信息系统安全与维护手册（执行版）.docxVIP

信息系统安全与维护手册（执行版）

第1章总则与基础规范

1.1适用范围与定义

本手册适用于所有涉及信息系统的研发、采购、部署、运维及销毁等全生命周期活动，确保系统始终处于受控的安全状态。定义中“信息系统”涵盖内网服务器、外网办公终端、移动办公设备及云端应用，其安全标准需符合GB/T22239-2019《信息安全技术网络安全等级保护基本要求》。

定义中的“安全维护”指在系统运行过程中，对配置变更、漏洞修复、日志审计及硬件故障进行的预防性、纠正性及恢复性技术操作。适用范围明确排除了非授权人员私自接入网络或绕过物理门禁的行为，任何越权操作均视为严重违规行为。定义强调“最小权限原则”，即所有运维账号的授权范围仅限于完成特定任务所需的最小权限，严禁使用拥有更高权限的账号执行低权限任务。

本定义适用于包含国产化适配（信创）的系统，要求操作系统、数据库及中间件必须通过相关安全基线认证方可纳入维护范围。

1.2法律法规依据

本章节依据《中华人民共和国网络安全法》第四十一条规定，运维人员必须制定安全管理制度并定期进行检测，确保系统符合国家规定。依据《数据安全法》第二十一条，运维过程中涉及的数据分类分级必须严格遵循，严禁将核心数据通过非加密通道传输。

参照《关键信息基础设施安全保护条例》第二十一条，对于关键基础设施的运维，必须建立双人复核机制并留存操作日志备查。依据