信息系统管理制度十篇
第一章总则
第一条为确保公司信息管理系统正常运行，有效地建设、保护和利用信息系统资源，防范系统运行风险，提高信息使用和过程管理效率，特制定本制度。
第二条本制度适用于公司内部使用的信息管理系统的相关人员，也包括信息管理系统软件以及支撑信息管理系统运行的资源和设备。
第三条信息系统的日常运行与维护，由办公室安排具体人员统一负责管理。负责与信息系统供应商的联系沟通，根据公司业务发展情况进行必要的升级等。
第二章信息系统操作管理制度
第四条信息系统管理范围包括：业务部门、人员信息管理、系统用户权限管理。
第五条信息系统设置管理员，由系统管理员负责管理，负责公司部门机构变化、人员信息变化而对系统进行维护；负责系统用户设置和权限分配工作。
第六条系统管理员应根据公司人员对应的聘任岗位和岗位职责来设置用户权限。
第七条用户权限需要改变时，所在部门提出申请，经过相关领导同意后通知系统管理员在系统中进行调整，系统管理员不得越权调整用户功能权限的设置。
第八条用户离职时，系统管理员根据《离职通知单》，停用此用户在系统中的用户名或停用此用户名的所有权限，并记录有关情况。
第九条系统管理员使用系统中的管理员账号进行管理工作后，应记录有关操作情况。
第三章基础数据采集管理
第十条信息系统中的基础数据包括：专业类别维护、所属专业维护、业务类别维护、区域信息维护、审批部门维护、管理类别分管、业务来源维护、咨询评价师维护、归档资料维护、咨询评价目的维护、业务类别分管、难度系数维护、合同分类维护、质量评价标准维护、客户评价项目维护、客户评价分值定义及公司人力资源管理信息的维护。
第十一条信息系统中基础数据审批部门和业务来源由分管副总负责维护，人力资源管理信息的维护由办公室负责；其他基础数据由系统管理员负责维护，系统管理员维护的基础数据需要增加或者修改时必须得到公司分管副总的认可后方可增加和修改，同时做好维护记录。
第四章信息备案完整性规定
第十二条信息备案是对潜在的市场信息进行记录在案，备案的信息属于可培育的服务机会。公司每位员工均有义务将得到的市场信息及时备案在系统，对备案的信息原则上由备案人所在部门安排项目经理进行初步接洽或洽谈。
第十三条信息备案表数据录入要求：
1.项目名称能够反映项目的基本情况：采用“建设单位+规模+产品名称”。如：“*公司年产吨产品项目”。
2.业务类别：考虑备案阶段，一个备案名称下可能有几个类别，建议按照主要类别区分即可，如：一个项目有可研报告和节能报告两个报告，则业务类别只要选择“可研报告”即可。通常的选择次序为项目建议书、可行性研究报告、项目申请报告、节能评估报告等。
3.委托单位需要填写单位的完整名字。
4.联系人情况中：电话和手机必选一个来填写。
5.业务来源：按照来源填写。
6.项目概况描述：需要体现项目单位、投资额、建设规模、建设地点等基本信息，同时说明提供咨询的目的，便于进一步开展跟踪和服务工作。
第五章项目洽谈信息管理
项目经理根据部门（或公司）统一的安排，根据项目备案的信息，开展项目的洽谈工作。
第十四条项目洽谈的含义：经过同业主进行沟通后的信息录入，是报价的基础，是合同流程的前置条件。只要不“提交”，可以分多次洽谈，通过“记录”来记录每次洽谈的内容。
第十五条项目洽谈表数据录入要求：
1.对备案阶段的信息进行更新，包括客户名称、客户洽谈人、咨询评价目的、审批部门、项目性质和建设内容等。
2.洽谈内容：记录洽谈的具体内容、结果，双方达成的初步意向，需要进一步洽谈或协商的问题等。是项目报价依据和合同条款的重要依据。
3.若项目委托单位不能确定，则需要继续跟踪，直至确定委托单位，尚具备申请办公系统对项目进行业务评审的条件。
4.洽谈记录表明细栏中，确定项目名称：采用“建设单位+规模+产品名称+类型”。如：“*公司年产吨产品项目可行性研究报告”。
第六章项目执行过程信息管理
第十六条实施计划（项目工作大纲）数据录入：
项目的合同签定以后，进入项目实施计划阶段；项目经理必须根据签定的服务合同，制定详细的工作计划；尚未签订合同的项目，因为服务目标和内容不能确定，原则上不具备制定工作计划的条件；特殊情况比如政府委托项目，公司沟通比较通畅的优质客户，在服务内容、时间等要素，洽谈充分的情况下，可以申请特批工作计划（工作大纲）。工作计划包括：
1.明确委托咨询任务的目的或产品用途；
2.明确委托任务的工作重点、难点，按照合同要求安排时间；
3.委托方对咨询产品有特殊要求是，应列出报告的章节大纲；
4.明确是否需要成立项目组，项目组人员构成方案，拟承担工作分工情况等；
5.明确是否需要聘用专家，聘用专家的数量及专家的作用；
6.明确项目的执行是否需要外委，提出外委方案，确定外委的范围、费用和进度，对外委工作质量控制方案等。
第十七条校验统稿数据录入。由项目负责人对项目组成员工作量进行汇总，并对项目组成员的工作质量进行打分。
第十八条业务交流记录：
由项目经理负责在合同约定范围内，与客户进行项目执行层面的沟通。
1.沟通记录包括，客户参与人及其姓名和电话，是否为我们合同约定的`委托方联系人或授权人。
2.交流内容：沟通内容，达到什么效果；以附件上传对方的意见或需求或我方提出的问题沟通等。
3.对超过合同约定的对方要求，除在系统中及时上报主管副总外，主管副总还要及时根据对方要求确定是否需要进行合同的变更。
第十九条成果录入：
1.成果录入，分造价和咨询两种形式，区别在于：造价需要填写送审金额、审定金额、审减金额和实际收入；
2.附件上传：报告、附图、附件和实地考察照片，原则上咨询项目必须进行现场调研或考察，系统中上传的文件必须包括不少于两张的厂址实况图片。鼓励项目经理工作过程中收集与项目相关的设计或效果图片，并上传系统存档。
3.附件中文档名称：电子文档名皆采用“建设单位+规模+产品名称”；附表名称同报告名称一致；附图名称要同报告中附图名称一致。
第二十条成果修改申请。修改内容：需要说明修改原因、修改工作量、修改完成时间、是否需要增加费用等；修改文件上传审批后，方能印刷、装订提供给客户。
第二十一条成果加印申请。加印原因：需要说明报告加印的原因，合同约定等；加印的版本必须由办公室从系统下载印刷，保证与已发行版本的一致性。
第二十二条项目档案管理
（一）项目完成后，项目经理应及时完成项目档案的整理及归档工作，归档文件应按办公信息系统要求准确完整，需要纸质文件存档时，应及时与办公室档案管理员联系。
（二）归档文件的完整性及标题和内容的一致性审核由办公室档案管理人员完成，对于不满足要求的归档材料，应及时将审核结果反馈给项目经理。
（三）项目经理根据档案完整性审核反馈结果，及时完善归档材料，对于项目完成时间较长，无正当理由不能及时完成归档工作的项目经理，将影响新咨询任务的工作安排。
第七章财务信息管理
第二十三条财务信息管理的内容包括：合同回款、到账确认和开票管理。
第二十四条财务管理数据录入要求：
1.合同回款由项目负责人负责跟踪和催缴，办公室财务人员根据咨询费用回款进度负责系统录入，项目的回款录入需对应到项目合同下的各子项目。
2.项目在有回款的情况下，根据合同的付款条款由财务负责人核实是否具备盖章条件。满足条件的可以进行盖章确认，不满足合同约定条件的项目，需要出版报告则由项目经理提出盖章的特批申请。
3.开票管理由项目负责人负责录入发票开具信息，若开票类型选择为开具专用增值税发票时，则必须录入客户的纳税人识别号、银行帐号、开户行、地址及联系电话，并上传客户的税务登记证附本复印件或扫描件。
第八章附则
第二十五条本管理规定自发布之日起实施，由公司办公室负责解释。
第一章：总则
第一条为保证公司信息网络系统的安全，根据国家有关计算机、网络和信息安全的相关法律、法规和安全规定，结合公司内网络系统建设的实际情况，制定本办法。第二条本办法所指的信息网络系统，是指由计算机（包括相关和配套设备）为终端设备，利用计算机、通信、网络等技术进行公司内信息化管理中的数据采集、处理、存储和传输的设备、技术、管理的组合。
第三条信息网络系统安全的含义是通过各种计算机及其他登陆终端、网络、密码技术和信息安全技术，在实现网络系统安全的基础上，保护信息在传输、交换和存储过程中的机密性、完整性和真实性。对于终端网络安全特指本机信息系统应用数据、操作系统、身份验证及操作代码的机密性及安全性。
第四条本规定适用于公司内所有计算机硬件及周边设备（如打印机、扫瞄仪、MO存储器，软磁碟，CD碟，数码相机、考勤机终端等）及所有网络设备。公司内所有操作计算机岗位和与之有工作的岗位均属此管理之内。
第二章信息系统安全管理
第五条计算机系统账号与操作员代码
一、操作代码是进入各类应用系统进行业务操作、分级对数据存取进行控制的代码。操作代码分为系统管理代码和应用操作代码。代码的设置根据不同应用系统的要求及岗位职责而设置；
二、系统管理操作代码必须经过相应申请经相关系统管理人员授权取得；
三、系统管理员负责各项应用系统的环境生成、维护，负责一般操作代码的生成和维护，负责故障恢复等管理及维护；
四、系统管理员对业务系统进行数据整理、故障恢复等操作，必须有主管负责人授权；
五、信息部门任何人员不得使用他人操作代码进行业务操作；
六、系统管理员调离岗位，上级管理员（或相关负责人）应及时注销其代码并生成新的系统管理员代码；
七、一般操作码由系统管理员根据各类应用系统操作要求生成，应按每操作用户一码设置。
八、操作员不得使用或盗用他人代码进行业务操作。
九、操作员调离岗位，系统管理员应及时注销其代码并生成新的操作员代码。
第六条密码与权限管理
一、密码是保护系统和数据安全的控制代码，也是保护用户自身权益的控制代码。密码分设为用户密码和操作密码，用户密码是登陆系统时所设的密码，操作密码是进入各应用系统的操作员密码。密码设置应具有安全性、保密性，不能使用简单的代码和标记。
二、密码应定期修改，间隔时间不得超过一个月，如发现或怀疑密码遗失或泄漏应立即修改，在可能的情况下并相应记记录用户名、修改时间、修改人等内容，及时上报公司信息中心备案。
三、服务器、路由器等公司重要信息设备的超级用户密码由运行机构负责人指定专人（不参与系统开发和维护的人员）设置和管理，并由密码设置人员将密码装入密码信封，在骑缝处加盖部门印章并签字标注封存日期后交由信息中心存档并登记。如遇特殊情况需要启用封存的密码，必须经过相关部门负责人同意，由密码使用人员向密码管理人员索取，使用完毕后，须立即更改并封存，同时在“密码管理登记簿”中登记。
四、系统维护用户的密码应至少由两人共同设置、保管和使用。有关密码授权工作人员调离岗位，有关部门负责人须指定专人接替并对密码立即修改或用户删除，同时在“密码管理登记簿”中登记并备档留存。
第三章数据安全管理
第七条存放备份数据的介质必须具有明确的标识。备份数据必须异地存放，并保证重要系统业务备份要有两份。并明确落实异地备份数据的管理职责;
第八条注意计算机重要信息资料和数据存储介质的存放、运输安全和保密管理，保证存储介质的物理安全。
第九条任何非应用性业务数据的使用及存放数据的设备或介质的调拨、转让、废弃或销毁必须严格按照程序进行逐级审批，以保证备份数据安全完整。
第十条数据恢复前，必须对原环境的数据进行备份，防止有用数据的丢失。数据恢复过程中要严格按照数据恢复手册执行，原则上数据恢复由公司信息中心完成。如因其他原因由业务部门进行的，信息中心心须指定相关人员进行现场技术支持。数据恢复后，必须进行验证、确认，确保数据恢复的完整性和可用性。
第十一条数据清理前必须对数据进行备份，在确认备份正确后方可进行清理操作。历次清理前的备份数据要根据备份策略进行定期保存或永久保存，并确保可以随时使用。数据清理的实施应避开业务高峰期，避免对联机业务运行造成影响。
第十二条需要长期保存的数据，数据管理部门需与相关部门制定转存方案，根据转存方案和查询使用方法要在介质有效期内进行转存，防止存储介质过期失效，通过有效的查询、使用方法保证数据的完整性和可用性。转存的数据必须有详细的文档记录。
第十三条非本单位技术人员对本公司的设备、系统等进行维修、维护时，必须由本公司相关技术人员现场全程监督。计算机设备送外维修，须经设备管理机构负责人批准。送修前，需将设备存储介质内应用软件和数据等涉经营管理的信息备份后删除，并进行登记。对修复的设备，设备维修人员应对设备进行验收、病毒检测和登记。
第十四条管理部门应对报废设备中存有的程序、数据资料进行备份后清除，并妥善处理废弃无用的资料和介质，防止泄密。
第十五条运行维护部门需指定专人负责计算机病毒的防范工作，建立企业内部计算机病毒防治管理制度，经常进行计算机病毒检查，发现病毒及时清除。
第十六条公司内所有计算机未经信息部允许不准安装与其业务部门无关的软件、不准使用来历不明的载体（包括软盘、光盘、移动硬、MP3盘其他存储介质）。
第四章网络安全及防病毒管理
第十七条任何人员不得盗用他人账号或操作员代码、公司内部网络安全管理密码进行操作
第十八条部门所使用计算机不得使用除集团军公司内及时通讯软件外的任何第三方软件。严禁在工作计算机上安装好BT、P2P等类型的多线程或占用带宽流量的下载软件，所有下载均采用单线程下载。保证公司的带宽有效利用。 第十九条计算机内电子邮件收发均通过公司内部邮件系统进行，不得采用其他外部邮件系统，如因需要，可向信息中心申报后给予开通POS服务通道，并做备案。
第二十条公司各部门计算机均采用域管理方式进行登陆，在工作期间必须登陆公司域服务器，并严格按照域管理下的操作说明进行文档及其他相关文件的传递。
第二十一条防病毒系统均采用公司统一布署的企业网络防病毒系统，各部门计算机病毒代码均由公司防病毒服务器进行统一下载，不得擅自登陆非本病毒软件官方以外的下载站点下载并进行病毒库代码更新。
第二十二条为保证公司Internet的带宽流量，信息主管部门必须对访问Internet权限进行管控，各部门若有访问外部Internet公网其他特别需求的，可提出申请，经部门主管及信息部门审核，报经总经理批准后，使申请人享受访问Internet的特别需求权力。未通过此程序审批而私自设定其他方法访问外部网络，一经发现，将做严责。如因此给公司带来损失的，责成责任人承担相应损失。
第五章机房安全管理
第二十三条进入信息主机房至少应当有两人在场，并登记“机房出入管理登记簿”，记录出入机房时间、人员和操作等内容。
第二十四条信息管理人员进入机房必须在“机房出入管理登记簿”签字登记，其他人员进入机房必须经信息中心许可，并由有关人员陪同（特殊情况除外）。机房当日值班人员必须如实记录来访人员名单、进出机房时间、来访内容等。非信息部门工作人员原则上不得进入中心对系统进行操作。如遇特殊情况必须操作时，经信息部门负责人批准同意后有关人员陪同情况下进行。对操作内容进行记录，由操作人和监督人签字后备案。中心机房实行严格的门禁管理制度，及时发现和排除主机故障，根据业务应用要求及运行操作规范，确保业务系统的正常工作。每天应实行机房例行检查制度，并就机房设备运行及其他情况做好值日记录。
第二十五条保持机房整齐清洁，各种中心设备按维护计划定期进行保养。计算机机房中要保持恒温、恒湿、电压稳定，做好静电防护、防雷、防尘等项工作，保证主机系统的平稳运行、定期对机房运行的各项环境指标（如温度、洁净度、温度上升率等）进行测试，并做好记录，通过实际测量各项参数发现问题及时解决，保证机房各项设备的正常运行。
第二十六条机房内严禁吸烟、进食、会客、聊天等与业务无关的活动。严禁携带液体和食品进入机房，严禁携带与上机无关的物品，特别是易燃、易爆、有腐蚀等危险品进入机房。其他部门如因需要携入移动计算机入机房需报经信息部门批准方可携入。
第二十七条机房工作人员严禁违章操作，严禁私自将外来软件带入机房使用。
第二十八条严禁在未采取安全措施或通电的情况下拆卸，移动机房内等相关设备、部件及网络。在进行机房硬件更换或维修时，必须进行静电释放方可进行。
第二十九条定期检查机房消防设备器材，做做好检查登记，在机房值日记录上并做书面登记。
第三十条机房内不准随意丢弃存储介质和有关业务保密数据资料，对废弃存储介质和业务保密资料要及时销毁（碎纸），不得作为普通垃圾处理。严禁机房内的设备、存储介质、资料、工具等私自出借或带出。
第三十一条服务器等所在的中心机房后备电源（UPS）除了电池自动检测外，每年必须深充放电一次到两次。
第六章IT设备购置、配发、维修及报废管理
第三十二条IT设备购置
一、所有IT设备均由公司采供部进行采购。设备购置由使用部门提出申请，由信息部门进行核定后上报公司分管领导审批后转公司采供部统一采购。
二、对IT设备的采购验收信息部配合采供部共同完成，验收合格后由信息部进行安装调试后配发申请使用部门。
三、信息部负责对购置的IT设备做专项台账建立，并于年低转交一份至公司财务部备查。
四、大型IT设备采购或特殊IT设备采购，申请部门原则上提前一周向信息部转交购置申请，信息部在接到购置申请后必须进行询价，询价必须至少在三家以上，出具IT设备购置市场调查及建议随附购置申请上报公司领导审批，审批后转公司采供部。
五、IT设备耗材的采购，信息部配合办公室、财务部、企划部制定IT设备耗材定额及费用核算后按核算标准采购。部门IT设备耗材超出核算部分由部门自行承担。
六、对IT设备的采购严格遵守公司的统一采购流程及管理规定，配合采供部完成IT设备的采购及验收工作。
第三十三条IT设备配发
一、公司IT设备的购置配发及调配由信息部进行统一规划和管理。
二、信息部依据公司年度工作计划，编制公司年度IT设备采购及配发计划。
三、公司各部门因工作需要提出申请配发IT设备的，由使用部门提出申请，具体载名使用岗位、用途后转信息部，由信息部按工作岗位、工作需要、性能要求等分配闲置IT设备或购置。如需购置则转入IT设备采购流程进行购置配发。
四、IT设备的配发及互调必须由信息部备案，信息部及时进行IT设备台账变更登记，注明配发及互调日期等相关事项。
第三十四条IT设备故障维修
一、信息部负责公司所有IT设备的故障及维修。
二、信息部对公司的IT设备故障做鉴定和维修，并出具鉴定结果，并对鉴定结果负责。
三、在接到部门的使用保障后，一般故障需在15分钟内赶到，影响
到部门正常工作业务开展的，5分钟内必须赶到（特殊情况除外），重大故障（数据丢失、工作无法开展的）必须在接到报障后，报请信息部负责人，由信息部提出解决方案，依据方案进行处理，对重大故障信息部必须备案。 四、对于一般故障和影响到部门工作业务开展的，必须在当天工作日内完成处理，超出工作日的原则上不算加班。对于重大故障必须及时维护及维修的，如超出工作时限部分按照实际情况酌情处理。
五、任何报障必须建立报障维修记录，并做保障事故签定。维修人员对保障事故鉴定负责。信息部负责人对重大故障的处理方案及结果负责。
六、IT设备硬件故障经信息部维修人员鉴定在其范围内无法维修的，如在三包范围内的，由信息部联系销售厂家进行维修。超出三包范围的，信息部填报外包维修申请单，由信息部负责人核准上报公司分管领导审批后交由外包维修单位进行维修。
七、IT设备外包维修单位具体事宜由信息部进行洽谈并与其签定外包维修合同。合同交由法务部进行核准方可签定。
八、对于发往外包维修或三包范围内的设备维修信息部必须进行登记造册，注明产品型号、品牌、内部具体配置等信息。在维修返回后依据的出厂维修登记进行验收。
九、对于外包或三包范围内的IT设备维修，为确保报障部门正常工作，信息部在不影响其他部门工作正常开展的情况下有权对IT设备进行暂时调配。
十、企业IT核心设备的硬件物理损坏故障鉴定必须由厂家及公司委托专业IT设备鉴定机构完成，信息部负责全程跟踪，对最终鉴定结果负责。
十一、对于IT硬件设备故障在鉴定后无维修价值的，转入IT设备报废管理流程进行处理。
第三十五条IT设备报废管理
一、IT设备的报废鉴定统一由信息部完成，特殊IT设备（如服务器，磁带存储设备、核心路由器、核心交换机）的故障鉴定由厂家、公司委托第三方IT设备鉴定机构、信息部共同完成。信息部对IT设备的报废鉴定结果负责。 二、信息部对IT设备报废鉴定报告上报公司分管领导审批后，对报废IT设备统一进行存放管理。
三、对IT设备报废鉴定为人为原因造成的，由责任人承担此IT设备的全额损失，并按照公司相关管理规定进行从严处罚。
四、信息部对管理存放的报废IT设备定期进行清理，并做处理方案报公司分管领导审批后，对报废IT设备进行出售，并由办公室、财务部监督执行。对所出售所得款项当天缴至财务部。建立报废IT设备出售台账，以备查验。
五、公司各部门要在最大程度上提高IT设备的使用年限，厉行节约。信息部要做到IT设备可用零部件的二次利用，为公司开源节流做贡献。
第七章IT项目管理
第三十六条本管理规定适用于公司内信息化建设过程中的所有IT系统项目招标、采购及实施。
第三十七条公司信息化建设过程的系统建设要从公司中长期规划出发，结合公司现行实际发展情况，根据必要性、合理性、经济性而实施。保证公司的投资效益。
第三十八条公司IT系统的建立过程中的市场调研、组织招标、合同签定、项目实施等均由信息部与建设部门共同配合完成，信息部主导上述工作各环节。
第三十九条公司IT系统项目立项申请原则上由建设部门提出，信息部也可以根据公司发展提出。所有IT系统立项均报公司上会研究决定后方可着手实施。
第四十条IT系统项目的立项申请必须确定IT系统的总体管理目标。申请必须书面清晰说明需求，信息部在接到项目申请后必须在一周内完成市场调查，并出具相关报告随同项目申请上报公司领导，经公司会议研究决定批准后，信息部按照批准后意见组织项目实施。
第四十一条IT系统项目的采购合同必须报公司法务部进行核准后方可签定。
第四十二条IT系统项目一经确定立项实施，必须成立项目小组，确定项目小组负责人及成员，原则上项目小组负责人由公司领导担任，小组成员由公司内各部门负责人组成。信息部在项目实施过程中对项目小组负责。
第四十三条项目小组成员要根据项目要求，极积主动高质量完成项目实施过程中专项工作。工作实施专管专责，不得中途转手他人（特殊情况除外）。
第四十四条信息部在项目实施过程中负责协调、组织、沟通和实施过程中的衔接工作。及时解决处理项目实施过程中的技术和其他问题。
第四十五条信息部全程跟踪、管理项目实施过程中的所有环节，并对项目进度及质量负责。IT系统项目实施过程中的技术文档、项目需求、知识文档等信息部要建立完整的项目文档管理体系。
第四十六条IT系统项目验收由项目小组评审验收，信息部具体负责项目验收评估及项目验收报告并上报公司审批等工作。
第四十七条信息部负责IT系统项目验收完成后的具体运行维护工作，并依据运行情况出具相关运行报告。
第四十八条由于公司发展需要，前期运行的IT系统需做二次开发或升级的，由具体使用部门与信息部配合及沟通提出系统需求，再由信息部整合需求，提供整体解决方案报公司信息化项目领导小组审定后，信息部与软件供应商联系系统二次开发或升级事宜。严禁相关部门私自或提前与软件供应商联系，避免谈判被动，给公司带来不利影响。
第八章计算机使用管理
第四十九条信息部负责公司内部门的计算机软件、硬件、上网行为及系统运行的统一维护和管理。
第五十条信息部负责对公司内各部门使用的计算机做日常定期、不定期使用监督检查，对于检查中发现的违规全权处理。对于检查中发现的重大违规应及时上报公司分管领导。
第五十一条公司内全体员工对违规使用计算的行为有互相监督和举报的权利。
第五十二条严禁外来人员使用公司电脑。
第五十三条公司所有计算机实行封签管理。计算机的维修权在信息部，任何人不得擅自更改计算机硬件配置或打开计算机，非信息部人员对计算机故障原因的确定无任何效力。
第五十四条下班后各部门必须关闭计算机及处围设备，检查电源情况，确保安全方可离开。
第五十五条在办公期间，长时间不用电脑必须采取人离机锁定，防止公司信息数据及秘密泄露。
第五十六条计算机使用人员不得擅自更改系统软件设置，安装与工作无关的即时通讯、炒股、游戏、BT下载、P2P、在线流媒体音视频播放等第三方软件。
第五十七条公司接入互联网的网络参数及设备参数严格实行保密，信息部对此项保密负责。
第五十八条特殊岗位使用计算机和系统操作人员必须与公司统一签定公司信息网络安全保密协议。
第五十九条任何人不得利用公司计算机和网络从事违法犯罪活动，一经查处落实，将从严处罚。
第六十条工作时间内严禁使用计算机或互联网做与工作无关的事。
第六十一条工作时间除工作需要打开的互联网指定访问外（包含下载），其他网络访问及网络应用信息部一律采用技术手段处理，确保各部门工作正常开展不受影响。
第六十二条公司内部网络带宽依据各部门实际工作需要，做带宽规划并进行带宽分配，确保各部门工作不受第三方影响。
第六十三条公司内除特别需要的，各部门使用的计算机一律通过公司域服务器登陆。并对各部门的USB接口，CD（DVD）光驱进行技术关闭。确保计算机内部数据及网络信息系统安全。
第六十四条公司内各部门的文件传输均采用公司内部邮件系统或公司内部即时通讯软件完成。
第六十五条信息部有权利用网络监控技术手段对公司内各岗位所使用的工作计算机进行数据、上网行为、系统等操作行为进行工作期间的监控。并对违规操作每月定期进行通报。
第九章罚则
第六十六条根据操作违规所给公司及信息系统的运行带来的损失及影响将违规操作分为A、B、C三类。
一、A类违规及范围界定：
1、在未经公司授权或非公司信息中心人员进行维护的前提下非岗位操作人员对其所使用的系统进行操作或查阅，查实盗取或违规修改应用系统业务数据的，给公司造成重大损失的。
2、在未经允许的情况下安装与信息系统或工作无关的软件、使用外带的各类移动存储设备（如：软盘、光盘、U盘等），给公司信息系统带来直接危害的。
3、工作期间通过信息网络系统登陆非公司业务的任何互连网网站及其它各类与工作无关的网站网页，导致公司内部信息网络感染病毒的并严重影响工作开展的。
4、将公司网络参数及网络设备参数外泄造成公司网络信息系统安全隐患的。
5、未经允许以任何理由复制、携带、帮助查阅、口头泄露等任何方式将公司各类信息数据带出办公岗位或告知他人的。
6、在公司关键及特殊岗位使用的计算机上安装各类游软件的。
7、恶意更改公司网络信息系统的所涉及的各类参数及数据的。
8、通过公司网络信息系统窃取其它部门或个人的文档资料或文件，造成恶劣影响并给公司、部门、个人带来损失的。
9、向外界以书面或口头形式透露公司信息网络安全防御工具及措施的。
10、未经授权盗用他人帐号及密码操作非本岗位所使用的信息系统模快功能的。
11、IT设备未经报批擅自做报废和处理的。
12、蓄意破坏公司IT设备、网络线路造成严重损失和恶劣影响的。
13、对采购的IT设备未按验收流程严格验收，致使验收的IT设备无法正常运行的。
14、对IT系统项目立项招标过程中不按公司项目招标管理规定，违规操作的。
15、信息部人员未按报障时间规定及进响应处理报障，给部门工作造成重大后果的。
16、不按规定下班对IT设备进行电源关闭安全隐患检查，造成重大损失的。
17、采用技术或非技术手段蓄意破坏公司信息系统硬件或软件，造成重大后果的。
凡违反A类界定违规项的处以200--1000元/次/项罚款。并因此给公司、部门及个人造成的一切损失由违规人全部承担。情节严重的上报公司将移交司法机关处理，并保留起诉权。
二、B类违规及范围界定：
1、各类业务单据、数据及相关业务处理因个人原因处理错误，已给公司造成一定的损失及不良的影响的。
2、未按公司各相关信息系统业务操作流程规定进行相应的业务管理及操作，可能会给公司带来损失的。包括：各类数据不及时跟踪检测造成偏差而查不出原因的、未经审批进行库存损溢数据处理的、无采购订单系统入库的、不按采购物资订单进行相应库存数据录入的、各种信息资料处理不及时等所有的违反公司制定的信息系统操作流程的现象。
3、所有的过失错误造成公司信息系统数据不准确及偏差给公司造成损失的。包括：仓库盘点数据录入错误、对信息系统出现的问题及故障人为性不及时处理造成部门工作延误或影响的、对部门内发现的问题不及时上报隐瞒问题真象的等所有因个人工作过失造成影响到公司信息管理的一切违规行为。
4、违反IT管理规定登陆互联网造公司计算机感染病毒或采用非正规手段传播、制造病毒，给公司信息系统安全带来隐患的。
5.将IT设备配件擅自拆除挪作他用或盗取的。
凡违反B类限定违规项的处以20--100元/次/项罚款。并因此给企业或个人造成的一切损失由违规人全部承担。情节严重的公司将根据实际情况予以加重处理或解聘。
三、C类违规范围界定：
1、因个人工作延误或失职造成工作的滞后但未给公司造成直接经济损失的。包括：数据录入信息系统不及时、不涉及公司核算项的内容录入错误、单据录入或未做系统提交生效的、各类单据及业务处理错误但能及时发现并予以改正的。
2、因个人的工作违规未给公司造成直接损失且影响其它部门业务正常开展的。包括：相关核算单据不及时传递、各种业务通知不及时传达到对应的部门的、对于信息系统出现的问题不及时沟通造成工作混乱的等所有违规行为。
3、工作期间利用计算机做与工作无关的事，违规下载各类文件的。
4、不按规定下班对IT设备进行电源关闭安全隐患检查，造成损失的
5、擅自打开或更换公司IT设备内部配置或安装与工作无关软件的。
6、不按规定工作期间计算机未登陆域服务器，造成公司IT管理失控的
凡违反C限定违规项的处以20元/次/项罚款。并对违规行为做公司内警告处分。
第六十七条信息部人员违反本管理规定加重责罚。
第十章附则
第六十八条此管理规定由信息部负责起草并解释。
第六十九条此管理规定报公司批准下发后即时生效。
第一章总则
第一条目的
为规范公司管理信息系统的权限管理工作，明确不同权限系统用户的管理职责，结合公司实际情况，特制定本管理制度。
第二条定义
（一）管理信息系统：包含已经上线的'财务会计、管理会计、供应链、生产制造、CRM（客户关系管理）、决策管理和后续上线的所有管理信息系统模块。
（二）权限：在管理信息系统中用户所能够执行的操作及访问数据的范围和程度。
（三）操作员：上述软件系统使用人员。
第三条适用范围
本制度适用于X有限公司（以下简称、公司）、X有限公司、X有限公司、X有限公司。
股份有限公司控、参股的其他公司，应结合本公司实际情况，参照本制度制定相应管理制度，报质量信息部备案。
第二章职责划分
第四条管理信息系统管理部门
公司的管理信息系统由质量信息部负责管理和维护，同时也是管理信息系统用户权限的归口管理部门，主要负责各系统内用户权限的审批、开通、监控、删除及通知等管理工作。
第五条管理信息系统操作部门
除管理信息系统管理部门外，其他使用管理信息系统的部门，均为管理信息系统的操作部门，使用人员为各岗位操作员。
第一条 为规范全院信息系统的运行维护管理工作，确保信息系统的安全可靠运行，切实提高效率和服务质量，使信息系统更好地服务于运营和管理，特制定本管理办法。
第二条 运行维护管理的基本任务：
1、 进行信息系统的日常运行和维护管理，实时监控系统运行状态，保证系统各类运行指标符合相关规定；
2、 迅速而准确地定位和排除各类故障，保证信息系统正常运行，确保所承载的各类应用和业务正常；
3、 进行系统安全管理，保证信息系统的运行安全和信息的完整、准确；
4、 在保证系统运行质量的情况下，提高维护效率，降低维护成本。
第三条 网络中心负责全院范围内信息系统运行维护管理、监督检查和质量考核评定工作，掌握运行质量情况，制定质量指标，并对信息系统各级维护部门进行定期检查考核；
第四条 负责全院范围内信息系统的计算机硬件平台、基础软件、应用软件、配套网络和的监控和日常维护工作，制定日常维护作业计划并认真执行，保证信息系统正常运行； 对于系统的所有维护（包括日常作业计划、故障处理、系统改进、数据变更、数据的备份与恢复、功能完善增加）都必须填写维护记录；负责所辖范围内信息系统数据的备份与恢复，负责落实系统安全运行措施；每年至少组织一次全行范围内的信息系统运维管理巡回检查，全面检查各维护作业计划管理、技术档案和资料管理、备份及日志管理、机房管理、安全保密管理等制度的落实情况。
第五条 系统出现故障，信息系统维护部门或维护人员首先进行处理，同时判断系统类型和故障级别，根据系统类型和故障级别，故障处理应在要求的时限内完成，并同时向院部报告。对无法解决的故障，应立即向软硬件最终提供商、代理商或维保服务商（以下简称厂商）提出技术支持申请，督促厂商安排技术支持，必要时进行跟踪处理，与厂商一起到现场进行解决。
第六条 厂商技术人员现场处理故障时，当地维护人员应全程陪同并积极协助，并在故障解决后进行书面确认。
第七条 参与故障处理的各方必须如实、及时填写故障处理单，现场技术支持还须当地维护人员予以签字确认或维护部门盖章。
第八条 建立重要紧急信息上报渠道，对于发生的重要紧急情况，应该立即逐级向院部主管领导报告，对业务影响较大的还应及时通知业务部门。
第九条 信息系统维护管理部门负责技术档案和资料的管理，应建立健全必要的技术资料和原始记录等。
第十条 软件资料管理应包含以下内容：
1、所有软件的介质、许可证、版本资料及补丁资料；
2、所有软件的安装手册、操作使用手册、应用开发手册等技术资料；
3、上述资料的变更记录。
第十一条 无关人员未经管理维护人员的批准严禁进入机房。
第十二条 机房内严禁吸烟、饮食、睡觉、闲谈等，严禁携带易燃易爆、腐蚀性等污染物和强磁物品及其它与机房工作无关的物品进入机房。
第一章用户和密码管理
第一条对于网络设备、主机、操作系统、数据库、业务应用程序，系统用户都必须通过用户和密码认证方可访问。
第二条用户权限分为普通用户、维护用户与超级用户三个级别。普通用户为各应用系统的使用者，维护用户为各层面系统维护者，超级用户为各层面的管理员用户。
第三条具有重要权限的帐号密码设置必须符合以下安全要求: （一）密码不得包含常用可以识别的名称或单词、易于猜测的字母或数字序列或者容易同用户发生联系的数据，比如自己、配偶或者子女的生日和姓名等内容。
（二）密码长度至少是六个字符，组成上必须包含大小写字母、数字、标点等不同的字符。
（三）如果数据库系统、应用系统提供了密码安全周期机制，则帐户密码必须至少每120天修改一次。
（四）同一密码不得被给定账户在一年内重复使用。
（五）如果数据库系统、应用系统提供了密码安全机制，则必须在30分钟之内连续出现5次无效的登录尝试，其账户必须锁定15分钟。在此期间，超级用户可以采用经过批准的备用验证机制重新启用账户。
（六）厂商默认密码必须在软件或硬件安装调试完毕后进行修改。
（七）对于操作系统，必须禁用GUEST帐户，并将管理员帐户重命名。
第四条密码保护与备份策略：
（一）范围：网络设备、服务器操作系统、数据库、应用系统、ADSL帐户拨号信息；
（二）包含项目：网络设备包括访问的IP地址、端口，所有超级用户的用户名以及密码；
服务器操作系统的IP地址、所有管理员帐户名、密码；
数据库中所有具有系统数据库管理员权限的用户的用户名和密码；
应用系统中所有超级用户的用户名以及密码；帐户的用户名以及密码。
第二章网络安全管理
第五条需要全面、系统地考虑整个网络的安全控制措施，并紧密协调，一致实施，以便优化公司IT系统运营。明确规定有关网络的规划、实施、运作、更改和监控的'安全技术要求，对网络安全状态进行持续监控，保存有关错误、故障和补救措施的记录。
第六条网络层次管理必须遵循以下要求：
（一）应用系统所有者相关部门必须同集团信息管理部密切合作。
（二）必须编制并保留网络连接拓扑结构。
第七条网络管理员负责生产网络、办公网络的安全管理，网络管理员必须掌握网络管理和网络安全方面的知识。
第八条网络管理员必须使用安全工具或技术进行系统间的访问控制，并根据系统的安全等级，相应的在系统的接入点部署防火墙等网络安全产品，保证网络安全。
第三章操作系统安全管理
第九条操作系统管理员由信息管理部领导指定专人担任。
第十条操作系统管理员主要责任包括：
（一）对操作系统登录帐号、权限、帐号持有人进行登记分配管理。
（二）制定并实施操作系统的备份和恢复计划。
（三）管理系统资源并根据实际需要提出系统变更、升级计划。
（四）监控系统运行状况，发现不良侵入立即采取措施制止。
（五）每1个月检查系统漏洞，根据实际需要提出版本升级计划，及时安装系统补丁，并记录。
（六）检查系统CPU、内存、文件系统空间的使用情况等。
（七）检查服务器端口的开放情况。
（八）每月分析系统日志和告警信息，根据分析结果提出解决方案。
第十一条在信息系统正式上线前，操作系统管理员必须删除操作系统中所有测试帐号，对操作系统中无关的默认帐号进行删除或禁用。
第十二条操作系统管理员与应用系统管理员不可兼职,当操作系统管理员变化时，必须及时更换管理员口令。操作系统管理员必须创建专门的操作系统维护帐号进行日常维护。
第十三条本地或远程登录主机操作系统进行配置等操作完成后或临时离开配置终端时，必须退出操作系统。在操作系统设置上，操作系统管理员必须将操作系统帐号自动退出时间参数设置为10分钟以内。
第十四条操作系统管理员执行重要操作时，必须开启操作系统日志，对于一些系统无法自动记录的重要操作，由操作系统管理员将操作内容记录在《系统维护日志》上。
第四章数据安全管理
第十五条数据库管理员由信息管理部领导根据工作需要指定专人担任。数据库管理员与应用系统管理员不能为同一个人，不可兼职。数据库管理员必须创建专门的服务支撑帐号进行日常服务支撑。
第十六条数据库管理员的职责：
（一）数据库用户注册管理及其相关安全管理。
（二）对数据库系统存储空间进行管理，根据实际需要提出扩容计划。对数据库系统性能进行分析、监测，优化数据库的性能。必要时进行数据库碎片整理、重建索引等。
（三）制定并实施数据库的备份及恢复计划，根据备份计划进行数据库数据和配置备份，并检查数据库备份是否成功。
（四）监测有关数据库的告警，检查并分析数据库系统日志，及时提出解决方案，并记录服务支撑日志。
（五）检查数据库对主机系统CPU、内存的占用情况。
第五章主机安全管理
第十七条主机系统管理员由信息管理部领导指定专人负责，主机系统管理员与应用系统管理员不可兼职。主机的访问权限由主机系统管理员统一管理，并为系统应用人员分配与其工作相适应的权限。
第十八条主机系统管理员必须每日检查主机机房工作环境是否满足主机的工作条件，包括不间断电源、温度、湿度、洁净程度等。若主机机房的工作条件不能满足主机的工作要求，应及时向上级主管部门反映，提出改善主机机房的要求，以保障主机设备的安全。
第十九条主机系统管理员负责系统安全措施的设置，系统用户管理和授权，制定系统安全检查规则，实施对生产系统服务器的访问控制、日志监测、系统升级，防止非法入侵。
第六章终端安全管理
第二十条各计算机终端用户不允许进行任何干扰网络用户、破坏网络服务和破坏网络设备的活动，不得私自调整网络参数配置。
第二十一条计算机终端设备为公司生产设备，不得私用，转让借出，除笔记本电脑外，其它设备严禁无故带出生产工作场所。
第二十二条计算机终端设备均应用于与公司办公生产相关的活动，不得安装与办公生产无关的软件和进行与办公生产无关的活动。
第二十三条所有计算机终端设备必须统一安装网络防病毒软件，接受公司防病毒服务器的统一管理，未经网络管理员同意，不得私自在计算机中安装非公司统一规定的任何防病毒软件及个人防火墙。对于特殊专业使用的终端设备必须安装适合的防病毒软件，符合防病毒安全管理规定。长期在外使用的计算机终端设备，必须及时升级操作系统补丁和防病毒软件。
第二十四条信息管理部采取必要的管理工具或手段，检查终端设备是否及时升级操作系统补丁、是否及时更新防病毒软件的病毒库信息。
第二十五条信息管理部定期组织检查办公用机器上是否安装或使用非办公软件及任何与工作无关的软件，定期检查是否访问反动、不良网站。
第二十六条各计算机终端用户负责自己所拥有的一切口令的保密，并根据密码管理的要求及时修改口令。不得将自己所拥有系统帐号转借他人使用。
第二十七条禁止在计算机终端上开放具有“写”权限的共享目录，
人民医院信息系统安全管理制度
一、信息系统安全包括:软件安全和硬件网络安全两部分。
二、计算机中心人员必须采取有效的方法和技术,防止信息系统数据的丢失、破坏和失密;硬件破坏、失效等灾难性故障。
三、对系统用户的访问模块、访问权限由使用单位负责人提出,交信息化领导小组核准后,由计算机中心人员给予配置并存档,以后变更必须报批后才能更改,计算机中心做好变更日志存档。
四、系统管理人员应熟悉并严格监督数据库使用权限、用户密码使用情况,定期更换用户口令或密码。网络管理员、系统管理员、操作员调离岗位后一小时内由班组长监督检查更换新的密码;厂方调试人员调试维护完成后一小时内,由系统管理员关闭或修改其所用帐号和密码。
五、计算机中心人员要主动对网络系统实行监控、查询,及时对故障进行有效隔离、排除和恢复工作,以防灾难性网络风暴发生。
六、网络系统所有设备的配置、安装、调试必须由计算机中心人负责,其他人员不得随意拆卸和移动。
七、上网操作人员必须严格遵守计算机及其他相关设备的操作规程,禁止其他人员进行与系统操作无关的工作。
八、严禁自行安装软件,特别是游戏软件,禁止在工作用电脑上打游戏。
九、所有进入网络的软盘、光盘、u盘等其他存贮介质,必须经过计算机中心负责人同意并查毒,未经查毒的`存贮介质绝对禁止上网使用,对造成“病毒”蔓延的有关人员,将对照《计算机信息系统处罚条例》进行相应的经济和行政处罚。
十、在医院还没有有效解决网络安全(未安装防火墙、高端杀毒软件、入侵检测系统和堡垒主机)的情况下,内外网独立运行,所有终端内外网不能混接,严禁外网用户通过u盘等存贮介质拷贝文件到内网终端。
十一、内网用户所有文件传递,一律通过网上办公系统和ftp服务器专门的上载、下载区进行,不得利用软盘、光盘和u盘等存贮介质进行拷贝。
十二、保持计算机硬件网络设备清洁卫生,做好防尘、防水、防静电、防磁、防辐射、防鼠等安全工作。
十三、计算机中心人员有权监督和制止一切违反安全管理的行为。
第一章 总则
第一条 为加快公司信息系统建设步伐，规范信息系统工程项目建设安全管理，提升信息系统建设和管理水平，保障信息系统工程项目建设安全，特制定本规范。
第二条 本规范主要对XX公司（以下简称“公司”）信息系统建设过程提出安全管理规范。保证安全运行必须依靠强有力的安全技术，同时更要有全面动态的安全策略和良好的内部管理机制，本规范包括五个部分：
1）项目建设安全管理的总体要求：明确项目建设安全管理的目标和原则；
2）项目规划安全管理：对信息化项目建设各个环节的规划提出安全管理要求，确定各个环节的安全需求、目标和建设方案；
3）方案论证和审批安全管理：由安全管理部门组织行内外专家对项目建设安全方案进行论证，确保安全方案的合理性、有效性和可行性。标明参加项目建设的安全管理和技术人员及责任，并按规定安全内容和审批程序进行审批；
4）项目实施方案和实施过程安全管理：包括确定项目实施的阶段的安全管理目标和实施办法，并完成项目安全专用产品的确定、非安全产品安全性的确定等；
5）项目投产与验收安全管理：制定项目安全测评与验收方法、项目投产的安全管理规范，以及相关依据。
第三条 规范性引用文件
下列文件中的条款通过本规范的引用而成为本规范的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本规范，但鼓励研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本规范。
第四条 术语和定义
本规范引用GB/T 5271.8－20__中的术语和定义，还采用了以下术语和定义：
1）信息安全 infosec
信息的机密性、完整性和可用性的保护。
注释： 机密性定义为确保信息仅仅被那些被授权了的人员访问。
完整性定义为保护信息和处理方法的准确性和完备性。
可用性定义为保证被授权用户在需要时能够访问到信息和相关资产。
2)计算机系统安全工程 ISSE（Information Systems Security Engineering）
计算机系统安全工程（ISSE）是发掘用户信息安全保护需求，然后以经济、精确和简明的方法来设计和建造计算机系统的一门技巧和科学，ISSE识别出安全风险，并使这些风险减至最少或使之受到遏制。
3)风险分析 risk analysis
对信息和信息处理设施所面临的威胁及其影响以及计算机系统脆弱性及其发生的可能性的分析评估。
4)安全目标 security objective
本规范中特指公司项目建设信息安全管理中需要达成到的目标。
5)安全测试 security testing
用于确定系统的安全特征按设计要求实现的过程。这一过程通常包括现场功能测试、渗透测试和验证。
第五条 本规范遵照国家相关政策法规和条例，结合各种信息化项目建设的具体情况，依据各种标准、规范以及安全管理规定而制定。
第二章 项目建设安全管理的总体要求
第六条 项目建设安全管理目标
一个项目的生命周期包括：项目申报、项目审批和立项、项目实施、项目验收和投产；从项目建设的角度来看，这些生命周期的阶段则包括以下子阶段：需求分析、总体方案设计、概要设计、详细设计、系统实施、系统测试和试运行，如下表所示。
项目建设安全管理的目标就是保证整个项目管理和建设过程中系统的安全。为了达到这个目标，信息安全（INFOSEC）必须融合在项目管理和项目建设过程中，与公司的业务需求、环境要求、项目计划、成本效益以及国家和地方的政策、标准、指令相一致。这种融合应该产生一个计算机系统安全工程（ISSE）项目，它要确认、评估、并且消除或控制住系统对已知或假定的威胁的脆弱点，最终得到一个可以接受水平的安全风险。
计算机系统安全工程（ISSE）并不意味着存在一个单独独立的过程。它支持项目管理和建设过程，而且是后者不可分割的一部分。第三章到第六章将以项目管理过程为主轴，并结合项目建设过程，规定了在每个阶段中应达到哪些计算机系统安全工程要求。
第七条 项目建设安全管理原则
信息系统项目建设安全管理应遵循如下原则：
1)等级
2)全生命周期安全管理：信息安全管理必须贯穿信息化项目建设的整个生命周期；
3)成本-效益分析：进行信息安全建设和管理应考虑投入产出比；
4)明确职责：每个参与项目建设和项目管理的人员都应该明确安全职责，应进行安全意识和职责培训，并落实到位；
5)管理公开：应保证每个项目参与人员都知晓和理解安全管理的模式和方法；
6)科学制衡：进行适当的职责分离，保证没有人可以单独完成一项业务活动，以避免出现相应的安全问题；
7)最小特权：人员对项目资产的访问权限制到最低限度，即仅赋予其执行授权任务所必需的权限。
第八条 项目建设安全管理要求
项目安全管理工作应强化责任机制、规范管理程序，在项目的申报、审批、立项、实施、验收等关键环节中，必须依照规定的职能行使职权，并在规定的时限内完成各个环节的安全管理行为，否则应承担相应的行政责任。
第三章 项目申报
第九条 项目申报阶段应对信息系统项目及其建设的各个环节进行统一的安全管理规划，确定项目的安全需求、安全目标、安全建设方案，以及生命周期各阶段的安全需求、安全目标、安全管理措施。
第十条 应由项目应用主管单位进行项目需求分析、确定总体目标和建设方案。项目应用主管单位进行项目申报时应填写《信息系统项目立项申请表》，并提交《业务需求书》和《信息系统项目可行性研究报告》。
第十二条 系统定级
1）依据国家信息系统安全等级保护定级指南（GBT 22240-20__）对项目中的系统进行定级，明确信息系统的边界和安全保护等级；
2）以书面的形式说明确定信息系统为某个安全保护等级的方法和理由，形成信息系统定级报告；
3）组织相关部门和有关安全技术专家对信息系统定级结果的合理性和正确性进行论证和审定，上报上级主管单位和安全监控单位进行审定；
4）信息系统的定级结果向本地公安机关进行备案。
第十三条 挖掘安全需求
在《业务需求书》中除了描述系统业务需求之外，还应进行系统的安全性需求分析，应至少包括以下信息安全方面的内容：
1)安全威胁分析报告：应分析待建计算机系统在生命周期的各个阶段中可能遭受的自然威胁或者人为威胁（故意或无意），具体包括威胁列表、威胁可能性分析、威胁严重性分析等；
2)系统脆弱性分析报告：包括对系统造成问题的脆弱性的定性或定量的描述，这些问题是被攻击的可能性、被攻击成功的可能性； 3)影响分析报告：描述威胁利用系统脆弱性可能导致不良影响。影响可能是有形的，例如资金的损失或收益的减少，或可能是无形的，例如声誉和信誉的损失；
4)风险分析报告：安全风险分析的目的在于识别出一个给定环境中涉及到对某一系统有依赖关系的安全风险。它取决于上面的威胁分析、脆弱性分析和影响分析，应提供风险清单以及风险优先级列表；
5)系统安全需求报告：针对安全风险，应提出安全需求，对于每个不可接受的安全风险，都至少有一个安全需求与其对应。
第十四条 安全可行性
在可行性报告的以下条目中应增加相应的信息安全方面的内容：
1）项目目标、主要内容与关键技术：增加信息化项目的总体安全目标，并在主要内容后面增加针对前面分析出的安全需求所提出的相应安全对策，每个安全需求都至少对应一个安全对策，安全对策的强度应根据相应资产的重要性来选择；
2）项目采用的技术路线或者技术方案：增加描述如何从技术、运作、组织以及制度四个方面来实现所有的安全对策，并形成安全方案；
3）项目的承担单位及人员情况介绍：增加项目各承担单位的信息安全方面的资质和经验介绍，并增加介绍项目主要参与人员的信息安全背景；
4）项目安全管理：增加项目建设中的安全管理模式、安全组织结构、人员的安全职责、建设实施中的安全操作程序和相应安全管理要求；
5）成本效益分析：对安全方案进行成本-效益分析。
第十五条 对投入使用的应用软件需要升级改造的，虽不需另行立项，但仍需参照上述方法进行一定的安全性分析，并针对可能发生的安全问题提出和实现相应安全对策。
第四章 安全方案设计
第十六条 本阶段主要是项目审批单位对项目申报内容进行安全方案的设计，对项目的安全性进行确定，必要时可以聘请外单位的专家参与论证工作。
第十七条 安全标准的确定
1）根据系统的安全保护等级选择基本安全措施，设计安全标准必须达到等级保护相关等级的基本要求，并依据风险分析的结果进行补充和调整必要的安全措施；
2）指定和授权专门的部门对信息系统的安全建设进行总体规划，制定近期和远期的安全建设工作计划；
3）应根据信息系统的等级划分情况，统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案，并形成配套文件
4）应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的合理性和正确性进行论证和审定，并且经过批准后，才能正式实施；
5）根据等级测评、安全评估的结果定期调整和修订总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件。
第五章 方案论证和审批
第十八条 本阶段主要是项目审批单位对项目申报内容进行审批，对项目进行安全性论证，必要时可以聘请外单位的专家参与论证工作。
第十九条 安全性论证和审批
安全性论证应着重对项目的安全需求分析、安全对策以及总体安全方案进行成本-效益、合理性、可行性和有效性分析，并在《信息化项目立项审批表》上给出明确的结论：
1）适当
2）不合适（否决）
3）需作复议
对论证结论为“需作复议”的项目，通知申报单位对有关内容进行必要的补充或者修改后，再次提交复审。
第二十条 项目安全立项
审批后，项目审批单位将对项目进行立项，在《信息系统项目任务书》的以下条目中应增加相应的计算机安全方面的内容：
1)项目的管理模式、组织结构和责任：增加项目建设中的安全管理模式、安全组织结构以及人员的安全职责；
2)项目实施的基本程序和相应的管理要求：增加项目建设实施中的安全操作程序和相应安全管理要求；
3)项目设计目标、主要内容和关键技术：增加总体安全目标、安全对策以及用于实现安全对策的总体安全方案；
4)项目实现功能和性能指标：增加描述系统拥有的具体安全功能以及安全功能的强度；
5)项目验收考核指标：增加安全性测试和考核指标。
第二十一条 立项的项目，如采用引进、合作开发或者外包开发等形式，则需与第三方签订安全保密协议。
第六章 项目实施方案和实施过程安全管理标准
第二十二条 信息化项目实施阶段包括3个子阶段：概要设计、详细设计和项目实施，本阶段的主要工作由项目开发承担单位来完成，项目审批单位负责监督工作。
第二十三条 概要设计子阶段的安全要求
在概要设计阶段，系统层次上的设计要求和功能指标都被分配到了子系统层次上，这个子阶段的安全目标是保证各子系统设计实现了总体安全方案中的安全功能。因此，《概要设计说明书》中至少应达到以下安全要求：
1)应当按子系统来描述系统的安全体系结构；
2)应当描述每一个子系统所提供的安全功能；
3)应当标识所要求的任何基础性的硬件、固件或软件，和在这些硬件、固件或软件中实现的支持性保护机制提供的功能表示；
4)应当标识子系统的所有接口，并说明哪些接口是外部可见的；
5)描述子系统所有接口的用途与使用方法，并适当提供影响、例外情况和错误消息的细节；
6)确证子系统（不论是开发的，还是买来的）的安全功能指标满足系统安全需求。
第二十四条 详细设计子阶段的安全要求
无论是新开发一个系统，或是对一个系统进行修改，本阶段的任务是完成那些不能买到现成品的软硬件模块的设计。先要完成每个模块的详细设计方案，最后根据每个模块的详细设计得到整个系统的详细设计。本子阶段的安全目标是保证各模块设计实现了概要设计中的安全功能，因此在这一阶段的《详细设计说明书》中至少要包括以下信息安全内容：
1）详细设计中应提出相应的具体安全方案，标明实现的安全功能，并应检查其技术原理；
2）对系统层面上的和模块层面上的安全设计进行审查；
3）完成安全测试和评估要求（通常包括完整的系统的、软件的、硬件的安全测试方案，至少是相关测试程序的一个草案）；
4）确认各模块的设计，以及模块间的接口设计能满足系统层面的安全要求。
第二十五条 项目实施子阶段的安全要求
无论是新开发一个系统或是进行系统修改，本阶段的主要目的是将所有的模块（软硬件）集成为完整的系统，并且检查确认集成以后的系统符合要求。本阶段中，应完成以下具体信息安全工作：
1)更新系统安全威胁评估，预测系统的使用寿命；
2)找出并描述实现安全方案后系统和模块的安全要求和限制，以及相关的系统验证机制及检查方法；
3)完善系统的运行程序和全生命期支持的安全计划，如密钥的分发等；
4)在《系统集成操作手册》中，应制定安全集成的操作程序；
5)在《系统修改操作手册》中，应制定系统修改的安全操作程序；
6)对项目参与人员进行信息安全意识培训；
7)并对参加项目建设的安全管理和技术人员的安全职责进行检查。
第二十六条 在系统实施阶段需要采购的网络安全设备必须由公司进行统一采购，并确保采购的设备至少符合下面的要求：
1)网络安全设备选型应根据国家电力行业有关规定选择经过国家有关权威部门的测评或认证的产品。
2)所有安全设备后均需进行严格检测，凡购回的设备均应在测试环境下经过连续72小时以上的单机运行测试和联机48小时的应用系统兼容性运行测试。严禁将未经测试验收或验收不合格的设备交付使用。
3)通过上述测试后，设备才能进入试运行阶段。试运行时间的长短可根据需要自行确定。通过试运行的设备，才能投入生产系统，正式运行。
第二十七条 在软件的开发被外包的地方，应当考虑如下几点：
1)检查代码的所有权和知识产权情况；
2)质量合格证和所进行的工作的精确度；
3)在第三方发生故障的情况下，有第三方备份保存；
4)进行质量审核；
5)在合同上有代码质量方面的要求；
6)在安装之前进行测试以检测特洛伊代码；
7)提供源代码以及相关设计、实施文档；
8)重要的项目建设中还要要对源代码进行审核。
第二十八条 计算机系统集成的信息技术产品（如操作系统、数据库等）或安全专用产品（如防火墙、IDS等）应达到以下要求：
1)对项目实施所需的计算机及配套设备、网络设备、重要机具（如ATM）、
计算机软件产品的购置，计算机应用系统的合作开发或者外包开发的确定，按现有制度中的相关规定执行；
2)安全产品的采购必须由公司进行统一采购；
3)安全专用产品应具有国家职能部分颁发的信息安全专用产品的销售许可证；
4)密码产品符合国家密码主管部门的要求，来源于国家主管部门批准的密码研制单位；
5)关键安全专用产品应获得国家相关安全认证，在选型中根据实际需要制定安全产品选型的标准；
6)关键信息技术产品的安全功能模块应获得国家相关安全认证，在选型中根据实际需要制定信息技术产品选型的标准。
7)所有安全设备后均需进行严格检测，凡购回的设备均应在测试环境下经过连续72小时以上的单机运行测试和联机48小时的应用系统兼容性运行测试。严禁将未经测试验收或验收不合格的设备交付使用。
8)通过上述测试后，设备才能进入试运行阶段。试运行时间的长短可根据需要自行确定。通过试运行的设备，才能投入生产系统，正式运行。
第二十九条 产品和服务供应商应达到以下要求：
1)系统集成商的资质要求：至少要拥有国家权威部门认可的系统一级集成资质，对于较为重要的系统应有更高级别的集成资质；
2)工商要求：
①产品、系统或服务提供单位的营业执照和税务登记在合法期限内；
②产品、系统或服务提供商的产品、系统或服务的提供资格；
③连续赢利期限要求；
④连续无相关法律诉讼年限要求；
⑤没有发生重大管理、技术人员变化和流动的期限要求；
⑥没有发生主业变化期限要求。
3)信息安全产品的采购请参阅《信息安全产品采购、使用管理制度》
4)安全服务商资质：至少应具有国家一级安全服务资质，对于较为重要的系统应有更高级别的安全服务资质；
5)人员资质要求：系统集成人员、安全服务人员以及相关管理人员应获得国家权威部门颁发的信息安全人员资质认证；
6)其它要求：系统符合国家相关法律、法规，按照相关主管部门的技术管理规定对非法信息和恶意代码进行有效控制，按照有关规定对设备进行控制，使之不被作为非法攻击的跳板；
7)服务供应商的选择还要参阅《安全服务外包管理制度》。
第七章 项目验收与投产
第三十条 系统建设完成后，项目承建方要依据项目合同的交付部分向应用主管部门进行项目交付，但交付的内容至少包括：
1)制定的系统交付清单，对交付的设备、软件和文档进行清点； 2)对系统运维人员进行技能培训，要求系统运维人员能进行日常的维护；
3)提供系统建设的过程文档，包括实施方案、实施记录等；
4)提供系统运行维护的帮助和操作手册
第三十一条 系统交付要项目实施和应用主管部门的相关项目负责人进行签字确认。
第三十二条 系统交付由项目应用系统主管部门负责，必须安照系统交付的要求完成交付工作。
第三十三条 应制定投产与验收测试大纲，在项目实施完成后，由项目应用主管单位和项目开发承担单位共同组织进行测试。在测试大纲中应至少包括以下安全性测试和评估要求：
1)配置管理：系统开发单位应使用配置管理系统，并提供配置管理文档；
2)安装、生成和启动程序：应制定安装、生成和启动程序，并保证最终产生了安全的配置；
3)安全功能测试：对系统的安全功能进行测试，以保证其符合详细设计并对详细设计进行检查，保证其符合概要设计以及总体安全方案；
4)系统管理员指南：应提供如何安全地管理系统和如何高效地利用系统安全功能的优点和保护功能等详细准确的信息；
5)系统用户指南：必须包含两方面的内容：首先，它必须解释那些用户可见的安全功能的用途以及如何使用它们，这样用户可以持续有效地保护他们的信息；其次，它必须解释在维护系统的安全时用户所能起的作用；
6)安全功能强度评估：功能强度分析应说明以概率或排列机制（如，口令字或哈希函数）实现的系统安全功能。例如，对口令机制的功能强度分析可以通过说明口令空间是否有足够大来指出口令字功能是否满足强度要求；
7)脆弱性分析：应分析所采取的安全对策的完备性（安全对策是否可以满足所有的安全需求）以及安全对策之间的依赖关系。通常可以使用穿透性测试来评估上述内容，以判断它们在实际应用中是否会被利用来削弱系统的安全。
第三十四条 测试完成后，项目测试小组应提交《测试报告》，其中应包括安全性测试和评估的结果。不能通过安全性测试评估的，由测试小组提出修改意见，项目开发承担单位应作进一步修改。
第三十五条 测试通过后，由项目应用单位组织进入试运行阶段，应有一系列的安全措施来维护系统安全，它包括处理系统在现场运行时的安全问题和采取措施保证系统的安全水平在系统运行期间不会下降。具体工作如下：
1)监测系统的安全性能，包括事故报告；
2)进行用户安全培训，并对培训进行总结；
3)监视与安全有关的部件的拆除处理；
4)监测新发现的对系统安全的攻击、系统所受威胁的变化以及其它与安全风险有关的因素；
5)监测安全部件的备份支持，支持与系统安全有关的维护培训；
6)评估大大小小的系统改动对安全造成的影响；
7)监测系统物理和功能配置，包括运行过程，因为一些不太显眼的改变可能影响系统的安全风险。
第三十六条 系统安全试运行半年后，项目应用主管单位可以组织由项目开发承担单位和科技部门人员参加的项目验收组对项目进行验收。验收应增加以下安全内容：
1)项目是否已达到项目任务书中制定的总体安全目标和安全指标，实现全部安全功能；
2)采用技术是否符合国家、电力行业有关安全技术标准及规范；
3)是否实现验收测评的安全技术指标；
4)项目建设过程中的各种文档资料是否规范、齐全；
5)在验收报告中也应在以下条目中反映对系统安全性验收的情况：
6)项目设计总体安全目标及主要内容；
7)项目采用的关键安全技术；
8)验收专家组中的安全专家及安全验收评价意见。
第三十七条 系统备案
1）系统建设完成后，要向相应的公安机关进行备案，系统的备案，备案的相关材料有由公司进行统一管理，相应的系统应用、管理部门可以借阅；
2）系统等级及相关材料报系统主管部门进行备案；
3）系统待级及其它要求的备案材料报相应的公安机关备案。
第四十条 设备管理
1)设备的使用均应指定专人负责，均应设定严格的管理员身份鉴别和访问控制，严禁盗用帐号和密码，超越管理权限，非法操作安全设备。
2)设备的口令不得少于10位，须使用包含大小写字母、数字等在内的不易猜测的强口令，并遵循省电网公司统一的帐号口令管理办法。
3)设备的网络配置应遵循统一的规划和分配，相关网络配置应向信息管理部门备案。
4)设备的安全策略应进行统一管理，安全策略固化后的变更应经过安全管理人员审核批准，并及时更新策略配置库。
5)设备须有备机备件，由公司统一进行保管、分发和替换。
6)加强设备外联控制，严禁擅自接入国际互联网或其他公众信息网络。
7)工作需要，设备需携带出工作环境时，应递交申请并由相关责任人签字并留档。
8)存储介质(含磁盘、磁带、光盘和优盘)的管理应遵循：
①因工作原因需使用外来介质，应首先进行病毒检查。
②存储介质上粘贴统一标识，注明编号、部门、责任人。
③存储介质如有损坏或其他原因更换下来的，需交回处理。
9)安全设备的使用管理：
①安全设备每月详细检查一次，记录并分析相关日志，对可疑行为及时进行处理；
②关键安全设备媒体必需进行日常巡检；
③当设备的配置更改时，应做好配置的备份工作；
④安全设备出现故障要立即报告主管领导，并及时通知系统集成商或有关单位进行故障排除，应填写操作记录和技术文档。
10)设备相应责任人负责：
①建立详细的运行日志记录、备份制度；
②负责设备的使用登记，登记内容应包括运行起止时间、累计运行时数及运行状况等。
③负责进行设备的日常清洗及定期保养维护，做好维护记录，保障设备处于最佳状况；
④一旦设备出现故障，责任人应立即如实填写故障报告，通知有关人员处理；
⑤设备责任人应保证设备在其出厂标称的使用环境（如温度、湿度、电压、电磁干扰、粉尘度等）下工作；
11)及时关注下发的各类信息安全通告，关注最新的病毒防治信息和提示，根据要求调节相应设备参数配置；
12)安全管理员应界定重要设备，对重要设备的配置技术文档应考虑双份以上的备份，并存放一份于异地。
第四十一条 投产后的监控与跟踪
项目投产后还应进行一段时间的监控和跟踪，具体包括以下要求：
1)应对系统关键安全性能的变化情况进行监控，了解其变化的原因；
2)对系统安全事故的发生、应急、处理、恢复、总结进行全程跟踪，并编写详细的记录；
3)监控新增的安全部件对系统安全的影响；
4)跟踪安全有关部件的拆除处理情况，并监控随后系统安全性的变化；
5)对新发现的对系统安全的攻击进行监控，记录其发生的频率以及对系统的影响；
6)监控系统所受威胁的变化，评估其发生的可能性以及可能造成的影响；
7)监控并跟踪安全部件的备份情况；
8)监控运行程序的变化，并记录这些变化对系统安全的影响；
9)监控系统物理环境的变化情况，并记录这些变化对系统安全的影响；
10)监控安全配置的变化情况，并记录这些变化对系统安全的影响；
11)对于上述所有监控和跟踪内容，如果对系统安全有不良影响处，都应在系统设计、配置、运行管理上做相应改进，以保证系统安全、正常运行。
第四十二条 等级测评
1）系统进入运行过程后，三级的系统每年聘请第三方测评机构对系统进行一次等级测评，二级的系统由自已每年测评一次，发现不符合相应等级保护标准要求的及时整改；
2）系统发生变更时，及时对系统进行等级测评，发现级别发生变化的及时调整级别并进行安全改造，发现不符合相应等级保护标准要求的及时整改；
3）测评机构要选择具有国家相关技术资质和安全资质的单位；
4）系统的等级测评由信息部负责管理。
第八章 附 则
第四十三条 本制度由公司XX部门负责解释。
第四十四条 本制度自颁布之日起实行。
1.目的
规范公司的信息系统的管理。
2.适用范围
信息系统使用人员。
3.信息系统管理员职责
3.1系统管理员负责信息系统服务器程序每日的启动和退出，并对每日的备份数据进行检查和测试。
3.2系统管理员应密切注意系统的运行状态，如出现报错、无法登录等异常情况，应及时记录并解决，若不能解决应及时联系软件开发商的技术工程师。
3.3系统管理员对杀毒软件的更新工作每天都要进行，每周至少进行一次全面病毒查杀工作，以确保数据的安全性和稳定性。
3.4服务器必须使用UPS，应避免服务器突然断电事故的发生，以确保数据的完整性。
3.5系统管理员对信息系统进行升级、重装、测试前务必对账套进行备份，以防出现意外致使数据受损。
3.6各部门若增加操作员或扩展操作权限，必须写申请经信息系统相关项目负责人审批，然后由系统管理员进行相应操作。
3.7 违反上述情况者过给与3级惩罚，见8.0奖惩规定。
3.8 系统管理员负责处罚依据的收集。
4.信息内容的录入
4.1所有进入信息系统的操作员必须使用自己的用户名，并在自己的权限范围内进行操作。
4.2操作员根据公司的工作权限安排，每天及时、正确的输入数据。具于查询与审批权限的操作员应根据工作实际情况及时、定时的审批。保障信息系统数据流程畅通和准确。
4.3 不及时的定义
4.3.1超过6小时的情况-----1级。
4.3.2超过12小时的情况---2级。
4.3.3超过24小时的情况---3级。
4.3.4超过48小时的情况---4级。
4.4 不正确输入数据的定义。
违反公司规章制度-2级
违反公司各部门管理程序、操作流程、手册和供应链管理中心下发的通知-2级.
输入的内容和真实内容有差异的-2级.
4.5信息内容的录入之奖惩见8.0.
5. 信息录入的.监督
5.1信息系统录入的监督职责系该工作团队负责人。
5.2 信息系统监督不力情况.
明知故犯者的—3级。
该团队操作人员出现下岗的—3级。
因为监督不力造成公司损失金额超过20xx元以上的—4级。
6.信息查询
6.1在日常工作中，固定登陆端口使用者，在日常工作中若2个小时内不需要使用信息系统，必须退出信息系统。
6.2活动端口登陆信息系统的使用者，不论你是第几个登陆者，若5分钟内不需要使用，必须退出信息系统。
6.3违反上述情况者过给与1级惩罚
7.信息系统保密
7.1操作员必须保密信息系统数据信息，不得向外界和无关公司员工泄露。
7.2操作员应为自己的账户名设置口令并定期更改，不得向其他人透露自己命的口令。
7.3违反6.1和6.2规定者将以4级直接惩罚，构成泄露公司机密罪的，依据中华人民共和国刑法条例，公司将依法追究刑事责任。
8.信息系统问题的反馈
8.1操作员在日常操作中，若出现异常、数据错误等问题，必须及时记录并报给相关领导，经领导批准后，方可排除异常和修改错误数据，自己不能自行解决，应及时报给系统管理员进行解决。
8.2 违反7.1规定的将以1级惩罚。
9. 奖惩
9.1. 1级惩罚—100元罚金/次。累计3次，直接上到2级惩罚。
9.2 2级惩罚---300元罚金/次。累计2次，直接上到3级惩罚。
9.3 3级惩罚---500元罚金/次。累计1次，直接上到4级惩罚。
9.4 4级惩罚---下岗惩罚。
9.5 对系统操作无错误(每三个月)者，给与20xx元/次的奖金(有效期20xx年12月30日)。
9.6 自20xx年10月1日起，信息系统管理员将违规记录每周送至人力资源做奖惩备份，同时抄送至各信息系统项目负责人和总经理办公室。
10.附件
《IT系统申请表》
《信息系统稽查表》
为保证我站信息系统安全，加强和完善网络与信息安全应急管理措施，层层落实责任，有效预防、及时控制和最大限度地消除信息安全突发事件的危害和影响，保障信息系统设备（数字微波机、复用器、解码器、实时控制、信号监测电脑、资料库电脑等）设备设施及系统运行环境的安全，其中重点把维护本站节目传输网络系统、基础数据库服务器安全放在首位，确保信息系统和网络的通畅安全运行，结合实际情况，特制定本应急预案。
第一章 总则
一、 为保证本台站信息系统的操作系统和数据库系统的安全，根据《中华人民共和国计算机信息系统安全保护条例》，结合本台站系统建设实际情况，特制定本制度。
二、 本制度适用于本台站值班人员使用。
三、 带班领导是本站系统管理的责任主体，负责组织单位系统的维护和管理。
第二章 系统安全策略
一、 技术负责人分配单位人员的权限，权限设定遵循最小授权原则。
1) 管理员权限：维护系统，对数据库与服务器进行维护。系统管理员、数据库管理员应权限分离，不能由同一人担任。
2) 普通操作权限：对于各个信息系统的使用人员，针对其工作范围给予操作权限。
3) 查询权限：对于单位管理人员可以以此权限查询数据，但不能输入、修改数据。
4) 特殊操作权限：严格控制单位管理方面的特殊操作，只将权限赋予相关科室负责人，例如退费操作等。
二、 加强密码策略，使得普通用户进行鉴别时，如果输入三次错误口令将被锁定，需要系统管理员对其确认并解锁，此帐号才能够再使用。用户使用的口令应满足以下要求： -8个字符以上； 使用以下字符的组合：a-z、A-Z、0-9，以及!@#$%^&*- +； -口令每三个月至少修改一次。
三、 定期安装系统的最新补丁程序，在安装前进行安全测试，并对重要文件进行备份。
四、每月对操作系统进行安全漏洞扫描，及时发现最新安全问题，通过升级、打补丁或加固等方式解决。
五、 关闭信息系统不必要的服务。
六、 做好备份策略，保障系统故障时能快速的恢复系统正常并避免数据的丢失。
第三章 系统日志管理
一、对于系统重要数据和服务器配值参数的修改，必须征得带班领导批准，并做好相应记录。
二、对各项操作均应进行日志管理，记录应包括操作人员、操作时间和操作内容等详细信息。
第四章 个人操作管理
一、 本站工作人员申请账户权限需填写《系统权限申请表》，经系统管理员批准后方可开通。账号申请表上应详细记录账号信息。
二、 人员离职或调职时需交回相关系统账号及密码，经系统管理员删除或变更账号后方能离职或调职。
三、 本站工作人员严禁私自在办公计算机上安装软件，以免造成病毒感染。严禁私自更改计算机的设置及安全策略。
四、 严格管理口令，包括口令的选择、保管和更换，采取关闭匿名用户、增强管理员口令选择要求等措施。
五、 计算机设备应设屏幕密码保护的用户界面，保证数据的机密性的安全。
第五章 惩处
违反本管理制度，将提请单位行政部视情节给予相应的批评教育、通报批评、行政处分或处以警告、以及追究其他责任。触犯国家法律、行政法规的，依照有关法律、行政法规的规定予以处罚；构成犯罪的，依法追究刑事责任。
第一章 总则
一、为规范信息系统的运行维护管理工作，确保信息系统的安全可靠运行，切实提高生产效率和服务质量，使信息系统更好地服务于生产运营和管理，特制订本管理办法。
二、本管理办法适用于及其分支机构的信息系统，各分支机构和各部室可根据本办法制定相应的实施细则。
三、信息系统的维护内容在生产操作层面又分为机房环境维护、计算机硬件平台维护、配套网络维护、基础软件维护、应用软件维护五部分：
1.计算机硬件平台指计算机主机硬件及存储设备；
2.配套网络指保证信息系统相互通信和正常运行的网络组织，包括联网所需的交换机、路由器、防火墙等网络设备和局域网内连接网络设备的网线、传输、光纤线路等。
3.基础软件指运行于计算机主机之上的操作系统、数据库软件、中间件等公共软件；
4.应用软件指运行于计算机系统之上，直接提供服务或业务的专用软件；
5.机房环境指保证计算机系统正常稳定运行的基础设施，包含机房建筑、电力供应、空气调节、灰尘过滤、静电防护、消防设施、网络布线、维护工具等子系统。 四、运行维护管理的基本任务：
1.进行信息系统的日常运行和维护管理，实时监控系统运行状态，保证系统各类运行指标符合相关规定；
2.迅速而准确地定位和排除各类故障，保证信息系统正常运行，确保所承载的各类应用和业务正常；
3.进行系统安全管理，保证信息系统的运行安全和信息的完整、准确；
4.在保证系统运行质量的情况下，提高维护效率，降低维护成本。
5.本办法的解释和修改权属于信息化办公室。
第二章 运行维护组织架构
一、 运行维护组织
1.信息系统的运行维护管理遵循在统一的领导下，分级管理和维护的模式。作为信息化办公室，牵头组织实施信息系统的维护管理工作。原则上信息系统的维护工作应逐步集中。
2.信息系统的维护管理分两个层面：管理层面和操作层面。在管理层面，信息化办公室，负责全处范围内信息系统的维护管理和考核。在操作层面，信息化办公室就是实体的维护部门（或维护人员）。信息化办公室直接对处信息化党政领导小组负责，并接受信息化党政领导小组的业务指导和日常管理。
3.信息化办公室应对工程处信息化建设制定技术规范、作业计划、应急预案，编制技术方案、培训教材等，各部室应积极配合。
二、信息化办公室运行维护职责
1. 信息化办公室管理职责
（1）贯彻国家、行业及监管部门关于工程处信息系统技术、设备及质量管理等方面的方针、政策和规定，组织制定信息系统的维护规程、维护管理办法和维护责任制度；
（2）负责全处范围内信息系统运行维护管理、监督检查和质量考核评定工作，掌握运行质量情况，制定质量指标，并对各部门综项和部门网站定期检查考核；
（3）信息系统发生较大（三级）或以上故障时，负责必要的资源协调和处理工作，并在事后组织分析总结，制定防范措施并执行；
（4）对信息系统进行定期巡检，巡检包括对信息系统及设备性能测试、维护人员日常维护作业计划执行情况检查、机房环境检查等；
（5）负责组织信息系统维护技术培训、技术交流等，组织维护人员参加各种信息技术认证培训和考试，提高维护人员管理和技术水平；
（6）负责组织落实各项技术安全措施，确保信息系统安全稳定运行；
（7）负责对全处范围内信息系统故障管理、问题管理、变更管理、版本管理、配置管理等流程规范性和相关制度落实情况进行监督管理；
（8）负责全处范围内信息系统的规划、设计和验收工作。
2.信息化办公室维护职责
（1）负责全处范围内信息系统的计算机硬件平台、基础软件、应用软件、配套网络和监控，OA系统日常维护工作，制定日常维护作业计划并认真执行，保证信息系统正常运行；
（2）对于系统的所有维护（包括日常作业计划、故障处理、系统改进、数据变更、数据的备份与恢复、功能完善增加）都必须制定维护记录，定期向部门领导进行维护汇报；
（3）负责所辖范围内信息系统数据的备份与恢复，负责落实系统安全运行措施；
（4）负责所辖范围内信息系统档案资料的存档，及时更新有关资料；
（5）严格按照信息系统故障管理、问题管理、变更管理、版本管理和配置管理等相关制度、流程和规程。
（6）每年至少有一次全处范围内的信息系统运维管理巡回检查，全面检查各维护作业计划管理、技术档案和资料管理、备份及日志管理、机房管理、安全保密管理等制度的落实情况。该检查可以和设备技术巡检同时进行。
（7）负责机关财务ERP软件环境设置。
（8）负责对OA平台系统的各项工作管理：OA的数据的备份管理、各部门的OA平台上的工作流提供培训、维护等技术支持、OA系统不定期的升级与各功能的维护。
（9）协同各相关部门对工程处综合项目管理软件各项目部录入情况进行定期的检查并按文件评分汇总，最后按汇总对全处通报。
（10）保障工程处信息系统安全运行，防范计算机病毒与黑客的攻击。
（11）认真贯彻执行各项规章制度，落实维护规程和系统安全运行措施，负责制定所辖范围内的信息系统维护管理实施细则；
（12）及时查阅上级领导部门下发的文件，按时完成上级领导部门交办任务，并向上级领导部门反馈执行结果；
（13）负责组织和编制系统优化、升级需求，上报信息系统维护管理部门审核；获得批准后，参与实施；
（14）跟踪研究信息技术的发展，并根据相应发展制定工程处信息化系统及硬件升级计划，审核通过后，具体实施。
三、维护界面划分
1.信息系统设备现场、物理环境的维护工作由所属机构的信息系统维护部门或维护人员负责。
2.信息系统的市电电源由物业管理中心负责维护。
3.信息化办公室负责全处信息系统的监控和维护工作（包括日常作业计划、故障处理、系统改进、数据变更、数据的备份与恢复），维护和更新相应操作规范和技术文档。
第三章运行维护工作基本制度
一、突发事件管理
根据突发事件的类型等因素，将突发事件分为攻击类事件、 故障类事件、灾害类事件三个类型。具体标准参见《工程处网络与信息安全应急预案》。
当系统出现突发事件时，信息化办公室维护人员应在第一时间根据事件类型，启动《工程处网络与信息安全应急预案》对事件进行处理并及时向上级领导和上级有关部门进行汇报。
二、信息系统故障解决要求
信息系统出现无法进行本地解决的，应向上级领导及上级部
1.门进行申告故障。对无法解决的故障，应立即向软硬件最终提供商、代理商或维保服务商（以下简称厂商）提出技术支持申请，督促厂商安排技术支持，必要时进行跟踪处理，与厂商一起到现场进行解决。
2.如果故障问题比较严重并牵扯到相关部室，在解决故障期间应给相关部室进行通知，提前做好备份工作。
3.厂商技术人员现场处理故障时，当地维护人员应全程陪同并积极协助，并在故障解决后进行书面确认。
4.故障解决后，维护人员应对故障的产生原因、解决方案填写详细记录，对以后如果出现类似问题可以有个参考方案。
5.对于系统隐患或暂时不能彻底解决的故障应纳入问题管理，每月应对存在的问题进行跟踪分析。
三、信息系统变更管理
1.信息系统变更包括硬件扩容、冗余改造、软件升级、OA系统升级及模块更改、搬迁、数据维护等工作以及电子表格模板、文档模板、安全策略、部署的改变等。
2.信息化办公室应保证在线系统的软件版本及硬件设备的稳定，未经过审批通过的方案，不得自行对系统软件版本及硬件设备进行任何变更及调整。
3.变更包括紧急变更和普通变更。紧急变更指由于故障处理等的迫切需求而引起的，目的是保持或者恢复正常工程，无法进行书面请求和审批。普通变更指非紧急变更，例如综项评分表单的更改、OA系统模块的'更改。对于普通变更，应有执行人员根据变更影响的范围和深度通知上级领导和相关部门，经审核同意后进行变更；变更前应制定相应的执行措施，如出现错误如何回退等情况。
4.原则上，变更必须在夜间非主要工作时间进行，维护人员可以在备用服务器上进行先期模拟变更，对变更中出现的问题，对其解决方案应有备案。
5.对于紧急变更需求，允许口头申请、审批后组织具体实施。事后，对变更的后的系统及硬件设备进行一定时间的测试，确认无误后，向上级领导进行汇报。并完成相关文档资料的更新工作。
四、维护作业计划管理
1.信息化办公室应按工程处实际情况制订维护制度，保障工程处网络的正常使用。
2.维护制度要求在每次维护结束后填写维护记录，对维护中发现的问题及时记录并解决。出现重大问题的时候应及时上报有关领导和上级相关部门。
3.维护时间，原则上应在晚上或非工作时间进行。如果出现紧急情况应对受影响的部室通知后，进行解决。
4.数据备份、存储和管理应根据《软件与资料管理制度》制订作业实施步骤。
五、信息化检查管理
信息化办公室每年至少一次对全工程处范围信息系统相关的机房环境、计算机硬件、配套网络、基础软件和应用软件进行一次检查。信息系统的检查的具体实施：
1.制定技术检查计划，列出检查重点、内容、要求，形成固定检查表格；
2.收集设备运行故障和隐患。根据年度检查重点、内容，调查设备近期运行情况，统计出各类型设备在运行过程中曾出现的故障。对反馈的问题进行分析、评估，做好相应的技术准备；对一些需要厂家解决的问题列出清单，及时与厂家沟通，制定解决方案，以供检查过程中实施、解决。
3.检查完毕后应对本次检查填写详细记录和问题汇总。
4.组织相关人员对信息化检查中暴露的问题进行解决，牵扯到相关部门的，应与相关部门进行沟通后进行处理。
六、技术档案和资料管理
1.信息化办公室负责技术档案和资料的管理，应建立健全必要的技术资料和原始记录，包括但不限于：
（1）信息系统相关技术资料；
（2）机房平面图、设备布置图、ip地址分布图；
（3）网络连接图和相关配置资料；
（4）各类软硬件设备配置清单;
（5）设备或系统使用手册、维护手册等资料；
（6）上述资料的变更资料。
2.软件资料管理应包含以下内容：
（1）所有软件的介质、许可证、版本资料及补丁资料；
（2）所有软件的安装手册、操作使用手册、应用开发手册等技术资料；
（3）上述资料的变更记录。
以上详细参考《软件与资料管理制度》。
七、备份及日志管理
1.原则上，应对各项操作均应进行日志记录，内容应包括操作人、操作时间和操作内容等详细信息。维护人员应定时对操作日志、安全日志进行审查，对异常事件及时跟进解决，并形成日志审查汇总意见报上级维护主管部门审核。安全日志应包括但不局限于以下内容：
（1）对于应用系统，包括系统管理员的所有系统操作记录、所有的登录访问记录、对敏感数据或关键数据有重大影响的系统操作记录以及其他重要系统操作记录的日志；
（2）对于操作系统，包括系统管理员的所有操作记录、所有的登录日志；
（3）对于mysql数据库系统，包括mysql数据库登录、库表结构的变更记录。
2.信息化办公室应针对所维护系统，依据数据变动的频繁程度以及业务数据重要性制定备份计划，经过上级维护主管部门批准后组织实施。
3.备份数据应包括系统软件和数据、业务数据、操作日志。
4.维护人员应定期对备份日志进行检查，发现问题及时整改补救。
5.信息化办公室应按照实际维护工作相关要求，根据业务数据的性质，确定备份数据保存期限，应根据备份介质使用寿命至少每年进行一次恢复性测试，并记录测试结果。
具体措施参照《数据保密及数据备份》。
八、机房管理
原则上，机房环境应达到或者接近国家标准 GB50174-20__描述的C类机房标准。具体要求如下：
1.安装服务器等重要设备的主机房具备有效的防火、防水、防雷、防静电、防有害生物、应急照明等措施和设备；
2.机房电源环境应该有UPS供电，且必须占用单独的电源插座，不得多台设备共用电源插板；主备用机器的电源、同一台设备的主用和冗余电源必须分离；
3.电源线和网线布放情况应顺直不凌乱，避免交叉混放，设备配置排放要求整齐清晰，设备连接线缆应顺直不凌乱。
4.原则上，机房面积不得小于15平方米。
5.机房应安装独立空调来保证机房温度、湿度，15平方米机房可采用普通空调。
6.机房内均应有经消防认证的消防设施，机房的消防采用二氧化碳灭火装置。
7.无关人员未经管理维护人员的批准严禁进入机房。非机房管理人员进出机房由管理人员陪同，做好访问时间、目的、人数等详细记录；
8.机房内严禁吸烟、饮食、睡觉、闲谈等，严禁携带易燃易爆、腐蚀性等污染物和强磁物品及其它与机房工作无关的物品进入机房；
9.管理人员统一管理计算机及其相关设备，完整保存计算机及其相关设备的驱动程序、保修卡及重要随机文件。
10.当机房的交流供电系统停止工作时，维护人员应立即向相关领导及部门报告并采取可靠措施尽快恢复；无法及时恢复的情况下，维护人员在计算UPS蓄电池的工作电压降至最低前，应通过正常操作及时关机。
11.雷雨季节应加强对机房内部安全设备、地线、信号线及防护电路的检修。
具体措施参照《机房管理制度及布局图》。
九、信息系统安全保密管理
1.信息安全应满足国家、集团和公司各级监管部门和关于信息安全保密的各项规定及要求。
2.应按工程处实际情况制订信息系统安全管理制度。
3.若发生系统信息泄密事件，应及时向上级领导及有关部门进行汇报，并按照《工程处网络与信息安全应急预案》开展补救工作。
4.在外网设备上设定病毒与木马拦截，路由管理帐号禁止透漏给非信息管理人员，设定非工作需求的网络软件禁止联网，禁止非允许的网络设备、软件连接工程处信息系统。
5.设备管理和维护人员都应熟悉并严格遵守和执行信息安全保密相关规定。
6.对于操作系统、数据库、业务系统，系统(网络)管理员密码使用习惯应严格遵循如下要求：系统(网络)管理员不定期更换一次密码，密码的长度不小于8位、且同时包含数字和字母等字符，不得使用最近一次使用过的密码等；
7.重要系统和敏感数据应存放于单机环境，由使用人员设定密码保护，防止非授权人员进行访问，密码位数必须在6位以上；如果存放在文档服务器上，需由信息系统维护部门建立文档服务器访问控制措施，并指定系统管理员；运行参考请参照《计算机信息系统安全管理制度》