12-信息系统获取、维护控制程序.docVIP

信息系统获取、维护控制程序 目的 确保公司使用的应用类信息系统功能完备、适用；信息系统处理的数据准确；信息系统更新维护可控。 范围 本程序适用于公司ERP系统及其他应用类信息系统。 信息系统获取前，要进行功能性、适用性和安全性评价 信息系统功能性、适用性评价 获取信息系统前，由总经理办公室负责牵头，组织相关部门进行必要的调研和评估工作，确保系统功能完备，符合公司应用，具备可行性。 获取信息系统前，由总经理办公室负责牵头，组织相关部门，对供应商的资质、技术实力和信誉度进行评估，确保风险度降低。 获取信息系统前，由总经理办公室负责牵头，组织相关部门，必要时请公司协调专业机构、人员给予帮助，订立好相关合同、协议，确保公司利益得到足够的保护。 涉及信息系统的供应商相关人员必须签定《保密协议书》。 信息系统正式应用前，要进行测试、验证和必要的控制 信息系统的测试、验证 由总经理办公室负责牵头，组织相关部门、人员，对信息系统进行测试、验证工作。 总经理办公室主任确定信息系统相关功能的负责人员，各负责人员负责组织协调、沟通公司内部相关部门、人员和供应商对信息系统进行验收、测试和必要的修改工作。 测试的数据、结果，要使用或者模拟公司实际业务数据进行，该项工作由总经理办公室负责组织，各相关部门和人员对测试的数据及结果负责。 总经理办公室根据测试、验证结果，负责将信息系统安装在正式环境中。 由总经理办公室负责根据各部门需求，确定相关人员相应的使用权限，使用人员负责自己口令的管理。 信息系统修改、维护的有关规定 总经理办公室指定人员负责信息系统的更新。 公司的所有运行软件必须且只能由总经理办公室负责安装； 公司信息系统的变更必须且只能由总经理办公室负责，且变更前必须进行内部评审，由部门主任审批，以尽可能减少信息泄露的可能性。 信息系统更新前必须按照4.1.2，4.1.3的要求，进行测试和验证工作。 总经理办公室负责测试环境的提供和维护。 总经理办公室指定人员负责信息系统数据库的更新、备份工作。 密码控制 目标：通过密码方法保护信息的保密性、真实性或完整性。 应制定使用密码控制的策略。应有密钥管理以支持使用密码技术。 措施控制－使用密码控制的策略 控制描述 应实施使用密码控制措施来保护信息的策略。 实施指南 制定密码策略时，应考虑下列（但不仅限于）内容： a) 组织间使用密码控制的管理方法，包括保护业务信息的一般原则； b)基于风险评估，应确定需要的保护级别，并考虑需要的加密算法的类型、强度和质量； c)使用密码保护通过移动电话、可移动介质、设备或者通过通信线路传输的敏感信息； d) 密钥管理方法，包括应对加密密钥保护的方法，和在密钥丢失、损坏或毁坏后加密信息的恢复方法； e)角色和职责，如，谁负责： 1）策略的实施； 2）密钥管理，包括密钥生成； f)为在整个组织内有效实施而采用的标准（哪种解决方案用于哪些业务过程）； g) 使用加密信息对控制措施的影响依赖于内容检查（例如病毒检测等）。当实施组织的密码策略时，应考虑世界不同地区应用密码技术的规定和国家限制，和加密信息跨越国界时的问题。 可以使用密码控制措施实现不同的安全目标，如： a) 保密性：使用信息加密以保护存储或传输中的敏感或关键信息； b) 完整性/真实性：使用数字签名和消息鉴别码以保护存储和传输中的敏感或关键信息的真实性和完整性； c) 不可否认性：使用密码技术获得一个事件或行为发生或未发生的证据。 其它信息 有关一个密码解决方案是否合适的决策，应被看作一般的风险评估过程和选择控制措施的一部分。该评估可以用来判定一个密码控制措施是否合适，应运用什么类型的控制措施以及应用于什么目的和业务过程。 使用密码控制措施的策略对于使利益最大化，使利用密码技术的风险最小化，以及避免不合适或不正确的使用而言，十分必要。在使用数字签名时，应考虑任何相关的法律，特别是规定什么条件下数字签名被合法绑定的法律。应征求专家建议以识别适当的保护级别，确定用以提供所需的保护及支持安全密钥管理系统实施的合适的规范。 密钥管理 控制措施应有密钥管理以支持组织使用密码技术。实施指南应保护所有的密码密钥免遭修改、丢失和毁坏。另外，秘密和私有密钥需要防范非授权的泄露。用来生成、存储和归档密钥的设备应进行物理保护。 密钥管理系统应基于已商定的标准、程序和安全方法，以便进行以下（但不仅限于）工作： a) 生成用于不同密码系统和不同应用的密钥； b) 生成和获得公开密钥证书； c) 分发密钥给预期用户，包括在收到密钥时应如何激活； d) 存储密钥，包括已授权用户如何访问密钥； e) 变更或更新密钥，包括应何时变更密钥和如何变更密钥的规则； f) 处理已损害的密钥； g) 撤销密钥，包括应如何撤消或解除激活的密钥，例如，当密钥已损害