11.5基础设施TI一般性控制流程.docVIP

11.5 基础设施I?T一般性控制流程① ? 一、 业务目标? 1 经营目标 1.?1 保证信息基础设施?长期安全、可靠、稳定?运行。 2 合规目标? 2.1 信息基础设?施的使用遵守保护知识?产权、合同法等有关国?家法律法规。 2.2? 信息基础设施配置和?使用符合股份公司信息?系统安全管理办法等规?定。 二、 业?务风险 1 经营风险? 1.1 网络控制管?理不符合信息安全要求?，导致内部网络被非授?权访问和攻击。 1.?2 服务器管理不规范?，导致系统运行不可靠?、不稳定。 1.3 ?备份介质管理不规范，?导致备份介质损坏或系?统及数据恢复困难。 ?1.4 机房管理不符?合规范和安全要求，导?致机房设备及资源存在?受损的风险。 1.5? 信息基础设施?故障或信息系统突发事?件处理不及 ①本流程?适用于包括ERP系统?在内的所有应用系统相?关的信息基础设施。 ?时，导致信息系统不能?正常运行。 2 合规?风险 2.1 信息基?础设施的使用未遵守保?护知识产权、合同法等?有关国家法律、法规，?股份公司声誉受到损害?，受到相关部门处罚。? 2.2 信息?基础设施不符合安全规?定，导致系统存在被入?侵风险。 二、 ? 业务流程步骤与控制?点 1 网络管理 1?.1 网络基础?管理。 1.1.1 ? 总部和分（子）公司?依据《中国石油化工股?份有限公司网络管理办?法》（以下简称《网络?管理办法》）及相关管?理制度和工作流程实施?对网络的管理，包括网?络运行维护管理、网络?互联管理、网络设备密?码管理、网络管理员管?理、远程接入网络管理?、病毒防护管理等。 ?1.1.1.1东北油?气分公司信息中心依据?《中国石油化工股份有?限公司网络管理办法》?及相关管理制度和工作?流程实施对网络的管理?，包括网络运行维护管?理、网络互联管理、网?络设备密码管理、网络?管理员管理、远程接入?网络管理、病毒防护管?理等。编写制定《东北?油气分公司网络管理暂?行办法》。 1.1.?2 各级信息管理部?门依据《网络管理办法?》及相应岗位职责，配?备网络管理员、安全管?理员，由信息管理部门?负责人审批。 1.1?.2.1信息中心依据?《网络管理办法》及相?应岗位职责，配备网络?管理员、安全管理员，?有信息中心负责人审批?。 1.1.3 各?级信息管理部门负责编?制网络运行维护的相关?技术文档，包括网络拓?扑图、IP地址分配表?以及网络设备配置文件?等，由专人负责整理和?保存。 1.1.3.?1信息中心负责编制网?络运行维护的相关技术?文档，包括网络拓扑图?、IP地址分配表以及?网络设备配置文件等，?由专人负责整理和保存?。 1.2 网?络设备登录设置合理的?密码规则，密码要求长?度六位以上，采用数字?和字符组合方式，新密?码不得与前五次历史密?码相同。网络管理员必?须每六个月修改网络设?备登录密码，填写密码?更换记录，经安全管理?员确认并在信息管理部?门备案。 1.2.1? 网络设备登录设置?合理的密码规则，密码?要求长度六位以上，采?用数字和字符组合方式?，新密码不得与前五次?历史密码相同。网络管?理员必须每六个月修改?网络设备登录密码，填?写密码更换记录，经安?全管理员确认并在信息?中心备案。 1.3 ? 网络互联安全管?理。 1.3.1 ?总部和分（子）公司依?据《网络管理办法》相?关要求，在关键网络互?联接口处部署安全设备?，信息管理部门授权专?人负责安全设备的管理?，并备有安全设备配置?文档。分（子）公司与?外部网互联情况上报信?息系统管理部备案。 ?1.3.1.1东北油?气分公司在关键网络互?联接口部署安全设备，?信息中心授权专人负责?安全设备的管理，并备?有安全设备配置文档。?分公司与外部网互联情?况上报信息系统管理部?备案。 1.3.2 ? 安全管理员每季度对?安全设备的规则进行复?核、确认、检查，填写?安全设备配置检查记录?表。 1.3.2.1?安全管理员每季度对安?全设备的规则进行复核?、确认、检查，填写安?全设备配置检查记录表?。 1.3.3 安?全管理员每周对网络设?备登陆日志、防火墙日?志、入侵检测日志等进?行分析审计。 1.3?.3．1安全管理员每?周对网络设备登陆日志?、防火墙日志、入侵检?测日志等进行分析审计?。 1.4 终?端用户接入管理 1.?4.1 用户终端接?入网络需填写申请表，?由申请人所在部门确认?，信息管理部门（责任?处（科）室）负责人批?准并备案。申请表内容?应包含终端接入安全责?任条款。 1.4.1?.1用户终端接入网络?需填写申请表，由申请?人所在部门确认，信息?中心负责人批准并备案?。申请表内容应包含终?端接入安全责任条款。? 1.4.2