海油信息安全管理要求

精心整理1目的

规范计算机及计算机网络信息安全管理，提高信息安全保障能力和水平，维护国家及企业安全。2适用范围

公司机关及所属单位。

3编制依据

3.1

3.2

3.3

3.4

3.5

4

4.1

4.2

5

5.1

5.1.1

做好记录。

5.1.1.6各单位应对本单位信息系统的信息进行审查、检查和复查，确保信息的合法性、合规性。

5.1.1.7员工对所使用的终端、网络设施及其中的信息安全、账号安全、账号权限内的信息安全和上网行为负责，员工终端中严禁存储涉密(此处涉密系指涉及国家秘密，下同)信息，终端中的商密文件不可设置为共享，工作邮箱电子邮件的收发要进行病毒查杀。

5.1.1.8员工发现异常或发现其他人员非法使用计算机时，有及时向所属单位或公司报告的责任。

5.1.1.9各单位要对移动存储介质进行登记、编号，移动存储介质要经IT支持服务中心检测合格、注册后入网使用。

5.1.1.10涉及国家或企业秘密信息的存储、传输等应指定专人负责，并严格执行国家、中国海油及公司有关保密的法律、法规和相关管理规定。

5.1.1.11涉密信息未经批准，不得在网络上发布或通过明码（明文）传输。

5.1.2信息加密管理

5.1.2.1涉及国家秘密的信息，其电子文档资料须加密存储。

5.1.2.2涉及国家和公司利益的敏感信息的电子文档资料应当加密存储。

5.1.2.3涉及国家秘密、国家与公司利益和社会安定的秘密信息和敏感信息，在传输过程中应遵守国家的有关规定，视情况采用文件加密传输或链路传输加密。

5.1.2.4适度采用先进的加密解密技术对公司其他电子文档和数据进行加密管理。

5.1.3用户账号(ID)管理

5.1.3.1信息系统管理系统中或运维支持体系中应包括账号管理流程。

5.1.3.2信息系统用户要严格管理账号，不得把自己账号外借他人使用、不得在电脑、屏幕和办公桌上贴条暴露账号信息，禁止索要、盗取、使用、传播任何未经授权使用的账号。

5.1.4

5.1.5

5.2

5.2.1数据、

5.2.2

b)信息安全；

c)信息系统安全。

5.2.3在使用员工信息系统前，员工应签署信息系统使用安全保密协议。

5.2.4员工有保护办公计算机和设备物理安全的责任和义务，并按规定正确放置、保管、使用和归还员工信息系统，具体要求如下：

a)妥善保存可移动设备，不得存放涉密信息；

b)使用便携式计算机的员工，应当保管好计算机，防止遗窃；

c)避免环境对计算机设备的损害，比如食物、烟火、液体、极高和极低湿度、极高和极低温

度等；

d)禁止安装、使用未经授权的非公司标准软件和硬件；

e)信息技术支持部门负责设备的安装、拆卸、更改和迁移，员工不得自行进行以上操作；

f)员工应当认真保管公司分配的电子设备，未妥善保管而致丢失或损害的，应赔偿。

5.2.5员工在使用公司提供的互联网和员工信息系统时，应注意合法、安全和保密，具体要求如下：

a)员工根据公司有关规定申请互联网和员工信息系统的使用权；

）、10

5.2.6

d)员工发现计算机感染病毒时应当立刻关闭计算机，并报告1331服务热线或本单位的技术支

持部门；

e)员工在向信息系统上传数据前要做好查毒、杀毒工作，确保信息文件无毒上传；

f)移动办公计算机，应当定期接入公司企业网更新病毒库和查杀病毒；

g)外来移动存储介质应检查病毒、杀毒、检测并注册后，方可使用。

5.2.7员工应采取有效访问控制措施，以确保访问安全，具体要求如下：

a)员工应明确和采取措施，保护办公计算机不受非法进入；

b)员工有合法使用和保护各类系统密码的权利和义务；

c)应妥善保管计算机设备账号和密码；

d)必须设置屏保及密码，屏保等待时间小于15分钟，并在离开计算机时注销登录、启动屏保；

e)不能使用容易被人破解的密码；

f)应定期更改密码；

g)不得向其他人公开密码，在别人有可能已经获知密码时，须立刻更改密码，不得将密码记

录在容易获得的地方；

h)不得索要、盗取、使用、传播他人的任何账号和密码。

5.2.8员工在使用信息系统时应确保信息安全，具体要求如下：

a)员工不得通过互联网传递属于国家和公司保密规定范围内的任何信息；

b)员工应对终端内公司业务文件数据的完整和安全负责，包括保护公司的信息和软件；

c)公司商秘数据不得保留在私人计算机中；

5.2.9

的安全：

1)仅通过信息技术部门提供的加密漫游账户接入公司网络；

2)安装并启用公司规定的防病毒软件，并保证及时更新；

3)安装并启用公司规定的防火墙软件；

4)保管好计算机、密码。

5.2.11应当加强对第三方人员使用本公司信息系统的管理，具体要求如下：

a)严格控制第三方人员在公司内使用计算机和网络；

b)第三方人员必须签订保密协议，限制必要的访问权限（如公司内部网络访问权限、VPN访

问权限等），规定使用期限，明确公司内责任人；

c)第三方人员使用本公司信息系统时，应遵守本规定。

5.3对外网站安全管理

5.3.1对外网站信息系统管理员应当严格按照制度规定实施管理，负责网站防病毒、防黑客攻击及为网站的运行提供技术支持与保障。

5.3.2对外网站信息系统管理员须及时向对外网站负责人报告网站信息安全事件及处理情况。

5.3.3对外网站负责人须及时向公司保密办公室报告网站发生的重大安全事件，包括但不限于：

a)对外网站被黑客攻击；

b)对外网站出现违法、不良信息；

5.3.4

5.3.5

5.4

5.4.1

5.4.2

5.4.3

5.4.4

5.4.5

5.4.6

5.4.7重要系统的安全补丁测试内容包括安全补丁安装测试、安全补丁功能性测试、安全补丁兼容性测试和安全补丁回退测试：

a)安装测试主要测试安全补丁安装过程是否正确无误，安全补丁安装后系统是否正常启动；

b)安全补丁功能性测试主要测试安全补丁是否修补了安全漏洞；

c)安全补丁兼容性测试主要测试安全补丁安装后是否对应用系统带来影响，是否可正常运

行。

d)安全补丁回退测试主要包括安全补丁卸载测试、系统还原测试。

5.4.8系统管理员负责实施重要系统安全补丁测试工作，测试完成后需给出明确的书面测试结论。

5.4.9经测试并经系统责任人测试并审核通过的安全补丁方可安装到生产系统。

5.4.10从安全漏洞发布到安全补丁安装前，信息系统管理员应视需要采取应急措施加强网络安全，各相关信息系统应根据建议采取适当的防护措施，并加强对系统的监控，及时发现和报告安全事件。

5.4.11安全补丁安装前，应做好数据备份，确保任何操作都可回退，在到达回退时间安全补丁安装没有完成时，启动回退操作，保证系统正常运行。

5.4.12安全补丁应在信息系统业务空闲时间安装。

5.4.13安装核心信息系统的安全补丁，应当要求厂商工程师现场支持。

5.4.14安全补丁安装完成后，信息系统管理员须查看系统信息，确保安全补丁已成功安装。

5.4.15信息系统管理员须严格测试安装安全补丁后的系统，包括：安全补丁安装后系统的性能，各项业务操作是否正常。

况。

5.5

5.5.1

5.5.2

5.5.3

5.5.4

5.5.5

安全需求、符合等级保护要求的《信息系统安全设计子方案》，内容包括但不限于：

a)按子系统描述系统的安全体系结构；

b)描述每一个子系统所提供的安全功能；

c)标识所要求的任何基础性的硬件、固件或软件，及其支持性保护机制提供的功能表示；

d)描述子系统所有接口的用途与使用方法，并适当提供影响、例外情况和错误消息的细节；

e)确保子系统（包括但不限于：外购系统以及自主开发系统）的安全功能指标满足系统安全

需求及等级保护要求。

5.5.6立项单位和建设单位应根据系统的安全保护等级选择基本安全措施，并依据风险分析的结果补充和调整安全措施。

5.5.7立项单位和建设单位应根据信息系统的等级划分情况，统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案，形成配套文件。

5.5.8立项单位和建设单位应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的合理性和正确性进行论证和审定，且经过信息安全负责人批准后，方可正式实施。

5.5.9立项单位和建设单位应根据等级测评、安全评估的结果定期调整和修订总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件。

5.5.10立项单位和建设单位应指定或授权专门的部门或人员负责管理工程实施过程，应按照信息系统安全设计方案要求，实施信息系统。

5.5.11立项单位和建设单位应制定工程实施方面的管理制度，明确说明实施过程的控制方法和人

估，

5.5.21信息系统等级保护管理遵照《信息系统安全等级保护工作实施细则》（AM-01-08-02）执行。

5.5.22流程图和内控活动列表

依据本章节内容制定的信息系统安全测试的流程图见附件7.3、信息系统安全测试的内控活动列表见附件7.4。

5.6备份和灾备管理

5.6.1公司统一指导、组织信息系统备份及灾备中心的管理。

5.6.2IT支持服务中心应建立信息系统备份系统、灾备中心、管理细则和流程(包括灾难备份恢复应急预案及演练计划)，确保信息系统安全备份、灾备、运维和演练。

5.6.3IT支持服务中心应每半年开展备份系统、灾备中心演练和评估、验证数据可用性，根据演练、评估和验证情况，对应急预案和计划进行修订。

5.6.4IT支持服务中心应记录灾备中心的运行情况，每季度向公司提交运行情况报告。

5.7执行要求

5.7.1各单位应制定信息系统安全管理细则或流程，内容应包括安全管理策略、工作内容、责任和应急预案。

5.7.2各单位应加强对信息系统开发过程的信息安全管理，确保信息系统及其开发过程的安全性，应建立开发过程的安全控制措施,内容应包括：

a)应在信息系统开发项目的可行性研究分析中包括信息安全方面的内容；

5.7.3

5.7.4

5.7.5

5.7.6

5.7.7每一项与信息系统安全有关的活动，都应有两人或多人在场，负责的安全活动范围包括：

a)访问控制使用证件的发放与回收；

b)信息处理系统使用的媒介发放与回收；

c)处理保密信息；

d)硬件和软件的维护；

e)系统软件的设计、实现和修改；

f)重要程序和数据的删除和销毁等。

5.7.8下面每组内的两项信息系统维护管理工作应当尽可能分开，进行必要的职责分离：

a)系统管理与计算机编程；

b)机密资料的接收和传送；

c)安全管理和系统管理；

d)访问证件的管理与其它工作；

e)数据库管理和应用程序管理。

5.7.9各单位负责信息系统安全管理的部门应根据管理原则和该系统处理数据的保密性或主要

程度，制订相应的管理制度或采用相应的规范。具体工作是：

a)根据工作的重要程度，确定该系统的安全等级；

b)根据确定的安全等级，确定安全管理的范围；

c)制订相应的机房出入管理制度；

d)对于安全等级要求较高的系统，要实行分区控制，限制工作人员出入与己无关的区域。

出入管理可采用证件识别或安装自动识别登记系统，采用磁卡、身份卡等手段，对人员进

5.8

5.8.1

5.8.2

5.8.3

5.8.4

支持就紧急事件进行解决与恢复操作，通过1331服务台上报二级支持。

5.8.4.2二级支持由IT支持服务中心支持人员组成，对各单位提供支持；二级支持负责：

a）紧急事件判断；

b）就紧急事件进行解决与恢复操作；

c）与外部支持沟通，寻求相关支持；

d）形成应急处理报告。

5.8.4.31331服务台处理客户请求，记录紧急事件，派发或转发工单。

5.8.5紧急事件应急处理范围

5.8.5.1由于软件产品存在缺陷或使用过程中出现的失误，导致关键功能大面积失效或全局性重要业务无法运行。

5.8.5.2除原因之外的其他故障导致系统停止服务，或导致关键功能大面积失效、全局性重要业务无法运行。

5.8.6紧急事件应急处理内容

5.8.

6.1明确故障范围，确定故障原因和排除故障，减少对业务的影响。

5.8.

6.2向领导汇报系统紧急事件状态及处理情况。

5.8.

6.3向各使用单位通报紧急事件处理进度。

5.8.

6.4紧急事件须根据规定的流程，在ITSM系统中准确、完整的完成事件的记录、处理和分析总结。

5.8.

6.5须对应急处理进行回顾和分析，并提出预防措施和建议。

5.8.

6.6必要情况下请求启动灾备。

5.8.7

5.8.8

5.8.9

7.6。

5.9

5.9.1

(

5.9.2

5.9.3

全管理报告》。

5.9.4各单位应在信息系统安全事件调查时，提供相应的日志数据。

5.9.5各级别日志归档周期是：

a)安全等保级别为一级的信息系统的日志归档周期为半年；

b)安全等保级别为二级的信息系统的归档周期为每季度；

c)安全等保级别为三级的信息系统的日志检查和归档周期为每个月；

d)重要科研信息系统、科研专网或物理隔离网的日志归档周期为每个月。

5.9.6公司根据各单位和系统的重要性抽查日志和日志归档，检查周期是：

a)每半年检查安全等保级别为一级的信息系统；

b)每季度检查安全等保级别为二级及其以上级别的信息系统；

c)每月检查重要办公和科研信息系统、科研专网或物理隔离网。

5.9.7各单位每个月都应对信息系统进行日志检查，并在系统运行报告和《信息系统安全管理报告》详细描述日志检查结果。

5.9.8公司根据信息安全事件的危害程度，确定调查方式和处理方式。

5.9.9对于危害国家或社会的信息安全事件，公司将成立专门的工作组进行调查。

5.9.10员工违反管理规定的，公司按照员工管理权限，依据公司《员工违纪处理规定》（2015版）

5.10

月底

6

6.1

6.2

6.3

6.4

7

7.1

7.2

7.3

7.4

7.5

7.6应急响应内控活动列表

——————————