公司信息安全规范(试行)

《公司信息安全规范(试行)》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、公司信息安全规范(试行)第一章主要内容和适用范围为确保电力集团公司（简称“电力集团”）信息网络与信息系统的安全、可靠、稳定运行，健全、规范电力集团信息安全制度，特制定本规范。适用于电力集团及各所属分支机构、直属、全资和控股企业单位。第二章总则本规范包括：总体安全、网络边界安全防护、物理层安全、网络层安全、平台安全、安全管理、审计评估。集团公司的网络与信息系统的安全由集团公司科技环保部和总经理工作部负责管理。在保证电力集团信息安全的前提下，逐步建立全面的安全防护和安全管理。针对电力集团网络状况和实际应用

2、情况，信息安全体系在“统一规划”的前提下，进行“分步实施，逐步完善”。第三章总体安全3.1针对电力集团信息安全要求，电力集团及各所属分支机构、直属、全资和控股企业单位必须从以下方面加以规范：物理层、网络层、平台安全、安全管理和审计评估。电力集团公司总体网络安全示意图如下。3.2安全策略的管理：1）对本单位所管辖的信息网络与信息系统必须在建设过程中进行安全风险评估，并根据评估结果制定安全策略；2）对已投入运行且已建立安全体系的系统定期进行漏洞扫描，以便及时发现系统的安全漏洞;3）对安全体系的各种日志(如

3、入侵检测日志等)审计结果进行认真的研究，及时发现系统的安全漏洞;4）定期分析本系统的安全风险及漏洞，分析当前黑客非常入侵的特点，及时调整安全策略。第四章网络边界安全防护4.1防火墙的拓扑位置：在电力集团信息网络与信息系统中，在网络边界和对外出口处，必须配置防火墙，严禁有任何旁路防火墙的链接。4.2防火墙的使用规范：定期更新管理密钥；记录防火墙日志，保留90天内的所有日志数据；控制并关闭与业务无关的数据通信端口；对普通系统用户，禁止ICMP协议通过防火墙；禁止NETBIOS协议通过防火墙；禁止所有未定义

4、的数据通信通过防火墙；规范、控制开放远程管理的范围，在远程管理时，限定用于管理的主机地址；明确定义允许进、出的流量。4.3计算机设备在连接局域网和电力集团广域网的同时，禁止以其他任何方式（如拨号上网、ISDN、ADSL等）与Internet相连。4.4接入信息安全区中的安全产品，必须使用经过国家有关安全部门认证的国产产品，其中电力专用安全产品还必须经过电力安全主管部门检测认证，并经由本单位的安全管理员以及本单位信息部门负责人的审查批准后，方可实施接入。4.5通用安全产品以及专用安全产品都必须通过电力系

5、统强电磁环境中的电磁干扰和电磁兼容测试。4.6未实施安全管理措施的计算机设备禁止与Internet相连。第五章物理层安全物理层安全包括:环境安全和设备、设施安全，应采取适当的规范措施:机房建设、机房环境的要求必须符合国家、行业的相关规范，及《电力集团公司广域网络系统管理办法(试行)》中的附件1.1:《电力集团公司广域网机房管理制度(试行)》；重要设备及主干链路，应建立冗余及备份措施。第六章网络层安全6.1广域网的安全：对各所属分支机构、直属、全资和控股企业广域网的安全，应严格按照《电力集团公司广域网络

6、系统管理办法(试行)》执行。6.2局域网安全：须建立本单位局域网的管理制度。局域网络必须分段管理，以防止通过局域网“包广播”方式恶意收集网络的信息。第七章平台安全平台安全包括:系统层安全和应用层安全，应采取适当的规范措施:7.1病毒防范各所属分支机构、直属、全资和控股企业的网络、系统维护部门必须严格执行病毒防范措施:在本单位的所管辖的信息网络与信息系统部署正版的防病毒软件；禁止下载因特网上任何未经确认其安全性的软件；实时进行防病毒监控，做好防病毒软件和病毒代码的智能升级；发现病毒时，及时对感染病毒的设

7、备进行隔离，情况严重时，报相关部门并及时妥善处理；在各所属分支机构、直属、全资和控股企业安全区WEB服务器上设立专门的栏目，及时发布病毒及黑客攻击的报告、最新的病毒库、升级防病毒软件以及各个公用系统软件（操作系统、数据库系统、工具软件等）的漏洞报告及相应的软件补丁；其中机房的病毒防范按照《电力集团公司广域网络系统管理办法(试行)》中的附件1.1:《电力集团公司广域网机房管理制度(试行)》执行。7.2访问控制对重要服务器，系统管理员必须对不同用户建立文件的不同的访问许可权限;对应用系统，根据使用要求必须

8、对不同用户建立不同的访问权限。7.3应用及服务的接入管理1）本单位在已经建立安全防护体系的信息网络与信息系统中，接入任何新的应用及服务，须经由本单位的安全管理员以及本单位安全主管的审查批准后，方可实施接入。2）信息安全区中的工作站、服务器原则上不得开通拨号功能；若确需开通拨号服务，必须配置强认证机制，否则必须与安全区彻底隔离。7.4应用系统及数据的安全7.4.1靠性要求对于关键性的应用系统，须做到能够有效回避任何单点故障，这些故障范围包括：应用程序错误、