17、网络和系统安全管理规定.docx

文件名称
网络和系统安全管理规定
文件编号
YKXX20210017
版本号

编写部门
信息科
编写人
XXX
审批人
发布时间

长春XXXX有限公司
网络和系统安全管理规定
信围。
第二十四条 核心链路的网络设备、安全设备、网络链路应建立 冗余备份机制，如果出现安全事件应根据《应急预案管理规定》进行 应急响应。
第二十五条 当对本地机房设备进行维护时，要明确维护时间、 维护人员和陪伴人员，针对设备中的敏感信息进行加密处理，需填写 《机房日常巡检记录表》；涉外维修和服务时，应经过公司主管领导 审批。
第二十六条 操作系统应对认证、登录失败次数进行限制，避免 系统认证方式、密码被暴力破解。
第二十七条 操作系统的安装须遵从最小化安装原则，仅仅安装 并运行必须的系统服务和应用程序，关闭和卸载与工作无关的服务和 应用程序。
第二十八条 操作业务应用系统时，要按照最小必须原则为账户 分配权限，原则上禁止使用最高权限账号。
第二十九条为了能够发现和跟踪系统中发生的各种可疑事件， 需要启用安全审计功能，以日志的形式记录用户登录系统、文件访问 操作、账户修改等行为的过程和结果信息，做到发生可疑事件时能够 溯源。
第三十条 未进行安全配置、未安装杀毒软件及终端管理软件 的终端计算机，不得连入公司网络。计算机终端用户应定期对计算机 系统、杀毒软件等进行升级和更新，并定期执行全盘查杀，不允许下 载和使用未经测试和来历不明的软件、不要打开来历不明的电子邮件 以及不要随意使用外来u盘等移动存储介质。
第三十一条任何员工不得制造或者故意输入、传播计算机病毒 和其他有害数据，不得利用非法手段复制、截收、篡改计算机信息系 统中的数据。
第三十二条禁止利用扫描、监听、伪装等工具对网络和服务器 进行恶意攻击，禁止非法侵入他人网络和服务器系统，禁止利用计算 机和网络干扰他人正常工作的行为。
第三十三条计算机终端用户应保管好自己的用户帐号和密码。 严禁随意向他人泄露、借用自己的帐号和密码；严禁不以真实身份登 录系统。计算机使用者更应定期更改密码、使用复杂密码。
第三十四条IP地址为计算机网络的重要资源，计算机各终端用
户应在系统管理员的规划下使用这些资源，不得擅自更改。
第三十五条网络参数配置文档、重要计算机信息系统详细开发 资料及其源程序等核心技术文档，由责任部门严格管理。
第三十六条 系统核心技术文档资料的外借应有审批手续和记录，
借阅人不得转借给他人，不得复制、泄露和引用具体技术内容。
第四章 账户管理
第三十七条 要求对网络设备、服务器的登录帐号的设置权限级 别，授权要遵循最小授权原则。对于每个管理员建立单独的用户账号， 特别要区分普通用户账户号和管理员账号，账号不得共享。
第三十八条 保证用户身份标志的唯一性，即不同的个人用户必 须采用不同的用户名和口令登录，并且拥有不同的权限级别。不同用 户的登录操作在设备日志文件上均有记录，便于追查问题。
第三十九条 信息中心主管领导拥有超级用户权限，其他网络管 理员按照工作需求拥有相应的用户权限，系统管理员不得私开用户权 限给其它人员。
第四十条 由系统管理员根据业务需求和系统安全分析制定系 统的访问控制策略，负责控制分配信息系统、文件及服务的访问权限。
第五章 口令管理
为规范管理人员及业务操作人员对核心业务及数据的操作行为， 降低由于身份鉴别问题所造成后应用隐患和风险，提出以下安全策略
网络和系统用户应采用专用的登录控制模块进行身份标识和鉴别
网络管理员和系统管理员权限的用户密码设置策略如下：
＞长度不得少于8个字符；
＞复杂度要求：满足大小写字母数字特殊符号的组合；
＞修改周期：一个月；
＞ 口令修改：再次修改的密码应确保未使用最近3次内的重复的
口令；
＞密码锁定：为防止暴力破解，应限制非法登陆次数，设置连接
超时自动退出；
＞应用系统应能够检测密码复杂度。
密码属于敏感信息，要严格控制和管理。密码在本地存储和传输 过程中要采用加密处理，不应以明文形式存储和传输，不允许存 在空密码和弱密码的情况。
第六章 配置文件管理
第四十一条 配置文件存储着网络设备和系统的所有配置信息。 网络设备和系统中的运行配置文件和启动配置文件应该随时保持一 致。
第四十二条 所有的网络和系统配置文件应有文档记录，网络设 备及系统的配置文件需要定期备份。
第四十三条 定期将设备的配置文件下载到本地作为备份文件以
防不测，在设备配置文件损坏时可恢复备份的配置文件。
第四十四条 网络管理员应定期对网络配置信息是否符合当前网 络状况进行检查和分析，并做详细记录。
第四十五条 系统安全配置由系统管理