信息安全反违章基线策略宣讲培训(中国电力科学研究院).pptVIP

* 国家电网公司信息安全反事故措施 信息中心 信息安全反事故措施 目 标： 确保实现信息安全“八不准”和“三不发生” 强化信息安全责任，夯实信息安全基础工作 提高全员辩识违章、纠正违章和防止违章的行为能力，根治信息安全违章行为 信息安全反事故措施 三不发生： 不发生重大系统停运事故 不发生重大信息泄露事故 不发生网站被篡改造成重大影响事故 信息安全反事故措施 八不准： 不准将公司承担安全责任的对外网站托管于外单位 不准未备案的对外网站向互联网开放 不准利用非公司统一域名开展对外业务系统服务 不准未进行内容审计的信息外网邮件系统开通 不准使用社会电子邮箱处理公司办公业务 不准将未安装终端管理系统的计算机介入信息内网 不准非地址绑定计算机接入信息内外网 不准利用非公司专配安全移动介质进行内外网信息交换 共十五类措施 《国家电网公司信息安全反事故措施》 互联网出口（2条） 网络边界（6条） 信息内外网网站（5条） 邮件安全（3条） 信息系统（10条） 桌面计算机（6条） 口令安全（1条） 数据备份（4条） 防病毒（木马）（3条） 信息机房（3条） 信息系统应急（3条） 外部人员（3条） 安全巡检（1条） 信息安全反事故措施 账号安全（2条） 信息设备（4条） 《国家电网公司信息安全反事故措施》 互联网出口（2条） 网络边界（2条） 信息内外网网站（4条） 邮件安全（3条） 信息系统（7条） 桌面计算机（6条） 口令安全（2条） 数据备份（4条） 防病毒（木马）（2条） 信息机房（2条） 外部人员（3条） 信息安全反事故措施 账号安全（1条） 信息设备（4条） 信息安全反事故措施 1. 互联网出口管理 全院统一设置互联网出口 所有出口必须向公司信息化主管部门进行备案后方可使用 2.互联网出口审计 严格审核信息外网与互联网的交互信息，加强对互联网出口的内容监测、流量分析与记录，与互联网交互记录应保留6个月以上 互联网出口（2条） 信息安全反事故措施 1. 信息内网远程维护管理 严禁通过互联网接入信息内网进行远程维护 2.无线网络安全防护 禁止以任何形式的无线方式接入信息内外网 各单位独立组网（与信息内外网无关）的无线网络，要加强安全防护措施，启用网络接入控制和身份认证，进行IP/MAC地址绑定，应用高强度加密算法、禁止无线网络名广播和隐藏无线网络名标识等有效措施，防止无线网络被外部攻击者非法进入，确保无线网络安全 网络边界（2条） 信息安全反事故措施 1. 对外门户网站管理 全院统一设置一个对外网站 对外业务系统须在国网公司备案，没有履行报批备案手续的要关停 严禁利用公司资源在互联网上设立网站 严禁将承担安全责任的对外系统托管于公司外部单位 对于非本企业网站或与公司业务无关的经营性网站，原则上要予以关闭，确因工作需要必须开放的，要从信息外网中彻底剥离 严禁任何单位、个人在信息内网设立与工作无关的娱乐、论坛、视频等网站 信息内外网网站（4条） 信息安全反事故措施 2. 网站发布内容审查 各单位要按照国家及公司有关规定加强对外发布内容的审查，严禁在互联网和信息内网上发布涉及国家秘密和企业秘密的信息 所有信息发布必须严格按照审核发布流程，经审核批准后才能上网 3. 网站标识管理 各单位所有对外网站要在醒目位置显示本单位符合公司要求的标识，要标注版权声明、ICP备案号、隐私与安全、网站维护单位及联系方式等内容，同时主色调必须采用公司组合标识标准色 各单位对外业务系统参照执行 信息内外网网站（4条） 信息安全反事故措施 4. 网站安全防护 加强网站基础防护 关闭不必要的服务和端口 对外业务系统参照执行 信息内外网网站（4条） 信息安全反事故措施 1. 内外网邮件系统管理 统一使用公司外网邮件系统 统一使用公司内网邮件系统 邮件安全（3条） 信息安全反事故措施 2. 邮件内容审查 严禁用户使用弱口令，默认口令要立即更改 严禁开启邮件自动转发功能 废旧邮件帐号要及时清理注销 严禁使用社会电子邮箱处理办公、业务信息 避免使用信息外网邮箱处理工作、业务信息 加强邮件系统日志审计和敏感内容拦截，定期对内外网邮件发送信息进行检查。邮件系统日志原则上应保留6个月以上 协同各级保密部门对在信息外网和互联网上违规传送公司秘密及敏感信息的情况进行通报与处理 邮件安全（3条） 信息安全反事故措施 3. 内外网邮件信息加密 在信息内网涉及公司商业秘密和敏感信息的信息应采用信息加密压缩方式进行传输 在信息外网和互联网上传输的非涉及公司秘密和敏感信息的内容，也应采用加密压缩方式进行传输 使用公司已统一采购的WinRAR正版压缩软件对文件进行加密压缩。加密口令要求12位以上并包含字母数字，同时要采用电话等方式传递口令 邮件安全（3条） 信息安