系统安全系统管理系统要求规范

《系统安全系统管理系统要求规范》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、系统安全管理规范太极计算机股份有限公司ISO20000体系文件系统安全管理规范（版次：0/A）编制人（部门）：电子政务日期：2010-3-1审核人：日期：批准人：日期：2010年3月1日发布2010年3月1日实施11系统安全管理规范手册修订履历版本修改日期修订人审核人批准人说明A草案A初次发布11系统安全管理规范目录1概述41.1目的41.2适用范围42术语定义43角色及职责44工作要求54.1一般要求54.2帐号管理原则54.3密码使用安全原则64.4提高系统安全原则和措施64.5系统设备物理安全74.6系统补丁管理84.7系统防病毒管理94.8定期进行安全检查和审

2、计104.9通用软件的安全管理104.10备份数据和介质的管理105相关文件及记录115.1相关文件115.2表单和记录1111系统安全管理规范1概述1.1目的本程序的目的是就安全与管理层面，规范系统设备管理以及系统和数据库访问行为，以确保信息与系统的访问与权限能适当的授权、配置及维持，避免未获授权的访问，并确保系统和重要信息的可用性(信息可供访问)和完整性(信息未被篡改)。1.2适用范围本文档所规定IT服务是指运维服务部PV分部提供的IT服务；本文档所规定IT服务商是指运维服务部PV分部；本文档适用于运维服务部PV分部的所有领域。2术语定义计算机系统：包括系统主机、

3、系统设备及其相关配套的设备（含系统线路）及相关软件等。3角色及职责角色职责使用者l依需求填写账号与服务权限管理申请表使用者单位主管l审查账号与服务权限管理申请表的申请内容，符合实际需求。管理员l包含系统管理员和数据库管理员l负责系统安全的设置和执行工作l依照申请人员提出经核准的账号与系统或数据库权限管理申请表内容，执行权限设定作业与检核作业结果。补丁管理员l补丁管理服务器管理l补丁测试环境管理l补丁测试、分发等实施工作防病毒管理员l防病毒服务器管理11系统安全管理规范l防病毒软件升级、分发等实施工作安全审计人员l审查各项安全设置和工作执行情况检查系统管理单位主管l复核

4、账号与服务权限管理申请表的申请，并督导系统和数据库权限设定作业的有效进行。1工作要求1.1一般要求l因业务需要而产生对信息的访问，其管理的要求于下列各章节进行约定，使用者仅限于访问授权范围内的信息、系统与数据库，不得作未经授权的访问。l职责区域：系统开发人员负责系统开发与测试；系统管理员负责系统及设备管理；数据库管理员负责数据库管理(含相关硬件)；安全审计人员负责安全审核；前述各类人员均应于授权责任范围内运作，以降低信息或服务遭受未授权的修改或误用。l所有的系统和数据库的重要配置参数（包括系统和数据库密码），均由各系统管理员负责设定与管理(含数据保存及备份)。重要配置

5、的修改，需按变更管理程序进行。l核心系统和信息的访问必需尽可能经过审计，要设置自动审记（日志），记录每次访问的用户、时间、操作内容等，妥善保管并定期审查这些日志。l所有业务系统数据包括备份数据，特别是用户信息，应加以妥善保管，非经授权不得访问。l所有信息处理和设备的使用，均需经适当的授权，以防止该设备的不当使用。1.2帐号管理原则为确保系统和数据库的访问与权限均能适当地授权、分配和管理，对系统的帐号要进行分级管理，具体如下：l系统访问权限分为系统管理员帐号和普通用户帐号，系统管理员帐号由系统管理员管理和使用，普通用户由系统管理员建立，所需要权限由系统管理员审查其必要性

6、后授予，确保只授予必要的权限；l对于数据库的帐号分为管理帐号、属主帐号、应用帐号和只读帐号，数据库管理帐号由数据库管理员管理和使用，属主帐号是数据库中具体应用的属主，用于管理数据库中的具体应用，如备份、还原等，应用帐号和只读帐号可用于AP服务器上连接数据库的配置，原则上不能将数据库的帐号授权给非系统运维人员，特殊情况下经过领导审批，可授予个别表的只读权限。数据库上的帐号由数据库管理员管理和授权。l使用者需要进行系统与数据库访问时，均需向该系统的系统管理员或数据库管理员申请并经相关的使用者单位主管11系统安全管理规范核准授权后始得使用，在申请时必需说明必要的权限和使用期

7、限，使用者单位主管应考虑申请者的实际业务需要，要确保只授予必要的权限，任务解除或人员离职时亦须向该系统管理员或数据库管理员办理注销。i.系统管理员授与使用者的初次密码，应以适当方式交付使用者个人，并要求使用者获得初次密码后，应立即更改成自订的密码，并定期修改密码，如果不能自行修改密码的，需要系统管理员定期修改后通知使用者。l正式投入运行使用的系统及数据库，相关密码由责任系统管理员和系统管理单位主管保管和管理。无特殊需要，在系统正式使用后，一般的项目组成员及系统集成人员，不赋予正式的系统设备的访问权限。如有特殊需要由项目经理通过OA工作联络单申请，责任