XXXXXXX网站安全管理制度.docVIP

目录 一、总则 1 二、范围 2 三、角色和责任 2 四、网络安全维护管理制度 2 4.1网络设备管理 2 4.1.1账号管理 3 4.1.2远程管理 4 4.2软件管理 4 4.3安全信息管理 5 4.4风险评估和灾难分析 6 五、系统安全维护管理制度 6 5.1主机维护管理 6 5.2系统软件维护管理 6 5.3系统信息服务维护管理 7 5.4安全与杀毒维护管理 8 5.5主机备份 9 XXXXXXXX网站安全管理一、总则 为了更好的确保网站的安全稳定运行，合理、可靠、安全、高效地组织和管理网站，提高网站的服务质量，提高维护队伍的整体素质和水平，特制定管理制度，作为管理网站的依据。 、范围 本范围包括网站系统的物理资产（包括：网络设备，主机设备，安全设备，监控设备等）、软件资产（操作系统，数据库，应用程序等）、数据资产（业务数据网络系统、主机数据，应用程序数据等）以及系统的技术人员等。 、角色和责任 本手册适用于网站的维护人员、信息安全员及安全审计员等角色阅读。 网络安全 4.1网络设备管理 网站系统所有网络设备（包括交换机、路由器、防火墙、IDS以及其他网络设备）应由专职维护人员负责管理，定期检查的物理环境，并按照物理安全进行维护。 网维护人员应对所有网络设备进行资产登记，登记记录上应该标明硬件型号，厂家，操作系统版本，已安装的补丁程序号，安装和升级的时间等内容。 网维护人员应至少每天1次，对所有网络设备进行检查，确保各设备都能正常工作。 网维护人员应制定网络设备用户账号的管理制度，对各个网络设备上拥有用户账号的人员、权限以及账号的认证和管理方式做出明确规定。 网维护人员应制订网络设备用户账号口令的管理策略，对口令的选取、组成、长度、保存、修改周期以及存储做出规定禁止使用名字、姓氏、电话号码、生日等容易猜测的字符作为口令，也不应使用单个单词或命令作为口令，组成口令的字符应包含大小写英文字母、数字、标点、控制字符等，口令长度要求在8位以上；不应将口令存放在个人计算机文件中，或写到容易被其它人获取的地方；对于重要的网络设备，要求至少每个月修改一次口令，或者使用一次性口令设备；若掌握口令的管理人员调离本职工作时，必须立即更改所有相关口令严格禁止非管理人员直接进入网络设备进行操作，若在特殊情况下（如系统维修、升级等）需要外部人员（主要是指厂家技术工程师、非本系统技术工程师、安全管理员等）进入网络设备进行操作时，必须由管理员登录，并对操作全过程进行记录备案。禁止将系统用户账号及口令直接交给外部人员，在紧急情况下需要为外部人员开放临时账号时，必须向相关领导申请，在申请中写明开放临时账号的原因、时间、期限、对外部人员操作的监控方法、负责开放和注销临时账号的人员等内容，并严格根据安全管理机构的批复进行临时账号的开放、注销、监控，并记录备案。 网维护人员应尽可能减少网络设备的管理方式，例如Telnet、web、SNMP等；如果的确需要进行远程管理，应使用SSH代替Telnet，使用HTTPS代替HTTP，并且限定远程登录的超时时间，远程管理的用户数量，远程管理的终端IP地址，同时按照；进行远程管理时，应设置控制口和远程登录口的超时时间，让控制口和远程登录口在空闲一定时间后自动断开。 网维护人员应及时监视、收集网络以及安全设备生产厂商公布的软件以及补丁更新，要求下载补丁程序的站点必须是相应的官方站点，并对更新软件或补丁进行评测，在获得的批准下，对生产环境实施软件更新或者补丁安装。 软件更新或者补丁安装应尽量安排在非业务繁忙时段进行。操作必须由两人以上完成，由一人监督，另一人进行实际操作，并在升级（或修补）前后做好数据和软件的备份工作，同时将整个过程记录备案。 软件更新或者补丁安装后网维护人员应重新对系统进行安全设置，并进行系统的安全检查。 网维护人员应及时报告任何已知的或可疑的信息安全问题、违规行为或紧急安全事件，并在采取适当措施的同时，应向报告细节；并不得试图干扰、防止、阻碍或劝阻其他员工报告此类事件；同时禁止以任何形式报复报告或调查此类事件的个人。 网维护人员应定期提交安全事件和相关问题的管理报告，以备检查。 网维护人员应制订网络设备日志的管理制定，对于日志功能的启用，日志记录的内容，日志的管理形式，日志的审查分析做明确的规定。对于重要网络设备，应建立集中的日志管理服务器，实现对重要网络设备日志的统一管理，以利于对网络设备日志的审查分析。 网维护人员应保证各设备的系统日志处于运行状态，并每两周对日志做一次全面的分析，对登录的用户、登录时间、所做的配置和操作做检查，在发现有异常的现象时应及时向信息安全工作组报告。 网维护人员应通过各种手段监控网络的流量状况，当突发异常流量时，应立即上报信息安全工作组，并同时采取适当控制措施，并记录备案。