1信息安全策略方针方针策略Word格式文档下载.docx
- 文档编号:18738451
- 上传时间:2022-12-31
- 格式:DOCX
- 页数:21
- 大小:34.55KB
1信息安全策略方针方针策略Word格式文档下载.docx
《1信息安全策略方针方针策略Word格式文档下载.docx》由会员分享,可在线阅读,更多相关《1信息安全策略方针方针策略Word格式文档下载.docx(21页珍藏版)》请在冰豆网上搜索。
4.1.2软件的登记和保管13
4.1.3软件的使用和维护13
4.1.4应用软件开发管理13
4.1.5软件的防病毒管理14
4.2设备管理14
4.2.1设备购置管理14
4.2.2设备使用管理15
4.2.3设备维修管理15
4.2.4设备仓储管理16
4.3介质管理16
4.3.1介质分类16
4.3.2介质库管理17
4.3.3介质登记和借用17
4.3.4介质的复制和销毁17
4.4技术文档管理18
4.4.1技术文档的作用18
4.4.2技术文档的使用管理18
4.5传输线路和网络互连管理18
4.5.1传输线路18
4.5.2网路互连19
4.6安全审计管理19
4.6.1全审计和安全报警的目的19
4.6.2审计日志的管理20
4.7灾难恢复和应急措施20
4.7.1灾难恢复策略20
4.7.2灾难恢复计划21
4.7.3灾难恢复计划的测试和维护23
4.7.4灾前措施24
4.7.5紧急事件24
4.8网络管理25
4.8.1失效管理25
4.8.2配置管理25
4.8.3安全管理25
4.8.4性能管理26
4.8.5计费管理26
4.9场地设施安全管理26
4.9.1场地设施的安全管理分类26
4.9.2场地与设施安全管理要求26
4.9.3出入控制27
4.9.4磁辐射防护27
5.违反信息安全策略的后果27
6.安全策略的审核27
信息系统安全策略总则
1.信息安全策略目标
提供管理指导,保证信息安全
在XX公司网络环境中,网络与数据信息的安全性至关重要。
需要构造一个尽可能彻底解决网络安全问题的平台,以实现网络安全。
当前XX公司网络已经采取了网络防病毒软件、防火墙、防毒墙、主机完整性检测系统、智能区域管理系统、安全准入系统、企业级安全中心,物理隔离等多种安全手段,然而公司的安全架构还需要制定出相应的安全策略以抵御开放网络的风险。
XX公司根据内部的实际情况,逐步向各个细节推进的原则制定安全策略。
安全的整个领域既复杂又广泛。
任何一个相当完备的分析都将引出许多不同的细节,使人望而生畏。
一个恰当的安全策略应该把注意力集中到最高权力机关认为须得注意的那些方面。
概括地说,一种安全策略实质上表明;
当所论的那个系统在进行一般操作时,在安全范围内什么是允许的,什么是不允许的。
策略通常不作具体规定,即它只是提出什么是最重要的,而不确切地说明如何达到所希望的这些结果。
策略建立起安全技术规范的最高一级。
2.信息安全策略文档的发放范围
信息安全策略文档由公司信息安全领导小组负责制订、公司分管信息安全的领导批准,以邮件、会议传达、书面等形式向公司所有工作人员公布传达。
3.安全策略负责人承担的义务和责任
1、信息安全领导小组根据公司明确规定的审查程序对策略进行维护和审查。
审查过程应该确保在发生影响最初风险评估的基础的变化(如发生重大安全事故、出现新的漏洞以及组织或技术基础结构发生变更)时,对策略进行相应的审查;
2、信息安全领导小组要定期检查策略的有效性,通过所记录的安全事故的性质、数量以及影响反映出来;
3、信息安全领导小组要定期检查策略控制措施的成本及其业务效率的影响;
4、信息安全领导小组要定期检查策略技术变化带来的影响;
5、信息安全领导小组要协调部门间因安全策略执行中出现的各种冲突和问题。
6、安全策略的执行需要运营经费和安全设备成本,信息安全领导小组组长需要与业务部门分管领导和财务部门沟通对安全投入成本的理解和支持并表明自己对信息安全的支持和保护责任。
7、信息安全领导小组根据情况定期向所有公司员工公布传达XX公司的安全策略。
并负责对全体员工的定期安全教育培训工作。
8、信息安全领导小组对策略的符合法律和合约的要求性负责。
9、信息安全领导小组对违反安全策略后的相应的处理措施和规定执行负责。
10、信息安全领导小组必须具备以上所有条例的修订审核的权力。
信息安全策略管理
1.概述
1.1公司信息安全定义
对于公司,信息是一种资产,同其他重要的商业资产一样,它对一个组织而言具有一定价值,因而需要适当地保护。
信息安全是要在很大的范围内保护信息免受各种威胁,从而确保业务的连续性、减少业务损失并且使投资获得最大的回报。
信息可以以多种形式存在。
它能被打印或者写在纸上,能够电化存储;
也可以由邮件或者用电子方式发送;
还可以在电影中展示或者在交谈中提到。
无论以任何形式存在,或者以何种方式共享或存储,信息都应当得到恰当的保护。
在这里,信息安全特指保护信息安全的保密性(Confidentiality)、完整性(Integrity)和可用性:
a)保密性:
保证信息不泄露给XX的用户。
b)完整性:
保证信息从真实的发信者传送到真实的收信者手中,传送过程中没有被非法用户添加、删除、替换等。
c)可用性:
保证授权用户能对数据进行及时可靠的访问。
信息安全通过实施一整套的控制达到。
这些控制措施可能是策略、做法、程序、组织结构或者软件功能。
需要建立这些控制措施以确保实现该机构特殊的安全目标。
1.2信息安全的必要性
信息及其辅助程序、系统和网络,是重要的商业资产。
信息的保密性、完整性和可用性对于保持竞争能力、资金流动、盈利率、法律柔量和社会公众形象都十分关键。
公司的信息系统及网络面临着来自四面八方的安全威胁。
这些威胁的来源有计算机诈骗、间谍活动、蓄意破坏、火灾和水灾等等。
能够损坏信息的因素比如计算机病毒、计算机黑客和拒绝服务,已经越来越常见、越来越富于挑战性并且愈加复杂。
公司正常工作都依靠各种信息系统,正是对信息系统及其服务的依赖,意味着它们更容易受到安全威胁。
互联网和局域网的互相链接和信息共享增加了实现访问控制的难度。
公司通过技术手段可以得到的安全是很有限的,还应当有适当的管理和程序的帮助。
为确认采用何种控制措施,需要进行认真规划而且要关注细节问题。
信息安全管理至少要求公司所有人员参与其中。
2.信息安全管理
2.1信息安全管理目标
信息安全管理目标是管好信息资源和保证信息资源安全。
安全管理是信息系统安全的重要组成部分。
实际上,大多数安全事件和安全隐患的发生,与其说是技术上的原因,不如说是由于管理不善而造成的。
在信息化高速发展的形势下,在不断推出高技术产品应用于保护信息系统安全的情况下,管理仍然是必须重视、不可或缺的。
安全管理贯穿于信息系统规划、设计、建设和运行、维护的各个阶段,既包含了行政手段,也包含技术措施。
安全管理的内容包括信息安全管理的原则,信息安全人员的管理,技术管理,以及场地设施管理。
2.2信息安全管理原则
信息安全管理的原则首先体现在机构和部门制定的规范制度上。
为了实现安全管理应该具备以下“四有”:
(1)有专门的安全管理机构。
(2)有专门的安全管理人员。
(3)有逐步完善的安全管理制度。
(4)有逐步提供的安全技术设施。
2.3信息安全管理涉及以下几个基本方面:
(1)人员权限管理。
(2)设备管理。
(3)场地管理。
(4)存储媒体管理。
(5)软件管理。
(6)网络管理。
(7)密码和密钥管理。
(8)审计管理。
2.4信息安全管理遵循的基本原则:
(1)规范原则。
信息系统的规划、设计、建设和运行、维护要有安全规范要求,要根据公司的安全要求制定相应的安全策略。
安全策略中要根据需要采用必要的安全功能,选用必要的安全设备,不应盲目开发、自由设计、违章操作、无人管理。
(2)预防原则。
在信息系统的规划、设计、设备采购、集成和安装中应该同步考虑安全策略和安全功能具备的程度,以预防为主的指导思想对待信息安全问题,不能心存侥幸。
(3)自主原则。
安全技术和设备首先要立足国内,采用有自主版权的产品,不能未经许可,未经消化改造,直接应用境外的安全保密技术和设备。
(4)选用成熟技术原则。
成熟的技术提供可靠的安全保证,采用新技术时要重视其成熟的程度。
(5)注重实效原则。
不应盲目追求一时难以实现或投资过大的目标,应使投入与所需要的安全功能相适应。
(6)系统化原则。
要有系统工程的思想,前期的投入和建设与后期的提高要求要匹配和衔接,以便能够不断扩展安全功能,保护已有投资。
(7)均衡防护原则。
人们经常用木桶装水来形象地比喻应当注重安全防护的均衡性,箍桶的木板中只要有一块短板,水就会从那里泄漏出来。
我们设置的安全防护中要注意是否存在薄弱环节。
(8)分权制衡原则。
重要环节的安全管理要采取分权制衡的原则,要害部位的管理权限如果只交给一个人管理,一旦出问题就将全线崩溃。
分权可以相互制约,提高安全性。
(9)应急原则。
安全防护不怕一万就怕万一,因此要有安全管理的应急响应预案,并且要进行必要的演练,一旦出现相关的问题马上采取对应的措施。
(10)灾难恢复原则。
越是重要的信息系统越要灾难恢复。
在可能的灾难不能同时波及的地区设立备份中心。
要求实时运行的系统要保证备份中心和主系统的数据一致性。
一旦遇到灾难,立即启动备份系统,保证系统的连续工作。
(11)多种安全机制原则。
不要把所有的信息资源置于单一的安全机制之下,应分散开来并对最敏感的数据采取多机制安全控制。
(12)以人为本原则。
技术是人开发出来的,先进的技术最终要靠人来掌握和实现。
规章制度也是这样。
以人为本,就是要求从负责人,系统和安全管理人员,到技术人员和使用人员,从上到下,时刻保持强烈的安全意识和法治观念,具备良好的职业道德,掌握过硬的信息技术和安全技术,细致工作,才能确保安全。
3.人员安全管理
信息系统的运行是依靠在各工作人员来具体实施的,他们既是信息系统安全的主体,也是系统安全管理的对象。
管理是否能够落实则取决于人的因素——人们的安全意识,对安全管理重视的程度,对管理原则理解的深度和执行的力度。
要确保信息系统的安全,首先应加强人事安全管理。
安全人员应包括:
信息系统安全负责人、安全管理员、系统管理员、安全分析员、安全设备操作员、软硬件维修人员和用户。
3.1信息系统安全负责人职能
①全面负责本单位的信息系统安全工作。
②安全负责人应指定专人负责建立、修改和管理系统授权表及系统授权口令。
③负责审阅违章报告、控制台安全报告、系统日志、系统报警记录、系统活动统计、警卫报告以及其它与安全有关的材料。
④负责组织制定安全教育、培训计划。
负责协调和管理对下级安全管理人员、系统管理和操作人员的定期和不定期的安全教育和训练。
⑤负责管理、监督、检查、分析系统运行日志,及系统安全监督文档,定期对系统作出安全评价,对违反系统安全规定的行为进行处罚。
⑥负责制定、管理和定期分发系统及用户的身份识别号码、密钥和口令。
⑦根据国家和上级机关有关保密的规定,审查对外发布的信息,防止泄密事件的发生。
⑧负责采取切实可行的措施,防止系统操作人员对系统信息和数据的篡改、泄露和破坏,防止未经许可越权使用系统资源和系统安全设备的控制。
⑨负责监督、管理外部系统维修人员对系统设备的检修与维护,并建立相应的批准手续。
⑩采取切实可行的措施,防止信息系统设备受到损害、更换和盗用。
3.2安全人员管理原则
安全人员管理主要有三条基本的原则:
从不单独、责任分散和最小权限。
(1)从不单独
从不单独原则指的是,在人员允许的情况下,由最高领导指定两个或更多个可靠且能胜任工作的专业人员,共同参与每项与安全有关的活动,并通过签字、记录、注册等方式证明。
(2)责任分散
责任分散原则指的是,在工作人员数量和素质允许的情况下,不集中于一个人实施全部与安全有关的功能。
(3)最小权限
最小权限原则指的是,所有人员的工作、活动范围和访问权限应当被限制在完成其任务的最小范围内。
3.3人员审查
人员审查必须根据信息系统所规定的安全等级确定审查标准。
人员应具有政治可靠、思想进步、作风正派、技术合格、职业道德等基本素质。
对新职工要按照其简历中的个人历史逐一审查,对以前的经历和人品进行确认。
对在职人员也要定期审查。
3.4岗位人选
所有人员应明确其在安全系统中的职责和权限。
所有人员的工作、活动范围应当被限制在完成其任务的最小范围内。
信息系统的关键岗位人选如:
安全负责人、安全管理员、系统管理员、安全分析员、安全设备操作员、保密员等,必须经过严格的政审并要考核其业务能力。
关键的岗位人员不得兼职。
3.5人员培训
应定期对从事操作和维护信息系统的工作人员进行培训,包括:
计算机操作维护培训、应用软件操作培训、信息系统安全培训等,保证只有经过培训的人员才能上岗。
对于涉及安全设备操作和管理的人员,除进行上述培训外,还应由相应部门进行安全保密专门培训。
对于安全负责人要进行高级安全培训,并且取得“上岗证书”后方可任职。
人员上岗后仍需不定期接受安全教育和培训,包括听讲座,观看影片、录像资料,学习信息安全材料等,以此提高员工的信息安全防护意识。
3.6人员考核
人事部门要定期组织对所有工作人员从政治思想、业务水平、工作表现、遵守安全规程等方面进行考核。
对于考核合格者应予表扬和奖励,不合格者应教育、批评或处罚。
对于考核发现有违反安全法规行为的人员或发现不适于接触敏感信息系统的人员要及时调离岗位,不应让其再接触系统。
3.7签定保密合同
进入公司工作的人员,应签定保密合同,承诺其对系统应尽的安全保密义务,保证在岗工作期间和离岗后一定时期内,均不得违反保密合同,泄露公司秘密。
对违反保密合同的应有惩处条款。
3.8人员调离
对调离人员,特别是因不适合安全管理要求被调离的人员,必须严格办理调离手续,进行调离谈话、承诺其调离后的保密义务,交回所有钥匙及证件,退还全部技术手册、软件及有关资料。
系统必须及时更换系统口令和机要锁,撤消其用过的所有帐户。
重要机房或岗位的工作人员一旦辞职或调离,应立即取消其出入安全区域、接触保密信息的授权。
3.9外部人员访问权限
外部人员(供应商)只能在信息管理组工作人员的监督下,访问及进行操作。
4.技术安全管理
4.1软件管理
软件管理的范围包括对操作系统、应用软件、数据库、安全软件、工具软件的采购、安装、使用、更新、维护、调优,防病毒等管理。
4.1.1软件的采购、安装和测试
(1)重要的操作系统和主要应用软件必须由信息管理组工作人员进行安装
(2)操作系统、软件安装后,须使用可靠检测软件或手段进行安全性测试,安装必要的安全补丁,了解其脆弱性,并根据脆弱性程度采取措施,使风险降至最小。
4.1.2软件的登记和保管
(1)软件安装后,原件(盘)应进行登记造册,并由专人保管。
(2)软件更新后,软件的新旧版本均应登记造册,并由专人保管,旧版本的销毁应受严格控制。
4.1.3软件的使用和维护
(1)操作系统和数据库管理系统以及安全软件应由专人负责,系统及系统安全管理员专人担任,负责对系统和管理的维护,必须对系统运行情况进行严格的工作记录,系统工作异常或发生与安全有关的事件时,在采取相应措施的同时必须报信息安全领导小组。
(2)安全管理员不得兼职。
(3)定期对操作系统、数据库管理系统及其它相关软件进行稽核审计,分析与安全有关的事件,堵塞安全漏洞。
(4)软件更新后,须重新审查系统安全状态,必要时对安全策略进行调整。
4.1.4软件开发管理
(1)软件的开发必须根据信息密级和安全等级,同步进行相应的安全设计,并制定各阶段安全目标,按目标进行管理和实施。
(2)软件的开发必须有安全管理专业的技术人员参加,其主要任务是:
对系统方案与开发进行安全审查和监督,负责系统安全设计和实施。
(3)软件开发环境必须与办公环境和工作现场分开,软件设计方案、数据结构、安全管理、操作监控手段、数据加密形式、源代码等,只能在有关开发人员及有关管理机构中流动,严禁散失或外泄。
(4)软件开发必须符合软件工程规范[GB8566-88],[GB1526-89]。
(5)软件开发人员不得参与应用软件的运行管理和操作。
4.1.5软件的防病毒管理
(1)计算机必须安装经国家认可的防、杀病毒软件产品。
(2)信息管理组定期(每周一次)进行全公司系统的杀毒工作。
(3)不得使用未经批准和检测的外来软件或磁盘、光盘,移动存储设备,不允许在计算机上玩游戏。
(4)发现病毒后立即使用杀毒工具进行检测和杀毒,如不能完全杀毒时,立即上报信息管理组并暂停工作。
(5)对于染毒次数、杀毒次数、杀毒后果进行详细记录,不得隐瞒不报。
4.2设备管理
对设备的全方位管理是保证信息系统建设的重要条件。
设备管理包括设备的购置、使用、维修、储存管理等几个方面。
4.2.1设备购置管理
(a)设备选型
采购PC、杀毒软件、安全设备等时应遵循下列原则:
(1)严禁采购和使用未经国家信息安全测评机构认可的产品。
(2)尽量采用我国自主开发研制的信息安全技术和设备。
(3)严禁直接采用境外密码设备。
(4)必须采用境外信息安全产品时,该产品必须通过国家信息安全测评机构的认可。
(5)严禁使用未经国家密码管理部门批准和未通过国家信息安全质量认证的国内密码设备。
(b)设备检测
信息系统中的所有设备必须是经过测评认证的合格产品,新选的设备应该符合中华人民共和国国家标准规定的要求,其电磁射强度、可靠性及兼容性也应符合安全管理等级要求。
(c)设备购置安装
(1)设备符合系统选型要求并获得批准后,方可购置。
(2)凡购回的设备均应在测试环境下经过连续72小时以上的单机运行测试和联机48小时的应用系统兼容性运行测试。
(3)通过上述(b)项测试后,设备才能进入试运行阶段。
试运行时间的长短可根据需要自行确定。
(4)通过试运行的设备,才能投入生产系统,正式运行。
(d)设备登记
对所有设备均应建立项目齐全、管理严格的购置、移交、使用、维护、维修、报废等登记制度,并认真做好登记及检查工作,保证设备管理工作正规化。
4.2.2设备使用管理
(1)每台(套)设备的使用均应制定专人负责并建立详细的运行日志。
(2)由设备责任人负责设备的使用,登记内容应包括运行起止时间、累计运行时数及运行状况等。
(3)由责任人负责进行设备的日常清洗及定期保养维护,做好维护记录,保证设备处于最佳状态。
(4)一旦设备出现故障,责任人应立即如实填写故障报告,通知有关人员处理。
4.2.3设备维修管理
(1)设备应有专人负责进行维修,并建立满足正常运行最低要求的易损件的备件库。
(2)根据每台(套)设备的资质情况及系统的可靠性等级,制定预防性维修计划。
(3)对系统进行维修时应采取数据保护措施,安全设备维修时应有安全管理员在场。
(4)对设备进行维修时必须记录维修对象、故障原因、排除方法、主要维修过程及维修有关情况等。
(5)对设备应规定折旧期,设备到了规定使用期限或因严重故障不能恢复,应由专业技术人员对设备进行鉴定和残值估价,并对设备情况进行详细登记,提出报告书和处理意见,由主管领导和上级主管部门批准后方能进行报废处理。
4.2.4设备仓储管理
(1)设备责任人应保证各台(套)设备在出厂标称的环境下(如温度、湿度、电压、电磁干扰、粉尘度等)储存。
(2)设备应有进出库领用和报废登记。
(3)必须定期对储存设备进行清洁、核查及通电检测。
(4)安全产品及保密设备应单独储存并有相应的保护措施。
4.3介质管理
介质在信息系统安全中对系统的恢复、信息的保密,甚至在防止病毒诸方面都起着十分关键的作用,因此,必须十分重视介质的管理。
4.3.1介质分类
(1)一类介质:
介质上记录的内容涉及不同密级的数据。
(2)二类介质:
介质上的记录内容对系统、设备功能来说是不可代替的、毁坏后不能恢复的。
(3)三类介质:
介质上的记录内容在不影响系统主要功能的前提下可以进行复制,但这些数据的记录复制过程较困难,或价格较昂贵。
(4)四类介质:
介质上的记录内容在系统调试过程中容易得到。
4.3.2介质库管理
(1)介质库必须符合防火、防水、防震、防潮、防腐蚀、防鼠害、防虫蛀、防静电、防电磁辐射的安全要求。
第一、二、三类介质应有多份和异地储存库。
(2)介质库应建立库管理员负责库的管理工作,并核查使用人员的身份与权限。
(3)介质库内的所有介质应统一编目,集中分类管理。
4.3.3介质登记和借用
(1)新购置或系统生成的介质应造册登记、编制目录、制作备份,送介质库集中分类管理,目录清单应有完整的控制信息,即包含介质类别、信息类别、文件所有者、卷系列号、文件名称及其主要内容、项目编号,重要性等级、密级建立日期、保存期限、借出归还日期、借出理由和批准手续等记载。
(2)介质库管理员负责所有介质的出入,介质发出前须收到申请领用清单,经核实后可发出。
借出的介质逾期未还,应由介质库管理员负责收回。
重要或秘密记录介质的传递与外借,应有审批手续和记录。
传递过程中介质应放在金属内并采取必要的保安措施。
借用的介质不用时,必须及时归还介质库。
备份介质定期由库管理员负责送到离开现场的介质库内。
4.3.4介质的复制和销毁
(1)保留在现场的介质数量,应是系统有效运行所需的最小数量,一、二类介质应采取防复制及信息加密措施。
(2)介质要根据需要与存储环境情况,定期进行循环复制备份。
(3)介质在销毁前,需要清除介质上的信息,全部机密以上介质信息的转交、挪动和销毁,安全管理员和库管理员须同时在场。
4.4技术文档管理
4.4.1技术文档的作用
(1)技术文档是指对软件设计研制、开发、运行、维护中所有技术问题的文字描述,它反映了系统的构造原理,表示了系统的实现方法,为系统维护、修改和进一步开发提供了依据。
(2)技术文档记录了软件各阶段的技术信息。
(3)技术文档为管理人员、开发人员、操作人员、用户之间的技术交流提供了交互的媒体。
4.4.2技术文档的使用管理
(1)借阅、复制技术文档要履行相应的手续,包括申请、审批、登记、归档等必要环节,并明确各环节当事人的责任和义务。
(2)对秘密级以上的重要技术文档应考虑双份以上的备份,并存放于异地。
(3)对报废的技术文档,要有严格的销毁
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 信息 安全策略 方针 策略
![提示](https://static.bdocx.com/images/bang_tan.gif)