資訊保安管理制度彙編
本文已影響1.72W人
本文已影響1.72W人
在現在社會,接觸到制度的地方越來越多,制度泛指以規則或運作模式,規範個體行動的一種社會結構。這些規則蘊含著社會的價值,其執行表彰著一個社會的秩序。想必許多人都在為如何制定制度而煩惱吧,下面是小編幫大家整理的資訊保安管理制度彙編,歡迎閱讀與收藏。
第一章總則
第一條資訊保安保密工作是公司運營與發展的基礎,是保障客戶利益的基礎,為給資訊保安工作提供清晰的指導方向,加強安全管理工作,保障各類系統的安全執行,特制定本管理制度。
第二條本制度適用於分、支公司的資訊保安管理。
第二章計算機機房安全管理
第三條計算機機房的建設應符合相應的國家標準。
第四條為杜絕火災隱患,任何人不許在機房內吸菸。嚴禁在機房內使用火爐、電暖器等發熱電器。機房值班人員應瞭解機房滅火裝置的效能、特點,熟練使用機房配備的滅火器材。機房消防系統白天置手動,下班後置自動狀態。一旦發生火災應及時報警並採取應急措施。
第五條為防止水患,應對上下水道、暖氣設施定期檢查,及時發現並排除隱患。
第六條機房無人值班時,必須做到人走門鎖;機房值班人員應對進入機房的人員進行登記,未經各級領導同意批准的人員不得擅自進入機房。
第七條為杜絕齧齒動物等對機房的破壞,機房內應採取必要的防範措施,任何人不許在機房內吃東西,不得將食品帶入機房。
第八條系統管理員必須與業務系統的操作員分離,系統管理員不得操作業務系統。應用系統執行人員必須與應用系統開發人員分離,執行人員不得修改應用系統原始碼。
第三章計算機網路安全保密管理
第九條採用入侵檢測、訪問控制、金鑰管理、安全控制等手段,保證網路的安全。
第十條對涉及到安全性的網路操作事件進行記錄,以進行安全追查等事後分析,並建立和維護“安全日誌”,其內容包括:
1、記錄所有訪問控制定義的變更情況。
2、記錄網路裝置或設施的啟動、關閉和重新啟動情況。
3、記錄所有對資源的物理毀壞和威脅事件。
4、在安全措施不完善的情況下,嚴禁公司業務網與網際網路聯接。
第十一條不得隨意改變例如ip地址、主機名等一切系統資訊。
第四章 應用軟體安全保密管理
第十二條各級執行管理部門必須建立科學的、嚴格的軟體執行管理制度。
第十三條建立軟體複製及領用登記簿,建立健全相應的監督管理制度,防止軟體的非法複製、流失及越權使用,保證計算機資訊系統的安全;
第十四條定期更換系統和使用者密碼,前臺(各應用部門)使用者要進行動態管理,並定期更換密碼。
第十五條定期對業務及辦公用pc的作業系統及時進行系統補丁升級,堵塞安全漏洞。
第十六條不得擅自安裝、拆卸或替換任何計算機軟、硬體,嚴禁安裝任何非法或盜版軟體。
第十七條不得下載與工作無關的任何電子檔案,嚴禁瀏覽黃色、*或高風險等非法網站。
第十八條注意防範計算機病毒,業務或辦公用pc要每天更新病毒庫。
第五章 資料安全保密管理
第十九條所有資料必須經過合法的手續和規定的渠道採集、加工、處理和傳播,資料應只用於明確規定的目的,未經批准不得它用,採用的資料範圍應與規定用途相符,不得超越。
第二十條根據資料使用者的許可權合理分配資料存取授權,保障資料使用者的合法存取。
第二十一條設定資料庫使用者口令,並監督使用者定期更改;資料庫使用者在操作資料過程中,不得使用他人口令或者把自己的口令提供給他人使用。
第二十二條未經領導允許,不得將儲存介質(含磁帶、光碟、軟盤、技術資料等)帶出機房,不得隨意通報資料內容,不得洩露資料給內部或外部無關人員。
第二十三條 嚴禁直接對資料庫進行操作修改資料。如遇特殊情況進行此操作時,必須由申請人提出申請,填寫《資料變更申請表》,經申請人所屬部門領導確認後提交至資訊管理部,資訊管理部相關領導確認後,方可由資料庫管理人員進行修改,並對操作內容作好記錄,長期儲存。修改前應做好資料備份工作。
第二十四條 應按照分工負責、互相制約的原則制定各類系統操作人員的資料讀寫許可權,讀寫許可權不允許交叉覆蓋。
第二十五條 一線生產系統和二線監督系統進行系統維護、復原、強行更改資料時,至少應有兩名操作人員在場,並進行詳細的登記及簽名。
第二十六條 對業務系統操作員許可權實行動態管理,確保操作員崗位調整後及時修改相應許可權,保證業務資料安全。
(1)嚴格執行檢驗操作規程,認真負責,杜絕弄虛作假,出現問題追究責任,並按經濟責任制相關內容處理。
(2)化驗資料要求實事求是,準確無誤,杜絕虛報謊報,要對檢驗報告結果、資料及結論負責,檢驗報告要加蓋化驗專用章及化驗員章後,及時上報各部室。
(3)負責對原輔料、成品、半成品的化驗及檢驗工作。取樣及時,要按取樣原則取樣,要有代表性,及時向有關部門及有關領導報送檢驗報告單。
(4)嚴格遵守儀器使用記錄,掌握本崗位所用計量器具校驗週期,及時和主管溝通,保證計量器具的準確性和可靠性。
(5)對工作失誤造成損失負全部責任,對以上四項標準規定中所出現問題負全面責任,對本崗位安全操作負全責。
(6)遵守和執行公司制定的規章制度。
(7)有提合理化建議並享有權利,有拒絕將不合格檢驗報告單開成合格檢驗報告單的權利,有維護自身合法利益的權利。
2.實驗員交接班制度
(1)化驗人本班取樣,爭取本班化驗完畢,如因特殊原因本班不能完成,在交接班時,應交待清楚,並在交接班記錄中說明,同時應在檢驗原始記錄中已做完專案後簽字。
(2)在交接班時,應在所用各種玻璃儀器及化驗、檢驗裝置完好情況進行交接,玻璃儀器破損,不潔淨、數量不符不接,檢驗裝置損壞不接。當以上問題被確認後說明原因方可交接,並在交接班記錄中說明,雙方簽字,交接中發現問題,化驗負責人以書面形式上報至主管領導。
(3)本班取樣未做,需下班化驗,應在交接班記錄中說明原因,並口頭交待清楚。
(4)下班化驗員因特殊原因而未按時接班,上班人員不得下班,導致空崗。
(5)交接班時,應認真填寫交接班記錄,主要內容有本班檢驗專案情況,儀器完好情況、試藥剩餘情況及本班所存在問題。
3.實驗室衛生管理制度
(1)化驗室取樣工具應清潔,無汙染,防止原輔料、半成品及成品在取樣過程中受到汙染,取樣工具應定期進行滅菌、消毒處理。
(2)化驗員所穿白大褂應定期洗滌,特別是無菌服,要隨時保持清潔,並定期滅菌,絕不可將無菌副穿出無菌室外。
(3)無菌室應定時消毒滅菌,保證無菌室是衛生級別,化驗室每班隨時清掃,不留死角,保證整潔。
(4)玻璃儀器應保持清潔,保證待用狀態,檢測儀器更應物見本色,不可有試藥痕跡、藥品痕跡等出現。
(5)化驗室各室操作檯,地面不得有試紙、濾紙、試藥滴、散落樣品等雜物出現。
4.化學藥品使用保管制度
(1)化學試劑必須保持標籤完整。
(2)一般藥品可按元素週期分類或按氧化物、酸、鹼、鹽分類存放於陰涼通風處,理想溫度在30℃以下。
(3)有些藥品要低溫存放,以免發生事故,如石油醚、乙醚等。存放溫度要求在20℃以下。
(4)貴重的試劑和一般藥品分開,妥善保管。
(5)易燃、易爆的藥品要遠離火源。
(6)劇毒藥品必須有兩人以上保管,並有專櫃儲存,使用時做好記錄。
(7)使用危險藥品一定要注意安全。
(8)領用化學藥品必須填寫“化學品領用登記表。
5.安全管理規定
(1)實驗人員進入化驗室,應穿著實驗服、鞋、帽。
(2)嚴格遵守勞動紀律、堅守崗位、精心操作。
(3)實驗人員必須學習安全防護及事故處理知識。
(4)實驗人員必須熟悉化驗儀器裝置的效能和使用方法,並按要求進行實驗操作。
(5)凡進行有危險性的實驗,工作人員應先檢查防護措施,確認防護妥當後,才可開始進行實驗。在實驗進行中,實驗人員不得擅自離開,實驗完成後應立即做好清理善後工作,以防事故發生。
(6)凡有毒或有刺激性氣體發生的實驗,應在通風櫃內進行,並要求加強個人防護。實驗中不得把頭部伸進通風櫃內。
(7)酸、鹼類等腐蝕性物質,不得放置在高處或實驗試劑架的頂層。開啟腐蝕性和刺激性物品的瓶子時,應佩帶護目鏡;並禁止用裸手直接拿取上述物品。
(8)不使用無標籤(或標誌)容器盛放的試劑、試樣。
(9)實驗中產生的廢液、廢渣和其他廢物,應集中處理,不得任意排放。酸、鹼或有毒物品濺落時,應及時清理、除毒。
(10)嚴格遵守安全用電規程。不使用絕緣損壞或絕緣不良的電器裝置。不準擅自拆修電器。
(11)實驗完畢,實驗人員必須洗手後方可進食。並不得把食物、食具帶進化驗室。化驗室內禁止吸菸。
(12)化驗室內應配備足夠的消防器材,實驗人員必須熟悉其使用方法,並掌握有關的滅火知識和技能。
(13)實驗結束,人員離室前應檢查水、電、燃氣和門窗,以確保安全。
(14)禁止無關人員進入化驗室。
6.資訊保安管理規定
(1)對接觸的公司商業祕密要採取恰當的安全措施對涉祕檔案必須妥善保管。
(2)不得將檢化驗結果透露給無關人員。
(3)在化驗單的傳遞過程中保證親自交到接收的相關人員手中,不得隨意委託他人代交。
(4)不得在公共場合談論公司的機密。
(5)發現洩密及時報告,採取相應的補救措施,避免或減輕對公司(單位)的損害。
(6)客戶問及公司(單位)的祕密時,應予以婉言謝絕。
第一章總則
第一條目的
為了確保公司資訊系統的資料安全,使得在資訊系統使用和維護過程中不會造成資料丟失和洩密,特制定本制度。
第二條適用範圍
本制度適用於公司技術管理部及相關業務部門。
第三條管理物件
本制度管理的物件為公司各個資訊系統系統管理員、資料庫管理員和各個資訊系統使用人員。
第二章資料安全管理
第四條資料備份要求
存放備份資料的介質必須具有明確的標識。備份資料必須異地存放,並明確落實異地備份資料的管理職責。
第五條資料物理安全
注意計算機重要資訊資料和資料儲存介質的存放、運輸安全和保密管理,保證儲存介質的物理安全。
第六條資料介質管理
任何非應用性業務資料的使用及存放資料的裝置或介質的調撥、轉讓、廢棄或銷燬必須嚴格按照程式進行逐級審批,以保證備份資料安全完整。
第七條資料恢復要求
資料恢復前,必須對原環境的資料進行備份,防止有用資料的丟失。資料恢復過程中要嚴格按照資料恢復手冊執行,出現問題時由技術部門進行現場技術支援。資料恢復後,必須進行驗證、確認,確保資料恢復的完整性和可用性。
第八條資料清理規則
資料清理前必須對資料進行備份,在確認備份正確後方可進行清理操作。歷次清理前的備份資料要根據備份策略進行定期儲存或永久儲存,並確保可以隨時使用。資料清理的實施應避開業務高峰期,避免對聯機業務執行造成影響。
第九條資料轉存
需要長期儲存的資料,資料管理部門需與相關部門制定轉存方案,根據轉存方案和查詢使用方法要在介質有效期內進行轉存,防止儲存介質過期失效,通過有效的查詢、使用方法保證資料的完整性和可用性。轉存的資料必須有詳細的文件記錄。
第十條涉密資料裝置管理
非本單位技術人員對本公司的裝置、系統等進行維修、維護時,必須由本公司相關技術人員現場全程監督。計算機裝置送外維修,須經裝置管理機構負責人批准。送修前,需將裝置儲存介質內應用軟體和資料等涉經營管理的資訊備份後刪除,並進行登記。對修復的裝置,裝置維修人員應對裝置進行驗收、病毒檢測和登記。
第八條報廢裝置資料管理
管理部門應對報廢裝置中存有的程式、資料資料進行備份後清除,並妥善處理廢棄無用的資料和介質,防止洩密。
第九條計算機病毒管理
執行維護部門需指定專人負責計算機病毒的防範工作,建立本單位的計算機病毒防治管理制度,經常進行計算機病毒檢查,發現病毒及時清除。
第十條專用計算機管理
營業用計算機未經有關部門允許不準安裝其它軟體、不準使用來歷不明的載體(包括軟盤、光碟、行動硬碟等)。
第三章附則
第十一條本制度自20xx年6月1日起執行。
第十二條本制度由技術管理部負責制定、解釋和修改。
為加強我委計算機資訊網路安全管理,確保資訊網路安全、高效、正常執行,根據《中華人民共和國計算機資訊系統安全保護條例》、《中華人民共和國計算機資訊網路國際聯網管理暫行規定》和柳保(20xx)9號《關於在全市開展保密計算機違規聯接網際網路監管工作的通知》和有關規定,制定本規定。
第一條全委幹部職工必須嚴格遵守國家保密法和計算機網路資訊保安管理法規及本規定。
第二條任何單位和個人不得利用本委計算機資訊網路從事危害國家安全、洩露國家祕密等非法活動,不得利用本委計算機資訊網路製作、查閱、複製和傳播妨礙社會治安和淫穢色情等有害資訊。
第三條涉密計算機資訊系統的研製、安裝和使用,必須符合保密要求,並採取有效的措施,配置合格的保密專用裝置,防洩密、防竊密。
第四條涉密計算機資訊系統必須與網際網路實行物理隔離,嚴禁用處理國家祕密資訊的計算機(包括行動式計算機)上網際網路。
第五條裝有國家祕密資訊的行動式計算機原則上只能在委機關內使用,確因工作需要攜帶外出,必須將涉密資訊全部轉出行動式儲存裝置存放在機關。
第六條上網際網路的計算機必須與處理涉密資訊的計算機嚴格區分,專機專用,不得既用於上網際網路又用於處理國家祕密資訊。
第七條計算機網路插頭和介面,必須標明字樣,嚴格區分,按規範安裝,其他人員不得擅自刪除或更改與網路系統有關的設定,嚴防由於誤操作造成洩密。
第八條涉密資訊和資料必須按照保密規定進行採集、儲存、處理、傳遞、使用和銷燬。使用計算機起草、儲存、處理、傳遞涉密檔案、材料,必須在涉密計算機上進行。
第九條建立上網資訊保密審查制度,堅持“誰上網誰負責'的原則,資訊上網必須經過嚴格審查和批准,確保國家祕密不上網,上網資訊不涉密。
第十條各科室,應當造冊登記,切實加強軟盤、磁帶、光碟、行動硬碟等資訊媒體管理。儲存有國家祕密資訊的資訊媒體,按所儲存資訊的最高密級標明密級,並按相應密級檔案的保密規定進行管理,不得降低密級使用。不再使用的資訊媒體應及時銷燬。
第十一條報廢、維修儲存過國家祕密資訊的計算機和資訊媒體,須交委辦公室按保密規定統一處理,保證所儲存的國家祕密資訊不被洩露。
第十二條做好計算機資訊系統資料備份。根據需要與存貯環境,重要資訊要定期(半年至二年)進行迴圈複製三份分處存放,並注意防止因靜電、電磁干擾等原因導致資訊丟失。
第十三條做好計算機日常維護工作,嚴格查毒防毒,發現病毒及時清除,確保資訊系統安全執行。
第十四條妥善保管和使用計算機ca認證系統金鑰,保守計算機資訊系統使用者口令祕密。金鑰被盜或遺失,應及時作廢,重新分配。
第十五條文印室計算機管理。文印室的計算機由打字員負責管理,任何人不得擅自使用文印室的計算機,如需用掃描器應自帶u盤在外網計算機上操作直接將檔案存入自帶盤中,嚴禁掃描、傳輸有密級的檔案。嚴禁外單位人員進入文印室。
第十六條本委計算機資訊網路安全工作由委資訊保安領導小組負責。委主要負責人擔任領導小組組長,成員由各科室負責人組成。領導小組職責是:
(一)根據國家有關計算機資訊網路安全的法規和政策,審定本委計算機資訊網路安全工作計劃和管理制度;
(二)指導和檢查本委計算機資訊網路安全工作;
(三)定期對計算機資訊系統的系統安全保密管理人員進行上崗前保密培訓,嚴格審查和考核。
(四)研究、解決本委計算機資訊網路安全重大問題。
第十七條委資訊保安領導小組下設辦公室,由委辦公室和相關人員組成,在領導小組領導下,負責本委計算機資訊網路安全管理的日常工作。
第十八條各科室負責人是本科室計算機資訊網路安全工作的第一責任人,對本科室資訊保安工作負責。
第十九條各科室切實加強對本科室的保密知識教育,提高工作人員資訊保安保密意識,自覺遵守保密紀律和有關保密規定,發現有違反規定的行為,立即糾正,發現國家祕密洩露或可能洩露情況時,應當立即報告委資訊保安領導小組。
第二十條違反本規定造成洩密的,將按有關法律和規定,追究當事人和責任人的責任,依法依紀進行處理。
第二十一條本規定自發布之日起執行。
1.資訊保安禁止行為:
1.1利用公司資訊系統平臺、網路製作、傳播、複製危害公司及員工的有關任何資訊;
1.2攻擊、入侵他人計算機,未經允許使用他人計算機裝置、資訊系統等;
1.3未經授權對資訊平臺erp、crm、wms、網站、企業郵件系統中儲存、處理或傳輸的資訊(包括系統檔案和應用程式)進行增加、修改、移動、複製和刪除等;
1.4未經授權查閱他人郵件,盜用他人名義進行傳送任何電子郵件;
1.5故意干擾、破壞公司資訊平臺erp、crm、wms、網站、企業郵件等系統的安全、穩定暢通執行;從事其他危害公司計算機、網路裝置、資訊平臺的安全活動;
1.6未經公司高管領導批准不得通過網路、移動儲存裝置等向外傳輸、釋出、洩露有關公司的任何資訊;
其它危害公司資訊保安或違反國家相關法律法規、資訊保安條例的行為。
2.資訊保安響應機制
2.1資訊科技部負責公司資訊保安的整體指導與管理工作,並對資料中心機房軟硬體及資訊系統、資料庫的維護、備份等安全進行日常管理。各分支機構、部門涉及公司(或商業)機密的資訊保安由分支或部門本身自行負責管理和控制。
2.2為保障各資訊系統安全穩定執行,資訊科技部在工作日時間由分管管理員負責維護,節假日根據需要,安排相關人員負責值班支援。使用人如發現問題應及時通知資訊科技部,管理員應及時處理並做好系統事件記錄。
2.3資訊系統的許可權管理部門為資訊科技部,負責各資訊系統的許可權管理,並指定專人為系統管理員完成各系統賬號、許可權的設立、登出及變更。
2.4如出現特殊情況,分管管理員應及時處理及解決,同時第一時間向部門經理報告,如確定異常情況為災難、重大影響的還須上報公司高層。
3.如其它資訊管理制度涉及資訊保安的條款與本制度有衝突,則以本制度為準。本管理規定由資訊科技部負責制定、解釋,自頒佈之日開始暫行。
一、中小學校園網是學校現代化發展重要組成部份,是學校數字化教育資源中心、資訊釋出交流技術平臺,是全面實施素質教育和新課程改革的重要場所,務必高度重視、規範管理、發揮效益。
二、中小學校園網要按照教育部《中小學校園網建設指導意見》設計和建設,裝備調溫、調溼、穩壓、接地、防雷、防火、防盜等裝置。
三、中小學校園網涉及網路技術裝置管理與維護、網路線路管理與維護,終端使用者管理與監控,教育資源管理與開發、網路資訊管理與安全、教學管理與效益等技術性強、安全性要求高的具體業務工作,務必設定管理機構,校級領導主管,配置精通計算機及網路技術、電子維修技術,具備教師職業道德、熱愛本職工作的專業技術人員從事管理工作。
四、中小學校園網是學校的公共基礎設施和固定資產,未經學校批准,任何部門和個人不得隨意拆卸或改動佈線結構;不得移動或改動網路裝置位置;不得干擾、破壞網路正常執行。所有裝置、成套軟體納入固定資產規範管理。
五、校園網所有使用者應以實名字註冊,對自己所釋出資訊負全責,接受上級部門與公安部門依法監督檢查。不得盜用他人賬號,不得在校園網上釋出不健康、非法資訊,不得散佈計算機病毒、傳播黑客程式、濫用網路遊戲。學生使用者要嚴格遵守《全國青少年網路文明公約》。
六、網路中心應全天24小時開機,裝置和線路出現故障,應及時維修處理,確保網路裝置安全運轉。
七、嚴禁在辦公時間內上網聊天、玩遊戲、觀看與工作無關的視訊資訊。
八、非中心機房工作人員不得隨意進入中心機房,不得以任何方式試圖登陸校園網後臺管理端,不得對伺服器等裝置進行修改、設定、刪除等操作。
九、管理人員應監視並記錄伺服器系統執行情況,隨時遮蔽有害網頁,出現異常情況應根據需要立即關閉伺服器系統,及時處理。出現危急情況,應立即報告學校領導和相關主管部門。監視電壓、電流、溼溫度等環境條件;監視執行的作業和資訊傳輸情況;填寫中心機房工作日誌。
十、為了確保中心機房的安全,應逐步實現網管人員對伺服器的遠端操作。定期更換伺服器口令;工作人員不得隨意洩漏口令。不得將系統特權授予普通使用者,不得隨意轉給他人;對過期使用者應及時收回所授予的權力。
十一、學校重要資料不得外洩,重要資料的輸入及修改應按許可權、由專人完成,並作加密處理。
十二、收集整理網管中心技術檔案。妥善儲存備份資源。列印涉密資料應按許可權儲存,廢棄資料應及時銷燬。
十三、網管人員在工作時,應嚴格遵守安全規程,實行安全巡查值班制度,嚴防漏電、著火、雷擊、被盜、磁化、系統崩潰、病毒攻擊、黑客入侵等不安全事故發生。危險品及可燃品不得帶入機房。
十四、中心機房不會客、不做與網路安全執行與維護無關的事情。機房的裝置與軟體不隨意外借。
第一節 總則
1、為加強醫院資訊科技外包服務的安全管理,保證醫院資訊系統執行環境的穩定,特制定本制度。
2、本制度所稱資訊科技外包服務,是指醫院以簽訂合同的方式,委託承擔資訊科技服務且非本醫院所屬的專業機構提供的資訊科技服務,主要包括資訊科技諮詢服務、執行維護服務、技術培訓及其它相關資訊化建設服務等。
3、安全管理是以安全為目的,進行有關安全工作的方針、決策、計劃、組織、指揮、協調、控制等職能,合理有效地使用人力、財力、物力、時間和資訊,為達到預定的安全防範而進行的各種活動的總和,稱為安全管理。
4、外包服務安全管理遵循關於安全的所有商業準則及適當的外部法律、法規。
第二節 外包服務範圍
5、外包服務包括資訊科技諮詢服務、執行維護服務、技術培訓等。
6、諮詢服務:
6.1根據醫院的資訊化建設總體部署,協助醫院制定切實可行的技術實施方案。
6.2 對醫院現有的資訊科技基礎架構、裝置執行狀態和應用情況進行診斷和評估,提出合理化的解決方案。
6.3 根據醫院的實際情況提出備份方案和應急方案。
6.4 其它資訊科技諮詢服務。
7、執行維護服務:
7.1 軟硬體裝置安裝、升級服務。
7.2硬體裝置的維修和保養。
7.3 根據醫院業務變化,提供應用系統功能性的需求解決方案及執行服務。
7.4系統定期巡檢和整體效能評估。
7.5 日常業務資料問題的處理服務。
7.6 其它執行維護服務。
8、技術培訓:根據醫院的實際情況,提供相關的技術培訓。
第三節 外包服務安全管理
9、外包服務安全管理應按照“安全第一、預防為主”的原則,採取科學有效的安全管理措施,應用確保資訊保安的技術手段,建立權責明確、覆蓋資訊化全過程的崗位責任制,對資訊化全過程實行嚴格監督和管理,確保資訊保安。
10、 成立由分管領導同志資訊化外包管理組織,明確資訊化管理的部門、人員及其職責。
11、建立資訊建設安全保密制度,與外包服務方簽訂安全保密協議或合同,明確符合安全管理及其它相關制度的要求。並對服務人員進行安全保密教育。
12、制定資訊化加工過程管理、資訊化成果驗收與交接、儲存介質管理等操作規程或規章制度。
13、外包服務方的人員素質、技術與管理水平能夠滿足擬承擔專案的要求,進行相應的安全資質管理。
14、資訊中心配備專人負責安全保密工作,負責日常資訊保安監督、檢查、指導工作。對服務方提供的服務進行安全性監督與評估,採取安全措施對訪問實施控制,出現問題應遵照合同規定及時處理和報告,確保其提供的服務符合醫院的內部控制要求。
15、對外包服務的業務應用系統執行的安全狀況應定期進行評估,當出現重大安全問題或隱患時應進行重新評估,提出改進意見,直至停止外包服務。
16、使用外包服務方裝置的,對其進行必要的安全檢查。
17、在重要安全區域,對外部服務方的每次訪問進行風險控制;必要時應外部服務方的訪問進行限制。
第四節 附則
18、本制度由資訊中心負責解釋。
19、本制度自發布之日起生效執行。
1目標
勝達集團資訊保安檢查工作的主要目標是通過自評估工作,發現本局資訊系統當前面臨的主要安全問題,邊檢查邊整改,確保資訊網路和重要資訊系統的安全。
2評估依據、範圍和方法
2.1 評估依據
根據國務院資訊化工作辦公室《關於對國家基礎資訊網路和重要資訊系統開展安全檢查的通知》(信安通[20xx]15號)、國家電力監管委員會《關於對電力行業有關單位重要資訊系統開展安全檢查的通知》(辦資訊[20xx]48號)以及集團公司和省公司公司的檔案、檢查方案要求, 開展××單位的資訊保安評估。
2.2 評估範圍
本次資訊保安評估工作重點是重要的業務管理資訊系統和網路系統等,
管理資訊系統中業務種類相對較多、網路和業務結構較為複雜,在檢查工作中強調對基礎資訊系統和重點業務系統進行安全性評估,具體包括:基礎網路與伺服器、關鍵業務系統、現有安全防護措施、資訊保安管理的組織與策略、資訊系統安全執行和維護情況評估。
2.3 評估方法
採用自評估方法。
3重要資產識別
對本局範圍內的重要系統、重要網路裝置、重要伺服器及其安全屬性受破壞後的影響進行識別,將一旦停止執行影響面大的系統、關鍵網路節點裝置和安全裝置、承載敏感資料和業務的伺服器進行登記彙總,形成重要資產清單。
資產清單見附表1。
4安全事件
對本局半年內發生的較大的、或者發生次數較多的資訊保安事件進行彙總記錄,形成本單位的安全事件列表。安全事件列表見附表2。
5安全檢查專案評估
5.1 規章制度與組織管理評估
5.1.1組織機構
評估標準
資訊保安組織機構包括領導機構、工作機構。
現狀描述
本局已成立了資訊保安領導機構,但尚未成立資訊保安工作機構。
評估結論
完善資訊保安組織機構,成立資訊保安工作機構。
5.1.2崗位職責
估標準
崗位要求應包括:專職網路管理人員、專職應用系統管理人員和專職系統管理人員;專責的工作職責與工作範圍應有制度明確進行界定;崗位實行主、副崗備用制度。
現狀描述
我局沒有配置專職網路管理人員、專職應用系統管理人員和專職系統管理人員,都是兼責;專責的工作職責與工作範圍沒有明確制度進行界定,崗位沒有實行主、副崗備用制度。
評估結論
本局已有兼職網路管理員、應用系統管理員和系統管理員,在條件許可下,配置專職管理人員;專責的工作職責與工作範圍沒有明確制度進行界定,根據實際情況制定管理制度;崗位沒有實行主、副崗備用制度,在條件許可下,落實主、副崗備用制度。
5.1.3病毒管理
評估標準
病毒管理包括計算機病毒防治管理制度、定期升級的安全策略、病毒預警和報告機制、病毒掃描策略(1周內至少進行一次掃描)。
現狀描述
本局使用Symantec防病毒軟體進行病毒防護,定期從省公司病毒庫伺服器下載、升級安全策略;病毒預警是通過第三方和網上提供資訊來源,每月統計、彙總病毒感染情況並提交局生技部和省公司生技部;每週進行二次自動病毒掃描;沒有制定計算機病毒防治管理制度。
評估結論
完善病毒預警和報告機制,制定計算機病毒防治管理制度。
5.1.4執行管理
評估標準
執行管理應制定資訊系統執行管理規程、缺陷管理制度、統計彙報制度、運維流程、值班制度並實行工作票制度;制定機房出入管理制度並上牆,對進出機房情況記錄。
現狀描述
沒有建立相應資訊系統執行管理規程、缺陷管理制度、統計彙報制度、運維流程、值班制度,沒有實行工作票制度;機房出入管理制度上牆,但沒有機房進出情況記錄。
評估結論
結合本局具體情況,制訂資訊系統執行管理規程、缺陷管理制度、統計彙報制度、運維
流程、值班制度,實行工作票制度;機房出入管理制度上牆,記錄機房進出情況。
5.1.5賬號與口令管理
評估標準
制訂了賬號與口令管理制度;普通使用者賬戶密碼、口令長度要求符合大於6字元,管理員賬戶密碼、口令長度大於8字元;半年內賬戶密碼、口令應變更並儲存變更相關記錄、通知、檔案,半年內系統使用者身份發生變化後應及時對其賬戶進行變更或登出。
現狀描述
沒有制訂賬號與口令管理制度,普通使用者賬戶密碼、口令長度要求大部分都不符合大於6字元;管理員賬戶密碼、口令長度大於8字元,半年內賬戶密碼、口令有過變更,但沒有變更相關記錄、通知、檔案;半年內系統使用者身份發生變化後能及時對其賬戶進行變更或登出。
評估結論
制訂賬號與口令管理制度,完善普通使用者賬戶與管理員賬戶密碼、口令長度要求;對賬戶密碼、口令變更作相關記錄;及時對系統使用者身份發生變化後對其賬戶進行變更或登出。
5.2 網路與系統安全評估
5.2.1網路架構
評估標準
區域網核心交換裝置、都會網路核心路由裝置應採取裝置冗餘或準備備用裝置,不允許外聯鏈路繞過防火牆,具有當前準確的網路拓撲結構圖。
現狀描述
區域網核心交換裝置準備了備用裝置,都會網路核心路由裝置採取了裝置冗餘;沒有不經過防火牆的外聯鏈路,有當前網路拓撲結構圖。
評估結論
區域網核心交換裝置、都會網路核心路由裝置按要求採取裝置冗餘或準備備用裝置,外聯鏈路沒有繞過防火牆,完善網路拓撲結構圖。
5.2.2網路分割槽
評估標準
生產控制系統和管理資訊系統之間進行分割槽,VLAN間的訪問控制設定合理。
現狀描述
生產控制系統和管理資訊系統之間沒有進行分割槽,VLAN間的訪問控制設定合理。
評估結論
對生產控制系統和管理資訊系統之間進行分割槽,VLAN間的訪問控制設定合理。
5.2.3 網路裝置
評估標準
網路裝置配置有備份,網路關鍵點裝置採用雙電源,關閉網路裝置HTTP、FTP、TFTP等服務,SNMP社群串、本地使用者口令強健(>8字元,數字、字母混雜)。
現狀描述
網路裝置配置沒有進行備份,網路關鍵點裝置是雙電源,網路裝置關閉了HTTP、FTP、TFTP等服務,SNMP社群串、本地使用者口令沒達到要求。
評估結論
對網路裝置配置進行備份,完善SNMP社群串、本地使用者口令強健(>8字元,數字、字母混雜)。
5.2.4 IP管理
評估標準
有IP地址管理系統,IP地址管理有規劃方案和分配策略,IP地址分配有記錄。
現狀描述
沒有IP地址管理系統,正在進行對IP地址的規劃和分配,IP地址分配有記錄。
評估結論
建立IP地址管理系統,加快進行對IP地址的規劃和分配,IP地址分配有記錄。
5.2.5補丁管理
評估標準
有補丁管理的手段或補丁管理制度,Windows系統主機補丁安裝齊全,有補丁安裝的測試記錄。
現狀描述
通過手工補丁管理手段,沒有制訂相應管理制度;Windows系統主機補丁安裝基本齊全,沒有補丁安裝的測試記錄。
評估結論
完善補丁管理的手段,制訂相應管理制度;補缺Windows系統主機補丁安裝,補丁安裝前進行測試記錄。
5.2.6系統安全配置
評估標準
(1)不得利用校園網從事危害國家安全,洩露國家機密的活動。
(2)如在網上發現反動、黃色的宣傳品和出版物,要保護好現場,及時向有關部門彙報,依據有關規定處理。如發現洩露國家機密的情況,要及時報網路管理員措施,同時向校領導報告。對違反規定造成後果的,依據有關規定進行處理,並追究部門領導的責任。
(3)未經批准,任何人不得開設BBS,一經發現立即依法取締。
(4)涉密資訊不得在與國際網路聯網的計算機系統中儲存、處理和傳輸。
(5)對校園網內開設的合法論壇網路管理員要實時監控,發現問題及時處理。堅決取締未經批准開設的非法論壇。
(6)加強個人主頁管理,對於在個人主頁中張貼、傳播有害資訊的責任人要依法處理,並刪除個人主頁。
(7)校內各機房要嚴格管理制度,落實責任人。引導學生開展健康、文明的網上活動,杜絕將電子閱覽室和計算機房變相為娛樂場所。
(8)對於問題突出,管理失控,造成有害資訊傳播的網站和網頁,堅決依法予以關閉和清除;對於製作、複製、印發和傳播有害資訊的單位和個人要依法移交有關部門處理。
(9)發生重大突發事件期間,網路管理員要加強網路監控,及時、果斷地處置網上突發事件,維護校內穩定。
本制度系列所管轄醫院資訊包括醫院在執行管理中涉及到的基本資訊(人、財、物)、執行資訊(各類業務工作與質量安全管理資料資料)和管理資訊(投資發展、人力資源開發與利用、發展戰略研究),統稱為“醫院資訊”。依據《中華人民共和國保密法》、《醫療質量管理辦法》,制定此制度系列。
一、醫院資料、資料資訊保安管理制度
醫院內部的資料、資料資訊保安管理尤為重要,如涉及全院的工作統計資料、質量與安全評價分析相關的資料、與醫療糾紛有關的資訊、醫院管理與建設重大決策資訊、醫院經濟管理相關的資訊等,院領導認為不宜通過“三重一大”公示的資訊,均屬於保密資訊,必須實行安全管理,規定如下:
(一)任何人未經院領導批准,不得在公眾場合、公共媒體釋出醫院涉密資訊。
(二)醫院各職能部門和業務科室,對自身所涉密的醫院資訊,有保密的義務和責任。
(三)不屬於分管職能內的涉密資訊,不得向其他部門和個人打探。
(四)任何員工不得以謀利為目的,散佈、出賣、交換醫院涉密資訊。
(五)任何員工不得以洩私憤、圖報復,散佈和出賣醫院涉密資訊。違反以上各條,醫院有權追究洩密人的相應責任。
二、醫院網路系統安全管理制度
(一)為了保證醫院網路的正常執行,保護醫院網路系統的安全和網路使用者的使用權益,特制定本安全管理制度。
(二)本管理制度所稱的醫院網路系統是指在醫院資訊系統中,由計算機及配套設施構成的,按照醫院網路資訊系統的應用目標和規定,對資料進行採集、加工、儲存、傳輸、檢索等處理的人機系統。
(三)醫院網路系統安全管理是通過實施身份認證、訪問控制與授權管理、資料備份和災備系統、安全分域及邊界防護、防病毒系統、入侵檢測、補丁管理、郵件安全閘道器、遠端接入等安全技術和與之相配套的管理制度,保障網路主機及配套裝置、設施的安全,網路執行環境的安全,從而達到保障計算機網路系統安全執行和資訊保安的目的。
(四)資訊科負責醫院計算機網路系統的安全管理工作,確保對計算機網路系統安全管理的有效性。
(五)計算機網路系統的建設和應用應遵守上級主管部門頒發的行政法規、使用者手冊和其他相關規定。
(六)計算機網路系統實行安全等級保護和使用者使用許可權劃分。安全等級和使用者使用許可權的劃分和設定由資訊科負責制定和實施。
(七)計算機入網執行必須經資訊科批准備案,分配IP地址後,方可接入網路。
(八)要對重要主機的使用者名稱、開機口令、應用口令和資料庫口令實施重點管理,嚴格控制裝置存取及加密,未經允許嚴禁外來碟片帶入機房對伺服器進行安裝等,不準將機器裝置和資料帶出機房。
(九)未辦理入網手續,任何單位和個人不得非法私自將計算機接入醫院網路,不得以不真實身份使用網路資源,不得竊取他人賬號、口令使用網路資源,不得盜用未經合法申請的IP地址入網。未經資訊科允許,任何單位或個人不得擅自接納網路使用者。
(十)應根據網路主機不同的安全級別採取相應的訪問控制、資料保護、保密監控管理和系統安全等技術措施。
(十一)資訊科定期對網上使用者的訪問及授權情況進行檢查,及時發現和限制非法使用者和非授權訪問。
(十二)要按要求對資料進行日備份、月備份和年備份。嚴格按操作規程進行資料備份工作,確保備份資料的完整和準確性,做好備份資料的稽核工作,並做好相應記錄。要確保匯出、匯入資料的完整和準確,並做好匯出、導人資料的稽核工作和相應記錄。
(十三)加強邊界安全的防護,應根據安全區域劃分情況明確需進行安全防護的`邊界,並實施有效的訪問控制策略和機制。
(十四)應在網路系統或安全域邊界的關鍵點採用嚴格的安全防護機制,如嚴格的登入/連結控制,高效能的防火牆、防病毒閘道器、入侵防範、資訊過濾、邊界完整性檢查等。
(十五)要實施必要的邊界訪問、違規外聯的審計和控制。
(十六)應採用必要的手段(如入侵檢測系統、日誌分析、網路取證分析等)對系統內的安全事件進行監控,檢測攻擊行為並能發現系統內非授權使用情況。
(十七)應禁止系統內使用者非授權的外部連結(如自動撥號、違規連結和無線上網)。
(十八)應部署有效的網路病毒防範軟體系統和相應的網路病毒防範管理辦法,實施對計算機網路病毒的有效防範。
(十九)要制定文件化的明確的計算機病毒和惡意程式碼防護策略,以及確保策略有效實施規章制度。
(二十)應在系統內關鍵的入口點以及各工作站、伺服器和移動計算機裝置上採取計算機病毒和惡意程式碼防護措施。
(二十一)應制定文件化的資訊系統備份和恢復的策略,建立健全備份和恢復的管理制度和操作規程。
(二十二)備份包括關鍵業務資料的備份、關鍵業務裝置(如伺服器、交換機等)的備份和電源備份。對重要資訊系統(如HIs系統)的關鍵設施(如伺服器)採取熱備份。
(二十三)應定期備份和對恢復策略進行測試,以保證其有效性。要有系統恢復的預案和演練。
(二十四)應根據業務的重要程度、資訊系統的資產價值等進行相應的需求分析,確定系統恢復的目標,如:關鍵業務功能、恢復的優先順序、恢復的時間範圍。
(二十五)為確保醫院計算機區域網絡執行安全,要在有效部署防火牆、入侵檢測和防病毒系統的情況下,實施遠端接入。醫院業務網(內網)與遠端接入(外網)業務的物理隔離。凡涉密的計算機主機不得與網際網路(Internet)連結。
(二十六)任何部門和個人使用醫院網路提供的遠端接人服務必須向資訊科申請。入網使用者的使用者名稱和IP地址是使用者在醫院區域網上的合法標識,也是對使用者收費的重要依據,一經指定不得擅自更改。
(二十七)未經資訊科批准,任何個人或部門不得為外單位人員提供電子郵件或其他網路服務。
(二十八)所有入網使用者,應當遵守國家有關法律、法規及醫院的有關規章制度,嚴格執行安全保密制度,不得利用計算機網路從事危害國家安全、損害醫院利益等違法、違規活動,不得製作、查閱、複製和傳播擾亂社會治安、有傷風化、淫穢色情等資訊,不得利用網路攻擊、損害公用網路和其他使用者。否則,醫院有權停止對其提供的服務;由此造成的不良後果由使用者承擔。
(二十九)使用計算機機網路系統的部門和個人必須遵守電腦保安使用的規定,對計算機網路系統發生的問題和故障要立即向資訊中心報告。
(三十)使用者不得從事下列危害計算機網路安全的行為:
1、未經允許,進入計算機網路系統或使用網上資訊資源:
2、私自轉借或轉讓使用者賬號,盜用他人賬號或IP地址:
3、未經允許,對網上應用系統的功能進行刪減或更改:
4、未經允許,對計算機網路的儲存、處理或傳輸資料和應用程式進行刪減或更改;
5、故意製作、傳播計算機病毒等破壞程式,使用任何工具破壞網路正常執行;
6、破壞、盜用計算機網路中的資訊資源和危害計算機網路安全;
7、其他危害計算機網路安全的行為。
上述違規造成醫院損失的,依照有關法律、法規及醫院有關處罰規定進行處理,情節嚴重者移交公安機關處理。
三、涉密資料保密管理制度
(一)任何科室和個人不得利用涉密計算機網路系統洩漏屬於醫院內部祕密的資訊資料,危害醫院、員工和患者的合法權益;不得從事其它違法犯罪活動。涉密單位和涉密人員應當遵守保密法律法規,認真執行國家和省制定的涉密計算機網路系統的保密規定。
(二)涉密計算機網路系統的單位保密管理實行領導負責制,並制定部門或專人負責具體的日常管理工作。並保持計算機保密管理人員相對穩定。
(三)涉密計算機網路系統工作人員定期進行保密教育和檢查。涉密計算機資訊系統的系統管理人員應當經過嚴格審查,定期進行考核,並保持相對穩定。
(四)涉密人員調離崗位,應當履行國家規定保守祕密的義務。
(五)涉及醫院祕密的資料,必須按照保密規定進行採集、儲存、處理、傳遞、使用和銷段。
(六)計算機儲存、處理、傳遞、輸出的涉密資訊要有相應的密級標識且不得與正文分離,輸出的涉密檔案按相應密級檔案管理。
(七)涉密醫院資訊和資料不得在與公用網路聯網的計算機資訊系統中儲存、處理、傳遞,涉密資訊一律不得在網上釋出。
(八)涉密計算機必須設定口令保護,根據密級確定口令長度與更換週期,實行專人專用,嚴禁以任何方式登入國際網際網路或與網際網路物理連線。
(九)儲存涉密資訊的媒體應按所儲存資訊的最高密級標明密級,並按相應密級檔案管理制度管理,儲存過涉密資訊的計算機媒體不能降低密級使用,維修儲存過涉密資訊的計算機媒體應到部門指定維修點維修,有人全程跟蹤,保證儲存的祕密資訊不被洩露。
(十)儲涉密資料的計算機硬碟或其它儲存介質不得擅自更換或者報廢。確需更換或者報廢的,應當經院領導批准後,交醫院的網路管理部門進行登記、封存,或者按規定銷燬。
(十一)涉密單位應當將涉密資料與備份資料分別儲存在單位內不同的地點。有條件的,應實行異地容災備份。不得在行動式計算機上儲存涉密資訊。
(十二)發現計算機資訊洩密後應立即採取補救措施,並按規定及時報告保密部門。
四、資訊提供、釋出和上網保密審查制度
1、資訊提供、釋出、上網實行保密審查、領導審批和登記備案制度。
2、資訊釋出、上網,堅持涉密不公開、公開不涉密和誰上網、誰負責的原則。
3、對涉密資訊確需對外發布、上網的,應採取解密或者刪除、改編、隱去等保密措施,並經主管部門或保密工作部門審定。
4、接受記者採訪,不得涉及醫院祕密內容。
五、計算機裝置管理制度
(一)計算機及其輔助裝置是實現現代化管理的工具,各科室有關工作人員都要結合本職工作利用計算機手段來提高工作效率。
(二)各科室購置和上級分配給予的計算機和輔助裝置均屬固定資產,統一由計算機中心負責維護,各科室由電腦管理員專人負責管理和使用。
(三)伺服器、計算機及輔助裝置和其他應用軟體所配的專用磁碟、光碟,由中心專人登記管理入賬,每年清點一次。
(四)計算機的備件、易耗件、磁碟及有關資料的購買,由資訊管理部門統一申請,經科室負責人並上報院長同意後,由後勤採購進行統一購置,統一給各科室配置。
(五)計算機、伺服器、網路通訊電纜裝置,未經資訊部門同意不得拆裝、移動。
(六)計算機和輔助裝置需檢修,應報告計算機中心專業工作人員,由計算機中心有關人員檢修,若需外單位修理,由領導會同有關部門商量後辦理。
(七)對外來磁碟要先防毒,後使用。各計算機一旦發現病毒,必須立即清除,否則不得使用該計算機,更不能向伺服器上傳資料。
(八)外來人員未經科室領導和專業人員同意不得操作計算機,以免發生病毒感染和其他損失。
(九)不得在計算機上進行與工作無關(如做遊戲、下棋、打撲克等)的操作。
六、伺服器機房管理制度
為保證網路中心裝置與資訊的安全,保障機房有良好的執行環境和工作環境,作如下規定:
(一)各門鑰匙由指定的專人保管,不能隨意轉借。丟失要宣告。出入請隨手關門。
(二)要有安全防範意識,節假日值班人員不得擅離崗位。早進入、晚離開時要檢查裝置情況,離開時檢視燈、門、窗、鎖是否關閉好。
(三)易燃xx物品不準帶入機房,機房及周邊地區嚴禁煙火,不能明火作業,機房一律禁止吸菸。
(四)機房工作人員要有防火意識,出現異常情況應立即報警,切斷電源,用滅火裝置撲救。
(五)非工作人員嚴禁進入伺服器機房,特殊情況要事先徵得院長或主管副院長的同意,未經許可一律不準觸碰開關和裝置,否則後果自負。
(六)機房內的一切公用物品未經許可一律不得挪用和外借。
(七)機房內不準大聲喧譁,機房衛生由工作人員定期負責清掃,保持清潔。
(八)網管員負責機房的安全管理與檢查;負責建立與記錄安全日誌。
七、計算機網路工作站管理制度
(一)本制度所稱醫院計算機網路工作站,是指醫院計算機網路中以臺式電腦或膝上型電腦為中心的包括所連印表機等外圍裝置在內的計算機工作單元。醫院未聯網工作的計算機也採用此制度進行管理。
(二)各個管理部門和科室中,每一工作站配置的計算機、印表機等裝置須指定專人使用、保管和維護,轉交他人保管時需嚴格交接。
(三)各工作站所有使用人員必須嚴格遵守《醫院網路系統安全管理制度》。
(四)計算機操作人員,不得隨意搡作計算機或相關裝置,更不允許外來人員操作計算機。
(五)不在計算機上玩遊戲及做與工作無關的操作。
(六)不在醫院計算機上使用來歷不明的光碟、軟盤。
(七)計算機網路上的所有操作人員必須保管好自己的密碼,因密碼保管不善造成的經濟損失,概由操作人員自己負責。
(八)計算機一旦發生故障應及時報告資訊科處理。
(九)除計算機網路中心機房工作人員外,任何入不得拆裝計算機,或擅自接入其它裝置。
(十)不間斷電源的計算機,在供電中斷時,操作人員應立即儲存資料,退出程式後按正常操作關機。
(十一)嚴格按照操作規程操作,下班前必須按程式關機,並切斷電源。
(十二)計算機旁不準抽菸、會客,不準吃零食物和飲料。
(十三)計算機旁邊嚴禁擺放各種易燃易爆、腐蝕性或強磁物品。遇臨時停電及雷電天氣,應採取保護措施,避免發生意外。
(十四)愛護計算機及各種相關裝置,計算機主機、顯示器、印表機上不能堆放雜物。
(十五)科室指定專人負責科內計算機的一般性管理工作,定期用乾淨柔軟的幹抹布清除裝置上的灰塵,清潔和整理計算機工作臺。
(十六)因維護管理不當造成計算機硬體裝置損壞,由當事人負責賠償。
(十七)外來參觀須報請資訊科及主管院領導批准,不能向外展示和洩露醫院重要業務資料。
(十八)違反本制度者,醫院將視情節給予處罰。
八、監控機房管理制度
(一)為確保監控機房安全,設立監控機房管理員,負責對機房各類裝置、軟體系統進行維護和管理。
(二)監控機房管理員應認真履行職責,及時發現、報告、解決硬體系統出現的故障,保障系統的正常執行。
(三)監控機房管理員及時完成監控資料的燒錄歸檔,確保監控資料完整無誤。不得無故中斷監控,不得漏刻監控資料,未經燒錄不得無故刪除監控資料。
(四)監控機房必須做好防火、防靜電、防潮、防塵、防熱和防盜工作。機房禁止放置易燃、易爆、腐蝕、強磁性物品,禁止在監控機房內使用其他用電裝置,禁止將監控機房鑰匙交他人保管,確保監控機房安全。
(五)嚴格遵守保密制度。資料資料必須由監控機房管理員負責保管,未經允許不得私自拷貝、下載和外借。嚴禁任何人在監控計算機上使用未經檢測允許的介質(軟盤、光碟等),嚴禁在監控計算機上做與監控無關的事情。
(六)監控機房內保持清潔,嚴禁在機房抽菸、喝水、吃東西、亂扔雜物、大聲喧譁等。
(七)實行工作人員值班制度。值班人員應按規定做好實時監管工作,並做好書面情況記錄,發現問題及時彙報並妥善處理。
(八)值班人員應嚴格執行機房管理制度,並與監控機房管理員做好交接。如需監控機房管理員進行配合的,監控機房管理員應予以協助。
(九)除監控機房管理員和工作人員外,任何無關人員不得進入監控機房。
(十)監控機房管理員要經常督促檢查本制度執行情況,切實履行管理職責,發現異常情況必須及時彙報。
九、計算機網路突發故障處理預案
(一)電腦網路故障
電腦網路發生故障後,維護人員要結合醫院的分散式特點,通過操作人員反饋回來的資訊和現有的網路檢測手段,迅速定位故障事件的來源,明確故障事件發生的範圍,確認網路系統受損害程度,將情況及時通報直接上級並層層上報。通過進一步的分析,將故障發生型別劃分為網路線路、網路交換機、伺服器三大型別,確定起因是硬體故障、外力損壞、惡意攻擊還是感染病毒,進而採取下一步措施。
1、網路線路故障
(1)通知:值班人員迅速通知直接上級並層層上報。上級管理人員根據實際情況給予指導和協調。
(2)排查:根據網路拓撲結構和故障發生的範圍,使用網路檢測指令,確定檢修線路的位置。
(3)搶修:攜帶對線器、轉接器、備用線、壓線鉗等工具,迅速到達線路故障現場,進行修復。
(4)驗證:連線網路進行檢測,確定故障得到解決。
(5)回覆:通知故障發生點恢復使用。
(6)記錄:對整個事件的時間、現象、處理過程作出詳細記錄。
2、網路交換機故障
(1)通知:值班人員迅速通知直接上級並層層上報。上級管理人員根據實際情況給予指導和協調。聯絡電話:網路負責人。
(2)診斷:根據故障發生的片區和網路交換機的分佈圖,結合網路檢測指令,判斷出故障交換機的位置。
(3)修復:攜帶電筆、改刀等常規工具,迅速到達故障交換機所在位置,通過觀察交換機指示燈,確定其工作狀態是否正常:如果是斷電所致,立即與維修中心聯絡,恢復供電;如果狀態鎖死,立即對交換機進行復位處理;排除上述因素後如果故障依舊,立即用備用交換機對其進行更換。
(4)驗證:連線網路進行檢測,確定故障得到解決。
(5)回覆:通知故障發生點恢復使用。
(6)事後:對換下交換機送修。待修復後備用。
(7)記錄:對整個事件的時間、現象、處理過程作出詳細的記錄。
3、伺服器故障
(1)通知:值班人員迅速通知直接上級並層層上報。上級管理人員根據實際情況給予指導和協調。
(2)診斷:根據故障現象,初步判定是硬體故障還是軟體故障,如果是硬體故障,立即斷開主伺服器,啟用備用伺服器;如果是系統軟體故障,儘量正常下機,重啟伺服器;如果是應用軟體故障,立即聯絡HIS公司進行遠端維護。
(3)如故障發生在夜晚或節假日期間,首先應通知負責系統技術人員立即在15分鐘內趕赴現場,並通知電腦中心主管組織相關人員進行搶修,上報裝置科,必要時儘快聯絡相關公司維修部進行遠端維護。
4、停電
(1)通知:值班人員迅速通知直接上級並層層上報。上級管理人員根據實際情況給予指導和協調。
(2)配合:聯絡維修中心,確定停電的時間長短,如果在五分鐘以內,在恢復供電後重新執行介面機即可;如果在五分鐘以上,對介面機和伺服器進行正常下機操作,待恢復供電後,重新開啟伺服器至執行狀態,再執行介面機。
(3)記錄:對整個事件的時間、現象、處理過程作出詳細的記錄。
5、病毒發作
(1)通知:值班人員迅速通知直接上級並層層上報。上級管理人員根據實際情況給予指導和協調,必要時立即赴現場處理。
(2)診斷:對故障進行分析,找出病毒特徵碼,確定是何種病毒。
(3)排殺:從專業網站上下載專殺工具進行防毒。
(4)補丁:從專業網站上下載補丁,封堵漏洞,進行免疫處理。
(5)記錄:對整個事件的時間、現象、處理過程作出詳細的記錄。
二、通訊網路故障
當通訊網路發生故障後,要迅速根據裝置監控狀況、使用者反饋的故障現象,確定故障型別,將情況及時通報直接上級並層層上報。通過進一步的分析,將故障劃分為通訊電纜故障、數字程控交換機故障、電深故障三大型別,並採取下一步措施。
1、通訊電纜故障
(1)通知:值班人員迅速通知直接上級並層層上報。上級管理人員根據實際情況給予指導和協調,必要時立即赴現場處理,通訊工程師應立即奔赴現場。
(2)查詢:根據故障現象、範圍和分線盒的分佈位置,確定故障點:如果是主線纜受損,立即通知電信相關部門進行搶修;如果是戶線纜受損,立即趕赴現場。
(3)修復:對於主線纜受損,為電信維修部門提供準確的線路資料,協調施工工作,掌握搶修進度;對於戶線纜受損,查清故障原因,更換相應線纜。
(4)反饋:通知相關使用者恢復使用。
(5)記錄:對整個事件的時間、現象、處理過程和資料變更情況作出詳細記載。
2、交換機故障
(1)通知:值班人員迅速通知直接上級並層層上報。上級管理人員根據實際情況給予指導和協調,必要時立即赴現場處理,裝置科領導應立即趕赴現場。
(2)分析:作出分析後,根據交換機的故障現象進行處理。
(3)反饋:通知相關使用者恢復使用。將情況上報相關領導。
(4)善後:對故障時間、現象、處理情況作出詳細記載。
3、電源故障
(1)通知:值班人員迅速與院內總務科取得聯絡,確定停電時間的長短。同時通知直接上級。
(2)處理:中心機房通過UPS電源繼續正常工作,維護人員必須對裝置的工作情況進行監控。
(3)跟蹤:隨時保持與總務科的聯絡,如果停電時間超過半小時,按照操作流程關閉部分外圍裝置,減少蓄電池的負荷量,以確保程控機的正常執行。
(4)記錄:詳細記載停電發生的起止時間、蓄電池的使用情況,在恢復正常供電後及時檢查蓄電池充電情況。
第一章 總則
第一條 為加強公司計算機和資訊系統(包括涉密資訊系統和非涉密資訊系統)
安全保密管理,確保國家祕密及商業祕密的安全,根據國家有關保密法規標準和中核集團公司有關規定,制定本規定。
第二條 本規定所稱涉密資訊系統是指由計算機及其相關的配套裝置、設施構成的,按照一定的應用目標和規定儲存、處理、傳輸涉密資訊的系統或網路,包括機房、網路裝置、軟體、網路線路、使用者終端等內容。
第三條 涉密資訊系統的建設和應用要本著“預防為主、分級負責、科學管理、保障安全”的方針,堅持“誰主管、誰負責,誰使用、誰負責”和“控制源頭、歸口管理、加強檢查、落實制度”的原則,確保涉密資訊系統和國家祕密資訊保安。
第四條 涉密資訊系統安全保密防護必須嚴格按照國家保密標準、規定和集團公司檔案要求進行設計、實施、測評審查與審批和驗收;未通過國家審批的涉密資訊系統,不得投入使用。
第五條 本規定適用於公司所有計算機和資訊系統安全保密管理工作。
第二章 管理機構與職責
第六條 公司法人代表是涉密資訊系統安全保密第一責任人,確保涉密資訊系統安全保密措施的落實,提供人力、物力、財力等條件保障,督促檢查領導責任制落實。
第七條 公司保密委員會是涉密資訊系統安全保密管理決策機構,其主要職責:
(一)建立健全安全保密管理制度和防範措施,並監督檢查落實情況;
(二)協調處理有關涉密資訊系統安全保密管理的重大問題,對重大失洩密事件進行查處。
第八條 成立公司涉密資訊系統安全保密領導小組,保密辦、科技資訊部(資訊化)、黨政辦公室(密碼)、財會部、人力資源部、武裝保衛部和相關業務部門、單位為成員單位,在公司黨政和保密委員會領導下,組織協調公司涉密資訊系統安全保密管理工作。
第九條 保密辦主要職責:
(一)擬定涉密資訊系統安全保密管理制度,並組織落實各項保密防範措施;
(二)對系統使用者和安全保密管理人員進行資格審查和安全保密教育培訓,審查涉密資訊系統使用者的職責和許可權,並備案;
(三)組織對涉密資訊系統進行安全保密監督檢查和風險評估,提出涉密資訊系統安全執行的保密要求;
(四)會同科技資訊部對涉密資訊系統中介質、裝置、設施的授權使用的審查,建立涉密資訊系統安全評估制度,每年對涉密資訊系統安全措施進行一次評審;
(五)對涉密資訊系統設計、施工和整合單位進行資質審查,對進入涉密資訊系統的安全保密產品進行准入審查和規範管理,對涉密資訊系統進行安全保密效能檢測;
(六)對涉密資訊系統中各應用系統進行定密、變更密級和解密工作進行稽核;
(七)組織查處涉密資訊系統失洩密事件。
第十條
科技資訊部、財會部主要職責是:
(一)組織、實施涉密資訊系統的規劃、設計、建設,制定安全保密防護方案;
(二)落實涉密資訊系統安全保密策略、執行安全控制、安全驗證等安全技術措施;每半年對涉密資訊系統進行風險評估,提出整改措施,經涉密資訊系統安全保密領導
小組批准後組織實施,確保安全技術措施有效、可靠;
(三)落實涉密資訊系統中各應用系統進行使用者許可權設定及介質、裝置、設施的授權使用、保管以及維護等安全保密管理措施;
(四)配備涉密資訊系統管理員、安全保密管理員和安全審計員,並制定相應的職責; “三員”角色不得兼任,許可權設定相互獨立、相互制約;“三員”應通過安全保密培訓持證上崗;
(五)落實計算機機房、配線間等重要部位的安全保密防範措施及網路的安全管理,負責日常業務資料及其他重要資料的備份管理;
(六)配合保密辦對涉密資訊系統進行安全檢查,對存在的隱患進行及時整改;
(七)制定應急預案並組織演練,落實應急措施,處理資訊保安突發事件。
第十一條 黨政辦公室主要職責:
按照國家密碼管理的相關要求,落實涉密資訊系統中普密裝置的管理措施。
第十二條 相關業務部門、單位主要職責:涉密資訊系統的使用部門、單位要嚴格遵守保密管理規定,教育員工提高安全保密意識,落實涉密資訊系統各項安全防範措施;準確確定應用系統密級,制定並落實相應的二級保密管理制度。
第十三條 涉密資訊系統配備系統管理員、安全保密管理員、安全審計員,其職責是:
(一)系統管理員負責系統中軟硬體裝置的執行、管理與維護工作,確保資訊系統的安全、穩定、連續執行。系統管理員包括網路管理員、資料庫管理員、應用系統管理員。
(二)安全保密管理員負責安全技術裝置、策略實施和管理工作,包括使用者帳號管理以及安全保密裝置和系統所產生日誌的審查分析。
(三)安全審計員負責安全審計裝置安裝除錯,對各種系統操作行為進行安全審計跟蹤分析和監督檢查,以及時發現違規行為,並每月向涉密資訊系統安全保密領導小組辦公室彙報一次情況。
第三章 系統建設管理
第十四條 規劃和建設涉密資訊系統時,按照涉密資訊系統分級保護標準的規定,同步規劃和落實安全保密措施,系統建設與安全保密措施同計劃、同預算、同建設、同驗收。
第十五條 涉密資訊系統規劃和建設的安全保密方案,應由具有“涉及國家祕密的計算機資訊系統整合資質”的機構編制或自行編制,安全保密方案必須經上級保密主管部門審批後方可實施。
第十六條 涉密資訊系統規劃和建設實施時,應由具有“涉及國家祕密的計算機資訊系統整合資質”的機構實施或自行實施,並與實施方簽署保密協議,專案竣工後必須由保密辦和科技資訊部共同組織驗收。
第十七條 對涉密資訊系統要採取與密級相適應的保密措施,配備通過國家保密主管部門指定的測評機構檢測的安全保密產品。涉密資訊系統使用的軟體產品必須是正版軟體。
第四章 資訊管理
第一節 資訊分類與控制
第十八條 涉密資訊系統的密級,按系統中所處理資訊的最高密級設定,嚴禁處理高於涉密資訊系統密級的涉密資訊。
第十九條 涉密資訊系統中產生、儲存、處理、傳輸、歸檔和輸出的檔案、資料、圖紙等資訊及其儲存介質應按要求及時定密、標密,並按涉密檔案進行管理。電子檔案密級標識應與資訊主體不可分離,密級標識不得篡改。涉密資訊系統中的涉密資訊總量每半年進行一次分類統計、彙總,並在保密辦備案。
第二十條 涉密資訊系統應建立安全保密策略,並採取有效措施,防止涉密資訊被非授權訪問、篡改,刪除和丟失;防止高密級資訊流向低密級計算機。涉密資訊遠端傳輸必須採取密碼保護措施。
第二十一條 向涉密資訊系統以外的單位傳遞涉密資訊,一般只提供紙質檔案,確需提供涉密電子文件的,按資訊交換及中間轉換機管理規定執行。
第二十二條 清除涉密計算機、伺服器等網路裝置、儲存介質中的涉密資訊時,必須使用符合保密標準、要求的工具或軟體。
第二節 使用者管理與授權
第二十三條 根據本部門、單位使用涉密資訊系統的密級和實際工作需要,確定人員知悉範圍,以此作為使用者授權的依據。
第二十四條 使用者清單管理
(一)科技資訊部管理“研究試驗堆燃料元件數字化資訊系統”和“中核集團涉密廣域網”使用者清單;財會部管理“財務會計核算網”使用者清單;
(二)新增使用者時,由使用者本人提出書面申請,經本部門、單位稽核,科技資訊部、保密辦審批後,由科技資訊部備案並統一建立使用者;“財務會計核算網”的使用者由財會部統一建立;
(三)刪除使用者時,由使用者本人所在部門、單位書面通知科技資訊部,核准後由安全保密管理員即時將使用者在涉密資訊系統內的所有帳號、許可權廢止;“財務會計核算網”密辦稽核,公司分管領導審批。開通、審批堅持“工作必須”的原則。
第六十四條 國際網際網路計算機實行專人負責、專機上網管理,嚴禁儲存、處理、傳遞涉密資訊和內部敏感資訊。接入網際網路的計算機須建立使用登記制度。
第六十五條 上網資訊實行“誰上網誰負責”的保密管理原則,資訊上網必須經過嚴格審查和批准,堅決做到“涉密不上網,上網不涉密”。對上網資訊進行擴充或更新,應重新進行保密審查。
第六十六條 任何部門、單位和個人不得在電子郵件、電子公告系統、聊天室、網路新聞組、部落格等上釋出、談論、傳遞、轉發或抄送國家祕密資訊。
第六十七條 從國際網際網路或其它公眾資訊網下載程式和軟體工具等轉入涉密系統,經科技資訊部審批後,按照資訊交換及中間轉換機管理規定執行。
第九章 行動式計算機管理
第六十八條 行動式計算機(包括涉密行動式計算機和非涉密行動式計算機)實行 “誰擁有,誰使用,誰負責”的保密管理原則,使用者須與公司簽定保密承諾書。
第六十九條 涉密行動式計算機根據工作需要確定密級,貼上密級標識,按照涉密裝置進行管理,保密辦備案後方可使用。
第七十條 行動式計算機應具備防病毒、防非法外聯和身份認證(設定開機密碼口令)等安全保密防護措施。
第七十一條 禁止使用涉密行動式計算機上國際網際網路和非涉密網路;嚴禁涉密行動式計算機與涉密資訊系統互聯。
第七十二條 涉密行動式計算機不得處理絕密級資訊。未經保密辦審批,嚴禁在涉密行動式計算機中儲存涉密資訊。處理、儲存涉密資訊應在涉密移動儲存介質上進行,並與涉密行動式計算機分離保管。
第七十三條 禁止使用私有行動式計算機處理辦公資訊;嚴禁非涉密行動式計算機儲存、處理涉密資訊;嚴禁將涉密儲存介質接入非涉密行動式計算機使用。
第七十四條 公司配備專供外出攜帶的涉密行動式計算機和涉密儲存介質,按照 “集中管理、審批借用”的原則進行管理,建立使用登記制度。外出攜帶的涉密行動式計算機須經保密辦檢查後方可帶出公司,返回時須進行技術檢查。
第七十五條 因工作需要外單位攜帶行動式計算機進入公司辦公區域,需辦理保密審批手續。
第十章 應急響應管理
第七十六條 為有效預防和處置涉密資訊系統安全突發事件,及時控制和消除涉密資訊系統安全突發事件的危害和影響,保障涉密資訊系統的安全穩定執行,科技資訊部和財會部應分別制定相應應急響應預案,經公司涉密資訊系統安全保密領導小組審批後實施。
第七十七條 應急響應預案用於涉密資訊系統安全突發事件。突發事件分為系統執行安全事件和洩密事件,根據事件引發原因分為災害類、故障類或攻擊類三種情況。
(一)災害事件:根據實際情況,在保障人身安全前提下,保障資料安全和裝置安
(二)故障或攻擊事件:判斷故障或攻擊的來源與性質,關閉影響安全與穩定的網路裝置和伺服器裝置,斷開資訊系統與攻擊來源的網路物理連線,跟蹤並鎖定攻擊來源的IP地址或其它網路使用者資訊,修復被破壞的資訊,恢復資訊系統。按照事件發生的性質分別採用以下方案:1、病毒傳播:及時尋找並斷開傳播源,判斷病毒的型別、性質、可能的危害範圍。為避免產生更大的損失,保護計算機,必要時可關閉相應的埠,尋找並公佈病毒攻擊資訊,以及防毒、防禦方法;
2、外部入侵:判斷入侵的來源,評價入侵可能或已經造成的危害。對入侵未遂、未造成損害的,且評價威脅很小的外部入侵,定位入侵的IP地址,及時關閉入侵的埠,限制入侵的IP地址的訪問。對於已經造成危害的,應立即採用斷開網路連線的方法,避免造成更大損失和帶來的影響;
3、內部入侵:查清入侵來源,如IP地址、所在區域、所處辦公室等資訊,同時斷開對應的交換機埠,針對入侵方法調整或更新入侵檢測裝置。對於無法制止的多點入侵和造成損害的,應及時關閉被入侵的伺服器或相應裝置;
4、網路故障:判斷故障發生點和故障原因,能夠迅速解決的儘快排除故障,並優先保證主要應用系統的運轉;
5、其它未列出的不確定因素造成的事件,結合具體的情況,做出相應的處理。不能處理的及時諮詢,上報公司資訊保安領導小組。
第七十八條 按照資訊保安突發事件的性質、影響範圍和造成的損失,將涉密資訊系統安全突發事件分為特別重大事件(I級)、重大事件(II級)、較大事件(III級)和一般事件(IV級)四個等級。
(一)一般事件由科技資訊部(或財會部)依據應急響應預案進行處置;
(二)較大事件由科技資訊部(或財會部)、保密辦依據應急響應預案進行處置,及時向公司資訊保安領導小組報告並提請協調處置;
(三)重大事件啟動應急響應預案,對突發事件進行處置,及時向公司黨政報告並提請協調處置;
(四)特別重大事件由公司報請中核集團公司對資訊保安突發事件進行處置。
第七十九條 發生突發事件(如涉密資料被竊取或資訊系統癱瘓等)應按如下應急響應的基本步驟、基本處理辦法和流程進行處理:
(一)上報科技資訊部和保密辦;
(二)關閉系統以防止造成資料損失;
(三)切斷網路,隔離事件區域;
(四)查閱審計記錄尋找事件源頭;
(五)評估系統受損程度;
(六)對引起事件漏洞進行整改;
(七)對系統重新進行風險評估;
(八)由保密辦根據風險評估結果並書面確認安全後,系統方能重新執行;
(九)對事件型別、響應、影響範圍、補救措施和最終結果進行詳細的記錄;
(十)依照法規制度對責任人進行處理。
第八十條 科技資訊部、財會部應會同保密辦每年組織一次應急響應預案演練,檢驗應急響應預案各環節之間的通訊、協調、指揮等是否快速、高效,並對其效果進行評估,以使使用者明確自己的角色和責任。應急響應相關知識、技術、技能應納入資訊保安保密培訓內容,並記錄備案。
第十一章 人員管理
第八十一條 各部門、單位每年應組織開展不少於1次的全員資訊保安保密知識技能教育與培訓,並記錄備案。
第八十二條
涉密人員離崗、離職,應及時調整或取消其訪問授權,並將其保管的涉密裝置、儲存介質全部清退並辦理移交手續。
第八十三條 承擔涉密資訊系統日常管理工作的系統管理員、安全保密管理員、安全審計管理員應按重要涉密人員管理。
第十二章 督查與獎懲
第八十四條 公司每年應對涉密資訊系統安全保密狀況、安全保密制度和措施的落實情況進行一次自查,並接受國家和上級單位的指導和監督。涉密資訊系統每兩年接受一次上級部門開展的安全保密測評或保密檢查,檢查結果存檔備查。
第八十五條 檢查涉密計算機和資訊系統的保密檢查工具和涉密資訊系統所使用的安全保密、漏洞檢查(取證)軟體等,應覆蓋保密檢查的專案,並通過國家保密局的檢測。安全保密檢查工具應及時升級或更新,確保檢查時使用最新版本。
第八十六條 各部門、單位應將員工遵守涉密計算機及資訊系統安全保密管理制度的情況,納入保密自查、考核的重要內容。對違反本規定造成失洩密的當事人及有關責任人,按公司保密責任考核及獎懲規定執行。
第十三章 附 則
第八十七條 本規定由保密辦負責解釋與修訂。
第八十八條 本規定自發布之日起實施。原《計算機磁(光)介質保密管理規定)[制度編號:(廠1908號)]、《涉密計算機資訊系統保密管理規定》[制度編號:(20xx)廠1911號]、《涉密計算機採購、維修、變更、報廢保密管理規定》[制度編號:(20xx)廠1925號]、《國際網際網路資訊釋出保密管理規定》[制度編號:(20xx)廠1926號]、《涉密資訊系統資訊保密管理規定》[制度通告:(20xx)0934號]、《涉密資訊系統安全保密管理規定》[制度通告:(20xx)0935號]同時廢止。
1.總則
1.1目的:
為加強公司作風建設,宣傳廉潔文化,預防利用職務及職權謀取不正當利益。同時做好公司資訊的安全和保密工作,使公司所擁有的資訊在經營活動中充分利用,保護公司的利益不受侵害,樹立健康積極的企業文化形象,特制定本管理制度。
1.2適用範圍:
本制度適用於公司所有在職員工。
1.3定義:
廉潔:清白高潔,不貪汙,從不使用公家的錢來養活自己(不貪汙),就是指人生光明磊落的態度和誠信,正直的風氣。
資訊保安:資訊系統(包括硬體、軟體、資料、人、物理環境及其基礎設施)受到保護,不受偶然的或者惡意的原因而遭到破壞、更改、洩露,系統連續可靠正常地執行。
業務單位:與公司有一切業務(含但不限於供貨、施工、促銷合作等關係)往來或聯絡的單位或個人。
1.4職責許可權
3.1總經辦負責廉潔文化建設方向的指引,對公司的資訊保安管理具有監督和最後裁決權。
3.2監察部負責監督和執行廉潔與資訊保安管理規定,接受全體員工的舉報和監督,對舉報和違規情況進行調查核實。
3.3行政部負責廉潔文化和資訊保安意識的宣傳和教育,接收和申報處理公司員工收受和外部財物。
3.4資訊部負責公司所有檔案資料的分類存檔和儲存,對電子存檔資料進行定期整理和備份,並做好檔案防盜和密碼保護工作。
3.5各部門:具有共同維護公司廉潔文化建設和資訊保密工作的權利,都有保守公司祕密的義務,對公司廉潔和資訊保安管理規定具有監督和舉報權。
2.主要內容:
2.1廉潔自律規定
2.1.1不準收受任何業務單位的個人現金、購物卡券、有價證券和支付憑證。
2.1.2因各種原因未能拒收業務單位的,必須及時向公司行政部申報統一處理。具體需申報的情況如下:
業務單位不回收的樣品和商品贈品;
業務單位節假日饋贈的禮品、禮籃等;
業務單位贈送的其他具有實際價值實物、活動等。
業務單位組織的集體考察、學習、旅遊等外出活動;
業務單位贈送的無法拒絕的各類現金、購物卡券、有價證券和支付憑證;
2.1.3不準向業務單位及其個人借貸錢物。
2.1.4不準在各業務單位報銷應由個人支付的有關票據。
2.1.5不借業務辦理之機,對各業務單位吃、卡、拿、要。
4.1.6禁止利用職權和職務上的便利和影響為親友及身邊工作人員謀取利益。
2.1.7工作中不弄虛作假,按規定收集整理好各類基礎資料,不做假帳或帳外賬。
2.1.8不準用公款支付個人名義的宴請。公關或業務接待必須經總經辦批准後在合理的範圍內進行。
2.1.9不準接受可能對商品和裝置供應價格、工程施工價格的業務合作行為產生影響的錢、物饋贈和宴請。
2.1.10不準為謀取不正當的利益,在經濟往來中違反有關規定,以各種名義收取回扣、中介費、手續費等歸個人所有。
2.1.11不借出差、考察、學習之機利用公款進行旅遊娛樂活動,或接受可能影響公正辦理業務的宴請、禮品饋贈或其他服務。
2.1.12嚴禁以虛報、謊報等手段獲取榮譽;以虛報、謊報等手段獲取的榮譽、職稱及其他利益予以取消或者糾正。
2.2資訊保安
2.2.1公開資訊:公司已對外公開發布的資訊,如公司宣傳冊、產品或公司介紹視訊等。
2.2.2保密資訊:公司僅允許在一定範圍內釋出的資訊,一旦洩露,將可能給公司或相關方造成不良影響。比如公司投資計劃等。
2.2.3根據資訊價值、影響及發放範圍的不同,公司將保密資訊劃分為絕密、機密、祕密、內部公開四個級別。
絕密資訊:關係公司前途和命運的公司最重要、最敏感的資訊,對公司根本利益有著決定性影響的保密資訊,如:公司訂單,重大投資決議等。
機密資訊:公司重要祕密,一旦洩露將使公司利益受到嚴重損害的保密資訊如:未釋出的任命檔案,公司財務分析報告等檔案。
祕密資訊:公司一般性資訊,但一旦洩露會使公司利益受到損害的保密資訊,如:人事檔案,供應商選擇評估標準等檔案。
內部公開:僅在公司內部公開或僅在公司某一個部門內公開,對外洩露可能會使公司利益造成損害的保密資訊的保密資訊,如:年度培訓計劃,員工手冊,各種規章制度等。
2.2.4公司保密資訊包括但不限於以下內容:
公司經營發展決策中的祕密事項;
專有技術,專利技術、技術圖紙;
生產細則、工程BOM、SOP及治具資料;
人事決策中的祕密事項;
重要的合同、客戶和合作渠道;
招標專案的標底、合作條件、貿易條件;
財務資訊,公司非向公眾公開的財務情況、銀行賬戶賬號;
董事會或總經理確定應當保守的公司其他祕密事項。
2.2.5除公司已經正式對外公開發布的資訊外,任何單位和個人不得從事以下活動:
利用資訊網路系統製作、傳播、複製有害資訊;
未經允許使用他人在資訊網路系統中未公開的資訊;
未經授權對網路(內部資訊平臺)系統中儲存、處理或傳輸的資訊(包括系統檔案和應用程式)進行增加、修改、複製和刪除等;
未經授權查閱他人郵件;
盜用他人名義傳送電子郵件;
故意干擾網路(內部資訊平臺)的暢通執行;
從事其他危害資訊網路(內部資訊平臺)系統安全的活動。
2.2.6公司保密資訊應根據需要,限於一定範圍的員工接觸。接觸公司祕密的員工,未經批准不準向他人洩露。非接觸公司祕密的員工,不準打聽公司祕密。
2.3違規追責處理
2.3.1公司所有員工一經任何人發現或內外部舉報有違廉潔自律的行為,公司將組織相關部門進行調查核實,一經查證,將追究責任人所造成的責任損失,並進行違規處罰,對造成公司重大經濟損失且情節嚴重的,將移交公安機關進行立案處理。
2.3.2除公司公開的資訊外,任何人將公司的保密資訊以任何形式(口頭傳達、電子郵件、上傳網路、儲存拷貝、拍照影印、影印資料)對外洩露或散佈出去的,公司將從源頭上追究資訊洩密者,經查實後立即根據情節輕重進行追責處理。因資訊洩密造成公司經濟損失或形象受損時,將依法移交司法機關進行處理。
3.附則
3.1本制度最終解釋權歸xx有限公司所有。
3.2本制度自20xx年8月9日起實行,暫定實施1年。
一、總則為了保護企業的資訊保安,特訂立本制度,望全體員工遵照執行。
二、計算機管理要求
1、管理員負責公司內所有計算機的管理,各部門應將計算機負責人名單報給管理員,管理員(填寫《計算機地址分配表》)進行備案管理。如有變更,應在變更計算機負責人一週內向管理員申請備案。
2、公司內所有的計算機應由各部門指定專人使用,每臺計算機的使用人員均定為計算機的負責人,如果其他人要求上機(不包括管理員),應取得計算機負責人的同意,嚴禁讓外來人員使用工作計算機,出現問題所帶來的一切責任應由計算機負責人承擔。
3、計算機裝置未經管理員批准同意,任何人不得隨意拆卸更換;如果計算機出現故障,計算機負責人應及時向管理員報告,管理員查明故障原因,提出整改措施,如屬個人原因,對計算機負責人做出處罰。
4、日常保養內容
A、計算機表面保持清潔。
B、應經常對計算機硬碟進行整理,保持硬碟整潔性、完整性。
C、下班不用時,應關閉主機電源。
5、計算機地址和密碼由管理員指定發給各部門,不能擅自更換。計算機系統專用資料(軟體盤、系統盤、驅動盤)應由專人進行保管,不得隨意帶出公司或個人存放。
6、禁止將公司配發的計算機非工作原因私自帶走或轉借給他人,造成丟失或損壞的要做相應賠償,禁止計算機使用人員對硬碟格式化操作。
7、計算機的內部呼叫
A、管理員根據需要負責計算機在公司內的呼叫,並按要求組織計算機的遷移或調換。
B、計算機在公司內呼叫,管理員應做好呼叫記錄,《呼叫記錄單》經副總經理簽字認可後交管理員存檔。
8、計算機報廢
A、計算機報廢,由使用部門提出,管理員根據計算機的使用、升級情況,組織鑑定,同意報廢處理的,報部門經理批准後按《固定資產管理規定》到財務部辦理報廢手續。
B、報廢的計算機殘件由管理員回收,組織人員一次性處理。
C、計算機報廢的條件:
(1)主要部件嚴重損壞,無升級和維修價值。
(2)修理或改裝費用超過或接近同等效能價值的裝置。
三、環境管理
1、計算機的使用環境應做到防塵、防潮、防干擾及安全接地。
2、應儘量保持計算機周圍環境的整潔,不要將影響使用或清潔的用品放在計算機周圍。
3、伺服器機房內應做到乾淨、整潔、物品擺放整齊;非主管維護人員不得擅自進入。
四、軟體管理和防護
1、職責:
A、管理員負責軟體的開發購買保管、安裝、維護、刪除及管理。
B、計算機負責人負責軟體的使用及日常維護。
2、使用管理:
A、計算機系統軟體:要求管理員統一配裝正版d專業版,辦公常用辦公軟體安裝正版ffce專業版套裝、正版E管理系統,製圖軟體安裝正版CAD專業版,防毒軟體安裝安全防毒套裝,郵件軟體安裝閃電郵,及自主開發等各種正版及綠色軟體。
B、禁止私自或安裝軟體、遊戲、電影等,如工作需要安裝或刪除軟體時,向管理員提出申請,經檢查符合要求的軟體由管理部員或在管理員的監督下進行安裝或刪除。
C、計算機負責人應管理好計算機的作業系統或軟體的使用者名稱、工號、密碼。若調整工作崗位,應及時通知管理部員更改相關許可權。不得盜用他人使用者名稱和密碼登入計算機,或更改、破壞他人的檔案資料,做好區域網上共享資料夾的密碼保護工作。
D、計算機負責人應及時做好業務相關軟體的應用程式資料備份(燒錄光碟),防止因機器故障或被誤刪除而引起檔案丟失。
E、計算機軟體在使用過程中如發現異常或出現錯誤程式碼時,計算機負責人應及時上報管理員進行處理。
3、升級、防護:
A、如作業系統、軟體需要更新及版本升級,則由管理員負責升級安裝、購買等。
B、盤、軟盤在使用前,必須先採用防毒軟體進行掃描防毒,無病毒後再使用。
C、由管理員協助計算機負責人對計算機進行病毒、木馬程式檢測和清理工作,要求定期更新防毒軟體。
五、硬體維護
1、要求:
A、管理部員負責計算機或相關電腦裝置的維護。
B、對硬體進行維護的人員在拆卸計算機時,必須採取必要的防靜電措施。
C、對硬體進行維護的人員在作業完成後或準備離去時,必須將所拆卸的裝置復原。
D、對於關鍵的計算機裝置應配備必要的斷電、繼電保護電源。
E、管理部員應按裝置說明書進行日常維護,每月一次。
2、維護:
A、計算機的使用、清潔和保養工作,由計算機負責人負責。
B、管理員必須經常檢查計算機及外設的狀況,及時發現和解決問題。
六、網路管理
1、禁止瀏覽或登入反動、色情、邪教等不明非法網站、瀏覽非法資訊以及利用電子信箱收發有關上述內容的郵件;不得通過網際網路或光碟安裝傳播病毒以及黑客程式。
2、禁止私自將公司的受控檔案及資料上傳網路與拷貝傳播。
七、維修流程當計算機出現故障時,應立即停止操作,上報公司管理員,填寫《公司電腦維修記錄表》;由管理員負責維修。
八、獎懲辦法由於計算機裝置是我們工作中的重要工具。因此,管理員將計算機的管理納入對各計算機負責人的績效考核範圍,並將嚴格實行。從本制度公佈之日起:
1、凡是發現以下行為,管理員有權根據實際情況處罰並追究當事人及其直接領導的責任,嚴重的則交由上級部門領導對其處理。
A、私自安裝和使用未經許可的軟體(含遊戲、電影),每個軟體罰________元。
B、計算機具有密碼功能卻未使用,每次罰________元。
C、下班後,計算機未退出系統或關閉顯示器的,每次罰________元。
D、擅自使用他人計算機或外設造成不良影響的,每次罰________元。
E、瀏覽登入反動、色情、邪教等不明非法網站,傳播非法郵件的,每次罰________元。
F、如有私自或沒有經過管理部稽核更換計算機地址的,每次罰________元。
G、如有拷貝受控檔案及資料,故意刪除共享資料軟體及計算機資料的,按損失酌情進行處罰。
2、凡發現由於:違章作業,保管不當,擅自安裝、使用硬體和電氣裝置,而造成硬體的損壞或丟失的,其損失由責任人賠償硬體價值的全部費用。
九、附則
1、本制度為公司計算機管理制度,要求每一位計算機負責人和員工都必須遵守該制度。
2、本制度由行政部負責編制與修改。
3、本制度由公司總經理批准後執行。
企業規章制度也可以成為企業用工管理的證據,是公司內部的法律,但是並非制定的任何規章制度都具有法律效力,只有依法制定的規章制度才具有法律效力。
勞動爭議糾紛案件中,工資支付憑證、社保記錄、招工招聘登記表、報名表、考勤記錄、開除、除名、辭退、解除勞動合同、減少勞動報酬以及計算勞動者工作年限等都由企業舉證,所以企業制定和完善相關規章制度的時候,應該注意收集和保留履行民主程式和公示程式的證據,以免在仲裁和訴訟時候出現舉證不能的後果。
一、計算機裝置管理制度
1、計算機的使用部門要保持清潔、安全、良好的計算機裝置工作環境,禁止在計算機應用環境中放置易燃、易爆、強腐蝕、強磁性等有害計算機裝置安全的物品。
2、非本單位技術人員對我單位的裝置、系統等進行維修、維護時,必須由公司相關技術人員現場全程監督。計算機裝置送外維修,須經有關部門負責人批准。
3、嚴格遵守計算機裝置使用、開機、關機等安全操作規程和正確的使用方法。任何人不允許帶電插拔計算機外部裝置介面,計算機出現故障時應及時向IT部門報告,不允許私自處理或找非本單位技術人員進行維修及操作。
二、操作員安全管理制度
(一)操作程式碼是進入各類應用系統進行業務操作、分級對資料存取進行控制的程式碼。操作程式碼分為系統管理程式碼和一般操作程式碼。程式碼的設定根據不同應用系統的要求及崗位職責而設定;
(二)系統管理操作程式碼的設定與管理
1、系統管理操作程式碼必須經過經營管理者授權取得;
2、系統管理員負責各項應用系統的環境生成、維護,負責一般操作程式碼的生成和維護,負責故障恢復等管理及維護;
3、系統管理員對業務系統進行資料整理、故障恢復等操作,必須有其上級授權;
4、系統管理員不得使用他人操作程式碼進行業務操作;
5、系統管理員調離崗位,上級管理員(或相關負責人)應及時登出其程式碼並生成新的系統管理員程式碼;
(三)一般操作程式碼的設定與管理
1、一般操作碼由系統管理員根據各類應用系統操作要求生成,應按每操作使用者一碼設定。
2、操作員不得使用他人程式碼進行業務操作。
3、操作員調離崗位,系統管理員應及時登出其程式碼並生成新的操作員程式碼。
三、密碼與許可權管理制度
1、密碼設定應具有安全性、保密性,不能使用簡單的程式碼和標記。密碼是保護系統和資料安全的控制程式碼,也是保護使用者自身權益的控制程式碼。密碼分設為使用者密碼和操作密碼,使用者密碼是登陸系統時所設的密碼,操作密碼是進入各應用系統的操作員密碼。密碼設定不應是名字、生日,重複、順序、規律數字等容易猜測的數字和字串;
2、密碼應定期修改,間隔時間不得超過一個月,如發現或懷疑密碼遺失或洩漏應立即修改,並在相應登記簿記錄使用者名稱、修改時間、修改人等內容。
3、伺服器、路由器等重要裝置的超級使用者密碼由執行機構負責人指定專人(不參與系統開發和維護的人員)設定和管理,並由密碼設定人員將密碼裝入密碼信封,在騎縫處加蓋個人名章或簽字後交給密碼管理人員存檔並登記。如遇特殊情況需要啟用封存的密碼,必須經過相關部門負責人同意,由密碼使用人員向密碼管理人員索取,使用完畢後,須立即更改並封存,同時在“密碼管理登記簿”中登記。
4、系統維護使用者的密碼應至少由兩人共同設定、保管和使用。
5、有關密碼授權工作人員調離崗位,有關部門負責人須指定專人接替並對密碼立即修改或使用者刪除,同時在“密碼管理登記簿”中登記。
四、資料安全管理制度
1、存放備份資料的介質必須具有明確的標識。備份資料必須異地存放,並明確落實異地備份資料的管理職責;
2、注意計算機重要資訊資料和資料儲存介質的存放、運輸安全和保密管理,保證儲存介質的物理安全。
3、任何非應用性業務資料的使用及存放資料的裝置或介質的調撥、轉讓、廢棄或銷燬必須嚴格按照程式進行逐級審批,以保證備份資料安全完整。
4、資料恢復前,必須對原環境的資料進行備份,防止有用資料的丟失。資料恢復過程中要嚴格按照資料恢復手冊執行,出現問題時由技術部門進行現場技術支援。資料恢復後,必須進行驗證、確認,確保資料恢復的完整性和可用性。
5、資料清理前必須對資料進行備份,在確認備份正確後方可進行清理操作。歷次清理前的備份資料要根據備份策略進行定期儲存或永久儲存,並確保可以隨時使用。資料清理的實施應避開業務高峰期,避免對聯機業務執行造成影響。
6、需要長期儲存的資料,資料管理部門需與相關部門制定轉存方案,根據轉存方案和查詢使用方法要在介質有效期內進行轉存,防止儲存介質過期失效,通過有效的查詢、使用方法保證資料的完整性和可用性。轉存的資料必須有詳細的文件記錄。
7、非本單位技術人員對本公司的裝置、系統等進行維修、維護時,必須由本公司相關技術人員現場全程監督。計算機裝置送外維修,須經裝置管理機構負責人批准。送修前,需將裝置儲存介質內應用軟體和資料等涉經營管理的資訊備份後刪除,並進行登記。對修復的裝置,裝置維修人員應對裝置進行驗收、病毒檢測和登記。
8、管理部門應對報廢裝置中存有的程式、資料資料進行備份後清除,並妥善處理廢棄無用的資料和介質,防止洩密。
9、執行維護部門需指定專人負責計算機病毒的防範工作,建立本單位的計算機病毒防治管理制度,經常進行計算機病毒檢查,發現病毒及時清除。
10、營業用計算機未經有關部門允許不準安裝其它軟體、不準使用來歷不明的載體(包括軟盤、光碟、行動硬碟等)。
五、機房管理制度
1、進入主機房至少應當有兩人在場,並登記“機房出入管理登記簿”,記錄出入機房時間、人員和操作內容。
部門人員進入機房必須經領導許可,其他人員進入機房必須經IT部門領導許可,並有有關人員陪同。值班人員必須如實記錄來訪人員名單、進出機房時間、來訪內容等。非IT部門工作人員原則上不得進入中心對系統進行操作。如遇特殊情況必須操作時,經IT部門負責人批准同意後有關人員監督下進行。對操作內容進行記錄,由操作人和監督人簽字後備查。
3、保持機房整齊清潔,各種機器裝置按維護計劃定期進行保養,保持清潔光亮。
4、工作人員進入機房必須更換乾淨的工作服和拖鞋。
5、機房內嚴禁吸菸、吃東西、會客、聊天等。不得進行與業務無關的活動。嚴禁攜帶液體和食品進入機房,嚴禁攜帶與上機無關的物品,特別是易燃、易爆、有腐蝕等危險品進入機房。
6、機房工作人員嚴禁違章操作,嚴禁私自將外來軟體帶入機房使用。
7、嚴禁在通電的情況下拆卸,移動計算機等裝置和部件。
8、定期檢查機房消防裝置器材。
9、機房內不準隨意丟棄儲蓄介質和有關業務保密資料資料,對廢棄儲蓄介質和業務保密資料要及時銷燬(碎紙),不得作為普通垃圾處理。嚴禁機房內的裝置、儲蓄介質、資料、工具等私自出借或帶出。
10、主機裝置主要包括:伺服器和業務操作用PC機等。在計算機機房中要保持恆溫、恆溼、電壓穩定,做好靜電防護和防塵等項工作,保證主機系統的平穩執行。伺服器等所在的主機要實行嚴格的門禁管理制度,及時發現和排除主機故障,根據業務應用要求及執行操作規範,確保業務系統的正常工作。
11、定期對空調系統執行的各項效能指標(如風量、溫升、溼度、潔淨度、溫度上升率等)進行測試,並做好記錄,通過實際測量各項引數發現問題及時解決,保證機房空調的正常執行。
12、計算機機房後備電源(UPS)除了電池自動檢測外,每年必須充放電一次到兩次。
1、成立資訊保安工作領導小組,並由單位主要領導擔任組長,由網路管理人員及公文接收人員等擔任組員,全面負責本單位網路安全工作。
2、學校所有使用者必須遵守國家、地方的有關法規,嚴格執行安全保密制度,並對所提供的資訊負責。單位網路管理人員和公文接收人員必須在資訊保安領導小組的領導下,嚴格監控本單位上網資訊,隨時對本單位網路系統及資訊系統進行安全檢查。
3、學校所有使用者不得利用計算機網路從事危害國家利益、集體利益和公民合法利益的活動,不得危害計算機網路及資訊系統的安全。單位文印室、財務室電腦加強安全管理,以免造成涉密資訊洩露。
4、學校所有使用者嚴禁在網路上釋出虛假、淫穢、xxx等資訊,不得使用網路進入未經授權使用的計算機,單位辦公用計算機必須嚴格管理,制訂管理制度,落實管理人員,未經管理人員允許不得以虛假身份使用網路資源。
5、加強對校園網新聞,資訊上報、論壇言論的安全管理。對上網、上報、外傳資訊要堅持單位主要領導審查,嚴格把關,落實防範措施,明確責任制,本著“誰主管,誰負責”的原則,凡涉及國家及學校祕密的資訊嚴禁上網。
6、學校所有使用者必須對提供的資訊負責,不得利用網路從事危害國家安全、洩露國家機密等犯罪活動,不得製作、查閱、複製和傳播有礙社會治安和不健康的、有封建迷信、色情等內容的資訊。
7、嚴禁制造和輸入計算機病毒以及其他有害資料危害計算機資訊系統的安全。 不允許進行任何干擾網路使用者、破壞網路服務和破壞網路裝置的活動。
8、一經發現校園網或區域網內有違法犯罪行為和有害的、不健康的資訊,必須立即上報資訊保安領導小組,不得隱瞞。
培訓管理制度彙編
資訊系統管理制度
酒店廚房管理制度彙編
教學常規管理制度彙編
關於食品安全管理管理制度
醫院資訊管理制度(13篇)
安全管理制度及操作規程定期修訂制度
資訊系統管理制度9篇
公司資訊管理制度
護理安全的管理制度
資訊管理制度
醫院資訊管理制度13篇
資訊保安與管理專業學什麼 資訊保安與管理專業學哪些課程
安全管理制度
環境保護管理制度彙編
醫院資訊管理制度
學校檔案管理制度彙編
網路安全管理管理制度
醫院資訊管理制度(通用13篇)
資訊系統管理制度(9篇)
建築安裝安全管理制度
學校管理制度彙編
網路資訊管理制度
專案管理制度彙編
張學友2017世界巡迴演唱會安排(時間、地點、購票資訊彙總)
讓盆栽牡丹安全度夏 夏季管理應做好三防
網路安全管理管理制度15篇
nike lebron 15 2017發售幾款?耐克lebron 15發售資訊彙總
易製毒化學品安全管理制度
人力資源管理制度彙編
工程專案管理制度彙編
女朋友不理你不回信息,女朋友不理你不回信息怎麼哄
物業保安部管理制度(彙編10篇)