规章制度是指为了维护组织或社会的正常秩序,约束和规范成员行为的一种规律性文件,它可以帮助我们更好地管理和组织工作。规章制度的实施和执行是组织发展的关键,以下范文或能帮助大家更好地理解和应用。
医院内部信息系统管理制度
本制度系列所管辖医院信息包括医院在运行管理中涉及到的基本信息(人、财、物)、运行信息(各类业务工作与质量安全管理资料数据)和管理信息(投资发展、人力资源开发与利用、发展战略研究),统称为“医院信息”。依据《中华人民共和国保密法》、《医疗质量管理办法》,制定此制度系列。
医院内部的数据、资料信息安全管理尤为重要,如涉及全院的工作统计数据、质量与安全评价分析相关的数据、与医疗纠纷有关的信息、医院管理与建设重大决策信息、医院经济管理相关的信息等,院领导认为不宜通过“三重一大”公示的信息,均属于保密信息,必须实行安全管理,规定如下:
(一)任何人未经院领导批准,不得在公众场合、公共媒体发布医院涉密信息。
(二)医院各职能部门和业务科室,对自身所涉密的医院信息,有保密的义务和责任。
(三)不属于分管职能内的涉密信息,不得向其他部门和个人打探。
(四)任何员工不得以谋利为目的,散布、出卖、交换医院涉密信息。
(五)任何员工不得以泄私愤、图报复,散布和出卖医院涉密信息。违反以上各条,医院有权追究泄密人的相应责任。
(一)为了保证医院网络的正常运行,保护医院网络系统的安全和网络用户的使用权益,特制定本安全管理制度。
(二)本管理制度所称的医院网络系统是指在医院信息系统中,由计算机及配套设施构成的,按照医院网络信息系统的应用目标和规定,对数据进行采集、加工、存储、传输、检索等处理的人机系统。
(三)医院网络系统安全管理是通过实施身份认证、访问控制与授权管理、数据备份和灾备系统、安全分域及边界防护、防病毒系统、入侵检测、补丁管理、邮件安全网关、远程接入等安全技术和与之相配套的管理制度,保障网络主机及配套设备、设施的安全,网络运行环境的安全,从而达到保障计算机网络系统安全运行和信息安全的目的。
(四)信息科负责医院计算机网络系统的安全管理工作,确保对计算机网络系统安全管理的有效性。
(五)计算机网络系统的建设和应用应遵守上级主管部门颁发的行政法规、用户手册和其他相关规定。
(六)计算机网络系统实行安全等级保护和用户使用权限划分。安全等级和用户使用权限的划分和设置由信息科负责制定和实施。
(七)计算机入网运行必须经信息科批准备案,分配ip地址后,方可接入网络。
(八)要对重要主机的用户名、开机口令、应用口令和数据库口令实施重点管理,严格控制设备存取及加密,未经允许严禁外来盘片带入机房对服务器进行安装等,不准将机器设备和数据带出机房。
(九)未办理入网手续,任何单位和个人不得非法私自将计算机接入医院网络,不得以不真实身份使用网络资源,不得窃取他人账号、口令使用网络资源,不得盗用未经合法申请的ip地址入网。未经信息科允许,任何单位或个人不得擅自接纳网络用户。
(十)应根据网络主机不同的安全级别采取相应的访问控制、数据保护、保密监控管理和系统安全等技术措施。
(十一)信息科定期对网上用户的访问及授权情况进行检查,及时发现和限制非法用户和非授权访问。
(十二)要按要求对数据进行日备份、月备份和年备份。严格按操作规程进行数据备份工作,确保备份数据的完整和准确性,做好备份数据的审核工作,并做好相应记录。要确保导出、导入数据的完整和准确,并做好导出、导人数据的审核工作和相应记录。
(十三)加强边界安全的防护,应根据安全区域划分情况明确需进行安全防护的边界,并实施有效的访问控制策略和机制。
(十四)应在网络系统或安全域边界的关键点采用严格的安全防护机制,如严格的登录/链接控制,高性能的防火墙、防病毒网关、入侵防范、信息过滤、边界完整性检查等。
(十五)要实施必要的边界访问、违规外联的审计和控制。
(十六)应采用必要的手段(如入侵检测系统、日志分析、网络取证分析等)对系统内的安全事件进行监控,检测攻击行为并能发现系统内非授权使用情况。
(十七)应禁止系统内用户非授权的外部链接(如自动拨号、违规链接和无线上网)。
(十八)应部署有效的网络病毒防范软件系统和相应的网络病毒防范管理办法,实施对计算机网络病毒的有效防范。
(十九)要制定文档化的明确的计算机病毒和恶意代码防护策略,以及确保策略有效实施规章制度。
(二十)应在系统内关键的入口点以及各工作站、服务器和移动计算机设备上采取计算机病毒和恶意代码防护措施。
(二十一)应制定文档化的信息系统备份和恢复的策略,建立健全备份和恢复的管理制度和操作规程。
(二十二)备份包括关键业务数据的备份、关键业务设备(如服务器、交换机等)的备份和电源备份。对重要信息系统(如his系统)的关键设施(如服务器)采取热备份。
(二十三)应定期备份和对恢复策略进行测试,以保证其有效性。要有系统恢复的预案和演练。
(二十四)应根据业务的重要程度、信息系统的资产价值等进行相应的需求分析,确定系统恢复的目标,如:关键业务功能、恢复的优先顺序、恢复的时间范围。
(二十五)为确保医院计算机局域网络运行安全,要在有效部署防火墙、入侵检测和防病毒系统的情况下,实施远程接入。医院业务网(内网)与远程接入(外网)业务的物理隔离。凡涉密的计算机主机不得与互联网(internet)链接。
(二十六)任何部门和个人使用医院网络提供的远程接人服务必须向信息科申请。入网用户的用户名和ip地址是用户在医院局域网上的合法标识,也是对用户收费的重要依据,一经指定不得擅自更改。
(二十七)未经信息科批准,任何个人或部门不得为外单位人员提供电子邮件或其他网络服务。
(二十八)所有入网用户,应当遵守国家有关法律、法规及医院的有关规章制度,严格执行安全保密制度,不得利用计算机网络从事危害国家安全、损害医院利益等违法、违规活动,不得制作、查阅、复制和传播扰乱社会治安、有伤风化、淫秽色情等信息,不得利用网络攻击、损害公用网络和其他用户。否则,医院有权停止对其提供的服务;由此造成的不良后果由用户承担。
(二十九)使用计算机机网络系统的部门和个人必须遵守计算机安全使用的规定,对计算机网络系统发生的问题和故障要立即向信息中心报告。
(三十)用户不得从事下列危害计算机网络安全的行为:
1、未经允许,进入计算机网络系统或使用网上信息资源:
2、私自转借或转让用户账号,盗用他人账号或ip地址:
3、未经允许,对网上应用系统的功能进行删减或更改:
4、未经允许,对计算机网络的存储、处理或传输数据和应用程序进行删减或更改;
5、故意制作、传播计算机病毒等破坏程序,使用任何工具破坏网络正常运行;
6、破坏、盗用计算机网络中的信息资源和危害计算机网络安全;
7、其他危害计算机网络安全的行为。
上述违规造成医院损失的,依照有关法律、法规及医院有关处罚规定进行处理,情节严重者移交公安机关处理。
(一)任何科室和个人不得利用涉密计算机网络系统泄漏属于医院内部秘密的信息数据,危害医院、员工和患者的合法权益;不得从事其它违法犯罪活动。涉密单位和涉密人员应当遵守保密法律法规,认真执行国家和省制定的涉密计算机网络系统的保密规定。
(二)涉密计算机网络系统的单位保密管理实行领导负责制,并制定部门或专人负责具体的日常管理工作。并保持计算机保密管理人员相对稳定。
(三)涉密计算机网络系统工作人员定期进行保密教育和检查。涉密计算机信息系统的系统管理人员应当经过严格审查,定期进行考核,并保持相对稳定。
(四)涉密人员调离岗位,应当履行国家规定保守秘密的义务。
(五)涉及医院秘密的数据,必须按照保密规定进行采集、存储、处理、传递、使用和销段。
(六)计算机存储、处理、传递、输出的涉密信息要有相应的密级标识且不得与正文分离,输出的涉密文件按相应密级文件管理。
(七)涉密医院信息和数据不得在与公用网络联网的计算机信息系统中存储、处理、传递,涉密信息一律不得在网上发布。
(八)涉密计算机必须设置口令保护,根据密级确定口令长度与更换周期,实行专人专用,严禁以任何方式登录国际互联网或与互联网物理连接。
(九)存储涉密信息的媒体应按所存储信息的最高密级标明密级,并按相应密级文件管理制度管理,存储过涉密信息的计算机媒体不能降低密级使用,维修存储过涉密信息的计算机媒体应到部门指定维修点维修,有人全程跟踪,保证存储的秘密信息不被泄露。
(十)储涉密数据的.计算机硬盘或其它存储介质不得擅自更换或者报废。确需更换或者报废的,应当经院领导批准后,交医院的网络管理部门进行登记、封存,或者按规定销毁。
(十一)涉密单位应当将涉密数据与备份数据分别保存在单位内不同的地点。有条件的,应实行异地容灾备份。不得在便携式计算机上存储涉密信息。
(十二)发现计算机信息泄密后应立即采取补救措施,并按规定及时报告保密部门。
1、信息提供、发布、上网实行保密审查、领导审批和登记备案制度。
2、信息发布、上网,坚持涉密不公开、公开不涉密和谁上网、谁负责的原则。
3、对涉密信息确需对外发布、上网的,应采取解密或者删除、改编、隐去等保密措施,并经主管部门或保密工作部门审定。
4、接受记者采访,不得涉及医院秘密内容。
(一)计算机及其辅助设备是实现现代化管理的工具,各科室有关工作人员都要结合本职工作利用计算机手段来提高工作效率。
(二)各科室购置和上级分配给予的计算机和辅助设备均属固定资产,统一由计算机中心负责维护,各科室由电脑管理员专人负责管理和使用。
(三)服务器、计算机及辅助设备和其他应用软件所配的专用磁盘、光盘,由中心专人登记管理入账,每年清点一次。
(四)计算机的备件、易耗件、磁盘及有关资料的购买,由信息管理部门统一申请,经科室负责人并上报院长同意后,由后勤采购进行统一购置,统一给各科室配置。
(五)计算机、服务器、网络通讯电缆设备,未经信息部门同意不得拆装、移动。
(六)计算机和辅助设备需检修,应报告计算机中心专业工作人员,由计算机中心有关人员检修,若需外单位修理,由领导会同有关部门商量后办理。
(七)对外来磁盘要先杀毒,后使用。各计算机一旦发现病毒,必须立即清除,否则不得使用该计算机,更不能向服务器上传数据。
(八)外来人员未经科室领导和专业人员同意不得操作计算机,以免发生病毒感染和其他损失。
(九)不得在计算机上进行与工作无关(如做游戏、下棋、打扑克等)的操作。
为保证网络中心设备与信息的安全,保障机房有良好的运行环境和工作环境,作如下规定:
(一)各门钥匙由指定的专人保管,不能随意转借。丢失要声明。出入请随手关门。
(二)要有安全防范意识,节假日值班人员不得擅离岗位。早进入、晚离开时要检查设备情况,离开时查看灯、门、窗、锁是否关闭好。
(三)易燃xx物品不准带入机房,机房及周边地区严禁烟火,不能明火作业,机房一律禁止吸烟。
(四)机房工作人员要有防火意识,出现异常情况应立即报警,切断电源,用灭火设备扑救。
(五)非工作人员严禁进入服务器机房,特殊情况要事先征得院长或主管副院长的同意,未经许可一律不准触碰开关和设备,否则后果自负。
(六)机房内的一切公用物品未经许可一律不得挪用和外借。
(七)机房内不准大声喧哗,机房卫生由工作人员定期负责清扫,保持清洁。
(八)网管员负责机房的安全管理与检查;负责建立与记录安全日志。
(一)本制度所称医院计算机网络工作站,是指医院计算机网络中以台式电脑或笔记本电脑为中心的包括所连打印机等外围设备在内的计算机工作单元。医院未联网工作的计算机也采用此制度进行管理。
(二)各个管理部门和科室中,每一工作站配置的计算机、打印机等设备须指定专人使用、保管和维护,转交他人保管时需严格交接。
(三)各工作站所有使用人员必须严格遵守《医院网络系统安全管理制度》。
(四)计算机操作人员,不得随意搡作计算机或相关设备,更不允许外来人员操作计算机。
(五)不在计算机上玩游戏及做与工作无关的操作。
(六)不在医院计算机上使用来历不明的光盘、软盘。
(七)计算机网络上的所有操作人员必须保管好自己的密码,因密码保管不善造成的经济损失,概由操作人员自己负责。
(八)计算机一旦发生故障应及时报告信息科处理。
(九)除计算机网络中心机房工作人员外,任何入不得拆装计算机,或擅自接入其它设备。
(十)不间断电源的计算机,在供电中断时,操作人员应立即保存数据,退出程序后按正常操作关机。
(十一)严格按照操作规程操作,下班前必须按程序关机,并切断电源。
(十二)计算机旁不准抽烟、会客,不准吃零食物和饮料。
(十三)计算机旁边严禁摆放各种易燃易爆、腐蚀性或强磁物品。遇临时停电及雷电天气,应采取保护措施,避免发生意外。
(十四)爱护计算机及各种相关设备,计算机主机、显示器、打印机上不能堆放杂物。
(十五)科室指定专人负责科内计算机的一般性管理工作,定期用干净柔软的干抹布清除设备上的灰尘,清洁和整理计算机工作台。
(十六)因维护管理不当造成计算机硬件设备损坏,由当事人负责赔偿。
(十七)外来参观须报请信息科及主管院领导批准,不能向外展示和泄露医院重要业务数据。
(十八)违反本制度者,医院将视情节给予处罚。
(一)为确保监控机房安全,设立监控机房管理员,负责对机房各类设备、软件系统进行维护和管理。
(二)监控机房管理员应认真履行职责,及时发现、报告、解决硬件系统出现的故障,保障系统的正常运行。
(三)监控机房管理员及时完成监控数据的刻录归档,确保监控数据完整无误。不得无故中断监控,不得漏刻监控资料,未经刻录不得无故删除监控资料。
(四)监控机房必须做好防火、防静电、防潮、防尘、防热和防盗工作。机房禁止放置易燃、易爆、腐蚀、强磁性物品,禁止在监控机房内使用其他用电设备,禁止将监控机房钥匙交他人保管,确保监控机房安全。
(五)严格遵守保密制度。数据资料必须由监控机房管理员负责保管,未经允许不得私自拷贝、下载和外借。严禁任何人在监控计算机上使用未经检测允许的介质(软盘、光盘等),严禁在监控计算机上做与监控无关的事情。
(六)监控机房内保持清洁,严禁在机房抽烟、喝水、吃东西、乱扔杂物、大声喧哗等。
(七)实行工作人员值班制度。值班人员应按规定做好实时监管工作,并做好书面情况记录,发现问题及时汇报并妥善处理。
(八)值班人员应严格执行机房管理制度,并与监控机房管理员做好交接。如需监控机房管理员进行配合的,监控机房管理员应予以协助。
(九)除监控机房管理员和工作人员外,任何无关人员不得进入监控机房。
(十)监控机房管理员要经常督促检查本制度执行情况,切实履行管理职责,发现异常情况必须及时汇报。
(一)电脑网络故障。
电脑网络发生故障后,维护人员要结合医院的分布式特点,通过操作人员反馈回来的信息和现有的网络检测手段,迅速定位故障事件的来源,明确故障事件发生的范围,确认网络系统受损害程度,将情况及时通报直接上级并层层上报。通过进一步的分析,将故障发生类型划分为网络线路、网络交换机、服务器三大类型,确定起因是硬件故障、外力损坏、恶意攻击还是感染病毒,进而采取下一步措施。
1、网络线路故障。
(1)通知:值班人员迅速通知直接上级并层层上报。上级管理人员根据实际情况给予指导和协调。
(2)排查:根据网络拓扑结构和故障发生的范围,使用网络检测指令,确定检修线路的位置。
(3)抢修:携带对线器、转接器、备用线、压线钳等工具,迅速到达线路故障现场,进行修复。
(4)验证:连接网络进行检测,确定故障得到解决。
(5)回复:通知故障发生点恢复使用。
(6)记录:对整个事件的时间、现象、处理过程作出详细记录。
2、网络交换机故障。
(1)通知:值班人员迅速通知直接上级并层层上报。上级管理人员根据实际情况给予指导和协调。联系电话:网络负责人。
(2)诊断:根据故障发生的片区和网络交换机的分布图,结合网络检测指令,判断出故障交换机的位置。
(3)修复:携带电笔、改刀等常规工具,迅速到达故障交换机所在位置,通过观察交换机指示灯,确定其工作状态是否正常:如果是断电所致,立即与维修中心联系,恢复供电;如果状态锁死,立即对交换机进行复位处理;排除上述因素后如果故障依旧,立即用备用交换机对其进行更换。
(4)验证:连接网络进行检测,确定故障得到解决。
(5)回复:通知故障发生点恢复使用。
(6)事后:对换下交换机送修。待修复后备用。
(7)记录:对整个事件的时间、现象、处理过程作出详细的记录。
3、服务器故障。
(1)通知:值班人员迅速通知直接上级并层层上报。上级管理人员根据实际情况给予指导和协调。
(2)诊断:根据故障现象,初步判定是硬件故障还是软件故障,如果是硬件故障,立即断开主服务器,启用备用服务器;如果是系统软件故障,尽量正常下机,重启服务器;如果是应用软件故障,立即联系his公司进行远程维护。
(3)如故障发生在夜晚或节假日期间,首先应通知负责系统技术人员立即在15分钟内赶赴现场,并通知电脑中心主管组织相关人员进行抢修,上报设备科,必要时尽快联系相关公司维修部进行远程维护。
4、停电。
(1)通知:值班人员迅速通知直接上级并层层上报。上级管理人员根据实际情况给予指导和协调。
(2)配合:联系维修中心,确定停电的时间长短,如果在五分钟以内,在恢复供电后重新运行接口机即可;如果在五分钟以上,对接口机和服务器进行正常下机操作,待恢复供电后,重新开启服务器至运行状态,再运行接口机。
(3)记录:对整个事件的时间、现象、处理过程作出详细的记录。
5、病毒发作。
(1)通知:值班人员迅速通知直接上级并层层上报。上级管理人员根据实际情况给予指导和协调,必要时立即赴现场处理。
(2)诊断:对故障进行分析,找出病毒特征码,确定是何种病毒。
(3)排杀:从专业网站上下载专杀工具进行杀毒。
(4)补丁:从专业网站上下载补丁,封堵漏洞,进行免疫处理。
(5)记录:对整个事件的时间、现象、处理过程作出详细的记录。
信息系统安全管理制度
随着我国经济的发展,计算机得到了广泛的应用,在很大程度上促进社会经济不断发展。但是,在不断发展的同时,安全问题不断地发生,这在很大程度上影响了计算机的普及和应用。这些问题产生的原因是多种多样的,同时,这些问题本身更是千奇百怪。因此认真研究信息系统安全技术,为计算机安全运行、提供技术支持势在必行。
信息系统安全管理制度
第一条为了强化淮北市教育局的信息安全管理,防范计算机信息技术风险,确保国家秘密安全,防止网络病毒危害和敌对势力恶意攻击,维护正常的社会经济秩序,根据《中华人民共和国计算机信息系统安全保护条例》以及国家有关法律、法规,结合我局实际,特制定淮北市教育局网络安全管理制度。
第二条本规定所称信息安全管理,是指在我局信息化项目立项、建设、运行、维护及废止等过程中保障计算机信息及其相关系统、环境、网络和操作安全的一系列管理活动。
第三条淮北市教育局信息安全管理工作实行统一领导和分级管理。总部统一领导分支机构和直属企事业单位的信息安全管理,负责总部机关的信息安全管理。分支机构负责本单位和辖内的信息安全管理,各直属企事业单位负责本单位的信息安全管理。
第四条淮北市教育局信息安全管理实行分管领导负责制,按照“谁主管谁负责,谁运行谁负责,谁使用谁负责”的原则,逐级落实单位与个人信息安全责任制。
第五条本规定适用于淮北市教育局总部、各分支机构和直属事业单位(以下统称“各单位”)。所有使用本单位网络或信息资源的其他外部机构和个人均应遵守本规定。
第六条任何单位和个人不得以任何理由逃避该安全制度的管理,不得利用联网计算机从事危害本地局域网服务器、工作站的活动,不得危害或侵入未授权的(包括cernet或其它互联网在内的)服务器、工作站。不得从事危害国家利益、集体利益和公民合法利益的活动,不得危害计算机信息网络系统的全面安全。
第八条的服务器管理平台日常管理工作由信息中心相关人员负责。网络管理人员应认真履行以下职责:
(1)负责服务器的日常维护、技术支持,并对服务器的功能提出意见、建议和方案等。
(2)严格执行岗位责任制。实行“谁主管、谁负责”制度。管理人员要坚守岗位,有事外出要向领导或接班工作人员交接清楚。要妥善保管好服务器登录密码,不得告诉他人,有事外出或下班时,要及时退出设置项界面。
(3)加强服务器检查。定期对数据存放硬盘空间、cpu使用、内存空间等环境进行检查。发现硬盘存储空间、cpu异常、内存异常等问题要及时处理,不能及时处理时应向领导报告,并积极采取措施尽快解决。
(4)加强服务器的病毒防范。要经常了解和掌握网络病毒的流行情况及其解决方案,并积极采取应对措施,避免对服务器及网络内其它终端的感染。一旦被感染,要及时提出杀毒方案,控制传播范围。定期对各服务器进行查毒、杀毒。
(5)保障本系统的实时安全运行,负责每天的信息数据备份。
(6)负责对服务器用户的增加、删除及权限变更工作,严禁无关人员登录服务器。
第九条管理员(admin)角色权限管理制度。
(1)管理员权限范围:包括所有权限。
(2)管理员权限在项目实施完成后,交由安全委员会指定成员管理。
(3)若网管中心系统工程师因管理需要,需向安全委员会申请打开管理员(admin)权限做相应的设置,设置完成,系统维护工程师立即退出管理员(admin)权限帐户。
(4)若系统维护工程师接触到管理员权限密码,应在维护完成后,提醒管理员修改密码,管理员(admin)应该经常性修改密码,避免密码丢失造成控制台管理权限泄密。
(5)管理员定期到控制台的“工具”栏下的“系统日志”中查询管理员登录信息,发现异常登录,及时更新密码,并严格追查管理员控制台权限遗失原因。
(1)系统维护员权限范围:针对所有用户的参数设置、备份、访问所有组权限。
(2)系统维护员根据监控的实际需要制定监控参数设置策略,经过安全管理委员会审核后进行实施。
(3)系统维护员根据硬盘容量和监控数据增长情况制定数据备份策略,经过安全管理委员会审核后进行实施。
(4)系统维护员不得利用职务之便,在未经安全委员会认可的情况下,私下进行个别监控电脑的参数设置,若造成损失,单位将追究相应责任。
(5)严禁更改服务器操作系统的相关设置,严禁在服务器上进行互联网浏览、不相关应用程序安装。
(6)严守系统信息保密制度。不得随意将系统信息、数据泄露于外界。
第十条用户机实行专人专机,谁使用、谁管理、谁负责制度。各用户应严格遵守以下规定:
(1)要自觉遵守《中华人民共和国计算机信息系统安全保护条例》和其他有关计算机和网络方面的法律、法规,严格遵守计算机操作规程,爱护计算机和网络设备,及时反映和举报违反网络行为规范的人和事。
(2)不得随意更改网络设置。如确需更改须经网络管理人员同意,并在网络管理人员的指导下操作。
(3)不得恶意访问和攻击网络服务器和他人计算机;未经允许不得阅读他人文件、文档、电子邮件;不得滥用网络资源;不得制造和传播计算机病毒;禁止破坏网络数据、网络资源,或在网络上进行恶作剧行为。
(4)要自觉遵守国家保密法律、法规,不得在网上发布、传送携带国家秘密的信息。
(5)不得在网上发布或传送有损国格、人格或具有威胁性、不友好的信息;不得利用网络接收和散布思想内容反动、不健康或色情的信息,如收到“xxx”等内容反动的电子邮件,应及时删除,不得散发。严禁在网上玩游戏或利用网络炒股。严禁职工家属到单位玩电脑。
(6)不得利用网络窃取单位的研究成果或受法律保护的资源。
(7)要妥善保护好自己的上网口令,必要时及时更改。不得擅自转让用户帐号,或将口令随意告诉他人。不得冒用他人帐号、口令上网。
(8)不得使用单位明文禁止的相关程序和网站,不得对单位明文禁止的文件做相应的操作。
(9)同时触犯其他有关法律、行政法规的,依照有关法律、行政法规的'规定予以处罚;构成犯罪的,依法追究刑事责任。
第五章病毒检测和网络安全漏洞检测。
第十一条局域网和电子政务网必须配置经公安机关认定合格的计算机病毒检测、清除工具,经常进行病毒检测和清除。
第十二条办公网内各科室发现计算机病毒应当及时清除;无法清除的,应当及时向局计算机管理人员报告,并采取隔离、控制措施。在确认病毒类型、查明传入途径、被感染的设备、磁媒体数量并彻底清除病毒后,方可重新投入使用。
第十三条禁止任何科室和个人安装黑客软件,严禁攻击局域网和电子政务网内其它计算机,严禁散布黑客软件和病毒。
第十四条对于系统软件和应用软件的安全隐患,局计算机管理人员必须及时从系统软件开发商和应用软件开发商获取相关的补救措施,如安装补丁软件、制定新的安全策略等。
第十五条局信息中心必须对局域网和电子政务网的计算机安装防火墙系统,加强网络安全管理,预防病毒感染和恶意攻击。
第十六条局域网和电子政务网的病毒检测和网络安全检测由信息中心负责;负责人员必须定期对网络安全和病毒检测进行检查。
第十七条涉密计算机必须与上互联网计算机做到物理隔离。
第十八条接入互联网的计算机必须自觉遵守网络法规,严禁利用计算机从事下列活动:
(1)未经允许,对办公网上所具有的功能、程序、数据进行删除、修改和增加;
(2)故意制作、传播计算机病毒与破坏性程序;
(3)其他危害办公网络安全的行为。
(4)严禁在互联网和局域网上传递秘密文件,特别是机密级以上的秘密文件。
第十九条任何科室和个人不得在局域网和电子政务网内通过互联网下载传递有政治问题和淫秽色情内容的信息。
第二十条严禁在网络上使用来历不明、引发病毒传染的软件,对于来历不明的可能引发计算机病毒的软件必须使用公安部门推荐的杀毒软件检查、杀毒。
第二十一条服务器及网络设备遭受攻击后,网络管理技术人员要立即采取措施予以解决,同时做好系统保护工作。
第七章账号使用登记和操作权限管理制度。
第二十二条局域网内各主要网络设备、计算机服务器系统由系统管理员统一管理,除管理员外,其他任何人不得擅自操作网络设备,修改网络设置。
第二十三条局域网内所有网络设备、计算机服务器系统应当正确分配权限,并加口令予以保护,口令应定期修改,任何非系统管理员严禁使用、猜测各类管理员口令。
第二十四条对于网络系统要做好备份工作,确保在系统发生故障时能及时恢复。
第二十五条对于网络系统的设置、修改做好登记、备案工作。重大更改必须向主管领导汇报,征得同意后方可进行。
第八章安全教育和培训。
第二十六条信息中心负责牵头,定期召开网络安全会议,通报网络安全状况,解决网络安全问题。
第二十七条信息中心定期举办网络安全培训班,学习网络法律、法规,提高全体员工的网络安全意识,提高网络安全水平。
第二十八条网络线路安全维护。
第二十九条局电子政务网和局域网网络线路安全运行由信息中心负责监督、维护。
第三十条重视对计算机实体的安全保护工作,局中心机房、办公网内各科室要做好防火、防水、防盗、防雷等方面工作。
第九章奖励与处罚。
第三十一条各单位每年应组织一次本单位和辖内信息安全管理工作评比活动,对达标单位的相关人员应给予一定的奖励,对表现突出的单位和个人进行通报表彰并给予一定形式的奖励。
第三十二条违反本管理制度,将提请有关部门视情节给予相应的批评教育、通报批评、行政处分或处以警告、责令停机整顿。触犯国家法律、行政法规的,依照有关法律、行政法规的规定予以处罚;构成犯罪的,依法追究刑事责任。
第十章附则。
第三十三条淮北市教育局之前发布的其他信息安全管理制度有关规定条款如与本规定不一致的,按本规定执行。
第三十四条本规定由教育局负责解释。
第三十五条本规定自发布之日起施行。
医院信息系统安全管理制度
切实保障全院计算机网络的安全,根据国家及地方法规、jci标准中医院设施管理与安全标准,制定本安全管理制度。
1、本安全管理制度适用于本院信息系统管理。
2、本安全管理制度由信息科负责监督实施。当存在本院计算机网络及计算机机房的安全威胁时,信息科主任负责及时上报行政总值班或分管副院长,设备科、后勤部和保安部配合采取相应措施。
3、每3年对本制度的执行情况进行评估,必要时可重新修订本安全制度
1、信息科员工应当熟悉计算机软、硬件的相关业务知识和防火防盗安全规定,掌握防火器材的操作使用方法,做好本岗位的防火防盗工作。
2、每3个月检查计算机软、硬件的状态,使之保持完好。
3、安全培训:信息科新员工应参加全院岗前培训,并通过消防知识的培训后,方可上岗作业。信息科员工应当完成年度安全培训。
4、安全操作规定:
(1)维护带电设备时应拔掉电源,确认处于无电状态,并释放手上静电。
(2)带电测试电脑时,不得接触内部电线。
(3)进入医疗区域维修时,应带好相应的防护设备,维修结束后注意进行消毒处理。
(4)维修时防止利器刺伤。如被刺伤应及时到医疗部统一处理。
5、安全管理规定:
(1)遵守医院各项规章制度,遵守劳动纪律。
(2)做好应急值班工作。保证应急电话畅通,应答及时。
(3)保持计算机室清洁无尘,机房内严禁吸烟。
(4)保持工作环境整洁,不乱丢杂物,及时清理工作台上的磁盘和书籍等物品。
(5)正确操作、使用各类计算机设备,杜绝不必要的设备损坏。
(6)保持数据的安全和保密。查询数据原则上由责任部门执行,任何非程序查询必须由院级领导同意并签字。特殊数据查询遵循医务科批复流程。
(7)禁止无关闲杂人员进入计算机室。
(8)下班前关闭办公用电脑、电源。
6、巡查与报告:
(1)每天巡视机房,检查服务器性能并签名。
(2)每月巡视交换机房,检查交换机房环境。
(3)节假日,值班人员负责本院计算机安全评估。遇有灾害性天气或特殊情况,加强防范。
(4)在检查中发现的隐患要及时报告科主任,科主任根据问题严重性上报分管院长。
1、连入网络的各科室和个人办公工作站必须严格执行安全保密制度,并对所提供的信息负责。不得利用计算机和网络从事违反国家法律、法规、泄露医院机密的活动。
2、任何科室和个人不得在本院联网计算机上制作、查阅、复制和传播危害国家安全、有碍社会治安和有伤风化的信息和淫秽、色情资料。
3、不允许在网络上进行干扰网络用户、破坏网络服务和网络设备的活动。
4、除信息科外其他科室或个人不得以任何方式试图登陆网络服务器和网络交换机等设备进行修改、设置、删除等操作;不得盗窃、破坏网络设施。
5、不得利用各种网络设备或软件技术从事账号及密码的侦听、盗用活动,该活动被认为是对网络用户权益的侵犯。严禁在本院联网计算机上使用未经信息科主任批准的软件。
6、系统软件、应用软件及信息数据必须实施保密措施。信息资源保密等级分为:
(1)可向因特网公开的;
(2)可向院内公开的;
(3)可向部门(科室)公开的;
(4)仅限于个人使用的。
7、院内各科室和个人需要联入因特网,必须提交经科主任审定后的申请报告,由分管院长或院长审批同意后,由信息科负责实施开通。
8、联网用户必须使用由信息科分配的ip地址,严禁私自设置ip、盗用ip地址。
9、医院对外发布信息的web服务器的内容必须经科主任审核,由科主任签署意见,需经分管院长或院长审批,办公室(宣传科)备案后,由信息科链接其对外的信息。
10、员工应对输入计算机的数据准确性负责,不得随意增减或删除有效数据。
1、为了保护我院数据与网络的安全,保证网络的正常运行,促进网络更好的应用和发展,制定本制度。
2、利用防火墙将内部网络、internet外部网络、dmz服务区、安全监控与备份中心进行有效隔离,避免与外部网络直接通信。
3、利用防火墙建立网络各终端和服务器的安全保护措施,保证系统安全。
4、利用防火墙对来自外网的服务请求进行控制,使非法访问在到达主机前被拒绝。
5、利用防火墙使用ip与mac地址绑定功能,加强终端用户的访问认证,同时在不影响用户正常访问的基础上将用户的访问权限控制在最低限度内。
6、利用防火墙全面监视对服务器的访问,及时发现和阻止非法操作。
7、利用防火墙及服务器上的审计记录,形成一个完善的审计体系,建立第二条防线。
8、根据需要设置流量控制规则,实现网络流量控制,并设置基于时间段的访问控制。
9、对网络边界点的数据进行检测,防止黑客的入侵;
10、对服务器的数据流量进行检测,防止入侵者的蓄意破坏和篡改;
11、监视内部用户和系统的运行状况,查找非法用户和合法用户的越权操作;
12、对用户的非正常活动进行统计分析,发现入侵行为的规律;
13、实时对检测到的入侵行为进行报警、阻断,能够与防火墙/系统联动;
14、对关键正常事件及异常行为记录日志,进行审计跟踪管理。
15、进行统一的安全策略管理和集中的防病毒监控。安装防病毒系统,支持在windowslinux和msexchange等各种主流系统上实现防病毒保护,实时监视系统病毒活动全面查杀病毒、蠕虫、木马、恶意java/activex程序等,提供灵活多样的病毒修复和处理方法,其病毒检测处理技术处于业界领先地位。
16、内外网物理隔离,在内网客户端上,禁止使用usb存储设备。
17、制定病毒库更新管理机制。见:病毒库更新管理机制章节。
信息系统安全管理制度
计算机信息系统安全主要包括两方面的内容,一个就是系统的安全,要能为用户提供有效的服务。另一个就是信息安全保护,就要保证计算机信息系统中的数据的完整性、保密性以及可用性。确保计算机信息系统网络安全需要从下述几个方面入手,第一就是要采用物理安全策略,避免出现硬件系统问题以及非法访问和越权操作问题;第二就是要采用访问控制策略。首先,要对入网访问进行控制,这是对网络访问进行的第一层控制,要避免无访问权限的用户获取网络资源。可以通过用户身份验证、识别、核查等步骤来完成。其次,要对网络权限进行控制,将用户分成不同的类型,不同类型的用户具有的数据访问权限范围不同。再次,对网络用户进行监测。要对网络用户访问的情况进行完整的记录,如果发现非法访问的情况要立即采取自动锁定该用户的措施,避免造成更大的影响。最后,要建立防火墙和信息加密,避免网络入侵,同时对传输到网络上的数据进行加密保护。除了上述几种策略外,还包括使用入侵检测技术、数字签名技术、智能卡技术等等。
信息系统安全管理制度
当今社会,计算机信息系统的安全保护具有重大意义。计算机在生活中正常发挥其功能,都必须要做到计算机信息系统的安全保护,这样才能保证运行网络环境及信息数据的安全。计算机信息系统安全,表现在很多方面,正是因为如此,也使得计算机信息系统安全带来了更多的不确定性,相应的在很大程度上影响着计算机信息系统技术的应用和发展。如今是网络化与信息化同步的社会,隐私问题是受到各界强烈关注的问题。保护个人隐私和社会、国家正常发展,计算机信息系统的安全技术得到广泛应用是至关重要的。但是由于计算机信息系统中存在着许多用户信息和资料,倘若网络环境的安全性极差或者是得不到保障,这样一来,系统里面的信息安全将会面临威胁,甚至是整个信息系统都会受到不同程度的破坏。近年来,信息系统里面的信息泄露事件不断发生,使人们感受到网络安全的重要性。因此,计算机技术人员也开始研究如何才能做到网络信息的安全保障。但是,依据目前的现状来看,安全技术研究工作还未得到快速的实施。计算机信息技术发展迅猛,技术人员想要对其准确的把握,还需要对大量的、有针对性的网络安全技术进行实践,总的来说,计算机信息系统安全技术的研究及应用还是人们所迫切需要的。计算机信息系统安全就是说,要把安全作为整个计算机信息系统研发中的首要开发目标。在系统开发的各个环节上,都必须把安全放在首位,做到把控各层次的系统安全技术。一方面,不仅要保证安全性,另一方面,也要做到它的效益和效率等各方面的问题。假如系统的安全性难以与系统的其他技术性能相互融合的时候,那么就可以运用其他一些特殊手段来完善某些技术上的不足。
信息系统安全管理制度
按照国家保密相关法律法规和***、**和**等上级部门有关保密要求,****(以下简称***)开展了相关保密工作,现将情况汇报如下:
一、基本情况。
目前,中心日常办公台式计算机共有29台,其中涉及保密计算机4台(均未上网),上网计算机18台,未上网7台。笔记本计算机14台。
按照管理要求,由站网室和综合室负责计算机、网络方面的安全管理工作,制定相关保密规定和上网管理规定等规章制度,定期或不定期进行保密工作检查,对于保密计算机实行物理隔离措施,台式计算机分部门管理使用;笔记本计算机按照使用的用途进行分类管理,由站网室统一管理和维护,采取使用、归还登记制度。
为了加强保密和信息安全,中心还于底购置了硬件防火墙和网络安全防护软件,基本解决了网络攻击问题和病毒、木马骇客软件在局域网中的传播。
二、存在问题。
中心尽管从制度上不断提高管理要求,并加强硬件设备投入,但离全面实现信息安全监控和保障还有很大的差距。
(一)计算机、网络设备不足。
盘等移动介质传播木马、病毒的情况时有发生,尽管网络防护软件能及时发现并处理,但缺乏反扫描侦测方面的安全控制设备,潜在威胁很难发现,隐患依然存在。
(二)管理水平和人员素质有待提高。
由于计算机使用人较多,计算机又不是专人使用,经常造成系统损坏或运行不畅,给管理人员带来很多问题,而中心没有专门的'计算机专业人员,属于兼职工作,专业技术水平有限,管理水平和人员素质亟待提高。
(三)经费严重不足。
按照管理要求,中心计算机大多数应当实现内外网分离,但由于经费不足,每年按照预算仅能基本满足计算机的更新需要,谈不上补充完善和满足工作需要。在网络方面,每年防火墙和网络防护软件都面临着投入经费进行版本、病毒库更新的需要。
(四)保密软件和设备缺乏。
计算机硬盘出现毁损需要更换时,没有专用的消磁设备对硬盘进行处理。另外,按照管理要求,一些报告需要远程传输,但缺乏统一的专用加密软件,通过公网发送存在安全隐患。
三、下一步工作打算。
根据以上问题,我***计划在今后工作中加大计算机、网络安全方面的预算,同时安排有关的人员培训,购置有关设备和软件,希望得到**局和***的大力支持。
二oxx年三月二日。
三亿文库包含各类专业文献、中学教育、文学作品欣赏、行业资料、高等教育、生活休闲娱乐、各类资格考试、18计算机信息系统安全保密工作自查报告等内容。
医院信息系统安全管理制度
第一条 为加强医院网络管理,明确岗位职责,规范操作流程,维护网络正常运行,确保计算机信息系统的安全,现根据《中华人民共和国计算机信息系统安全保护条例》等有关规定,结合本医院实际,特制订本制度。
第二条 计算机信息系统是指由计算机及其相关的和配套的设备、设施(含网络)构成的,按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。
第三条 医院办公室下设信息中心,专门负责本医院范围内的计算机信息系统安全及网络管理工作。
第四条 遵守国家有关法律、法规,严格执行安全保密制度,不得利用网络从事危害国家安全、泄露国家秘密等违法犯罪活动,不得制作、浏览、复制、传播反动及色情信息,不得在网络上发布反动、非法和虚假的消息,不得在网络上漫骂攻击他人,不得在网上泄露他人隐私。严禁通过网络进行任何黑客活动和性质类似的破坏活动,严格控制和防范计算机病毒的侵入。
第五条 各工作计算机未进行安全配置、未装防火墙或杀毒软件的,不得入网(需入网的电脑需打报告)。各计算机终端用户应定期对计算机系统、杀毒软件等进行升级和更新,并定期进行病毒清查,不要下载和使用未经测试和来历不明的软件、不要打开来历不明的电子邮件、以及不要随意使用带毒u盘等介质。
第六条 禁止未授权用户接入医院计算机网络及访问网络中的资源,禁止未授权用户使用bt、迅雷等占用大量带宽的下载工具。
第七条 任何员工不得制造或者故意输入、传播计算机病毒和其他有害数据,不得利用非法手段复制、截收、篡改计算机信息系统中的数据。
第八条 医院员工禁止利用扫描、监听、伪装等工具对网络和服务器进行恶意攻击,禁止非法侵入他人网络和服务器系统,禁止利用计算机和网络干扰他人正常工作的行为。
第九条 计算机各终端用户应保管好自己的用户帐号和密码。严禁随意向他人泄露、借用自己的帐号和密码;严禁不以真实身份登录系统。计算机使用者更应定期更改密码、使用复杂密码。
第十条 ip地址为计算机网络的重要资源,计算机各终端用户应在信息中心的规划下使用这些资源,不得擅自更改。另外,某些系统服务对网络产生影响,计算机各终端用户应在信息中心的指导下使用,禁止随意开启计算机中的系统服务,保证计算机网络畅通运行。医院各部门科室原则上只能使用一台电脑上外网,根据部门内部需要,由部门负责人统一调配。若有业务需求需要增加时,由业务部门上报办公室审批,并报信息中心处理。
第十一条 凡登记在案的it设备,由信息部门统一管理
第十二条 it设备安全管理实行“谁使用谁负责”的原则(公用设备责任落实到部门)。凡部门(病区)或合作单位自行购买的设备,原则上由部门(病区)或合作单位自行负责,但若有需要,信息中心可协助处理。
第十三条 严禁使用假冒伪劣产品;严禁擅自外接电源开关和插座;严禁擅自移动和装拆各类设备及其他辅助设备。
第十四条 设备出现故障无法维修或维修成本过高,且符合报废条件的,由用户提出申请,并填写《电脑报废申请表》,由相应部门领导签字后报信息中心。经信息中心对设备使用年限、维修情况等进行鉴定,将报废设备交有关部门处理,如报废设备能出售,将收回的资金交医院财务入账。同时,由信息中心对报废设备登记备案、存档。
第十五条 计算机终端用户计算机内的资料涉及医院秘密的,应该为计算机设定开机密码或将文件加密;凡涉及医院机密的数据或文件,非工作需要不得以任何形式转移,更不得透露给他人。
第十六条 计算机终端用户务必将有价值的数据存放在除系统盘(操作系统所在的硬盘分区,一般是c盘)外的盘上。计算机信息系统发生故障,应及时与信息中心联系并采取保护数据安全的措施。
第十七条 终端用户未做好备份前不得删除任何硬盘数据。对重要的数据应准备双份,存放在不同的地点;对采用usb设备或光盘保存的数据,要定期进行检查,定期进行复制,防止由于usb设备损坏,而使数据丢失;做好防磁、防火、防潮和防尘工作。
第十八条 凡涉及业务的专业软件、it设备由部门使用人员自行负责,信息中心协助管理。严禁利用计算机干与工作无关的事情;严禁除维修人员以外的外部人员操作各类设备;严禁非信息中心人员随意更改设备配置。
第十九条 信息中心将有针对性地对员工的计算机应用技能进行定期或不定期的培训;由信息中心收集计算机信息系统常见故障及排除方法并整理成册,供医院员工学习参考。
第二十条 计算机终端用户在工作中遇到计算机信息系统问题,首先要学会自行处理或参照手册处理;若遇到手册中没有此问题,或培训未曾讲过的问题,再与信息中心或软件开发单位、硬件供应商联系,尽快解决问题。
第二十一条 医院网站由信息中心提供技术支持和后台管理,由医院相关部门提供经审核后的书面和电子版网站建设资料。
(一).医院的计算机与网络由网络管理员管理维护、其它部门和个不 得私自更改计算机的各项设置。
(二).各部门工作人员未经许可不可随意删除硬盘上的系统软件。
(三).严禁在上班时间使用计算机与网络做与工作无关的事情,如:玩 游戏、看电影、看小说等。
(四).各部门与工作相关的文件必需统一保存在d盘以使用者为姓名 的目录中,个人文件必需保存在e盘以使用者为姓名的目录中;不得将 任何文件存放在c盘系统目录中及操作系统桌面与“我的文档”中。未 按规定而造成的文件丢失等原因,后果自负。
(五).计算机使用者应经常整理计算机文件,以保持计算机文件的完整。
(六).计算机上不得存放有破坏医院计算机与网络正常运行的软件。 (如:黑客程序,带病毒的文件)、电影文件、及不健康的文件。
(七).禁止私自拆卸计算机及外设,更不能私自更换计算机硬件。(备 注:如有私自拆卸或更换被发现,会请示经理或主管视情节给予处罚。)
(八).由于工作疏忽,造成设备丢失,以设备的当前折算价格,责成 使用人与该部门负责人等相关人员按比例分摊。
(九).未经网络管理员许可,任何人不得因私借走医院信息设备,不 得破坏计算机网络设备。
(十).未经计算机使用人许可,禁止外单位人员使用本医院计算机。 一旦发生故障,由计算机使用人负责。
(十一).禁止设置计算机开机bois密码,发现有设置者,办公室有权 在不通知使用者的情况下给予清除。
(十二). 在工作用机上请勿下载、安装、试用不明软件,禁止登录非 法网站,以免造成系统故障。如需使用和安装外来文件或下载互联网上 的文件,请联系网络管理员申请审核。
(十三). 外出、午休、下班等不使用电脑时请及时按照正常关机方法关机,不得强行关闭电源。并检查外配设备是否关闭(显示器、打印机等)。以减少电磁辐射、节约用电、延长电脑使用寿命、保护自己及他人的身体健康。
第二十二条 有以下情况之一者,视情节严重程度处以50元以上500元以下罚款。构成犯罪的,依法追究刑事责任。
(一) 制造或者故意输入、传播计算机病毒以及其他有害数据的;
(二) 非法复制、截收、篡改计算机信息系统中的数据危害计算机信息系统安全的;
(四) 访问未经授权的文件、系统或更改设备设置;
(五)擅自与他人更换使用计算机或相关设备;
(六)擅自调整部门内部计算机的安排且未备案;
(七)工作时间外使用医院计算机做与工作无关的事务;
(八)相同故障出现三次以上(包括三次)仍无法自行处理的;
(九)因工作需要长时间(五个小时以上)离开办公位置或下班后无故未将计算机关闭;
第二十三条 计算机终端用户因主观操作不当对设备造成破坏两次以上或蓄意对设备造成破坏的,视情节严重,按所破坏设备市场价值的20%~80%赔偿。
第二十四条 计算机终端用户应积极配合信息中心共同做好计算机信息系统安全管理工作
第二十五条 本制度适用于全医院范围,由办公室负责解释、修订。
第二十六条 本制度自发布之日起实施,凡原制度与本制度不相符的,照本制度执行。
公司信息系统管理制度办法
第一条为了加强公司计算机信息系统的领导和管理,促进公司信息系统的应用和发展,保障系统有序运行,制定本规则。
第二条本规则所称的计算机信息系统,是由计算机及其相关配套的设备、设施构成,按照系统应用的目标和规则对公司信息进行采集、加工、存储、传输、检索、决策等处理的人机系统。
第三条公司计算机信息系统是为了保障系统建设和应用,保障系统功能的正常发挥,保障运行环境和信息安全,满足各工作站操作和维护的全部活动正常进行。
第四条本规则适用于公司全部应用信息系统的所有部门和个人。
第五条负责公司计算机信息系统的运行监测、及时维护、数据备份。
第六条负责公司信息中心和各工作站系统软件、应用软件的安装、调试和维护工作。
第七条负责硬件设备及耗材购买、装配、检修和维护。
第八条负责提供对新的硬件、网络及软件升级换代选型的技术方面意见。
第九条非计算机管理人员,未经批准不得进入机房。
第十条保证服务器24小时不间断正常工作,不得在服务器专用电路上加载其他用电设备,应在专门的市电线路上加载。
第十一条内部服务器严禁接入因特网,并安装好杀毒软件,做好病毒防范,杜绝院内病毒感染。
第十二条对服务器参数及配件进行调整或更换,应经部门经理批准,管理人员应严格填写工作日志。
第十三条信息系统安全包括:软件安全和硬件网络安全两大部分。
第十四条计算机管理人员必须采取有效的方法和技术,防止信息系统数据的丢失、破坏和失密;硬件破坏、失效等灾难性故障。
第十五条系统管理人员应熟悉并严格监督数据库使用权限、用户密码使用情况,定期更换用户口令或密码。
第十六条计算机管理人员要主动对网络系统实行监控、查询,及时对故障进行有效隔离、排除和恢复工作,以防灾难性网络风暴发生。
第十七条网络系统所有设备的配置、安装、调试必须由计算机管理人员负责,其他人员不得随意拆卸和移动。
第十八条所有上网操作人员必须严格遵守计算机及其他相关设备的操作规程,禁止其他人员进行与系统操作无关的工作。
第十九条严禁自行安装软件,特别是游戏软件,禁止在工作用电脑上打游戏。
第二十条所有进入网络的软盘、光盘、u盘等其他存贮介质,必须经过计算机中心负责人同意并查毒,未经查毒的存贮介质绝对禁止上网使用,对造成“病毒”蔓延的有关人员,将根据破坏损失程度对其进行相应的经济和行政处罚。
第二十一条在公司还没有有效解决网络安全(未安装防火墙、高端杀毒软件和入侵检测系统)的情况下,内外网独立运行,所有终端内外网不能混接,严禁外网用户通过u盘等存贮介质拷贝文件到内网终端。
第二十二条保持计算机硬件网络设备清洁卫生,做好防尘、防水、防静电、防磁、防辐射、防鼠等安全工作。
第二十三条计算机管理人员有权监督和制止一切违反安全管理的行为。
第二十四条当科室操作人员在使用系统时发现访问网络及数据库速度迟缓、不能进入相应程序、不能保存数据、不能进行网络拷贝、要检索数据时较长时间没有反应等情况,应立即向计算机管理人员反映。
第二十五条计算机中心应时常与硬件网络集成商保持较好的联系,一旦出现交换设备或光纤线路损坏,能及时通知他们以最快速度赶来救援,同时做好线路备份工作。
第二十六条未经计算机管理人员批准,任何人不得改变网络拓扑结构,网络设备布置,服务器、路由器配置和网络参数。
第二十七条任何人不得进入未经许可的计算机系统更改系统信息和用户数据。
第二十八条企业局域网上任何人不得利用计算机技术侵占用户合法利益,不得制作、复制、和传播妨害单位稳定的有关信息。
第二十九条各部门定期对本部门计算机系统和信息数据进行备份以防发生故障时进行恢复。
信息系统管理制度
第一条为保证公司信息网络系统的安全,根据国家有关计算机、网络和信息安全的相关法律、法规和安全规定,结合公司内网络系统建设的实际情况,制定本办法。第二条本办法所指的信息网络系统,是指由计算机(包括相关和配套设备)为终端设备,利用计算机、通信、网络等技术进行公司内信息化管理中的数据采集、处理、存储和传输的设备、技术、管理的组合。
第三条信息网络系统安全的含义是通过各种计算机及其他登陆终端、网络、密码技术和信息安全技术,在实现网络系统安全的基础上,保护信息在传输、交换和存储过程中的机密性、完整性和真实性。对于终端网络安全特指本机信息系统应用数据、操作系统、身份验证及操作代码的机密性及安全性。
第四条本规定适用于公司内所有计算机硬件及周边设备(如打印机、扫瞄仪、mo存储器,软磁碟,cd碟,数码相机、考勤机终端等)及所有网络设备。公司内所有操作计算机岗位和与之有工作的岗位均属此管理之内。
第五条计算机系统账号与操作员代码。
二、系统管理操作代码必须经过相应申请经相关系统管理人员授权取得;
四、系统管理员对业务系统进行数据整理、故障恢复等操作,必须有主管负责人授权;
五、信息部门任何人员不得使用他人操作代码进行业务操作;
七、一般操作码由系统管理员根据各类应用系统操作要求生成,应按每操作用户一码设置。
八、操作员不得使用或盗用他人代码进行业务操作。
九、操作员调离岗位,系统管理员应及时注销其代码并生成新的操作员代码。
第六条密码与权限管理。
一、密码是保护系统和数据安全的控制代码,也是保护用户自身权益的控制代码。密码分设为用户密码和操作密码,用户密码是登陆系统时所设的密码,操作密码是进入各应用系统的操作员密码。密码设置应具有安全性、保密性,不能使用简单的代码和标记。
二、密码应定期修改,间隔时间不得超过一个月,如发现或怀疑密码遗失或泄漏应立即修改,在可能的情况下并相应记记录用户名、修改时间、修改人等内容,及时上报公司信息中心备案。
三、服务器、路由器等公司重要信息设备的超级用户密码由运行机构负责人指定专人(不参与系统开发和维护的人员)设置和管理,并由密码设置人员将密码装入密码信封,在骑缝处加盖部门印章并签字标注封存日期后交由信息中心存档并登记。如遇特殊情况需要启用封存的密码,必须经过相关部门负责人同意,由密码使用人员向密码管理人员索取,使用完毕后,须立即更改并封存,同时在“密码管理登记簿”中登记。
四、系统维护用户的密码应至少由两人共同设置、保管和使用。有关密码授权工作人员调离岗位,有关部门负责人须指定专人接替并对密码立即修改或用户删除,同时在“密码管理登记簿”中登记并备档留存。
第八条注意计算机重要信息资料和数据存储介质的存放、运输安全和保密管理,保证存储介质的物理安全。
第九条任何非应用性业务数据的使用及存放数据的设备或介质的调拨、转让、废弃或销毁必须严格按照程序进行逐级审批,以保证备份数据安全完整。
第十条数据恢复前,必须对原环境的数据进行备份,防止有用数据的丢失。数据恢复过程中要严格按照数据恢复手册执行,原则上数据恢复由公司信息中心完成。如因其他原因由业务部门进行的,信息中心心须指定相关人员进行现场技术支持。数据恢复后,必须进行验证、确认,确保数据恢复的完整性和可用性。
第十一条数据清理前必须对数据进行备份,在确认备份正确后方可进行清理操作。历次清理前的备份数据要根据备份策略进行定期保存或永久保存,并确保可以随时使用。数据清理的实施应避开业务高峰期,避免对联机业务运行造成影响。
第十二条需要长期保存的数据,数据管理部门需与相关部门制定转存方案,根据转存方案和查询使用方法要在介质有效期内进行转存,防止存储介质过期失效,通过有效的查询、使用方法保证数据的完整性和可用性。转存的数据必须有详细的文档记录。
第十三条非本单位技术人员对本公司的设备、系统等进行维修、维护时,必须由本公司相关技术人员现场全程监督。计算机设备送外维修,须经设备管理机构负责人批准。送修前,需将设备存储介质内应用软件和数据等涉经营管理的信息备份后删除,并进行登记。对修复的设备,设备维修人员应对设备进行验收、病毒检测和登记。
第十四条管理部门应对报废设备中存有的程序、数据资料进行备份后清除,并妥善处理废弃无用的资料和介质,防止泄密。
第十五条运行维护部门需指定专人负责计算机病毒的防范工作,建立企业内部计算机病毒防治管理制度,经常进行计算机病毒检查,发现病毒及时清除。
第十六条公司内所有计算机未经信息部允许不准安装与其业务部门无关的软件、不准使用来历不明的载体(包括软盘、光盘、移动硬、mp3盘其他存储介质)。
第十七条任何人员不得盗用他人账号或操作员代码、公司内部网络安全管理密码进行操作。
第十八条部门所使用计算机不得使用除集团军公司内及时通讯软件外的任何第三方软件。严禁在工作计算机上安装好bt、p2p等类型的多线程或占用带宽流量的下载软件,所有下载均采用单线程下载。保证公司的带宽有效利用。第十九条计算机内电子邮件收发均通过公司内部邮件系统进行,不得采用其他外部邮件系统,如因需要,可向信息中心申报后给予开通pos服务通道,并做备案。
第二十条公司各部门计算机均采用域管理方式进行登陆,在工作期间必须登陆公司域服务器,并严格按照域管理下的操作说明进行文档及其他相关文件的传递。
第二十一条防病毒系统均采用公司统一布署的企业网络防病毒系统,各部门计算机病毒代码均由公司防病毒服务器进行统一下载,不得擅自登陆非本病毒软件官方以外的下载站点下载并进行病毒库代码更新。
第二十二条为保证公司internet的带宽流量,信息主管部门必须对访问internet权限进行管控,各部门若有访问外部internet公网其他特别需求的,可提出申请,经部门主管及信息部门审核,报经总经理批准后,使申请人享受访问internet的特别需求权力。未通过此程序审批而私自设定其他方法访问外部网络,一经发现,将做严责。如因此给公司带来损失的,责成责任人承担相应损失。
第二十三条进入信息主机房至少应当有两人在场,并登记“机房出入管理登记簿”,记录出入机房时间、人员和操作等内容。
第二十四条信息管理人员进入机房必须在“机房出入管理登记簿”签字登记,其他人员进入机房必须经信息中心许可,并由有关人员陪同(特殊情况除外)。机房当日值班人员必须如实记录来访人员名单、进出机房时间、来访内容等。非信息部门工作人员原则上不得进入中心对系统进行操作。如遇特殊情况必须操作时,经信息部门负责人批准同意后有关人员陪同情况下进行。对操作内容进行记录,由操作人和监督人签字后备案。中心机房实行严格的门禁管理制度,及时发现和排除主机故障,根据业务应用要求及运行操作规范,确保业务系统的正常工作。每天应实行机房例行检查制度,并就机房设备运行及其他情况做好值日记录。
第二十五条保持机房整齐清洁,各种中心设备按维护计划定期进行保养。计算机机房中要保持恒温、恒湿、电压稳定,做好静电防护、防雷、防尘等项工作,保证主机系统的平稳运行、定期对机房运行的各项环境指标(如温度、洁净度、温度上升率等)进行测试,并做好记录,通过实际测量各项参数发现问题及时解决,保证机房各项设备的正常运行。
第二十六条机房内严禁吸烟、进食、会客、聊天等与业务无关的活动。严禁携带液体和食品进入机房,严禁携带与上机无关的物品,特别是易燃、易爆、有腐蚀等危险品进入机房。其他部门如因需要携入移动计算机入机房需报经信息部门批准方可携入。
第二十七条机房工作人员严禁违章操作,严禁私自将外来软件带入机房使用。
第二十八条严禁在未采取安全措施或通电的情况下拆卸,移动机房内等相关设备、部件及网络。在进行机房硬件更换或维修时,必须进行静电释放方可进行。
第二十九条定期检查机房消防设备器材,做做好检查登记,在机房值日记录上并做书面登记。
第三十条机房内不准随意丢弃存储介质和有关业务保密数据资料,对废弃存储介质和业务保密资料要及时销毁(碎纸),不得作为普通垃圾处理。严禁机房内的设备、存储介质、资料、工具等私自出借或带出。
第三十一条服务器等所在的中心机房后备电源(ups)除了电池自动检测外,每年必须深充放电一次到两次。
第三十二条it设备购置。
一、所有it设备均由公司采供部进行采购。设备购置由使用部门提出申请,由信息部门进行核定后上报公司分管领导审批后转公司采供部统一采购。
二、对it设备的采购验收信息部配合采供部共同完成,验收合格后由信息部进行安装调试后配发申请使用部门。
三、信息部负责对购置的it设备做专项台账建立,并于年低转交一份至公司财务部备查。
四、大型it设备采购或特殊it设备采购,申请部门原则上提前一周向信息部转交购置申请,信息部在接到购置申请后必须进行询价,询价必须至少在三家以上,出具it设备购置市场调查及建议随附购置申请上报公司领导审批,审批后转公司采供部。
五、it设备耗材的采购,信息部配合办公室、财务部、企划部制定it设备耗材定额及费用核算后按核算标准采购。部门it设备耗材超出核算部分由部门自行承担。
六、对it设备的采购严格遵守公司的统一采购流程及管理规定,配合采供部完成it设备的采购及验收工作。
第三十三条it设备配发。
一、公司it设备的购置配发及调配由信息部进行统一规划和管理。
二、信息部依据公司年度工作计划,编制公司年度it设备采购及配发计划。
三、公司各部门因工作需要提出申请配发it设备的,由使用部门提出申请,具体载名使用岗位、用途后转信息部,由信息部按工作岗位、工作需要、性能要求等分配闲置it设备或购置。如需购置则转入it设备采购流程进行购置配发。
四、it设备的配发及互调必须由信息部备案,信息部及时进行it设备台账变更登记,注明配发及互调日期等相关事项。
第三十四条it设备故障维修。
一、信息部负责公司所有it设备的故障及维修。
二、信息部对公司的it设备故障做鉴定和维修,并出具鉴定结果,并对鉴定结果负责。
三、在接到部门的使用保障后,一般故障需在15分钟内赶到,影响。
到部门正常工作业务开展的,5分钟内必须赶到(特殊情况除外),重大故障(数据丢失、工作无法开展的)必须在接到报障后,报请信息部负责人,由信息部提出解决方案,依据方案进行处理,对重大故障信息部必须备案。四、对于一般故障和影响到部门工作业务开展的,必须在当天工作日内完成处理,超出工作日的原则上不算加班。对于重大故障必须及时维护及维修的,如超出工作时限部分按照实际情况酌情处理。
五、任何报障必须建立报障维修记录,并做保障事故签定。维修人员对保障事故鉴定负责。信息部负责人对重大故障的处理方案及结果负责。
六、it设备硬件故障经信息部维修人员鉴定在其范围内无法维修的,如在三包范围内的,由信息部联系销售厂家进行维修。超出三包范围的,信息部填报外包维修申请单,由信息部负责人核准上报公司分管领导审批后交由外包维修单位进行维修。
七、it设备外包维修单位具体事宜由信息部进行洽谈并与其签定外包维修合同。合同交由法务部进行核准方可签定。
八、对于发往外包维修或三包范围内的设备维修信息部必须进行登记造册,注明产品型号、品牌、内部具体配置等信息。在维修返回后依据的出厂维修登记进行验收。
九、对于外包或三包范围内的it设备维修,为确保报障部门正常工作,信息部在不影响其他部门工作正常开展的情况下有权对it设备进行暂时调配。
十、企业it核心设备的硬件物理损坏故障鉴定必须由厂家及公司委托专业it设备鉴定机构完成,信息部负责全程跟踪,对最终鉴定结果负责。
十一、对于it硬件设备故障在鉴定后无维修价值的,转入it设备报废管理流程进行处理。
第三十五条it设备报废管理。
一、it设备的报废鉴定统一由信息部完成,特殊it设备(如服务器,磁带存储设备、核心路由器、核心交换机)的故障鉴定由厂家、公司委托第三方it设备鉴定机构、信息部共同完成。信息部对it设备的报废鉴定结果负责。二、信息部对it设备报废鉴定报告上报公司分管领导审批后,对报废it设备统一进行存放管理。
三、对it设备报废鉴定为人为原因造成的,由责任人承担此it设备的全额损失,并按照公司相关管理规定进行从严处罚。
四、信息部对管理存放的报废it设备定期进行清理,并做处理方案报公司分管领导审批后,对报废it设备进行出售,并由办公室、财务部监督执行。对所出售所得款项当天缴至财务部。建立报废it设备出售台账,以备查验。
五、公司各部门要在最大程度上提高it设备的使用年限,厉行节约。信息部要做到it设备可用零部件的二次利用,为公司开源节流做贡献。
第三十六条本管理规定适用于公司内信息化建设过程中的所有it系统项目招标、采购及实施。
第三十七条公司信息化建设过程的系统建设要从公司中长期规划出发,结合公司现行实际发展情况,根据必要性、合理性、经济性而实施。保证公司的投资效益。
第三十八条公司it系统的建立过程中的市场调研、组织招标、合同签定、项目实施等均由信息部与建设部门共同配合完成,信息部主导上述工作各环节。
第三十九条公司it系统项目立项申请原则上由建设部门提出,信息部也可以根据公司发展提出。所有it系统立项均报公司上会研究决定后方可着手实施。
第四十条it系统项目的立项申请必须确定it系统的总体管理目标。申请必须书面清晰说明需求,信息部在接到项目申请后必须在一周内完成市场调查,并出具相关报告随同项目申请上报公司领导,经公司会议研究决定批准后,信息部按照批准后意见组织项目实施。
第四十一条it系统项目的采购合同必须报公司法务部进行核准后方可签定。
第四十二条it系统项目一经确定立项实施,必须成立项目小组,确定项目小组负责人及成员,原则上项目小组负责人由公司领导担任,小组成员由公司内各部门负责人组成。信息部在项目实施过程中对项目小组负责。
第四十三条项目小组成员要根据项目要求,极积主动高质量完成项目实施过程中专项工作。工作实施专管专责,不得中途转手他人(特殊情况除外)。
第四十四条信息部在项目实施过程中负责协调、组织、沟通和实施过程中的衔接工作。及时解决处理项目实施过程中的技术和其他问题。
第四十五条信息部全程跟踪、管理项目实施过程中的所有环节,并对项目进度及质量负责。it系统项目实施过程中的技术文档、项目需求、知识文档等信息部要建立完整的项目文档管理体系。
第四十六条it系统项目验收由项目小组评审验收,信息部具体负责项目验收评估及项目验收报告并上报公司审批等工作。
第四十七条信息部负责it系统项目验收完成后的具体运行维护工作,并依据运行情况出具相关运行报告。
第四十八条由于公司发展需要,前期运行的it系统需做二次开发或升级的,由具体使用部门与信息部配合及沟通提出系统需求,再由信息部整合需求,提供整体解决方案报公司信息化项目领导小组审定后,信息部与软件供应商联系系统二次开发或升级事宜。严禁相关部门私自或提前与软件供应商联系,避免谈判被动,给公司带来不利影响。
第四十九条信息部负责公司内部门的计算机软件、硬件、上网行为及系统运行的统一维护和管理。
第五十条信息部负责对公司内各部门使用的计算机做日常定期、不定期使用监督检查,对于检查中发现的违规全权处理。对于检查中发现的重大违规应及时上报公司分管领导。
第五十一条公司内全体员工对违规使用计算的行为有互相监督和举报的权利。
第五十二条严禁外来人员使用公司电脑。
第五十三条公司所有计算机实行封签管理。计算机的维修权在信息部,任何人不得擅自更改计算机硬件配置或打开计算机,非信息部人员对计算机故障原因的确定无任何效力。
第五十四条下班后各部门必须关闭计算机及处围设备,检查电源情况,确保安全方可离开。
第五十五条在办公期间,长时间不用电脑必须采取人离机锁定,防止公司信息数据及秘密泄露。
第五十六条计算机使用人员不得擅自更改系统软件设置,安装与工作无关的即时通讯、炒股、游戏、bt下载、p2p、在线流媒体音视频播放等第三方软件。
第五十七条公司接入互联网的网络参数及设备参数严格实行保密,信息部对此项保密负责。
第五十八条特殊岗位使用计算机和系统操作人员必须与公司统一签定公司信息网络安全保密协议。
第五十九条任何人不得利用公司计算机和网络从事违法犯罪活动,一经查处落实,将从严处罚。
第六十条工作时间内严禁使用计算机或互联网做与工作无关的事。
第六十一条工作时间除工作需要打开的互联网指定访问外(包含下载),其他网络访问及网络应用信息部一律采用技术手段处理,确保各部门工作正常开展不受影响。
第六十二条公司内部网络带宽依据各部门实际工作需要,做带宽规划并进行带宽分配,确保各部门工作不受第三方影响。
第六十三条公司内除特别需要的,各部门使用的计算机一律通过公司域服务器登陆。并对各部门的usb接口,cd(dvd)光驱进行技术关闭。确保计算机内部数据及网络信息系统安全。
第六十四条公司内各部门的文件传输均采用公司内部邮件系统或公司内部即时通讯软件完成。
第六十五条信息部有权利用网络监控技术手段对公司内各岗位所使用的工作计算机进行数据、上网行为、系统等操作行为进行工作期间的监控。并对违规操作每月定期进行通报。
第六十六条根据操作违规所给公司及信息系统的运行带来的损失及影响将违规操作分为a、b、c三类。
一、a类违规及范围界定:
1、在未经公司授权或非公司信息中心人员进行维护的前提下非岗位操作人员对其所使用的系统进行操作或查阅,查实盗取或违规修改应用系统业务数据的,给公司造成重大损失的。
2、在未经允许的情况下安装与信息系统或工作无关的软件、使用外带的各类移动存储设备(如:软盘、光盘、u盘等),给公司信息系统带来直接危害的。
3、工作期间通过信息网络系统登陆非公司业务的任何互连网网站及其它各类与工作无关的网站网页,导致公司内部信息网络感染病毒的并严重影响工作开展的。
4、将公司网络参数及网络设备参数外泄造成公司网络信息系统安全隐患的。
5、未经允许以任何理由复制、携带、帮助查阅、口头泄露等任何方式将公司各类信息数据带出办公岗位或告知他人的。
6、在公司关键及特殊岗位使用的计算机上安装各类游软件的。
7、恶意更改公司网络信息系统的所涉及的各类参数及数据的。
8、通过公司网络信息系统窃取其它部门或个人的文档资料或文件,造成恶劣影响并给公司、部门、个人带来损失的。
9、向外界以书面或口头形式透露公司信息网络安全防御工具及措施的。
10、未经授权盗用他人帐号及密码操作非本岗位所使用的信息系统模快功能的。
11、it设备未经报批擅自做报废和处理的。
12、蓄意破坏公司it设备、网络线路造成严重损失和恶劣影响的。
13、对采购的it设备未按验收流程严格验收,致使验收的it设备无法正常运行的。
14、对it系统项目立项招标过程中不按公司项目招标管理规定,违规操作的。
15、信息部人员未按报障时间规定及进响应处理报障,给部门工作造成重大后果的。
16、不按规定下班对it设备进行电源关闭安全隐患检查,造成重大损失的。
17、采用技术或非技术手段蓄意破坏公司信息系统硬件或软件,造成重大后果的。
凡违反a类界定违规项的处以200--1000元/次/项罚款。并因此给公司、部门及个人造成的一切损失由违规人全部承担。情节严重的上报公司将移交司法机关处理,并保留起诉权。
二、b类违规及范围界定:
1、各类业务单据、数据及相关业务处理因个人原因处理错误,已给公司造成一定的损失及不良的影响的。
2、未按公司各相关信息系统业务操作流程规定进行相应的业务管理及操作,可能会给公司带来损失的。包括:各类数据不及时跟踪检测造成偏差而查不出原因的、未经审批进行库存损溢数据处理的、无采购订单系统入库的、不按采购物资订单进行相应库存数据录入的、各种信息资料处理不及时等所有的违反公司制定的信息系统操作流程的现象。
3、所有的过失错误造成公司信息系统数据不准确及偏差给公司造成损失的。包括:仓库盘点数据录入错误、对信息系统出现的问题及故障人为性不及时处理造成部门工作延误或影响的、对部门内发现的问题不及时上报隐瞒问题真象的等所有因个人工作过失造成影响到公司信息管理的一切违规行为。
4、违反it管理规定登陆互联网造公司计算机感染病毒或采用非正规手段传播、制造病毒,给公司信息系统安全带来隐患的。
5.将it设备配件擅自拆除挪作他用或盗取的。
凡违反b类限定违规项的处以20--100元/次/项罚款。并因此给企业或个人造成的一切损失由违规人全部承担。情节严重的公司将根据实际情况予以加重处理或解聘。
三、c类违规范围界定:
1、因个人工作延误或失职造成工作的滞后但未给公司造成直接经济损失的。包括:数据录入信息系统不及时、不涉及公司核算项的内容录入错误、单据录入或未做系统提交生效的、各类单据及业务处理错误但能及时发现并予以改正的。
2、因个人的工作违规未给公司造成直接损失且影响其它部门业务正常开展的。包括:相关核算单据不及时传递、各种业务通知不及时传达到对应的部门的、对于信息系统出现的问题不及时沟通造成工作混乱的等所有违规行为。
3、工作期间利用计算机做与工作无关的事,违规下载各类文件的。
4、不按规定下班对it设备进行电源关闭安全隐患检查,造成损失的。
5、擅自打开或更换公司it设备内部配置或安装与工作无关软件的。
6、不按规定工作期间计算机未登陆域服务器,造成公司it管理失控的。
凡违反c限定违规项的处以20元/次/项罚款。并对违规行为做公司内警告处分。
第六十七条信息部人员违反本管理规定加重责罚。
第六十八条此管理规定由信息部负责起草并解释。
第六十九条此管理规定报公司批准下发后即时生效。
信息系统安全管理制度
为进一步规范公司管理,防范企业涉密资料以及涉密数据外泄,经过公司研究决定,从即日起,规范相关关键信息、账户的管理。公司根据现在公司的管理需求,统一收回所有公司信息管理账号,集中管理,专人保管。各个部门如要使用可填写账户使用申请单。
具体管理办法如下:
第一条 为加强公司用户账号管理,规范用户账号的使用,提高信息系统使用安全性,特制定本制度。
第二条 本制度中系统账号是指应用层面及系统层面(平台、操作系统、数据库系统、信息管理系统、防火墙及其它网络设备)的用户账号。
第三条 本规定所指账号管理包括:
1、应用层面用户账号的申请、审批、分配、删除/禁用等的管理
2、系统层面用户账号的申请、审批、分配、删除/禁用等的管理
3、用户账号密码的管理。
第四条 系统拥有部门负责建立《岗位权限对照表》(附件一),制定工作岗位与系统权限的对应关系和互斥原则,对具体岗位做出具体的权限管理规定。
第五条 信息管理中心根据系统拥有部门提交的《岗位权限对照表》增加系统岗位权限控制。
第六条 用户账号申请、审批及设置由不同人员负责。
第七条 各信息系统需设置超级管理员、系统管理员、系统管理监督员和普通用户。超级管理员、系统管理员与系统管理监督员不能由同一人担任,并不能是系统操作用户。
1、超级管理员:负责按照领导审定的《信息系统权限申请表》(附件二)进入系统管理员的授权管理。
2、系统管理员:负责按照领导审定的`授权进行录入,并对系统运行状况以及系统用户数据录入进行管理。系统管理员应对录入的授权和系统运行状态建立台帐,定期向系统管理监督备案。
3、系统管理监督员:负责对录入的数据和授权进行监督,并建立用户权限台帐,定期对系统管理员录入的授权和系统运行状态以及用户录入数据进行监督检查。
4、普通用户:负责对系统进行业务层面的操作。
第八条 信息管理中心将定期抽取系统岗位和用户清单进行检查,发现可疑授权、可疑使用将根据实际情况予以通报修正,并将检查结果记入信息化年度考核中。
第九条 申请人使用统一规范的《信息系统权限申请表》(附件二)提出用户账号创建、修改、禁用、启用等申请。
第十条 账号申请人所属部门负责人及系统拥有部门负责人根据《岗位权限对照表》审核申请人所申请的权限是否与其岗位一致,确保权限分配的合理性、必要性和符合职责分工的要求。
第十一条 在受理申请时,权限管理人员根据申请配置权限,在系统条件具备的情况下,给用户分配独有的用户账号或禁用用户账号权限,以使用户对其行为负责。一旦分配好账号,用户不得使用他人账号或者允许他人使用自己的账号。
第十二条 新员工入职或员工岗位发生变化时,应主动申请所需系统的账号及权限。
第十三条 人员离职的情况下,该员工的账户应当被及时的禁用。离职人员的离职手续办理完毕后。员工所属部门以书面方式通知系统管理部门,由系统管理部门实施用户帐户及权限的回收操作。
第十四条 账号管理人员建立各种账号的文档记录,记录用户账号的相关信息,并在账号变动时同时更新此记录。
第十五条 特权账号指在系统中有专用权限的账号,如备份账号、权限管理账号、系统维护账号等。超级用户账号指系统中最高权限账号,如administrator(或admin)、root等管理员账号。
第十六条 只有经授权的用户才可使用特权账号和超级用户账号,严禁共享账号。
第十七条 信息系统管理部门每季度查看系统日志,监督特权账号和超级用户账号使用情况,并填写《系统日志审阅表》(附件三)。
第十八条 尽量避免特权账号和超级用户账号的临时使用,确需使用时必须履行正规的申请及审批流程,并保留相应的文档。
第十九条 临时使用超级用户账号必须有监督人员在场记录其工作内容。
第二十条 超级用户帐户必须由信息管理中心管理(如没有超级管理员,信息管理中心必须掌握系统管理员权限)。系统管理员和系统管理监督员可通过信息管理中心与系统拥有部门协商管理(如系统管理员由系统拥有部门管理,《信息系统权限申请表》必须以邮件方式电子文档交予信息管理中心备案便于监督审核)。
第二十一条 信息化各系统交使用单位验收合格后,必须由信息管理中心和系统拥有部门共同督促系统开发方删除临时测试帐户。
第二十二条 系统拥有部门指定专人负责每季度对系统应用层面账号及权限进行审阅,并填写《信息系统权限清理清单》(附件四)。
第二十三条 信息管理中心指定专人负责每季度对系统层面账号及权限进行审阅,并填写《信息系统权限清理清单》。
第二十四条 员工离职后,账号管理人员及时禁用或删除离职人员所使用的账号。如果离职人员是系统管理员,则及时更改特权账号或超级用户口令。
第二十五条 用户账号口令发放要严格保密,用户必须及时更改初始口令。
第二十六条 用户账号口令最小长度为6位(系统超级用户、管理员和监督员口令最小长度为8位),并具有一定复杂度。
第二十七条 用户账号口令必须严格保密,并定期进行更改,密码更新周期不得超过90天。
第二十八条 严禁共享个人用户账号口令。
第二十九条 本制度与公司相关标准、规范相冲突时,应按照公司相关标准、规范执行。
第三十条 本制度适用于由信息管理中心归口管理的所有系统。
第三十一条 本制度由信息管理中心起草并解释。
第三十二条 本制度从发布之日起施行。
信息系统管理制度
第一条为确保公司信息管理系统正常运行,有效地建设、保护和利用信息系统资源,防范系统运行风险,提高信息使用和过程管理效率,特制定本制度。
第二条本制度适用于公司内部使用的信息管理系统的相关人员,也包括信息管理系统软件以及支撑信息管理系统运行的资源和设备。
第三条信息系统的日常运行与维护,由办公室安排具体人员统一负责管理。负责与信息系统供应商的联系沟通,根据公司业务发展情况进行必要的升级等。
第四条信息系统管理范围包括:业务部门、人员信息管理、系统用户权限管理。
第五条信息系统设置管理员,由系统管理员负责管理,负责公司部门机构变化、人员信息变化而对系统进行维护;负责系统用户设置和权限分配工作。
第六条系统管理员应根据公司人员对应的聘任岗位和岗位职责来设置用户权限。
第七条用户权限需要改变时,所在部门提出申请,经过相关领导同意后通知系统管理员在系统中进行调整,系统管理员不得越权调整用户功能权限的设置。
第八条用户离职时,系统管理员根据《离职通知单》,停用此用户在系统中的用户名或停用此用户名的所有权限,并记录有关情况。
第九条系统管理员使用系统中的管理员账号进行管理工作后,应记录有关操作情况。
第三章基础数据采集管理。
第十条信息系统中的基础数据包括:专业类别维护、所属专业维护、业务类别维护、区域信息维护、审批部门维护、管理类别分管、业务来源维护、咨询评价师维护、归档资料维护、咨询评价目的维护、业务类别分管、难度系数维护、合同分类维护、质量评价标准维护、客户评价项目维护、客户评价分值定义及公司人力资源管理信息的维护。
第十一条信息系统中基础数据审批部门和业务来源由分管副总负责维护,人力资源管理信息的维护由办公室负责;其他基础数据由系统管理员负责维护,系统管理员维护的基础数据需要增加或者修改时必须得到公司分管副总的认可后方可增加和修改,同时做好维护记录。
第四章信息备案完整性规定。
第十二条信息备案是对潜在的市场信息进行记录在案,备案的信息属于可培育的服务机会。公司每位员工均有义务将得到的市场信息及时备案在系统,对备案的信息原则上由备案人所在部门安排项目经理进行初步接洽或洽谈。
第十三条信息备案表数据录入要求:
1.项目名称能够反映项目的基本情况:采用“建设单位+规模+产品名称”。如:“***公司年产***吨***产品项目”。
2.业务类别:考虑备案阶段,一个备案名称下可能有几个类别,建议按照主要类别区分即可,如:一个项目有可研报告和节能报告两个报告,则业务类别只要选择“可研报告”即可。通常的选择次序为项目建议书、可行性研究报告、项目申请报告、节能评估报告等。
3.委托单位需要填写单位的完整名字。
4.联系人情况中:电话和手机必选一个来填写。
5.业务来源:按照来源填写。
6.项目概况描述:需要体现项目单位、投资额、建设规模、建设地点等基本信息,同时说明提供咨询的目的,便于进一步开展跟踪和服务工作。
项目经理根据部门(或公司)统一的安排,根据项目备案的信息,开展项目的洽谈工作。
第十四条项目洽谈的含义:经过同业主进行沟通后的信息录入,是报价的基础,是合同流程的前置条件。只要不“提交”,可以分多次洽谈,通过“记录”来记录每次洽谈的内容。
第十五条项目洽谈表数据录入要求:
1.对备案阶段的信息进行更新,包括客户名称、客户洽谈人、咨询评价目的、审批部门、项目性质和建设内容等。
2.洽谈内容:记录洽谈的具体内容、结果,双方达成的初步意向,需要进一步洽谈或协商的问题等。是项目报价依据和合同条款的重要依据。
3.若项目委托单位不能确定,则需要继续跟踪,直至确定委托单位,尚具备申请办公系统对项目进行业务评审的条件。
4.洽谈记录表明细栏中,确定项目名称:采用“建设单位+规模+产品名称+类型”。如:“***公司年产***吨***产品项目可行性研究报告”。
第六章项目执行过程信息管理。
第十六条实施计划(项目工作大纲)数据录入:
项目的合同签定以后,进入项目实施计划阶段;项目经理必须根据签定的服务合同,制定详细的工作计划;尚未签订合同的项目,因为服务目标和内容不能确定,原则上不具备制定工作计划的条件;特殊情况比如政府委托项目,公司沟通比较通畅的优质客户,在服务内容、时间等要素,洽谈充分的情况下,可以申请特批工作计划(工作大纲)。工作计划包括:
1.明确委托咨询任务的目的或产品用途;
2.明确委托任务的工作重点、难点,按照合同要求安排时间;
3.委托方对咨询产品有特殊要求是,应列出报告的章节大纲;
4.明确是否需要成立项目组,项目组人员构成方案,拟承担工作分工情况等;
5.明确是否需要聘用专家,聘用专家的数量及专家的作用;
6.明确项目的执行是否需要外委,提出外委方案,确定外委的范围、费用和进度,对外委工作质量控制方案等。
第十七条校验统稿数据录入。由项目负责人对项目组成员工作量进行汇总,并对项目组成员的工作质量进行打分。
第十八条业务交流记录:
由项目经理负责在合同约定范围内,与客户进行项目执行层面的沟通。
1.沟通记录包括,客户参与人及其姓名和电话,是否为我们合同约定的委托方联系人或授权人。
2.交流内容:沟通内容,达到什么效果;以附件上传对方的意见或需求或我方提出的问题沟通等。
3.对超过合同约定的对方要求,除在系统中及时上报主管副总外,主管副总还要及时根据对方要求确定是否需要进行合同的变更。
第十九条成果录入:
2.附件上传:报告、附图、附件和实地考察照片,原则上咨询项目必须进行现场调研或考察,系统中上传的文件必须包括不少于两张的厂址实况图片。鼓励项目经理工作过程中收集与项目相关的设计或效果图片,并上传系统存档。
3.附件中文档名称:电子文档名皆采用“建设单位+规模+产品名称”;附表名称同报告名称一致;附图名称要同报告中附图名称一致。
第二十条成果修改申请。修改内容:需要说明修改原因、修改工作量、修改完成时间、是否需要增加费用等;修改文件上传审批后,方能印刷、装订提供给客户。
第二十一条成果加印申请。加印原因:需要说明报告加印的原因,合同约定等;加印的版本必须由办公室从系统下载印刷,保证与已发行版本的一致性。
第二十二条项目档案管理。
(一)项目完成后,项目经理应及时完成项目档案的整理及归档工作,归档文件应按办公信息系统要求准确完整,需要纸质文件存档时,应及时与办公室档案管理员联系。
(二)归档文件的完整性及标题和内容的一致性审核由办公室档案管理人员完成,对于不满足要求的归档材料,应及时将审核结果反馈给项目经理。
(三)项目经理根据档案完整性审核反馈结果,及时完善归档材料,对于项目完成时间较长,无正当理由不能及时完成归档工作的项目经理,将影响新咨询任务的工作安排。
第二十三条财务信息管理的内容包括:合同回款、到账确认和开票管理。
第二十四条财务管理数据录入要求:
1.合同回款由项目负责人负责跟踪和催缴,办公室财务人员根据咨询费用回款进度负责系统录入,项目的回款录入需对应到项目合同下的各子项目。
2.项目在有回款的情况下,根据合同的付款条款由财务负责人核实是否具备盖章条件。满足条件的可以进行盖章确认,不满足合同约定条件的项目,需要出版报告则由项目经理提出盖章的特批申请。
3.开票管理由项目负责人负责录入发票开具信息,若开票类型选择为开具专用增值税发票时,则必须录入客户的纳税人识别号、银行帐号、开户行、地址及联系电话,并上传客户的税务登记证附本复印件或扫描件。
第八章附则。
第二十五条本管理规定自发布之日起实施,由公司办公室负责解释。
信息系统管理制度
一、为规范信息系统的运行维护管理工作,确保信息系统的安全可靠运行,切实提高生产效率和服务质量,使信息系统更好地服务于生产运营和管理,特制订本管理办法。
二、本管理办法适用于及其分支机构的信息系统,各分支机构和各部室可根据本办法制定相应的实施细则。
三、信息系统的维护内容在生产操作层面又分为机房环境维护、计算机硬件平台维护、配套网络维护、基础软件维护、应用软件维护五部分:
1.计算机硬件平台指计算机主机硬件及存储设备;
2.配套网络指保证信息系统相互通信和正常运行的网络组织,包括联网所需的交换机、路由器、防火墙等网络设备和局域网内连接网络设备的网线、传输、光纤线路等。
3.基础软件指运行于计算机主机之上的操作系统、数据库软件、中间件等公共软件;
4.应用软件指运行于计算机系统之上,直接提供服务或业务的专用软件;
5.机房环境指保证计算机系统正常稳定运行的基础设施,包含机房建筑、电力供应、空气调节、灰尘过滤、静电防护、消防设施、网络布线、维护工具等子系统。四、运行维护管理的基本任务:
3.进行系统安全管理,保证信息系统的运行安全和信息的完整、准确;
4.在保证系统运行质量的情况下,提高维护效率,降低维护成本。
5.本办法的解释和修改权属于信息化办公室。
一、运行维护组织。
1.信息系统的运行维护管理遵循在统一的领导下,分级管理和维护的模式。作为信息化办公室,牵头组织实施信息系统的维护管理工作。原则上信息系统的维护工作应逐步集中。
2.信息系统的维护管理分两个层面:管理层面和操作层面。在管理层面,信息化办公室,负责全处范围内信息系统的维护管理和考核。在操作层面,信息化办公室就是实体的维护部门(或维护人员)。信息化办公室直接对处信息化党政领导小组负责,并接受信息化党政领导小组的业务指导和日常管理。
3.信息化办公室应对工程处信息化建设制定技术规范、作业计划、应急预案,编制技术方案、培训教材等,各部室应积极配合。
二、信息化办公室运行维护职责。
(6)负责组织落实各项技术安全措施,确保信息系统安全稳定运行;
(8)负责全处范围内信息系统的规划、设计和验收工作。
2.信息化办公室维护职责。
(3)负责所辖范围内信息系统数据的备份与恢复,负责落实系统安全运行措施;
(4)负责所辖范围内信息系统档案资料的存档,及时更新有关资料;
(5)严格按照信息系统故障管理、问题管理、变更管理、版本管理和配置管理等相关制度、流程和规程。
(6)每年至少有一次全处范围内的信息系统运维管理巡回检查,全面检查各维护作业计划管理、技术档案和资料管理、备份及日志管理、机房管理、安全保密管理等制度的落实情况。该检查可以和设备技术巡检同时进行。
(7)负责机关财务erp软件环境设置。
(8)负责对oa平台系统的各项工作管理:oa的数据的备份管理、各部门的oa平台上的工作流提供培训、维护等技术支持、oa系统不定期的升级与各功能的维护。
(9)协同各相关部门对工程处综合项目管理软件各项目部录入情况进行定期的检查并按文件评分汇总,最后按汇总对全处通报。
(10)保障工程处信息系统安全运行,防范计算机病毒与黑客的攻击。
(14)跟踪研究信息技术的发展,并根据相应发展制定工程处信息化系统及硬件升级计划,审核通过后,具体实施。
三、维护界面划分。
1.信息系统设备现场、物理环境的维护工作由所属机构的信息系统维护部门或维护人员负责。
3.信息化办公室负责全处信息系统的监控和维护工作(包括日常作业计划、故障处理、系统改进、数据变更、数据的备份与恢复),维护和更新相应操作规范和技术文档。
根据突发事件的类型等因素,将突发事件分为攻击类事件、故障类事件、灾害类事件三个类型。具体标准参见《工程处网络与信息安全应急预案》。
当系统出现突发事件时,信息化办公室维护人员应在第一时间根据事件类型,启动《工程处网络与信息安全应急预案》对事件进行处理并及时向上级领导和上级有关部门进行汇报。
二、信息系统故障解决要求。
信息系统出现无法进行本地解决的,应向上级领导及上级部。
1.门进行申告故障。对无法解决的故障,应立即向软硬件最终提供商、代理商或维保服务商(以下简称厂商)提出技术支持申请,督促厂商安排技术支持,必要时进行跟踪处理,与厂商一起到现场进行解决。
2.如果故障问题比较严重并牵扯到相关部室,在解决故障期间应给相关部室进行通知,提前做好备份工作。
3.厂商技术人员现场处理故障时,当地维护人员应全程陪同并积极协助,并在故障解决后进行书面确认。
4.故障解决后,维护人员应对故障的产生原因、解决方案填写详细记录,对以后如果出现类似问题可以有个参考方案。
5.对于系统隐患或暂时不能彻底解决的故障应纳入问题管理,每月应对存在的问题进行跟踪分析。
1.信息系统变更包括硬件扩容、冗余改造、软件升级、oa系统升级及模块更改、搬迁、数据维护等工作以及电子表格模板、文档模板、安全策略、部署的改变等。
2.信息化办公室应保证在线系统的软件版本及硬件设备的稳定,未经过审批通过的方案,不得自行对系统软件版本及硬件设备进行任何变更及调整。
3.变更包括紧急变更和普通变更。紧急变更指由于故障处理等的迫切需求而引起的,目的是保持或者恢复正常工程,无法进行书面请求和审批。普通变更指非紧急变更,例如综项评分表单的更改、oa系统模块的更改。对于普通变更,应有执行人员根据变更影响的范围和深度通知上级领导和相关部门,经审核同意后进行变更;变更前应制定相应的执行措施,如出现错误如何回退等情况。
4.原则上,变更必须在夜间非主要工作时间进行,维护人员可以在备用服务器上进行先期模拟变更,对变更中出现的问题,对其解决方案应有备案。
5.对于紧急变更需求,允许口头申请、审批后组织具体实施。事后,对变更的后的系统及硬件设备进行一定时间的测试,确认无误后,向上级领导进行汇报。并完成相关文档资料的更新工作。
四、维护作业计划管理。
1.信息化办公室应按工程处实际情况制订维护制度,保障工程处网络的正常使用。
2.维护制度要求在每次维护结束后填写维护记录,对维护中发现的问题及时记录并解决。出现重大问题的时候应及时上报有关领导和上级相关部门。
3.维护时间,原则上应在晚上或非工作时间进行。如果出现紧急情况应对受影响的部室通知后,进行解决。
4.数据备份、存储和管理应根据《软件与资料管理制度》制订作业实施步骤。
信息化办公室每年至少一次对全工程处范围信息系统相关的机房环境、计算机硬件、配套网络、基础软件和应用软件进行一次检查。信息系统的检查的具体实施:
1.制定技术检查计划,列出检查重点、内容、要求,形成固定检查表格;
2.收集设备运行故障和隐患。根据年度检查重点、内容,调查设备近期运行情况,统计出各类型设备在运行过程中曾出现的故障。对反馈的问题进行分析、评估,做好相应的技术准备;对一些需要厂家解决的问题列出清单,及时与厂家沟通,制定解决方案,以供检查过程中实施、解决。
3.检查完毕后应对本次检查填写详细记录和问题汇总。
4.组织相关人员对信息化检查中暴露的问题进行解决,牵扯到相关部门的,应与相关部门进行沟通后进行处理。
六、技术档案和资料管理。
1.信息化办公室负责技术档案和资料的管理,应建立健全必要的技术资料和原始记录,包括但不限于:
(2)机房平面图、设备布置图、ip地址分布图;
(3)网络连接图和相关配置资料;
(4)各类软硬件设备配置清单;。
(5)设备或系统使用手册、维护手册等资料;
(6)上述资料的变更资料。
2.软件资料管理应包含以下内容:
(1)所有软件的介质、许可证、版本资料及补丁资料;
(2)所有软件的安装手册、操作使用手册、应用开发手册等技术资料;
(3)上述资料的变更记录。
七、备份及日志管理。
1.原则上,应对各项操作均应进行日志记录,内容应包括操作人、操作时间和操作内容等详细信息。维护人员应定时对操作日志、安全日志进行审查,对异常事件及时跟进解决,并形成日志审查汇总意见报上级维护主管部门审核。安全日志应包括但不局限于以下内容:
(2)对于操作系统,包括系统管理员的所有操作记录、所有的登录日志;
(3)对于mysql数据库系统,包括mysql数据库登录、库表结构的变更记录。
2.信息化办公室应针对所维护系统,依据数据变动的频繁程度以及业务数据重要性制定备份计划,经过上级维护主管部门批准后组织实施。
3.备份数据应包括系统软件和数据、业务数据、操作日志。
4.维护人员应定期对备份日志进行检查,发现问题及时整改补救。
5.信息化办公室应按照实际维护工作相关要求,根据业务数据的性质,确定备份数据保存期限,应根据备份介质使用寿命至少每年进行一次恢复性测试,并记录测试结果。
具体措施参照《数据保密及数据备份》。
八、机房管理。
3.电源线和网线布放情况应顺直不凌乱,避免交叉混放,设备配置排放要求整齐清晰,设备连接线缆应顺直不凌乱。
4.原则上,机房面积不得小于15平方米。
5.机房应安装独立空调来保证机房温度、湿度,15平方米机房可采用普通空调。
6.机房内均应有经消防认证的消防设施,机房的消防采用二氧化碳灭火装置。
9.管理人员统一管理计算机及其相关设备,完整保存计算机及其相关设备的驱动程序、保修卡及重要随机文件。
10.当机房的交流供电系统停止工作时,维护人员应立即向相关领导及部门报告并采取可靠措施尽快恢复;无法及时恢复的情况下,维护人员在计算ups蓄电池的工作电压降至最低前,应通过正常操作及时关机。
11.雷雨季节应加强对机房内部安全设备、地线、信号线及防护电路的检修。
具体措施参照《机房管理制度及布局图》。
1.信息安全应满足国家、集团和公司各级监管部门和关于信息安全保密的各项规定及要求。
3.若发生系统信息泄密事件,应及时向上级领导及有关部门进行汇报,并按照《工程处网络与信息安全应急预案》开展补救工作。
4.在外网设备上设定病毒与木马拦截,路由管理帐号禁止透漏给非信息管理人员,设定非工作需求的网络软件禁止联网,禁止非允许的网络设备、软件连接工程处信息系统。
5.设备管理和维护人员都应熟悉并严格遵守和执行信息安全保密相关规定。
信息系统管理制度
第一条为规范全院信息系统的运行维护管理工作,确保信息系统的安全可靠运行,切实提高效率和服务质量,使信息系统更好地服务于运营和管理,特制定本管理办法。
第二条运行维护管理的基本任务:
3、进行系统安全管理,保证信息系统的运行安全和信息的完整、准确;
4、在保证系统运行质量的情况下,提高维护效率,降低维护成本。
第四条负责全院范围内信息系统的计算机硬件平台、基础软件、应用软件、配套网络和的监控和日常维护工作,制定日常维护作业计划并认真执行,保证信息系统正常运行;对于系统的所有维护(包括日常作业计划、故障处理、系统改进、数据变更、数据的备份与恢复、功能完善增加)都必须填写维护记录;负责所辖范围内信息系统数据的备份与恢复,负责落实系统安全运行措施;每年至少组织一次全行范围内的信息系统运维管理巡回检查,全面检查各维护作业计划管理、技术档案和资料管理、备份及日志管理、机房管理、安全保密管理等制度的落实情况。
第五条系统出现故障,信息系统维护部门或维护人员首先进行处理,同时判断系统类型和故障级别,根据系统类型和故障级别,故障处理应在要求的时限内完成,并同时向院部报告。对无法解决的故障,应立即向软硬件最终提供商、代理商或维保服务商(以下简称厂商)提出技术支持申请,督促厂商安排技术支持,必要时进行跟踪处理,与厂商一起到现场进行解决。
第六条厂商技术人员现场处理故障时,当地维护人员应全程陪同并积极协助,并在故障解决后进行书面确认。
第七条参与故障处理的'各方必须如实、及时填写故障处理单,现场技术支持还须当地维护人员予以签字确认或维护部门盖章。
第八条建立重要紧急信息上报渠道,对于发生的重要紧急情况,应该立即逐级向院部主管领导报告,对业务影响较大的还应及时通知业务部门。
第九条信息系统维护管理部门负责技术档案和资料的管理,应建立健全必要的技术资料和原始记录等。
第十条软件资料管理应包含以下内容:
1、所有软件的介质、许可证、版本资料及补丁资料;
2、所有软件的安装手册、操作使用手册、应用开发手册等技术资料;
3、上述资料的变更记录。
第十一条无关人员未经管理维护人员的批准严禁进入机房。
第十二条机房内严禁吸烟、饮食、睡觉、闲谈等,严禁携带易燃易爆、腐蚀性等污染物和强磁物品及其它与机房工作无关的物品进入机房。
信息系统管理制度
第一条为加强信息系统用户账号和权限的规范化管理,确保各信息系统安全、有序、稳定运行,防范应用风险,特制定本制度。
第二条本制度适用于场建设和管理的、基于角色控制和方法设计的各型信息系统,以及以用户口令方式登录的网络设备、网站系统等。
第三条信息系统用户、角色、权限的划分和制定,以人力资源部对部门职能定位和各业务部门内部分工为依据。
第四条场协同办公系统用户和权限管理由场办公室负责,其他业务系统的用户和权限管理由各业务部门具体负责。所有信息系统须指定系统管理员负责用户和权限管理的具体操作。
(一)用户、权限和口令设置由系统管理员全面负责。
(二)用户、权限和口令管理必须作为项目建设的强制性技术标准或要求。
(三)用户、权限和口令管理采用实名制管理模式。
(四)严禁杜绝一人多账号登记注册。
负责本级用户管理以及对下一级系统管理员管理。包括创建各类申请用户、用户有效性管理、为用户分配经授权批准使用的。业务系统、为业务管理员提供用户授权管理的操作培训和技术指导。
第八条业务管理员职责。
负责本级本业务系统角色制定、本级用户授权及下一级本业务系统业务管理员管理。负责将上级创建的角色或自身创建的角色授予相应的本级用户和下一级业务管理员,为本业务系统用户提供操作培训和技术指导,使其有权限实施相应业务信息管理活动。
第九条用户职责。
用户须严格管理自己用户名和口令,遵守保密性原则,除获得授权或另有规定外,不能将收集的个人信息向任何第三方泄露或公开。系统内所有用户信息均必须采用真实信息,即实名制登记。
第十条用户申请和创建。
(一)申请人在《用户账号申请和变更表》上填写基本情况,提交本部门负责人;
(二)部门负责人确认申请业务用户的身份权限,并在《用户账号申请和变更表》上签字确认。
(三)信息系统管理部门经理进行审批后,由系统管理员和业务员创建用户或者变更权限。
(五)系统管理员和业务管理员将《用户账号申请和变更表》存档管理。
第十一条用户变更和停用。
系统管理员变更,应及时向上级系统管理员报告,并核对其账户信息、密码以及当时系统中的各类用户信息及文档,核查无误后方可进行工作交接。新任系统管理员应及时变更账户信息及密码。
(四)业务管理员变更。
业务管理员变更应及时向本级系统管理员及上级业务管理员报告,上级业务管理员和系统管理员及时变更业务管理员信息。
(五)用户注销。
用户因工作岗位变动,调动、离职等原因导致使用权限发生变化或需要注销其分配账号时,应填写《用户账号申请和变更表》,按照用户账号停用的相关流程办理,由系统管理员和业务管理员对其权限进行注销。
第十二条使用各信息系统应严格执行国家有关法律、法规,遵守公司的规章制度,确保国家秘密和企业利益安全。
第十三条口令管理。
(一)系统管理员创建用户时,应为其分配独立的初始密码,并单独告知申请人。
(二)用户在初次使用系统时,应立即更改初始密码。
(三)用户应定期变更登陆密码。
(四)用户不得将账户、密码泄露给他人。
第十四条帐号审计。
账号审计工作由信息系统管理部门的负责人或者主管进行审计,并应定期向其领导进行汇报,由场信息系统管理部门负责人定期和不定期检查。
第十五条应急管理。
(一)用户及业务管理员账户信息泄露遗失。
用户及业务管理员账户信息泄露遗失时,应在24小时内通知本级系统管理员。本级系统管理员在查明情况前,应暂停该用户的使用权限,并同时对该账户所报数据进行核查,待确认没有造成对报告数据的破坏后,通过修改密码,恢复该账户的报告权限,同时保留书面情况记录。
系统管理员账户信息泄露遗失时,应立即向上级系统管理员报告,暂停其系统管理员账户权限,同时对系统账户管理及数据安全进行核查,采取必要的补救措施,在最终确认系统安全后,方可恢复其系统管理员账户功能。
第十六条本制度自20xx年xx月xx日起施行。
第十七条本制度由场办公室负责制定、修改和解释。
信息系统管理制度
第一条为规范信息安全等级保护管理,提高我院信息安全保障能力和水平,维护国家安全、社会稳定和公共利益,保障和促进信息化建设,根据《中华人民共和国网络安全法》文件要求,制定本制度。
第二条根据国家制定的信息安全等级保护管理规范和技术标准,对本部门所使用和运营的信息系统分等级实行安全保护。
第三条在我院信息化领导小组的领导下,信息科负责医院信息系统安全定级和保护的指导、上报和检查工作。
第四条各科室依照本制度及相关标准和规范进行本科室运营和使用的信息系统的定级保护工作。
第五条各科室应当依照本制度及相关的标准规范,对运营和使用的信息系统履行安全等级保护的义务和责任。
第六条信息等级保护坚持坚持自主定级、自主保护的原则。信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度,信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。
第一级为自主保护级,适用于一般的信息系统,其受到破坏后,会对公民、法人和其他组织的合法权益产生损害,但不损害国家安全、社会秩序和公共利益。
第二级为指导保护级,适用于一般的信息系统,其受到破坏后,会对社会秩序和公共利益造成轻微损害,但不损害国家安全。
第三级为监督保护级,适用于涉及国家安全、社会秩序和公共利益的重要信息系统,其受到破坏后,会对国家安全、社会秩序和公共利益造成损害。
第四级为强制保护级,适用于涉及国家安全、社会秩序和公共利益的重要信息系统,其受到破坏后,会对国家安全、社会秩序和公共利益造成严重损害。
第五级为专控保护级,适用于涉及国家安全、社会秩序和公共利益的重要信息系统的核心子系统,其受到破坏后,会对国家安全、社会秩序和公共利益造成特别严重损害。
第八条信息系统运营、使用科室依照本制度和《信息系统安全等级保护定级指南》确定信息系统的安全保护等级,报到信息中心。信息中心审核后,统一上报到郏县卫生健康委信息工作股。根据上级主管部门的审核和指导意见,按照国家规范,完成我院信息系统的安全定级工作。并完成相应的安全保护和制度建设工作,对定为二级以上的信息系统按照相关规定报平顶山市公安局备案。
第九条信息系统的安全保护等级确定后,运营、使用部门应当按照国家信息安全等级保护管理规范和技术标准,使用符合国家有关规定,满足信息系统安全保护等级需求的信息技术产品,开展信息系统安全建设或者改建工作。
第十条在信息系统建设过程中,运营、使用部门应当按照《计算机信息系统安全保护等级划分准则》(gb17859-1999)、《信息系统安全等级保护基本要求》等技术标准,参照《信息安全技术信息系统通用安全技术要求》(gb/t20271-20xx)、《信息安全技术网络基础安全技术要求》(gb/t20270-20xx)、《信息安全技术操作系统安全技术要求》(gb/t20272-20xx)、《信息安全技术数据库管理系统安全技术要求》(gb/t20273-20xx)、《信息安全技术服务器技术要求》、《信息安全技术终端计算机系统安全等级技术要求》(ga/t671-20xx)等技术标准同步建设符合该等级要求的信息安全设施。
第十一条运营、使用部门应当参照《信息安全技术信息系统安全管理要求》(gb/t20269-20xx)、《信息安全技术信息系统安全工程管理要求》(gb/t20282-20xx)、《信息系统安全等级保护基本要求》(gb/t22239-20xx)等管理规范,制定并落实符合本系统安全保护等级要求的安全管理制度。
第十二条信息系统运营、使用部门及其主管部门应当定期对信息系统安全状况、安全保护制度及措施的落实情况进行自查。经自查,信息系统安全状况未达到安全保护等级要求的,运营、使用部门应当制定方案进行整改。
第十三条各部门对本部门运营和使用的信息系统进行梳理,按照本制度的要求确定信息系统的安全保护等级;新建信息系统在设计、规划阶段确定安全保护等级。