8系统安全管理办法Word文档格式.docx
- 文档编号:13372822
- 上传时间:2022-10-10
- 格式:DOCX
- 页数:7
- 大小:31.49KB
8系统安全管理办法Word文档格式.docx
《8系统安全管理办法Word文档格式.docx》由会员分享,可在线阅读,更多相关《8系统安全管理办法Word文档格式.docx(7页珍藏版)》请在冰豆网上搜索。
第五条服务器需安装软件防火墙,由动研所信息化技术研究部统一部署,病毒库统一升级。
第六条对于重要的数据进行加密。
第七条安全性能评估,对于安全产品应选用经过国内、国外权威第三方认证的安全产品,系统管理员应随时保持警惕以预防攻击事件的发生或者将攻击的危害降至最低。
第八条对系统漏洞情况每年至少进行一次扫描,对漏洞风险持续跟踪,在经过充分的验证测试后对必要的漏洞开展修补工作,实施漏洞扫描或漏洞修补前,对可能的风险进行评估和充分准备,选择恰当时间,并做好数据备份和回退方案,漏洞扫描或漏洞修补后应进行验证测试,以保证系统的正常运行,扫描后记录扫描情况,填写《系统安全扫描情况记录表》(附录1)。
第九条持续跟踪厂商提供的系统升级更新情况,应在经过充分的测试评估后对必要的补丁进行及时更新,填写《系统与网络设备补丁分析评估表》(附录2),在安装系统补丁前对现有的重要文件进行备份,并对备份情况和系统升级情况进行记录,填写《系统及网络设备升级记录表》(附录3)。
第十条至少每月对运行日志和审计数据进行分析。
第三章系统访问控制要求
第十一条用户或者应用程序访问系统资源时要求系统管理员通过设置必要的选项完成以下功能:
1.提供适当的身份验证方法。
2.识别和验证身份。
3.记录成功和失败的系统访问(日志信息)。
4.根据情况限制用户连接时间。
第十二条登录程序应最大限度地减少公开的信息,以避免非法用户使用。
登录程序应:
1.在登录过程未成功之前禁止显示系统或应用的标识。
2.显示一般性注意事项。
提醒用户只有合法用户才能访问计算机。
3.登录期间禁止提供帮助消息。
4.只有所有输入数据完成后才能验证登录信息。
5.应限制允许登录的失败次数为3次。
6.限制登录程序允许的时间上限和下限。
如果超过限制,则系统必须终止登录过程。
7.成功登录后,宜显示以下信息:
1)以前成功登录的日期和时间。
2)上次成功登录以来登录失败的详细情况。
第十三条登录超时要求
1.当系统超时未激活时,应能够自动锁住系统,防止非法访问,但不宜关闭应用或网络会话。
2.超时的时间设置取决于连接系统的重要程度、终端风险暴露程度以及终端上信息的业务价值。
第四章用户账号安全
第十四条用户身份识别和验证
1.信息系统所有用户都应拥有个人专用的唯一标识符(用户ID)以便操作能够追溯到具体责任人。
但是在认证和授权体系没有建立之前,特定操作系统内所有的用户必须有一个唯一的ID,并且该ID名称不能让人猜测到该用户的权限级别,如管理员、主管等。
2.对于每一个申请使用系统的用户,应要求填写《系统账号申请表》(附录4),并在表格中包含动研所的密码安全政策规范,明确违反该规范的后果和责任,同时要求用户签名以产生法律效力,并在《系统账户登记表》进行登记。
3.对于用户身份的验证,宜采用多种身份验证程序来加以证实。
口令是一种很常见的身份识别和验证方法。
采用加密方法和身份验证协议也可达到同样的效果。
也可使用用户的内存标记或智能卡等进行身份识别和验证。
也可使用基于个人唯一特点或特性的生物统计学身份验证技术来验证用户身份。
将安全技术和安全机制结合起来可进行更为严格的身份验证。
第十五条用户账号过期
1.设置用户账号的有效有效期为一年。
2.当某一个用户账号过期时,系统维修检查确认该用户账号所对应的员工是否还留在动研所,如果不是则将该账号自动删除,否则继续激活该用户账号。
3.如果用户账号过期了但是用户无法联系到,先将其用户账号锁住,等用户回来以后按需要激活。
第十六条Guest账号
1.应禁止长期保留Guest账号。
2.当系统安装完成后必须视情况禁用Guest账号,当用户确实需要Guest账号进行临时的访问时,才可将Guest账号激活。
3.应确保Guest账号的口令安全。
第十七条所有操作系统应禁止使用无口令的用户账号。
第十八条除非有特殊的要求,不应有多个用户共享一个用户ID和口令,而应使用用户组的概念来代替。
第十九条用户账号安全其它事项
1.用户账号重命名,也就是对默认的账号重命名。
包括administrator、Guest以及其它一些在安装统计时(如ISS)自动建立的账号。
2.建立伪管理员账号,如在系统中建立用户名为“administrator”的用户,并设定一个难以推测的口令,但是不赋予其真正的管理员权限。
第七章文件系统安全
第二十条文件系统的安全是指系统中所有文件的安全,包括所有操作系统管理的设备资源的安全问题,例如打印机。
文件系统的安全是系统安全的最后防线,主要通过两种方式实现文件系统安全。
1.通过文件系统权限控制文件被恶意地址访问或者在任何未经适当授权的情况下被访问。
2.通过对文件进行适当地加密实现。
第八章附则
第二十一条本管理办法由信息化技术研究部负责解释。
第二十二条本管理办法自发布之日起执行。
附录1:
系统安全扫描情况记录表
系统安全扫描情况汇总表
编号:
日期:
提交人
扫描日期
扫描情况
概述
设备名称
多开端口
漏洞情况
主要隐患说明
紧急风险
高风险
中风险
低风险
加固建议
附录2:
系统与网络设备补丁分析评估表
系统和网络设备补丁分析评估表
填表人:
日期:
补丁描述及可能影响
测试服务列表
补丁分析
补丁安装测试
跟踪测试情况
补丁安装计划
□紧急□危险□不危险□不适用
说明:
○机器重启正常○漏洞已修改
○业务系统正常○回退测试
领导审批意见:
签字:
附件3:
系统及网络设备升级记录表
填表人:
日期:
审批编号
补丁完整性、安全性校验
设备列表
数据备份
具体升级时间
验证检查
操作员
复核
跟踪监控(签字并注明时间)
○已备份
○机器重启正常
○漏洞已修改
○业务系统正常
附件4:
系统账号申请表
系统帐号申请表
时间:
申请人
所属动研所/部门
联系电话
工号
申请时间(年月日)
申请人职位描述
帐号申请目的
帐号所属业务网名称
变更类型
创建□变更□撤销□
帐号使用期限到期日:
年月日
帐号名及需要权限描述:
申请人主管意见及签字:
系统主管意见及签字:
系统维护管理员帐号权限生成完毕签字并备案:
日期:
_________年________月_________日
备注:
被授权人的签字将被认为已阅读并知晓《帐号口令管理办法》并愿意接受帐号口令管理制度的约束。
。
表格名和编号由负责表格存档的部门负责填写。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 系统安全 管理办法