信息安全管理制度汇编

某单位 信息安全管理制度汇编 制定部门 某单位 审 核 批 准 生效日期 制度修订、修改记录 更改日期 原章节或内容 修订内容 修订部门 批准人 备注 目录 某单位信息安全总体方针与安全策略 - 3 - 某单位信息安全工作管理规定 - 12 - 某单位信息安全管理策略 - 16 - 某单位机房设备管理规定 - 25 - 某单位信息设备管理办法 29 某单位网络安全管理办法 34 某单位病毒防范安全管理办法 42 某单位备份与恢复管理规定 45 某单位网站运行维护管理办法 49 某单位信息系统变更管理办法 51 某单位信息安全惩戒管理规定 56 某单位第三方访问管理程序 57 某单位信息项目管理规定 60 某单位消防管理制度 63 某单位软件管理办法 65 某单位帐户权限与口令管理规定 67 某单位项目测试验收管理办法 73 某单位信息系统应急响应管理规定（条款序号）
76 某单位信息系统建设管理办法 82 某单位信息系统运行管理办法 87 某单位网络接入管理办法 93 某单位信息资产管理办法 96 某单位信息系统安全管理岗位及其职责 99 某单位员工安全管理规定 101 某单位运行维护管理规定 108 某单位安全岗位人员管理规定 110 某单位培训及教育管理规定 116 某单位外来人员安全管理规定 121 某单位介质管理规定 125 某单位环境设施和物理设备管理规定 129 某单位网络连接管理规定 136 某单位计算机用户安全手册 138 某单位系统安全管理说明 142 某单位安全事件报告与处置管理规定 164 某单位信息安全总体方针与安全策略 总则 第一条 为建立、实施、运行、监督、评审、保持和改进某单位的信息安全管理体系，确定信息安全方针和目标。

第二条 对信息安全风险进行有效管理，确保全体人员理解并遵照执行信息安全管理体系文件、持续改进信息安全管理体系的有效性，特制定本文件。

信息安全总体方针 第三条 信息安全方针为：安全第一、综合防范、预防为主、持续改进。

(一) 安全第一：信息安全为信息系统业务连续性提供基础保障，把信息安全作为信息系统建设与系统运行的首要任务。

(二) 综合防范：管理措施和技术措施并重，建立有效的识别和预防信息安全风险机制，合理选择安全控制方式，使信息安全风险的发生概率降低到可接受水平。

(三) 预防为主：依据国家相关规定和信息安全管理实践，根据信息资产的重要性等级，定期对重要信息资产进行安全测评，采取有效措施消除可能的隐患，最大程度降低信息安全事件发生的概率。

(四) 持续改进：建立全面覆盖信息安全各层面的安全管理机制，建立持续改进的体系框架，不断自我完善，为业务的稳定运行提供可靠的安全保障。

第四条 总体目标 (一) 保护信息系统及数据的完整性、可用性、机密性，不遭受破坏、更改及泄漏。

(二) 确保信息系统连续、可靠、正常运行，提供及时、持续和高质量的服务并不断改进。

(三) 信息安全管理体系建设和运行能满足信息系统日常安全管理的需要，并覆盖各个安全管理层面。

安全策略 第五条 信息资产管理策略 (一) 各类信息资产由信息技术科负责统筹管理，责任到人。

(二) 对信息资产进行梳理，建立信息资产清单，明确各信息资产的使用人员、运维人员、管理人员等相关责任人，制定各自的职责；
信息资产清单应定期维护与更新；
定期对信息资产进行盘点，确保信息资产的账实相符合完好无损。

(三) 为确保信息资产能受到适当的保护，信息应当分类以显示其所需保护的要求、优先、程度。信息分类应按照业务对信息访问的需求，及这些需求带来的影响进行划分，分为非常重要、重要、一般三个等级。

(四) 信息资产分类应该具有一定的灵活性。可以将信息资产分为数据、软件、硬件、文档、设备、人员等共6种类型，内容如下：
1) 数据：储存在电子媒介的各种数据资料，包括源代码、数据库数据、各种数据资料、系统文档、运行管理规定、用户手册等。

2) 软件：应用软件、系统软件、开发工具和资源库等。

3) 硬件：服务器、路由器、交换机、硬件防火墙、交换机、备份存储设备等。

4) 文档：纸质的各种文件、项目过程文件、日常管理记录文件、发展规划等。

5) 设备：UPS电源设备、空调、门禁、消防设施等。

6) 人员：系统管理人员、维护人员、外包服务人员等。

(五) 建立信息系统资产清单，明确每个信息系统的负责人和管理员，并落实其岗位职责。按照国家《信息系统安全等级保护基本要求》（GB/T 22239-2008）的要求，对信息系统分级，并按级别采取相应的安全保护措施。

(六) 信息系统分级后所采取的对应安全保护措施，必须由相应的负责人定期检查。

(七) 各类信息资产必须进行标识管理，标识内容包括资产名称、资产信息、所属系统、资产类别、重要级别、责任人等。

第六条 人员安全管理策略 (一) 访问敏感信息外包服务人员应在访问信息处理设施前签署相关协议。

(二) 所有管理人员离职时，确保其归还所有设备及删除其所有访问权限。人员离任前要履行交接手续，确保密码、设备、技术资料及相关敏感信息等的移交。

(三) 安全教育是指单位安全教育、部门教育和岗位教育。安全教育制度应纳入本单位的所有员工教育体系。安全教育要结合实际情况，编制具体的安全教育计划，计划要有明确的针对性，并适时修正、变更或补充内容。安全教育要由办公室负责，每次安全教育必须有考核机制。

第七条 物理和环境安全管理策略 (一) 设立物理安全保护区域，该区域包括放置重要存储设备和网络设备等重要信息科技设备的区域。物理安全保护区域的出入口设置安全屏障（如门禁）。

(二) 确保只有经过授权的人员才可以访问物理安全保护区域，整个访问过程应被监控和记录。

(三) 采用双回路市电、UPS等措施，保证设备电力供应连续。

(四) 建立严格的设备维护流程保证设备的可靠性和信息完整性，一般情况下不允许信息处理设备带出机房，如需将设备带出机房需进行审批。

(五) 教育局所属的便携式设备、台式机、笔记本、掌上电脑和其他便携式电子设备由个人负责保护，不允许将这些设备放于无人看守的或是没有安全防范措施的环境中。

(六) 办公电脑需根据安全要求统一安装防病毒软件，并设置密码和屏幕保护，人员离开后需启动屏保或关机。

(七) 人员离开后，门禁卡、重要文件等不允许摆放在桌面，需妥善保管。

第八条 网络安全管理策略 (一) 对网络系统的运营与安全防范实行统一管理，对政务外网、局域网应分别指定专人负责维护操作并建立维护记录。

(二) 管理人员需对网络交换机、路由器等网络关键设备进行定期检查、保养，对发现的问题进行记录、分析和跟踪解决。

(三) 建立网络管理系统，监控网络资源及运行状态，保障网络安全运行，跟踪网络配置变化等。

(四) 严格控制网络访问权限，定期对网络线路进行例行检查，防止非法接入。

(五) 根据信息安全级别，将网络划分为不同的逻辑安全域（以下简称为域），实施有效的安全控制，对每个域和整个网络进行物理或逻辑分区、实现网络内容过滤、逻辑访问控制、传输加密、网络监控、记录活动日志等。

(六) 网络交换机、路由器等网络关键设备要有备份，骨干网、重要通讯线路和网点通讯线路必须有备份或冗余回路。

第九条 运行安全管理策略 (一) 建立管理和操作信息处理设备的责任和流程，包括制定适当的操作手册和回退流程，在关键环节实行相互监督制度以减少疏忽或滥用系统的风险。任何对信息处理设备的操作都要有文档化的说明作为操作记录，文档中应具有每个操作的详细执行说明。操作说明的文档必须经过一套正式的管理流程进行授权，并对操作行为进行评估和审计。

(二) 定期备份重要业务信息和软件。要有足够的备份设备进行所有重要的业务信息和软件的备份，使得在灾难发生或存储设备失败时能够恢复。其他系统也要定期备份，以符合业务连续性策略的要求。

(三) 存储介质必须受到控制和物理保护。存放敏感信息的存储介质必须按照一套合适的管理标准进行管理，不再需要的介质中的内容必须安全清除。所有个人的存储介质不允许存放和传输业务和技术敏感信息，所有个人可移动介质不允许在重要业务处理服务器或敏感个人电脑上使用。重要业务介质需保存在档案室或保密文件柜内。

(四) 制定相关制度和标准，管理所有信息系统的日志，以支持有效的审核、安全取证分析和预防欺诈。应保证系统日志中包含足够的内容，以便完成有效的内部控制、解决系统故障和满足审计需要；
应采日志备份制度，并确保其完整性；
在意外情况发生后应及时复查系统日志。

(五) 部署防病毒系统，建立全面的计算机病毒查杀机制。所有连入内部域的电脑及其他设备，都应安装杀毒软件，并在接入之前进行病毒扫描；
制定病毒库升级策略和扫描策略，定期进病毒库更新和病毒扫描。

第十条 访问控制管理策略 (一) 建立和完善身份认证、授权与访问控制、应用层通信加密等应用层安全系统的管理规定，改善业务应用系统的整体安全性。并部署和管理身份认证系统、授权和访问控制系统。

(二) 严格控制访问权限审批，制定符合业务操作流程的访问控制审批单，形成访问控制审批过程记录。访问控制管理部门应拒绝不合理的访问控制请求。

(三) 信息系统与信息处理设备必须具有对用户标识、用户口令以及特权访问的控制措施，重要信息系统与信息处理设备需有两种不同的身份鉴别方式。原则上要求每个人在不同系统的用户标识是唯一的。用户密码应具有一定的复杂度，需要字母、字符、数字等组成，密码长度不能小于8位，并每六个月定期进行更换。

(四) 信息技术科需要定期或不定期的检查用户ID建立、使用、权限划分及密码的变更是否符合控制策略规定。

(五) 不允许在没有通过身份验证的情况下，访问信息系统设备和其它信息处理系统。连续的登陆尝试应受限制。

(六) 信息系统的用户应遵守良好的口令设置习惯，所有信息系统用户应养成良好的计算机使用习惯，对公共设备的使用，根据实际情况，在会话结束后执行合适的锁定机制。每个用户的身份只能鉴定一个用户，不允许共享身份或组身份，除非由安全管理员批准。用户要为以该用户身份执行的所有操作负责。

(七) 用户对网络访问的权限实行最小化原则，用户对网络的访问应设定强制式的路径。

(八) 服务器或网络设备上的用户标识应是唯一的，登陆服务器或网络设备的用户只能使用自己的用户标识，用户标识可以用来确认用户的操作行为，并作为追究责任的依据。

(九) 通过安全设备或安全技术进行应用系统访问控制，只容许合法用户逻辑访问应用系统中的信息。对敏感系统配备专用的隔离区域，并设置只能与可信任的应用系统共享资源。

(十) 建立监控信息处理设备使用情况的程序或设备，以保证用户只进行明确授权的活动。所需的监控级别应在评估风险后确定。

第十一条 移动设备安全管理策略 (一) 使用移动设备远程访问业务信息时，只有在成功认证并通过访问控制机制后才准许连接。原则上不允许在公用场合使用移动设备或远程访问业务系统。

(二) 移动存储介质的管理，遵循“谁使用、谁负责”的原则，使用移动存储介质的人员负责移动存储介质的安全，对移动存储介质使用过程中各种安全威胁及可能造成的数据泄露负责。

(三) 外来人员所有的移动存储介质，在接入本教育局计算机系统前，应征得计算机使用者的同意，计算机使用者对因接入外来不明移动存储介质导致的安全问题负全部责任。

(四) 涉密移动存储介质只能在本教育局涉密计算机和涉密信息系统内使用，严禁涉密移动存储介质在与互联网连接的计算机和个人计算机上使用。

(五) 使用涉密移动存储介质保存涉密信息，必须对信息内容进行加密处理。

第十二条 数据安全管理策略 (一) 根据数据的重要程度和敏感程度进行分级管理和保护。

重要程度划分标准如下：
1) 重要程度高：一旦数据安全受损，会中断关键业务运行；
会造成重大财务损失；
会导致严重社会影响；
会造成严重法律后果等。

2) 重要程度中：一旦数据安全受损，会对关键业务运行有直接影响；
造成一定程度财务损失；
造成一定程度声誉损失；
造成一定程度的法律后果等。

3) 重要程度低：一旦数据安全受损，对关键业务运行无直接影响；
仅造成较小的财务损失；
仅造成较小的声誉损失；
不造成法律后果等。

敏感程度划分标准如下：
1) 高敏感程度（保密）：对单位根本利益有着决定性影响，如果泄露会造成灾难性的影响。

2) 中敏感程度（内部使用）：仅在单位内部或在内设部门内部公开，向外扩散有可能对组织的利益造成损害。

3) 低敏感程度（公开）：可以对社会公开，或者公开后不对单位利益造成损害。

(二) 保障网络配置、操作系统和数据库配置等数据的安全性，操作维护人员只有经过授权才能进入系统；
对后台数据库中的业务数据进行维护时，操作人员在他人的监督下进行；
在办公自动化系统中，教育局人员通过认证和授权系统登录后，只能浏览权限范围内的内容和电子邮件，所有文档和电子邮件的内容在后台以特殊格式存放，只有拥有相关权限的人员登录系统后。

(三) 采用加密、数字证书等技术手段防范数据在传输、处理、存储过程中出现泄露或被篡改的风险。不允许以明文方式存储和传送用户密码等涉密敏感信息。

第十三条 信息安全事件管理策略 (一) 本策略所称信息安全事件是指由于自然或者人为以及软硬件或故障等原因，对信息系统造成危害，或对社会造成负面影响的事件。

(二) 加强信息安全事件管理，及时掌握和分析重大信息安全事件有关情况，降低信息安全事件带来的损失，保障网络与信息系统的安全运行。

(三) 制定信息安全事件管理规定，包括信息安全事件分类、分级、响应流程、评估/处理、总结/改进及相关的人员与组织定位。并向所有相关部门和人员公布，使得相关部门和人员熟知信息安全事件响应流程，并能够相互协作、有条理的执行相关流程。确保有关部门在事件处理中能够集中精力做出适当的、有效的决策，从而减少可能产生的危害。

(四) 信息安全事件按照事件产生的影响分为A类（会对社会秩序和公共利益造成特别严重损害），B类（会对社会秩序和公共利益造成严重损害），C类（会对单位内部利益造成特别严重损害）D类（会对单位内部利益造成严重损害）。

(五) 信息安全事件响应流程可分为信息安全事件上报、识别，信息安全事件通报，信息安全事件遏制以及信息安全事件解决和恢复四个流程。应与系统运维服务单位、设备提供商等保持联系，保证信息安全事件发生后，及时采取行动并取得有关意见。

(六) 信息安全事件事后处理包括信息安全事件调查、信息安全事件总结和信息安全事件报告三个方面。

(七) 根据前述信息安全事件的策略，明确相关部门和人员在各阶段中的职责，并进行培训，在事件发生后能立即、准确响应。

第十四条 业务连续性管理策略 (一) 利用安全测评和风险评估的结果，应制定计划来维护或在重要业务进程停顿或失效后在限定时间内恢复业务操作。一旦制定了计划。

(二) 业务连续性计划要定期演练以确保有效性，这种测试应确保所有恢复的组员和相关人员都知道此项计划。业务连续性计划要定期进行更新。

某单位信息安全工作管理规定 总则 第一条 策略目标：为了加强某单位（以下简称“本单位”）信息安全保障能力，建立健全本单位安全管理体系，提高整体网络与信息安全水平，保证网络通信畅通和业务系统的正常运营，提高网络服务质量，在本单位安全体系框架下，本策略明确本单位安全工作的展开办法，指导各部门展开各自安全工作。

第二条 适用范围：本策略适用于本单位及各科室部门所有信息安全工作，是信息安全工作的纲领性策略。

信息安全工作的基本原则 第三条 “等级划分”原则：按照国家信息安全等级保护要求，根据各业务系统的重要程度以及面临的风险大小等因素决定各类信息的安全保护级别，合理规划。

第四条 “同步规划、同步建设、同步运行”原则：安全建设应与业务系统同步规划、同步建设、同步运行，在任何一个环节的疏忽都可能给业务系统带来危害。

第五条 “三分技术、七分管理”原则：网络与信息安全不是单纯的技术问题，需要在采用安全技术和产品的同时，重视安全管理，不断完善各类安全管理规章制度和操作规程，全面提高安全管理水平。

第六条 “内外并重”原则：安全工作需要做到内外并重，在防范外部威胁的同时，加强规范内部人员行为和审计机制。

第七条 “整体规划，分步实施”原则：需要对本单位信息安全建设进行整体规划，分步实施，逐步建立完善的信息安全体系。

第八条 “风险管理”原则：进行安全风险管理，确认可能影响信息系统的安全风险，并以较低的成本将其降低到可接受的水平。

第九条 “适度安全”原则：没有绝对的安全，安全和易用性是矛盾的，需要做到适度安全，找到安全和易用性的平衡点。

第十条 “统一管理”原则：安全的建设应和业务系统相结合，做到全程全网统一监控和审计，统一管理。

安全组织的工作管理 第十一条 本单位网络与信息安全组织机构包括：
1. 本单位信息安全领导小组：是本单位网络与信息安全工作的领导和决策机构；

2. 本单位信息安全工作组：是本单位信息安全工作的执行机构；

3. 本单位信息安全实施组：是本单位信息安全工作组的日常执行机构。该机构日常相关工作由本单位信息技术科完成 第十二条 加强内部人员安全管理，依据最小特权原则清晰划分岗位，在所有岗位职责中明确信息安全责任，要害工作岗位实现职责分离，关键事务双人临岗，重要岗位要有人员备份，定期进行人员的安全审查。关于人员岗位安全详见《安全岗位人员管理规定》中的规定。

第十三条 所有员工都应签署保密协议，并接受信息安全教育培训，提高安全意识，及时报告网络与信息安全事件。关于员工安全详见《员工安全管理规定》和《培训及教育管理规定》中的规定。

第十四条 必须加强第三方访问和外包服务的安全控制，在风险评估的基础上制定安全控制措施，并与第三方本单位和外包服务本单位签署安全责任协议，明确其安全责任。关于第三方人员安全详见《外来人员安全管理规定》中的规定。

安全体系的运作管理 第十五条 建设完整安全体系，实现从设计、实施、修改和维护生命周期的安全体系自身保障。

第十六条 安全策略本身应规范从创建、执行、修改、到更新、废止等整个生命周期的维护保障。

第十七条 本单位信息安全体系的建设和维护，要通过及时获知和评价信息安全的现状，通过对于安全现状的评估，实施信息安全建设工作，减少和降低信息安全风险，提高信息安全保障水平。

安全风险管理 第十八条 必须加强信息资产管理，建立和维护信息资产清单，维护最新的网络拓扑图，建立信息资产责任制，对信息资产进行分类管理和贴标签。

第十九条 对安全威胁提前预警，及时将国内外安全信息通知本单位各级信息安全管理人员及员工，确保能够及时采取应对措施，以此降低本单位的信息安全风险。

第二十条 应部署网络层面和系统层面的访问控制、安全审计以及安全监控技术措施，保障业务系统的安全运行。

项目建设安全管理 第二十一条 加强项目建设的安全管理，配套安全系统必须与业务系统“同步规划、同步建设、同步运行”，加强安全规划、安全评估和论证的管理。关于项目安全管理详见《某单位信息项目管理规定》中的规定。

运行维护安全管理 第二十二条 加强机房和办公区域的安全管理，为设备的正常运行提供物理和环境安全保障。

第二十三条 建立日常维护操作规程和变更控制规程，规范日常运行维护操作，严格控制和审批任何变更行为。关于日常维护和变更管理详见《运行维护管理办法》和《某单位信息系统变更管理办法》中的规定。

第二十四条 加强本单位病毒防治工作，提升本单位病毒整体防护能力，降低并防范病毒对于本单位业务造成的影响。关于病毒防护管理详见《某单位病毒防范安全管理办法》中的规定。

第二十五条 加强用户帐号和权限管理，按照最小特权原则为用户分配权限，避免出现共用帐号的情况。关于帐号和权限管理详见《运行维护管理规定》中的规定。

第二十六条 制定各业务系统的应急方案，及时发现、报告、处理和记录。关于应急响应的安全管理详见《某单位应急响应管理规定》中的规定。

系统级安全管理要求 第二十七条 各系统应建立安全维护作业计划，严格执行维护作业计划，加强对设备、操作系统、数据库、应用系统的安全运行监控，编写日常安全运行维护报告。

第二十八条 各系统要求建立本系统应急计划，计划内容基于本单位相关安全策略。

某单位信息安全管理策略 策略目标 为了加强某单位（以下简称“本单位”）信息安全保障能力，建立健全本单位安全管理体系，提高整体信息安全水平，保证业务系统的正常运营，提高网络服务质量，在本单位安全体系框架下，本策略为规范本单位安全策略的制定、发布、修改、废止、检查和监督落实，建立科学和严谨的管理办法。

适用范围 本策略适用于本单位信息技术科及各部门安全专员。

安全策略的制定权限 第一条 本单位信息技术科负责制定本单位层的安全策略，主要包括：本单位信息安全体系、本单位安全策略框架、本单位信息安全方针、本单位信息安全体系等级化标准、本单位安全技术标准和技术规范、本单位安全管理制度和规定、本单位安全组织机构和人员职责以及本单位用户协议。

第二条 下属人员组织遵照本单位下发的安全策略，结合系统实际情况，制定和细化成适用于部门的具体管理办法、实施细则和操作规程等，不得与单位的规章制度相抵触，并须报单位信息技术科备案。

安全策略的制定要求 第一条 本单位安全策略中不得出现本单位的涉密信息。

第二条 对本单位安全策略进行汇编时，必须保留各安全策略的版本控制信息和密级标识。

本单位安全策略修改与废止 第一条 必须定期对安全策略进行评审，对其中不适用的或欠缺的条款，及时进行修改和补充。对已不适用的信息安全制度或规定应及时废止。

第二条 当现行安全策略有下列情形之一时，必须及时修改：
1. 当发生重大安全事件，暴露出安全策略存在漏洞和缺陷时；

2. 组织机构或业务系统进行重大调整和变更后；

3. 同一个事项在两个规章制度中规定不一致；

4. 与上级业务主管部门的安全策略相抵触；

5. 其它需要修改安全策略的情形。

第三条 当现行安全策略有下列情形之一时，必须及时予以废止：
1. 因有关信息安全制度或规定废止，使该信息安全制度或规定失去依据，或与本单位现行上层策略相抵触；

2. 因已规定的事项已经执行完毕，没有存在必要；

3. 已被新的规章制度所替代。

第四条 本单位层安全策略的修改与废止须经本单位信息安全领导审批确认，本单位信息技术科备案。

本单位安全策略监督和检查 第一条 安全策略发布实施后，各部门应就安全策略制度或规定的贯彻执行，执行中存在的问题以及对规章制度修改或废止的意见建议等情况进行检查和监督，并将意见和建议及时反馈给信息技术科。

第二条 为保障各项信息安全管理制度的贯彻落实，本单位信息技术科必须定期检查安全策略的落实情况，信息安全管理制度的落实情况检查是信息安全检查工作的重要内容。

第三条 信息安全检查工作结束后，在起草检查报告时，必须通报安全策略的落实情况，对执行不力的行为必须提出整改意见，限期纠改，并继续追踪其落实情况。

第四条 安全策略的贯彻落实情况，必须作为重要的考核项目，纳入部门的综合考评体系。

第五条 为安全策略落实做出显著成绩的部门或个人，应给予表彰和奖励；
对违反规章制度造成严重后果的部门或个人，应追究当事人、相关单位及主管领导的责任。具体参照本单位考核制度办理。

用户权限管理 用户权限 全网中不同设备的权限配置和功能实现虽然有所差别，但都应在确保安全的基础上尽可能提供用户分级管理的功能。

用户权限的设置应遵循以下原则：
(一) 操作系统管理员：进行操作系统日常维护 (二) 数据库管理员：进行数据库系统日常维护 (三) 安全管理员：对任何人员的系统操作进行行为监督，并定期分析和记录，对系统的安全配置进行配置（不包括日常业务所需配置）
所有用户权限划分均必须依据制约原则，操作系统管理员具有操作系统管理权限，不得于数据库管理员兼任，其中安全管理员为专职人员。

(四) 特权分散原则：维护管理的重要操作权力分散给若干个程序、节点或用户，必须由规定的若干个具有特权的程序、节点或用户到齐后才能实现该操作。

(五) 最小授权原则：仅将那些用户进行操作时必需的权限分配给用户，而不要为其分配无关的或更大的权限。

用户登录管理 用户通过统一的过程进行系统登录。登录过程应具有以下功能：
(一) 原则上使用唯一的用户识别符，以区分每一个用户的权限。只在特殊需要的情况下使用组识别符。

(二) 对用户进行身份验证，检查用户是否是被系统授权的合法用户。

(三) 提示用户的访问级别及权限。

(四) 确保身份验证结束前，用户无法访问系统。

(五) 为所有用户维护一份统一的记录。

(六) 当用户注销后，应立即删除此用户的所有权限。

(七) 定期检查、整理用户帐户，对于过期的帐号要及时封闭，对于长期不用的帐号要定期检查，必要时封闭。

用户口令管理 用户的口令是用户登录系统的关键，为保证口令的安全性，对用户口令的管理应该遵循以下安全原则：
(一) 在进行网络安全管理时，对所管设备中的各级管理口令和密码，由系统管理员统一进行管理，注意保密；

(二) 口令和密码的设置符合保密要求，针对不同设备不同的管理权限设置不同的分级口令；

(三) 选择长的口令，一般不少于8个字符；
口令包括大小写英文字母与数字的组合；
不使用姓名的汉语拼音和常见的英文单词；

(四) 定期改变口令，3 个月更换一次；
对重要设备和系统可采用一次一密的动态密钥卡等方式；

(五) 用户口令不能以明文显示在显示器上；

(六) 用户口令与系统应用数据分开保存；

(七) 采用有效措施，保证用户口令的传输和存储时安全，例如口令的加密传输和保存。

运行安全 网络攻击防范 网络攻击防范用于防止对网络的恶意攻击，保证网络的正常运行。对网络的攻击可能来自单位内部、兄弟单位及其他人员等。网络攻击防范的重点保护对象是核心路由器、核心交换机、防火墙以及网络系统、业务系统等重要服务器等。须防范的网络攻击包括但不局限于：网络系统和资源数据的非法管理和分配、破坏路由、网络和系统的拒绝服务攻击DoS、病毒、木马、缓冲区溢出、垃圾邮件等。

本单位应制定网络攻击防范的措施和对策，内容至少包括网络安全防护、安全漏洞检测和安全事件响应等三个方面。各部门制定的具体安全策略应上报本单位信息技术科审批和备案。

网络攻击防范应注意以下几个方面：
(一) 使用国家主管部门认可的网络攻击防范产品。

(二) 在网络边界以及重要网段处，架设防火墙，防止非授权信息的通过。

(三) 在网络边界以及重要网段处，进行网络实时入侵检测。如果检测到入侵行为，应立即通知相关主管人员进行应急处理。

(四) 在核心节点和网络管理中心安装网络漏洞扫描器，对整个网络进行安全扫描，以便发现和预防可能的破坏活动，发现漏洞应及时通知相关主管人员进行处理。

(五) 对网络中的路由器、关键主机等定期进行系统漏洞扫描，发现漏洞应及时通知相关主管人员进行处理。

(六) 保证网络中的网络设备和服务器之间通信数据的可靠传输，防止传输信息的泄露、篡改和删除等非法操作。

(七) 网络中的网络设备和应用系统在正常运行阶段，应关闭与业务无关的端口，防止非法访问。

(八) 不允许设备、软件供应商成为超级用户。

(九) 每季度对服务器进行漏洞扫描，并出具漏扫报告。

病毒防范 (一) 病毒防范工作应遵循以下原则：
(二) 本单位应分别制定所管网络的病毒防范规划，安装配置病毒防范系统。

(三) 相关设备上禁止安装、运行与业务无关的软件，防止经过无关软件和操作感染病毒。

(四) 对相关设备定期进行病毒检测，发现病毒立即汇报有关部门，进行应急处理。

(五) 管理人员应采取安全可靠的方式及时进行病毒检测软件或病毒特征代码库的升级，并定期进行防病毒工作的登记记录。

(六) 全体员工应增强病毒防范意识，配合管理人员做好病毒防范工作。

访问控制 访问控制的主要目的是防止未授权人员对网络设备、服务器系统等资源的使用、修改或破坏，以保证网络的安全。

1. 在内外部网络之间设置防火墙，实现内部网络的访问控制；

(一) 采用防火墙技术或虚拟LAN 技术，实现内部网不同安全域的隔离及访问控制；

(二) 建议相关设备具有分级用户管理功能及严格的身份识别机制；

(三) 所有网络设备、服务器系统提供的服务必须具有访问控制功能，保证认证通过前，不能提供服务；

(四) 对网络设备进行远端配置和管理时，必须进行身份认证；

(五) 采用有效手段保证网络设备配置和管理数据的传输安全；

(六) 网络中使用的应用软件应防止异常中断后非法进入系统；

(七) 相关设备提供超时键盘锁定功能；

(八) 对集成、调试、支持过程分配给合作伙伴的系统用户身份，必须由系统主管部门登记、建立和授权，必须明确指定或变更所定义用户的权限内容、权限有效时间。工作人员调离岗位时，必须立即取消该工作人员系统用户的授权。必须详细记录用户的定义、授权、变更。

行为审计 安全管理员需对系统相关设备的操作进行记录，防止对相关设备的非法使用。

(一) 对路由器、主机、服务器、数据库等的运行、维护、管理必须有审计方案和记录。

(二) 应定期对审计记录进行审查和分析。

(三) 相关设备、系统软件或应用软件都应具有并打开审计功能。

(四) 对以下事件必须有审计记录：
l 网络设备或服务启动或关闭。

l 网络设备或服务配置修改。

l 网络连接方式改变。

l 登录到网络设备或服务器系统。

l 其它异常情况。

(五) 审计记录应包含以下信息：
l 用户操作时的用户识别符。

l 事件发生的日期和时间。

l 事件内容或操作结果。

1. 网络设备和服务器的审计记录应符合相应备份原则。

2. 审计记录不能被未授权用户修改或删除。

3. 每季度进行审计记录的分析，发现异常情况立即汇报相关主管人员。

异常流量监控 (一) 优化网络运行管理 通过检测分析带宽使用状况，合理分配带宽资源；

(二) 强化网络行为管理 根据各种应用业务的流量，制定相关策略限制非主流业务，在峰值时段进行限速、阻断；

(三) 保障关键网络应用 保障关键应用（人力资源系统、网站系统等），限制非主流业务占用过多的带宽，监测、阻断异常流量；

(四) 实时监控网络运行 识别阻断网络攻击，根据并发连接个数可以确定并阻断DOS攻击等异常行为，保护网络设备安全。

流量监控系统将提供流量可视化和异常流量的监测机制，安全管理员可以随时掌握流量情况，能够通过流量报表统计并分析出整个网内各机器流量的排名，为调整安全策略和QoS策略提供依据。同时通过观察协议的流量分布，从而透视企业内部网络的运作情况，对网络流量做到一目了然。

操作安全 系统相关安全操作需安全管理员进行配置：
(一) 重要操作应由相关主管人员授权。

(二) 必须严格按照设备和系统的操作规程进行日常操作。

(三) 各级操作人员应仅在自己的权限范围内进行操作，不得非法拷贝、增加、修改或删除数据。

(四) 各级操作人员不得进行任何越权操作的尝试。

(五) 各级操作人员必须严格保管自己的身份识别数据（如用户卡、口令等），不得将其泄漏给他人。

(六) 各级操作人员必须如实记录操作日志。

IP地址管理制度 IP地址是组织内的有限资源，同时也是用户认证的一种常用手段，任何人不得随意增加、更改IP地址。管理者需要规划与建立明确的用户IP地址数据库，并对其实施保密性处理。

核心业务系统安全控制 1、 网络访问控制 业务及数据库服务器只开放给中间件服务器及系统管理员和相关数据维护人员，其他均网络上断开。

2、 数据库维护人员控制 数据库维护人员单独开用户，每个用户单独开放数据修改权限，数据库管理员拥有数据库系统用户的全部权限，主要负责数据库系统的日常维护。其他数据查询人员单独开户，只赋予只读权限。后期考虑专用电脑进行查询。

3、 系统维护人员控制 所有系统维护人员单独开用户，为每个用户分配不同管理权限，系统管理员拥有系统的管理权限，主要负责操作系统的日常维护。

4、 数据恢复 如果因各种原因导致系统数据错误，需进行历史数据恢复的，通过系统备份进行恢复。

5、 数据库登陆日志 建立数据库登陆日志，记录每次登陆的IP,时间，用户名等，便于日后进行事故跟踪追查 6、 数据库操作日志 建立数据库操作日志，记录每次进行操作的用户ip，时间，用户名，数据类型，数据对象等，便于日志进行跟踪追查。

7、 定期更换密码 每季度需更换一次密码，且密码长度不小于8位，为数据、字母、字符的组合。

某单位机房设备管理规定 总则 第一条 为保障某单位（以下简称“教育局”）业务的正常进行，结合教育局实际机房设备情况，特制定本管理办法。

第二条 本办法适用于托管于鄞州区信息中心机房内IT基础设施（以下简称“机房设备”）的管理。

第三条 教育局计算机信息安全领导小组负责鄞州教育局信息设备的安全管理。鄞州教育局各部门和外单位来访人员须遵守本办法。

管理职责 第四条 机房及信息设备由某单位计算机信息安全领导小组指定的机房管理人员负责管理和维护。其主要职责是：
（一）
负责信息设备的日常运行监控、定期维护和检修；

（二）
负责机房出入申请、陪同，配合安全审计人员审计机房门禁权限和人员进出记录；

（三）
协调某单位其他部门和外单位人员共同做好机房日常的出入登记和安防工作；

（四）
配合区信息中心保持和维护机房的卫生和环境美观。

机房人员出入管理 第五条 所有进入机房的人员应遵守机房管理办法。

第六条 工作时间内如无应急或者巡检需要，不应进入机房设备运行区域。应尽量避免在机房内部值班。

第七条 非工作人员一般不得进入机房，特殊情况需经相关部门负责人批准，且由教育局计算机信息安全员全程陪同在非工作时间进入机房。任何人员进入机房前需在《鄞州教育局机房进出登记表》进行机房出入登记。

第八条 机房内严禁吸烟、喝水、进食、嬉戏或进行剧烈运动。应保持机房安静。

第九条 进入机房不得携带任何易燃、易爆、腐蚀性、强电磁、辐射性、流体物质等对设备正常运行可能构成威胁的物品。

机房设备出入管理 第十条 非教育局计算机安全管理组织架构人员未经许可严禁擅自进入机房进行上机操作或对运行设备及各种配置进行更改。

第十一条 外单位技术协作人员禁止携带笔记本电脑及相关存储设备、未经检查的软件介质等进入机房，应使用教育局计算机信息安全领导小组提供的指定设备进行操作。

第十二条 机房内设备进出需进行严格登记，永久性设备应计入资产管理。临时性设备如果需要在机房内使用，进入之前必须确定其通过FCC和CCC认证，以保证其电磁安全性。

第十三条 任何人员进出机房须随手关门，注意安全，严禁将设备包装等易燃材料放置或遗留在机房内。

机房设备运行操作维护管理 第十四条 机房内部重要操作必须实行双人复核作业。

第十五条 凡与机房中教育局设备有关的任何施工、检修工程，须报教育局计算机信息安全主管负责人批准后进行，在施工、检修过程中必须有教育局计算机信息安全员相关人员现场陪同，防止在施工、检修过程中对信息设备造成损坏。禁止在工作时间进行施工。

第十六条 机房内的教育局设备应每年进行机房安全检查演练和设备的维护保养。

第十七条 教育局计算机信息安主管负责人应定期或不定期对办法的执行情况进行检查，督促各项制度的落实，并作为人员考核之依据。

机房设备卫生管理 第十八条 信息设备由于托管于区政府信息中心机房，本单位维护人员需每季度对单位内的设备信息进行打扫，保持设备卫生清洁。

附则 第十九条 本办法由教育局计算机信息安全领导小组制定并负责解释和修订 附件一 人员出入申请表 % 申请人 （由申请人填写）
本鄞州教育局人员 外单位人员单位名称 电话 日期 (yyyy-mm-dd)：
估计进出时间 (hh-mm)：
至 进出事由：
涉及设备/系统：
% 操作过程 （由申请人填写）
操作目的 涉及设备/系统 操作类型（检查，修改）
技术操作说明 携带设备 类型 数量 接入(主机、网络、UPS、空调、无) 用途 % 审批与接收 （由负责人填写）
部门负责人意见：
% 操作结果 （由申请人填写）
□无操作 □成功 □失败，包含：
□部分完成：
进出时间(hh-mm) 至 签字 附件二 机房进出登记表 编号 日期 部门名称 人员签名（陪同人员需签字）
事由 进入时间 审批确认 某单位信息设备管理办法 第一条 为加强硬件设备的管理，使设备管理工作科学化、规范化，保证设备的正常运行，结合本单位的实际，特制定本办法。

第二条 本办法明确了对信息处理设备的验收、安装、调试、出入库、使用、维修、报废等内容的管理要求。

第三条 本办法适用于对各类信息处理设备的管理。

第四条 教育局信息技术科负责管理各类信息处理设备的验收、安装、调试、出入库、维修和报废。

第五条 系统管理员负责相关事宜的审批。

第六条 设备验收 新设备到货后有系统管理员按照合同中的设备清单如数检查，清点及相关配置。

第七条 设备安装、调试 (一) 由系统管理员配合设备厂商或系统集成商进行设备安装调试。

(二) 安装完成后检查无误，方准通电开机。

(三) 设备安装完成后，根据业务及安全需求对设备策略、参数、安全漏洞进行配置和检查，保障系统的安全性后方可投入运行。

第八条 设备出入库管理 (一) 新设备验收完成后，系统管理员根据系统验收记录及合同内容将硬件设备的相关资料进行登记，更新设备清单。

(二) 领用新设备出库需进行硬件设备申领登记。

第九条 设备的使用 (一) 非维护人员不准擅自上机操作或维护人员在设备上进行与设备维护无关的活动。

(二) 严禁在通电的情况下拆卸、移动设备，设备的开停机需严格按照操作手册的步骤进行。

第十条 设备的管理 (一) 设备上应贴有说明标签，说明设备的设备名称、用途、负责人等关键信息。

(二) 需建立设备清单，设备清单中需详细记录设备的品牌、型号、IP地址、用途、责任人、重要性级别等信息。

(三) 设备技术资料需及时进行归档管理。

(四) 应及时做好设备策略备份工作。

第十一条 设备的维修 (一) 设备维修前需设备负责人向分管领导说明维修原因。

(二) 对于厂商或系统集成商维保期内上门维修的设备，设备负责人全程陪同上门维修工程师，做好数据备份和保密措施。

(三) 对于无法现场维修需涉外维修的设备，需拆除硬盘等数据存储介质，不能修复的设备提前报废。

(四) 硬盘等存储介质损坏不进行维修，直接替换新介质。损坏的介质由相关管理人员统一保管，根据介质安全管理要求定期销毁。

第十二条 设备报废管理 (一) 报废申请 1) 因折旧年限已到，且其主要功能丧失、退化、零部件损耗的设备。

2) 因超强度使用、自然损耗等原因造成其性能减化、事故频发而无法正常使用的设备。

3) 因长期闲置不用，在可预见未来不会再使用的设备。

4) 软件系统更新、技术进步等原因不可使用的设备 5) 国家规定必须报废的设备。

(二) 报废处理 1) 由设备负责人需向信息技术科进行设备报废处理登记，并由信息技术科相关负责人审批签字。

2) 由专人负责将硬件设备内容的数据进行销毁处理，并确认签字。

3) 信息部门报废流程完后根据单位相关规定报财务等部门审批。

附件一 设备出入登记表 设备进出发起人员填写 发起人 负责人员 进出事由 协助单位 协助人员 设备进出区域 □ 主机房 □ 其他：_________________ 申请日期 设备进出状态 □ 进入机房 □ 迁出机房 计划实施 日期 进出紧急程度 □ 紧急 □ 普通 是否需要其他小组配合 □ 是 □ 否 设备信息登记 设备类型 □ 主机 □ 网络设备 □ 软件介质 □ 其他（ ）
设备归属 □ 鄞州教育局资产 □ 外部单位资产 □ 临时设备（借用、备件、应急）
设备型号 数量 项目归属 合同编号 供电功率 电源数量 设备重量 占用机柜空间 网络接入介质 □ 光纤 数量：
接入网络区域 □ 政务外网 □ 局域网 □ 网线 数量：
审核人员签字及意见 部门负责人 鄞州教育局分管领导 附件二 报废申报表 共 页 第 页 序号 品 名 设备编号 型号 规格 领用时间 已使用时间（年）
原值（元）
报废原因 设备使用人 设备存放点 （或单位编码）
备注 合 计 台（件）数：
金 额 数(元)：
申请人姓名：
联系电话：
申请时间：
某单位网络安全管理办法 第一条 本办法规定了网络的管理和控制，保证网络控制和网络服务的安全，保障应用系统信息在网络传输过程中的安全。

第二条 本办法适用于网络架构内设备安全管理与运行维护操作安全管理 第三条 由信息技术科负责对信息网络安全的管理工作。

第四条 网络建设规划管理 (一) 网络建设规划和方案设计，应以网络的可靠性、可扩展性、可管理性为前提。

(二) 网络建设规划须对安全需求进行分析和评估，充分考虑网络设备物理安全、设备自身安全漏洞、网络边界安全、入侵防护、访问控制、数据分级保护、敏感数据保密等方面的安全性要求，规划部署必要的网络安全防护产品。

(三) 根据重要性和安全性进行网络区域划分，实现网络的分级分类控制。

(四) 采取必要的技术手段对重要业务数据通讯提供优先服务和支持保障。

(五) 建立统一的 IP 地址规划与分配策略。

第五条 网络联接管理 (一) 网络安全区域按照模块化的方式分为内部网络、外联网络、Interne网、无线网络，应严格控制网络联通和隔离，针对不同需求实施相应的安全控制策略。

(二) 从外联网络、Internet 网、无线网络等访问内部网络应符合最小授权的原则，应有接入控制和用户认证机制。

(三) 外联网络接入点应从严控制，须经信息技术科授权许可，并应明确外联网络边界的范围,并识别与外部网络连接的信息,在允许访问前实施适当的控制。

(四) 原则上不允许外来人员的机器直接接入内部网络。如果确有需要，应经过信息技术科授权，或者开辟外部人员专用的网络区域供其使用。

(五) 应严格控制各类网络数据分析设备的使用，确有需求须经过审批。

(六) 应对重要（敏感）网段进行监控，整个骨干网络区域进行性能、安全和可用性监控，及时发现并防止网络病毒、网络攻击、各类黑客程序的传播。

(七) 存储敏感信息的电脑严禁接入 Internet 网。

第六条 网络配置管理 (一) 应根据不同的设备类型制订相应的安全配置和管理策略，网络端口和服务依据业务最小化原则进行优化。

(二) 应定期对网络设备和配置的安全进行评估，并形成事后跟踪机制。

(三) 应根据业务情况及时维护网络设备配置信息。

(四) 应制订明确的配置备份策略，配置更改后及时备份网络设备配置信息。

(五) 重要网络设备需开启日志功能，并统一通过日志审计系统进行收集和分析。

第七条 网络用户管理 (一) 网络用户和权限控制须统一管理，用户名和密码策略根据《总体方针与安全策略》中访问控制策略要求进行设置。

(二) 对网络用户须采用切实可行的监控、管理、审计机制。

(三) 网络用户权限的分配、变更应根据业务要求以权限最小化原则进行。

第八条 访问控制管理 (一) 应建立访问控制策略，确保用户只能访问经过明确授权使用的业务。

(二) 应对网络路由进行明确、清晰的控制，确保用户只能经授权访问。

(三) 对网络登录、监控、操作均须经严格的用户认证、操作授权、事件审计。

(四) 应控制对远程登录管理，明确用户在创建、使用过程中的安全控制要求。

(五) 须通过策略设置限制不同的远程登录用户的访问范围及访问权限。

(六) 安全管理人员须定期对远程登录用户的使用情况进行检查和审计。

第九条 网络应用管理 (一) 网络应用在需求分析阶段须充分考虑本单位网络条件的限制（如带宽、数据加密、网络规范等）选择合适的网络协议和网络通讯方式。

(二) 应用系统启用（含升级）前 ，应提供明确的网络访问控制需求，明确地址（包括 IP 地址和 MAC 地址）、网络协议、端口、网络安全保护等具体要求。

(三) 网络管理人员应建立应用系统网络访问资源登记簿，记录应用系统使用的网络资源（如客户端地址、服务端地址、服务端端口号等）。

(四) 对于新网络应用在进入网络前应进行适当的安全评估，确保其安全性。

(五) 新网络应用启用后，应对其安全状况进行后安全测评，并根据测评结果完善和优化安全策略。

第十条 网络维护管理 (一) 应建立规范的网络维护流程、网络配置标准和操作规程。

(二) 网络变更操作应根据变更管理的制度形成变更记录，并形成文档归档保管。

(三) 制订各类网络故障和安全事件的处理方法及流程，形成统一的联动处理机制。

(四) 网络变更、网络故障处理等应有详细的文档。应严格控制网络变更的执行时间、地点、人员。

(五) 网络安全设备应定期升级更新，升级前备份设备策略。

(六) 定期对网络系统进行扫描 第十一条 网络监控管理 (一) 定期对网络报警日志、未授权访问、配置变更、用户登录等信息进行监视和审计。

(二) 部署网络监控和管理软件，对主要网络设备和主要通讯线路进行实时监控。

(三) 应对关键网络设备的运行情况和重要网络线路的状况进行24小时监控。

(四) 通过日志审计系统保存完整的网络日志信息，确保日志信息的完整性和安全性。

(五) 应定期检查和分析网络设备的日志信息，并将检查分析结果记录形成文档。

(六) 应对网络设备配置、日志、变更、故障维护等资料进行及时备份和维护。

第十二条 网络设备管理 (一) 应建立骨干网络设备登记簿，记录设备上线时间、维保时间、故障维修记录、主要用途等事项。

(二) 重要网络设备只能部署在中心机房内。

(三) 网络设备应落实专人管理，制订关键网络设备的备份措施。

(四) 因业务需要临时开通的网络设备，在到期后，须及时回收相关网络资源。

网络系统的安全运行包括三个方面的内容：一是网络系统数据资源的安全保护，二是网络病毒的防治管理，三是上网信息安全及电子邮件，四是网络、服务器设备升级和漏洞扫描，五是网络、服务器设备防护。

数据资源的安全保护。网络系统中存贮的各种数据信息，是开展业务工作所必须的重要数据，数据资源的破坏将严重影响工作的正常运行。数据资源安全保护的主要手段是数据备份，规定如下：
1、网络应用重要部门的数据必须做到每季度一备份。

2、网络系统的重要数据及时备份。

3、一般用机部门作到每周一备份。

4、系统软件和各种应用软件采用磁盘或光盘及时备份。

5、数据备份时必须登记以备检查，数据备份必须正确、可靠。

6、严格网络用户权限及入网用户名及口令管理。

7、备份数据应保留3个月以上。

网络病毒的防治 1、各服务器必须安装防病毒软件，上网网络保证每台有防病毒软件。

2、定期对网络系统进行病毒检查及清理。

3、所有磁盘须检查确认无病毒后，方能上机使用。

4、严格控制磁盘交换和外来软磁盘的使用，各部门使用外来磁盘须经检验认可，私自使用造成病毒侵害要追究当事人责任。

5、加强上网人员的职业道德教育，严禁使用游戏盘，在网络上玩游戏者一经发现将严肃处理。

上网信息安全及电子邮件 1、 网络管理员必须定期对网上论坛及上网信息检查，发现有关泄漏政府机密及反动言论与不健康信息要及时删除，并记录，随时上报信息技术科。

2、所有上网人员如收到反动邮件有责任及时上报信息技术科，如不上报，一经发现，单位将视情节轻重，做相应处罚，情节严重者，单位可提请刑事处罚。

网络、服务器设备升级和漏洞扫描 1、每季度网络、服务器设备升级和补丁应根据厂家提供的软件进行升级和打打补丁，在升级和打补丁之前，要求对重要网络、服务器设备进行备份。

2、定期对网络、服务器设备进行漏洞扫描，3个月一次，并对扫到的漏洞及时修补。

网络、服务器设备防护 1、网络、服务器设备的登录需用户名+口令，口令需有字母、数字、特殊符号，长度为8位以上，口令3个月修改一次。

网络、服务器设备（包括路由器、交换机、认证服务器等）的各种密码，根据网络、服务器设备的管理职责范围负责管理和维护，不得向任何人泄漏。

网络、服务器设备的各类密码长度在系统允许的最大长度内不得少于8位。

网络、服务器设备的各类密码必须定期更换，更换周期不得超过60天，核心网络、服务器设备密码更换周期不得超过180天。

每季度对现有网络设备、服务器设备、应用系统日志进行汇总分析，并记录结果，生成日志分析记录。所有设备日志至少保留1年。

由于网络、服务器设备管理人员工作调整，不再具有对原网络、服务器设备操作的职能时，该部门负责人必须及时收回该人员的权限和密码，另行安排他人并重新进行密码设定。

要严格执行国家相关法律法规，防止发生窃密、泄密事件。外来人员未经单位主管领导批准同意，任何人不得私自让外来人员使用本单位的网络系统作任何用途。

各部门要加强对各网络安全的管理、检查、监督，一旦发现问题及时上报相关负责人。信息安全负责人分析并指导有关部门作好善后处理，对造成事故的责任人要依据情节给予必要的经济及行政处理。

附则：
网络安全策略 网络安全策略是指为保证对网络提供一定级别的安全保护所必须遵守的规则，是网络安全工作的核心。网络安全策略不仅包括技术的策略，安全管理的策略越来越重要。安全策略具有一定的时效性，需要在实施中不断优化和调整。安全技术措施和安全产品的应用无需盲目引进，而是围绕安全策略的具体需求有序地组织在一起，架构一个动态的安全防范体系。网络安全策略必须基于对网络风险充分分析的基础上。

对网络接入条件的要求 l 应用系统正式运行前，为了实施安全策略，要求应用系统提供其源地址（包括IP 地址和MAC 地址）、目标地址（包括IP 地址和MAC地址）、应用的协议、使用的端口、网络资源要求和安全保护要求等信息。

l 内部人员的办公电脑，应符合前端管理规定。

l 外来人员的电脑原则上不允许接入内部网络；
如果确因工作需要，应有授权；
应符合前端应用有关规定，同时对其采取登录认证技术进行检验和记录。

l 带离式设备的网络接入，必须充分保障设备、线路和网络的安全。

漏洞扫描 定期一季度对重要服务器进行漏洞扫描，并对扫描的结果进行分析，形成扫描报告，对不必要的服务、开放的端口要进行关闭或限制，对存在的漏洞要打补丁。

系统补丁 1) 补丁选择策略：
l 选择半年前发布并为厂商推荐的稳定的补丁；

l 对于厂家推出的新补丁，进行适用性分析，优先选择相关补丁进行测试；

l 同时考虑设备部件微码、中间件版本的匹配问题。

2) 补丁安装原则：
l 在补丁安装前必须做好系统备份；

l 所有补丁在安装前必须经过测试。首先在测试环境中进行测试，测试通过后在准业务环境投产，经业务测试无误后在正式业务环境运行；

l 维护包测试期建议不少于6个月，紧急、关键补丁测试期可酌情调整；

l 在新装和重装系统后，必须安装符合补丁选择策略的补丁；

l 补丁投产时应分期在主备机环境进行，投产顺序建议先主后备进行，时间间隔应合理控制（建议一至二周）。

运行日志管理 l 网络设备必须建立运行操作日志，保证日志信息的完整性和准确性，并建立检查机制。

l 运行日志应包括：记录日期、操作人员、复核人员、各系统启联机时间、下联机时间、完成各工作的主要内容及时间点、错误内容记录、解决情况、交接班记录等主要信息。

l 在网络设备出现故障时，应填写各类故障的相关报告，记录操作员发现的或用户报告的系统出现的故障及故障解决处理情况。

l 操作人员认真填写当天的运行日志，准确记录联机和批量及故障状况；

l 运行操作日志必须包含操作和复核两类签名，运行操作主管应每日检查系统运行情况，检查运行操作日志的填写及归档，发现问题及时处理。

l 定期将运行日志进行分类、分析、装订、归档。建立系统运行日志，日志信息长期保存，以备稽查。

l 定期对关键网络设备的配置进行备份，备份配置一份保存在本地，一份刻盘或其它形式保存到五防保险箱 某单位病毒防范安全管理办法 第一条 为了建立统一的病毒防范体系，快速应对各类病毒性突发事件的爆发、及时处置病毒可能带来的危害建立本办法,本办法适用于本单位信息系统服务器的病毒防范管理。

第二条 由信息技术科负责信息系统病毒防范的管理工作。

第三条 预防管理 (一) 构建预防为主、防杀结合的计算机病毒长效管理与应急处理机制。全局应部署统一的防病毒产品，实施全行统一的预警管理。

(二) 各类计算机应安装指定的防病毒软件，启用自动防护功能，服务器设备定期更新，终端设备实时进行更新。

(三) 制订防病毒应急预案，并定期开展应急演练。

第四条 检测和控制管理 (一) 应确保防病毒系统和组件的正常升级。

(二) 防病毒管理人员应全面掌握所辖范围内的防病毒系统运行状态。

(三) 计算机用户发现所用电脑遭受病毒攻击，且防病毒软件无法正常清除病毒时，应立即报告防病毒管理人员，采取相应措施进行杀毒。

(四) 外来电子邮件或外部必须交换的移动存贮介质，在使用前须进行病毒检查。

(五) 病毒大规模爆发期间，应及时采取有效措施，防止病毒扩散，消除病毒隐患。

(六) 造成业务影响的病毒事件，处理后应编制报告文件，说明病毒爆发原因、处理方法、整改方法，并向信息技术科负责人汇报情况。

第五条 监督、检查管理 (一) 防病毒管理人员须认真、及时地做好防病毒系统的维护、巡检、监督。

(二) 防病毒管理人员应定期分析、总结防病毒系统的运行情况，并每月进行上报。

第六条 教育与处罚 (一) 防病毒管理员应定期对计算机用户进行防病毒培训，介绍病毒感染途径、破坏形式、造成的后果等，以提高计算机用户对病毒的认知能力。

(二) 各类计算机使用人员认真学习计算机病毒防治知识和技能，加强防范意识，自觉遵守有关计算机病毒防治规定。

(三) 对因工作严重过失、不安装或不按规定使用防病毒软件而造成计算机信息系统遭受病毒侵害，或故意输入计算机病毒、蓄意危害和破坏计算机信息系统的行为，应根据相关规定进行处罚。

附件一　病毒防范月报告表 X年X月 病毒事件发生数量 查杀病毒数量 防病毒软件是否正常升级 主要病毒类型 影响业务病毒事件 X月X日 爆发原因 处理方法 整改方法 影响业务病毒事件 X月X日 爆发原因 处理方法 整改方法 某单位备份与恢复管理规定 第一条 为了有效的防范系统风险，规范数据备份、数据恢复制度，确保信息系统安全运行制定本办法。

第二条 本办法适用于本单位各系统数据的备份与恢复管理。

第三条 数据备份的内容包括：本教育局开发和管理过程中的所有关键业务数据。具体是指计算机和网络设备的操作系统、应用软件、系统数据和应用数据。

第四条 根据信息系统的情况和备份的内容，有多种数据备份方式：
(一) 完全备份：对备份的内容进行整体备份；

(二) 增量备份：仅备份相对于上一次备份后新增加和修改过的数据；

(三) 差分备份：仅备份相对于上一次完全备份之后新增加和修改过的数据；

(四) 按需备份：仅备份应用系统需要的部分数据。

(五) 具体所采取的备份方式，应能够确保真实重现被备份系统的运行环境和数据。

第五条 应根据各种数据的重要性及其容量，确定备份方式、备份周期和保留周期，制定确保数据安全、有效的备份策略以及恢复预案。具体备份和恢复可由相关部门负责实施。

第六条 对计算机和设备进行软件安装、系统升级改造或更改配置时，应进行信息数据和设备参数的完全备份。应用系统更新后，应实现数据的迁移或转换，确保历史数据的完整性，确认无误后，并对新系统及其数据进行完全备份。

第七条 数据备份的介质选择要满足各系统的备份策略和数据备份及保存的要求，包括安全可靠性、方便性和服务质量。

第八条 信息备份系统须指定管理人建立、修改和管理系统授权表及系统授权口令，相关部门进行数据备份修改时应及时做好修改记录，并告之管理人。管理人如出现离任、调职等情况，应在其交接之后，可由新任管理人将原系统管理人的权限、账户密码等进行重新设置。

第九条 数据备份与管理的责任部门要加强对备份介质的管理，正确使用介质并合理处理废弃介质。备份介质应该放在适于保存的安全环境，如防盗、防潮、防鼠害，防虫咬，避免高温高压；
磁性介质远离磁性、辐射性等。对介质要有严格的存取控制，对有备份数据的介质要进行定期检查，确认所备份数据的完整性、正确性和有效性。

第十条 当由于出现故障而导致系统或数据确实损坏并无法抢救时，需审核恢复预案，估算可能的损失。具体操作如下：
(一) 恢复计划和方案通过相关部门同意后才能对系统进行故障操作，恢复操作不应影响对故障原因的追查和故障的处理；

(二) 恢复操作前所有相关信息系统的系统管理员应同时到场，先备份现场系统、数据和环境，再按照恢复方案的要求进行恢复；

(三) 系统恢复后，应由相关信息系统的系统管理员进行测试，同时再进行一次备份，恢复的情况应报告相关部门；

(四) 对于重要的信息数据，每季度进行一次数据全备，每年应至少进行一次备份数据的恢复演练，并做出可靠性评估。

第十一条 认真做好数据备份的文档工作，完整地记录备份系统的配置和备份数据源的相关信息。做好备份工作的运行日志和维护日志工作，建立备份文件档案及档案库，详细记录备份数据的信息。同时要做好数据备份的文卷管理，所有备份应有明确标识，包括卷名、备份时间、运行环境、备份人等。卷名按统一的规则来命名，由“系统名称—（数据类型+备份方式+存储介质）-备份时间-序号”组成。

卷名命名示例 系统名称 数据类型 备份方式 存储介质 备份时间 序号 ABC 0操作系统 1应用软件 2应用数据 3其他 0完全备份 1增量备份 2差分备份 3按需备份 4其他 0磁带 1光盘 2硬盘 3其他 YMD XXX 注：如某备份资料问卷管理中记录的信息为：
(一) 卷名：办公自动化-221-20140902-001（表示所备份资料是：办公自动化的应用数据，是以差分备份方式备份在光盘上，备份时间为2014年9月2日，序号001）。

(二) 运行环境包括操作系统名称、版本号、数据库名称、版本号等。

(三) 备份人的部门名称和备份人姓名,重要备份数据备份原则上至少应保留两份拷贝，一份在现使用地保存，以保证数据的正常快速恢复和数据查询，另一份在现使用地外保存，避免发生灾难后数据无法恢复。

第十二条 应加强对数据备份和管理工作的考核力度，建立相应的管理规定。如因未严格遵守规定而造成备份系统发生故障，或数据丢失、泄露，或导致信息系统无法正常运行的，信息技术科应评估造成的损失，明确事故原因和责任人，按信息安全惩戒管理规定的相关规定进行处理，并将处理情况和防范措施反映在数据备份报告中。需要时填写信息安全事件报告。

附件一 数据备份恢复核查记录 核查时间：
核查人：
备份管理系统名称：
服务器名/IP地址：
备份管理方式 备份对象/ 数据源设备名/IP地址 备份目的地 备份模式 备份周期 策略状态 最新成功日期 数据恢复验证 某单位网站运行维护管理办法 第一条 为保证网站的高速、安全运行，特制定本办法。

第二条 适用网站运行维护过程中涉及的安全管理活动。

第三条 信息技术科是本规定的归口管理部门,负责本规定的修订、解释和说明及协调实施工作。

第四条 系统管理员负责网站的日常更新维护工作，确保网络运行通畅和安全。

网站信息发布管理 第五条 各部门发布的信息资料，由部门负责人及系统管理员初审把关，审定后在网站上发布更新。本教育局网站实行网站内容监督机制，系统管理人员每周两次（周二、周四可视实际情况调整）检查网站当日所有更新内容，并做好相应的日志。一旦发现异常情况，有危害网站安全情形时，应立即与相关领导联系，及时对相应版本进行处理，确保网站运行安全后，做好日志记录。

第六条 各部门要按照要求，经常上网查阅相关的栏目，及时准确发布信息。各部门需保证负责相应内容的准确性和时效性。常规性内容，负责部门需每月检查是否与现状相符。

网站安全、保密管理 第七条 网站所有内容必须遵守相关法律、法规。

第八条 网站安全及涉及网络保密的管理工作，由各板块负责部门进行检查监督，确保本部门更新的内容的安全。

第九条 网站用户的登录名、登录密码等应妥善保管，定期或根据情况更新。账号、密码不得转告或泄漏予他人，不得授权给他人进行资料更新。

第十条 系统管理人员如发现以下危害信息，应在发现之时立即通知相关负责人协调予以解决：
(一) 违反宪法确定的基本原则的；

(二) 危害国家安全，泄漏国家机密，颠覆国家政权，破坏国家统一的；

(三) 损害国家荣誉和利益的；

(四) 煽动民族仇恨、民族歧视，破坏民族团结的；

(五) 破坏国家宗教政策，宣扬邪教和封建迷信的；

(六) 散布谣言，扰乱社会秩序，破坏社会稳定的；

(七) 散布淫秽、色情、赌博、暴力、恐怖或者教唆犯罪的；

(八) 侮辱或者诽谤他人，侵害他人合法权益的；

(九) 煽动非法集会、结社、游行、示威、聚众扰乱社会秩序的；

(十) 以非法民间组织名义活动的；

(十一) 违反本单位相关制度的；

(十二) 含有法律、行政法规禁止的其他内容的。

第十一条 任何人员不得有从事下列危害网站安全的活动：
(一) 窃取网站管理账号及密码的；

(二) 未经允许，对网站功能进行删除、修改或者增加的；

(三) 未经允许，对网站中存储、处理或者传输的数据和应用程序进行删除、修改或者增加的；

(四) 通过因特网或局域网恶意攻击网站，导致网站不能正常运行的；

(五) 其他危害网站安全的。

第十二条 违反安全保密法规，泄露本单位秘密的，将追究相关人员责任。

某单位信息系统变更管理办法 第一条 为规范信息系统的问题和变更管理，及时、准确处理信息系统问题和变更，保障本单位计算机系统稳定、高效、安全地运行，特制定本办法。

第二条 本办法所称变更，是指对业务系统、业务环境所作的有计划的改动。包括应用程序的更新、软件缺陷修正、业务数据的修改、业务系统软硬件环境的调整、网络通信环境的变化等。

职责与分工 第三条 信息技术科变更管理职责 (一) 负责信息系统变更管理和审核工作；

(二) 拟定信息系统变更管理的制度规定；

(三) 负责变更项目的方案编写、论证、审核、实施，包括主机系统、网络、业务数据信息、运行环境和应用软件等；

(四) 对业务部门提供变更技术支持；

(五) 对外部维护人员操作的信息系统变更情况进行检查与核实。

第四条 相关业务部门的变更管理职责 (一) 负责业务系统相关变更申请以及变更前的审核工作；

(二) 负责对业务相关变更项目的测试、变更后验证确认工作 (三) 及时反映变更过程中出现的情况和需要解决的问题；

(四) 积极采取措施减少非正常的数据变更申请。

变更分类 第五条 根据变更本身的风险程度以及对业务连续运行的影响程度，变更可分为常规变更、一般变更、重要变更和重大变更。

第六条 常规变更是指不涉及业务系统数据和运行环境，或按照规定的操作指令、预先确定的脚本，对业务系统的数据和运行环境进行设置调整、纠错等日常性、事务性、维护性变更。

第七条 一般变更是指涉及业务系统非关键数据信息和运行环境，但没有业务运行连续性风险的非常规变更。通常对业务环境的改变是单点或者是局部的（如网络端口开通、外围系统环境恢复等）。

第八条 重要变更是指涉及业务系统非关键数据信息和运行环境，并且具有业务运行连续性风险的变更。如多个相关联的数据信息调整、全局性参数设置、数据库性能参数优化、运行操作规程调整、业务网络运行性能参数调整、应用程序缺陷修正后的系统投产、局部冷热备的系统启用、进入Ⅲ级应急的计算机信息系统突发事件处置事项等。

第九条 重大变更是指涉及关键性数据改变的数据变更，以及新系统使用、网络拓扑环境改变等的变更。

变更申请 第十条 业务和信息部门发起变更申请的，应根据变更事项，填写变更申请表，并经部门负责人进行审批。

(一) 业务数据变更（维护）由业务部门提出申请，系统管理员进行审核；

(二) 业务环境变更（维护）由外部维护人员或系统管理员提出申请，分管领导进行审核，对于涉及业务数据或对系统运行连续性有影响的，须经相关业务管理部门审核验证。

第十一条 由于系统技术原因引起的变更和因业务运行检查维护等需要变更，由信息科发起，但涉及业务数据或对系统运行连续性有影响的，必须经相关业务管理部门确认验证。

第十二条 业务数据变更（维护）申请应由业务主管部门进行审核审批。由信息技术科负责实施的业务数据变更（维护），并应报对应的业务主管部门主要负责人审批确认，方可办理。

第十三条 特殊情况变更可电话直接向分管领导报告，说明原因，批准后可先进行变更操作，随后再补充变更申请表。

变更受理 第十四条 信息技术科接到变更申请表后，必须对变更申请的内容进行审核，检查各要素是否完备。

第十五条 变更申请被正式受理后，由信息技术科编号，并确定变更的实施人员。

第十六条 信息技术科根据变更类型处理变更申请。其中：
(一) 常规变更：直接转入变更实施环节；

(二) 一般变更：编制或配备变更策略说明文件或脚本，明确变更主要实施人员，转入信息技术科的变更审批环节；

(三) 重要变更：制定变更实施方案（实施方案包含变更主要实施人员、变更的具体实施步骤及内容、拟变更实施日期和时间、变更中各相关部门需要配合和确认的工作）后，转入信息技术科的变更审批环节；

(四) 重大变更：制定变更实施方案（实施方案计划除一般内容外，还须包含变更影响范围和是否影响系统业务连续运行评估、变更的回退方案）后，转入信息技术科的变更审批环节。

变更实施 第十七条 由外部维护人员承担变更实施工作，需严格按经审批的变更方案和内容实施变更操作，并对操作过程进行记录，变更完后系统管理员进行核实。

第十八条 对于具备测试条件的变更事项，变更实施前要在测试环境上进行严格、完整的模拟测试。

第十九条 变更实施批准后，信息技术科应在实施前通知参与变更审批流程的相关部门。

第二十条 重要变更及重大变更实施过程必须双人办理，一人操作，一人现场监督或复核。

第二十一条 在变更实施过程中，若因某种原因导致变更失败，必须由最终批准变更的系统管理员或分管领导决定是否启动回退方案。

变更反馈与分析 第二十二条 影响业务的变更实施完成后，信息技术科及时向业务部门反馈变更实施情况。

第二十三条 信息技术科必须定期收集、跟踪各类变更的执行情况，特别要对重大变更和频繁发生的变更进行分析，积累变更实施经验，防范变更操作风险。

附件一 配置/设备变更记录 编号：
变更主体 变更日期 操作人员 批准人 变更主题 变更原因 变更内容及操作方法 完成结果 备 注 某单位信息安全惩戒管理规定 第一条 为对违反信息安全方针、标准的行为，根据违反的程度（造成的后果）进行行政、经济处罚，特制定本规定。

第二条 本规定适用于信息安全惩戒的管理控制，适用对象为全局所有人员，包括外部维护人员。

第三条 本局所有人员和外部维护人员屡次违背本局安全策略和安全管理规定的要求以及进行其它违背安全策略的操作，信息技术科可以立刻解除信息资源访问权限、特权，并上报单位领导。

第四条 对于故意制造、传播病毒，或使用电子邮件炸弹等黑客攻击手段，攻击信息系统，包括篡改、删除信息系统数据、程序及相关配置等行为，并造成重大影响的，一经发现并查实，将严重处理。对于责任者违反国家法律的，依法追究法律责任。

第五条 外部维护人员违背本局安全策略和程序以及进行其它安全破坏，按相关的法规、业务合同规定惩戒，直至追究经济和法律责任。

某单位第三方访问管理程序 第一条 为规范第三方人员/组织对本单位的物理访问与逻辑访问，做好本单位信息系统安全防护工作，特制定本管理程序。

第二条 本管理程序适用于本单位网络、各应用系统、数据库的逻辑访问，物理访问按照《机房管理规定》实行。

第三条 第三方访问是指本单位以外其他组织/人员对本单位的信息系统的逻辑访问。

第四条 第三方访问包括网络访问、数据库访问、信息系统访问。

第五条 第三方访问前应对第三方访问可能导致的风险进行评估，采取适当的控制措施（如：授权、签署保密协议等）、维护被第三方访问的本单位信息处理设施和信息资产的安全，评估意见填写在《第三方访问申请/授权表》上。

第六条 第三方授权的方式包括签订协议和临时访问授权两种方式。

(一) 与本单位建立长期业务合作关系，需要经常在本单位内工作的第三方及长期逻辑访问本单位信息系统的第三方，责任部门应与其签订《保密协议》；
规定其在单位内活动的场所范围，时间和人员资格的要求，以及违反安全规定协议须承担的法律赔偿责任等，必要时对其工作人员进行资格审查。

(二) 如果属于临时业务工作需要的第三方访问采用临时授权方式，临时授权操作时需由本单位人员在旁监督进行。

第七条 第三方在访问本单位网络、数据库、信息系统时需要书面授权。

第八条 访问敏感信息须或第三方人员为特权用户时，应由信息部门负责人批准。

第九条 授权程序 (一) 第三方访问前，如第三方需要申请账号，应填写《第三方访问申请/授权表》。

(二) 《第三方访问申请/授权表》应明确规定访问的类型、时间、权限。

(三) 授权管理部门（信息技术科）应对来访者的身份、访问类型及访问可能导致的风险进行风险等级评估，以采取相应的控制措施。

(四) 申请部门/单位接获授权后，对外来人员进行信息安全教育，对访问按授权范围进行控制。

附件一 第三方访问申请/授权表 记录表式号：
记录顺序号：
申请人 申请日期 被授权人信息 ○正式员工 ○实习生 ○第三方人员 ○其他 姓名 联系方式 工作单位 申请期间 自 开始至 结束 申请原因 备注 审核人意见 签名：
日期：
年 月 日 批准人意见 签名：
日期：
年 月 日 某单位信息项目管理规定 第一条 为提升项目管理能力，保障信息系统项目建设，推动业务发展，促进信息系统项目管理工作规范化，特制定本规定。

第二条 本规定适用范围包括项目的立项、启动、计划、实施、监控、收尾等管理过程。

职责与权限 信息技术科是信息系统项目的主管部门，负责信息系统项目管理工作。其主要职责包括：
第三条 负责信息系统需求实施可行性分析与评估，组织项目实施方案。

第四条 负责牵头项目立项工作，负责进行项目报批或报备工作。

第五条 负责项目实施任务的技术组织、落实与管理工作。

第六条 制定项目所建信息系统上线工作方案，部署和运行工作。

第七条 负责项目监控，定期编制项目报告。

第八条 负责技术验收和项目相关文档的管理，协助需求部门完成项目后评估。

项目立项 第九条 需求部门经前期准备，确定需求目标和范围，编写需求说明书，明确需求的必要性、合理性、重要性、可行性等，并向相关领导提交。

第十条 组织人员对项目需求进行评估。

第十一条 拟定项目实施初步方案，包括制定项目计划，编制项目预算表，识别潜在的风险。

第十二条 确定项目前期的技术和业务联系人。

第十三条 准备项目申报材料，完成项目报批或报备流程，报批或报备材料一般包括但不限于 (一) 项目立项申请表 (二) 项目实施方案（包括项目计划、项目组织架构及资源使用情况等）
(三) 需求说明书 (四) 技术方案 (五) 预算编制表 (六) 其他与项目有关文档，如项目分析报告（可行性、必要性分析）、项目涉及的业务挂了规定、项目审批意见、与该项目相关的前期项目总结报告、重要会议纪要等。

(七) 项目需求部门发起项目预算申请 项目计划 第十四条 细化项目实施方案，包括细化项目范围说明书，制定具体的项目进度计划、资源配置计划、重要里程碑等。

第十五条 细化技术实施方案,编写项目管理计划。

项目实施 第十六条 落实项目计划实施，完成项目所涉及信息系统的设计开发、测试、设备部署 、系统投入使用和维护工作。

第十七条 管理项目进程，作好项目实施过程中信息的发布与报告。

第十八条 需求部门应积极配合项目实施工作，包括业务需求解释、业务问题协调，需求变更审核、用户验收测试，确认项目的实施结果及部署方案等工作。

项目监控 第十九条 项目监控是对项目计划所确定的范围、时间、费用、资源、质量和风险等目标进行监测，识别并纠正问题和偏差，控制出现的变更，从而使项目按计划推进。

第二十条 项目监控过程中，项目组应及时识别风险，跟踪已识别的信息科技项目风险，检测剩余风险，配合风险管理等工作开展。

第二十一条 项目组要及时收集项目的信息，按月编制项目报告，向项目各相关部门汇报项目状态、进展。项目报告中要包括该周期项目完成工作、下一周期项目计划、项目里程碑完成情况及项目重大问题列表等。

项目收尾 第二十二条 项目收尾包括与结束项目相关的所有活动。一般包括项目费用决算、项目后评估、项目文档整理归档、项目关闭等工作。

第二十三条 项目完工后，项目相关文档应整理归档并妥善保存。项目文档包括但不限于 (一) 项目立项申请文档，如业务需求文档、项目实施方案、项目预算编制表、项目分析报告、项目涉及的业务管理规定或规定等。

(二) 项目商务文档，如询价文档、招投标文档、合同等。

(三) 项目实施文档，如概要设计、详细设计、技术方案、操作手册、测试文档等。

(四) 项目管理文档，包括项目评估报告、会议纪要等。

第二十四条 当项目相关活动全部结束后，项目组要编写项目总结报告，进行项目关闭。项目关闭须经业务主管部门和项目主管部门的共同确认。

某单位消防管理制度 为了做好本单位的消防工作，确保所有工作人员的人身生命财产安全，落实消防工作“以防为主，防消结合”的基本原则，应付突发的火灾事故，特制定本预案：
一、组织机构 以本单位领导为总负责，组建灭火和应急疏散组织机构，由灭火行动组、通信联络组、疏散引导组、安全防护救护组组成，具体分工如下：
1、灭火行动组：灭火行动组主要负责本本单位的一般初级火灾的扑救工作。

2、通信联络组：负责通信联络及各部门的统一协调。

3、疏散引导组：负责火灾时人员的安全疏散及财产的安全转移。

4、安全防护救护组：负责火灾时车辆、医疗救护等后勤保障工作。

二、报警和接处警程序 1、报警监控中心必须配备火警电话，值班人员要坚守工作岗位，对本单位的重点要害部位进行全方位24小时监控。

2、监控中心收到监控区的火警信号及火警电话后，应立即用对讲机通知值班人员、巡逻员赶赴现场，并电话通知值班领导。

3、值班室必须配备必要的救灾设施。值班人员赶赴现场后，如未发生火灾，应查明警示信号的报警原因，并做详细记录。

4、如有火灾发生，应根据火情，立即拨打“119”报告消防队，并将信息反馈监控报警中心，同时进行灭火及疏散工作。

5、监控中心根据火灾情况，调集有关人员启动灭火和应急预案。

三、应急疏散的组织程序与措施 1、为使灭火和应急疏散预案顺利进行，保卫科应加强日常性检查，确保消防通道畅通。

2、公共聚集场所（ 人员相对集中的场所）应保持消防通道畅通，出入口有明显标志，消防通道及安全门不能锁闭，疏散路线有明显的引导图例。

3、火灾发生时，疏散引导人员应迅速赶赴火场，利用应急广播指挥人群有组织地疏散。

4、疏散路线尽量简捷，就近安排，走道内应设疏散指示。

5、疏散引导组工作人员要分工明确，统一指挥。

四、扑救一般初级火灾的程序和措施 1、当火灾发生时要沉着冷静，采用适当的方法组织灭火、疏散。

2、对于能立即扑灭的火灾要抓住战机，迅速消灭。

3、对于不能立即扑灭的火灾，要先控制火势的蔓延，再开展全面扑救。

4、火灾扑救要服从火场临时指挥员的统一指挥，分工明确，密切配合。

5、当消防人员赶到后，临时指挥员应将火场现场情况报告消防人员，并服从消防人员统一指挥，配合消防队实施灭火、疏散工作。

6、火灾扑救完毕，保卫部门要积极协助公安消防部门调查火灾原因，落实“三不放过”原则，处理火灾事故。

五、通信联络，安全防护救护的程序和措施 1、所有参加灭火与应急疏散工作的工作人员应打开通信工具，确保通讯畅通，服从通信联络组长的调遣。

2、救灾小组成员应在火场待命。

3、医务室人员在现场及时救治火场受伤人员，必要时与地方医院联系救治工作。

4、应调集车辆，确保交通畅通。

5、指定专人对被抢救、转移的物资进行登记、保管，对火灾损失情况协同有关部门进行清理登记。

六、日常工作：
1、落实消防责任制，宣传消防知识，提高员工消防意识。

2、每年应保证1-2次消防演习。

3、定期检查、维护消防设施。

某单位软件管理办法 第一条 为指导信息系统建设和安全管理，加强软件管理，有效控制技术风险，促进信息系统的规范化与标准化建设，特制定本办法。

第二条 本办法适用于各类软件系统的开发、使用与管理。

职责与权限 第三条 信息技术科是信息系统的职能管理部门，负责信息系统所需软件的统一规划、开发、修改、采购、培训、升级维护和管理，保障软件在信息系统中的安全运行，并提供软件使用中的技术支持。

软件管理 第四条 软件安装（含更新安装）使用后，软件的存储介质或拷贝必须交由信息技术科统一登记与保存。

第五条 严格执行软件版本管理及分发流程，防止软件的盗用、误用、流失及越权使用。

第六条 软件的设计方案、数据结构、加密算法、源代码等技术资料严禁散失和外泄。

软件开发 第七条 软件的开发，是指根据业务需要而进行的应用软件开发，根据业务变化而进行的应用软件修改视同软件开发。

第八条 在软件总体设计时，应根据应用软件的实际用途，同步进行安全保密设计。

第九条 在软件开发过程中，应同步完成相关文档手册的编写工作，保证相关资料的完整性和准确性。

第十条 软件外包开发，在与开发商签订的服务协议中软件使用风险条款，明确权责义务，确定补偿措施与限额，保障双方合法权益。

第十一条 开发环境必须与业务环境相隔离。

第十二条 软件开发完成后，由项目组进行测试和试运行，并向信息技术科领导提请验收通过。

第十三条 信息技术科组织相关技术专家和业务部门进行项目验收并给出评审意见，报请验收通过。

软件使用 第十四条 标准化软件在购买后，经测试、试运行确认安全后即可上线运行。

第十五条 外包开发软件正式投入使用前必须经过内部评审，确认软件功能、性能、安全性均满足相关标准和业务要求，技术文档完备。

第十六条 必须经过严格、完备的测试和试运行后，应用软件才能正式上线运行。

第十七条 正确评估软件上线风险，做好相应的应急和备份计划。

第十八条 软件使用人员在使用前接受操作培训和安全教育。

第十九条 软件的使用应遵循最小功能原则及最小权限策略，关闭不必要的服务和端口。

第二十条 标准化软件应在经过充分测试的前提下，及时安装补丁程序。

第二十一条 标准化软件采购与外包软件开发均需要在合同中约定后期服务内容，包括软件功能升级、版本修改、变更及配置更改，由项目管理员负责。

第二十二条 外包开发软件的功能性升级、变更及配置更改严格按照日常维护操作流程执行。根据业务需求进行软件升级修改，按软件开发过程管理。

某单位帐户权限与口令管理规定 总则 第一条 为保障某单位（以下简称“教育局”）信息系统可靠运行，构建安全的IT运维环境，明确管理职责，规范操作行为，依据《信息安全工作管理规定》，特制定本管理办法。

第二条 运维组安全管理岗负责《账户权限关系表》的维护工作，保证其及时更新，部门负责人负责审核其完整性与准确性。

第三条 本管理办法适用于运维组。

账号管理 第四条 运维组负责业务环境中的各类网络、主机、数据库等系统的账户权限管理，以及业务应用系统的账户权限操作。

第五条 运维组应有专人负责账户权限管理工作，其工作范围包括跟踪各类账户权限的分配、变更和相关口令管理，并对相关文档进行维护。

第六条 所有设备、主机及应用系统的开放端口、账户都应是为完成正常工作所必需开放和建立的。任何新系统上线前要对计算机系统运行环境进行清理、简化，清除不必要的账户，关闭不必要的端口。

第七条 系统或设备上线时，由供应商安装或部署完毕后，其账户及口令应交由运维组相关岗位接管，接管人应立即验证并修改所有缺省账户和口令。

第八条 特权用户账户应尽量避免直接使用。拥有超级用户权限的管理员应建立普通账户用于日常维护。日常工作应分权限设置不同级别的账户（如查询账户、审计账户、维护账户等），不同的操作使用不同的账户登录与操作。

第九条 业务环境内关键系统（包括业务平台、电子政务外网上的系统）应当建立账户与权限的对应关系表，该关系表应由权限管理相关负责人妥善维护。

第十条 严禁使用他人账户登录系统。各系统管理人员应及时调整岗位变更人员账户和权限，更新对应关系表。对工作用户建立明细，防止任何人通过闲置账户进入系统。

权限管理 权限申请 第十一条 任何权限的申请和授予都要遵循最小授权原则，即所授予的权限是要完成任务所必需的最小权限。获取权限的同时必须承担相应的责任，权限所有者应为包括口令丢失、误操作等不当行为承担责任。

第十二条 权限的申请流程如下：
(一) 账户权限申请人填写《权限申请表》（参照附件一）；

(二) 运维组或业务部门相关负责人审批申请表，确定所申请的权限是必要的最小权限；

(三) 审批通过后权限账户管理相关人员及时更新对应关系表；

(四) 相关系统管理员严格按照《权限申请表》设置相应权限。

权限使用 第十三条 为避免不受限制的权限，降低误操作的几率，所有系统的各类权限应进行分级管理，同时操作与审计、开发与测试等职责应进行分离。

第十四条 默认没有启动审计的系统上线时需手工打开审计功能。

第十五条 核心系统的主要业务操作应产生审计记录，审计记录应包括时间、发起者、类型、描述和结果，并采取措施控制审计权限和保护审计记录的安全。

第十六条 所有的主要运维操作应采取恰当的认证措施，并产生审计记录。

第十七条 各岗位必须按照账户权限对应关系表的权限分配，落实本岗位所负责的设备、主机、应用系统对应的账户和口令的管理。

权限废止 第十八条 员工岗位发生变更，需要及时修改对应系统的账户和权限，必要时重新按照流程申请新的权限。

第十九条 权限的调整流程如下：
(一) 员工岗位变更或者离职时，由局办公室正式通知运维组相关负责人；

(二) 权限管理人员根据局相关流程进行系统权限的调整；

(三) 权限管理人员应及时更新账户权限关系表。

口令管理 第二十条 口令的设置应遵守下列规定：
(一) 所有的业务系统的账户都必须设置口令；

(二) 口令必须不容易被猜出。禁止用字典中存在的单词或包含用户账户的组合或有规律的数字 (如“123456”)；

(三) 口令应满足一定的复杂度，如果系统支持，口令应至少8位，特权账户口令应至少12位，并且口令应为大小写字母、数字以及特殊字符的组合；

(四) 如果系统支持，在设置口令时应强制使用高强度口令；

(五) 如果系统支持，口令输入时不应显示；

(六) 如果系统有口令历史记录功能，应当启用，并限定最近6个月的口令不得重用。

第二十一条 口令的保存应遵守下列规定：
(一) 所有明文口令禁止保存在未加保护或其它人容易接触的介质中，应采取安全的物理保护措施；

(二) 口令应当安全地提供给用户。禁止使用未加保护的传输方式如明文邮件等传输用户口令；

(三) 数据库用户口令不得以可读形式贮存在批处理文件、自动登录脚本、软件宏(Macro)、终端功能键、无严格访问控制的计算机中或其他可以被未授权人员访问的位置 ；
（四级要求）
(四) 口令不得以任何形式写在相关设备附近。

第二十二条 口令的使用应遵守下列规定：
(一) 工作人员的个人口令（如个人使用的PC机口令）与所管理的业务系统口令（主机、设备及应用系统口令）必须严格区别，应避免使用相同的个人口令和业务系统口令；

(二) 未经授权口令不得泄露。

第二十三条 口令的修改应遵守下列规定：
(一) 重要系统账户的口令至少三个月更新一次；

(二) 任何其他人员借用特权用户口令后，责任岗位必须立即修改口令。如果怀疑或知道口令已泄露，应立即更改。

监督和审计 第二十四条 安全管理岗负责监督本管理办法的落实情况，对违反本管理办法或执行不力的行为应提出整改意见，要求限期纠改，并跟踪其落实情况。

附则 第二十五条 本规范由运维组制定并负责解释和修订。

第二十六条 本规范自发布之日起执行。

附件一 权限申请表 权限申请表 申请人资料 姓名: _________________________ 部门及岗位：________________________________ 日期：_________________________ 申请内容 相关责任人签字并更新记录 □ 签字：
________________ 日期：
_________________ 相关系统管理员设置权限 □ 设置完成 □ 其他情况，备注：_______________________________________________________________ 签字：
______________________________ 日期：
____________________________ 签字：
______________________________ 日期：
____________________________ 签字：
______________________________ 日期：
____________________________ 相关责任人审核 □ 审核通过 签字：
____________________________ 日期：
____________________________ 附件二 账户权限关系表 网络权限 权限 角色名 角色ID 岗位 用户 管理资源（概要）
认证方式/Group 备注 管理员 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 只读 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 主机权限 权限 角色名 角色ID 岗位 用户 管理资源（概要）
认证方式/Group 备注 管理员 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 部分操作 　 　 　 　 　 　 　 　 　 　 　 　 　 　 网管、监控、安全、应用权限 权限 角色名 角色ID 岗位 用户 管理资源（概要）
认证方式/Group 备注 管理员 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 只读 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 监控员 　 　 　 　 　 　 　 某单位项目测试验收管理办法 第一条 为规范本单位项目测试管理工作，提高测试工作效率和质量，促进应用开发更好地为业务发展服务，特制定本办法。

第二条 本办法适用于本单位信息系统建设项目的测试验收工作。

测试计划 第三条 项目实施单位编写《项目测试计划》。测试计划应考虑测试的目标、风险、范围、测试方案、进度、人力资源安排等，其中测试方案应明确测试内容、测试重点及数据准备、测试方法等。

第四条 项目管理人员应组织对《项目测试计划》进行评审。涉及业务部门的，评审方还应包括各业务部门。

第五条 项目实施单位负责根据评审意见修订《项目测试计划》，并提交通过评审，并在《项目测试计划评审表》中签字确认。

测试过程 第六条 项目实施人员依据《项目实施方案》、《招标文件》、《业务需求说明书》、《系统规格说明书》、《项目测试计划》编写“测试方案”。“测试方案”范围能覆盖业务功能点和风险点。

第七条 项目管理员组织人员对“测试方案”进行评审。评审人员包括：信息部门、需求部门、实施单位项目组成员。。

第八条 项目实施单位根据评审意见修订“测试大纲”，并提交通过评审，经各方在《测试方案》上签字确认后实施。

测试执行 第九条 项目管理员负责监督测试、定期检查测试进度、适时调整测试时间计划；
测试人员负责编写测试报告，根据测试步骤、记录测试结果。

第十条 测试结果与预期结果不符，则被确认为缺陷。测试人员应及时提交缺陷报告并持续跟踪直至关闭。

第十一条 项目管理员审核缺陷报告，确保缺陷信息描述准确、清晰。

第十二条 测试收尾阶段，项目管理员应检查所有的缺陷状态。除经业务需求部门和项目组确认可以作为残留缺陷外，其它缺陷的最终记录均应为“关闭”。残留缺陷确认标准：
(一) 开发方要明确回复在补丁中或以后版本中修改的非严重缺陷记录。

(二) 非本项目问题，属于其他项目或其他因素造成的，本项目周期内不能闭环的缺陷记录。

测试总结与验收 第十三条 测试执行完成后，项目管理员负责收集整理各项测试资料，组织编写《项目测试报告》。

第十四条 《项目测试报告》内容包括：项目名称和编号、测试过程简述、测试结果、结论。

第十五条 《项目测试报告》提交给相关需求部门共同审核，并进行用户业务验收，确认符合业务要求后召开项目验收会议，验收通过后各部门负责人、领导，在《项目测试报告》上签字确认。并由项目实施单位提交验收清单，包括设备清单、各类开发文档等。

第十六条 项目实施单位负责编制操作手册，并对需求部门和系统维护人员根据合同要求进行培训。

文档管理 第十七条 各类测试文档管理包括文档资料的收集、整理、分类、归档的全过程文档。

第十八条 文档资料以纸质或电子的形式，由项目管理员管理和归档。

第十九条 测试过程文档资料内容包括：测试计划、测试方案、项目测试计划评审表、测试明细案例、项目测试报告、操作手册、业务来往文件、会议纪要等。

第二十条 业务测试文档管理必须符合相关保密要求。

某单位信息系统应急响应管理规定 总则 第一条 策略目标：为了加强某单位（以下简称“本单位”）信息安全保障能力，建立健全本单位安全管理体系，提高整体网络与信息安全水平，保证业务系统的正常运营，提高网络服务质量，在本单位安全体系框架下，本策略加强本单位针对各系统发生严重和重大安全事件时启用的应急响应能力，提高本单位网络及业务系统持续有效的运行能力。

第二条 适用范围：本预案所指网络与信息系统的重要性是根据其在政府安全、业务开展的重要程度，遭到破坏危害程度来确定的。本预案启动后，政府其他网络与信息安全应急预案与本预案相冲突的，按照本预案执行。法律、法规和规章另有规定的从其规定。

第三条 使用人员及角色职责：本策略适用于本单位安全管理员、各系统管理员。

组织职责 第四条 本单位应急指挥小组是由本单位信息安全领导小组、本单位业务部门的负责人共同组成，主要负责重大安全事件的应急指挥和决策。

第五条 本单位应急技术小组是由信息部门专职技术人员和部门信息安全管理员共同组成，主要负责重大安全事件中技术问题的处理和解决。

第六条 快速反应通道是指本单位的上级应急响应组织、各业务系统产品厂商、集成商以及专业的安全厂商，主要负责具体设备、系统以及安全问题的处理和解决。

工作原则 第七条 工作原则 （一）预防为主、综合防范。立足安全防护，加强预警，重点保护基础信息网络和重要信息系统。完善风险预警和报告机制，降低突发事件发生概率。

（二）明确责任、协调配合。按照“谁主管谁负责、谁运营谁负责”的原则，建立和完善安全责任制、协调管理机制。根据部门职能，各司其职，加强部门间的协调与配合，形成合力，共同履行应急处置工作的管理职责。

（三）以人为本、快速反应。基础网络与信息安全突发事件发生时，要按照快速反应机制，及时获取充分而准确的信息，跟踪研判，果断决策，迅速处置，最大程度地减少危害和影响。

（四）依靠科学、持续改进。加强技术储备、规范应急处置措施与操作流程，实现网络与信息安全突发事件应急处置工作的科学化、程序化与规范化。树立常备不懈的观念，定期或不定期进行预案演练，确保应急预案切实可行。

安全要求 第八条 本单位各业务系统必须制定详细的业务应急计划，由信息技术科进行备案。

第九条 本单位各业务系统应急措施的制定要严格确保业务系统的可用性，采用在最短的时间能够恢复系统的措施为优先应急措施。

第十条 本单位各业务系统应制定详细的应急响应流程，整个流程包括安全事件发现、报告、事件分析、协调、处理、总结和奖惩等内容。

应急预案框架 第十一条 事件分类 信息系统突发事件按照事件现象分为三类：系统异常、应用异常、数据异常。

（一）系统异常，指本单位计算机信息系统由于系统硬件系统软件、通讯链路、基础设施等故障导致系统中断、系统性能大幅下降的突发事件。

（二）应用异常，指信息系统使用部门由于应用软件故障等导致业务中断或无法正常开展的突发事件。

（三）数据异常，指由于数据丢失或者被篡改等原因造成数据完整性、一致性受损，导致业务中断或无法正常开展的突发事件。

第十二条 分级分类 网络与信息系统突发事件依照影响业务类别以及持续时间等因数，分为三级：I级（重大）、II级（较大）、III级（一般）。

（一）I级（重大）：重要网络与信息系统大规模瘫痪，影响工作时间超过3个小时的突发事件，影响本单位正常经营活动。

（二）II级（较大）：重要网络与信息系统造成较大规模瘫痪，影响工作时间超过2个小时的突发事件，尚未直接影响本单位的正常经营活动。

（三）III级（一般）：某一部门的网络和信息系统瘫痪，影响工作时间1个小时以内的突发事件，不影响本单位正常业务的开展。

第十三条 组织体系 发生Ⅰ级、Ⅱ级网络与信息系统突发事件后，本单位“信息安全领导小组”，转为网络与信息系统应急协调小组，为本单位网络与信息系统应急处置的组织协调机构。信息系统应急协调小组组长、副组长由信息化分管局长和信息技术科科长分别担任，成员为各部门负责人，具体责任部门为信息技术科。

第十四条 预防预警 按照“早发现、早报告、早处置”的原则，加强对网络与信息系统突发事件和可能引发突发事件的有关信息的收集、分析判断和持续监测。当发生突发事件时，事发部门应及时向信息系统应急协调小组报告，最迟不得超过1小时。

第十五条 先期处置 当发生网络与信息系统突发事件时，应按照应急预案，作好突发事件应急处置。同时按照事件等级和分类响应流程进行应急响应，加强部门间协调配合，快速有效处理突发事件。

第十六条 应急流程 （一）发生突发事件后，该部门应急处置联络人应在半个小时内通知其他可能受影响的业务关联部门和单位。

（二）相关各方分别寻找故障原因，确认故障方并解决问题。

（三）当事部门应急处置联络人应将故障处理进展情况及时通报，直至故障处理结束。

其中I、II级事件还需要向局领导及时汇报处理突发事件的进展情况，直至故障处理结束。

第十七条 应急操作 （一）发生信息系统突发事件时，操作人员（当事人）应严格按有关规定，迅速进行现场分析和处理。

1．发现有异味或冒火花等，应立即关机切断相关电源，待查明原因、消除故障后方可再开电源继续操作；

2．属简单故障，应及时予以现场处理；

3．操作人员（当事人）无法处理、处理无把握、或故障较复杂严重而难以弄清时，属于第III类范围事件，则应保护好现场，并迅速与部门主管人员取得联系，共同分析原因，及时作出处理。

（二）当部门主管人员无法处理、处理无把握时，事件升级为II类，应及时记录有关情况、已采取的措施等，并迅速与信息系统应急协调小组责任部门—信息技术科取得联系，以取得应急支持。

信息技术科在获知用机部门计算机系统发生异常或故障时，应迅速作出响应。

（三）对于问题较复杂，一时难以把握处理或涉及面较大较严重而需协调的，初步判断属于I、II级事件的，必须及时将情况报告应急协调小组组长，以听取处理指示。

（四）现场应急维修、维护工作须在用机部门和技术支撑部门至少双人汇同进行。

（五）计算机系统故障或异常发生时，用机部门的操作人员（当事人）和处理人员应对故障发生情况及处理经过、办法作及时记录，并填写故障报告表。

（六）应急故障电话：
1. 网络故障维护电话：
区政府信息中心：87523306 2. 局信息维护部门热线：
信息技术科：87525686 第十八条 应急结束 网络与信息系统突发事件经应急处置后，得到有效控制，恢复正常运行，即为应急结束。应急处理联络人应按照应急预案规定的通知报告程序通知其他相关部门和相关业务部门和单位应急终止。

第十九条 善后处理 在应急处置工作结束后，要迅速采取措施，抓紧组织抢修受损的基础设施，减少损失，尽快恢复正常工作。统计各种数据，查明原因，对事件造成的损失和影响以及恢复重建能力进行分析评估，认真制定恢复重建计划，并迅速组织实施。

第二十条 调查评估 在应急处置工作结束后，协调小组对事件发生及其处置过程进行全面的调查，查清事件发生的原因及财产损失情况，总结经验教训。

保障措施 第二十一条 通信与信息保障 加强应急通信装备准备，建立备份系统和紧急保障措施，形成跨区域、多手段、多路由，有线和无线相结合的反应快速、稳定可靠的通信系统。

第二十二条 应急装备保障 建立信息网络硬件、软件、应急救援设备等应急物资库。在网络与信息安全突发事件发生时，由协调小组办公室负责统一调用。

第二十三条 数据保障 重要信息系统均应建立异地容灾备份系统和相关工作机制，保证重要数据在受到破坏后，可紧急恢复。各容灾备份系统应具有一定兼容性，在特殊情况下各系统间可互为备份。

第二十四条 应急队伍保障 按照一专多能的要求建立网络与信息安全应急保障队伍。由协调小组办公室选择若干经国家有关部门资质认可的，管理规范、服务能力较强的单位作为网络与信息安全的应急支援单位，提供技术支持与服务。

第二十五条 经费保障 网络与信息系统突发事件应急处置资金，应列入单位年度预算。

第二十六条 宣传培训 充分利用政府内外网络媒体、资源，加强对网络与信息安全等方面的知识培训，提高防范意识及技能，开展预防、预警、自救、互救和等知识的宣讲活动，普及应急救援的基本知识，提高员工自我防范意识和应急处置能力。

第二十七条 演练 建立应急预案定期或者不定期演练制度。通过演练，发现应急工作体系和工作机制存在的问题，不断完善应急预案，提高应急处置能力。

某单位信息系统建设管理办法 系统规划与立项 第一条 各职能部门进行信息系统建设项目立项申请过程中，应由信息系统安全等级保护工作小组对项目提出安全建议。

第二条 根据项目立项中的项目立项申请、立项论证、立项评估和立项审批四个程序，都应结合本单位各类的安全管理和技术规范。

第三条 各职能部门进行项目立项申请时，在提交《项目立项建议书》等相关资料中应增加以下安全方面的资料：
2. 系统安全需求分析说明书；

3. 系统安全功能说明书；

4. 系统中采用的安全设备以及性能指标参数；

第四条 对提交立项申请的项目，在进行项目立项论证和评估的过程中，应包括项目安全建设的论证和评估。

第五条 项目安全性论证对项目的安全需求分析、安全功能说明、安全设备、性能指标以及技术方案的技术可行性进行总体分析和审计。

第六条 项目立项论证和评估过程中，信息技术科负责项目安全性建设的技术部分论证和评估。

第七条 在提交项目立项申请时，应在技术方案中增加安全方面的说明和文档，内容包括：
1. 根据某单位安全规范中的要求，系统在建设过程中进行安全部署的说明；

2. 根据某单位安全规范中的要求，系统在建设过程中无法实现的安全部署的说明和论证；

3. 系统在建设过程中具体的安全功能以及安全功能的实现方法和技术；

4. 系统在建设过程中所采用的安全设备的品牌、型号、性能指标说明以及对于业务系统的影响分析；

第八条 信息系统项目安全性的论证和评估主要关注以下方面的内容：
1. 项目建设中网络规划中安全域的划分、网络冗余、网络传输安全、网络访问控制、网络边界安全、远程访问安全；

2. 项目建设中系统的性能、容量以及系统和业务的兼容性；

3. 项目建设中应用系统中身份验证、角色访问控制、数据加密、备份、日志审计等安全功能；

4. 项目建设中应用系统是否有后门、漏洞和不安全的隐患；

系统开发 第九条 应用系统的开发应该根据管理的目标、内容、规模、性质等具体情况，从系统论的观点出发，运用系统工程的方法。

第十条 应用开发应按总体的规划确立开发方案、实施步骤、时间进度、费用预算、人员安排等事项。

第十一条 在某单位的总体安排和部署下，信息技术科承担相应的信息系统的开发任务或委托第三方开发任务。经过相应的技术经济论证，并报安全主管审核批准，可立项进行开发或委托开发。

第十二条 委托开发需要与被委托方订立合同或委托协议，并对被委托单位和相关人员资质进行审查。应用系统开发应遵循国家标准的开发规范，开发环境必须与实际运行环境物理分开。

第十三条 开发完成后及时移交程序源代码和其相关技术文档；
关键安全技术措施和核心安全功能设计不得进行公开发表。

第十四条 开发范围 1. 服务器等重要设备的系统配置、底层软件的安装调试并运行，外购软件的环境设置；

2. 总体管理信息系统涉及的各个子系统的调研、可行性分析、功能定义、框架设计、程序编制、调试、试用、反馈、完善验收等各个阶段的开发工作；

3. 上级部门协作交流进行的项目研究及开发；

4. 其他与工作有关的开发任务；

第十五条 应用系统开发分析阶段 1. 对原系统的状况和存在的问题进行详细的了解和分析；

2. 根据用户提出的建立新系统的要求，进行初步调查和初步可行性分析，提出系统的总体规划；

3. 信息部门批准系统可行并可以开展开发工作以后，再对原系统进行深入的详细调查，彻底掌握原系统的模型：绘制系统的业务流程图和组织结构图；

4. 详细调查的基础上提出新系统的逻辑模型，即进行需求分析：绘制系统的数据流程图、进行数据分析、进行功能分析；

5. 编写系统方案说明书，分析所需设备、投资、技术要求、开发时间等，提交用户、管理人员、专家进行讨论，由安全主管审核、批准；

第十六条 应用系统开发设计阶段 1. 系统总体设计，包括系统的总体结构设计、数据库设计、计算机及网络系统配置方案设计；

2. 系统详细设计，包括代码设计、用户界面设计、计算机处理过程设计；

3. 编写系统设计说明书（系统设计报告），全面、准确和清楚的阐明系统实施过程中具体应采取的手段、方法和技术，以及响应的环境要求；

第十七条 应用系统开发实施阶段 1. 做好系统实施的准备工作，购置和安装必要的硬件及设备、购置系统软件和应用软件包、培训操作与使用人员、数据存储等；

2. 程序的设计；

3. 系统的测试；

4. 系统的初始化和转换；

第十八条 应用系统开发的管理与维护阶段 1. 系统投入运行后进行系统的评价；

2. 为保障系统的正常而可靠的运行，并随着环境的不断改善和提高，使系统始终处于正确的工作状态，进行系统和数据库的维护；

系统使用与废止 第十九条 新系统投入应当建立相应的操作规程和安全管理规定，具体内容详见《信息系统运行安全管理》部分。

第二十条 系统使用相关管理规定，具体内容详见《信息系统运行安全管理》和《某单位机房设备管理规定》部分。

第二十一条 信息系统的废止、更新实行审批和备案，以及善后处理。

第二十二条 当信息系统被转移、终止或废弃时，应正确处理系统内的敏感信息，根据要终止的信息系统的存储介质清单，识别载有重要信息的存储介质、所处的位置以及当前状态等，列出需清除或销毁的存储介质清单。

第二十三条 对于改进技术或转变业务到新的信息系统，对于这些信息系统在终止处理过程中应确保信息转移、设备迁移和介质销毁等方面的安全。

第二十四条 如果采用销毁手段，应确保介质销毁是有效可行的。销毁时根据存储介质处理方案对存储介质进行处理，记录处理过程，包括参与的人员、处理的方式、是否有残余信息的检查结果等。

系统投入运行审批流程 第二十五条 在信息系统正式投入运行前应请相关安全部门专家对信息系统的安全性进行论证。

第二十六条 由某单位进行审批后，经安全主管批准，系统才可以正式投入运行。

某单位信息系统运行管理办法 系统运行管理基本要求 第一条 为保障信息系统安全运行，信息安全管理机构必须组织编写相关的管理规范制度。一般制度至少应包括以下（包含但不仅限于）内容：
1. 中心机房管理规定；

2. 信息安全运维人员管理规定；

3. 信息资产管理相关制度；

4. 网络安全管理相关制度；

5. 防病毒安全管理规定；

6. 终端安全管理规定；

7. 帐户权限与口令管理规定；

8. 外来人员管理规定；

9. 安全事件报告制度与流程；

10. 应急响应计划；

系统运行平台的安全管理 第二条 为保障信息系统安全运行，信息安全管理机构必须组织编写相关的安全操作规程。一般管理规范至少应包括以下（包含但不仅限于）内容 1. 操作系统安全配置与管理规范；

2. 网络设备安全配置与管理规范；

3. 安全设备的配置与管理规范；

4. 数据库安全配置与管理规范；

5. 数据备份与恢复策略、方法和流程；

安全管理规定与策略制订、发布、更新与废止 第三条 安全管理规定与策略 必须以正式文件的形式发布施行。

第四条 安全管理规定与策略 由某单位制订，某单位信息系统安全等级保护工作小组审批、发布。

第五条 安全管理规定与策略 发布后，如有必要，信息部门应召集相关人员学习安全 第六条 策略，详细讲解规章制度的内容并解答疑问。

第七条 安全管理规定与策略 修订后需要以正式文件的形式重新发布施行，修订后的策略也需相应层次的管理部门审批。

第八条 签署发布的规章制度必须标明该规章制度的施行日期。

第九条 安全管理规定与策略修改与废止 必须定期对安全策略进行评审，对其中不适用的或欠缺的条款，及时进行修改和补充。对已不适用的信息安全制度或规定应及时废止。

第十条 当现行安全管理规定与策略有下列情形之一时，必须及时修改：
4. 当发生重大安全事件，暴露出安全策略存在漏洞和缺陷时；

5. 组织机构或实际运行环境进行重大调整和变更后；

6. 同一个事项在两个规章制度中规定不一致；

7. 与上级部门的安全策略相抵触；

8. 其它需要修改安全策略的情形。

第十一条 当现行安全管理规定与策略有下列情形之一时，必须及时予以废止：
1. 因有关信息安全制度或规定废止，使该信息安全制度或规定失去依据，或与某单位现行上层策略相抵触；

2. 因已规定的事项已经执行完毕，没有存在必要；

3. 已被新的规章制度所替代。

第十二条 信息部门对安全管理规定与策略的修改与废止须经某单位领导小组审批确认，信息部门备案。

第十三条 安全管理规定与策略发布实施后，各部门应就安全管理规定与策略贯彻执行，执行中存在的问题以及对规章制度修改或废止的意见建议等情况进行检查、监督，并将意见和建议及时反馈给信息部门。

第十四条 为保障各项信息安全管理规定的贯彻落实，信息部门必须定期检查安全管理规定与策略的落实情况，信息安全管理规定的落实情况检查是信息安全检查工作的重要内容。

第十五条 信息安全检查工作结束后，在起草检查报告时，必须通报安全管理规定与策略的落实情况，对执行不力的行为必须提出整改意见，限期纠改，并继续追踪其落实情况。

第十六条 为安全管理规定与策略落实做出显著成绩的部门或个人，应给予表彰和奖励；
对违反规章制度造成严重后果的部门或个人，应追究当事人责任。

重大安全事件处理 第十七条 某单位信息安全事件是指针对TCP/IP网络中，由于自然灾害、其他灾害、硬件、软件、数据因非法攻击或病毒入侵等安全原因而遭到破坏、更改、泄漏（可能）造成系统不能正常运行，影响正常的业务发展，称为安全事件。

第十八条 根据网络与信息安全突发事件的发生过程、性质和特征，网络与信息安全突发事件可划分为网络安全突发事件和信息安全突发事件。网络安全突发事件是指自然灾害、事故灾难和人为破坏引起的网络与信息系统的损坏；
信息安全突发事件是指由信息系统自身脆弱性或人为破坏引起的信息系统运行故障或损坏 具体可以分为9大类：
1. 网站主页被攻击或恶意纂改、出现非法或者不恰当的信息；

2. 恶意代码攻击和异常的网络攻击；

3. 网络线路故障；

4. 网络设备故障；

5. 机房物理安全问题；

6. 应用服务器被非法侵入攻击或破坏；

7. 数据库安全遭到破坏；

8. 电力供应故障；

9. 自然灾害。

第十九条 根据网络与信息安全突发事件的可控性、危害程度和影响范围，财政局信息安全突发事件一般分为四级：：一般（IV级）、较大（III级）、重大（II级）和特别重大（I级）。

第二十条 某单位各系统管理员负责安全事件的判断、报告和安全事件应急恢复流程的启动申请。

第二十一条 某单位负责组织协调和处理一般安全事件，负责制定安全事件处理流程。

第二十二条 各系统发生安全事件应根据《安全事件处理流程》进行处理和汇报；

第二十三条 各部门安全管理员应对信息安全事件的发生、处理办法进行记录，并把《安全事件记录单》提交某单位进行备案；

第二十四条 各部门在处理一般安全事件过程中，部门信息安全管理员需要判断事件的严重程度，如果已经上升到严重安全事件，应启动应急响应流程，具体详见《应急响应计划》。

应急响应计划 第二十五条 信息系统应急响应计划 是针对信息系统发生意外事件可能导致业务差错、停顿甚至系统混乱、崩溃等灾难性局面而建立的一个完整的紧急救助计划。它有严密的组织与科学的分工，通过某单位内部训练有素的队伍，按照规范的工作流程去处理故障，切实保证业务持续、服务有效，实现维持生产有序运转、稳定经营秩序的目标。应急响应计划对全局性故障具有平时预防、突发时抢救、故障后恢复业务运行的保障作用。

第二十六条 信息系统应急响应计划 包括以下9个过程：现状描述、风险分析、建立应急组织、制定技术应急指南、制定业务应急措施、测试和认证、培训和演练、修订和完善以及启动和终止。

1. 现状描述主要给出网络、系统、机应用和基础设施的现状及已有安全措施，让应急响应计划的执行者能够快速了解计算机系统的现状，快速得到应急所需的信息；

2. 风险分析是对系统的重要性和风险进行评估，作为制定应急响应计划的依据，做好预防和准备性措施，确保风险较大的重要系统的应急处理优先级别；

3. 建立应急组织机构是信息系统应急响应计划最重要的组织落实措施，它为应急响应计划的顺利实施提供组织保证，它确定了实施紧急救助队伍的组织结构和职责分工，为技术应急措施、业务应急措施的实施提供全面保障；

4. 制定技术应急措施是信息系统应急响应计划的核心，由信息部门负责提出。技术应急措施确定了在紧急状态下技术部门应急工作的标准流程与人员操作规范，由预防、抢救和恢复等处于不同时段的三个过程的应急措施构成；

5. 制定业务应急是措施信息系统应急响应计划的关键，业务应急措施由业务主管部门负责提出。业务应急措施确定了在紧急状态下业务部门应急工作的标准流程与人员操作规范，同样由预防、抢救和恢复等处于不同时段的三个过程的应急措施构成；

6. 测试和认证是对应急响应计划提出测试和认证的要求，要求所有的技术应急措施和业务应急措施通过测试，确保可行，必要时要通过上级行组织的专家认证；

7. 培训和演练是要求对应急响应计划内容进行培训，让相关人员熟知应急响应计划的内容，对如何进行应急进行演练；

8. 修订和完善是对应急响应计划的修订和更新给出规定，要求通过实践不断完善应急响应计划；

9. 启动和终止给出了应急响应计划启动和终止的条件；

第二十七条 某单位各业务系统应急措施的制定要严格确保业务系统的可用性，采用在最短的时间能够恢复系统的措施为优先应急措施。

第二十八条 某单位各业务系统应制定详细的应急响应流程，整个流程包括安全事件发现、报告、事件分析、协调、处理、总结和奖惩等内容。

某单位网络接入管理办法 总则 第一条 为确某单位计算机网络(以下简称“网络”)的健康发展和正常运行，规范系统和设备接入网络的行为、为网络用户提供良好的接入服务，保障每个网络使用者安全、正常地运行，根据《中华人民共和国计算机信息系统安全保护条例》和单位相关管理规定的规定，特制定本管理办法。

第二条 本办法适用于：
l 本单位所有需要接入和使用网络的计算机系统及设备；

l 需要接入本单位网络的合作部门计算机系统及设备；

l 临时造访人员自带的计算机系统及设备。

第三条 本办法由信息技术科统一管理和执行。安全管理员负责对申请接入设备进行安全检查和入网审批，系统管理员负责服务器类系统及补丁的安装和升级，服务支持人员负责桌面系统的安装及升级。

接入管理 第四条 系统及设备在接入单位网络前必须接受检查和审核，检查审核通过后方可接入并按规定访问和使用相关网络资源，检查和审核工作由信息技术科负责。具体的流程说明如下：
(一) 需要接入网络的用户提出网络接入申请，填写申请表格，说明接入设备的类型、接入用途、接入区域、使用环境、使用资源范围和预计终止时间等，并提交主管领导审批。

(二) 经安全主管审批、签字后，提交给网络管理员做系统安全检查，核实设备和系统的补丁和病毒防护情况是否符合单位要求。如不符合安全要求则返回信息技术科安装必要的工具和补丁。

(三) 安全检查通过后，网络管理员根据用户使用申请审核并分配网络资源，确定用户IP地址和网段，并在网络设备和安全设备上完成相应的设置工作。由于使用需要而需要对被访问的服务器资源进行的配置调整由系统管理员负责。

第五条 如因工作需要，外部人员（包括设备厂家、系统服务商、合作开发商和分单位人员等）需要接入单位网络，由相应的接口负责人提出网络接入申请，外部人员在离开单位后，需由接口负责人提出取消网络接入申请，外部人员在接入网络的计算机名必须采用实名制。因技术交流或者其他工作原因临时造访的外部人员只能在指定区域（会议室和公共区域）接入网络。

第六条 用户如果需要延长接入时间则必须重新填写网络接入申请表，申请时间到期后，网络管理员有权调整配置以中止其网络连接。

第七条 用户终止连接时必须办理用户注销手续，以便信息技术部释放用户网络资源。

第八条 网络接入申请材料在信息技术科存档以备查验。

使用管理 第九条 保护单位计算机系统安全，不受病毒侵害，是每个员工不可推卸的责任，任何可能导致不良影响的网络使用行为将被视为违反单位规定并追究其个人责任。

第十条 禁止任何与单位业务无关的使用单位网络和系统的行为，每个员工都有责任保护单位网络和系统安全，保护重要数据及工作机密安全。

第十一条 每个接入用户必须严格按信息技术科核准的区域和IP地址接入网络，不得擅自更改，如需要变动须得到网络管理员的批准。

第十二条 每个接入用户个人必须保证自己所使用、维护、管理的计算机系统安装合适的系统安全补丁程序，及时更新病毒库并定期进行全系统扫描。

第十三条 每个接入用户必须对网络病毒的来源保持足够的警惕，决不打开来历不明的或其他可疑的电子邮件。

第十四条 每个接入用户一旦发现或怀疑自己的电脑系统已被病毒感染，应立即断开网络，并及时联系信息技术科安全管理员进行处理。

第十五条 所有接入网络的用户必须严格遵守执行单位相关的安全保密制度和运行管理规定，禁止滥用网络，严禁如下行为：
（一）
私自卸载操作系统补丁或者防病毒软件。

（二）
在单位内部用电话线拨号上网。

（三）
私自安装和使用黑客软件和入侵工具。

（四）
散布病毒或者其他干扰或破坏系统的软件和工具。

（五）
擅自侦听或截取网络中传输的信息。

（六）
破解、盜用或冒用他人账号及密码或无故泄漏他人账号及密码。

（七）
私自将自己的账号和IP地址借予他人使用,或者盗用他人账号和IP地址。

（八）
窺视他人的电子邮件。

（九）
以任何方式滥用网络资源，包括以电子邮件大量传送广告、连锁信或无用信息，或以灌爆信箱、掠夺资源等方式，影响系统的正常运作。

（十）
以电子邮件、聊天工具、BBS或类似功能的方法散布欺诈、诽谤、侮辱、猥亵、骚扰、非法软件交易或其他违法讯息。

第十六条 所有接入网络的用户必须严格尊重他人知识产权，避免下列可能涉及侵害知识产权的行为：
（一）使用未授权的软件或工具。

（二）违法下载、拷贝受著作权保护的作品。

（三）未经著作人许可，将受保护的作品上传于公开的网站上。

（四）不理会作者明示禁止转载的通告，任意转载BBS或其他网上的文章。

（五）私自开放公众WEB服务，架设网站。

（六）其他可能涉及侵害知识产权的之行为。

罚则 第十七条 网络管理员将密切监测网络，如果发现用户网络异常或用户有违反本办法的使用行为，安全管理员将中断该用户的计算机系统的网络连接，并按本办法的规定进行相应的处理。

第十八条 员工有责任采取积极防范措施，避免自己维护的计算机系统被禁止接入网络。由于禁用网络连接所导致的对单位业务的影响将由员工个人承担。

第十九条 网络管理部门将定期或者不定期地对联网机器的IP地址、系统补丁和防病毒库软件、远程接入设备管理情况进行检查，发现有违反本规定的接入行为或不按单位相关规定使用网络资源的，将给予通报批评；
超过三次以上者将上报单位办公室给予警告处分；
对于由此造成单位计算机信息系统严重故障或导致单位重大损失的，将视情节严重程度给予严重警告以上处分，并实施相应的经济处罚，触犯国家法律的，则依法移交国家法律部门处理。

第二十条 外部人员（包括设备厂家、系统服务商、合作开发商和分单位人员等）一旦接入单位网络，视同单位员工进行管理，相应的接口负责人对其负领导监督责任，对于其触犯相应规定的行为由相应的接口负责人负责。临时造访人员如果违规接入网络，其行为后果由相应的接待人员负责。

某单位信息资产管理办法 信息资产管理规定 第一条 信息资产：信息系统软硬件、系统数据、系统授权信息、口令文件、密钥及算法文件、应用数据库及数据文件、系统说明文档、用户手册、培训资料、运行或支持程序和记录、应急响应计划及其它信息。

第二条 某单位信息资产主要包括如下几类：
1. 网络设备：核心交换机、二层交换机、光纤转换器、路由器、调制解调器、多层交换机等构成信息系统网络传输环境的设备，软件和传输介质；

2. 服务器：各类承载业务系统和软件的主机或PC服务器系统及其操作系统，包括安装在服务器上各类应用系统以及构建系统的平台软件（数据库，中间件、群件系统、各商业软件平台等）；

3. 存储设备：NAS、SAN、磁带机、磁带库、磁盘阵列、光纤交换机等构成信息系统存储环境的设备，软件和传输介质；

4. 安全设备：防火墙等构成信息系统信息安全环境的设备，软件；

5. 工作站资产：指监控终端，即用于管理服务器上的服务的终端，例如网管终端等。

6. 生产终端：包括一般用途的笔记本和PC；

7. 移动专有资产：移动通信类专门设备，在信息安全管理的资产管理中，不将其作为资产管理的范畴；

8. 其他资产：非以上信息资产；

第三条 信息资产安全性赋值按照如下规定进行：
1. 每项资产的机密性价值、完整性价值和可用性价值分为一至三级；

2. 根据资产所包含秘密信息被揭露时所可能造成后果的严重性可将资产的机密性价值分为“轻度损害”，“中度损害”，“严重损害三级”；

3. 根据资产处于不正确、不完整或可依赖状态时所可能造成后果的严重性可将资产的完整性价值分为“轻度损害”，“中度损害”，“严重损害”三级；

4. 根据资产不可用时所可能造成后果的严重性可将资产的可用性分为“个体不可用”，“局部不可用”，“整体不可用”三级；

第四条 信息部门负责识别管理的信息资产，并将信息资产的信息录入某单位安全管理系统中的信息资产管理部分 第五条 信息资产内部属性发生变更，系统管理员要及时更新到某单位安全管理系统中。变更包括地理位置变动、信息资产配置信息、补丁信息等变动。

第六条 信息资产管理权限发生变更，应及时将信息资产状况及时更新到某单位安全管理系统中。管理权限变更包括信息资产所属系统发生变更和信息资产所属部门发生变更。

第七条 信息资产设备每年定期进行信息安全评估及安全加固。

第八条 信息资产的信息要及时反映到某单位安全管理系统中。

第九条 不同信息资产设备应根据系统及资产的重要性，部署不同程度的安全保护措施。

第十条 不同信息资产应分类保管，并有明显标识。

第十一条 基本相关内容，具体详见《软硬件设备安全管理》及《介质管理规定》（该规定为何被删减）。

软硬件设备安全管理 第十二条 某单位的所有软硬件设备必须分类管理。

1. 依据《信息资产管理规定》相关内容分类；

2. 硬件设备必须固定位置且不易移动；

3. 处理敏感（内部以上）数据的设备应放在安全位置；

4. 应明确现有资产价值及资产的重要性；

5. 软硬件设备必须有明显标识，明确保管责任人；

6. 有与当前实际情况相符的软件和硬件清单、位置图及技术档案、负责人等内容；

第十三条 新的软件和硬件设备开始启用前，应对设备进行安全检查；

第十四条 购置的设备到货时的检查必须与实际运行环境隔离；

第十五条 对硬件设备、备件及线路应定期检测和维修，只有授权的维护人员才可以进行；

第十六条 对送出修理的设备应进行防止泄密处理，并填写记录；

第十七条 硬件设备的报废程序和处理；

第十八条 如需进行软硬件的操作需经安全主管审核，并由某单位分管领导审批后，方可进行操作。

某单位信息系统安全管理岗位及其职责 一、信息系统安全管理岗位与职责 为有效实施信息系统安全管理，保障和实施某单位信息系统安全，根据某单位信息系统运行和管理现状，建立以下信息系统安全管理组织架构，具体的信息系统安全组织和管理岗位及其职责如下：
1、安全管理员 （1）负责对安全设备及系统（防火墙、入侵检测、IT审计、网闸、加密设备、防病毒等）的维护和管理；

（2）负责组织制定各种安全产品策略与配置规则；

（3）负责跟踪安全产品投产后的使用情况；

（4）负责指导并监督系统管理员（包括主机系统管理员、网络管理员、数据库管理员和应用管理员等）及普通用户与安全相关的工作；

（5）负责组织信息系统的安全风险评估工作，并定期进行系统漏洞扫描，形成安全评估报告；

（6）根据本单位的信息系统安全需求，定期提出本单位的信息系统安全改进意见，并上报信息系统安全管理部门主管；

（7）定期查看信息安全站点的安全公告，跟踪和研究各种信息安全漏洞和攻击手段，在发现可能影响信息安全的安全漏洞和攻击手段时，及时做出相应的对策，通知并指导系统管理员进行安全防范；

（8）负责组织审议各种安全方案、安全审计报告、应急计划以及整体安全管理规定；

（9）负责参与安全事故调查。

2、应用管理员 （1）负责对业务应用系统进行安全配置；
督促软件开发商提供补丁来修补已发现的漏洞；

（2）负责对业务应用系统的用户、口令的安全性进行管理；
对业务应用系统的登录用户进行监测和分析；

（3）负责提出数据的备份要求，制定数据备份策略，督促数据库管理员按照备份方案按时完成，并恢复所需数据；

（4）负责实施系统软件版本管理，应用软件备份和恢复管理。

3、安全审计员 （1）负责定期对主机系统、网络产品、应用系统的日志文件进行分析审计，发现问题及时上报；

（2）负责对信息安全保障管理活动进行独立的监督，提供内部独立的审计和评估工作，并根据需要可以协同外部审计评估机构进行评估和认证，为决策领导提供信息系统和信息安全保障执行状况的客观评价。

二、信息系统安全管理原则 1、安全管理员不可兼职其它岗位职务 2、应用管理员岗位可以是数据库管理员岗位和应用管理员岗位的组合，也可以根据具体情况，设置多个应用管理员岗位。

上述所指与安全有关的活动包括：硬件和软件的维护；
系统软件的设计、实现和维护；
处理保密信息；
系统用媒介的发放与回收；
访问控制用证件的发放与回收；
重要程序和数据的删除和销毁等。

安全审计员必须按照“最小授权”原则，分别授予安全管理员、应用管理员为完成自身任务所需的最小权限，并形成相互制约的关系。

某单位员工安全管理规定 总则 第一条 策略目标：为了加强某单位（以下简称“本单位”）信息安全保障能力，建立健全本单位安全管理体系，提高整体网络与信息安全水平，保证业务系统的正常运营，提高网络服务质量，在本单位安全体系框架下，本策略主要明确如何管理本单位员工信息安全的管理办法。

第二条 适用范围：本策略适用于本单位所有部门和员工。

员工录用安全管理规范 第三条 本单位员工录用，除了应该遵守相关人事和劳动法律法规外，还必须考虑以下安全事项：
1. 除了严格考察该人员的业务技术水平和相关资质认证外，还必须考虑政治、社会和素质等多方面的因素；

2. 不考虑录用有犯罪前科、重大行政处分纪录的人员。如有特殊情况，需要经本单位人力资源主管所领导同意后，方可考虑录用。

第四条 在签订劳动合同之外，必须签订《保密协议》，明确该人员应严格遵守的相关安全管理规定、安全技术规范和保守商业机密的要求以及违约责任等。

员工工作调动的安全管理规范 第五条 由于业务工作的需要或其他原因，需要对本单位员工进行岗位调动时，必须考虑以下安全事项：
1. 根据新岗位的需要，增加、删除或修改该人员的计算机信息系统访问权限，包括电子邮件系统、业务应用系统、网络系统和其他计算机信息软硬件系统；

2. 如有必要，重新创建相关帐号并修改其口令；

3. 如有必要，修改合同中有关条款和相应的保密条款或保密协议，并拟定新的雇佣合同，而且原合同中的保密条款或保密协议将继续有效；

4. 与原岗位有关的所有资料文件，包括其软硬拷贝都需要移交，不允许私自带走。

第六条 遵循“需要知道”原则，尽量避免由于不当或过于频繁的调动，造成人员的权限过大的情况。

员工离职的安全管理规范 第七条 本单位员工在离职时，必须遵守以下安全操作流程：
1. 删除该员工的所有信息系统访问帐号和权限，如有必要将重新创建有关管理员帐号和口令；

2. 由相关人员和该员工一起回顾其签订的保密协议，并使该员工明确所有保密事项，以及在离开本单位后3年内不得披露、使用本单位的技术资料的规定。

3. 员工离职时应由主管部门填写《员工离职记录》，详细填写员工离职的情况及交接记录。

对员工的安全审计 第八条 本单位信息安全工作组定期组织对本单位员工进行安全审计和监督工作，并把审计和监督结果报告抄送给该人员所属部门负责人，作为对该人员工作考核的依据之一。

第九条 对于不遵守本单位信息安全管理规定和安全技术规范的本单位员工，经查实后，由其所属部门负责人根据有关规定，报请局办公室对该员工进行处罚。

对员工的安全培训及教育 第十条 本单位员工的安全培训及教育由信息技术科统一计划组织，办公室协助实施。具体培训的内容及要求遵照《某单位信息安全规章制度-培训及教育管理规定》。

第十一条 本单位员工的安全培训及教育成绩，作为对该人员工作考核的依据之一。

关于信息安全的奖励及考核 第十二条 本单位员工安全管理由信息技术科考核并汇报给所属部门领导，由各部门领导呈报给分管领导作为本部门年度目标责任制考核的内容之一。

第十三条 对执行制度良好、信息安全工作成绩显著的部门和个人，将给与表彰和适当奖励。

第十四条 对违反本单位安全管理规定、信息安全工作存在不足和隐患的部门，由本单位网络与信息安全领导小组发出书面整改通知，限期整改。

第十五条 对刻意不执行本单位安全管理规定、漠视信息安全工作和存在安全隐患而没有及时整改的，以至造成重大安全事故和案件的，将追究其部门主要负责人和直接责任者的责任，并按本单位有关考核管理办法予以处理，构成犯罪的，将依法追究其刑事责任。

附近一 员工离职申请记录表 记录表式号：
记录顺序号：
申请人 所属部门 申请日期 离职日期 离职原因 移交记录 备注 审核人意见 签名：
日期：
年 月 日 批准人意见 签名：
日期：
年 月 日 附件二 员工保密协议书 编号：
甲方：
住所地：
乙方：
身份证号码：
住址：
根据《中华人民共和国劳动法》、《中华人民共和国反不正当竞争法》、《中华人民共和国保密法》、《中华人民共和国电信条例》等相关法律、法规，甲、乙双方在平等、自愿的原则下订立以下协议，以资共同遵守。

一、保密义务 甲方根据国家有关法律法规及内部的规章制度，按确定的工作职责，向乙方开放其职责范围内的技术及商业信息。

乙方同意为甲方利益尽最大的努力，不从事任何危害甲方安全的行为，不从事任何不正当使用相关业务密码或技术秘密的行为。

二、保密的范围 乙方因工作信任关系获得或交换所得的甲方在经营管理过程中，未向社会公开或只在一定范围内公开的任何信息、经验、技术和资料，包括建设和经营计划、重要会议内容、重要公文内容、招投标方案、技术方案、财务数据、员工信息、单位技术、工程、经营、文书、人事档案等一切有关甲方技术及业务管理秘密的信息。国家法律、法规规定的涉及通信保密和网络安全的内容。

三、保密信息的使用 （一）乙方在服务于某单位期间：
1、保证不擅自发表、不泄漏有关某单位的任何秘密，不使他人获得、使用或计划使用这些信息，并尽最大努力确保资料不遗失、不缺损；

2、在某单位指示和业务范围内，可以允许进行技术秘密的交流，但不得：直接或间接地向甲方内部、外部的无关人员泄漏；
不得为私人利益使用或计划使用；
不得复制或公开包含甲方秘密和技术秘密的文件或文件副本；
对工作中所保管、接触的有关客户的文件应妥善对待，未经许可不得超出工作范围使用。

（二）
乙方无论因何种原因结束在某单位的工作时，都应及时将所有与某单位有关的文件、记录或材料（包括个人笔记和复印的资料、电子文档等）归还给某单位。

四、时效及时效期间内应遵守的准则 鉴于某单位拥有的相关业务密码和技术秘密在竞争中有重要价值，存在于劳动关系存续期间和终止、解除之后，因此乙方同意：上述义务在乙方受聘于某单位工作期间有效，对重要的相关业务密码和技术秘密长期有效。

五、违约责任 乙方违反本协议项下的任何规定，某单位都有权：
（一）
责令乙方停止违约或侵权行为；

（二）
视情节处以年总收入以下的罚款，扣发奖金或其他纪律处分、行政处分直至开除；

（三）
要求乙方赔偿其违约或侵权行为而导致的一切经济损失及其可能的寻求法律救助过程中发生的一切费用,其中包括律师费用、诉讼费用; （四）
触犯法律的，提请有关部门追究其法律责任。

六、争议的解决办法 因执行本协议而发生纠纷，可以由双方协商解决。协商、调解不成或者一方不愿意协商、调解的，任何一方都有提起诉讼的权利。

七、如乙方与某单位原签订《保密协议书》，自本协议签订之日起原协议同时废止。原有某单位规章制度与本协议有冲突的，以本协议为准，无冲突的，仍继续有效。

八、协议效力 本协议一式两份，甲乙双方各执一份。自甲乙双方签章之日起生效，两份协议具有同等法律效力。

甲方（签盖）：
乙方（签字或盖章）：
签订日期：
年 月 日 签订日期：
年 月 日 某单位运行维护管理规定 总则 第一条 策略目标：为了加强某单位（以下简称“本单位”）信息安全保障能力，建立健全本单位安全管理体系，提高整体网络与信息安全水平，保证业务系统的正常运营，提高网络服务质量，在本单位安全体系框架下，本策略加强本单位日常运行维护的安全管理工作，作为本单位级策略，起到指导及规范各系统管理员的日常安全运行维护工作的安全管理工作。

第二条 适用范围：本策略适用于本单位TCP/IP网络、系统。

第三条 使用人员及角色职责：本办法适用于本单位安全管理员、各部门安全管理员、各系统管理员。

第四条 策略相关性：本办法涉及本单位相关安全技术规范、安全检查及监控等管理办法。

组织职责 第五条 本单位各系统管理员应根据本单位的各类技术规范制定本系统的安全运行维护计划，并根据已经制定的安全运行维护计划进行日常操作和检查。

第六条 信息安全管理员应定期检查各系统安全运行维护计划的执行情况，查看安全运行维护记录和实际的匹配情况，并进行记录。

第七条 信息安全管理员应定期向本单位信息部门提交安全检查情况记录和报告，由信息部门统一进行备案和审计。

操作程序和操作记录 第八条 各系统管理员在进行系统日常操作活动时应依照文档的程序进行，如计算机启动和关机程序、备份、设备维护、计算机机房和信息处理的管理和安全控制程序。

第九条 各系统管理员应将操作程序作为正式文件对待，经相关管理人员审批后才可修改。

第十条 为了严格日常运行的安全管理，便于落实和检查，运行部门的系统管理员应做日常记录和登记。

第十一条 对于重要设备的各种操作行为，应保留审计记录。

登录规程和口令管理 第十二条 本单位各系统制定相应的登录规程，包括：登录失败审核、帐户锁定、登录连接时间超时控制和历史登录信息提示等。

第十三条 本单位各系统的帐号、口令应根据《某单位信息安全规章制度-帐户权限与口令管理规定》中的规定严格执行。

安全检查 第十四条 本单位信息中心要根据各等级业务系统定义的安全目标每季度进行以下检查：
1. 信息安全组织机构的组成及运作；

2. 日常运行安全；

3. 数据备份安全；

4. 技术资料安全；

5. 防病毒；

6. 物理环境安全；

7. 设备物理安全；

8. 主机安全；

9. 数据库系统安全；

10. 应用系统安全；

11. 网络系统安全；

12. 信息安全应急；

13. 黑客防范和计算机安全专用产品等。

某单位安全岗位人员管理规定 总则 第一条 策略目标：为了加强某单位（以下简称“本单位”）信息安全保障能力，建立健全本单位安全管理体系，提高整体网络与信息安全水平，保证业务系统的正常运营，提高网络服务质量，在本单位安全体系框架下，本策略主要明确本单位安全岗位人员的岗位技能要求、岗位工作内容及管理考核办法。

第二条 适用范围：适用于本单位安全管理员。

第三条 安全岗位人员：承担本单位各部门专/兼职安全管理员，是本单位信息安全实施组成员。

本单位安全岗位人员管理 安全岗位人员的管理考核 第四条 本单位专职安全管理员：专职负责本单位信息安全管理工作，是本单位信息安全实施组的主要成员。具体人员为信息技术科安全岗位员工，归属信息技术科负责人管理和考核。

第五条 各部门专/兼职安全管理员：负责本部门信息安全管理工作，是本单位信息部门及安全管理组织的主要成员。具体人员在各部门，日常工作归属相应部门管理。同时作为本单位信息安全组织体系的重要成员，其工作考核的一部分归属本单位信息安全实施组。

安全岗位人员的培训教育 第六条 安全岗位的人员需要进行相关安全管理技能的专业培训及教育等工作，安全岗位人员的培训由信息技术科牵头负责，安全岗位人员的培训成绩作为其相应工作考核项之一。

本单位安全岗位人员要求 本单位安全岗位人员技能要求 岗位名称 岗位技能要求 信息安全主管 大学本科以上学历，计算机通信；
电信工程；
通信工程；
信息安全专业 信息安全管理员 大学本科以上学历，计算机通信；
信息安全专业 信息安全审计员 大学本科以上学历，计算机通信；
信息安全专业 业务部门信息安全专员 大学本科以上学历，计算机通信；
信息安全专业 机房管理员 大学本科以上学历，计算机通信；

系统管理员 大学本科以上学历，计算机通信；

数据库管理员 大学本科以上学历，计算机通信；

网络管理员 大学本科以上学历，计算机通信；

与本单位信息安全相关岗位人员安全职责 第七条 信息安全工作涉及本单位各方面的人员，下表明确本单位和信息安全相关的岗位人员的安全职责要求。

岗位名称 具体工作内容 安全主管 1、负责某单位的日常工作，计划，指挥、协调、控制网络信息的管理工作；

2、负责制定信息化工作应用规划和年度工作计划，并组织对计划落实情况的实施与检查。

3、负责与相关技术单位、网络运营商的联系、协调工作；

4、负责网络信息所有系统的管理、维护工作，保证网络信息的正常运行；

5、负责组织有关人员学习相关必需的计算机专业技术培训；

6、负责组织与外部有关部门的计算机联网和信息交换；

7、负责网络信息建设和应用功能的开发，为本单位的管理和信息发布等方面工作提供方便、有效的技术支持；

8、保管关键核心技术，协调组织某单位制定重大技术决策和技术方案, 并在主管领导认可后协调组织实施；

9、做好信息化管理工作。

机房管理员 1、机房管理员负责计算机房的日常管理和维护；

2、机房管理员应按规定的作息时间上下班，上班时间应在机房或管理员办公室；

3、机房管理员应对机房内的所有计算机等设备进行编号、建档，并将编号标签贴在每台计算机显示器上；

4、保证计算机的正常运行，计算机的完好率应保持在97%以上。经常对设备进行检测，发现问题应及时查找原因，若人为损坏要追查责任人。能自己修复的要及时修复并作好记录，不能自己修复的要及时上报；

5、机房所有设备包括零配件要有详细帐目，并交由主管部门存档一份。设备或部件报损应先向主管部门报告，经确认后再填写相应的报损单。零配件的采购严格按学校采购程序进行采购；

6、除机房管理员外，其他任何人无权拆卸计算机。机房管理员应锁好每台计算机主机，并经常检查是否完好。若遇损坏，及时维修或更换。机房管理员应负责机房的卫生，保证计算机有良好的工作环境。

系统管理员 1、 在项目规划和建设阶段提出信息安全方面的建议；

2、 负责系统交付后的网络设备、操作系统、数据库等信息安全状况的检查和验收；

3、 负责系统设备的日常运行、安全维护和管理工作，保持系统处于良好的运行状态；

4、 负责单位各种应用系统或平台的管理工作，即使做好系统更新及数据维护；

5、 负责监控室视频监控系统的资料的查询、调阅，数据、设备维护管理工作；

6、 负责办公自动化系统、电子邮件系统、WEB网站和其他应用系统的技术管理、支持与维护工作；

7、 负责信息系统操作人员的权限设置，参与信息系统中各应用软件的技术标准、应用标准及规范性制度的实施。

安全管理员 1、参与某单位计算机信息安全管理规定和技术规范的制订；

2、负责实施和维护某单位计算机信息安全管理规定和技术规范；

3、负责某单位计算机信息安全解决方案的计划、设计、评估和实施工作；

4、监督、检查某单位计算机信息系统安全运行情况（保密性、完整性和可用性）；

5、负责某单位计算机信息系统的内部安全审计；

6、负责某单位计算机信息安全事故的响应和处理；

7、负责某单位工作人员的计算机信息安全教育和培训；

8、参与密钥（加密设备）、超级管理员口令和本单位机房的钥匙的管理；

9、定期向计算机信息安全主管汇报相关部门信息安全的工作情况。

数据库管理员 1、 负责系统交付后的业务应用系统数据的访问控制安全过程管理；

2、 负责数据传输过程中的安全要求落实；

3、 负责各部门联系，收集、整理相关重要数据记录，并做好整理备份；

4、 负责信息数据库系统的存储、备份、恢复等日常管理工作；

5、 负责信息数据库的安全管理工作；

6、 负责对信息数据质量进行监控和监督考核。

网络管理员 1、 负责本单位网络的安全配置、安全日志的维护和审计；

2、 负责IP网络安全管理规定的落实；

3、 负责单位所有PC软硬件的维护、维修；

4、 负责单位所有打印机、复印机、传真机、扫描仪的维护、维修；

5、 负责制定系统网络建设和改造方案，并组织实施；

6、 负责通讯线路、网络设备和网管系统的运行管理工作；

7、 负责全局计算机网络的运行和维护工作，记录网络的运行、故障、维护情况，排除网络运行中出现的故障，保障网络系统畅通，做好运行日志；

8、 负责落实各项网络安全管理规定和用户管理；

9、 负责计算机网络操作系统和大型数据库系统的运行管理和日常维护。

本单位安全岗位人员的安全控制 第八条 在安全岗位人员录用、审计、调动和解聘方面进行严格的安全控制，是保障本单位信息安全组织体系的关键。

安全岗位人员的录用 第九条 对于本单位安全岗位人员的录用，除了应该遵守相关人事和劳动法律法规外，还必须考虑以下安全事项：
1. 在严格考察该人员的业务技术水平和相关资质认证（相关计算机认证证书等）的同时，必须考虑政治、社会和素质等多方面的因素；

2. 不考虑录用有犯罪前科、重大行政处分纪录和“黑客”经历的人员。如有特殊情况，需要经本单位技术部门主管领导同意后，方可考虑录用。

第十条 在签订劳动合同之外，必须签订《保密协议》，明确该人员应严格遵守的相关安全管理规定、安全技术规范和保守商业机密的要求以及违约责任等。

安全岗位人员的审计 第十一条 本单位定期进行安全工作检查，内容包括对安全岗位人员的审计，同时安全检查的结果作为安全岗位人员的工作考核的依据之一。

安全岗位人员的调动 第十二条 由于业务工作的需要或其他原因，需要对安全岗位人员进行岗位调动时，必须考虑以下安全事项：
1. 根据新岗位的需要，增加、删除或修改该人员的信息系统访问权限；

2. 如有必要，修改保密协议，并拟定新的雇佣合同，而且原合同中的保密协议将继续有效；

3. 与原岗位有关的所有资料文件，包括其软硬拷贝都需要移交，不允许私自带走；

4. 遵循“需要知道”原则，尽量避免由于不当或过于频繁的调动，造成人员的权限过大的情况。

安全岗位人员的离职 第十三条 本单位安全岗位人员在离职时，必须遵守以下安全操作流程：
1. 删除该员工的所有信息系统访问账号和权限，如有必要将重新创建有关管理员账号和口令；

2. 由相关人员和该员工一起回顾其签订的保密协议，并使该员工明确所有保密事项，以及在离开本单位后3年内不得披露、使用本单位的技术资料的规定。

某单位培训及教育管理规定 总则 第一条 策略目标：为了加强某单位（以下简称“本单位”）信息安全保障能力，建立健全本单位安全管理体系，提高整体网络与信息安全水平，保证业务系统的正常运营，提高网络服务质量，在本单位安全体系框架下，本策略主要明确本单位信息安全培训及教育工作的内容及相关人员的职责。对本单位员工进行有关信息安全管理的理论培训、安全管理规定教育、安全防范意识宣传和专门安全技术训练；
确保本单位信息安全策略、规章制度和技术规范的顺利执行，从而最大限度地降低和消除安全风险。

第二条 适用范围：本策略适用于本单位所有部门和员工。

信息安全培训的要求 第三条 信息安全培训工作需要分层次、分阶段、循序渐进地进行，而且必须是能够覆盖全员的培训。

第四条 分层次培训是指对不同层次的人员，如对管理层（包括决策层）、信息安全管理人员，系统管理员和本单位员工开展有针对性和不同侧重点的培训。

第五条 分阶段是指在信息安全管理体系的建立、实施和保持的不同阶段，培训工作要有计划地分步实施；
信息安全培训要采用内部和外部结合的方式进行。

管理层 第六条 管理层培训目标是明确建立本单位信息安全体系的迫切性和重要性，获得本单位管理层有形的支持和承诺。

第七条 管理层培训方式可以采用聘请外部信息安全培训、专业本单位的技术专家和咨询顾问以专题讲座、研讨会等形式。

信息安全管理人员 第八条 信息安全管理人员培训目标是理解及掌握信息安全原理和相关技术、强化信息安全意识、支撑本单位信息安全体系的建立、实施和保持。

第九条 信息安全管理人员培训方式可以采用聘请外部信息安全专业资格授证培训、参加信息安全专业培训、自学信息安全管理理论及技术和本单位内部学习研讨的方式。

本单位系统管理员 第十条 本单位系统管理员培训目标是掌握各系统相关专业安全技术，协助本单位和各部门信息安全管理人员维护和保障系统正常、安全运行。

第十一条 本单位系统管理员培训方式可以采用外部和内部相结合的培训以及自学的方式。

本单位员工 第十二条 本单位员工培训目标是了解本单位相关信息安全制度和技术规范，并安全、高效地使用本单位信息系统。

第十三条 本单位员工培训方式主要采取内部和外部培训相结合的方式。

信息安全培训的内容 安全体系及安全职责分工 第十四条 本单位各级领导及员工明确了解本单位信息安全体系，并明确各自在的安全职责，明确自身对维护保障本单位系统正常、安全运行所需承担的相关责任和义务。

第十五条 培训应采用长期，并覆盖本单位全员。

新员工入职安全培训 第十六条 新员工在正式上岗前，应进行信息安全方面的培训，明确岗位所要求遵守的本单位信息安全制度和技术规范。

本单位员工安全技术教育 第十七条 针对本单位系统的维护人员和管理员应定期开展安全技术教育培训（每年至少一次），明确如何安全使用有关系统，包括各业务系统、主机操作系统、电子邮件系统、内部网站以及普通计算机周边硬件设备。

各项安全专业技术教育 第十八条 针对本单位安全管理员和系统管理员应定期开展由供应商或厂家提供的专业安全技术培训（每年至少一次），帮助相关安全管理人员和系统管理员了解掌握正确、安全地安装、配置、维护系统。

安全专业资格认证 第十九条 针对本单位安全管理员和系统管理员应根据实际情况，挑选本单位信息安全管理及安全技术人员进行相关的认证考试培训，并参加认证考试，以提高本单位安全管理人员对信息安全的管理理论和技术的水平。

信息安全内部考核（含培训）
第二十条 针对本单位安全管理员和系统管理员应根据岗位不同，对员工进行相关的信息安全培训，并在培训后实行书面（开卷或闭卷）信息安全考核。

本单位信息安全培训的管理 安全培训的发起 第二十一条 本单位及部门安全管理组织可根据自身安全管理的需要，发起相应的安全培训计划。

第二十二条 涉及纳入本单位员工考核的培训，需要局办公室的确认，以及本单位网络与信息安全办公室备案考核结果。

第二十三条 新员工、本单位全员的安全培训教育，纳入本单位的整体培训计划中。

安全培训的实施 第二十四条 培训的实施，主要由办公室负责。

第二十五条 对专业性很强的培训，培训发起的各级安全培训组织负责。

第二十六条 具体操作过程遵守本单位的相关培训管理规定。

附件一 人员培训及考核记录表 编号：
培训名称 　 目的 　 培训方式 □集中上课 □自学 □讨论 □操作 □个别讲解 □其他 日期 　 考核方式 □书面考试 □现场操作 □自我总结 □领导评定 □其他 地点 　 参加培训人员登记表 姓名 所在部门 考核结果 考核人 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 　 培训内容：
附件：（如授课题纲等）
培训实施情况：
主讲人：
　 办公室：
　 备注：本表主要供内部培训使用，外培必要时可参照使用。

某单位外来人员安全管理规定 总则 第一条 策略目标：为了加强某单位（以下简称“本单位”）信息安全保障能力，建立健全本单位安全管理体系，提高整体网络与信息安全水平，保证网络通信畅通和业务系统的正常运营，提高网络服务质量，在本单位安全体系框架下，本策略有效防范外来人员（非本单位员工）进入本单位给信息网络带来的安全风险；
加强和规范本单位各部门对外来人员的安全管理；
提供外来人员在本单位活动所要遵守的行为准则。

第二条 适用范围：本策略适用于本单位所有部门。

外来人员定义及风险 外来人员定义 第三条 外来人员包括为本单位提供服务的软件开发商、产品供应商、系统集成商、设备维护商和服务提供商等非本单位人员。

第四条 外来人员管理的范畴包括临时外来人员和长期外来人员。

第五条 临时外来人员指因业务洽谈、技术交流、提供短期和不频繁的技术支持服务而临时来访的外来人员。

第六条 长期外来人员指因从事合作开发、参与项目工程、提供技术支持或顾问服务，必须在一定时间内在本单位内部办公的外来人员。

第七条 接待人是指本单位派出的，负责接待和管理外来人员的本单位员工。

外来人员带来的风险 第八条 外来人员访问本单位的方式包括现场访问和远程网络访问。

第九条 外来人员带来的安全风险必须定期评估，防范以下安全风险：
1. 外来人员物理访问带来的设备和资料盗窃；

2. 外来人员误操作导致各种软硬件故障；

3. 外来人员的资料和信息外传导致泄密；

4. 外来人员对业务系统的滥用和越权访问；

5. 外来人员给主机系统、软件留下后门；

6. 外来人员对系统的恶意攻击。

外来人员短期访问安全管理 物理安全 第十条 外来人员现场访问需要遵从本单位物理安全的管理规定，要求如下：
1. 外来人员进出本单位均需登记，遵照本单位物理安全管理规定执行；

2. 外来人员进入机房内部按照机房设备管理规定一律进行登记，必须有信息技术科负责接待全程陪同。

网络访问安全 第十一条 原则上不允许外来人员现场访问本单位网络。如果必须，需要外来人员及接待人员遵守如下安全要求：
临时接入本单位网络的外来人员，需要网络安全管理员的同意，一旦发生安全事件，并经核实其起因是外来人员引起，相关责任由本单位接待人员负责。

第十二条 外来人员远程访问本单位网络原则上不允许。如果必须，需要外来人员及接待人员遵守如下安全要求：
1. 临时远程访问本单位网络的外来人员，需要信息技术科负责人的同意，同时进行《网络连接申请表》填写。一旦发生安全事件，并经核实其起因是外来人员引起，相关责任由相关岗位负责人负责；

2. 临时远程访问本单位网络的外来人员在访问过程中，本单位接待人员应能够确定其访问的内容；
在访问结束后，本单位接待人员应及时关闭或督促相关技术负责人员关闭临时访问的通路，并记录访问结束时间。

外来人员长期访问安全管理 物理安全 第十三条 外来人员现场访问，需要遵照本单位物理安全的管理规定执行，要求如下：
1. 遵守本单位物理安全管理规定，在物理安全的负责部门办理外来人员进出证件，证件表明访问时间段及接待部门。在长期访问终止后，接待人负责收回证件交还物理安全的负责部门，并做好备案；

2. 外来人员进入机房内部一律进行登记，必须有信息技术科负责接待员工全程陪同。

网络访问安全 第十四条 外来人员现场长期访问本单位网络，除外来人员遵守本单位的安全管理规定及规范之外，外来人员及接待人员还必须遵守如下安全要求：
1. 长期访问本单位网络的外来人员需要签署相关《某单位外来人员安全保密协议》（没有该附件），承诺遵守本单位安全制度及规范。

2. 需要信息技术科负责人审批确认。在长期访问终止后，接待人通知信息安全岗位相关工作人员，进行备案并作相应安全评估和检查工作。

3. 外来人员在访问本单位网络期间如违反本单位安全管理规定，除根据保密协议及相关本单位安全管理规定进行处罚以外，本单位接待人及所属部门也应承担责任。

第十五条 原则上不允许外来人员长期远程访问本单位网络。如果必须，需要外来人员及接待人员遵守如下安全要求：
1. 信息安全管理员组织相关岗位人员进行安全评估，若通过后可允许接入，同时根据访问要求制定访问控制策略。否则禁止接入；

2. 需要签署相关保密协议，承诺遵守本单位安全制度及规范；

3. 需要本单位信息技术科负责人审批确认。外来人员在访问过程中，本单位接待人员应能够确定其访问的内容；
在访问终止后，本单位接待人应及时关闭或督促相关技术负责人员关闭临时访问的通路，并记录访问结束时间；

4. 外来人员在访问本单位网络期间如违反本单位安全管理规定，除根据保密协议及相关本单位安全管理规定进行处罚以外，本单位接待人及所属部门也应承担责任。

附件一 网络连接申请表 记录表编号：
记录顺序号：
申请人 申请日期 使用人 所属部门 用户类型 □正式员工 □实习生 □第三方员 □其他 使用期间 自 开始至 结束 网络类型 ○内网 ○外网 ○无线网络 ○其他 IP地址 机器类型与编号 类型：○台式电脑 ○笔记本电脑 ○U盘 ○服务器 ○其他 编号：
连接目的 备注 审核人意见 签名：
日期：
年 月 日 批准人意见 签名：
日期：
年 月 日 某单位介质管理规定 第一条 根据有关法规，为确保某单位（以下简称“本单位”）介质的安全存放和管理，结合本单位的实际情况，制定出《介质管理规定》。

第二条 本规定所称介质，是指用于存储或记录本单位信息的硬盘、软盘、U盘、光盘、磁带、存储卡等介质。

第三条 检查的内容包括计算机存储介质外观是否完好，数据信息是否可以读写，内容是否正确等。

介质的管理 第四条 应根据各系统的重要程度、恢复要求及相关规定制定系统配置、操作系统、各应用系统及数据库和数据文件的备份策略，包括备份周期、保存期限等。

第五条 建立备份介质借用管理规定和审批程序，在备份介质借用各环节中敏感数据应经过必要的屏蔽。

第六条 介质及介质库管理应由专人负责，并定时检查备份执行情况；
定期检查永久备份磁带是否有损坏。

第七条 应设立异地磁带管理库，存放环境应满足数据存储介质的存放条件。设两个数据备份介质保管室，第一保管室设在机房，第二保管室设在与机房不在同一建筑物的异地。一式两份的数据备份介质分别存放在两个保管室，只有一份的数据备份介质存放在第一保管室。

磁带标签、带标命名要规范清晰。

例：
介质安全存放 计算机输入输出设备中，除打印机外，主要是磁带和磁盘等介质需要作为信息资料的载体长期保存，如不按规定的环境条件存放，就会出现数据丢失。按国家标准《电子计算机机房设计规范》的要求，介质存放的条件为：
项目 纸介 磁带 磁盘 已记录 未记录 已记录 未记录 温度 °C ５～４０ １８～２８ ０～４０ １８～２８ ０～４０ 相对湿度 ％ ３０～７０ ２０～８０ ２０～８０ 磁场强度Ａ／ｍ <３２００ <３２００ <４０００ <４０００ 第八条 介质的保存必须选择安全可靠的场所，有专人对其进行管理。

第九条 介质按存储的内容进行分类编号管理并建立登记簿，登记簿所记录内容包括编号、名称、用途、备份日期、有效期、重写时间、责任人、借用人、借用时间等项。

第十条 备份介质如需异地存放，必须办理登记手续，登记内容要能反映出名称、入库时间、存放人、存放地点，并有专人对其进行管理。

第十一条 本单位存储介质不得借于他人使用，若需借于他人的，必须征得信息技术科负责人同意，并进行借还时间、借用人、审批人等详细登记。

第十二条 如对存储介质进行使用，维护和销毁，需清除介质中的敏感信息，防止重要信息外泄。

第十三条 外部人员或机构对涉密存储介质进行维护时，需对存储的涉密信息采取保存、删除等安全保密措施，并指定人员监督维修过程，保密涉密信息不泄露。若外部人员或机构需要将涉密计算机存储介质转存至非指定设备时，有关责任人应当根据有关规定同外部人员或机构签署保密协议，在维修结束后，有关责任应监督维修人员对维修的介质中的涉密信息进行不可恢复性删除处理，涉密计算机存储介质外部维修前，必须获得相关领导批准，同时尽可能地对涉密信息进行不可恢复性删除处理，确因需要保留的涉密信息必须要求有关外部人员或机构签署保密协议。

第十四条 涉密移动存储介质的销毁，并经相关部门及信息技术科负责人批准后进行销毁，任何部门或个人不得擅自销毁。

第十五条 涉密移动存储介质只能在本单位办公场所使用，确因工作需要带出办公场所的，需经信息技术科负责人批准，并履行相关手续和采取严格的保密措施。

第十六条 定期对对存储介质进行一次清查、核对，并对其完整性和可用性进行检查，确认其数据没有受到损坏或丢失。

附件一 介质盘点记录 单位/部门名称 盘点日期 人员签字 介质盘点记录：
问题处理过程：
采取措施避免其再次发生：
备注：
附件二 介质使用记录 介质名称 归档日期 查寻时间 借用情况 借用人签名 某单位环境设施和物理设备管理规定 目的 第一条 为防止本单位区域因遭到未授权的访问而可能造成资产的丢失、损坏、不正当访问等的发生，规范办公区域中各个特殊物理区域和IT设备的管理，特制定本规定。

适用范围 第二条 本规定适用于本单位所有办公区域和IT设备的管理。

职责 第三条 信息技术科管理职责 a) 是本规定的归口管理部门；

b) 负责本规定的修订、解释和说明及协调实施工作。

c) 负责本单位的环境设施与物理设备的管理；

d) 负责远程办公设备的管理；

e) 负责计算机设备的维护；

f) 负责本单位机房的管理；

g) 负责机房设备的维护。

办公区域的安全 第四条 物理安全边界和入口控制：应设立门卫接待位置及保安人员。

本单位办公区域 第五条 本单位办公区域必须具备如下条件：
a) 有相应的防火、防盗措施；

b) 办公区域内的明显位置须张贴逃生通道示意图；

c) 设置门禁系统，防止未授权人员的进入；

d) 重要设备应该单独设立安全区并建立相应制度。

外部和环境威胁的安全防护 第六条 为防止火灾的发生，办公区域内应禁止乱堆乱放纸箱、废纸等易燃品，另外，还应配备干粉灭火器，以备在发生火灾时应急使用。

第七条 财务部门区域的规定：
a) 财务部人员在外出离开座位时要将放有重要文件的抽屉锁好，最后一个人离开办公室要将财务室的门锁好；

b) 无关人员不得随意出入财务重地，不得打探任何财务信息。

第八条 机房的规定：
a) 服务器和关键系统网络设备应存放在机房或专门的地点；

b) 任何无关人员不得随意进入机房；

c) 机房管理员进入机房后应遵守《机房设备管理规定》；

d) 机房的温度应在18℃~22℃之间，同时要保持干燥、防尘、防火，并具备一定的防盗措施。

关于机房具体的管理规则请参见《机房设备管理规定》。

公共访问交接区 第九条 对于来访的客人，办公室工作人员必须确认其在本单位内的联系人，不允许客人自行进入办公区域，对于不能确认本单位人员姓名和电话的，应询问对方的来由。

第十条 对于本单位以外人员，包括承包本单位人员、邮/快递人员、送货人员、维修人员、保洁人员等在进入本单位办公场所时必须遵循以下方面的要求：
a) 未授权的本单位以外人员仅限进入本单位指定的等候区，临时来访客人可在本单位内部人员带领下到会客区；

b) 外来物资、货物需要经过确认，无安全隐患方可运送到使用地点；

c) 本单位以外人员需带出物资设备时，需申请出门许可。

设备的安全 第十一条 IT部门必须为每件IT设备（以下简称“设备”）指定设备负责人，这些包括但不局限于桌面电脑、服务器、笔记本电脑和通信设备。设备负责人的责任包括：将设备置于安全的设施中；
采取必要的措施，尽量保持设备使用环境的安全；
通过提供必要的维护并对设备采取必要的安全措施使设备牌正常状态，以及掌握设备当前的使用者和设备的运行情况。

内部设备 设备授权使用 第十二条 所有人员，需要填写《设备管理登记表》，经过申请、授权方可使用IT设备。

关键设备 第十三条 生成、存储、处理或传输本单位受限信息的设备，包括服务器，以及通信设备的设备负责人必须将它们安放在机房、专用机柜或其他安全区域，以防止对该设备的破坏和非法侵入。此类设备不能在连接本单位内部网的同时，通过ADSL、ISDN等方式再连接互联网，如有特殊技术需求，须由IT负责人审批，才可以接入互联网。管理者需指定个人计算机外其他设备负责人，负责人必须实施对此设备的安全管理，以防止因管理疏忽而导致丢失、非法入侵。

无人值守计算机 第十四条 当与本单位网络系统连接或包含本单位受限信息的客户端计算机无人值守时，全体人员有对计算机采用安全防护措施的义务，如利用口令保护。不得把个人电脑留在无人值守的公共场所（如会议室等），但公共场所用电脑除外。公共场所用电脑另行规定。

带出设备的授权管理 第十五条 未经授权，不得将本单位的IT设备如笔记本电脑、桌面电脑、U盘及移动硬盘等带出本单位；
如需带出请参考相关规定执行。

外部设备 第十六条 当在本单位范围外安装本单位的计算机/网络设备时，设备负责人必须对他们的设备执行等同于本单位内设备的安全防护措施。

第十七条 在本单位外使用的设备应遵守以下规定：
a) IT设备如笔记本电脑、存储介质以及存有本单位受限信息的介质带出本单位时，应物理加锁或放置在安全的地点，任何时刻都必须在使用者的控制之下；

b) 为了防止因带出的IT设备如笔记本电脑、桌面电脑等遗失或失窃而导致信息泄漏，必须进行BIOS口令验证、OS登录验证、对硬盘或保存信息的文件夹进行加密、取消共享文件夹等安全设置。采用口令的要求须满足《某单位信息安全总体方针与安全策略》的相关规定；

c) 通过其他存储介质（U盘、移动硬盘等）带出信息时，须采取加密或密码保护等必要的安全措施；

d) 将口令和其信息设备分开保管，不要保存在容易泄漏给其他人员的地方，不要记录在纸上；

e) 如果IT设备或存有本单位重要信息的介质丢失或被窃，其使用者必须立即向信息安全部门负责人报告；

f) 如需要寄送包含信息的物理介质，例如本单位的产品光盘，需要使用与本单位签署合作协议（包括相关的信息安全条款）的物流本单位，介质必须使用防篡改的包装。

与本单位网络的连接 第十八条 在远程办公或在其他本单位外地点与本单位内部网连接时，必须使用本单位指定的连接方法。

设备的返回 第十九条 当在本单位外使用的设备返回到本单位使用时或新设备购入时，必须通过病毒防护软件或其他有效方法检查以保证该设备不存在病毒。如果发现其被病毒感染，设备使用人员必须采取恰当的对策来根除病毒。被病毒感染的设备在无法确定安全前不得接入本单位网络使用。本单位外使用的设备返回到本单位使用时，设备负责人还须填写《设备管理登记表》
维护和修理 第二十条 设备负责人必须根据需要，通过维护服务、阶段性预防维护和其他必要的措施，负责使其保管的设备保持正常工作状态。所有的维护必须以使设备尽可能达到最佳运行方式为目的。

第二十一条 机房管理人员需定期对网络设备及服务器进行巡检，发现任何问题需按照《机房设备管理规定》中提到的要求对网络设备及服务器进行维护处理。

安全防护措施 第二十二条 当设备需要维护或维修时，其设备负责人必须采取必要的安全措施来保护在设备中存储的受限信息。最低的要求是维护或维修前删除受限信息（删除受限信息前确认是否需要进行备份操作）。当需要将维护或修理工作委托给第三方进行时，必须对设备采取适当的安全防护措施。

计算机和信息系统的远程诊断和配置端口的保护 第二十三条 对于本单位重要服务器和信息系统，只能由本单位指定的管理人员才能使用远程诊断和配置端口对设备和信息系统进行诊断和配置，其他人员无权实施。本单位重要服务器和信息系统应放置到机房，以实现对远程诊断和配置端口实施物理隔离方式的保护，使其他人员不能在物理上和逻辑上访问这些端口。

设备的废弃 第二十四条 对设备的废弃，由设备责任人向IT部门提交《设备管理登记表》，经IT部门批准后实施。当设备需要废弃时，设备负责人必须保证如硬盘这类的内置存储设备被实际销毁或设备上储存的数据被完全清除。可使用专门的清除工具，对如硬盘储存的数据进行完全清除。

个人设备的使用 第二十五条 严禁在本单位内，利用个人拥有的存储设备或网络通信设备等处理、操作任何归属于本单位的信息。同时也禁止将上述个人拥有的设备接入本单位的内部网。

布线的安全 第二十六条 IT部门在制定布线方案时须考虑：
a) 电源线路和通信线路原则上都应铺在地下，网线应使用电缆管道；

b) 电源线与通信线加以隔离；

c) 电源线路和设备清楚的加以标记；

d) 网络线路使用文件化配线方案。

支持性设施的安全 第二十七条 建立电源管理体制，包括：
a) 停电、来电的提前通知；

b) 定期电源检查；

c) 工作负载检查；

d) 对于重要设备要有停电的紧急应对方法，如采用UPS。

此外，还应定期检查其他支持性设施，例如供水、排污、空调等，以避免由于支持性设施的失效而引起系统中断。

附件一 设备管理登记表 记录表式号：
记录顺序号：
申请人 申请日期 使用人 所属部门 申请类型 ○借用 ○领用 ○作废 ○丢弃 ○返还 设备信息 编号 类型 ○台式电脑 ○笔记本电脑 ○U盘 ○服务器 ○其他 名称（型号）
借用期间或领用、丢失、作废、返还时间 自 开始至 结束（借用时填写）
（领用、丢失、作废、返还时填写）
使用或丢失场所 ○公司 ○家庭 ○其他 借用、领用目的或丢失、作废、返还原因 备注 审核人意见 签名：
日期：
年 月 日 批准人意见 签名：
日期：
年 月 日 某单位网络连接管理规定 目的 第一条 规范某单位（以下简称“本单位”）网络连接，防止未经过授权的通信连接威胁本单位信息安全。

范围 第二条 适用于通过专线等方式接入或拨出本单位网络：
第三条 适用于本单位人员、顾问、供应商等在本单位网络环境工作的人员。

物理规定 第四条 对于集中存放本单位机密信息的部门，如：档案室，必须与本单位的网络物理隔离；

第五条 未经批准，测试网络与本单位网络不能直接连接；

第六条 未经批准，严禁私自设立接入服务；

第七条 对于需要通过Internet网络完成的工作，统一经过本单位连接Internet；

第八条 当在本单位接入到Internet网络或其他第三方的网络时，必须保证拨出计算机与本单位内部网络物理断开；

第九条 当需要第三方人员远程接入本单位维护机器时，必须将维护机器与本单位内部网络物理隔离，远程维护使用完成后，及时关闭接入服务；

第十条 对于长期需要建立外部连接的部门，必须建立管理规定，明确管理责任；

第十一条 不需要使用的网络网口必须被关闭；

第十二条 信息技术科定期和不定期的检查本单位对外连接的计算机或网络的安全状况，对管理不善和安全隐患要限期整改；

第十三条 只有在信息技术科确定系统组成符合本单位的安全要求的情况下，第三方等外部的计算机或网络才可以连接到本单位内部网络；

第十四条 内部的档案信息系统不能直接连接到Internet；

第十五条 禁止通过Internet连接到本单位的内部档案信息系统并直接修改系统中的数据信息；

第十六条 用户如果希望通过Internet建立与本单位的连接，在获得对本单位网络访问前，必须经过信息系统的主管批准。

第十七条 严禁通过Internet使用传统的固定密码方式的Telnet连接，除非使用动态密码或其他一些证明是安全的用户认证技术；

职责 l 信息技术科 第十八条 负责对接入接出连接进行限制策略的合理性进行审核；

第十九条 建立和维护接入接出清单；

第二十条 负责对接入系统的使用进行审计。

l 业务部门 第二十一条 负责对是否是业务需要进行审核；

第二十二条 负责使用的接入接出系统的日常维护和管理；

第二十三条 负责接入接出系统的使用符合网络连接策略和规定。

l 网络管理人员 第二十四条 负责接入服务器的建立和网络划分的具体实施；

第二十五条 负责接入接出系统的技术支持；

某单位计算机用户安全手册 目的 第一条 为确保某单位（以下简称“本单位”）信息网络稳定运行，规范员工行为，合理安全使用本单位信息网络资源。

范围 第二条 本手册适用于本单位所有使用或接入网络的计算机用户。

职责 第三条 信息技术科职责 a) 定期/不定期发起计算机软硬件及日常使用规范进行巡查；

b) 计算机及相关资产盘点清查；

c) 网络接入和软硬件申请的审核；

d) 组织安排不定期计算机使用技能和安全知识培训；

e) 制定统一的安全策略；

f) 对本手册中的条款做最终解释。

第四条 系统和网络管理员职责 g) 维护本单位员工计算机中软硬件；

h) 定期/不定期执行计算机使用规范检查；

i) 反馈安全事故；

j) 执行信息部门制定的安全策略。

第五条 计算机用户职责 k) 遵守本手册中的使用规范；

l) 配合安全检查；

m) 及时反馈安全事件。

通则 第六条 员工自觉遵守职业道德，有高度的责任心并自觉维护本单位的利益；

第七条 员工禁止私自收集、泄露本单位机密信息；

第八条 员工禁止利用本单位网络传播和散布与工作无关的文章和评论，特别是破坏社会秩序的文章或政治性评论；

第九条 员工禁止下载、使用和传播与工作无关的文件，如：屏幕保护文件、图片文件小说和音视频文件等；

第十条 员工禁止使用未经许可的软件。

细则 第十一条 员工安全管理 a) 员工入职 员工入职由本单位按员工岗位需求统一配备计算机，如计算机配置不能满足工作需要，需填写相关报告进行申请。

b) 员工调动（包括单位/部门间调动）
i. 员工调动，需退还原岗位使用的计算机，交由信息技术科处理，新岗位到岗后重新申请计算机，移交计算机前请确认重要资料已作备份；

ii. 如员工需携带原来使用的计算机到新岗位。需提出纸质申请。

c) 员工离职 i. 员工离职，在由信息技术科签字确认前，需交还所有计算机资产，由信息技术科保管；

ii. 确认所有保密事项，在离开本单位后3年内不得披露和使用本单位的技术资料。

第十二条 培训及教育 d) 新员工在正式上岗前，应接受信息安全方面的教育培训，掌握岗位所要求计算机技能员工应参加由信息技术科组织的计算机技能培训和考核。

第十三条 计算机设备使用 e) 员工使用计算机必须加入本单位域，接受统一管理；

f) 员工之间不得私自调配计算机硬件设备。不得私自开启计算机机箱、安装、拆卸和插接硬件，如有硬件故障，应及时联系信息技术科报修；

g) 员工离开计算机设备时，应锁定或注销当前系统；

h) 员工不得私自使用未经允许的外来存储设备（如移动硬盘、U盘、MP3等），如有特殊情况，需向信息技术科申请说明并备案；

i) 员工需要使用一台以上（含台式机）电脑时，需经过计算机软硬申请流程；

j) 便携机带离本单位使用时，使用者有责任妥善保管。

第十四条 帐号和口令的设置 k) 员工必须使用自己的帐号登录计算机，不得以他人帐号或者以本地帐号登录使用本地计算机；
并妥善保管好个人帐号，不得透露给其他人，如因此影响信息网络正常运行，将根据登录帐号追溯责任；

l) 员工在使用自己所属的计算机时，应该设置开机、屏幕保护口令，口令需满足复杂性要求。口令需三个月更改一次，6个月内不得重复。

第十五条 网络使用 m) 员工使用网络，需填写《网络接入申请表》，获得许可后方可接入；

n) 员工不能擅自更改网络管理员分配的固定IP地址、计算机名和其他网络配置；

o) 员工在工作时间不得做与工作无关的事，如聊QQ、MSN和炒股票等。不得使用迅雷、BT、电驴等P2P下载软件。

p) 办公室网络设备出现故障或者网络接口不足时，应填向信息部门申请。不得私自连接网络设备，拔插交换机上的网线，或者随意更改网络设备配置；

q) 员工不得以任何形式私自拨号上网；

r) 员工自带计算机设备，未经允许，不得接入本单位网络；
如因工作需要必须接入本单位网络的，须填写《网络接入申请表》，通过相应流程，并遵守本手册中的所有使用规范；

s) 无线网络密钥由信息技术科相关人员统一管理，无线网络密钥不得向无关人员泄露；

t) 外来人员不得接入本单位网络，如有特殊需要可由接待员工向信息技术科提出接入申请，获准后需遵守本手册中的所有使用规范。

第十六条 审核检查 u) 信息技术科负责对员工计算机软硬件及日常使用规范进行审核，并依据员工登录计算机所使用的帐号追溯责任并做相应处罚。

v) 信息技术科负责定期（每年）对员工计算机及相关资产盘点检查，对不符合本规范的行为做出处罚，并对部门发出整改通知。

第十七条 安全事件处理 凡涉及信息安全事件均由信息技术科统一负责协调和处理。

某单位系统安全管理说明 一、系统安全管理 第一条 业务服务器系统操作和维护的密码，由相关应用系统维护人员各自负责管理和维护，不得向任何人泄漏。

第二条 业务服务器的操作密码长度在系统允许的最大长度内不得少于8位。

第三条 业务服务器的操作密码必须定期更换，更换周期不得超过60天。

第四条 由于业务服务器使用人员工作调整，不再具有对原业务服务器操作的职能时，对该业务服务器管理的职能负责人必须及时收回该人员权限和密码，另行安排他人并重新进行密码设定。

第五条 LINUX用户帐号和密码配置：
帐号的建立、使用、授权应遵照用户管理规范。

Ø 用户的建立策略 根据系统的需求，按照不同的角色进行帐户的建立，并赋予最小的权限；

帐户的命名必须条例相关的命名要求。

Ø 角色划分 按照LINUX系统的特性及单位的架构，操作系统用户可以分类以下几个类型（组）：
超级权限用户（root）；

系统管理；

安全检查；

操作员。

Ø 用户标识 为了确定人员责任，每个用户应指定唯一的用户名和UID。对于不能唯一UID的用户，应通过相关技术和管理手段区分各自操作的日志，便于日后的审计和责任区分。

Ø root超级用户 限制使用root的人数；

Root密码应以不公开的周期更改；

不同的机器采用不同的root密码；

Root登陆系统时除系统本身的密码验证外，建议使用第三方软件进行验证。

Ø 密码的安全配置 密码最长有效期不高于30天；

密码过期后多长时间内用户可以更改，默认值：maxexpired=-1；

密码最短长度，默认值：minlen=6；

密码中最少包含字母字符的数量，默认值：minother=1；

同一密码在多长时间内不能重复使用，默认值：histexpire=0。

第六条 Windows服务器密码和安全配置：
对于Windows Server的内置用户帐户，不可删除，但可以通过禁用，重命名或设置相关权限的方式来保证一定的系统安全性。

Administrator帐户：该帐户在安装后应重新命名。对于日常服务器管理来说，不建议直接使用此用户，而是另外建立一个隶属于Administrator组的管理员来使用，以便于实施细粒度的安全控制和审核。

Guest帐户：帐号必须禁用；
如有特殊需要保留也一定要重命名。

Ø 帐户密码策略 密码复杂性要求：策略强制要求至少同时使用以下四个字符集中的三个：
大写字母；

小写字母；

数字；

非字母数字字符。

密码长度最小值：设置“最短密码长度”，默认值0个。

密码最长存留期：设置“密码最长使用期限”，默认值42天。

密码最短存留期：设置“密码最短使用期限”，默认值0天。

第七条 漏洞扫描和补丁更新制度 定期检测有关系统的安全漏洞，并及时更新系统的补丁程序。平时要求每三个月检查一次。在运行环境正式安装新版本前，要求先经过检测。

第八条 Windows Server安全性配置标准 目的：为支撑windows系统信息安全，规范操作系统层面的安全配置，制定此标准。

范围：本标准适用于Windows server系统 安全配置标准 1) 系统补丁安装标准 Windows server的与安全相关的补丁：
1. Server Pack（补丁包）：Server Pack是经过测试的所有修复程序、安全更新程序、关键更新程序以及更新程序的累积的集合，是重要的补丁集合 2. Security Patch（安全补丁）：Security Patch是针对特定问题广泛发布的修复程序，用于修复特定产品的安全相关漏洞。Microsoft在发布的安全公告中将Security Patch分为严重、重要、中等、低四个等级。严重的安全补丁缺失，会造成蠕虫快速传播（如：震荡波、冲击波），对系统本身和网络造成重大影响，这类补丁需要及时应用到操作系统 3. Hotfix（修补程序）：Hotfix是针对某一个具体的系统漏洞或安全问题发布的专门解决该漏洞或安全问题的小程序，通常称为修补程序，如果在最近发布的Server Pacth后面，出现安全方面的漏洞，通常对应的补丁会以Hotfix修补程序的形式发布。

2) 补丁安全原则 1. 必须安装等级为严重和重要的Server Pacth。

2. 有关安全方面的Hotfixes补丁应当及时安装。

3. 最新的安全补丁发布与升级步骤，以政府内部网上提供的信息为准。

4. 安装补丁不要留副本。

注意：补丁更新要慎重，可能出现硬件不兼容现象，或者影响当前的应用系统，安装补丁这前要经过测试和验证。

3) 账号和口令安全配置标准 1. “密码策略”配置要求 通过“本地安全策略”调整默认的“密码策略”，提高系统的安全水平，“密码策略”中各项的具体要求如下表举例：
策略 默认设置 安全设置 强制执行密码历史记录 记住1个密码 记住5个密码 密码最长期限 42天 90天 密码最短期限 0天 0天 最短密码长度 0个字符 8个字符 密码必须符合复杂性要求 禁用 启用 为域中所有用户使用可还原的加密来存储密码 禁用 禁用 密码策略的设置步骤如下图：
进入“控制面板/管理工具/本地安全策略”，在“账户策略>密码策略”。

2. 密码复杂性配置要求 在密码策略中，“密码必须符合复杂性要求”选项启动后，系统将强制要求密码的设置具备一定强度，要求密码至少包含以下四种类别。

n 英语大写字母 A,B,C,……Z n 英语小写字母 a,b,c,…….z n 西方阿拉伯数组 0,1,2,……9 n 非字母数字字符，如符号@，#，￥.......等 第九条 账户安全控制要求 1. “账户锁定策略”配置要求 有效地账号锁定策略有助于防止攻击者猜出您账号对应的密码。要求按照下表要求调整“账户锁定策略”：
策略 默认设置 安全设置 账户锁定时间 未定义 20分钟 账户锁定阈值 0 5次无效登录 复位账户锁定计数器 未定义 20分钟之后 账号锁定配置具体操作如下图：
进入“控制面板/管理工具/本地安全策略”，在“账户策略>账户锁定策略”。

2. 系统内置账号管理要求 Windows系统中存在不可删除的内置账号，包括Administrator和guest。对于管理员账号，要求更改缺省账户名称，对隶属于Administrators组的账号要严格控制；
要求禁用guest账号，以防止攻击者利用已知的用户名破坏远程服务器。

3. 其他账号管理要求 临时的测试账户和过期的无用账号应该在三个工作日内及时删除：（测试账户和无用账户不是系统默认产生，是系统操作过程中人为新增的，从系统安全加固角度来看，此类账户必须及时删除）。

第十条 目录和文件权限控制标准 权限控制遵循以下几个原则：权限是累计的、拒绝的权限要比允许的权限高、文件权限比文件夹权限高。

1. 目录、文件保护配置要求 要求按照下表内容对受保护目录权限进行设置，缺省情况下，Administrators组和SYSTEM具有完全控制权限，Everyone组具有读取与运行权限，对于多个账户使用一台主机，要求根据具体情况对重要文件、目录进行账户权限的设置，如下图：
注：下图为目录权限设置的示例，在实际服务器上进行设置时，需要严格检查重要目录、文件以及对应账户的权限设置。

第十一条 安全选项配置标准 安全选项 注释 安全设置 对匿名连接的额外限制 确定匿名连接到计算机应具有其他权限 不允许枚举sam账号和共享 在断开会话前所需的空闲时间 确定“服务消息块（SMB）”会话因为不活动而被挂起之前，在该会话中必须经过的连续空闲时间 15分钟 如果无法记录安全审计则立即关闭系统 确定当系统无法记录安全事件时是否关闭系统 停用 登录屏幕上不要显示上次登录的用户名 确定是否将上次登录到计算机的用户名显示在登录画面中 启用 在关机时清理虚拟内存页面交换文件 确定关闭系统时是否清楚虚拟内存页面文件 启用 在密码到期前提示用户更改密码 确定提前多长时间（天）警告用户其密码将过期。通过这种提前警告，用户可以有时间创建足够安全性的密码 14天 具体设置方法：
进入“控制面板/管理工具/本地安全策略”，在“本地策略>安全选项”中完成上表提及的各个“安全选项”的调整。

第十二条 日志与审计配置标准 1. 审核策略配置要求 Windows系统默认不开启安全审核，要求通过开启“审核策略”，记录以下操作：
审核策略 默认配置 安全设置 审核策略更改 无审核 成功，失败 审核登陆时间 无审核 成功，失败 审核对象访问 无审核 失败 审核过程追踪 无审核 无审核 审核目录服务访问 无审核 失败 审核特权使用 无审核 失败 审核系统事件 无审核 成功，失败 审核账户登陆时间 无审核 成功，失败 审核账户管理 无审核 成功，失败 配置方法：
进入“控制面板/管理工具/本地安全策略”，在“本地策略>审核策略”打开相应的审核选项：
2. 日志属性配置要求 请根据实际情况调整系统日志属性：
日志类别 安全设置 应用程序 日志大小 10240K 当达到最大日志大小时 不改写事件 （手动清除日志）
安全性 日志大小 10240K 当达到最大日志大小时 不改写事件 （手动清除日志）
系统 日志大小 10240K 当达到最大日志大小时 不改写事件 （手动清除日志）
第十三条 其它安全配置参考 1. 使用NTFS文件系统 NTFS文件系统比FAT和FAT32强壮和稳定，不易崩溃，而且可提供基于NTFS文件系统的对文件和目录的访问控制列表（ACL）
2. 共享管理 要求停用所有不必要的文件共享，特别注意系统默认启用的隐含系统共享，如C＄、D＄、IPC＄等。

关闭默认共享的方法：在服务配置中禁用server服务。

3. 启用屏幕保护 请设置带密码的屏幕保护，并将时间设定为5分钟，使得系统在无人操作5分钟后自动启用屏幕保护，再次进入系统需要认证。

第十四条 Linux配置 注：LINUX系统由于版本影响，所有配置建议沟通开发商验证后设置，并根据自身系统特性符合实际情况下使用！ 1．口令文件配置 测评内容：LINUX系统缺少口令更新周期限制 口令老化（Password aging）是一种增强的系统口令生命期认证机制，虽然它会一定程序的削弱用户使用的便利性，但是它能够确保用户的口令定期更换，这是一种非常好的安全措施。大部分的Linux发行版默认都不会打开口令老化功能，但是我们可以很容易地启用它。

　　1、编辑/etc/login.defs文件，我们可以通过以下参数来修改口令老化的默认配置：
　　# Password aging controls：
　　#PASS_MAX_DAYS 密码有效期天数设置为9999，实际上就是关闭了口令老化功能
#PASS_MIN_DAYS 表示自从上次密码修改以来多少天后用户才被允许修改口令
#PASS_MIN_LEN表示口令最小长度
#PASS_WARN_AGE 表示在口令到期前多少天开始通知用户口令即将到期
PASS_MAX_DAYS 9999
PASS_MIN_DAYS 0
PASS_WARN_AGE 7
2、另外，我们也可以编辑/etc/default/useradd文件，在其中查找INACTIVE和EXPIRE关键字：
　　# useradd defaults file
GROUP=100
HOME=/home
INACTIVE=14
//设置在口令已过期而用户一直没有修改口令多少天后用户帐户将置为不可用而锁定，以上设置是14天，
EXPIRE=
//直接指明新用户的口令的失效日期，格式为YYYY-MM-DD.
SHELL=/bin/bash
以上的设置都只对配置修改后创建的新用户有效，如果要更改已经创建的用户配置，可以使用chage工具：
　　[root@rhel4 ~]#chage -M 60 shangwen
以上将设置用户shangwen的PASS_MAX_DAYS为60天，并且相应的更新shadow文件。我们可以使用-l选项查看用户密码老化相关信息，-m设置PASS_MIN_DAYS，-W设置PASS_WARN_AGE等等。chage工具可以让我们设置口令老化的方方面面参数。以下是chage的详细参数信息：
　　用法：chage [选项] 用户名
选项：
　　-d， ——lastday 最近日期 将最近一次密码设置时间设为“最近日期”
-E， ——expiredate 过期日期 将帐户过期时间设为“过期日期”
-h， ——help 显示此帮助信息并退出
-I， ——inactive 失效密码 将因过期而失效的密码设为“失效密码”
-l， ——list 显示帐户年龄信息
-m， ——mindays 最小天数 将两次改变密码之间相距的最小天数设为“最小天数”
-M， ——maxdays 最大天数 将两次改变密码之间相距的最大天数设为“最大天数” -W， ——warndays 警告天数 将过期警告天数设为“警告天数” 2.用户登录失败处理设置 测评内容：LINUX系统缺少用户登录失败处理功能 PAM（可插入的验证模块）的pam_tally模块可以跟踪不成功的登录次数。当到达一个预先设定的限制值后，禁止这个用户的帐号。也就是通常讲的锁住用户。

为了使一个用户尝试登录4次失败，锁住这个用户，需要/etc/pam.d/system-auth文件中加入下面两行：
auth        required        /lib/security/pam_tally.so onerr=fail no_magic_root account     required        /lib/security/pam_tally.so deny=3 no_magic_root reset 下面是上面使用的选项的具体描述：
    * onerr=fail       如果一些奇怪的事情发生，例如不能打开文件，这个决定了模块应该如何反应。

    * no_magic_root       表示如何这个模块是由一个uid=0的用户触发，那么计数器就增加。

      系统管理员应该使用这个选项用于例如：telnet/rsh/login之类的服务。

    * deny=3       这个选项表明如果这个用户登录3次失败，就拒绝访问。

    * reset       这个选项指示模块对成功的实体，应复位到0。

下面是一个实现这种策略的一个完全的例子：
auth        required      /lib/security/pam_env.so auth        required      /lib/security/pam_tally.so onerr=fail no_magic_root auth        sufficient    /lib/security/pam_unix.so likeauth nullok auth        required      /lib/security/pam_deny.so account     required      /lib/security/pam_unix.so account     required      /lib/security/pam_tally.so deny=5 no_magic_root reset password    requisite     /lib/security/$ISA/pam_cracklib.so retry=3 password    sufficient    /lib/security/$ISA/pam_unix.so nullok use_authtok md5 shadow password    required      /lib/security/$ISA/pam_deny.so session     required      /lib/security/$ISA/pam_limits.so session     required      /lib/security/$ISA/pam_unix.so 3.安全审计配置 测评内容：LINUX系统未开启安全审计功能 Linux内核中的Auditing Subsystem默认是关闭的，可以通过auditctl -s来查看（以Red Hat Enterprise Linux为例）。

code：
[root@www ~]# auditctl -s AUDIT_STATUS: enabled=0 flag=1 pid=0 rate_limit=0 backlog_limit=64 lost=0 backlog=0 启动审计子系统只需要将enabled的值设为1即可。（通过VI 命令编辑）
code: [root@www ~]# auditctl -s AUDIT_STATUS: enabled=1 flag=1 pid=25717 rate_limit=0 backlog_limit=8192 lost=0 backlog=0 但是如果auditd服务没启动的话它的记录会保留在/var/log/messages里。

RHEL5中审计子系统包括3个文件auditd.conf、audit.rules和audit.log。

auditd.conf是审计子系统deamon的配置文件。该文件可以 ● 设置审计消息的专用日志文件 ● 确定是否循环使用日志文件 ● 如果日志文件的启动用掉了太多磁盘空间则发出警告 文件内容如下：
# # This file controls the configuration of the audit daemon # log_file = /var/log/audit/audit.log log_format = RAW priority_boost = 3 flush = INCREMENTAL freq = 20 num_logs = 4 dispatcher = /sbin/audispd disp_qos = lossy max_log_file = 10 max_log_file_action = ROTATE space_left = 75 space_left_action = SYSLOG action_mail_acct = root admin_space_left = 50 admin_space_left_action = SUSPEND disk_full_action = SUSPEND disk_error_action = SUSPEND man 5 auditd.conf：
     log_file 审计日志文件的完整路径。如果您配置守护进程向除默认/var/log/audit/外的目录中写日志文件时，一定要修改它上面的文件权限，使得只有根用户有读、写和执行权限。所有其他用户都不能访问这个目录或这个目录中的日志文件。

     log_format 写日志时要使用的格式。当设置为RAW时，数据会以从内核中检索到的格式写到日志文件中。当设置为NOLOG时，数据不会写到日志文件中，但是如果用dispatcher选项指定了一个，则数据仍然会发送到审计事件调度程序中。

     priority_boost 审计应采用多少优先级推进守护进程。必须是非负数。0表示没有变化。

     flush 多长时间向日志文件中写一次数据。值可以是NONE、INCREMENTAL、DATA和SYNC之一。如果设置为NONE，则不需要做特殊努力来将数据刷新到日志文件中。如果设置为INCREMENTAL，则用freq选项的值确定多长时间发生一次向磁盘的刷新。如果设置为DATA，则审计数据和日志文件一直是同步的。如果设置为SYNC，则每次写到日志文件时，数据和元数据是同步的。

     freq 如果flush设置为INCREMETNAL，审计守护进程在写到日志文件中前从内核中接收的记录数。

     num_logs max_log_file_action设置为ROTATE时要保存的日志文件数目。必须是0~99之间的数。如果设置为小于2，则不会循环日志。如果递增了日志文件的数目，就可能有必要递增/etc/audit/audit.rules中的内核backlog设置值，以便留出日志循环的时间。如果没有设置num_logs值，它就默认为0，意味着从来不循环日志文件。

     dispatcher 当启动这个守护进程时，由审计守护进程自动启动程序。所有守护进程都传递给这个程序。可以用它来进一步定制报表或者以与您的自定义分析程序兼容的不同格式产生它们。自定义程序的示例代码可以在/usr/share/doc/audit- <version>/skeleton.c中找到。由于调度程序用根用户特权运行，因此使用这个选项时要极其小心。这个选项不是必需的。

     disp_qos 控制调度程序与审计守护进程之间的通信类型。有效值为lossy和lossless。如果设置为lossy，若审计守护进程与调度程序之间的缓冲区已满 (缓冲区为128千字节)，则发送给调度程序的引入事件会被丢弃。然而，只要log_format没有设置为nolog，事件就仍然会写到磁盘中。如果设置为lossless，则在向调度程序发送事件之前和将日志写到磁盘之前，调度程序会等待缓冲区有足够的空间。

     max_log_file 以兆字节表示的最大日志文件容量。当达到这个容量时，会执行max_log_file _action指定的动作。

     max_log_file_action 当达到max_log_file的日志文件大小时采取的动作。值必须是IGNORE、SYSLOG、SUSPEND、ROTATE和KEEP_LOGS之一。如果设置为IGNORE，则在日志文件达到max_log_file后不采取动作。如果设置为SYSLOG，则当达到文件容量时会向系统日志/var /log/messages中写入一条警告。如果设置为SUSPEND，则当达到文件容量后不会向日志文件写入审计消息。如果设置为ROTATE，则当达到指定文件容量后会循环日志文件，但是只会保存一定数目的老文件，这个数目由num_logs参数指定。老文件的文件名将为audit.log.N，其中 N是一个数字。这个数字越大，则文件越老。如果设置为KEEP_LOGS，则会循环日志文件，但是会忽略num_logs参数，因此不会删除日志文件。

     space_left 以兆字节表示的磁盘空间数量。当达到这个水平时，会采取space_left_action参数中的动作。

     space_left_action 当磁盘空间量达到space_left中的值时，采取这个动作。有效值为IGNORE、SYSLOG、EMAIL、SUSPEND、SINGLE和 HALT。如果设置为IGNORE，则不采取动作。如果设置为SYSLOG，则向系统日志/var/log/messages写一条警告消息。如果设置为 EMAIL，则从action_mail_acct向这个地址发送一封电子邮件，并向/var/log/messages中写一条警告消息。如果设置为 SUSPEND，则不再向审计日志文件中写警告消息。如果设置为SINGLE，则系统将在单用户模式下。如果设置为SALT，则系统会关闭。

     action_mail_acct 负责维护审计守护进程和日志的管理员的电子邮件地址。如果地址没有主机名，则假定主机名为本地地址，比如root。必须安装sendmail并配置为向指定电子邮件地址发送电子邮件。

     admin_space_left 以兆字节表示的磁盘空间数量。用这个选项设置比space_left_action更多的主动性动作，以防万一space_left_action没有让管理员释放任何磁盘空间。这个值应小于space_left_action。如果达到这个水平，则会采取admin_space_left_ action所指定的动作。

     admin_space_left_action 当自由磁盘空间量达到admin_space_left指定的值时，则采取动作。有效值为IGNORE、SYSLOG、EMAIL、SUSPEND、SINGLE和HALT。与这些值关联的动作与space_left_action中的相同。

     disk_full_action 如果含有这个审计文件的分区已满，则采取这个动作。可能值为IGNORE、SYSLOG、SUSPEND、SINGLE和HALT。与这些值关联的动作与space_left _action中的相同。

提示：
如果不循环审计日志文件，则含有/var/log/audit/的分区可能变满并引起系统错误。因此，建议让/var/log/audit/位于一个单独的专用分区。

4.资源控制配置 测评内容：LINUX系统未配置单账户资源使用限制值 资源控制值主要由/etc/security/limits.conf文件来限制：
limits.conf 文件实际是 Linux PAM（插入式认证模块，Pluggable Authentication Modules）中 pam_limits.so 的配置文件，而且只针对于单个会话。

limits.conf的格式如下：
username@groupname type resource limitusername@groupname：设置需要被限制的用户名，组名前面加@和用户名区别。也可以用通配符*来做所有用户的限制。

type：有 soft，hard 和 -，soft 指的是当前系统生效的设置值。

hard 表明系统中所能设定的最大值。

soft 的限制不能比har 限制高。用 - 就表明同时设置了 soft 和 hard 的值。

resource：
core - 限制内核文件的大小 date - 最大数据大小 fsize - 最大文件大小 memlock - 最大锁定内存地址空间 nofile - 打开文件的最大数目 rss - 最大持久设置大小 stack - 最大栈大小 cpu - 以分钟为单位的最多 CPU 时间 noproc - 进程的最大数目 as - 地址空间限制 maxlogins - 此用户允许登录的最大数目 要使 limits.conf 文件配置生效，必须要确保 pam_limits.so 文件被加入到启动文件中 第十五条 MySQL配置 注：MYSQL系统由于版本影响，所有配置建议沟通开发商验证后设置，并根据自身系统特性符合实际情况下使用. 1. 口令文件配置 测评内容：MySQL数据库系统缺少口令长度、复杂度和更新周期限制；

建议：
1）
由于MySQL数据库缺少此方面设定功能，建议通过建立完善的口令管理规定，规定用户口令长度必须大与6-8位以上，必须由字母和数字2种以上组合，并定期进行口令修改；

2）
通过使用安全的远程连接工具软件对口令进行以上配置。

1.用户登录失败处理设置 测评内容：MySQL数据库系统缺少用户登录失败处理功能 建议：
1）
由于MySQL数据库缺少此方面设定功能，建议通过建立完善的口令管理规定，规定无权限用户不得接触数据库，不得无权限用户尝试数据库登录操作；

2）
通过使用安全的远程连接工具软件对非法用户口令尝试登录次数做限制，如限制3次。

2.数据库日志 3）
日志文件类型概述：
1． 错误日志 记录启动、运行或停止mysqld时出现的问题。

My.ini配置信息：
#Enter a name for the error log file. Otherwise a default name will be used. #log-error=d:/mysql_log_err.txt 2． 查询日志 记录建立的客户端连接和执行的语句。

My.ini配置信息：
#Enter a name for the query log file. Otherwise a default name will be used. #log=d:/mysql_log.txt 3． 更新日志 记录更改数据的语句。不赞成使用该日志。

My.ini配置信息：
#Enter a name for the update log file. Otherwise a default name will be used. #log-update=d:/mysql_log_update.txt 4． 二进制日志 记录所有更改数据的语句。还用于复制。

My.ini配置信息：
#Enter a name for the binary log. Otherwise a default name will be used. #log-bin=d:/mysql_log_bin 5． 日志记录所有执行时间超过long_query_time秒的所有查询或不使用索引的查询。

My.ini配置信息：
#Enter a name for the slow query log file. Otherwise a default name will be used. #long_query_time =1 #log-slow-queries= d:/mysql_log_slow.txt 3.LINUX环境下配置：
Sql代码 1. # 在[mysqld] 中輸入 2. #log 3. log-error=/usr/local/mysql/log/error.log 4. log=/usr/local/mysql/log/mysql.log 5. long_query_time=2 6. log-slow-queries= /usr/local/mysql/log/slowquery.log # 在[mysqld] 中輸入 #log log-error=/usr/local/mysql/log/error.log log=/usr/local/mysql/log/mysql.log long_query_time=2 log-slow-queries= /usr/local/mysql/log/slowquery.log windows环境下配置：
Sql代码 1. # 在[mysqld] 中輸入 2. #log 3. log-error=“E:/PROGRA~1/EASYPH~1.0B1/mysql/logs/error.log“ 4. log=“E:/PROGRA~1/EASYPH~1.0B1/mysql/logs/mysql.log“ 5. long_query_time=2 6. log-slow-queries= “E:/PROGRA~1/EASYPH~1.0B1/mysql/logs/slowquery.log“ # 在[mysqld] 中輸入 #log log-error=“E:/PROGRA~1/EASYPH~1.0B1/mysql/logs/error.log“ log=“E:/PROGRA~1/EASYPH~1.0B1/mysql/logs/mysql.log“ long_query_time=2 log-slow-queries= “E:/PROGRA~1/EASYPH~1.0B1/mysql/logs/slowquery.log“ 开启慢查询 long_query_time =2 --是指执行超过多久的sql会被log下来，这里是2秒 log-slow-queries= /usr/local/mysql/log/slowquery.log --将查询返回较慢的语句进行记录 log-queries-not-using-indexes = nouseindex.log --就是字面意思，log下来没有使用索引的query log=mylog.log --对所有执行语句进行记录 注：日志的存放:默认情况下,当开启时,所有的日志都存放在DataDir目录下. 如果没有指定名称的话，它会以后主机名为名称. 如主机名为songcomputer,则相关就的日志为songcomputer.log文件。

 Mysql日志的关闭与开启：
使用以下命令查看是否启用了日志 mysql>show variables like ＇log_%’;  凡Value值为OFF的表示未开启服务，若要开启只需要将上的my.ini配置信息写入(my.ini为mysql安装目录下)，然后去掉前面的“#” 号，再重启mysql服务。OK，现在会看到指定的日志文件已创建。相反地，若要停止mysql日志服务，只需要将my.ini中对应的配置信息去掉即 可。

1. 最大连接数配置 日志管理和分析制度（包括维护人员更改服务器用户属性、服务器配置记录手册）
信息技术科统一负责实时安全危险性较大的关键服务器，每周检查一次监控日志；
应建立日常审计日志的管理规定，防止重要日志记录的丢失、毁坏和篡改。日常审计应由专门人员完成，人员应具备相应的安全审计技能和相关安全知识。日常审计人员负责进行日常的安全事件的合规性审计，同时填写审计日志，审计日志内容应包括当日有无非法变更和非法入侵情况，ID申请及敏感交易使用情况等内容。

某单位安全事件报告与处置管理规定 第一条 为加强某单位计算机安全管理，防范信息系统的技术风险，保障信息系统安全运行，根据《中华人民共和国计算机信息系统安全保护条例》，制定本制度。

本制度适用于：
第二条 信息部门计算机安全事件的报告必须做到快速及时、客观真实，并实行归口管理、分别报告的原则。

第三条 信息部门是负责系统计算机安全事件的接报、汇总、通报和处置工作。

第四条 信息部门各运行计算机安全管理员负责辖区内计算机安全事件的报告、接报和协助处理工作。

第五条 发生计算机犯罪案件的单位应当按照有关规定向上级公安局和当地监管部门报告。

计算机安全事件具体包括：
（一）信息系统软硬件故障；

（二）网络通信系统故障；

（三）供电系统故障；

（四）系统感染计算机病毒；

（五）数据处理中心遭水灾、火灾、雷击；

（六）信息部门网络遭遇入侵或攻击；

（七）信息系统敏感数据泄露；

（八）信息系统数据失窃；

（九）信息部门数据处理设备失窃。

符合以下条件之一的计算机安全事件必须报告：
（一）计算机信息系统中断或运行不正常超过4小时；

（二）造成直接经济损失超过100万元；

（三）严重威胁本单位资金安全；

（四）因计算机安全事件造成本单位不能正常运营，且影响范围较大。

计算机安全事件报告包括以下内容：
（一）计算机安全事件发生的时间、地点、单位、单位负责人和联系方式；

（二）计算机安全事件的类别、涉及软硬件系统的情况和事件发生的过程；

（三）计算机安全事件造成的后果和影响范围；

（四）计算机安全事件发生的原因；

（五）责任人或涉案人员；

（六）计算机安全事件发生后采取的应急措施。

第六条 发生计算机安全事件后，按照逐级上报程序，由事件发生部门在事件发生12小时内向本单位的信息部门报告。

第七条 每个人均有权向信息部门报告存在的计算机安全隐患。接到报告后信息部门应当立即对报告进行初步评估，如有必要应即组织对计算机安全隐患进行检查和处置。

第八条 计算机安全事件必须及时上报，报告内容应当要素齐全，客观准确。计算机安全事件报告制度执行情况列为计算机安全检查内容。

第九条 计算机安全事件由信息部门会同事件涉及部门提出方案和处理报告，报计算机信息安全领导小组审核通过后，对相关责任人进行处罚。

第十条 本制度自印发之日起实施。

安全事件管理 第十一条 安全事件通报制度 参照标准：
《GB/Z 20986-2007信息安全技术、信息安全事件分类分级指南》
《GB/Z 20985-2007信息技术、安全技术、信息安全事件管理指南》
第十二条 安全事件的类型 所称的安全事件除了包括已发生和已在发生的安全事件的信息，还包括可预见的将来可能发生的安全事件。

事件类型的定义可根据影响程度、经济损失、威胁程度等。

（一）计算机信息系统中断或运行不正常超过4小时；

（二）造成直接经济损失超过100万元；

（三）严重威胁资金安全；

（四）因计算机安全事件造成不能正常运营，且影响范围较大。

第十三条 安全事件的现场处置职责 由信息安全领导小组负责网络与信息安全通报工作的组织、指导和协调，并确定承担本单位网络与信息安全信息通报工作的职能部门、负责人和联络员。

信息安全领导小组根据安全事件发生的类型，对所发生的安全事件进行处置。定期对已发生和已在发生的安全事件的信息进行分析，网络与信息安全事件分级分类分析方式，包括：异常现象分析、直觉判断、工具分析、事件数据分析、信息综合分析等。并对对已发生和已在发生的安全事件的信息分析结果进行记录，参考附件一 第十四条 事件报告的管理职责 信息安全事件实行分等级响应、处置的制度。安全事件尽快通过适当的管理渠道报告，制定正式的报告程充，使所有员工知道报告安全事件的程序和责任；
信息安全事件发生后，根据其危害和发生的部位，迅速确定事件等级，根据等级启动相应的响应和处置程序，定期对安全弱点和可疑事件进行报告；
告知员工未经许可测试弱点属于滥用系统；
对于不能确定为事故或者入侵的可疑事件应报告；
对于所有安全事件的报告应当记录在案归档留存。

通报方式采取例行通报和紧急通报两种方式。

例行通报，明确专人负责，定期、及时地向信息安全领导小组汇总、报告与本单位有关的突发事件的发生状况和动向。

紧急通报：一旦出现预警信号，所在地区单位应第一时间形成书面预警报告，及时上报信息安全领导小组，并在安全事件发生期间，每日多次向信息安全领导小组报告有关情况。

信息安全领导小组作为安全事件报告的职能部门。事件报告人根据职能部门的要求，对所发现的或未发现的安全事件报告给职能部门。发生计算机安全事件后，按照逐级上报程序，在事件发生12小时内向当地计算机安全主管部门报告。

信息安全领导小组负责接报安全事件报告，并及时进行处理，并填写《信息系统安全事件记录表》记录事件处理过程；
对于重要区域或业务应用发生的安全事件，要注意控制事件的影响；
追究安全事件发生的技术原因和管理责任，写出处理报告，并进行必要的评估。

计算机安全事件报告包括以下内容：
（一）计算机安全事件发生的时间、地点、单位、单位负责人和联系方式；

（二）计算机安全事件的类别、涉及软硬件系统的情况和事件发生的过程；

（三）计算机安全事件造成的后果和影响范围；

（四）计算机安全事件发生的原因；

（五）责任人或涉案人员；

（六）计算机安全事件发生后采取的应急措施。

第十五条 后期恢复的管理职责 信息安全领导小组作为本单位网络与信息安全信息后期的职能部门、负责人。对已发生的或已在发生的安全事件进行汇总，对所发生的安全弱点和可疑事件进行明确定义，任何情况下用户均不应尝试验证安全事件和可疑事件。

信息安全领导小组对已发生的安全事件，开展教育培训，确保以后发生类似的安全事件时能及时处理、恢复信息系统，安全事件带来影响减到最低。

密切关注突发事件预警系统的监测变量，严防突发事件出现反复。突发事件发生单位及有关部门应对事件的原因及全过程进行彻底调查。

要有适当的机制，以使事故和故障的类型、数量和代价能被量化和监督。该信息要用来重复发生的或影响很大的事故或故障。可以指导出需要增强的或附加的控制，限制未来出现事故的频度、损坏和代价。

信息安全领导小组应对突发事件及处置工作进行评估与总结。针对突发事件处置过程中暴露出的问题修改或完善监测措施、评级体系和风险预警机制，并提出完善相关法规建议，对工作人员进行突发事件发生以后如何处置的培训。

信息安全领导小组应召集各部门定期对安全事件的通报、处置和后期恢复等进行宣传教育和人员培训 第十六条 安全事件的定级 参照标准：
《GB/Z 20986-2007信息安全技术 信息安全事件分类分级指南》
《GB/Z 20985-2007信息技术 安全技术 信息安全事件管理指南》
第十七条 安全事件的分级 信息安全事件的分级主要考虑三个要素：信息系统的重要程度、系统损失和社会影响。

信息系统的重要程度 信息系统的重要程度主要考虑信息系统所承载的业务对国家安全、经济建设、社会生活的重要性以及业务对信息系统的依赖程度，划分为特别重要信息系统、重要信息系统和一般信息系统。

系统损失 系统损失是指由于信息系统安全事件对信息系统的软硬件、功能及数据的破坏，导致系统业务中断，从而给事发组织所造成的损失，其大小主要考虑恢复系统正常运行和消除安全事件负面影响所需付出的代价，划分为特别严重的系统损失、严重的系统损失、较大的系统损失和较小的系统损失，说明如下：
社会影响 社会影响是指信息安全事件对社会所造成影响的范围和程度，其大小主要考虑国家安全、社会秩序、经济建设和公众利益等方面的影响，划分为特别重大的社会影响、重大的社会影响、较大的社会影响和一般的社会影响。

计算机安全事件具体包括：
（一）信息系统软硬件故障；

（二）网络通信系统故障；

（三）供电系统故障；

（四）系统感染计算机病毒；

（五）数据处理中心遭水灾、火灾、雷击；

（六）网络遭遇入侵或攻击；

（七）信息系统敏感数据泄露；

（八）信息系统数据失窃；

（九）数据处理设备失窃；

（十）其他计算机安全事件。

第十八条 安全事件的定级 安全事件的处置需要贯穿整个安全管理的全过程各类突发公共事件按照其性质、严重程度、可控性和影响范围等因素，一般分为四级：Ⅰ级（特别重大）、Ⅱ级（重大）、Ⅲ级（较大）和Ⅳ级（一般）。

特别重大事件（I级）
特别重大事件是指能够导致特别严重影响或破坏的信息安全事件，包括以下情况：
a）会使特别重要信息系统遭受特别严重的系统损失；

b）产生特别重大的社会影响。

重大事件（II级）
重大事件是指能够导致严重影响或破坏的信息安全事件，包括以下情况：
a）会使特别重要信息系统遭受严重的系统损失、或使重要信息系统遭受特别严重的系统损失；

b）产生的重大的社会影响。

较大事件（III级）
较大事件是指能够导致较严重影响或破坏的信息安全事件，包括以下情况：
a）会使特别重要信息系统遭受较大的系统损失、或使重要信息系统遭受严重的系统损失、一般信息系统遭受特别严重的系统损失；

b）产生较大的社会影响。

一般事件（IV级）
一般事件是指不满足以上条件的信息安全事件，包括以下情况：
a）会使特别重要信息系统遭受较小的系统损失、或使重要信息系统遭受较大的系统损失、一般信息系统遭受严重或严重以下级别的系统损失；

b）产生一般的社会影响。

附件一　信息系统安全事件记录表 编 号：
填写人 填写时间 发生时间 恢复时间 事件现象 处理过程 事件原因 责任人 教训总结 影响范围 整改方法 负责人意见 签字：
技术支持单位意见 签字