5基层单位信息系统安全等级保护三级管理制度-信息系统运行和维护管理规定.pdfVIP

5基层单位信息系统安全等级保护三级管理制度-信息系统运行和维护管理规定--第1页

版本号：1.0.0423

信息系统运行和维护管理规定

第一章总则

第一条为了进一步规范我单位信息系统运行和维护管理工作，根据《信息

安全等级保护管理办法》、《信息系统安全管理要求》（GBT20269-2006）和其他

有关法律法规的规定，结合本单位实际，特制定本规定。

第二条本规定适用于我单位信息系统安全管理人员和技术人员进行信息系

统运行和维护管理工作，包括用户管理、运行操作管理、运行维护管理、外包服

务管理、安全机制保障、安全集中管理。

第三条信息系统运行和维护管理的责任部门为我单位信息系统安全管理中

心。

第二章用户管理

第四条用户管理的内容包括五个方面：用户分类管理、系统用户管理、普

通用户管理、机构外部用户管理、临时用户管理。

第五条应按审查和批准的用户分类清单，建立用户和分配权限。用户分类

清单应包括信息系统的所有用户的清单，以及各类用户的权限；用户权限发生变

化时应及时更改用户清单内容；必要时可以对有关用户开启审计功能。

第六条系统用户应由信息安全职能部门的主管领导指定，授权应以满足其

工作需要的最小权限为原则；系统用户应接受审计；对重要信息系统的系统用户，

应进行人员的严格审查，符合要求的人员才能给予授权；对系统用户应能区分责

任到个人，不应以部门或组作为责任人；在关键信息系统中，对系统用户的授权

操作，必须有两人在场，并经双重认可后方可操作；操作过程应自动产生不可更

改的审计日志。

第七条普通用户应保护好口令等身份鉴别信息；系统用户口令每季度进行

更换；发现系统的漏洞、滥用或违背安全行为应及时报告；不应透露与组织机构

有关的非公开信息；不应故意进行违规的操作；不应在不符合敏感信息保护要求

的系统中保存和处理高敏感度的信息；不应使用各种非正版软件和不可信的自由

1

5基层单位信息系统安全等级保护三级管理制度-信息系统运行和维护管理规定--第1页

5基层单位信息系统安全等级保护三级管理制度-信息系统运行和维护管理规定--第2页

软件；应在系统规定的权限内进行操作，必要时某些重要操作应得到批准；用户

应保管好自己的身份鉴别信息载体，不得转借他人。

第八条应对机构外部用户明确说明使用者的责任、义务和风险，并要求提

供合法使用的声明；外部用户应保护口令等身份鉴别信息；外部用户只能是应用

层的用户；可对特定外部用户提供专用通信通道、端口、特定的应用或数据协议、

以及专用设备等；在关键部位，一般不允许设置外部用户。

第九条临时用户的设置和期限必须经过审批，使用完毕或到期应及时删除，

设置与删除均应记录备案；对主要部位的临时用户应进行审计，并在删除前进行

风险评估；在关键部位，一般不允许设置临时用户。

第三章运行操作管理

第十条运行操作管理的内容包括七个方面：服务器操作管理、终端计算机

操作管理、便携机操作管理、网络及安全设备操作管理、业务应用操作管理、变

更控制和重用管理、信息交换管理。

第十一条对服务器的操作应由授权的系统管理员实施；应按操作规程实现

服务器的启动/停止、加电/断电等操作；实现操作的身份鉴别管理；