广州市财政局网站安全管理制度（共5篇）

第一篇：广州市财政局网站安全管理制度

3-2.广州市财政局网站安全管理制度

广州财政局 200５年10月

-1-附件

一、总则

为了更好的确保广州市财政局网站的安全稳定运行，合理、可靠、安全、高效地组织和管理广州市财政局网站，提高广州市财政局网站的服务质量，提高维护队伍的整体素质和水平，特制定本管理制度，作为维护和管理广州财政局网站的依据。

二、范围

本制度的适用范围包括广州市财政局网站系统的物理资产（包括：网络设备，主机设备，安全设备，监控设备等）、软件资产（操作系统，数据库，应用程序等）、数据资产（业务数据、网络系统、主机数据，应用程序数据等）以及网站系统的技术人员等。

三、角色和责任

本手册适用于广州财政局网站的网络维护人员、系统维护人员、信息安全员及安全审计员等角色阅读。本手册由信息管理处修改和维护。

四、网络安全维护管理制度

1.网站系统的所有网络设备（包括交换机、路由器、防火墙、IDS以及其他网络设备）应由专职网络维护人员负责管-2-理，定期检查设备的物理环境，并按照机房物理安全要求进行维护。

2.网络维护人员应对所有网络设备进行资产登记，登记记录上应该标明硬件型号，厂家，操作系统版本，已安装的补丁程序号，安装和升级的时间等内容。

3.网络维护人员应至少每天1次，对所有网络设备进行检查，确保各设备都能正常工作。

4.网络维护人员应制定网络设备用户账号的管理制度，对各个网络设备上拥有用户账号的人员、权限以及账号的认证和管理方式做出明确规定。

5.网络维护人员应制订网络设备用户账号口令的管理策略，对口令的选取、组成、长度、保存、修改周期以及存储做出规定；禁止使用名字、姓氏、电话号码、生日等容易猜测的字符作为口令，也不应使用单个单词或命令作为口令，组成口令的字符应包含大小写英文字母、数字、标点、控制字符等，口令长度要求在8位以上；不应将口令存放在个人计算机文件中，或写到容易被其它人获取的地方；对于重要的网络设备，要求至少每个月修改一次口令，或者使用一次性口令设备；若掌握口令的管理人员调离本职工作时，必须立即更改所有相关口令；用户账号口令应以加密方式存储，如MD5方式。

-3-6.严格禁止非网络管理人员直接进入网络设备进行操作，若在特殊情况下（如系统维修、升级等）需要外部人员（主要是指厂家技术工程师、非本系统技术工程师、安全管理员等）进入网络设备进行操作时，必须由网络管理员登录，并对操作全过程进行记录备案。禁止将系统用户账号及口令直接交给外部人员，在紧急情况下需要为外部人员开放临时账号时，必须向信息管理处相关领导申请，在申请中写明开放临时账号的原因、时间、期限、对外部人员操作的监控方法、负责开放和注销临时账号的人员等内容，并严格根据安全管理机构的批复进行临时账号的开放、注销、监控，并记录备案。

7.网络维护人员应尽可能减少网络设备的管理方式，例如Telnet、web、SNMP等；如果的确需要进行远程管理，应使用SSH代替Telnet，使用HTTPS代替HTTP，并且限定远程登录的超时时间，远程管理的用户数量，远程管理的终端IP地址，同时按照“网络安全配置管理策略”中的规定进行严格的身份认证和访问权限的授予，并在配置完后，立刻关闭此类远程连接；应尽可能避免使用SNMP协议进行管理，如果的确需要，应使用V3版本替代V1、V2版本，并启用MD5等验证功能；进行远程管理时，应设置控制口和远程登录口的超时时间，让控制口和远程登录口在空闲一定时间后自动断开。

-4-8.网络维护人员应及时监视、收集网络以及安全设备生产厂商公布的软件以及补丁更新，要求下载补丁程序的站点必须是相应的官方站点，并对更新软件或补丁进行评测，在获得信息管理处领导的批准下，对生产环境实施软件更新或者补丁安装。

9.软件更新或者补丁安装应尽量安排在非业务繁忙时段进行。操作必须由两人以上完成，由一人监督，另一人进行实际操作，并在升级（或修补）前后做好数据和软件的备份工作，同时将整个过程记录备案。

10.软件更新或者补丁安装后网络维护人员应重新对系统进行安全设置，并进行系统的安全检查。

11.网络维护人员应及时报告任何已知的或可疑的信息安全问题、违规行为或紧急安全事件，并在采取适当措施的同时，应向信息管理处领导报告细节；并不得试图干扰、防止、阻碍或劝阻其他员工报告此类事件；同时禁止以任何形式报复报告或调查此类事件的个人。

12.网络维护人员应定期提交安全事件和相关问题的管理报告，以备领导检查。

13.网络维护人员应制订网络设备日志的管理制定，对于日志功能的启用，日志记录的内容，日志的管理形式，日志的审查分析做明确的规定。对于重要网络设备，应建立集中的

-5-日志管理服务器，实现对重要网络设备日志的统一管理，以利于对网络设备日志的审查分析。

14.网络维护人员应保证各设备的系统日志处于运行状态，并每两周对日志做一次全面的分析，对登录的用户、登录时间、所做的配置和操作做检查，在发现有异常的现象时应及时向信息安全工作组报告。

15.网络维护人员应通过各种手段监控网络的流量状况，当突发异常流量时，应立即上报信息安全工作组，并同时采取适当控制措施，并记录备案。

16.网络维护人员应至少每年1次对整个网络进行风险评估。17.网络维护人员应至少每年1次对整个网络进行灾难影响分析，并进行灾难恢复演习。

五、系统安全维护管理制度

1.所有主机设备应由系统维护人员负责管理，定期检查服务器主机的物理环境，并按照相关物理安全要求进行维护。2.系统维护人员应对所有主机设备进行资产登记，登记记录上应该标明硬件型号，厂家，操作系统版本，已安装的补丁程序号，安装和升级的时间等内容。

3.系统维护人员应至少每天1次，对所有主机设备进行检查，确保各设备都能正常工作。

-6-4.系统维护人员应对各个主机设备上拥有用户账号的人员、权限以及账号的认证和管理方式做出明确定义，并定期进行审查，在发现有可疑的用户账号时进行核实并采取相应的措施。

5.在用户权限的设置时应遵循最小授权和权限分割的原则，只给系统用户、数据库系统用户或其它应用系统用户授予业务所需的最小权限，应禁止为所管理主机系统无关的人员提供主机系统用户账号，并且关闭一切不需要的系统账号。对两个月以上不使用的用户账号进行锁定。同时对主机设备中所有用户账号进行登记备案。

6.系统维护人员应制订主机系统的帐户口令管理策略，对口令的选取、组成、长度、保存、修改周期做出规定。禁止使用名字、姓氏、电话号码、生日等容易猜测的字符作为口令，也不要使用单个单词或命令作为口令，组成口令的字符应包含大小写英文字母、数字、标点、控制字符等，口令长度要求在8位以上。不应将口令存放在个人计算机文件中，或写到容易被其它人获取的地方。口令文件（如：系统中的/etc/shadow）及其所有拷贝的访问权限应该严格限制为超级用户可读，并且定期检查。对于重要的主机系统，要求至少每个月修改一次口令，或者使用一次性口令设备；对于管理用的工作站和个人计算机，要求至少每两个月修改一次口令。若掌握口令的管理人员调离本职工作时，必须立即更改

-7-所有相关口令；用户账号口令应以加密方式存储，如MD5方式。

7.系统维护人员应定期利用口令破解软件进行口令模拟破解测试，在发现脆弱性口令后及时采取强制性的补救修改措施。

8.严格禁止非本维护管理人员直接进入主机设备进行操作，若在特殊情况下（如系统维修、升级等）需要外部人员（主要是指厂家技术工程师、非本系统技术工程师、安全管理员等）进入主机设备进行操作时，必须由系统管理员登录，并对操作全过程进行记录备案。禁止将系统用户账号及口令直接交给外部人员，在紧急情况下需要为外部人员开放临时账号时，必须向信息管理处相关领导申请，在申请中写明开放临时账号的原因、时间、期限、对外部人员操作的监控方法、负责开放和注销临时账号的人员等内容，并严格根据主管领导的批复进行临时账号的开放、注销、监控，并记录备案。

9.系统软件安装之后，系统维护人员应立即进行备份；在后续使用过程中，在系统软件的变更以及配置的修改之前和之后，也应立即进行备份工作。

10.严禁随意安装、卸载系统组件和驱动程序，如确实需要，应及时评测可能由此带来的影响，并需要获得主管领导的批准。

-8-11.系统维护人员应制定软件使用制度，禁止在服务器系统上禁止安装与该服务器所提供服务和应用无关的其它软件。12.系统维护人员应制定重要主机系统的安全使用制度，禁止在重要的主机系统上浏览外部网站网页、接收电子邮件、编辑文档以及进行与主机系统维护无关的其它操作。如果需要安装补丁程序，补丁程序必须通过日常维护管理用的工作站或PC机进行下载，然后再移到相应的主机系统安装。13.禁止主机系统上开放具有“写”权限的共享目录，如果确实必要，可临时开放，但要设置强共享口令，并在使用完之后立刻取消共享。

14.系统维护人员应禁止不被系统明确使用的服务、协议和设备的特性，避免使用不安全的服务，例如：SNMP、RPC、Telnet、Finger、Echo、Chargen、Remote Registry、Time、NIS、NFS、R系列服务等。

15.系统维护人员应严格控制重要文件的许可权和拥有权，重要的数据应当加密存放在主机上，取消匿名FTP访问，并合理使用信任关系。

16.系统维护人员应及时监视、收集主机设备操作系统生产厂商公布的软件以及补丁更新，要求下载补丁程序的站点必须是相应的官方站点，并对更新软件或补丁进行评测，在获得主管领导的批准下，再实施软件更新或者补丁安装。

-9-17.软件更新或者补丁安装应尽量安排在非业务繁忙时段进行。操作必须由两人以上完成，由一人监督，另一人进行实际操作，并在升级（或修补）前后做好数据和软件的备份工作，同时将整个过程记录备案。

18.软件更新或者补丁安装后应重新对系统进行安全设置，并进行系统的安全检查。

19.系统维护人员应及时报告任何已知的或可疑的信息安全问题、违规行为或紧急安全事件，并在采取适当措施的同时，应向主管领导报告细节；并不得试图干扰、防止、阻碍或劝阻其他员工报告此类事件；同时禁止以任何形式报复报告或调查此类事件的个人。

20.系统维护人员应制订主机设备日志的管理制定，对于日志功能的启用，日志记录的内容，日志的管理形式，日志的审查分析做明确的规定。对于重要主机设备，应建立集中的日志管理服务器，实现对重要主机设备日志的统一管理，以利于对主机设备日志的审查分析。

21.系统维护人员应保证各主机设备的系统日志处于运行状态，并每两周对日志做一次全面的分析，对登录的用户、登录时间、所做的配置和操作做检查，在发现有异常的现象时应及时向信息安全工作组报告。

22.系统维护人员应定期进行安全漏洞扫描和病毒查杀工作，平均频率应不低于每2周一次，重大安全漏洞发布后，-10-应在3个工作日内进行；并且为了防止网络安全扫描以及病毒查杀对网络性能造成影响，应根据业务的实际情况对扫描时间做出规定，应一般安排在非业务繁忙时段；当发现主机设备上存在病毒、异常开放的服务或者开放的服务存在安全漏洞时应及时上报主管领导，并采取相应措施。

23.系统维护人员应通过各种手段监控主机系统的CPU利用率，进程，内存和启动脚本等的使用状况，在发现异常系统进程或者系统进程数量异常变化时，或者CPU利用率，内存占用量等突然异常时，应立即上报主管领导，并同时采取适当控制措施，并记录备案。

24.当主机系统出现以下现象之一时，系统维护人员必须进行安全问题的报告和诊断：

 系统中出现异常系统进程或者系统进程数量有异常变化。

 系统突然不明原因的性能下降。 系统不明原因的重新启动。 系统崩溃，不能正常启动。 系统中出现异常的系统账号  系统账号口令突然失控。 系统账号权限发生不明变化。 系统出现来源不明的文件。 系统中文件出现不明原因的改动。

-11- 系统时钟出现不明原因的改变。

 系统日志中出现非正常时间系统登录，或有不明IP地址的系统登录。

 发现系统不明原因的在扫描网络上其它主机。25.系统维护人员对主机系统进行维护管理应编写运行维护的日报、周报、月报和年报。

26.主机的备份分两种，一种是数据的备份，另一种是系统配置的备份。网站系统维护人员需要作数据备份的服务器为：数据库主机、电子邮件服务器、WWW主机等。所有主机均应有较详细的系统配置的备份，以便系统的恢复。重要数据应定期进行0级备份和增量备份，并妥善保存存储介质。鉴于现在网络的主机和备份介质，建议采用如下备份计划：  每月做一次系统0级备份；  每周做一次增量备份；

 每个服务器至少保持最近的三个月的系统和数据备份。

第二篇：咸阳市财政局网站管理制度

咸阳市财政局网站管理制度

您是本信息的第 265 位阅读者

信息发布日期：2009年2月3日

总

则

第一条 建立咸阳市财政局信息网站的目的是实现网上政务公开，增加政务透明度，搭建方便、高效的信息渠道，实现政府与公众的互动式交流，提高政府服务水平。

第二条 为了加快我局网站的发展步伐，逐步规范网站的信息收集、发布与管理制度，依据有关的法律、法规规定，结合我局实际情况制定本制度。本制度中网站是指我局外网网站（http://www.xiexiebang.com）的开设、维护、撤销由信息中心负责。第十九条 鼓励各局属单位、县区财政局自行建立本部门网站（页），并与局网站实现链接。

附则

第二十条 本制度由市局金财办负责解释。第二十一条 本制度于二00九年元月一日起施行。

第三篇：网站安全管理制度

第一章 总 则

第一条 为加强我中心网站管理，确保网站的安全，加强网站信息资源建设，根据《中华人民共和国计算机信息系统安全保护条例》、《中华人民共和国计算机信息网络国际互联网管理暂行规定》、《中华人民共和国政府信息公开条例》等有关规定，制定本制度。

第二章 网站信息保障措施

第二条

根据政务信息公开要求，各部门应及时在网站上发布工作中产生的不涉密政务信息与新闻。

第三条

各部门指派专人担任信息员，负责采集、编录本部门的信息并向网站提供。

第四条

信息员采集的信息经部门负责人审核后方可向网站提供，信息内容按“谁提供，谁负责”的原则进行责任认定。

第五条

网上发布的文件、数据、文字及图像等信息统一由网站管理员存档管理。

第三章 安全管理制度

第六条 网站安全管理由信息中心负责。各部门应明确分管负责人、承办部门和具体责任人员。

第七条

网站管理员应当对重要文件、数据及应用系统作定期备份，以便应急恢复。

第八条 应当设置网站后台管理及上传的登录口令。口令的位数不应少于8位，严禁将个人登录帐号和密码泄露给他人使用。

第九条 网站和机房应建立严格的门禁制度和日常管理制度，机房及机房内所有设备必须由专人负责管理，每日应有机房值班记录和主要设备运行情况的记录。外来系统维护人员进入机房，应由技术人员陪同并对工作内容做详细记录。

第十条 应及时对网站管理及服务器系统漏洞进行定期检测，并根据检测结果采取相应的措施。要及时对操作系统、数据库等系统软件进行补丁包升级或者版本升级，以防黑客利用系统漏洞和弱点非法入侵。

第十一条 应当充分估计各种突发事件的可能性，做好应急响应方案。同时，要与岗位责任制度相结合，保证应急响应方案的及时实施，将损失降到最低程度。

第十二条 网站在发生安全突发事件后，除在第一时间组织人员进行解决外，应当及时向交易中心中心相关负责人报告，由其给予及时的指导和必要的技术支持，并视安全突发事件的严重程度，及时协调公安及网络服务商等单位进行处理。

第十三条 应当制定工作人员管理制度，明确工作人员的职责和权限，通过定期开展业务培训，提高人员素质，同时，规范人员调离制度，做好保密义务承诺、资料退还、系统口令更换等必要的安全保密工作。

第四章 网站应急处置预案

第十四条

网站、网页出现非法言论时的紧急措施：

(一)、当发现网站或接到举报出现非法信息时，网站管理员应立即向相关负责人通报情况；

(二)、负责人在接到网站管理员报告后及时组织安排技术人员进行处理；(三)、技术人员在接到通知后立即清理非法信息，强化安全防范措施，将网站网页重新投入使用；

(四)、网站管理员应妥善保存有关记录、日志或审计记录。

第十五条

网站遭到黑客攻击时的紧急处置措施：

(一)、当有网页内容被篡改，或通过入侵检测系统发现有黑客正在进行攻击时，网站管理员首先应将被攻击的服务器等设备从网络中隔离出来，同时向负责人汇报情况；

(二)、负责人在接到网站管理员报告后及时组织安排技术人员进行处理；

(三)、技术人员立即进行被破坏系统的恢复与重建工作；(四)、网站管理员应妥善保存有关记录、日志或审计记录。第十六条

病毒安全紧急处置措施：

(一)、当网站管理员发现计算机感染有病毒后，应立即将该机从网络上隔离出来；

(二)、对该设备的硬盘进行数据备份；

(三)、启用病毒软件对该机进行杀毒处理，同时利用病毒检测软件对其他机器进行病毒扫描和清除工作；

(四)、如发现反病毒软件无法清除该病毒，应立即向技术人员报告；

(五)、经技术人员确认无法查杀该病毒后，应作好记录，同时立即向相关负责人报告，并迅速研究解决问题；

(六)、如果感染病毒的设备是服务器或者主机系统，经负责人同意，立即告知各相关单位做好相应的病毒清查工作。

第十七条

软件系统遭受破坏性攻击的紧急处置措施：

(一)、一旦软件遭到破坏性攻击，网站管理员应立即向技术人员报告，并将系统停止运行；

(二)、技术人员立即进行软件系统和数据的恢复；(三)、网站管理员应妥善保存有关记录、日志或审计记录。第十八条

数据库安全紧急处置措施：

(一)、一旦数据库崩溃，网站管理员应立即向负责人与技术人员报告，经负责人同意后通知各相关单位暂缓上传上报数据；

(二)、技术人员对数据库系统进行维护，如无法正常维护，采取数据

库备份恢复的办法；

(三)、如果备份均无法恢复，应立即向有关厂商请求紧急技术支援。第十九条

设备安全紧急处置措施：

(一)、小型机、服务器等关键设备损坏后，网站管理员应立即向负责人报告并通知技术人员；

(二)、技术人员应立即查明原因，具有备份服务器的要马上启用备份服务器提供网站服务；

(三)、如果能够自行处理，应立即用备件替换受损部件；

(四)、如果不能自行处理的，立即与设备提供商联系，请求派维修人

员前来维修。

第四篇：网站安全管理制度

网站安全管理制度

一、总则

为了更好的确保XXXXX网站的安全稳定运行，合理、可靠、安全、高效地组织和管理XXXX网站，提高XXXX网站的服务质量，提高维护队伍的整体素质和水平，特制定本 管理制度，作为维护和管理XXXX网站的依据。

二、范围

本制度的适用范围包括XXXX网站系统的物理资产（包括：网络设备，主机设备，安全设备，监控设备等）、软件资产（操作系统，数据库，应用程序等）、数据资产（业务数据、网络系统、主机数据，应用程序数据等）以及网站系统的技术人员等。

三、角色和责任

本手册适用于XXXX网站的网络维护人员、系统维护人员、信息安全员及安全审计员等角色阅读。本手册由信息管理处修改和维护。

四、网络安全维护管理制度

1.网站系统的所有网络设备（包括交换机、路由器、防火墙、IDS以及其他网络设备）应由专职网络维护人员负责管理，定期检查设备的物理环境，并按照机房物理安全要求进行维护。2.网络维护人员应对所有网络设备进行资产登记，登记记录上应该标明硬件型号，厂家，操作系统版本，已安装的补丁程序号，安装和升级的时间等内容。

3.网络维护人员应至少每天1次，对所有网络设备进行检查，确保各设备都能正常工作。

4.网络维护人员应制定网络设备用户账号的管理制度，对各个网络设备上拥有用户账号的人员、权限以及账号的认证和管理方式做出明确规定。

5.网络维护人员应制订网络设备用户账号口令的管理策略，对口令的选取、组成、长度、保存、修改周期以及存储做出规定；禁止使用名字、姓氏、电话号码、生日等容易猜测的字符作为口令，也不应使用单个单词或命令作为口令，组成口令的字符应包含大小写英文字母、数字、标点、控制字符等，口令长度要求在8位以上；不应将口令存放在个人计算机文件中，或写到容易被其它人获取的地方；对于重要的网络设备，要求至少每个月修改一次口令，或者使用一次性口令设备；若掌握口令的管理人员调离本职工作时，必须立即更改所有相关口令；用户账号口令应以加密方式存储，如MD5方式。

6.严格禁止非网络管理人员直接进入网络设备进行操作，若在特殊情况下（如系统维修、升级等）需要外部人员（主要是指厂家技术工程师、非本系统技术工程师、安全管理员等）进入网络设备进行操作时，必须由网络管理员登录，并对操作全过程进行记录备案。禁止将系统用户账号及口令直接交给外部人员，在紧急情况下需要为外部人员开放临时账号时，必须向信息管理处相关领导申请，在申请中写明开放临时账号的原因、时间、期限、对外部人员操作的监控方法、负责开放和注销临时账号的人员等内容，并严格根据安全管理机构的批复进行临时账号的开放、注销、监控，并记录备案。

7.网络维护人员应尽可能减少网络设备的管理方式，例如Telnet、web、SNMP等；如果的确需要进行远程管理，应使用SSH代替Telnet，使用HTTPS代替HTTP，并且限定远程登录的超时时间，远程管理的用户数量，远程管理的终端IP地址，同时按照“网络安全配置管理策略”中的规定进行严格的身份认证和访问权限的授予，并在配置完后，立刻关闭此类远程连接；应尽可能避免使用SNMP协议进行管理，如果的确需要，应使用V3版本替代V1、V2版本，并启用MD5等验证功能；进行远程管理时，应设置控制口和远程登录口的超时时间，让控制口和远程登录口在空闲一定时间后自动断开。

8.网络维护人员应及时监视、收集网络以及安全设备生产厂商公布的软件以及补丁更新，要求下载补丁程序的站点必须是相应的官方站点，并对更新软件或补丁进行评测，在获得信息管理处领导的批准下，对生产环境实施软件更新或者补丁安装。

9.软件更新或者补丁安装应尽量安排在非业务繁忙时段进行。操作必须由两人以上完成，由一人监督，另一人进行实际操作，并在升级（或修补）前后做好数据和软件的备份工作，同时将整个过程记录备案。

10.软件更新或者补丁安装后网络维护人员应重新对系统进行安全设置，并进行系统的安全检查。11.网络维护人员应及时报告任何已知的或可疑的信息安全问题、违规行为或紧急安全事件，并在采取适当措施的同时，应向信息管理处领导报告细节；并不得试图干扰、防止、阻碍或劝阻其他员工报告此类事件；同时禁止以任何形式报复报告或调查此类事件的个人。

12.网络维护人员应定期提交安全事件和相关问题的管理报告，以备领导检查。

13.网络维护人员应制订网络设备日志的管理制定，对于日志功能的启用，日志记录的内容，日志的管理形式，日志的审查分析做明确的规定。对于重要网络设备，应建立集中的日志管理服务器，实现对重要网络设备日志的统一管理，以利于对网络设备日志的审查分析。

14.网络维护人员应保证各设备的系统日志处于运行状态，并每两周对日志做一次全面的分析，对登录的用户、登录时间、所做的配置和操作做检查，在发现有异常的现象时应及时向信息安全工作组报告。

15.网络维护人员应通过各种手段监控网络的流量状况，当突发异常流量时，应立即上报信息安全工作组，并同时采取适当控制措施，并记录备案。

16.网络维护人员应至少每年1次对整个网络进行风险评估。17.网络维护人员应至少每年1次对整个网络进行灾难影响分析，并进行灾难恢复演习。

五、系统安全维护管理制度 1.所有主机设备应由系统维护人员负责管理，定期检查服务器主机的物理环境，并按照相关物理安全要求进行维护。

2.系统维护人员应对所有主机设备进行资产登记，登记记录上应该标明硬件型号，厂家，操作系统版本，已安装的补丁程序号，安装和升级的时间等内容。

3.系统维护人员应至少每天1次，对所有主机设备进行检查，确保各设备都能正常工作。

4.系统维护人员应对各个主机设备上拥有用户账号的人员、权限以及账号的认证和管理方式做出明确定义，并定期进行审查，在发现有可疑的用户账号时进行核实并采取相应的措施。

5.在用户权限的设置时应遵循最小授权和权限分割的原则，只给系统用户、数据库系统用户或其它应用系统用户授予业务所需的最小权限，应禁止为所管理主机系统无关的人员提供主机系统用户账号，并且关闭一切不需要的系统账号。对两个月以上不使用的用户账号进行锁定。同时对主机设备中所有用户账号进行登记备案。

6.系统维护人员应制订主机系统的帐户口令管理策略，对口令的选取、组成、长度、保存、修改周期做出规定。禁止使用名字、姓氏、电话号码、生日等容易猜测的字符作为口令，也不要使用单个单词或命令作为口令，组成口令的字符应包含大小写英文字母、数字、标点、控制字符等，口令长度要求在8位以上。不应将口令存放在个人计算机文件中，或写到容易被其它人获取的地方。口令文件（如：系统中的/etc/shadow）及其所有拷贝的访问权限应该严格限制为超级用户可读，并且定期检查。对于重要的主机系统，要求至少每个月修改一次口令，或者使用一次性口令设备；对于管理用的工作站和个人计算机，要求至少每两个月修改一次口令。若掌握口令的管理人员调离本职工作时，必须立即更改所有相关口令；用户账号口令应以加密方式存储，如MD5方式。

7.系统维护人员应定期利用口令破解软件进行口令模拟破解测试，在发现脆弱性口令后及时采取强制性的补救修改措施。

8.严格禁止非本维护管理人员直接进入主机设备进行操作，若在特殊情况下（如系统维修、升级等）需要外部人员（主要是指厂家技术工程师、非本系统技术工程师、安全管理员等）进入主机设备进行操作时，必须由系统管理员登录，并对操作全过程进行记录备案。禁止将系统用户账号及口令直接交给外部人员，在紧急情况下需要为外部人员开放临时账号时，必须向信息管理处相关领导申请，在申请中写明开放临时账号的原因、时间、期限、对外部人员操作的监控方法、负责开放和注销临时账号的人员等内容，并严格根据主管领导的批复进行临时账号的开放、注销、监控，并记录备案。

9.系统软件安装之后，系统维护人员应立即进行备份；在后续使用过程中，在系统软件的变更以及配置的修改之前和之后，也应立即进行备份工作。

10.严禁随意安装、卸载系统组件和驱动程序，如确实需要，应及时评测可能由此带来的影响，并需要获得主管领导的批准。

11.系统维护人员应制定软件使用制度，禁止在服务器系统上禁止安装与该服务器所提供服务和应用无关的其它软件。12.系统维护人员应制定重要主机系统的安全使用制度，禁止在重要的主机系统上浏览外部网站网页、接收电子邮件、编辑文档以及进行与主机系统维护无关的其它操作。如果需要安装补丁程序，补丁程序必须通过日常维护管理用的工作站或PC机进行下载，然后再移到相应的主机系统安装。

13.禁止主机系统上开放具有“写”权限的共享目录，如果确实必要，可临时开放，但要设置强共享口令，并在使用完之后立刻取消共享。

14.系统维护人员应禁止不被系统明确使用的服务、协议和设备的特性，避免使用不安全的服务，例如：SNMP、RPC、Telnet、Finger、Echo、Chargen、Remote Registry、Time、NIS、NFS、R系列服务等。

15.系统维护人员应严格控制重要文件的许可权和拥有权，重要的数据应当加密存放在主机上，取消匿名FTP访问，并合理使用信任关系。

16.系统维护人员应及时监视、收集主机设备操作系统生产厂商公布的软件以及补丁更新，要求下载补丁程序的站点必须是相应的官方站点，并对更新软件或补丁进行评测，在获得主管领导的批准下，再实施软件更新或者补丁安装。

17.软件更新或者补丁安装应尽量安排在非业务繁忙时段进行。操作必须由两人以上完成，由一人监督，另一人进行实际操作，并在升级（或修补）前后做好数据和软件的备份工作，同时将整个过程记录备案。

18.软件更新或者补丁安装后应重新对系统进行安全设置，并进行系统的安全检查。19.系统维护人员应及时报告任何已知的或可疑的信息安全问题、违规行为或紧急安全事件，并在采取适当措施的同时，应向主管领导报告细节；并不得试图干扰、防止、阻碍或劝阻其他员工报告此类事件；同时禁止以任何形式报复报告或调查此类事件的个人。

20.系统维护人员应制订主机设备日志的管理制定，对于日志功能的启用，日志记录的内容，日志的管理形式，日志的审查分析做明确的规定。对于重要主机设备，应建立集中的日志管理服务器，实现对重要主机设备日志的统一管理，以利于对主机设备日志的审查分析。

21.系统维护人员应保证各主机设备的系统日志处于运行状态，并每两周对日志做一次全面的分析，对登录的用户、登录时间、所做的配置和操作做检查，在发现有异常的现象时应及时向信息安全工作组报告。

22.系统维护人员应定期进行安全漏洞扫描和病毒查杀工作，平均频率应不低于每2周一次，重大安全漏洞发布后，应在3个工作日内进行；并且为了防止网络安全扫描以及病毒查杀对网络性能造成影响，应根据业务的实际情况对扫描时间做出规定，应一般安排在非业务繁忙时段；当发现主机设备上存在病毒、异常开放的服务或者开放的服务存在安全漏洞时应及时上报主管领导，并采取相应措施。

23.系统维护人员应通过各种手段监控主机系统的CPU利用率，进程，内存和启动脚本等的使用状况，在发现异常系统进程或者系统进程数量异常变化时，或者CPU利用率，内存占用量等突然异常时，应立即上报主管领导，并同时采取适当控制措施，并记录备案。24.当主机系统出现以下现象之一时，系统维护人员必须进行安全问题的报告和诊断：

 系统中出现异常系统进程或者系统进程数量有异常变化。 系统突然不明原因的性能下降。 系统不明原因的重新启动。 系统崩溃，不能正常启动。 系统中出现异常的系统账号。 系统账号口令突然失控。 系统账号权限发生不明变化。 系统出现来源不明的文件。 系统中文件出现不明原因的改动。 系统时钟出现不明原因的改变。

 系统日志中出现非正常时间系统登录，或有不明IP地址的系统登录。

 发现系统不明原因的在扫描网络上其它主机。

25.系统维护人员对主机系统进行维护管理应编写运行维护的日报、周报、月报和年报。

26.主机的备份分两种，一种是数据的备份，另一种是系统配置的备份。网站系统维护人员需要作数据备份的服务器为：数据库主机、电子邮件服务器、WWW主机等。所有主机均应有较详细的系统配置的备份，以便系统的恢复。重要数据应定期进行0级备份和增量备份，并妥善保存存储介质。鉴于现在网络的主机和备份介质，建议采用如下备份计划：  每月做一次系统0级备份；  每周做一次增量备份；

 每个服务器至少保持最近的三个月的系统和数据备份。

二0一0年三月五日

第五篇：网站安全管理制度

网站安全管理制度

为加强网站安全管理，确保该网站的整体安全，根据《中华人民共和国计算机信息系统安全保护条例》等有关规定，制定本制度。

第一条 网站的建设应坚持“统一规划，统一标准，资源共享，安全保密”的原则。信息资源遵循“谁发布，谁负责；谁主管，谁管理”。

第二条 拟对外公开的信息在上网发布前，应经网站负责人审核确认。对在线互动性栏目，要加强网上互动内容的监管，确保信息的健康和安全。以下有害信息不得在网上发布：

1、反对宪法所确定的基本原则的；

2、危害国家安全、泄露国家秘密、颠覆国家政权、破坏国家统一的；

3、损害国家荣誉和利益的；

4、煽动民族仇恨、民族歧视、破坏民族团结的；

5、破坏国家宗教政策，宣扬邪教和封建迷信的；

6、散布谣言，扰乱社会秩序，破坏社会稳定的；

7、散布淫秽、色情、赌博、暴力、凶杀、恐怖或教唆犯罪的；

8、侮辱或者诽谤他人，侵害他人的合法权益的；

9、含有法律、行政法规禁止的其他内容的。

第三条 网站在建设和运行中，要加强安全措施，增强安全技术手段。保证网站每天24小时正常开通运转，以方便公众访问。网站应当对重要文件、数据、操作系统及应用系统作定期备份，以便应急恢复。严禁将各个人登录帐号和密码泄露给他人使用。

第四条 网站负责人、技术开发人员和信息采编人员所用电脑必须加强病毒、黑客安全防范措施，必须有相应的安全软件实施保护，确保电脑内的资料和帐号、密码的安全、可靠。

第五条 网站应当充分估计各种突发事件的可能性，做好应急响应方案。制定详细的工作人员管理制度，明确工作人员的职责和权限。同时，规范人员调离制度，做好保密义务承诺、资料退还、系统口令更换等必要的安全保密工作。

第六条 本制度即发布之日起实施。

通联禽业信息服务有限公司

2012-5