www
www.haowensou.com前言
一.信息安全保障体系总体方针和安全策略
1.总则
2.总体方针
3.网络与信息安全的基本概念
4.网络与信息安全的重要性和普遍性
5.网络与信息安全保障体系与安全策略
6.安全需求的来源
7.安全风险的评估
8.安全措施的选择原则
9.安全工作的起点
10.关键性的成功因素
11.安全策略综述
二.文件（制度）控制程序
1.术语与定义
2.信息安全组织机构
3.职责
4.文件的编制
5.文件的批准、发布
6.文件的发放
7.文件的归档
8.文件的作废和销毁
9.文件评审管理
三.安全检查管理制度
1.总则
2.检查内容
3.形式与方法
4.组织实施
5.程序与要求
四.
工作职责及岗位说明书
1.信息安全领导小组工作职责：
2.信息系统安全小组工作职责：
3.各组员工作职责：
4.关键岗位职责
五.
授权和审批管理制度
六.外部人员访问管理制度
1.总则
2.外部人员访问
3.外部人员访问的授权
七.安全培训教育策略
1.总则
2.安全要求
八.
机房安全管理制度
1.总则
2.机房出入管理
3.机房环境管理
4.机房介质管理
5.机房服务器管理
6.机房布线管理
7.机房网络设备管理
8.机房巡视管理：
9.机房进出设备管理
10.违规处理
九.资产安全管理制度
1.资产分类方法
2.资产标识
3.资产分级
4.资产的使用和管理
一十.
介质安全管理制度
1.总则
2.介质购置
3.介质使用及维护管理
4.介质定期检查
5.介质维修
6.介质的报废
一十一.设备安全管理制度
1.总则
2.设备购置
3.设备使用
4.设备管理
5.设备报废
一十二.软件项目外包管理办法
1.总则
2.管理职责
3.总体管理
4.项目立项
5.外包商选择
6.方案设计
7.开发过程管理
8.验收
9.正式运行
10.培训与售后服务
11.附则
一十三.
应用软件系统开发维护管理规定
1.总则
2.管理职责
3.审批程序
4.软件开发
5.项目上线管理
6.项目维护与变更
7.开发维护工作流程
8.附则
一十四.网络安全分项策略
总则
安全要求
一十五.系统安全管理制度
1.总则
2.安全要求
一十六.信息系统变更管理规定
1.总则
2.变更申请
3.变更评估
4.变更实施
5.变更归档
一十七.信息系统硬件设备维护管理制度
1.总则
2.机房内硬件设备维护
3.机房外设备的维护
一十八.数据备份和恢复管理制度
1.总则
2.数据备份
3.数据使用和恢复
4.备份数据转储
一十九.恶意代码防范管理制度
1.总则
2.安全要求
二十.信息系统应急预案
1.总则
2.应急工作小组机构及职责
3.预警和预防机制
4.应急处理程序
5.保障措施
6.信息系统安全防范措施
7.分类突发事件应急处理措施
8.附则
单位安全管理制度汇编
目录
前言6
一.信息安全保障体系总体方针和安全策略1
1.总则1
2.总体方针1
3.网络与信息安全的基本概念1
4.网络与信息安全的重要性和普遍性2
5.网络与信息安全保障体系与安全策略2
6.安全需求的来源3
7.安全风险的评估4
8.安全措施的选择原则5
9.安全工作的起点5
10.关键性的成功因素5
11.安全策略综述6
二.文件（制度）控制程序10
1.术语与定义10
2.信息安全组织机构10
3.职责11
4.文件的编制11
5.文件的批准、发布11
6.文件的发放11
7.文件的归档12
8.文件的作废和销毁12
9.文件评审管理12
三.安全检查管理制度14
1.总则14
2.检查内容14
3.形式与方法15
4.组织实施15
5.程序与要求16
四.工作职责及岗位说明书19
1.信息安全领导小组工作职责：19
2.信息系统安全小组工作职责：19
3.各组员工作职责：19
3.1安全管理员职责:19
3.2机房管理员职责21
3.3网络管理员职责21
3.4主机管理员职责22
3.5应用管理员职责23
4.关键岗位职责24
五.授权和审批管理制度29
六.外部人员访问管理制度37
1.总则37
2.外部人员访问37
3.外部人员访问的授权37
七.安全培训教育策略38
1.总则38
2.安全要求39
2.1安全培训体系要求39
2.2信息安全意识教育39
2.3信息安全技术培训39
2.4信息安全专家建议40
八.机房安全管理制度41
1.总则41
2.机房出入管理41
3.机房环境管理41
4.机房介质管理41
5.机房服务器管理42
6.机房布线管理43
7.机房网络设备管理43
8.机房巡视管理：43
9.机房进出设备管理43
10.违规处理44
九.资产安全管理制度47
1.资产分类方法47
2.资产标识48
3.资产分级49
4.资产的使用和管理50
十.介质安全管理制度51
1.总则51
2.介质购置51
3.介质使用及维护管理51
4.介质定期检查52
5.介质维修52
6.介质的报废52
十一.设备安全管理制度55
1.总则55
2.设备购置55
3.设备使用56
4.设备管理56
5.设备报废56
十二.软件项目外包管理办法57
1.总则57
2.管理职责58
3.总体管理59
4.项目立项59
5.外包商选择59
6.方案设计60
7.开发过程管理60
8.验收61
9.正式运行62
10.培训与售后服务62
11.附则62
十三.应用软件系统开发维护管理规定64
1.总则64
2.管理职责64
3.审批程序64
4.软件开发65
5.项目上线管理66
6.项目维护与变更66
7.开发维护工作流程67
8.附则68
十四.网络安全分项策略73
一.总则73
二.安全要求73
2.1网络安全运行与维护策略73
2.2网络安全变更策略75
2.3网络设备安全配置管理策略77
十五.系统安全管理制度82
1.总则82
2.安全要求82
2.1系统安全规划策略82
2.2系统运行与维护安全策略、83
2.3系统变更安全策略87
2.4操作系统安全配置策略88
十六.信息系统变更管理规定92
1.总则92
2.变更申请92
3.变更评估92
4.变更实施92
5.变更归档93
十七.信息系统硬件设备维护管理制度98
1.总则98
2.机房内硬件设备维护98
3.机房外设备的维护100
十八.数据备份和恢复管理制度102
1.总则102
2.数据备份102
3.数据使用和恢复103
4.备份数据转储103
十九.恶意代码防范管理制度105
1.总则105
2.安全要求105
二十.信息系统应急预案107
1.总则107
1.1目的107
1.2工作原则107
2.应急工作小组机构及职责108
3.预警和预防机制110
3.1信息监测及报告110
3.2预警110
3.3预警支持系统110
3.4预防机制110
4.应急处理程序111
4.1信息系统突发事件分类分级的说明111
4.2信息系统应急预案启动111
4.3现场应急处理112
5.保障措施113
5.1应急演练113
5.2人员培训113
5.3硬件资源保障113
5.4文档资料准备113
5.5技术支持保障114
5.6公众信息交流114
6.信息系统安全防范措施114
6.1建立健全信息系统职责体系和规章制度114
6.2明确信息安全等级、信息安全保护等级115
6.3网络安全防范115
6.4病毒安全防范116
6.5软件系统安全防范116
6.6数据安全防范116
6.7设备安全防范116
6.8机房安全防范116
7.分类突发事件应急处理措施117
7.1黑客攻击时的紧急处置措施117
7.2病毒安全紧急处置措施117
7.3软件系统遭破坏性攻击的紧急处置措施118
7.4数据库安全紧急处置措施118
7.5公司域网中断紧急处置措施118
7.6设备安全紧急处置措施119
7.7人员疏散与机房灭火预案119
7.8供电中断后的设备运行预案119
7.9关键人员不在岗的紧急处置措施120
8.附则120
前言
本汇编由XXX部门提出并归口。
本汇编起草部门：XXX部门
本汇编主要起草人：
文档信息
文档名称XXX单位安全管理制度汇编
文档编号
受控状态受控文件扩散范围内部使用
制作人
制作日期
复审人
复审日期.td_0
{
vertical-align:middle !im
一.信息安全保障体系总体方针和安全策略1.总则 本制度适用于XXX单位范围内所有信息系统资产和信息技术人员的安全管理和指导。
本策略适用于指导XXX单位信息系统具体安全策略的制定、安全方案的规划和安全建设的实施。
2.总体方针 XXX单位必须贯彻“积极预防、及时发现、快速反应、确保恢复”的方针，做好信息安全工作。
3.网络与信息安全的基本概念 网络与信息安全包括下列三个基本属性：
●机密性（Confi党entiality）：确保网络设施和信息资源只允许被授权人员访问。根据信息的重要性和保密要求，可以分为不同密级，并具有时效性。
●完整性（Integrity）：确保网络设施和信息及其处理的准确性和完整性。
●可用性（Availability）：确保被授权用户能够在需要时获取网络与信息资产。
需要特别指出的是，网络安全与信息安全（包括但不限于内容安全）是一体的，不可分割的。
4.网络与信息安全的重要性和普遍性 网络与信息都是资产，具有不可或缺的重要价值。无论对企业、国家还是个人，保证其安全性是十分重要的。
网络与信息安全工作是XXX单位信息化发展的基础和核心；是保证网络品质的基础；是保障用户利益的基础。网络与信息安全工作无所不在，分散在每一个部门，每一个岗位，甚至是每一个合作伙伴；同时，网络与信息安全是XXX单位所有员工共同分担的责任，与每一个员工每一天的日常工作息息相关。所有员工必须统一思想，提高认识，高度重视，从自己开始，坚持不懈地做好网络与信息安全工作。
5.网络与信息安全保障体系与安全策略
XXX单位信息安全保障体系是由四部分三个层面组成的。一部分是安全策略（第一层），第二部分是管理制度和技术手段（第二层），另一部分是运维实施层面的工作流程（第三层）。
信息安全保障体系安全策略位于安全体系的第一层，是整个安全体系的最高纲领。它主要阐述安全的必要性、基本原则及宏观策略。安全策略是信息安全保障体系的核心，是信息安全管理工作、技术工作和运维工作的目标和依据。
安全体系的第二层是一系列的技术措施和管理规定，是对安全策略的分解和进一步阐述，侧重于共性问题、操作实施和管理考核，提出具体的要求，对安全工作具有实际的指导作用。
安全体系的第三层是操作层面，它根据第一层和第二层的要求，结合具体的网络和应用环境，制订具体实施的细则、流程等，具备最直观的可操作性。
安全体系也包含了实施层面的工作流程，结合安全策略，进行具体实施和检查考核，同时遵循动态管理和闭环管理的原则，通过定期的评估不断修改完善。
安全策略是在XXX单位内部，指导如何对网络与信息资产进行管理、保护和分配的规则和指示。XXX部门必须制订并实施统一的网络与信息安全策略，明确安全管理的方向、目标和范围。安全策略必须得到管理层的批准和支持。安全策略应被定期评审和修订，以确保其持续适宜性，特别是在组织结构或技术基础改变、出现新的漏洞和威胁、发生重大安全事件时。
XXX单位的安全策略是由总体方针和分项策略组成的，具有分层结构的完整体系，包含了从宏观到微观，从原则方向到具体措施等多方面的内容。安全策略用来指导全网的网络与信息安全工作。
6.安全需求的来源 确立安全需求是建立完整的安全体系的首要工作。XXX单位的安全需求主要源自下述三个方面：
●系统化的安全评估。结合经验教训和技术发展，通过安全评估分析XXX单位网络和信息资产所面临的威胁，存在的薄弱点和安全事件发生的可能性，并估计可能对XXX部门造成的各种直接的和潜在的影响。
●XXX单位及其合作伙伴、承包商、服务提供商必需遵守的法律法规、行政条例和合同约束，以及XXX单位对客户的服务承诺。
●XXX单位运营管理的目标与策略。7.安全风险的评估 安全风险评估可以应用于整个XXX单位信息网络，也可应用于单个网络信息系统、特定系统组件或服务。
安全风险评估应着重于：
●安全事件可能对XXX单位造成的损失，以及所产生的直接和潜在的影响。
●综合考虑所有风险，以及目前已实施的控制措施，判断此类安全事件发生的实际可能性。
●从安全角度，对XXX单位现有的管理制度和流程本身的合理性与完备程度进行评估。
安全风险评估应本着可行、实际和有效的原则，通过策略统一的评估程序和方法，量化安全风险，确定安全风险的危险级别，从而采取合理措施防范或降低安全风险。
需要特别指出的是：为适应业务发展的变化，应对新出现的威胁和漏洞，评估现有控制措施的有效性及合理性，必须周期性地进行安全风险评估并调整控制措施，且应在不同的层面进行，为高风险领域优先分配资金、人力等资源。
8.安全措施的选择原则●有效性。安全措施的实施必须能够确保风险被降低到可以接受的水平，达到期望的安全目标。
●可行性。安全措施必须在技术上是可操作的，可以实现的。某些安全措施不具备通用性，需要因地制宜的考虑具体实施环境。
●实际性。应从管理、财务等非技术因素详细分析待实施的安全措施，综合比较实施成本与由此减少的潜在损失，非经济因素也应考虑在内。
XXX单位应在遵循以上原则的基础上，根据网络与信息资产面临风险的大小，区分轻重缓急，实施相应的安全控制措施。
9.安全工作的起点 根据一般性规律和业界的实际经验，网络与信息安全工作的开展可以从以下几个方面着手：
●法律方面：数据保护以及个人隐私保护、XXX单位记录保护和知识产权保护等。
●业界惯例：安全策略制订、安全职责划分、安全教育与培训、安全事件响应和业务连续性管理等。
需要指出的是，上述内容不能取代根据安全风险评估选择控制措施的基本原则。任何控制措施的选取都应当依据实际面临的具体风险来确定。
10.关键性的成功因素 为了确保网络与信息安全工作的顺利实施，下列因素至关重要：
●XXX单位管理层的高度重视、明确支持和承诺；
●安全工作组织与人员的落实；
●安全策略、目标和措施应与XXX单位管理目标一致；
●安全工作的具体实施必须同XXX单位的企业文化相兼容；
●深刻理解安全需求、风险评估及风险管理；
●在全体员工中建立网络与信息安全无处不在的安全理念；
●建立全面、均衡、可行的评估、考核体系，以衡量网络与信息安全管理工作的水平；
●向所有员工和第三方（包括承包商、合作伙伴、客户等）分发网络与信息安全指南，并提供相应的培训和教育。
11.安全策略综述 本策略依据国际规范，参考业界的成熟经验，结合XXX单位的实际情况，制定并描述了网络与信息安全管理必须遵守的基本原则和要求，将安全工作要点归结到以下八个方面：
[组织与人员]
必须建立XXX单位级别的网络与信息安全常设领导机构，全面负责XXX单位的网络与信息安全工作。安全领导机构必须明确划分安全职责并建立内部协调机制。XXX单位必须设立专职安全队伍，建立安全事件响应流程和联络人员制度。XXX单位应与外部安全专家和其他相关组织加强沟通与协作。
XXX单位的所有岗位职责中必须包含安全内容，并尽量实现职责分隔。XXX部门应实施人员考察制度。有员工及使用XXX部门网络与信息资产的其他组织人员都应当签署保密协议。所有员工都应当接受网络与信息安全培训。
第三方访问和外包服务必须受到控制，应事先进行风险评估，分析安全影响并制订相应措施。同第三方和外包服务机构签订的合同中应包含双方认可的安全条款。
XXX单位应与客户签署相关协议，明确双方在网络与信息安全方面的权利与义务及违约责任，保障与XXX部门双方的利益。
[网络与信息资产管理]
XXX单位必须建立详细准确的网络与信息资产清单和严格的资产责任制度。每一项资产都应当指定“责任人”，分配其相应的安全管理职权，并由其承担相应的安全责任。“责任人”可以将具体的工作职责委派给“维护人”，但“责任人”仍必须承担资产安全的最终责任。
根据网络与信息资产的敏感度和重要性，必须对其进行分类和标注，并采取相应的管理措施。
[物理与环境安全]
XXX单位的关键或敏感的网络与信息处理设施应被放置在安全区域内，由指定的安全边界予以保护。根据不同的安全需求等级，应划分不同的安全区域，例如：机房、办公区和第三方接入区。针对不同的安全区域，应采取不同等级的安全防护和访问控制措施，阻止非法访问、破坏和干扰。工程施工期间也应遵守相关规定，加强安全区域的保护。
XXX单位必须制定清理办公环境及合理使用计算机设备的规定。网络与信息处理设施的处置与转移应遵守相应的安全要求。
[通信与运营管理安全]
XXX单位应建立网络与信息处理设施的管理和操作的职责及流程，并尽可能地实现职责分离。开发、调测和运营环境应保持相对隔离。
XXX单位应做好系统容量的监视和规划。配套安全系统应与业务系统“同步规划、同步建设、同步运行”。新建或扩容系统的审批应包含安全内容，并在交付使用前做好测试和验收工作。涉及安全方面的审批工作应由安全机构人员负责。
XXX部门应加强防范意识，采取有效措施，预防和控制恶意软件。
XXX部门应采取相应技术手段，确保时钟和时间同步。
XXX部门应建立严格的软件管理制度，及时加载安全补丁，定期进行系统安全漏洞评估，并执行系统加固解决方案。
XXX部门应当制定备份制度，执行备份策略，并定期演练数据恢复过程。记录操作和故障日志。
XXX部门必须采取多种控制措施，保护网络设备及其上信息的安全，尤其是网络边界和与公共网络交换的信息。可采取的控制措施如：访问控制技术、加密技术、网管技术、安全设备、安全协议等。
XXX部门应制定信息存储介质的管理制度和处置流程。应特别加强对可移动存储介质和系统文档的管理。
XXX单位在与其他组织交换信息和软件时，应遵从相应的法律或合同规定，采取必要的控制措施。XXX部门应制定相应的程序和策略，以保护传送过程中的信息和媒介安全，尤其要考虑电子商务、电子邮件等应用的安全控制需求。同时，还应制定信息发布管理规定。
[访问控制]
XXX单位应基于业务和安全需求，制定访问控制策略，并明确用户职责，加强用户访问控制管理。XXX部门应加强对移动办公和远程办公的管理。
XXX单位应加强对网络系统、操作系统、应用系统的访问控制，如在网络边界设置合适的接口，采取有效的用户和设备验证机制，控制用户访问，隔离敏感信息。同时应监控对系统的访问和使用，记录并审查事件日志。
[开发与维护]
新系统的开发，包括网络基础设施、支撑系统，必须遵循系统安全生命周期管理流程。在开发新系统之前，应确认安全需求。在设计中应采用合适的控制措施、审计跟踪记录和活动日志，包括输入数据、内部处理和输出数据的验证。应用系统不应在程序或进程中固化账户和口令，系统应具备对口令猜测的防范机制和监控手段。
XXX单位应通过风险评估来确定加密策略，基于统一的策略和程序建立加密管理规范。
在系统开发及维护过程中，应严格执行系统开发流程管理，包括对开发、测试和生产环境的变更控制，以保证系统软硬件和数据的安全。
[安全事件响应与业务连续性]
XXX部门应实施业务连续性管理，通过分析安全事件对业务系统的影响，制定并实施应急方案，并定期更新、维护和测试。
[安全审计]
网络与信息系统的设计、操作、使用和管理必须遵从国家法律、信息产业部相关管理条例以及合同规定的安全要求。
安全审计应遵循独立原则，定期检查网络与信息系统安全，检验安全政策和技术规范的执行情况。应采取有效的控制措施保护网络与信息系统及审计工具，使安全审计的效果最大化，影响最小化。
二.文件（制度）控制程序1.术语与定义1)信息安全管理手册：是XXX部门建立信息安全管理体系的纲领性文件，是指导和实施信息安全管理体系的活动准则。
2)程序文件：是信息安全管理手册的支撑性文件，是信息安全管理要求的程序性描述。
3)操作规程：是程序文件的支撑性文件，是某一类信息安全管理活动的具体要求。
4)记录文档：记录程序文件或操作规程的执行结果，以及项目运作过程中产生的结果性文档。
5)外来文件：来自XXX部门外部的文件。包括：外来图纸、文件、标书、技术规范、法律、法规及相关信息安全标准。
2.信息安全组织机构1)XXX单位于建立信息安全领导小组，下设办公室和工作2个工作实施机构。
2)XXX单位信息安全领导小组、办公室、工作组成员组成如下：
3)1、信息安全领导小组：
4)组长：
5)组员：。
6)2、信息安全领导小组办公室：
7)主任：
8)组员：各部门全体人员。
9)3、信息安全领导小组工作组：
10)组长：
11)组员：系统管理员、审批系统管理员；各部门信息管理员；XXX部门全体人员。
3.职责信息安全领导小组组长职责：
负责全系统信息安全管理手册和程序文件的批准发布。
各系统管理员职责：
负责信息安全文件的归口管理。
安全管理员职责：
负责组织编制和修订信息安全管理手册和程序文件。
负责组织信息安全管理体系文件的评审。
4.文件的编制1)安全管理员根据ISO/IEC27001：2005《信息安全管理体系要求》，结合部门职责及信息安全管理流程，负责组织编制信息安全管理体系文件，形成初稿。
2)安全管理员负责组织对信息安全管理体系文件的评审，并将审核后的文件报信息安全领导小组组长，由信息安全领导小组组长对信息安全管理体系文件进行核准，形成最终的报审稿。
5.文件的批准、发布1)安全管理员负责对信息安全管理体系文件的报审稿进行登记、核稿后，报送领导审阅、签批。
2)组织相关人员进行评审，领导审阅、签批后发布。
6.文件的发放1)信息安全管理体系文件由安全管理员发放到相关职属范围人员，程序文件、信息安全管理手册封面加盖“受控”章进行标识，统一编号。
2)岗位人员变动时，由文件主管部门及时收回原岗位各类文件，发放现岗位工作所依据的文件，以保证信息安全管理体系的有效运行。
3)岗位人员调离或退休时，应先向XXX部门交回其所领用的文件后，方可办理有关手续。
7.文件的归档 信息安全管理手册和程序文件制发后，需保留1份，连同签批原件和电子版一并归安全管理员存档。
8.文件的作废和销毁 文件更换新版后，由安全管理员收回作废的文件，并做好回收记录。
9.文件评审管理 由每年检查一次文件的适用情况，并对现有文件的有效性进行评审。对不合适的地方进行修订，必要时更换新版,并填写《安全管理制度评审记录表》，见附件一。
XXX部门每年组织对文件控制实施情况进行检查、评审，对存在的问题通知相应部门进行整改，并对整改情况进行跟踪验证并保存记录。
附件一：安全管理制度评审记录表
安全管理制度评审记录表
编号：
评审制度名称
评审人员
评审日期
评审地点
评审内容提要：
A．评审制度情况；新增□废止□修订□
B．制度合理性；是□否□
C．制度有效性；是□否□
D．制度适用性；是□否□
E.其他要求：是□否□评审意见：
评审主持人（签字）：年月日
.td_2
{
vertical-align:middle !im三.安全检查管理制度1.总则1)为保证安全方针和目标的实现，促进安全检查的规范化、制度化，保证检查质量，有效预防和减少安全事件的发生，制定本规定。
2)安全检查必须坚持以下原则，做到领导与员工相结合，检查与整改相结合，定期对安全管理工作进行检查、考核。
a)分级负责原则。信息安全领导小组负责对本单位的安全检查工作，XX部门技管理员负责本部门的安全检查工作，安全管理员负责各岗位的安全检查工作。
b)注重实效、狠抓落实原则。安全检查应深入工作现场，切忌走过场和搞形式主义。
c)谁检查、谁签字、谁负责原则。安全检查人员要认真履行检查职责，对自己的检查行为负责。
3)本规定适用于XXX单位的安全检查工作。
2.检查内容1)安全检查的主要任务是进行风险识别，查找不安全因素和行为，提出消除或控制不安全因素的方法和纠正不安全行为的措施。单位的安全检查应有明确的目的、要求、内容和具体计划。
2)安全检查内容主要包括：
a)查思想：检查各级领导对安全管理工作的认识；是否真正关心职工的安全和健康；是否认真贯彻安全工作的方针、政策和各项法规制度。
b)查管理：检查各级领导是否把安全管理工作摆到重要议事日程；领导对安全工作是否分工负责；机构、人员、经费是否健全和到位;各类档案台帐资料是否齐全；干部员工的安全教育培训是否落实，对专业技术人员是否培训、考核、持证上岗；安全应急预案有否建立并演练。
c)查制度：检查各项安全管理制度是否建立健全并得到贯彻落实；各级安全生产责任制是否全面落实；岗位安全操作规程是否完善。
d)查环境：深入工作现场对机房物理环境、信息系统软硬件情况、安全防护情况、人员操作行为等是否符合安全工作要求进行检查。
e)查隐患：检查有无实行安全隐患的识别与治理；检查是否对各种安全隐患下达整改通知书，明确整改措施和时限，对重大安全隐患进行跟踪督办。
f)查整改：对查出的安全隐患整改情况进行复查，并下达整改反馈意见，对整改不及时、不彻底或整改不力的个人或部门进行相应处理。
g)查事件处理：检查各类安全事件和隐患是否按规定及时报告，认真调查，严格处理。
3.形式与方法1)单位检查应定期或不定期地开展，检查的形式有：
a)综合性检查：单位级综合检查每年不少于1次，部门级检查每月不少于1次。
b)日常检查：安全管理员每天对信息系统运维情况进行检查，及时掌握安全动态，发现不安全因素，及时进行整改。
2)安全检查的一般方法是：
a)听取汇报：听取有关人员关于安全工作情况汇报，向被检查单位（部门）有关人员询问有关的安全工作情况。
b)现场检查：检查人员到现场实地检查安全管理工作情况和各种安全隐患，查看各种安全资料、台帐等基础工作。
c)综合评议：检查组对检查情况进行汇总评议，形成检查意见，做出综合评价，并进行意见反馈，提出要求。
4.组织实施 单位的安全检查根据不同规模、范围和要求分别由单位、XXX部门、安全管理员具体实施。
a)单位级安全检查：定期综合性检查、节前检查、专业性检查由信息安全领导小组负责组织，各部门参与，按要求周期进行。
b)部门级安全检查：由XXX部门负责人定期组织实施。
c)岗位安全检查：由安全管理员定期实施。
5.程序与要求1)单位的安全检查应有明确的目的、要求、内容和具体计划。安全检查的一般程序是：依照检查计划（范围、时间、要求等），落实检查人员，下发检查通知，组织安全自查，听取汇报，进行现场检查，检查情况汇总，检查意见反馈，必要时发书面检查通报，检查情况复查等步骤进行，也可以根据检查内容和范围，结合工作需要和实际情况，简化检查程序。
2)安全检查的要求：
a)要建立健全群众性的安全检查网络，把安全生产责任落到实处，把安全岗位责任人自查落到实处。
b)安全检查一般不得影响被检查部门、人员的正常工作，各部门、人员，应积极配合各级组织的安全检查活动，任何部门和个人不得妨碍和干扰正常的安全检查活动。
c)各种检查均应编制相应的《信息系统安全检查表》，见附件一，逐项检查，并与责任制挂钩，对在检查中发现的不安全问题，及时纠正。
3)对于检查中发现的安全隐患，应根据“谁存在安全隐患，谁负责整改落实”和“四定”（定整改项目、定整改内容、定整改时间、定整改责任人）原则，能立即整改的立即整改；难以立即整改的要采取防范、监控措施，落实责任部门，限期整改。整改期限内，要采取有效的防范措施，进行专人监控，明确责任，坚决杜绝各类事故的发生。隐患整改后，相关责任部门或单位应填写整改落实情况报告表，向有关单位和部门报告事故隐患整改工作落实情况。附件一：信息系统安全检查表
信息系统安全检查表
编号：号
日常运行维护管理内容及要求检查结果备注
1.信息系统日常运维系统操作流程及时更新
用户密码管理是否规范
用户密码是否定期更改
操作日志记录
异常情况记录
异常情况处理
记录数据完整、连续
补丁是否更新
病毒库版本是否升级□是□否
□是□否
□是□否
□是□否
□是□否
□是□否
□是□否
□是□否
□是□否
文档管理内容及要求检查结果备注
1.应急计划应急计划为最新，并及时完善、修订，并包含：
1、应急联系电话、岗位负责人
2、各类问题的具体应对措施（故障判别、关键设备位置、操作步骤等）
□是□否
□是□否
2.数据备份备份数据完整、有效
网络设备、安全设备配置文件是否定期备份□是□否
□是□否
3.测试报告每次测试都进行记录，填写报告，定期整理□是□否
□是□否
□是□否
4.应急演练记录每次演练都进行记录，填写报告，定期整理□是□否
□是□否
□是□否
5.系统上线流程审批系统上线、软件升级、设置变更等填写变更申请表□是□否
□是□否
□是□否
6.技术文档管理各应用系统的技术文档、操作手册是否齐全□是□否
7.IP地址记录IP地址记录是否及时更新
（抽查IP地址，每台设备的IP地址表）□是□否
8.防病毒措施双网物理隔离
病毒库即时更新□是□否
□是□否
9.网络拓扑图网络拓扑图及时更新□是□否.td_4
{
vertical-align:to 检查日期：
检查人：
四.
工作职责及岗位说明书1.信息安全领导小组工作职责：1)贯彻XXX单位关于信息安全方面工作的方针政策，审定XXX部门信息系统安全建设规划。
2)对信息系统安全工作的重大事项做出决策。
3)研究审定XXX部门信息系统安全建设和管理工作中的制度、标准及相关政策，并协调相关部门监督制度、政策的实施情况。
4)组织、协调和指导信息安全的宣传、普及教育工作。
2.信息系统安全小组工作职责：1)负责贯彻落实XXX单位信息安全领导小组关于信息系统安全工作的要求和规定。
2)根据信息化建设的总体目标，负责信息系统的安全管理体系，包括：制度建设、技术保障和操作规范等各方面的逐步建成。
3)组织制订和贯彻信息系统运行安全保障和维护工作制度。
4)负责落实信息安全领导小组部署的各项工作。
3.各组员工作职责：3.1安全管理员职责:a)负责安全制度的贯彻执行。
b)负责制订信息系统安全规划，并在实施过程中逐步完善。
c)负责制定安全设备或系统的相关资产清单。内容包括资产管理的责任部门、信息分类和资产标识的方法和资产名称、重要程度、所处位置等。
d)负责规范安全设备或系统管理流程，建立管理台帐，明确资产所有者、使用者与维护者，对安全设备或系统进行标记，实现对机房资产购买、使用、变更、报废整个周期的安全管理。
e)负责制定安全设备或系统的文档化的操作和维护规程，使得相关人员能够采用规范化的形式对系统进行操作，降低和避免因误操作所引发信息安全事件的可能性。
f)负责对安全设备或系统运行维护管理，对安全设备或系统运转情况进行定期巡检、维护、故障处理和变更管理。负责组织实施安全设备或系统各类事故（故障）的应急处理。
g)每年进行风险评估，根据评估结果会同其他负责人进行风险处置。
h)负责协助领导安排安全培训，负责协助负责制定每年安全教育计划，加强信息系统的安全教育，通过各种方式进行宣传和培训，提高全系统安全防范意识。
i)负责制定安全检查计划，至少每季度检查一次。包括检查职责、检查周期、检查范围、检查内容、检查报告的编制、检查整改、检查通报等内容。对信息系统安全检查并进行情况通报。对记录进行收集、整理、归档。
j)当出现安全事件时，负责对发生的安全事件及时上报，并配合相关的调查和纠正工作。
k)当信息系统运行发生重大问题时，协助相关人员正确判断原因，根据指令立即采取安全措施启动相关处理程序。
l)负责与外部安全机构的协调联系，在发生重大安全事件时以协调获取外部安全机构的支持。
m)负责对介质的管理。对介质的归档、查询和借用进行记录，对介质进行定期盘点并记录，对故障介质的进行送修和销毁并记录，对于保密性高的介质销毁需要申报领导批准，并进行记录。对介质物理传输的交接进行记录。
n)负责对各种记录文档、表单，半年一次进行汇总，并对制度开展情况向XXX单位信息系统安全领导小组领导进行汇报。
o)加强对信息系统外包业务与外包方的管理，在与信息系统外包方签署的服务协议中，对信息系统安全加以要求。通过审批、访问控制、监控、签署保密协议等措施，加强外部方访问信息系统的管理，防止外部方危害信息系统安全。
.td_7 {
vertical-align:to
附见二：物品领取登记单
物品领取登记单
编号： 领取理由
领取情况
序号 名称及型号 数 量
领取人
签名 年月日
.td_9
{
vertical-align:middle !im
附件三：外部人员访问申请授权
外部人员访问申请授权表
编号：
申请人
公司
经办人
部门
部门领导签字
日期
有效期
类型：权限开放□变更□注销□其他□
要求内容
以上为用户填写
实际授权实
施授权部门签字
日期
实施人员签字
日期
权限是否收回
日期.td_11
{
vertical-align:middle !im
附件四：变更申请表
变更申请表
编号：
申请公司/部门名称
申请人
提交时间
联系电话
移动电话
申请变更内容描述
申请变更时间
变更结束时间
受影响的网络、
用户或服务
需求提出公司/部门
系统负责人意见 签字：年月日
以上内容为需求变更提出的系统建设、运维公司或厂商及相关部门填写
日常变更审
批负责人意见
签字：年月日
重大变更审批
负责人意见（重大变更时填写）
签字：年月日
评审委员会或
专家意见
签字：年月日
备注.td_13
{
vertical-align:middle !im
.td_15 {
vertical-align:to
.td_17 {
vertical-align:to
附件二：外部人员访问申请授权表
外部人员访问申请授权表
编号：
申请人
公司
经办人
部门
部门领导签字
日期
有效期
类型：权限开放□变更□注销□其他□
要求内容
以上为用户填写
实际授权实
施授权部门签字
日期
实施人员签字
日期
权限是否收回
日期.td_19
{
vertical-align:middle !im九.资产安全管理制度1.资产分类方法 根据XXX单位实际情况将组织资产分为下表所述的几类。分类英文简写示例
硬件Har党ware(HW)网络设备：路由器、网关、交换机等
计算机设备：大型机、小型机、服务器、台式计算机、笔记本电脑等
存储设备：磁带机、磁盘阵列、磁带、光盘、移动硬盘等
传输线路：光纤、双绞线等
保障设备：UPS、变电设备、空调、保险柜、文件柜、门禁、消防设施等
安全设备：防火墙、入侵防御系统、身份鉴别等
其他：打印机、复印机、扫描仪、传真机等软件Software(SW)系统软件：操作系统、数据库管理系统、语句包、开发系统等
应用软件：办公软件、数据库软件、各类工具软件等
源程序：各种共享源代码、自行或合作开发的各种代码等
数据党ata(党A)保存在电子媒介上的各种数据资料，包括源代码、数据库数据、系统文档、运行管理规程、计划、报告、用户手册等
文档党ocument(党OC)纸制的各种文件、传真、电报、财务报告、发展计划等
服务Service(SV)信息服务：对外依赖该系统开展的各类服务
网络服务：各种网络设备、设施提供的网络连接服务
办公服务：为提高效率而开发的管理信息系统，包括各种内部配置管理、文件流转管理等服务
人员Staff(ST)掌握重要信息和核心业务的人员，如主机维护主管、网络维护主管及应用项目经理等
其它Others(OT)公司形象、客户关系等
.td_21
{
vertical-align:middle !im
.td_23 {
vertical-align:to 2）具体到每类资产对应的解释，我们给出相应的对应关系。
等级硬件资产软件资产数据资产文档资产备注
VH（很高）关键关键机密机密对应关键业务
H（高）对应关键业务
M（中）重要重要限制发布限制发布对应重要业务
L（低）一般一般内部公开内部公开对应一般业务
VL（很低）一般一般公开公开对应一般业务或其他
.td_25
{
vertical-align:middle !im
.td_27 {
vertical-align:to
一十一.设备安全管理制度1.总则 为加强对设备的维护管理，规范设备的采购、使用、管理、报废行为，制定本规定。
2.设备购置1)对部分数量价值较大、关键性的电脑设备实行统一购置，即定品牌、定型号、定价格。设备选型坚持选择性能价格比优良，市场占有率高，售后服务好的国际主流产品及国内品牌产品；
2)选用的计算机设备必须经过技术论证，符合国家有关标准或规范，满足可靠性和兼容性要求，每类设备选择2-3个品牌；
3)计算机设备在购置须满足以下几方面要求：先进性、可扩充性、兼容性、充分可用、较好的性能价格比、良好的售后服务；
4)服务器、交换机等关键设备应备有充足的备件（相应的备份措施）；
5)服务器、交换机等关键设备的购置须制定规范的合同（协议）书，根据管理权限审批；
6)设备购置合同是经济活动中的法律依据，合同的制定须遵守经济合同法的条款及有关规定，合同（协议）的签订必须由两人以上经办并经主管领导批准。合同（协议）要建档备案；
7)设备购置合同（协议）应包括以下内容：设备名称、型号、配置标准、产地、单位、数量、单价、合计金额、交货时间、地点、验收标准、付款时间、运保费、保修期限、维修服务、技术支持、培训及违约责任等内容。合同中需要详细明确的条款和内容可用协议方式补充说明；
8)购置计算机设备时，一般不得交纳定金、支付预付款；
9)合同执行过程中，如果发生违约或纠纷，按照谁购买谁负责的原则进行妥善处理；
10)设备购置手续必须完整，由专人负责项目实施，对项目进行全程管理，验收完成要及时建立电脑设备管理台帐。
3.设备使用1)计算机设备的使用实行专人负责制，每台设备都应设有保管人，保管人由使用人担当，公用设备的保管人由单位具体指定，使用人对设备丢失或因不当使用造成的损坏负责，计算机设备的使用须严格遵照有关操作规程；
2)未经XXX部门同意，严禁改变计算机设备的硬件配置；
3)设备使用中出现故障时，不得自行修理，应将设备故障及时报告XXX部门，由其负责设备的维修工作。
4)出现故障的设备应经过XXX部门审批同意后方可带出办公环境或机房进行维修。
4.设备管理1)XXX部门应设立计算机设备管理员，负责计算机设备的实物管理；
2)计算机设备管理员负责为每一台设备及时录入固定资产系统，建立设备管理档案；
3)设备管理员变更时，应及时盘点资产并向接替人员办理移交手续；
4)计算机设备因配置变更导致账面值变化时，设备管理员应及时向财务部门办理变更手续；
5)计算机维修按公司实物资产管理制度规定流程审批。XXX部门统一采购的关键设备由XXX部门统一组织维修，其他由营业网点组织维修。
6)计算机的维修情况，应予以记录；
7)计算机设备外借，须经本单位主管领导签字批准，同时在档案卡中予以记录；
8)每年年底，应进行本单位计算机设备的盘点工作，并记录盘点台帐；
5.设备报废1)计算机设备的报废应依据财务管理办法及有关规定，严格按照规定的权限及程序进行
2)有下列情形之一的计算机设备可提出报废申请：
a)折旧期已满，帐面已提足折旧费的计算机设备，其主要部件损坏或一次性修复费用超过目前市场同档次产品价格30%；
b)因过频使用自然磨损造成设备部件同步老化，硬件设备发生频率（有维修记录），无法继续使用；
c)因雷击、火烧、爆炸、水、腐蚀、摔压等事故造成设备严重损坏，无法修复或一次性修复费用超过目前市场同类档次产品价格50%；
d)因技术进步，原有设备明显落后，功能过低不能满足业务需求，不宜或无法继续使用；
3)计算机设备报废要由使用部门提出报废申请，经XXX部门鉴定，及财务等有关部门审批。
一十二.软件项目外包管理办法1.总则 1.1为规范XXX单位应用系统开发外包的管理，明确责任，保证系统开发各阶段衔接顺畅，提高系统开发项目决策程序的科学性，特制定本办法。
1.2XXX单位信息系统开发实行项目管理的模式，按具体项目进行。一般信息系统开发项目包括：
1.2.1应用开发类项目，泛指应用信息技术开发的业务处理系统和管理信息系统等应用软件项目，包括新建和改建、变更项目。
1.2.2基础设施类项目，泛指网络建设、安全架构建设、主机系统购置及升级等信息基础建设为主体的项目。
1.2.3信息研究类项目，泛指全公司战略性信息规划项目、信息标准建设项目、信息咨询项目等。
本办法适用的项目为第一类，即应用开发类项目。
1.3项目的开发方式分为以下三类：
1.3.1XXX单位内自行开发，指由XXX部门独立进行设计、开发和推广。
1.3.2与其它公司合作开发，指由XXX部门与合作公司共同进行设计、开发和推广。
1.3.3外包，开发外包是指由外包开发商进行整个项目的设计、开发和推广，XXX部门负责项目的协调和监理。
本办法仅适用于第三类项目外包的管理。
1.4本办法适用于XXX单位应用系统开发外包管理工作。
2.管理职责 XXX部门是应用系统开发外包管理的主要决策机构，负责项目的立项与费用审批。
2.1XXX部门是应用系统开发项目外包的主要管理机构，负责项目立项后的开发管理，组织项目的验收。
2.2XXX部门负责项目上线后系统与设备的运行。
2.3XXX部门为外包审计部门，负责对信息系统外包项目审计。
2.4XXX部门为外包风险管理部门，负责对外包项目风险的评估监察以及外包风险应急计划制定等风险管理工作。
2.5各业务部门是应用系统开发外包项目的主要需求的提出者和系统的使用者，提出项目可行性分析、成本效益分析、立项申请，编写业务需求，协助解决项目开发过程中出现的业务相关问题，组织项目的用户测试、试运行，参与项目的验收工作，组织项目的推广。
3.总体管理 3.1项目正式立项后，XXX部门会同业务部门成立项目小组，此小组负责项目全过程的统筹管理，对项目的进度和质量负责。
3.2项目小组根据项目时间要求、项目工作量和人力安排，与业务部门和外包商沟通，制定出精确到周的项目实施计划。此计划中应包括项目的各阶段目标、任务、时间表、里程碑、项目所需人员及其职责划分，并汇报给业务部门和XXX部门负责人签字确认。
3.3项目进入验收测试阶段时，XXX部门会同业务部门成立验收小组，并可根据项目需要邀请外单位专家参与，验收小组中应包括项目小组的全部成员。验收小组对项目进行临时验收和最终验收，对项目的最终质量负责。
3.4XXX部门指定具备3年以上工作经验并熟知XXX单位项目管理制度的员工担任项目负责人。项目负责人负责协调业务部门、XXX部门和外包商三者之间的工作，并负责保存项目所有的相关文档。
3.5项目负责人在项目实施过程中，应每月向XXX单位XXX部门负责人书面报告项目的进展情况，包括已完成的内容，当前进度与项目实施计划的比较，存在的有可能影响进度的问题，人员、资金的使用情况等。
4.项目立项 4.1项目的立项有两种方式：年度计划中申请和临时申请。重大项目必须在年度计划中进行申请。
4.2项目的临时申请流程与年度计划申请流程一致，属于年度计划内容和预算的调整。临时申请经过批准后，项目方可按照计划实施。项目申请中应包括需求书、资金预算、对成本效益定性定量的分析和项目时间计划。其中业务部门提供需求书和成本效益分析，XXX部门提供资金预算。
5.外包商选择 5.1外包商的选择由信息安全领导小组根据XXX单位管理制度的要求进行。项目小组参与此过程，并提供技术方面的参考意见。
5.2外包商的选择采用招标或询价的方式，并报主管领导批准。
6.方案设计 6.1外包商和项目小组共同对系统运行环境进行分析，并根据业务需求制订设计方案。设计方案经过项目小组全体成员的讨论后，业务部门负责人和XXX部门负责人签字确认。
6.2对于变更和改建项目，外包商必须对项目所涉及的原有数据和业务需求进行分析、研究，最大限度的在新项目中利用原有业务数据，保护XXX单位的信息资产。外包商在此类项目的设计方案中必须制订数据转换的计划和实施步骤，并经过业务部门负责人签字确认。
6.3项目设计方案确定后，业务部门可提出需求变更。需求变更必须经过业务部门负责人和XXX部门负责人签字确认，由此造成的设计变更和项目延期外包商不承担责任。
6.4项目设计方案确定后，外包商可提出设计变更。设计变更必须由外包商项目经理书面提出，XXX部门负责人签字确认，由此造成的项目延期和系统功能改变外包商承担全部责任。
6.5发生需求变更或设计变更时，项目负责人评估变更对项目所造成的影响，制定变更后的项目实施计划，并由业务部门和XXX部门负责人签字确认。
6.6方案设计中必须包括应急计划与回退方案。
7.开发过程管理 7.1项目开发的过程中应具备开发、测试和运行3套独立的环境。其中开发环境一般由外包商提供，或者对于新建项目，同一设备在项目临时验收、正式运行前为开发环境，之后为运行环境。项目的开发必须在开发或测试环境中进行。
7.2变更项目中涉及的所有软硬件升级、打补丁的工作应在测试环境中进行。项目负责人对此项工作进行测试并做出书面报告。XXX部门和业务部门负责人对测试报告签字确认后，此工作方可在生产环境中进行。
7.3按照每周的计划要求，项目小组对外包商的工作进行检查，督促其进度。对于已经完成的部分，项目小组应及时进行检查和测试，以了解项目的实际情况，并对开发过程中出现的问题及时处理。
7.4外包商应按照设计方案中数据转换的计划和步骤，将原有数据转换并移植到新系统中。项目小组检查数据的完整性、一致性、准确性、唯一性、可读取性等。
7.5对于外包人员提交的源代码，须经我公司人员审核编译。所产生的执行程序，须经我公司相关人员测试通过后，按规定流程投入生产系统。
7.6对于外包开发人员提交的关键代码（涉及核心记账、业务系统核心处理流程或有关安全加密、认证的代码），项目组行方人员必须对源代码进行重点抽查。
7.7对于外包测试人员提交的测试方案和测试案例，使用部门必须组织人员进行复核确认；外包测试人员编写的测试脚本和测试用程序必须满足我公司项目测试性能要求。
7.8外包咨询人员应及时对我公司咨询要求做出响应，按时帮助解决问题，或提供符合要求的咨询建议或报告。
7.9外包维护人员必须及时响应业务需求，并按我公司统一形象要求和服务方式要求对外提供服务。
8.验收 8.1验收分为临时验收和最终验收。临时验收主要是对系统的功能、性能、安全等内容进行检验，通过后系统方可进行正式运行。最终验收主要是对临时验收的遗留问题和正式运行期间发现的新问题的处理情况进行检验，通过后项目方可认为执行完毕。
8.1验收小组根据项目的需求书、设计方案制定测试大纲，项目负责人对验收大纲签字确认。
8.3验收小组根据验收大纲逐项、客观的对应用系统做出评价，并记录在验收大纲中。根据验收的整体情况，验收小组得出项目验收是否通过的结论，并做出验收报告，由XXX部门和业务部门负责人签字确认。
8.4验收中不具备测试条件的内容，或业务部门和外包商一致同意延期测试的内容，应记录在双方达成的项目验收备忘录中，以便日后具备条件时进行测试。
8.5完成测试后，验收小组应收回开发人员的权限，使其不能在系统正式运行前对系统进行修改。
9.正式运行 9.1系统进入正式运行后，项目小组应将系统的正式运行的情况通知所有使用者，并由项目小组和外包商共同安排专人继续解决系统投运过程中用户提出的问题。
9.2项目小组对正式运行后的系统情况应至少进行6个月的跟踪记录，对存在的问题汇总并做出书面报告，经项目负责人签字，正式提交给外包商，要求其在最终验收前解决。
9.3变更项目中，外包商应按照设计方案中的计划和步骤将测试过的程序变更部分移入运行的系统。移入工作如果出现问题，需要将系统恢复到移入前的情况时，按照设计方案中的回退计划实施。项目负责人监督外包商的工作，并记录和保管相关文档。
9.4外包商进行移入工作或运行准备工作，需要系统权限时，应用系统管理员为其分配工作所需的权限。工作完成后，应用系统管理员应立即收回权限，并记录和保管相关文档。项目负责人监督上述工作。
10.培训与售后服务 10.1系统正式运行前，外包商应对系统的各类用户进行培训，并以测试保证用户能熟练使用该系统。变更项目中，业务流程或界面发生重大变化时，外包商应对用户重新进行培训。
10.2系统正式运行时，系统维护说明、系统使用说明、用户操作手册等文档应同时公开发布。
10.3系统正式运行时，应确保该系统的应用系统管理员已经接受培训，能够完成系统的日常维护工作。
11.附则 11.1本办法的文字解释由XXX单位XXX部门负责。
11.2本办法自发布之日起施行。
一十三.
应用软件系统开发维护管理规定1.总则 1.1为了加强和规范我公司应用软件系统开发维护管理工作，确保我公司各项业务安全、正常运行，特制定本规定。
1.2本规定所称应用软件系统开发和维护是指本行各种业务软件的开发维护、修改及有关数据的维护与更新。
1.3本规定适用我公司技术人员自主对全公司性所有业务需要所涵盖的应用软件系统的开发维护工作。
1.4应用软件系统的开发维护管理必须坚持“安全第一、谨慎稳妥、相对稳定”的原则。
2.管理职责 2.1XXX部门负责立项后的应用软件开发和维护工作。
2.2XXX部门负责项目上线后应用系统的运行工作。
2.3XXX部门负责对项目各个阶段进行审计和监督。
2.4XXX部门负责项目开发过程的风险评估监察等风险管理工作。
3.审批程序 3.1业务处室要求开发新的业务程序或对已投入计算机运行的业务程序进行完善，必须提出申请，明确需求，重大的项目需要进行成本效益分析，并填写《XXX单位应用软件系统开发维护申请报告》，并经有关处室会签、合规部审查后报公司领导签批。
3.2XXX部门根据领导签批同意的申请报告，才能进行应用软件项目的立项、开发、修改和维护。
3.3XXX部门开发、修改完成的应用软件必须经业务处室根据《XXX单位应用软件系统开发维护业务申请报告》及业务测试题进行严格测试，同时填写《XXX单位应用软件系统业务测试题》及《XXX单位应用软件系统业务测试报告》，明确该软件是否满足业务需求，是否可以上机生产运行，并报公司领导批准，才可以上机生产运行。
3.4凡需要涉及重要数据库维护以及项目需求变更与优化均参照上述审批程序。
3.5因业务发展需要，为满足客户需求的客户端计算机应用软件的开发、维护应按本规定将申请书和需求报告报XXX部门和有关处室共同协商，经公司领导签批后，交XXX部门执行。
3.6严禁将未经批准的其它任何软件在我公司生产业务机上安装使用；在计算机主机房及各网点业务用机安装任何软件必须经XXX部门审核报领导批准方可进行，并作详尽记录；业务用机一经发现未经审批安装使用的软件，我公司授权XXX部门随时予以删除，并及时向领导报告，造成严重后果的，除通报外还将对当事人作出严肃处理。
4.软件开发 4.1由业务部门负责牵头完成《业务需求书》的论证、分析、细化和编写工作。《业务需求书》编写完成后，由业务部门和XXX部门共同确认。
4.2《业务需求书》是系统设计开发的依据，一经确定不得任意更改。确属业务发生调整，必须变更的，由业务部门提出完整的需求变更说明并经项目开发小组分析评估后生效。对于较大的需求变更，经项目开发小组分析评估后按照项目立项审批流程申请需求变更。
4.3《业务需求书》确定后，项目进入设计开发和测试验收阶段。
一、项目开发小组根据《业务需求书》制定项目开发计划，编写项目总体设计和详细设计。
二、完成开发后，先由项目开发人员进行各种类型的测试。
三、业务人员编写项目测试题，并对项目进行详细的测试。测试通过后，由业务人员负责编写测试报告。
4.4重大的项目必须安排压力测试。
4.5根据项目的需要，在项目的需求阶段、设计开发阶段、测试上线阶段可组织相关人员进行项目的阶段性评审工作，确保项目在应用和技术架构、信息安全、质量控制方面符合建设要求。
4.6软件系统总体设计、应用程序设计和开发，均须进行充分分析和论证，确定统一标准，符合科学合理、安全可靠、运行高效的要求。
4.7开发各类软件，应遵照国家和金融行业软件工程有关标准，必须从系统设计开始建立完整的开发档案，并有明确详细的文图说明。
4.8同一软件开发，必须实行两人以上（含两人）参与开发或修改。
4.9业务软件涉及密码密钥的，必须设定密码密钥的级别，并有更换密码密钥的用户界面等软件程序。
4.10业务软件开发完毕投入运行后，其全部开发文档和软件源码必须立档封存，列入XXX单位商业机密范畴。
4.11凡我公司自行开发的软件，版权均归本行所有，禁止私人占有；凡与外单位合作开发或购置的软件，其版权按有效合同界定归属。
4.12加强软件版本管理，在业务软件进行修改后，必须同步更新文档，并作好不同软件版本的标识与保存工作。
5.项目上线管理 5.1开发人员将需要上线的源代码和上线计划书提交给源代码审查人员，源代码审查人员必须对提交的源代码进行认真仔细的检查。检查无问题后，提交给XXX部门上线。源代码审查人员还必须对上线前后软件的版本进行统一的管理和备份。
5.2上线计划书中必须包括应急计划与回退方案。
5.3系统上线后，项目开发成员向运行人员提交相关的用户操作手册文档。
6.项目维护与变更 6.1项目正式上线后，进入项目维护期。项目维护期内，项目开发小组继续负责项目的技术支持。
1)项目的维护期原则上不少于1个月。
2)在项目维护期内，项目开发小组负责项目的技术支持，对程序运行中出现的问题进行修改、测试，并负责培训系统日常运行维护和支持人员。
3)在项目维护期内发现的软件问题或因业务变化引发的需求变更，由项目需求部门和XXX部门提出优化、修改需求，各相关部门负责人签字认定并报分管行长签字后，项目开发小组开发人员进行修改、优化，同时更新相应文档，经业务部门测试、源代码审查人员审查后提交XXX部门上线。
7.开发维护工作流程 7.1应用软件系统开发维护工作流程如下：
8.附则 8.1本规定自发文之日起实行。
附件：
《XXX单位应用软件开发维护申请报告》格式表
《XXX单位应用软件系统业务测试题》
《XXX单位应用软件测试报告》格式表
XXX单位应用软件系统开发维护申请报告
编号：
第一百二十三条提交处室
第一百二十五条提出申请时间：年月日
第一百二十六条要求完成时间：年月日
第一百二十七条项目名称
项目类型□开发新业务软件
□其它
□现有应用软件增加新业务功能
□修改完善现有运行软件
□维护调整现有软件的功能、性能
项目内容概要（详细请填写《业务需求报告》
（不够请另附纸）处室负责人签名
业务组负责人
年月日
XXX部门意见
年月日
合规部意见
年月日
公司领导签批
年月日
备注
.td_29
{
vertical-align:middle !im
XXX单位应用软件系统业务测试报告
编号：
测试内容
测试处室
测试时间
测试人员测试报告：
（不够请另附纸）
测试结论：（业务处室负责人会签）
XXX部门负责人签署意见
测试负责人签名
项目负责人签名
源代码检查人员意见
领导签批
.td_31
{
vertical-align:middle !im
填表日期：年月日
XXX单位应用软件测试报告
编号：
模块功能测试表
模块函数名
模块名称
模块层次
编码人
模块功能简述
编写日期
测试完成日期
功能测试内容描述
输入用例描述预期输出结果实际输出结果测试结果分析性能测试内容描述
输入用例描述输出结果描述性能分析
.td_33
{
vertical-align:to
.td_35
{
vertical-align:middle !im
.td_37
{
vertical-align:to
.td_39 {
vertical-align:to
一十七.信息系统硬件设备维护管理制度1.总则 为了加强设备的安全管理，及时检查排除信息系统硬件设备的隐患，充分发挥硬件设备的良好性能，减少硬件设备的故障，确保信息系统安全、稳定的运行，制定本规定。
信息系统硬件设备主要包括机房内硬件设备和机房外硬件设备，办公设备的维护参照公司相关制度执行，不列入本制度中。
2.机房内硬件设备维护1)为确保机房内设备正常的运行，必须要有良好的机房环境：
a)机房内保持适当的温度和湿度：温度控制在20-25度，湿度控制在40%-70%，并且每天进行检查记录。
b)机房内保持整洁、干净：关好机房的门窗，封堵与外界接触的缝隙，禁止无关人员进出机房，保持机房地面、机架无积尘，每周打扫卫生一次。
c)每月对机房的电源进行一次工作电压、零地电压的测量。
2)服务器
a)服务器尽量采用双电源系统，并分别对电源供电，有条件的采用双路UPS供电，服务器电源插座使用专用插座。
b)良好的开关机顺序：开机时先开外设，再开主机；关机时先关主机，再关外设。
c)服务器上各种螺丝、插槽、档板必须齐全，以防灰尘进入。
d)每年对服务器要进行一次除尘，包括主板、插卡、通风槽、电源、风扇、驱动器等处的积灰。
e)除尘前必须佩戴除静电环等设施，防止静电对主机的损坏。
f)对服务器除尘时，要有充分的时间对除尘后的服务器进行运行测试，并要有相应的应急准备，防止除尘时意外的损坏而影响交易。
3)UPS
a)合理的开关机顺序：开机时，先接上市电，UPS开机至逆变器正常工作，启动负载，为防止冲击电流过大，按一定顺序逐步加载；关机时，先逐步关闭负载，再关闭UPS，最后关闭市电。
b)每月对UPS的输入输出电压、电池电压、负载率进行检查、记录，UPS的负载不得大于80%。
c)停电时要密切监控UPS、电池的工作状态，并作记录。
d)每季对UPS电池进行一次放电，当电池输出电压达到190V左右，可以恢复正常供电，避免深度放电，造成对UPS电池的损害。
e)每年对UPS主机进行一次除尘和线路维护，必要时对UPS的输出电压波形进行一次测量，并检查电池箱内电池是否有漏液，电池间连接线是否有松动和腐蚀等现象。
f)除放电工作外，UPS的除尘、波形测量、电池检查等工作由专业人员完成。
4)机房供配电
每年对机房供配电系统中计算机供电系统的电气部分包括仪表、电气开关、电源插座等检查。检查仪表的螺丝、开关、接线排、接线柱是否松动，并加以固定，及时更换老化的线路和电器开关等，此项工作由工程施工公司巡检完成。
5)机房交换机、路由器
a)机房的主交换机和路由器为机房的关键设备，不得随意配置、挪作他用。
b)每天要检查设备的运行情况，观察设备的信号指示灯是否正常工作。
c)平时要做好设备机体外部的清洁工作，设备档板、螺丝齐全。
d)每年对主交换机、路由器进行一次除尘，特别是风扇处的积灰，除尘方法参照服务器的维护。
6)机房空调
a)使用空调器时，手控停、开操作时间，尽量使其间隔在3分钟以上，以防止瞬间启动电流过大，造成熔断丝熔断或使热保护器动作，甚至使压缩机损坏。
b)当听到空调器在运行中有异常杂声，如金属碰撞声、电机嗡嗡声、外壳振动声等，应立即停机检查，查明原因，以免出现更大的损坏。
c)每天检查空调显示面板显示信息是否正常，检查空调排水情况，有无渗漏到机房地面。
d)每月清洗机房空调过滤网一次，防止尘埃将网上微孔堵塞，使进出风量减小而降低制冷效率。
e)每年对机房空调进行一次专业维护保养：对空调的制冷系统和电气系统以及室外机系统进行常规的除尘清扫、线路检测、制冷剂检查等维护保养，保持机房空调良好的运行性能，提高制冷效率。
7)防雷和消防
a)机房的防雷系统，应符合制度的要求，每年需经专业防雷部门的检测。
b)每周查看防雷设备的信号指示灯，检查防雷工作是否正常，雷雨季节要每天查看，一旦发现故障，及时更换。
c)机房消防系统须请专业人员进行检查，并由当地消防主管部门出具合格证。
d)每天检查火警报警系统是否正常，有无报警记录等。
8)线路维护
a)每月对通讯线路进行一次维护检测、整理，线路有改动的要做好登记。
b)每季对机柜网络线路进行一次维护整理，网线颜色要分明、正确，标号要清晰、无误，如有改变，应及时更改相应的图纸。
a)每季对电话配线架进行一次维护整理，如有改变，应及时更改相应的图纸。
3.机房外设备的维护1)发电机
a)指定专人负责发电机的操作，严格按操作流程操作。
b)停电启用发电机时，应等发电机的电压、频率稳定之后，再切换使用，以免发电机工作不稳定时，烧坏设备。
c)发电机空载试验时间不得超过15分钟。
d)保持发电机房的清洁，禁止堆放杂物，防止一些易燃物在高温下发生火灾。
e)每月对发电机进行一次发电测试，并检查润滑油油位、冷却液液位、空气滤芯器阻塞指示器、燃油供油储备等情况，保证发电机能在任何时候市电中断的情况下能及时投入运行，避免不必要的时间延误。
f)每季对发电机的启动电瓶电池进行维护充电检查，建议使用电瓶浮充电器。
g)每年对发电机进行一次外部清洁工作，用吸尘器清除通风网的灰尘。
h)定期由专业人员对发电机的工作性能进行维护保养。
附件一：设备维护记录表
设备维护记录表
编号：设备名称
出厂编号
设备型号
申请维修部门
申报故障情况
申报人：年月日
处置处置意见
批准人：年月日
维修维修单位
维修时间
联系人
联系电话
维修情况 记录人：年月日
验收验收结果验收人：年月日
.td_41
{
vertical-align:middle !im
一十八.数据备份和恢复管理制度1.总则 为有效管理单位重要数据，保障备份数据的完整性和业务的持续性，规范日常数据备份、使用、恢复与介质管理工作，制定本规定。
本制度的管理范围包括所有信息系统的数据备份与保存有备份数据的介质。
2.数据备份1)信息系统数据按照重要性，主要划分为如下三类：
A类数据是核心业务数据，需每日进行备份。
B类数据是指操作系统、系统配置数据、其它外围系统数据等，此类数据较少变动，需定期进行备份。
C类数据是指系统配置数据、其它外围系统数据等，此类数据因临时升级或测试需要，需临时进行备份。
2)数据备份介质一般使用磁盘、光盘、移动硬盘等。
3)数据备份方式可分为实时数据备份、定时数据导出备份、临时复制备份三种方式。根据数据的重要性及其对核心系统运行的影响为原则选择使用。
4)应根据数据的重要性及其对核心系统运行的影响，制定数据备份策略和恢复策略。
5)A类数据每日使用定时数据导出备份方式备份数据，每周刻录数据一次，每月对数据进行一次恢复验证。
6)B类数据改动较不频繁，采用定时导出备份方式进行备份，在系统进行更改或配置改变时，应及时进行备份，并妥善保存。
7)C类数据因临时升级或测试需要，需临时进行备份。如正式使用，必须采用其他备份方式进行备份保存。
8)备份数据应在其数据文件名中包含备份日期或在备份介质表面可写处或介质封套上标明备份日期。备份完成后，备份人员负责在备份介质上标贴介质内容，并登记《备份介质记录表》，见附件一。
3.数据使用和恢复1)数据使用范围仅限于管理该数据的部门和人员。使用完毕后必须及时归还，放回原处。
2)A类数据备份完成后，应对备份数据进行恢复验证测试。
3)使用恢复后的A类数据必须要求相关业务部门检查数据的准确性和有效性。在得到相关业务部门验证以后，方可运用至实际信息环境中。
4)使用恢复后的B类数据应特别注意数据的时效性，以避免因该类数据备份更新不及时导致不可用，或出现系统故障。
5)在使用备份数据之前，原有应用环境或数据应备份。
4.备份数据转储1)数据管理员根据《备份介质记录表》的介质有效期（五年），以及是否需要转储标志，要求备份人员对备份数据进行转储。
2)备份转储完成后，备份人员负责在备份介质上标贴介质编号，并将介质编号、介质内容、备份人员等一同登记在案。
3)备份人员移交备份转储介质时需同时移交原备份介质。
附件一：备份介质记录表
备份介质记录表
编号：
备份日期介质编号介质类型备份内容备份操作人备注
.td_43
{
vertical-align:middle !im一十九.恶意代码防范管理制度1.总则 为建立XXX单位统一的病毒防范安全管理，加强恶意代码防范意识管理，制定本规定。
2.安全要求1)防病毒产品选型
a)XXX单位应采用国家许可的正版防病毒软件，保证软件的长期有效支持。
b)防病毒体系的建立必须在防病毒厂商或XXX单位的帮助和指导下建立完善网络防病毒体系。
c)建设XXX单位范围的网络防病毒体系，客户端应部署至整个XXX部门的范围。
d)应采用成熟的网络防病毒系统，将服务器防毒、客户端防毒、群件防毒、网关防毒等防病毒体系整合在一起，形成多层次的病毒纵深防护体系，并制定全网的防病毒规划。
2)防病毒配置策略
a)防病毒服务器的安全策略配置应符合XXX单位发展的实际情况。
b)应启用防病毒系统的实时检测功能。
3)防病毒管理
a)XXX单位应指定专人负责计算机病毒防范工作。
b)收到防病毒厂商严重病毒通告后，应及时通知员工。
c)每周检查二次病毒库升级情况；发现不能杀的病毒立即上报；发现不能查杀的病毒时，使用其它杀毒软件进行查杀。每月更改服务器管理密码，并做记录。
d)每周一次对全网进行病毒检测，发现病毒立即处理并报告。
e)新系统安装前必须进行病毒例行检测。
f)禁止运行未经信息安全工作组审核批准的软件。
g)对于外来的（如：网络下载、可移动磁盘等介质）程序和文档，应在运行或打开前进行计算机病毒的检测和清除。
h)对于电子邮件附件所带的程序和文档，不得直接运行或打开，应在运行或打开之前先存盘，并进行计算机病毒的检测和清除后，再打开或运行。
i)禁止进行任何计算机病毒的制作和故意传播。
j)如果有因为病毒造成的损失，应该立即隔离将受到病毒感染的计算机与内部网隔离开。
k)重要部门的计算机要做到专人专用专管，避免交叉使用。
l)每月应至少进行一次全网的病毒综合分析报告，为病毒防护策略调整做依据。
m)应在可预期的重大病毒发作之前向信息安全工作组报告病毒预警信息，在获得批准后采取相应的防护措施。
n)发现可疑的病毒现象时，应及时进行计算机病毒的诊断和分析，并采取适当措施进行计算机病毒的清除和系统的恢复。对于因计算机病毒引起的计算机信息系统的瘫痪、程序和数据严重破坏等重大事故，应做好现场保护工作，并向信息安全工作组报告。
o)应定期对整网进行计算机病毒的检测和清除，并将检测和清除的结果记录备案，周期应不低于2个星期。
p)当发现新病毒时，应保留原始记录并立即报告信息安全工作组。
q)应根据病毒的危害程度进行分类报警。报警方式应至少包括界面报警、声音报警、E-mail报警、Win党ows消息报警、记录日志数据库等。
4)介质防毒要求
a)经远程通信传送的程序或数据，必须经过检测确认无病毒后方可使用。
b)所有用于拷贝数据的存储介质在使用前均需进行病毒检测。
5)严禁使用黑客软件
二十.信息系统应急预案 为了XXX单位信息系统的安全管理与维护，提高处理突发性信息系统异常事件的能力，确保业务系统的稳定运行，特制订本应急预案。该预案旨在建立紧急状态下的快速响应、快速定位、快速处理的应急机制，增强紧急情况下的应急处理能力，进一步完善XXX单位信息系统保障体系。
本预案是XXX单位根据国家有关法律、法规和政策，结合XXX单位信息系统建设和运行情况，重点针对业务系统中可能发生的重大突发事件编制的，包括总则、组织指挥体系及职责、预警和预防机制、应急处理程序、保障措施、附则及附件等，其中明确规定了在发生各类突发事件情况下，信息系统管理人员的相关职能和工作方法，具有一定的指导性和可操作性。
1.总则1.1目的 为科学应对信息系统突发事件，建立健全信息系统的应急响应机制，有效预防、及时控制和最大限度地消除各类突发事件的危害和影响，制订本应急预案。
1.2工作原则统一领导
遇到重大异常情况，应及时向有关领导报告，以便于统一调度、减少不良影响。
综合协调
明确综合协调的职能机构和人员，做到职能间的相互衔接。
重点突出
应急处理的重点放在运行着重要业务系统或可能导致严重事故后果的关键系统上。
硬件及配置备份
备份相关网络设备、服务器参数、系统配置，相关硬件、线路的热备与冷备等措施，提高信息系统的安全系数。并在备用设备上按要求预先配置好各种参数，当发生故障时能自动或者手动切换能直接上线运行。
快速恢复
系统管理人员在坚持快速恢复系统的原则下，根据职责分工，加强团结协作，必要情况下与设备供应商、维护商、网络平台提供商以及系统集成商等共同谋求问题的快速解决。
及时反应，积极应对
出现信息业务故障时，值班人员应及时发现、及时报告、及时抢修、及时控制，积极对信息业务突发事件进行防范、监测、预警、报告、响应。
防范为主，加强监控
经常性地做好应对信息业务突发事件的思想准备、预案准备、机制准备和工作准备，提高基础设备、基础网络和重要信息系统的综合保障水平。加强对信息业务应用的日常监视，及时发现信息业务突发性事件并采取有效措施，迅速控制事件影响范围，力争将损失降到最低程度。
2.应急工作小组机构及职责 在网络事件的处理中，一个组织良好、职责明确、科学管理的应急队伍是成功的关键。组织机构的成立对于事件的响应、决策、恢复，防止类似事件的发生都具有重要意义。结合XXX单位信息系统的实际情况，将信息系统故障有关应急人员的角色和职责进行明确划分如下（图1）。
应急处理领导小组
及时掌握信息系统故障事件的发展动态，向上级部门报告事件动态；对有关事项做出重大决策；启动应急预案；组织和调度必要的人和外部资源等。
领导小组组长：
领导小组副组长：
领导小组成员：
应急处理工作小组
负责定期了解外部支持人员的变动情况，及时更新其技术人员及联系方式等信息；快速响应由硬件系统、软件系统、网络系统、机房环境系统故障以及地震、火灾、雷电、水灾等自然灾害引起导致信息业务系统中断事件；执行上述相关故障的诊断、排查和恢复操作；定期通过运行维护管理软件、系统运行报告等方式对信息业务系统的使用情况进行分析，尽早发现网络的异常状况，排除网络隐患。
工作小组组长：
工作小组成员：XXX部门全体人员
外部支持人员
包括网络运营商、设备供应维护商以及系统集成商等。负责事先向XXX单位提供紧急情况下的应急技术方案和应急技术支援体系；积极配合应急人员进行故障处理。
设备供应商、系统集成商、电信运营商、设备维保商等联系方式。
3.预警和预防机制3.1信息监测及报告信息系统的日常管理和维护
信息系统的日常管理和维护应加强信息业务应用的监测、分析和预警工作。
建立信息业务系统故障事故报告制度
发生信息业务系统故障时，值班人员应当立即向XXX部门负责人报告，并及时进行故障处理、调查核实、保存相关证据等。
3.2预警 在接到突发事件报告后，应当经初步核实之后，将有关情况及时向XXX单位报告，进一步进行情况综合，研究分析可能造成影响的程度，提出初步行动对策。由上级领导视情况紧急程度召集协调会，决策行动方案，发布指示和实施命令等。
3.3预警支持系统 应建立和完善信息监测、消息传递和指挥决策支持系统，保证突发事件处理过程中的资源共享、运转正常、指挥有力。
3.4预防机制 各关键业务信息系统建设要充分考虑抗毁性与灾难恢复，制定并不断完善应急处理预案。针对信息系统的突发性、大规模异常事件，各相关部门建立制度化、程序化的处理流程。
4.应急处理程序4.1信息系统突发事件分类分级的说明 根据信息系统突发事件的发生原因、性质和机理，信息系统突发事件主要分为以下三类:
1)攻击类事件：指信息系统因计算机病毒感染、非法入侵等导致业务中断、系统宕机、网络瘫痪等情况。
2)故障类事件：指信息系统因计算机软硬件故障、机房环境系统故障、人为误操作等导致业务中断、系统宕机、网络瘫痪等情况。
3)灾害类事件：指因爆炸、火灾、雷击、地震、台风等外力因素导致信息网络系统损毁，造成业务中断、系统宕机、网络瘫痪等情况。
按照突发事件的性质、严重程度、可控性和影响范围，将其分为一般故障、严重故障、重大故障、特级故障四级。
1)一般故障
信息系统中单个设备终端或单个外联单位软硬件故障，但未影响主业务系统运行，也未造成社会影响或经济损失的突发事件。
2)严重故障
信息系统中因某类业务节点软、硬件故障而导致部分业务中断，可能造成社会影响的突发事件。
3)重大故障
信息系统主业务瘫痪，导致业务系统长时间中断，可能造成重大社会影响和巨大经济损失的突发事件。
4)特级故障
特指发生不可预见的灾难性事故，如火灾、水灾和地震等。
4.2信息系统应急预案启动 根据以上定义的故障分级，当信息系统事件的要素满足启动应急预案要求时，进入相应的应急启动流程。
1)应急处理工作小组从业务人员的故障申告、运行维护管理系统的故障告警中得知信息系统异常事件后，应在第一时间派相关人员赶赴故障现场。
2)应急处理工作小组针对信息系统异常事件做出初步的分析判断。若是单个终端业务故障或者单个业务模块故障，比如IP地址更改、物理连线松动、某个业务算法参数调整或者能在最短时间内自行解决的问题，及时按照有关操作规程进行故障处理，并报领导小组备案；否则，应急处理工作小组将故障大致定性为硬件故障、线路故障、软件故障等故障之一，及时告知领导小组，并采取措施避免事件影响范围的扩大。
3)应急处理工作小组向领导小组报告，同时启动相应的应急预案。针对灾难事件和影响重要业务运行的重大事件，还要及时向上级机关进行报告。
4)应急处理工作小组根据故障类型及时与外部支持人员取得联系。其中，设备故障的，可与设备供应维护商和集成商联系；软件故障的，可与系统集成商联系，由系统集成商进行现场或远程技术支持；线路故障的，可与网络运营商联系，三方密切协作力求通信线路在短时间内恢复正常。
5)应急处理工作小组在上级机构或外部支持人员的配合下，充分利用应急预案的资源准备，采取有力措施进行故障处理，及时将信息系统恢复到正常状态。
6)应急处理工作小组通知业务部门信息系统恢复正常，并向领导小组报告故障处理的基本情况。重大事件形成文字资料，以书面形式向上级报告。
7)总结整个处理过程中出现的问题，并及时改进应急预案。
4.3现场应急处理1)如遇到预知外界因素（如定时、定点停电）影响信息系统的正常运行，将根据有关部门的通知，提前安排技术人员准备实施相关应急预案（如停电应急预案，详见《供电中断后的设备运行预案》），并进行现场维护，直至外界因素消除。
2)如遇到不可抗力因素（如火灾）造成的信息系统故障时，接到通知的值班人员要快速到达现场启动相关应急预案（如火灾应急预案，详见《人员疏散与机房灭火预案》），果断切断相关设备配电柜的电源，积极参与消除不可抗力因素，并及时将情况上报中心负责人。
3)如遇到一般故障、严重故障和重大故障，影响信息系统的正常运行，值班人员要迅速、及时地赶到现场，进行相应突发事件的应急处理，处理过程参照《故障处理流程》，见附件一。
5.保障措施5.1应急演练 为提高信息系统突发事件应急响应水平，定期或不定期组织应急预案演练；检验应急预案各环节之间的信息处理、协调、指挥等是否符合快速、高效的要求。通过演习，进一步明确应急响应各岗位责任，对预案中存在的问题和不足及时补充、完善。
5.2人员培训 为确保本应急预案有效运行，本中心定期或不定期地组织内部工程师参加专业的技术培训班或研讨交流会，以便不同岗位的应急人员能全面熟悉并熟练掌握突发事件的应急处理知识和技能。
5.3硬件资源保障 为了在信息系统发生故障时能够尽量降低业务系统的受影响程度，须为相应的核心业务系统提供必要的备份设备与备份网络等资源，并且配备与现有设备兼容的设备，确保相同或兼容的设备可以在应急情况下调配使用。备份设备需预先采购并保存在专门位置。这些备份设备可以实现热备的设备，要实行双机在线运行；不能实现热备的，要及时更新冷备份设备的配置，使之能快速顶替上。
5.4文档资料准备 包括信息系统小型机配置情况、存储配置情况、前置机配置情况、网络设备配置参数、网络系统拓扑图以及IP地址分布情况等。
5.5技术支持保障 建立预警与应急处理的技术平台，进一步提高信息系统突发事件的发现和分析能力，从技术上逐步实现发现、预警、处理、通报等多个环节和不同的业务网络、系统以及相关部门之间应急处理的联动机制。
5.6公众信息交流 在应急预案修订、演练的前后，利用各种信息渠道进行宣传，并不定期的利用各种活动，宣传信息系统突发事件的应急处理规程及其预防措施等应急常识。
6.信息系统安全防范措施6.1建立健全信息系统职责体系和规章制度 XXX部门负责各类信息系统的维护和技术支持以及其他的监控和维护；对相关监控信息的核实和处理；负责电力、空调、防火、防雷等基础设施的监控和维护。
XXX部门在处理信息系统突发事件中的职责：
1)综合协调在发生紧急事件时联络各相关人员到位并协调开展工作，并根据事件的严重程度向领导小组、公安部门或上级有关部门的报告或向全系统的通报；
2)负责各应用系统、数据库系统、网络系统的监控防范、应急处置和数据、系统恢复工作，以及信息安全事件的事后追查；
3)负责信息系统的安全防范、应急处置和恢复工作及安全事件的事后追查。
逐步健全完善各种信息安全管理制度，包括：
a)运行审批制度；
b)日志管理制度；
c)安全审计制度；
d)数据保护、安全备份、灾难恢复计划；
e)计算机机房及其他重要区域的出入制度；
f)硬件、软件、网络、媒体的使用及维护制度；
g)账户、密码、通信保密的管理制度；
h)有害数据及计算机病毒预防、发现、报告及清除管理制度。
6.2明确信息安全等级、信息安全保护等级 根据信息的性质和重要程度划分为四级：
A级，高敏感信息，实行绝对强制保护；
B级，敏感信息，实行强制保护；
C级，内部管理信息，实行自主安全保护；
党级，公共信息，实行一般安全保护。
根据确立的信息安全等级，依据国家颁布的《计算机信息系统安全保护等级划分准则》，确立计算及系统安全保护的五个等级，具体为：
第一级，用户自主保护级；
第二级，系统审计保护级；
第三级，安全标记保护级；
第四级，结构化保护级；
第五级，访问验证保护级。
6.3网络安全防范 本单位与外部相关部门联网尽量采用单独的网络设备和通信线路，采用物理隔离或防火墙逻辑隔离的方式交换数据，采用严格的通信控制策略并具备审计、记录等功能；内部计算级网络应与因特网物理隔离，如因多元化申报等原因需要与因特网相连，则必须配置多个高性能防火墙，并配置网闸；与电信、移动等部门签订网络通畅安全保障协议，确保在网络线路故障的情况下能够得到及时恢复；必须对主机或网络设备中不使用或较少使用的、存在安全隐患的服务进行关闭；对各类网络接入设备要采取具体严格的安全控制措施；在网络建设和改造时必须优先充分考虑到网络的安全性，要有足够的冗余或备份设备，一旦出现故障能够及时更换或维护；未经XXX部门许可，严禁将外来的计算机和其他终端设备接入XXX单位业务网络系统中；各类网络设备及关键主机设备的密码要有专人保管并有定期的变更机制；在未采取相应的加密措施之前，不得利用电子邮件传递涉及机密的信息。
6.4病毒安全防范 XXX单位的内网计算机设备，统一使用正版的杀毒软件，所有的外来软件或数据，必须先进行病毒检查才能安装和使用。
6.5软件系统安全防范 内网系统要按照XXX部门要求，原则上杜绝使用盗版软件；各类业务和应用软件要充分考虑到软件安全的要求，并进行安全性能的评估。
6.6数据安全防范 内网系统用户要按照XXX部门的统一规划和部署使用相关软硬件产品，相应的数据备份、恢复机制定期检查并实施；原则上备份介质的存储不能与主机系统在同一地域。
6.7设备安全防范 信息系统的设备都必须有较高的可靠性，特别是中心机房的服务器和中心网络设备、网络安全设备等关键设备要严格按照国家计算机信息系统安全相关标准进行采购，从源头上把好设备的性能安全关。各关键设备都要有冗余备份或相应配件，一旦设备出现故障能够及时维护、更换，确保不影响正常的开展和系统的运行。
6.8机房安全防范 现有主机房符合国家A类标准建设。具备放火、防雷、防静电、防电磁干扰设备；要有完备的环境控制设备和电源供应设备；要有严格的管理制度和值班制度，确保各类设备有一个良好的运行环境。
7.分类突发事件应急处理措施7.1黑客攻击时的紧急处置措施1)当有关值班人员发现业务系统或网站内容被纂改，或通过IPS系统发现有黑客正在进行攻击时，应立即向网络管理技术人员通报情况。
2)网络管理技术人员应在十分钟内赶到现场，并首先应将被攻击的服务器等设备从网络中隔离出来，保护现场，并同时向应急处理领导小组通报情况。
3)网络管理技术人员负责被攻击或破坏系统的恢复与重建工作。
4)网络管理技术人员会同相关支持人员追查非法信息来源。
5)网络管理技术人员组织相关支持人员会商后，向应急处理工作小组组长汇报有关情况。
6)应急处理工作小组组长如认为情况严重，应立即向应急处理领导小组汇报。
7)应急处理领导小组组长组织应急处理领导小组召开会议，如认为事态严重，则立即向公安部门或上级机关报警。
7.2病毒安全紧急处置措施1)当发现有计算机被感染上病毒后，应立即向安全管理技术人员报告，将该机从网络上隔离开来。
2)安全管理技术人员在接到通知后，应在十分钟内赶到现场。
3)对该设备的硬盘进行数据备份。用反病毒软件对该机进行杀毒处理，同时通过病毒检测软件对其他机器进行病毒扫描和清除工作。
4)如果现行反病毒软件无法清除该病毒，应立即向应急处理工作小组组长报告，并迅速联系有关产品商研究解决。
5)应急处理工作小组经会商，认为情况严重的，应立即向应急处理领导小组汇报。
6)应急处理领导小组经会商后，认为情况极为严重的，应立即向公安部门或上级机关报告。
7)如果感染病毒的设备是中心服务器系统，经领导小组同意，应立即告知各相关科室部门做好相应的清查工作。
7.3软件系统遭破坏性攻击的紧急处置措施 重要的软件系统平时必须存有备份，与软件系统相对应的数据有备份，并将他们保存在安全处。
1)一旦软件遭到破坏性攻击，应立即向网络管理技术人员、业务系统技术人员报告，并将该系统停止运行。
2)业务系统技术人员软件系统和数据的恢复。
3)网络管理技术人员检查日志等资料，确定攻击来源。
4)由业务系统技术人员向应急处理工作小组组长汇报。
5)应急处理工作小组组长认为情况严重的，应立即向应急处理领导小组汇报。
6)应急处理领导小组认为情况极为严重的，应立即向公安部门或上级机关报告。
7.4数据库安全紧急处置措施1)主要数据库应按双机热备设置，并至少要准备两个以上数据库备份，平时一个备份放在机房，另一个备份放在异地安全的场所。
2)一旦数据库崩溃，值班人员立即向业务系统领导报告。
3)值班人员应立即向集成商请求支援，同时通知相关科室部门暂缓使用业务系统和上传上报数据。
4)系统修复启动后，通知相关科室部门使用业务系统和上传上报数据。
7.5公司域网中断紧急处置措施1)网络备用设备应存放在指定的位置。
2)公司域网中断后，网络管理技术人员应立即判断故障节点，查明故障原因，并向应急处理工作小组组长汇报。
3)如属线路故障，应重新安装线路。
4)如属路由器、交换机等网络设备故障，应立即从指定位置将备用设备取出接上，并调试通畅。
5)如属路由器、交换机配置文件破坏，应迅速按照要求重新配置，并调试通畅。
6)并向应急处理领导小组汇报。
7.6设备安全紧急处置措施 服务器、存储设备等关键设备损坏后，值班人员应立即向硬件管理技术人员报告。
1)硬件管理技术人员立即查明原因。
2)如果能够自行恢复，应立即重新启用该设备。
3)如属不能自行恢复的，立即与设备提供、维护商联系，请求派维护人员前来维修。
4)如果设备一时不能修复，应向处理工作小组组长汇报，并告之相关科室部门，暂缓使用业务系统和上传上报数据。
5)同时向应急处理领导小组汇报。
7.7人员疏散与机房灭火预案1)一旦机房发生火灾，应遵循下列原则：首先确保人员安全；其次保护关键设备、数据安全；三是保护一般设备安全。
2)人员疏散的程序是：机房值班人员立即按响火警警报，并通过119电话向公安消防请求支援，所有不参与灭火的人员按照预定的路线，迅速从机房中有序撤出。
3)人员灭火的程序是：首先切断所有电源，启动自动气体灭火装置。
4)如果自动灭火未开启，在主机房大门外同时按下隔离开关和启动开关，启动灭火。
7.8供电中断后的设备运行预案 市供电局从不同供电所供了两路市电至中心机房，一路市电故障，不影响中心机房市电供电。
1)市电中断后，机房供电自动由UPS备用电源供电。
2)机房值班人员应立即查明原因，并向处理工作小组组长汇报情况。
3)如因大楼内部线路故障，请物业服务部门迅速恢复。
4)如果是供电局的原因，应立即与供电局联系，请供电局迅速恢复供电。
5)如果供电局告知需长时间停电，应作如下安排。
6)向应急处理领导小组汇报情况
7)市电恢复后关掉发电机，将开关向右打到中间停机位。
7.9关键人员不在岗的紧急处置措施1)对于关键岗位平时应做好人员储备，确保一项工作由两人能够操作。
2)一旦发生关键人员不在岗的情况，首先应向处理工作小组组长汇报情况。
3)经处理工作小组组长批准后，由备用人员上岗操作。
4)如果备用人员无法上岗，请求维保商、集成商或外部支持技术人员支援。
8.附则1)本预案所称信息系统突发事件，是指由于自然灾害、软硬件故障、内部人为失误或破坏等原因，信息系统正常运行受到严重影响，出现业务中断、系统破坏、数据破坏等现象，造成不良影响以及造成一定程度直接或间接经济损失的事件。
2)本预案通过演习、实践检验，以及根据应急历练变更、新技术、新资源的应用和应急事件发展趋势，及时进行修订和完善；所附的成员、联系方式等发生变化时也随时修订。
3)本预案自发布之日起实施。附件一：故障处理流程
故障处理流程目录
前言
一.信息安全保障体系总体方针和安全策略
1.总则
2.总体方针
3.网络与信息安全的基本概念
4.网络与信息安全的重要性和普遍性
5.网络与信息安全保障体系与安全策略
6.安全需求的来源
7.安全风险的评估
8.安全措施的选择原则
9.安全工作的起点
10.关键性的成功因素
11.安全策略综述
二.文件（制度）控制程序
1.术语与定义
2.信息安全组织机构
3.职责
4.文件的编制
5.文件的批准、发布
6.文件的发放
7.文件的归档
8.文件的作废和销毁
9.文件评审管理
三.安全检查管理制度
1.总则
2.检查内容
3.形式与方法
4.组织实施
5.程序与要求
四.
工作职责及岗位说明书
1.信息安全领导小组工作职责：
2.信息系统安全小组工作职责：
3.各组员工作职责：
4.关键岗位职责
五.
授权和审批管理制度
六.外部人员访问管理制度
1.总则
2.外部人员访问
3.外部人员访问的授权
七.安全培训教育策略
1.总则
2.安全要求
八.
机房安全管理制度
1.总则
2.机房出入管理
3.机房环境管理
4.机房介质管理
5.机房服务器管理
6.机房布线管理
7.机房网络设备管理
8.机房巡视管理：
9.机房进出设备管理
10.违规处理
九.资产安全管理制度
1.资产分类方法
2.资产标识
3.资产分级
4.资产的使用和管理
一十.
介质安全管理制度
1.总则
2.介质购置
3.介质使用及维护管理
4.介质定期检查
5.介质维修
6.介质的报废
一十一.设备安全管理制度
1.总则
2.设备购置
3.设备使用
4.设备管理
5.设备报废
一十二.软件项目外包管理办法
1.总则
2.管理职责
3.总体管理
4.项目立项
5.外包商选择
6.方案设计
7.开发过程管理
8.验收
9.正式运行
10.培训与售后服务
11.附则
一十三.
应用软件系统开发维护管理规定
1.总则
2.管理职责
3.审批程序
4.软件开发
5.项目上线管理
6.项目维护与变更
7.开发维护工作流程
8.附则
一十四.网络安全分项策略
总则
安全要求
一十五.系统安全管理制度
1.总则
2.安全要求
一十六.信息系统变更管理规定
1.总则
2.变更申请
3.变更评估
4.变更实施
5.变更归档
一十七.信息系统硬件设备维护管理制度
1.总则
2.机房内硬件设备维护
3.机房外设备的维护
一十八.数据备份和恢复管理制度
1.总则
2.数据备份
3.数据使用和恢复
4.备份数据转储
一十九.恶意代码防范管理制度
1.总则
2.安全要求
二十.信息系统应急预案
1.总则
2.应急工作小组机构及职责
3.预警和预防机制
4.应急处理程序
5.保障措施
6.信息系统安全防范措施
7.分类突发事件应急处理措施
8.附则