信息安全反违章工作手册

前言

A 安全管理制度

A-1 未明确信息安全总体方针和策略．

A-2 信息安全制度未说明安全工作的总体目标、范围、原则和安全框架

A-3 未制定信息系统运维人员和督查人员的日常操作规程

A-4 未定期对安全管理制度进行修编或评审

A-5未针对系统变更、重要操作、物理访问和系统接八等重要事项建立审批程序

A-6 安全管理员兼任网络管理员、系统管理员、数据库管理员等

A-7 安全运维员职责未包括定期对系统日常运行、系统漏洞和数据备份等情况进行检查

A-8 未在制度中明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等

A-9 未制定制度对网络安全配置、日志保存时间、安全策略、补丁升级与漏洞修补、口令更新等内容作出规定

B 人员安全管理

B-1 未签署保密协议，重要安全岗位人员离职时未签署保密协议

B-2 未制订安全培训计划

B-3 未开展覆盖全员的安全意识教育和培训

B-4 未对关键岗位人员进行全面、严格的安全审查和技能考核

B-5 员工离职、调动后未注销其在信息系统中所有的账号和访问权限

B-6 未对外部人员允许访问的区域、系统、设备、信息等内容进行书面规定，并未按照规定执行

B-7 未明确安全岗位录用要求

B-8 安全管理制度中无第三方人员管理内容．

B-9 操作时未严格执行“两票制度”

B-10 值班人员在工作时间擅自离岗

B-11 员工岗位变动造成人员信息变更时未及时通知信息系统运维人员

C 系统建设管理

C-1 无系统定级报告，未确定安全保护等级，导致不能按照相应等级要求进行安全防护

C-2未向行业监管部门和公安部门申请进行信息系统等级定级审批，无系统备案报告和公安部门备案记录

C-3 未评审业务系统的信息安全等级保护定级情况

C-4 未与信息系统外部合作单位签订保密协议及承诺书

……

D 系统运行管理

E 物理安全

F 网络及边界安全

G 主机安全

H 应用安全

I 数据安全及备份恢复

附录A 运行安全相关表单

附录B 信息系统操作票

附录C 信息系统工作票

《信息安全反违章工作手册（专业版）》旨在为广大员工对照检查和克服信息安全习惯性违章行为提供帮助。
　　针对普通信息系统用户和信息化工作人员等不同读者对象，《手册》分成了普及和专业两个版本。《信息安全反违章工作手册（专业版）》是专业版，整理出了安全管理制度、人员安全管理、系统建设管理、系统运行管理、物理安全、网络及边界安全、主机安全、应用安全、数据安全及备份恢复九类，共234种信息安全习惯性违章行为，并对每种行为提出了防范措施与建议。对广大信息技术与管理人员提高信息安全意识、*好地辨识和克服信息安全违章行为，起到很好的参考作用。