2024年单位内部网络信息安全制度汇编（试行）【完整版】

下面是小编为大家整理的2023年单位内部网络信息安全制度汇编（试行）【完整版】,供大家参考。

1、缩写2、制度适用范围：3、术语定义一、网络信息安全总体策略二、信息等级保护体系制定和发布管理规定三、等级保护体系评审和修订管理规定四、信息安全管理组织架构五、信息系统安全检查管理规定六、信息安全组织架构与岗位职责七、人员管理制度八、网络安全培训和考核管理规定九、第三方机构安全管理规定十、计算机及网络保密规定十一、信息系统测试管理办法十二、信息安全建设管理规定十三、项目管理规定十四、工作环境管理规定十五、信息系统资产管理规定十六、存储介质管理规定十七、信息系统运维监控管理规定十八、网络系统运行管理规定十九、系统帐号权限管理规定二十、补丁管理规定二十一、信息系统日志管理规定二十二、防病毒管理规定二十三、信息安全密码使用管理规定二十四、变更管理规定二十五、备份与恢复管理规定二十六、安全事件管理规定二十七、应急预案管理规定二十八、软件管理办法二十九、信息交付管理规定

《单位内部网络信息安全制度汇编（试行）》

相关术语

1、缩写

原名称	缩写名称	备注

2、制度适用范围：

适用于（xx市民政局）各部门，包括系统维护管理人员、网络、服务器、终端、设备、信息系统的专用设备以及物理环境等

3、术语定义

（一） 安全策略：是纲领性的安全策略主文档，描述（xx市民政局）业务安全目标和管理层意图、支持目标和指导原则，是信息安全实践的根本性和指导性的文件。

（二） 信息安全等级保护管理体系是指依据国家信息安全等级保护的要求建立的系统内进行信息安全管理的制度、方针、策略、流程、指南、记录等管理方面的规章制度集合。

（三） 信息安全等级保护管理体系是指依据国家信息安全等级保护的要求建立的系统内进行信息安全管理的制度、方针、策略、流程、指南、记录等管理方面的规章制度集合。

（四） 安全检查：指单位内部或外部机构对信息安全整体执行情况进行的评价活动。安全检查的依据是单位现行的管理制度、信息系统安全体系规范和技术标准、有关法律、法规和标准要求等安全检查包括安全例行检查、安全专项检查等。

（五） 安全例行检查：指按照已制定的检查周期所作的检查。

（六） 安全专项抽查：指根据单位、监管机构或相关部门要求的安全运行状况所作的不定期的抽查。

（七） 本单位员工是指单位正式员工，包括试用期员工和借调人员等。

（八） 第三方机构是指所有进入（xx市民政局）内部提供相关技术服务的非（xx市民政局）单位（包括但不限于供应商、合作厂商、服务商）。第三方人员分为临时来访人员和驻场外包人员。临时来访的第三方人员是指来（xx市民政局）时间周期较短的人员，包括进行业务交流的人员，临时来访参观的人员等；
驻场外包的第三方人员是指来访时间较长的第三方技术服务人员，包括项目建设人员，外来信息系统职守人员，外来信息系统维护人员等。

（九） 存储介质：指用于单位计算机系统相关业务的电子信息输出、存放的物理介质、可移动和不可移动的磁盘、光盘、硬盘、磁盘阵列等。

（一十） 帐号是指每个可访问系统资源的用户在系统中的标识,可分为应用系统帐号、操作系统帐号和数据库帐号等。

（一十一） 访问权限是指帐号被赋予的可以访问系统资源和使用系统功能的权利。

（一十二） 超级管理员帐号/特权帐号：指对系统具有超级权限的帐号，包含但不限于UNIX/Linux的root，WINNT的administrators组成员，数据库的DBA等用户。

（一十三） 普通帐号：用户用于维护或访问系统，实现日常操作的帐号，是最为常见的用户类型。

（一十四） 补丁是针对某一个具体的系统漏洞或安全问题而发布的专门解决该漏洞或安全问题的小程序，通常称为修补程序。

（一十五） 日志包括各业务系统中存储的主机系统日志、设备日志和业务系统日志等基础环境日志

（一十六） 计算机病毒：计算机病毒是人为蓄意编制的一种寄生性的计算机程序。它能在计算机系统中生存，通过自我复制来传播，在一定条件下即被激活，从而给计算机系统造成一定损害甚至严重破坏，有些病毒还能窃取计算机设备中的重要信息

（一十七） 信息安全事件是指由于自然或者人为以及软硬件本身缺陷或故障的原因，对信息系统造成危害，或对社会造成负面影响的事件

一、网络信息安全总体策略

第一章 总则

第一条 为了加强（xx市民政局）信息系统的网络安全管理，明确（xx市民政局）网络安全管理的总目标和总方向，保护（xx市民政局）系统自有的信息系统资产，积极预防安全事件的发生，使安全事件的影响最小化，特制定本策略文件。

第二章 术语定义

第二条 安全策略：是纲领性的安全策略主文档，描述（xx市民政局）信息系统业务安全目标和管理层意图、支持目标和指导原则，是网络安全实践的根本性和指导性的文件。

第三章 组织职责

第三条 单位组建网络安全与信息化领导小组，负责批准网络安全策略文件并且保证本文件被执行，同时负责对（xx市民政局）系统网络安全方面的指导方向、安全建设等重大问题做出决策，协调各部门安全协同工作，支持和推动网络安全工作在整个单位实施。

第四条 单位组建网络安全等级保护工作小组，负责具体执行安全管理策略文件的建立、实施、运作、监控、评审、维护和改进工作。

第五条 单位所有员工有责任了解自身在单位信息安全、网络安全方面的职责，并按照网络安全与信息化领导小组的指示，认真执行相关要求。

第四章 管理原则

第六条 网络安全管理工作实行“积极防范、突出重点、职责到位、保障业务”和“谁主管、谁负责、谁运营、谁负责”的管理原则。

第五章 总体目标

第七条 遵守国家相关法律法规，结合（xx市民政局）实际情况，依据现有管理和文化体系，逐步建设一套适用的、先进的网络安全管理体系，更好地保障（xx市民政局）网站、社管平台等重要信息系统安全、稳定的向社会公众提供服务，并满足单位不断发展的业务需求。

第六章 安全框架

第八条 安全管理制度

（一） 逐步完善由安全策略、管理制度、操作规程组成的网络安全管理体系。

（二） 网络安全策略文件应由管理层审核批准，并公布与传达给单位所有人员以及同本单位有业务往来的第三方机构。网络安全策略文件在规划期间内或有重大变更发生时需通过管理层的审查及修订。

第九条 安全管理机构

（一） 必须建立网络安全管理组织，以满足网络安全管理体系持续运行的目标。

（二） 加强与第三方机构的沟通和合作，及时获取相关信息。

（三） 必须建立安全检查机制，定期对信息系统进行安全检查。

（四） 加强人员录用和离岗过程的安全管理，并定期对所有人员进行安全培训和考核，加强安全意识。

（五） 对所有操作或访问信息资产的第三方机构，必须向其阐明相关的责任要求，并明确告知其有责任恰当地使用和保护这些信息资产。

第一十条 系统建设

（一） 系统建设初期必须根据系统定级情况进行安全方案设计，对可行性进行论证。

（二） 确保安全和密码产品采购和使用符合国家的有关规定；
并只能选择满足条件的安全服务商。

（三） 确保在系统的开发与维护过程中，相关的安全功能和需求已被嵌入到系统内。在开发新系统时，安全功能应包含在初始的系统分析与需求描述中。这些描述必须包括自动的和手动的安全控制。这些控制必须通过测试，而且能够整合到正在运行的环境中。

第一十一条 系统运维

（一） 信息系统及其相关的设备在物理上需要受到保护，防止偷窃、滥用、损坏或未经授权的访问。

（二） 确保信息系统相关的信息资产受到适当保护, 所有信息资产必须有确定的属主并且根据其敏感度进行分类和控制。

（三） 所有信息系统必须制定相应的操作规范，通过对日常操作的管理、介质的管理、恶意代码防范控制确保信息系统范围内信息处理设施的正确和安全操作。

（四） 对三级系统应建立安全管理中心，对信息资产安全事件实现监控和响应。

（五） 所有信息系统变更应有审批流程，并有完善的恢复流程。

（六） 应建立有效的安全事件响应和处理机制，安全事件必须及时的发现、报告、处理、调查、上报并修正，并且有事后的回顾，以吸取经验教训，避免以后再发生同类型的事件，把损失降到最小。

（七） 建立完善应急预案，以确保事故发生时，对业务活动的影响降至最小。

第七章 策略制定与维护

第一十二条 网络信息安全策略文件由安全管理员编写，由网络安全与信息化领导小组批准，向所有相关部门、第三方机构和相关人员发布。

第一十三条 网络安全与信息化领导小组监督网络安全活动，是否与策略的目标一致，达到策略的要求。

第一十四条 网络安全与信息化领导小组审查和处理违反安全策略的行为。

第一十五条 网络安全等级保护工作小组定期对网络安全策略进行回顾和评审（附件一、评审记录表），确保策略的有效性和可操作性。

附件一、安全策略评审记录表

安全策略评审记录表

日期：   年   月  日

会议名称
参与人员
评审对象
评审结果
评审意见： 网络安全等级保护工作小组		审批结果： 网络安全与信息化领导小组

二、信息等级保护体系制定和发布管理规定

第一章 总则

第一条 为了保证（xx市民政局）信息安全等级保护管理体系的持续性、时效性以及适应性，满足业务不断变化的安全管理的需要，明确信息安全等级保护体系的制定、发布、评审和修订等过程中的管理职责，特制定本规定。

第二章 职责

第二条 网络安全与信息化领导小组，职责：

（一） 负责规划、监督、指导网络安全等级保护管理体系文件的起草、审查、发布、清理等工作。

（二） 负责信息安全等级保护管理体系的评审及修订后复审工作。

（三） 确保信息安全等级保护管理体系能持续恰当和有效地运作。

（四） 提供充足的资源和支持，以持续改善信息安全等级保护管理体系。

第三条 网络安全等级保护工作小组，职责：

（一） 负责组织管理体系文件的起草、编制、修订、补充等工作的开展，并将实施成果向领导小组汇报。

（二） 负责启动和主持等级保护管理体系的管理评审工作 。

（三） 负责协调相关人员，指导收集评审资料。

（四） 确保评审会议所提出的行动项目能在规定的时间内完成，并负责其相关的监督工作。

（五） 负责对评审结果如需进行修订项协调相关人员进行修订。

（六） 指派人员负责对修订措施的执行结果进行验证。

第四条 相关人员，是指（xx市民政局）信息安全等级保护管理体系涉及的人员。比如：系统管理员、应用管理员、开发管理人员、网络管理员、数据管理员、资产管理员和安全管理员等，其职责是：

（一） 负责依据管理体系文件的内容进行宣贯、培训、执行、检查等工作，并依据部门情况落实管理体系的要求。

（二） 负责协助进行评审。

（三） 负责实施修订措施。

第五章 文件起草

第五条 （xx市民政局）网络安全管理体系规范文件由网络安全等级保护工作小组负责起草或组织起草。

第六条 负责起草的科室应当确定一名熟悉相关内容员工为项目负责人， 如涉及多个部门时，可由有关部门共同派人组成联合起草小组，由主要起草部门负责牵头组织。

第七条 起草的规范性文件应当结构严谨、内容完备、形式规范、条理清楚、用词准确、文字简洁。

第八条 应当明确规定如下内容： 

（一）制定的目的和依据；
 

（二）适用范围；
 

（三）术语定义；

（四）组织职责；

（五）具体管理要求或规定；

（六）必要的附则；

（七）与规范内容相关的资料性附录和参考性附录。

第九条 报送审查的管理制度送审稿应当由起草部门负责人签署后报网络安全与信息化领导小组审查。几个部门共同起草的规范送审稿，应当由起草部门负责人共同签署后报网络安全与信息化领导小组审查。

第一十条 下列材料应当与规范送审稿一并报送网络安全与信息化领导小组审查： 

（一）起草说明；
 

（二）与此规范内容有关的规范性文件；
 

（三）汇总的各方意见；

（四）如需制定实施细则，应当提交实施细则的主要内容和细则拟出台的时间；
 

（五）其他需要报送的材料。

第一十一条 网络安全与信息化领导小组主要从以下方面对送审稿进行审查： 

（一）是否符合权限和程序；
 

（二）是否符合原则；
 

（三）是否与其他规范、标准相协调、衔接；
 

（四）是否已对有关不同意见进行协调；
 

（五）是否具有可行性；
 

（六）是否符合相关技术要求；
 

（七）需要审查的其他内容。

第一十二条 由网络安全与信息化领导小组对送审稿提出审查结论，对草案涉及的有关争议问题以及修改情况作重点说明。由网络安全与信息化领导小组负责人签署的书面审查报告应当反馈起草部门。

第六章 文件评审

第一十三条 （xx市民政局）网络安全等级保护工作小组定期（至少每年一次）开展等级保护管理体系的评审工作，以确保整个等级保护管理体系的充分性、适当性和有效性。

第一十四条 等级保护管理体系评审内容：

（一） 根据业务系统的性质和安全要求，确定（或复审）等级保护管理体系的范围，建立（复审）等级保护管理体系，包括网络安全策略、标准和程序。

（二） 对等级保护管理体系审核结果进行评审，分析导致不符合项的原因。

（三） 审查审核对象的反馈信息。

（四） 总结已发现的安全事件和漏洞。

（五） 审查现行的安全控制措施和相关技术是否有效。

（六） 复查修订措施的实施状况。

（七） 检查先前管理评审中所定义的措施的实施状况。

（八） 审查改善措施的建议。

（九） 复查业务和法律法规方面的变更。

（一十） 审查可能影响信息安全等级保护管理体系的任何变更。

（一十一） 为协调相关网络安全的实施，评审相关资源的充足性。

第一十五条 评审工作必须至少每年举行一次，发生以下情况时，也需要启动管理评审工作：

（一） 系统业务发生重大变更。

（二） 系统网络安全策略的重大变更。

（三） 目前等级保护管理体系的执行不力。

（四） 系统等级保护管理体系的范围发生变更。

（五） 相关标准法规发布修订版本或有变更。

第七章 文件发布

第一十六条 规范草案经网络安全与信息化领导小组审议并原则通过后，起草部门根据审议中提出的修改意见对草案进行修改，经网络安全与信息化领导小组负责人签发,以文件形式公布。

第一十七条 文件的发布应遵照统一的格式，进行版本控制；
并应注明发布范围，对收发文进行登记。对发布的制度应在《附录一、（xx市民政局）管理制度发布记录表》中进行记录。

附录一、（xx市民政局）管理制度发布记录表

（xx市民政局）管理制度发布记录

管理制度名称	制订者	发布者	生效时间	版本	分发范围	失效时间	备注
日期：			文档管理人员：			审核人：

三、等级保护体系评审和修订管理规定

第一章 总则

第一条 为了保证（xx市民政局）等级保护管理体系的持续性、时效性以及适应性，满足单位不断变化的安全管理的需要，明确等级保护管理体系的评审和修订过程中管理职责，特制定本规定。

第二章 评审程序

第二条 （xx市民政局）网络安全等级保护工作小组定期（至少每年一次）开展等级保护管理体系的评审工作，以确保整个等级保护管理体系的充分性、适当性和有效性。

第三条 等级保护管理体系评审内容：

（一） 根据具体工作的性质和安全要求，确定（或复审）等级保护管理体系的范围，建立（复审）等级保护管理体系，包括网络安全策略、标准和程序。

（二） 对等级保护管理体系审核结果进行评审，分析导致不符合项的原因。

（三） 审查审核对象的反馈信息。

（四） 总结已发现的安全事件和漏洞。

（五） 审查现行的安全控制措施和相关技术是否有效。

（六） 复查修订措施的实施状况。

（七） 检查先前管理评审中所定义的措施的实施状况。

（八） 审查改善措施的建议。

（九） 复查业务和法律法规方面的变更。

（一十） 审查可能影响等级保护管理体系的任何变更。

（一十一） 为协调相关网络安全的实施，评审相关资源的充足性。

第四条 评审工作必须至少每年举行一次，发生以下情况时，也需要启动管理评审工作：

（一） 系统业务发生重大变更。

（二） 系统网络安全策略的重大变更。

（三） 目前等级保护管理体系的执行不力。

（四） 系统等级保护管理体系的范围发生变更。

（五） 相关标准法规发布修订版本或有变更。

（六） 评审工作的会议记录均需归档，以保存正式的记录。

第三章 修订程序

第五条 问题的识别及确认，采取修订措施可能由以下原因，包括但不限于：

（一） 来自系统等级保护管理体系的相关工作人员的反馈信息或调查申请。

（二） 网络安全管理评审的会议讨论中发现的问题。

（三） 等级保护管理体系的审核发现的不符合项。

第六条 调查问题的起因：

（一） 由网络安全等级保护工作小组指派专门的人员负责对问题进行分析调查并确认问题的起因。

（二） 调查人员需提供尽可能多的关于整个问题调查的详细结果。作为修订措施报告的一部分，也可以提供一些额外的补充信息。

第七条 执行修订措施：

（一） 基于所调查出的问题起因，需确认并实施相应措施或对事故进行调查研究，负责上述行动的执行者需确保更新任何相关的文件或管理流程。比如：

● 准备制定或更新相关管理程序。

● 培训/通知相关人员知晓。

（二） 执行人员负责跟踪所执行修订措施的效果。一旦发现效果不如预期，其相关负责人需进行评估分析并就进一步的应对措施进行确认。执行人员必须确保所实施的修订措施是可证实和可验证的，并保证修订措施的报告中都有详细说明。

第八条 措施的验证：

（一） 如果验证出所采取的措施是达到预期效果的，则修订措施才算是成功，可以结束跟踪，验证阶段包括以下两个部分：

● 对所规定修订措施的执行程度进行验证。

● 对修订措施的执行效果进行验证。

（二） 措施验证的结果必须中有详细的说明，且对相关记录进行保存。

四、信息安全管理组织架构

第一章 总则

第一条 为加强（xx市民政局）信息安全管理工作的组织协调，建立健全等级保护管理制度和运行机制，切实提高（xx市民政局）信息安全管理工作水平，根据《信息安全等级保护管理办法（xx[2007]43号）》要求，制定本规范

第二章 组织目标

第二条 本实施规则旨在实现信息安全管理的以下目标：

（一） 管理组织内的信息安全工作；

（二） 管理外部组织访问组织内信息处理设施和信息资产的安全。

第三章 信息安全组织架构

第三条 为加强对（xx市民政局）信息安全管理工作的领导，贯彻落实信息安全的要求及安徽省公安厅《关于开展信息安全管理专项检查工作的通知》的有关要求，经研究，决定成立（xx市民政局）网络安全与信息化领导小组（以下简称领导小组）

第四条 成立领导小组，作为信息安全管理工作的最高管理机构，领导小组下设（xx市民政局）系统信息安全管理工作小组。

第五条 领导小组由（xx市民政局）书记担任组长，副书记担任副组长，领导小组主要成员为队伍建设指导科科长及各相关部门安全主管领导。

第六条 信息安全管理工作小组负责（xx市民政局）信息安全管理的具体执行工作。工作小组组长由领导小组指定的队伍建设指导科科长兼任。设置一名副组长负责具体工作，对各部门信息安全技术的实施进行指导与审查。信息安全工作小组成员还包括各部门信息化负责人。

第七条 队伍建设指导科作为信息安全工作的具体执行部门, 各科室主要负责人为本科室信息安全管理工作的第一责任人，并应指定一名信息安全管理员作为信息安全工作联络员，负责本科室内的有关信息安全管理工作。

第四章 组织的信息安全职责描述

第八条 网络安全与信息化领导小组的职责包括：

(一) 根据国家、省、市级网络安全的总体要求，结合（xx市民政局）的实际情况，统一领导（xx市民政局）信息安全管理的相关工作；

(二) 负责协调（xx市民政局）内部管理工作，分配信息安全管理目标、职责，并支持和推动信息安全工作在单位内的实施；

(三) 负责对与信息安全管理有关的重大事项进行决策，包括安全组织机构调整、以及信息安全管理重大策略变更；

(四) 组织审定和发布单位信息安全的发展战略、总体规划、重大政策、管理规范和技术标准；

(五) 评审与监督重大信息安全事故的处理；
 

第九条 信息安全管理工作小组的职责包括：

(一) 直接对领导小组负责，承担信息的具体工作，协助领导小组在信息安全事务上的决策；

(二) 负责信息安全政策的贯彻与落实，并协调各信息安全执行科室以及与第三方机构间有关的信息安全工作；

(三) 负责信息安全管理体系的建立、实施和日常运行，起草信息安全政策，确定信息安全管理标准，督促各信息安全执行部门对于信息安全政策、措施的实施；

(四) 负责对员工的信息安全工作意识教育和安全技能培训；

(五) 负责维护安全事件的记录报告，对发生的每一起安全事件调查和解决方法都记录在案；

(六) 负责定期召开信息安全管理工作会议，定期总结安全事件记录报告，并向信息安全领导小组汇报；

(七) 负责建立各信息安全执行科室、关联上级主管单位与外部安全管理主管机构之间的定期联系和沟通机制；

(八) 落实纠正措施(包括审计整改意见)和预防措施。

第一十条 信息安全工作联络员的职责包括：

(一) 负责单位日常的具体信息安全工作，并参加信息安全工作小组所要求的各项活动；

(二) 负责向信息安全工作小组负责人报告信息安全事件和违反信息安全政策的行为，协助对违反安全政策的行为进行调查；

(三) 协助信息安全工作小组负责人和单位信息安全主管领导落实针对单位的纠正措施(包括审计整改意见)和预防措施。

第一十一条 内部员工的职责包括：

(一) 严格遵守所有与信息安全相关的国家法律、法规和政策，遵守（xx市民政局）所有的信息安全政策；

(二) 积极参加信息安全教育与培训，提高信息安全意识；

(三) 有责任将违反信息安全政策的事件与行为及时报告给单位信息安全联络员及其他相关人员。

第一十二条 人力资源部的职责包括：

(一) 人力资源工作由办公室兼任

(二) 对员工的聘前、聘中及解聘过程中涉及的人员信息安全进行有效管理；

(三) 负责制定和实施与信息安全相关的奖惩措施和安全绩效考核体系；

(四) 组织实施信息安全教育与培训；

(五) 协助调查安全事件。

第一十三条 信息中心的职责包括：

(一) 信息中心的工作由队伍建设指导科兼任

(二) 负责对（xx市民政局）各科室和下属单位的信息安全或某个主题进行定期审计或信息安全专项审计；

(三) 主要以信息安全管理政策及各种标准规范作为审核依据；
在具体的审核过程中，必要时可获得信息安全领导小组的协助与支持；

(四) 负责汇报审计结果，并督促审计整改工作的进行。

五、信息系统安全检查管理规定

第一章 总则

第一条 为了规范（xx市民政局）信息系统网络安全检查工作流程，明确职责，定期、有效地对本单位信息系统进行安全检查，特制定本规定。

第二章 适用范围

第二条 本规定适用于本单位信息系统网络安全检查准备、实施、报告和整改过程，管理对象为安全管理员和信息系统管理人员。

第三章 术语定义

第三条 安全检查：指单位内部或外部机构对网络安全整体执行情况进行的评价活动。安全检查的依据是单位现行的管理制度、信息系统安全体系规范和技术标准、有关法律、法规和标准要求等安全检查包括安全例行检查、安全专项检查等。

第四条 安全例行检查：指按照已制定的检查周期所作的检查。

第五条 安全专项抽查：指根据单位、监管机构或相关部门要求的安全运行状况所作的不定期的抽查。

第四章 组织职责

第六条 安全管理员负责牵头协调组织各信息系统网络安全检查的管理工作，主要包括系统日常运行、系统漏洞和数据备份等情况。

第七条 相关管理员应配合安全检查，如实提供所需要的检查信息，对安全检查所发现的问题制定整改措施、整改计划并实施整改。

第五章 通用要求

第八条 安全检查应当遵循全面、审慎、独立的原则。

第九条 安全管理员应牵头建立检查机制，各信息系统负责人配合制定检查计划，定期开展检查活动。检查计划要根据实际情况及时进行补充和调整。

第一十条 应当以半年为周期对信息系统进行安全检查，检查内容应包括安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况。

第一十一条 可根据实际需要组织专项检查，对于信息系统发生的重大事故和问题，要进行专项检查，对重大事件实施全面的监控和评价。

第一十二条 对于新信息系统，包括设备、主机、应用信息系统上线或安装前必须经过安全检查，检查方式应包括信息系统安全配置，漏洞评估，恶意代码检测，根据检查结果进行整改后方可上线。

第一十三条 必须对检查工具、检查过程信息和检查结果信息的使用和访问采取控制措施加以保护，以防止任何可能的风险。

第六章 安全检查准备

第一十四条 安全管理员应组织相关部门或人员按照半年为周期进行安全例行检查，根据需要组织安全专项检查。

第一十五条 安全检查应按照所规定的检查要点、检查方式、使用规定的检查工具进行检查。

第一十六条 应选择对单位信息系统运行影响最小的方式和时间进行检查。

第一十七条 对生产环境实施安全检查应按照《（xx市民政局）信息系统变更管理规定》所规定的变更流程执行。

第一十八条 实施对生产环境可能造成影响的安全检查后，应协调相关科室或人员对检查结果进行验证。

第一十九条 安全检查可采用抽查的方式进行，抽查的采样量应能确保安全检查结果的准确性、代表性并符合信息系统实际生产情况。

第二十条 检查过程中应做好检查结果的记录工作。

第七章 安全检查报告

第二十一条 检查完成后由安全管理负责组织编写检查报告并提出整改建议（附录一安全检查情况汇总表），提供给相关科室。

第八章 安全检查整改

第二十二条 相关科室应按照检查报告中整改的时间要求，针对检查报告中所提出的问题制定整改实施计划并组织整改。

第二十三条 安全管理员应对整改措施的落实情况进行跟踪，验证整改措施的实施结果是否有效，必要时可进行复查确认。

第二十四条 安全管理员根据检查结果和整改情况进行汇总，形成安全状况通报并提供给相关部门。

第九章 检查工具的使用

第二十五条 在安全检查过程中如果需要使用安全工具，只能使用经过审核过安全检查工具。

第二十六条 安全检查工具只能在检查设备或者被检查科室的设备上运行，并由检查人员负责操作。

第二十七条 在生产信息系统中使用检查工具前，安全管理员要组织进行测试工作，对其可能产生的影响进行评估和论证，必要时安排双人进行操作。

附录一： 安全检查情况汇总表

序号	不符合项	不符合描述	整改建议	负责人/科室
1
2
3
4
5
6
7
8
9
10

附录二： 信息系统安全检查表

检查日期：                        检查人：

日常运行维护管理	内容及要求	检查结果	备注
1. 信息系统日常运维	信息系统操作流程及时更新 用户密码管理是否规范 用户密码是否定期更改 操作日志记录 异常情况记录 异常情况处理 记录数据完整、连续 补丁是否更新 是否安装防病毒软件	□是□否 □是□否 □是□否 □是□否 □是□否 □是□否 □是□否 □是□否 □是□否
服务器运行情况	内容及要求	检查结果	备注
服务器资源情况以及系统访问情况	CPU占用率 内存占用率 存储占用率 系统响应时长（单位：秒）
文档管理	内容及要求	检查结果	备注
1. 应急计划	应急计划为最新，并及时完善、修订，并包含： 1、 外联联系单、应急联系电话、岗位负责人 2、 各类问题的具体应对措施（故障判别、关键设备位置、应急操作步骤等）	□是□否 □是□否
2. 数据备份	备份数据完整、有效 网络设备、安全设备配置文件是否定期备份	□是□否 □是□否
3. 测试报告	每次测试都进行记录，填写报告，定期整理	□是□否
4. 应急演练记录	每次演练都进行记录，填写报告，定期整理	□是□否
5. 信息系统上线流程审批	信息系统上线、软件升级、设置变更等填写审批单	□是□否
6. 技术文档管理	各应用信息系统的技术文档、操作手册是否齐全	□是□否
7. IP地址记录	IP地址记录是否及时更新 （抽查IP地址，每台设备的IP地址表）	□是□否
8. 防病毒措施	病毒库即时更新	□是□否
9. 网络拓扑图	网络拓扑图及时更新	□是□否
安全管理及卫生情况	内容及要求	检查结果	备注
1. 人员备岗	关键岗位有备岗 外部运维人员保密协议	□是□否 □是□否
2. 机房备品备件	机房关键设备、各应用信息系统等是否有备份	□有□无
3. 是否有超年限的机器	中心机房	□有□无
4. 机房管理	应急照明 是否堆放有杂物（纸箱、废弃物等） 机房的监控信息系统清晰、有效 机房网络线路是否清晰，网线颜色是否标准	□有□无 □是□否 □有□无 □是□否
5. 视频监控	视频监控设备清晰、有效	□是□否
6. 门禁信息系统	门禁信息系统功能是否正常	□正常□不正常
7. 防盗报警器	红外防盗报警器功能是否正常	□正常□不正常
8. 机房出入人员登记表	外来人员进出机房登记	□是□否
9. 机房电力供应等	电力切换演习记录 UPS容量、负载情况 电池供电时间 配电房定期检修 空调运行情况（空调供水、排水情况）	□有□无 （             ） （             ） □有□无 □正常□不正常
10. 消防	烟感、温感 消防报警信息系统 定期演练	□正常□不正常 □正常□不正常 □是□否
11. 防雷信息系统	防雷信息系统安装等级 措施完整、有效(防雷接地、防雷保安器)	（             ） □是□否

六、信息安全组织架构与岗位职责

第一章 总则

第一条 为有效实施信息安全管理，保障和实施本单位的信息安全，在单位内部建立信息安全管理组织架构，明确相关责任和岗位职责，特制定本规定。

第二章 信息化领导小组

第二条 为落实国家信息化安全建设方针政策，根据安徽省、xx市相关文件要求，（xx市民政局）成立网络安全和信息化领导小组，并设置相应职能部门或人员负责各级信息系统安全管理工作。具体的信息安全组织架构和岗位设置如下：

组织	人员组成
网络安全和信息化领导小组	组  长： 书记 副组长： 副书记
网络安全和信息化领导小组办公室	主  任：
网络安全和信息化小组成员	安全管理员： 系统管理员：  审计管理员：

（一） 网络安全和信息化领导小组

网络安全和信息化领导小组是（xx市民政局）信息安全工作的最高领导决策机构，负责对本单位的网络和信息安全工作的工作进行整体协调。

（xx市民政局）网络安全和信息化领导小组（以下简称：领导小组）负责组织落实上层决策，领导本单位人员落实具体的网络安全和信息化相关工作。主要工作职责如下：

1）、领导小组负责领导落实国家、安徽省、xx市三个层面提出的安全建设的总体规划，制定本单位的总体规划；

2）、在国家、安徽省、xx市三个层面信息安全总体方针的指导下，组织制定本单位信息系统安全策略并审批上报的信息系统安全策略；

3）、负责组织细化上级规章制度，制定相应程序指南，并监督落实规章制度；

4）、负责本单位信息系统安全管理层以上的人员权限授予工作；

5）、负责审阅信息安全工作报告；
负责本单位重大安全事故查处与汇报工作。

（二） 网络安全和信息化领导小组办公室

领导小组下设领导小组办公室（以下简称：办公室），办公室成员由本单位各科室负责信息的人员组成，（xx市民政局）队伍建设科科长担任办公室主任，具体负责网络安全和信息化的任务制定和落实工作。具体工作职责如下：

1）、承办领导小组的日常事务，负责组织制定和实施信息安全策略和管理制度。

2）、负责组织制定和实施信息安全技术方案。

3）、负责组织实施信息安全运行监控与审计。

4）、负责组织进行信息安全教育培训。

5）、负责组织制度落实情况检查及责任追究和奖励工作。

6）、负责组织信息安全档案的建立与管理。

（三） 网络安全和信息化小组成员

信息安全管理执行组负责信息系统建设和运行维护过程中信息安全管理的具体执行工作，具体包含的岗位和职责的描述如下。

■ 安全管理员

1）、负责组织建立、实施和维护信息安全策略、标准、规章制度和各项操作流程。

2）、负责对安全产品购置提供建议，负责组织制定各种安全产品策略与配置规则，负责跟踪安全产品投产后的使用情况；

3）、负责指导并监督系统管理员及普通用户与安全相关的工作；

4）、负责组织信息系统的安全风险评估工作，并定期进行系统漏洞扫描，形成安全评估报告；

5）、根据本机构的信息安全需求，定期提出本机构的信息安全改进意见，并上报信息安全管理部门主管；

6）、定期查看信息安全站点的安全公告，跟踪和研究各种信息安全漏洞和攻击手段，在发现可能影响信息安全的安全漏洞和攻击手段时，及时做出相应的对策，通知并指导系统管理员进行安全防范；

7）、负责组织审议各种安全方案、安全审计报告、应急计划以及整体安全管理制度；

8）、负责参与安全事故调查。

■ 系统管理员

1）、负责主机操作系统的安全配置（包括及时修补系统漏洞）和日常审计，系统应用软件的安装，从系统层面实现对用户与资源的访问控制；

2）、负责应用系统的日常安全检查和日常维护，联系应用软件开发厂家；

3）、协助安全管理员制定主机操作系统的安全配置规则，并落实执行；

4）、负责主机设备的日常管理与维护，保持系统处于良好的运行状态；

5）、为安全审计员提供完整、准确的主机系统运行活动的日志记录；

6）、在主机系统异常或故障发生时，详细记载发生异常时的现象、时间和处理方式，并及时上报；

7）、编制主机设备的维修、报损、报废计划，报主管领导审核；

■ 安全审计员

1）、负责定期对主机系统、网络产品、应用系统的日志文件进行分析审计，发现问题及时上报；

2）、负责对信息安全保障管理活动进行独立的监督，提供内部独立的审计和评估工作，并根据需要可以协同外部审计评估机构进行评估和认证，为决策领导提供信息系统和信息安全保障执行状况的客观评价。

七、人员管理制度

第一章 总则

第一条 本规范目标在于建立人员管理制度，用于规范对人员管理过程的安全控制。

第二章 术语定义

第二条 本单位人员是指单位正式人员，包括试用期人员和借调人员等。

第三章 组织职责

第三条 办公室兼任本单位的人力资源部门（以下均称人力资源部门），负责本单位工作人员入职，在岗，离岗等过程涉及的信息安全管理。

第四章 入职管理

第四条 人力资源部门确保人员在任用前，在适当的岗位描述、任用条款和条件中明确说明其应履行的信息安全职责，确保其人员理解其信息安全职责，确保人员承担的角色符合单位的信息安全要求。

第五条 人力资源部门要对任用的工作人员、候选人员进行充分的审查，特别是对于关键岗位、关键职务人员，以及其他会大量接触敏感信息的人员。

第六条 人员筛选

(一) 人力资源部门负责组织对单位各个职位的候选人员进行筛选、对候选人员涉及信息安全方面的资料核实和背景调查。

(二) 对工作人员的背景调查应在申请职位时进行。调查包括以下内容：

1、 是否有适当的推荐人，申请人的工作能力和个人职业道德情况；

2、 监管部门要求；

3、 其它需要调查的内容。

(一) 各科室负责人可根据本科室对上岗工作人员的特殊要求，提出必要的附加调查内容，并反馈给人力资源部，以便选出合适的人员。

第七条 出于背景调查目的收集、处理被调查人员信息时，应在不违反相关的法律法规的前提下进行。

第五章 在岗管理

第八条 工作人员需申请使用单位网络访问权限或应用系统帐号，必须通过相关科室审批通过后，才能授予工作所需的最小权限。

第九条 工作人员工作岗位发生变化时，必须通过相关科室审批，对其访问权限进行相应的调整。

第一十条 人力资源部门应当对单位的所有工作人员进行与其工作职能相关的信息安全意识培训和教育。

第六章 纪律处理过程

第一十一条 对违反纪律的人员做如下处理：

(一) 对于信息安全违规的人员，在正式纪律处理之前应有一个信息安全违规的确认；

(二) 正式的纪律处理过程应确保正确、公平、公正地对待被怀疑信息安全违规的工作人员；

(三) 对内部工作人员的具体纪律处理执行部门行政处罚管理规定。

第七章 调动管理

第一十二条 人员调动由调入科室提出调动申请，经调出科室负责人、相关领导和人力资源部批准后，发起人员转岗流程。

第一十三条 转岗人员在科室负责人的监督下完成工作交接和工作资料交接，包括个人办公电脑中业务资料的交接工作。

第一十四条 调岗人员岗位变动后的系统使用权限依照相关规定进行申请。

第一十五条 由人力资源部门负责流程抄送相关业务科室，由其协调所在科室完成对新入人员使用业务系统的调整审批工作，由人力资源部门完成具体的权限调整操作。

第一十六条 转岗人员在完成工作交接后，如果新工作不需要使用到原工作中的业务资料，其个人办公电脑硬盘由人力资源部门负责进行数据清除，清除方式包括格式化或使用专用工具进行安全擦除。如果新工作需要使用到原工作中的业务资料，其个人办公电脑硬盘可以不进行数据清除工作。

第一十七条 如果人员转岗限在单位范围内，人力资源部门负责为转岗人员办理办公电脑和其他办公用品的变动手续；
如果是人员在机构间调动，由人力资源部门为其办理办公电脑和其他办公用品的回收手续。

第一十八条 如果是人员在机构间调动，财务部负责转岗人员的财务欠款追缴或未报销帐目报销工作。

第八章 离岗管理

第一十九条 任用变更与终止职责

(一) 应清晰的定义和分配工作人员任用变更或任用终止的职责。

(二) 变更或终止的传达应包括安全要求和法律职责，必要时还应包括任何保密协议规定的职责，并且在工作人员任用结束后持续一段时间仍然有效的任用条款和任用合同等。

(二) 必要时，在工作人员的合同中应包含相关职责和义务在任用终止后仍然有效的内容，如保密方面的要求。

(三) 内部工作人员的任用变更或终止由所在科室、人力资源部等负责处理。

第二十条 资产归还

(一) 所有的工作人员在终止任用合同或协议时，应归还其使用的所有单位资产。需要交接的信息资产包括计算机设备、工作证、纸质文件资料和存储于电子介质中的文档、数据等。转岗或离岗人员办公电脑中的数据由其所在科室决定如何处置，归还后的办公电脑操作系统盘由人力资源部门或相关科室安全管理员进行格式化。 

(二) 当工作人员在单位工作期间，利用单位信息资产产生信息及其知识产权，除另有约定外，属于单位所有。

第二十一条 变更、撤销访问权限

(一) 所有工作人员对信息和信息处理设施的访问权限应在岗位发生变更时进行调整或在任用终止时注销或删除。

(二) 应注销或删除或改变访问权的内容包括物理访问授权、逻辑访问授权。必要时，在对信息和信息处理设施的访问权限进行变更或终止前需要进行风险评估。

八、网络安全培训和考核管理规定

第一章 总则

第一条 为了提高单位员工网络安全意识和相关人员的安全技能，向单位工作人员宣讲网络安全管理的各项法规制度，将可能的风险降到最低，明确网络安全培训与考核管理过程与职责，特制定本规定。

第二章 组织职责

第二条 网络安全培训与考核工作由队伍建设科负责组织、筹备，须遵循相关的培训制度。

第三条 安全管理员负责具体落实具体的培训与考核内容、培训与考核形式、登记汇总以及相关事宜。

第三章 安全培训管理程序

第四条 安全培训主要包括安全意识培训和安全技能培训。

（一）、安全意识培训会因不同的对象有所调整，建议积极参与，在某些情况下可以要求有关的第三方机构组织参加。培训的内容可以包括：

● 对部门工作人员进行必要的网络安全教育培训，让其了解和掌握网络安全法律法规，加强安全意识。

● 在单位组织举办一年一次的业务学习班。由专业人员进行业务培训。

● 根据单位业务发展需要，对相关业务骨干人员组织精准送培，到相关业务单位进修。

● 为强化在岗培训效果，单位定期组织多种形式的培训考核。

（二）、安全技术培训主要是针对信息处理设备使用者或管理人员进行的，如系统安全配置，开发安全配置等IT安全技术相关内容。

第五条 培训类型可采用内部培训或外部培训（聘请外部专家），由专家顾问以及其他专业人员对员工进行培训，网络安全培训应由安全管理员进行汇总登记。

第六条 安全培训的工作安排：

（一）、安全意识培训

● 安全意识培训工作应当由队伍建设科负责组织和准备，在其他部门的配合下开展。

● 单位工作人员应该积极参加关于网络安全方面的培训。

● 新进工作人员应当在入职后3个月内参加网络安全培训。

● 关键/敏感岗位的人员的变动应当开展相关的岗位培训。

● 对网络安全政策、制度、标准的重大调整、更新必须组织相关培训，保证所有人员及时了解、掌握变更内容。

● 用户在使用任何信息技术设施前（包括软件和硬件），必须接受完整的培训，特别是应当包括单位各项使用规定。

（二）、安全技术培训

● 队伍建设科负责组织培训工作，安全技能培训的教材、课程应当由安全管理员负责，保证所有需要参加培训的人员都能及时的参加必要的安全技能培训。

● 当系统的新建、升级对用户使用产生影响时，必须事先开展必要的针对用户的培训，及时掌握最新的安全技术。

第五章 安全考核管理程序

第七条 网络安全考核至少一年进行一次全面的网络安全考核，由队伍建设科负责组织相关人员成立考核小组进行网络安全考核工作。

第八条 由安全管理员制定关键网络安全关键岗位考核内容，考核内容应包括安全管理制度落实情况、安全培训情况以及安全技能相关内容。

第九条 网络安全关键岗位考核内容应根据不同岗位进行区分。

---

九、第三方机构安全管理规定

第一章 总则

第一条 为了加强对第三方机构的安全管理，明确定义第三方机构必须遵守的安全管理规定以及服务交付的安全要求等，特制定本文件。

第二章 术语定义

第二条 第三方机构是指所有进入本单位内部提供相关技术服务的非本单位人员（包括但不限于供应商、合作厂商、服务商）。

第三条 第三方机构人员分为临时来访人员和驻场外包人员。临时来访的第三方机构人员是指来本单位时间周期较短的人员，包括进行业务交流的人员，临时来访参观的人员等；
驻场外包的第三方机构人员是指来访时间较长的第三方机构技术服务人员，包括项目建设人员，外来信息系统值守人员，外来信息系统维护人员等。

第三章 组织职责

第四条 办公室及相关业务科室负具有对第三方机构及人员的管理职责，采用“谁接洽、谁负责，谁主管、谁负责”的原则。

第五章 驻场外包人员安全管理要求

第五条 驻场工作的外包人员应遵守单位各项管理制度和外包合同中约定的各种条款。

第六条 驻场工作的外包人员应与单位签署保密协议。

第七条 对于单位驻场外包工作人员的各种资质，应由相应项目的单位方项目经理进行审核，并留存复印件进行统一保管。

第八条 聘请外包人员的单位或部门应对驻场工作的外包人员进行单位相关安全制度等方面的培训，以提高外包人员的安全意识。

第九条 对于长期驻场工作的外包人员，聘请外包人员的单位或部门应定期进行安全意识和单位安全制度执行情况方面的考核。对于考核不合格者，应要求委托外包单位调换工作人员。

第一十条 驻场外包工作人员由相应项目的单位项目经理负责安排工位、资产领用、申请相应账号及权限、申请网络访问配置信息。

第一十一条 驻场为外包人员申请账号和权限时，应符合最小权限及实名制原则。

第一十二条 驻场外包人员在驻场办公时，必须佩戴能够标识外包人员身份的正式或临时工牌，以便安全巡查时能够对各种人员快速识别。

第一十三条 驻场外包人员在访问机房等受限访问的区域时，应遵守单位《xx市数据资源管理局中心机房管理办法》、《（xx市民政局）机房管理办法》和《（xx市民政局）工作环境管理规定》的有关规定，向机房管理人员提出申请并经批准后，由单位员工全程陪同方可进入受限访问区域, 驻场外包人员进入办公区域应进行登记。

第一十四条 驻场外包人员不得利用单位的网络、服务器等资源从事未经允许的活动。不得在单位内部未授权使用网络扫描、刺探等软件。不得在未经批准的情况下利用单位办公、生产环境测试新技术、新业务。

第一十五条 违反以上条款规定的，单位会做出调换驻场外包人员、追究民事及刑事责任等处罚措施。

第六章 临时来访人员安全管理要求

第一十六条 单位临时来访人员应在前台或保安室进行来访事由、来访人、访问对象等内容的登记，并等待访问对象接待。登记时，来访人应出示身份证明材料。

第一十七条 临时来访人员在访问单位机房等受限访问区域时，应遵守单位《xx市数据资源管理局中心机房管理办法》、《（xx市民政局）机房管理办法》的有关规定，向机房管理人员提出申请并经批准后，由单位员工全程陪同方可进入。

第一十八条 临时来访人员自带电子设备未经授权禁止接入单位网络和信息系统。

第一十九条 临时来访人员与驻场外包人员为同一个单位的，未经单位许可，禁止在外包人员的引领下进入单位任何区域。

第七章 外包服务质量考核与评价

第二十条 单位外包项目经理应采取日常考核和定期考核相结合的方式，对外部人员的日常考勤、工作成果、服务质量等方面进行评价。

第二十一条 当单位外包项目经理通过外包质量考核发现提供的外包服务有偏差时，应书面通知提供外包服务方的项目经理及时进行调整和改进。

第八章 外包人员离场安全要求

第二十二条 外包人员在外包合同到期、被单位提出调离或替换和个人原因离职等情况下应当离场。

第二十三条 外包人员离场时要有完整的工作交接清单及接收人签字证明材料。

第二十四条 外包人员离场前，要归还领用的单位资产。

第二十五条 外包人员离场后，聘请外包人员的单位或部门应按照单位有关流程，及时删除外包人员的账户和权限等。

第二十六条 外包人员需对保密协议承诺中持续生效的条款，继续履行保密义务。

---

十、计算机及网络保密规定

第一条 为加强本单位计算机及网络保密工作，根据中央、省委、市委保密委员会有关规定和要求，制定本规定。

第二条 单位成立保密工作领导小组，负责指导、检查和督促本单位计算机及网络保密工作，单位网络安全与信息化工作领导小组协助工作。

第三条 要加大宣传、加强培训，不断增强单位工作人员计算机及网络安全保密意识。

第四条 确定单位档案室计算机为涉密计算机，由办公室具体管理，处理有关涉密信息。其他计算机(含笔记本电脑)均不得处理涉密信息。

第五条 单位涉密计算机只连接党政内网,严禁与公共信息网连接，实行登录身份认证，建立使用台帐。

第六条 单位用于政务网上公文交换计算机由办公室专人管理，有关用户名、口令及联网方式、技术要严格保密，不得对外提供。

第七条 涉密信息应在涉密计算机中存储和处理，禁止通过公共信息网传递。必要时，可在涉密移动存储介质中暂时存储，但处理完毕必须清除信息。除需存档和必须保留的副本外，在处理过程中产生的样品、纸张等必须销毁。

第八条 涉密信息存储介质由专人严格保管,不得在涉密计算机与连接公共信息网计算机之间交叉使用。使用存储介质应登记，确需外出携带需经单位保密工作领导小组批准。

第九条 单位人员因工作需要查阅有关涉密信息，经单位保密工作领导小组批准后，由单位专职保密员在涉密计算机上操作进行。

第一十条 不得利用计算机在公共信息网上发布内部消息、泄露国家机密，不得制作、查阅、复制和传播有碍社会治安和不健康的信息。

第一十一条 对单位涉密计算机及公文交换计算机系统要经常检查，发现隐患及时报告和处理。

第一十二条 单位涉密计算机的维修、更换、报废，经单位保密工作领导小组批准后，在单位专职保密员监督下进行。

第一十三条 计算机设备应安装防病毒工具，具有漏洞扫描和入侵防护措施，并进行实时监控，定期检测和杀毒，确保计算机安全、正常运行。

第一十四条 单位涉密打印机专供单位接收文电和复印、打印有关涉密资料使用，由办公室专人管理和操作。

第一十五条 单位各科室每季度自查一次计算机及网络保密情况，单位保密工作领导小组每半年对单位计算机及网络保密情况进行一次检查，并通报检查结果。

十一、信息系统测试管理办法

第一章 总则

第一条 为规范单位业务支撑系统及管理支撑系统（以下统称“业务系统”）上线前的测试流程及上线后的版本升级测试流程，保障业务系统的安全、稳定运行，特制定本办法。

第二条 业务系统上线运行及后续补丁版本升级，都必须经过严格的系统测试，严禁未经测试的系统或补丁版本直接上线运行,系统测试通过后方可进入系统验收环节。

第三条 本办法用于规范新业务系统上线、常规版本升级前的测试工作，涉及的范围涵盖功能测试、性能测试、可靠性测试、可维护性测试和安全测试。

第四条 业务科室组织项目相关方（项目需求部门、项目开发单位、系统使用人员、第三方测试人员）组成系统测试组，负责系统测试的各项工作（以下统称“测试组”）。

第二章 测试组工作职责

第五条 严格按软件系统测试流程完成需求申请、测试执行、总结评估等各项测试活动。

第六条 负责检查以下测试准入条件，满足条件后才允许启动测试：

(一) 项目开发单位提交测试的版本必须基线化，测试过程中不得随意更改；

(二) 项目开发单位提交的文档应归档管理，包括开发单位的系统测试报告、系统需求设计文档、版本描述文档、用户手册、系统安装升级手册、联机帮助、缺陷列表等；

(三) 项目开发单位提交的系统功能列表须与业务需求部门的原始需求一致；

(四) 项目开发单位提交的遗留缺陷列表中，无导致系统宕机等致命缺陷，基本业务和新增功能无严重缺陷。

第七条 如遇以下测试终止条件，测试组应暂停或终止测试活动：

(一) 版本初验测试（含基本功能验证测试和缺陷回归测试）未通过；

(二) 发现严重缺陷，阻塞后续大量用例无法测试；

(三) 项目需求出现重大变更；

(四) 测试人力出现较大变更。

第八条 负责检查以下测试出口条件，符合条件后才能结束测试：

(一) 用例执行覆盖率达到100％；
多轮测试后缺陷数明显收敛，系统功能符合需求说明书中规定的需求；

(二) 系统无致命问题，经评审发现的问题总数、严重问题个数符合可接受范围；

(三) 上一版本承诺解决的致命、严重、紧急问题均通过回归测试；

(四) 系统测试报告（或验收测试报告）已通过业务系统项目组审核。

第九条 测试过程中如遇以下争议情况，测试组应申请召开争议评定会议，邀请相关人员（测试人员、业务需求部门、项目开发单位、系统使用人员）参加：

(一) 测试发现的缺陷是否符合可接受范围，是否允许测试通过；

(二) 回归测试未通过的缺陷是否允许暂不解决；

(三) 测试版本被打回时，需召开会议审议；

(四) 紧急情况下未符合测试准入条件的版本，是否允许测试；

(五) 紧急版本为缩短上线测试时间，是否允许裁剪测试流程，是否允许适当降低测试出口标准（紧急版本上线后仍需按标准流程进行补充测试，补齐测试交付件）；

(六) 对缺陷的认定有争议（含缺陷严重级别、缺陷承诺解决时间）；

(七) 对系统的功能实现及原始需求有争议；

(八) 变更已归档或发布的文件。

第一十条 测试组在整个测试周期应进行严格的配置管理

(一) 创建独立的测试管理配置库，有配置管理员负责测试过程文档、阶段性文档的更新和发布；

(二) 转测试的版本、补丁和文档应在配置库上基线化，配置管理员按标准制定项目版本号；

(三) 各阶段的过程文件应在配置库上留痕和发布；

(四) 已归档或发布的文件，需通过评估会议仲裁后，才能变更。

第三章 新业务系统上线测试管理办法

第一十一条 前期工作

(一) 测试人员应在需求分析阶段，了解原始业务需求，提出系统可维护性、可测性需求；
在需求功能明确后，启动测试设计活动；

(二) 业务系统项目组应在启动测试设计活动前二周提交测试申请，测试组按《信息系统测试流程》要求，准备测试环境、编写测试计划，审批通过后启动测试活动；

(三) 若有自动化测试需求，业务系统项目组应在启动测试设计前三周提交自动化测试申请，测试组先对系统进行自动化可行性分析，再按《信息系统测试流程》要求，启动自动化用例设计工作；

(四) 测试组预估测试工作量，提前安排测试执行时间，应至少规划1个月时间，安排两轮系统测试、一轮回归测试。

第一十二条 测试范围

(一) 新系统应重点考虑功能、性能、可靠性测试；

(二) 运行在不同操作系统、硬件设备上的系统，需考虑兼容性测试；

(三) 有大量终端客户使用的系统，需考虑系统易用性和可维护性测试。

第一十三条 测试方法

(一) 新业务系统测试以黑盒测试为主；
有前台界面的系统以自动化测试为主，采取手工与自动化相结合的方式；

(二) 新业务系统通过系统测试后，必须组织系统使用部门、业务需求部门共同完成正式的验收测试；

(三) 有大量终端客户使用的新系统，全面上线前还应安排β测试。在实际使用场所部署新系统，选取一批典型客户试用一段时间，试用期间客户发现的缺陷、提出的意见妥善处理和解决后方可上线。

第四章 常规版本升级测试管理办法

第一十四条 前期工作

(一) 仅修复缺陷的补丁版本，应在启动测试活动前一周提交测试申请，安排1至2轮回归测试；

(二) 重大功能升级测试，业务系统项目组应在启动测试前活动前二周提交测试申请，测试组按《信息系统测试流程》要求，准备测试环境、编写测试计划；

(三) 重大功能升级版本及原有测试用例覆盖不全的系统，应至少规划一个月的测试设计时间，安排两轮系统测试、一轮回归测试。

第一十五条 测试范围

(一) 重大功能升级测试以功能测试为主,若新增性能指标或系统架构较大变更，还需重点考虑性能、稳定性测试；

(二) 补丁版本升级测试以版本初验测试和回归测试为主，版本初验测试重点针对系统的基本业务进行功能测试；
回归测试重点验证修复的缺陷，并对缺陷相关联的业务进行功能测试。

第一十六条 测试方法

(一) 常规版本升级测试以黑盒测试为主；
功能测试优先考虑自动化方式，问题回归及不适合自动化测试的系统采取手工方式；

(二) 拥有大量终端客户的系统，若业务功能或终端界面有较大变化，在系统测试通过后还需安排β测试。β测试期间客户发现的缺陷、提出的意见妥善处理和解决后方可上线。

---

十二、信息安全建设管理规定

第一章 总则

第一条 为了规范信息安全管理，提高信息安全保障能力和水平，维护信息系统安全运行，保障和促进信息化建设，根据《信息安全等级保护管理办法(xx[2007]43号)》，特制定本规定。

第二章 适用范围

第二条 本规定适用于单位信息安全保护建设全生命周期，管理对象为信息安全建设过程中所有管理人员、维护人员、使用人员以及第三方服务机构。

第三章 组织职责

第三条 单位在网络安全与信息化领导小组下设立信息安全领导小组，负责信息安全管理工作的监督、检查、指导并协调各个科室之间的协同工作，支持和推动信息安全管理工作在整个单位范围内的实施。

第四条 信息安全管理工作小组在信息安全领导小组的指导下负责落实信息安全管理工作的监督、检查、指导信息安全管理工作。 

第五条 安全管理员负责协调组织单位信息安全管理建设工作，包括系统定级、方案设计、等级备案、等级测评等工作。

第六条 单位相关科室或人员协助配合安全管理员进行信息安全建设工作。

第四章 系统定级

第七条 信息系统定级坚持自主定级、自主保护的原则。信息系统的安全管理应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。

第八条 信息系统的安全保护等级分为以下五级：

■ 第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

■ 第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

■ 第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

■ 第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

■ 第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

第九条 由安全管理员根据《GB/T 22240-2019信息安全等级保护定级指南》中信息安全保护定级因素对系统进行定级。

第一十条 安全管理员制订信息系统定级报告，并组织相关科室和有关安全技术专家对信息系统定级结果的合理性和正确性进行评审，形成评审意见。

第一十一条 评审通过的定级报告报送上级主管部门进行审批，同时将相关材料报送公安机关网安部门进行备案，换取备案证明。

第五章 安全检查报告

第一十二条 安全方案设计阶段的目标是根据信息系统的划分情况、信息系统的定级情况、信息系统承载业务情况，通过分析明确信息系统安全需求，设计合理的、满足信息安全要求的总体方案，并制定出安全实施计划，以指导后续的信息系统安全建设工程实施。对于已运行的信息系统，需求分析应当首先分析判断信息系统的安全保护现状与信息安全要求之间的差距。

第一十三条 安全管理员协调相关部门或人员对信息系统的安全建设进行总体规划，制定近期和远期的安全建设工作计划。

第一十四条 安全管理员协调相关部门或人员根据信息系统的等级划分情况，统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案。

第一十五条 网络安全与信息化领导小组负责组织相关部门和有关安全技术专家对系统安全设计方案进行评审和论证（附录一、系统安全设计方案评审表）。

第一十六条 根据等级测评、安全评估的结果由安全管理员协调相关人员定期调整和修订总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件。

第六章 系统建设

第一十七条 产品采购和使用应按照国家相关部门要求和单位相关管理制度进行产品采购。

第一十八条 对于自行、外包软件开发以及项目工程实施过程应按照《xx市数据资源管理局软件开发管理规范》相关要求进行管理。

第一十九条 系统建设完成后可委托公正的第三方测试单位对系统进行安全性测试，并出具安全性测试报告；
根据设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，对不符合信息安全要求的及时进行整改，并形成测试验收报告。

第二十条 安全管理员负责对第三方测试单位进行管理，并按照《（xx市民政局）第三方机构安全管理规定》对第三方人员行为准则进行严格管理。

第二十一条 安全管理员组织相关部门和相关人员对系统测试验收报告进行审定，并签字确认《附录二、系统测试验收报告评审表》。

第七章 系统备案

第二十二条 根据xx2007（43）号文要求，已运行的第二级以上信息系统，应当在信息安全保护等级确定后30日内，由安全管理员到所在地区的市级以上公安机关办理备案手续。

第二十三条 新建第二级以上信息系统，应当在投入运行后30日内，由安全管理员到所在地区的市级以上公安机关办理备案手续。

第二十四条 办理信息系统安全保护等级备案手续时，应当填写《信息系统安全等级保护备案表》，第三级以上信息系统应当同时提供以下材料：

■ 系统拓扑结构及说明

■ 系统安全组织机构和管理制度；

■ 系统安全保护设施设计实施方案或者改建实施方案；

■ 系统使用的信息安全产品清单及其认证、销售许可证明；

■ 测评后符合系统安全保护等级的技术检测评估报告；

■ 信息系统安全保护等级专家评审意见；

■ 主管部门审核批准信息系统安全保护等级的意见。 安全检查工具只能在检查设备或者被检查部门的设备上运行，并由检查人员负责操作。

第八章 系统测评

第二十五条 邀请具有等级保护测评资质证书的第三方机构对本单位系统进行等级保护测评，等级保护测评机构应具备如下条件：

■ 在中华人民共和国境内注册成立（港澳台地区除外）；

■ 由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）；

■ 在《中国网络安全等级保护网》推荐目录中能查询到，且从事相关等保测评工作两年以上，无违法记录；

■ 工作人员仅限于中国公民；

■ 法人及主要业务、技术人员无犯罪记录；

■ 使用的技术装备、设施应当符合本办法对信息安全产品的要求；

■ 对国家安全、社会秩序、公共利益不构成威胁。

第二十六条 安全管理员负责对测评机构等级测评过程按照单位相关规定进行管理，负责对测评人员安全保密进行要求，必要时与其签订安全保密责任书，规定应当履行的安全保密义务和承担的法律责任，并负责检查落实。

第二十七条 在系统运行过程中，定期进行等级测评，三级及以上系统至少每年对系统进行一次等级测评，发现不符合相应等级保护标准要求的及时整改。

第二十八条 在系统发生变更时及时对系统进行等级测评，发现级别发生变化的及时调整级别并进行安全改造，发现不符合相应等级保护标准要求的及时整改。

第九章 系统终止

第二十九条 信息系统被转移、终止或废弃时，由安全管理员组织系统相关管理人员提出系统终止申请（附录三、系统转移、终止或废弃申请表），由单位信息安全领导小组（“保密委”）进行审批，方可执行系统转移、终止或废弃。

第三十条 审批通过后由安全管理对系统所属软、硬件和介质等敏感信息按照相关规定进行处理。

---

附录一、系统安全设计方案评审表

日期：      年    月    日

方案名称
参与人员
方案描述
专家意见

附录二、系统测试验收评审表

日期：      年    月    日

测试报告名称
评审人员
交付物
报告内容(须提交测试报告做为附件)：
评审意见：                                                           评审人员：                                                           日期：

附录三、系统转移、终止或废弃申请表

日期：      年    月    日        

系统名称：
系统申请调整状态（转移、终止或废弃）：
提出部门：	提出人：
转移、终止或废弃原因说明：
系统所属科室意见：   （ 签章 ）             年   月   日
信息安全小组领导意见： 组长签字：           年   月   日

十三、项目管理规定

第一章 总则

第一条 为提项目管理能力，保障信息系统项目建设，推动业务发展，促进信息系统项目管理工作规范化，特制定本规定。

第二章 适用范围

第二条 本规定适用范围包括项目的立项、启动、计划、实施、监控、收尾等管理过程。

第三章 职责与权限

第三条 办公室是信息系统项目的主管部门，负责信息系统项目管理工作，并参与各科室的项目建设管理。

第四条 各业务科室对接具体的项目，负责具体的项目各阶段工作。其主要职责包括：

（一） 负责信息系统需求实施可行性分析与评估，组织项目实施方案并要求工程实施单位能正式地执行安全工程过程。

（二） 负责牵头项目立项工作，负责进行项目报批或报备工作。

（三） 负责项目实施任务的技术组织、落实与管理工作。

（四） 制定项目所建信息系统上线工作方案，部署上线投产和推广工作。

（五） 负责项目监控，定期编制项目报告。

（六） 负责技术验收和项目相关文档的管理，报办公室存档

第四章 项目立项

第五条 项目立项阶段相关工作一般包括但不限于；

（一） 需求科室经前期准备，确定需求目标和范围，编写需求说明书，明确需求的必要性、合规性、重要性、可行性等，并向信息部门领导提交。

（二） 业务科室发起，组织办公室、审计部门、财务部门、技术专家等对项目需求进行评估。

（三） 拟定项目实施初步方案，包括制定项目计划，编制项目预算表，识别潜在的风险。

（四） 确定项目前期的技术和业务联系人。

（五） 办公室会同业务主管科室，准备项目申报材料，由办公室完成项目报批或报备流程。

报批或报备材料一般包括但不限于：

◆ 项目立项申请表

◆ 项目实施方案（包括项目计划、项目组织架构及资源使用情况等）

◆ 需求说明书

◆ 技术方案

◆ 预算编制表

◆ 其他与项目有关文档，如项目分析报告（可行性、必要性分析）、项目涉及的业务规定、项目审批意见、与该项目相关的前项目总结报告、重要会议纪要等。

■ 项目需求科室发起项目预算申请。

第五章 项目计划

第六条 项目计划阶段相关工作包括但不限于：

（一） 细化项目实施方案，包括细化项目范围说明书，制定具体的项目进度计划、资源配置计划、重要里程碑等。

（二） 细化技术实施方案。

（三） 编写项目管理计划书。

第六章 项目实施

第七条 项目实施阶段相关工作包括但不限于：

(一) 落实项目计划实施，完成项目所涉及信息系统的设计、开发、测试、设备上线 、系统投产和维护工作。

(二) 管理项目进程，作好项目实施过程中信息的发布与报告。

(三) 需求部门应积极配合项目实施工作，包括业务需求解释、业务问题协调，需求变更审核、用户验收测试，确认项目的实施结果及上线方案等工作。

第七章 项目监控

第八条 项目监控是对项目计划所确定的范围、时间、费用、资源、质量和风险等目标进行监测，识别并纠正问题和偏差，控制出现的变更，从而使项目按计划推进。

第九条 项目监控过程中，项目组应及时识别风险，跟踪已识别的信息系统项目风险，检测剩余风险，配合风险管理等工作开展。

第一十条 项目组须及时收集项目的信息，按月编制项目报告，向办公室汇报项目状态、进展。项目报告中须包括该周期项目完成工作、下一周期项目计划、项目里程碑完成情况及项目重大问题列表等。

第八章 项目收尾

第一十一条 项目收尾包括与结束项目相关的所有活动。一般包括项目费用决算、项目后评估、项目文档整理归档、项目关闭等工作。

第一十二条 项目完工后，项目相关文档应整理归档并妥善保存。项目文档包括但不限于：

(一) 项目立项申请文档，如业务需求文档、项目实施方案、项目预算编制表、项目分析报告、项目涉及的业务管理规定或规定等。

(二) 项目商务文档，如询价文档、招投标文档、合同等。

(三) 项目实施文档，如概要设计、详细设计、技术方案、操作手册、测试文档等。

(四) 项目管理文档，包括项目评估报告、会议纪要等。

第一十三条 当项目相关活动均结束后，项目组编制项目总结报告，进行项目关闭。项目关闭须经业务科室、办公室确认。

十四、工作环境管理规定

第一章 总则

第一条 为加强单位办公区域的安全管理，保护内部机密信息，确保单位信息资产安全，规范员工和“第三方机构”人员在单位办公区域的行为，特制定本规定。

第二章 适用范围

第二条 本规定适用于（xx市民政局）各科室员工和第三方机构人员。

第三章 术语定义

第三条 办公区域是指单位内部员工日常办公工作所处的工作区域。

第四章 办公区域访问控制

第四条 应在工作环境内划定重要办公区域，对重要办公区域的访问应严格限制，未经许可，员工不得擅自进入严格限制的办公区域，如设备室和存储介质室等。

第五条 未经许可和授权，任何人员禁止将办公区域的计算机、笔记本、硬盘、存储介质以及移动介质带离单位。

第六条 在员工离职时，收回所有员工使用的技术资料和存储介质，以及其他访问权（例如工卡、办公室钥匙等）。

第七条 接待人员应自觉保守秘密，不得向“第三方”人员透露业务范围之外的技术、商务情况，不随意承诺不在授权范围之外行事，已经承诺和双方达成意向的事宜应当作正式记录。

第八条 第三方机构人员进入单位的办公区域应遵照《（xx市民政局）第三方机构安全管理规定》中的相应规定。

第五章 办公环境安全

第九条 员工在下班后桌面上不能有密级纸件文档、磁介质等。下班前，应关闭个人使用设备的电源，并对办公室内公用设备进行检查。员工离开座位超过30分钟，桌面上不能有密级相关文档。

第一十条 密级文档应放在抽屉或保密柜内，或交资料室统一保存。存放机密文件的保密柜必须上锁或设置密码，由专人统一管理。

第一十一条 有单独办公室的员工，在离开办公室时必须锁门。

第一十二条 当办公室无其他员工时，离开时必须锁门。

第一十三条 妥善保管好单位和个人的贵重物品和仪器，下班后贵重物品和仪器必须存放在保密柜内。保险柜必须上锁或设置密码。

第一十四条 员工调离部门或更换办公室时，必须立即交还办公室钥匙以及相关公用设备。

第一十五条 维护人员进入办公区域进行设备维修时，应事先和相关部门取得联系，在维修的过程中应有专人进行监督。

第一十六条 复印机等设备由办公室统一管理，员工使用复印机等设备应按有关规定进行，对复印后作废的纸张应及时销毁。

第一十七条 指定的义务消防员要积极配合物业部门做好办公室防火安全工作，配合做好大楼消防系统的设备维护工作，熟悉配备的各种灭火器具的使用，并积极配合和接受主管部门对办公区域的安全检查。

第七章 办公用计算机安全

第一十八条 员工应自觉遵守职业道德，有高度的责任心并自觉维护单位的利益，不利用计算机私自收集、泄漏单位秘密信息。

第一十九条 禁止员工利用单位网络传播和散布与工作无关的文章和评论，特别是破坏社会秩序的文章或政治性评论。

第二十条 计算机口令的设置

（一）员工在使用自己所属的计算机时，应该设置开机、屏幕保护和目录共享口令；

（二）用户口令应当同时包含大、小写字母、数字和特殊字符的组合，口令长度最好大于12个字符，不能少于8位,不使用弱口令（例如用户名、姓名的拼音等），不得写在纸上或记录于文件中；

（三）口令至少每个季度更改一次，且不得重复。

第二十一条 计算机设备的使用

（一）员工不得私自在办公的计算机设备上装配并使用可读写光驱、磁带机、磁光盘机和USB硬盘等外置存储设备；

（二）员工不得私自开启办公计算机机箱，确有需要，应当向相应部门提出申请；

（三）员工不得私自将配备的工作用计算机转借给他人使用。

第二十二条 便携机的使用

（一）在外出办公时，不要使便携式设备处于无人看管状态；

（二）如果物理锁定功能可用，只要便携式设备不在使用时就应该采用该功能；

（三）如果便携式计算机设备被盗，应立即向当地公安机关报案；

（四）不允许将便携式计算机借给无关人员操作，防止程序或数据遭到破坏。

第二十三条 移动介质的使用

（一）含有敏感信息的文件存放在移动介质中时，必须加密；

（二）不得在移动介质中长期存贮含有敏感信息的文件，使用完毕后必须及时删除，必要时做低级格式化或者销毁；

（三）不得通过移动介质传播病毒或者恶意程序。

第二十四条 软件使用

（一）员工应安装单位规定且拥有版权的操作系统和工具软件，不得私自安装与工作无关的应用软件，特别是盗版软件；

（二）员工应当安装、运行单位规定的防病毒软件并及时升级，对单位公布的防病毒措施应及时完成，不得私自安装运行未经单位许可的防病毒软件；

（三）如果员工发现防病毒软件不能有效清除的病毒，应立即报告有关部门，在问题处理前禁止使用感染病毒的文件；

（四）员工不得制造、传播计算机病毒；

（五）员工在安装Windows操作系统时，如无特殊需要，不得安装IIS、TELNET、FTP等不必要的服务；

（六）员工不得安装、使用黑客工具软件，不得安装影响或破坏单位网络运行的软件；

（七）对本机上的保密文件，应采取适当的加密措施，并妥善存放。

第二十五条 网络使用

（一）未经允许，员工不能随意更改自己的IP地址；

（二）办公网络标准协议为TCP/IP，非工作需要不得启用任何其它网络协议，如SPX/IPX，NETBIOS等；

（三）未经批准，员工不能在单位内部私自拨号上网；

（五）员工因工作需要在计算机上安装两块或多块网卡并连接到不同网络设备时，应提出申请由网络管理员负责安装和调试，同时应注意在计算机上不要启动路由网关功能；

（六）员工不应私自更改到网络设备的连接，需要变动时应提出申请，由网络管理员负责更改。

第二十六条 电子邮件系统的使用

（一）员工如收到可疑的电子邮件，不要打开并及时通知有关部门处理，以免感染上可能存在的病毒；

（二）外部电子邮件的附件在使用前应进行病毒检查，确保无病毒后才能使用；

（三）在收到来自内部员工发来的含有病毒的邮件，除自己进行杀毒外，还应及时通知对方杀毒；

第二十七条 互联网

（一）员工不应利用单位上网资源访问与工作无关的站点，特别是淫秽、游戏、反动等类型的网站；

（二）员工不应利用单位网资源下载与工作无关的文件；

第二十八条 远程拨号（拨入）

（一）远程拨号用户须严格控制，应当由部门负责人确认；

（二）远程拨入单位内部的员工须使用一次性口令、VPN技术或采用回拨功能；

（三）远程拨号用户不得将拨入号码告知他人。

第二十九条 其它

（一）员工不得私自开设WWW、FTP、TELNET、BBS和NEWS等服务；

（二）员工不得私自设立拨号接入服务；

（三）员工之间不得私下互相转让、借用IT资源的账号，如电子邮件账户；

（四）在工作岗位调动或离岗时，员工应主动移交各种应用系统的账号；

（五）员工完成应用系统的操作或离开工作岗位时，应及时退出应用系统；

（六）员工离开自己办公计算机时，应将计算机屏幕锁定；

（七）员工如果发现计算机被入侵，应马上通知相关安全部门，按相关规定操作。

第八章 监督和检查

第三十条 各科室在办公区域的安全管理上应接受有关职能部门的监督和检查，在计算机的使用上应接受信息安全等级保护工作小组的监督和检查，对在检查中提出的问题要及时整改。

第三十一条 各科室领导及管理员应当对本部门计算机用户进行有效监督和管理，对违反管理规定的行为要及时指正，对严重违反者要立即上报。

---

十五、信息系统资产管理规定

第一章 总则

第一条 为了识别本单位的信息资产，指定资产责任人以及确定相关职责，识别资产可接受的使用来对信息资产进行适当保护，防止未授权的访问，特制定本规定。

第二章 适用范围

第二条 本文件适用于（xx市民政局）各业务系统相关的信息资产。

第三章 术语定义

第三条 信息资产：同信息系统相关的对组织有价值的事物，如计算机硬件和软件、数据、服务和文档等。

第四章 职责

第四条 业务系统管理员负责信息资产分类、赋值、标识以及维修管理。

第五章 资产分类

第五条 信息资产识别是指按照规定属性对各类信息资产的辨认和区分，包括信息资产识别、分类和登记等项工作。为了便于管理，将资产进行分类，具体分为：

(一) 主机设备：各类承载业务系统和软件的计算机系统及其操作系统，包括安装在服务器上各类应用系统以及构建系统的平台软件（数据库，中间件、群件系统、各商业软件平台等）

(二) 网络设备：如交换机、负载均衡、光纤转换器、路由器、缓冲服务器、调制解调器、多层交换机，无线AP、AC、BAS、Hub、RAS、VoIP网关等构成信息系统网络传输环境的设备

(三) 存储设备 如磁带机、磁盘阵列、磁带、光盘、软盘、移动硬盘等

(四) 安全设备：VPN网关、防火墙、内容过滤网关、入侵检测系统、防病毒网关、加密机、安全网闸等构成信息系统信息安全环境的设备，软件；

(五) 办公设备工作站、台式计算机、便携计算机等

(六) 业务信息和技术文档等

(七) 其他设备打印机、复印机、扫描仪、传真机等

第六章 资产分级

第六条 信息资产的安全价值由资产的机密性价值、完整性价值和可用性价值三部分组成。

第七条 根据资产在业务价值和可用性上的赋值等级，将资产划分为五级，级别越高表示资产越重要。

5	很高	非常重要，其安全属性被破坏后可能对组织造成非常严重的损失
4	高	重要，其安全属性被破坏后可能对组织造成比较严重的损失
3	中等	比较重要，其安全属性被破坏后可能对组织造成中等程度的损失
2	低	不太重要，其安全属性被破坏后可能对组织造成较低的损失
1	很低	不重要，其安全属性被破坏后对组织造成非常低的损失，甚至忽略不计

第七章 信息资产标识

第八条 对所有识别出并进行分类的信息资产，应当进行标识，标识方法可以采用标签、文档标识、数据标识等方法。

第九条 对信息资产进行标识时，应标识信息资产的名称、分类、资产编号、资产管理员、重要级别等信息，根据不同的信息资产类别，标识的内容和方法可以有所不同。

第一十条 在资产标识时，不但要有资产的编号，而且要有资产的分级信息和维护人员信息。

资产编号原则: 地址-人员-X1-X2-X3

说明：

地址：表示所在物理位置；

人员：表示维护人员信息，包括部门，角色等；

X1为业务平台信息

X2为资产的分类,如主机设备,网络设备等；

X3为资产信息的分级信息。

第一十一条 当信息资产的管理者、物理位置、重要级别等等信息发生变更时，需要对相应的标识进行变更，变更记录由各信息资产管理者保存后报办公室进行复核存档。

第一十二条 信息资产的管理者需要维护好自己的所负责的信息的分类清单，并定期回顾更新。

第八章 信息资产维护

第一十三条 办公室协助信息资产管理者核实和维护信息资产的信息。

第一十四条 维护应按规定要求对信息资产进行调查，并建立《附件一：信息资产清单》和记录信息资产状况的档案。

第一十五条 信息资产属性发生变更时，信息资产管理者要及时对《信息资产清单》进行变更、保存，并报办公室复核存档。变更包括地理位置变动、信息资产配置信息、补丁信息等变更。

第九章 闲置报废资产管理

第一十六条 单位内部各部门根据工作需要申请使用的设备，由申请人填写相应的申请单，由部门负责人审核、批准；
对不再使用的设备应及时返回给有关办公室。

第一十七条 对单位新进的办公设备，办公室首先进行检查、确认，然后对其编号，贴上设备标签，方能使用。

第一十八条 办公室对单位的每台设备建立档案，做好详细的记录，为设备的定期维护和故障处理提供资料。

第一十九条 办公室对单位的每台设备进行半年一次的定期维护，在维护的过程中发现问题须及时处理。

第二十条 设备出现故障时，设备使用人员应及时告知办公室，不可擅自处理。办公室接到故障通知后及时进行故障排除，不能及时排除的故障应给出说明。

第二十一条 网络维护部门每日对单位的局域网及广域网进行检查，检查路由器、交换机、集线器、调制解调器的状态，发现问题及时解决，确保网络正常运行。

第二十二条 设备使用人员要爱护自已的设备，并保持设备的清洁，避免非法操作。设备使用部门因某种原因对自用设备进行退库时，应及时通知办公室。

第二十三条 设备因更新或故障等原因导致设备报废时，由申请人填写“报废申请单”，申请报废的设备，应与“报废申请单”一起送交设备管理员检验，检验后填写检验结果，经其部门负责人审核，提交主管领导批准。

第二十四条 报废设备放置在一个指定的空间。办公室负责具体处理废品工作。

第二十五条 旧设备的再利用

（一） 办公室对各部门不再使用的设备进行入库登记，并在设备登记表中注明， 对其各种配件进行检查，对仍有使用价值的设备配件进行再利用。

（二） 涉及敏感信息或资产级别3级以上的闲置资产应在安全管理员处进行备案。对任何可重用的闲置资产中的内容涉及敏感信息，或资产分级4级以上，闲置资产中的内容应使其不可重用。要将所有资产分级4级及以上的闲置资产存储在安全、保密的环境中；

（三） 包含有敏感信息的介质或资产级别3级及以上要可靠和安全地存储和销毁,对记录纸、设备和介质提供收集和销毁服务，应注意选择合作商；
销毁敏感部件或资产级别3级及以上要做记录，以便保持审计踪迹。

附录一、（xx市民政局）XXXX系统信息资产清单

（xx市民政局）XXXX系统信息资产清单

日期：

编号	名称	机架	型号	服务	操作系统	内/外网IP	外网IP	责任部门	重要程度	备注

十六、存储介质管理规定

第一章 总则

第一条 本标准是为了保障存储介质的信息安全，对存储介质的标识、传递、访问、保管、销毁等活动提出明确的安全管理规定，特制定本文件。

第二章 适用范围

第二条 本规定适用于（xx市民政局）存储介质安全管理过程，管理对象为介质管理人员、安全管理员以及介质使用人员。

第三章 术语定义

第三条 存储介质：指用于单位计算机系统相关业务的电子信息输出、存放的物理介质、可移动和不可移动的磁盘、光盘、硬盘、磁盘阵列等。

第四章 组织职责

第四条 系统管理员，负责管理的系统所属相关存储介质的标识、传递、访问、保密以及销毁等管理。

第五条 安全管理员，负责对单位相关存储介质的管理过程进行监督。

第五章 存储介质标识

第六条 存储介质标志必须置于容易识别的位置，此标签须在存储介质的表面上出现，按照《（xx市民政局）信息安全资产管理规定》中标识要求进行标识。

第七条 存储介质应该根据不同的分类进行标签，如磁带，磁盘及其它存储介质等有不同的分类标签。

第六章 存储介质访问

第八条 安装和使用存储介质时必须防止非授权的访问。

第九条 将存储介质给第三方使用，需要系统管理员确认机密信息已经删除。

第一十条 必须对所有存储介质的出库和入库及其保持记录进行控制，如要被从库中移出，移出请求应该由一个人完成并且需要相关部门同意，并注明原因和移出时间，介质管理员须在介质清单进行登记。

第一十一条 所有含有单位内部信息的存储介质对外部人员都是保密的，严禁单位的员工以及第三方带走；
如更换属于合作方保修范围内的损坏介质，需要和合作方签订保密协议，以防止泄漏其中的保密信息。

第七章 存储介质保管

第一十二条 办公室对重要介质中的数据和软件采取加密存储，并根据所承载数据和软件的重要程度对介质进行分类和标识管理。

第一十三条 存储介质保存的环境要求（防火、电力、空调、湿度、静电及其他环境保护措施）。

第一十四条 对含有机密和绝密信息的存储介质，要存放在保险柜里。

第一十五条 必须建立存储目录清单，由相应的管理人负责执行盘点控制的流程，并且存储必须每年盘点一次。当磁带库所有权发生变化时，必须进行一次存储库盘点，并更新介质清单。

第一十六条 任何的存储介质盘点与检查出现差异必须报告给部门领导，并且存储介质库的所有介质，包括打开过的空白带、格式化过的、擦除过的、媒体操作装置中的都必须包括在清单盘点中，对存储介质库负责的管理者必须对所有的清单文档签字。

第八章 介质维修

第一十七条 介质送出维修之前应进行申请审核，确保删除敏感信息，维修地点要送到专门的定点单位。如可能有敏感信息，维修过程应安排人员全程监督。

第九章 存储介质销毁

第一十八条 任何计算机存储介质不再用于存储保密信息之前，必须要进行格式化。

第一十九条 存储介质的销毁首先要提交销毁申请（附录二、存储介质销毁申请表），经安全管理员确认方可执行销毁，销毁后由介质管理员对介质清单中进行备注。

第二十条 如果第三方服务商通过存储介质提供信息，并要求返回存储介质时，保证存储介质包含的内容已经被销毁。

第二十一条 存储介质上删除保密信息后，必须执行重复写操作防止数据恢复。

第二十二条 含有保密信息存储介质的报废处理方式是切碎或者烧毁，磁带、磁盘、光盘、硬盘等存储介质的报废处理方式为切碎或者烧毁。

附录一、存储介质清单

日期：

序号	名称	介质用途	责任人	借用人	借用时间	归还时间	借用原因	备注

附录二、存储介质销毁申请表

日期：

申请人员：	联系电话：
销毁原因及销毁办法
安全管理员意见： 签字：                                                                            年  月  日

十七、信息系统运维监控管理规定

第一章 总则

第一条 单位开发、建设的网络系统、主机系统以及各类应用系统等（以下简称信息系统），是单位生产、经营、管理的核心支持系统，是实现单位决策科学、执行有力、强调目标和过程控制的重要手段。为明确单位信息系统管理职责，提高系统运行、维护水平，使信息系统稳定、可靠地运行，特制订本规定。

第二章 适用范围

第二条 本规定中的信息系统包括了本单位各个应用系统、信息化基础平台和机房环境，应用系统包括了相关部门使用的业务应用软件，基础平台包括了服务器、系统软件和中间件、网络、应用系统等。

第三条 本规范规定了集中监控室内运维监控的工作内容、运行流程和人员职责。

第三章 术语定义

第四条 运维监控：监控应用系统、网络、服务器、系统软件、中间件和机房环境等运行状态。 

第四章 组织职责

第五条 信息系统运维监控工作由办公室负责，承担制定各类相关的管理规定，并牵头各系统管理人员落实相关规定实施方案。

第六条 机房运维工程师：机房值守，查看监控信息。分析、判断、及时处理发生的事件。跟踪事件的处理状态，有提醒职能。查看待分配事件，判断，分配处理。跟踪和督促事件的处理。编制日报，调整监控重心，预防重大事件（事件级别为特别严重）的发生，并上报审核。

第七条 安全管理员：跟踪重大事件（事件级别为特别严重）的处理状态。听取运维组的汇报。审核日报，填写意见，发生重大事件（事件级别为特别严重）时，及时送呈办公室主任审阅。编制月报，上报审核。

第五章 监控管理要求

第八条 监控应用系统运行状态，将应用系统的状态分为服务器、系统软件、中间件等状态的组合，由以上内容的指标组成应用系统的监控指标。

第九条 监控各服务器的运行状态，包括硬件运行情况、操作系统状态等等一系列关键指标，体现服务器的运行负荷。对典型指标设置报警阈值。

第一十条 监控各系统软件和中间件的运行状态，包括数据库、交易系统、客户端行情系统，等等一系列关键系统软件和中间件的典型指标，并设置报警阈值。（见附件一）

第一十一条 监控网络、安全设备状态，对典型指标设置报警阈值。

第一十二条 监控机房环境，对温度、湿度、电压等关键指标设置报警阈值。详见《（xx市民政局）机房管理办法》

第一十三条 对典型指标设置报警阈值必须由运维工程师进行调整，形成相应的调整变更表（见附件二），进行备案。

第一十四条 每个工作日生成运维监控管理日报，每月生成运维监控管理月报，向相关领导汇报。同时，阶段性地分析数据，调整修改运维策略，针对问题有目的地设置运维工作重点，以提高运维水平。

第六章 运维监控工作流程

第一十五条 安排各系统运维人员组组成监控小组，每月月初向办公室登记落实的运维人员，统一安排值班时间。

第一十六条 运维工程师至少要每隔4小时查看自己的待处理事件，根据事件的紧急程度及时处理。运维工程师在必要时可以召集相关技术人员一起处理事件，以保证重要事件及时处理完毕。

第一十七条 事件级别分为：特别严重（特别严重主要是指直接影响到业务核心系统、信息管理系统非计划停机时间超过30分钟的事件）、严重、警告和一般（严重、警告和一般主要是对应监控系统的定义的3个等级事件，但是不影响非计划停机时间的产生）4个等级。监控系统发现有严重级别的事件时，运维工程师必须及时处理，报送运维领导，或者报送相关的系统管理人员处理。

第一十八条 运维工程师要跟踪事件的处理状态，及时提醒相关人员处理，科室领导要关注组内工程师处理事件的状态，督促相关工程师及时处理事件。各科室要关注运维组对事件的安排状态，督促运维人员及时完成。

第一十九条 运维工程师要按照运维日报的流程展开编制工作：（见附件三）

第二十条 在每天工作结束后，由运维工程师编制运维日报，总结一天中运维工作情况，汇报给科室领导审核。科室领导接到日报后，对日报内容进行审核，了解监控系统的运行情况，填写审核意见。

第二十一条 每月运维工程师根据监控情况编制运维月报，呈送办公室主任审阅。办公室主任审阅月报，并上报单位领导。

十八、网络系统运行管理规定

第一章 总则

第一条 为保障单位网络运行的安全、稳定，加强对各种网络资源的管理，规范网络建设，特制定本规定。

第二条 纳入本规定管理范围的网络资源包括：IP地址、网络设备、网络安全设备、网络管理设备及软件、网络访问权限、通讯线路等。

第三条 网络资源的申请、使用、建设、变更、故障处理必须遵守本管理规定。

第二章 组织职责

第四条 主要工作职责包括：

(一) 负责单位网络系统的规划、建设，网络资源的管理，网络运行的监控分析，网络故障的排除等。

(二) 负责对进入机房设备的网络配置的审核，日常网络运行的监控，机房内网络资源变更的流程监督等。

(三) 负责按本规定要求申请使用网络资源，发现网络故障后的通报等。

第三章 网络资源的数据管理

第五条 各项网络资源应有专人统一管理。

第六条 所有网络内的在用IP地址都要有登记，登记内容包括但不限于IP地址、MAC地址、使用人、设备类型、提供的服务等。

第七条 所有在用网络设备及软件都要有登记，登记内容包括但不限于设备名称、IP地址、使用人、设备用途、访问权限等。所有在用网络设备及软件的配置参数都要有备份，在有了变更后，应立即进行重新备份、保存。

第八条 所有通讯线路都要有登记，登记内容包括但不限于线路类型、两端地址、线路编号、报障电话、对端联系人等。

第四章 网络资源的申请

第九条 所有接入业务网络而需要的网络资源，必须经过申请、审批手续。使用人或使用部门提出申请，初步评估后，提出意见，分配资源，或者报部门领导批准后再分配资源，对于进入机房的设备或需要的网络变更，进行流程的审核后方可实施。

第一十条 所有新增的网络访问需求，按规定流程由使用人提出申请，发起流程；
如果其他部门因业务需要而提出的网络访问需求，可由部门内负责维护的人员代为提出申请，发起流程。

第五章 网络资源的使用

第一十一条 使用人需按规定正确使用网络资源。

（一） 不得随意变更IP地址，改变网络接入位置；

（二） 正确设置用户密码，至少达到三种不同字符组合的12位，多台设备不得使用同一密码；

（三） 正确安装防病毒软件，并配置自动升级和自动定期扫描；

（四） 正确配置操作系统自动升级功能，按要求定期重启系统；

（五） 禁止远程登录网络设备，对网络设备的管理应明确限定可登录的主机、可使用的人员、可操作的权限；

（六） 禁止在交易时间对业务网的网络资源进行变更操作；

（七） 遵守业务网使用的规定，不得在业务网内使用移动介质。

第一十二条 使用人员需要具备基本的网络知识。

（一） IP地址配置、网关配置；

（二） 网络通、断的判断，路由的跟踪判断；

（三） 静态路由的添加。

第六章 网络资源的建设

第一十三条 对于新增的应用系统、新的项目，所需要的网络，必须经过网络方案的草拟、网络方案合理性的评审、网络方案安全性的评估。

第一十四条 新增应用系统的项目负责部门队，可以根据业务需求或开发商建议，提出新增应用系统或项目的网络建设方案。

第一十五条 在接到新增应用系统或项目的网络建设方案后，先进行方案的评审，评审内容包括但不限于：网络结构的科学合理性、对已有网络的影响、数据流是否清晰、关键设备及线路的冗余措施、数据流量的估算、投入运行后的网络监控方法等。

第一十六条 经过审核的网络方案报告部门负责人，经批准后实施。

第七章  网络资源的变更

第一十七条 因业务需要，要求调整网络资源，则由需求人员提出网络资源变更申请流程。

第一十八条 安全管理员接到申请，经审核、报批后，进行办理。原则上，涉及到单位业务网络的变更，必须在非交易时间操作。

第一十九条 对于与重要设备、重要应用系统有关的网络变更，在操作前需要进行公告，告知有关维护人员；
操作中，需要记录操作过程；
操作后，需要通知相关人员进行测试。

第八章  网络故障处理

第二十条 使用人员、监控人员发现网络故障后，立即通报给安全管理员。

第二十一条 安全管理员接到故障报告后，按《网络故障应急处理流程》进行故障的排除。

第二十二条 故障处理后，处理人员填写《网络故障申报处理表》。根据故障的性质，按要求再填写《信息系统事件档案》或故障报告，报部门存档。

---

十九、系统帐号权限管理规定

第一章 总则

第一条 为了加强（xx市民政局）信息系统用户管理，提高用户安全管理水平，提出信息系统在用户帐号管理过程中的安全要求，本文包括通用要求、特权用户、普通用户要求以及口令管理要求。

第二章 适用范围

第二条 本文适用于（xx市民政局）各业务系统所有用户管理员及系统管理人员。

第三章 术语定义

第三条 帐号是指每个可访问系统资源的用户在系统中的标识,可分为应用系统帐号、操作系统帐号和数据库帐号等。

第四条 访问权限是指帐号被赋予的可以访问系统资源和使用系统功能的权利。

第五条 超级管理员帐号/特权帐号：指对系统具有超级权限的帐号，包含但不限于UNIX/Linux的root，WINNT的administrators组成员，数据库的DBA等用户。

第六条 普通帐号：用户用于维护或访问系统，实现日常操作的帐号，是最为常见的用户类型。

第四章 组织职责

第七条 （xx市民政局）办公室负责对用户帐号权限的安全管理工作。

第五章 通用原则

第八条 对系统的访问必须经过授权，任何人不得在未经授权的情况下在系统中运行未经审批的程序。授权可以通过书面文件，或通过员工按岗位的分工等方式实现。

第九条 各系统应采用用户名和密码认证方式实现登录控制，对系统的访问应使用唯一的帐号和口令。

第一十条 各系统中不应建立共享帐号，每个帐号都与唯一的用户相对应。拥有帐号的用户不得随意将帐号交于他人使用。

第一十一条 帐号权限的分配应遵循满足需求的最小授权原则, 即为用户分配权限时, 以其能进行系统管理、操作的最小权限进行授权，避免为其分配无关的或更大的权限。

第一十二条 有关用户登陆和帐号权限管理的相关操作在系统中要留有日志,日志至少保留3个月。

第一十三条 创立新用户角色或对用户组或用户角色定义进行修改时，应考虑不相容职责分工原则，例如操作人员与审核人员的分离、开发人员与维护人员的分离等。

第一十四条 当员工工作调动或离职时，其在系统中的帐号应立即撤销，不得继续将帐号分配给他人使用。

第一十五条 开发人员平时不得使用生产环境中系统帐号。如需使用，则必须向安全管理员提出申请,经安全管理员同意后,由系统管理员临时为其开启一个临时帐号.开发人员在访问生产系统时必须由系统维护人员对其访问进行监督，在访问结束后及时删除帐号或更改口令,并对操作日志进行审阅。

第一十六条 如果系统中存在第三方厂商人员使用帐号的情况，应和第三方厂商签订相关的安全保密协议，以合理确保第三方厂商能够执行（xx市民政局）安全管理要求和职责不相容要求.如果外部人员需要通过远程登录访问对系统进行操作及更新，向安全管理员提出申请（附录一、（xx市民政局）业务系统临时帐户申请表），由相关系统管理员临时开通远程登录功能。在操作完成后，系统管理员应及时终止远程登录。

第一十七条 对于部分因系统接口原因在系统中预设的用户帐号，应对接口程序、脚本或相关设置进行加密或实施访问控制，以防止未经授权的访问。

第一十八条 对于各系统应使用分级管理，设立特权帐号以及临时使用的普通帐号，并且对帐号分不同安全等级进行管理，定期检查用户的帐号及其权限，重点检查有特权的帐号是否存在特权时限过期。

第一十九条 由系统管理员对所有帐户进行登记（附录二、（xx市民政局）业务系统帐户清单），并根据需要或定期进行审查、更新。

第六章 特权帐号管理

第二十条 业务系统的特权帐号由负责相关工作的系统管理员持有，并妥善保存。

第二十一条 系统因维护需要使用特权帐号，但系统管理员因特殊原因不能够在现场实施特权帐号登录操作，则系统管理员可以指定一个临时使用人使用特权帐号处理问题，任务完成后，系统管理员应立即更新相应的特权帐号密码以收回特权帐号的使用权限。

第二十二条 服务提供商或产品厂家技术人员等第三方人员对系统进行维护时，如果需要使用特权用户，系统管理员可以通过设置临时口令的方式给第三方人员授权使用特权帐号，当授权到期后立即通过更改特权帐号口令收加特权帐号。

第二十三条 相关系统管理员如果离职后，应当立即更新其所持有的特权帐号密码。

第七章 普通帐号管理

第二十四条 系统管理员根据“最少权限”的原则，审批帐号和权限的申请，在得到相关部门复审后，系统管理员可以执行帐号与权限的操作。

第二十五条 如系统用户离职或岗位调整，该用户直接领导必须通知系统管理员，系统管理员进行用户信息调整并及时更新帐户清单。

第二十六条 用户离职或岗位调整后，该用户直接领导未通知系统管理员的，由于该用户造成的损失由该用户的直接领导负责。

第二十七条 普通用户的日常维护工作由系统管理员负责。

第八章 口令管理

第二十八条 帐号口令拥有者必须严格确保口令的安全保密性。一旦有迹象表明口令可能被泄露，用户必须立即修改口令。

第二十九条 系统中的帐号口令应避免使用弱口令.口令长度不得低于8位，须由数字、大小字母以及特殊字符组成,并至少3个月进行更新。

第三十条 帐号的初始口令应以安全途径告知帐号使用者.帐号使用者在首次登录系统时应立即修改帐号口令。

第三十一条 用户忘记口令时，管理员必须在对该用户进行适当的身份识别后才能向其提供临时口令。

第三十二条 口令在系统中保存或传输时,必须采取安全措施以保证帐号的安全性,例如对口令进行加密等. 除非可以安全保管，否则不得将口令记录在纸张等一切可视介质上。

第三十三条 当程序内的帐号密码需要保存在配置文件里时，文件属性应置为不可读,并且只能由对应用程序访问。

第九章 检查监督

第三十四条 各业务系统安全管理员负责检查监督生产系统的口令管理，至少3个月进行1次检查。

---

附录一、（xx市民政局）业务系统临时帐户申请表

（xx市民政局）业务系统临时用户申请表

日期：

申请人员：	联系电话：
申请原因、期限及用途：
系统管理员意见： 签字：                                                                            年  月  日

附录二、（xx市民政局）业务系统帐户清单

（xx市民政局）业务系统帐户清单

日期：

序号	帐户名称	帐户类别	所属平台系统	用途	使用人员	备注

二十、补丁管理规定

第一章 总则

第一条 为加强单位信息系统安全补丁的管理工作，规范信息系统安全补丁的识别和安装过程，降低信息系统安全漏洞带来的安全风险，提高信息系统的抗攻击能力。特制定本规定。

第二章 适用范围

第二条 本规定适用于（xx市民政局）各系统、TCP/IP网络（生产环境以及办公等非生产环境）。

第三条 本规定适用对象为（xx市民政局）系统信息安全管理员、各系统负责人、管理员及所有使用IT 设备的员工。

第三章 术语定义

第四条 补丁是针对某一个具体的系统漏洞或安全问题而发布的专门解决该漏洞或安全问题的小程序，通常称为修补程序。

第四章 组织职责

第五条 各系统管理员负责协调安全补丁的测试、加载、回退，以及负责补丁加载后的监督和验证。

第六条 安全管理员负责对补丁管理过程中的进行监督。

第五章 补丁获取

第七条 安全管理员和各系统管理员负责从正式渠道获取安全补丁，正式渠道包括企业下发的和产品厂商提供的，不建议使用从网站下载的安全补丁，并负责对安全补丁进行完整性校验，确保获取的安全补丁软件未被修改和可用。

第八条 跟踪信息系统的补丁信息，跟踪手段包括但不限于：

（一） 定期跟踪信息资产厂家的补丁发布网站，或者最新的补丁信息，最少每月查询一次。

（二） 定期通过安全漏洞扫描器扫描信息资产的漏洞缺失情况，最少每季度扫描一次。

（三） 同相关信息资产厂家建立补丁通告协议 

（四） 补丁在发布之后的两周之内要获取补丁信息。

（五） 购买新系统和设备的时候，进行补丁检查，确保厂家已经安装了较新的补丁。

第六章 补丁测试

第九条 业务系统以及所属基础平台相关系统补丁加载前必须进行补丁测试。

第一十条 补丁测试必需在测试环境中进行，测试过程和测试结果要保留记录备查，测试没有通过的补丁不得在生产系统中加载。

第一十一条 不具备测试条件的补丁加载，要制定并提交加载过程风险规避方案，确保加载不成功时的系统恢复。

第一十二条 补丁测试的内容包括补丁安装测试、补丁功能性测试、补丁兼容性测试和补丁回退测试：

（一） 安装测试主要测试补丁安装过程是否正确无误，补丁安装后系统是否正常启动。

（二） 补丁功能性测试主要测试补丁是否对安全漏洞进行了修补。

（三） 补丁兼容性测试主要测试补丁加载后是否对应用系统带来影响，业务是否可以正常运行。

（四） 补丁回退测试主要包括补丁卸载测试、系统还原测试。

第一十三条 各系统或设备管理员负责组织进行补丁测试工作，安全管理员负责组织办公用机的补丁测试工作，重要生产系统进行补丁测试工作必须安排相关厂商进行配合。

第一十四条 各系统或设备管理员需要把补丁测试结果提交给各科室负责人进行审核，并在《业务系统补丁安装登记表》中进行登记，审核通过后可以进行补丁加载。

第七章 补丁验证和归档

第一十五条 补丁安装完成后，各系统或设备管理员必需查看系统信息，确保安全补丁已经成功加载。

第一十六条 对于生产环境的服务器，必须对加载补丁后的系统按照计划和验证方案进行严格的测试验证，确保补丁加载后不影响系统的性能，确保各项业务操作正常。

第一十七条 （xx市民政局）办公个人电脑在补丁安装前必须做备份，确保补丁可回退的措施。

第一十八条 补丁加载后的一周内，各系统或设备管理员必须加强对系统性能和事件进行密切的监控。

第一十九条 对系统补丁的加载进行归档处理，备份加载过的补丁包，对每一个需要进行补丁管理的重要信息资产（服务器操作系统、数据库、网路设备、安全设备、应用系统等）建立补丁加载记录，对于没有加载的补丁标注原因和相应的防范措施。

附录一 业务系统补丁安装登记表

________业务系统补丁安装登记表

日期：

系统名称	补丁名称	补丁安装时间	安装申请人	安装审批人	简要描述补丁更新原因

二十一、信息系统日志管理规定

第一章 总则

第一条 为加强（xx市民政局）信息系统的日志数据管理工作，真实、有效地保存和使用各类日志，确保数据的保密性、完整性和可用性，特制定本文。

第二章 适用范围

第二条 本文件适用于（xx市民政局）各系统管理人员以及使用人员。

第三章 术语定义

第三条 日志包括各业务系统中存储的主机系统日志、设备日志和业务系统日志等基础环境日志。

第四章 组织职责

第四条 安全管理员负责牵头制订相关日志管理策略。

第五条 系统管理员负责执行主机系统、业务系统的日志管理策略，数据库管理员负责数据库日志的管理。

第六条 网络管理员负责执行网络设备日志管理策略，安全管理员负责执行安全设备日志管理。

第五章 通用要求

第七条 日志不能被无关人员随意察看；
日志本身需要保持完整性，不能被非授权人员更改；
日志需要保持可用性，要做备份，以便审计时使用。

第八条 日志需至少包括以下内容：

(一)用户帐号；

(二)登录和退出的日期和时间；

(三)尽可能的识别出终端的身份代号或地址；

(四)记录有相关系统访问成功和失败的登录日志；

(五)成功和拒绝处理的数据和其它资源访问登录的相关记录。

第九条 为了统一日志管理，便于审计，应当建立时间同步服务器，对重要系统日志进行时间同步。

第一十条 应当建立日志服务器，日志服务器使用大容量磁盘，实施对所有日志进行收集、保存，日志传送可以通过SNMP，SYSLOG等方式。

第一十一条 日志维护管理的结果必须每周进行检查，如发现有可疑的滥用或安全性事故的情况发生，则及时对问题进行分析和跟踪；
对影响较大的错误日志必须及时向相关部门负责人汇报。

第一十二条 业务系统运行维护人员应每6个月对运行日志和审计数据进行分析，以便及时发现异常行为。

第六章 主机系统日志管理

第一十三条 主机系统日志由操作系统日志和数据库日志组成。

第一十四条 对主机日志的访问权限进行控制，并打开审计选项，以防止非法访问。

第一十五条 系统管理员应对生产环境的各类主机日志进行备份，涉及到重要或机密数据应当备份到存储介质上进行异地保存，主机系统日志保留6个月；
数据库管理员对数据库进行管理，日志保留期限为6个月。

第一十六条 各部门如需查阅主机系统日志，应按照《（xx市民政局）信息系统变更管理规定》提交变更申请，由系统管理员或数据库管理员调出指定的主机日志到非生产环境，查阅完成后，在非生产环境上删除。

第七章 业务系统日志管理

第一十七条 应当在业务系统服务器上进行配置或运行脚本，将每日日志集中发送至日志服务器。

第一十八条 对业务系统日志的访问权限进行控制，并打开审计选项，以防止非法访问。

第一十九条 日志文件在日志服务器上集中保存；
日志保留期限为6个月。

第二十条 各部门如需查阅业务系统日志，应向本部门负责人或各组负责人提出申请，相关负责人同意后，由各系统管理员负责相关日志的收集，通过可以查询或保留的方式进行发送，如邮箱；
查阅完成，各申请人员必须及时对日志进行删除。

第八章 设备日志管理

第二十一条 设备日志主要是由防火墙、路由器、交换机、负载均衡设备、通信设备等产生的日志。

第二十二条 应当在设备上进行配置或运行脚本，将每日日志集中发送至日志服务器。

第二十三条 对设备日志的访问权限进行控制，并打开审计选项，以防止非法访问。

第二十四条 日志文件在日志服务器上集中保存；
日志保留期限为6个月。

第二十五条 各部门如需查阅设备日志，应向本部门负责人或各组负责人提出申请，相关负责人同意后，由相关管理员负责相关日志的收集，通过可以查询或保留的方式进行发送，如邮箱；
查阅完成，各申请人员必须及时对日志进行删除

二十二、防病毒管理规定

第一章 总则

第一条 为加强对（xx市民政局）信息系统的服务器和终端PC机的防病毒管理，保证信息系统稳定快速安全运行，提高全体员工的防病毒意识，落实全体员工的防病毒责任，制定本规定。

第二章 适用范围

第二条 本标准规定了办公室对计算机病毒防治的管理内容。

第三条 本标准适用于办公室对计算机设备的操作使用。

第三章 术语定义

第四条 计算机病毒：计算机病毒是人为蓄意编制的一种寄生性的计算机程序。它能在计算机系统中生存，通过自我复制来传播，在一定条件下即被激活，从而给计算机系统造成一定损害甚至严重破坏，有些病毒还能窃取计算机设备中的重要信息。

第四章 组织职责

第五条 计算机病毒的防治工作由办公室负责，承担制定各类相关的管理规定，研究各类计算机病毒防治技术，并牵头实施、负责检查、考核及奖惩。

（一） 监管（xx市民政局）防病毒情况；

（二） 监督防病毒产品的部署和使用；

（三） 组织计算机防病毒教育和培训；

（四） 负责防病毒规定的制定和维护；

（五） 对计算机的防病毒情况进行检查；

（六） 对用户上报的病毒应追踪其根源，查找病毒传播者；

（七） 为（xx市民政局）提供相关重大突发性病毒的预警和发布。

第六条 安全管理员组织职责

（一） 负责与防病毒和专业安全厂商保持联系；

（二） 监督和审核（xx市民政局）防病毒情况。

（三） 负责维护和管理防病毒服务器；

（四） 配置查杀策略和升级策略；

（五） 每天早晨检查防病毒服务器病毒定义更新；

（六） 每周五早晨检查网络中病毒的发作情况；

（七） 负责计算机病毒预警发布；

（八） 接受用户的计算机病毒报告，并进行相应的诊断、分析、处理和记录备案；

（九） 每月填写《防病毒系统运行情况报告》，提交信息安全领导小组。

第七条 系统管理员组织职责

（一） 在所管理计算机上发现可疑的计算机病毒现象时及时向网络管理员报告，配合网络管理员进行病毒的清除和处置；

（二） 服务器和个人PC的防病毒软件的安装。

第五章 防计算机病毒目的

第八条 计算机病毒，尤其是恶性病毒具有很强的破坏性和危害性。病毒发作时将造成计算机系统软（硬）件的破坏和瘫痪，使计算机无法正常地工作或使用。因此计算机病毒的防治工作是为了保证各类计算机系统的安全可靠使用，以及各类重要文档不受病毒破坏。

第九条 由于目前已经发现了能窃取计算机上重要信息的计算机病毒，因此计算机病毒的防治工作将有利于单位内各类计算机设备上重要信息的安全和保密。

第六章 防病毒管理内容

第一十条 办公室生产环境各系统所使用的计算机病毒产品，由办公室统一购买和发放。各系统管理员按安全管理员规定在指定地点下载使用防病毒软件。

第一十一条 各系统应落实专人负责本部门的计算机病毒安装查杀工作，并报办公室办公室备案，人员发生变更及调整时应及时上报办公室办理变更登记。

第一十二条 办公室通知各系统（部门）进行计算机防病毒产品的安装及升级办法，并指导升级工作，防病毒软件中心应设置自动扫描工作，并由安全管理员确认扫描结果。

第一十三条 及时检查防病毒软件以及病毒库的升级更新情况。

第一十四条 订购专业安全厂商的安全通告服务，及时获取病毒预警信息。

第一十五条 办公室要每半年一次进行检查信息系统内各种产品的恶意代码库的升级情况并进行记录，对主机防病毒产品、防病毒网关和邮件防病毒网关上截获的危险病毒或恶意代码进行及时分析处理，并形成书面的报表和总结汇报。在所管理计算机上发现可疑的计算机病毒现象时及时向安全管理员报告，配合按管理员进行病毒的清除和处置。

第一十六条 对于不能立即解决的病毒问题，办公室及时组织协同相关的技术和业务人员进行跟踪解决，并及时联系防病毒厂商，在问题解决前尽快采取相应措施阻止事件进一步扩大。

第一十七条 对于因计算机病毒引起的计算机信息系统的瘫痪、程序和数据严重破坏等重大、较大事故，应做好现场保护工作，参照《（xx市民政局）信息系统应急预案管理规定》进行汇报和处置。

第七章 防病毒应用规定

第一十八条 各系统管理人员禁止私自安装非法软件和卸载安装的防病毒软件。

第一十九条 各系统管理员禁止运行未经审核批准的软件，对于外来的（如：网络下载、可移动磁盘等介质）程序和文档，应在运行或打开前进行计算机病毒的检测和清除。

第二十条 使用web方式接收电子邮件时，不得随意打开来历不明或可疑的电子邮件。使用邮件系统接受带有附件的邮件时，要开启防病毒软件的邮件接收监控功能。

第二十一条 各系统员工在遇到或怀疑发生防病毒软件不能查杀的病毒事件时，应第一时间报告到办公室监管部门。

第八章 惩罚制度

第二十二条 对故意制造、传播计算机病毒的，触犯国家有关法律或规定的人员由相关部门依照国家有关法律、法规进行处罚。

第二十三条 对于违反本标准规定而造成计算机系统瘫痪，严重影响系统，产生严重后果的，视情节轻重按办公室有关规定对责任人及其所在部门实施处罚。

第二十四条 本标准执行情况列入单位信息化单项考核中。

附件：病毒事件报告表

病毒事件报告表

序号：________  日期：____年__月__日 审核：________

病毒事故征兆	发现/报告人员		发现/报告时间	报告对象	现象描述	备注
						发现员工填写
病毒处理 结果和采取措施	处理 人员		处理 时间	指导 人员	病毒处理的 具体内容描述	备注
						安全 管理 员填 写
病毒检查 主要内容		是否安装防病毒软件以及杀毒软件的品牌
		防病毒软件是否是最新病毒码
反馈信息：
备注：

二十三、信息安全密码使用管理规定

第一章 总则

第一条 为了满足（xx市民政局）信息系统密码安全管理的需要，特制定本管理办法。

第二章 帐号设立要求

第二条 系统要求

（一） 办公室所使用的操作系统、业务系统、数据库、网络设备等均需要支持基于帐号的访问控制功能；

（二） 所有需要使用口令的应用软件、业务软件都需要对口令文件提供妥善的保护。

第三条 帐号申请原则

（一） 只有授权用户才可以申请系统帐号；

（二） 任何系统的帐号设立必须按照规定的相应流程规定进行；

（三） 员工申请帐号前应该接受适当的培训，以确保能够正常的操作，避免对系统安全造成隐患；

（四） 帐号相应的权限应该以满足用户需要为原则，不得有与用户职责无关的权限；

（五） 对于确因工作需要而必须申请系统帐号的单位外部人员，则必须经单位领导批准，且有单位正式员工作为安全责任人，如果需要接触办公室秘密信息，必须通过技术部审批并且签署保密协议；

（六） 任何系统的帐号必须是可以区分责任人，责任人必须细化到个人，不得以部门或个人组作为责任人。

第四条 公用帐号

（一） 系统应当严格限制开设公用帐号，一般情况下公用帐号不得具有访问保密信息和对系统写的权限；

（二） 公用帐号应该设立责任人，负责帐号的正常使用及维护。

第五条 匿名帐号

（一） 匿名帐号只被允许访问系统中可公开的且对办公室有益的资源，不得访问任何内部公开及以上秘密等级的资源；

（二） 对匿名用户对系统的访问必须有详细的记录。

第四章 口令设立要求

第六条 口令的生成

（一） 系统帐号分配时必须同时生成相应的口令，并且与帐号一起传送给用户；

（二） 用户在接受到帐号和口令后，必须马上修改口令，任何时间都不得存在没有口令的帐号，除非该帐号已经失效；

（三） 对于系统的帐号验证只有口令作为证据的系统，如果帐号名由确定的且公开的规则产生的，则口令不应当为公开的口令；

（四） 管理员在传递帐号和口令时，应当采取加密或其他安全的传输途径，以保证口令不会被中途截取。

第七条 口令设立的原则

（一） 帐号口令必须是具有足够的长度和复杂度，使口令难于被猜测；

（二） 帐号口令必须是在必要时间或次数内不循环使用；

（三） 帐号的各个口令之间应当是没有直接联系的，以保证不可有以前的口令推知现在的口令；

（四） 帐号的前后两个口令之间的相同部分应当尽量减少，减低由前一个口令分析出后一个口令的机会；

（五） 帐号的口令不应当取有意义的词语或其他符号，如使用者的姓名，生日或其它易于猜测的信息。

第八条 口令的最低标准

（一） 普通用户口令长度不得低于8位，最近10个口令不可重复，口令中必须包含字母和数字；

（二） 管理员和超级管理员帐号口令长度不得低于8位，最近10个口令不可重复，口令中必须包含字母和数字，口令中同一个符号出现不得多于2次，各个口令中相同位置的字符相同的不得多于3个，口令不得为有意义的单词或短语。

第五章 变更与取消要求

第九条 帐号的使用

（一） 任何帐号的使用人只限于申请帐号过程中声明的使用人使用，禁止其他人使用此帐号；

（二） 帐号系统正式使用前，必须更改原来系统中的缺省帐号的所有口令，以保证正式环境的安全；

（三） 帐号使用人在使用的过程中，不得使用帐号访问与自己工作无关的资源。

第一十条 帐号的权限变更

（一） 帐号使用人在工作职责发生转变，造成现有职责与现有的在系统中的职责不同时，应当申请权限的修改；
管理员发现用户具有工作不需要的权限，可以直接停止多余的权限；

（二） 帐号使用人在工作职责发生转变，而不再需要使用系统资源的情况下，应当申请关闭帐号；
对不能关闭的帐号则需要转移帐号的责任人.。

第一十一条 口令的修改

（一） 帐号的使用人应当定期修改帐号口令，修改口令的间隔应小于本标准的相关规定，对于本标准没有规定的用户，其间隔应当小于6个月；

（二） 帐号用户必须在管理员要求更改口令时进行更改口令；
如果用户拒绝配合，管理员可以在通知用户及其主管后，关闭用户的帐号，以保证系统的安全；

（三） 帐号用户丢失或遗忘口令，必须通过规定的流程向管理员申请初试化口令，用户在接到回执后，应马上更改口令；

（四） 帐号用户要求口令修改的方式必须是可以确保用户身份的，且管理员必须有记录；

（五） 管理员不可在没有用户申请的时候私自更改用户帐号的口令，除非办公室技术部需要；

（六） 系统的超级管理员帐号的口令属于系统最高机密，应该严格限定使用范围；
其他人员确因工作需要而使用超级管理员帐号和口令的，应当向超级管理员帐号和口令的责任人申请口令，并在完成操作后，由责任人更改口令。

第一十二条 帐号的取消

（一） 用户如果因职责变动而离岗，不再需要系统权限且无须将帐号移交给其他责任人，其原岗位主管应当申请帐号的销户，由管理员取消其权限；

（二） 用户离职后，管理员应当关闭用户在系统中的所有权限。

第六章 维护要求

第一十三条 密码口令的管理

（一） 不能将密码口令以纸质介质或明文电子数据保存，不能通过电子邮件传输；

（二） 不能使用缺省设置的密码；

（三） 不能将密码告诉别人；

（四） 如果系统的密码泄漏了，必须立即更改；

（五） 不能共享超级用户的口令，使用用户组或适当的工具如su；

（六） 所有系统集成商在施工期间设立的缺省密码在系统投入使用之前都要删除；

（七） 密码要以加密形式保存，加密算法强度要高，加密算法要不可逆；

（八） 在输入时密码不能显示出来；

（九） 系统应该强制指定密码的策略，包括密码的最短有效期、最长有效期、最短长度、复杂性等；

（一十） 除了系统管理员外，一般用户不能改变其它用户的口令；

（一十一） 如果需要特殊用户的口令（比如说UNIX下的Oracle），要禁止通过该用户进行交互式登录；

（一十二） 强制用户在第一次登录后改变口令；

（一十三） 在要求较高的情况下可以使用强度更高的认证机制，例如：双因素认证；

（一十四） 如果可能的话，可以使用自己密码生成器帮助用户选择口令；

（一十五） 要定时运行密码检查器检查口令强度，对于保存机密和绝密信息的系统应该每周检查一次口令强度；
其它系统应该每月检查一次。

第一十四条 信息系统用户的责任与义务

（一） 所有用户有义务确保自己的口令的安全，系统帐号与口令不泄漏给他人，同时避免使用弱口令；

（二） 对于使用便携式计算机的用户，应设置开机BIOS口令；

（三） 使用远程登陆的用户，确保不将口令保留在计算机上；

（四） 不将信息系统中使用的帐号和口令用于其他个人应用；

（五） 任何人不得公开其本人或他人口令的全部或部分，除非这种行为不会影响系统帐号的安全性；

（六） 严禁任何人通过任何手段非法取得他人帐号和口令进入系统，对违反者应当进行严厉制裁，直至追究法律责任；

（七） 任何人不得将其帐号的口令告之无权使用此帐号的人，如果用户此种行为导致其他人用此帐号造成对办公室信息系统的影响，帐号持有人和造成影响的行为的实施人负有相同的责任；

（八） 严禁任何人利用系统安全漏洞访问其权限之外的资源，一经发现，立即严惩。

第一十五条 系统管理员的责任与义务

（一） 确保除匿名帐号外，所有系统用户都必须有口令；

（二） 定期审计，检查系统用户的数量和权限；

（三） 确保系统和网络设备无默认帐号和口令；

（四） 确保关键应用服务器启用口令强制策略；

（五） 对用户进行口令安全培训；

（六） 建议同一个管理员在不同主机上使用不同的帐号和口令。

第七章 流程管理要求

第一十六条 办公室内部人员的信息系统帐号的开户/权限变更按照以下流程进行：

（一） 首先由用户提出书面申请，详细列出所需权限，由其部门领导审批其申请的权限是因为工作需要；

（二） 如果用户申请系统规定的需要高级主管或其他部门主管审批的权限则需要其他部门或高级主管审批；

（三） 如果有必要，由系统中业务部门的负责人员进行用户的要求是否合理的审批；

（四） 然后由安全负责人员审核其安全性，相应负责人员进行开户操作，在以上各审批人的审批环节中，如任何一个审批人不同意该申请，则退回用户的申请。

第一十七条 非办公室人员的信息系统中的开户，除非技术部有其他规定，否则均按照以下流程进行：

（一） 由接口部门的责任人代替非办公室人员申请，并明确指明责任；

（二） 由非办公室人员的接口部门或以上部门领导进行审批；

（三） 如需要，由其他部门领导审批；

（四） 安全管理人员进行审批、备案；

（五） 业务负责人审批申请的合理性；

（六） 相应负责人员进行开户；

（七） 在以上各审批人的审批环节中，如任意一个审批人不同意用户的申请，则退回用户的申请；

（八） 如有明文规定的非办公室人员的开户，按照具体规定执行。

第一十八条 用户因职责变动，而不需要使用信息系统的资源，应当立即销户，办公室内部人员的帐号的销户流程如下：

（一） 用户主管提出申请；

（二） 安全控制人员审批并执行（离职人员的帐号由安全控制办人员直接处理）。

（三） 非办公室人员的帐号停止使用后，责任人应当负责提出销户，销户流程如下：

（四） 帐号的责任人提出申请；

（五） 接口部门的主管审批；

（六） 技术部审批并备案；

（七） 安全管理人员操作。

第一十九条 例外情况

（一） 安全管理人员在因系统安全原因或紧急情况下，在得到主管部门允许的情况下，不经过以上流程而执行帐号操作；

（二） 因系统升级或迁移等情况下，可以在得到相应部门认同的情况下，直接操作而不经过本流程。

---

二十四、变更管理规定

第一章 总则

第一条 为加强单位信息系统在变更管理过程中的安全管理，规范变更操作，降低系统变更风险，特制定本规定。

第二章 适用范围

第二条 本规定适用对象为信息系统变更管理过程，包括变更申请，受理、审批和实施过程，管理对象为（xx市民政局）相关业务部门和信息安全等级保护工作领导小组。

第三章 术语定义

第三条 管理环境是指（xx市民政局）信息系统管理和维护范围内的各类系统以及支持其运行所需的系统、网络、设备、机房基础设施等。

第四条 管理变更是指在管理环境内所实施的变更。管理变更分为技术变更和业务变更。其中，根据变更的紧急程度分为紧急变更和常规变更。

第五条 技术变更是指设备、系统、网络、应用软件、系统操作流程等配置及系统参数的改变。

第六条 业务变更是指对管理系统所提供业务服务以及数据的改变、下载或查询，例如：业务品种、客户信息、客户数据等。

第七条 紧急变更是指因管理事件和问题引发或第三方（含监管机构、合作伙伴）要求急需处理的变更。

第八条 常规变更是指除紧急变更以外的所有变更。

第九条 根据变更影响的业务与服务的类型，以及变更影响范围分为三级：

（一） 一级变更：影响重要业务功能、影响网络性能以及影响整体形象的变更，如：重要业务的重要功能、网络割接/升级、重要的安全补丁和升级重要配置变化以及网络系统的重大改变；

（二） 二级变更：影响系统部分功能如：一般性系统升级、系统配置变化、服务对象变化以及网络系统局部（非重要部分）变化；

（三） 三级变更：对整体影响很小、对部门/业务系统影响很小，如：一般性功能变化、一般性安全补丁以及小范围变化。

第四章 组织职责

第一十条 （xx市民政局）相关业务部门，负责根据要求提出业务变更申请、与信息安全等级保护工作领导小组对业务变更进行审批，协助进行业务变更实施。

第一十一条 办公室负责系统技术变更的申请，审批、受理以及组织相关人员进行所有变更实施。

第五章 变更申请

第一十二条 变更申请应按规范规定的格式提交变更申请（附录一、变更申请单），变更申请需要申请本部门负责人批准。

第一十三条 变更申请应详细填写变更原因，变更要求，变更的紧急程序以及变更的类型。

第一十四条 变更申请时间：

(一) 技术变更提前二个工作日申请；

(二) 业务变更提前三个工作日申请。

第一十五条 变更申请要根据管理系统中的不同功能点的变更分别提出变更申请，要避免一个变更中涵盖多个系统的变更动作。

第六章 变更受理

第一十六条 对于各类变更，统一由信息安全等级保护工作领导小组负责人受理。

第一十七条 对要素填写不全、申请时间不符合要求、描述不清的变更申请办公室可以退回变更申请部门或人员。

第七章 变更方案制订

第一十八条 信息安全等级保护工作领导小组负责人接到变更申请后，应组织相关人员填写变更实施方案、计划的同时，涉及到业务变更时，应与相关部门或人员共同研究、制订评估方案和应急方案。

第一十九条 需要由第三方服务商提供变更方案或脚本时，变更申请部门应通过正式渠道（例如邮箱等）向信息安全等级保护工作领导小组提出，由信息安全等级保护工作领导小组根据变更内容制定变更方案，并通过正式渠道反馈。

第二十条 变更实施计划和回退方案应包含以下内容：

（一） 变更日期、时间（包括变更实施计划开始时间和结束时间）；

（二） 变更影响范围和是否影响管理系统业务连续运行；

（三） 变更中各部门需要配合和确认的工作，明确变更主要实施人员；

（四） 变更实施后的验证方案；

（五） 是否完成相关技术培训、操作手册和操作日志的修订；

（六） 变更是否涉及配置变更；

（七） 变更分析评估方案（包括风险分析、隐患分析等）；

（八） 变更的具体实施步骤、内容；

（九） 变更的回退方案；

（一十） 变更的应急方案。

第二十一条 根据变更方案，由变更申请人在变更申请单中说明变更的级别。

第八章 变更审批

第二十二条 变更审批应根据级别不同，进行不同的审批方式。

（一）、一级变更由信息安全领导小组组长进行审批。

（二）、二级技术变更由信息安全等级保护工作领导小组领导进行审批，二级业务变更则由信息安全等级保护工作领导小组领导以及变更申请部门领导共同审批。

（三）、三级变更由变更申请部门审批。

（四）、对于未被批准的变更，由信息安全等级保护工作领导小组负责将变更未被批准的具体原因通知变更申请相关单位或部门。

第二十三条 对业务有可能造成影响的变更，需要在变更实施前通知相关业务部门。

第九章 变更实施

第二十四条 除紧急变更外，对管理系统业务连续运行造成影响的变更，实施时间要避开业务高峰日期和特殊日期。

第二十五条 对于具备测试条件的变更，要在测试环境上进行严格、完整的模拟测试。

第二十六条 应根据变更的情况及时召开协调会，对变更进行通报和协调，进一步明确变更实施的要求和相关配合工作。

第二十七条 技术变更实施前：

（一） 变更实施人员需要做好有关操作流程制定、操作日志修改、技术文档整理和操作人员培训等工作；

（二） 应根据变更的受理情况，协调相关技术支持人员进行验证。

第二十八条 业务变更实施前：

（一） 对变更实施计划进行确认，并做好实施前的准备工作；

（二） 应根据变更的受理情况，协调相关技术人员以及业务人员进行验证。

第二十九条 变更实施的要求：

（一） 变更实施人员应确认“变更实施计划、评估、验证、应急和回退方案”；

（二） 变更实施过程中，按照变更实施计划的执行时间、环境、顺序、条件等要求执行变更实施计划，严格监控整个变更实施过程；

（三） 变更实施过程必须保证双人操作；

（四） 变更实施完成，认真检查现场执行结果，根据变更验证方案对变更后情况进行验证，并将变更实施结果反馈相关部门。

第三十条 变更实施过程中，如果发生与变更实施计划不相符的意外情况时，在没有找到原因和排除错误的方法时，变更实施人员必须立即报告，由该变更审批人决定是否终止变更，恢复变更实施前的管理环境，并详细记录信息。

第三十一条 变更实施过程中，如果需要启动新的变更或因变更实施计划不周需要调整变更内容，应重新进行变更审批；
若因某种原因导致变更失败，必须由实施部门审批人决定是否启动回退方案。

第三十二条 对于变更实施后的管理系统，变更实施人员进行跟踪检查和验证，确保变更结果的正确性。

第三十三条 对于涉及客户帐户的变更，必须在变更前后对帐户进行检查，确保变更实施准确无误。

第三十四条 对于在变更实施过种中出现安全事件，应按照《（xx市民政局）信息系统安全事件管理规定》执行。

第十章 变更汇总

第三十五条 变更实施完成后，由信息安全等级保护工作领导小组向变更申请部门反馈变更实施情况。

第三十六条 对于技术变更，应的二个工作日反馈变更申请部门。

第三十七条 对于业务变更实施完成后，应在三个工作日反馈变更申请部门。对于涉及保密的业务变更，在完成变更实施后，按照变更指定的方式向相关单位或部门反馈；

第三十八条 如果变更失败，信息安全等级保护工作领导小组负责分析产生问题的原因、提出改进意见、及时反馈到变更申请的相关部门。

第十一章 紧急变更

第三十九条 对工作日受理的需要立即实施的紧急变更，需完成申请和审批流程（特殊紧急情况可以使用邮件或电话形式）。

第四十条 非正常工作时间需要立即实施的紧急变更，可以使用邮件或电话形式进行申请和审批，最终形成纸质文档存档。

第四十一条 紧急变更实施前，变更实施人员制定简单的变更实施计划和验证、回退、恢复方案，其中回退或恢复方案是现行成熟的方案，具有可操作性。

第四十二条 紧急变更实施完成后，变更实施人员将变更实施结果反馈变更申请部门。

附录一  变更申请单

日期：

变更申请人		所属部门		联系电话
变更申请时间				期望完成时间
变更原因
变更要求
缓急程度	□常规       □紧急
变更类型	□技术       □业务
变更申请部门 意见	签章：         日期：
信息安全等级保护工作领导小组意见	签章：         日期：
变更级别		级
信息安全领导小组组长意见	签章：         日期：
变更实施人		所属部门			联系电话
变更方案详述 (方案可附件)	变更对象
	变更内容
		签章：         日期：
回退方案详述 (方案可附件)	回退对象
	回退内容
		签章：         日期：

二十五、备份与恢复管理规定

第一章 总则

第一条 为了加强（xx市民政局）数据安全管理，进一步规范数据的传输、归档、处置安全管理、以及数据备份行为，确保各类数据的完整性、保密性和可用性，特制定本管理办法。

第二章 术语定义

第二条 数据指计算机系统存储的信息，包括战略规划信息、业务决策信息、市场信息、客户信息、项目信息、操作信息、系统信息、财务信息、管理和控制信息、人事信息和合规信息等。

第三章 职责

第三条 本管理办法由各业务系统的管理人员负责执行：

（一）系统管理员:对所负责主机系统进行备份、恢复。

（二）数据库系统管理员: 对所负责数据库系统进行备份、恢复。

（三）应用系统管理员: 对所负责应用系统进行备份、恢复。

（四）网络管理员：对所负责网络系统进行备份、恢复。

第四章 备份管理

第四条 业务系统备份采取定期备份与动态备份相结合的原则。定期备份按一定周期有计划进行；
动态备份是指当操作系统、应用系统发生较大变动后，实时进行的备份。操作系统和数据库数据定期进行备份，在系统变更或较大应用调整前进行一次操作系统和应用软件备份，并同时同步备份机上相关内容；
对系统和应用的配置备份定期进行。

第五条 业务系统管理人员或其授权人员应填写《附录一：业务系统备份数据清单》，并由业务系统主管审批签字，以确保业务系统的所有网络设备、操作系统的系统配置数据及核心业务数据定期进行备份，备份策略正确。

第六条 数据备份采用0级备份或增量备份。数据备份策略的制定应综合系统性能、存储容量、数据量增长速度、业务需求、备份方式、存储介质、存储介质型号、有效期等因素。备份策略的制定应考虑在特殊日、版本升级日增加备份。

第七条 数据备份应采用性能可靠、不宜损坏的介质，如磁带、光盘等。备份数据的物理介质应注明数据的来源、备份日期、恢复步骤等信息，并置于安全环境保管。

第八条 数据备份时，要仔细检查备份作业或备份程序的执行结果，核实目标备份与源备份内容一致，确保备份数据的完整性和正确性。

第九条 数据备份时，应及时记录备份情况，包括备份作业，备份周期、时间、内容、数据保存期限，介质型号、介质容量、业务种类、转存情况、异地备份记录、相关变更记录等信息，并进行当日备份的问题记录。

第一十条 操作系统备份要求：

(一) 操作系统层的备份范围包括操作系统和系统运行所产生的登录和操作日志文件。

(二) 操作系统应每半年至少备份一次。

(三) 操作系统运行所产生的登录和操作日志文件应每月至少备份一次。

(四) 在操作系统安装系统补丁，进行系统升级，修改系统配置或其它可导致系统改变的情况发生前后必须进行操作系统备份。

(五) 操作系统层的备份由系统管理员负责实施。

(六) 所有操作系统层的备份完成后应至少保留24个月。

第一十一条 数据库备份要求：

(一) 数据库层的备份范围包括数据库的日志文件、数据文件和系统程序文件。

(二) 数据库日志文件包括归档日志文件、告警日志文件和跟踪文件。

(三) 在安装数据库补丁、应用系统补丁、数据库升级或其它导致数据库改变的操作发生前后必须备份完整的数据库数据文件和数据库程序文件，备份后应执行备份介质异地存放。

(四) 数据库数据文件每天增量备份，每周进行一次全量备份。

(五) 数据库归档日志应每天进行增量备份。

(六) 当数据库发生故障时，如需进行系统恢复，应先备份故障数据库的数据文件。

(七) 数据库层备份由数据库管理员负责实施。

(八) 所有备份的数据库日志文件和数据库程序文件备份应至少保留24个月。

第一十二条 应用系统备份要求：

(一) 应用系统层备份包括应用系统程序文件和日志文件。

(二) 应用系统程序文件和日志文件应每月至少备份一次，备份后应执行备份介质异地存放。

(三) 根据补丁级别，在安装应用系统补丁前后视要求执行系统备份。

(四) 应用系统备份由应用系统管理员负责实施。

(五) 所有的应用系统备份应至少保留12个月。

第五章 备份介质管理

第一十三条 对备份的数据需定期进行抽检，采用将备份数据恢复到测试环境的方式对备份数据的正确性进行验证。

第一十四条 备份管理人员应对本地备份数据情况进行每天一次的检查，并填写《附录二：本地备份登记记录》，相关业务系统主管应每月对《本地备份登记记录》签字审核。

第一十五条 为尽快恢复故障，应在本地（主场所）保留备份介质，同时为了避免主场所的灾难所导致的破坏，还应做好异地备份。异地备份场所的物理和环境保护级别不能低于主场所，主场所所采用的媒介控制措施应当扩展涵盖备用场所。

第一十六条 备份管理人员应及时对冷备介质进行异地存放，并填写《附录三：异地备份登记记录》，业务系统主管应每月对《异地备份登记记录》签字审核。

第一十七条 备份管理人员应制定详细可操作的备份恢复操作方案，并由业务系统主管审批签字。

第一十八条 备份管理人员根据方案每半年对本地和异地备份的业务数据在测试环境下进行一次恢复性测试，确保演练备份恢复时间在预定时间内，以及备份介质没有过期，备份数据可用、完整。恢复测试完毕后，及时填写《附录四：备份恢复测试记录》。

第一十九条 备份管理人员应根据备份数据须保存最长期限的要求在备份介质使用寿命到期之前及时更换备份介质，并在更换后填写《附录五：备份介质更换记录》，相关业务系统主管应每半年对《备份介质更换记录》签字审核一次。

第二十条 正式的备份数据恢复以及过期的备份数据销毁必须经相关业务系统部门主管领导认可后方可进行。

第二十一条 本地备份介质保存在本地机房中，只有本地经过授权进入机房的人员才能接触系统备份磁带。

第二十二条 异地备份介质保存在异地专用库房中，库房钥匙（或门禁卡等）只有负责异地存放备份介质的维护人员掌握。

第二十三条 应根据日常备份的需要提前估算并购买备份介质的数量，并及时检查备份介质的可用量，避免备份介质写满或者容量不足的情况发生。

第二十四条 备份介质达到使用年限后，应对备份介质上保存的数据进行审核，如需继续保存，则应由备份管理员将数据装移到新的备份介质上，并做恢复性测试，并签字确认。

第二十五条 安全管理员应每月对备份介质进行审核，并签字确认。

第六章 备份恢复管理

第二十六条 在解决故障的过程中，如需恢复生产系统中的数据库环境，必须首先提出申请，获得办公室负责人的批准后才可实施。

第二十七条 数据恢复前，必须根据情况对所需要恢复的数据进行必要的备份，防止有用数据的丢失。

第二十八条 数据恢复必须严格按照操作手册执行，出现问题时由办公室相关人员进行现场技术支持。

第二十九条 数据恢复后，必须进行验证、确认，确保数据恢复的完整性和可用性。

第三十条 由数据备份人员根据（xx市民政局）不同业务系统的实际拟定需要测试的备份数据项目以及测试的周期。

第三十一条 对于因设备故障、操作失误等造成的一般故障，需要恢复部分设备上的备份数据，遵循异常事件处理流程，由设备管理员或数据库管理员负责恢复。

第三十二条 对于因灾难等原因造成的重大事故，遵循持续性管理流程，启动灾难恢复计划进行恢复。

附录一：业务系统备份数据清单

（xx市民政局）业务系统备份数据清单

业务系统名称
序号	数据名称	保存期限	操作方式 （手工/自动）		备份方式	备份周期	操作人员	联系方式	备份操作步骤
1
2
3
备注：
业务系统主管审批签字							签字日期

附录二：本地备份登记记录

（xx市民政局）

本地备份登记记录

业务系统名称
数据名称	备份方式	备份状态	备份人签字		备份日期
备注：业务系统主管每月审核一次。
审核意见
业务系统主管审核签字			签字日期

附录三：异地备份登记记录

（xx市民政局）

异地备份登记记录

业务系统名称
介质编号	数据名称	介质类型	数量	存放地点	备份人签字	备份日期
备注：业务系统主管每月审核一次。
审核意见
业务系统主管审核签字					签字日期

附录四：备份恢复测试记录

（xx市民政局）

备份恢复测试记录

业务系统名称
备份介质编号	备份数据名称	介质类型	介质存放地点	测试方案	测试结果	后续工作	测试人	测试日期
备注：

附录五：备份介质更换记录

（xx市民政局）

备份介质更换记录

备份数据名称	存放地点	原备份介质			新备份介质				更换人签字	更换日期
		介质编号	介质类型	数量	介质编号		介质类型	数量
备注：业务系统主管每半年审核一次。
审核意见
业务系统主管审核签字				签字日期
审核意见
主管部门领导审核签字				签字日期

二十六、安全事件管理规定

第一章 总则

第一条 为加强内部管理，规范信息安全事件处理流程，提高安全事件发生时的应变能力，做到快速反应，正确应对，最大程度地降低安全事件带来的负面影响，确保信息系统业务正常、稳定开展，特制定本规定。

第二章 适用范围

第二条 本规定适用对象为信息安全事件处置过程，包括事件分类、分级、报告以及处置流程等，管理对象为办公室相关业务部门和信息安全工作领导小组。

第三章 术语定义

第三条 信息安全事件是指由于自然或者人为以及软硬件本身缺陷或故障的原因，对信息系统造成危害，或对社会造成负面影响的事件。

第四章 组织职责

第四条 信息安全工作小组是主要安全事件受理、解决部门，负责受理信息安全事件，协调组织安全事件解决方案或措施，并反馈处理结果；
安全管理员是安全事件具体受理人员，并协调组织相关人员处理安全事件。

第五条 其他相关部门应配合信息安全工作领导小组做好安全事件的解决，如发现安全事件，由各部门安全联络员及时上报信息安全工作领导小组。

第五章 事件分类

第六条 信息安全事件分为有害程序事件、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性事件和其他信息安全事件等7个基本分类。

（一） 有害程序事件是指蓄意制造、传播有害程序，或是因受到有害程序的影响而导致的信息安全事件。有害程序是指插入到信息系统中的一段程序，有害程序危害系统中数据、应用程序或操作系统的保密性、完整性或可用性，或影响信息系统的正常运行；
包括计算机病毒事件、蠕虫事件、僵尸网络事件、混合攻击程序事件以及其他有害事件。

（二） 网络攻击事件是指通过网络或其他技术手段，利用信息系统的配置缺陷、协议缺陷、程序缺陷或使用暴力攻击对信息系统实施攻击，并造成信息系统异常或对信息系统当前运行造成潜在危害的信息安全事件。包括拒绝服务攻击事件、后门攻击事件、漏洞攻击事件、网络扫描窃听事件、网络钓鱼事件、干扰事件和其他网络攻击事件。

（三） 信息破坏事件是指通过网络或其他技术手段，造成信息系统中的信息被篡改、假冒、泄漏、窃取等而导致的信息安全事件。 信息破坏事件包括信息篡改事件、信息假冒事件、信息泄漏事件、信息窃取事件、信息丢失事件和其它信息破坏事件。

（四） 信息内容安全事件是指利用信息网络发布、传播危害国家安全、社会稳定和公共利益的内容的安全事件。 信息内容安全事件包括违反宪法和法律、行政法规的信息安全事件；
 针对社会事项进行讨论、评论形成网上敏感的舆论热点，出现一定规模炒作的信息安全事件；
 组织串连、煽动集会游行的信息安全事件；
 其他信息内容安全事件等。 

（五） 设备设施故障是指由于信息系统自身故障或外围保障设施故障而导致的信息安全事件，以及人为的使用非技术手段有意或无意的造成信息系统破坏而导致的信息安全事件。设备设施故障包括软硬件自身故障、外围保障设施故障、人为破坏事故、和其它设备设施故障。

（六） 灾害性事件是指由于不可抗力对信息系统造成物理破坏而导致的信息安全事件。 灾害性事件包括水灾、台风、地震、雷击、坍塌、火灾、恐怖袭击、战争等导致的信息安全事件。

（七） 其他事件类别是指不能归为以上6个基本分类的信息安全事件。

第六章 事件分级

第七条 根据信息安全事件的分级考虑要素，将信息安全事件划分为四个级别：特别重大事件、重大事件、较大事件和一般事件。

（一） 特别重大事件是指能够导致特别严重影响或破坏的信息安全事件，包括以下情况：

■ 会使特别重要信息系统遭受特别严重的系统损失；
 

■ 产生特别重大的社会影响。 

（二） 重大事件是指能够导致严重影响或破坏的信息安全事件，包括以下情况： 

■ 会使特别重要信息系统遭受严重的系统损失、或使重要信息系统遭受特别严重的系统损失；
 

■ 产生的重大的社会影响

（三） 较大事件是指能够导致较严重影响或破坏的信息安全事件，包括以下情况：

■ 会使特别重要信息系统遭受较大的系统损失、或使重要信息系统遭受严重的系统损失、一般信息信息系统遭受特别严重的系统损失；
 

■ 产生较大的社会影响。 

（四） 一般事件是指不满足以上条件的信息安全事件，包括以下情况：

■ 会使特别重要信息系统遭受较小的系统损失、或使重要信息系统遭受较大的系统损失，一般信息系统遭受严重或严重以下级别的系统损失；
 

■ 产生一般的社会影响。

第七章 事件监控

第八条 由信息安全运维部值班人员对安全管理平台进行监控，对出现安全事件应及时填写《附录一、异常现象报告单》，上报运维值班负责人，通知安全管理员。

第九条 各系统管理员、网络管理员以及设备管理员应对各自负责的系统、网络和设备进行日志监控，如发现安全事件及时填写《附录一、异常现象报告单》，并通知安全管理员。

第八章 事件受理

第一十条 安全管理员接到异常报告单后，进行判断是否为安全事件。

第一十一条 如果确认为安全事件，则根据事件类型和分级要求对安全事件进行定义并初步填写《附录二、信息安全事件报告》。

第一十二条 对于较大及以上级别安全事件，由安全管理员在一小时内上报给信息安全工作领导小组负责人。

第九章 事件处置

第一十三条 一般安全事件处置流程

(一) 一般安全事件统一由安全管理员接口受理，并由相关系统管理员配合安全管理员对事件进行统筹管理和跟踪。

(二) 一般安全事件的处理流程由安全管理员负责协调处理，如涉及到生产环境系统的变更，按照《（xx市民政局）信息系统变更管理规定》进行处理。

(三) 一般安全事件处理完成后，由安全管理员组织相关人员对事件进行分析完成信息安全事件报告，并将结果通知相关事件发起人以及相关系统管理员，并因安全事件产生的各类系统漏洞，应明确表示相关人员不得尝试验证该漏洞。

第一十四条 较大及以上安全事件处置流程

(一) 现场保护：如果信息安全事件与数据和程序相关，则要求对存有数据和程序的存储介质进行备份，以保护数据和证据的安全、完整；

(二) 防止扩散：如果发生信息安全事件设备或人员会影响系统其它设备和人员，则应立即采取隔离措施，如发现有设备感染网络病毒，则使设备从网络上断开。

(三) 应急恢复处理：

■ 如果发生信息安全事件的设备或人员不工作时会影响到业务运行，则要求尽快采用应急措施，启动备用资源；

■ 在应急恢复处理时，必须保证不产生二次损坏或丢失证据。

(四) 分析事件原因：

■ 调查分析是安全事件处理的核心，其主要目的在于找到发生安全事件的原因和相关解决方案；

■ 如果调查过程中，发现安全事件涉及窃取办公室经济利益或者损害办公室名誉的行为，安全事件的处理报告给办公室相关部门处理；
对于触犯法律法规的行为，由办公室相关部门决定是否移交公安部门进行调查处理。

(五) 制定解决方案：根据信息安全事件的情况，由信息安全工作领导小组组织办公室相关部门讨论、制定安全事件的解决方案，必要时联系相关的第三方服务商协助处理。

(六) 实施解决方案：确定解决方案后，相关人员进行方案实施，恢复系统的正常运作状态包括对遭受安全事件影响的系统进行恢复和安全修复两方面的工作，并作必要的技术处理，以保证不再发生相同的信息安全事件。

(七) 实施检查：信息安全工作领导小组应组织对事件的处理结果进行验证、回顾，对于处理结果是否达到预期效果进行评审，并且对事件的处理过程进行记录，保留相关文档。

(八) 总结反馈：

■ 信息安全工作领导小组应定期审阅所有安全事件报告，分析安全事件并总结经验教训；

■ 确认其它资产是否受到类似的威胁，并采取预防措施；

■ 审查安全事件涉及的安全策略、标准和程序，确定是否需要更新相关的文件；

■ 对安全事件进行总结，并将总结反馈给相关部门；

■ 安全事件中汲取的经验教训。

■ 由安全管理员根据实际情况完成信息安全事件报告，并发送给所有相关部门或个人。

(九) 9)对于重大以及特别重大的事件，由信息安全领导小组审定是否启动相关应急预案。

(一十) 10)对于涉及到生产环境的变更，则必须按照变更管理规定进行实施，对于涉及国家秘密事件处理和恢复的人员，重要操作要求至少两名工作人员在场并登记备案。

附录一、信息安全异常现象报告

日期：

报告人的详细情况

姓名：地址：

单位：部门：

电话：电子信箱：

信息安全异常现象描述

异常现象描述：

● 发生了什么

● 如何发生的

● 为什么会发生

● 受影响的部分

● 对业务的负面影响

● 任何已确定的脆弱性

信息安全异常现象细节

发生异常现象的日期和时间：

发现异常现象的日期和时间：

报告异常现象的日期和时间：

异常现象是否结束？（选择）　是　　　否　

如果是，具体说明异常现象持续了多长时间（天/小时/分钟）：

附录二、信息安全事件报告

日期：

信息安全事件概述

事件的进一步概述：

● 发生了什么

● 如何发生的

● 为什么会发生

● 受影响的部分

● 对业务的负面影响

● 任何已确定的脆弱性

信息安全事件细节

发生事件的日期和时间：

发现事件的日期和时间：

报告事件的日期和时间：

事件是否结束？（选择）　是　　　否　

如果是，具体说明事件持续了多长时间（天/小时/分钟）：

如果否，具体说明到目前为止事件已经持续了多长时间：

信息安全事件的类型

实际发生的　　　未遂的　　　可疑的　

有害程序事件　　

计算机病毒事件　                      僵尸网络事件   

恶意代码                               蠕虫事件        

混合攻击程序事件                         其他

（选择一项）　网络攻击事件　　（指出所涉威胁类型）

拒绝服务攻击事件   

漏洞攻击事件

网络钓鱼事件

后门攻击事件

网络扫描窃听事件

干扰事件

其他

（选择一项）　信息破坏事件　　（指出所涉威胁类型）

信息篡改事件

信息泄漏事件

信息丢失事件

信息假冒事件

信息窃取事件

其他

信息内容安全事件　　（指出所涉威胁类型）

（包括违反宪法和法律、行政法规的信息安全事件；
 针对社会事项进行讨论、评论形成网上敏感的舆论热点，出现一定规模炒作的信息安全事件；
 组织串连、煽动集会游行的信息安全事件；
 其他信息内容安全事件等）                   具体说明：

未知的　　（如果尚无法确定事件属于故意、意外还是错误造成的，选择本项，且如果可能，用上述威胁类型缩写指出所涉威胁类型。）

二十七、应急预案管理规定

第一条 按照上级文件要求，为切实做好（xx市民政局）网络与信息安全事件应急工作，特制定应急预案如下:

第二条 组织机构

成立网络安全与信息化工作领导小组，组长为单位书记，副组长为单位副书记、办公室、队伍建设科等相关负责人为小组成员。网络安全与信息化小组组织拟订应对信息安全突发事件的工作规划和应急预案，汇总有关信息安全突发事件的各种重要信息，进行综合分析，并提出建议。办公室承担网络和信息安全专项应急的日常工作，负责网络和信息安全突发事件日常监测与预警。

第三条 应急支撑力量

市单位的通信线路、服务器、网络设备硬件资源统一向市政府申请，由市政务云数据中心提供资源及服务。本单位网络和信息安全预警与应急处理提供技术保障，进一步提高安全事件的发现和分析能力， 从技术上逐步实现发现、预警、处置、通报等多个环节的应急处理联动机制。

第四条 事件与先期处置

（一） 网站、网页被篡改事件紧急处置措施

■ 网站、网页由网络和信息管理人员负责随时密切监视信息内容。

■ 发现在网上出现非法信息时，网络和信息管理人员立刻向单位领导通报情况;情况紧急的，应先及时采取删除等处理措施，再按程序报告。

■ 网络和信息安全相关负责人应在接到通知后立即赶到现场，作好必要记录，清理非法信息，妥善保存有关记录及日志或审计记录，强化安全防范措施，并将网站网页重新投入使用。

■ 追查非法信息来源，并将有关情况向网络和信息安全管理部门反映。情况严重的，要向公安部门报案。

（二） 黑客攻击事件紧急处置措施

■ 当网络和信息管理人员发现网页内容被篡改，或通过入侵检测系统发现有黑客正在进行攻击时，应立即向网络和信息安全负责人通报情况。

■ 网络和信息安全相关负责人 应在接到通知后立即赶到现场，并首先将被攻击的服务器等设备从网络中隔离出来，保护现场，并将有关情况向网络和信息安全管理部门反映。情况严重的，要向公安部门报案。

■ 对现场进行分析，并写出分析报告存档，必要时上报市委。

■ 恢复与重建被攻击或破坏的系统。

（三） 病毒事件紧急处置措施

■ 当发现有计算机被感染上病毒后，应立即向网络和信息安全负责人报告，将该机从网络上隔离开来。

■ 网络和信息安全相关负责人员在接到通报后立即赶到现场。对该设备的硬盘进行数据备份。

■ 启用反病毒软件对该机进行杀毒处理，同时通过病毒检测软件对其他机器进行病毒扫描和清除工作。

■ 如果现行反病毒软件无法清除该病毒，应迅速联系有关产品商家研究解决。

（四） 软件系统遭破坏性攻击的紧急处置措施

■ 重要的软件系统平时必须存有备份，与软件系统相对应的数据必须按本单位容灾备份规定的间隔按时进行备份，并将它们保存于安全处。

■ 一旦软件遭到破坏性攻击，应立即向网络和信息安全负责人报告，并将该系统停止运行。

■ 检查信息系统的日志等资料，确定攻击来源，并将有关情况向网络和信息工作领导小组汇报，再恢复软件系统和数据。

■ 单位规定应急预案需要每三个月进行审查和根据实际情况更新的内容。

第五条 报告联系部门

在发生重大信息安全突发事件时，网络和信息安全管理人员要及时收集、上报和通报突发事件的有关情况，向本单位领导汇报，主要确保安全策略的制定与执行，并向网络和信息安全主管部门反映情况，向本单位各工作机构、办事机构通报情况，各方要共同协商，做好突发事件的处置工作。

---

二十八、软件管理办法

第一章 总则

第一条 为指导信息系统建设和安全管理，加强软件管理，有效控制技术风险，促进信息系统的规范化与标准化建设，特制定本办法。

第二章 适用范围

第二条 本办法适用于各类软件系统的使用与管理。

第三章 职责与权限

第三条 办公室统一管理单位内部的业务系统，各业务科室是信息系统的职能管理部门。办公室总体牵头负责信息系统所需软件的采购、培训、升级维护和管理，保障软件在信息系统中的安全运行，并提供软件使用中的技术支持。

第四章 软件管理

第四条 软件安装（含更新安装）使用后，软件的存储介质或拷贝必须交由办公室统一登记与保存。

第五条 严格执行软件版本管理及分发流程，防止软件的盗用、误用、流失及越权使用。

第六条 软件的设计方案、数据结构、加密算法、源代码等技术资料严禁散失和外泄。

第五章 软件外包开发

第七条 在软件总体设计时，应根据应用软件的实际用途，同步进行安全保密设计，还指定业务科室负责系统交付的管理工作，并按照管理规定的要求完成系统交付工作。

第八条 软件外包开发，在与开发商签定的服务协议中要求制订测试验收方案和软件使用风险条款，明确权责义务，确定补偿措施与限额，保障双方合法权益。

第九条 要求开发单位提供软件源代码，并要求在系统上线前开发商必须审查系统是否存在的后门。

第一十条 软件安装之前由项目组进行检测软件包中是否可能存在的恶意代码，并向分管领导提请验收测试报告。

第一十一条 业务科室组织安全技术专家进行项目验收报告并给出评审意见，报请验收通过。

第六章 软件使用

第一十二条 标准化软件在购买后，经测试、试运行确认安全后即可上线运行。

第一十三条 外包开发软件正式投入使用前必须经过内部评审，确认软件功能、性能、安全性均满足相关标准和业务要求，技术文档完备。

第一十四条 单位的系统才能正式上线运行前，委托公正的第三方测试单位对系统进行安全性测试。

第一十五条 正确评估软件上线风险，做好相应的应急和备份计划。

第一十六条 软件使用人员在使用前应接受必要的操作培训和安全教育。

第一十七条 软件的使用应遵循最小功能原则及最小权限策略，关闭不必要的服务和端口。

第一十八条 标准化软件应在经过充分测试的前提下，及时安装补丁程序。

第一十九条 标准化软件采购与外包软件开发均需要在合同中约定后期服务内容，包括软件功能升级、版本修改、变更及配置更改，由项目管理员负责。

第二十条 外包开发软件的功能性升级、变更及配置更改严格按照日常维护操作流程执行。根据业务需求进行软件升级修改按软件开发过程管理。

二十九、信息交付管理规定

第一章 总则

第一条 为规范本单位信息安全交付行为，提高信息安全交付安全意识，确保信息和资产的安全特制定本规定。

第二条 本规定规范安全交付的过程和人员行为准则。

第三条 制定详细的安全系统交付清单（见附件），并根据交付清单对所交接的设备、软件和文档等进行清点。

第四条 业务科室负责系统交付的管理工作，并按照管理规定的要求完成系统交付工作。

第二章 安全交付规范

第五条 物理与环境的安全

（一） 在通过本单位信息安全领导小组的书面审批后进出机房、办公区域和敏感区域并遵守相关管理规定；

（二） 严禁泄露门禁系统密码，或自配机房钥匙，如有遗失应及时上报并备案；

（三） 在信息安全项目实施中，不得对未授权的设备进行违规操作，包括数据查看、复制，配置信息泄露、更改等；

（四） 对于设备更新，旧设备的销毁，应检查所有含存储介质的设备，确保在销毁前所有敏感数据或授权软件已经被移除或安全重写；

（五） 从本单位接收的资产，应保证资产的完整性和保密性，不得以各种方式传输给非相关工作人员，在交付完成后应将所获得的资产全部归还。

第六条 通信和操作安全

（一） 未经本单位信息安全领导小组许可，不得对设备程序、配置文件、数据以及日志进行查询、复制、修改等操作，不得改动网络设备连接；

（二） 未经本单位信息安全领导小组许可，不得在设备上安装和使用临时软件和工具，并要报告安装软件和工具可能给设备带来的危害；
现场服务结束后，删除因服务需要而允许安装的临时软件和工具，恢复设备运行环境；

（三） 对敏感区域的拍照需得到（xx市民政局）的许可；

（四） 对设备进行有风险的操作时（例如软件升级、重要硬件更换、网络结构变更等），应征得（xx市民政局）同意后，方能执行；
操作前应对数据信息进行备份，并在虚拟环境中做安全测试；

第七条 访问控制管理

（一） 设备调试测试过程中，应及时在已安装的服务器和终端设备上设置管理员密码，并保证密码的复杂度；

（二） 服务项目移交前，须统一修改调试用密码后再提交给本单位，移交清单中包括密码的移交内容，并要求自行修改密码后签字确认；

（三） 对操作和访问权限进行必要的限制，分权分域，最小权限原则设置；
并确保每个人员有唯一的用户身份证明和密码，仅供本人使用；

（四） 定期对设备所有密码进行更新，并保证密码的复杂度；
定期对设备账号进行清理，清除不用的账号；

（五） 项目服务人员接入本单位网络时，必须设置指定的网络配置，避免地址冲突造成对其它设备的影响；

（六） 远程服务前必须向信息安全领导小组提交远程服务申请，在申请获得批准后，服务工程师应要求提供接入设备的信息（如登录名，登录密码，登录地址，拨入号码等）；
如有需要，必须使用授权过的终端或远程维护软件接入网络；

（七） 远程服务结束后，所创建的远程服务环境和登陆信息应及时修改或删除，并通知单位相关部门及时关闭设备的远程服务权限；

（八） 在操作本单位设备的过程中，禁止使用服务器和终端连接互联网，如需连接，应先申报。

第八条 信息系统开发和维护

（一） 服务交付过程中涉及到设备配置、组网方案、IP地址、设备口令、技术规格、存储的数据、对接参数、业务特性、管线信息、终端用户信息等，不得扩散和泄漏；

（二） 在设备调测和软件升级过程中，需从合法的渠道获取软件版本；

（三） 不得在非本单位设备上安装使用购买的操作系统、数据库等软件，不得将本单位购买的设备序列号、相关软件序列号信息用于非本项目用途；

（四） 维护过程中，系统密码等重要信息应通过内网或加密邮件方式通知，禁止采用口头、书面的形式；

（五） 服务商等第三方人员获得的个人信息，包括姓名、职位、联系方式、培训经历等信息，进行有效管理，在最小范围内使用，不得扩散和泄漏。

第三章 人员安全管理

第九条 交付过程中，实施交付的人员应主动学习相关管理规定和安全事故案例，提高服务交付安全意识。

第一十条 在实施交付过程中对违反本规定的行为进行追责处理，构成违法犯罪的应追究其刑事责任。

附件   安全系统交付清单

交付第三方
项目服务时间
交付实施人员
交付内容（由第三方责任人填写）：
第三方责任人签字确认：                           年   月   日
信息安全领导机构签字确认：                           年   月   日

推荐访问:单位内部网络信息安全制度汇编（试行） 试行 信息安全 汇编