)域；3、為了防止干擾，電源電纜要與通信電纜分開；4、使用清晰的可識別的電纜和設備記號，以使處理失誤最小化，例如，錯誤網(wǎng)絡電纜的意外配線；5、使用文件化配線列表減少失誤的可能性；6、對于敏感的或關鍵的系統(tǒng)，更進一步的控制考慮應包括：在檢查點和終接點處安裝鎧裝電纜管道和上鎖的房間或盒子；使用可替換的路由選擇和/或傳輸介質，以提供適當?shù)陌踩胧?；使用纖維光纜；使用電磁防輻射裝置保護電纜；對于電纜連接的未授權裝置要主動實施技術清除、物理檢查；控制對配線盤和電纜室的訪問；設備維護應按照供應商推薦的服務時間間隔和規(guī)范對設備進行維護，應遵守由保險策略所施加的所有要求；由供貨商維護的設備。各種維護活動要按照合同協(xié)議或設備購買時的維護計劃進行。設備管理責任部門和責任人要每年年初制訂《設備維護計劃》，《設備維護計劃》中列明設備維護的內容、維護時間與周期、維護人員、維護費用等內容。設備維護可分為日常維護（一級維護）、年度維護（二級維護）。日常維護由設備使用者在日常使用時進行，維護項目限于查看設備外觀有無明顯損壞、是否正常工作、是否通電正常等內；年度維護一般由供應商進行，在專業(yè)性上要求比日常維護都要強，包括一年一次或幾年一次不等，年度維護側重于設備潛在故障的及早發(fā)現(xiàn)和處理，年度維護后，要將維護項目、維護過程、維護人員、維護結果等內容詳細記錄在《設備維護記錄》中。只有已授權的維護人員才可對設備進行修理和服務，授權人員包括本公司內部人員，也包括供應商。無論內部人員還是外部人員，都必須具備相應的能力，并遵守安裝維護操作步驟和安全保護規(guī)則。在對設備進行維護時，要根據(jù)不同的維護內容及可能產(chǎn)生的風險，考慮是由內部人員執(zhí)行還是由外部人員執(zhí)行，在外部人員對設備進行維護時，應實施適當?shù)目刂?，需要時，敏感信息需要從設備中刪除或確保維護人員對其不具有訪問權限。對于由內部人員維護的設備，要依據(jù)設備供應商推薦的間隔和規(guī)范對設備進行維護。在設備維護過程中，要保存所有可疑的或實際的故障和所有預防、糾正維護的記錄，這些記錄包括日志、故障報告記錄等。本公司原則上禁止設備移出本公司物理環(huán)境。如確因工作需要，如展會、維修等，需將本公司的服務器、交換機、路由器等信息設備移到本公司辦公地點外使用，需要填寫《重要信息資產(chǎn)出司登記審批表》，經(jīng)過責任部門經(jīng)理的批準后才能移出本公司物理環(huán)境。如需要供應商將設備移出本公司物理環(huán)境進行維修時，在設備移出前，設備管理人員要將設備中敏感信息從設備中刪除或確保維護人員對其不可訪問或獲取。離開建筑物的信息設備和移動介質在公共場所要有專人看護和保管，不允許無人值守，適當時，還要施加其它措施進行控制，例如上鎖，以防止損壞、盜竊等事件發(fā)生。離開辦公場所的設備的保護應考慮下列措施：1、離開建筑物的設備和介質在公共場所不應無人看管。在旅行時便攜式計算機要作為手提行李攜帶，若可能宜偽裝起來；2、制造商的設備保護說明要始終加以遵守，例如，防止暴露于強電磁場內；3、家庭工作的控制措施應根據(jù)風險評估確定，當適合時，要施加合適的控制措施，例如，可上鎖的存檔柜、清理桌面策略、對計算機的訪問控制以及與辦公室的安全通信；4、足夠的安全保障掩蔽物宜到位，以保護離開辦公場所的設備。安全風險在不同場所可能有顯著不同，例如，損壞、盜竊和截取，要考慮確定最合適的控制措施。其它信息用于家庭工作或從正常工作地點運走的信息存儲和處理設備包括所有形式的個人計算機、管理設備、移動電話、智能卡、紙張及其他形式的設備。設備報廢處置時，存有敏感信息的存儲設備要從物理上加以銷毀，或用安全方式對信息加以覆蓋，而不能采用常用的標準刪除功能來刪除。所有帶有諸如硬盤等儲存媒介的設備在報廢前都要對其檢查，以確保其內存儲的敏感信息和授權專用軟件已被清除或覆蓋。存有敏感數(shù)據(jù)的已損壞的存儲設備要對其進行風險評估，以決定是否對其銷毀、修理或遺棄。為保證信息安全，必須在處理介質前擦除有關的敏感信息：1、用碎紙機銷毀所有的敏感紙質記錄。廢紙可在碎紙后立即處置掉。2、本公司里面不應積累過量紙質記錄。所有的紙質記錄都必須在處置前銷毀。3、磁帶和磁盤必須在處置前實際銷毀和核對。4、數(shù)據(jù)存儲光盤應在處置前實際銷毀。凡敏感性介質的處置都必須經(jīng)過主管領導的批準并記錄在「報廢記錄表」留待審計時備查。設備的移動應考慮如下措施：1、在未經(jīng)事先授權的情況下，不應讓設備、信息或軟件離開辦公場所；2、明確識別有權允許信息資產(chǎn)移動，離開辦公場所的雇員、承包方人員和第三方人員；3、應設置設備移動的時間限制，并在返還時執(zhí)行符合性檢查；若需要并合適，要對設備作出移出記錄，當返回時，要作出送回記錄。應執(zhí)行檢測未授權信息資產(chǎn)移動的抽查，以檢測未授權的記錄裝置、武器等等，防止他們進入辦公場所。這樣的抽查應按照相關規(guī)章制度執(zhí)行。應讓每個人都知道將進行抽查，并且只能在法律法規(guī)要求的適當授權下執(zhí)行檢查。Sinosoft通信和操作管理操作程序和責任目標：確保信息處理設施的正確和安全操作與信息處理和通信設施相關的系統(tǒng)活動應具備形成文件的程序，例如計算機啟動和關機程序、備份、設備維護、介質處理、計算機機房、郵件處置管理和物理安全等。操作流程必須形成文件、保持并對所有需要的用戶可用，并只有經(jīng)授權才可以修改。操作程序應詳細規(guī)定執(zhí)行每項工作的說明，其內容包括：1、信息處理和處置；2、備份；3、時間安排要求，包括與其他系統(tǒng)的相互關系、最早工作開始時間和最后工作完成期限；4、對在工作執(zhí)行期間可能出現(xiàn)的處理差錯或其它異常情況的指導，包括對使用系統(tǒng)實用工具的限制；5、出現(xiàn)不期望操作或技術困難事件時的支持性聯(lián)絡；6、特定輸出及介質處理的指導，包括任務失敗時輸出的安全處置程序；7、系統(tǒng)失效時使用的系統(tǒng)重啟和恢復程序；8、審核跟蹤和系統(tǒng)日志信息的管理。要將操作程序和系統(tǒng)活動文件化，其變更由管理者授權。技術上可行時，信息系統(tǒng)應使用相同的程序、工具和實用程序進行一致的管理。1、操作系統(tǒng)和應用軟件應有嚴格的變更管理控制。應考慮如下內容；2、重大變更的標識和記錄；3、變更的策劃和測試；4、對這種變更的潛在影響的評估，包括安全影響；5、對建議變更的正式批準程序；6、向所有有關人員傳達變更細節(jié)；7、返回程序，包括從不成功變更和未預料事件中退出和恢復的程序與職責。本公司確保對信息處理設施和系統(tǒng)的變更有適當控制，包括：1、變更前測試；2、所有變更相關信息的審計日志記錄都必須保留最少一年。具體變更管理控制參見《變更控制程序》。批準變更請求后，行政管理部會安排其操作人員準備實施變更。操作人員會在變更請求獲得批準后約定的時間內實施變更，并確保不會對現(xiàn)有的平臺造成意外的服務影響。行政管理部負責參與評審重大變更需求評審，確保變更不會造成安全影響。處理敏感信息資產(chǎn)時，可以考慮分離職責，如果不實施分離，則應當對處理操作予以記錄，并定期進行監(jiān)督。應當分離開發(fā)、測試與運營環(huán)境，敏感數(shù)據(jù)不可拷貝到測試環(huán)境中，測試完成后應當及時清理測試環(huán)境。如果因工作原因需要進行上述活動，應遵守以下做法：1、網(wǎng)管中心聯(lián)同開發(fā)方、運行方和需求方討論潛在的安全風險并設計防范程序；2、開發(fā)測試人員全權負責開發(fā)測試系統(tǒng)的管理，運行人員未經(jīng)授權不得參與開發(fā)測試系統(tǒng)的有關工作；3、運行人員全權負責生產(chǎn)系統(tǒng)的管理，開發(fā)測試人員未經(jīng)授權不得參與生產(chǎn)系統(tǒng)的有關工作；4、運行人員要密切監(jiān)督生產(chǎn)系統(tǒng)，以保證開發(fā)、測試工作不會造成服務影響或安全事故；5、開發(fā)測試系統(tǒng)應當與生產(chǎn)系統(tǒng)分開，并清楚地標記測試周期和有關開發(fā)測試技術支持的聯(lián)系方式；6、對于需要在生產(chǎn)環(huán)境下進行的開發(fā)測試工作，需要經(jīng)過授權才能進行，并且在測試完成后，需要立即從生產(chǎn)環(huán)境卸載；7、如果開發(fā)人員需要訪問生產(chǎn)與運行設施，應當向本公司相關人員申請；8、開發(fā)完成的應用項目在投入使用前，應當提交一份上線申請。在系統(tǒng)進入生產(chǎn)環(huán)境前，確認以下操作：卸載與運行無關的開發(fā)、測試相關的工具、文件與數(shù)據(jù)等；修改默認用戶名/密碼。第三方服務交付管理目標：實施并保持信息安全的適當水平，確保第三方交付的服務符合協(xié)議要求。應定期對第三方的服務及相關的報告、記錄、交付件進行審查，審查方式包括本公司的內部審計，或聘請外面獨立審計機構進行的審計。本公司對第三方服務的監(jiān)督和評審應按照商定的信息安全條款執(zhí)行，使信息安全事故和問題得到適當?shù)墓芾?。監(jiān)督和評審應涉及到如下內容：1、監(jiān)督服務執(zhí)行效率并檢查對協(xié)議的符合程度；2、評審由第三方產(chǎn)生的服務報告、記錄、交付件，定期安排項目進展會議；3、第三方應提供如下信息內容供本公司評估：服務過程中所應用到的軟硬件產(chǎn)品、所使用的協(xié)議、系統(tǒng)部署及使用指南、知識產(chǎn)權、安全使用許可銷售證明等；4、對第三方在交付服務過程中所進行的審核跟蹤流程，及相關的安全事件、操作問題、故障、失誤追蹤和破壞的記錄等進行評審；5、對服務交付過程中出現(xiàn)的所有問題進行識別和管理。應對第三方服務的有關變更進行管理，變更包括本公司及第三方對現(xiàn)有的信息安全方針策略、程序和控制措施的任何改進。要考慮變更所涉及到的業(yè)務系統(tǒng)及相關過程的關鍵程度，并對有關風險進行再評估。對第三方服務變更的管理過程需要考慮：本公司實施的變更：對提供的現(xiàn)有服務的加強；任何新應用和系統(tǒng)的開發(fā)；組織策略和程序的更改或更新；解決信息安全事故和改進安全的新的控制措施。第三方實施的變更：對網(wǎng)絡的變更和加強；新技術的使用；新產(chǎn)品或新版本的采用；新的開發(fā)工具和環(huán)境的應用；服務設施物理位置的變更；相關產(chǎn)品及服務提供商的變更。系統(tǒng)策劃與驗收目標：最小化系統(tǒng)失效的風險應對系統(tǒng)容量進行監(jiān)控，并對未來容量要求進行預測，確保充足的處理和存儲能力。這些預測要考慮新業(yè)務和系統(tǒng)的要求，及本公司信息處理的當前狀況和未來趨勢。負責人員應當對主要系統(tǒng)資源的使用情況進行監(jiān)視，包括處理器、內存、文件儲存、打印機和其它輸出設備及通訊系統(tǒng)。網(wǎng)管中心應當運用這些信息來識別并避免可能對系統(tǒng)安全或服務提供構成隱患的潛在瓶頸，并事先進行適當?shù)难a救行動規(guī)劃。操作員應按需監(jiān)督檢查主機、帶寬和業(yè)務的運行情況。如：1、CPU使用率；2、內存使用；I/O使用；企圖非法進入系統(tǒng)的服務器。同時應監(jiān)控主路由器和交換機的以下方面：MRTG流量特征；設備日志；網(wǎng)絡設備的CPU使用率。網(wǎng)管中心清楚說明新信息系統(tǒng)、系統(tǒng)升級和新版本的安全驗收要求和標準，要保證所采用的升級、補丁、熱修補和新的版本不會影響正常的操作過程。網(wǎng)管中心要監(jiān)督責任部門對任何新的信息系統(tǒng)都要進行測試，并遵照已定的標準進行系統(tǒng)驗收。以下是本公司內的系統(tǒng)驗收標準。在新系統(tǒng)實施之前，要收集CPU和存儲空間使用量等性能統(tǒng)計。要保證性能不會突然下降，否則需要啟動恢復或應急計劃。要對所有相關的日常操作程序進行驗收，以保證在切換新系統(tǒng)后，能正確地恢復正常的操作。在應用任何新系統(tǒng)前都需要進行安全檢查。檢查內容包括操作系統(tǒng)版本、補丁等級、任何缺失的安全熱修補等等。對關鍵系統(tǒng)要對網(wǎng)絡系統(tǒng)和操作系統(tǒng)進行加固。采取必要措施，以確保變更可能造成的系統(tǒng)停機不會影響業(yè)務的持續(xù)性。確保所有的系統(tǒng)變更都盡可能安排在非工作時段內，以減輕對業(yè)務的影響。確保系統(tǒng)變更后不會減弱本公司的整體安全性。安排必要的測試以證實符合系統(tǒng)驗收標準。應用新系統(tǒng)時需對操作員進行相關培訓。要特別注意以下方面：邊界路由器/交換機：通過網(wǎng)絡監(jiān)測檢查網(wǎng)絡應用是否有突然變化。檢查CPU和存儲器是否有劇烈變化。確認防火墻的策略得到理想的執(zhí)行。確保所有內外聯(lián)通性良好。確保通過防火墻的應用程序如HTTP和FTP等都運行良好。驗收程序：新系統(tǒng)進入生產(chǎn)環(huán)境前，需要提交操作變更請求。新系統(tǒng)的使用者和交付者需要商討有關操作文件事宜，內容包括：系統(tǒng)功能和容量的測試步驟。恢復和重啟步驟。操作要求，包括數(shù)據(jù)備份、計劃重啟和工作環(huán)境整理要求。具體的安全控制要求（如果有）。維護備份安排以及廠商技術支持聯(lián)系。網(wǎng)管中心應確認操作人員在新系統(tǒng)上使用了商定的操作程序。防范惡意和移動代碼目標：保護軟件和信息的完整性。所有服務器和個人計算機都必須激活防病毒軟件，必須及時更新防病毒代碼庫。詳細規(guī)定參見《惡意軟件控制程序》。Sinosoft系統(tǒng)內的服務器和個人計算機必須使用可信來源的軟件，應對軟件進行病毒檢測后統(tǒng)一保存。員工應當?shù)骄W(wǎng)管中心指定的空間下載軟件，不得私自安裝軟件。必須對所有的電子郵件附件進行病毒掃描，也不要隨意打開來歷不明的郵件附件。應當開展對一般員工的預防病毒培訓。員工一旦發(fā)現(xiàn)或懷疑有PC或服務器被病毒感染,必須馬上斷開網(wǎng)絡并進行全盤掃描，，必須立即通知網(wǎng)管中心?？刂埔苿哟a：移動代碼是從一臺計算機到另一臺計算機之間傳送的軟件代碼，可以在很少或無需用戶干預的情況下自動執(zhí)行以完成特殊的功能。移動代碼和很多的中間件服務相關聯(lián)。當授權使用移動代碼時，其配置應確保授權的移動代碼按照清晰定義的安全策略運行，應阻止執(zhí)行未授權的移動代碼。應考慮下列措施以防止移動代碼執(zhí)行未授權的活動：在邏輯上隔離的環(huán)境中執(zhí)行移動代碼；阻止移動代碼的所有使用；阻止移動代碼的接收；使技術測量措施在一個特定系統(tǒng)中可用，以確保管理移動代碼；控制移動代碼訪問的可用資源；使用密碼控制，以唯一地對移動代碼進行認證。備份目標：保持信息和信息處理設施的完整性和可用性。信息備份按照《數(shù)據(jù)備份管理規(guī)定》實施。管理員應當對重要的應用系統(tǒng)、操作系統(tǒng)、配置文件及日志等制訂備份策略，并要定期對備份數(shù)據(jù)進行測試。如果是涉密信息，必須對備份信息實施加密。所有員工要定期對個人電腦上的重要數(shù)據(jù)進行備份，以減少不必要的損失。備份應當存儲在與主設備有足夠距離的地點，該地點應安全可靠，應同主設備場地使用同等的安全等級。備份數(shù)據(jù)的恢復能力應滿足本公司的業(yè)務持續(xù)計劃(BCP)。網(wǎng)絡安全管理目標：確保網(wǎng)絡中的信息和支持性基礎設施得到保護。應當對重要的線路、網(wǎng)絡設備采用冗余措施，以維持關鍵服務的可用性。網(wǎng)絡管理員應當參照《網(wǎng)絡安全管理規(guī)定》對網(wǎng)絡和網(wǎng)絡服務進行充分的管理和控制，并采用網(wǎng)管工具對通訊線路、網(wǎng)絡設備、網(wǎng)絡流量進行實時的監(jiān)控和預警。處理敏感信息的計算機應當與Sinosoft局域網(wǎng)物理隔離，應當采用適當?shù)募用芗夹g。密碼必須間隔一定的周期定期修改。如果某個密碼被泄露，必須及時修改口令。本公司要定期全面更換密碼。凡允許遠程登錄連接的網(wǎng)絡設備都要實施嚴格的登錄控制。這種遠程連接路徑的登錄與退出都必須經(jīng)過遠程登入本公司的網(wǎng)關的許可。否則在不允許使用遠程登入連接的情況下只能從控制臺登入。生產(chǎn)環(huán)境中的所有網(wǎng)絡設備上的默認用戶名和密碼必須盡可能地全部清除。所有新創(chuàng)建的用戶名和密碼必須以不易被破解的方式設置。出于安全原因一般不允許合同方或第三方遠程登錄，如確實需要遠程登錄時，必須先得到網(wǎng)管中心的批準。每次登錄都要進行系統(tǒng)登錄驗證。本公司內部網(wǎng)絡中所有網(wǎng)絡設備和服務器都要隔離在外部網(wǎng)絡防火墻后面。網(wǎng)管中心監(jiān)測網(wǎng)絡設備，監(jiān)控網(wǎng)絡的可用性。以下設計方法保證網(wǎng)絡服務安全性：1、所有允許互聯(lián)網(wǎng)用戶訪問的內部系統(tǒng)，必須置于防火墻后；2、非本公司管理網(wǎng)絡，如需要對本公司網(wǎng)絡或系統(tǒng)進行訪問，必須經(jīng)過網(wǎng)管中心審核、網(wǎng)管中心同意才可訪問；3、使用VLAN按照功能分開不同內部系統(tǒng)，需要時候使用ACL；4、防火墻策略默認為禁止；5、網(wǎng)絡設備及主機中的網(wǎng)管關鍵字要取消“Public”、“Private”的默認設置，網(wǎng)管關鍵字的字符長度應當在8位以上。介質處理目標：防止對資產(chǎn)的未授權泄露、修改、移動或損壞，及對業(yè)務活動的的干擾。應當妥善記錄移動介質。不得將載有Sinosoft重要信息的存儲介質隨意存放，未經(jīng)安全責任人授權，不得帶出辦公地點。如果介質上的內容不再需要，應當立即清除。對于備份或存放有重要信息或軟件的存儲介質，在銷毀時，應當進行格式化或重寫數(shù)據(jù)，避免不必要的泄露。存放業(yè)務應用系統(tǒng)及重要信息的介質，嚴禁外借，確因工作需要，須報請部門領導批準。對需要長期保存的介質，必須在介質老化前進行轉儲，以防止因介質失效造成損失。應限制只有系統(tǒng)管理員才可訪問系統(tǒng)文檔。應對Sinosoft的所有信息數(shù)據(jù)分類標識，建立信息處置、存儲、分發(fā)的規(guī)程。本公司的可移動介質必須按照以下規(guī)定嚴格處理：1、符合“信息資產(chǎn)管理”策略的要求；2、適當分類、貼標貼并保持可移動介質的保存位置的準確記錄；3、嚴格控制在辦公環(huán)境和生產(chǎn)環(huán)境中使用可移動介質，具體辦法請參見《介質管理程序》。為保證信息安全，本公司必須在處理介質前擦除有關的敏感信息，包括如下：1、用碎紙機銷毀所有的敏感紙質記錄。廢紙可在碎紙后立即處置掉；2、本公司里面不得積累過量紙質記錄。所有的紙質記錄都必須在處置前銷毀；3、磁帶、磁盤和光學貯存介質必須在處置前進行物理銷毀，并由專人進行監(jiān)督和核對。凡敏感性介質的處置都必須經(jīng)過管理者的批準，并記錄在“報廢記錄表”留待審計時備查。具體辦法請參見《介質管理程序》。信息交換目標：應保持組織內部或組織與外部組織之間交換信息和軟件的安全。其它組織和本公司之間交換信息時要遵照《信息交換管理規(guī)定》執(zhí)行。應考慮如下控制：設計用來防止交換信息遭受截取、復制、修改、錯誤尋址和破壞的程序；檢測和防止可能通過使用電子通信傳輸?shù)膼阂獯a的程序；保護以附件形式傳輸?shù)拿舾须娮有畔⒌某绦?；簡述電子通信設施可接受使用的策略或指南；無線通信使用的程序，要考慮所涉及的特定風險；雇員、承包方人員和所有第三方人員不危害組織的職責，例如誹謗、擾亂、扮演、連鎖信寄送、未授權購買等；密碼技術的使用，例如保護信息的保密性、完整性和真實性；所有業(yè)務通信（包括消息）的保持和處理指南，要與相關國家和地方法律法規(guī)一致；不將敏感或關鍵信息留在打印設施上，例如復印機、打印機和傳真機，因為這些設施可能被未授權人員訪問；與通信設施轉發(fā)相關的控制措施和限制，例如將電子郵件自動轉發(fā)到外部郵件地址；提醒工作人員，他們應采取相應預防措施，例如，為不泄露敏感信息，避免打電話時被無意聽到或竊聽：當使用移動電話時，要特別注意在他們附近的人；搭線竊聽、通過物理訪問手持電話或電話線路以及受用掃描接收器的其他竊聽方式；接收端的人。不要將包含敏感信息的消息留在應答機上，因為可能被未授權個人重放，也不能留在公用系統(tǒng)或者由于誤撥號而被不正確地存儲；關于傳真機的使用問題，即：未授權訪問內置消息存儲器，以檢索消息；有意的或無意的對傳真機編程，將消息發(fā)送給特定的電話號碼；由于誤撥號或使用錯誤存儲的號碼將文檔和消息發(fā)送給錯誤的電話號碼。不要注冊統(tǒng)計數(shù)據(jù)，例如任何軟件中的電子郵件地址或其他人員信息，以避免未授權人員收集；傳真機和影印機都有頁面緩沖并在頁面或傳輸故障時存儲頁面，一旦故障消除，這些將被打印。另外，不要在公共場所或開放辦公室和薄圍墻的會場進行保密會談。員工必須遵守國家有關信息管理的法規(guī)，不得利用網(wǎng)絡危害國家安全、泄露國家秘密，不得違反中華人民共和國現(xiàn)行法律和法規(guī)，不得侵犯國家社會集體的和公民的合法權益。敏感信息應當通過專用的線路傳輸。未經(jīng)安全責任人授權，員工不得與外部聯(lián)網(wǎng)的計算機信息系統(tǒng)傳輸涉及Sinosoft重要信息的文件。員工不得利用網(wǎng)絡對他人進行侮辱、誹謗、騷擾；不得侵害他人合法權益；不得侵犯他人的名譽權，肖像權、姓名權等人身權利；不得侵犯他人的商譽、商標、版權、專利、專有技術等各種知識產(chǎn)權。在通過郵政等物理傳輸方式傳輸時，應保護包含重要信息的介質的安全。應控制并記錄允許操作業(yè)務系統(tǒng)的用戶名單，未經(jīng)安全責任人授權，不得隨意變更訪問限制和共享信息。傳遞含機密信息應按照《保密管理規(guī)定》中的規(guī)定進行控制。收發(fā)的所有電子文件都必須經(jīng)過病毒掃描。對電子郵件的使用、管理和歸檔的有關要求請參見《電子郵件管理規(guī)定》。業(yè)務信息系統(tǒng)的安全方針和控制程序如《業(yè)務信息系統(tǒng)管理辦法》中所描述。業(yè)務信息系統(tǒng)具體控制措施如下：1、本公司的員工和網(wǎng)管中心授權的人員僅限于為工作目的接入業(yè)務信息系統(tǒng)；2、業(yè)務信息系統(tǒng)要定期備份(請參閱《數(shù)據(jù)備份管理規(guī)定》)；3、所有系統(tǒng)都可以參考相應手冊中的配置指南快速恢復。本公司網(wǎng)站服務器應置于防火墻后，除非確有必要，否則應只容許HTTP/HTTPS服務。1、網(wǎng)站內容、服務器配置改變，必須確保：2、網(wǎng)站內容、服務器變更前已經(jīng)測試，內容經(jīng)過審核；3、變更是經(jīng)過批準的；4、變更后有適當驗收。監(jiān)視和審計目標：檢測未經(jīng)授權的信息處理活動。應當使用監(jiān)視程序以確保用戶只執(zhí)行被明確授權的活動，審計內容應細化到個人而不是共享帳號。審計至少包括用戶ID、系統(tǒng)日志、操作記錄等?？梢詫嵤┌踩a(chǎn)品或調整配置，以記錄和審計用戶活動、系統(tǒng)、安全產(chǎn)品和信息安全事件產(chǎn)生的日志，并按照約定的期限保留，以支持將來的調查和訪問控制監(jiān)視。可以在內網(wǎng)中配置日志服務器，專門收集主機、網(wǎng)絡設備、安全產(chǎn)品的日志，以避免日志被破壞或覆蓋。下列事件日志記錄機制通用于整個公司：1、關鍵網(wǎng)絡安全事件；2、關鍵服務器安全事件。關鍵網(wǎng)絡安全事件和關鍵服務器安全事件應記錄在事件日志中，其內容建議包括以下信息：1、用戶驗證用的用戶帳號；2、網(wǎng)絡地址；3、系統(tǒng)登錄成敗(驗證結果)；4、事件的日期和事件。本公司必須按照規(guī)定的事件日志記錄格式，監(jiān)控在用系統(tǒng)的狀態(tài)，執(zhí)行《系統(tǒng)監(jiān)控管理規(guī)定》。另外，如果發(fā)生不良事件可能影響網(wǎng)絡安全，或檢測到有關鍵服務器安全事件，應執(zhí)行《信息安全事件管理程序》中確定的安全事故報告程序。網(wǎng)絡管理系統(tǒng)檢測到的警告信息應按照要求發(fā)送給網(wǎng)管中心。本公司監(jiān)控范圍如下：1、合法訪問，包括如下詳細內容：用戶ID；重要事件的日期和時間；事件類型；所訪問的文件；所用程序/實用程序。2、所有特權操作，如：特權帳號的使用；系統(tǒng)啟動和停止；I/O設備連接/分離。3、非法訪問次數(shù)，如：失敗次數(shù)；訪問策略的違反情況和通知；網(wǎng)關和防火墻。4、系統(tǒng)預警或故障，如：控制臺預警或消息；系統(tǒng)日志異常情況；網(wǎng)絡管理報警。保護日志信息：日志審核包括了解系統(tǒng)面臨的威脅以及這些威脅出現(xiàn)的方式。有些事件可能在發(fā)生安全事故時要求進行進一步調查。系統(tǒng)日志通常包括大量的信息，多數(shù)與安全監(jiān)控無關。為了識別用于安全監(jiān)控目的的重要事件，應進行安全事件的監(jiān)控和管理。應采取措施監(jiān)控非法更改和操作問題，包括：停用日志記錄工具；對所記錄的消息類型進行更改；正在編輯或刪除日志文件；日志文件介質即將填滿，或者無法記錄事件，或者重寫。應對日志進行集中管理。管理員和操作員日志:（一）系統(tǒng)管理員和系統(tǒng)操作員的活動應記入日志。（二）日志要包括：事件（成功的或失敗的）發(fā)生的時間；2、關于事件（例如處理的文件）或故障（發(fā)生的差錯和采取的糾正措施）的信息；涉及的帳號和管理員或操作員；涉及的過程。（三）系統(tǒng)管理員和操作員日志須定期審核。錯誤日志：錯誤日志記錄在「故障處理單」，包含以下內容：故障/錯誤發(fā)生和恢復的日期和時間；故障/錯誤報告/探測和處理情況；故障等級；聯(lián)系的技術支持；后續(xù)措施如隔級報告。行政部網(wǎng)絡管理要負責審核《故障處理單》，確保錯誤恢復并且無任何安全問題。如果故障仍留有安全隱患，應當通知行政部網(wǎng)絡管理。行政部網(wǎng)絡管理應與有關方評審事故并落實為防止再發(fā)生錯誤所采取的糾正措施。時鐘同步：應在Sinosoft網(wǎng)絡中配置時鐘服務器，被審計的信息設備應同時鐘服務器的時間保持同步，以避免審計上的漏洞。Sinosoft信息系統(tǒng)訪問控制訪問控制的業(yè)務要求目標：控制對信息的訪問。訪問控制策略：1、本公司管理的所有邏輯訪問控制都應遵守信息安全策略中規(guī)定的訪問方針。本公司員工按照《信息安全策略》的要求，履行自己的信息安全職責。2、本公司需要建立統(tǒng)一的訪問控制策略，由信息安全工作小組批準，網(wǎng)管中心建立統(tǒng)一訪問控制策略。策略應考慮到下列內容：1）各個業(yè)務應用的安全要求；2）與業(yè)務應用相關的所有信息的標識和該信息面臨的風險；3）信息傳播和授權的策略，例如，了解原則和安全等級以及信息分類的需要；4）不同系統(tǒng)和網(wǎng)絡的訪問控制策略和信息分類策略之間的一致性；5）關于保護訪問數(shù)據(jù)或服務的相關法律和合同義務；6）在認可各種可用的連接類型的分布式和網(wǎng)絡化環(huán)境中的訪問權的管理；7）訪問控制角色的分離，例如訪問請求、訪問授權、訪問管理；8）訪問請求的正式授權要求；9）要求定期評審訪問控制；10）訪問權的取消。用戶訪問管理用戶注冊：一般來說用戶訪問各信息系統(tǒng)和服務的注冊和注銷程序包括：1）填寫《用戶權限申請表》；2）使用唯一的用戶ID號碼，保證可由此號碼追溯用戶，從而使其對自己的行為負責。組ID只在與執(zhí)行的任務相適應的情況下允許使用；3）要檢查使用信息系統(tǒng)或服務的用戶是否具有該系統(tǒng)擁有者的授權；4）檢查所授予的訪問級別是否與業(yè)務目的相適合，是否與組織的安全方針保持一致；5）保存所有用戶注冊的正式記錄；6）在收到服務終止申請或任何本公司的員工離職或調離后，立即注銷該用戶的訪問權；7）定期檢查并清理多余的用戶賬號。變更、取消訪問權或注銷：填寫《用戶權限變更表》。應該：1）核實表格的完整性，全部資料填寫妥當；2）核實授權有效并得到行政管理部的批準；3）變更/刪除/禁用用戶帳號。特權管理：（一）控制措施應限制和控制特殊權限的分配及使用。應考慮下列步驟：1、應標識出與每個系統(tǒng)產(chǎn)品，例如，操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)和每個應用程序，相關的訪問特殊權限，以及必須將其分配的用戶；2、特殊權限應按照訪問控制策略在“需要使用”的基礎上和“逐個事件”的基礎上分配給用戶，例如僅當需要時，才為其職能角色分配最低要求；3、應維護所分配的各個特殊權限的授權過程及其記錄。在未完成授權過程之前，不應授予特殊權限；4、應促進開發(fā)和使用避免具有特殊權限才能運行的程序；5、特殊權限應被分配一個不同于正常業(yè)務用途所用的用戶ID。（二）本公司要嚴格控制特權的分配和使用。任何第三方都不得使用他人的帳戶或者其它邏輯訪問。（三）任何信息系統(tǒng)，只能由其所有者或授權管理者控制該系統(tǒng)的特權帳戶的口令，包括關鍵服務器、路由器和防火墻等所用的口令。（四）任何用戶在使用多用戶信息系統(tǒng)和服務時都必須驗證身份。（五）所有申請?zhí)貦嘤脩魩ぬ柡涂诹畹男袨槎急仨毥?jīng)過相關部門負責人，由相關部門負責人確定是否發(fā)給他們口令。必須遵照以下做法：1、原則上不要將口令分配給外部人員；2、如果系統(tǒng)發(fā)生故障且本公司需要設備供應商的幫助，口令不得傳給設備供應商的工程師。本公司人員對設備供應商的支持人員(工程師)進行身份識別，并陪同工程師登入并在工程師完成任務后注銷；3、在供應商必須由特權口令進行的工作完成后，修改該口令；無法做出判斷后請示上級領導；4、保存一份全部分配特權和確認口令變更的書面記錄。（六）緊急請求特權帳號如Windows服務器的管理員和UNIX/Linux服務器的根口令時，必須遵守以下程序：1、本公司員工填寫「用戶權限變更表」，寫明帳號申請原因、申請期限；2、該申請表格需經(jīng)過相關部門負責人審核通過；3、帳號發(fā)布時，應當保證口令信息的保密性；4、申請表作為公司檔案保存；5、信息安全管理小組定期審核申請記錄，檢查是否存在違規(guī)的情況。用戶口令管理請參見《口令管理規(guī)定》。用戶訪問權限檢查：（一）周期性檢查用戶訪問權限。（二）更短的周期性檢查特殊訪問權限。特權包括：1、平臺系統(tǒng)和數(shù)據(jù)庫的管理員帳戶；2、擁有管理員權限的WINDOWS帳戶；3、UNIX/Linux的root帳戶；4、所有路由器、交換機或專用設備的管理員帳戶；5、防火墻管理員帳戶；6、擁有專門特權(取決于系統(tǒng))的其它系統(tǒng)的帳戶。用戶責任目標：避免未授權用戶的訪問，防止信息和信息處理設施的安全。口令的使用：（一）所有的用戶都對其個人用戶帳號和口令有關的任何活動承擔責任或可能的紀律和/或法律責任。同樣，用戶也禁止用其它用戶的ID從事活動。（二）用戶口令使用請參見《口令管理規(guī)定》。無人職守的用戶設備：（一）應確保無人值守的用戶設備有適當?shù)谋Ｗo。（二）相關部門負責人具有保護無人職守用戶設備的職責，應建立保護無人職守用戶設備的管理辦法。所有員工應做到：1、當使用結束時，終止有效會話，利用合適的鎖定機制使它們安全，例如，有口令保護的屏幕保護程序或使用lock命令；2、當會話結束時退出主計算機、服務器和辦公PC（即，不僅僅關掉PC屏幕或終端）；3、當不使用設備時，利用帶鑰匙的鎖或等價控制措施來保護PC或終端不被未授權使用，例如，設置口令。（三）在公共區(qū)域安裝的設備（例如工作站或文件服務器）在長期無人值守時需要專門的保護，以防止未授權訪問。清空桌面和屏幕（一）本公司內所有工作站和服務器，如有可能，必須設置有口令的屏幕保護。（二）清空桌面和屏幕的目的是降低未經(jīng)授權存取信息、遺失或損壞信息的風險。1、如有可能，特別是下班后，將文件鎖在柜子里；2、敏感或關鍵業(yè)務資料在不用時，特別是辦公室無人時，應鎖起來（最好是鎖在防火保險柜或保險箱里）；3、個人電腦和電腦終端及打印機在無人使用時要求有口令、口令鎖或其它的保護措施；4、無人照看的傳真要加以保護；5、下班后，要對復印機加以保護，防止非法使用；6、敏感或機密信息打印出來后要馬上從打印機上拿走；7、敏感或機密信息傳真過來時，應提前守候。網(wǎng)絡訪問控制目標：防止對網(wǎng)絡服務的未經(jīng)授權的訪問。網(wǎng)絡服務的使用策略：應制定使用網(wǎng)絡和網(wǎng)絡服務的網(wǎng)絡訪問安全策略。這一策略應包括：（一）允許被訪問的網(wǎng)絡和網(wǎng)絡服務；（二）確定允許哪個人訪問哪些網(wǎng)絡和網(wǎng)絡服務的授權程序；（三）保護訪問網(wǎng)絡連接和網(wǎng)絡服務的管理控制措施和程序；（四）訪問網(wǎng)絡和網(wǎng)絡服務使用的手段（例如，撥號訪問互聯(lián)網(wǎng)服務提供商或遠程系統(tǒng)的條件）。外部連接的用戶鑒別：（一）應當遵守網(wǎng)絡安全策略。（二）一般情況下，所有基于互聯(lián)網(wǎng)訪問到本公司內部網(wǎng)絡時都必須由身份認證服務器驗證用戶帳號和口令。（三）完成遠程訪問驗證后，本公司內所有的系統(tǒng)都要求用戶通過用戶帳號和口令確認和驗證用戶的身份。網(wǎng)絡上的設備標識：使用設備標識。應建立設備入網(wǎng)準入制度，只有獲批準的設備才允許連接網(wǎng)絡。遠程診斷和配置端口的保護：(一)本公司的信息處理設施和網(wǎng)絡設備的遠程診斷端口默認為禁用。對于那些服務商需要訪問的遠程診斷設施要求采取以下控制措施：1、不用時必須關閉或禁用；2、必須驗證申請方的身份。（二）遠程診斷設備必須應用驗證控制措施，可以用回撥或用戶認證方式。網(wǎng)絡隔離：（一）本公司應采用防火墻技術和VLAN技術實現(xiàn)網(wǎng)絡域的邏輯分離，并保證各個網(wǎng)絡域之間只有授權的信息流。（二）任何對本公司控制的防火墻和VLAN策略的更改都必須經(jīng)過相關部門負責人的批準并遵守《變更管理程序》。網(wǎng)絡連接控制：（一）本公司保持嚴格的分離控制措施，保證跨邊界的訪問安全。邊界路由器使用防火墻規(guī)則、VLAN或路由器訪問控制列表，阻止未授權IP地址的訪問。（二）防火墻策略的設計要遵守“缺省全部拒絕”原則，只允許必需的信息流通過網(wǎng)絡區(qū)段。本公司防火墻中要根據(jù)業(yè)務要求確定應用的規(guī)則。（三）本公司管理的網(wǎng)絡訪問策略的任何更改都必須經(jīng)過相關部門負責人的批準，并遵守《變更管理程序》。信息安全工作小組負責定期審核。網(wǎng)絡路由控制：（一）本公司路由采用基于源地址和目的地址的安全訪問控制，由人工輸入到本公司的路由設備。路由配置定期備份。（二）本公司網(wǎng)絡路由的任何更改都必須遵守《變更管理程序》。操作系統(tǒng)訪問控制目標：防止對操作系統(tǒng)未授權訪問。安全登錄程序：登錄到操作系統(tǒng)的程序應設計成使未授權訪問的機會減到最小。因此，登錄程序應泄露最少有關系統(tǒng)的信息，以避免給未授權用戶提供任何不必要的幫助。（一）不顯示系統(tǒng)或應用標識符，直到登錄過程已成功完成為止。（二）顯示只有已授權的用戶才能訪問計算機的一般性的告警通知。（三）在登錄過程中，不提供對未授權用戶有幫助作用的幫助消息。（四）僅在所有輸入數(shù)據(jù)完成時才驗證登錄信息。如果出現(xiàn)差錯情況，系統(tǒng)不應指出數(shù)據(jù)的哪一部分是正確的或不正確的。（五）限制所允許的不成功登錄嘗試的次數(shù)（推薦3次）并考慮：1、記錄不成功的嘗試和成功的嘗試；2、在允許進一步登錄嘗試之前，強加一次延遲，或在沒有特定授權情況下拒絕任何進一步的嘗試；3、斷開數(shù)據(jù)鏈路連接；4、如果達到登錄的最大嘗試次數(shù)，向系統(tǒng)控制臺發(fā)送警報消息；5、結合口令的最小長度和被保護系統(tǒng)的價值，設置口令重試的次數(shù)。（六）限制登錄程序所允許的最大和最小次數(shù)。如果超時，則系統(tǒng)應終止登錄。（七）在成功登錄完成時，顯示下列信息：1、前一次成功登錄的日期和時間；2、上次成功登錄之后的任何不成功登錄嘗試的細節(jié)。（八）不顯示輸入的口令或考慮通過符號隱藏口令字符。（九）不在網(wǎng)絡上以明文傳輸口令。HYPERLINK用戶標識和鑒別：建立用戶命名策略：所有用戶應有唯一的、專供其個人使用的標識符（用戶ID），應選擇一種適當?shù)蔫b別技術證實用戶所宣稱的身份。并將這一控制策略應用于所有類型的用戶（包括技術支持人員，操作員，網(wǎng)絡管理員、系統(tǒng)程序員和數(shù)據(jù)庫管理員）。應使用用戶ID來將各個活動追蹤到各個責任人?？诹罟芾硐到y(tǒng)：本公司各個平臺上必須按照以下標準啟動控制系統(tǒng)的口令管理系統(tǒng)：（一）強制使用個人用戶ID和口令，以保持可核查性；（二）允許用戶選擇和變更他們自己的口令；（三）強制選擇優(yōu)質口令；（四）強制口令變更（至少半年1次）；（五）在第一次登錄時強制用戶變更臨時口令；（六）維護用戶以前使用的口令的記錄，并防止重復使用；（七）在輸入口令時，不在屏幕上顯示；（八）分開存儲口令文件和應用系統(tǒng)數(shù)據(jù)；（九）以保護的形式（例如加密）存儲和傳輸口令。系統(tǒng)實用工具的使用：（一）系統(tǒng)實用工具程序僅控制限于「特權帳戶」使用；（二）將系統(tǒng)實用工具和應用軟件分開；（三）限制系統(tǒng)實用工具的可用性，例如，在授權變更的時間內；實用工具程序僅控制限于「特權帳戶」使用。1、「特權帳戶」例如：主機系統(tǒng)的管理員，Unix系統(tǒng)的root，Windows系統(tǒng)的Adminisrator，數(shù)據(jù)庫軟件例如Oracle的system，DBA，或者路由器、交換機的“enable”口令，都可以作改變配置、安裝軟件、不受一般系統(tǒng)安全的限制；2、系統(tǒng)實用工具程序應安裝在單獨的地方，其訪問限制權與其它應用程序區(qū)分開。會話超時：不活動會話應在一個設定的休止期后關閉。聯(lián)機時間的限定：（一）應使用聯(lián)機時間的限制，為高風險應用程序提供額外的安全。（二）應考慮對敏感的計算機應用程序，特別是安裝在高風險位置的應用程序，使用連機時間的控制措施。這種限制的示例包括：1、使用預先定義的時間間隔，如對批文件傳輸，或定期的短期交互會話；2、如果沒有超時或延時操作的要求，則將連機時間限于正常辦公時間；3、考慮定時進行重新鑒別。應用程序和信息訪問控制目標：防止對應用系統(tǒng)中信息的非法訪問。信息訪問限制：（一）凡訪問本公司內部系統(tǒng)的請求都必須經(jīng)過相關部門負責人的批準。用戶和支持人員對信息和應用系統(tǒng)功能的訪問應依照已確定的訪問控制策HYPERLINK略加以限制。（二）對訪問的限制應基于各個業(yè)務應用要求。（三）使用以下控制措施：1、提供用于控制對應用系統(tǒng)功能訪問的菜單；2、通過對文檔進行適當?shù)木庉媮硐拗朴脩袅私鉄o權訪問的信息或應用系統(tǒng)功能；3、控制用戶的訪問權，如讀寫權限、刪除權限以及執(zhí)行權限；4、保證處理敏感信息的應用系統(tǒng)輸出僅包含與輸出的使用相關的信息，而且只發(fā)送給授權終端和地點，包括對這些輸出進行定期檢查，保證將多余的信息刪除掉。敏感系統(tǒng)隔離：敏感系統(tǒng)應有專用的（隔離的）運算環(huán)境。應運行在專用的計算機上，僅與可信的應用系統(tǒng)共享資源。隔離可通過使用物理或邏輯手段實現(xiàn)。移動計算和遠程工作目標：確保在使用移動計算機和遠程工作設施時的安全。移動計算：本公司用的移動計算設備(包括筆記本電腦和PDA)必須嚴格受控，包括：（一）使用移動計算設備必須經(jīng)過本公司相關負責人的批準。（二）公用移動計算設備中貯存的數(shù)據(jù)應作為臨時資料處理，用后要刪除。（三）個人使用的移動計算設備必須設置硬件口令、OS級別口令或屏幕保護程序口令。（四）移動計算設備的保管必須保證實體安全，不得無人看守。安裝最新的防病毒軟件。遠程工作：（一）本公司使用遠程登錄設施與授權方或支持本公司的業(yè)務合作伙伴進行遠程工作。這些遠程登錄設施僅在緊急情況或檢測時使用。（二）如本公司員工需要遠程訪問內部系統(tǒng)，則需保護家里的個人計算機免受病毒感染或黑客攻擊。否則應當使用本公司配發(fā)的筆記本電腦并遵守《系統(tǒng)遠程接入管理規(guī)定》中的控制措施。信息系統(tǒng)的獲取、開發(fā)和維護安全信息系統(tǒng)的安全要求目標：確保安全成為信息系統(tǒng)的一部分。對自主開發(fā)的信息系統(tǒng)或對現(xiàn)有系統(tǒng)的更新，在分析階段應當規(guī)定對安全控制的要求。應用系統(tǒng)的正確處理目標：防止應用系統(tǒng)信息的錯誤、丟失、未授權的修改或誤用。應用系統(tǒng)設計時應當針對數(shù)據(jù)安全進行以下方面的考慮：輸入數(shù)據(jù)驗證：對應用系統(tǒng)的數(shù)據(jù)輸入進行驗證，保證輸入數(shù)據(jù)正確并合乎要求。數(shù)據(jù)的容錯處理：為防止正確的數(shù)據(jù)因處理錯誤或故意人為等因素遭到破壞而采取的檢查和控制措施。輸出數(shù)據(jù)驗證：對應用系統(tǒng)輸出的數(shù)據(jù)進行驗證，保證對存儲信息的正確處理。消息驗證：檢查傳輸?shù)碾娮酉热菔欠裼蟹欠ㄗ兏蚱茐牡募夹g手段。可以用加密技術作為實現(xiàn)消息驗證的手段。加密：是用于保護信息機密性的技術。在保護敏感或關鍵信息時使用。周期性評審關鍵