1、北京移動通信有限責任公司 信息安全管理規范 目目錄錄 1 文檔信息文檔信息.3 1.1 核實文檔版本.3 1.2 修改記錄.3 1.3 文檔批準.3 1.4 分發.1 2 概述概述.1 3 總則總則.1 3.1 用途.1 3.2 原則.1 3.3 計算機和網絡安全要求.2 3.4 本辦法的文檔組織.2 3.5 文檔修正.3 4 責任和權利責任和權利.3 4.1 介紹.3 4.2 部門的責任.3 4.3 功能上的職責.3 4.3.1 it資源訪問提供者.3 4.3.2 公司信息技術部門.4 4.3.3 開發人員.4 4.3.4 資源（數據、系統、應用程序）擁有者.4 4.3.5 一級經理.4 4

2、.3.6二級經理.4 4.3.7經理.5 4.3.8系統管理員.5 4.3.9用戶.5 5 信息管理安全信息管理安全.5 5.1 簡介.5 5.1.1 控制it資源訪問.5 5.2 安全要求.6 5.2.1 認證/授權.6 5.2.2 訪問控制.8 5.2.3 保密性.13 5.2.4 完整性.17 5.2.5 可用性.19 5.2.6 審計.22 1 文檔信息 1.1 核實文檔版本 使用本文檔前，文檔使用者有責任核實當前版本的有效性使用本文檔前，文檔使用者有責任核實當前版本的有效性 1.2 修改記錄 對本文檔所有修改都應按修改時間順序記錄在此。 日期日期修改內容修改內容修改人修改人 1.3

3、文檔批準 您本人或您本人指定的代表的簽字表明 您批準了本文檔內容。 它也表明您已經 仔細地閱讀、審查和考慮到了本文檔對您的部門有怎樣的影響以及它是否符合 公司的指導方向。 批準簽字 批準人批準人職務職務批準日期批準日期 1.4 分發 公司各職能部門、各直屬單位 2 概述 為了保證公司網絡和計算機資源的安全，所有訪問、使用北京移動通信有 限責任公司計算機和網絡資源的行為必須遵從以下幾點： 1) 認證。所有尋求訪問網絡資源的計算機用戶和系統必須首先進行符合 北京移動通信有限責任公司標準的用戶身份驗證 2) 訪問控制。資源的查看、修改、運行等權限必須根據實際需要分配給 用戶。 3) 保密性。必須采取

4、適當的措施以保證北京移動通信有限責任公司的專 利、資源或用戶的數據不會遭到損害。 4) 完整性。所有影響數據的改動必須要經過認證、控制、確認以保證數 據準確無誤。 5) 可恢復性。在惡意或毀滅性攻擊事件中，公司核心數據、系統必須能 夠恢復。 6) 審計。公司主機、多用戶計算機、防火墻及網絡中的用戶訪問和活動 情況必須按照公司安全規章制度進行記錄和保留。 3 總則 3.1 用途 本辦法定義了那些經過授權可以訪問公司 it 資源的用戶的責任與權利， 并且對信息安全的保護提出了必要的要求。 3.2 原則 所有北京移動通信有限責任公司的正式、非正式員工，在使用、設計、訪 問或是管理 it 的資源和數據

5、時，都必須遵從本安全條例要求。從合作伙伴，合 資方或是簽約方得到授權訪問許可的非北京移動通信有限責任公司員工，也必 須遵從本要求。 任何違反北京移動通信有限責任公司安全策略和要求的人，公司可以要求 其立即改正。未按要求去做的，被公司視為對北京移動通信有限責任公司安全 策略的違背，將會受到績效扣分處罰、紀律處罰甚至是解雇，當發生觸犯法律 的行為時，將啟動相應的司法程序。 在得到公司信息安全部門批準的情況下，如果實施某些安全策略會嚴重的 影響公司的經營收入或是在技術上暫不可行，可以暫不遵守那些安全策略。使 用和保護公司資源、信息。 北京移動通信有限責任公司的計算機、網絡和數據對于公司和用戶是十分

6、重要的。必須有方案可以保護公司 it 資源。不論數據位于何處，保護方案都必 須能防止未經授權的訪問、披露、修改、破壞、使用等。 在管理允許的條件下，員工可以使用公司網絡和計算機資源進行一些私人 活動，但必須在業余時間進行。無論何時，公司計算機和網絡資源必須首先保 證工作中的使用。當影響員工和整體系統的工作效率時，私人活動必須被限制。 資源所有權在公司。公司可以監視員工使用網絡的情況，包括訪問的網站 等信息。 員工不能訪問明顯含有色情、暴力、反動內容的網站。這些行為將被認為 與公司的理念相違背，違反了公司的紀律。最高可受到開除的處分。 計算機和網絡資源是公司的生產工具，因此，它絕對不能用于發送、

7、轉發 威脅、騷擾、垃圾郵件，或在公司的論壇上以公司名義表達個人觀點。 所有使用公司計算機和網絡資源的員工，都必須遵守公司的規定和相關國 家、地方法規。不遵守這些法規的員工，被視為違反公司紀律，最高可受到開 除處理。 3.3 計算機和網絡安全要求 必須認證、控制和審核所有訪問公司 it 資源的行為。另外，必須采納適 當措施確保所有信息的完整性，以防止惡意修改。 3.4 本辦法的文檔組織 本說明中“必須”一詞意味著條款必須被執行；“應該”意味著條款被強 烈建議執行。 除了基本安全策略外，特定的操作系統（如 unix， windows nt 等）和 特定的認證環境（如 dmz 區域）也許會要求附加的

8、規定。對操作系統和環境 的附加安全要求將在附錄中闡述。 iso 建議利用以下廣泛認同的數據保護服務和機制建立一整套系統的計算 機和網絡服務安全體系，如認證、訪問控制、保密性、統一性、可用性、審計 等。在本辦法中列舉的安全策略和要求將依據這些安全屬性被組織。 3.5 文檔修正 本辦法在商業環境改變時可以調整，如發現新的安全威脅而需要相應的安 全保衛時。因此，本辦法出于安全策略的需要，應該定時更新。 北京移動通信有限責任公司的員工無論何時發現現存安全策略的問題，都 可通過修改請求表（見附錄 1）遞交修改意見到信息技術部門。（發送到 its） 4 責任和權利 4.1 介紹 被授權訪問和使用公司 it

9、 資源的北京移動通信有限責任公司的員工、制 造商、合作伙伴等，對資源的安全有著不同的責任，如系統和網絡開發商、設 計者、工程師、資源和數據的擁有者、管理員、經理等。應根據它們的職能與 一般用戶區分開。 4.2 部門的責任 保護信息財產是每個業務部門整體安全計劃的一部分。每個部門有責任根 據適當、不重疊、責任清晰和最小權限原則制定適當的安全職責。 4.3 功能上的職責 下面一些特定的角色與任務反映了工業范圍中廣泛認同的安全慣例。 4.3.1it 資源訪問提供者 it 資源訪問提供者的職責包括： 1) 給認證用戶提供登錄 id 號 2) 能夠對授權的非正式員工進行有效的審核 3) 在適當的時候，注

10、銷或刪除用戶 id 4.3.2 公司信息技術部門 公司信息技術部門的職能包括： 1) 準備和分發計算機和網絡安全策略和要求 2) 提供安全咨詢 3) 調查違反計算機和網絡安全事件 4) 監察安全說明和廣泛承認的安全條例的遵守情況 5) 指導風險評估 6) 負責對非管理員和遠程訪問用戶配置進行審核 7) 批準所有的數據連結協議 4.3.3 開發人員 開發人員的職責包括： 1) 設計支持權限分類的應用軟件 2) 設計包含安全、控制和可恢復性功能的軟件 4.3.4 資源（數據、系統、應用程序）擁有者 責任包括： 1) 驗證授權訪問 2) 對用戶訪問進行授權 3) 定義適當的用戶使用權限（只讀、寫、執

11、行等） 4) 保證記錄分配、刪除、改變用戶 id 和口令事件。 5) 至少每年驗證一次用戶的 id，發現不合法的 id 立即刪除。 6) 對軟件的改變需經過授權 7) 確保最小權限和單獨責任的原則 4.3.5 一級經理 他們是那些可以授權非公司的人員訪問公司內部數據網或資源的人員。 責任包括： 1) 確保設備提供商簽署了不泄漏條約或是相應的保密條款的合同 4.3.6 二級經理 1）驗證申請訪問公司 it 資源的下屬員工的業務需求。 2）批準適當的網絡和計算機使用請求表。 3）確保在遵守公司安全條例的條件下分配、刪除、改變下屬員工的 id。 4.3.7 三級經理 職能包括： 1) 確保授權或是注

12、冊的軟件安裝在下屬員工的計算機上 2）確保所有下屬員工意識到并遵守公司的安全條例 4.3.8 系統管理員 職能包括： 1) 確保執行程序、網絡數據、應用文件系統、網絡數據庫的調整得到授權 2) 每天查看日志，對未經授權的訪問采取必要的措施。 3) 確保授權或是注冊的軟件安裝在他們的計算機或服務器上 4.3.9 用戶 責任包括： 1) 按照資源擁有者要求，提供用戶基本信息，和一個唯一的標識 2) 在他們的機器上使用公司允許的軟件 3) 報告所有已發生的或是可疑的計算機和網絡濫用行為到信息技術安全部 門。 4) 遵從所有的安全策略和與操作系統有關的附加安全策略。 5) 當丟失信息和數據現象發生時，

13、必須立即報告。 5 信息管理安全 5.1 簡介 5.1.1 控制 it 資源訪問 控制 it 資源訪問，以阻止未經授權的用戶披露，修改、毀壞或濫用公司 的 it 資源。本節確定了所有適用于 it 資源的安全策略基礎。 5.2 安全要求 5.2.1 認證/授權 認證/授權指的是通過資源擁有者和管理員建立的方法，驗證用戶的合法性 以確保只允許授權用戶才可以訪問。注意：附錄中針對不同操作系統對認證/授 權的不同要求做了補充說明和相關陳述。 認證/授權策略 所有尋求 it 資源訪問的人或系統在被允許訪問之前，必須要經過認證/授 權。 唯一的用戶 id/口令 通過唯一的用

14、戶名和口令相結合的方式驗證用戶身份 用戶 id 訪問管理 當用戶調出部門或不再需要訪問資源時，必須紀錄重新分配或刪除用戶 id/口令的過程。 用戶 id 概要 it 資源訪問提供者必須維護一個每日更新的用戶概要文件，用來建立每 個授權用戶的唯一標識。用戶必須應授權者的要求，提供概要文件信息。概要 文件最少應該包括： 1) 請求者姓名 2) 請求者屬性（員工、非員工） 3) 身份證代碼 4) 驗證信息 5) 授權者名字 保留用戶概要信息 因為終止工作或其他原因，用戶 id 被刪除后，用戶 id 概要信息必須被至 少保留一年。 共享

15、id 非管理員用戶 id 必須被分配給個人，不能共享。管理員 id 只有在備份等 特定情況下才可以共享。 刪除重新分配的口令 密碼在重新設置后如一天內未被使用，必須被刪除（使無效） 當初始或重置密碼未改變時取消用戶 id 當初始分配的密碼在兩周之內未改變時，用戶 id 必須被置無效 禁用或刪除不活動用戶 id 用戶 id90 天不使用后，id 必須被置無效，120 天不使用后，用戶 id 必須 被刪除。在被刪除的前 30 天，授權者必須通知用戶。 0 有限次登錄失敗后，禁用該用戶 id 在 24 小時內，當連續的、不成功的密碼嘗試次

16、數超過最大限度時，用戶 id 必須自動失效或被鎖定。信息技術安全部門必須注意這些可疑的行為并進行 紀錄。 1 刪除不合法的用戶 id it 資源訪問提供者必須至少每年驗證所有分配 id 的合法性。一經發現不 合法 id，必須立即刪除。 2 恢復無效的用戶 id 和重置密碼 用戶必須聯系信息技術安全部門去恢復一個失效的 id。在失效的 id 被恢 復之前： 1) 用戶身份必須被證實。 2) 密碼必須改變。 3 利用電話通知用戶重置密碼 口令重置后，資源訪問提供者可以以下列方式通知用戶： 1) 電話。如果用戶提供的確認信息與保留的用戶概要文件相一致。 2)

17、 短信。 4 口令長度 用戶口令最少 6 位，管理員口令最少 10 位。 5 密碼的復雜度 密碼必須足夠復雜以防止用戶密碼可以被輕易的猜出。密碼應是字母、數 字、特殊字符的混合體。 6 自動登錄程序或腳本的密碼設置 密碼不能嵌入登錄程序、腳本中，除非在執行腳本、登錄程序之前進行 身份驗證。 7 修改密碼 用戶和管理員必須： 1) 當懷疑它們的密碼可能泄漏時，立即修改密碼 2) 在第一次登錄時，改變或要求改變事先分配的，默認的，臨時的密碼 3) 至少每 60 天改變一次密碼，除非信息技術安全部門同意采用替代的方法 8 密碼重用

18、 用戶不能使用從前的密碼或循環使用密碼，除非選擇的密碼與以前使用 的 5 個密碼不同 9 撥號的授權 撥號訪問公司網絡的人必須得到信息技術安全部門的授權。 0 信任機制和一次認證、分配授權 信任機制指在一臺主機上登錄可以訪問其他主機的過程。例如 nt 里的域 概念。信任機制的問題是如果授權機制被打破，所有的主機都會受到破壞。因 此，最開始的認證一定要可靠。用戶的可信性必須被每個主機檢驗。 5.2.2 訪問控制 訪問控制指一個過程，它不僅限制誰訪問，也限制訪問做什么。最小權限 原則必須是所有的原則的基礎。用戶得到的權限僅是他完成工作所必需的最小 權限。

19、 訪問控制策略 訪問控制程序控制所有用戶訪問。查看、修改數據、運行程序等權限必須 被僅僅限于分配給那些工作必須需要這些權限的人。所有不必要的訪問必須被 禁止。 數據訪問權限 所有的文件，包括數據和設備，必須由數據擁有者設定適當的訪問權限 （讀、寫、執行等）。 特權用戶 id 特權用戶 id 必須有單獨的密碼，并且僅僅分配給那些被證實在工作中確 實需要的人。 管理員限制 管理員或管理員組必須維護和控制每一個計算機對公司網絡的訪問，管理 員需遵守的規則是： 1) 除了工作的需要，不瀏覽用戶的相關信息。 2) 不披露任何信息給無權得到它的人 3) 除非

20、得到授權，不拷貝信息 4) 不進行可能會把信息披露給無權得到它的人的活動 限制訪問 非特權用戶（如非管理員組成員）一定不能有系統文件的寫權限，除非在 以下情況下： 1) 必須書面解釋商業的需求和為什么管理員不能提供此項服務。新的 請求必須經請求人兩級以上領導批準。請求也可以使用電子文檔， 但必須以文件形式保存，以供日后審核。 2) 用戶必須分配一個不同于管理員的 id，或是在用戶使用管理員密碼 訪問之后，立即修改密碼。 3) 用戶的特權訪問必須限于那些被授權的活動 4) 業務需要終止后，立即結束特權訪問。 遠程控制管理 在某些情況下，可能會要求管理遠程的計算機。

21、通常，這些工作可以通過 遠程管理工具來完成。然而，使用這些工具的遠程管理訪問只在滿足以下兩點 的情況下被允許： 1) 除了使用工具，使用其它方法管理計算機或系統在邏輯上是不可行的 2) 僅限于系統管理員遠程控制管理 遠程管理軟件限制 管理員使用遠程管理軟件應該： 1) 通過信息技術安全部門的批準 2) 通過加密來保護管理員和計算機之間的會話傳輸 3) 為遠程控制活動提供登錄日志 對設備廠商維護的管理 公司有時需要軟件或硬件設備廠商的維護。當廠商排除錯誤或進行日常維 護時,廠商可以要求訪問公司網絡。系統管理員必須： 1) 建立一個特別標識的 id 以證明用戶是維護

22、人員（如果有多名維護人員，每 人分配一個單獨的 id）。維護終止后，立即刪除 id。 2) 通常情況下 id 號停止使用，僅當需要或請求時生效，并記錄生效的時間。 3) 僅限于使用那些事先標注的需要維護的計算機。 4) 在維護完成后，通知負責領導。 遠程廠商維護 當產品發生問題或日常維護需要遠程訪問時，系統管理員必須： 1) 從公司相應負責人處獲得授權 2) 從信息技術安全部門處獲得一次性的許可 3) 只在維護時保持連接 4) 記錄連接時間 0 訪問應用程序 未經授權得到應用程序數據會破壞信息的完整性和私有性，因此，應用程 序的安全性必須被考慮以確保系統管理員能夠

23、根據最小權限和按需獲得原則限 制用戶訪問應用軟件和數據。 1 鎖定無人的 pc 或工作站 運行的 pc、工作站必須有人看管除非有軟件可以在計算機超過 20 分鐘不 活動后自動鎖定鍵盤并清除屏幕內容。 2 標準警告信息 為了給出資源內容的提示，下列標準系統登錄提示信息必須在每次公司授 權用戶成功登錄之后顯示。 警告警告 本系統只限于北京移動通信有限責任公司授權用戶因合法的業務需要而使用。本系統只限于北京移動通信有限責任公司授權用戶因合法的業務需要而使用。 北京移動通信有限責任公司禁止任何未經授權的訪問，使用，修改本系統的行北京移動通信有限責任公司禁止任何未經授權的訪問

24、，使用，修改本系統的行 為。未經授權的非法用戶會受到公司、國家的法律處罰。公司有權出于管理或為。未經授權的非法用戶會受到公司、國家的法律處罰。公司有權出于管理或 安全的原因監視、記錄使用系統的情況。使用系統的用戶被認為同意記錄其訪安全的原因監視、記錄使用系統的情況。使用系統的用戶被認為同意記錄其訪 問行為。如果用戶有違法行為，北京移動通信有限責任公司有權向相關法律部問行為。如果用戶有違法行為，北京移動通信有限責任公司有權向相關法律部 門透露記錄情況。所有用戶必須遵守北京移動通信有限責任公司相關安全條例。門透露記錄情況。所有用戶必須遵守北京移動通信有限責任公司相關安全條例。 3 可

25、替換的警告信息 在顯示標準警告信息的地方不夠時，可替換以下警告信息 警告警告 本系統限于北京移動通信有限責任公司授權用戶使用。未經授權的訪問是違法行為。本系統限于北京移動通信有限責任公司授權用戶使用。未經授權的訪問是違法行為。 出于安全和管理的原因，公司有權檢查用戶使用系統的行為。出于安全和管理的原因，公司有權檢查用戶使用系統的行為。 4 接受警告信息 警告信息必須一直保留直到用戶接受信息 5 調制解調器的使用 如終端用戶計算機既有調制解調器又有網卡，在用網卡連接到網絡時不能 用調制解調器建立連接。 6 公司防火墻規則 防火墻規則基于沒有授權的情況下，

26、沒有外部用戶被信任的假設。因此： 1) 沒有明確的允許，防火墻必須屏蔽所有的服務 2) 能通過防火墻的服務必須是被信息技術安全部門批準的。 3) 防火墻必須有能力生成審計報表 7 到 internet 的網絡連接 公司網和 internet 之間的所有連接都必須由許可的公司網關/代理來建立。 如果連接被公司信息技術部確定為多余的，那么這個地址必須在 30 天內從服務 中被刪除。如果不通過公司支持的防火墻，任何到 internet 的連接，都必須立即 被中斷。 8 禁止未經許可的計算機連接 局域網/廣域網中一個潛在的干擾來源就是未經許可的計算機連接。可能的 話，網絡集

27、線器單元應當經過配置可以對連接到端口上的計算機進行驗證，驗 證是基于計算機網卡(nic)的介質訪問控制(mac)地址。 9 禁用未使用或不受控制的端口 網絡集線器上未使用得端口，以及連接到辦公室或者房間里但并不分配給 一個特定個人的端口應當被禁用。 0 非本公司網絡對內部數據網絡的訪問 滿足非本公司的訪問需求 (作為一個由兩個公司共同參與所達成的基本協 議的結果)必須通過在協議中一定的語言的描述來明確信息安全的職責。在協議 中，必須與訪問公司達成以下條款: 1) 只能訪問已被授權的系統與數據。 2) 建立足夠的審核與監測控制手段來確保公司的計算機與網絡資源被恰當的使

28、 用。 3) 采用訪問控制責任機制防止未授權的訪問及數據的泄露。 4) 立即報告可能導致用戶獲得未授權對公司系統和網絡訪問的情況和條件。 （請將報告發送至 its） 1 動態 ip 地址的分配 動態主機控制協議(dhcp)只能在滿足下列條件時被使用: 1) 建立了遠程訪問驗證服務器以保證所有遠程訪問登錄需求, 2) dhcp 服務器的軟件必須記錄所有與 ip 分配相關的活動, 3) 記錄(日志)能力必須滿足在任何條件下的記錄需求。 2 在 vpn 中禁用 ip 轉發機制 如果 vpn 遠程訪問用戶的操作系統平臺提供這一選擇功能，他們必須禁 用 tcp/ip 設置下的

29、 ip 轉發選項。 3 傳真 modem 當滿足以下條件時，允許建立為實現傳真服務而撥號到內部 it 資源的連 接。 1) 確定 modem 僅提供傳真服務，且沒有使用其他的網絡或通訊協議, 2) 僅對確實需要使用傳真服務的用戶提供該項服務， 3) 在此項服務安裝之前與之后的任何時間，信息技術安全部門保留檢查 計算機與 modem 配置的權利，同時也保留更改設置的權利。 4 公司網絡到非公司場所的擴展 公司網絡擴展到公共場所，在不受公司控制的情況下，（例如 在商業展覽 上、臨時培訓機構、臨時場所的專門項目，災后恢復項目的現場等場所）應具 備： 1) 信息技術安全部門

30、的批準 2) 安全的連接 （例如 一個專用的，點到點的傳輸線路，如通過可靠 加密的公共 internet 網絡建立的 t1，t3 連接） 5.2.3 保密性 保密性的目的是防止所有非授權及試圖窺探秘密的用戶竊取機密信息，只 有證明用戶不會泄露數據，保密機制才會對其開放數據。保密機制需要使用加 密方法（對數據），以及其他機制（例如 受限訪問） 公司的保密策略 必須使用恰當的手段以確保公司的所有權、私人及顧客所有的數據資源不 受到危害。 存儲在計算機中的公司所有數據 公司所有數據信息及敏感信息只能存儲在安裝了訪問控制軟件的計算機的 硬盤上。 存儲在便

31、攜式計算機中的公司所有數據 公司所有數據信息及敏感信息只能存儲在安裝了訪問控制軟件的便攜式計 算機上。 存儲在非受控場所計算機上的公司所有數據 在未使用邏輯的訪問控制手段時，未加密的所有信息不能存儲在非受控場 所的計算機上。需要時應使用物理的訪問控制手段。此規定同樣適用于存儲于 員工居所中計算機的公司所有信息的情況。 存儲在便攜式存儲介質中的公司所有數據 存儲在便攜式存儲介質中但未加密的公司所有數據，必須擁有與公司所有 的紙式文件同等的安全保護。必須應用特別措施來保護外置的便攜式存儲介質， 以保證在發生便攜式計算機丟失或被盜情況時，數據得到保護。

32、 只允許使用已被驗證的加密方法 任何加密算法或設備的使用必須滿足： 1) 能夠有效地抵御入侵系統， 2) 遵守中國及其他國家有關于加密的法律， 3) 能夠支持出于保持商業連續性或研究目的而對已加密數據采取的復原 4) 得到信息技術安全部門的認可。 密碼的保護 通常不能將密碼寫下來，必須時，應采取恰當的安全措施將密碼保存。除 此之外，當在客戶機與服務器之間發生 id/口令的驗證變更時，需要建立安全套 接層連接（ssl）以防止暴露密碼。 屏幕中簡要的所有權標識 應用程序應包含公司所有權信息。當應用程序在線訪問時應包含醒目的公 司所有權提示。當應用程序登錄錄時必須在屏

33、幕底部顯示以下信息： 北京移動通信有限責任公司版權所有，使用應遵守公司說明書 北京移動通信有限責任公司獨家所有，請授權使用人員注意 重新使用已含有公司所有數據的存儲介質 當重新使用像便攜式計算機、臺式計算機、服務器、cd、磁盤及磁帶一 類的存儲介質時，應確保數據被清除且完全不能被恢復。當并不準備重新使用 存儲介質時，處理程序必須能夠保證已存儲在介質上的信息不能被恢復。簡單 的“刪除”并不能提供足夠的保護以防止未授權用戶對信息進行恢復。 0 保護送出維修存儲介質中的公司所有數據 任何存儲設備，像計算機硬盤，只能在需要維修更換時才允許被送到公司 所認可的供應商處，公司

34、會與所信賴的供應商簽訂保密協議以保護驅動器中的 信息。 1 傳送公司所有信息 當通過電子消息系統或數據網絡，包括公司網絡，傳送公司所有信息或是 類似的敏感信息時，必須使用加密軟件或加密設備。 2 在不安全網絡中傳送公司所有信息 未經授權的個人能夠截獲到通過不安全網絡傳送的未加密數據。因此，當 涉及公司機密的信息在本公司網絡以外傳送時，必須加密。 3 外部與內部網頁內容 外部網站：公司所有信息不能被放置在外部網頁上，也就是說，公司防火 墻以外的網頁只是被設計用來滿足不受限制的公共訪問。 內部網站：公司所有信息可以放置在內部網頁上。 企業網站應提供以下功能

35、： 1) 公司所有機密信息應被妥善保護， 2) 由于工作職責所需而被允許訪問公司企業網的所有員工，都可以訪問 非密碼保護的公司信息。 注意：經理對于由其下級同事發布到內部/外部網站中的內容負有責任。發 布任何信息前，應由監管部門重新審計其內容。 4web 服務器的注冊 在通過網頁真正傳遞信息前，應向信息技術安全部門注冊 web 服務器， 以取得證明驗證配置安全套接層（ssl）所需的唯一數字 id。 5 用于非公司業務用途電子郵件的隱私 利用公司 it 資源創建或接受到的電子郵件被認為是公司的財產，不被認 為是發送者或是接受者的財產。公司有權檢查通過公司電子郵件系統傳

36、送的所 有消息。濫用電子郵件系統的而導致的紀律處罰最高可至被解職（例如發送恐 嚇信件）。得到許可時，在可能危害國家的情況下，郵箱中的內容將對法律機 關公布。 6 企業電子郵件的使用 在未使用公司認可安全加密方法時，公司職員不得發送或轉發含公司信息 到非公司郵件帳戶。公司職員不得使用轉發功能來轉發任何郵件到非公司的郵 箱。公司職員在內部網絡不得發送或轉發超過 30mb 大小的電子郵件。 7 在公司群發郵件列表中的非公司電子郵件地址 在公司群發郵件列表中不得包含非公司的郵件地址。 8internet 上對電子郵件的公共訪問 不得使用任何用于訪問企業網的計算

37、機來訪問 internet 上基于網頁的電子 郵件系統。 9 電子郵件系統的驗證 當通過電子郵件發送公司所有信息時，應驗證接收者的地址以保證未授權 用戶不能接收到該信息。 0vpn 協議棧 客戶機遠程訪問系統必須使用單一且默認的網絡路由，即使用 vpn 的所 有遠程訪問必須被加密，同時只能通過 vpn 遠程訪問服務器將其連接到公司的 終端節點上。 1 虛擬專網（vpn）加密密碼長度 在未受法律限制時，密碼長度必須是 128bit。在受到法律限制的地區，密 碼長度等于許可的最大長度，且不能小于 40bit。 2 唯一的，一次性的 vpn 進

38、程密碼 無論是建立一條到公司網絡的遠程連接，或是建立一個到子網絡時，必須 使用 vpn 進程密碼，且應保證密碼的唯一性與一次性。 3 撤消初始 vpn 用戶密碼 更改用戶 vpn 密碼的時間間隔必須小于一年，在不影響公司商業連續性 的前提下，應在公司發生變動時及時更改密碼。例如員工重新注冊或是離開公 司的情況。 5.2.4 完整性 完整性關系到所保存數據的準確性。用戶必須確保數據是可信的，同時保 證只有在授權的情況下才能夠更改數據。 公司完整性策略 公司數據的準確性必須得到保證。只允許公司授權的 it 資源存在，同時 發生在公司所有的硬件及軟件上的變更與檢測行為必

39、須得到正確的授權、控制 與驗證。 控制程序的變更 必須設置一個控制系統實施系統本身變更、系統硬件及應用軟件變更。在 實施變更前（包括變更網絡基礎與相應的配置數據），將要做的變更必須得到 it 資源所有者的授權、控制及測試。 生產體系與開發體系的分離 生產體系必須與開發體系分離，以確保生產體系中的數據完整性免造破壞。 開發項目對生產體系中數據的訪問 未得到正確授權（來自資源所有者）而在生產體系環境中傳輸或使用非生 產體系數據的行為將被禁止。在未得到公司明確要求時，任何預授權的緊急訪 問，可能造成不良后果的軟件變更和數據變更都要記錄備案，且應最少保存

40、一 年。 供應商對生產體系的訪問 在情況允許時，應將生產所用數據從供應商系統中刪除，或是禁止供應商 id 對生產所用數據的訪問。 系統的測試與接收 在生產體系實施項目之前，必須完成系統測試與用戶接收測試。 出于安全的考慮設計審計程序 設計的審計程序必須考慮到安全、控制及恢復問題，以保證基本安全原則 得到滿足。 控制程序的變更 控制手段應具有對特定程序個體的修改功能，同時控制手段應根據程序的 內容與細節變更滿足經理的要求。 保存一份全部變更的記錄 當公司并未作其他要求時，必須創建一個包含所有軟件和硬件變更的記錄， 并

41、至少將該記錄保存三年。 0 驗證防火墻配置文件 必須每天運行入侵安全檢測軟件以驗證放火墻配置文件。 1 監控網絡流量 在技術條件允許的情況下應對網絡中的事件進行靈活、實時的監控。包括 所有攻擊、威脅防火墻的事件。監控的內容至少應包括下列事件： 1) 冒充管理員身份的嘗試 2) 異常行為 3) 檢查關鍵文件的訪問次數 2 確定、解決系統所暴露的問題及弱點 所有系統安全問題都應被記錄，復查和處理。同時，應盡快彌補來自供應 商的安全隱患。 3 公司授權軟件 公司計算機中只允許安裝得到公司授權且擁有許可證的軟件和免費軟件。 4 許可

42、證協議 用戶必須遵守軟件版權許可使用協議。 5 商業軟件的購買的證明 很多計算機使用預裝版軟件，或使用由集中管理工具統一安裝的軟件。通 常只在公司保存軟件的許可使用協議。用戶必須保存一份商業軟件許可使用協 議的副本，而不是在需要時從公司獲得，以作為購買的證明。 6 破壞性代碼與計算機病毒 源代碼、文檔附件、瀏覽器下載內容、activex 及可執行程序，進口軟件， 均可能帶有計算機病毒，邏輯炸彈及其他破壞性代碼。因此必須安裝得到公司 認可的反病毒軟件，對于下列各項內容必須每天進行病毒的掃描： 1) 臺式計算機, 2) 網頁、打印、文件、ftp 和應用程序服務器， 3)

43、 新的磁盤與軟件 4) 電子郵件、瀏覽器下載內容 7 電子郵件的完整性 當不是以進行測試或診斷為目的時，用戶不得篡改或隱藏電子郵件的源出 處。所有未授權的活動都將受到紀律的懲處，最高可至被解職。 8 詳細的 it 資源清單 必須保存一份全面而詳細的企業 it 資源清單。清單中應包含相應資源的 序列編碼。 9 年度的資源清單核對 資源清單記錄，包含了公司所有及租用的硬件軟件資源，管理人員必須每 年對資源清單進行核對。 0 可疑行為 當發生未授權訪問或濫用公司計算機與網絡等資源的行為時，公司的雇員 應： 1) 不要修改與行為相關聯的計算機與網

44、絡資源。即盡可能的保護證據。 2) 盡快與公司計算機與網絡安全部門取得聯系。 5.2.5 可用性 可用性即保證公司所需的所有資源，如計算機、網絡、數據和公司雇員等， 當執行的某些關鍵業務任務時，被調用的可用性。 注意：附錄中針對不同的操作系統對公司的可用性要求做了補充說明和相 關陳述。 公司可用性策略 公司的關鍵 it 資源，包括支撐公司核心業務功能的資源，必須能夠抵御 自然災害，人為操作失誤及惡意攻擊的破壞。必須制定合理的應急方案與措施 以便在發生計算機系統故障時，可以有效的恢復關鍵業務、應用及數據。 連鎖郵件和病毒防范預警 公司人員不得隨意轉發連鎖郵件和非信

45、息技術安全部門產生的病毒警告信 息。所有類似信息必須通報信息技術安全部門，必要時應發送該信息的拷貝給 信息技術安全部門。（通常，系列字符或假的欺騙性的病毒警告信息是由懷 有惡意的人制造，以達到降低系統性能的目的）。 數據備份 業務系統恢復過程包括對所有在主系統框架內及網絡環境中的關鍵處理進 程進行恢復。因此，數據備份策略必須在這些計算機、網絡環境和文件服務器 （包括存儲了主要數據的便攜式計算機）上實施，以防止重要數據的丟失，同 時便于關鍵業務的恢復。（所有用于支持關鍵業務應用的數據被認為是“關鍵的” 數據）。強烈建議操作員即使在被認為未受到數據災難威脅的情況下，也要周 期地備份

46、系統中的數據。不這樣做最終將會導致惡性事件發生，從而更加降低 工作的效能。 測試備份介質的可恢復性 備份介質必須至少一星期測試一次，以確保能夠成功地用于數據恢復。 備份介質的信息完整性 對介質中備份的數據必須經常的（至少每月一次）進行分析，以保證所有 的數據元素都能成功地恢復為應用數據。 保護關鍵的數據 所有關鍵的數據必須進行物理或邏輯上的保護，以避免意外丟失。 數據保持期限 所有的數據必須按照公司數據保存的時間表進行保存。 容災計劃 必須為關鍵的計算機系統、網絡和應用程序制定相應的容災計劃，容災計 劃必須被測試并

47、要不斷完善。（任何被用于保持公司核心操作連續性的的系統 及應用程序都被認為是關鍵的） 容災服務協議 容災計劃必須能夠達到業務過程中使用者和服務供應者之間所達成協議中 關于服務等級與最大持續時間的規定。 0 數據處理站點的選擇性 當發生災難事故時，系統必須能夠識別和使用容災備份站點，比如當發生 了影響到某些關鍵業務性能的情況時。容災備份站點可能位于公司的其他地點， 也可能位于商業伙伴那里。 1 年度測試 在容災備份站點每年都必須對容災恢復計劃進行測試。根據在測試中暴露 出的不足和問題，來決定是否容災恢復計劃進行升級或修改。 2 異地存儲

48、數據必須在站點之外進行存儲備份，以保證在發生災難時恢復的數據的是 有效可用的。所選擇的存儲設備必須符合相關工業標準。 3 異地存儲設施 選擇異地存儲設備包括以下因素： 1) 所選設施必須具備有效的手段來保護存儲的數據免遭入侵與破壞。 2) 異地存儲設施應避免引起不必要的關注。 3) 異地存儲設施必須擁有備份的入侵檢測與火災檢測系統。 4) 異地存儲設施必須裝備防火系統，同時還必須具有適當的程序來保 護存儲介質，包括日志、接收驗證及存儲清單。 5) 應制定相關的條例，以便能夠從異地存儲設施中快速安全的導出/導 入數據。 6) 運行異地存儲設施的雇員或代理人員必須具有擔保。 5.2.

49、5.14 避免備份站點損失 應考慮容災備份站點、異地存儲設施站點與主站點的距離，以避免在遭遇 同樣災難時發生不必要的損失。 5 災難恢復計劃的可用性 災難恢復計劃必須在當前運行的設施中（主站點）與異地存儲設施中可用。 6 電源 所有的計算機設備必須配備足夠的電源設備和過載保護設備來保護公司的 硬件與數據。 輔助的電源設施必須是專為大型運行中心而設計的。 7 計算機清潔與防護 計算機室必須利用相關的設備來檢測及清潔諸如煙、水、塵土等物體。 5.2.6 審計 審計日志用來記錄那些可能被用來重新建立對 it 資源訪問活動和與公司 信息財產有關的敏感數據。所有涉及安全的相關信息，包括人、內容，時間及 地點都將被記錄在日志中。 對于系統檢測、防止入侵及授權活動而言，定期復查日志中操作系統與應 用程序的異常情況是非常必要的。日志的監視作用使管理員能夠追蹤可疑活動， 確定所造成的損失。重要的審計日志可以捕捉、記錄用戶的訪問情況，包括相 關進程