信息安全管理：通信与操作安全控制要点与管理策略

通信与操作安全目的是保障信息处理设施及网络中信息的安全性，以及确保正确、安全地操作信息处理设施。内容涉及网络隔离与管理、网络服务安全管理及信息传递安全管理，以及信息系统及基础设施的安全运行与维护等。

01.网络隔离与安全管理

应采取有效措施对网络进行必要的安全隔离，保证系统之间的相互独立，使系统之间的相互影响最小化，保证各个系统的稳定运行。
网络应根据业务安全需求和支撑的业务进行安全区域的划分，不同的网络区域之间应采用适当的技术手段实施安全隔离，安全策略应参考业务需求和信息安全风险。应对网络实施控制措施，以保证网络上信息的安全性，防止未授权访问的发生。采取的控制措施包括但不限于以下措施：

• 对网络实施符合业务要求的访问控制措施。

• 采用必要的安全设备对网络的流量、病毒等进行控制。

• 密切监视网络的性能、安全与日志，及时发现隐患及问题。

应根据业务需求及信息安全风险对网络安全机制、服务级别以及网络服务进行管理，网络服务安全控制包括：

• 为网络服务应用的安全技术，例如鉴别、加密和网络连接控制。

• 按照安全和网络连接规则，网络服务的安全连接需要的技术参数。

• 对网络服务使用进行控制，以限制对网络服务或应用的访问。

02.信息系统操作规范

与信息系统运行维护及操作相关的活动应形成固定程序，重要程序应该形成文件，例如应用系统运行维护、网络系统管理、数据备份、介质管理、系统监控、机房管理等。
制定的各项管理制度应包括每项工作管理职责、工作流程等内容，所有相关人员应要求能够获得并遵循相关管理制度。

03.信息系统容量管理

应对信息系统未来的容量、功能和性能等要求进行预测，这些预测要考虑信息系统容量的当前状况和未来发展趋势。
基于采购成本和使用年限的考虑，对于重要应用系统的容量规划需要重点关注，相关的系统管理员应当对主要应用系统资源的使用情况进行监视，包括处理器、内存、储存系统、网络系统等。

04.信息系统变更管理

开发、测试和生产环境应进行网络隔离，生产环境下的权限应进行严格控制，开发测试人员严禁拥有生产环境权限。
对影响信息安全方面的变更应加以控制。控制措施包括建立变更方案、进行变更测试、评估变更的潜在影响并制定回退计划、建立变更的审批流程、向相关人员传达变更的内容与影响等。

05.防范恶意软件

电子邮件服务器与因特网的联结应通过技术手段进行监控。邮件监控系统应可设置规则，并根据设置的规则对来自因特网的邮件进行分析、确定是否将邮件抛弃、隔离、过滤处理或接受。监控规则包括对邮件附件的检查规则和防止垃圾邮件的白名单和黑名单设置。邮件监控系统应能及时加以更新，以保证可预防已被业界发现的病毒类别。 

在采用存储设备进行文件交换时，须对存储设备通过标准病毒检查程序进行检查。存储设备包括软盘、光盘、U盘等。对因业务需要从因特网上下载的文件，下载后须对文件通过标准病毒检查程序进行检查。

对所有服务器须定期进行病毒检查，检查的周期间隔不得长于30日。对所有支持业务应用的终端电脑（包括桌面台式机和便携机）须通过标准病毒检查程序进行定期检查。检查的周期间隔不得长于30日。

06.数据备份管理

重要的网络设备、安全设备、服务器、操作系统、中间件、数据库和应用系统，均应建立正式的备份策略，且按照指定的备份策略进行备份。
所有备份数据存储介质应进行妥善保管，避免由于管理不善造成数据损坏、信息泄露等信息安全事故。应根据存储备份数据的重要性及介质类型，定期进行备份数据的恢复测试，以验证备份数据及备份介质的有效性。

07.信息系统日志管理

关键网络安全事件和关键服务器安全事件应记录在事件日志中，并建立定期审计机制。
根据实际情况对系统日志进行激活设置，发生问题时可查看分析操作系统、故障日志等内容，所有日志均应得到适当保护，任何人在没有相关负责人的授权下，严禁私自删除或更改系统日志。所有相关信息处理设施的时钟应使用已设的精确时间源进行同步。正确设置计算机时钟以确保审核记录准确性，审核日志可用于调查或作为法律、法律案例证据。

08.移动介质安全管理

对移动介质应进行统一管理，并严格控制移动介质使用过程中的信息安全风险，应采取有效控制措施确保在办公环境内使用移动介质安全满足以下要求：

• 移动介质在使用的过程中应注意防病毒保护，在进行文件操作时应进行病毒扫描操作。

• 移动介质使用人如离开办公场所，如介质中存在敏感信息数据，必须将移动介质存放至安全环境。

• 应根据存储信息的重要程度，对长期存储信息的移动介质采用加密手段进行防护。

不再需要的移动介质，应使用安全的方式进行处置，以防止敏感信息的泄露。移动介质处置策略定义如下：

• 纸质类移动介质不再需要时，应采用碎纸机进行销毁。

• 电子类移动介质应在报废前需要进行数据安全清除；不能进行数据清除的存储介质应进行物理销毁。

09.信息系统审计安全

应定期评估信息系统技术脆弱性，评价这些脆弱性的暴露程度，并采取适当的措施来处理相关的风险。
对信息系统进行安全评估前应先制定安全评估的计划，且得到相关系统管理负责人的批准后方可执行。安全评估应尽量选在业务低峰期间进行，以免对系统造成破坏影响。信息系统监控和管理工具、安全扫描工具及网络管理工具必须在授权后方能使用。这些软件均应保存在仅允许相关人员使用的电脑中，以防止非授权使用。非IT运行维护人员，应禁止使用网络扫描、网络嗅探、网络监听等网络管理及黑客工具。