文档介绍：陕西煤业化工集团财务有限公司
信息系统安全管理办法
第一章总则
第一条为加强公司信息系统安全的规范管理,对可能影响系统的各种因素进行控制,确保系统、网络设备以及其他设施的安全正常运行,特制订本办法。
第二条本管理办法从系统层安全角度建立公司的信息系统安全保障体系。
第二章主机安全策略
第三条系统硬件采购必须符合公司的信息安全策略和其他技术策略,并符合公司的长期商业需求。
第四条系统硬件采购必须考虑:新设备在满足功能需要的同时,应有优秀的性能和足够的容量,以避免影响数据处理;数据必须有适当的保护策略,以避免丢失或意外或不可预测的破坏;系统必须有较大的冗余(电源、CPU以及其他组件)来避免出现突然的意外事件。
第五条系统硬件采购时,必须通过结构评估,应尽量获得最好的价格,性能,可靠性,容错性和售后技术支持,包括相应的技术文档或IT使用文档,以降低购买硬件设备的风险。
第六条所有主机设备应由专职人员负责定点存放和管理,定期检查存放处的物理环境,并按照物理安全管理要求进行维护;应对所有主机设备进行资产登记,登记记录上应该标明硬件型号,厂家,操作系统版本,已安装的补丁程序号,安装和升级的时间、系统配置信息等内容;
第七条应对日常运维,监控、配置管理和变更管理在职责上进行分离,由不同的人员负责;在用户权限的设置时应遵循最小授权和权限分割的原则,只给系统用户、数据库系统用户或其它应用系统用户授予业务所需的最小权限,应禁止为所管理主机系统无关的人员提供主机系统用户账号,并且关闭一切不需要的系统账号;对两个月以上不使用的用户账号进行锁定;应对主机设备中所有用户账号进行登记备案。
第八条各个业务系统应对其口令的选取、组成、长度、保存、修改周期做出明确规定;组成口令的字符应包含大小写英文字母、数字、标点、控制字符等,口令长度要求在8位以上;对于重要的主机系统,要求至少每个月修改一次口令,或者使用一次性口令设备;对于管理用的工作站和个人计算机,要求至少每三个月修改一次口令;若掌握口令的管理人员调离本职工作时,必须立即更改所有相关口令;应定期利用口令破解软件进行口令模拟破解测试,在发现脆弱性口令后及时采取强制性的补救修改措施。
第九条严格禁止非本系统管理人员直接进入主机设备进行操作,若在特殊情况下(如系统维修、升级等)需要外部人员(主要是指厂家技术工程师、非本系统技术工程师、安全管理员等)进入主机设备进行操作时,必须由本系统管理员登录,并对操作全过程进行记录备案;禁止将系统用户账号及口令直接交给外部人员,在紧急情况下需要为外部人员开放临时账号时,必须向安全管理机构和相关领导申请,在申请中写明开放临时账号的原因、时间、期限、对外部人员操作的监控方法、负责开放和注销临时账号的人员等内容,并严格根据安全管理机构的批复进行临时账号的开放、注销、监控,并记录备案。
第十条应尽可能减少主机设备的远程管理方式,等,如果的确需要进行远程管理,,并且限定远程登录的超时时间,远程管理的用户数量,远程管理的终端IP地址,并在配置完后立刻关闭此类远程管理功能;应尽可能避免使用SNMP协议进行管理,如果的确需要,应使用V3版本替代V1、V2版本,并启用MD5等校验功能;进行远程管理时,应设置控制口和远程登录口的idle timeout时间,让控制口和远程登录口在空闲一定时间