系统安全管理规定

文档号CSLJC_COM_STD_ISMS_1202_P_V0.1密级普密商密ISO27001信息安全管理体系文件系统安全管理规定ISMS-MP-A.12-01活动签名日期创建成涛2011-8-24审核批准系统安全管理规定I文档变更历史作者(或修订人)版本号日期修改内容与原因成涛V0.12011-8-24新建评审记录评审方式版本号日期评审意见文档状态：草稿系统安全管理规定II目录1概述.................................................................................................................................................11.1目的.......................................................................................................................................11.2定义.......................................................................................................................................11.3范围.......................................................................................................................................11.4原则.......................................................................................................................................12角色与职责.....................................................................................................................................13安全要求.........................................................................................................................................23.1系统安全规划要求...............................................................................................................23.2系统运行与维护安全要求...................................................................................................23.3操作系统安全配置策略.......................................................................................................53.3.1Windows系统安全配置管理策略............................................................................53.3.2UNIX系统安全管理策略.........................................................................................84附录...............................................................................................................................................10系统安全管理规定11概述1.1目的为了加强公司各类计算机系统的安全运维管理，特制定本规定。1.2定义本程序引用ISO/IEC17799:2005标准中的术语。1.3范围本文档适用于公司建立的信息安全管理体系。1.4原则本文档将依据信息技术和信息安全技术的不断发展和信息安全风险与信息安全保护目标的不断变化而进行版本升级。2角色与职责表2-1系统安全管理规定的角色和职责序号角色职责1信息安全管理委员会负责对系统安全管理进行指导和检查2系统运维部负责生产环境系统的维护工作3系统支援及负责系统安全管理的落地和实施工作系统安全管理规定2维护部4员工遵守公司系统安全管理规定3安全要求3.1系统安全规划要求1、系统在投入使用前需要做好前期的规划和设计，除了要满足公司目前业务需要外还要考虑该业务系统将来的应用需求，使系统具有一定的扩充能力。2、系统服务器操作系统应选用正版软件并且遵守软件规定的最终用户使用协议，禁止使用盗版软件。3、新规划使用系统应考虑和原来系统的兼容性问题。4、在新系统安装之前应有详细的实施计划，并严格按照计划来实施。5、在新系统安装完成，投入使用前，应对所有组件包括设备、服务或应用进行连通性测试、性能测试、安全性测试，并在《系统测试记录》做详细记录，最终形成测试报告。6、在新系统安装完成，测试通过，投入使用前，应删除测试用户和口令，最小化合法用户的权限，最优化配置，应及时对系统软件、文件和重要数据进行备份。3.2系统运行与维护安全要求1、各个系统设备应进行资产登记。2、系统的帐号、口令应符合《帐号与密码安全管理规定》，并定期对帐号口令实施安全评估。系统安全管理规定33、严格限制操作系统管理员权限帐号和普通账号的数量和使用范围。对于系统管理员的帐号要详细登记备案，编制《管理员权限账号记录》，每季度对该记录进行审核，更新帐号记录。4、操作系统帐号的申请与变更参考《帐号与密码安全管理规定》3.5节“账号权限控制流程”。5、严格禁止非本系统管理、维护人员直接进入主机设备进行操作，若在特殊情况下（如系统维修、升级等）需要外部人员（主要是指厂家技术工程师、非本系统技术工程师、安全管理员等）进入主机设备进行操作时，必须由维护人员员亲自登录，并对操作全过程进行记录备案。6、应尽可能减少主机设备的远程管理方式。7、严禁随意安装、卸载系统组件和驱动程序，如确实需要，应及时评测可能由此带来的影响；如果需要安装补丁程序，参考《病毒与补丁安全管理规定》进行安装。8、禁止主机系统上开放具有“写”权限的共享目录，如果确实必要，优先考虑建立FTP站点，紧急情况下可临时开放，但要设置强共享口令，并在使用完之后立刻取消共享；应禁止不被系统明确使用的服务、协议和设备的特性，避免使用不安全的服务。9、应严格并且合理的分配服务安装分区或者目录的权限，如果可能的话，给每项服务安装在独立分区；取消或者修改服务的banner信息；避免让应用服务运行在root或者administrator权限下。10、应严格控制重要文件的许可权和拥有权，重要的数据应当加密存放在主机上，取消匿名FTP访问，并合理使用信任关系。11、应对日志功能的启用、日志记录的内容、日志的管理形式、日志的审查分析做出明确的规定；对于重要主机系统，应建立集中的日志管理服务器，实现对重要主机系统日志的统一管理，以利于对主机系统日志的审查分析；应保证各设备的系统日志处于运行状态，并定期对日志做一次全面的分析，对登录的用户、登录时间、所做的配置和操作做检查，在发现有异常的现象时应及时向相关人员报告，日志审核要求详见《安全审计管理规定》。系统安全管理规定412、应及时监视、收集主机设备操作系统生产厂商公布的软件以及补丁更新，要求下载补丁程序的站点必须是相应的官方站点，并对更新软件或补丁进行评测，在获得部门领导的批准下，对实际环境实施软件更新或者补丁安装；必须订阅CERT(计算机紧急响应小组)公告或其他专业安全机构提供的安全漏洞信息的相关资源，应立即提醒信息安全工作组任何可能影响网络正常运行的漏洞；及时评测对漏洞采取的对策，在获得部门领导的批准下，对实际环境实施评测过的对策，并将整个过程记录备案；软件更新或者补丁安装应尽量安排在非业务繁忙时段进行，操作必须由两人以上完成，由一人监督，一人操作，并在升级（或修补）前后做好数据和软件的备份工作，同时将整个过程记录备案；软件更新或者补丁安装后应重新对系统进行安全设置，并进行系统的安全检查。13、应定期进行安全漏洞扫描和病毒查杀工作，平均频率应不低于每月一次，并在《月度网络安全扫描记录》中详细记录评估扫描结果。重大安全漏洞发布后，应在3个工作日内进行；为了防止网络安全扫描以及病毒查杀对网络性能造成影响，应根据业务的实际情况对扫描时间做出规定，应一般安排在非业务繁忙时段；当发现主机设备上存在病毒、异常开放的服务或者开放的服务存在安全漏洞时应及时上报信息安全工作组，并采取相应措施。14、应至少每周1次，对所有主机设备进行检查，确保各设备都能正常工作；应通过各种手段监控主机系统的CPU利用率、进程、内存和启动脚本等的使用状况，在发现异常系统进程或者系统进程数量异常变化时，或者CPU利用率，内存占用量等突然异常时，应立即上报信息安全工作组，并同时采取适当控制措施，并记录备案。15、当主机系统出现以下现象之一时，必须进行安全问题的报告和诊断：系统中出现异常系统进程或者系统进程数量有异常变化。系统突然不明原因的性能下降。系统不明原因的重新启动。系统崩溃，不能正常启动。系统中出现异常的系统账号系统安全管理规定5系统账号口令突然失控。系统账号权限发生不明变化。系统出现来源不明的文件。系统中文件出现不明原因的改动。系统时钟出现不明原因的改变。系统日志中出现非正常时间系统登录，或有不明IP地址的系统登录。发现系统不明原因的在扫描网络上其它主机。16、应及时报告任何已知的或可疑的信息安全问题、违规行为或紧急安全事件，并在采取适当措施的同时，应向信息安全工作组报告细节；应定期提交安全事件和相关问题的管理报告，以备管理层检查。17、应根据“知所必需”原则严格限制泄漏安全违规行为、安全事件或安全漏洞。如果必须向任何公司外部方（包括任何合法的权威机构）泄漏这类受限信息，应先咨询公司相关法律部门。18、系统软件安装之后，应立即进行备份；在后续使用过程中，在系统软件的变更以及配置的修改之前和之后，也应立即进行备份工作；应至少每年1次对重要的主机系统进行灾难影响分析，并进行灾难恢复演习。19、应至少每年1次对整个网络进行风险评估，每次风险评估时，手工检查的比例应不低于10％，渗透测试的比例应不低于5％；风险评估后应在10个工作日内完成对网络的修补和加固，并进行二次评估。3.3操作系统安全配置策略3.3.1Windows系统安全配置管理策略在应用以下安全策略之前应根据业务系统的实际情况进行操作，注意实施操作后对业务的风险。系统安全管理规定61、物理安全策略应设置BIOS口令以增加物理安全。应禁止远程用户使用光驱和软驱。2、补丁管理策略应启动Windows自动更新功能，及时安装Windows补丁（SP、hotfix）。对于不能访问Internet的Windows系统，应采用手工打补丁的方式。3、帐户与口令策略所有帐户均应设置口令。应将系统管理员账号administrator重命名。应禁止Guest账号。应启用“密码必须符合复杂性要求”，设置“