第一章 總則

第一條    為加強(qiáng)開(kāi)云在線登錄內(nèi)信息技術(shù)管理與規(guī)范，完善開(kāi)云在線登錄治理結(jié)構(gòu)，提高信息技術(shù)治理水平，特制定本管理辦法。

第二條    信息系統(tǒng)安全治理是指開(kāi)云在線登錄在運(yùn)用信息技術(shù)過(guò)程中，制定的有關(guān)信息系統(tǒng)安全決策權(quán)分配和責(zé)任承擔(dān)的框架，主要包括在信息系統(tǒng)安全原則、信息系統(tǒng)安全架構(gòu)、信息系統(tǒng)安全基礎(chǔ)設(shè)施、信息系統(tǒng)安全應(yīng)用和信息系統(tǒng)安全投入五個(gè)方面制定相關(guān)制度并建立有效工作機(jī)制，實(shí)現(xiàn)信息系統(tǒng)安全決策的責(zé)任和權(quán)力的有效分配與控制，提高信息系統(tǒng)安全資源的有效性、可用性和安全性。

第三條    信息系統(tǒng)安全治理是開(kāi)云在線登錄治理的重要組成部分，開(kāi)云在線登錄通過(guò)建立有效的信息系統(tǒng)安全治理機(jī)制，持續(xù)鞏固和提升信息系統(tǒng)安全能力，保持信息系統(tǒng)安全與業(yè)務(wù)目標(biāo)一致，合理利用信息系統(tǒng)安全資源，有效管理信息系統(tǒng)安全風(fēng)險(xiǎn)，確保開(kāi)云在線登錄信息系統(tǒng)建設(shè)和運(yùn)行的安全、高效、穩(wěn)定，確使信息系統(tǒng)安全能力成為提升開(kāi)云在線登錄服務(wù)能力的助推器。

第四條    本方案適用于開(kāi)云在線登錄所有與信息系統(tǒng)安全相關(guān)的所有活動(dòng)。

第二章 組織機(jī)構(gòu)與職責(zé)

第五條  開(kāi)云在線登錄成立計(jì)算機(jī)信息系統(tǒng)安全工作領(lǐng)導(dǎo)小組，領(lǐng)導(dǎo)小組下設(shè)圖書(shū)情報(bào)信息中心。圖書(shū)情報(bào)信息中心主要負(fù)責(zé)人是落實(shí)計(jì)算機(jī)信息系統(tǒng)安全管理制度的第一責(zé)任人。

第六條  圖書(shū)情報(bào)信息中心負(fù)責(zé)制定全開(kāi)云在線登錄計(jì)算機(jī)信息系統(tǒng)安全管理的辦法和規(guī)定，協(xié)調(diào)和處理全開(kāi)云在線登錄有關(guān)計(jì)算機(jī)信息系統(tǒng)安全的重大問(wèn)題。

第七條  開(kāi)云在線登錄圖書(shū)情報(bào)信息中心負(fù)責(zé)全開(kāi)云在線登錄計(jì)算機(jī)信息系統(tǒng)安全的監(jiān)督、安全事故的偵查和處罰；負(fù)責(zé)制定本開(kāi)云在線登錄計(jì)算機(jī)信息系統(tǒng)安全管理制度、技術(shù)規(guī)定、控制措施等，并檢查執(zhí)行情況；負(fù)責(zé)對(duì)計(jì)算機(jī)病毒感染的預(yù)防、檢測(cè)和清除；負(fù)責(zé)定期維護(hù)計(jì)算機(jī)軟件和數(shù)據(jù)、對(duì)重要信息定期進(jìn)行檢查和備份；負(fù)責(zé)制定計(jì)算機(jī)信息系統(tǒng)安全管理辦法的實(shí)施細(xì)則和技術(shù)規(guī)范，并督促執(zhí)行。與人事部協(xié)同組織對(duì)計(jì)算機(jī)信息系統(tǒng)安全管理人員的培訓(xùn)；開(kāi)展計(jì)算機(jī)信息系統(tǒng)安全宣傳教育。

第八條  開(kāi)云在線登錄分管信息化工作的負(fù)責(zé)人和信息技術(shù)管理人員，必須在接受專(zhuān)門(mén)的計(jì)算機(jī)信息安全培訓(xùn)后，方能從事計(jì)算機(jī)信息安全管理工作。

第三章 信息安全治理原則和目標(biāo)

第九條  信息系統(tǒng)安全原則是指導(dǎo)開(kāi)云在線登錄有效運(yùn)用信息系統(tǒng)安全來(lái)實(shí)現(xiàn)開(kāi)云在線登錄服務(wù)目標(biāo)的基本方針。根據(jù)開(kāi)云在線登錄服務(wù)目標(biāo)，確定開(kāi)云在線登錄信息系統(tǒng)安全原則如下：

1.     滿足和推動(dòng)服務(wù)業(yè)務(wù)發(fā)展；

2.     對(duì)新應(yīng)用快速實(shí)現(xiàn)；

3.     信息系統(tǒng)安全架構(gòu)完整、統(tǒng)一；

4.     數(shù)據(jù)集中、信息共享；

5.     控制成本，提高工作效率；

6.     利用國(guó)家標(biāo)準(zhǔn)規(guī)范開(kāi)云在線登錄管理；

第十條  為有效開(kāi)展信息系統(tǒng)安全治理工作，確保開(kāi)云在線登錄能夠利用信息系統(tǒng)安全增強(qiáng)服務(wù)能力。根據(jù)開(kāi)云在線登錄運(yùn)營(yíng)規(guī)劃，確定開(kāi)云在線登錄信息系統(tǒng)安全治理目標(biāo)如下：

1.     明確信息系統(tǒng)安全決策的權(quán)力和責(zé)任；

2.     實(shí)現(xiàn)技術(shù)和業(yè)務(wù)的有效匹配；

3.     實(shí)現(xiàn)信息系統(tǒng)安全資源的最優(yōu)配置；

4.     實(shí)現(xiàn)信息系統(tǒng)安全風(fēng)險(xiǎn)的可管可控。

第十一條          圖書(shū)情報(bào)信息中心制定公開(kāi)、可行的信息系統(tǒng)安全治理流程，建立開(kāi)云在線登錄業(yè)務(wù)與信息系統(tǒng)安全之間清晰的聯(lián)系框架，采取有效措施，使開(kāi)云在線登錄管理層和各相關(guān)部門(mén)的人員了解并認(rèn)同開(kāi)云在線登錄的信息系統(tǒng)安全原則和治理目標(biāo)。

第十二條          圖書(shū)情報(bào)信息中心根據(jù)開(kāi)云在線登錄發(fā)展需要組織制定信息系統(tǒng)安全規(guī)劃。信息系統(tǒng)安全規(guī)劃應(yīng)與開(kāi)云在線登錄發(fā)展保持一致，符合開(kāi)云在線登錄運(yùn)營(yíng)對(duì)信息系統(tǒng)安全的要求，并使技術(shù)和業(yè)務(wù)部門(mén)能正確地理解和把握開(kāi)云在線登錄對(duì)信息系統(tǒng)安全的要求。

第十三條          信息系統(tǒng)安全規(guī)劃在有效性、可用性和安全性方面應(yīng)滿足開(kāi)云在線登錄可預(yù)見(jiàn)的業(yè)務(wù)發(fā)展要求，應(yīng)在容量、性能和安全保障方面做出規(guī)定。

 

第四章 信息系統(tǒng)安全措施

第十四條            不得收集、研究、編制、復(fù)制、傳播計(jì)算機(jī)病毒，發(fā)現(xiàn)計(jì)算機(jī)病毒要及時(shí)向開(kāi)云在線登錄圖書(shū)情報(bào)信息中心報(bào)告。

第十五條            不得在計(jì)算機(jī)及網(wǎng)絡(luò)上制作、查閱、復(fù)制、傳播或執(zhí)行違反國(guó)家法律法規(guī)和開(kāi)云在線登錄部署有關(guān)規(guī)定、危害國(guó)家和開(kāi)云在線登錄安全的軟件或信息。

第十六條            不得在計(jì)算機(jī)及網(wǎng)絡(luò)上制作、查閱、復(fù)制、傳播或執(zhí)行含有宣揚(yáng)封建迷信、淫穢色情、兇殺、教唆犯罪等危害社會(huì)治安秩序內(nèi)容的信息。

第十七條            不得利用電子公告服務(wù)制作、復(fù)制和傳播謾罵、侮辱或誹謗開(kāi)云在線登錄和個(gè)人的信息。

第十八條            涉及國(guó)家或開(kāi)云在線登錄機(jī)密的信息，必須采取有效的保密措施，按照有關(guān)保密規(guī)定進(jìn)行采集、存儲(chǔ)、處理、傳輸、使用和銷(xiāo)毀。重要信息必須從物理上進(jìn)行隔離，并根據(jù)需要進(jìn)行必要的數(shù)據(jù)加密。

第十九條            對(duì)計(jì)算機(jī)機(jī)房及其它重要區(qū)域須建立出入制度。

第二十條            對(duì)關(guān)鍵應(yīng)用系統(tǒng)及數(shù)據(jù)的修改和備份須建立審批制度、日志管理制度、安全審計(jì)制度、系統(tǒng)備份制度。

第二十一條     建立帳戶、密碼的管理制度，嚴(yán)格管理操作系統(tǒng)、重要信息應(yīng)用系統(tǒng)的用戶口令和訪問(wèn)權(quán)限，建立和健全系統(tǒng)訪問(wèn)日志，保證信息共享的安全性。

第二十二條     在網(wǎng)絡(luò)上開(kāi)展電子公告服務(wù)的開(kāi)云在線登錄，必須對(duì)用戶實(shí)行帳戶管理和建立相應(yīng)的信息管理制度。申請(qǐng)帳戶需填寫(xiě)提供真實(shí)姓名和所在部門(mén)等資料，經(jīng)一定的核實(shí)程序，方能成為電子公告服務(wù)的合法用戶。

第二十三條     對(duì)服務(wù)器系統(tǒng)軟件和個(gè)人計(jì)算機(jī)操作系統(tǒng)須及時(shí)進(jìn)行版本升級(jí)或安裝補(bǔ)丁程序，杜絕系統(tǒng)級(jí)的安全漏洞。

第二十四條     建立計(jì)算機(jī)網(wǎng)絡(luò)病毒防治系統(tǒng)和計(jì)算機(jī)病毒預(yù)防、發(fā)現(xiàn)、報(bào)告及清除管理制度。

第二十五條     計(jì)算機(jī)機(jī)房應(yīng)符合國(guó)家標(biāo)準(zhǔn)和其它有關(guān)規(guī)定，必須有防火、防盜、防水、防靜電、防雷擊、防鼠害等安全措施。在計(jì)算機(jī)機(jī)房附近施工，不得危害計(jì)算機(jī)的安全。 

第五章 信息系統(tǒng)安全體系

第二十六條     一個(gè)全方位的計(jì)算機(jī)網(wǎng)絡(luò)安全體系結(jié)構(gòu)包含網(wǎng)絡(luò)的物理安全、訪問(wèn)控制安全、系統(tǒng)安全、用戶安全、信息加密、安全傳輸和管理安全等。充分利用各種先進(jìn)的主機(jī)安全技術(shù)、身份認(rèn)證技術(shù)、訪問(wèn)控制技術(shù)、密碼技術(shù)、防火墻技術(shù)、安全審計(jì)技術(shù)、安全管理技術(shù)、系統(tǒng)漏洞檢測(cè)技術(shù)、黑客跟蹤技術(shù)，在攻擊者和受保護(hù)資源間建立多道嚴(yán)密的安全防線，增加惡意攻擊的難度，并增加審計(jì)功能，利用這些審核信息可以跟蹤入侵者。

 

網(wǎng)絡(luò)安全五層體系	安全技術(shù)、建議	應(yīng)對(duì)措施
網(wǎng)絡(luò)安全	防火墻、網(wǎng)絡(luò)監(jiān)管系統(tǒng)、訪問(wèn)控制系統(tǒng)	建立完善的網(wǎng)絡(luò)訪問(wèn)控制措施，安裝防火墻對(duì)敏感設(shè)備和數(shù)據(jù)建立必要的隔離措施     加強(qiáng)主機(jī)本身的安全，對(duì)主機(jī)進(jìn)行安全監(jiān)管，對(duì)系統(tǒng)資源的訪問(wèn)進(jìn)行有效控制 對(duì)局域網(wǎng)內(nèi)部的服務(wù)器群組進(jìn)行訪問(wèn)控制、入侵防御等安全措施
系統(tǒng)安全	入侵檢測(cè)系統(tǒng)	基于內(nèi)容實(shí)時(shí)對(duì)網(wǎng)絡(luò)活動(dòng)進(jìn)行檢測(cè)，并能對(duì)非法訪問(wèn)及時(shí)阻斷 通過(guò)檢測(cè)中發(fā)現(xiàn)的漏洞，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中存在的安全隱患 對(duì)網(wǎng)絡(luò)中的異常流量以及蠕蟲(chóng)病毒進(jìn)行準(zhǔn)確地定位，及時(shí)地報(bào)警，維護(hù)網(wǎng)絡(luò)的正常運(yùn)行
賬號(hào)安全	互聯(lián)網(wǎng)安全認(rèn)證接入系統(tǒng)	對(duì)網(wǎng)絡(luò)用戶的身份進(jìn)行認(rèn)證，保證內(nèi)部任何訪問(wèn)的合法性 使用集中管理，防止因不安全密碼泄漏帶來(lái)的安全威脅
內(nèi)容安全	內(nèi)容審計(jì)系統(tǒng)	檢測(cè)并跟蹤入侵攻擊等，以便建立詳細(xì)的安全審計(jì)日志

第六章 信息系統(tǒng)安全監(jiān)督和處罰

第二十七條     所有使用計(jì)算機(jī)的人員應(yīng)積極配合開(kāi)云在線登錄圖書(shū)情報(bào)信息中心對(duì)計(jì)算機(jī)安全事故的查處。

第二十八條     圖書(shū)情報(bào)信息中心應(yīng)定期檢查計(jì)算機(jī)的使用安全情況，發(fā)現(xiàn)有安全隱患的，應(yīng)及時(shí)責(zé)成和協(xié)助使用部門(mén)或個(gè)人進(jìn)行整改。

第二十九條     對(duì)計(jì)算機(jī)信息系統(tǒng)安全隱患嚴(yán)重，又不采取整改措施的，圖書(shū)情報(bào)信息中心有權(quán)責(zé)令其停機(jī)整改。

第三十條           對(duì)于利用電子公告服務(wù)制作、復(fù)制和傳播謾罵、侮辱或誹謗開(kāi)云在線登錄和個(gè)人信息的，將依據(jù)開(kāi)云在線登錄有關(guān)規(guī)定和國(guó)家有關(guān)法律追究當(dāng)事人的責(zé)任。

第三十一條     發(fā)生其它計(jì)算機(jī)信息系統(tǒng)安全事故的責(zé)任人或當(dāng)事人將給予行政處分，情況嚴(yán)重的，移交公安機(jī)關(guān)懲處。

第七章 附則

第三十二條     本方案由圖書(shū)情報(bào)信息中心負(fù)責(zé)解釋。

第三十三條     本方案自發(fā)布之日起執(zhí)行。