爱财在线 系统安全管理制度

2017-08-21 14:39:31         

 1 总则


  为了规范广州爱财在线互联网信息服务有限公司(以下简称“爱财在线”)系统安全管理,合理、可靠、安全、高效地管理计算机系统,保障爱财在线计算机系统的安全、稳定地运行,保障计算机系统良好的环境,根据信息安全管理标准GB/T 22080-2008/ISO/IEC 27001:2005《信息技术 安全技术 信息安全管理体系 要求》和GB/T 22081-2008/ISO/IEC 27002:2005《信息技术 安全技术 信息安全管理实用规则》中日常安全工作的要求,结合我司实际情况,特制定本办法。
  本办法适用于爱财在线技术部进行计算机系统的安全管理。
 

  2  依据标准和文件


  GB/T 22080-2008/ISO/IEC 27001:2005《信息技术 安全技术 信息安全管理体系 要求》
  GB/T 22081-2008/ISO/IEC 27002:2005《信息技术 安全技术 信息安全管理实用规则》


  3  术语和定义


   本办法中的信息系统,主要指的是支持业务运行的操作系统、应用系统、网络和机房等技术基础架构。

   4  职责


   4.1 技术部
   4.1.1 负责组织制定全司计算机操作系统的维护管理规定,负责组织检查下属各部门信息系统维护的执行情况,并对各部门的维护工作给予指导。
   4.1.2 收集整理计算机操作系统运行维护中的问题,并组织解决。
   4.1.3 指导其他部门完成系统维护、安全加固、帐号管理、病毒防范和故障检修等工作,并提供必要的技术支持。
   4.1.4 负责定期分析全司计算机操作系统的运行质量等情况,并向领导层提供改善建议及依据。
   4.1.5 督促、协助相关部门处理重大系统故障。事后及时总结经验,组织制定防范措施,指导全司的系统维护管理工作。


  4.2 系统管理员


  4.2.1 严格遵守各项规章制度和操作规定。
  4.2.2 熟悉各类操作系统的命令操作,能熟练地用命令检查操作系统运行情况和进行配置。
  4.2.3 负责操作系统的安装、配置和维护工作的实施。
  4.2.4 定期检查服务器的系统日志、系统资源运行情况和帐号口令,并作好记录。
  4.2.5 负责对系统故障进行及时处理,并及时向主管报告。
  4.2.6 管理好系统运行方面的记录,定期分析、研究和总结。


  4.3 安全管理员


  4.3.1 从安全角度审核系统安装、配置、维护和加固方案。
  4.3.2 负责定期对操作系统进行扫描,并提交相关的安全建议方案。
  4.3.3 制订操作系统的访问控制策略和安全策略。
  4.3.4 定期跟踪国内外最新的系统安全预警信息,并提出预处理方案。
  4.3.5 负责系统安全事故的记录、总结与上报,定期总结安全状态和提交改善建议方案。


  5  管理内容和办法


  5.1 操作系统安全管理
  5.1.1 身份鉴别

 (1)应提供用户身份标识唯一和鉴别信息复杂度检查功能,保证系统中不存在重复用户身份标识,身份鉴别信息不易被冒用。
 (2)应更改默认的系统管理员帐号和口令,管理员帐号应采用实名制。
 (3)应启用控制台锁定功能,屏幕保护程序在恢复控制台显示之前,应要求用户名和口令认证。
 (4)应对操作系统文件、目录的访问权限进行控制。
 (5)应提供登录失败处理功能,并且采取结束会话、限制非法登录次数和自动退出等措施。
 (6)禁止从互联网远程登录服务器,内部网络登录服务器应该限制其登录源IP或MAC地址以及用户捆绑。
  5.1.2 只启用系统需要发挥作用的服务,并开启其端口,限制或关闭不需要的服务或端口。
  5.1.3 关键业务信息系统要定期进行漏洞检查,并确定是否需要进行安全加固,必须定期更新操作系统防病毒软件特征库,并做好记录。
  5.1.4 Windows操作系统应进行注册表安全检查(如:禁止在任何驱动器上自动运行任何程序,用星号掩藏任何口令输入等)。
  5.1.5 应开启访问、认证、授权的安全审计策略;启用日志审计功能。


  5.2 数据库系统安全管理
  5.2.1 数据库环境安全

  (1)数据库服务器应当置于单独的服务器区域,任何对这些数据库服务器的物理访问均应受到控制。
  (2)机房柜区域边界应部署防火墙或其它逻辑隔离设施。
  (3) 数据库系统的宿主操作系统除提供数据库服务外,不得提供其它网络服务,如:WWW、FTP、DNS等。
  (3)应在宿主操作系统中设置本地数据库专用帐号,并赋予该账户除运行各种数据库服务外的最低权限。
  (4)应对数据库系统安装目录及相应文件访问权限进行控制,如:禁止除专用账户外的其它账户修改、删除、创建子目录或文件。


   5.2.2 数据库系统安装、启动与更新


  (1)应注意生产数据库系统应与开发数据库系统物理分离,确保没有安装未使用的数据库系统组件或模块。
  (2)仅开启必须的数据库系统服务。
  (3)经过测试,在确保数据库系统稳定运行的前提下,安装最新补丁。
  (4)数据库系统管理员应定期检查数据库系统完整性。


   5.2.3 数据库对象安全


  (1)应更改默认数据系统管理员帐号和口令。
  (2)应对数据文件访问权限进行控制,如:禁止除专用账户外的其它账户访问、修改、删除数据文件。
  (3)删除不需要的示例数据库,在允许存在的示例数据库中严格控制数据库账户的权限。
  (4)应注意删除或禁用不需要的数据库存储过程。
  (5)对于数据库中的敏感字段,如:口令等,应加密保存。
  (6)应启用数据库日志审计功能。
  (7)定期对数据库配置参数进行备份,数据库数据备份、恢复管理。


   5.3 系统上线前的安全检查


   系统在上线前应进行安全检查,检查至少包括以下内容:
   5.3.1 认证口令存储是否加密。
   5.3.2 是否具有登录认证失败后的处理方式。
   5.3.3 是否对不同用户的访问权限进行严格的访问控制,特定权限的用户只能看到和使用特定的界面及相应的功能。
   5.3.4 系统是否存在安全漏洞。
   5.3.5 日志记录内容是否满足审计要求,日志保存时间是否在两个月以上。


   5.4 系统补丁安全管理


   5.4.1 系统软件管理范围包括服务器上运行的操作系统和应用软件,网络及安全设备上运行的操作系统等。
   5.4.2 安全补丁根据其对应漏洞的严重程度分为三个级别:紧急补丁、重要补丁和一般补丁;紧急补丁必须在15天内完成安装,重要补丁必须在一个月内完成安装,一般补丁要求六个月内完成安装。特殊情况另外处理。
   5.4.3 本司范围内同类型设备应保持装载软件版本,补丁的一致性。
   5.4.4 做好应用软件版本及安全补丁的归档管理,以备回滚或系统重装时使用,并建立相关的文档资料收集和整理工作。
 

   5.5 漏洞发现与安全通告要求


   5.5.1 技术部及时收集系统软件存在的漏洞,及时发布预警工作。
   5.5.2 应定期进行漏洞扫描,对发现的安全漏洞进行及时的修补。
   5.5.3 安全管理员通过邮件形式统一通告安全补丁信息。
   5.5.4 安全管理员负责对安全补丁进行完整性校验,确保获取的安全补丁软件未被修改和可用。

  5.6 测试与安装前准备要求


   5.6.1 补丁安装之前应经过严格的测试,不应未经测试直接在现有系统上安装补丁。
   5.6.2 应用软件版本升级测试尽可能由系统集成商负责实施,业务系统管理员负责协调,应对补丁的现场测试限定测试时间,测试完成后需要编写详细的测试报告,给出明确的测试结论。补丁测试的内容包括补丁安装测试、补丁功能性测试、补丁兼容性测试和补丁回退测试。
   5.6.3 服务器的补丁安装,尽可能在其他备用设备上进行测试。
   5.6.4 安全测试主要测试补丁安装过程是否正确无误,补丁安装后系统是否正常启动;
   5.6.5 补丁功能性测试主要测试补丁是否对安全漏洞进行了修补;
   5.6.6 补丁兼容性测试主要测试补丁加载后是否对应用系统带来影响,业务是否可以正常运行;
   5.6.7 补丁回退测试主要包括补丁卸载测试、系统还原测试。
   5.6.8 各业务系统管理员应把补丁的测试报告,提交给安全管理员,并提交信息技术科负责人进行审核,审核通过后方可进行补丁安装。
   5.6.9 为确保系统集成商及时配合补丁的测试和安装工作,需要通过合同的方式,明确集成商的安全补丁测试和安装责任,约束条款至少应包括:实验室测试环境的搭建,在规定时间内完成补丁测试,补丁的安装,补丁安装失败时的测试与分析,补丁与应用冲突时的系统改造和升级工作。
   5.6.10 根据具体的实际情况及时修正调整,以确保系统的安全稳健运行。

<上一篇 爱财在线网络系统安全管理制度
爱财在线应急响应和事故上报制度 下一篇>