信息系统安全管理制度

山东YS科技股份有限公司

信息系统安全管理制度

总则

为推动和指导山东YS科技股份有限公司（以下简称“公司”）建立健全内部控制，提高信息系统的可靠性、稳定性、安全性及数据的完整性和准确性，提高计算机信息系统管理水平，形成良好的信息传递渠道，根据国家有关法律法规和《企业内部控制基本规范》制定本制度。

本制度所称信息系统，是指企业利用计算机和通信技术，对内部控制进行集成、转化和提升所形成的信息化管理平台。

公司利用信息系统实施内部控制至少应当关注下列风险：

系统运行安全措施不到位，可能导致信息泄漏或损，系统无法正常运行。

本制度适用于公司及公司所属企业的信息系统安全管理工作。

本制度以下所称公司所属企业，是指公司下设的分公司和全资或控股子公司。本制度以下所称信息系统管理部门，是指公司及公司所属企业设置的履行信息系统管理职能的内部机构（包括职能部门、工作小组或者岗位等）。

信息系统安全管理

信息系统安全管理的范围包括：

应用安全

各业务部门在使用业务系统过程中的安全管理，主要涉及到系统的权限管理、数据管理、人员管理等方面。根据业务与技术相分离的原则，有关应用安全管理制度的制定及执行以相关业务部门为主，信息系统建设实施归口管理部门提供协助及指导。

运行安全

主要包括计算机硬件系统、操作系统、数据库系统、网络系统、机房环境等。有关运行安全制度的制定及执行，以信息系统建设实施归口管理部门为主。

第七条 信息系统安全评估

在新建信息系统应用项目进行选型招标时，所有参与选型招标的项目都必须提供该项目的安全设计方案。【更多免费素材，微信lbgzkf1 】

安全设计方案至少应包含以下内容：该项目对于公司的网络系统有什么运行环境的需求；可能会给公司在信息安全方面带来什么影响；该项目将采取什么措施来防范以致消除负面影响。

安全设计方案应递交信息系统建设实施归口管理部门进行安全审定，只有通过安全审定的项目才可以签约；在工程完毕后，只有通过安全验收的项目才可以完成项目验收，没有完成项目验收的IT应用项目不得投入实际运行。所有项目在其生命周期中，信息系统建设实施归口管理部门要妥善保存该项目的分析报告、设计文档、测试文档、安装手册、使用手册、程序代码以及其它有关资料。

各企业信息系统建设实施归口管理部门负责定期对各自信息系统进行安全评估，提出评估报告及整改意见报企业领导及公司信息系统建设实施归口管理部门。

第八条 应用系统安全管理

应用系统管理员负责该应用系统下的用户的开户及管理工作。

业务系统不允许两个或两个以上的自然人共同使用同一个用户帐号与口令。

除个别应用系统使用的公共操作用户帐号不便加设口令外，开设任何用户都应加设口令。

员工离职或调换工作岗位时，应在当日删除该用户或修改其操作权限。

系统管理员应每季度末对本系统下的所有操作用户进行全面清理：对有用的用户进行操作权限再确认，对无用的用户进行删除。

用户应自觉定期修改自已的口令，以防因口令泄露，提供给别人可利用的机会。口令字长度应在6位以上。

第九条 系统运行安全管理

资产安全管理

系统设备的选型与采购由公司统一归口管理，新购硬件设备及网络安全产品应经过安全检测和实际测试；定期对关键设备进行保养，建立详尽维护操作记录，建立严格的设备保管、使用登记、报废管理制度。

应用软件应购买正版软件，同时保证技术文档资料齐全，对于关键系统软件和应用软件必须启用安全审计功能；专人负责日志管理工作，专人负责软件维护、升级及安装补丁。

所有系统文档资料、软件介质、工作日志、使用手册等必须妥善保管，关键设备的系统配置参数、网络地址分配、网络结构等资料属于机密文档资料，未经授权不得外传。

技术安全管理

设立专职岗位进行网络设备的运行维护，建立网络系统的各种访问控制机制，对网络设备进行必要的安全配置并作详细的配置修改记录，保管记录资料。对于关键网络系统的任何调整修改，必须经过相关技术论证并获信息系统建设实施归口管理部门授权批准后方可实施。

设立专职岗位进行系统的运行维护，建立严格的系统权限管理机制，强化系统口令并定期更改口令，关闭业务应用无关的服务，对系统进行定期升级、打补丁或安全加固，对操作系统和业务系统进行必要的安全配置并建立配置修改记录，开启系统审计功能，定期检查分析系统日志。

操作安全管理

业务系统及重要硬件设备的规范操作流程是系统安全运行的重要指引，必须严格按照流程操作，明确个人操作职责，禁止越权非法操作。

信息安全及网络设备日常维护

网络管理岗工作人员每月通过网管软件或其它方式查看路由器、主交换机、防火墙等网络及信息安全设备工作状态，确保网络设备运转正常，及时发现问题以避免网络服务异常中断。

根据防火墙类型及配置不同，建议检查以下内容：检查防火墙配置信息、检查CPU负载、检查内存使用率、检查防火墙日志。

根据路由器、主交换机型号及配置不同，建议检查以下内容：检查CPU负载、检查内存使用率、检查对路由器、交换机的操作、检查路由器路由配置策略的变、检查相关日志完成以上检查后，依据检查结果填写《网络设备日常检查表》。

网络管理岗工作人员发现异常情况后立即分析原因并进行处理，处理过程记录在当日的《网络设备日常检查表》中。

第十条 数据库安全管理

业务系统数据库的底层管理主要由信息系统建设实施归口管理部门数据库管理人员负责。

用户策略

数据库的用户须实施密码策略，账号密码要保持一定的复杂程度并严格保密；

业务系统访问数据库的用户设置connect和rescoure权限，除非特殊情况不得设置DB权限；

不经授权无权直接访问数据库后台，也无权允许进行任何操作；

禁用数据库内的无效用户。

外部访问数据库，必须采用安全的通道进行并严格控制，如VPN，SSL等。

数据库的数据文件、控制文件、参数文件、日志文件按照备份策略严格执行，在进行数据库的重大调整前必须做数据备份。

对数据库的日常运营进行监控，并按流程对数据库进行优化。

第十一条 机房管理

机房出入管理

机房是生产重地，未经许可，任何人员不得出入。

进入机房人员不得携带任何易燃、易爆、腐蚀性、强电磁、辐射性、流体物质等对设备正常运行构成威胁的物品。

为了保证机房的正常工作秩序和安全，未经领导同意任何人不得引领无关人员参观机房。任何人员因工作需要进入机房，均需填写《机房出入登记表》，登记随身携带的物品。

获得出入权限的员工的门禁卡只限本人使用，不得转借他人。门禁卡的申请、发放、管理应参考有关公司规定执行。

所有人员离开机房时应主动接受值班人员的检查，并做好登记工作。

系统管理人员将定期更新机房出入授权列表，有关人员确需要延长期限的，应在到期前及时提出申请。

进入机房人员应自觉遵守机房内各项管理规定，服从机房值班人员的管理，保持机房内安静、整洁。工作完毕后应及时离开。

机房卫生规定

机房管理人员需要定期对机房进行打扫，保证机房内环境、设备的清洁。

任何人不得将食物或饮料带入机房，任何人不得在机房内吃东西、吸烟、吐痰。

进入机房人员在工作完毕后，自觉将所带纸张等废弃物品带走。【更多免费素材，微信lbgzkf1】

机房设备管理规定

机房管理人员应使用设备管理软件或电子表格对机房内设备做好登记，记录现有设备的型号、配置、位置、状态等信息，以便跟踪设备变化。

机房管理人员对机房设备的操作必须严格按照操作程序进行。

非机房管理人员未经允许，不得擅自对机房设备进行操作。【更多免费 素材，微信lbgzkf1】

机房内的供电系统、消防系统、机房监控系统、空调系统等设备应制定相关的维护保养计划，机房管理人员按计划进行维护保养。

机房内主机等设备的维修，必须做好故障维修登记。

机房内主机等设备的定期维护保养。

值班管理规定

每月需要安排专人进行机房值班，负责检查并记录机房内状况，并进行一些日常机房管理工作，填写《机房运行日志》，发现问题要及时报告。

值班人员每月做好系统运行和机房安全工作,检查机房内的空调、UPS、地湿、消防等设备的完好性，并将检查结果记录于《机房运行日志》。

值班人员应每月检查各类系统设备的运行状态，并进行记录。若系统发生故障，应及时报告相关管理人员，并协助其进行问题调查，做好工作记录，将故障发生时间及修复时间等相关信息进行登记。

对于进入机房人员不遵守机房管理规定或从事与正常工作内容不相符的操作，必须及时加以制止，必要时可终止其操作。

机房消防、安全管理规定

机房应保持计算机设备正常运行所必须的温度、湿度等环境要求，安装温湿度报警设施，对运行环境可能出现的不利因素进行监测并预警。

机房内应定期除尘，在除尘时应确保计算机设备的安全。

机房应列为单位要害和重点防火部位，应严格按照相关国家标准安装配备足够数量的消防报警设备以及消防器材，机房工作人员要熟悉机房消防器材的存放位置及使用方法，定期检查更换。

严禁在防火通道内堆放杂物，确保设备及工作人员的安全。

机房应配备适当的不间断的电力供应，确保有足够的后备电力支持正常的系统应急操作；每半年对现有的不间断的电力供应设备进行检查与维护，确保设备的正常运作；根据机房设备的变更情况，更新不间断的电力供应设备以确保对新运行环境的保护。

每半年对机房供电线路及照明器具进行检查，防止因线路老化短路造成火灾。

机房管理人员要熟悉设备电源和照明用电以及其他电气设备总开关位置，掌握切断电源的方法与步骤，发现火情及时报告，采取有效措施及时灭火。

对于安全系统检查出现异常，需记录并及时通报信息系统建设实施归口管理部门负责人。有条件的可以建立机房安全预警系统。

根据系统或网络设备的增加或更新，机房管理人员应更新不间断的电力供应设备以确保对新运行环境的保护。

附则

第十二条 本制度由公司办公室制定，并负责解释和修订。

第十三条 本制度自发布之日起执行。

稻壳儿文字模板使用说明

（本页为说明页，用户使用模板时可删除本页内容）

02

素材说明

素材：

模板中使用的思维导图为本人原创设计，版权归设计师本人所有。

中文｜宋体

宋体

01

字体说明

【说明】

模板中使用的字体仅限于个人学习、研究或欣赏目的使用，如需商用请您自行向版权方购买、获取商用版权。