8系统安全管理办法.pdfVIP

精品

系统安全管理办法

修订记录

版本编号修订日期主要修订摘要

审核记录

审核人员属于部门审核日期

第一章总则

第一条为规范动研所中国航发湖南动力机械研究所（以下简称“动研所”）系统

的技术管理和维护工作，确保系统安全运转和系统运行管理的及时、高效、规范系统操作，

加强内部控制，最大程度地防范技术操作风险，特制定本管理办法。

第二条本管理办法适用于动研所信息化技术研究部对信息系统的安全管理。

第二章系统安全管理

第三条禁用不必要的服务，尽量将系统中不用的服务、尤其是一些暂时不用的网

络服务关闭，从而使系统遭受攻击的可能性降至最低。

第四条系统遵循最小权限原则，系统只能授予应用程序和用户必要的权限，而不

能授予额外的权限。

第五条服务器需安装软件防火墙，由动研所信息化技术研究部统一部署，病毒库

统一升级。

第六条对于重要的数据进行加密。

第七条安全性能评估，对于安全产品应选用经过国内、国外权威第三方认证的安

全产品，系统管理员应随时保持警惕以预防攻击事件的发生或者将攻击的危害降至最低。

第八条对系统漏洞情况每年至少进行一次扫描，对漏洞风险持续跟踪，在经过充

分的验证测试后对必要的漏洞开展修补工作，实施漏洞扫描或漏洞修补前，对可能的风险进

行评估和充分准备,选择恰当时间，并做好数据备份和回退方案，漏洞扫描或漏洞修补后应

进行验证测试，以保证系统的正常运行，扫描后记录扫描情况，填写《系统安全扫描情况记

录表》（附录1）。

第九条持续跟踪厂商提供的系统升级更新情况，应在经过充分的测试评估后对必

要的补丁进行及时更新，填写《系统与网络设备补丁分析评估表》（附录2），在安装系统补

丁前对现有的重要文件进行备份，并对备份情况和系统升级情况进行记录，填写《系统及网

络设备升级记录表》（附录3）。

welcome

精品

第十条至少每月对运行日志和审计数据进行分析。

第三章系统访问控制要求

第十一条用户或者应用程序访问系统资源时要求系统管理员通过设置必要的选项

完成以下功能：

1.提供适当的身份验证方法。

2.识别和验证身份。

3.记录成功和失败的系统访问（日志信息）。

4.根据情况限制用户连接时间。

第十二条登录程序应最大限度地减少公开的信息，以避免非法用户使用。登录程序

应：

1.在登录过程未成功之前禁止显示系统或应用的标识。

2.显示一般性注意事项。提醒用户只有合法用户才能访问计算机。

3.登录期间禁止提供帮助消息。

4.只有所有输入数据完成后才能验证登录信息。

5.应限制允许登录的失败次数为3次。

6.限制登录程序允许的时间上限和下限。如果超过限制，则系统必须终止登录过程。

7.成功登录后，宜显示以下信息：

1)以前成功登录的日期和时间。

2)上次成功登录以来登录失败的详细情况。

第十三条登录超时要求

1.当系统超时未激活时，应能够自动锁住系统，防止非法访问，但不宜关闭应用或

网络会话。

2.超时的时间设置取决于连接系统的重要程度、终端风险暴露程度以及终端上信息

的业务价值。

第四章用户账号安全

第十四条用