基礎(chǔ)軟件系統(tǒng)運(yùn)行安全管理制度

1、基礎(chǔ)軟件系統(tǒng)運(yùn)行安全管理制度日期：2010-12-18   作者：   瀏覽:421第一章 總則第一條 為保障海南電網(wǎng)公司信息系統(tǒng)的操作系統(tǒng)和數(shù)據(jù)庫(kù)管理系統(tǒng)的安全、穩(wěn)定運(yùn)行，規(guī)范操作系統(tǒng)和數(shù)據(jù)庫(kù)管理系統(tǒng)的安全配置和日常操作管理，特制訂本制度。第二條 本辦法適用于海南電網(wǎng)公司（以下簡(jiǎn)稱公司）本部、分公司，以及直屬各單位的信息系統(tǒng)的操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的管理和運(yùn)行。其他聯(lián)網(wǎng)單位參照?qǐng)?zhí)行。第二章 操作系統(tǒng)運(yùn)行管理第三條 操作系統(tǒng)管理員、審計(jì)員的任命操作系統(tǒng)管理員、審計(jì)員的任命應(yīng)遵循“任期有限、權(quán)限分散”的原則；對(duì)每個(gè)操作系統(tǒng)要分別設(shè)立操作系統(tǒng)管理員、審計(jì)員，并

2、分別由不同的人員擔(dān)任。在多個(gè)應(yīng)用系統(tǒng)的環(huán)境下，操作系統(tǒng)管理員和操作系統(tǒng)審計(jì)員崗位可交叉擔(dān)任；操作系統(tǒng)管理員、審計(jì)員的任期可根據(jù)系統(tǒng)的安全性要求而定，最長(zhǎng)為三年，期滿通過(guò)考核后可以續(xù)任；操作系統(tǒng)管理員、審計(jì)員必須簽訂保密協(xié)議書(shū)。第四條 操作系統(tǒng)管理員、審計(jì)員帳戶的授權(quán)、審批操作系統(tǒng)管理員、審計(jì)員賬戶的授權(quán)由系統(tǒng)運(yùn)行維護(hù)單位填寫(xiě)操作系統(tǒng)賬戶授權(quán)審批表（參見(jiàn)附表1），經(jīng)信息系統(tǒng)運(yùn)行管理部門(mén)負(fù)責(zé)人批準(zhǔn)后設(shè)置；操作系統(tǒng)管理員和操作系統(tǒng)審計(jì)員人員變更后，必須及時(shí)更改帳戶設(shè)置。第五條 其他帳戶的授權(quán)、審批本單位其他賬戶的授權(quán)由使用部門(mén)填寫(xiě)操作系統(tǒng)賬戶授權(quán)審批表，經(jīng)信息系統(tǒng)運(yùn)行管理部門(mén)負(fù)責(zé)人批準(zhǔn)后，由操作系統(tǒng)

3、管理員進(jìn)行設(shè)置；外單位人員需要使用本單位系統(tǒng)時(shí), 須經(jīng)相關(guān)業(yè)務(wù)管理部門(mén)主管同意, 填寫(xiě)外單位人員操作系統(tǒng)賬戶授權(quán)審批表（參見(jiàn)附表2），報(bào)信息系統(tǒng)運(yùn)行管理部門(mén)負(fù)責(zé)人批準(zhǔn)后, 由操作系統(tǒng)管理員按規(guī)定的權(quán)限、時(shí)限設(shè)置專門(mén)的用戶帳號(hào)；嚴(yán)禁本單位任何人將自己的用戶帳號(hào)提供給外單位人員使用。第六條 口令的復(fù)雜性、安全性要求和檢查系統(tǒng)賬戶的口令長(zhǎng)度設(shè)置至少為8位，口令必須從字符（a-z,A-Z）、數(shù)字（0-9）、符號(hào)(!#$%&*()_<>)中至少選擇兩種進(jìn)行組合設(shè)置；系統(tǒng)賬戶的口令必須經(jīng)常更改，至少每月更改一次，每次更新的口令不得與舊的口令相同，操作系統(tǒng)應(yīng)設(shè)置相應(yīng)的口令規(guī)則；系統(tǒng)用戶的

4、帳號(hào)、口令、權(quán)限等禁止告知其他人員；須根據(jù)系統(tǒng)的安全要求對(duì)操作系統(tǒng)密碼策略進(jìn)行設(shè)置和調(diào)整，以確?？诹罘弦?。第七條 系統(tǒng)維護(hù)和應(yīng)急處理記錄應(yīng)設(shè)置操作系統(tǒng)維護(hù)和應(yīng)急處理記錄（參見(jiàn)附表3），系統(tǒng)管理員記錄系統(tǒng)的運(yùn)行情況；應(yīng)對(duì)系統(tǒng)安裝、設(shè)置更改、帳號(hào)變更、組變更、備份等系統(tǒng)維護(hù)工作進(jìn)行記錄，以備查閱；應(yīng)對(duì)系統(tǒng)異常和系統(tǒng)故障的時(shí)間、現(xiàn)象、應(yīng)急處理方法及結(jié)果作詳細(xì)的記錄。第八條 操作系統(tǒng)軟件、資料以及許可證的管理必須對(duì)操作系統(tǒng)軟件的介質(zhì)、資料和許可證進(jìn)行登記，并設(shè)專人負(fù)責(zé)保管；登記的內(nèi)容應(yīng)包括軟件的名稱和版本、軟件出版商、許可證類型和數(shù)量、介質(zhì)的編號(hào)和數(shù)量、軟件安裝序列號(hào)、手冊(cè)名稱和數(shù)量、購(gòu)買(mǎi)日期等；

5、應(yīng)有軟件和資料的借用審批和借還登記手續(xù)；對(duì)重要的系統(tǒng)軟件介質(zhì)和資料要進(jìn)行復(fù)制，借用時(shí)宜提供復(fù)制品，以保護(hù)好原件及避免丟失。第九條 操作系統(tǒng)的系統(tǒng)管理員帳戶名稱、口令的管理操作系統(tǒng)的系統(tǒng)管理員賬戶名稱不得使用系統(tǒng)安裝時(shí)默認(rèn)的系統(tǒng)管理員賬戶名，應(yīng)按照操作系統(tǒng)賬戶授權(quán)審批表批準(zhǔn)的賬戶名稱、權(quán)限和有效期予以設(shè)置；必須更改系統(tǒng)安裝時(shí)默認(rèn)系統(tǒng)管理員賬戶和具有特殊權(quán)限的賬戶的口令，關(guān)閉不必使用的賬號(hào)；操作系統(tǒng)管理員帳戶的口令除了要滿足本規(guī)范第六條中的口令要求外，還必須每?jī)芍芨囊淮?，發(fā)現(xiàn)有異常情況時(shí)應(yīng)立即更改，每次更新的口令不得與舊的口令相同；嚴(yán)禁把操作系統(tǒng)管理員的帳戶名稱和口令告知其他人員。第十條 操作系

6、統(tǒng)配置的備份管理操作系統(tǒng)管理員應(yīng)對(duì)操作系統(tǒng)的配置參數(shù)及相關(guān)文件進(jìn)行備份，當(dāng)配置發(fā)生變更時(shí)必須重新備份，以便系統(tǒng)發(fā)生故障時(shí)能盡快恢復(fù)系統(tǒng)配置。第十一條 操作系統(tǒng)的安全檢查操作系統(tǒng)管理員應(yīng)經(jīng)常檢查操作系統(tǒng)的安全配置，并確保符合安全配置要求；操作系統(tǒng)管理員和操作系統(tǒng)審計(jì)員應(yīng)定期查看操作系統(tǒng)的運(yùn)行日志和審計(jì)日志，以及時(shí)發(fā)現(xiàn)出現(xiàn)的安全問(wèn)題；操作系統(tǒng)管理員應(yīng)定期使用最新的安全檢查或安全分析工具對(duì)系統(tǒng)進(jìn)行檢查，并及時(shí)消除存在的漏洞。特別是在新軟件安裝或軟件更新之后。第三章 數(shù)據(jù)庫(kù)系統(tǒng)運(yùn)行管理第十二條 數(shù)據(jù)庫(kù)管理員、審計(jì)員的任命第十三條 數(shù)據(jù)庫(kù)管理員(DBA)的任命應(yīng)遵循“任期有限、權(quán)限分散”的原則；對(duì)每個(gè)數(shù)

7、據(jù)庫(kù)系統(tǒng)要分別設(shè)立數(shù)據(jù)庫(kù)管理員和數(shù)據(jù)庫(kù)審計(jì)員，并分別由不同的人員擔(dān)任。在多套系統(tǒng)的環(huán)境下，數(shù)據(jù)庫(kù)管理員和數(shù)據(jù)庫(kù)審計(jì)員崗位應(yīng)交叉擔(dān)任；數(shù)據(jù)庫(kù)管理員、審計(jì)員的任期可根據(jù)系統(tǒng)的安全性要求而定，最長(zhǎng)為三年，期滿通過(guò)考核后可以續(xù)任；數(shù)據(jù)庫(kù)管理員、審計(jì)員必須簽訂保密協(xié)議書(shū)。數(shù)據(jù)庫(kù)管理員、審計(jì)員帳戶的授權(quán)，審批數(shù)據(jù)庫(kù)管理員、審計(jì)員賬戶的授權(quán)由系統(tǒng)運(yùn)行維護(hù)單位填寫(xiě)數(shù)據(jù)庫(kù)系統(tǒng)賬戶授權(quán)審批表（參見(jiàn)附表4），經(jīng)信息系統(tǒng)運(yùn)行管理部門(mén)負(fù)責(zé)人批準(zhǔn)后設(shè)置；數(shù)據(jù)庫(kù)管理員、審計(jì)員人員變更后，必須及時(shí)更改帳戶設(shè)置。第十四條 其他帳戶的授權(quán)，審批本單位其他數(shù)據(jù)庫(kù)賬戶的授權(quán)由使用部門(mén)填寫(xiě)數(shù)據(jù)庫(kù)系統(tǒng)賬戶授權(quán)審批表，經(jīng)信息系統(tǒng)運(yùn)行管理部

8、門(mén)負(fù)責(zé)人批準(zhǔn)后，由數(shù)據(jù)庫(kù)管理員進(jìn)行設(shè)置；外單位人員需要使用本單位數(shù)據(jù)庫(kù)系統(tǒng)時(shí)，須經(jīng)相關(guān)業(yè)務(wù)管理部門(mén)主管同意，填寫(xiě)外單位人員數(shù)據(jù)庫(kù)系統(tǒng)賬戶授權(quán)審批表（參見(jiàn)附表5），報(bào)信息系統(tǒng)運(yùn)行管理部門(mén)負(fù)責(zé)人批準(zhǔn)后，由數(shù)據(jù)庫(kù)管理員按規(guī)定的權(quán)限、時(shí)限設(shè)置專門(mén)的用戶帳號(hào)；外單位人員數(shù)據(jù)庫(kù)系統(tǒng)賬戶授權(quán)審批表應(yīng)包括使用者姓名、身份證號(hào)、工作單位、接待部門(mén)、數(shù)據(jù)庫(kù)系統(tǒng)名稱和版本、主機(jī)型號(hào)、主機(jī)號(hào)、賬戶名稱、賬戶類別、授予權(quán)限、賬號(hào)和權(quán)限授予期限等；嚴(yán)禁本單位任何人將自己的用戶帳號(hào)提供給外單位人員使用。第十五條 口令的復(fù)雜性、安全性要求和檢查數(shù)據(jù)庫(kù)賬戶的口令長(zhǎng)度設(shè)置至少為6位，口令必須從字符、數(shù)字、符號(hào)中至少選擇兩種進(jìn)行組

9、合設(shè)置；不宜使用與賬戶名稱中相同的字符或使用姓名、生日和電話號(hào)碼等其他容易猜測(cè)的字符組合；數(shù)據(jù)庫(kù)賬戶的口令必須經(jīng)常更改，至少每季度更改一次，每次更新的口令不得與舊的口令相同，應(yīng)設(shè)置相應(yīng)的口令規(guī)則；數(shù)據(jù)庫(kù)用戶的帳號(hào)、口令、權(quán)限等禁止告知其他人員；必須根據(jù)安全要求對(duì)數(shù)據(jù)庫(kù)管理系統(tǒng)的密碼策略進(jìn)行設(shè)置和調(diào)整，以確保口令符合要求。第十六條 系統(tǒng)維護(hù)和應(yīng)急處理記錄應(yīng)設(shè)置數(shù)據(jù)庫(kù)系統(tǒng)維護(hù)和應(yīng)急處理記錄（參見(jiàn)附表6），系統(tǒng)管理員記錄系統(tǒng)的運(yùn)行情況；應(yīng)對(duì)系統(tǒng)安裝、設(shè)置更改、帳號(hào)變更、表空間變更、數(shù)據(jù)對(duì)象變更、數(shù)據(jù)庫(kù)備份等系統(tǒng)維護(hù)工作進(jìn)行記錄，以備查閱；應(yīng)對(duì)系統(tǒng)異常和系統(tǒng)故障的時(shí)間、現(xiàn)象、應(yīng)急處理方法及結(jié)果作詳細(xì)的

10、記錄。第十七條 數(shù)據(jù)庫(kù)系統(tǒng)軟件、資料以及許可證的管理必須對(duì)數(shù)據(jù)系統(tǒng)軟件的介質(zhì)、資料和許可證進(jìn)行登記，并設(shè)專人負(fù)責(zé)保管；登記的內(nèi)容應(yīng)包括軟件的名稱和版本、軟件出版商、許可證類型和數(shù)量、介質(zhì)的編號(hào)和數(shù)量、軟件安裝序列號(hào)、資料名稱和數(shù)量、購(gòu)買(mǎi)日期等；應(yīng)有軟件和資料的借用審批和借還登記手續(xù)；對(duì)數(shù)據(jù)庫(kù)系統(tǒng)軟件介質(zhì)和資料要進(jìn)行復(fù)制，借用時(shí)宜提供復(fù)制品，以保護(hù)原件及避免丟失。第十八條 數(shù)據(jù)庫(kù)管理員帳戶名稱、口令的管理數(shù)據(jù)庫(kù)管理員賬戶名稱不宜使用系統(tǒng)安裝時(shí)默認(rèn)的管理員賬戶名，應(yīng)按照數(shù)據(jù)庫(kù)系統(tǒng)賬戶授權(quán)審批表批準(zhǔn)的賬戶名稱、權(quán)限和有效期予以設(shè)置。必須更改系統(tǒng)安裝時(shí)默認(rèn)的管理員賬戶和具有特殊權(quán)限的賬戶的口令，關(guān)閉不

11、必使用的賬號(hào)；數(shù)據(jù)庫(kù)管理員的口令長(zhǎng)度必須設(shè)置至少為8位，滿足口令的復(fù)雜性要求，還必須每?jī)芍芨囊淮危l(fā)現(xiàn)有異常情況時(shí)應(yīng)立即更改，每次更新的口令不得與舊的口令相同；嚴(yán)禁把數(shù)據(jù)庫(kù)管理員的帳戶名稱和口令告知其他人員。第十九條 數(shù)據(jù)庫(kù)系統(tǒng)配置的備份的管理數(shù)據(jù)庫(kù)系統(tǒng)管理員應(yīng)對(duì)數(shù)據(jù)庫(kù)系統(tǒng)的配置參數(shù)及相關(guān)文件進(jìn)行備份，當(dāng)配置發(fā)生變更時(shí)必須重新備份，以便系統(tǒng)故障時(shí)能盡快恢復(fù)系統(tǒng)配置。第二十條 數(shù)據(jù)庫(kù)系統(tǒng)數(shù)據(jù)的備份管理應(yīng)制定數(shù)據(jù)庫(kù)系統(tǒng)的備份策略，定期對(duì)數(shù)據(jù)庫(kù)系統(tǒng)進(jìn)行備份；數(shù)據(jù)庫(kù)備份策略的制定要以盡可能高效地進(jìn)行備份與恢復(fù)為目標(biāo)，并且與操作系統(tǒng)的備份最好地結(jié)合，宜采用物理備份與邏輯備份相結(jié)合；必須對(duì)備份權(quán)限的設(shè)置加以嚴(yán)格控制；必須妥善存放和保管備份介質(zhì)（包括磁帶、從數(shù)據(jù)庫(kù)導(dǎo)出的文件等），防止非法訪問(wèn)。對(duì)備份的介質(zhì)應(yīng)做好標(biāo)識(shí)，存放環(huán)境符合要求。第二十一條 數(shù)據(jù)庫(kù)系統(tǒng)的安全檢查數(shù)據(jù)庫(kù)管理員應(yīng)經(jīng)常檢查數(shù)據(jù)庫(kù)系統(tǒng)的安全配置，并確保符合安全配置要求；數(shù)據(jù)庫(kù)管理員、審計(jì)員應(yīng)定期查看數(shù)據(jù)庫(kù)系統(tǒng)的運(yùn)行日志和審計(jì)日志，以及時(shí)發(fā)現(xiàn)出現(xiàn)的安全問(wèn)題；數(shù)據(jù)庫(kù)管理員應(yīng)定期使用最新的安全檢查或安全分析工具對(duì)系統(tǒng)進(jìn)行檢查，并及時(shí)消除存在的漏洞