1、技術(shù)安全管理制度1目的為確保公司IT設備設施能夠穩(wěn)定、可靠的運轉(zhuǎn)，為公司業(yè)務提供可持續(xù)服務支持，同時 為了規(guī)避公司重要的電子信息數(shù)據(jù)由于系統(tǒng)或硬件損壞而造成數(shù)據(jù)丟失的風險，特制定本文 件以規(guī)范IT安全相關(guān)的工作流程、內(nèi)容和標準。2主題內(nèi)容和適用范圍本制度可用來指導信息管理部工作人員開展IT安全管理工作，對公司級信息系統(tǒng)運行期 間電子數(shù)據(jù)的備份和恢復管理予以了明確規(guī)范。3術(shù)語IT: Information Technology，意為信息技術(shù)，是主要用于管理和處理信息所采用的各 種技術(shù)的總稱。IT設備：泛指由信息管理部IT組管理的用于辦公及信息技術(shù)服務支持相關(guān)的電子設備， 包含：個人臺式電腦、手提

2、電腦、打印機、服務器、路由器、交換機、多媒體、一卡通終端、 攝像機等電子設備。3.3公司級信息系統(tǒng)：應用于多個部門，或直接影響公司核心業(yè)務的信息系統(tǒng)。包含：ERP 系統(tǒng)、MES系統(tǒng)、一卡通等信息系統(tǒng)。3.4 IT安全：IT安全是指IT相關(guān)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護，不因偶然 的或者惡意的原因而遭受到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運行，服務不中斷，對 于可能發(fā)生的各種隱患防范于未然。4職責4.1本文件由信息管理部IT組歸口管理與組織實施，并負責編擬、修改和完善；4.2制定集團整體的IT安全策略，并具體負責防火墻管理、網(wǎng)絡流量監(jiān)視與控制、以及域策 略實施；4.2信息管理部負責依

3、據(jù)集團的IT安全策略，按照要求進行具體的相關(guān)實施及運維。5具體內(nèi)容與工作程序5.1網(wǎng)絡安全管理5.1. 1信息管理部負責信息網(wǎng)絡的規(guī)劃、建設、維護、管理和控制；5.1.2信息管理部應繪制公司信息網(wǎng)絡之網(wǎng)絡拓撲結(jié)構(gòu)，并及時更新維護；5.1.3信息網(wǎng)絡接入internet網(wǎng)之出/入口應配置硬件防火墻，并制定適合安全規(guī)則；（當 前為香港IT負責此工作）5.1.4公司信息網(wǎng)絡劃分VLAN管理，各交換機之VLAN配置應保有文檔，如有變化應及時更新。5.1.5應對網(wǎng)絡流量進行監(jiān)視與控制，此工作由中國區(qū)IT協(xié)助香港IT施行。5.1.6定期檢查網(wǎng)絡硬件設備狀態(tài)，若巡檢中發(fā)現(xiàn)問題需在OA中保存檢查記錄5.1.7

4、公司網(wǎng)絡內(nèi)應安裝正版網(wǎng)絡版殺毒軟件，殺毒軟件的安裝與卸載應由IT運維人員操作。域安全管理5.2.1公司對PC/LAPTOP的入網(wǎng)施行域控管理，實施域控服務后，可進行訪問人員的身份認 證并可有效控制病毒擴散產(chǎn)生的影響。域控服務器的相關(guān)配置由香港IT實施，域策略的制定 亦由香港IT實施。5.2.2信息管理部/IT負責中國端域控服務器之硬件狀態(tài)及軟件狀態(tài)監(jiān)視，如有問題應及時 通知香港IT；5.2.3信息管理部/IT根據(jù)相關(guān)策略及時將中國端PC/LAPTOP入域，并對域帳戶進行管理5.3密碼安全管理5.3.1應根據(jù)信息安全需求，準確確定密碼管理之對象。應根據(jù)安全需求級別，對密碼進行 分級管理。高機密密

5、碼應限制知曉人數(shù)，并有專人進行定期密碼更改并存檔；5.3.2密碼設置策略應符合信息安全通用規(guī)范，由不低于6位的大小寫字符及數(shù)字和特殊字 符組成。5.3.3用戶需按照附錄A用戶密碼設置及使用標準設置及使用密碼；5.3.4系統(tǒng)管理人員不允許在密碼沒有通過身份驗證的情況下覆蓋或重置密碼。5.3.5系統(tǒng)管理人員不允許將密碼存放在公開可讀的文件中。5.3.6系統(tǒng)管理人員不允許將密碼發(fā)送給用戶，特別是通過未加密的電子郵件。5.3.7系統(tǒng)管理人員應根據(jù)信息安全需求，密碼應定期進行強制更新。5.4數(shù)據(jù)安全管理5.4.1數(shù)據(jù)必須定期、完整、真實、準確地備份轉(zhuǎn)儲到永久性介質(zhì)上。5.4.2應定時檢查備份文件中是否存

6、在備份失敗的記錄，如發(fā)現(xiàn)有備份任務失敗的記錄，需 要檢查故障原因，并進行排除。5.4.3備份人員必須認真、如實檢查服務器的數(shù)據(jù)記錄項，以備后查。5.4.4備份周期：各信息系統(tǒng)每個工作日進行數(shù)據(jù)本地備份，所有系統(tǒng)至少每月在異地留有 數(shù)據(jù)備份。5.4.5備份介質(zhì)a）備份介質(zhì)要由專人負責保管工作，備份介質(zhì)要嚴格管理、妥善保存。b）備份介質(zhì)應在指定的數(shù)據(jù)保險室或指定的場所保管，保存地點應有防火、防熱、防潮、防 塵、防磁、防盜設施。c）備份介質(zhì)應按照各系統(tǒng)規(guī)定的最短保存期限存放。d）不再使用的備份介質(zhì)應在要銷毀時，超過規(guī)定存放周期的可直接進行銷毀或刪除，未達存 放期限的應先經(jīng)過部門領導審批，然后消磁、銷

7、毀。5.4.6數(shù)據(jù)恢復a）一旦發(fā)生系統(tǒng)故障或數(shù)據(jù)破壞等情況，要由信息管理部相關(guān)的管理員進行備份數(shù)據(jù)的恢復， 迅速恢復系統(tǒng)，確保系統(tǒng)正常運行。b）每年進行備份數(shù)據(jù)恢復測試演練，測試應在測試環(huán)境中進行，嚴禁在正式使用的系統(tǒng)中進 行恢復測試。c）恢復測試內(nèi)容包括備份數(shù)據(jù)恢復、系統(tǒng)恢復、故障排除等內(nèi)容。如果發(fā)現(xiàn)不能恢復的數(shù)據(jù)， 則需要及時進行檢查，確保備份數(shù)據(jù)的有效性。d）數(shù)據(jù)恢復測試結(jié)束后，應記錄測試的真實步驟、結(jié)果及改進措施等。e）恢復確認不存在問題后，要及時清理測試環(huán)境數(shù)據(jù)。5.5機房安全管理5.5.1機房建筑符合GBJ45-1987中規(guī)定的二級耐火等級防火，并配置火災自動報警和滅火系 統(tǒng)。按面

8、積和設備數(shù)量配備適合計算機設備使用的滅火器（嚴禁使用干粉、泡沫滅火器）。5.5.2獨立機房必須有避雷針等避雷設備，非獨立機房應當具有符合要求的接地條件，確保 接地體良好的接地。嚴格獨立設置信號地與直流電源地和避雷地。5.5.3應有較完備的空調(diào)系統(tǒng)，保證機房溫度/濕度的變化在計算機運行所允許的范圍。防止 空調(diào)冷凝水漏水、加濕器漏水等事故造成網(wǎng)絡系統(tǒng)、供電系統(tǒng)和服務器設備損壞。對工作人 員進行教育，充分了解機房各水管開關(guān)閥門的準確位置，會處理應急事件。5.5.4應采用接地的方法防止外界電磁干擾和設備寄生耦合干擾，采用屏蔽方法，對信號線、 電源線進行電屏蔽，減少外部電器設備和機房內(nèi)部強電干擾源對計算

9、機系統(tǒng)的瞬間干擾 5.5.5機房供電必須保障雙回路供電并安裝保障機房最大負荷斷電后不小于60分鐘正常供電 的不間斷電源。供電系統(tǒng)應照明用電與網(wǎng)絡系統(tǒng)供電線路分開，并配備應急照明裝置.5.5.6所有的人員必須在信息管理部IT人員的帶領下進入機房。短期工作人員、維修人員、 參觀人員必須有專人陪同進入機房。沒有管理人員的明確準許，磁鐵、私人電子計算機或電 子設備、食品及飲料等與工作無關(guān)的物品均不準帶入機房。任何記錄介質(zhì)、文件材料均不準 帶出機房。5.5.7設備的電源和通信線路應該鋪設在機房地板下，或者采取足夠的保護設施保護網(wǎng)絡電 纜以防未經(jīng)授權(quán)的竊聽或損壞，并保護電力電纜不受損壞。電力電纜應該與通信

10、電纜隔離， 以防干擾。除維修設備外，不得在機房內(nèi)接插與設備運行無關(guān)的電器。用戶密碼設置及使用標準用戶密碼設置及使用注意事項第一次登錄系統(tǒng)時的初始密碼/默認密碼必須第一時間更改；密碼設置策略應符合信息安全通用規(guī)范，由不低于6位的大小寫字符及數(shù)字和特殊字符組 成； 定期更改密碼（每六個月）；如果發(fā)覺系統(tǒng)密碼已泄露需立即更改密碼并通知系統(tǒng)管理員；不能在沒有保護的情況下將密碼記錄在任何地方（例，貼在桌面）；不能將密碼存儲在任何設備上（例，便攜硬盤、U盤）；不能在網(wǎng)絡或瀏覽器設置“記住密碼”的功能； 域用戶密碼在連續(xù)登陸5次失敗后則會立即鎖定賬號；每一位用戶應有保護賬號密碼的責任。嚴禁將個人賬號及密碼告