信息安全管理制度第一章总则第一条为保障光*****的信息安全，根据有关法律法规要求，并结合工作实际，特制定本制度。

第二条本制度适用范围为********所有部门。

单位所有人员必须严格遵守本制度，以确保安全使用计算机及网络。

第二章管理机构与职能第三条 ********信息安全管理实行分管领导负责制。

领导小组负责信息安全工作的组织管理和统筹协调工作，加强信息安全管理的宣传教育和各项政策法规的贯彻落实，开展对各部门信息安全管理工作的监督检查。

此外，领导小组负责信息安全管理制度的具体实施，加强对各信息系统软硬件的维护管理，确保平稳运行；加强信息系统的监测，确保安全运行；加强对各信息系统管理人员的培训指导，不断提升管理人员的安全责任意识；加强对各系统的兼容整合，有效利用资源；定期通报各信息系统安全管理情况，发现问题及时督促其限时整改落实。

第四条各级下属机构信息管理部门统筹本机构信息安全管理工作，负责为本机构信息安全提供技术支持和技术指导，负责本单位的计算机信息、网上信息的检查、监督与监控等安全工作。

第五条各部门负责本部门的信息安全管理、信息保密工作，部门负责人为本部门信息安全责任人。

第三章系统运维岗位及职责第六条为保证本单位所有信息系统的正常运行，设置的系统运维岗位分别有主机维护岗、数据库维护岗、网络维护岗、硬件维护岗、系统管理员岗和安全管理员岗。

第七条主机维护岗位，其职责为：1）岗位职责为负责对各类操作文件系统监控，系统日志监控，交换分区监控，CPU及内存使用情况监控。

2）负责各类操作系统系统用户的创建，权限分配的管理。

3）负责各类操作系统的补丁更新。

4）负责每三个月对操作系统进行一次密码修改，密码策略要求同时具有大写字母、小写字母、数字和特殊字符，且长度要求8为以上。

5）负责各类操作系统故障排除处理。

6）协助项目各类主机类设备的实施；负责每月定期清理小型机内的监控数据。

7）负责存储设备的磁盘使用情况监控。

8）负责存储设备的硬盘状态监控。

9）负责非核心应用系统操作系统部署。

10）负责定期对操作系统日志进行提前分析。

11）负责运维软件的相关部署。

12）负责每两周对备份系统进行拷贝到移动硬盘，并将移动硬盘存放至网络科保险箱。

第八条数据库维护岗，其职责为：1）负责非核心系统数据库的安装配置工作。

2）负责非核心系统数据库参数优化工作。

3）负责对非核心系统数据库的备份进行定期检查工作。

4）负责数据库的安全防范管理工作。

5）负责每日9:00—11:00对核心数据库表空间使用情况进行检查。

6）负责每周五定期统计表空间使用情况及可用周统计。

7）负责每个月定期对数据库SQL抓取及分析工作。

8）负责数据库的监控检查工作。

9）协助软件开发人员完成数据库软件开发所需的各类数据库的信息。

10）负责非核心系统数据库故障处理工作；完成上级领导交办的其他工作。

第九条网络维护岗，其职责为：1）负责对政务外网（广域网）、局域网、因特网接入的正常运行提供技术支持，并对路由器、交换机、网络线，网络信息点等网络设备进行配置、管理和巡检并做好相关日志记录工作。

2）负责每日9点到11点对路由器、核心交换、接入交换和光纤交换的系统运行状态和端口状态进行监控，并在每周末生成《网络系统巡检周表》。

3）负责对网络安全设备的端口状态监控、系统日志和攻击日志监控并对异常情况及时处理和记录。

4）负责定期查看防火墙日志系统,定位攻击。

察觉到网络处于被攻击状态后，网管员应确定其身份，并对其发出警告，提前制止可能的网络犯罪，若对方不听劝告，在保护系统安全的情况下可做善意阻击并向主管领导汇报。

5）负责对项目整体结构和各业务系统的网络拓扑图制作工作。

第十条硬件维护岗，其职责为：1) 负责服务器和存储故障排查处理工作。

2) 负责每日10：00前完成对信息中心69台小型机、5台存储、2台虚拟带库机的检查工作，记录并跟踪检查结果。

3) 负责每日9：00、13：00、17：00对机房硬件设备的日常巡检工作，根据已建立的icinga监控小型机和IE浏览IP查看存储和虚拟带库，填写例行工作记录表，如有变动及时更新。

4) 负责机房设备的上下架工作，机房如需服务器的上架、下架工作等及时的处理，如需调用其他资源需向上级领导报告，经批准后再做处理，严禁未经批准擅自作主。

5) 负责机房设备硬件报错故障处理工作，定时查看服务器状态，确保机器的正常运行，当液晶显示器上出现带数字和字母的信息时，说明有硬件告警，当硬盘工作正常时，与各硬盘对应的硬盘灯会呈绿色，如无读写，则绿灯一直亮，如该硬盘有读写操作，则绿灯会不规则闪烁，当硬盘损坏时或SSA环路出现问题时，则硬盘状态灯将熄灭，或者呈闪烁状态：以1～3秒的频率有规律地、不停地闪烁。

6) 负责内存、CPU更新工作，在更新前做好数据备份，确保系统出现故障时文件系统被严重损坏或硬盘损坏时，需要使用系统备份来恢复系统。

7) 负责机房日常布线工作，机房如需布线，需要调用其他资源需向网络科申请，经批准后再做处理，在布线时确保线路畅通，同时需注意不能影响其他线路，做完后要记录记号，及时更新文档，方便查阅。

第十一条系统管理员岗，其职责为：1）负责单位所有业务系统、办公系统、门户网站的正常安全运行。

2）配合服务外包公司完善所有信息系统包括门户网站的完善与升级。

3）配合服务外包公司完成单位业务系统与其它业务系统的功能对接工作。

第十二条安全管理员岗，其职责为：1）负责制定和实施信息安全管理制度，以技术手段隔离不良信息，及时发布预知通告，发布计算机病毒、网络病毒的危害程度、防杀措施、及补救办法。

2）负责定期进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等。

另外要根据信息系统安全需求及网络系统建设的发展，提出网络系统安全整改意见和实施方案，提出具体的解决方案。

3）负责我单位系统用户及密码的管理、提供包括申请用户、修改、暂停、注销等服务。

4）负责开展我单位信息安全基础培训工作，提供信息系统安全应用的技术支持。

5）负责合理配置操作系统、数据库管理系统所提供的安全防护功能，以达到相应安全等级标准。

关闭与应用系统无关的所有网络端口，制定严格的网络安全策略机制，防止非法用户的侵入。

及时安装正式发布的系统补丁，修补系统存在的安全漏洞，防止系统遭受各种恶意攻击。

启用系统提供的防护功能，监测系统运行日志，掌握系统运行状况。

第四章人员配备第十三条为明确工作目标，责任落实到人，确保我单位所有业务信息系统安全可靠运行, 我单位设置了专职的安全管理员。

第五章授权与审批第十四条对信息系统中的关键活动，业务系统操作方面，业务系统的上线部署和升级，业务信息系统增减人员、权限修改等需进行授权审批。

机房管理方面，进入机房、增加硬件设备、升级硬件设备、报废设备等需操作需进行授权审批。

网络管理方面，外部设备访问单位内网。

单位信息安全管理领导小组应定期审查所需审批的事项、审批部门和审批人等信息。

第六章机房安全管理第十五条机房建设应符合国家相关法律法规。

第十六条实行严格的出入管理制度。

非机房工作人员进出机房必须由机房工作人员陪同方可进入机房。

第十七条来访人员不得携带任何易燃、易爆、腐蚀性、强电磁、辐射性、流体物质等对设备正常运行构成威胁的物品。

第十八条机房内服务器、网络设备、UPS电源、空调等重要硬件设施由专人严格按照规定操作，严禁随意开关。

操作人员的操作须严格按照操作规程进行，任何人不得擅自更改系统设置。

第十九条操作人员进入机房设备间或通过监控机进行设备操作，须做好配置更改记录。

操作人员通过监控机对设备操作时不得随意关闭正在使用中的各种监控及机房管理软件，不得随意重新启动计算机，不得清除告警日志、记录和其他相关文件。

第二十条机房管理员要经常督促检查本制度执行情况，切实负责机房防火、防盗、防雷等安全工作，定期检查机房消防设备器材和安全标准。

第七章网络安全管理第二十一条网络结构安全管理1、网络物理结构和逻辑结构定期更新，拓扑结构图上应包含IP地址，网络设备名称，专线供应商名称及联系方式，专线带宽等，并妥善保存，未经许可不得对网络结构进行修改。

2、网络结构必须严格保密，禁止泄漏网络结构相关信息。

3、网络结构的改变，必须提交更改预案，并经过信息部门负责人的批准方可进行。

第二十二条网络设备安全1、妥善保管现有网络设备清单，包括供应商及联系人信息，设备型号，IP 地址，系统版本，设备当前配置清单。

2、定期检查设备配置是否与业务需求相符，如有不符，申请更新配置。

3、配置网络设备时，必须备份原有配置，以防误操作。

4、配置完成之后，必须进行全面测试。

5、禁止在网络设备上进行与工作无关的任何测试。

6、未经许可不得进行任何配置修改。

7、禁止泄漏网络设备配置。

第二十三条 IP地址管理1、妥善保管现有IP地址清单，其中应包含服务器型号，操作系统版本，是否支持远程登录及远程登录方式，IP地址，子网掩码，网关，dns信息。

2、实时更新IP地址清单，并制定检查计划，如有多余的IP，及时清理和更新。

3、禁止泄漏IP地址清单。

第八章密码与权限管理第二十四条计算机及其它硬件设备必须设置开机密码，建议长度不少于8个字符，密码字符须包括大写字母、小写字母、阿拉伯数字及其它字符。

第二十五条密码应定期修改，修改周期不得大于三个月，以防止口令被盗。

如发现或怀疑密码遗失或泄漏应立即修改，并做好相应的记录工作。

第二十六条服务器、路由器、防火墙等重要设备的超级用户密码由各级下属机构信息部门负责人指定专人设置和管理。

第二十七条有密码授权工作人员调离岗位，应指定专人接替其工作，并对密码及时修改或删除用户。

第九章附则第二十八条本制度从颁布之日起执行。

第二十九条本********负责对本管理办法的解释。

附表1********活动审批表。