第1篇 信息系統安全管理規定
系統安全管理規定
文檔號CSLJC_COM_STD_ISMS_1202_P_V0.1密級
ISO27001信息安全管理體系文件
系統安全管理規定
ISMS-MP-A.12-01活動
簽名
日期
創建
2011-8-24審核
批準II
文檔變更歷史
作者(或修訂人)版本號
日期
修改內容與原因
V0.12011-8-24新建
評審記錄
評審方式
版本號
日期
評審意見
文檔狀態：草稿
目錄
1概述11.1目的11.2定義11.3范圍11.4原則12角色與職責13安全要求23.1系統安全規劃要求23.2系統運行與維護安全要求23.3操作系統安全配置策略53.3.1Windows系統安全配置管理策略53.3.2UNI*系統安全管理策略84附錄10概述
1.1目的
為了加強公司各類計算機系統的安全運維管理，特制定本規定。
1.2定義
本程序引用ISO/IEC
17799:2005標準中的術語。
1.3范圍
本文檔適用于公司建立的信息安全管理體系。
1.4原則
本文檔將依據信息技術和信息安全技術的不斷發展和信息安全風險與信息安全保護目標的不斷變化而進行版本升級。
角色與職責
表2-1系統安全管理規定的角色和職責
序號
角色
職責
信息安全管理委員會
負責對系統安全管理進行指導和檢查
系統運維部
負責生產環境系統的維護工作
系統支援及維護部
負責系統安全管理的落地和實施工作
員工遵守公司系統安全管理規定
安全要求
3.1系統安全規劃要求
1、系統在投入使用前需要做好前期的規劃和設計，除了要滿足公司目前業務需要外還要考慮該業務系統將來的應用需求，使系統具有一定的擴充能力。
2、系統服務器操作系統應選用正版軟件并且遵守軟件規定的最終用戶使用協議，禁止使用盜版軟件。
3、新規劃使用系統應考慮和原來系統的兼容性問題。
4、在新系統安裝之前應有詳細的實施計劃，并嚴格按照計劃來實施。
5、在新系統安裝完成，投入使用前，應對所有組件包括設備、服務或應用進行連通性測試、性能測試、安全性測試，并在《系統測試記錄》做詳細記錄，最終形成測試報告。
6、在新系統安裝完成，測試通過，投入使用前，應刪除測試用戶和口令，最小化合法用戶的權限，最優化配置，應及時對系統軟件、文件和重要數據進行備份。
3.2系統運行與維護安全要求
1、各個系統設備應進行資產登記。
2、系統的帳號、口令應符合《帳號與密碼安全管理規定》，并定期對帳號口令實施安全評估。
3、嚴格限制操作系統管理員權限帳號和普通賬號的數量和使用范圍。對于系統管理員的帳號要詳細登記備案，編制《管理員權限賬號記錄》，每季度對該記錄進行審核，更新帳號記錄。
4、操作系統帳號的申請與變更參考《帳號與密碼安全管理規定》3.5節“賬號權限控制流程”。
5、嚴格禁止非本系統管理、維護人員直接進入主機設備進行操作，若在特殊情況下（如系統維修、升級等）需要外部人員（主要是指廠家技術工程師、非本系統技術工程師、安全管理員等）進入主機設備進行操作時，必須由維護人員員親自登錄，并對操作全過程進行記錄備案。
6、應盡可能減少主機設備的遠程管理方式。
7、嚴禁隨意安裝、卸載系統組件和驅動程序，如確實需要，應及時評測可能由此帶來的影響；如果需要安裝補丁程序，參考《病毒與補丁安全管理規定》進行安裝。
8、禁止主機系統上開放具有“寫”權限的共享目錄，如果確實必要，優先考慮建立FTP站點，緊急情況下可臨時開放，但要設置強共享口令，并在使用完之后立刻取消共享；應禁止不被系統明確使用的服務、協議和設備的特性，避免使用不安全的服務。
9、應嚴格并且合理的分配服務安裝分區或者目錄的權限，如果可能的話，給每項服務安裝在獨立分區；取消或者修改服務的banner信息；避免讓應用服務運行在root或者administrator權限下。
10、應嚴格控制重要文件的許可權和擁有權，重要的數據應當加密存放在主機上，取消匿名FTP訪問，并合理使用信任關系。
11、應對日志功能的啟用、日志記錄的內容、日志的管理形式、日志的審查分析做出明確的規定；對于重要主機系統，應建立集中的日志管理服務器，實現對重要主機系統日志的統一管理，以利于對主機系統日志的審查分析；應保證各設備的系統日志處于運行狀態，并定期對日志做一次全面的分析，對登錄的用戶、登錄時間、所做的配置和操作做檢查，在發現有異常的現象時應及時向相關人員報告，日志審核要求詳見《安全審計管理規定》。
12、應及時監視、收集主機設備操作系統生產廠商公布的軟件以及補丁更新，要求下載補丁程序的站點必須是相應的官方站點，并對更新軟件或補丁進行評測，在獲得部門領導的批準下，對實際環境實施軟件更新或者補丁安裝；必須訂閱CERT
(計算機緊急響應小組)公告或其他專業安全機構提供的安全漏洞信息的相關資源，應立即提醒信息安全工作組任何可能影響網絡正常運行的漏洞；及時評測對漏洞采取的對策，在獲得部門領導的批準下，對實際環境實施評測過的對策，并將整個過程記錄備案；軟件更新或者補丁安裝應盡量安排在非業務繁忙時段進行，操作必須由兩人以上完成，由一人監督，一人操作，并在升級（或修補）前后做好數據和軟件的備份工作，同時將整個過程記錄備案；軟件更新或者補丁安裝后應重新對系統進行安全設置，并進行系統的安全檢查。
13、應定期進行安全漏洞掃描和病毒查殺工作，平均頻率應不低于每月一次，并在《月度網絡安全掃描記錄》中詳細記錄評估掃描結果。重大安全漏洞發布后，應在3個工作日內進行；為了防止網絡安全掃描以及病毒查殺對網絡性能造成影響，應根據業務的實際情況對掃描時間做出規定，應一般安排在非業務繁忙時段；當發現主機設備上存在病毒、異常開放的服務或者開放的服務存在安全漏洞時應及時上報信息安全工作組，并采取相應措施。
14、應至少每周1次，對所有主機設備進行檢查，確保各設備都能正常工作；應通過各種手段監控主機系統的CPU利用率、進程、內存和啟動腳本等的使用狀況，在發現異常系統進程或者系統進程數量異常變化時，或者CPU利用率，內存占用量等突然異常時，應立即上報信息安全工作組，并同時采取適當控制措施，并記錄備案。
15、當主機系統出現以下現象之一時，必須進行安全問題的報告和診斷：
系統中出現異常系統進程或者系統進程數量有異常變化。
系統突然不明原因的性能下降。
系統不明原因的重新啟動。
系統崩潰，不能正常啟動。
系統中出現異常的系統賬號
系統賬號口令突然失控。
系統賬號權限發生不明變化。
系統出現來源不明的文件。
系統中文件出現不明原因的改動。
系統時鐘出現不明原因的改變。
系統日志中出現非正常時間系統登錄，或有不明IP地址的系統登錄。
發現系統不明原因的在掃描網絡上其它主機。
16、應及時報告任何已知的或可疑的信息安全問題、違規行為或緊急安全事件，并在采取適當措施的同時，應向信息安全工作組報告細節；應定期提交安全事件和相關問題的管理報告，以備管理層檢查。
17、應根據“知所必需”原則嚴格限制泄漏安全違規行為、安全事件或安全漏洞。如果必須向任何公司外部方（包括任何合法的權威機構）泄漏這類受限信息，應先咨詢公司相關法律部門。
18、系統軟件安裝之后，應立即進行備份；在后續使用過程中，在系統軟件的變更以及配置的修改之前和之后，也應立即進行備份工作；應至少每年1次對重要的主機系統進行災難影響分析，并進行災難恢復演習。
19、應至少每年1次對整個網絡進行風險評估，每次風險評估時，手工檢查的比例應不低于10％，滲透測試的比例應不低于5％；風險評估后應在10個工作日內完成對網絡的修補和加固，并進行二次評估。
3.3操作系統安全配置策略
3.13.23.33.3.1Windows系統安全配置管理策略在應用以下安全策略之前應根據業務系統的實際情況進行操作，注意實施操作后對業務的風險。
1、物理安全策略
應設置BIOS口令以增加物理安全。
應禁止遠程用戶使用光驅和軟驅。
2、補丁管理策略
應啟動Windows自動更新功能，及時安裝Windows補丁（SP、hotfi*）。
對于不能訪問Internet的Windows系統，應采用手工打補丁的方式。
3、帳戶與口令策略所有帳戶均應設置口令。
應將系統管理員賬號administrator重命名。
應禁止Guest賬號。
應啟用“密碼必須符合復雜性要求”，設置“密碼長度最小值”、“密碼最長存留期”、“密碼最短存留期”、“密碼強制歷史”，停用“為域中用戶使用可還原的加密來存儲”。
應設置“賬戶鎖定時間”，“賬戶鎖定閾值”，“復位賬戶鎖定計數器”來防止遠程密碼猜測攻擊。
在信息安全組批準下，應定期利用口令破解軟件進行口令模擬破解測試，在發現脆弱性口令后及時通告并采取強制性的補救修改措施。
4、網絡服務策略
應盡可能減少網絡服務，關閉不必要的服務。
應通過修改注冊表項，調整優化TCP/IP參數，來提高系統抵抗DoS攻擊的能力。
應限制使用SNMP服務。如果的確需要，應使用V3版本替代V1、V2版本，并啟用MD5校驗等功能。
5、文件系統策略
所有分區均應使用NTFS。
盡量使用磁盤配額管理、文件加密（EFS）等功能。
應卸載OS/2和POSI*操作環境子系統。
應將所有常用的管理工具放在%systemroot%外的特殊目錄下，并對其進行嚴格的訪問控制，保證只有管理員才具有執行這些工具的權限。
應關閉NTFS生成
8.3文件名格式。
應設置訪問控制列表（ACL），對重要的目錄、文件進行訪問權限的限制。
6、日志策略
應啟用系統和文件審核功能，包括應用程序日志、安全日志、系統日志、以及各種服務的日志。
應更改日志存放的目錄，并及時監控，特別是安全日志、系統日志。對于重要主機設備，應建立集中的日志管理服務器，實現對重要主機設備日志的統一管理，以利于對主機設備日志的審查分析。
7、安全性增強策略
對于獨立服務器應直接檢查本地的策略和配置。對于屬于域的服務器，應檢查域控制器上對計算機的域管理策略。檢查內容主要為用戶、用戶組及其權限管理策略。
應限制對注冊表的訪問，嚴禁對注冊表的匿名訪問，嚴禁遠程訪問注冊表，并對關鍵注冊表項進行訪問控制，以防止它們被攻擊者用于啟動特洛伊木馬等惡意程序。
應定期檢查注冊表啟動項目，避免系統被安裝非法的自啟動程序。
應隱含最后登陸用戶名，避免攻擊者猜測系統內的用戶信息。
在登錄系統時應顯示告警信息，防止用戶對遠程終端服務口令進行自動化的腳本猜測，并刪除關機按鈕。
應刪除Windows主機上所有默認的網絡共享。
應關閉對Windows主機的匿名連接。
對于不需要共享服務的主機，應徹底關閉文件和打印機共享服務。
應限制Pcanywhere等遠程管理工具的使用，如確實需要，應使用最新版本，完整安裝補丁程序并經過評測，獲得信息安全工作組的許可；并使用Pcanywhere加密方式進行管理。
應安裝防病毒軟件，并及時更新軟件版本和病毒庫。
盡量安裝防火墻。
3.3.2UNI*系統安全管理策略
1、補丁管理策略
應及時安裝系統最新補丁。
應及時升級服務至最新版本。
2、帳戶與口令策略
所有帳戶均應設置口令。
去除不需要的帳戶、修改默認帳號的shell變量。
除root外，不應存在其他uid=0的帳戶。
應設置超時自動注銷登陸，減少安全隱患。
應限制可以su為root的組。
應禁止root遠程登陸。
在信息安全組批準下，應定期利用口令破解軟件進行口令模擬破解測試，在發現脆弱性口令后及時通告并采取強制性的補救修改措施。
3、網絡服務策略
應盡可能減少網絡服務，關閉不必要的服務。
應啟用inetd進站連接日志記錄，增強審計功能。
應調整優化TCP/IP參數，來提高系統抵抗DoS攻擊的能力。
應調整TCP/IP參數，禁止IP源路由。
應限制使用SNMP服務。如果的確需要，應使用V3版本替代V1、V2版本，并啟用MD5校驗等功能。
應調整內核參數打開“TCP隨機序列號”功能。
4、文件系統策略
盡量使系統root用戶初始創建權限(umask)為077。
盡量使用磁盤配額管理功能。
去除適當文件的set-uid和set-gid位。
應限制/etc目錄的可寫權限。
增強對關鍵文件的執行權限控制。
為不同的掛載點指派不同的屬性。
5、日志策略
應對ssh、su登陸日志進行記錄。
除日志服務器外，應禁止syslogd網絡監聽514端口。
對于重要主機設備，應建立集中的日志管理服務器，實現對重要主機設備日志的統一管理，以利于對主機設備日志的審查分析。
6、安全性增強策略
應保證bashshell保存少量的（或不保存）命令。
應禁止GUI登陸。
應隱藏系統提示信息。
盡量安裝第三方安全增強軟件。
附錄
附錄一：相關文件
《信息安全管理體系手冊》
《系統測試記錄》
《操作系統管理員權限帳號記錄》
《操作系統普通權限賬號記錄》
《操作系統賬號開通申請》
《月度網絡安全掃描記錄》
第2篇 某大學繼續教育學院信息系統安全管理規定
z大學繼續教育學院信息系統安全管理規定
第一章 總則
第一條 為了進一步加強我院信息系統安全管理，保證設施設備、人員及信息安全，確保網絡正常運行，根據《中華人民共和國計算機信息系統安全保護條例》、《計算機信息網絡國際聯網安全保護管理辦法》、《中華人民共和國治安處罰法》第29條、《互聯網安全保護技術措施》、《教育行業信息系統安全等級保護定級工作指南(試行)》等相關法律法規的要求，特制定本規定。
第二條 本管理規定所稱的網絡系統，是指由學校或學院投資購買，由我院維護和管理的，為教學、科研、管理服務的各類網絡設備、配套設施、數據資料等軟硬件系統的總和。
第二章 機構與制度
第三條 信息系統安全管理應遵循統一管理、分級負責的原則。學院應成立專門部門負責網絡安全管理工作。該部門在網絡安全責任人的領導下，負責制定和完善相關的管理制度，組織和指導各部門實施網絡安全管理工作，監督和評估制度的執行效果。
第四條 學院各部門應指定專人(部門網絡安全責任人)負責本部門業務范圍所涉及的信息系統安全的管理工作。各部門應結合自身工作性質和特點，制定具體的網絡安全管理實施細則，明確工作職責和管理權限，責任要落實到人。
第五條 網絡安全主管部門要強化有關網絡安全法律、法規和網絡安全意識的宣傳教育工作，開展多種形式的安全檢查，對發現的網絡安全隱患，要及時督促整改。
第三章 技術措施
第六條 學院應對服務器、交換機、通信線路、IP地址等網絡軟硬件資源的使用進行統籌管理，按需分配。任何部門或個人不得通過任何手段私自使用以上資源或更改其用途。網絡安全主管部門要對網絡資源的使用和分配情況進行登記，并上報學校相關部門備案。
第七條 重要的網絡設施設備必須實行專人專管。
第八條 信息系統中賬號、密碼、權限的安全設置必須符合相關的技術規范。重要的服務器應做到“功能單一、專機專用”，嚴禁在服務器中安裝與其功能無關的服務類軟件，不得用服務器做與其功能無關的事。
第九條 嚴格管理信息系統中的賬號和密碼，不得向無關的單位和個人提供相關信息(法律法規另有規定除外)。任何人不得以任何手段偵聽、破解、盜用賬號和密碼，嚴禁登錄與本人工作職責無關的網絡設備。
第十條 所有接入網絡的計算機必須安裝防病毒軟件;網絡服務器必須采取防范網絡入侵和攻擊的技術手段;定期備份重要數據;網絡中的重要設備應采取容災措施。
第十一條 學院開設的服務器必須啟用日志記錄功能，記錄并留存用戶登錄和退出時間、操作內容、訪問地址或域名等關鍵信息，歷史記錄保留時間不得低于60天。
第十二條 對網絡中的各類應用軟件、數據庫系統等信息資源應視其重要程度采取相應的保密措施和權限控制。
第十三條 養成良好的計算機使用習慣，不隨意下載和安裝不熟悉的軟件、不無序存放數據資料、不使用盜版軟件、不接收和轉發來歷不明的電子郵件、不隨意訪問不熟悉的網站、不隨意修改系統參數，及時升級系統和應用軟件、及時備份重要的數據資料。
第十四條 學院教學用機房一律不準對社會開放，嚴禁向學生提供有償網絡服務。在教學過程中不能無限制對教師和學生開通上網服務，應視具體的教學內容而定。
第四章 審查與備案制度
第十五條 學院應建立完備的審查與備案制度。需要審查和備案的事項包括：信息發布、提供網絡服務、新建網絡設施、申請網絡賬號等。
第十六條 各部門對外的信息發布的審查和備案工作由部門網絡安全責任人負責。學院對外提供網絡服務、新建網絡設施或申請網絡賬號等由網絡安全主管部門負責向學校提交相關申請和備案工作。
第十七條 未經批準，任何部門和個人不得以學院的名義對外發布信息，不得私自對外開設代理、郵件、文件、信息等網絡服務服務。如無特殊需要，學院的服務器一般不對學生和學院以外的人員開通信息發布功能。
第五章 應急處置機制和信息通報制度
第十八條 網絡安全事件的處理應堅持“加強監控、主動防范、先期處置、及時匯報”的原則。
第十九條 出現以下情況可視為網絡安全事件：
1.網站主頁被惡意篡改，出現*、反政府、分裂國家、危害社會穩定等違法言論，出現宣揚色情、暴力、封建迷信的信息或損害他人利益、聲譽的不實言論以及其他違法的信息。
2.網絡服務器遭受入侵，數據被非法復制、修改、刪除等。
3.網絡服務器受到攻擊，導致服務中斷或嚴重受阻。
4.網絡服務器感染計算機病毒，導致重大損失。
第二十條 若發生網絡安全事件或疑似網絡安全事件，應按以下步驟處理：
1.相關技術人員應立即停止受到影響的服務器、工作站的運行，關閉交換機等網絡設備，防止勢態蔓延、危害擴大;備份系統和應用軟件的各類日志文件及重要的數據文件。
2.立即向學院網絡安全主管部門匯報情況，由網絡安全責任人召集技術人員對事件的性質進行認定。若確認為網絡安全事件，應及時以書面形式向學校相關部門匯報。并在保留證據的前提下，及時修復受損的網絡設備和數據。若確由必要，可向學校相關部門提出技術支持的請求。
3.處置完成后應總結教訓、查找漏洞，制定相應的防范措施，盡量杜絕相同事件再次發生。
第六章 違約責任與處罰
第二十一條 違反本規定的行為一經查實，學院將視情節給予相應的行政紀律處分，情節嚴重或造成重大影響和損失的向學校相關部門報告，違反法律者，依法承擔相關責任。
第七章 其他
第二十二條 本規定自公布之日起實行。
繼續教育學院、應用技術學院
第3篇 綠谷集團計算機信息系統安全管理規定
綠谷集團計算機信息系統安全管理規定
第一章 總則
第一條 為了保護綠谷集團網絡系統的安全、促進計算機網絡的應用和發展、保證網絡的正常運行和網絡用戶的使用權益，制定本安全管理規定。
第二條 本管理規定所稱的網絡系統，是指由綠谷集團投資購買、由網絡與信息中心負責維護和管理的網絡節點設備、配套的網絡線纜設施及網絡服務器、工作站所構成的、為網絡應用及服務的硬件、軟件的集成系統。
第三條 綠谷網絡系統的安全運行和系統設備管理維護工作由信息設計部負責。任何單位和個人，未經網絡負責單位同意、不得擅自安裝、拆卸或改變網絡設備。
第四條 任何單位和個人、不得利用聯網計算機從事危害綠谷網站及本地局域網服務器、工作站的活動，不得危害或侵入未授權的服務器、工作站。
第五條 任何單位和個人不得利用公司內部網和國際聯網危害公司安全、泄露公司秘密，不得侵犯公司的利益，不得從事違法犯罪活動。
第二章安全保護運行
一、操作管理
第六條 除網絡負責單位，其它單位或個人不得以任何方式對計算機信息網絡功能及計算機信息網絡中存儲、處理或者傳輸的數據和應用程序進行刪除、修改或者增加;
第七條未經保管人允許，任何人不得擅自使用她人電腦;
第八條 任何單位和個人不得利用內部網國際聯網制作、復制、查閱和傳播下列信息：
1、捏造或者歪曲事實，散布謠言，擾亂公司秩序的;
2、宣揚淫穢、色情的;
3、公然侮辱她人或者捏造事實誹謗她人的;
4、損害公司形象的;
第九條 任何單位和個人不得將涉及公司秘密的計算機信息系統，直接或間接地與國際互聯網或其它公共信息網絡相聯接;
第十條 任何單位和個人不得將公司秘密的信息，在國際聯網的計算機信息系統中存儲、處理、傳遞;
第十一條 任何單位和個人不得在電子公告系統、聊天室、網絡新聞組上發布、談論和傳播公司秘密信息;
第十二條 未經允許，任何單位和個人不得私自將計算機接入局域網;
第十三條 有密碼功能的計算機要求設置密碼;人員離開計算機后，要求退出系統并關機，或設計屏幕保護密碼;
二、軟件管理
第十四條 公司上網計算機操作軟件必須由專人負責同一安裝，任何單位和個人不得擅自安裝其它軟件;
第十五條 嚴禁在公司網絡及計算機上使用來歷不明、引發病毒傳染的軟件;
第十六條 嚴禁在公司網絡及計算機上使用盜版軟件;
三、文件管理
第十七條 重要文件必須及時備份;
第十八條 盡量減少文件共享，共享文件必須設置密碼;
四、病毒管理
第十九條 每臺計算機必須安裝殺毒軟件及防火墻;
第二十條 每臺計算機必須定時查毒和升級殺毒軟件，發現病毒立即上報信息設計部;
第二十一條 嚴禁故意制作、傳播計算機病毒等破壞性程序;
第二十二條 嚴禁使用未經殺毒的軟盤;
第二十三條 嚴禁未經殺毒拷貝文件，或將文件發送到其它客戶機上;
第二十四條 嚴禁接受和發送未經殺毒的電子郵件;
第二十五條 新系統安裝前必須進行病毒檢測;
五、硬件管理
第二十五條 任何單位和個人不得以任何借口盜竊、破壞網絡設施;
第二十六條 公司內從事施工、建設，不得危害計算機網絡系統的安全;
第二十七條 除計算機維護人員，任何單位和個人不得隨意拆卸所使用的計算機或相關設備;
第二十八條 計算機房間鑰匙不得隨意轉借她人使用，做到人走鎖門;
第二十九條 裝有計算機房間內的電線必須按規定鋪設，不得私拉亂接;
六、監督管理
第三十條 每臺計算機由使用人負責日常維護及安全管理;
第三十一條 網絡各類服務器中開設的帳戶和口令為個人用戶所擁有，信息設計部對用戶口令保密，任何單位和個人不得隨意提供這些信息。
第三十二條 各單位和用戶，應當接受并配合信息設計部實施的監督檢查，并根據信息設計部的要求，刪除計算機及網上不符合規定的內容;
第三十三條 各部門和用戶，發現違反規定情況時，應當立即向信息設計部報告;
第三十四條 負責部門必須定期檢查安全情況，對網絡上有害信息及時控制并刪除，不得傳播;
第三十五條 人員離崗離職必須到信息設計部登記，做好軟硬件及帳號、密碼交接工作;
第三章 違規責任與處罰
第三十六條 違反上述規定造成公司秘密泄漏、數據丟失、硬件損壞、病毒感染、對公司或她人造成不良影響者以及使用盜版軟件者，根據具體情況追究當事人及其直接領導責任;
第四章 其她
第三十七條 本管理制度自公布之日起實行。
