1、1陕西煤业化工集团财务有限公司信息系统安全管理办法第一章 总 则第一条 为加强公司信息系统安全的规范管理，对可能影响系统的各种因素进行控制，确保系统、网络设备以及其他设施的安全正常运行，特制订本办法。第二条 本管理办法从系统层安全角度建立公司的信息系统安全保障体系。第二章 主机安全策略第三条 系统硬件采购必须符合公司的信息安全策略和其他技术策略，并符合公司的长期商业需求。第四条 系统硬件采购必须考虑：新设备在满足功能需要的同时，应有优秀的性能和足够的容量，以避免影响数据处理；数据必须有适当的保护策略，以避免丢失或意外或不可预测的破坏；系统必须有较大的冗余（电源、CPU 以及其他组件）来避免出现
2、突然的意外事件。第五条 系统硬件采购时，必须通过结构评估，应尽量获得最好的价格，性能，可靠性，容错性和售后技术支持，包括相应的技术文档或 IT 使用文档，以降低购买硬件设备的风险。第六条 所有主机设备应由专职人员负责定点存放和管理，定期检查存放处的物理环境，并按照物理安全管理要求进行维护；应对所有主机设备进行资产登记，登记记录上应该标明硬件型号，厂家，操作系统版本，已安装的补丁程序号，安装和升级的时间、系统配置信息等内容； 第七条 应对日常运维，监控、配置管理和变更管理在职责上进行分离，由不同的人员负责；在用户权限的设置时应遵循最小授权和权限分割的原则，只给系统用户、数据库系统用户或其它应用系
3、统用户授予业务所需的最小权限，应禁止为所管理主机系统无关的人员提供主机系统用户账号，并且关闭一切不需要的系统账号；对两个月以上不使用的用户账号进行锁定；应对主机设备中所有用户账号进行登记备案。第八条 各个业务系统应对其口令的选取、组成、长度、保存、修改周期做出明确规定；组成口令的字符应包含大小写英文字母、数字、标点、控制字符等，口令长度要求在 8 位以上；对于重要的主机系统，要求至少每个月修改一次口令，或者使用2一次性口令设备；对于管理用的工作站和个人计算机，要求至少每三个月修改一次口令；若掌握口令的管理人员调离本职工作时，必须立即更改所有相关口令；应定期利用口令破解软件进行口令模拟破解测试，
4、在发现脆弱性口令后及时采取强制性的补救修改措施。第九条 严格禁止非本系统管理人员直接进入主机设备进行操作，若在特殊情况下（如系统维修、升级等）需要外部人员（主要是指厂家技术工程师、非本系统技术工程师、安全管理员等）进入主机设备进行操作时，必须由本系统管理员登录，并对操作全过程进行记录备案；禁止将系统用户账号及口令直接交给外部人员，在紧急情况下需要为外部人员开放临时账号时，必须向安全管理机构和相关领导申请，在申请中写明开放临时账号的原因、时间、期限、对外部人员操作的监控方法、负责开放和注销临时账号的人员等内容，并严格根据安全管理机构的批复进行临时账号的开放、注销、监控，并记录备案。第十条 应尽可
5、能减少主机设备的远程管理方式，例如 Telnet 等，如果的确需要进行远程管理，应使用 SSH 代替 Telnet，并且限定远程登录的超时时间，远程管理的用户数量，远程管理的终端 IP 地址，并在配置完后立刻关闭此类远程管理功能；应尽可能避免使用 SNMP 协议进行管理，如果的确需要，应使用 V3 版本替代 V1、V2版本，并启用 MD5 等校验功能；进行远程管理时，应设置控制口和远程登录口的 idle timeout 时间，让控制口和远程登录口在空闲一定时间后自动断开。第十一条 严禁随意安装、卸载系统组件和驱动程序，如确实需要，应及时评测可能由此带来的影响，在获得信息安全管理员的批准下，将整
6、个过程记录备案；禁止随意下载、安装和使用来历不明，没有版权的软件，严禁安装本地或网络游戏以及即时通讯程序（ICQ，MSN，QQ 等），在服务器系统上禁止安装与该服务器所提供服务和应用无关的其它软件；禁止在重要的主机系统上浏览外部网站网页、接收电子邮件、编辑文档以及进行与主机系统维护无关的其它操作。如果需要安装补丁程序，补丁程序必须通过日常维护管理用的工作站或 PC 机进行下载，然后再移到相应的主机系统安装。第十二条 系统维护人员应在主机设备接入、系统配置变更、废弃等变更操作前进行数据备份，为一些关键的主机设备准备备件，保证一些常用主机设备的库存，以便在不成功的情况下及时进行恢复。3第十三条 新
7、的主机设备的接入应确定最佳接入方案，才可以进行实施，如果接入后对系统有影响，则由应急响应小组进行响应解决接入带来的故障。禁止私自安装或移动网络设备；业务系统人员如果需要使用主机设备，要求主机系统配置变更，应首先向系统维护人员提出申请，并由信息安全员进行安全确认签字后由系统维护人员负责安排实施，禁止私自变更主机系统配置；主机系统的废弃应首先向相关部门提出申请，由该部门根据实际业务需要进行审核，确定最佳废弃方案，禁止私自废弃或移动主机设备。第十四条 应对所有新接入的主机系统进行资产登记，登记记录上应该标明硬件型号，厂家，操作系统版本，已安装的补丁程序号，安装和升级的时间等内容。第十五条 任何新的主
8、机系统的接入都应进行记录备案，记录内容应包括：接入人，接入时间，接入原因等；任何主机系统的配置变更情况都应进行记录，记录内容应包括：变更人，变更时间，变更原因，变更内容等，以便后期问题的查询分析；任何主机系统的废弃都应进行记录备案，记录内容应包括：废弃人，废弃时间，废弃原因。第十六条 任何新的主机系统接入、配置变更、废弃前，都应做好详细的应急预案，以备紧急情况时的应用，这些重大变更必须做到一人操作一人监督的管理。第十七条 新的主机系统在正式上架运行前应由系统维护人员进行功能测试，由信息安全员进行安全测试并确认签字后方能正式运行使用。严禁在不测试或测试不成功的情况下接入网络。信息安全员需要测试的
9、内容如下：查看硬件和软件系统的运行情况是否正常、稳定。查看 OS 版本和补丁是否最新。OS 是否存在已知的系统漏洞或者其他安全缺陷。第十八条 新的主机系统在正式上架运行前，应严格按照相关系统安全配置管理规定中的内容进行配置，并记录备案。第十九条 新的主机系统在正式上架运行后，应经过一段时间的试运行，在试运行阶段，应严密监控其运行情况；当发现网络运行不稳定或者出现明显可疑情况时，应立即启动应急预案；试运行阶段后，应按照相关日常运维管理规定进行管理。第二十条 任何主机系统的配置变更前，应严格按照相关系统安全管理规定中的内容进行配置检查，主机系统的软件变更或配置变更后，应经过一段时间的试运行，在试运
10、行阶段，同时还应严密监控其运行情况；当发现网络运行不稳定或者出现明显4可疑情况时，应立即启动应急预案；试运行阶段后，应按照相关日常运维管理规定进行管理。第二十一条 当主机系统的硬件存在变更情况时，应遵循“先废弃，再接入”的策略。第二十二条 主机系统废弃的安全考虑应有一套完整的流程，防止废弃影响到其他系统。任何主机系统废弃后，应经过一段时间的试运行，在试运行阶段，应严密监控网络中其他系统的运行情况；当发现网络运行不稳定或者出现明显可疑情况时，应立即启动应急预案；试运行阶段后，应对废弃的主机系统进行妥善保管或者按照有关规定对系统内的内容进行销毁。第三章 操作系统安全策略第二十三条 在新系统安装之前
11、应有详细的实施计划，包括：时间进度计划，人力资源分配计划，应急响应计划；应充分考虑新系统接入网络时对原网络中系统的影响，并制定详细的应急计划，避免因新系统的接入出现意外情况造成原网络中系统的损失。第二十四条 在新系统的安装过程中，应严格按照实施计划进行，并对每一步实施，都进行详细记录，最终形成实施报告。第二十五条 在新系统安装完成，投入使用前，应对所有组件包括设备、服务或应用进行连通性测试、性能测试、安全性测试，并做详细记录，最终形成测试报告。第二十六条 在新系统安装完成，测试通过，投入使用前，应删除测试用户和口令，最小化合法用户的权限，最优化配置。第二十七条 新系统安装后，应及时对系统软件、
12、文件和重要数据进行备份。第二十八条 新系统安装后，应立即更改操作系统以及应用服务默认的配置和策略，并进行备份。第二十九条 禁止主机系统上开放具有“写”权限的共享目录，如果确实必要，可临时开放，但要设置强共享口令，并在使用完之后立刻取消共享。第三十条 应严格并且合理的分配服务安装分区或者目录的权限，如果可能的话，给每项服务安装在独立分区；取消或者修改服务的 banner 信息；避免让应用服务运行在 root 权限下。5第三十一条 应严格控制重要文件的许可权和拥有权，重要的数据应当加密存放在主机上，取消匿名 FTP 访问，并合理使用信任关系。第三十二条 关闭不必要的用户账号，对于在系统中默认创建的
13、用户账号，应该将其关闭。并且经常检查系统的账户，删除已经不再使用的账户。第三十三条 应对日志功能的启用、日志记录的内容、日志的管理形式、日志的审查分析做出明确的规定；对于重要主机系统，应建立集中的日志管理服务器，实现对重要主机系统日志的统一管理，以利于对主机系统日志的审查分析；应保证各设备的系统日志处于运行状态，并每两周对日志做一次全面的分析，对登录的用户、登录时间、所做的配置和操作做检查，在发现有异常的现象时应及时向信息安全工作组报告。第三十四条 原则上应用系统经过测试上线后操作系统不进行后续补丁更新。但当应用系统故障是由操作系统漏洞引起的则需要为操作系统打补丁，补丁需经过测试机严格测试稳定
14、后才能打到生产机上。第三十五条 应至少每天 1 次，对所有主机设备进行检查，确保各设备都能正常工作；应通过各种手段监控主机系统的 CPU 利用率、进程、内存和启动脚本等的使用状况，在发现异常系统进程或者系统进程数量异常变化时，或者 CPU 利用率，内存占用量等突然异常时，应立即上报信息安全工作组，并同时采取适当控制措施，并记录备案。第三十六条 当主机系统出现以下现象之一时，必须进行安全问题的报告和诊断：（一）系统中出现异常系统进程或者系统进程数量有异常变化。（二）系统突然不明原因的性能下降。（三）系统不明原因的重新启动。（四）系统崩溃，不能正常启动。（五）系统中出现异常的系统账号（六）系统账号
15、口令突然失控。（七）系统账号权限发生不明变化。（八）系统出现来源不明的文件。（九）系统中文件出现不明原因的改动。（十）系统时钟出现不明原因的改变。6（十一）系统日志中出现非正常时间系统登录，或有不明 IP 地址的系统登录。（十二）发现系统不明原因的在扫描网络上其它主机。第三十七条 应及时报告任何已知的或可疑的信息安全问题、违规行为或紧急安全事件，并在采取适当措施的同时，应向信息技术部报告细节；并不得试图干扰、防止、阻碍或劝阻其他员工报告此类事件；同时禁止以任何形式报复报告或调查此类事件的个人；应定期提交安全事件和相关问题的管理报告，以备管理层检查。第三十八条 系统软件安装之后，应立即进行备份；
16、在后续使用过程中，在系统软件的变更以及配置的修改之前和之后，也应立即进行备份工作；应至少每年 1 次对重要的主机系统进行灾难影响分析，并进行灾难恢复演习。第三十九条 应至少每年 1 次对整个网络进行风险评估，每次风险评估时，手工检查的比例应不低于 10，渗透测试的比例应不低于 5；风险评估后应在 10 个工作日内完成对网络的修补和加固，并进行二次评估。第四十条 用户口令策略一般口令系统的强度可从以下几个方面来加强：（一）口令的复杂性：规定口令中不能有口令字典中很容易构造的单词；混有大、小写字母、数字和特殊字符。每种类型至少包含一个字符（例如 emPagd2!)；（二）口令的长度：系统中有效口令
17、的长度不短于 8 个字符。在规定策略时可以限制口令的最短长度；（三）口令的有效期：系统中口令须有有效期的设置，可以规定口令的生命周期控制；（四）口令的差异度控制：在创建一个新口令时，至少 4 个字符要做改变。第四十一条 用户权限管理对于每个用户账号，应该只分配给用户为完成所承担任务所需的最小权限。权限分配及口令必须严格管理，并有相应的制度。第四十二条 办公用机最新补丁升级（一）系统补丁升级：定期检查操作系统厂商发布的补丁通告，并且结合自身系统的实际应用，分析是否有必要进行安装这些补丁。对于涉及到系统的安全性、稳定性、可用性的补丁程序，应进行安装。对于对系统运行无上述关联的补丁程序，可不必进行安
18、装。7（二）跟踪最新的操作系统安全相关问题的发布，及时/定时对操作系统进行整理，清除软件垃圾、病毒程序和恶意代码。（三）操作系统版本升级或更新后，建议对升级或更新对信息系统的影响进行分析，并对安全策略进行调整。第四十三条 最少服务原则（一）对于那些不必要的端口，应该关闭。（二）不启动任何不需要的服务。第四章 附 则第四十四条 本办法由信息技术部负责解释。第四十五条 本办法自发布之日起开始执行。8附录 系统补丁安装流程角 色流 程安 全 通 告 服 务 商提 供预 警 安全通告 根据跟踪最新系统漏洞情况下发安全通告 ， 提供安全补丁系 统 维 护 人 员初步判断补丁是否影响应用系统系 统 开 发 / 集 成 商系 统 补 丁 安 装 流 程影 响判 断补 丁安 装动 作 凭 证系 统测 试技术支持生产环境下修补安全漏洞否应用系统正常运行确认是测试确认补丁是否影响应用系统应用系统升级到不受补丁影响状态是 否现场配合 安全测试报告 应用系统升级记录 升级总结记录
