01、信息安全工作總體規劃v10-資料下載頁

　　

【正文】 禁系統、監控報警系統、防雷設備、消防滅火系統、防水監控系統、溫濕度控制系統、UPS供電系統和電磁屏蔽設備。（6）建立計算機機房管理制度，對設備安全管理、介質安全管理、人員出入訪問控制管理等做出詳細的規定。（7）管理機構應當定期對計算機機房各項安全措施和安全管理制度的有效性和實施狀況進行檢查，發現問題，進行改進。 網絡安全策略（1）必須對網絡和信息系統進行安全域劃分，建立隔離保護機制，并且在各安全域之間建立訪問控制機制，杜絕發生未授權的非法訪問現象，特別的，必須對生產網和辦公網進行劃分和隔離。（2）應當部署網絡管理體系，管理網絡資源和設備，實施監控網絡系統的運行狀態，降低網絡故障帶來的安全風險。（3）應當對關鍵的通信線路、網絡設備提供冗余設計，防止關鍵線路和設備的單點故障造成通信服務中斷。（4）應當在各安全域的邊界，綜合部署網絡安全訪問措施，包括防火墻、入侵檢測、VPN，建立多層次的，立體的網絡安全防護體系。（5）應當建立網絡弱點分析機制，發現和彌補網絡中存在的安全漏洞，及時進行自我完善。（6）應當建立遠程訪問機制，實現安全的遠程辦公和移動辦公。（7）應當指定專門的部門和人員，負責網絡安全系統的規劃、建設、管理維護。（8）應當建立網絡安全系統的建設標準和相關的運營維護管理規范，在范圍內指導實際的系統建設和維護管理。（9）管理機構應當定期對網絡安全措施和安全管理制度的有效性和實施狀況進行檢查，發現問題，進行改進。 主機安全策略（1）應當對關鍵服務器主機設備提供冗余設計，防止單點故障造成網絡服務中斷。（2）應當建立主機弱點分析機制，發現和彌補系統軟件中存在的不當配置和安全漏洞，及時進行自我完善。（3）應當建立主機系統軟件版本維護機制，及時升級系統版本和補丁程序版本，保持系統軟件的最新狀態。（4）應當建立主機系統軟件備份和恢復機制，在災難事件發生之后，能夠快速實現系統恢復。（5）可以建立主機入侵檢測機制，發現主機系統中的異常操作行為，以及對主機發起的攻擊行為，并及時向管理員報警。（6）應當指定專門的部門和人員，負責主機系統的管理維護。（7）應當建立主機系統管理規范，包括系統軟件版本管理、主機弱點分析、主機審計日志檢查和分析、以及系統軟件的備份和恢復等內容。（8）應當建立桌面系統使用管理規范，約束和指導用戶使用桌面系統，并對其進行正確有效的配置和管理。（9）管理機構應當定期對各項系統安全管理制度的有效性和實施狀況進行檢查，發現問題，進行改進。 應用安全策略（1）應用系統必須在登錄時要求輸入用戶名和口令。（2）登錄應用系統必須進行兩種或兩種以上的復合身份驗證（如用戶名口令+Ukey或用戶名口令+IP與MAC地址綁定方式）。（3）應用系統中設置的用戶都必須是唯一用戶，不能名稱相同，且不能出現多人使用同一賬戶的情況。（4）應用系統必須開啟登錄失敗處理功能。（5）應用系統必須開啟登錄連接超時自動退出等措施。（6）應用系統必須開啟身份鑒別、用戶身份標識唯一性檢查、用戶身份鑒別信息復雜度檢查以及登錄失敗處理功能，并根據安全策略配置相關參數。（7）應用系統必須開啟日志審計功能。（8）應用系統存儲用戶信息的設備在銷毀、修理或轉其他用途時，必須清楚內部存儲的信息。 數據安全策略（1）在業務系統主要應用服務器中采用硬件冗余技術，避免硬件的單點故障導致服務中斷。（2）綜合考慮性能和管理等因素，采用先進的系統和數據備份技術，在范圍內建立統一的系統和數據備份機制，防止數據出現邏輯損壞。（3）業務應用數據和設備配置文檔都必須進行備份，以便發生問題時進行恢復。（4）數據備份至其他設備上時，必須使用專門的備份通道，保證數據傳輸的完整性。（5）數據本機備份時應檢測其完整性。（6）數據備份時必須使用專業的備份設備和工具，在數據傳輸和數據存儲時，都必須是加密傳輸和存儲。（7）建立災難恢復計劃，提供災難恢復手段，在災難事件發生之后，快速對被破壞的信息系統進行恢復。（8）應當建立專門崗位，負責用戶權限管理，以及授權和訪問控制系統的建設、運行、維護。（9）建立日常數據備份管理制度，對備份周期和介質保管進行統一規定。（10）建立災難恢復計劃，對人員進行災難恢復培訓，定期進行災難恢復的模擬演練。 病毒管理策略（1）應當建立全面網絡病毒查殺機制，實現教育局全網范圍內的病毒防治，抑止病毒的傳播。（2）所有內部網絡上的計算機在聯入內部網絡之前，都應當安裝和配置殺毒軟件，并且通過管理中心進行更新，任何用戶不能禁用病毒掃描和查殺功能。（3）所有內部網絡上的計算機系統都應當定期進行完整的系統掃描。（4）從外部介質安裝數據和程序之前，或安裝下載的數據和程序之前，必須對其進行病毒掃描，以防止存在病毒感染操作系統和應用程序。（5）第三方數據和程序在安裝到內部網絡的系統之前，必須在隔離受控的模擬系統上進行病毒掃描測試。（6）任何內部用戶不能故意制造、執行、傳播、或引入任何可以自我復制、破壞或者影響計算機內存、存儲介質、操作系統、應用程序的計算機代碼（7）應當指定專門的部門和人員，負責網絡病毒防治系統的管理維護。（8）應當建立網絡病毒防治系統的管理規范，有效發揮病毒防治系統的安全效能。（9）應當建立桌面系統病毒防治管理規范，約束和指導用戶在桌面系統上的操作行為，以及對殺毒軟件的配置和管理，達到保護桌面系統、抑止病毒傳播的目的。（10）應當定期對與病毒查殺有關安全管理制度的有效性和實施狀況進行檢查，發現問題，進行改進。5 附則本文件由XXX單位信息中心負責解釋與修訂。本文件自頒布之日起發布執行。20 / 2