上海震旦职业学院信息安全管理体系通讯与操作管理制度.docx

《上海震旦职业学院信息安全管理体系通讯与操作管理制度.docx》由会员分享，可在线阅读，更多相关《上海震旦职业学院信息安全管理体系通讯与操作管理制度.docx（14页珍藏版）》请在课桌文档上搜索。

1、上海震旦职业学院信息安全管理体系通讯与操作管理制度修改记录日期版本作者/修改者修订类型描述2014-12-201.0程茂华创建创建全页2015-02-231.1程茂华修改结合实际情况修订第三章-第三方服务交付 管理、第九条验收管理和第七章的网络安全管理条例第一章综述错误!未定义书签。第二章操作程序和责任错误!未定义书签。第三章第三方服务交付管理错误!未定义书签。第四章系统规划与验收错误!未定义书签。第五章防止恶意和移动代码错误!未定义书签。第六章备份错误!未定义书签。第七章网络安全管理错误!未定义书签。第八章介质处置错误!未定义书签。第九章信息的交换错误!未定义书签。第十章监控错误!未定义书签

2、。第一章综述第一条本制度确定一些关键控制点以便对通信和操作过程进行有效的安全管理，并建立信息处理设施 的管理和操作的职责和流程，包括开发适当的操作指导和事故处理流程。在适当的情况下，对职责进行 划分，以降低渎职或者故意滥用系统的风险，目标是确保员工能正确、安全地操作信息处理设施。第二章操作程序和责任第二条文件化的操作程序（-）操作程序应形成文件、保持并对所有需要的用户可用。（二）与信息处理和通信设施相关的系统活动应具备形成文件的程序，例如计算机启动和关机程序、 备份、设备维护、介质处理、计算机机房、邮件处置管理和物理安全等。（三）操作程序应详细规定执行每项工作的说明，其内容包括：1、信息处理和

3、处置；2、备份；3、时间安排要求，包括与其他系统的相互关系、最早工作开始时间和最后工作完成期限；4、对在工作执行期间可能出现的处理差错或其它异常情况的指导，包括对使用系统实用工具 的限制；5、出现不期望操作或技术困难事件时的支持性联络；6、特定输出及介质处理的指导，包括任务失败时输出的安全处置程序；7、系统失效时使用的系统重启和恢复程序；8、审核跟踪和系统日志信息的管理。（四）要将操作程序和系统活动文件化，其变更由信息中心负责人授权。技术上可行时，信息系统应 使用相同的程序、工具和实用程序进行一致的管理。第三条变更管理控制（一）操作系统和应用软件应有严格的变更管理控制。应考虑如下内容：1、重大

4、变更的标识和记录；2、变更的策划和测试：3、对这种变更的潜在影响的评估，包括安全影响；4、对建议变更的正式批准程序；5、向所有有关人员传达变更细节；6、返回程序，包括从不成功变更和未预料事件中退出和恢复的程序与职责。（二）数据中心确保对信息处理设施和系统的变更有适当控制，包括：1、变更前测试；2、所有变更相关信息的审计日志记录都必须保留最少一年。（）具体变更管理控制参见变更管理规定。（四）批准变更请求后，操作人员在变更请求获得批准后约定的时间内实施变更，并确保不会对现有 的平台造成意外的服务影响。（五）安全审计组负责参与评审重大变更需求评审，确保变更不会造成安全影响。第四条软件开发、测试与运行

5、设施分离（-）数据中心开发、测试与运行设施必须分离，除非得到特别授权。（二）如果因工作原因需要进行上述活动，应遵守以下做法：1、上海震旦职业学院科技部联同开发方、运行方和需求方讨论潜在的安全风险并设计防范程 序；2、开发测试人员全权负责开发测试系统的管理，运行人员未经授权不得参与开发测试系统的 有关工作；3、运行人员全权负责生产系统的管理，开发测试人员未经授权不得参与生产系统的有关工 作；4、运行人员要密切监督生产系统，以保证开发、测试工作不会造成服务影响或安全事故；5、开发测试系统应当与生产系统分开，并清楚地标记测试周期和有关开发测试技术支持的联 系方式；6、对于需要在生产环境下进行的开发测

6、试工作，需要经过授权才能进行，并且在测试完成后， 需要立即从生产环境卸载；7、如果开发人员需要访问生产与运行设施，应当向数据中心相关人员申请；8、开发完成的应用项目在投入使用前，应当提交一份上线申请。在系统进入生产环境前， 确认以下操作：D 卸载与运行无关的开发、测试相关的工具、文件与数据等；2）修改默认用户名/密码。第三章第三方服务交付管理第五条服务交付第三方的服务交付协议应包括商定的安全措施、服务定义和交付质量。外包时，应确保安全得以 保证，并考察第三方的服务能力，及在故障或灾难发生后持续提供服务的能力。第六条 第三方服务的交付和管理（-）应定期对第三方的服务及相关的报告、记录、交付件进行

7、审查，审查方式包括数据中心的内部 审计，或聘请外面独立审计机构进行的审计。（二）数据中心对第三方服务的监督和评审应按照商定的信息安全条款执行，使信息安全事故和问题 得到适当的管理。监督和评审应涉及到如下内容：1、监督服务执行效率并检查对协议的符合程度;2、评审由第三方产生的服务报告、记录、交付件，定期安排项目进展会议；3、第三方应提供如下信息内容供数据中心评估：服务过程中所应用到的软硬件产品、所使用 的协议、系统部署及使用指南、知识产权、安全使用许可销售证明等；4、对第三方在交付服务过程中所进行的审核跟踪流程，及相关的安全事件、操作问题、故障、 失误追踪和破坏的记录等进行评审；5、对服务交付过

8、程中出现的所有问题进行识别和管理。第七条第三方服务的变更管理（）应对第三方服务的有关变更进行管理，变更包括数据中心及第三方对现有的信息安全方针策 略、程序和控制措施的任何改进。要考虑变更所涉及到的业务系统及相关过程的关键程度，并对有 关风险进行再评估。（二）对第三方服务变更的管理过程需要考虑：1、数据中心实施的变更：1）对提供的现有服务的加强；2）任何新应用和系统的开发；3）组织策略和程序的更改或更新；4）解决信息安全事故和改进安全的新的控制措施。2、第三方实施的变更：1）对网络的变更和加强；2）新技术的使用；3）新产品或新版本的采用；4）新的开发工具和环境的应用；5）服务设施物理位置的变更；

9、6）相关产品及服务提供商的变更。第四章系统规划与验收第八条容量需求（一）应对系统容量进行监控，并对未来容量要求进行预测，确保充足的处理和存储能力。这些预测 要考虑新业务和系统的要求，及数据中心信息处理的当前状况和未来趋势。（二）信息安全部应当对主要系统资源的使用情况进行监视，包括处理器、内存、文件储存、打印机 和其它输出设备及通讯系统。（三）信息安全部应当运用这些信息来识别并避免可能对系统安全或服务提供构成隐患的潜在瓶颈， 并事先进行适当的补救行动规划。（四）操作员应按需监督检查主机、带宽和业务的运行情况。如：1、CPU使用率；2、内存使用；3、I/O使用；4、企图非法进入系统的服务器。同时应

10、监控主路由器和交换机的以下方面：1、MRTG流量特征；2、设备日志；3、网络设备的CPU使用率。第九条系统验收及程序（-）本部分可参照变更管理规定来执行（二）上海震旦职业学院科技部说明新系统的安全验收要求和标准，要保证所采用的升级、补丁、热 修补和新的版本不会影响正常的操作过程。上海震旦职业学院科技部要监督责任部门对任何新的信 息系统都要进行测试，并遵照已定的标准进行系统验收。1、以下是数据中心内部系统验收标准。D在新系统实施之前，要收集CPlJ和存储空间使用量等性能统计。要保证性能不会突然下 降，否则需要启动恢复或应急计划。2）要对所有相关的日常操作程序进行验收，以保证在切换新系统后，能正确

11、地恢正常的 操作。3）在应用任何新系统前都需要进行安全检查。检查内容包括操作系统版本、补丁等级、任 何缺失的安全热修补等等。对关键系统要对网络系统和操作系统进行加固。4）采取必要措施，以确保变更可能造成的系统停机不会影响业务的持续性。5）确保所有的系统变更都尽可能安排在非工作时段内，以减轻对业务的影响。6）确保系统变更后不会减弱数据中心的整体安全性。7）安排必要的测试以证实符合系统验收标准。8）应用新系统时需对操作员进行相关培训。2、要特别注意以下方面：1）边界路由器/交换机：2）通过网络监测检查网络应用是否有突然变化。3）检查CPU和存储器是否有剧烈变化。4）确认防火墙的策略得到理想的执行。

12、5）确保所有内外联通性良好。6）确保通过防火墙的应用程序如HTTP和FTP等都运行良好。3、 验收程序：新系统进入生产环境前，需要提交操作变更请求。新系统的使用者和交付者需要商讨有关操作文 件事宜，内容包括：1）系统功能和容量的测试步骤。2）恢复和重启步骤。3）操作要求，包括数据备份、计划重启和工作环境整理要求。4）具体的安全控制要求（如果有）。5）维护备份安排以及厂商技术支持联系。（三）上海震旦职业学院科技部应确认操作人员在新系统上使用了商定的操作程序。第五章防止恶意和移动代码第十条防范恶意代码（一）数据中心按照防病毒管理制度防范恶意代码。（二）数据中心员工应做到：1、不要从不信任的网络上下

13、载程序；2、谨慎处理从不知名的发件人发送的带有可疑附件的邮件；3、警惕可能的病毒袭击，并准备好升级计划。（三）上海震旦职业学院科技部要保证定期安排相关人员检查数据中心内安装的各种软件的安全性。第十一条控制移动代码移动代码是从一台计算机到另一台计算机之间传送的软件代码，可以在很少或无需用户干预的情况 下自动执行以完成特殊的功能。移动代码和很多的中间件服务相关联。当授权使用移动代码时，其配置应确保授权的移动代码按照清晰定义的安全策略运行，应阻止执行 未授权的移动代码。应考虑下列措施以防止移动代码执行未授权的活动：（一）在逻辑上隔离的环境中执行移动代码；（二）阻止移动代码的所有使用；（三）阻止移动代

14、码的接收；（四）使技术测量措施在一个特定系统中可用，以确保管理移动代码；（五）控制移动代码访问的可用资源；（六）使用密码控制，以唯一地对移动代码进行认证。第六章备份第十二条信息备份（一）信息安全部要安排对数据中心网络和服务器系统中的信息进行定期备份。（二）备份磁带和磁盘要安全贮存在上锁的柜子里。重要服务器和网络交换机要有场外备份数据。1、定期测试备份介质，在确实可行的情况下确保在需要紧急使用时可以依赖它们；2、定期检查和测试复原步骤,确保它们不仅有效,而且能够在恢复操作步骤分配的时间内完成。（三）备份数据的恢复能力应满足数据中心的业务持续计划（BCP）。第七章网络安全管理第十三条网络控制（一）

15、应充分管理和控制网络，以防范威胁，维持系统和使用网络的应用程序的安全，包括传输中 的信息。（二）密码必须间隔一定的周期定期修改。如果某个密码被泄露，必须及时修改口令。数据中心要 定期全面更换密码。（三）凡允许远程登录连接的网络设备都要实施严格的登录控制。这种远程连接路径的登录与退出 都必须经过远程登入数据中心的网关的许可。否则在不允许使用远程登入连接的情况下只能从控制 台登入。（四）生产环境中的所有网络设备上的默认用户名和密码必须尽可能地全部清除。所有新创建的用 户名和密码必须以不易被破解的方式设置。（五）出于安全原因一般不允许合同方或第三方远程登录，如确实需要远程登录时，必须先得到上 海震旦

16、职业学院科技部的批准。每次登录都要进行系统登录验证。（六）除DMZ区域外，数据中心内部网络中所有网络设备和服务器都要隔离在外部网络防火墙后面。 第十四条网络服务安全性（一）数据中心监测网络设备，监控网络的可用性。（二）以下设计方法保证网络服务安全性：1、所有允许互联网用户访问的内部系统，必须置于防火墙后；2、非本数据中心管理网络，如需要对数据中心网络或系统进行访问，必须经过上海震旦职业学 院科技部审核、上海震旦职业学院科技部同意才可访问；3、使用VLAN按照功能分开不同内部系统，需要时候使用ACL；4、防火墙策略默认为禁止；5、网络设备及主机中的网管关键字要取消“Public、“Private

17、”的默认设置，网管关键字 的字符长度应当在8位以上。第八章介质处置第十五条可移动介质的管理数据中心的可移动介质必须按照以下规定严格处理：1、符合信息资产管理策略的要求；2、适当分类、贴标贴并保持可移动介质的保存位置的准确记录；3、严格控制在办公环境和生产环境中使用可移动介质。第十六条介质处置（一）为保证信息安全，数据中心必须在处理介质前擦除有关的敏感信息，包括如下：1、用碎纸机销毁所有的敏感纸质记录。废纸可在碎纸后立即处置掉；2、数据中心里面不得积累过量纸质记录。所有的纸质记录都必须在处置前销毁；3、磁带、磁盘和光学贮存介质必须在处置前进行物理销毁，并由专人进行监督和核对。（二）凡敏感性介质的

18、处置都必须经过运维部负责人的批准，并记录在可移动介质处置记录留 待审计时备查。第十七条信息处理程序（-）按照所显示的分类级别，处置和标记所有介质；（二）确定防止未授权人员访问的限制；（三）维护数据的授权接收者的正式记录；（四）确保输入数据完整，正确完成了处理并应用了输出验证；（五）按照与其敏感性一致的级别，保护等待输出的假脱机数据；（六）根据制造商的规范存储介质；（七）使分发的数据最少；（A）清晰地标记数据的所有拷贝，以引起己授权接收者的关注；（九）以固定的时间间隔评审分发列表和已授权接收者列表。第十八条系统文件的安全（一）数据中心保存的系统文件应贮存在文件服务器上。文件服务器应按照访问控制中

19、的描述 进行安全保护和逻辑访问控制。（二）数据中心保存的系统文件只能由数据中心员工或上海震旦职业学院科技部授权的人员通过本 网络中的用户验证控制访问或经过远程访问。（）文件服务器要按照数据备份管理规定策略定期备份。第九章信息的交换第十九条信息交换策略和程序（一）其它组织和数据中心之间交换信息时，应考虑如下控制：1、设计用来防止交换信息遭受截取、复制、修改、错误寻址和破坏的程序；2、检测和防止可能通过使用电子通信传输的恶意代码的程序；3、保护以附件形式传输的敏感电子信息的程序；4、简述电子通信设施可接受使用的策略或指南；5、无线通信使用的程序，要考虑所涉及的特定风险；6、雇员、承包方人员和所有第

20、三方人员不危害组织的职责，例如诽谤、扰乱、扮演、连锁信寄 送、未授权购买等；7、密码技术的使用，例如保护信息的保密性、完整性和真实性；8、所有业务通信（包括消息）的保持和处理指南，要与相关国家和地方法律法规一致；9、不将敏感或关键信息留在打印设施上，例如复印机、打印机和传真机，因为这些设施可能被 未授权人员访问；10、与通信设施转发相关的控制措施和限制，例如将电子邮件自动转发到外部邮件地址；IK 提醒工作人员，他们应采取相应预防措施，例如，为不泄露敏感信息，避免打电话时被无 意听到或窃听：1）当使用移动电话时，要特别注意在他们附近的人；2）搭线窃听、通过物理访问手持电话或电话线路以及受用扫描接

21、收器的其他窃听方式；3）接收端的人。12、不要将包含敏感信息的消息留在应答机上，因为可能被未授权个人重放，也不能留在公用 系统或者由于误拨号而被不正确地存储；13、关于传真机的使用问题，即应当避免出现：D未授权访问内置消息存储器，以检索消息；2）有意的或无意的对传真机编程，将消息发送给特定的电话号码；3）由于误拨号或使用错误存储的号码将文档和消息发送给错误的电话号码。14、不要注册统计数据，例如任何软件中的电子邮件地址或其他人员信息，以避免未授权人员 收集；15、传真机和影印机都有页面缓冲并在页面或传输故障时存储页面，一旦故障消除，这些将被 打印。另外，不要在公共场所或开放办公室和薄围墙的会场

22、进行保密会谈。（二）信息交换设施应符合所有相关的法律要求。（三）可能通过使用很多不同类型的通信设施进行信息交换，例如电子邮件、声音、传真和视频。 可能通过很多不同类型的介质进行软件交换，包括从互联网下载和从出售现货的供应商处获得。应 考虑与电子数据交换、电子商务、电子通信和控制要求相关的业务、法律和安全蕴涵。（四）由于在使用信息交换设施时缺乏意识、策略或程序，因此可能泄露信息，例如，在公开场所 的移动电话被偷听、电子邮件消息的指示错误、应答机被偷听，未授权访问拨号语音邮件系统或使 用传真设备意外地将传真发送到错误的传真设备上。第二十条电子信息发送（一）数据中心员工应遵守数据中心的既定方针，以保

23、证电子邮件的正常使用。（二）传递含机密信息应按照商业秘密管理规定中的规定进行控制。（三）收发的所有电子文件都必须经过病毒扫描。第二十一条业务信息系统（-）业务信息系统的应当明确安全方针和控制程序。（二）具体控制措施如下：1、数据中心的员工和上海震旦职业学院科技部授权的人员仅限于为工作目的接入业务信息系 统；2、业务信息系统要定期备份；3、所有系统都可以参考相应手册中的配置指南快速恢复。第二十二条 公共可用信息（一）数据中心网站服务器应置于防火墙后，除非确有必要，否则应只容许HnP/HTTPS服务。（二）网站内容、服务器配置改变，必须确保：1、网站内容、服务器变更前已经测试，内容经过审核；2、变

24、更是经过批准的；3、变更后有适当验收。第十章监控第二十三条审计日志（一）下列事件日志记录机制通用于整个数据中心：1、关键网络安全事件；2、关键服务器安全事件。（二）关键网络安全事件和关键服务器安全事件应记录在事件日志中，其内容建议包括以下信息：1、用户验证用的用户帐号；2、网络地址；3、系统登录成败（验证结果）；4、事件的日期和事件。第二十四条监控系统的使用（一）数据中心必须按照规定的事件日志记录格式，监控在用系统的状态，执行系统监控管理规 定。另外，如果发生不良事件可能影响网络安全，或检测到有关键服务器安全事件，应执行信 息安全事件管理制度中确定的安全事故报告程序。（-）网络管理系统检测到的

25、警告信息应按照要求发送给上海震旦职业学院科技部。（三）数据中心监控范围如下：1、合法访问，包括如下详细内容：1）用户ID；2）重要事件的日期和时间；3）事件类型;4）所访问的文件；5）所用程序/实用程序。2、所有特权操作，如：D特权帐号的使用；2）系统启动和停止；3） 1/0设备连接/分离。3、非法访问次数，如:1）失败次数；2）访问策略的违反情况和通知；3）网关和防火墙。4、系统预警或故障，如：1）控制台预警或消息；2）系统日志异常情况；3）网络管理报警。第二十五条保护日志信息（-）日志审核包括了解系统面临的威胁以及这些威胁出现的方式。有些事件可能在发生安全事故 时要求进行进一步调查。（二）

26、系统日志通常包括大量的信息，多数与安全监控无关。为了识别用于安全监控目的的重要事 件，应进行安全事件的监控和管理。（H）应采取措施监控非法更改和操作问题，包括：1、停用日志记录工具；2、对所记录的消息类型进行更改；3、正在编辑或删除日志文件；4、日志文件介质即将填满，或者无法记录事件，或者重写。（四）应对日志进行集中管理。第二十六条管理员和操作员日志（一）系统管理员和系统操作员的活动应记入日志。（二）日志要包括：1、事件（成功的或失败的）发生的时间；2、关于事件（例如处理的文件）或故障（发生的差错和采取的纠正措施）的信息；3、涉及的帐号和管理员或操作员：4、涉及的过程。（三）系统管理员和操作员

27、日志须定期审核。第二十七条错误日志（一）错误日志记录在事件报告单上，包含以下内容：1、故障/错误发生和恢复的日期和时间；2、故障/错误报告/探测和处理情况；3、故障等级；4、联系的技术支持；5、后续措施如隔级报告。（二）上海震旦职业学院科技部要负责审核事件报告，确保错误恢复并且无任何安全问题。如果故 障仍留有安全隐患，应当通知上海震旦职业学院科技部。上海震旦职业学院科技部应与有关方评审 事故并落实为防止再发生错误所采取的纠正措施。第二十八条时钟同步（一）数据中心内的所有相关信息处理设施的时钟应使用已设的精确时间源进行同步。（二）正确设置计算机时钟对确保审核记录的准确性是重要的，审核日志可用于调查或作为法律、 法律案例的证据。不准确的审核日志可能妨碍调查，并损害这种证据的可信性。