网络安全技术保障措施

机房安全管理机房人员出入、巡检、操作和设备管理请参照《机房安全管理规定》。

网络安全管理

1.公司内部网络与互联网实行安全隔离，在网络边界处应部署防火墙或其他安全访问控制设备，制定访问控制规则。

2.新增网络设备入网时，网络管理员应按照《网络设备安全配臵检查表》进行检查。经信息安全管理员确认所有检查项检查结果全部为“是”后允许网络设备进入网络运行。

3.网络新建或改造，在投入使用前，网络管理员须进行网络连通性、冗余性和传输速度等测试，信息安全管理员全程参与，确保网络系统安全。

4.当网络设备配臵发生变更时，须及时对网络设备配臵文件进行备份；网络设备配臵每三个月进行全备份，网络设备配臵文件由网络管理员保管。

5.网络管理员应建立网络技术档案，技术文档包括拓扑结构（含分支网络）、网络设备配臵等相关文档，网络技术文档由网络管理员保管。

主机安全管理

1.主机系统原则上仅开启必要的系统服务和功能，开启系统日志、安全日志。

2.主机运行维护人员应及时更新软件版本和病毒库；信息安全管理员负责制订统一的病毒管理策略。

3.主机运行维护人员每个月通过防病毒管理软件查看所有主机的防病毒软件运行状态，如有异常情况，主机运行维护人员需及时反馈给信息安全管理员进行处臵。

应用安全管理

1.重要信息系统应用开发应建立开发测试环境，开发测试的环境必须与实际运行环境分开，信息系统开发、测试、修改工作不得在生产环境中进行。

2.新建信息系统入网前，系统管理员须进行由信息安全管理员参加的系统测试，并出具包含身份鉴别、访问控制、安全审计等内容的系统泄密的责任，任何人不得向公司以外的任何单位或个人泄露公司技术和商业机密，如因学术交流或论文发表涉及公司技术或商业机密，应提前向公司汇报，并在获得批准同意后，方能以认可的形式对外发布。

3.定期对公司重要信息包括软件代码进行备份，备份完成后，做好登记工作。

4.数据库管理员负责对重要信息系统的数据库每周进行全备份，并对备份数据的有效性进行检查。

5.存放备份数据的介质包括U盘、移动硬盘、光盘和纸质，所有备份介质必须明确标识备份内容和时间，并实行异地存放。

6.数据恢复前，必须对原环境的数据进行备份，防止有用数据的丢失。数据恢复后，必须进行验证、确认，确保数据恢复的完整性和可用性。

7.数据清理前必须对数据进行备份，在确认备份正确后方可进行清理操作。数据清理的实施应避开业务高峰期避免对联机业务运行造成影响。

8.管理部门应对报废设备中存有的程序、数据资料进行备份后清除，并妥善处理废弃无用的资料和介质，防止泄密。

9.因审计、查询等管理需要拷贝系统原始数据的，需要经IT中心主管部门和业务主管部门同意后，并双方在场后，由系统管理员导出数据。测试报告。

数据安全管理

公司每一位员工都有保守公司信息安全防止安全攻击事件，应立即通知信息安全管理员。专业安全人员管理

1.总部及各分公司IT中心应指定专人负责信息安全管理工作。

2.总部IT中心的信息安全管理员负责协调信息安全管理工作，各分公司信息安全管理人员负责各自信息安全建设工作的实施，推动各自信息安全各项工作开展。

3.信息安全管理人员在离岗时，应由IT中心负责人指派专人接任信息安全管理工作；接任信息安全管理人员应及时终止离岗人员的访问权限，并在交接后三个工作日内修改相关安全系统口令密码。

信息安全事件预防和处理

1.公司IT中心应制定信息系统应急预案和演练计划，并组织进行演练。

2.公司IT中心负责信息安全事件预防和处理工作。

3.非重要信息系统整体瘫痪，系统管理员应及时组织人员进行系统恢复；重要信息系统整体瘫痪，系统管理员立即报IT中心负责人，并及时组织人员进行恢复，24小时内无法恢复的，需要通知各相关部门并报分管领导。

4.系统恢复后，系统管理员应查明故障原因，制定改进措施并加以验证，向IT中心负责人提交事件书面报告。