铁路客票安全系统使用管理办法
铁道部文件
铁运[2007]241号
关于印发《铁路客票安全系统使用管理办法
（试行）》的通知
各铁路局，铁道科学研究院：
现将《铁路客票安全系统使用管理办法（试行）》发给你们，请按照执行。
二○○七年十一月二十日铁路客票安全系统使用管理办法（试行）
第一章总则
第1条为保证铁路客票安全系统（以下称客票安全系统）正确运用、稳定运行，充分发挥其对TRS（铁路客票发售和预订系统，以下称客票系统）的安全保障作用，依据《铁路客票发售和预订系统安全管理办法》（铁运[2004]11号）、《客票发售和预订系统安全
设备配臵技术规范》（铁运[2007]141号），结合客票业务以及客票安全系统特点，制定本办法。
第2条本办法适用于客票安全系统的运行和维护阶段，涉及用户、硬件、软件、网络通信以及安全管理制度等方面。各单位必须牢固树立安全意识，加强客票安全系统的使用管理，提高系统运行的可靠性和稳定性，确保充分发挥其安全防护作用。
第二章职责分工
第3条客票安全系统实行铁道部、铁路局、站段三级管理模式，由相应的客票主管部门负责管理，逐级抓好客票安全系统的权限管理、认证授权管理、安全配臵管理、监控管理、审计管理及系统软硬件管理等工作。
第一节铁道部
第4条负责统一管理全路客票安全系统的软件版本，组织进行系统的升级工作。
第5条负责全路客票安全系统用户类权限划分。
第6条负责全路客票安全系统证书的管理，负责铁道部证书管理中心（证书签发中心、证书认证中心和密钥管理中心）的管理和维护；负责保管铁道部中心主控密钥卡和管理私钥卡；负责铁道部中心操作人员身份卡（操作人员的唯一标识）和节点身份卡（包括服务器、操作终端及网络设备等的客票系统和客票安全系统设备的唯一标识）的审批、发放和管理；负责对铁路局高级管理员的审批
和授权。
第7条负责铁道部中心客票安全系统安全策略、拓扑图、主机服务器、网络防火墙、NSDS（核心管控器）等安全配臵。
第8条负责对铁道部客票系统的安全状态进行监控，对异常情况按照规定及时处理并报告主管领导。
第9条负责对铁道部安全审计报告进行审查，对发生的安全事件进行分析和处理；对各铁路局提交的安全审计报告进行审查，督促、指导铁路局对发生的安全事件进行分析和处理。
第10条负责铁道部中心客票安全系统的系统管理和维护，包括系统软硬件管理、系统故障处理、系统备份与恢复。
第11条负责组织全路客票安全系统管理工作的检查和考核，对各管理和使用单位的安全工作进行表彰或处罚。
第二节铁路局
第12条贯彻落实铁道部关于客票安全系统的规章、制度及有关技术标准。
第13条依据铁道部关于客票安全系统的有关规定制定本局客票安全系统的使用管理办法及实施细则。
第14条负责对站段客票安全系统的运行与维护管理进行指导、监督和检查。
第15条负责组织本局客票安全系统的升级和维护工作。
第16条负责本局证书管理中心（证书认证中心和密钥管理中心）的管理和维护；负责本局客票安全系统操作人员的权限分配，
负责本局所有操作人员身份卡和节点身份卡的审批、发放和管理。
第17条负责本局客票安全系统安全策略、拓扑图、主机服务器、网络防火墙、NSDS（核心管控器）等安全配臵。
第18条负责对本局客票系统的安全状态进行实时监控，对异常情况及时处理并按规定上报铁道部。
第19条负责对本局安全审计和分析报告进行审查，对发生的安全事件进行分析和处理；督促、指导车站对发生的安全事件进行分析和处理；并定期将安全审计报告和审计分析报告上报铁道部。
第三节车站（车务段）
第20条贯彻落实铁道部和铁路局关于客票安全系统的使用管理办法，制定本单位实施细则。
第21条负责落实本单位客票安全系统的升级和维护工作。
第22条负责本单位操作人员身份卡和节点身份卡的申请和使用管理，并及时将变更信息上报上级主管部门审批。
第23条对本单位客票系统的安全状态进行监控，及时分析和处理发生的安全事件，并上报铁路局。
第三章权限管理
第24条客票安全系统管理和使用人员划分为以下7类：
1.高级管理员：负责本级业务管理员权限的授予。
2.系统管理员：负责客票安全系统的系统配臵、维护、备份与恢复，可对客票系统的安全状态进行监控。
3.安全管理员：负责客票安全系统的安全配臵管理, 并对异常事件进行处理，可对客票系统的安全状态进行监控。
4.业务管理员：此用户类权限只能由高级管理员授予，负责身份卡的信息维护、权限分配、审批、发放、变更以及证书管理等，并可对客票系统的安全状态进行监控。
5.安全值班员：负责对客票系统的安全状态进行监控、记录和报告。
6.安全审计员：负责对系统的各类安全事件以及日志进行审计、分析和报告。
7.客票业务员：客票系统操作人员均属于此用户类。
第25条铁道部高级管理员由系统初始产生，其他单位的高级管理员权限由上级主管部门授予。
第26条各级单位根据业务需要进行权限分配，可将多个用户类分配给同一操作人员。拥有系统管理员、安全管理员和业务管理员权限的人员不能拥有安全审计员权限。
第四章认证授权管理
第27条铁道部建立统一的证书管理中心，为客票安全系统提供证书生成、签发、密钥管理以及证书查询验证服务。
第28条铁道部客票安全系统初始产生两张系统主控密钥卡和三张私钥卡，并由铁道部主管部门保管。铁道部证书管理中心初始产生部中心主控密钥及管理私钥，通过主控密钥传递权限产生铁道
部高级管理员。
第29条铁路局建立证书管理中心，为本局提供证书生成、签发、密钥管理以及证书查询验证服务。铁路局高级管理员用户卡由铁道部证书管理中心生成。
第30条各单位要制定操作员身份卡和节点身份卡管理细则，明确职责，并指定专人负责本单位身份卡的管理。
第31条操作员身份卡和节点身份卡的管理包括购臵、申请、审批/发放、保管、冻结/解冻、挂失/解挂、换卡、注销、身份卡密码管理。
1.购臵
铁路局购臵新卡时，须向铁道部提出书面申请，经批准后，向铁道部指定单位购买。
2.申请
（1）铁道部和铁路局的操作员身份卡和节点身份卡由使用部门向本级客票主管部门提出书面申请。车站（车务段）的操作员身份卡和节点身份卡由使用单位向铁路局客票主管部门提出书面申请。
（2）书面申请中须注明数量、用途等信息，同时在客票安全系统中填写操作员身份卡的操作员ID、操作员姓名（备用卡填写’备用’加序号）、用户组等详细信息，以及节点身份卡的节点编码、所属安全域、安全级别、节点名称（备用卡填写’备用’加序号）、系统类型、物理位臵、终端类型等详细信息。
3.审批/发放
（1）铁道部客票主管部门对本级操作员身份卡和节点身份卡申请进行审批，核准后予以发放。
（2）铁路局客票主管部门对本级和车站的操作员身份卡和节点身份卡申请进行审批，核准后予以发放。
4.保管
（1）各铁路局购臵的新卡由本局客票主管部门保管。
（2）操作员身份卡由操作员本人保管，节点身份卡由使用单位（部门）指定专人保管，并详细登记造册。
（3）各单位可根据需要领取一定数量的备用操作员身份卡和节点身份卡。备用操作员身份卡和节点身份卡在启用前和使用完毕后，由各领取单位（部门）指定专人保管；启用过程中，由领取人保管。
5.冻结/解冻
（1）备用操作员身份卡和节点身份卡在发卡时为冻结状态；需要启用时，使用单位（部门）向发放部门申请解冻；使用完毕后，使用单位（部门）应在12小时内向发放部门申请冻结。
（2）铁路局客票主管部门可以根据申请或业务需要对操作员身份卡和节点身份卡进行冻结/解冻处理。
6.挂失/解挂
（1）操作员身份卡或节点身份卡遗失时，使用单位（部门）应在12小时内向发放部门提交书面说明申请挂失，发放部门核准后
办理挂失手续。
（2）遗失身份卡找到后，使用单位（部门）应在12小时内向发放部门提出解挂申请，发放部门核准后办理解挂手续，恢复身份卡为正常使用状态。
7.换卡
操作员身份卡和节点身份卡损坏时，使用单位（部门）向发放部门提交换卡申请，同时交还原卡，发放部门审批通过后，注销该卡，换发新卡。
8.注销
（1）操作员身份卡保管人因工作变动或离职时，使用单位（部门）将身份卡交还发放部门，发放部门注销该卡。注销后的身份卡可重复使用。
（2）损坏的卡注销处理后由发放部门集中保管和销毁。
9.身份卡密码管理
（1）操作员身份卡第一次使用时须修改密码。密码的设定和修改应符合有关安全规定。
（2）操作员身份卡密码遗失时，由使用单位（部门）向发放部门申请恢复初始密码，同时上交该卡。发放部门恢复初始密码后，发还该卡。
第五章安全配置管理
第32条客票安全系统内网安全配臵以优先保证客票系统稳定
运行为原则。
第33条因客票系统结构改变导致客票安全系统安全域发生变化时，报铁道部同意后，由有关技术支持单位协助实施。
第一节安全策略配置
第34条客票安全系统安全策略配臵包括安全域、安全对象类、安全认证策略、事件、事件策略等配臵。
第35条安全策略配臵按照铁道部的统一规范实施。
第二节拓扑图配置
第36条拓扑图是客票安全系统为方便用户监控和配臵管理提供的一个可视化界面。
第37条当各单位新增设备时，须及时在拓扑图上进行配臵，配臵内容包括节点编码、所属安全域、节点名称、物理位臵、系统类型等信息。
第38条须及时在拓扑图上反映节点属性的变更情况。
第39条须及时在拓扑图上删除已不存在的节点。
第三节客票服务器安全配置
第40条为了及时发现客票服务器上的安全隐患，各单位须对客票服务器进行安全配臵。
第41条客票服务器须安装主机安全代理，各单位系统管理员须确保主机管控器和主机安全代理正常运行。
第42条须对服务器的CPU、内存、交换区、磁盘空间、系统负
载、最大连接数等状态阀值进行配臵(见附表1)。
第43条须对服务器进行合法进程的配臵。合法进程包括操作系统进程、数据库服务进程、数据库命令操作进程、工作流进程、应用服务进程、传输服务进程和接口服务进程等。
第44条须对服务器进行合法用户和服务的配臵，控制用户的非法访问和服务。
第45条须对服务器进行合法网络配臵，保证合法地址和端口连接的有效性。
第46条须对服务器进行合法网络服务参数配臵，包括服务进程名称、服务通讯协议和服务通讯端口等配臵。
第47条须对服务器进行合法注册的软硬件配臵，实现软硬件的安全管理。
第48条须对服务器的重要配臵文件进行完整性配臵，配臵文件至少包括/etc/passwd、/etc/group、/etc/inittab和/etc/fstab。
第四节终端安全配置
第49条为保证终端业务的安全性，各单位须确保所有业务终端都正确安装安全代理部件，并进行安全配臵。
第50条必须为终端配臵唯一标识的节点身份卡，并进行自动配臵并确保运行正常，在终端使用过程中不得将节点身份卡随意插拔。
第51条终端业务操作人员必须持本人身份卡当班。
第52条安全代理自动配臵后已存在默认规则，根据业务需要可
在配臵管理器上对规则进行修改，修改内容包括ICMP、TCP、UDP 的协议和源目的IP地址、端口等信息。
第53条除安全监控业务需要外，不得随意更改业务终端防火墙配臵，不得随意改动安全通讯的配臵。
第54条须对安全代理进行进程白名单（合法进程列表）配臵，用于动态拦截非法进程。在安装时会自动生成一份白名单，业务需要变更时，可对其修改。
第五节网络防火墙安全配置
第55条网络防火墙用于系统的安全域划分，保障域与域之间的安全访问。
第56条铁路局须配臵本局客票系统与铁道部客票系统、其他路局客票系统、所辖车站客票系统、路内其它系统之间，以及客票安全系统之间的防火墙静态规则。规则具体到源IP、目的IP、目的端口和协议。
第57条有网络防火墙的站段须配臵本地客票系统与路局客票系统及客票安全系统之间的防火墙静态规则。
第58条须为所有终端对象配臵相关事件的防火墙动态规则，保证安全认证成功后允许其访问客票服务器，以及离线或注销后拒绝其访问客票服务器。
第59条对于需记录匹配数据的静态规则，可加配相关防火墙日志规则。
第60条对于安全性极高的静态规则，可加配防火墙MAC规则。
第六节NSDS安全配置
第61条NSDS用于监测所有访问客票服务器的网络数据，及时发现异常访问。
第62条各单位的系统管理员必须确保NSDS安装和正常运行。
第63条须在NSDS上正确配臵数据库服务器、应用服务器和负载均衡器的虚实IP。
第64条须在NSDS上将访问本单位服务器的其它系统的合法IP 配臵为静态白名单。
第65条须在NSDS上为所有终端配臵相关事件的动态白名单策略，保证其安全认证成功后添加到动态白名单，以及离线或注销后从动态白名单中删除。
第七节告警配置
第66条各单位必须对主机资源使用事件、主机非法事件、非法访问事件、物理环境事件、安全部件运行状况事件等进行告警配臵。
第67条对于严重影响客票业务的应用服务器、数据库服务器和网络设备事件，告警级别设臵为一级，并设臵声音等方式通知安全值班员。
第68条对于可能影响客票业务的管控器监视事件，告警级别设臵为二级，通过配臵管理器滚动显示提醒安全值班员。
第69条对于不影响客票业务但影响客票安全系统运行的配臵管理器和安全代理事件，告警级别设臵为三级，通过配臵管理器滚动显示提醒安全值班员。
第70条对于非法访问节点的事件，除告警外，须配臵策略使其能自动显示。
第八节安全机柜配置
第71条各单位必须对提供智能安全保障措施的安全机柜进行配臵。
第72条安全机柜须打开震动报警项，当机柜未经授权物理搬动时进行报警。
第73条安全机柜须打开温度报警项，设定机柜温度报警阀值为摄氏28度，当机柜内温度超过阀值时进行报警。
第74条安全机柜须打开非法开门报警项，当机柜未经授权开门时可进行报警。
第六章监控管理
第75条铁道部客票系统技术支持单位（铁科院，下同）负责每天监控铁道部中心的操作终端、网络设备、客票服务器、安全设备等的运行状态，并填写运行状态监控表（见附表2），发现异常及时进行处理。
第76条铁道部客票系统技术支持单位负责每天监控铁路局节点运行状态，发现异常情况，及时向铁道部主管部门报告并指导相关铁路局进行处理。
第77条铁路局安全值班员负责每天监控路局中心操作终端、网络设备、客票服务器、安全设备等的运行状态，并填写运行状态监
控表（见附表2），发现异常及时组织相关单位进行处理。
第78条铁路局安全值班员负责每天监控站段节点运行状态，发现异常情况，督促、指导并组织相关单位进行处理。
第79条站段安全值班员负责每天监控本级操作终端、网络设备、安全设备等的运行状态，并填写运行状态监控表（见附表2），发现异常及时组织相关单位进行处理。
第80条业务终端监控发现异常时，须检查的内容包括操作系统类型、CPU类型、设备所在地、客票窗口号、当前用户、用户ID、IP地址、已登录时长、业务工作状态、代理状态、运行进程信息、TCP服务端口、磁盘空间使用率、CPU使用率、内存使用率、FTP业务信息和TELNET业务信息运行状态。
第81条客票服务器的监控内容须包括系统资源（CPU信息和使用率、内存使用率、进程、TCP端口、重要文件系统的磁盘剩余空间、操作系统信息）、系统进程（进程名称、进程所属用户、进程的CPU占用率、进程的内存占用率）、用户登录（用户名、登录的IP地址、登录开始时间、登录结束时间）、网络服务（服务的进程名、监听的端口、服务的协议、网络连接数）、磁盘设备（设备名称、安装点名、划分的文件系统类型、总磁盘空间、已使用的磁盘空间）、网络路由（目标网络、目标网络使用的网关、目标网络掩码、目标网络标志、目标网络使用的接口）、重要配臵文件、系统用户和组的改变信息。
第82条网络设备的监控内容须包括交换机和路由器的在线状
态、背板状态、端口使用状态、端口流量信息、端口类型、转发表和生成树。
第83条安全设备的监控内容须包括安全设备的CPU状态、内存状态和节点状态。
第七章审计管理
第84条铁道部客票系统技术支持单位每天9:00前完成前一日铁道部中心安全审计报告（格式见附表3）并存档。对报告中重要审计项出现的异常情况，进行分析和处理,发现系统存在的安全隐患，填写审计分析报告（格式见附表4），并及时上报铁道部。
第85条铁道部客票系统技术支持单位每天10:00前完成前一日全路安全审计报告并存档。对报告中重要审计项出现的异常情况，指导和督促相关单位进行分析和处理, 发现系统存在的安全隐患，并及时上报铁道部。
第86条铁道部客票系统技术支持单位每月汇总全路的安全事件总体态势表，对全路上月客票安全系统运行管理情况进行分析和总结，并于5日前上报铁道部。
第87条铁路局每日9:00前完成前一日本局安全审计报告并存档。对报告中重要审计项出现的异常情况，进行分析和处理, 发现系统存在的安全隐患，填写审计分析报告，并及时上报铁道部。
第88条铁路局每月对系统的安全事件总体态势进行汇总和分析，对全局上月客票安全系统运行管理情况进行分析和总结，并于
每月3日前上报铁道部。
第89条铁路局应根据客票安全系统运行情况，提出策略变更及优化处理意见。由铁道部组织相关技术支持单位对客票安全系统进行优化。
第八章系统管理
第90条各单位要严格管理系统资源，严格执行登记使用制度，并建立健全完整的设备台帐及设备档案，每半年清查一次。
第一节系统软硬件管理
第91条客票服务器端安全系统代理软件须经铁道部审查后方可安装。
第92条任何人不得随意下发、更换、修改客票安全系统应用软件，严禁任何人外泄客票安全系统应用软件。
第93条对于安装了客票安全代理的操作终端和服务器不得随意安装其它应用软件。
第94条客票系统终端设备必须卸除光驱、软驱设备，并封闭闲臵的USB端口。
第95条对客票安全系统故障分析等确需暂时通过控制台登录服务器时，需两人以上进行，并记录操作人、操作内容、操作时间等信息。
第96条铁道部、铁路局和站段须指定专人妥善保管安全机柜
卡。使用机柜卡时，必须作好记录，内容包括操作人、操作原因、操作内容、操作时间等信息。
第97条铁道部和铁路局须指定专人妥善保管加密机用户卡。使用加密机用户卡时，必须作好记录，内容包括操作人、操作原因、操作内容、操作时间等信息。
第二节系统故障处理
第98条客票安全系统故障是指客票安全系统的硬件设备、系统软件、应用软件发生故障或系统遭受外部侵害从而影响客票系统或客票安全系统正常运行的事件。
第99条客票安全系统故障分为四类：
1.I类：因核心防火墙故障导致受控域内的客票系统业务中断。
2.II类：因安全服务器或区域性防火墙故障导致受控域内的客票系统业务中断。
3.III类：是指某一业务终端发生故障，不能登录客票安全系统，造成该终端业务中断。
4.IV类：是指某一安全部件发生故障或运行环境改变，使客票安全系统的安全防护能力下降。
第100条故障处理原则
1.铁道部、各铁路局及43个重点车站客票业务中断或性能严重下降10分钟而不能确认原因时，经主管部门同意，可将该区域客票安全系统暂时旁路，并通知相关技术支持单位。待查明原因后，若与客票安全系统无关，须立即恢复原状态；若与客票安全系
统有关，参照故障处理流程处理。
2.其它车站客票业务中断或性能严重下降30分钟而不能确认原因时，经主管部门同意，可将该区域客票安全系统暂时旁路。待查明原因后，若与客票安全系统无关，须立即恢复原状态；若与客票安全系统有关，参照故障处理流程处理。
第101条故障处理流程
1.发生I类故障时，立即将客票安全系统旁路，并向本级主管部门汇报，逐级上报到铁道部。同时本单位系统维护人员应立即到达现场,会同技术支持单位进行故障排除和系统修复，故障处理完毕后立即恢复到原状态。
2.发生II类故障时，本单位系统维护人员应立即到达现场,经本级主管部门核准后，立即将所控安全域内的防火墙旁路，会同技术支持单位进行故障排除和系统修复，故障处理完毕后立即恢复到原状态。
3.发生III类故障时，经铁路局主管部门核准后，由铁路局系统维护人员为终端加入临时防火墙规则，并记录规则内容及操作的时间，故障处理完毕后立即恢复到原状态。
4.发生IV类故障时，本单位系统维护人员和系统技术支持单位立即处理，故障处理完毕后立即恢复到原状态。
5.对于I类故障和II类故障，要求客票安全系统技术支持单位和维护部门在24小时内完成故障分析报告（见附表5），并上报铁道部；对于III类、IV类故障，要求客票安全系统技术支持单位和
维护部门在48小时内完成故障分析报告，并报铁路局备案。
第三节系统备份与恢复
第102条每月须对客票安全系统数据库表进行一次备份，每三个月进行一次系统全备份。
第103条进行客票安全系统维护工作前须对系统的配臵文件和重要数据进行完全备份。
第104条各单位须指定专人和场所保管备份数据，各类备份数据保留期限至少1年。
第105条每三个月须对客票安全系统过期数据进行一次清理。
第106条需要进行备份数据恢复时，须向本级主管部门提交数据恢复方案，待审批通过后，进行数据恢复。
第九章检查和考核
第107条铁道部每半年组织不少于一次客票安全系统巡检，巡检内容包括设备运行状态、阀值设定的合理性以及台帐管理等。
第108条铁道部不定期抽查铁路局客票安全系统安全审计报告、审计分析报告、故障处理报告以及整改情况。
第109条铁道部对铁路局的客票安全系统工作进行考核。考核内容包括安全审计、安全故障处理以及巡检结果，对在故障处理过程中、安全审计管理中以及巡检过程中发现存在严重问题的铁路局，予以全路通报批评。
第十章附则
第110条客票系统必须保持专网运行。客票安全系统使用管理中的外网部分另文规定，在规定发布之前，必须保持与外网物理隔离。
第111条本办法未尽事宜，参照《全路客票发售和预订系统（TRS）运行管理办法（试行）》（铁运[2005]71号）执行。
第112条本办法由铁道部运输局负责解释，自发布之日起试行，前发《铁路客票安全系统使用管理办法（暂行）》（铁运[2004]11号）同时废止。
成都铁路局安全信息监督管理系统使用管理办法(试行).
成都铁路局安全信息监督 管理系统使用管理办法（试行） 第一章总则 第一条为充分运用安全信息监督管理系统，切实强化安全监督检查、现场作业控制、安全风险分析研判和安全责任制落实，促进管理规范化、检查整治常态化、现场作业标准化建设（简称“三化”建设），特制定本办法。 第二条依托计算机网络和信息技术构建的安全信息监督管理系统（以下简称信息系统），具有检查量化任务下达、检查信息管理、问题管理、安全考核、安全谈心、统计分析等功能，能广泛应用到局、站段、车间（班组），实现安全信息共享。 第三条路局机关有关部门、各运输站段、非运输企业、运输辅助单位、建设指挥部（包括局管合资铁路公司）、铁路办事处均应充分应用信息系统加强安全管理，强化“三化”建设，促进安全持续稳定。 第二章职责分工 第四条安监室牵头负责系统建设、运用管理和基础数据维护，协调科研所不断完善系统功能，指导督促各系统用
好信息系统，充分运用信息系统开展安全分析、考核，及时加强全局安全风险预警提示，促进安全管理规范化和安全风险控制。 第五条科研所负责信息系统的具体建设、日常维护、故障处理和升级工作，不断完善系统功能，满足运用需要；信息技术所负责系统主机、存储、网络、机房等计算机设备购置、更新、维护工作。 第六条业务处室负责本系统信息系统运用、管理和本部门有关基础数据维护，充分运用信息系统安全分析、考核功能，强化干部履职尽责，及时分析本系统“三性”问题，组织抓好问题整改，促进系统安全稳定，切实深化“三化”建设。 第七条站段单位负责信息系统在本单位的运用、管理和有关基础数据维护，充分运用信息系统安全分析、考核功能，强化现场控制、问题考核追究，深入分析突出安全风险，及时采取措施阻断风险发展，切实解决具体问题及背后的管理根源，促进“三化”建设落到实处。 第八条人事、监察、宣传、教育、总工、劳卫等综合部门应运用信息系统，加强对各系统、各单位干部作风建设、思想政治工作、职工教育培训、规章制度管理、岗位准入等指导，切实强化安全保障。 第三章安全检查管理
信息系统建设管理制度
信息系统建设管理制度 一章总则 第一条为加快公司信息系统建设步伐，规范信息系统工程项目建设安全管理，提升信息系统建设和管理水平，保障信息系统工程项目建设安全，特制定本规范。 第二条本规范主要对XX公司（以下简称“公司”）信息系统建设过程提出安全管理规范。保证安全运行必须依靠强有力的安全技术，同时更要有全面动态的安全策略和良好的内部管理机制，本规范包括五个部分： 1）项目建设安全管理的总体要求：明确项目建设安全管理的目标和原则； 2）项目规划安全管理：对信息化项目建设各个环节的规划提出安全管理要求，确定各个环节的安全需求、目标和建设方案； 3）方案论证和审批安全管理：由安全管理部门组织行内外专家对项目建设安全方案进行论证，确保安全方案的合理性、有效性和可行性。标明参加项目建设的安全管理和技术人员及责任，并按规定安全内容和审批程序进行审批； 4）项目实施方案和实施过程安全管理：包括确定项目实施的阶段的安全管理目标和实施办法，并完成项目安全专用产品的确定、非安全产品安全性的确定等； 5）项目投产与验收安全管理：制定项目安全测评与验收方法、项目投产的安全管理规范，以及相关依据。 第三条规范性引用文件 下列文件中的条款通过本规范的引用而成为本规范的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本规范，但鼓励研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本规范。 GB/T 5271.8－2001信息技术词汇第8部分安全 第四条术语和定义 本规范引用GB/T 5271.8－2001中的术语和定义，还采用了以下术语和定义：
信息系统安全管理办法(通用版)
企业信息管理系统管理办法 第一章总则 第一条为保证公司信息系统的安全性、可靠性，确保数据的完整性和准确性，防止计算机网络失密、泄密时间发生，制定本办法。 第二条公司信息系统的安全与管理，由公司信息部负责。 第三条本办法适用于公司各部门。 第二章信息部安全职责 第四条信息部负责公司信息系统及业务数据的安全管理。明确信息部主要安全职责如下： （一）负责业务软件系统数据库的正常运行与业务软件软件的安全运行； （二）负责银行卡刷卡系统服务器的安全运行与终端刷卡器的正常使用； （三）保证业务软件进销调存数据的准确获取与运用； （四）负责公司办公网络与通信的正常运行与安全维护； （五）负责公司杀毒软件的安装与应用维护； （六）负责公司财务软件与协同办公系统的维护。 第五条及时向总经理汇报信息安全事件、事故。 第三章信息部安全管理内容 第六条信息部负责管理公司各计算机管理员用户名与密码，不得外泄。
第七条定期监测检查各计算机运行情况，如业务软件系统数据库出现异常情况，首先做好系统日志，并及时向总经理汇报，提出应急解决方案。 第八条信息部在做系统需求更新测试时，需先进入备份数据库中测试成功后，方可对正式系统进行更新操作。 第九条业务软件系统是公司数据信息的核心部位，也是各项数据的最原始存储位置，信息部必须做好设备的监测与记录工作，如遇异常及时汇报。 第十条信息部负责收银机的安装与调试维护，收银网络的规划与实施。 第十一条信息部负责公司办公网络与收银机（POS）IP地址的规划、分配和管理工作。包括IP地址的规划、备案、分配、IP地址和网卡地址的绑定、IP地址的监管和网络故障监测等。个人不得擅自更改或者盗用IP地址。 第十二条公司IP地址的设置均采用固定IP分配方式，外来人员的电脑需要在信息部主管领导的批准下分配IP进行办公。 第十三条用户发现有人未经同意擅自盗用、挪用他人或本人的IP地址，应及时向信息部报告。 第十四条信息部负责公司办公网络与通信网络的规划与实施，任何个人或部门不得擅自挪动或关闭部门内存放的信息设备。 第十五条办公电脑安全操作管理
数据安全管理规定
页眉内容 XXX 数据安全管理规定 编制：____________________ 审核：____________________ 批准：____________________ [本文件中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属XXX所有，受到有关产权及版权法保护。任何个人、机构未经XXX的书面授权许可，不得以任何方式复制或引用本文件的任何片断。]
1.分发控制 2.文件版本信息 3.文件版本信息说明 文件版本信息记录本文件提交时的当前有效的版本控制信息，当前版本文件有效期将在新版本文档生效时自动结束。文件版本小于1.0 时，表示该版本文件为草案，仅可作为参照资料之目的。 第一章总则 第一条为保证XXX信息系统核心数据安全，维护数据所有者权利，明
确利益相关者的责任与义务，按照分类管理、分级保护、授权使用的原则，根据《XXX信息系统安全管理规定》及国家信息系统安全等级保护等有关要求，特制订本规定。 第二条本规定所管理的数据均为非涉密的数据，XXX系统已标识密级的文件或已声明密级的数据不纳入本规定管理范畴。 第三条本规定适用于全国XXX信息系统环境中的数据安全管理工作。XXX各单位、部门均应按本规定开展数据安全管理工作。 第二章术语定义 第四条本规定所称数据所有者是指，对所管理业务领域内的信息或信息系统，有权获取、创建、维护和授权的业务主管。 第五条本规定所称利益相关者包括数据创建者、数据所有者、数据管理者、数据使用者及信息安全管理人员。 第六条本规定所管理的数据涵盖以纸质、电子等形式存在的文件和非文件形式的信息及其衍生物。其中，非文件形式的数据包括数据库及配置文件中的数据、配置信息等。 第三章职责定义 第七条数据创建者负责针对其所创建数据的内容和价值提出分类分级建议，提交对应级别数据所有者确认。 第八条来自XXX信息系统以外的数据，数据承接者视同创建者行使提出分级分类建议的责任和义务。 第九条数据所有者具有确认数据类别和敏感级别、确认销毁、提出技术保障需求、审查自检和审计报告、做出安全事件处置决定等权利和义务。其中，XXX业务数据的所有者为XXX指定的相应业务部门。 第十条各类数据的责任部门是该类数据的管理者。数据管理者作为数据所有者的代理者，代理数据所有者从事数据管理工作，负责其所管辖范围内数据的安全管理工作。数据管理者的职责包括但不限于：数据类别和敏感级别的标识与声明，根据级别进行管理与保护，数据使用培训，执行销毁操作并声明，定期自查提交报告，配合数据安全违规调查等。
信息系统使用管理规定
信息系统使用管理规定 1 目的 为确保正确、安全的操作信息处理设施，防止资产遭受未授权泄露、修改、移动或销毁，以及因操作原因造成的业务活动中断。 2 适用范围 需要对公司内部信息系统访问、操作及维护信息处理设施的员工。 3 术语和定义 移动介质：是指存储了信息的硬盘、光盘、软盘、移动硬盘、U盘和刻录设备等。 4 职责和权限 公司所有员工以及第三方服务人员使用本公司的信息处理设施均因遵守本程序的规定。 5 相关活动 5.1 信息系统操作原则 所有员工必须遵守各种信息处理设施的有关使用规定，并按照相关规定操作。 未经授权不得操作信息系统，已授权用户必须在授权范围内使用信息系统，不得使用其他员工的权限操作系统，更不得恶意使用系统。 对信息系统设施和系统的变更、维护都应有明确的记录，由专人负责。 5.2 设备管理 各部门的计算机以及计算机的外围设备、消耗材料均由DXC一配备和管理。 计算机及其外围设备原则上不允许借到公司外使用，如确实需要，须经公司领导层同意并明确归还日期后方能借出，归还时要重新进行验收，如有损坏将按购入时的市场价格赔偿。 为保证每台计算机的完整性，各部门人员不得随意挪换计算机内、外部配件，计算机更换部件须经DXC同意。
使用中出现技术性故障，应及时分析，对于人为操作不当或非正常使用软件所造成的问题由DXC技术人员协助排除；对于硬件本身或非人为因素所造成大型故障由技术人员报DXC 给予解决。 软、硬件设备的原始资料（软盘、光盘、说明书及保修卡、许可证协议等）由DXC专人保管，使用者必需的操作守册由使用者保管。 计算机机房必须配置防火、防雷电、火险报警及空调等设施。并对性能进行经常性检测，建立相关的应急措施。 对与计算机应用有关电源接口、通讯接口等设备由DXC进行定期的检查、维护。 5.3 使用管理 操作人员在使用计算机时，必须使用ID和口令登录系统，保持桌面清洁和离开锁屏等良好习惯。要严格遵守操作规程，注意爱护设备，保持清洁，使设备处于良好状态，下班时，务必关机切断电源。 未经许可，使用者不可增删硬盘上的应用软件和系统软件。 严禁使用计算机玩游戏，登录非法网站。 重要部门要采取措施保证输入到信息系统的数据是正确恰当的，同时，对使用添加、修改和删除等对数据的更改要设置权限；对输出的数据也要验证，确保是正确、完整的。 5.4 安全管理 计算机一些内部应用系统的数据资料列入保密范围。未经许可，严禁非相关人员私自复制。 与互联网相连的计算机不得保存与工作有关的机密性的文件与资料。 涉及工作秘密的文字材料或信息不得在互联网上发布，或以电子邮件的形式发送。 使用者必须妥善保管好自己的用户名和密码，严防被窃取而导致泄密。 网络管理人员要控制诊断和配置端口的物理和逻辑访问，一般情况下这些端口应设置为禁用或取消。 5.5 移动介质管理 一般情况下不允许使用移动介质。若需要使用，仅限使用公司配发的移动介质。严禁将私人的移动介质带入公司使用。 移动介质由DXC统一编号，建立“移动介质配发使用登记表”。一般情况下移动介质不允许存储机密级信息，存储有机密级信息的移动介质严禁带出办公场所。确应工作需要，需将存储由机密级信息的移动介质带出办公场所须经公司领导批准。
信息系统管理制度
信息系统管理制度 第一章总则 第一条为了保护公司计算机信息系统安全，规范信息系统管理，合理利用信息系统资源，推进公司信息化建设，促进计算机的应用和发展，保障公司信息系统的正常运行，充分发挥信息系统在企业管理中的作用，更好地为公司生产经营服务，根据《中华人民共和国计算机信息系统安全保护条例》及有关法律、法规，结合公司实际情况，制定本制度。 第二条本制度所称的信息系统，是指由计算机及其相关的和配套的设备、设施(含网络)构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。 第三条信息系统的安全保护应当保障计算机及其相关的和配套的设备、设施(含网络)的安全，运行环境的安全，应当保障信息的安全，保障计算机功能的正常发挥，保障应用系统的正常运行，以维护计算机信息系统的安全运行。 第二章硬件 第四条按照谁使用谁负责的原则，落实责任人，负责保管所用的网络设备和线路的完好。两人以上的用户，必须明确一人负责。 第五条计算机设备的日常维护由各业务部门、子公司、分支机构负责。计算机设备和软件发生故障或异常情况，由公司网管统一进行处理。 第六条按照作息时间准时开关机，及时处理有关文件，严禁使用公司计算机玩游戏、听音乐、看影碟等。 第七条计算机操作人员应保持计算机环境清洁，下班之前退出所有程序关闭计算机，切断插板电源后方可下班离开。 第八条各负责人应对计算机定时杀毒，对外来不明存储设备，必须经过严格的病毒检测，方可使用。 第三章软件及账号管理制度
第九条各业务部门、分公司配备的计算机及网络设备根据使用者落实到人，各责任人对于计算机系统必须设置账号密码，严格控制非使用人员使用计算机，使用软件系统必需经公司批准，使用分配的账号，并设置密码后方可使用，网络管理员根据企业制度的账号管理规则对用户账号实行管理，并对用户账号的安全和保密负责。 第十条责任人对自己的计算机要经常进行病毒检测与杀毒。严禁外单位人员操作公司信息系统，严禁使用外来存储设备，以防泄密和病毒侵入。 第十一条操作计算机时不得使用一些危险性的命令，严禁分区及格式化硬盘等操作。 第十二条计算机操作人员不得随意在各终端及局域网上安装任何与工作 无关的软件程序，但经审批通过的管理软件除外。 第四章网络和互联网访问 第十三条未经网管批准，任何人不得改变网络拓扑结构、网络设备布置、服务器、路由器配置和网络参数，外部电脑未经网管允许， 常州千红生化制药股份有限公司 信息系统管理制度不得接入公司网络。 第十四条网络使用划分为五级安全保护等级，联接局域网内的任何一台计算机按照确定的等级进行使用，不得随意更改，用途须与工作有关，使用互联网必须遵守国家相关法律法规，否则其所带来的后果由用户责任人承担。 第一级：办公电脑可以在网络监控下，使用互联网，访问外部网站，能够使用外部即时通信工具。 第二级：办公电脑可以在网络监控下，使用互联网，访问外部网站，只能访问指定的网站，不能使用外部即时通信工具。 第三级：办公电脑只能在公司局域网内联网，使用公司内部的网络资源，不能够联接互联网。 第四级：办公电脑只能在本部门或分公司网段联网，可以使用公司统一资源，不能访问跨部门网络资源。
信息系统安全人员管理制度
信息系统安全人员管理制度1信息系统安全人员管理制度汇编 第一章总则 第一条为规范公司信息系统安全人员管理，保障公司信息安全，根据公司相关规章制度汇编整理，制订本制度。 第二条公司所有涉及信息系统安全人员（简称信息安全人员），适用本制度。 第二章录用与入职 第三条信息安全人员招聘、录用一般流程参考《人才引进与任用管理暂行办法》 第四条对拟录用信息安全人员应进行详细的背景调查，对其经历背景确认无误后才可办理录用手续。 第五条信息安全人员在签订《劳动合同》同时应签订《劳动合同补充协议》约定纪律、保密及其他方面条款。 第六条对信息安全人员进行入职培训时，应加强信息安全规章制度的教育培训，将制度掌握及执行情况纳入试用期考核。 第三章信息安全规范 第七条公司信息安全管理应严格遵照《信息安全管理责任制度》及《公司保密制度》执行。 第八条未经公司同意，信息安全人员不得复制公司资料，不得
将公司机密资料向公众展示、发行，不得向第三方出售公司机密资料或产品。 第九条信息安全人员接受外部邀请进行演讲、交流或授课，应事先 征得公司批准，并就可能涉及的有关公司业务的重要内容征求领导意见。 第十条信息安全人员不得利用职务之便，以盗窃、欺诈、胁 迫等不正当手段窃取公司的技术秘密或商业秘密、人事秘密、财务（税）秘密。未经公司许可，不得擅自允许第三方使用公司的技术成果。 第^一条信息安全人员应对各种工作密码保密，不对外提供 和泄露。严禁盗用他人密码。 第十二条信息安全人员在传阅文件时不得擅自扩大传阅范围，不得与无关人员或在公共场所谈论，不得擅自翻印、复制、抄袭或在公开发表的文章中引用。 第十三条需销毁的文件资料由综合办公室统一集中处理。 第十四条从事核心技术岗位的员工，如中途离开公司，自离 开之日起两年之内，不得从事与本行业及本岗位相关的活动。 第十五条信息安全人员在公司工作中接触到公司的技术秘密、关键技术及其他机密信息的，在离职后不得向第三方泄漏其所熟知有关公司机密的信息。
信息安全系统管理系统要求规范
信息安全管理规范公司
版本信息 当前版本: 最新更新日期: 最新更新作者: 作者: 创建日期: 审批人: 审批日期: 修订历史 版本号更新日期修订作者主要修订摘要
Table of Contents（目录） 1. 公司信息安全要求 (5) 1.1信息安全方针 (5) 1.2信息安全工作准则 (5) 1.3职责 (6) 1.4信息资产的分类规定 (6) 1.5信息资产的分级（保密级别）规定 (7) 1.6现行保密级别与原有保密级别对照表 (7) 1.7信息标识与处置中的角色与职责 (8) 1.8信息资产标注管理规定 (9) 1.9允许的信息交换方式 (9) 1.10信息资产处理和保护要求对应表 (9) 1.11口令使用策略 (11) 1.12桌面、屏幕清空策略 (11) 1.13远程工作安全策略 (12) 1.14移动办公策略 (12) 1.15介质的申请、使用、挂失、报废要求 (13) 1.16信息安全事件管理流程 (14) 1.17电子邮件安全使用规范 (16) 1.18设备报废信息安全要求 (17) 1.19用户注册与权限管理策略 (17) 1.20用户口令管理 (18) 1.21终端网络接入准则 (18) 1.22终端使用安全准则 (18) 1.23出口防火墙的日常管理规定 (19) 1.24局域网的日常管理规定 (19) 1.25集线器、交换机、无线AP的日常管理规定 (19) 1.26网络专线的日常管理规定 (20) 1.27信息安全惩戒 (20) 2. 信息安全知识 (21) 2.1什么是信息？ (21) 2.2什么是信息安全？ (21)
信息化系统管理制度
XX局信息化系统管理制度 第一章总则 第一条随着大集中系统应用推广、随着我局信息化建设的推进及计算机装备水平的提高，为加强计算机、网络系统运行的管理工作和税收信息化建设工作，规范计算机应用，保障网络系统和业务数据的稳定、高效、安全运行，提高科技管税水平，促进信息化建设稳步发展。原有《XX市地方税务局计算机系统管理办法》已不能完全适应现信息化建设管理需要。结合我局的业务需求和实际情况，根据《计算机保护条例》、《中华人民共和国计算机信息系统安全保护条例》、《国家税务局总局税务系统电子数据处理管理办法（试行）》、《昆明市计算机信息系统安全监察暂行办法》、《昆明市地方税务局计算机管理试行办法》、《XX地方税务局信息化安全管理制度》等有关法律法规及管理制度。现将原来《办法》修订为《XX市地方税务局信息化系统管理制度》。 第二条XX市地方税务局信息化系统的管理工作，必须按照国家的法律和国家税务总局制定的“统一领导、统一规划、统一标准、分步实施”的原则，在省、市地税局的领导下进行。 第三条信息化系统管理含盖计算机系统运行管理、网络安全管理、业务电子数据管理、设备及耗材管理，等四个方面。 第四条各科室、分局、稽查局（以下统称各部门）。各部门的计算机运用工作应遵守国家有关法律法规和省、市地方税务局有关规定，在局计算机管理部门授权范围内按照本办法规范运作。 页脚内容1
第五条我局设立计算机管理部门负责全局的计算机系统管理工作，研究制定相关的工作规划、措施，监督、检查计算机系统的使用、运行情况，传达、协调、制定有关技术和应用标准。使用计算机的各部门，负责相关业务应用程序的操作、日常维护及安全保密工作。及时向计算机管理部门报告应用中发现的有关问题。 第六条XX市地税局计算机管理部门内设专职系统维护员职位，负责软件、硬件、数据库和业务系统管理。计算机系统操作员是指经局计算机管理部门授权，在授权范围内使用我局计算机系统相关功能的操作人员。 第七条本办法适用于XX市地税局使用计算机的各部门和全体干部职工（含协管员）。 第二章计算机系统运行管理 第八条根据省、市地方税务局的规定与要求设置计算机管理部门、配备专职系统维护员负责全局的信息化建设和计算机系统维护、管理工作；各部门指定即兼职计算机管理员员（信息安全员）负责本部门计算机、网络设备、打印设备的日常维护管理，对本部门其他人员计算机应用的辅导。 第九条 XX市地税局专职系统管理人员应履行以下职责： 一、按照省、市地方税务局的要求和本局实际情况，负责对全局信息化建设工作进行总体规划和组织实施。 二、负责起草全局计算机管理工作的各项规章制度。 三、配合省、市地方税务局的总体业务目标，制定技术工作计划并组织实施。 四、协助各部门对单行业务应用软件的维护工作，并为各部门业务应用软件及基础数据资料管理提供技术支持。 五、保障全局计算机软、硬件、网络系统的正常运行。 六、负责监督、检查、协调，并从技术上指导各部门的计算机工作，提供技术支持。 页脚内容2
计算机信息系统安全管理制度
计算机信息系统安全管理制度 第一章总则 第一条为了保护计算机信息系统的安全，促进信息化 建设的健康发展，根据国家和辽宁省相关规定，结合本院实际，制定本规定。 第二条本院信息系统内所有计算机的安全保护，适用 本规定。 第三条工作职责 （一）每一个计算机信息系统使用人都是计算机安全员，计算机安全员负责本人在用计算机信息系统的正确使用、日常使用维护，发现故障、异常时及时向计算机信息系统管理员报告； （二）计算机信息系统管理员负责院内： 1、计算机信息系统使用制度、安全制度的建立、健全； 2、计算机信息系统档案的建立、健全,计算机信息系统使用情况的检查； 3、计算机信息系统的日常维护（包括信息资料备份， 病毒防护、系统安装、升级、故障维修、安全事故处理或上报等）； 4、计算机信息系统与外部单位的沟通、协调（包括计 算机信息系统相关产品的采购、安装、验收及信息交换等）；5、计算机信息系统使用人员的技术培训和指导。 （三）计算机信息系统信息审查小组负责局机关计算机信息系统对内、对外发布信息审查工作。
第二章计算机信息系统使用人员要求 第四条计算机信息系统管理员、计算机信息系统信息 审查员必须取得省计算机安全培训考试办公室颁发的计算 机安全培训合格证书，并由局领导任命，在计算机信息系统安全管理方面接受局领导的直接领导。 第五条计算机安全员必须经安全知识培训，经考核合 格后，方可上机操作。 第六条由计算机信息管理员根据环境、条件的变化， 定期组织计算机安全员开展必要的培训，以适应计算机安全防护和操作系统升级的需要。 第三章计算机信息系统的安全管理 第七条计算机机房安全管理制度 （一）计算机机房由计算机信息管理员专人管理，未经计算机信息系统管理员许可，其他人员不得进入计算机房。 （二）计算机房服务器除停电外一般情况下全天候开机；在紧急情况下，可采取暂停联网、暂时停机等安全应急措施。如果是电力停电，首先联系医院后勤部门，问清停电的原因、何时来电。然后检查UPS电池容量，看能否持续供电到院内开始发电。 （三）计算机房服务器开机时，室内温度应控制在17度，避免温度过高影响服务器性能。 （四）计算机房应保证全封闭，确保蚊虫、老鼠、蟑螂等不能进入机房，如在机房发现蚊虫、老鼠、蟑螂等，应及时杀灭，以防设备、线路被破坏。
数据安全管理规定80331
XXX 数据安全管理规定 编制：____________________ 审核：____________________ 批准：____________________ [本文件中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属XXX所有，受到有关产权及版权法保护。任何个人、机构未经XXX的书面授权许可，不得以任何方式复制或引用本文件的任何片断。]
1.分发控制 2.文件版本信息 3.文件版本信息说明 文件版本信息记录本文件提交时的当前有效的版本控制信息，当前版本文件有效期将在新版本文档生效时自动结束。文件版本小于1.0 时，表示该版本文件为草案，仅可作为参照资料之目的。
第一章总则 第一条为保证XXX信息系统核心数据安全，维护数据所有者权利，明确利益相关者的责任与义务，按照分类管理、分级保护、授权使用的原则，根据《XXX信息系统安全管理规定》及国家信息系统安全等级保护等有关要求，特制订本规定。 第二条本规定所管理的数据均为非涉密的数据，XXX系统已标识密级的文件或已声明密级的数据不纳入本规定管理范畴。 第三条本规定适用于全国XXX信息系统环境中的数据安全管理工作。XXX各单位、部门均应按本规定开展数据安全管理工作。 第二章术语定义 第四条本规定所称数据所有者是指，对所管理业务领域内的信息或信息系统，有权获取、创建、维护和授权的业务主管。 第五条本规定所称利益相关者包括数据创建者、数据所有者、数据管理者、数据使用者及信息安全管理人员。 第六条本规定所管理的数据涵盖以纸质、电子等形式存在的文件和非文件形式的信息及其衍生物。其中，非文件形式的数据包括数据库及配置文件中的数据、配置信息等。
信息系统使用管理办法
信息系统使用管理办法 信息系统使用管理办法 第一章总则 第一条为了集团信息系统的安全管理、规范使用，确保信息系统与计算机网络资源高效、稳定、安全的运行，特制订本办法。 第二条本办法适用于投资控股有限公司（以下简称“控股公司”）及所属各公司全体员工。第三条本办法所指的信息系统（以下简称“系统”），是指由计算机（包括相关和配套设备）为终端设备，利用计算机、通信、网络等技术进行公司内信息化管理中的数据采集、处理、存储和传输的设备、技术、管理的组合，包含各类软件系统、即时通讯软件等，包含现有正在使用及将来预计使用的信息系统。 第二章系统运行管理 第四条系统帐号管理 系统帐号按照谁使用谁负责的原则，落实至具体责任人。 1、各信息系统的信息管理人员必须遵守《集团信息人员保密管理规定》、《集团关键信息系统平台帐号集中管理办法（A）》。 2、账号开通：信息系统用户实行一人一帐号，各应用系统账号开通由使用人员所在部门提出申请，按流程审批通过后，应用系统管理员予以开通。如使用者为决策层成员，由人力资源部门提出申请。下同。 3、权限增加：各应用系统操作权限的增加须由使用人员提出申请，审批通过后，应用系统管理员予以开通。 4、岗位调整：人员岗位调整后，原岗位直接上级领导要通知应用系统管理员，撤销该账号原有权限。财务、审计岗位在1个工作日内、其它岗位在3个工作日内完成权限通知撤销工作。 5、账号关闭：人员离职前，原岗位直接上级领导要通知应用系统管理员，关闭离职人员的账号，注销其权限。 第五条如果系统需要登记完整的用户个人信息，使用人员要及时、完整地登记、更新个人信息，姓名、电话、邮箱等信息必须真实有效。如账号为公用账号，需要登记该账号的使用人员范围和业务范围。 第六条系统使用人须认真学习与遵守系统的操作手册，严格按照系统运行要求及时处理业务并录入数据，确保数据准确完整，如有不明事项应当咨询系统管理员。 第七条如果其人员需要使用易遨或商海导航等业务系统，人资和信息部门要严格控制权限。
信息系统管理办法
信息系统管理办法 第一章：总则 第一条为保证公司信息网络系统的安全，根据国家有关计算机、网络和信息安全的相关法律、法规和安全规定，结合公司内网络系统建设的实际情况，制定本办法。 第二条本办法所指的信息网络系统，是指由计算机（包括相关和配套设备）为终端设备，利用计算机、通信、网络等技术进行公司内信息化管理中的数据采集、处理、存储和传输的设备、技术、管理的组合。 第三条信息网络系统安全的含义是通过各种计算机及其他登陆终端、网络、密码技术和信息安全技术，在实现网络系统安全的基础上，保护信息在传输、交换和存储过程中的机密性、完整性和真实性。对于终端网络安全特指本机信息系统应用数据、操作系统、身份验证及操作代码的机密性及安全性。 第四条本规定适用于公司内所有计算机硬件及周边设备（如打印机、扫瞄仪、MO存储器，软磁碟，CD碟，数码相机、考勤机终端等）及所有网络设备。公司内所有操作计算机岗位和与之有工作的岗位均属此管理之内。 第二章信息系统安全管理 第五条计算机系统账号与操作员代码 一、操作代码是进入各类应用系统进行业务操作、分级对数据存取进行控制的代码。操作代码分为系统管理代码和应用操作代码。代码的设臵根据不同应用系统的要求及岗位职责而设臵； 二、系统管理操作代码必须经过相应申请经相关系统管理人员授权取得；
三、系统管理员负责各项应用系统的环境生成、维护，负责一般操作代码的生成和维护，负责故障恢复等管理及维护； 四、系统管理员对业务系统进行数据整理、故障恢复等操作，必须有主管负责人授权； 五、信息部门任何人员不得使用他人操作代码进行业务操作； 六、系统管理员调离岗位，上级管理员（或相关负责人）应及时注销其代码并生成新的系统管理员代码； 七、一般操作码由系统管理员根据各类应用系统操作要求生成，应按每操作用户一码设臵。 八、操作员不得使用或盗用他人代码进行业务操作。 九、操作员调离岗位，系统管理员应及时注销其代码并生成新的操作员代码。 第六条密码与权限管理 一、密码是保护系统和数据安全的控制代码，也是保护用户自身权益的控制代码。密码分设为用户密码和操作密码，用户密码是登陆系统时所设的密码，操作密码是进入各应用系统的操作员密码。密码设臵应具有安全性、保密性，不能使用简单的代码和标记。 二、密码应定期修改，间隔时间不得超过一个月，如发现或怀疑密码遗失或泄漏应立即修改，在可能的情况下并相应记记录用户名、修改时间、修改人等内容，及时上报公司信息中心备案。 三、服务器、路由器等公司重要信息设备的超级用户密码由运行机构负责人指定专人（不参与系统开发和维护的人员）设臵和管理，并由密码设臵人员将密码装入密码信封，在骑缝处加盖部门印章并签字标注封存日期后交由信息中 心存档并登记。如遇特殊情况需要启用封存的密码，必须经过相关部门负责人同意，由密码使用人员向密码管理人员索
信息系统安全管理规定
信息系统安全管理规定公司内部编号：（GOOD-TMMT-MMUT-UUPTY-UUYY-DTTI-
计算机信息系统安全 管理制度 2008年8月 目录 第一章总则 第1条依据《中华人民共和国保守国家秘密法》和有关保密规定，为进一步加强本单位计算机信息系统安全保密管理，并结合本单位的实际情况，制定本制度。 第2条计算机信息系统包括：涉密计算机信息系统和非涉密计算机信息系统。 其中，涉密计算机信息系统指以计算机或者计算机网络为主体，按照一定的应用目标和规则构成的处理涉密信息的人机系统。 第3条涉密计算机信息系统的保密工作坚持积极防范、突出重点，既确保国家秘密安全又有利于信息化发展的方针。
第4条涉密计算机信息系统的安全保密工作实行分级保护与分类管理相结合、行政管理与技术防范相结合、防范外部与控制内部相结合的原则。 第5条涉密计算机信息系统的安全保密管理，坚持“谁使用，谁负责”的原则，同时实行主要领导负责制。 第二章系统管理人员的职责 第6条本单位的涉密计算机信息系统的管理由各科室负责，具体技术工作由信息中心承担，设置以下安全管理岗位：系统管理员、安全保密管理员、密钥管理员。 第7条系统管理员负责信息系统和网络系统的运行维护管理，主要职责是：信息系统主机的日常运行维护；信息系统的系统安装、备份、维护；信息系统数据库的备份管理；应用系统访问权限的管理；网络设备的管 理；网络的线路保障；网络服务器平台的运行管理，网络病毒入侵防 范。 第8条安全保密管理员负责网络信息系统的安全保密技术管理，主要职责是：网络信息安全策略管理；网络信息系统安全检查；涉密计算机的安全管理；网络信息系统的安全审计管理；违规外联的监控。 第9条密钥管理员负责密钥的管理，主要职责是：身份认证系统的管理；密钥的制作；密钥的更换；密钥的销毁。 第10条对涉密计算机信息系统安全管理人员的管理要遵循“从不单独原则”、“责任分散原则”和“最小权限原则”。 第11条新调入或任用涉密岗位的系统管理人员，必须先接受保密教育和网络安全保密知识培训后方可上岗工作。
信息系统数据安全管理办法.doc
信息系统数据安全管理办法1 信息系统数据管理办法 （试行） 第一章总则 第一条为了规范信息系统的数据管理工作，真实、有效地保存和使用各类数据，保证信息系统的安全运行，根据《中华人民共和国计算机信息系统安全保护条例》及相关法律、行政法规的规定，特制定本办法。 第二条本办法所指的数据包括各类业务数据以及各种系统软件、应用软件、配置参数等。 第二章数据的使用 第三条信息系统实行安全等级保护，软件使用权限按程序审批，相关软件使用人员按业务指定权限使用、操作相应的软件，并且定期或不定期地更换不同的密码口令。 第四条业务软件的使用主体为系统各部门，（0A）系统的使用主体为在编人员。录入数据的完整性、正确性和实时性由各相关录入部门、人员负责。信息办负责软件和数据的安装维护，以及数据的安全保护。 第五条其他单位需要部门提供数据的，根据有关规定，按密级经分管领导签字同意后，由信息办提供。 第二章数据的备份
第七条信息办按照数据的分类和特点，分别制定相应的备份策略，包括日常备份、特殊日备份、版本升级备份以及各类数据的保存期限、备份方式、备份介质、数据清理周期等。 第八条数据备份管理人员必须仔细检查备份作业或备份程序的执行情况，核实备份数据的有效性，确保备份数据的正确性和完整性。 第九条数据备份管理人员定期对各类数据进行安全备份： （一）对最近一周内的数据每天备份：周一至周日对数据进行全备份（对于大存储量的数据，可进行增量备份）； （二）对最近一月内的数据，每周保留一个全备份； （三）对最近一年内的数据，每月保留一个全备份； （四）每年至少保留一个全备份。 第十条对于数据库服务器、web服务器、网络设备的参数配置，在每次做过更改后，要及时备份。 第十一条数据备份要求异机备份，并且不能备份在WEB或FTP 等公共访问站点上；月备份和年备份同时要求至少一个离线备份。 第三章数据的恢复 第十二条对系统进行数据恢复必须制定书面的数据恢复方案（内容包括进行数据恢复的原因和理由、恢复何时和何种数据、使用哪一套备份介质、恢复的方法和操作步骤等），经信息办主
信息系统使用管理办法
信息系统使用管理办法 一、本规定设计的网络范围及计算机系统包括：医院信息管理系统网络（内网）、医院办公及因特网（外网）、在网络或单机运行各信息系统及应用程序所使用的计算机、计算机外部设备（如打印机等）、网络设备等。 二、信息科作为医院网络的设计、建设、管理与维护部门，负责对医院网络运行情况进行监督、管理和控制，并对医院网络上的信息进行检查和备案。 三、本条例认为，员工在被许可使用医院计算机系统时，该员工完全接受医院信息科对其计算机以及其附属设施上做的任何设置和策略限制，并完全接受本管理规定所制定的所有条款内容。 （一）硬件管理 1、为便于信息科为各计算机用户提供技术服务支持，医院的计算机系统及相关的附属设备（如打印机、扫描仪、网络设备等）的采购、使用、入网、报废等必须经过信息科审核同意。 2、为了有效地管理及应用医院的计算机，信息科对医院内的所有计算机及其相关设备进行登记注册，其中包含每台机器的型号、使用部门、使用人、用途等。未经信息科允许，任何人不得私自更改计算机配置；严禁携带个人笔记本在未经允许的情况下私自使用医院网络上网。 3、医院计算机设备的资产管理权分属各个使用部门所有。医院员工不得滥用计算机设备，使用者有义务对自己所使用的计算机设备负责；对计算机硬件设备的损坏、丢失、被盗等情况，必须及时通知相关负责人及信息科。 4、医院计算机设备的故障原因由信息科负责确定，非信息科人员不得自行拆装、修理或增加计算机硬件设备。 5、员工在使用计算机中遇到了非正常使用情况或困难，应及时通知信息科人员确定故障原因，并主动说明故障现象，积极配合维修。 6、计算机设备经信息科维修人员确定需外出维修的，由信息科负责联系协议维修公司，维修后由信息科及使用部门确认，相关维修费用计入相应部门支出。 7、医院计算机机房是医院信息系统的神经中枢，非信息科允许禁止擅自进入。 （二）软件管理 1、为便于信息科为各计算机软件用户提供技术服务支持，医院计算机软件的使用、采购、相关技术培训等须经信息科审核同意。 2、医院计算机及其相关应用系统的使用者必须是经过主管部门授权认可的医院工作人员。严禁非医院员工使用医院的计算机及相关资源；未经主管领导或部门许可，任何人不得从计算机和相关的应用系统内获取非公用的相关数据信息。 3、所有计算机用户在首次使用计算机系统或医院相关管理软件前必须接受相关培训方可获得使用权限。 4、医院内网上的计算机软件统一由信息科管理、安装，计算机使用者不得私自改动、删除或安装任何软件。当出现计算机软件出现故障或损坏，应及时通知信息科并作好记录。 5、医院计算机用户视为完全接受所使用计算机系统内所有软件的授权协议条款的相关内容；如对其中某些软件或某些软件条款有异议，需向有关部门和负责人申请，有信息科帮助其删除相关软件或取消其使用权限。 6、信息科应建立医院的软件档案库，对医院工作需要的各种软件要及时备份，经常检查更新，保持其可用性。
信息系统帐号管理制度
信息系统帐号管理制度 第一节总则 第一条为加强用户帐号管理，规范公司信息系统用户帐号的使用，确保用户帐号的安全性，特制定本制度。 第二条本制度中系统帐号是指应用层面及系统层面（操作系统、数据库、防火墙及其它网络设备）的用户帐号。 第三条用户帐号申请、审批及设置由不同人员负责。 第四条系统拥有部门负责建立《岗位权限对照表》（附件六）。 第五条本制度适用于公司总部和各分、子公司（含郑州研究院）。 第二节普通帐号管理 第六条申请人使用统一而规范的《帐号/权限申请表》（附件七）提出用户帐号创建、修改、删除/禁用等申请。 第七条帐号申请人所属部门负责人及系统拥有部门负责人根据《岗位权限对照表》对应用层面的普通用户帐号申请进行审批。 第八条信息部负责人根据《岗位权限对照表》对系统层面的普通用户帐号申请进行审批。 第九条帐号管理人员建立各种帐号的文档记录，记录用户帐号的相关信息，并在帐号变动时同时更新此记录，具体内容见《用户帐号记录》（附 件八）。具体流程参见《普通帐号管理流程》（附件一）。 第三节特权帐号和超级用户帐号管理 第十条特权帐号指在系统中有专用权限的帐号，如备份帐号、权限管理帐号、系统维护帐号等。超级用户帐号指系统中最高权限帐号，如root 等管理员帐号。
号。 第十二条信息部每季度查看系统日志，监督特权帐号和超级用户帐号使用情况。 第十三条尽量避免特权帐号和超级用户帐号的临时使用，确需使用时必须履行正规的申请及审批流程，并保留相应的文档。 第十四条临时使用超级用户帐号必须有监督人员在场记录其工作内容。 第十五条超级用户帐号临时使用完毕后，帐号管理人员立即更改帐号密码。 具体流程参见《特权帐号和超级用户帐号管理流程》（附件二）。 第四节临时帐号管理 第十六条使用临时帐号时（如内外部审计人员、临时岗位调动人员），须填写统一的《帐号/权限申请表》（附件七）。 第十七条帐号申请人所属部门负责人及系统拥有部门负责人根据《岗位权限对照表》对应用层面的临时用户帐号申请进行审批。 第十八条信息部负责人根据《岗位权限对照表》对系统层面的临时用户帐号申请进行审批。 第十九条帐号管理人员负责临时帐号的建立和记录。 第二十条临时帐号使用完毕后，申请人及时通知帐号管理人员注销临时帐号。 具体流程参见《临时访问帐号管理流程》（附件三）。 第五节紧急帐号管理 第二十一条根据紧急事件的等级建立相应权限的紧急帐号，专门处理紧急事件。第二十二条帐号管理人员负责紧急帐号的下发和记录。 第二十三条紧急帐号使用人员必须在事件处理完毕后补办相关手续。 第二十四条紧急帐号使用完毕后，紧急帐号使用人员及时通知帐号管理人员禁
网络安全信息系统管理制度
本文从网络收集而来，上传到平台为了帮到更多的人，如果您需要使用本文档，请点击下载，另外祝您生活愉快，工作顺利，万事如意！ 网络安全信息系统管理制度 计算机信息网络单位应当在根河市网络安全主管部门监督指导下，建立和完善计算机网络安全组织，成立计算机网络安全领导小组。 1、确定本单位计算机安全管理责任人和安全领导小组负责人（由主管领导担任），应当履行下列职责： （一）组织宣传计算机信息网络安全管理方面的法律、法规和有关政策； （二）拟定并组织实施本单位计算机信息网络安全管理的各项规章制度； （三）定期组织检查计算机信息网络系统安全运行情况，及时排除各种安全隐患； （四）负责组织本单位信息安全审查； （五）负责组织本单位计算机从业人员的安全教育和培训； （六）发生安全事故或计算机违法犯罪案件时，立即向公安机关网监部门报告并采取妥善措施，保护现场，避免危害的扩散，畅通与公安机关网监部门联系渠道。
2、配备１至２名计算机安全员（由技术负责人和技术操作人员组成），应当履行下列职责： （一）执行本单位计算机信息网络安全管理的各项规章制度； （二）按照计算机信息网络安全技术规范要求对计算机信息系统安全运行情况进行检查测试，及时排除各种安全隐患； （三）根据法律法规要求，对经本网络或网站发布的信息实行24小时审核巡查，发现传输有害信息，应当立即停止传输，防止信息扩散，保存有关记录，并向公安机关网监部门报告； （四）发生安全事故或计算机违法犯罪案件时，应当立即向本单位安全管理责任人报告或直接向公安机关网监部门报告，并采取妥善措施，保护现场，避免危害的扩大； （五）在发生网络重大突发性事件时，计算机安全员应随时响应，接受公安机关网监部门调遣，承担处置任务； （六）我市计算机安全技术人员必须经过市公安机关网监部门认可的安全技术培训，考核合格后持证上岗。合格证有效期两年。 3、单位安全组织应保持与公安机关联系渠道畅通，保证各项信息网络安全政策、法规在本单位的落实，积极接受公安机关网监部门业务监督检查。 4、单位安全组织的安全负责人及安全技术人员应切实履行各项安全职责，对不依法履行职责，造成安全事故和重大损害的，由公安机关予以警告，并建议其所在单位给予纪律或经济处理；情节严重的，依法追究刑事责任。
公司信息系统管理制度
某公司信息系统管理制度范本 总则 为引进现代化计算机工具，推动现代化管理，使公司管理规范化、程序化、迅速快捷，特制定本制度。 一、网络机房管理 （一）出入管理 1、路由器、交换机和服务器以及通信设备是网络的关键设备，须放置计算机机房内，不得自行配置或更换，更不能挪作它用。 2、计算机房要保持清洁、卫生，并由专人7*24负责管理和维护(包括温度、湿度、电力系统、网络设备等)，无关人员未经管理人员批准严禁进入机房。 3、严禁非机房工作人员进入机房，特殊情况需经中心值班负责人批准，并认真填写登记表后方可进入；进入机房人员应遵守机房管理制度，更换专用工作鞋。 4、进入机房人员不得携带任何易燃、易爆、腐蚀性、强电磁、辐射性、流体物质等对设备正常运行构成威胁的物品及其它与机房工作无关的物品。 （二）安全管理 1、操作人员随时监控中心设备运行状况，发现异常情况应立即按照预案规程进行操作，并及时上报和详细记录。 2、非机房工作人员未经许可不得擅自上机操作和对运行设备及各种配置进行更改。 3、严格执行密码管理规定，对操作密码定期更改，超级用户密码由系统管理员掌握。
4、机房工作人员应恪守保密制度，不得擅自泄露中心各种信息资料与数据。 5、中心机房内严禁吸烟、喝水、吃食物、嬉戏和进行剧烈运动，保持机房安静。 6、不定期对机房内设置的消防器材、监控设备进行检查，以保证其有效性。 （三）操作管理 1、中心机房的数据实行双人作业制度；操作人员遵守值班制度，不得擅自脱岗。 2、值班人员必须认真、如实、详细填写《机房日志》等各种登记簿，以备后查。 3、严格按照每日预制操作流程进行操作，对新上业务及特殊情况需要变更流程的应事先进行详细安排并书面报负责人批准签字后方可执行；所有操作变更必须有存档记录。 4、每日对机房环境进行清洁，以保持机房整洁；每周进行一次大清扫，对机器设备吸尘清洁。 5、值班人员必须密切监视中心设备运行状况以及各网点运行情况，确保安全、高效运行。 （四）运行管理 1、中心机房和开发调试机房隔离分设。未经负责人批准，不得在中心机房设备上编写、修改、更换各类软件系统及更改设备参数配置。 2、各类软件系统的维护、增删、配置的更改，各类硬件设备的添加、更换必需经负责人书面批准后方可进行；必须按规定进行详细登记和记录，对各类软件、现场资料、档案整理存档。