应用数据安全操作规范.pdfVIP

应用数据安全操作规范

一、总则

为确保本单位网络和信息系统的安全平稳运行，保障数据

信息安全，特制订此管理制度。

二、操作人员基本管理要求

按照国家国密局要求，XXX区XXX项目的权限管理，需

要设置运维管理员、安全必威体育官网网址管理员、安全审计员和密钥管

理四种角色的权限管理。对应四种角色管理人员的岗位职责

如下：

a)运维管理员：制定严格的规章制度并认真执行。建立

完善的变更管理审核和批准制度，对任何可能影响系统正常

运行的软硬件变更，包括更改设置、软硬件升级等，应及时

登记报备；

b)安全必威体育官网网址管理员：负责系统安全策略的制定与配置；

负责定期进行安全检查，检查内容包括系统日常运行、系统

漏洞和数据备份等情况；安全技术措施的有效性、安全配置

与安全策略的一致性、安全管理制度的执行情况等；

c)安全审计员：负责定期对运维管理员、安全管理员、

业务操作员等的操作行为进行安全审计和监督检查，及时发

现违规行为等；

d)密钥管理人员：负责对密钥的保管、监督、变更、撤

消等操作。

三、设备操作

XXX区XXX项目依托XXX区政务服务机房环境，机房的设

备和计算安全已改造完成，设备和计算安全不再重新建设，

按照XXX区XXX项目部署情况接入即可。

（一）密码设备

本层密码保护的对象为政务外网安全浏览器与运维堡

垒机和互联网VPN客户端与国密SSLVPN之间的运维通信信

道。

采用的密码措施是通过使用对运维堡垒机的双向SSL安

全代理，将客户端证书转发给堡垒机，实现对身份鉴别的要

求，使用的国密SSLVPN与安全应用网关密码产品符合GM/T

0024-2014《SSLVPN技术规范》、GM/T0025-2014《SSLVPN

网关产品规范》GMT0026-2014《安全认证网关产品规范》等

标准。

采用SM2、SM3、SM4的密码算法，使用的协议为SSL（安

全套接层）协议，SSL协议是一种在Internet上保证发送信

息安全的通用协议。它处于应用层。SSL用公钥加密通过SSL

连接传输的数据来工作。SSL协议指定了在应用程序协议（如

HTTP、Telnet和FTP等）和TCP/IP协议之间进行数据交换

的安全机制，为TCP/IP连接提供数据加密、服务器认证以及

可选的客户机认证。

（二）堡垒机设备

在系统管理员PC端部署安全浏览器，并向系统管理员

配发USBKey，对登录堡垒机系统管理员进行身份鉴别和远程

管理身份鉴别信息传输机密性保护，防止非授权人员远程登

录身份鉴别信息被非授权窃取。

四、系统操作

（一）一网协同系统

系统日程维护：

1.系统管理员应定期检查系统的运行状况，确保系统正

常运行。

2.系统管理员应定期对系统进行漏洞扫描。对发现的系

统漏洞即时修补。

3.系统管理员必须严格执行系统操作流程，完整、准确、

详细地记录并定期分析系统运行日志。

4.根据软件的必威体育精装版版本进行不定升级，在安装补丁程序

前首先对重要文件进行备份，并在测试环境中测试通过方可

进行补丁程序安装。

5.若运行期间发生异常应详细记录记载发生异常情况

的时间、现象、处理方式等内容并妥善保存有关原始资料。

系统访问：

1.系统登录通过统一门户进行登录。

2.个人终端定期进行病毒检测。

3.严禁将系统信息进行下载、传输。

（二）领导批示系统

系统日程维护：

1.系统管理员应定期检查系统的运行状况，确保系统正

常运行。

2.系统管理员应定期对系统进行漏洞扫描。对发现的系

统漏洞即时修补。

3.系统管理员必须严格执行系统操作流程，完整、准确、

详细地记录并定期分析系统运行日志。

4.根据软件的必威体育精装版版本进行不定升级，在安装补丁程序

前首先对重要文件进行备份，并在测试环境中测试通过方可

进行补丁程序安装。

5.若运行期间发生异常应详细记录记载发生异常情况

的时间、现象、处理方式等内容并妥善保存有关原始资料。

系统访问：

1.系统登录通过统一门户进行登录。