| 索引號： | 68297389-6/2018-00050 | 分類： | 其他\其他 其他 | ||
| 發(fā)布機構(gòu)： | 國家統(tǒng)計局啟東調(diào)查隊 | 文號： | 無 | ||
| 成文日期： | 2018-11-14 | 發(fā)布日期： | 2018-11-14 | 有效性： | 有效 |
| 名稱： | 國家統(tǒng)計局啟東調(diào)查隊信息系統(tǒng)管理辦法 | ||||
為加強國家統(tǒng)計局啟東調(diào)查隊（以下簡稱啟東隊）信息系統(tǒng)管理工作，保障啟東隊信息系統(tǒng)安全穩(wěn)定運行，特制定本辦法。
一、管理范圍
啟東隊信息系統(tǒng)包括基于統(tǒng)計信息網(wǎng)（以下簡稱內(nèi)網(wǎng)）的信息系統(tǒng)和基于互聯(lián)網(wǎng)運行的信息系統(tǒng)，信息系統(tǒng)內(nèi)的各類應(yīng)用、設(shè)備、基礎(chǔ)設(shè)施、安全保障和技術(shù)管理人員等均屬本辦法管理范圍。
二、管理部門及其職責(zé)
啟東隊信息系統(tǒng)由綜合科統(tǒng)一管理，并負(fù)責(zé)制定信息系統(tǒng)管理策略，包括人員管理、系統(tǒng)建設(shè)管理、機房管理、網(wǎng)絡(luò)管理、系統(tǒng)管理防范和處置安全風(fēng)險等。
三、人員管理
?。ㄒ唬?quán)責(zé)分設(shè)管理。
啟東隊信息系統(tǒng)管理人員實行管理員、操作員和審計員權(quán)責(zé)分設(shè)制度。管理員，負(fù)責(zé)信息系統(tǒng)用戶管理、授權(quán)等操作，對重要操作建立操作規(guī)程，制訂操作和運維手冊。包括信息系統(tǒng)安全管理和維保方案編制，機房巡查方案編制，核心設(shè)備安全防護(hù)策略等管理方案編制及實施等。操作員，負(fù)責(zé)信息系統(tǒng)操作實施，機房環(huán)境(包括空調(diào)、消防、報警、防鼠、防雷)管理等。審計員，負(fù)責(zé)對系統(tǒng)操作員進(jìn)行監(jiān)督審計。
?。ǘ┰趰徣藛T信息安全管理。
1.根據(jù)信息技術(shù)崗位安全職責(zé)，在崗的涉密人員需簽訂《保密承諾書》。對信息系統(tǒng)管理信息和信息系統(tǒng)承載的內(nèi)部信息，未經(jīng)批準(zhǔn)不得對外提供或泄露。
2.啟東隊機關(guān)各科室要加強對在崗人員的管理，提高在崗人員的安全意識；綜合科定期進(jìn)行信息安全檢查，確保信息安全規(guī)定有效執(zhí)行。在檢查中發(fā)現(xiàn)有違規(guī)行為的，綜合科上報啟東隊信息安全領(lǐng)導(dǎo)小組研究處理，情節(jié)特別嚴(yán)重的違規(guī)行為，在隊內(nèi)部進(jìn)行通報。
3.綜合科組織對系統(tǒng)的信息安全基礎(chǔ)知識、網(wǎng)絡(luò)安全教育等知識培訓(xùn)，對信息系統(tǒng)相關(guān)人員進(jìn)行崗位技能、信息系統(tǒng)操作規(guī)程等能力培訓(xùn)，對培訓(xùn)情況和結(jié)果進(jìn)行記錄并歸檔保存。
（三）離崗人員管理。
1.啟東隊信息系統(tǒng)相關(guān)人員離崗時應(yīng)辦理工作交接，對已投入運行的信息系統(tǒng)管理資料、臺賬等和正在實施的項目建設(shè)資料等進(jìn)行完整移交，并交接其使用和負(fù)責(zé)管理的有關(guān)設(shè)備資產(chǎn)。
2.涉密人員離崗時應(yīng)根據(jù)其簽訂的《保密承諾書》履行離職后仍需擔(dān)負(fù)的安全責(zé)任和義務(wù)，對違反安全責(zé)任和義務(wù)所引發(fā)的后果承擔(dān)責(zé)任，泄露敏感秘密的，按照信息安全保密有關(guān)規(guī)定和相關(guān)協(xié)議追究其法律責(zé)任。
3.綜合科管理員應(yīng)在相關(guān)人員離崗后依照個人權(quán)限清單和信息安全管理要求，修改或刪除相關(guān)人員的有關(guān)信息和信息系統(tǒng)的訪問權(quán)限。
?。ㄋ模┩鈦砣藛T安全管理。
1.接待外部人員來訪時，綜合科應(yīng)對其提出信息安全要求，確保來訪人員遵守信息安全規(guī)定。
2.外來人員為啟東隊信息系統(tǒng)實施的技術(shù)支持服務(wù)操作由綜合科統(tǒng)一管理，其中服務(wù)器和數(shù)據(jù)庫操作必須經(jīng)批準(zhǔn)。需要使用信息系統(tǒng)賬號等管理信息的，應(yīng)按照要求由綜合科管理人員開通臨時賬號或提供中間訪問協(xié)助，不得泄露正式賬號密碼，實現(xiàn)對操作行為的全程可控。技術(shù)服務(wù)結(jié)束后，管理員應(yīng)及時關(guān)閉相關(guān)信息系統(tǒng)臨時賬號或中止中間訪問協(xié)助。
四、系統(tǒng)建設(shè)安全管理
?。ㄒ唬┰O(shè)備選型。
1.啟東隊在建設(shè)信息系統(tǒng)時，應(yīng)按照政府采購和信息安全的有關(guān)規(guī)定，原則上采用我國自主開發(fā)研制的信息安全技術(shù)和設(shè)備。同時，要預(yù)先對產(chǎn)品進(jìn)行選型測試，確定產(chǎn)品的候選范圍，審核供應(yīng)商的資質(zhì)。
2.采用密碼技術(shù)的安全專用產(chǎn)品須具備國家密碼管理部門的審批文件，嚴(yán)禁使用未經(jīng)國家密碼管理部門批準(zhǔn)和未通過國家信息安全質(zhì)量認(rèn)證的密碼設(shè)備。
?。ǘ┎少彴惭b。
1.啟東隊信息系統(tǒng)所使用的操作系統(tǒng)、應(yīng)用軟件、數(shù)據(jù)庫、安全軟件、工具軟件應(yīng)滿足正版軟件和知識產(chǎn)權(quán)保護(hù)的相關(guān)要求。
2.系統(tǒng)部署后應(yīng)經(jīng)過軟硬件基礎(chǔ)測試并進(jìn)行系統(tǒng)試運行，期間不得加載任何正式數(shù)據(jù)。試運行合格，經(jīng)綜合科負(fù)責(zé)人批準(zhǔn)，系統(tǒng)才能正式上線運行。
五、網(wǎng)絡(luò)安全管理
實行“三員分權(quán)”管理，由綜合科指定的管理員、操作員和審計員負(fù)責(zé)。
?。ㄒ唬┚W(wǎng)絡(luò)安全規(guī)劃。
在網(wǎng)絡(luò)系統(tǒng)規(guī)劃、升級、改造建設(shè)過程中，綜合科應(yīng)組織相關(guān)人員對網(wǎng)絡(luò)建設(shè)方案進(jìn)行評審，滿足網(wǎng)絡(luò)安全管理要求。
?。ǘ┚W(wǎng)絡(luò)接入控制。
1.操作員負(fù)責(zé)網(wǎng)絡(luò)接入工作。啟東隊機關(guān)各科室業(yè)務(wù)應(yīng)用和工作人員辦公終端、外來人員臨時使用終端設(shè)備等需要使用啟東隊網(wǎng)絡(luò)的，應(yīng)書面申請，科室負(fù)責(zé)人審核，綜合科負(fù)責(zé)人批準(zhǔn)后，操作員實施并記錄臺賬，定期檢查清理接入情況。
2.操作員負(fù)責(zé)網(wǎng)絡(luò)邊界安全防護(hù)，在網(wǎng)絡(luò)邊界處采取安全措施，并對違規(guī)行為進(jìn)行檢查和阻斷。
3.操作員建立和改變與外部系統(tǒng)的連接均應(yīng)須綜合科負(fù)責(zé)人批準(zhǔn)或授權(quán)。
4.管理員負(fù)責(zé)管理網(wǎng)絡(luò)拓?fù)洌?fù)責(zé)VLAN、安全域劃分，安全域劃分應(yīng)根據(jù)應(yīng)用類別和重要程度實現(xiàn)應(yīng)用系統(tǒng)分類部署。操作員在安全域邊界配置并啟用嚴(yán)格的訪問控制策略。訪問控制策略設(shè)置應(yīng)遵循“默認(rèn)禁止”和“最小授權(quán)”原則。
?。ㄈ┚W(wǎng)絡(luò)安全審計。
審計員負(fù)責(zé)管理網(wǎng)絡(luò)關(guān)鍵部位審計設(shè)備，管理網(wǎng)絡(luò)設(shè)備日志，每日監(jiān)控、記錄與網(wǎng)絡(luò)安全相關(guān)的操作與活動，定期分析記錄并報告。原則上日志保存時間應(yīng)不少于6個月。
?。ㄋ模┚W(wǎng)絡(luò)設(shè)備管理。
1.操作員應(yīng)將網(wǎng)絡(luò)設(shè)備編號、名稱、用途、IP、負(fù)責(zé)人等信息以標(biāo)簽方式張貼或固定在網(wǎng)絡(luò)設(shè)備前面板明顯位置，未經(jīng)許可，任何人不得撕毀、篡改。操作員應(yīng)對上、下聯(lián)設(shè)備連接線纜、網(wǎng)絡(luò)端口進(jìn)行詳細(xì)標(biāo)識。
2.網(wǎng)絡(luò)設(shè)備及相關(guān)配套軟硬件的申請采購按照啟東隊固定資產(chǎn)采購辦法執(zhí)行，驗收由啟東隊綜合科負(fù)責(zé)。設(shè)備完成驗收后，操作員按照管理員拓?fù)涔芾硪螅M織設(shè)備上架和網(wǎng)絡(luò)接入。
3.操作員負(fù)責(zé)網(wǎng)絡(luò)配置定期備份工作，做好備份記錄。
4.操作員負(fù)責(zé)網(wǎng)絡(luò)設(shè)備系統(tǒng)軟件的更新工作，更新前應(yīng)對現(xiàn)有版本文件進(jìn)行整體備份。
5.操作員原則上應(yīng)定期（每半年）對網(wǎng)絡(luò)設(shè)備口令進(jìn)行更新。
（五）網(wǎng)絡(luò)安全檢查。
1.管理員負(fù)責(zé)制定詳細(xì)的網(wǎng)絡(luò)檢查項目，操作員負(fù)責(zé)網(wǎng)絡(luò)系統(tǒng)運行的日常檢查工作，將檢查結(jié)果進(jìn)行記錄。
2.操作員應(yīng)定期對網(wǎng)絡(luò)設(shè)備配置進(jìn)行檢查和評估，確保網(wǎng)絡(luò)配置與安全策略保持一致，并對檢查結(jié)果進(jìn)行記錄。
3.操作員應(yīng)定期對網(wǎng)絡(luò)系統(tǒng)進(jìn)行漏洞掃描，對發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進(jìn)行及時的修補。
（六）網(wǎng)絡(luò)訪問控制。
1.管理員應(yīng)制定網(wǎng)絡(luò)訪問控制策略，并做好相應(yīng)備案記錄。
2.訪問控制策略內(nèi)容包括：根據(jù)業(yè)務(wù)、管理需要，對不同的科室接入進(jìn)行劃分；明確各科室只能訪問被允許訪問的網(wǎng)絡(luò)和網(wǎng)絡(luò)服務(wù)；規(guī)定各科室訪問網(wǎng)絡(luò)和網(wǎng)絡(luò)服務(wù)使用的方法。
七、系統(tǒng)安全管理
?。ㄒ唬┫到y(tǒng)維護(hù)管理。
啟東隊的系統(tǒng)維護(hù)管理主要由綜合科指定的管理員、操作員和審計員負(fù)責(zé)。
1.工作人員須定期進(jìn)行崗位專業(yè)知識技能和信息安全培訓(xùn)，能正確執(zhí)行本崗位管理工作。
2.操作員應(yīng)依據(jù)操作手冊對系統(tǒng)進(jìn)行維護(hù)，詳細(xì)記錄保存操作日志。重要的操作、運行維護(hù)、參數(shù)的設(shè)置和修改，須經(jīng)科室負(fù)責(zé)人批準(zhǔn)，嚴(yán)禁進(jìn)行未經(jīng)授權(quán)的操作。審計員負(fù)責(zé)運維安全審計系統(tǒng)監(jiān)控并記錄用戶的日常操作，設(shè)置系統(tǒng)日志的保存時間。
3.審計員應(yīng)定期對運行日志和審計數(shù)據(jù)進(jìn)行分析，以便及時發(fā)現(xiàn)異常行為。定期對使用中的信息安全管理情況進(jìn)行檢查和報告。
4.操作員應(yīng)對系統(tǒng)中運行的軟件版本進(jìn)行嚴(yán)格控制，建立管理記錄。對系統(tǒng)軟件版本升級、補丁更新、安全加固等活動組織評審和測試，防止因上述變更影響到應(yīng)用系統(tǒng)的正常運行。
5.操作員要定期對系統(tǒng)進(jìn)行漏洞掃描，對發(fā)現(xiàn)的安全漏洞及時進(jìn)行修補。在安裝系統(tǒng)補丁前，應(yīng)首先在測試環(huán)境中測試通過，并對重要文件進(jìn)行備份后，方可實施系統(tǒng)補丁程序的安裝。
6.所有接入內(nèi)網(wǎng)和互聯(lián)網(wǎng)的服務(wù)器必須統(tǒng)一安裝服務(wù)器專用版殺毒軟件。操作員應(yīng)及時更新病毒庫，并定期全盤查殺病毒。
7.操作員設(shè)置操作系統(tǒng)口令應(yīng)滿足復(fù)雜度要求（8位以上，字母、數(shù)字和特殊字符兩者以上組合，不易被猜測）并定期修改口令。嚴(yán)禁使用操作系統(tǒng)默認(rèn)用戶名。
8.管理員要加強對測試服務(wù)器的管理。管理員在分配初始口令時不得使用簡單易猜測的口令，業(yè)務(wù)使用人員應(yīng)修改服務(wù)器的初始口令并滿足口令復(fù)雜度要求。
9.操作員應(yīng)根據(jù)應(yīng)用的需求，僅開放需要的服務(wù)端口；應(yīng)細(xì)化到具體服務(wù)器IP地址和服務(wù)端口，一般禁止對本網(wǎng)絡(luò)區(qū)域外的IP開放3389、445、135、137、139等端口。除工作需要外，禁止開放遠(yuǎn)程管理端口。不得利用服務(wù)器資源進(jìn)行與業(yè)務(wù)無關(guān)的操作。
?。ǘ┫到y(tǒng)備份管理。
啟東隊的系統(tǒng)備份管理主要由綜合科指定的管理員、操作員和審計員負(fù)責(zé)。
1.管理員應(yīng)制定系統(tǒng)備份策略，包括系統(tǒng)配置備份和設(shè)備備份，并做好相應(yīng)備案記錄。
2.操作員應(yīng)使用備份存儲、備份軟件、數(shù)據(jù)庫備份工具等方式每天進(jìn)行系統(tǒng)數(shù)據(jù)備份，并做好系統(tǒng)配置及設(shè)備備份的保存與管理。
3.操作員要做好檢查工作，定期對備份進(jìn)行恢復(fù)測試，保證備份安全有效。
（三）用戶行為管理。
1.啟東隊機關(guān)工作人員在使用信息系統(tǒng)時要自覺遵守國家有關(guān)法律、行政法規(guī)，嚴(yán)格執(zhí)行國家信息系統(tǒng)安全規(guī)定；不得利用網(wǎng)絡(luò)從事危害國家安全、泄露國家秘密等違法犯罪活動；不得制作、查閱、復(fù)制和傳播有害信息；不得下載、安裝、傳播和使用盜版軟件。嚴(yán)禁在工作時間從事與工作無關(guān)的網(wǎng)絡(luò)活動和行為。
2.綜合科統(tǒng)一管理、分配用戶計算機的網(wǎng)絡(luò)IP地址，使用者不得冒用他人IP地址上網(wǎng)。未經(jīng)允許不得擅自使用網(wǎng)絡(luò)資源；未經(jīng)允許不得擅自對信息網(wǎng)絡(luò)功能進(jìn)行刪除、修改或者增加；未經(jīng)允許不得擅自對信息網(wǎng)絡(luò)中存儲、處理或者傳輸?shù)臄?shù)據(jù)和應(yīng)用程序進(jìn)行刪除、修改或者增加。不得從事危害信息網(wǎng)絡(luò)安全的活動；不得在網(wǎng)絡(luò)上散發(fā)惡意信息，冒用他人名義發(fā)布信息，侵犯他人隱私；不得從事其他侵犯網(wǎng)絡(luò)和他人合法權(quán)益的活動。
3.切實做好統(tǒng)計工作網(wǎng)絡(luò)、數(shù)據(jù)生產(chǎn)專網(wǎng)、政務(wù)外網(wǎng)和政務(wù)內(nèi)網(wǎng)等網(wǎng)絡(luò)使用的安全管理工作，上述網(wǎng)絡(luò)嚴(yán)格按照規(guī)定要求進(jìn)行物理隔離和邏輯隔離。物理隔離網(wǎng)絡(luò)中的涉網(wǎng)用戶終端及設(shè)備禁止在其他網(wǎng)絡(luò)中交叉使用，一經(jīng)發(fā)現(xiàn)操作員將采取斷網(wǎng)措施。
4.所有接入內(nèi)網(wǎng)的計算機必須安裝國家統(tǒng)計局客戶端安全管理軟件，實行實名制準(zhǔn)入制度，嚴(yán)禁非受控計算機接入內(nèi)網(wǎng)。
5.每臺接入內(nèi)網(wǎng)和互聯(lián)網(wǎng)信息系統(tǒng)的計算機必須統(tǒng)一安裝由綜合科指定的防毒軟件并及時升級。
6.用戶計算機操作系統(tǒng)口令應(yīng)滿足復(fù)雜度要求（8位以上，字母、數(shù)字和特殊字符兩者以上組合，不易被猜測）。
7.工作人員應(yīng)對本人負(fù)責(zé)的重要信息定期進(jìn)行檢查，并使用備份系統(tǒng)、光盤刻錄等方式進(jìn)行數(shù)據(jù)備份。嚴(yán)禁未經(jīng)批準(zhǔn)的外來人員使用內(nèi)網(wǎng)，嚴(yán)禁泄露計算機口令和涉密數(shù)據(jù)，啟東隊機關(guān)各科室負(fù)責(zé)人負(fù)責(zé)定期維護(hù)本科室的信息系統(tǒng)設(shè)備。
8.工作人員應(yīng)確保信息設(shè)備使用環(huán)境良好，嚴(yán)禁在附近放置液體、堆放雜物或放置易燃、易爆物品。下班前必須關(guān)閉計算機、打印機等電子設(shè)備并切斷電源。
八、惡意代碼防范
?。ㄒ唬┫到y(tǒng)防范。
1.綜合科要定期組織培訓(xùn)，提高防范惡意代碼意識和安全技能。
2.系統(tǒng)防范管理主要由綜合科指定的操作員負(fù)責(zé)。操作員應(yīng)定期檢查信息系統(tǒng)內(nèi)各種產(chǎn)品的惡意代碼庫的升級情況并進(jìn)行記錄，定期檢查網(wǎng)絡(luò)內(nèi)服務(wù)器的殺毒軟件運行狀態(tài)并進(jìn)行記錄，對防毒軟件系統(tǒng)上截獲的危險惡意代碼或惡意代碼進(jìn)行及時分析處理。
（二）用戶防范。
1.每臺接入內(nèi)網(wǎng)或互聯(lián)網(wǎng)的服務(wù)器和計算機，必須安裝由綜合科指定的防毒軟件并及時升級，不得自行卸載停用殺毒軟件，不得安裝非指定的防殺惡意代碼軟件。
2.工作人員不得收集、研究、編制、復(fù)制、傳播計算機病毒、木馬或惡意程序等。
3.工作人員應(yīng)定期對計算機進(jìn)行查毒、殺毒工作。使用他人光盤、U盤、移動硬盤前必須先進(jìn)行病毒掃描，確認(rèn)安全后方可使用。經(jīng)遠(yuǎn)程通信接收的程序、數(shù)據(jù)包、電子郵件等，須經(jīng)過檢測確認(rèn)無病毒后方可使用；對外報送的電子數(shù)據(jù)資料，應(yīng)確認(rèn)無病毒后方可發(fā)送，防止病毒傳播擴散。發(fā)現(xiàn)計算機病毒或惡意程序，要及時使用殺毒軟件進(jìn)行查殺，并向綜合科報告。
4.禁止私自擴展、加裝網(wǎng)絡(luò)設(shè)備和私自跳接計算機聯(lián)網(wǎng)的信息點。
（三）惡意代碼的查殺與處理。
綜合科應(yīng)管理和指導(dǎo)日常惡意代碼查殺工作。發(fā)生大規(guī)模惡意代碼事件時，按照應(yīng)急管理辦法執(zhí)行?！ ?/p>
九、本辦法由啟東隊綜合科解釋。