信息系统安全管理论文：浅谈网络与重要信息系统安全管理[最终版]

第一篇：信息系统安全管理论文：浅谈网络与重要信息系统安全管理[最终版]

信息系统安全管理论文：浅谈网络与重要信息系统安全管理

摘 要:介绍了电力企业信息化的应用情况,通过对电力企业网络与重要信息系统安全大检查,找出了一些主要弱点,分析了问题的成因,提出了一系列切实可行的建议和方法。

关键词:电力企业信息化;网络与重要信息系统;安全检查;安全管理

0引言

随着信息技术日新月异的发展,近些年来,电力企业在信息化应用方面的要求也在逐步提高,信息网络覆盖面也越来越大,网络的利用率稳步提高;利用计算机网络技术与各重要业务系统相结合,可以实现无纸办公,大大地提高了工作效率,如外门户网站系统、内部门户网站系统、办公自动化系统、营销管理系统、配网管理系统、财务管理系统、生产管理系统等。然而,信息化技术带来便利的同时,各种网络与信息系统安全问题也逐渐暴露出来,下面针对共性问题做一些探讨。开展网络与重要信息系统安全大检查网络与信息安全检查具体内容包括:基础网络与服务器、对外门户网站、数据中心、内部办公系统、营销管理系统、财务资金管理系统等重点业务系统的现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况。信息安全管理保障检查点序号检查内容检查项1安全规章制度2安全组织与人

3资产管理4安全运维管理5信息数据安全6应急响应合计 根据检查情况得出主要弱点 2.1 安全管理保障检查

2.1.1 安全规章制度主要弱点(1)未制订信息安全审计管理规定。(2)未制订应用系统开发安全管理规定。(3)部分单位未制订关键资产的操作审批流程。(4)操作系统、数据库、设备的操作与配置管理不完善。信息安全技术保障检查点序号检查内容检查项1服务器操作系统数据库中间件应用系统2网络设备3安全设备4网站5终端合计 自查内容和数量统计序号类别检查数量1网络及安全设备2操作系统3数据库4中间件5网站6应用系统7终端

(5)未制订移动存储介质管理规定。(6)未制订信息安全风险评估规范及实施指南。

2.1.2 安全组织与人员管理主要弱点(1)没有与信息管理和技术人员签订保密协议。(2)未制订信息安全的培训计划,未定期开展信息安全技术培训。(3)部分单位未配备专职信息安全管理人员。(4)信息技术人员身兼多职:操作系统、数据库、网络管理等。

2.1.3 资产管理主要弱点(1)没有对资产变更进行安全审计。(2)没有磁盘、光盘、U盘和移动硬盘等存储介质的销

(3)未对设备或应用系统进行上线前的安全测试。2.1.安全运维管理主要弱点(1)未对主机、网络设备、安全设备、应用系统、数据库进行定期日志审计。(2)未对主机、网络、应用系统、数据库的用户与密码进行定期安全审计。(3)未对终端接入网络进行准入控制,没有非法外联控制措施。(4)未定期对主机、网络、应用系统、数据库、终端进行漏洞扫描。(5)没有用于系统和设备上线测试的网络测试区域。(6)没有对网络流量进行监控。

2.1.5 信息数据安全主要弱点(1)未对重要数据采取存储加密或传输加密措施。(2)多数未对信息技术数据、资料的登记、使用、报废进行统一管理。

2.1.6 应急响应管理主要弱点(1)未制订完整的单项应急预案。(2)未制订网络与信息安全应急预案培训与演练计划。(3)没有定期开展应急培训和演练。

2.2 安全技术保障检查

2.2.1 操作系统主要弱点(1)未对登陆密码的长度和更换时间做出系统配置限制。(2)未做登陆源IP或MAC地址以及用户捆绑。(3)没有关闭不必要的端口,没有停止不必要的服务。(4)没有定期进行安全漏洞检测和加固。(5)部分W indows操作系统的服务器管理员的默认帐号名没有修改。

2.2.2 数据库主要弱点(1)未定期审核数据库用户的权,并及时调整。(2)MS SQLServer数据库中未去掉危险的存储服务。(3)没有数据库备份操作规程。

2.2.3 中间件主要弱点没有对中间件管理操作进行登陆源限制。

2.2.4 应用系统主要弱点(1)没有进行上线前的安全检查。(2)没有采用安全加密的方式登录。(3)登陆管理后台时,多数未做登陆源限制。(4)没有定期进行安全检查。

2.2.5 设备主要弱点(1)未做登陆源限制。(2)未采用安全加密的方式登陆。(3)未启用日志审计或日志保存时间小于3个月。

2.2.6 网站(内、外)主要弱点(1)部分网站没有备份和冗余能力。(2)部分网站没有部署防篡改系统。(3)多数未对登陆网站管理后台的登陆源做出限制。(4)大部分网站存在SQL注入的隐患。(5)大部分网站没有文件上传过滤功能。(6)部分网站没有日志审计功能。(7)部分网站没有部署入侵检测系统。

2.2.7 终端主要弱点

(1)大部分未设置超时锁屏功能。(2)没有定期进行安全漏洞扫描。(3)没有修改默认的系统管理员名。(4)没有定期修改系统管理员密码。(5)未关闭不必要的端口。3 加强网络与重要信息系统安全管理的建议通过检查,识别企业的信息资,进行风险评估,假定这些风险成为现实时企业所承受的灾难和损失,通过降低风险、避免风险、接受风险等多种风险管理方式,采取整改措施制定企业信息安全策略。

(2)3.1 开展网络与信息系统安全等级保护定级工作信息安全等级保护制度开始向多种行业推进,应逐渐认识到,只有良好的安全管理才能有效地解决定级过程中所发现的安全问题,并且为后续的信息安全提供长时间的保障。电力企业根据《信息安全等级保护管理办法》、《电力行业信息系统等级保护定级工作指导意见》实施信息安全等级保护工作,综合考虑信息系统的业务类型、业务重要性及物理位置差异等各种因素,全面分析业务信息安全被破坏时及系统服务安全被破坏时所侵害的客体以及对相应客体的侵害程度,将信息系统分为不同安全保护等级。开展信息安全等级保护工作有利于加强和规范信息安全等级保护管理,提高信息安全保障能力和水平,保障和促进信息化建设健康发展。

(3)3.2 开展网络与信息安全综合防护工作及应急预案(1)严格落实机房管理制度,严格控制机房人员出入;禁止无关人员进入机房,禁止无关设备接入内部网络和系统。(2)各企业应统一互联网出口通道,内部网络的其他个人计算机不得通过任何方式私自与互联网建立网络通道;对网络关键点进行

监控,并对策略进行优化,重点关注端口扫描、网站漏洞攻击、邮件发送等事件;加强防火墙、链路优化器、IDS及DNS等设备的日志管理与安全审计,做好配置定时备份;加强接入环节管理,有效使用防火墙和入侵检测设备;关闭或删除不必要的应用、服务、端口和链接。(3)严格执行信息安全“五禁止”规定。禁止将涉密信息系统接入互联网等公共信息网络;禁止在涉密计算机与非涉密计算机之间交叉使用U盘等移动存储设备;禁止在没有防护措施的情况下将公共信息网络上的数据拷贝到涉密信息系统;禁止涉密计算机、涉密移动存储设备与非涉密计算机、非涉密移动存储设备混用;禁止使用具有无线互联功能的设备处理涉密信息。(4)加强重要管理信息系统的安全监控和管理。企业内外网站按照有关要求加强系统防护措施,在系统方面关闭不必要的进程和端口,消除程序代码方面的漏洞,消除程序代码中的SQL注入和跨站漏洞等代码漏洞,加强网站发布信息的审核,加强监控,发现网站被攻击或被篡改的,马上启动应急预案恢复网站系统;对重要应用系统(包括营销管理系统、财务管理系统等),要加强日常监控和运维管理,及时做好数据的备份工作。(5)加强终端设备的管理,有条件的可实施防病毒、域和桌面管理及PKI/CA管理。对管理信息系统的用户、口令、补丁等进行仔细的检查,杜绝弱口令,及时更新和升级。(6)加强企业员工及网络管理人员安,通过多种形式进行信息安全宣传和教育,明白违规操作产生的危害,规范日常计算机使用操作行为,提高信息安全意识。(7)有针对性地制订网络与信息安全应急单项预案,并落实责任到人。应急预案编制完成后,要组织开展应急演练工作。通过演练,总结经验,对预案进行修改与完善,切实提高应急处置能力。

(4)4 结束语

(5)网络与重要信息系统安全管理是一项任重道远的工作,是系统的、全局的管理问题,网络上的任何一个漏洞都会导致全网的安全问题,应该用系统工程的观点、方法,遵循整体安全性原则,制订安全体系结构,才能真正做到整个系统的安全。

(6)参考文献:(7)[1]李涛.网络安全概论[M].北京:电子工业出版, 2004.(8)[2]张世勇.网络安全原理与应用[M].北京:科学出版社,2003.

第二篇：信息系统安全管理方案

信息系统安全管理方案

信息系统的安全，是指为信息系统建立和采取的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因而遭到破坏、更改和泄漏，以保证系统连续正常运行。信息系统的安全方案是为发布、管理和保护敏感的信息资源而制定的一级法律、法规和措施的总和，是对信息资源使用、管理规则的正式描述，是院内所有人员都必须遵守的规则。信息系统的受到的安全威胁有：操作系统的不安全性、防火墙的不安全性、来自内部人员的安全威胁、缺乏有效的监督机制和评估网络系统的安全性手段、系统不能对病毒有效控制等。

一、机房设备的物理安全

硬件设备事故对信息系统危害极大，如电源事故引起的火灾，机房通风散热不好引起烧毁硬件等，严重的可使系统业务停顿，造成不可估量的损失；轻的也会使相应业务混乱，无法正常运转。对系统的管理、看护不善，可使一些不法分子盗窃计算机及网络硬件设备，从中牟利，使企业和国家财产遭受损失，还破坏了系统的正常运行。因此，信息系统安全首先要保证机房和硬件设备的安全。要制定严格的机房管理制度和保卫制度，注意防火、防盗、防雷击等突发事件和自然灾害，采用隔离、防辐射措施实现系统安全运行。

二、管理制度

在制定安全策略的同时，要制定相关的信息与网络安全的技术标

准与规范。技术标准着重从技术方面规定与规范实现安全策略的技术、机制与安全产品的功能指标要求。管理规范是从政策组织、人力与流程方面对安全策略的实施进行规划。这些标准与规范是安全策略的技术保障与管理基础，没有一定政策法规制度保障的安全策略形同一堆废纸。

要备好国家有关法规，如：《中华人民共和国计算机信息系统安全保护条例》、《中华人民共和国计算机信息网络国际联网管理暂行规定》、《计算机信息网络国际联网安全保护管理办法》、《计算机信息系统安全专用产品检测和销售许可证管理办法》、《中华人民共和国计算机信息网络国际联网管理暂行规定实施办法》、《商用密码管理条例》等，做到有据可查。同时，要制定信息系统及其环境安全管理的规则，规则应包含下列内容：

１、岗位职责：包括门卫在内的值班制度与职责，管理人员和工程技术人员的职责；

２、信息系统的使用规则，包括各用户的使用权限，建立与维护完整的网络用户数据库，严格对系统日志进行管理，对公共机房实行精确到人、到机位的登记制度，实现对网络客户、ＩＰ地址、ＭＡＣ地址、服务帐号的精确管理；

３、软件管理制度；

４、机房设备（包括电源、空调）管理制度；

５、网络运行管理制度；

６、硬件维护制度；

７、软件维护制度；

８、定期安全检查与教育制度；

９、下属单位入网行为规范和安全协议。

三、网络安全

按照网络ＯＳＩ七层模型，网络系统的安全贯穿与整个七层模型。针对网络系统实际运行的ＴＣＰ／ＩＰ协议，网络安全贯穿于信息系统的以下层次：

１、物理层安全：主要防止物理通路的损坏、物理通路的窃听、对物理通路的攻击（干扰等）。

２、链路层安全：需要保证网络链路传送的数据不被窃听。主要采用划分 ＶＬＡＮ、加密通讯（远程网）等手段。

３、网络层安全：需要保证网络只给授权的用户使用授权的服务，保证网络路由正确，避免被拦截或监听。

４、操作系统安全：保证客户资料、操作系统访问控制的安全，同时能够对该操作系统的应用进行审计。

５、应用平台安全：应用平台之建立在网络系统上的应用软件服务器，如数据服务器、电子邮件服务器、ＷＥＢ服务器等。其安全通常采用多种技术（如ＳＳＬ等）来增强应用平台的安全系统。

６、应用系统安全：使用应用平台提供的安全服务来保证基本安全，如通过通讯双方的认证、审计等手段。

系统安全体系应具备以下功能：建立对特等网段、服务的访问控制体系；检查安全漏洞；建立入侵性攻击监控体系；主动进行加密通

讯；建立良好的认证体系；进行良好的备份和恢复机制；进行多层防御，隐藏内部信息并建立安全监控中心等。

网络安全防范是每一个系统设计人员和管理人员的重要任务和职责。网络应采用保种控制技术保证安全访问而绝对禁止非法者进入，已经成为网络建设及安全的重大决策问题。

明确网络资源。事实上我们不能确定谁会来攻击网络系统，所以作为网络管理员在制定安全策略之初应充分了解网络结构，了解保护什么，需要什么样的访问以及如何协调所有的网络资源和访问。

第三篇：信息系统安全管理规范

信息系统安全管理规范

1、目标

此文档用于规范公司业务系统的安全管理，安全管理所达到的目标如下：

确保业务系统中所有数据及文件的有效保护，未经许可的用户无法访问数据。对用户权限进行合理规划，使系统在安全状态下满足工作的需求。

2、机房访问控制

机房做为设备的集中地，对于进入有严格的要求。只有公司指定的系统管理员及数据库管理员才有权限申请进入机房。系统管理员及数据库管理员因工作需要进入机房前必须经过公司书面批准。严格遵守机房管理制度。

3、操作系统访问控制

保护系统数据安全的第一道防线是保障网络访问的安全，不允许未经许可的 用户进入到公司网络中。第二道防线就是要控制存放数据及应用文件的主机系统 不能被未经许可的用户直接访问。为防止主机系统被不安全访问，采取以下措施： 操作系统级的超级管理用户口令、数据库管理用户口令、应用管理用户口令 只能由系统管理员设定并经办公室审核，１个月做一次修改，口令要向其他人员 保密。在应用系统实施阶段，考虑到应用软件提供商需要对自己的产品进行调试，可以在调试时将应用管理用户口令暂时开放给应用软件提供商； 调试一结束系统 管理员马上更改口令。对口令设定必需满足以下规范： 最多允许尝试次数 口令最长有效期 口令的最大长度 口令的最小长度 5 30 天 不受限 6 口令的唯一性要求。

4、系统的安全控制

最近三次所更改的口令不能相同 通过口令控制及对象的安全控制实现。

5、数据库访问控制

为有效的保障业务数据的安全，采取以下措施：

数据库内具有较高权限的管理用户口令由办公室数据库管理员设定,并由办公室审核，不能向其他人开放。口令必须１个月做一次修改。业务系统后台数据库对象创建用户的口令由办公室数据库管理员设定，由办公室审核。不能向其他人开放。口令必须 1 个月做一次修改。

对口令设定必需满足以下规范：

口令最长有效期 口令的最大长度 口令的最小长度 口令的唯一性要求 30 天 不受限 6 最近三次所更改的口令不能相同 根据操作需求，在数据库中分别建立对业务数据只有“增、删、改”权限的用户；对业务数据只有“查询”权限的用户。不同的操作需求开

放不同权限的用 户。除办公室门的人员外，其他部门的任何人员均没有权限从后台数据库直接进行数据的“增、删、改”操作 对于业务必须的后台 job 或批处理，必须由办公室门人员执行。

6、应用系统访问控制

应用系统访问依靠系统内部定义的操作用户权限来控制,操作用户权限控制到菜单一级，对于操作用户的安全管理有如下规范：

所有应用级的操作用户及初始口令统一由办公室门设定，以个人邮件的形式分别发给各部门的操作人员。各部门操作人员在首次登录时必须修改口令，口令必须１个月做一次修改。

对于口令设定必需满足以下规范：

口令最长有效期 口令的最大长度口令的最小长度口令的唯一性要求 30 天 不受限 6 最近三次所更改的口令不能相同操作人员不能将自己的用户及口令随意告诉他人所有使用者的认可都由系统管理员来逐一分配。必须由部门经理提交访问权认可的申请表，然后由办公室批准。当应用系统中需要加入新的使用者时，首先使用者需要填写“权限申请表”。该申请表应该得到部门经理和办公室的共同批准。之后，IT 系统管理员会帮助 应用系统的使用者开通账户，并建立相应的访问等级和权限。当应用系统需要关闭某位使用者的账户时，首先该部门应该填写“权限申请 表”，并得到部门经理和办公室的共同批准。之后，IT 系统管理员会帮助应用系 统使用者关闭该账户。大多数的主文件都会与审查日志一起更新。使用者号码、处理日期以及时间 将写入日志，以备今后查询之用。

7、个人义务

如果技术上可行，每一位使用者都应该通过一个唯一的使用者身份号码来识别，该号码设有密码，并不得与任何人共享。使用者的身份号码意味着不允许存在公共使用。然而，支持网关和服务器的设备是一个例外，例如：互联网服务器等。只有得到 IT 经理的批准，才能使用这些公共使用身份号码。使用者不得与他人共享密码。如果已经告知了他人，那么使用者将对他人利 用密码所做的任何行为的后果负责。若使用者怀疑他的密码已经被泄露了，那么他应该尽快更换密码。并应该在 第一时间向 IT 系统管理员汇报。3使用者不应该书面记录下密码，并放在别人可以轻易看到的地方。密码不得设置成特定词汇或其他能被轻易猜到的字词。类似姓名、电话号码、身份证号、生日等都是不合格的密码。使用者不得向他人泄漏密码。如果 IT 技术支持人员要求运用使用

者的号码 访问，则必须当着使用者的面登录。如果使用者泄漏了密码，则必须尽快更改密 码。如果他们因诱骗而泄漏了密码，则必须尽快向 IT 系统管理员汇报。如果使用者怀疑我们信息系统的安全性受到威胁，则必须尽快向 IT 系统管 理员汇报。使用者对他们自己输入系统的数据的精确性负责，同时也对他们指示系统开发下载到我们系统上的数据的精确性负责。他们必须尽力保证数据的准确性。如 果发现错误，并且自己能够修改的话，则应该将其改正。如果自己改正不了，则应该向他们的主管汇报。如果是在源文件发现数据错误，则应该尽快改正这些错误，而不是故意将这些错误输入我们的电脑系统。使用者在离开终端机器或电脑以前必须下线，这一点应该强制执行。如果是 在使用不带下线功能的单机个人电脑，则必须在离开电脑前终止程序。只有当执 行批处理任务时是例外。当使用者的工作职责有变动时，他的访问权也应该作相应的变更。部门经 理应该及时递交“权限申请表”以通知 IT 系统管理员。特别是在员工辞职的情 况下，他/她的部门经理以及人事部经理应该及时通知 IT 系统管理员，以保证在 最短的时间内撤销他/她的系统访问权。

8、局域网和广域网安全

在可能的情况下，我们都应将端口转换到使用者的个人电脑。如果没有足够的转换，已转换的端口将根据以下优先等级来分配：

需要带宽的使用者可以访问机密数据的使用者职务等级，例如：公司领导优先于管理员，管理员优先于经理，依此类推。所有的访问我们本地网络的端口只有在部门经理指定授权使用者时才可以 开通。因此，在公共区域（例如：会议室）的访问端口只能在使用时开通。4 交换机位于数据中心，对该中心的物理访问应该控制。除了授权的 IT 支持人员以外，任何使用者都不得在公司办公地点的个人电脑上安装任何带有数据包监听、端口或地址扫描功能的软件。IP 地址只能由经授权的 IT 支持人员来分配。使用者不得自行分配他们的 IP 地址。所有的交换机、路由器、互联网服务器以及防火墙都应该设置密码，此密码 不得为原厂密码。交换机、路由器、互联网服务器以及防火墙的所有不同等级的密码都应该记 录在案。IT 经理应该保留一个备份。所有服务器的管理员密码和主管密码都应该记录在案。IT 经理应该保留一 个备份。对于交换机、路由器、网络集线器以及服务器的结构等级的访问应该只限授 权的 IT 支持人员。关于安全的信息以及通往网络的网关的保护机制应该只有授权的 IT 支持人 员知道。所有的交换机和路由器都应该由非间断电原提供至少 60 分钟的电源供应。如可能，非间断电源供应机应该轮流由一台备用的发电机来充电。只有经授权的使用者才允许安装和使用

网络发明和监控工具。

第四篇：网络和信息系统安全运行管理实施细则汇总

网络和信息系统安全运行管理实施细则

目录

第一章 总则..................................................................................2 第二章 职责与分工........................................................................2 第三章 运行值班管理....................................................................5 第四章 事件管理...........................................................................5 第五章 变更管理...........................................................................6 第六章 网络管理...........................................................................7 第七章 应用管理.........................................................................10 第八章 机房管理.........................................................................13 第九章 信息设备管理..................................................................14 第十章 账号管理.........................................................................18 第十一章 信息资料管理...............................................................19 第十二章 备份管理......................................................................21 第十三章 耗材管理：..................................................................21 第十四章 移动存储介质管理........................................................22 第十五章 补丁管理......................................................................25 第十六章 漏洞管理......................................................................26 第十七章 日志审计......................................................................27 第十八章 外包管理......................................................................28 第十九章 人员管理......................................................................30 第二十章 附则.............................................................................31

第一章 总则

第一条 为了保证XX有限公司（以下简称“XX公司”）网络和信息系统的安全运行，依据《天津市电力公司信息系统安全管理规定》等相关制度，结合XX公司实际，制定本实施细则。

第二条 门”）。本实施细则适用于公司所属各部门（以下简称“各部

第二章 职责与分工

第三条 XX公司党政领导一把手是信息系统的第一安全责任人；各部门的一把手是本部门信息系统安全的第一责任人。信息安全考核纳入安全生产考核和经济责任制考核。

第四条 XX公司信息系统为三级管理，XX公司建立信息化工作领导小组，运维检修部负责信息化工作的职能管理，是公司的归口管理部门，各部门是信息化工作的具体落实部门。

第五条 XX公司信息化工作领导小组是公司信息安全的领导组织。负责审定公司的信息安全管理有关规定，负责落实上级主管部门的安全管理防范的技术策略和信息安全管理有关规定。第六条 XX公司安全监察质量部负责监督和考核公司信息系统的运行状况。信息系统发生事故，按照《天津市电力公司信息系统事故调查及考核办法》，由安全监察质量部牵头组织事故分析，提出处理意见，运维检修部配合进行专业分析。

第七条 运维检修部是公司信息化管理的职能部门，设置信息化管理专责。主要工作：

1、组织实施公司各项信息管理制度，做好监督、检查、指导信息安全管理及信息运行维护工作，组织实施安全防范措施。当发生影响信息安全的重大事件时，发布告警并组织制定应对措施。

2、负责信息化相关指标、数据的汇总上报工作。

3、负责XX公司信息系统硬件的调配工作。

4、负责信息系统耗材计划编制、调整工作。

5、负责组织编制信息专业的大修、技改计划。

6、配合专业部门进行市电力公司统一管理和开发的项目和软件在XX公司的组织推广工作。参与有关信息工程项目的评定、审核和验收。

7、配合人力资源部做好XX公司信息专业知识的培训工作。第八条 信息通信运维班，是XX公司信息网络系统整体运行、维护部门。主要工作：

1、负责XX公司相关网络运行数据、运行硬件指标数据的统计，负责公司信息网络软、硬件系统的运行总结上报，负责配合信息系统验收、检查工作。

2、负责XX公司信息系统的正常运行，软件、硬件维护和故障处理工作。

3、负责XX公司信息系统中实物资产的统计管理。

4、负责XX公司信息系统硬件设备及耗材的计划起草工作。

5、负责提出XX公司信息系统大修、技改项目的申请。

6、负责XX公司信息网络的建设方案的实施工作。

7、负责为各部门提供信息专业的技术支持。

8、配合专业部门做好市电力公司统一管理和开发的项目和软件在公司的系统管理工作。

9、负责XX公司信息故障受理工作，并做好报修记录。第九条 各部门是信息化工作的具体落实部门，信息设备由设备具体使用人负责，如无具体使用人，则由计算机帐号所有人负责。专业信息系统由各部门指定的专业系统管理人员负责。主要工作：

1、负责本部门信息设备、信息系统的安全保密管理。

2、负责本部门计算机的趋势防病毒软件的病毒码的升级，趋势防病毒软件监控系统必须保证开启状态。负责计算机操作系统补丁的及时升级以及相关软件的补丁升级工作。

3、负责保证信息设备、信息系统的相关安全配置，并按照公司规定正确使用信息设备、信息系统。

4、负责本部门信息设备、信息系统的日常维护管理，负责维护更新本部门设备台帐。

第十条 为了保障网络和信息系统的安全、可靠、不间断运行，信息通信运维班的关键岗位实行主副岗备用制度，主岗不在或工作负担过重时，副岗要担当其职责,工作由主岗委托。

第三章 运行值班管理

第十一条 法定工作日的工作时间应安排具备相应专业技术水平的人员进行5 x 8小时现场值班。其余时间应安排非现场值班，以确保关键应用系统的正常运行。

第十二条 重要时期应实行7x24小时值班，根据实际情况采取电话值班或现场值班，以确保关键应用系统的正常运行。

第十三条 值班人员要按照要求做好重大事项汇报工作，并做好记录。

第四章 事件管理

第十四条 信息通信运维班信息专业人员在接到故障申告时，应对故障信息进行登记。

第十五条 信息通信运维班信息专业人员根据故障信息，对故障进行处理，并将处理情况填入记录中，并交由故障申告人签字确认。

第五章 变更管理

第十六条 信息设备的变更指对服务器、路由器、交换机（不含客户端设备）等设备上运行的操作系统、权限、各种服务、各种软件、数据库、IP地址、安全配置、投入或退出运行、重新启动、重新安装等所作的变更。

第十七条 运维检修部是以上各种信息设备变更的职能管理部门，负责审批变更并备案。

第十八条 所有信息设备的各种变更都要履行变更审批和备案手续，由各部门专业系统管理人员或信息运维人员提出变更申请填写变更操作单（见附件1），填写好相关信息后由部门负责人签字交运维检修部确认审批，通过后实施变更。变更涉及信息系统、网络系统影响的，申请人应于变更前1至2个工作日以电子邮件、门户公告、电话通知方式告知相关影响用户，变更结束后对于以上用户进行测试。

第十九条 设备、系统变更前对于原有的数据，应该采取备份、异地转移存储等安全措施。

第二十条 对于涉密设备的变更，如果需要外来人员协助，外来人员需填写保密承诺书，保证所存储的涉密信息不被泄露，进行变更工作过程中变更申请人必须在现场，对维修人员、维修对象、维修内容、维修前后状况进行监督。

第二十一条 设备、系统变更结束后应按照天津市电力公司信息安全加固的要求加固系统，恢复设备以及系统中的原有应用及运行环境，并尽快投入运行。

第二十二条 任何信息设备的各类变更未履行相关审批手续或者无记录追溯的，以及因信息设备的变更对系统及用户造成中断应用等影响的，追究变更实施人员相关责任。

第六章 网络管理

第二十三条 管理信息网络分为信息内网（以下简称内网）和信息外网（以下简称外网），实现“双机双网”。

第二十四条 XX公司内网与外网均不得私自接入无线设备，网络终端均实行IP地址与MAC地址绑定，禁止非授权接入。

第二十五条 XX公司外网设备与内网设备按照上级部门要求进行信息安全加固，设置访问控制，设置足够强度的用户和密码。

第二十六条 XX公司外网通过市公司统一出口接入INTERNET，XX公司所有部门和人员禁止以其他任何方式（ADSL、3G无线、CDMA、GPRS、96168拨号等）私自连接INTERNET网。第二十七条 XX公司内外网计算机终端、打印机、网络设备的IP地址和配置信息由运维检修部统一分配和管理，任何人不得擅自使用他人的地址和未分配的地址，不得擅自安装任何网络设备，不得擅自更改网络设备的配置信息。

第二十八条 未经计算机网络管理人员同意，任何人不得擅自操作、移动网络设备。

第二十九条 职能管理部门和公司领导可以依据实际工作需要申请接入外网。

第三十条 接入外网必须填写外网接入申请表（见附件2），经XX公司主管领导批准后报科技信通部审批，审批通过后按照批准的地址进行IP/MAC绑定并接入外网，信息部门负责做好相应的登记备案工作，更新信息外网设备台帐。

第三十一条 公司提供公共上网计算机，公共上网计算机的维护及使用管理由信息通信运维班负责。员工因工作需要在公共上网区访问INTERNET，需进行上网登记。

第三十二条 不得在信息外网设备中保留任何信息内网资料。外网访问结束后，应立即清除与内网有关的文件。

第三十三条 接入内网必须填写内网接入申请表（见附件3），经XX公司主管领导批准后报科技信通部审批，审批通过后按照批准的地址进行IP/MAC绑定并接入内网，信息部门负责做好相应的登记备案工作，更新信息内网设备台帐。

第三十四条 信息内外网计算机IP地址变更按照内外网接入申请流程执行。

第三十五条 开发商如确因工作需要接入信息内网，应提前申请信息内网设备。

第三十六条 计算机接入信息内外网应由信息运维人员对计算机进行统一配置，设置规范的计算机名称（格式为公司名称-部门名称-流水编号）,内网计算机应加入TEPCO域，并安装趋势防病毒软件、注册桌面终端标准化管理软件（安全移动存储介质软件），外网计算机应安装金山防病毒软件。

第三十七条 市公司科技信通部会定期对计算机进行安全检查，对存在安全隐患的计算机进行封网处理。被封网的计算机需经责任人进行认真整改后，填写情况说明及重新开通上网功能申请表（见附件4、5、6），经部门领导审批签字后报公司运维检修部。运维检修部确认已整改后报公司领导签字审批后上报市公司科技信通部申请开通网络。

第三十八条 信息通信运维班负责网络设备的运行管理，确保网络备品备件及应急设备处在良好状态，尽量在故障发生之前采取保护措施。

第三十九条 运维检修部负责建立详细的安全事件应急处理制度，制定并及时修订信息网络安全应急预案，定期演练，确保应急体系的完备性和可用性，做好应对突发信息安全事件的准备。

第四十条 发现网络与信息安全问题及时向运维检修部进行通报，遇重大问题由运维检修部及时向公司科技信通部报告。应在1小时内，将事件发生时间、原因过程、采取措施、影响范围、损失情况等，通过邮件和电话方式上报。

第七章 应用管理

第四十一条 严格执行市公司应用系统开发与管理的有关规定，原则上不允许自行开发或引进管理软件，有特殊需要的，必须事先到信息管理部门申请、备案，并由信息管理部门向科技信通部申请，经批准后方可开发，经验收后方可接入。

第四十二条 对接入信息网络运行的应用系统，在系统投入运行前，应对系统运行的稳定性、安全性进行严格测试，并使用漏洞扫描工具进行安全检查，确认没有系统漏洞后，经运维检修部批准后方可正式上线运行。

第四十三条 应用系统上线前由运维检修部根据等级保护制度对系统定级，同时报市公司科技信通部审核备案。

第四十四条 在系统投入运行前，应用系统开发单位和运行管理部门应相互配合，确定与该应用系统相关的网络环境参数、故障处理流程、数据备份管理流程、系统故障应急预案等。应用系统开发单位应提供能满足日常运行管理需求的系统开发及运行维护文档和系统软件介质（系统软件应包括可供系统进行完全安装和紧急恢复的完整系统软件介质光盘或磁盘，软件功能说明书，软件使用说明书，程序清单，数据结构清单等）。

第四十五条 对投入运行的应用系统，各专业主管部门应建立运行台帐，明确系统管理人员，做好运行日志。

第四十六条 接入信息内网的各应用系统原则上不得以专线、拨号或任何其它方式与系统外网络及国际互联网相连，如确有必要，则应采取有效防范手段并经运维检修部上报科技信通部审核备案。

第四十七条 投入运行的应用系统服务器和终端上的软、硬件配置不得随意更改，严禁安装与本应用系统无关的应用程序和软件。应用系统的管理、维护、应用人员应严格按照各自的权限和业务流程使用系统。

第四十八条 进行应用系统的配置参数调整、系统软件重装、网络环境调整等系统变更都应严格遵照相应的变更管理流程。第四十九条 用户账号建立、用户账号权限更改、用户节点增加等日常维护业务，应由专业系统管理人员及时记录并定期整理归档。

第五十条 应用系统变更前后都应按相应的备份管理规定进行备份。

第五十一条 运行人员应及时发现系统故障。接到故障申告后，由专业系统管理人员或信息运维人员负责对问题进行详细的记录，对简单故障可先处理后汇报，对较大故障要立即通知本部门负责人和信息管理部门。

第五十二条 对于故障的分析、处理过程应有记录。重大故障处理要有两人以上，一人操作，一人监督。

第五十三条 各应用信息系统必须有完善的系统维护制度和操作规程。重大事件处理时，应有安全管理人员在场，故障原因、操作内容和操作前后的情况必须详细记录并存档。专业系统管理人员应定期检查和记录本信息系统的安全运行状况。

第五十四条 用户帐号和口令管理按照《天津市电力公司信息系统帐号、口令管理规定》执行。

第五十五条 专业系统管理人员负责系统的日常运行维护，数据的保存、备份，系统口令的维护、设置和管理，系统程序的安装，向其他子系统及上级有关单位部门提供数据及报表。

第八章 机房管理

第五十六条 XX公司信息机房按照国网公司C类机房管理标准进行管理，部署不间断电源系统（UPS）及防水、防雷、防火和恒温恒湿设施。

第五十七条 运维检修部是XX公司信息系统运行机房的职能管理部门，信息通信运维班明确机房管理责任人员，具体负责机房的日常管理和维护。

第五十八条 信息通信运维班负责做好机房日常巡视，每天检查机房环境、网络设备、服务器的运行状况，并认真填写机房巡检记录。对于巡视中发现的问题，要详细记录并汇报相关领导及时解决问题。

第五十九条 信息通信运维班负责做好机房内设备的运维，每半年对UPS进行1次充放电，并做好记录。

第六十条 机房是网络和信息系统的重点保密场所，严禁无关人员随意出入；外来人员进出机房必须填写机房出入登记表，经批准同意后方可进入。外来人员进入机房应由相关负责人陪同和监督。

第六十一条 机房内严禁烟火，不准使用电炉、电水壶等电器。机房内必须配备专用气体灭火器，运行维护人员必须学会使用灭火器，一旦发现火情，立即投入灭火，并迅速报警。第六十二条 机房内应保持清洁，严禁堆放杂物，设备、线路标签应清晰、齐全，机柜布线应整齐。进入机房前，须对鞋子进行清洁或戴上鞋套。

第六十三条 出入机房应注意关好门，最后离开机房的人员必须自觉检查和关闭所有机房门窗、锁定防盗装置。

第六十四条 工作人员离开工作区域前，应保证工作区域内保存的重要文件、资料、设备、数据处于安全保护状态。

第六十五条 未经主管领导批准，禁止将机房相关的钥匙、密码等物品和信息外借或透露给其它人员。对于遗失钥匙、泄露密码的情况要即时上报，并积极主动采取措施保证机房安全。

第九章 信息设备管理

第六十六条 信息设备根据设备的类型、用途、介质（特指软件）等因素，归为以下几类：

1、网络设备（路由器、交换机、防火墙、入侵检测、综合布线系统等）

2、服务器（含小型机、工作站、PC 服务器）

3、个人计算机（含便携式计算机）

4、外部设备（打印机、绘图仪等）

5、辅助设备（网络及服务器机柜、UPS 等）

6、工具（含网络工具、普通工具等）

7、软件

8、其他

第六十七条 运维检修部负责XX公司所属各单位信息设备管理、分配工作。运维检修部应根据应用系统对设备的要求，兼顾各部门岗位职能的需要，制定信息设备配置标准；在年末制定下一设备大修、设备升级改造、重要设备备品备件、设备维护等资金计划，上报主管领导及相关部门批准，列入下一信息系统专项资金计划。各部门应在计划编制前，及时上报信息设备需求。

第六十八条 新的设备到达后，由运维检修部负责组织相关人员验收，验收依据为签订的合同内容。验收人员应认真进行各种参数的测试，检查设备的性能指标是否能够达到技术要求。

第六十九条 新的信息设备投入使用前，需经信息通信运维班按照市电力公司相关规定进行安全加固；信息设备的使用部门应办理财务固定资产登记，并上报运维检修部备案。没有在运维检修部登记、违反规定自筹资金购买、不在财务固定资产台帐上的信息设备，运维检修部不负责维护及禁止接入信息网络。

第七十条 运维检修部归口负责XX公司信息设备台帐，台帐中应该包括设备的所属部门、型号、序列号、IP地址等。信息设备的使用部门负责信息设备的日常管理，包括清洁、杀毒软件及系统升级、一般性配置操作、一般性故障排除等，并对信息设备的非使用性损坏以及丢失负责，并按情节严重程度，依据有关规定追究当事人赔偿责任。各部应指定专人协助运维检修部做好所属范围内信息设备台帐管理，若有设备变动要及时上报运维检修部。运维检修部根据实际情况组织设备清查工作，进行设备台帐、实物核对，做到帐物相符。

第七十一条 每台信息设备都要明确设备负责人（负责人须是正式职工）。信息设备由设备具体使用人负责，如无具体使用人，则由计算机帐号所有人负责。信息设备随机资料、软件等应由设备负责人保存。信息设备正常工作环境由设备所属部门负责。各部门之间及部门成员之间不得随意互换计算机、或其他相关设备。对因人员、岗位变动闲置的信息设备应及时上报运维检修部，由运维检修部统一处理。

第七十二条 信息设备运维管理

1、严禁任何人私自拆卸信息设备硬件，私自更改计算机配置、网络IP地址，安装未经批准的三方软件。设备使用人不得直接向供货商提出信息设备相关设备维修、软件维护的要求，否则，发生的费用和其它问题自行承担。

2、设备负责人负责所属信息设备的日常维护。其中包括常用软件的安装升级，一般性配置操作、一般性故障排除。如果涉及到更换零件、安装系统等非一般性故障，无法自行处理的，应及时向运维部门进行故障申告，信息运维人员应记录故障设备信息及故障处理情况，并在处理完毕后交由故障申告人签字确认。

3、属于更换部分零部件也不能解决的故障，需更换整机或大型配件的，在经过信息运维人员确认后，由设备负责部门填写信息设备及配件申请（附件 7），经运维检修部请示主管领导批准后方可更换。

4、信息设备出现非一般性故障未经信息运维人员同意自行处理（含拆装）造成故障扩大，由自行处理（含拆装）的操作人承担修复责任。

5、为保证信息设备的正常维护，及时排除故障，XX公司每年列支一定的信息设运行备维护资金，保证本设备的安全稳定。运维检修部应视具体情况提出必要的仪器、仪表、工具和备品备件采购申请。

6、各部门应保证信息设备的相关安全配置，并按照公司规定正确使用信息设备，同时根据实际情况定期对所属信息设备组织自查，发现问题及时整改。运维检修部通过网上和不定期到现场方式进行检查，核查信息设备软硬件使用、维护情况。并依据有关规定对违反信息设备使用规定的部门进行考核。

第七十三条 信息设备报废工作由生产技术可根据市电力公司的相关规定定期进行。信息设备一般正常使用满5年以上，并且已不能满足应用系统正常使用要求的，或设备严重损坏(非人为造成)无修复可能的，可以申请报废，报废设备上交运维检修部，由运维检修部统一处理，其他任何单位不得擅自处理。对报废或淘汰设备的可用部分或零配件，运维检修部可根据需要再利用。对报废设备的存储硬件，须送交市公司科信部进行消磁处理，严禁随意外带。

第七十四条 防火墙、漏洞扫描等信息安全设备的采购和使用必须经市公司科技信通部批准后方可实施。

第十章 账号管理

第七十五条 运维检修部设域账号管理员，对XX公司范围内的域账号及相应权限进行统一管理，并负责将域账号及权限的变更信息及时准确上报市公司科技信通部。

第七十六条 各部门应设专人对本部门的域账号及相应权限进行统一管理，主要负责域账号申请表的填写，根据实际需要认真核实其申请权限，负责将本部门的域账号及权限的变更信息及时准确上报公司域账号管理员，并认真做好记录。

第七十七条 TEPCO域账号的开放范围：有工作需求的企业内部员工可以申请TEPCO域账号，对于非正式员工，原则上不开放TEPCO域账号。如确有需要，必须由所在部门指明一名公司正式员工为其责任人，代其申请，责任人对该非正式员工使用域账号的所有行为负有安全监督责任。

第七十八条 域账号的申请

1、各部门账号管理人员根据工作需要向公司域账号管理员提出申请，填写域账号使用申请表（见附件8）,同时监督申请人签定安全使用责任书（见附件9）。

2、各部门账号管理人员根据申请人资料填写申请表后报部门领导审批签字，并上报运维检修部域账号管理员。运维检修部域账号管理员对申请表进行审核，并定期按审批流程向市公司科技信通部提出账号申请。

第七十九条 员工域账号权限的分配必须严格按照权限最小化的原则进行，即分配仅能满足工作要求的最小权限。

第八十条 帐号和密码是员工在网络信息系统中的唯一身份标识，仅供员工自己使用，不得借用或泄露，禁止越权操作。

第八十一条 员工域账号口令要求每3个月更换一次，口令长度不得低于8位，最近6个口令不可重复，口令中必须包含字母和数字。

第八十二条 当员工岗位变动时，运维检修部以人事部门人员变动通知单为准，结合岗位变动的实际情况，调整或关闭域账号。

第十一章 信息资料管理

第八十三条 信息资料是指在信息网络建设和运行过程中所遵循的标准、制度、规划与总结（含计划）、日志、项目管理文档、设备台帐（卡片）、技术类文档和信息系统建设或系统运行过程中收集的文档（含硬件和软件）等，是与系统建设和系统运行紧密关联，记录系统运行参数、技术指标、安全模式、设备配置、方案设计、项目建设合同等重要信息的文档。

第八十四条 运维检修部是信息资料的职能管理部门，信息通信运维班及各专业系统管理部门应明确资料管理人员，具体负责各种资料的日常管理工作。

第八十五条 资料管理要求包括：

1、做好资料的收集、整理、登记、造册、保管、鉴定、利用等工作。设备技术资料应齐全、正确、统一、清晰。对于重要及核心设备，应将资料复制并多种方式、不同地点保存。

2、设备技术资料应由专人负责管理，并负责资料安全，强化信息内容的安全管理，严防机密资料外泄。

3、资料管理人员应具备档案管理人员基本素质，并掌握一定的专业技术知识和较强的计算机应用水平，对所管理的文档能够做到分类清楚、归档准确。

4、在进行项目建设时，由该项目负责人或指定专人负责收集和整理整个工程过程中产生的文档，进行分类，标注必要的说明，在工程验收后将全部项目文档资料提交资料管理人员保存。

第八十六条 使用资料时，任何人不得抽取、涂改、勾抹或污损。

第十二章 备份管理

第八十七条 应用系统的备份工作是系统出现故障、甚至崩溃时的重要恢复手段，是信息安全工作的重中之重，必须高度重视。

第八十八条 各应用系统的备份由各部门专业系统管理人员制定策略、组织落实，信息运维人员配合实施。备份文件由专业系统管理人员负责保管。

第八十九条 客户端计算机及网上的办公文件由文件所有人自行备份。重要文件须至少在不同的设备上保存两分。

第九十条 数据备份介质可选择硬盘、光盘、磁带等存储介质，由各部门专业系统管理人员保存。要确保备份数据的可恢复性。存储介质应存放在远离磁性、辐射性的安全环境。

第九十一条 当系统或者数据确实无法抢救时，需估算可能的损失，将恢复计划和方案报请本部门领导同意后才能对系统进行恢复操作，恢复操作不应影响对故障原因的追查和故障的处理。

第十三章 耗材管理：

第九十二条 运维检修部为计算机耗材的管理部门，信息通信运维班设置专人负责耗材分发工作。计算机耗材包括：打印机硒鼓、色带、墨盒、软盘、光盘、网线等配件。

第九十三条 各部门设备责任人负责设备耗材的需用申请以及领用。耗材领用须保留记录并由领用人签字确认。可回收性耗材（如硒鼓、墨盒等）实行轮换制，以旧换新。

第九十四条 耗材发放人员定期统计各部门耗材使用情况，提报运维检修部。运维检修部耗材管理人员根据信息设备台帐和具体使用情况分析各部门耗材用量，发现超出预期的用量将组织调查。在耗材库存不足时，及时提报采购计划。

第十四章 移动存储介质管理

第九十五条 移动存储介质的范围包括：U盘、移动硬盘、各种存储卡（照相机、摄像机）、MP3、MP4、智能手机等带有存储功能的产品。

第九十六条 所有连入信息内网的计算机必须安装市电力公司统一部署的移动存储介质管理系统客户端程序。

第九十七条 XX供电有限公司范围内可以使用的移动存储设备只包括市电力公司统一配发的国家电网公司专用U盘（简称专用U盘）。其他非专用U盘禁止在XX公司内网计算机中使用。

第九十八条 运维检修部负责XX供电有限公司范围内移动存储设备的管理，向市公司申请专用U盘等移动存储设备，履行领用审批、登记备案、监督检查、维护维修等职责。

第九十九条 专用U盘的申请

1、原则上每部门最多只能申请一个专用U盘。

2、任何部门不得擅自购买、发放移动存储设备，如确有工作需要，可向运维检修部提出申请，填写专用U盘使用申请表（见附件10）。

3、申请人填写申请表后报部门领导审批签字，注明申请原因，指定责任人，明确其责任，待责任人签字认可后，上报运维检修部。

4、运维检修部对申请表进行审核，并交公司主管领导审批签字后，定期向天津市电力公司科技信通部提出申请。

5、专用U盘由各部门专用U盘负责人负责领取，领取时要在专用U盘领取、变更记录表（见附件11）中签字。

第一百条 专用U盘的使用

1、专用U盘第一次使用需对其默认密码进行修改。

2、用户在使用国网公司专用U盘前，需要经过趋势防病毒墙的扫描杀毒，扫描正常后方可使用。

3、使用专用U盘时要遵守津电科信［2008］13号“关于印发《天津市电力公司电子商密信息保密管理规定（试行）》的通知”中对于商密信息的要求。

4、严禁双击进入移动存储设备，应先在盘符上单击右键，选择菜单项中的打开命令进入。

5、文件复制完成应将移动存储设备与计算机分离；

6、专用U盘分为保密区和交换区，涉及到公司电子商密的信息在离开信息内网或商密计算机进行信息交换时，必须将电子商密信息存放在保密区。

7、使用者对专用U盘的密码要严格保密，不得告知他人；专用U盘不得进行私用。

第一百零一条 专用U盘的维修

专用U盘的维修需由各部门专用U盘负责人将U盘交送到运维检修部。如专用U盘无维修价值，由运维检修部信息管理人员将损坏专用U盘送市公司科信部申请更换，并将相关信息填入U盘领取、变更记录表中，由该U盘负责人签字。

第一百零二条 专用U盘的销毁需由信息管理人员将相关信息填入专用U盘领取、变更记录表中，并注明销毁原因。

第一百零三条 非国家电网公司专用U盘（简称非专用U盘）的使用

1、非专用U盘原则上不得连入XX公司信息内网的计算机中使用。

2、如确因工作需要使用非专用U盘，需填写《非国家电网公司专用U盘使用记录》（见附件12），注明使用原因、使用人，并经部门负责人确认签字。部门负责人应审核所拷贝内容，如涉及公司商密文件，应不予批准。使用记录应报运维检修部备案。

3、应在脱网机器中对U盘进行杀毒，确认无病毒后，将文件拷入专用U盘，进行相应工作。

第一百零四条 任何用户不得卸载移动存储介质客户端软件，一经发现收回统一配置的移动存储设备，并禁止申请使用专用U盘；

第一百零五条 因使用移动存储设备未进行病毒木马查杀造成内网、外网计算机感染病毒，造成系统损坏或数据丢失的，一经查实收回统一配置的移动存储设备，并禁止申请使用专用U盘；

第一百零六条 在使用过程中造成公司涉密信息泄漏的按照《天津市电力公司电子商密信息保密管理规定（试行）》相关条款执行。

第一百零七条 任何部门或个人未经审批擅自购买、发放移动存储设备，一经查实收回自行购置的移动存储设备。

第一百零八条 不得复制、传播任何与工作无关的软件、游戏、文件至内网机器。

第十五章 补丁管理

第一百零九条 所有信息内网和信息外网的终端及服务器都要及时进行补丁升级。

第一百一十条 终端补丁升级

1、信息内网终端必须加入TEPCO域，在每次开机时必须以管理员身份登陆TEPCO域，执行TEPCO域安全策略，以便及时下载系统补丁。终端使用者在发现有新的系统补丁时，应及时点击安装。

2、信息外网终端必须安装公司统一的金山防病毒软件，定期执行漏洞检测，并在发现漏洞时及时打补丁。

第一百一十一条 服务器补丁升级

1、对服务器中数据库、WEB软件以及其它系统应用软件应及时进行补丁升级。

2、对服务器所有项目进行补丁升级时，要仔细阅读升级文档，分析确定升级补丁对现有的操作系统及应用的影响，确保在补丁升级后服务器软硬件能够正常运行。

3、应用软件补丁升级，对天津市电力公司统一运维的应用系统，由天津市电力公司统一执行，对自行开发的应用软件系统,由专业系统管理人员主动与开发商联系对有危害系统安全的补丁及时升级。

4、升级补丁之前，做好系统、数据备份，以免升级失败后及时恢复。

第十六章 漏洞管理

第一百一十二条 对接入信息网络运行的应用系统，在系统投入运行前，检查应用系统自身是否存在安全漏洞和隐患，确认没有漏洞后方可正式上线运行。

第一百一十三条 系统上线前要严格按天津市电力公司《信息系统安全配置基本规范》要求做好配置和系统加固。

第一百一十四条 应使用天津市电力公司统一指定的的相关工具进行安全检查，定期或不定期对网络与服务器主机进行安全扫描和检测，对扫描结果及时进行分析，采取相应补救措施。

第一百一十五条 应及时对所采集到的有关系统、网络、数据及用户活动的状态和行为等特征信息进行分析。如遇异常网络行为活动，应及时阻断事件点，查明原因及时消除，确认无安全隐患后再接入系统。

第十七章 日志审计

第一百一十六条 日志是对用户行为和系统行为进行记录的形式，日志审计是保障应用系统信息安全的重要手段。

第一百一十七条 在信息设备、业务应用系统上线运行前，应按市电力公司《信息系统安全配置基本规范》中的各项规定开启相应的日志审计功能。

第一百一十八条 应制定恰当的日志策略，确定记录日志的设备或系统范围、记录日志的事件类别、记录日志的最大时间范围、日志备份策略、审计日志的处理方式等。

第一百一十九条 日志记录应包括事件发生的时间、触发事件的主体与客体、事件的类型、事件成功或失败、事件的结果等内容。

第一百二十条 信息通信运维班应对主机系统、网络设备、应用系统、数据库和中间件等的日志定期进行安全审计。分析运行日志时，若发现正在、可能或已经危害到系统安全运行的行为时，应及时处理。

第十八章 外包管理

第一百二十一条 XX公司坚决贯彻信息运维主业化原则，原则上涉及信息系统核心业务的运维，包括桌面终端的运维不允许服务外包。

第一百二十二条 对于自行维护、实施有困难，确需进行信息服务业务外包的非核心信息服务业务，填写XX公司非核心信息服务业务外包申请审批表（见附件13），报XX公司运维检修部，由运维检修部汇总后报主管领导审批，并报上级主管部门审批备案后方可实施。

第一百二十三条 对于通过审批后实施外包的业务，承包商由XX公司按照国家、行业有关法律法规要求进行资质审查，综合考虑其安全管理、专业技术水平等因素，按规定的程序择优确定。第一百二十四条 必须与外包服务承包商签定相关外包服务协议，协议必须严格限定外包服务承包商的工作范围，明确承包商可以接触的设备、系统及可以进行的操作，明确指定专门的管理部门、专门的人员对承包商进行的服务行为进行有效监管。

第一百二十五条 提供外包服务的承包商及其工作人员，必需签署《安全保密责任书》（见附件14）和《保密补充条款》（见附件15）。必须按照XX公司相关保密规定和要求，在XX公司有关人员的监督下进行信息业务服务，不得擅自复制、转让或者转借XX公司相关基础数据。

第一百二十六条 应对承包商工作及调试人员进行安全教育，并指定专门的人员，记录承包商服务行为的开始时间、具体的工作人员、操作的设备、涉及的系统、操作结束时间、操作的结果，并负责在操作之后审核确认操作结果，对承包商的服务行为进行全程监管和记录（见附件16）。

第一百二十七条 XX公司禁止使用远程方式操作、调试系统，所有操作必须在有效监管下本地进行，原则上禁止承包商自带的终端设备接入XX公司内网，承包商如果需要接入XX公司内网进行测试、调试，终端设备由XX公司提供。

第一百二十八条 信息服务承包商服务期满后，由XX公司信息管理部门及该项信息服务管理部门对承包商整体服务行为进行信息安全评定和审核（见附件17）。

第十九章 人员管理

第一百二十九条 新员工在上岗前应进行信息安全教育，由公司保密办组织签订《天津市电力公司员工保密承诺书》（见附件18），考试合格后方可上岗进行工作。

第一百三十条 重点敏感岗位人员管理

1、重点敏感岗位包括：网络管理、应用管理、主机管理、安全管理。

2、重点敏感岗位的工作直接影响着网络及信息系统的安全，必须加强管理。

3、信息管理和运维部门要对以上岗位人员加强内控、教育，提高敏感岗位人员信息安全保密意识。

4、重点敏感岗位人员离岗时，填写《信息重点敏感岗位人员离岗移交纪录》（见附件19），经信息管理部门审核确认后，完成移交工作。运维部门及时核对并修改相关人员权限和设备安全配置相关内容。

第一百三十一条 外来人员为XX公司提供信息业务服务时，必须遵守相关保密规定和要求,签署《安全保密责任书》（见附件14）和《保密补充条款》（见附件15）。XX公司指定专门的人员，对外来人员的行为进行全程监管和记录（见附件16）。

第一百三十二条 制度作废。

第一百三十三条

第二十章 附则

本规定自发布之日起试行。以前颁布的相关本规定由XX有限公司运维检修部负责解释。

第五篇：信息系统安全

数字签名过程 “发送报文时，发送方用一个哈希函数从报文文本中生成报文摘要,然后用自己的私人密钥对这个摘要进行加密，这个加密后的摘要将作为报文的数字签名和报文一起发送给接收方，接收方首先用与发送方一样的哈希函数从接收到的原始报文中计算出报文摘要，接着再用发送方的公用密钥来对报文附加的数字签名进行解密，如果这两个摘要相同、那么接收方就能确认该数字签名是发送方的。

数字签名有两种功效：一是能确定消息确实是由发送方签名并发出来的，因为别人假冒不了发送方的签名。二是数字签名能确定消息的完整性。因为数字签名的特点是它代表了文件的特征，文件如果发生改变，数字签名的值也将发生变化。不同的文件将得到不同的数字签名。一次数字签名涉及到一个哈希函数、发送者的公钥、发送者的私钥。”这报文鉴别的描述！数字签名没有那么复杂。数字签名： 发送方用自己的密钥对报文X进行E运算，生成不可读取的密文Esk，然后将Esx传送给接收方，接收方为了核实签名，用发送方的密钥进行D运算，还原报文。

口令攻击的主要方法

1、社会工程学(social Engineering)，通过人际交往这一非技术手段以欺骗、套取的方式来获得口令。避免此类攻击的对策是加强用户意识。

2、猜测攻击。首先使用口令猜测程序进行攻击。口令猜测程序往往根据用户定义口令的习惯猜测用户口令，像名字缩写、生日、宠物名、部门名等。在详细了解用户的社会背景之后，黑客可以列举出几百种可能的口令，并在很短的时间内就可以完成猜测攻击。

3、字典攻击。如果猜测攻击不成功，入侵者会继续扩大攻击范围，对所有英文单词进行尝试，程序将按序取出一个又一个的单词，进行一次又一次尝试，直到成功。据有的传媒报导，对于一个有8万个英文单词的集合来说，入侵者不到一分半钟就可试完。所以，如果用户的口令不太长或是单词、短语，那么很快就会被破译出来。

4、穷举攻击。如果字典攻击仍然不能够成功，入侵者会采取穷举攻击。一般从长度为1的口令开始，按长度递增进行尝试攻击。由于人们往往偏爱简单易记的口令，穷举攻击的成功率很高。如果每千分之一秒检查一个口令，那么86%的口令可以在一周内破译出来。

5、混合攻击，结合了字典攻击和穷举攻击，先字典攻击，再暴力攻击。

避免以上四类攻击的对策是加强口令策略。

6、直接破解系统口令文件。所有的攻击都不能够奏效，入侵者会寻找目标主机的安全漏洞和薄弱环节，饲机偷走存放系统口令的文件，然后破译加密的口令，以便冒充合法用户访问这台主机。

7:网络嗅探(sniffer)，通过嗅探器在局域网内嗅探明文传输的口令字符串。避免此类攻击的对策是网络传输采用加密传输的方式进行。

8:键盘记录，在目标系统中安装键盘记录后门，记录操作员输入的口令字符串，如很多间谍软件，木马等都可能会盗取你的口述。

9:其他攻击方式，中间人攻击、重放攻击、生日攻击、时间攻击。

避免以上几类攻击的对策是加强用户安全意识，采用安全的密码系统，注意系统安全，避免感染间谍软件、木马等恶意程序。