信息系统终端安全管理细则

新能源（集团）股份有限公司
信息系统终端安全管理细则
第一章总则
第一条为加强对新能源（集团）股份有限公司（以下简称公司）各类信息系统终端设备的安全管理，规范公司信息系统终端用户的行为，降低来自终端的安全威胁，确保公司信息系统及网络的安全和正常运行，根据国家有关法律、法规和《集团有限公司信息系统终端安全管理细则》《新能源有限公司网络安全管理办法（试行）》等制度，制定本细则。

第二条本细则所称终端是指需要使用公司信息系统及网络环境的讣算机（如台式计算机、便携讣算机等）、各类移动智能终端（如平板电脑、智能手机）等所有终端设备。

第三条公司遵循“谁主管、谁负责；谁运营、谁负责；谁使用、谁负责；谁接入、谁负责”的总体原则，层层落实信息系统终端安全管理的各项责任。

第四条本细则适用于公司本部，各区域管理机构、直管子公司（以下简称各单位）。

第二章职责与分工
第五条公司网络安全与信息化领导小组办公室（以下简称网信办），作为网信领导小组的日常办事机构，设在公司信息中心，负责公司终端安全管理指导、检查工作，具体包括：（-）组织制订公司信息系统终端安全管理制度；
（二）定期组织检查和评价各部门、各单位对于本细则的执行情况；
（三）指导各部门、各单位开展信息系统终端安全管理相关工作，对各部门、各单位制订的有关信息系统终端安全管理规范和技术方案进行审核、接受备案。

第六条信息中心负责落实公司终端安全管理有关制度，负责公司总部各部门信息系统终端安全技术管理工作。

第七条各单位负责本单位的信息系统终端安全管理工作，为本单位终端用户提供技术支持，将本单位有关信息系统终端安全方面的规划、技术方案报公司网信办备案。

第八条终端用户是指通过各种终端设备使用集团公司和公司信息系统的公司员工和公司外来人员，其主要职责和义务如下：
（-）接入公司网络时必须接受身份实名认证；
（二）对日常使用的终端做好安全防护措施，按要求设置终端开机（账号）口令；
（三）严格遵守国家网络安全法律法规和集团公司及公司相关规定，严格执行保密制度，不得利用终端从事危害国家安全、泄露国家机密和损害公司利益的违法犯罪活动。

第三章计算机终端安全管了
第九条公司计算机终端命名规定
（一）计算机终端按照统一命名规则进行命名，终端用户名（即计算机名）命名规则为：地域-域账号名，如BJ-zhang^sano （如用户名长度超过15位, 则命名规则为：地域-姓全拼+名字拼音首字母）
（-）终端用户应设置系统的开机密码和屏幕保护密码；
（二）终端用户应严格管理操作系统账号，关闭Guest和匿名账号，及时删除长期不用的系统账号和测试账号;
（三）终端用户应遵守《新能源有限公司网络安全管理办法（试行）》制度规定，加强账号密码及防病毒管理；
（四）控制对网络共享资源的使用，关闭磁盘或LI录的网络共享服务，需临时交换文件
进行共享时应加上口令认证，交换完毕后应及时关闭共享H录；
（五）所有终端应在本地安全策略中开启“审核登录事件”、“审核系统时间”、“审核账户登录事件”中的“成功、失败”项；
（六）终端使用完毕或者临时离开时，应将终端系统锁屏，长时间离开及下班时，应将系统关机，对用于非24小时监控用途的计算机，下班后应及时关闭；
（"t） Windows操作系统终端应接收公司统一安全策略，开启Windows自带防火墙和补丁自动升级功能，其它操作系统的终端按同样安全标准执行；
（A） Windows操作系统终端，使用IE浏览器，不得安装其它浏览器，其它操作系统终端仅使用其缺省的浏览器；
（九）所有终端在重新安装操作系统后必须首先进行安全补丁的修补；
（十）所有接入公司网络的终端不得私自同时将终端通过无线方式接入互联网；
（十一）不得在终端上制作、下载、查阅、复制、发布、传播或者以其他方式使用含有法律法规及相关安全、保密管理规定禁止内容的信息；
（十二）涉密终端必须与互联网严格的物理隔离，严格实行专机专管、专机专用；
（十三）禁止使用公司配备的终端玩电子游戏及做其他与工作无关的事情；
（十四）终端IP地址Ill DHCP服务器分配，用户不得擅自修改终端IP地址。

第十一条软件安装使用
（-）所有终端应按照公司的规定，统一安装操作系统、办公软件、网络防病毒、终端安全管理等基础软件，不得擅自卸载；
（二）终端用户对所使用的软件负有保护责任，不得在未经许可的情况下，擅自将终端的软件进行复制、存储、传送或删除；
（三）终端用户应严格按照要求及时对所安装的应用软件进行漏洞补丁的升级、关键补丁的更新，及客户端软件的升级更新；
（四）终端用户不得擅自在终端上安装、执行盗版或与工作无关的软件，也不得安装或执行未经安全审核的软件或程序，禁止终端用户使用口令破解程序、网络监听软件和端口扫描软件等网络安全工具，执行用户口令破解、网络流量监听、网络安全漏洞扫描等操作；
（五）外来终端需履行报备手续。

第十二条病毒防护规定
（-）接入公司信息系统的所有终端必须安装集团公司统一部署的网络防病毒软件，不得停止或卸载网络杀毒软件；
（二）接入集团公司和公司信息系统的所有终端必须接受集团公司防病毒服务器下发的扫描策略，为确保各终端和主机系统的安全性，终端用户不得擅自停止或关闭防病毒扫描进程；
（三）所有终端用户不得擅自安装第三方防病毒软件；
（四）安装新软件，从互联网下载程序、数据或使用移动介质进行数据交换时，应进行计算机病毒检测和安全审核；
（五）终端用户应自觉加强电子邮件的管理，不使用公众邮箱接收、存储和转发企业内部邮件，及时检测、清除带毒或不明来历的邮件；
（六）终端用户应留意网络安全公告，对异常情况密切关注，对感染病毒的终端应及时断网清除；
（七）终端用户遇到无法查杀的病毒、异常情况或已造成系统瘫痪、程疗;和数据严重破坏，应及时逐级报告，以便查出病毒源，釆取阻止病毒爆发和扩散措施；
（八）当需要从外部渠道下载或拷贝任何文件时，必须先对下载或拷贝对象做病毒扫描，确认安全后再执行下一步操作；
（九）当互联网爆发大规模病毒事件时，为保障集团公司和公司信息系统的正常运行，信息中心将通过内网发布相关病毒及防护措施公告，如有需要，将会暂时关闭信息系统所有计算机的部分通信端口或阻止某些特征电子邮件，当新的病毒定义码更新后，公司网络将恢复正常通信。

第十三条终端设备数据安全措施
（-）应对终端设备定期做好重要数据的备份工作，备份前先查杀病毒；
（二）应对含有敏感信息的网络拓扑文件，存储主机、网络设备、数据库、应用系统等系统管理员账号和口令文件进行加密或设置口令存储；
（三）除专业维护人员外，任何人不得随意拆卸终端设备；
（四）终端设备到期更换、故障送修前，终端用户在备份用户数据后，应自己或请专业技术服务人员协助清除硬盘上的用户数据，防止企业信息外泄，存储涉密信息的终端，按公司保密规定办理；
（五）终端报废处理时，应将硬盘数据清除，或将硬盘拆除进行集中保管或销毁。

第四章移动智能终端安全管理
第十四条移动智能终端，应设置开机密码，并满足密码管理要求。

第十五条移动智能终端应通过应用虚拟化平台或集团公司和公司移动办公系统使用应用系统。

第五章终端安全合规性检査
第十六条网信办将定期组织专人进行终端安全的合规性检查：
（-）终端安全配置的规范性；
（二）终端接入和访问控制的规范性；
（三）终端安全使用的规范性；
（四）终端设备维护管理的规范性。

第十七条每次终端安全合规性检查完毕后，将进行惜况汇总、分析，形成合规性检查报告。

第十八条终端部署流程
（-）公司总部终端设备到货后，由信息中心对终端的基础软件进行安装；各单位终端设备到货后，山各单位承担信息化管理职责的部门对终端的基础软件进行安装；
（二）连接企业网络但不连互联网的情况下，逐一安装操作系统的最新系统漏洞补丁；
（三）连接企业网络但不连互联网的情况下，对网络杀毒软件病毒库进行升级，并进行一次病毒查杀；
（四）根据本细则第三章中的命名规范对终端进行命名；
（五）安装通软终端安全管理软件，并进行实名注册；
（六）根据系统安全规定，执行统一安全策略。

如：禁用Guest账号，并根据密码强度策略设置用户初始登陆密码。

告知用户后，提醒用户立即更改初始登录密码并定期修改密码；
（七）在本地安全策略开启“审核登录事件”"审核系统时间”“审核账户登录事件”中的“成功、失败”项；
第十九条终端安全检査流程
网信办不定期进行用户终端安全检查，检查流程如下：
（-）检查是否安装通软终端安全管理软件；
（二）检查终端操作系统补丁是否打全、是否为最新，是否存在共享资源；
（三）检查终端是否安装了集团统一部署的杀毒软件并对终端进行病毒扫描, 检査主机是否存在病毒；
（四）检查主机是否按照本细则第三章中的命名规范命名；
（五）检查终端软件安装惜况，确认所安装的软件是否有合法授权或为免费软件；
（六）检查终端账号及口令安全策略设置是否合规；
（七）检查“登陆事件”及“账号登录事件”日志，是否存在异常情况；
（八）信息安全管理人员根据检查的实际情况填写《终端安全检查表》（见
附件），并提交给网信办统一备案。

第六章罚则
第二十条对未及时检测、排除安全隐患，清除终端病毒，造成病毒大面积传播或对集团
公司和公司信息系统造成危害的，网信办将进行通报批评并责令改正。

第二十一条对违反本办法，逾期不改正的，信息中心将断开其终端与企业网的连接。

第二十二条若有因安装第三方非授权软件引起的法律纠纷由终端用户个人承担责任，网信办将按照相关规定进行相应处罚。

第七章附则
第二十三条各单位可根据本细则并结合自身实际制定相应的细则。

对需要使用集团公司和公司信息系统的设计、监理、施工、厂商、服务提供商等外部单位, 其信息系统终端安全管理可参照本细则执行。

第二十四条本细则为公司三级管理制度，由信息中心负责起草和修订，经总经理办公会审议通过后发布。

第二十五条本细则山信息中心负责解释。

第二十六条本细则自发布之日起施行。

附件：终端安全检查表
附件
终端安全检查表。