信息安全體系設(shè)備管理制度（學(xué)習(xí)參考版本）

某省設(shè)備維護(hù)管理制度總則為貫徹國家對(duì)信息安全的規(guī)定和要求，指導(dǎo)和規(guī)范XXXX（以下簡(jiǎn)稱“XX”）各項(xiàng)運(yùn)維服務(wù)的操作合規(guī)性，對(duì)操作人員在運(yùn)行維護(hù)提出要求，保障XX云臺(tái)的穩(wěn)定性、安全性，保守XX云臺(tái)的應(yīng)用安全、信息秘密，特制定本規(guī)定。本規(guī)定適用于XXXX。組織機(jī)構(gòu)與職責(zé)從事IT運(yùn)維活動(dòng)的所有工作人員構(gòu)成IT運(yùn)維角色，單位、部門和人員的良好結(jié)構(gòu)和有力的組織形式是提供XX運(yùn)維服務(wù)的重要保障。IT運(yùn)維角色：XX運(yùn)維服務(wù)管理主要涉及3類角色：運(yùn)維服務(wù)提供者、運(yùn)維服務(wù)使用者、運(yùn)維服務(wù)管理者。XX作為運(yùn)維服務(wù)提供者，遵照其與購買服務(wù)的電子應(yīng)用部門簽訂的服務(wù)級(jí)別協(xié)議提供運(yùn)維服務(wù)。某地云計(jì)算XX負(fù)責(zé)運(yùn)維服務(wù)的設(shè)計(jì)、實(shí)施、評(píng)估和改進(jìn)。電子應(yīng)用系統(tǒng)用戶單位是XX運(yùn)維服務(wù)的使用者。IT運(yùn)維管理組織結(jié)構(gòu)：為實(shí)現(xiàn)以流程為導(dǎo)向、用戶滿意和服務(wù)品質(zhì)為核心的云計(jì)算XX運(yùn)維服務(wù)管理，并適應(yīng)不同電子應(yīng)用IT運(yùn)維管理的需要，部門需采取合理、高效的IT運(yùn)維管理組織結(jié)構(gòu)。XX運(yùn)維管理組織結(jié)構(gòu)由運(yùn)維領(lǐng)導(dǎo)工作組和運(yùn)維執(zhí)行工作組構(gòu)成。領(lǐng)導(dǎo)工作組的負(fù)責(zé)人應(yīng)由XX主管擔(dān)任，成員由業(yè)務(wù)部門和技術(shù)部門具有決策權(quán)的領(lǐng)導(dǎo)或者代表構(gòu)成。執(zhí)行組成員由XX技術(shù)支持團(tuán)隊(duì)和系統(tǒng)維護(hù)人員組成。組織結(jié)構(gòu)的構(gòu)成要素與IT運(yùn)維角色相對(duì)應(yīng)。其中，運(yùn)維領(lǐng)導(dǎo)工作組對(duì)應(yīng)于XX運(yùn)維服務(wù)管理者，運(yùn)維執(zhí)行工作組對(duì)應(yīng)于XX運(yùn)維服務(wù)提供者，各電子應(yīng)用系統(tǒng)用戶單位是運(yùn)維服務(wù)的使用者。XX運(yùn)維服務(wù)管理流程XX運(yùn)維服務(wù)管理流程涉及服務(wù)臺(tái)、事件管理、問題管理、配置管理、變更管理、發(fā)布管理、服務(wù)級(jí)別管理、財(cái)務(wù)管理、能力管理、可用性管理、服務(wù)持續(xù)性管理、知識(shí)管理及供應(yīng)商管理等，隨著運(yùn)維活動(dòng)的不斷深入和持續(xù)改進(jìn)，其他流程可能會(huì)逐步獨(dú)立并規(guī)范。服務(wù)臺(tái)服務(wù)臺(tái)是支持XX運(yùn)維服務(wù)的核心功能，與各個(gè)流程聯(lián)系密切。所有管理流程都要通過服務(wù)臺(tái)為用戶提供單點(diǎn)聯(lián)系，解答用戶的相關(guān)問題和需求，或?yàn)橛脩魧で笙鄳?yīng)的支持人員。客戶服務(wù)組負(fù)責(zé)服務(wù)臺(tái)的日常管理。事件管理事件管理流程的主要目標(biāo)是盡快恢復(fù)IT服務(wù)，并減少其對(duì)業(yè)務(wù)的不利影響，盡可能保證最好的IT服務(wù)質(zhì)量和可用性等級(jí)。事件管理流程通常涉及事件的監(jiān)控和記錄、事件的分類和支持、事件的調(diào)查和診斷、事件的解決和恢復(fù)以及事件的關(guān)閉。問題管理問題管理流程的主要目標(biāo)是預(yù)防問題和事故的再次發(fā)生，并將未能解決的事件的影響降低到最小。問題管理流程包括診斷事件根本原因和確定問題解決方案所需要的活動(dòng)，通過合適的控制過程，尤其是變更管理和發(fā)布管理，負(fù)責(zé)確保解決方案的實(shí)施。問題管理還將維護(hù)有關(guān)問題、應(yīng)急方案和解決方案的信息。配置管理配置管理負(fù)責(zé)核實(shí)IT基礎(chǔ)設(shè)施和電子應(yīng)用系統(tǒng)中實(shí)施的變更以及配置項(xiàng)之間的關(guān)系是否已經(jīng)被正確記錄下來；確保配置管理數(shù)據(jù)庫能夠準(zhǔn)確地反映現(xiàn)存配置項(xiàng)的實(shí)際版本狀態(tài)。變更管理變更管理實(shí)現(xiàn)所有IT基礎(chǔ)設(shè)施和應(yīng)用系統(tǒng)的變更，變更管理應(yīng)記錄并對(duì)所有要求的變更進(jìn)行分類，應(yīng)評(píng)估變更請(qǐng)求的風(fēng)險(xiǎn)、影響和業(yè)務(wù)收益。其主要目標(biāo)是以對(duì)服務(wù)最小的影響來實(shí)現(xiàn)有益的變更。發(fā)布管理發(fā)布管理負(fù)責(zé)對(duì)硬件、軟件、文檔、流程等進(jìn)行規(guī)劃、設(shè)計(jì)、構(gòu)建、配置和測(cè)試，以便為實(shí)際運(yùn)行環(huán)境提供一系列的發(fā)布組件，并負(fù)責(zé)將新的或變更的組件遷移到運(yùn)行環(huán)境中。其主要目標(biāo)是保證運(yùn)行環(huán)境的完整性，以及組件的正確發(fā)布。服務(wù)級(jí)別管理負(fù)責(zé)協(xié)商并記錄所提供的服務(wù)、相應(yīng)的服務(wù)級(jí)別目標(biāo)以及工作量，負(fù)責(zé)協(xié)商并記錄服務(wù)級(jí)別協(xié)議、支撐服務(wù)約定、供方合同以及相應(yīng)的程序。服務(wù)級(jí)別管理還監(jiān)視并報(bào)告服務(wù)級(jí)別，支持查看和定期的評(píng)審，以確保服務(wù)級(jí)別協(xié)議的更新和持續(xù)有效。財(cái)務(wù)管理財(cái)務(wù)管理負(fù)責(zé)管理服務(wù)提供的成本，制定預(yù)算、帳務(wù)和收費(fèi)需求。能力管理能力管理是通過優(yōu)化服務(wù)成本、安排采購時(shí)間和部署IT資源，從而履行與用戶簽定的協(xié)議。能力管理主要涉及資源管理、性能管理、需求管理、模擬測(cè)試、能力規(guī)劃、負(fù)載管理以及應(yīng)用選型。能力管理主要通過重點(diǎn)關(guān)注需求的規(guī)劃和整合，從而確保約定的服務(wù)級(jí)別可以實(shí)現(xiàn)。可用性管理可用性管理負(fù)責(zé)定義、分析、計(jì)劃、測(cè)量和改進(jìn)服務(wù)的所有可用性方面，從而保證IT基礎(chǔ)設(shè)施、流程、工具、角色等與協(xié)議達(dá)成的服務(wù)級(jí)別中的可用性目標(biāo)相適應(yīng)。服務(wù)持續(xù)性管理服務(wù)持續(xù)性管理的目標(biāo)是確保向用戶承諾的服務(wù)持續(xù)性在任何風(fēng)險(xiǎn)下都能得到滿足。該流程負(fù)責(zé)管理可能嚴(yán)重影響服務(wù)的風(fēng)險(xiǎn)，制定服務(wù)持續(xù)性計(jì)劃并定期評(píng)審。知識(shí)管理知識(shí)管理負(fù)責(zé)搜集、分析、存儲(chǔ)和共享知識(shí)和信息，其主要目的是通過提供可靠和安全的知識(shí)和信息以提高管理決策的質(zhì)量。供應(yīng)商管理供應(yīng)商管理目標(biāo)是管理供應(yīng)商及其所提供的設(shè)備及服務(wù)。該流程負(fù)責(zé)供應(yīng)商信息的維護(hù)、歸類和評(píng)估。系統(tǒng)維護(hù)系統(tǒng)維護(hù)總體策略是：要建立云臺(tái)維護(hù)安全方針、云臺(tái)維護(hù)安全管理制度、規(guī)范流程和評(píng)價(jià)體系等相關(guān)管理內(nèi)容。云臺(tái)的系統(tǒng)維護(hù)策略由運(yùn)營管理部負(fù)責(zé)制定，并定期進(jìn)行更新。各級(jí)維護(hù)部門由于維護(hù)、優(yōu)化工作需要查詢、修改各類客戶信息時(shí)，須得到XX主管審批、客戶授權(quán)才可以實(shí)施。對(duì)相關(guān)系統(tǒng)中的每一類客戶信息，應(yīng)有完整列表，定期審查并更新。禁止在相關(guān)系統(tǒng)中安裝、運(yùn)行與生產(chǎn)無關(guān)的程序。對(duì)于云臺(tái)維護(hù)工具應(yīng)進(jìn)行審批，方可使用；在使用期間，應(yīng)控制和監(jiān)視工具的使用過程、使用范圍等，以確保工具使用規(guī)范。在存有診斷和測(cè)試程序的介質(zhì)被使用之前，應(yīng)對(duì)其進(jìn)行惡意代碼檢測(cè)。登陸失敗，用戶口令與驗(yàn)證錯(cuò)誤超過三次需在監(jiān)控軟件與審計(jì)設(shè)備記錄中有告警提示。將云臺(tái)的組件轉(zhuǎn)移到XX外部進(jìn)行非現(xiàn)場(chǎng)的維護(hù)或修理前，需獲得XX主管的批準(zhǔn)。按照最小化原則配置賬戶權(quán)限，保證對(duì)客戶信息的訪問不得超過本身工作范圍。加強(qiáng)帳號(hào)口令管理，嚴(yán)格按照帳號(hào)口令管理辦法設(shè)置修改口令。加強(qiáng)遠(yuǎn)程登錄訪問設(shè)備管理。對(duì)相關(guān)系統(tǒng)的對(duì)外接口（互聯(lián)網(wǎng)、系統(tǒng)間、第三方系統(tǒng)、合營系統(tǒng)等）定期檢查，僅在使用時(shí)打開，避免出現(xiàn)不可控訪問路徑。定期檢查系統(tǒng)上打開的服務(wù)、端口、例行任務(wù)計(jì)劃和進(jìn)程等，發(fā)現(xiàn)存在后門及漏洞時(shí)應(yīng)及時(shí)采取補(bǔ)救措。與公網(wǎng)連接的系統(tǒng)應(yīng)有防火墻等安全防護(hù)措施，杜絕不可控的連接。廠家技術(shù)人員應(yīng)根據(jù)XX下發(fā)的廠家現(xiàn)場(chǎng)工作相關(guān)管理規(guī)定要求，執(zhí)行上述客戶信息安全管理要求，現(xiàn)場(chǎng)隨工人員應(yīng)做好督促監(jiān)督工作。有人員進(jìn)出XX云臺(tái)機(jī)房需要登記，參見《機(jī)房出入登記表》。授權(quán)及管理流程如果投訴處理、故障定位、工程調(diào)整等工作需要需查詢各種客戶信息或?qū)С隹蛻粜畔⑾嚓P(guān)文件時(shí)，運(yùn)營管理部必須依據(jù)任務(wù)工單或OA文件要求進(jìn)行，查詢結(jié)果只能用于解決問題，不得隨意向外泄漏，并保留相關(guān)的執(zhí)行記錄。在特殊情況下若確有通過運(yùn)營管理部修改客戶數(shù)據(jù)信息的需要，應(yīng)通過需求部門和運(yùn)營管理部雙方主管人員同意，以工單、傳真、OA文件等方式通知運(yùn)營管理部后方可實(shí)施，執(zhí)行人應(yīng)保留相關(guān)的執(zhí)行記錄。對(duì)于XX外相關(guān)單位客戶信息記錄查詢需求，一般情況下不予受理。對(duì)于各級(jí)機(jī)關(guān)、國家安全機(jī)關(guān)和人民檢察院由于執(zhí)法需要查詢客戶信息時(shí)，必須按照XX相關(guān)管理規(guī)定要求執(zhí)行，并保留相關(guān)的執(zhí)行記錄。遠(yuǎn)程維護(hù)與訪問控制在網(wǎng)絡(luò)邊界處部署訪問控制設(shè)備，保護(hù)內(nèi)部系統(tǒng)的安全。如出現(xiàn)故障問題填寫《云計(jì)算遠(yuǎn)程故障診斷表》。設(shè)置訪問控制功能的設(shè)備包括網(wǎng)閘、防火墻、路由器和三層路由交換機(jī)等。在網(wǎng)絡(luò)邊界處部署路由器交換機(jī)等訪問控制設(shè)備，配置啟用恰當(dāng)?shù)脑L問控制策略，并由網(wǎng)絡(luò)安全管理員定期檢查。應(yīng)針對(duì)內(nèi)網(wǎng)與外網(wǎng)之間以及內(nèi)網(wǎng)的不同網(wǎng)段之間做訪問控制。訪問控制規(guī)則描述了防火墻允許或禁止匹配訪問控制規(guī)則的報(bào)文通過。根據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流，提供明確的允許/拒絕訪問的能力，控制力度為端口級(jí)。按照用戶和系統(tǒng)之間的訪問規(guī)則，決定允許或拒絕用戶對(duì)受控系統(tǒng)進(jìn)行資源訪問，控制粒度為單個(gè)用戶。限制具有撥號(hào)訪問權(quán)限的用戶數(shù)量。遠(yuǎn)程維護(hù)需嚴(yán)格登記維護(hù)記錄起始時(shí)間、終止時(shí)間、接入單位、人員、操作的詳細(xì)記錄、與對(duì)數(shù)據(jù)維護(hù)的內(nèi)容，詳細(xì)參考附錄《遠(yuǎn)程監(jiān)控維護(hù)表》。用戶管理與測(cè)試管理維護(hù)或使用各相關(guān)系統(tǒng)的人員因工作需要而獲得的客戶信息，未經(jīng)許可不得告知他人，更不能作為商業(yè)用途使用。用戶有嚴(yán)格保守客戶信息秘密的義務(wù)和責(zé)任。XX應(yīng)組織維護(hù)或使用各相關(guān)系統(tǒng)的人員簽訂保密協(xié)議，明確保密責(zé)任。運(yùn)營管理部應(yīng)就維護(hù)系統(tǒng)所涉及第三方公司簽訂保密協(xié)議，第三方公司包括但不限于系統(tǒng)集成商、維護(hù)服務(wù)商。XX在系統(tǒng)割接、擴(kuò)容等建設(shè)、維護(hù)管理操作前，需與公司對(duì)應(yīng)管理人員確認(rèn)保密協(xié)議已簽訂。在保密協(xié)議簽訂前，嚴(yán)禁實(shí)施相關(guān)操作。開發(fā)測(cè)試/評(píng)估的范圍與內(nèi)容，應(yīng)包括如下幾個(gè)方面：測(cè)評(píng)項(xiàng)測(cè)評(píng)內(nèi)容部署與基礎(chǔ)結(jié)構(gòu)網(wǎng)絡(luò)是否提供了安全的通信部署拓?fù)浣Y(jié)構(gòu)是否包括內(nèi)部的防火墻部署拓?fù)浣Y(jié)構(gòu)中是否包括遠(yuǎn)程應(yīng)用程序服務(wù)器基礎(chǔ)結(jié)構(gòu)安全性需求的限制是什么目標(biāo)環(huán)境支持怎樣的信任級(jí)別輸入/輸出和編碼如何驗(yàn)證輸入是否清楚入口點(diǎn)是否清楚信任邊界是否驗(yàn)證Web頁輸入是否對(duì)傳遞到組件或Web服務(wù)的參數(shù)進(jìn)行驗(yàn)證是否驗(yàn)證從數(shù)據(jù)庫中檢索的數(shù)據(jù)是否將方法集中起來是否依賴客戶端的驗(yàn)證應(yīng)用程序是否易受SQL注入攻擊應(yīng)用程序是否易受XSS攻擊應(yīng)用程序是否易受OS注入攻擊應(yīng)用程序是否易受Cookie定制/隱藏文件操縱攻擊如何處理輸入輸出信息是否涉及泄密數(shù)據(jù)編碼處理過程是否存在安全漏洞身份驗(yàn)證是否區(qū)分公共訪問和受限訪問是否明確服務(wù)帳戶要求如何驗(yàn)證調(diào)用者身份如何驗(yàn)證數(shù)據(jù)庫的身份是否強(qiáng)制試用帳戶管理措施訪問授權(quán)如何向最終用戶授權(quán)如何在數(shù)據(jù)庫中授權(quán)應(yīng)用程序如何將訪問限定于系統(tǒng)級(jí)資源配置管理是否支持遠(yuǎn)程管理是否保證配置存儲(chǔ)的安全是否隔離管理員特權(quán)敏感數(shù)據(jù)是否存儲(chǔ)機(jī)密信息如何存儲(chǔ)敏感數(shù)據(jù)是否在網(wǎng)絡(luò)中傳遞敏感數(shù)據(jù)是否記錄敏感數(shù)據(jù)會(huì)話管理如何交換會(huì)話標(biāo)識(shí)符是否限制會(huì)話生存期如何確保會(huì)話存儲(chǔ)狀態(tài)的安全加密為何使用特定的算法如何確保加密密鑰的安全性參數(shù)操作是否驗(yàn)證所有的輸入?yún)?shù)是否在參數(shù)過程中傳遞敏感數(shù)據(jù)