...wd......wd......wd...xx公司信息系統安全等級保護二級制度匯編xx目錄29761．《安全工作的總體方針、政策性文件和安全策略文件》 4272402．設備管理制度 870313.審批管理制度 11318074.網絡接入管理審批制度 12106205.系統投入運行測試管理制度 13288586.辦公環境管理制度 14135847.關鍵設備操作規程 16176758.機房管理制度 19155089.機房辦公環境管理方法 242566110.網絡安全管理制度 252979911.系統安全管理制度 272269912.員工離職管理制度 301204113.系統數據備份與恢復管理制度 33771114.計算機類設備接入網絡管理方法 341824015.信息系統變更及發布管理制度 381686216.xx資產安全管理制度 41932617.信息系統補丁及版本管理制度 421029218.安全事件報告和處置管理制度 452929719.系統漏洞掃描系統運行安全管理制度 491925920.惡意代碼防范制度 511275121.存儲介質管理制度 53945222.xx信息系統權限劃分實施細則 541074823.安全事件定級 571811724.年度安全培訓方案 622225725.應急預案總體框架 632957126.xx應急處置方案 672981927.保密協議書 71296311.安全技能考核記錄 7473882.安全教育培訓記錄 75257193.安全事件處理記錄 76240014.補丁安裝操作記錄〔范文〕 77304025.系統補丁更新記錄 78321516.操作運維記錄 7946717.系統運維記錄 80155508.管理制度評審記錄 8161569.信息系統會議紀要 823102710.機房安全檢查記錄表 831285811.設備帶離機房審批單 84425912.離職移交手續單 851538713.培訓記錄單 863175414.設備帶離機房審批記錄 872915815.設備領用登記表 881466316.外部人員訪問審批單 891906717.外聯授權審批表 903130518.網絡設備及服務器更新記錄 911339419.系統變更申請表 92378520.系統投入運行申請表 933042821應急預案培訓記錄 941．《安全工作的總體方針、政策性文件和安全策略文件》第一章總則第一條為保障xx業務的正常持續運行，保護信息資產的安全，制定本方針。第二條本方針旨在為xx的信息安全管理實踐提供清晰的策略方向，說明信息安全建設和管理的重要原則，為xx的信息安全管理工作提供指引與支持。第三條除非特別說明，本方針的管理對象包括xx擁有、控制、管理和使用的所有硬件、軟件、信息、服務、人員和無形資產等信息資產。本方針的適用對象主要包括與以上信息資產相關的xx的所有部門，以及與xx有關的集成商、軟件開發商、產品提供商、參謀、商業合作伙伴、臨時工作人員和其他第三方機構或人員。第二章信息安全方針第四條信息安全管理委員會是xx最高信息安全管理機構，下設信息安全管理領導小組和信息安全管理工作小組。第五條信息安全管理領導小組組長由***擔任，小組成員由xx信息中心和局領導組成。信息安全管理領導小組定期召開會議，對有關信息安全重大問題做出決策。第六條信息安全管理工作小組組長由***兼任，小組成員由xx專職人員和各部門信息安全管理員組成。信息安全管理工作小組負責信息安全政策和措施的宣傳、貫徹和催促檢查，并針對信息安全事件建設完善的響應、報告和調查機制。第七條本方針的適用對象必須遵守國家有關信息安全的法律、法規、上級主管部門及行業內的相關規定和要求，以及xx的有關規定。第八條xx建設有效的信息安全管理體系，定義信息資產的安全需求，持續進展信息資產的風險評估，建設并完善信息安全保護策略和程序，使xx擁有可控的風險管理架構、方法和保障落實機制，確保xx在不斷變化的信息安全風險環境中，始終能夠通過科學的方法和持續的改良來增強xx抵抗風險的能力。第九條xx全體干部職工必須承受必要的信息安全教育與培訓，充分理解xx制訂的信息安全管理規定，明確在保護xx信息資產安全過程中所應擔當的角色和責任。第十條根據“誰主管，誰負責；誰運行，誰負責〞的原則，建設信息安全績效考核體系。對于違反信息安全規定的部門和個人，將按有關規定進展處理。第三章信息安全管理原則第十一條xx的信息安全管理推行治理原則、管理與技術并重原則和PDCA(“Plan：規劃〞—“Do：實施〞—“Check：檢查〞—“Act：處置〞)動態循環管理原則。(一)治理原則：信息安全管理要符合xx的治理原則。在戰略層面上，信息安全決策必須由最了解xx整體目標與價值的權威部門來決定，使信息安全問題得到最高管理層的關注，并進入xx戰略層的日常議題；在戰術層面上，信息安全實踐由國際和國內得到普遍實踐與認可的治理標準〔如ISO27001、ITIL、COBIT等〕來指導。(二) 管理與技術并重原則：信息安全不是單純的技術問題，在采用安全技術和產品的同時，重視采取有效的管理措施，不斷積累完善針對實際情況的各類安全管理策略、規章制度，全面提高信息安全管理水平，到達本錢效益最優目標。(三) PDCA動態循環管理原則：對信息與信息系統的建設、運行、維護、廢止的全過程進展信息安全管理；在對信息資產的管理上遵循PDCA動態循環管理原則，針對xx內外部業務環境及技術條件的變化情況，進展周期性的風險評估，根據風險狀況及時調整信息安全管理策略和方法。第四章信息安全方針的評審第十二條信息安全方針需要根據經營環境、業務內容和技術狀況的變化情況，進展定期評審〔一年一次〕或不定期評審〔當發生了較大的安全事故或xx經歷較大的變革時〕，并根據實際情況進展修訂，以適應當前最新的信息安全需要。

第十三條信息安全方針的變更由信息安全管理委員會、xx各部門提出，由信息安全管理工作小組進展匯總、分析研討，并負責起草工作，由信息安全管理領導小組審批后發布。

第十四條xx將通過紙質文件或電子文件方式向所有工作人員發布本方針的最新版本及相關信息。第五章信息安全方針的執行第十五條各部門及下屬機構負責向所屬的干部職工、相關承包方和第三方人員宣傳、貫徹和落實執行本方針，信息安全管理工作小組負責催促檢查。第十六條從本單位機房管理的實際情況出發，需將覆蓋物理機房，介質管理，網絡設備運維，流程審批，培訓記錄等相關記錄表單按照年份存儲歸檔以方便日后查詢記錄。2．設備管理制度為確保xx通信信息處計算機設備管理標準有序，確保單位信息系統和客戶端正常可靠地運行，保證日常工作的順利開展，特制定計算機、服務器、網絡設備管理制度。本系統所有的計算機、服務器、網絡設備由信息中心統一管理，通過相應采購渠道進來的計算機、服務器、網絡設備均應列入單位固定資產帳，并由專人管理，定期登記。本制度的設備是指包括服務器、網絡設備等專有設備，以及跟系統相關的計算機客戶終端設備。xx相關的各種設備、線路等，指定信息中心專人負責，并對系統指定專人定期維護管理。個人日常辦公使用的計算機設備主要有計算機主機〔包括機箱內的各種芯片、功能卡、內存、硬盤、軟驅、光驅等〕、顯示器、打印機、外設〔鍵盤、鼠標、音箱、U盤〕以及隨機資料等。用于個人辦公的計算機設備，都將直接分配到個人使用和保管。各人都必須對自己領用的設備負責。領用〔退回〕任何設備時，必須認真清點并簽收〔簽退〕。設備的領用、更新、更換、維護和淘汰采購入庫設備由機房管理員到倉庫登記領取，統一發放，并登記領用人，并填寫《設備領用登記表》，明確責任人；設備的更新及更換。一是定期對局部需要升級的機器增加新配件〔如增加內存〕或更新局部配件；二是使用的設備已經到了淘汰的年份而必須更換新設備。設備更新和舊設備淘汰工作根據xx通信信息中心的統一部署按方案分批進展。更換流程：由需求人員填寫《設備更新及更換申請表》，提出目前遇到的困難和所需設備性能要求；信息中心進展技術鑒定；部門負責人簽字；信息中心負責人簽字；信息中心分析IT設備需求，形成設備調撥或采購方案，如需采購則依照政府采購標準進展統一采購。所有獨立IT設備，應按規定在財資處辦理固定資產登記，填寫設備卡，同時進展備案；對新舊設備按各部門需求情況進展統一調撥。計算機設備的淘汰。如需報廢計算機及相關設備，由使用人員填寫《設備報廢鑒定表》，經相關部門鑒定無二次利用價值時，轉由財資處根據我所相關規定辦理設備報廢手續。IT設備實行包干管理負責制。每臺設備都應有專人負責保管〔包括說明書及有關附件〕，在未特別指定管理人員的設備由操作人員負責管理，并切實負起保管、維護責任。信息中心負責定期檢查IT設備使用情況，進展需求分析，制訂解決方案。在使用IT設備前，應掌握操作規程，閱讀有關手冊，經培訓合格前方可進展相關操作。分配到個人或科室使用的設備，使用者對設備的安全和完整負有責任。各人必須保護、珍惜分配給自己使用的計算機設備。各人原則上只能使用自己分配的計算機。非必要時，不能將機器交由他人操作〔特別是非本單位人員〕。未經當事人同意，不能擅自在他人的計算機上進展任何操作。未經授權同意，不得擅自操作服務器和網絡設備。所有計算機設備，未經授權同意，不得擅自拆、換任何零件、配件、外設。不管該行為是否已經對設備、網絡、數據造成影響，一經發現，將嚴肅處理。未經授權同意，不得擅自將私有或外來的零件、配件、設備，參加到系統內部的計算機設備中或網絡中，不得擅自安裝未經認可、允許的游戲和盜版軟件。如果需要將系統內的計算機設備搬離辦公地點〔或借給外單位〕使用，必須經相關領導負責人同意后才能搬離或借出〔必要時將相關數據刪除〕。如果人員工作發生本局內調動，原有設備不能滿足新的崗位需要，或者實際情況不適合計算機設備跟隨調動的，必須預先向信息中心提交申請報告，由部門領導同意后按實際情況處理。各科室隊及本人必須保證自己所用微機的清潔、衛生和安全。由信息中心定期對計算機設備進展全面清查、核對。3.審批管理制度為確保計算機網絡(以下簡稱“內網〞)的安康開展和正常運行，標準系統和設備接入內網的行為、為內網用戶提供良好的接入服務，保障每個網絡使用者安全、正常地運行，根據《中華人民共和國計算機信息系統安全保護條例》和單位相關管理制度的規定，特制定本管理方法。本方法適用于：本級機構所有需要接入和使用網絡的計算機系統及設備；需要接入本級機構網絡的合作單位計算機系統及設備；臨時造訪人員自帶的計算機系統及設備。本方法由信息中心統一管理和執行。安全管理員負責對申請接入設備進展安全檢查和入網審批，系統管理員負責服務器類系統及補丁的安裝和升級，服務支持人員負責桌面系統的安裝及升級。4.網絡接入管理審批制度系統及設備在接入單位網絡前必須承受檢查和審核，檢查審核通過前方可接入并按規定訪問和使用相關網絡資源，檢查和審核工作由信息中心負責。具體的流程說明如下：需要接入網絡的用戶提出網絡接入申請，填寫《外連授權審批記錄》，說明接入設備的類型、接入用途、接入區域、使用環境、使用資源范圍和預計終止時間等，并提交主管領導審批。主管領導審批、簽字后，提交給信息中心主任做系統安全檢查，核實設備和系統的補丁和病毒防護情況是否符合單位要求。如不符合安全要求則由網絡處填寫審批意見，并視系統類型返回運行管理處或服務支持處安裝必要的工具和補丁。安全檢查通過后，網絡管理員根據用戶使用申請審核并分配網絡資源，確定用戶IP地址和網段，并在網絡設備和安全設備上完成相應的設置工作。由于使用需要而需要對被訪問的服務器資源進展的配置調整由系統管理員負責。如因工作需要，外部人員〔包括設備廠家、系統服務商、合作開發商和分單位人員等〕需要接入單位網絡，由相應的接口負責人提出網絡接入申請，外部人員在離開單位后，需由接口負責人提出取消網絡接入申請，外部人員在接入內網的計算機名必須采用實名制。因技術交流或者其他工作原因臨時造訪的外部人員只能在指定區域〔會議室和公共區域〕接入網絡。用戶如果需要延長接入時間則必須重新填寫網絡接入申請表，申請時間到期后，網絡管理員有權調整配置以中止其網絡連接。用戶終止連接時必須辦理用戶注銷手續，以便信息中心釋放用戶網絡資源。網絡接入申請材料在機房柜子存檔以備查驗。5.系統投入運行測試管理制度對準備投入的信息系統進展系統測試，測試時間按照具體情況，由信息中心和信息辦商議決定測試時間，無故障運行一月并填先寫《系統測試報告》。《系統測試報告》經信息中心檢查通過后，填寫《系統投入運行申請表》并上報局領導審批簽字通過，方可正式投入運行。罰則網絡管理員將密切監測網絡，如果發現用戶網絡異常或用戶有違反本方法的使用行為，安全管理員將中斷該用戶的計算機系統的網絡連接，并按本方法的規定進展相應的處理。員工有責任采取積極防范措施，防止自己維護的計算機系統被制止接入網絡。由于禁用網絡連接所導致的對單位業務的影響將由員工個人承當。信息中心將定期或者不定期地對聯網機器的IP地址、系統補丁和防病毒庫軟件、遠程接入設備管理情況進展檢查，發現有違反本規定的接入行為或不按單位相關規定使用網絡資源的，將給予通報批評；超過三次以上者將上報單位人力資源管理部門給予警告處分；對于由此造成單位計算機信息系統嚴重故障或導致單位重大損失的，將視情節嚴重程度給予嚴重警告以上處分，并實施相應的經濟處分，觸犯國家法律的，則依法移交國家法律部門處理。外部人員〔包括設備廠家、系統服務商、合作開發商和分單位人員等〕一旦接入單位網絡，視同單位員工進展管理，相應的接口負責人對其負領導監視責任，對于其觸犯相應規定的行為由相應的接口負責人負責。臨時造訪人員如果違規接入網絡，其行為后果由相應的接待人員負責。6.辦公環境管理制度為了提升單位形象，使本單位每位員工由一個優美舒適、整潔有序的辦公環境，特制定本規定：保護辦公室環境，保持辦公區域、辦公桌面的清潔，辦公桌面各種資料、工具、文件、配件等均應放置整齊、美觀；報刊、書籍閱完后要放到固定的報架上，不得放在桌面或臺面上；室內不準堆放雜物，垃圾應及時清理，不準堆積，保持室內網線、電線等線路整齊，不零亂；設備、紙張要擺放整齊，因打印等產生的各種廢紙、雜物要放入垃圾筐內，未用完的紙張應放回原處，不得造成浪費；自覺養成良好的衛生習慣，搞好個人衛生，保持服裝、頭發干凈、整潔；員工要珍惜、保護本部門各種設備，嚴禁私自轉借或出租，因過失造成設備損壞的，要查明原因，并根據造成損壞程度由過失人全部賠償；注意節約用電、用水，節約用電等，嚴禁在辦公室私自使用大功率電器；辦公本著節省效能的原則，嚴格控制公話私用；員工午餐或長時間離開辦公室應將辦公用品、相關資料收拾整理好；在指定的就餐處用餐，用完餐后將餐具收拾好，并清理桌面雜物，保持桌面干凈，整潔；嚴禁在上班時間吃帶殼有聲響的零食，自帶零食以及包裝不允許長時間放置于辦公桌上；辦公所有區域不得吸煙，保持室內空氣流通。辦公室嚴禁隨地吐痰、亂扔煙頭、紙屑等。下班時，應整理干凈辦公桌上所用物品，座椅置于桌下，所有廢棄物品必須投放于垃圾袋中帶出，防止過夜雜物發霉產生難聞氣味影響辦公環境；保潔人員清掃辦公環境衛生情況，保證每次清掃辦公環境的干凈、整潔；每位員工應節約使用打印紙，不得打印與工作無關的內容，非正式文件應正反兩面使用。每位員工都應保護花草等綠色植物，嚴禁在辦公區域的綠色植物花盆內亂倒水、茶葉、贓物等影響植物生長。對帶有敏感內容的文檔不得隨意放置電腦桌面，需放入其他盤符建設文件夾的快捷方式，需對電腦進展屏保設置，恢復時使用密碼恢復，建議設置頻幕保護時間為10分鐘。對外來人員訪問時，需在會議室進展接待以及處理相應事件，不得在辦公區處理工作，特殊情況除外。工作期間不得做與工作無關的事情，例如打游戲，隨意聊天等。7.關鍵設備操作規程一、設備使用守則1、局里使用人員必須熟悉系統和設備的技術構造、主要功能、主要性能指標和使用方法，嚴格遵守系統和設備的操作規程。2、各類設備在開機前，必須檢查環境條件，電源電壓和連接線纜等，符合要求前方可開機。開機必須按規定的順序和操作規程進展，并待設備穩定前方能進展工作。3、設備如需關機，每次關機前，必須先保存當前運行日志，檢查設備的運行狀態，按要求順序關機，并填寫操作記錄。4、當設備在運行中發生故障時，必須報告相關領導，認真記錄故障現象，保護故障現場，請維修人員檢查。5、所有設備必須定期進展維護保養，長期不用的庫存設備應定期加電檢查。二、預防性維護保養守則預防性維護保養是指通過合理選擇良好的工作環境，掌握正確的操作使用方法和規程，建設健全各項規章制度，作好日常維護保養以及主動捕捉故障預發現象等措施，來改善系統固有的可靠性指標，減少系統的故障發生率，確保系統的長期可靠運行，提高機器設備的使用壽命。預防性維護保養的主要內容：1、加強機房建設與管理，確保機器運行處于良好的環境中。2、定期〔至少在7個工作日內〕檢查ups系統和電源供電設備。3、建設完整的設備維修檔案，每周要調閱各類機器記錄進展分析比擬，捕捉故障苗頭，及時采取措施。4、加強現場觀察，捕捉異常現象。從設備啟動、停頓的現象，正常運行時的噪聲，設備上指示燈的狀態，以及設備發熱程度等方面捕捉可能故障的預發現象。5、做好故障情報工作，審定各種可能發生的故障的處理方案。6、按時更換或調整某些元器件或零部件。7、認真作好日常的例行性維護和測試。三、定期常規維護守則定期常規維護是為保證設備正常運行而定期進展的日常維修保養。1、日常維護的主要工作是：a.開機前檢查機器運行的環境條件是否滿足要求。b.電源電壓是否正常。c.機器設備的開關，連線，插頭插座等是否正常，有無錯位、松動。d.開機后檢查設備的各種指示和運行狀況是否正常。e.作好設備清潔工作2、周維護的主要工作是：a.去除設備外表灰塵和機內衛生(每月至少2-3次)。b.檢查設備主要性能，發現問題及時解決或通知維修部門解決。c.清理磁盤空間，刪除過期文件。d.對個樓配線間進展定期檢查并認真填寫巡檢報表3、月維護的主要工作有：a.認真檢查，機器參數和指標。b.用吸塵器清潔機器外表灰塵。c.對電源，空調系統，接地系統等運行環境進展系統檢修。4、年維護的主要工作有：a.去除工作間地板下和走槽里的灰塵，檢查線纜的完好性和隔離性，更換老化、變質和絕緣不好的線纜。b.檢查機房內的防火，防水，防盜等設施和安全警報裝置。c.全面檢查電源、空調、接地等系統并進展全面檢修。d.對設備的軟、硬件性能進展全面測試，調整有關參數，并按上級統一要求進展系統參數的調整。e.校正各種設備儀表等。5嚴格按照操作手冊進展操作如出現技術問題應及時聯系技術工程師進展解決處理四、信息中心關鍵設備操作流程1、對于防火墻的操作流程，如設備需要斷電或重啟必須在網絡空閑時進展，如午休以及休息日。2、核心交換機、會聚交換機，樓層交換機的操作流程，所有需要操作都要有相應方案，方案通過領導審批之后，才能進展相關操作。操作過程中如有修改必須做好相應記錄。在完成操作之后，需由專人值守，查看網絡是否有異常，以便做出相應恢復措施。網絡設備操作完成之后最短觀察網絡現狀時間為一天。如設備需要斷電，1、首先save配置，然后導出配置。2、輸入shoutdown–hnow關機命令，等待設備關機。3、在指示燈熄滅之后，切斷電源。開機則反之。3、安全設備由信息中心工程師集中管理，有專人進展管理。對于安全設備操作可根據網絡設備操作流程進展。如防火墻設備操作中在設備管理→根本信息→選擇密碼必須符合要求。完成密碼修改后重新登錄一次查看修改完成之后的密碼是否可行4、如果機房發生全面積停電，則將不必要的服務器以及不必要的網絡設備做斷電處理，以延長重要網絡設備和主機的工作時間，如UPS報警只剩5-15分鐘則關閉全部服務器與網絡設備。5.關于服務器開關使用，遠程登錄到服務器中。完成操作后需退出。服務器如需斷電，window操作系統首先點擊開場，然后點擊關機。等待系統關閉之后再進展斷電。Windows，Linux系統，1、翻開終端管理器。2、輸入shoutdown–hnow。3、在系統關閉之后進展斷電處理。8.機房管理制度一、機房進出入管理1、嚴禁非機房工作人員進入機房，特殊情況需經中心值班負責人批準，并填寫機房登記表，在機房人員的陪同下方可進入。2、業務系統開發人員、機房內設備檢修維護人員須由中心相關人員陪同方可進入工作。3、嚴禁業務系統開發人員、機房設備維修人員單獨進入主機房、網絡機房和配電房等核心區域。在核心區域進展操作期間，須由中心相關人員始終陪同。4、進入機房人員應遵守機房管理制度，更換專用工作鞋。5、信息中心人員嚴禁將門卡〔或鑰匙〕借給無關人員使用。6、進入機房人員不得攜帶任何易燃、易爆、腐蝕性、強電磁、輻射性、流體物質等對設備正常運行構成威脅的物品。7、如有第三方人員需進出入機房，必須填寫《外部人員訪問審批單》需相關領導簽字方可生效進入。二、安全管理(1).環境安全1、機房必須保持安靜、整潔，嚴禁喧嘩、會客、吸煙、聚眾聊天或玩游戲。2、機房內實際溫度應保持在20℃—25℃之間，相對濕度保持為45%—65%。3、配備環境監控系統和遠程報警系統的機房，須每天檢查系統的運行狀況，確保系統正常運行。4、定期做好機房及設備的清潔保養工作，嚴禁在機房內堆放雜物，存放復印紙、打印紙及軟盤、光盤、U盤等移動存貯介質。嚴禁將茶杯、飲料、5食品、報紙、雜志等帶入機房。設備安裝過程中產生的各類包裝物應在當日及時清理干凈。5、機房配備安全員，專門負責機房的防火、防盜，負責機房供電系統、空調系統、通風系統的安全和日常養護工作，定期檢查機房設施情況，做好安全記錄，并對機房全體工作人員經常進展防火、防盜、防爆、防破壞教育和培訓，提高安全意識。6、嚴禁易燃、易爆、易腐蝕品進入機房；嚴禁將水灑落在機房設備和地板上；嚴禁踩踏機房電源插座或網線插座；未經許可,非機房工作人員嚴禁動用各種電源開關，嚴禁動用任何線路和設備。7、機房用電量嚴禁超負荷運行，嚴禁在機房內使用電爐、取暖爐、電水壺等大功率家用電器。8、定期對機房供電系統及照明器具進展檢查，防止因線路開關老化或損壞而短路造成火災。雷雨季節要加強對機房防雷設備、地線及防護電路的檢查。9、機房內一律不得動用明火，要嚴格控制電烙鐵、電焊機等的使用，確需使用時，應經徐處同意并按規定操作。10、機房配備管理員，專門負責機房的防火、防盜，負責機房供電系統、空調系統〔并填寫空調維護記錄〕、通風系統的安全和日常養護工作，定期檢查機房設施情況，做好安全記錄，并對機房全體工作人員經常進展防火、防盜、防爆、防破壞教育和培訓，提高安全意識。11、機房軟、硬件相關物品都由信息中心統一管理，且機房物品帶入、帶出機房必須進展登記。(2). 人員操作1、中心機房的關鍵數據處理實行雙人作業制度；操作人員遵守值班制度，不得擅自脫崗。中心服務器數據庫要每天進展雙備份，并嚴格實行備份、專人保管。所有重要文檔定期整理裝訂，專人保管，以備后查。2、值班人員應定時對服務器、網絡設備、空調、UPS、監控等設備的運行指示燈、CPU、內存、硬盤、應用程序等進展檢查，值班人員須認真、如實、詳細填寫《機房日志》等各種登記簿，以備后查。3、嚴格按照每日預制操作流程進展操作，對新上業務及特殊情況需要變更流程的應事先進展詳細安排并書面報負責人批準簽字前方可執行；所有操作變更必須有存檔記錄。4、操作人員應遵守相關安全規定使用服務器，完成操作后必須退出相關終端管理器。5、各類軟件系統的維護、增刪、配置的更改，各類硬件設備的添加、更換必需經負責人書面批準前方可進展；必須按規定進展詳細登記和記錄，對各類軟件、現場資料、檔案整理存檔。6、為確保數據的安全保密，對各業務單位、業務部門送交的數據及處理后的數據都必須按有關規定履行交接登記手續。7、安全檢查規定，每天定時檢查溫濕度，半月針對所有設備進展安全檢查。三、機房保密管理1、嚴格遵守通信紀律,增強保密觀念,不得隨意監測用戶通信。增強法制觀念,保守通信秘密,不得隨意增刪、泄漏有關資料。2、未經批準不得擅自抄錄、復制機線及設備圖紙、電路和網絡組織資料、機密文件、軟件版本、技術檔案、用戶資料、內部資料等，或將其攜帶出機房。3、外部人員進入機房必須遵守機房管理規定和機房安全規定。非經同意,外來人員不得觸摸設備及終端,不得翻閱圖紙資料。4、所有維護和管理人員，均應熟悉并嚴格執行安全保密規定。各級領導必須經常對維護和管理人員進展安全、保密和消防教育。定期檢查安全保密規則的執行情況，發現問題隱患及時處理。5、信息中心負責對用戶口令、操作權限的管理，各類設備與系統應設定各級操作權限和口令，操作人員只可使用權限內的操作，用戶賬號及口令不可泄露給無關人員。四、消防安全管理(1).消防管理規定1、機房內制止存放和使用易燃易爆物品，用過的抹布棉紗等物品，用后應隨時存放在箱內或放在室外安全地點，不得亂扔。機房內嚴禁吸煙或攜帶打火機。未經單位防火負責人同意，機房內不得動用明火；現場必須使用電爐、噴燈時，應做好防火措施。2、機房與工作室的鑰匙配發由信息中心管理，任何人不得私自配制或給他人使用。不經批準，外來人員不得進入機房。3、機房內應備有一定數量的滅火器，并指定人員負責定期檢查。要協調治安保衛隊定期檢查防火設施，發現過期失效防火設備，及時上報治安保衛隊更換。4、不允許在機房內擅自搭接電源，不得使用超大負荷電器。5、機房附近施工應嚴格遵守用火規定，并做好防護措施。6、機房內不同種類的測試電源，應使用不同種類的插座，以防插錯上下壓電源而造成機障和阻斷，電源線要符合耐壓標準。7、任何人不能隨意更改消防系統工作狀態、設備位置。需要變更消防系統工作狀態和設備位置的，必須取得主管領導批準。工作人員更應保護消防設備不被破壞。8、機房管理人員應熟悉機房內部消防安全操作和規則，了解消防設備操作原理、掌握消防應急處理步驟、措施和要領以及滅火器的正確使用方法。9、根據實際情況配備消防設施，對消防設施不準擅自搬動、也不準挪作他用。10、測試電器設備是否通電，只許使用測試儀表，制止用手接觸電器設備的帶電局部和用短路等方法進展試驗。11、任何人不能隨便更改消防系設備位置。如需更改必須取得主管領導的批準。12、應定期消防常識培訓、消防設備使用培訓。如發現消防安全隱患，應即時采取措施解決，不能解決的應及時向相關負責人員提出解決。13、最后離開機房的工作人員，應檢查消防設備是否完好。〔2〕機房消防應急預案信息化網絡機房是我處網絡信息通訊的重要場所。重要儀器、設備相對集中，一旦發生火災，會造成嚴重后果。特制定火警應急預案。1、處置火災事故的組織：治安保衛隊值班人員，機房值班人員;2、報警程序：〔1〕迅速組織有關人員攜帶消防器具趕赴現場進展撲救。〔2〕即刻通知治安保衛隊及相關部門，根據火情大小如需報警立即就近用或手機報告消防中心〔119〕〔3〕在處領導領導匯報的同時，派出人員到各路口等待引導消防車輛。3、組織實施：〔1〕參加人員：在消防車到來之前，以安全消防組織成員為主，其余人員均有義務參加撲救。〔2〕大樓內的人員聽到報警后，應聽從現場指揮人員的指揮，從大樓的消防通道內快速脫離火場，不得戀物。〔3〕迅速組織義務消防隊員展開自救，把人員和重要設備疏散到安全地帶，應遵循先人后物的原則。〔4〕消防車到來之后，一切聽從消防指揮人員的指揮，籌建處人員配合消防專業人員撲救或做好輔助工作。〔5〕使用器具：干粉滅火器，七氟丙烷滅火器等氣體滅火器。〔6〕無關人員要遠離火場和消防通道，以便于消防車輛駛入。4、本卷須知：〔1〕火災事故首要的一條是保護人員安全，撲救要在確保人員不受傷害的前提下進展。〔2〕火災一發生，管理人員應立即切斷電源。9.機房辦公環境管理方法機房必須保持安靜、整潔，嚴禁喧嘩、會客、吸煙、聚眾聊天、玩游戲等。機房內實際溫度應保持在20℃—25℃之間，相對濕度保持為45%—65%。配備環境監控系統和遠程報警系統的機房，須每天檢查系統的運行狀況，確保系統正常運行。定期做好機房及設備的清潔保養工作，嚴禁在機房內堆放雜物，存放復印紙、打印紙及軟盤、光盤、U盤等移動存貯介質。嚴禁將茶杯、飲料、食品、報紙、雜志等帶入機房。設備安裝過程中產生的各類包裝物應在當日及時清理干凈。機房配備安全員，專門負責機房的防火、防盜，負責機房供電系統、空調系統、通風系統的安全和日常養護工作，定期檢查機房設施情況，做好安全記錄，并對機房全體工作人員經常進展防火、防盜、防爆、防破壞教育和培訓，提高安全意識。嚴禁易燃、易爆、易腐蝕品進入機房；嚴禁將水灑落在機房設備和地板上；嚴禁踩踏機房電源插座或網線插座；未經許可,非機房工作人員嚴禁動用各種電源開關，嚴禁動用任何線路和設備。機房用電量嚴禁超負荷運行，嚴禁在機房內使用電爐、取暖爐、電水壺等大功率家用電器。定期對機房供電系統及照明器具進展檢查，防止因線路開關老化或損壞而短路造成火災。雷雨季節要加強對機房防雷設備、地線及防護電路的檢查。機房內一律不得動用明火，要嚴格控制電烙鐵、電焊機等的使用，確需使用時，應經信息中心領導同意并按規定操作。10.網絡安全管理制度網絡構造安全管理對網絡設備的口令要加密存儲，并在以密文顯示，并一月修改一次對網絡設備需要配置關閉telnet，劃分VLAN區域使用邏輯隔離等安全配置網絡物理構造和邏輯構造定期更新，拓撲構造圖上應包含IP地址，掩碼，網關，端口，網絡設備名稱，專線供給商名稱及聯系方式，專線帶寬等，并妥善保存，未經許可不得對網絡構造進展修改網絡構造必須嚴格保密，制止泄漏網絡構造相關信息網絡構造的改變，必須提交更改預案，并經過信息總監的批準方可進展定期每季度對網絡設備配置文件進展更新存檔，并按照每季查看備份文件是否可用定期邀請第三方檢測機構開展內部網絡設備安全漏洞掃描工作，并形成書面材料，掃描周期為一年2次。網絡訪問控制妥善保管現有的網絡訪問控制列表，其中應包含網絡設備及型號，網絡設備的管理IP，當前的ACL列表，更新列表的時間，更新的內容等，通過KVM串口登錄，口令密文存儲顯示，按照業務要求進展VLAN劃分。定期檢查網絡訪問控制列表與業務需求是否一致，如不一致，申請更新ACL未經許可不得進展ACL相關的任何修改更新ACL時，必須備份原有ACL，以防誤操作ACL配置完成以后，必須測試制止泄漏任何ACL配置網絡設備安全妥善保管現有網絡設備清單，包括供給商及聯系人信息，設備型號，IP地址，系統版本，設備當前配置清單每月檢查設備配置是否與業務需求相符，如有不符，申請更新配置配置網絡設備時，必須備份原有配置，以防誤操作配置完成之后，必須進展全面測試制止在網絡設備上進展與工作無關的任何測試未經許可不得進展任何配置修改制止泄漏網絡設備配置1網絡設備日志保存時間為半年。2網絡設備和安全設備在剛架設投入使用時會進展更新，如有需要則進展更新，更新時必須先做好原先的配置備份，在網絡空閑的時候進展，并進展測試，測試通過后放能接入生產網絡，并填寫《操作運維記錄》。3系統內部網絡訪問外網必須信息中心主任審批通過，并填寫《外聯授權審批記錄》。IP地址管理妥善保管現有IP地址清單，其中應包含服務器型號，操作系統版本，是否支持遠程登錄及遠程登錄方式，IP地址，子網掩碼，網關，dns信息實時更新IP地址清單，并制定檢查方案，如有多余的IP，及時清理和更新制止泄漏IP地址清單11.系統安全管理制度為加強xx的網絡管理，明確崗位職責，標準操作流程，維護網絡正常運行，確保計算機信息系統的安全，現根據《中華人民共和國計算機信息系統安全保護條例》等有關規定，結合本單位實際，特制訂本制度。第一條計算機信息系統是指由計算機及其相關的和配套的設備、設施〔含網絡〕構成的，按照一定的應用目標和規則對信息進展采集、加工、存儲、傳輸、檢索等處理的人機系統。第二條海曙區財政局設立信息安全管理小組，專門負責本單位范圍內的計算機信息系統安全管理工作。第三條遵守國家有關法律、法規，嚴格執行安全保密制度，不得利用網絡從事危害國家安全、泄露國家秘密等違法犯罪活動，不得制作、瀏覽、復制、傳播反動及色情信息，不得在網絡上發布反動、非法和虛假的消息，不得在網絡上漫罵攻擊他人，不得在網上泄露他人隱私。嚴禁通過網絡進展任何黑客活動和性質類似的破壞活動，嚴格控制和防范計算機病毒的侵入。第四條各工作計算機未進展安全配置、未裝防火墻或殺毒軟件的，不得入網。各計算機終端用戶應定期對計算機系統、殺毒軟件等進展升級和更新，并定期進展病毒清查，不要下載和使用未經測試和來歷不明的軟件、不要翻開來歷不明的電子郵件、以及不要隨意使用帶毒U盤等介質。第五條每個月對網絡設備進展安全備份，日志審核，在實行安全配置時候需經過上級同意后進展操作。定期對網絡設備的口令進展修改，口令應具有復雜度。第六條任何人員不得制造或者成心輸入、傳播計算機病毒和其他有害數據，不得利用非法手段復制、截收、篡改計算機信息系統中的數據。第七條網絡管理人員制止利用掃描、監聽、偽裝等工具對網絡和服務器進展惡意攻擊，制止非法侵入他人網絡和服務器系統，制止利用計算機和網絡干擾他人正常工作的行為。第八條計算機各終端用戶應保管好自己的用戶帳號和密碼。嚴禁隨意向他人泄露、借用自己的帳號和密碼；嚴禁不以真實身份登錄系統。計算機使用者更應定期更改密碼、使用復雜密碼。第九條每個月檢查系統安全策略、安全配置。定期對日志進展審核管理，發現問題及時上報。通過審批后進展相關安全操作。第十條專人負責網絡運行日志，網絡監控記錄、日常維護和報警信息分析和處理等工作。第十一條由網絡管理員每三個月對對象進展掃描，掃描完成后出一份相應的漏洞掃描報告，并記錄歸檔。第十二條當需要系統接入時，首先要對該接入的新系統進展檢查，檢查無誤后填寫《網絡系統接入審批表》并由信息中心相關人員陪同及上級領導同意簽字前方可進展相關操作，并對相關操作記錄形成《系統運維記錄》。第十三條系統應遵循最小安裝的原則，需將不必要的軟件進展卸載，將不需要的系統服務停用。第十四條系統必須開啟日志審計功能，且不能刪除，日志文件保存三個月以上，且單個文件必須大于2M，并由網絡管理員進展管理，檢查，并三個月一次對審計日志進展分析形成《日志分析報告》。第十五條對現在已有的用戶賬戶進展權限的分配以及專人使用，如有特殊情況需要進展用戶權限的變更則需要征求信息中心領導審批通過前方可更改。如果發生崗位人員調離或離職，則需要根據實際情況出發對系統賬戶進展賬戶禁用或權限修改，如果該賬號為administration，則修改該賬戶的用戶名以及密碼，和該用戶生成的文件〔C:\DocumentsandSettings\Administrator〕。第十六條需對操作系統，數據庫的管理員賬戶根本情況進展記錄：主機操作系統管理員只有唯一賬戶Administrator為最高管理員賬戶，數據庫賬戶中超級管理員賬戶為最高權限可對數據表進展查詢，檢索以及刪除，添加修改等操作，其余用戶對數據表僅有檢索以及查詢功能無法修改。數據備份機制介紹：所有數據存儲至存儲設備中，備份時間為實時備份.12.員工離職管理制度第一章目的為標準本單位離職管理有所依循，確保本單位和離職員工的合法權益，制定本管理條理。第二章適用范圍本單位所有員工，不管何種原因離職，均依本方法辦理，假設有特例，由總經理簽字認可。第三章離職定義合同離職員工履行受聘合同或協議而離職。員工辭職因員工個人原因申請辭去工作：1〕本單位同意，且視為辭聘員工違約；2〕本單位同意，但視為局部履行合同〔視實際情況由雙方商定〕。自動離職，因員工個人原因離開本單位：1〕不辭而別；2〕申請辭去工作，但本單位未同意而離職。本單位辭退、解聘1、員工因各種原因不能勝任其工作崗位者，予以辭退；2、本單位因不可抗力等原因，可與員工解除勞動關系，但應事前三十日預先辭退通告；3、違反本單位、國家相關法規、制度，情節較輕者，予以解聘。本單位開除違反本單位、國家相關法規、制度，情節嚴重者，予以開除。第四章離職手續辦理一、離職申報1、離職員工，不管是那種方式都應填寫《離職申請/通知單》報送直接上級及辦公室。2、普通員工離職的書面申報，應提前二周報送，管理員、技術人員應提前一個月報送，中高級崗位應提前二個月。3.員工離職時必須嚴格保守本單位的各項工作信息，做好嚴格的保密規定，如有發現離職員工有泄密事件，按實際情況出發追究相關責任人責任。二、移交員工離職應辦理以下交接手續：1、工作移交指將本人經辦的各項工作、保管的各類工作性資料等移交至直接上級所指定的人員，并要求接交人在《工作交接單》簽字確認，具體內容如下：〔1〕本單位的各項內部文件；〔2〕經管工作詳細說明〔3〕《客戶信息表》、《供銷關系信息表》：〔含姓名、單位、聯系方式及其它相關信息〕〔4〕培訓資料原件〔5〕本單位的技術資料〔包括書面文檔、電子文檔兩類〕〔6〕工程工作情況說明A、工程方案書B、工程實施進度說明C、工程相關技術資料D、其它工程相關情況詳細說明二、事物移交員工在本單位就職期間所有領用物品的移交，并應交接雙方簽字確認。1、領用辦公用品移交至辦公室；2、本單位配置的通訊工具移交至辦公室；3、考勤卡、〔辦公室、辦公桌〕鑰匙、移交至辦公室；4、借閱資料移交至原保管處；5、各類工具〔如維修用品、移動存儲、保管工具等〕移交至直接上級。三、款項移交1、將經手各類工程、業務、個人借款等款項事宜移交至財務。2、經手辦理的業務合同〔協議〕移交至財務。以上各項交接均應由交接人、接收人簽字確認，并經辦公室審核、備案前方可認為交接完成。四、結算1、結算條件：當交接事項全部完成，并經直接上級、辦公室、總經理三級簽字認可后，方可對離職人員進展相關結算。2、結算部門：離職人員的工資、違約金等款項的結算由財務、辦公室共同進展。3、結算工程：〔1〕違約金：因開除、解聘、自動離職和違約性辭職產生的違約金，由辦公室按照合同違約條款進展核算；A、《勞動合同》合同期未滿違約金B、《保密、競業協議》違約金〔3〕住房基金住房基金的款項結算，按照《本單位住房基金管理方法》由財務進展結算。〔4〕工資〔1〕合同期滿人員，發放正常出勤工資，無違約責任；〔2〕本單位辭退的人員，發放正常出勤工資，雙方互不承當違約責任；〔3〕因本單位經營狀況等特殊原因的資遣人員，發放正常出勤工資外，本單位另外加付一個月根本工資。〔4〕工程損失補償金：工程開發人員違約性離職，其負責的開發任務未能完成和移交，應付本單位工程損失補償金。工程損失補償金=〔工程開場至離職日之月數+3〕×月工資全額注：因個人原因，在技術服務、工程、生產等工作中對本單位造成的損失不在此管理制度中，具體方法參見各項管理條例中的細則規定。五、關系轉移1、轉移前提交接工作全部完成〔以簽字為確〕，違約金、賠償金等結算完成〔以簽字為確〕。2、轉移內容檔案關系，社保關系，本單位內部建設個人檔案中資料不再歸還本人，由辦公室分類存檔13.系統數據備份與恢復管理制度為了確保系統計算機系統的數據安全，使得在計算機系統失效或數據喪失時，能依靠備份盡快地恢復系統和數據，保護關鍵應用數據的安全，保證數據不喪失，特制定本制度。應該及對數據進展備份，防止系統、數據的喪失；涉及數據備份和恢復的股所要由專人負責數據備份工作，并認真填寫備份日志。網絡服務器數據備份工作，由信息中心負責，備份方式為全備,備份頻率為三個月一次。備份介質保存于光盤中,保存周期為永久保存。備份數據應該嚴格管理，妥善保存；備份數據資料需保存在機房內部。數據的備份、恢復、轉出、轉入的權限都應嚴格控制。嚴禁未經授權將數據備份出系統，轉給無關的人員或單位；嚴禁未經授權進展數據恢復或轉入操作。當各個系統發生數據喪失或數據破壞無法正常工作等情況時(附錄：參照數據恢復流程圖)〔1〕系統管理員首先應該關閉網站服務器,在網站頁面上說明〞系統正在維護中〞；〔2〕各管理員配合系統管理員進展系統故障排查，查看審計數據進展全面掃描殺毒等工作；〔3〕檢查確認問題，并解決問題前方可重新開啟網站服務器。進展正常生產使用；測試數據庫備份數據的數據完整性和可用性，需定期對備份的數據進展測試、恢復。將備份數據導入測試服務器配合數據庫管理員對數據進展檢測，查看其是否可用，和數據的完整性檢查通過后，可導入生產服務器。第七條信息處定期6個月檢查一次保存備份數據能否正常使用，需刻錄光盤的數據應經過檢驗確保數據備份的完整性和可用性后，方可刻錄光盤。數據應放置機房柜子中，文件命名規則按照日期來命名，帶離機房時應經過信息中心負責人審批通過，方可帶離。14.計算機類設備接入網絡管理方法總則為確保ChinaACM計算機網絡(以下簡稱“內網〞)的安康開展和正常運行，標準系統和設備接入內網的行為、為內網用戶提供良好的接入服務，保障每個網絡使用者安全、正常地運行，根據《中華人民共和國計算機信息系統安全保護條例》和單位相關管理制度的規定，特制定本管理方法。本方法適用于：本級機構所有需要接入和使用網絡的計算機系統及設備；需要接入本級機構網絡的合作單位計算機系統及設備；臨時造訪人員自帶的計算機系統及設備。本方法由信息中心統一管理和執行。安全管理員負責對申請接入設備進展安全檢查和入網審批，系統管理員負責服務器類系統及補丁的安裝和升級，服務支持人員負責桌面系統的安裝及升級。接入管理系統及設備在接入單位網絡前必須承受檢查和審核，檢查審核通過前方可接入并按規定訪問和使用相關網絡資源，檢查和審核工作由信息中心負責。具體的流程說明如下：需要接入網絡的用戶提出網絡接入申請，填寫申請表格，說明接入設備的類型、接入用途、接入區域、使用環境、使用資源范圍和預計終止時間等，并提交主管領導審批。如果申請資源中涉及到開放防火墻端口，申請人還需要根據《防火墻與安全網關管理方法》中的流程進展申請和審批。主管領導審批、簽字后，提交給信息中心網絡管理員做系統安全檢查，核實設備和系統的補丁和病毒防護情況是否符合單位要求。如不符合安全要求則由網絡處填寫審批意見，并視系統類型返回運行管理處或服務支持處安裝必要的工具和補丁。安全檢查通過后，網絡管理員根據用戶使用申請審核并分配網絡資源，確定用戶IP地址和網段，并在網絡設備和安全設備上完成相應的設置工作。由于使用需要而需要對被訪問的服務器資源進展的配置調整由系統管理員負責。如因工作需要，外部人員〔包括設備廠家、系統服務商、合作開發商和分單位人員等〕需要接入單位網絡，由相應的接口負責人提出網絡接入申請，外部人員在離開單位后，需由接口負責人提出取消網絡接入申請，外部人員在接入內網的計算機名必須采用實名制。因技術交流或者其他工作原因臨時造訪的外部人員只能在指定區域〔會議室和公共區域〕接入網絡。用戶如果需要延長接入時間則必須重新填寫網絡接入申請表，申請時間到期后，網絡管理員有權調整配置以中止其網絡連接。用戶終止連接時必須辦理用戶注銷手續，以便信息中心釋放用戶網絡資源。網絡接入申請材料在信息中心存檔以備查驗。使用管理保護單位計算機系統安全，不受病毒侵害，是每個員工不可推卸的責任，任何可能導致不良影響的網絡使用行為將被視為違反單位規定并追究其個人責任。制止任何與單位業務無關的使用單位網絡和系統的行為，每個員工都有責任保護單位網絡和系統安全，保護重要數據及商業機密安全。每個接入用戶必須嚴格按網絡管理處核準的區域和IP地址接入網絡，不得擅自更改，如需要變動須得到網絡管理員的批準。每個接入用戶個人必須保證自己所使用、維護、管理的計算機系統安裝適宜的系統安全補丁程序，及時更新病毒庫并定期進展全系統掃描。每個接入用戶必須對網絡病毒的來源保持足夠的警覺，決不翻開來歷不明的或其他可疑的電子郵件。每個接入用戶一旦發現或疑心自己的電腦系統已被病毒感染，應立即斷開網絡，并及時聯系信息中心安全管理員進展處理。所有接入內網的用戶必須嚴格遵守執行單位相關的安全保密制度和運行管理制度，制止濫用網絡，嚴禁如下行為：私自卸載操作系統補丁或者防病毒軟件。在單位內部用線撥號上網。私自安裝和使用黑客軟件和入侵工具。散布病毒或者其他干擾或破壞系統的軟件和工具。擅自偵聽或截取網絡中傳輸的信息。破解、盜用或冒用他人賬號及密碼或無故泄漏他人賬號及密碼。私自將自己的賬號和IP地址借予他人使用,或者盜用他人賬號和IP地址。窺視他人的電子郵件。以任何方式濫用網絡資源，包括以電子郵件大量傳送廣告、連鎖信或無用信息，或以灌爆信箱、掠奪資源等方式，影響系統的正常運作。以電子郵件、聊天工具、BBS或類似功能的方法散布欺詐、誹謗、侮辱、猥褻、騷擾、非法軟件交易或其他違法訊息。所有接入內網的用戶必須嚴格尊重他人知識產權，防止以下可能涉及侵害知識產權的行為：〔一〕使用未授權的軟件或工具。 〔二〕違法下載、拷貝受著作權保護的作品。〔三〕未經著作人許可，將受保護的作品上傳于公開的網站上。〔四〕不理會作者明示制止轉載的通告，任意轉載BBS或其他網上的文章。〔五〕私自開放公眾WEB服務，架設網站。〔六〕其他可能涉及侵害知識產權的之行為。罰則信息中心網絡管理員將密切監測網絡，如果發現用戶網絡異常或用戶有違反本方法的使用行為，安全管理員將中斷該用戶的計算機系統的網絡連接，并按本方法的規定進展相應的處理。員工有責任采取積極防范措施，防止自己維護的計算機系統被制止接入網絡。由于禁用網絡連接所導致的對單位業務的影響將由員工個人承當。信息中心將定期或者不定期地對聯網機器的IP地址、系統補丁和防病毒庫軟件、遠程接入設備管理情況進展檢查，發現有違反本規定的接入行為或不按單位相關規定使用網絡資源的，將給予通報批評；超過三次以上者將上報單位人力資源管理部門給予警告處分；對于由此造成單位計算機信息系統嚴重故障或導致單位重大損失的，將視情節嚴重程度給予嚴重警告以上處分，并實施相應的經濟處分，觸犯國家法律的，則依法移交國家法律部門處理。外部人員〔包括設備廠家、系統服務商、合作開發商和分單位人員等〕一旦接入單位網絡，視同單位員工進展管理，相應的接口負責人對其負領導監視責任，對于其觸犯相應規定的行為由相應的接口負責人負責。臨時造訪人員如果違規接入網絡，其行為后果由相應的接待人員負責。15.信息系統變更及發布管理制度第一節 總則第一條 為標準軟件變更與維護管理，提高軟件管理水平，優化軟件變更與維護管理流程，特制定本制度。第二條 本制度適用于應用系統、網絡系統等已開發或采購完畢并正式上線、且由軟件開發組織移交給應用管理組織之后，所發生的生產應用系統〔以下簡稱應用系統〕運行支持及系統變更工作。第二節 變更流程第三條 系統變更工作可分為下面三類類型：1.功能完善維護業務部門由于業務開展或業務處理的需要，所產生的對系統的現有功能進展修改、完善的需求。2.系統缺陷修改系統設計和實現上的缺陷會引發業務操作中的異常。對系統缺陷進展修復的需求。3.統計報表生成業務部門統計報表數據生成的需求。所要求的統計報表數據不能夠通過應用系統現有功能提供。這些報表有的只是一次性使用，有的需要經常使用。第四條 系統變更工作以任務形式由相關科室和計算機管理員協作完成。系統變更過程類似軟件開發，大致可分為四個階段：任務提交和承受、任務實現、任務驗收和程序下發上線。具體流程，前三個階段參見《系統變更流程》，第四個階段參見《程序下發流程》。第五條 因緊急問題處理引發的系統變更處理，具體流程參見《緊急變更流程》。第六條 相關科室提出系統變更需求，并將變更需求整理成《系統變更申請表》，由科室負責人審批后提交給計算機管理員。第七條 計算機管理員負責承受需求，進展分析需求后，向開發人員提出系統變更建議。第八條 實現過程應按照軟件開發過程規定進展。系統變更過程應遵循軟件開發過程一樣的正式、統一的編碼標準，并經過測試和正式驗收才能分發。第九條 計算機管理員組織相關科室對系統程序變更嚴格按照功能要求在備用服務器上進展全面調試，并撰寫《程序變更驗收報告》，提交科室負責人和計算機管理員簽字確認通過后才能分發，并對前一版本撤銷。 第十條計算機管理員負責對系統變更過程的文檔進展歸檔進展版本管理，變更過程中涉及的所有文檔應至少保存兩年。第三節 緊急變更流程1、緊急事件的報告科室發現系統異常，導致業務處理無法正常進展，必須迅速處理解決時，問題發現人將問題報告給計算機管理員。計算機管理員根據問題信息，進展問題的初步診斷，如有可能，對問題原因進展分析定位，并給出解決問題的建議2、緊急事件變更啟動計算機管理員接到緊急問題上報后，及時與進展討論和交流，了解情況，并最終判定是否屬于緊急事件。確定屬于緊急事件后，由計算機管理員啟動緊急事件變更流程，并根據其重要性和緊迫性分配優先權，組織人員采取相應的處理流程。3、緊急事件變更處理計算機管理員組織人員進展緊急事件變更處理。緊急事件變更流程的變更處理同一般問題變更流程，包括分析、設計、實施、測試、驗收，但需使用專設系統用戶賬號進展緊急事件變更，并進展明確的緊急事件變更文檔記錄。4、緊急事件變更程序分發計算機管理員組織完成變更處理后，進展程序分發。緊急事件變更流程的程序分發同一般系統變更流程。5、補辦文檔和領導審批記錄緊急問題得到妥善解決后，需要分別補辦各類文檔和審批記錄。第十一條系統變更過程中，采取各種措施保證調試系統應用程序訪問權限受到良好控制。這些措施包括：1、通過調試環境的訪問控制，限制對調試環境的訪問；2、通過物理隔離的手段，限制對調試環境的訪問；3、通過邏輯隔離的手段，限制對調試環境的訪問；4、對授權訪問調試環境的開發人員進展詳細記錄，使用該記錄對調試環境訪問權限的檢查，確保只有經授權開發人員才能訪問調試環境；5、普通用戶只能通過前臺登錄系統，不能通過后臺〔如使用調試環境操作系統的命令行〕進展操作；6、開發人員不應該擁有前臺應用程序的業務操作訪問權限，更不應該在前臺應用程序中擔任實際的業務操作任務；7、從技術角度限制開發人員對調試環境中應用程序文件夾的訪問權限，只有經過授權的開發人員對程序擁有讀、寫和執行的權限；16.xx資產安全管理制度一、為加強xx信息固定資產的保管及使用管理，特制定本規定。二、本規則所稱信息固定資產包括xx信息化范圍內所涉及的房屋及建筑物、信息化硬件及其附屬設備、信息化軟件及其集成系統、工具等。三、信息化固定資產管理及保養細則由信息中心會同使用部門共同制定。(一)機房設備由信息中心負責管理；(二)網絡設備、網絡軟件、網絡線路等由網絡管理員負責總體管理；(三)電腦及其附屬設備、應用軟件、工具等由機房管理員負責管理。四、人員移交時，對于固定資產按規定詳列清冊辦理移交。五、固定資產因故障須送廠商修復時，應依照有關規定程序辦理相關手續。已經確認報廢的固定資產，應在保密部門和監察部門的共同監視下，將其中的存儲介質進展不可恢復的粉碎性物理消滅。17.信息系統補丁及版本管理制度1總則1.1為加強xx系統補丁及版本的管理，標準補丁及版本的部署流程，保證信息系統補丁及版本的及時更新，確保信息系統安全穩定高效的運行，特制定本方法。1.2本方法所涉及的補丁包括硬件微碼補丁、操作系統補丁、數據庫補丁和應用系統補丁。本方法所涉及的版本包括網絡設備、安全設備、存儲、服務器、終端等硬件產品的操作系統版本，各類系統軟件〔數據庫、中間件〕及各類業務系統的版本。2適用范圍xx負責部署在信息中心的各類軟硬件產品的補丁及版本更新工作及市本級各類終端設備的補丁及版本更新工作。信息中心負責本級各類軟硬件產品的補丁及版本更新工作及終端設備的補丁及版本更新工作。3職責分工補丁版本管理硬件設備操作系統版本管理員，每月和相關廠商聯系，獲取操作系統版本的最新情況，并對版本的更新后可能會產生的影響進展評估，確認是否可以升級，升級版本之前先做備份。各類業務系統應該部署與之相應的測試系統，版本升級之前應做充分的測試，測試2天后無重大問題可進展正式部署，并將版本升級后做的改動內容告知各使用對象。3.1操作系統管理員3.1.1負責各操作系統〔含瀏覽器、辦公軟件〕補丁的管理。3.1.2負責收集操作系統漏洞信息，跟蹤最新補丁信息，評估漏洞威脅、成因和嚴重性。3.1.3負責提出操作系統漏洞修補要求和相關防護措施，審批變更方案。3.2數據庫管理員3.2.1負責各數據庫補丁的管理。3.2.2負責收集數據庫漏洞信息，跟蹤最新補丁信息，評估漏洞威脅、成因和嚴重性。3.2.3負責提出數據庫漏洞修補要求和相關防護措施，審批變更方案。3.3系統管理員3.3.1負責各應用系統〔含中間件〕補丁的管理。3.3.2負責收集應用系統漏洞信息，跟蹤最新補丁信息，評估漏洞威脅、成因和嚴重性。3.3.3負責提出應用系統漏洞修補要求和相關防護措施，審批變更方案。3.4補丁測試3.4.1負責搭建測試環境，負責測試補丁和測試結果的記錄。3.4.2負責跟蹤最新補丁信息和下載補丁。3.5補丁安裝員3.5.1負責補丁的安裝或分發，負責制訂補丁修補方案。3.5.2負責解決補丁安裝或分發過程中出現的問題。4補丁管理4.1補丁由信息中心統一進展下載、測試和安裝，未經許可，不可私自下載安裝。4.2補丁來源須為原廠商官方網站或原廠商工作人員，對于非法的補丁制止安裝。4.3補丁安裝前，應先做好系統和數據備份工作，防止出現問題進展回退，經嚴格測試通過前方可安裝，對測試不成功的補丁嚴禁安裝。4.4測試中發現的問題應做詳細分析，判斷發生問題的原因并及時解決，如果不能解決，須記錄發生問題的環境，立即反響給原廠商。4.5對于剛發布的嚴重等級漏洞〔無補丁〕或未通過測試的補丁，可采用臨時解決方法消除漏洞的威脅或者暫時承受該風險。4.6制訂補丁修補方案，須先分析信息資產、IT系統環境、IT網絡環境和信息資產重要等級，確定需要安裝的補丁和相應嚴重等級，同時明確修補時間、修補方式和修補范圍。4.7補丁安裝須先填寫變更工單〔或工作票〕，相應補丁管理員和應用系統管理員對變更的必要性、風險和修補方案進展評審，評審通過后由應用系統管理員安排運維人員全過程配合補丁安裝員完成補丁的安裝和應用系統的測試。4.8補丁安裝順序遵循“資產價值大、威脅等級高優先安裝〞的原則。對于漏洞級別為嚴重的補丁，無特殊情況須在補丁發布后1星期內安裝。4.9補丁安裝完成后應進展全面檢查，以確認補丁安裝情況，同時制定補丁清單列表。5附則5.1本方法由本單位信息中心負責解釋。5.2本方法自發布之日起施行。18.安全事件報告和處置管理制度一、目的提高處置網絡與信息安全突發公共事件的能力，形成科學、有效、反響迅速的應急工作機制，確保重要計算機信息系統的實體安全、運行安全和數據安全，最大限度地減輕網絡與信息安全突發公共事件的危害，保障國家和人民生命財產的安全，保護公眾利益，維護正常的政治、經濟和社會秩序。二、適用范圍本預案適用于xx發生的網絡與信息安全突發公共事件和可能導致網絡與信息安全突發公共事件的應對工作。本預案啟動后，本單位其它網絡與信息安全應急預案與本預案相沖突的，按照本預案執行；法律、法規和規章另有規定的從其規定。三、職責本預案由信息中心制訂，報領導批準后實施。單位有關部門應根據本預案，制定部門網絡與信息安全應急預案，并報信息中心備案。結合信息網絡快速開展和本單位經濟社會開展狀況，配合相關法律法規的制定、修改和完善，適時修訂本預案。本預案自印發之日起實施。四、要求1.工作原則預防為主：立足安全防護，加強預警，重點保護根基信息網絡和關系國家安全、經濟命脈、社會穩定的重要信息系統，從預防、監控、應急處理、應急保障和打擊犯罪等環節，在法律、管理、技術、人才等方面，采取多種措施，充分發揮各方面的作用，共同構筑網絡與信息安全保障體系。快速反響：在網絡與信息安全突發公共事件發生時，按照快速反響機制，及時獲取充分而準確的信息，跟蹤研判，果斷決策，迅速處置，最大程度地減少危害和影響。以人為本：把保障公共利益以及公民、法人和其他組織的合法權益的安全作為首要任務，及時采取措施，最大限度地防止公民財產遭受損失。

分級負責：按照“誰主管誰負責、誰運營誰負責、誰使用誰負責〞以及“條塊結合，以條為主〞的原則，建設和完善安全責任制及聯開工作機制。根據部門職能，各司其職，加強部門間、各局的協調與配合，形成合力，共同履行應急處置工作的管理職責。常備不懈：加強技術儲藏，標準應急處置措施與操作流程，定期進展預案演練，確保應急預案切實有效，實現網絡與信息安全突發公共事件應急處置的科學化、程序化與標準化。2組織指揮機構與職責

發生網絡與信息安全突發公共事件后，應成立網絡與信息安全應急協調小組(以下簡稱協調小組)，為本單位網絡與信息安全應急處置的組織協調機構，負責領導、協調全局網絡與信息安全突發公共事件的應急處置工作。單位網絡與信息安全協調小組下設辦公室(以下簡稱協調小組辦公室)，負責日常工作和綜合協調，并與公安網監部門進展聯系。3先期處置〔1〕當發生網絡與信息安全突發公共事件時，事發部門應做好先期應急處置工作，立即采取措施控制事態，同時向相關主管部門通報。〔2〕網絡與信息安全事件分為四級:特別重大(1級)、重大(2級)、較大(3級)、一般(4級)。〔3〕主管部門在接到本系統網絡與信息安全突發公共事件發生或可能發生的信息后，應加強與有關方面的聯系，掌握最新開展態勢。對3級或4級的網絡與信息安全突發公共事件，由該上級主管部門自行負責應急處置工作。對有可能演變為2級或1級的網絡與信息安全突發公共事件，要為協調小組處置工作提出建議方案，并作好啟動本預案的各項準備工作。主管部門要根據網絡與信息安全突發公共事件開展態勢，視情況決定趕赴現場指導、組織派遣應急支援力量，支持事發部門做好應急處置工作。4應急處置4.1應急指揮本預案啟動后，根據協調小組會議的部署，擔任總指揮的領導和參與指揮的領導迅速趕赴相應的指揮平臺，進入指揮崗位，啟動指揮系統。相關聯動部門按照本預案確定的有關職責立即開展工作。需要成立現場指揮部的，事發部門立即在現場開設指揮部，并提供現場指揮運作的相關保障。現場指揮部要根據事件性質迅速組建各類應急工作組，開展應急處置工作。現場指揮部在協調小組的領導下全權負責現場的應急援救工作。主管部門負責對發生網絡與信息安全突發公共事件的網絡與信息系統的現場應急處置工作。4.2應急支援本預案啟動后，協調小組的應急響應先遣小組，趕赴事發地，催促、指導和協調處置工作。協調小組辦公室根據事態的開展和處置工作需要，及時增派專家小組和應急支援單位，調動必需的物資、設備，支援應急工作。

參加現場處置工作的各有關部門和單位要在現場指揮部統一指揮下，協助開展處置行動。4.3信息處理

〔1〕現場信息收集、分析和上報。事發部門應對事件進展動態監測，評估，及時將事件的性質、危害程度和損失情況及處置工作等情況按緊急信息報送的有關規定，及時報協調小組辦公室，不得隱瞞、緩報、謊報。

〔2〕分管科級信息處理。協調小組辦公室要明確信息采集、編輯、分析、審核、簽發的責任人，做好信息分析、報告和發布工作。

〔3〕信息發布和咨詢。當網絡與信息安全突發公共事件發生時，協調小組辦公室要及時做好信息發布工作，通過新聞單位發布網絡與信息安全突發公共事件預警及應急處置的相關信息，通知社會各界做好應急準備及預防措施，增強公眾的信心。信息發布與新聞報道要按國家的有關規定及時進展。

4.4應急完畢網絡與信息安全突發公共事件經應急處置后，得到有效控制，經各監測統計數據上報協調小組辦公室，由協調小組辦公室向協調小組提出應急完畢的建議，經批準后實施。5后期處置

5.1善后處置在應急處置工作完畢后，事發單位要迅速采取措施，抓緊組織搶修受損的根基設施，減少損失，盡快恢復正常工作，統計各種數據，查明原因，對事件造成的損失和影響以及恢復重建能力進展分析評估，認真制定恢復重建方案，迅速組織實施。有關主管部門要提供必要的人員和技術、物資和裝備以及資金等的支持，并將善后處置的有關情況報協調小組辦公室。5.2調查和評估在應急處置工作完畢后，主管部門應立即組織有關人員和專家組成事件調查組，在當地政府及其有關部門的配合下，對事件發生及其處置過程進展全面的調查，查清事件發生的原因及財產損失狀況和總結經歷教訓，并根據問責制的有關規定，對有關責任人員做出處理。五相關資源根據《中華人民共和國計算機信息系統安全保護條例》、《計算機病毒防治管理方法》制定本預案。19.系統漏洞掃描系統運行安全管理制度第一章總則第一條為保障信息網絡的安全、穩定運行，特制訂本制度。第二條本制度適用于xx，信息系統的所有漏洞掃描及相關設備的管理和運行。其他聯網單位參照執行。第二章人員職責第三條漏洞掃描系統管理員的任命漏洞掃描系統管理員的任命應遵循“任期有限、權限分散〞的原則；系統管理員的任期可根據系統的安全性要求而定，最長為三年，期滿通過考核后可以續任；必須簽訂保密協議書。第四條漏洞掃描系統管理員的職責如下：遵守職業道德，嚴守企業秘密；熟悉國家安全生產法以及有關通信管理的相關規程；負責漏洞掃描軟件〔包括漏洞庫〕的管理、更新和公布；負責對網絡系統所有服務器和專用網絡設備的首次、周期性和緊急的漏洞掃描；負責查找修補漏洞的補丁程序，及時打補丁堵塞漏洞；密切注意最新漏洞的發生、開展情況，關注和追蹤業界公布的漏洞疫情；遵守漏洞掃描設備各項管理標準。第三章用戶管理第五條只有漏洞掃描系統管理員才具有修改漏洞掃描設備配置、分析和掃描的權限。第六條為用戶級和特權級模式設置口令。不能使用缺省口令，確保用戶級和特權級模式口令不同。第七條漏洞掃描設備口令長度應采用8位以上，由非純數字或字母組成，并定期更換，不能使用容易猜解的口令。第四章設備管理第八條漏洞掃描設備的部署環境應滿足相應的國家標準和標準，其網絡拓撲和掃描范圍的更改要報送信息系統運行管理部門批準，以保證漏洞掃描設備發揮最大效應。第九條漏洞掃描設備工作時會對網絡造成一定程度的影響，應防止在網絡運行頂峰期進展掃描，如有特殊情況應通知有關的系統管理員第十條漏洞掃描設備的規則設置、更改的授權、審批依據《漏洞掃描設備配置變更審批表》〔參見附表1〕進展。漏洞掃描設備的規則設置、更改，應該得到信息系統運行管理部門負責人的批準，由系統管理員具體負責實施。第十一條對掃描結果的分析和安全漏洞修補。漏洞掃描后，發現系統漏洞公告，必須及時找到修補漏洞的補丁程序，并通過專用工具，及時下載打補丁，堵塞漏洞。第十二條漏洞掃描設備定期檢測和維護要求〔首次實施〕。系統管理員對服務器和專用網絡設備實施首次漏洞掃描。服務器和專用網絡設備上線前，必須進展漏洞掃描，并填寫《漏洞掃描補丁記錄單》〔附表2〕。第十三條漏洞掃描設備定期檢測和維護要求〔周期實施〕。系統管理員對服務器和專用網絡設備實施周期性漏洞掃描，并填寫《漏洞掃描記錄單》〔附表3〕。第十四條漏洞掃描設備配置操作規程要求如下：記錄網絡環境，定義漏洞掃描的網絡接口；定義漏洞掃描的IP地址范圍；定義漏洞掃描的安全級別和掃描選項；安裝，升級最新的漏洞庫；定義管理員清單和管理權限；測試漏洞掃描設備的性能和做好網管數據庫。漏洞掃描發現的安全事件處理和報告的要求。一旦得悉業界公布的漏洞疫情，并確認它們存在嚴重的危害性，即使本單位當前尚未出現受到侵擾的跡象，也必須采取預防措施，緊急更新庫，通告本單位，對服務器和專用網絡設備實施緊急漏洞掃描，及時調整防火墻策略，并填寫《漏洞掃描記錄單》。20.惡意代碼防范制度一、授權使用應在單位網絡配置計算機網絡病毒防治產品，其生產單位應具有《計算機信息安全專業產品銷售許可證》，其病毒防治能力應到達公安部規定的合格或以上水平二、惡意代碼防范意識各部門應有較強的補丁升級、病毒防范等意識，定期進展病毒庫升級，病毒檢測。用戶發現系統報錯，病毒應立即處理并通知信息中心專職人員。新系統安裝完成后應打上最新的系統補丁、安裝最新的防病毒軟件，并對系統進展病毒例行檢測。經遠程通信傳送的程序或數據，必須進過檢車確認無病毒前方可使用。需按照單位實際情況出發，每季度對本單位相關員工進展惡意代碼防范的技術培訓。惡意代碼工作信息中心為最根本的病毒防治和管理部門，主要工作有：