*
主办部门：系统运维部
执 笔 人： 审 核 人：
XXXXX
系统安全管理规定V0.1 XX-ISMS-SM-02007
2014年3月17日
[本文件中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属XXXXX所有，受到有关产权及版权法保护。任何个人、机构未经XXXXX的书面授权许可，不得以任何方式复制或引用本文件的任何片断。]
文件版本信息 版本 V0.1
文件版本信息说明
记录本文件提交时当前有效的版本控制信息，当前版本文件有效期将在新版本文档生效时自动结束。文件版本小于1.0 时，表示该版本文件为草案，仅可作为参照资料之目的。
阅送范围
内部发送部门：综合部、系统运维部、技术开发部、审计与合规部、运营部、财务部、信息统计部
日期 2014.3.17 拟稿和修改 拟稿 说明
目 录
第一章 总则 .................................................. 1 第二章 访问控制策略 .......................................... 1 第三章 系统账号管理 .......................................... 2 第四章 系统安全配置 .......................................... 2 第五章 补丁与漏洞管理 ........................................ 3 第六章 日志管理 .............................................. 4 第七章 备份与恢复 ............................................ 5 第八章 系统监控管理 .......................................... 6 第九章 附则 .................................................. 7 附件 .......................................................... 9
第一章 总则
第一条 为保障XXXXX计算机应用系统的正常运行，完成系统各项应有功能，切实提高生产效率和服务质量，使信息系统更好地服务于生产运营和管理，特制定本规定。
第二条 本规定适用于XXXXX应用系统的运行管理。主要包括应用系统访问控制策略、安全配置、补丁及漏洞修补、备份与日志管理、系统变更、日常监控、安全评估与加固、故障维护与应急管理等方面的内容。
第三条 信息安全管理员负责系统安全管理流程的制订和维护、系统日志审计、系统安全评估和检查、系统相关系统安全事件的处置。
第四条 系统管理员负责系统基础实施、系统补丁的升级、配合安全管理员制定系统安全配置基线和安全事件的分析和处理。
第五条 应用管理员负责应用系统日常监控和维护、配合安全管理员制定应用层安全加固方案和安全事件的分析和处理。
第二章 访问控制策略
第五条 隔离运行：对于不同等级、不同用途的应用系统，应采取特定的隔离措施(物理或逻辑隔离措施)划分不同的安全区域，以确保各区域内应用系统的安全独立运行，对需要交互访问的应用系统应通过限制应用IP等方式控制访问能力。
1
第六条 最小权限：应指定专人对系统进行管理，划分系统管理员角色，明确各个角色的权限、责任和风险，权限设定应当遵循最小授权原则。
第七条 职责分离：系统管理员不得兼任业务操作人员，系统管理员不得对业务数据进行任何增加、删除、修改等操作，系统管理员确需对数据库系统进行业务数据维护操作的，应征得业务部门书面同意，并详细记录维护内容、人员、时间等信息，重要系统的设置至少需要两人在场。
第八条 默认拒绝：未经明确授权的用户，系统应默认采用禁止访问原则。
第三章 系统账号管理
第九条 应按照职责分离原则，根据使用者角色规定可以访问的信息资源；账号的创建、变更、撤销必须遵循“申请-审批”流程；账号及密码应有一定的复杂性要求，参见《XXXXX信息系统帐号和密码管理规定》。
第十条 严格限制默认账号的访问权限，重命名系统默认账号并修改其初始密码。
第十一条 账号对应唯一人员，禁止将账号、口令告知其他人员，锁定或删除无用账号，避免共享账号的存在。
第十二条 操作系统、数据库系统、应用系统及安全设备的管理员账号不能相同。
第四章 系统安全配置
2
第十三条 应根据不同资产类型制定不同的安全配置规范，包括：
（一）主机系统（例如AIX /Linux/Windows）：其安全配置要求包括账号、口令、服务、访问控制、日志审计、登陆显示、IP协议、补丁等方面；
（二）网络设备（例如交换机/路由器）：其安全配置要求包括账号、口令、认证、日志、IP协议、SNMP协议等方面；
（三）数据库（例如Oracle/SQL）：其安全配置要求包括账号、口令、访问控制、日志审计等方面；
（四）中间件（例如Apache/Tomcat）:其安全配置要求包括账号、口令、权限、日志、协议安全、登录超时退出、端口安全、禁止目录浏览等方面；
（五）安全设备（例如防火墙）: 其安全配置要求包括账号、口令、权限、日志审计、协议等方面。
第十四条 新系统上线应遵循安全配置规范进行配置，具体要求和流程详见《XXXXX上线管理流程》。
第十五条 根据安全配置要求，系统管理员定期（不少于1次/年）对负责系统进行自查，信息安全管理人员不定期对各应用系统进行抽查，以保证运行系统符合安全配置要求
第五章 补丁与漏洞管理
3
第十六条 应跟进各产品的安全漏洞信息和产品厂家发布的补丁信息，发现对系统或网络能造成极大危害的漏洞所对应得补丁必须加载，除非此补丁能导致系统或网络不能正常运行。
第十七条 应安装系统的最新补丁程序，在安装系统补丁前，首先在测试环境中测试通过，并对重要文件进行备份后，方可实施系统补丁程序的安装，并对系统变更进行记录。
第十八条 严格遵照补丁升级的流程执行（参见附件1）。 第十九条 核心业务主机的补丁加载建议要求厂商工程师现场支持。
第二十条 补丁安装完成后，系统管理员必须查看系统信息，确保安全补丁已成功加载。补丁加载后的一周内，信息安全管理员必须加强对系统性能和事件进行密切的监控。
第二十一条 信息安全管理员应每半年至少进行一次漏洞扫描，对发现的系统安全漏洞及时进行修补，扫描结果应及时上报。
第六章 日志管理
第二十二条 日志的分类包括：操作系统日志、应用系统日志、数据库日志、网络设备日志和安全设备日志。应根据系统和设备的重要程度、性能设置合适的日志策略（见附件2）。
第二十三条 不得擅自更改已设定好的日志策略、停用日志服务或删除日志记录。
4
第二十四条 系统管理员应定期查看日志内容，对发现的系统故障等异常情况，应及时报告信息安全管理员。
第二十五条 信息安全管理员定期对日志进行审计，填写《日志审计报告》（见附件3）。
第七章 备份与恢复
第二十六条 操作系统备份要求：
（一）备份范围包括操作系统和系统运行所产生的设备信息和操作日志文件；
（二）操作系统运行所产生的登陆和操作日志文件应每月至少备份一次；
（三）操作系统应每季度至少备份一次；
（四）在操作系统安装补丁//进行系统升级/修改系统配置或其他可能导致系统变化的情况发生前，必须进行操作系统备份；
（五）备份介质应异地存放。 第二十七条 数据库备份要求：
（一）备份范围包括数据库的日志文件、数据文件和系统程序文件；
（二）数据库日志文件包括日志文档、告警日志文件和跟踪文件；
（三）在安装数据库补丁、应用系统补丁、数据库升级或其它可导致数据库改变的操作前，必须备份完整的数据库文件和数据库程序文件；
5
（四）数据库文件应每周至少备份一次，备份后应执行备份介质异地存放。
第二十八条 应用系统备份要求：
（一）备份范围包括应用系统程序文件、并发日志和并发输出文件；
（二）应用系统应每月至少备份一次，备份后应执行备份介质异地存放；
（三）在安装应用系统补丁前，必须备份系统程序文件，备份后应执行备份介质异地存放；
（四）应用系统并发日志和并发输出文件应每天进行增量备份，可在本地保存备份介质。
第二十九条 备份与恢复的申请严格按照《XXXXX备份与恢复管理流程》执行。
第八章 系统监控管理
第三十条 系统管理员应每天对系统主机运行情况和日志内容进行检查， 填写《信息系统巡检记录》（见附件4）。
第三十一条 系统管理员负责监控服务器系统的CPU利用率、进程、内存和启动脚本等的使用状况。当服务器系统出现以下现象之一时，须进行安全问题的报告和诊断：
（一）系统中出现异常进程或者进程数量有异常变化； （二）系统突然不明原因的性能下降或重启； （三）系统崩溃，不能正常启动；
6
（四）系统中出现异常的系统账号； （五）系统账号权限发生不明变化； （六）系统出现来源不明的文件。
第三十二条 对系统异常操作进行监控，并产生告警，可包括以下内容：
（一）所有特殊权限操作； （二）未授权的访问尝试； （三）系统报警或故障；
（四）其他改变或企图改变系统的安全设置和控制措施的行为。
第三十三条 系统应开启时钟同步功能，若无该项功能，应在日常巡检时注意校准时间。
第三十四条 在日常监控、维护过程中如发现可能会导致安全事件的产生和发展情况，按照信息安全事件管理程序进行处理。
第三十五条 应建立计算机系统运行监测周报、月报或季报制度，统计分析运行状况。
第三十六条 应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理。
第九章 附则
第三十七条 本规定由网络与信息安全工作领导小组办公室负责制定、解释和更新。
第三十八条 本规定自颁布之日起实行。
7
8
附件
附件1：《补丁升级管理流程》
补丁升级管理流程信息安全管理员系统管理员第三方/系统集成商01、下发安全补丁公告补丁通告02、收获补丁公告03、提供升级补丁04、验证补丁补本获取05、测试安全补丁06、审核补丁测试报告补丁测试07、制订补丁安装实施计划与方案以及相关回退方案08、审核确认补丁升级安装各方案补丁安装09、安装补丁补丁验证10、审核与验证补丁安装结果11、归档补本升级资料补丁归档12、结束本次补丁升级流程
9
附件2：《日志安全最低要求》
日志分类 日志内容 用户ID; 普通用户帐户登录和退出以及修改，增加，删除的日应用系统 期和具体时间； 应用系统的系统级和数据库超级用户的帐号的各种操作； 系统错误日志； 数据库日志 用户所做的操作及执行状态； 用户认证信息，包括登录名，登录时间，登录状态，主机和客户端IP地址，访问的协议，端口。 系统的启动和关闭时间； 系统错误日志； 主机日志 用户所做的操作及执行状态。 用户认证信息，包括登录名，登录时间，登录状态，主机和客户端IP地址，访问的协议，端口； 系统错误日志； 认证信息、登录时间、登录状态、访问源IP及访问网络设备日志 服务； 端口状态变更信息。 访问控制列表的log信息 : 数据流对应访问控制列表条目的匹配； 系统错误日志； 安全设备日志 用户认证信息，包括登录名，登录时间，登录状态； 对于防火墙、IDS等设备，还包括访问策略违反的情况； 视频监视系统日志 图像信息 系统默认最大值 防火墙日志：每天 系统默认最大值 每天 ≥15天 每周 ≥3个月 ≤1月 ≥3个月 ≤1月 保存要求 检查周期 ≥1个月 每天
10
附件3：《日志审计报告》
日志审计报告 填报时间： 年 月 日 时 分 审计内容简述：日志审计 审 计 内 容 描 述 XX系统 主机操作系统日志 应用系统日志 数据库日志 安全设备日志 视频监视系统日志 …… 问 题 整 改 建 议 填报人： 日期：
11
附件4：《信息系统巡检记录》
XX信息系统巡检记录 巡检部门： 巡检人： 巡检时间： 序号 01 02 03 04 05 息 服务器的系统日志是否有异常报告 服务器硬盘空间是否足够 数据备份执行是否成功 巡检内容 硬件是否有报警信息，状态指示灯是否异常 操作系统、应用系统、防毒软件是否有报警信巡检情况说明
12
因篇幅问题不能全部显示，请点此查看更多更全内容