數據中心信息安全管理及管控要求
隨著在世界范圍內,信息化水平的不斷發展,數據中心的信息安全逐漸成為人們關注的焦點,世界范圍內的各個機構、組織、個人都在探尋如何保障信息安全的問題。英國、美國、挪威、瑞典、芬蘭、澳大利亞等國均制定了有關信息安全的本國標準,國際標準化組織(ISO)也發布了ISO17799、ISO13335、ISO15408等與信息安全相關的國際標準及技術報告。目前,在信息安全管理方面,英國標準ISO27000:2005已經成為世界上應用最廣泛與典型的信息安全管理標準,它是在BSI/DISC的BDD/2信息安全管理委員會指導下制定完成。
ISO27001標準于1993年由英國貿易工業部立項,于1995年英國首次出版BS7799-1:1995《信息安全管理實施細則》,它提供了一套綜合的、由信息安全最佳慣例組成的實施規則,其目的是作為確定工商業信息系統在大多數情況所需控制范圍的唯一參考基準,并且適用于大、中、小組織。1998年英國公布標準的第二部分《信息安全管理體系規范》,它規定信息安全管理體系要求與信息安全控制要求,它是一個組織的全面或部分信息安全管理體系評估的基礎,它可以作為一個正式認證方案的根據。ISO27000-1與ISO27000-2經過修訂于1999年重新予以發布,1999版考慮了信息處理技術,尤其是在網絡和通信領域應用的近期發展,同時還非常強調了商務涉及的信息安全及信息安全的責任。2000年12月,ISO27000-1:1999《信息安全管理實施細則》通過了國際標準化組織ISO的認可,正式成為國際標準ISO/IEC17799-1:2000《信息技術-信息安全管理實施細則》。20**年9月5日,ISO27000-2:20**草案經過廣泛的討論之后,終于發布成為正式標準,同時ISO27000-2:1999被廢止。現在,ISO27000:2005標準已得到了很多國家的認可,是國際上具有代表性的信息安全管理體系標準。許多國家的政府機構、銀行、證券、保險公司、電信運營商、網絡公司及許多跨國公司已采用了此標準對信息安全進行系統的管理,數據中心(IDC)應逐步建立并完善標準化的信息安全管理體系。
一、數據中心信息安全管理總體要求
1、信息安全管理架構與人員能力要求
1.1信息安全管理架構
IDC在當前管理組織架構基礎上,建立信息安全管理委員會,涵蓋信息安全管理、應急響應、審計、技術實施等不同職責,并保證職責清晰與分離,并形成文件。
1.2人員能力
具備標準化信息安全管理體系內部審核員、CISP(CertifiedInformationSecurityProfessional,國家注冊信息安全專家)等相關資質人員。5星級IDC至少應具備一名合格的標準化信息安全管理內部審核員、一名標準化主任審核員。4星級IDC至少應至少具備一名合格的標準化信息安全管理內部審核員
2、信息安全管理體系文件要求,根據IDC業務目標與當前實際情況,建立完善而分層次的IDC信息安全管理體系及相應的文檔,包含但不限于如下方面:
2.1信息安全管理體系方針文件
包括IDC信息安全管理體系的范圍,信息安全的目標框架、信息安全工作的總方向和原則,并考慮IDC業務需求、國家法律法規的要求、客戶以及合同要求。
2.2風險評估
內容包括如下流程:識別IDC業務范圍內的信息資產及其責任人;識別資產所面臨的威脅;識別可能被威脅利用的脆弱點;識別資產保密性、完整性和可用性的喪失對IDC業務造成的影響;評估由主要威脅和脆弱點導致的IDC業務安全破壞的現實可能性、對資產的影響和當前所實施的控制措施;對風險進行評級。
2.3風險處理
內容包括:與IDC管理層確定接受風險的準則,確定可接受的風險級別等;建立可續的風險處理策略:采用適當的控制措施、接受風險、避免風險或轉移風險;控制目標和控制措施的選擇和實施,需滿足風險評估和風險處理過程中所識別的安全要求,并在滿足法律法規、客戶和合同要求的基礎上達到最佳成本效益。
2.4文件與記錄控制
明確文件制定、發布、批準、評審、更新的流程;確保文件的更改和現行修訂狀態的標識、版本控制、識別、訪問控制有完善的流程;并對文件資料的傳輸、貯存和最終銷毀明確做出規范。
記錄控制內容包括:保留信息安全管理體系運行過程執行的記錄和所有發生的與信息安全有關的重大安全事件的記錄;記錄的標識、貯存、保護、檢索、保存期限和處置所需的控制措施應形成文件并實施。
2.5內部審核
IDC按照計劃的時間間隔進行內部ISMS審核,以確定IDC的信息安全管理的控制目標、控制措施、過程和程序符標準化標準和相關法律法規的要求并得到有效地實施和保持。五星級IDC應至少每年1次對信息安全管理進行內部審核。四星級IDC應至少每年1次對信息安全管理進行內部審核。
2.6糾正與預防措施
IDC建立流程,以消除與信息安全管理要求不符合的原因及潛在原因,以防止其發生,并形成文件的糾正措施與預防措施程序無
2.7控制措施有效性的測量
定義如何測量所選控制措施的有效性;規定如何使用這些測量措施,對控制措施的有效性進行測量(或評估)。
2.8管理評審
IDC管理層按計劃的時間間隔評審內部信息安全管理體系,以確保其持續的適宜性、充分性和有效性,最終符合IDC業務要求。
五星級IDC管理層應至少每年1次對IDC的信息安全管理體系進行評審四星級IDC管理層應至少每年1次對IDC的信息安全管理體系進行評審。
2.9適用性聲明
適用性聲明必須至少包括以下3項內容:IDC所選擇的控制目標和控制措施,及其選擇的理由;當前IDC實施的控制目標和控制措施;標準化附錄A中任何控制目標和控制措施的刪減,以及刪減的正當性理由。
2.10業務連續性
過業務影響分析,確定IDC業務中哪些是關鍵的業務進程,分出緊急先后次序;確定可以導致業務中斷的主要災難和安全失效、確定它們的影響程度和恢復時間;進行業務影響分析,確定恢復業務所需要的資源和成本,決定對哪些項目制作業務連續性計劃(BCP)/災難恢復計劃(DRP)。
2.11其它相關程序
另外,還應建立包括物理與環境安全、信息設備管理、新設施管理、業務連續性管理、災難恢復、人員管理、第三方和外包管理、信息資產管理、工作環境安全管理、介質處理與安全、系統開發與維護、法律符合性管理、文件及材料控制、安全事件處理等相關流程與制度。
二、信息安全管控要求
1、安全方針
信息安全方針文件與評審建立IDC信息安全方針文件需得到管理層批準、發布并傳達給所有員工和外部相關方。
至少每年一次或當重大變化發生時進行信息安全方針評審。
2、信息安全組織
2.1內部組織
2.1.1信息安全協調、職責與授權
信息安全管理委員會包含IDC相關的不同部門的代表;所有的信息安全職責有明確成文的規定;對新信息處理設施,要有管理授權過程。
2.1.2保密協議
IDC所有員工須簽署保密協議,保密內容涵蓋IDC內部敏感信息;保密協議條款每年至少評審一次。
2.1.3權威部門與利益相關團體的聯系
與相關權威部門(包括,公安部門、消防部門和監管部門)建立溝通管道;與安全專家組、專業協會等相關團體進行溝通。
2.1.4獨立評審
參考“信息安全管理體系要求”第5和第8條關于管理評審、內部審核的要求,進行獨立的評審。
審核員不能審核評審自己的工作;評審結果交管理層審閱。
2.2外方管理
2.2.1外部第三方的相關風險的識別
將外部第三方(設備維護商、服務商、顧問、外包方臨時人員、實習學生等)對IDC信息處理設施或信息納入風險評估過程,考慮內容應包括:需要訪問的信息處理設施、訪問類型(物理、邏輯、網絡)、涉及信息的價值和敏感性,及對業務運行的關鍵程度、訪問控制等相關因素。
建立外部第三方信息安全管理相關管理制度與流程。
2.2.2客戶有關的安全問題
針對客戶信息資產的保護,根據合同以及相關法律、法規要求,進行恰當的保護。
2.2.3處理第三方協議中的安全問題
涉及訪問、處理、交流(或管理)IDC及IDC客戶的信息或信息處理設施的第三方協議,需涵蓋所有相關的安全要求。
3、信息資產管理
3.1資產管理職責
3.1.1資產清單與責任人
IDC對所有信息資產度進行識別,將所有重要資產都進行登記、建立清單文件并加以維護。
IDC中所有信息和信息處理設施相關重要資產需指定責任人。
3.1.2資產使用
指定信息與信息處理設施使用相關規則,形成了文件并加以實施。
3.2信息資產分類
3.2.1資產分類管理
根據信息資產對IDC業務的價值、法律要求、敏感性和關鍵性進行分類,建立一個信息分類指南。
信息分類指南應涵蓋外來的信息資產,尤其是來自客戶的信息資產。
3.2.2信息的標記和處理
按照IDC所采納的分類指南建立和實施一組合適的信息標記和處理程序。
4、人力資源安全
這里的人員包括IDC雇員、承包方人員和第三方等相關人員。
4.1信息安全角色與職責
人員職責說明體現信息安全相關角色和要求。
4.2背景調查
人員任職前根據職責要求和崗位對信息安全的要求,采取必要的背景驗證。
4.3雇用的條款和條件
人員雇傭后,應簽署必要的合同,明確雇傭的條件和條款,并包含信息安全相關要求。
4.4信息安全意識、教育和培訓
入職新員工培訓應包含IDC信息安全相關內容。
至少每年一次對人員進行信息安全意識培訓。
4.5安全違紀處理
針對安全違規的人員,建立正式的紀律處理程序。
4.6雇傭的終止與變更
IDC應清晰規定和分配雇用終止或雇用變更的職責;雇傭協議終止于變更時,及時收回相關信息資產,并調整或撤銷相關訪問控制權限。
5、物理與環境安全
5.1安全區域
5.1.1邊界安全與出入口控制
根據邊界內資產的安全要求和風險評估的結果對IDC物理區域進行分區、分級管理,不同區域邊界與出入口需建立卡控制的入口或有人管理的接待臺。
入侵檢測與報警系統覆蓋所有門窗和出入口,并定期檢測入侵檢測系統的有效性。
機房大樓應有7×24小時的專業保安人員,出入大樓需登記或持有通行卡。
機房安全出口不少于兩個,且要保持暢通,不可放置雜物。
5星級IDC:出入記錄至少保存6個月,視頻監控至少保存1個月。
4星級IDC:出入記錄至少保存6個月,視頻監控至少保存1個月。
5.1.2IDC機房環境安全
記錄訪問者進入和離開IDC的日期和時間,所有的訪問者要需要經過授權。
建立訪客控制程序,對服務商等外部人員實現有效管控。
所有員工、服務商人員和第三方人員以及所有訪問者進入IDC要佩帶某種形式的可視標識,已實現明顯的區分。外部人員進入IDC后,需全程監控。
5.1.3防范外部威脅和環境威脅
IDC對火災、洪水、地震、爆炸、社會動蕩和其他形式的自然或人為災難引起的破壞建立足夠的防范控制措施;危險或易燃材料應在遠離IDC存放;備份設備和備份介質的存放地點應與IDC超過10公里的距離。
機房內應嚴格執行消防安全規定,所有門窗、地板、窗簾、飾物、桌椅、柜子等材料、設施都應采用防火材料。
5.1.4公共訪問區和交接區
為了避免未授權訪問,訪問點(如交接區和未授權人員可以進入的其它地點)需進行適當的安全控制,設備貨物交接區要與信息處理設施隔開。
5.2設備安全
5.2.1設備安全
設備盡量安置在可減少未授權訪問的適當地點;對于處理敏感數據的信息處理設施,盡量安置在可限制觀測的位置;對于需要特殊保護的設備,要進行適當隔離;對信息處理設施的運行有負面影響的環境條件(包括溫度和濕度),要進行實時進行監視。
5.2.2支持性設備安全
支持性設施(例如電、供水、排污、加熱/通風和空調等)應定期檢查并適當的測試以確保他們的功能,減少由于他們的故障或失效帶來的風險。
實現多路供電,以避免供電的單一故障點。
5.2.3線纜安全
應保證傳輸數據或支持信息服務的電源布纜和通信布纜免受竊聽或損壞。
電源電纜要與通信電纜分開;各種線纜能通過標識加以區分,并對線纜的訪問加以必要的訪問控制。
線纜標簽必須采用防水標簽紙和標簽打印機進行正反面打印(或者打印兩張進行粘貼),標簽長度應保證至少能夠纏繞電纜一圈或一圈半,打印字符必須清晰可見,打印內容應簡潔明了,容易理解。標簽的標示必須清晰、簡潔、準確、統一,標簽打印應當前后和上下排對齊。
5.2.4設備維護
設備需按照供應商推薦的服務時間間隔和說明書,進行正確維護;設備維護由已授權人員執行,并保存維護記錄1年。
5.2.5組織場所外的設備安全
應對組織場所的設備采取安全措施,要考慮工作在組織場所以外的不同風險。
5.2.6設備的安全處置或再利用
包含儲存介質的設備的所有項目應進行檢查,以確保在銷毀之前,任何敏感信息和注冊軟件已被刪除或安全重寫。
5.2.7資產的移動
設備、信息或軟件在授權之前不應帶出組織場所,設置設備移動的時間限制,并在返還時執行符合性檢查;對設備做出移出記錄,當返回時,要做出送回記錄。
6、通信和操作管理
6.1運行程序和職責
6.1.1運行操作程序文件化
運行操作程序文件化并加以保持,并方便相關使用人員的訪問。
6.1.2變更管理
對信息處理設施和系統的變更是否受控,并考慮:重大變更的標識和記錄;變更的策劃和測試;對這種變更的潛在影響的評估,包括安全影響;對建議變更的正式批準程序;向所有有關人員傳達變更細節;返回程序,包括從不成功變更和未預料事態中退出和恢復的程序與職責。
6.1.3職責分離
各類責任及職責范圍應加以分割,以降低未授權或無意識的修改或者不當使用組織資產的機會。
6.1.4開發設施、測試設施和運行設施的分離
開發、測試和運行設施應分離,以減少未授權訪問或改變運行系統的風險。
6.2第三方服務交付管理
6.2.1服務交付
應確保第三方實施、運行和保持包含在第三方服務交付協議中的安全控制措施、服務定義和交付水準。
IDC應確保第三方保持足夠的服務能力和可使用的計劃以確保商定的服務在大的服務故障或災難后繼續得以保持。
6.2.2第三方服務的監視和評審
應定期監視和評審由第三方提供的服務、報告和記錄,審核也應定期執行,并留下記錄。
6.2.3第三方服務的變更管理
應管理服務提供的變更,包括保持和改進現有的信息安全方針策略、程序和控制措施,要考慮業務系統和涉及過程的關鍵程度及風險的再評估
6.3系統規劃和驗收
6.3.1容量管理
IDC各系統資源的使用應加以監視、調整,并做出對于未來容量要求的預測,以確保擁有所需的系統性能。
系統硬件系統環境的功能、性能和容量要滿足IDC業務處理的和存貯設備的平均使用率宜控制在75%以內。
網絡設備的處理器和內存的平均使用率應控制在75%以內。
6.3.2系統驗收
建立對新信息系統、升級及新版本的驗收準則,并且在開發中和驗收前對系統進行適當的測試。
6.4防范惡意代碼和移動代碼
6.4.1對惡意代碼的控制措施
實施惡意代碼的監測、預防和恢復的控制措施,以及適當的提高用戶安全意識的程序
6.4.2對移動代碼的控制措施
當授權使用移動代碼時,其配置確保授權的移動代碼按照清晰定義的安全策略運行,應阻止執行未授權的移動代碼。
6.5備份
6.5.1備份
應按照客戶的要求以及已設的備份策略,定期備份和測試信息和軟件。各個系統的備份安排應定期測試以確保他們滿足業務連續性計劃的要求。對于重要的系統,備份安排應包括在發生災難時恢復整個系統所必需的所有系統信息、應用和數據。
應確定最重要業務信息的保存周期以及對要永久保存的檔案拷貝的任何要求。
6.6網絡安全管理
6.6.1網絡控制
為了防止使用網絡時發生的威脅和維護系統與應用程序的安全,網絡要充分受控;網絡的運行職責與計算機系統的運行職責實現分離;敏感信息在公用網絡上傳輸時,考慮足夠的加密和訪問控制措施。
6.6.2網絡服務的安全
網絡服務(包括接入服務、私有網絡服務、增值網絡和受控的網絡安全解決方案,例如防火墻和入侵檢測系統等)應根據安全需求,考慮如下安全控制措施:為網絡服務應用的安全技術,例如認證、加密和網絡連接控制;按照安全和網絡連接規則,網絡服務的安全連接需要的技術參數;若需要,網絡服務使用程序,以限制對網絡服務或應用的訪問。
6.7介質管理
6.7.1可移動介質的管理
建立適當的可移動介質的管理程序,規范可移動介質的管理。
可移動介質包括磁帶、磁盤、閃盤、可移動硬件驅動器、CD、DVD和打印的介質
6.7.2介質的處置
不再需要的介質,應使用正式的程序可靠并安全地處置。保持審計蹤跡,保留敏感信息的處置記錄。
6.7.3信息處理程序
建立信息的處理及存儲程序,以防止信息的未授權的泄漏或不當使用。
包含信息的介質在組織的物理邊界以外運送時,應防止未授權的訪問、不當使用或毀壞。
6.8信息交換
6.8.1信息交換策略和程序
為了保護通過使用各種類型的通信設施進行信息交換,是否有正式的信息交換方針、程序和控制措施。
6.8.2外方信息交換協議
在組織和外方之間進行信息/軟件交換時,是否有交換協議。
6.8.3電子郵件、應用系統的信息交換與共享
建立適當的控制措施,保護電子郵件的安全;為了保護相互連接的業務信息系統的信息,開發與實施相關的方針和程序。
6.9監控
6.9.1審計日志
審計日志需記錄用戶活動、異常事件和信息安全事件;為了幫助未來的調查和訪問控制監視,審計日志至少應保存1年。
6.9.2監視系統的使用
應建立必要的信息處理設施的監視使用程序,監視活動的結果應定期評審。
6.9.3日志信息的保護
記錄日志的設施和日志信息應加以保護,以防止篡改和未授權的訪問。
6.9.4管理員和操作員日志
系統管理員和系統操作員活動應記入日志。系統管理員與系統操作員無權更改或刪除日志。
6.9.5故障日志
與信息處理或通信系統的問題有關的用戶或系統程序所報告的故障要加以記錄、分析,并采取適當的措施。
6.9.6時鐘同步
一個安全域內的所有相關信息處理設施的時鐘應使用已設的精確時間源進行同步。
5星級IDC各計算機系統的時鐘與標準時間的誤差不超過10秒。
4星級IDC各計算機系統的時鐘與標準時間的誤差不超過25秒。
7、訪問控制
7.1用戶訪問管理
應有正式的用戶注冊及注銷程序,來授權和撤銷對所有信息系統及服務的訪問。
應限制和控制特殊權限的分配及使用;應通過正式的管理過程控制口令的分配,確保口令安全;管理層應定期使用正式過程對用戶的訪問權進行復查。
7.2用戶職責
建立指導用戶選擇和使用口令的指南規定,使用戶在選擇及使用口令時,遵循良好的安全習慣。
用戶應確保無人值守的用戶設備有適當的保護,防止未授權的訪問。
建立清空桌面和屏幕策略,采取清空桌面上文件、可移動存儲介質的策略和清空信息處理設施屏幕的策略,IDC并定期組織檢查效果。
7.3網絡訪問控制
建立訪問控制策略,確保用戶應僅能訪問已獲專門授權使用的服務。
應使用安全地鑒別方法以控制遠程用戶的訪問,例如口令+證書。
對于診斷和配置端口的物理和邏輯訪問應加以控制,防止未授權訪問。
根據安全要求,應在網絡中劃分安全域,以隔離信息服務、用戶及信息系統;對于共享的網絡,特別是越過組織邊界的網絡,用戶的聯網能力應按照訪問控制策略和業務應用要求加以限制,并建立適當的路由控制措施。
7.4操作系統訪問控制
建立一個操作系統安全登錄程序,防止未授權訪問;所有用戶應有唯一的、專供其個人使用的標識符(用戶ID),應選擇一種適當的鑒別技術證實用戶所宣稱的身份。
可能超越系統和應用程序控制的管理工具的使用應加以限制并嚴格控制。
不活動會話應在一個設定的休止期后關閉;使用聯機時間的限制,為高風險應用程序提供額外的安全。
7.5應用和信息訪問控制
用戶和支持人員對信息和應用系統功能的訪問應依照已確定的訪問控制策略加以限制。
敏感系統應考慮系統隔離,使用專用的(或孤立的)計算機環境。
7.6移動計算和遠程工作
應有正式策略并且采用適當的安全措施,以防范使用移動計算和通信設施時所造成的風險。
通過網絡遠程訪問IDC,需在通過授權的情況下對用戶進行認證并對通信內容進行加密。
8、信息系統獲取、開發和維護
8.1安全需求分析和說明
在新的信息系統或增強已有信息系統的業務需求陳述中,應規定對安全控制措施的要求。
8.2信息處理控制
輸入應用系統的數據應加以驗證,以確保數據是正確且恰當的。
驗證檢查應整合到應用中,以檢查由于處理的錯誤或故意的行為造成的信息的訛誤。
通過控制措施,確保信息在處理過程中的完整性,并對處理結果進行驗證。
8.3密碼控制
應開發和實施使用密碼控制措施來保護信息的策略,并保證密鑰的安全使用。
8.4系統文件的安全
應有程序來控制在運行系統上安裝軟件;試數據應認真地加以選擇、保護和控制;應限制訪問程序源代碼。
8.5開發過程和支持過程中的安全
建立變更控制程序控制變更的實施;當操作系統發生變更后,應對業務的關鍵應用進行評審和測試,以確保對組織的運行和安全沒有負面影響。
IDC應管理和監視外包軟件的開發。
8.6技術脆弱性管理
應及時得到現用信息系統技術脆弱性的信息,評價組織對這些脆弱性的暴露程度,并采取適當的措施來處理相關的風險。
9、信息安全事件管理
9.1報告信息安全事態和弱點
建立正式的IDC信息安全事件報告程序,并形成文件。
建立適當的程序,保證信息安全事態應該盡可能快地通過適當的管理渠道進行報告,要求員工、承包方人員和第三方人員記錄并報告他們觀察到的或懷疑的任何系統或服務的安全弱點。
9.2職責和程序
應建立管理職責和架構,以確保能對信息安全事件做出快速、有效和有序的響應。
9.3對信息安全事件的總結和證據的收集
建立一套機制量化和監視信息安全事件的類型、數量和代價,并且當一個信息安全事件涉及到訴訟(民事的或刑事的),需要進一步對個人或組織進行起訴時,應收集、保留和呈遞證據,以使證據符合相關訴訟管轄權。
10、業務連續性管理
10.1業務連續性計劃
建立和維持一個用于整個組織的業務連續性計劃,通過使用預防和恢復控制措施,將對組織的影響減少到最低,并從信息資產的損失中恢復到可接受的程度。
10.2業務連續性和風險評估
通過恰當的程序,識別能引起IDC業務過程中斷的事態(例如,設備故障、人為錯誤、盜竊、火災、自然災害和恐怖行為等),這種中斷發生的概率和影響,以及它們對信息安全所造成的后果。
業務資源與過程責任人參與業務連續性風險評估。
10.3制定和實施包括信息安全的連續性計劃
建立業務運行恢復計劃,以使關鍵業務過程在中斷或發生故障后,能在規定的水準與規定的時間范圍恢復運行
10.4測試、維護和再評估業務連續性計劃
業務連續性計劃應定期測試和更新,以確保其及時性和有效性。
定期測試及更新業務連續性計劃(BCP)/災難恢復計劃(DRP),并對員工進行培訓;定期對IDC的風險進行審核和管理評審,及時發現潛在的災難和安全失效。
5星級IDC:至少每年一次測試及更新;BCP/DRP,并對員工進行培訓;至少每年一次對IDC的風險進行審核和管理評審,及時發現潛在的災難和安全失效。
4星級IDC:至少每年一次測試及更新;BCP/DRP,并對員工進行培訓;至少每年一次對IDC的風險進行審核和管理評審,及時發現潛在的災難和安全失效。
11、符合性
11.1可用法律、法規的識別
IDC所有相關的法令、法規和合同要求,以及為滿足這些要求組織所采用的方法,應加以明確地定義、收集和跟蹤,并形成文件并保持更新。
11.2知識產權
應實施適當的程序,以確保在使用具有知識產權的材料和具有所有權的軟件產品時,符合法律、法規和合同的要求。
11.3保護組織的記錄
應防止重要的記錄遺失、毀壞和偽造,以滿足法令、法規、合同和業務的要求。
11.4技術符合性檢查
定期地對信息系統進行安全實施標準符合檢查,由具有勝任能力的已授權的人員執行,或在他們的監督下執行。
11.5數據保護和個人信息的隱私
應依照相關的法律、法規和合同條款的要求,確保數據保護和隱私。
篇2:數據中心信息安全管理及管控要求
隨著在世界范圍內,信息化水平的不斷發展,數據中心的信息安全逐漸成為人們關注的焦點,世界范圍內的各個機構、組織、個人都在探尋如何保障信息安全的問題。英國、美國、挪威、瑞典、芬蘭、澳大利亞等國均制定了有關信息安全的本國標準,國際標準化組織(ISO)也發布了ISO17799、ISO13335、ISO15408等與信息安全相關的國際標準及技術報告。目前,在信息安全管理方面,英國標準ISO27000:2005已經成為世界上應用最廣泛與典型的信息安全管理標準,它是在BSI/DISC的BDD/2信息安全管理委員會指導下制定完成。
ISO27001標準于1993年由英國貿易工業部立項,于1995年英國首次出版BS7799-1:1995《信息安全管理實施細則》,它提供了一套綜合的、由信息安全最佳慣例組成的實施規則,其目的是作為確定工商業信息系統在大多數情況所需控制范圍的唯一參考基準,并且適用于大、中、小組織。1998年英國公布標準的第二部分《信息安全管理體系規范》,它規定信息安全管理體系要求與信息安全控制要求,它是一個組織的全面或部分信息安全管理體系評估的基礎,它可以作為一個正式認證方案的根據。ISO27000-1與ISO27000-2經過修訂于1999年重新予以發布,1999版考慮了信息處理技術,尤其是在網絡和通信領域應用的近期發展,同時還非常強調了商務涉及的信息安全及信息安全的責任。2000年12月,ISO27000-1:1999《信息安全管理實施細則》通過了國際標準化組織ISO的認可,正式成為國際標準ISO/IEC17799-1:2000《信息技術-信息安全管理實施細則》。20**年9月5日,ISO27000-2:20**草案經過廣泛的討論之后,終于發布成為正式標準,同時ISO27000-2:1999被廢止。現在,ISO27000:2005標準已得到了很多國家的認可,是國際上具有代表性的信息安全管理體系標準。許多國家的政府機構、銀行、證券、保險公司、電信運營商、網絡公司及許多跨國公司已采用了此標準對信息安全進行系統的管理,數據中心(IDC)應逐步建立并完善標準化的信息安全管理體系。
一、數據中心信息安全管理總體要求
1、信息安全管理架構與人員能力要求
1.1信息安全管理架構
IDC在當前管理組織架構基礎上,建立信息安全管理委員會,涵蓋信息安全管理、應急響應、審計、技術實施等不同職責,并保證職責清晰與分離,并形成文件。
1.2人員能力
具備標準化信息安全管理體系內部審核員、CISP(CertifiedInformationSecurityProfessional,國家注冊信息安全專家)等相關資質人員。5星級IDC至少應具備一名合格的標準化信息安全管理內部審核員、一名標準化主任審核員。4星級IDC至少應至少具備一名合格的標準化信息安全管理內部審核員
2、信息安全管理體系文件要求,根據IDC業務目標與當前實際情況,建立完善而分層次的IDC信息安全管理體系及相應的文檔,包含但不限于如下方面:
2.1信息安全管理體系方針文件
包括IDC信息安全管理體系的范圍,信息安全的目標框架、信息安全工作的總方向和原則,并考慮IDC業務需求、國家法律法規的要求、客戶以及合同要求。
2.2風險評估
內容包括如下流程:識別IDC業務范圍內的信息資產及其責任人;識別資產所面臨的威脅;識別可能被威脅利用的脆弱點;識別資產保密性、完整性和可用性的喪失對IDC業務造成的影響;評估由主要威脅和脆弱點導致的IDC業務安全破壞的現實可能性、對資產的影響和當前所實施的控制措施;對風險進行評級。
2.3風險處理
內容包括:與IDC管理層確定接受風險的準則,確定可接受的風險級別等;建立可續的風險處理策略:采用適當的控制措施、接受風險、避免風險或轉移風險;控制目標和控制措施的選擇和實施,需滿足風險評估和風險處理過程中所識別的安全要求,并在滿足法律法規、客戶和合同要求的基礎上達到最佳成本效益。
2.4文件與記錄控制
明確文件制定、發布、批準、評審、更新的流程;確保文件的更改和現行修訂狀態的標識、版本控制、識別、訪問控制有完善的流程;并對文件資料的傳輸、貯存和最終銷毀明確做出規范。
記錄控制內容包括:保留信息安全管理體系運行過程執行的記錄和所有發生的與信息安全有關的重大安全事件的記錄;記錄的標識、貯存、保護、檢索、保存期限和處置所需的控制措施應形成文件并實施。
2.5內部審核
IDC按照計劃的時間間隔進行內部ISMS審核,以確定IDC的信息安全管理的控制目標、控制措施、過程和程序符標準化標準和相關法律法規的要求并得到有效地實施和保持。五星級IDC應至少每年1次對信息安全管理進行內部審核。四星級IDC應至少每年1次對信息安全管理進行內部審核。
2.6糾正與預防措施
IDC建立流程,以消除與信息安全管理要求不符合的原因及潛在原因,以防止其發生,并形成文件的糾正措施與預防措施程序無
2.7控制措施有效性的測量
定義如何測量所選控制措施的有效性;規定如何使用這些測量措施,對控制措施的有效性進行測量(或評估)。
2.8管理評審
IDC管理層按計劃的時間間隔評審內部信息安全管理體系,以確保其持續的適宜性、充分性和有效性,最終符合IDC業務要求。
五星級IDC管理層應至少每年1次對IDC的信息安全管理體系進行評審四星級IDC管理層應至少每年1次對IDC的信息安全管理體系進行評審。
2.9適用性聲明
適用性聲明必須至少包括以下3項內容:IDC所選擇的控制目標和控制措施,及其選擇的理由;當前IDC實施的控制目標和控制措施;標準化附錄A中任何控制目標和控制措施的刪減,以及刪減的正當性理由。
2.10業務連續性
過業務影響分析,確定IDC業務中哪些是關鍵的業務進程,分出緊急先后次序;確定可以導致業務中斷的主要災難和安全失效、確定它們的影響程度和恢復時間;進行業務影響分析,確定恢復業務所需要的資源和成本,決定對哪些項目制作業務連續性計劃(BCP)/災難恢復計劃(DRP)。
2.11其它相關程序
另外,還應建立包括物理與環境安全、信息設備管理、新設施管理、業務連續性管理、災難恢復、人員管理、第三方和外包管理、信息資產管理、工作環境安全管理、介質處理與安全、系統開發與維護、法律符合性管理、文件及材料控制、安全事件處理等相關流程與制度。
二、信息安全管控要求
1、安全方針
信息安全方針文件與評審建立IDC信息安全方針文件需得到管理層批準、發布并傳達給所有員工和外部相關方。
至少每年一次或當重大變化發生時進行信息安全方針評審。
2、信息安全組織
2.1內部組織
2.1.1信息安全協調、職責與授權
信息安全管理委員會包含IDC相關的不同部門的代表;所有的信息安全職責有明確成文的規定;對新信息處理設施,要有管理授權過程。
2.1.2保密協議
IDC所有員工須簽署保密協議,保密內容涵蓋IDC內部敏感信息;保密協議條款每年至少評審一次。
2.1.3權威部門與利益相關團體的聯系
與相關權威部門(包括,公安部門、消防部門和監管部門)建立溝通管道;與安全專家組、專業協會等相關團體進行溝通。
2.1.4獨立評審
參考“信息安全管理體系要求”第5和第8條關于管理評審、內部審核的要求,進行獨立的評審。
審核員不能審核評審自己的工作;評審結果交管理層審閱。
2.2外方管理
2.2.1外部第三方的相關風險的識別
將外部第三方(設備維護商、服務商、顧問、外包方臨時人員、實習學生等)對IDC信息處理設施或信息納入風險評估過程,考慮內容應包括:需要訪問的信息處理設施、訪問類型(物理、邏輯、網絡)、涉及信息的價值和敏感性,及對業務運行的關鍵程度、訪問控制等相關因素。
建立外部第三方信息安全管理相關管理制度與流程。
2.2.2客戶有關的安全問題
針對客戶信息資產的保護,根據合同以及相關法律、法規要求,進行恰當的保護。
2.2.3處理第三方協議中的安全問題
涉及訪問、處理、交流(或管理)IDC及IDC客戶的信息或信息處理設施的第三方協議,需涵蓋所有相關的安全要求。
3、信息資產管理
3.1資產管理職責
3.1.1資產清單與責任人
IDC對所有信息資產度進行識別,將所有重要資產都進行登記、建立清單文件并加以維護。
IDC中所有信息和信息處理設施相關重要資產需指定責任人。
3.1.2資產使用
指定信息與信息處理設施使用相關規則,形成了文件并加以實施。
3.2信息資產分類
3.2.1資產分類管理
根據信息資產對IDC業務的價值、法律要求、敏感性和關鍵性進行分類,建立一個信息分類指南。
信息分類指南應涵蓋外來的信息資產,尤其是來自客戶的信息資產。
3.2.2信息的標記和處理
按照IDC所采納的分類指南建立和實施一組合適的信息標記和處理程序。
4、人力資源安全
這里的人員包括IDC雇員、承包方人員和第三方等相關人員。
4.1信息安全角色與職責
人員職責說明體現信息安全相關角色和要求。
4.2背景調查
人員任職前根據職責要求和崗位對信息安全的要求,采取必要的背景驗證。
4.3雇用的條款和條件
人員雇傭后,應簽署必要的合同,明確雇傭的條件和條款,并包含信息安全相關要求。
4.4信息安全意識、教育和培訓
入職新員工培訓應包含IDC信息安全相關內容。
至少每年一次對人員進行信息安全意識培訓。
4.5安全違紀處理
針對安全違規的人員,建立正式的紀律處理程序。
4.6雇傭的終止與變更
IDC應清晰規定和分配雇用終止或雇用變更的職責;雇傭協議終止于變更時,及時收回相關信息資產,并調整或撤銷相關訪問控制權限。
5、物理與環境安全
5.1安全區域
5.1.1邊界安全與出入口控制
根據邊界內資產的安全要求和風險評估的結果對IDC物理區域進行分區、分級管理,不同區域邊界與出入口需建立卡控制的入口或有人管理的接待臺。
入侵檢測與報警系統覆蓋所有門窗和出入口,并定期檢測入侵檢測系統的有效性。
機房大樓應有7×24小時的專業保安人員,出入大樓需登記或持有通行卡。
機房安全出口不少于兩個,且要保持暢通,不可放置雜物。
5星級IDC:出入記錄至少保存6個月,視頻監控至少保存1個月。
4星級IDC:出入記錄至少保存6個月,視頻監控至少保存1個月。
5.1.2IDC機房環境安全
記錄訪問者進入和離開IDC的日期和時間,所有的訪問者要需要經過授權。
建立訪客控制程序,對服務商等外部人員實現有效管控。
所有員工、服務商人員和第三方人員以及所有訪問者進入IDC要佩帶某種形式的可視標識,已實現明顯的區分。外部人員進入IDC后,需全程監控。
5.1.3防范外部威脅和環境威脅
IDC對火災、洪水、地震、爆炸、社會動蕩和其他形式的自然或人為災難引起的破壞建立足夠的防范控制措施;危險或易燃材料應在遠離IDC存放;備份設備和備份介質的存放地點應與IDC超過10公里的距離。
機房內應嚴格執行消防安全規定,所有門窗、地板、窗簾、飾物、桌椅、柜子等材料、設施都應采用防火材料。
5.1.4公共訪問區和交接區
為了避免未授權訪問,訪問點(如交接區和未授權人員可以進入的其它地點)需進行適當的安全控制,設備貨物交接區要與信息處理設施隔開。
5.2設備安全
5.2.1設備安全
設備盡量安置在可減少未授權訪問的適當地點;對于處理敏感數據的信息處理設施,盡量安置在可限制觀測的位置;對于需要特殊保護的設備,要進行適當隔離;對信息處理設施的運行有負面影響的環境條件(包括溫度和濕度),要進行實時進行監視。
5.2.2支持性設備安全
支持性設施(例如電、供水、排污、加熱/通風和空調等)應定期檢查并適當的測試以確保他們的功能,減少由于他們的故障或失效帶來的風險。
實現多路供電,以避免供電的單一故障點。
5.2.3線纜安全
應保證傳輸數據或支持信息服務的電源布纜和通信布纜免受竊聽或損壞。
電源電纜要與通信電纜分開;各種線纜能通過標識加以區分,并對線纜的訪問加以必要的訪問控制。
線纜標簽必須采用防水標簽紙和標簽打印機進行正反面打印(或者打印兩張進行粘貼),標簽長度應保證至少能夠纏繞電纜一圈或一圈半,打印字符必須清晰可見,打印內容應簡潔明了,容易理解。標簽的標示必須清晰、簡潔、準確、統一,標簽打印應當前后和上下排對齊。
5.2.4設備維護
設備需按照供應商推薦的服務時間間隔和說明書,進行正確維護;設備維護由已授權人員執行,并保存維護記錄1年。
5.2.5組織場所外的設備安全
應對組織場所的設備采取安全措施,要考慮工作在組織場所以外的不同風險。
5.2.6設備的安全處置或再利用
包含儲存介質的設備的所有項目應進行檢查,以確保在銷毀之前,任何敏感信息和注冊軟件已被刪除或安全重寫。
5.2.7資產的移動
設備、信息或軟件在授權之前不應帶出組織場所,設置設備移動的時間限制,并在返還時執行符合性檢查;對設備做出移出記錄,當返回時,要做出送回記錄。
6、通信和操作管理
6.1運行程序和職責
6.1.1運行操作程序文件化
運行操作程序文件化并加以保持,并方便相關使用人員的訪問。
6.1.2變更管理
對信息處理設施和系統的變更是否受控,并考慮:重大變更的標識和記錄;變更的策劃和測試;對這種變更的潛在影響的評估,包括安全影響;對建議變更的正式批準程序;向所有有關人員傳達變更細節;返回程序,包括從不成功變更和未預料事態中退出和恢復的程序與職責。
6.1.3職責分離
各類責任及職責范圍應加以分割,以降低未授權或無意識的修改或者不當使用組織資產的機會。
6.1.4開發設施、測試設施和運行設施的分離
開發、測試和運行設施應分離,以減少未授權訪問或改變運行系統的風險。
6.2第三方服務交付管理
6.2.1服務交付
應確保第三方實施、運行和保持包含在第三方服務交付協議中的安全控制措施、服務定義和交付水準。
IDC應確保第三方保持足夠的服務能力和可使用的計劃以確保商定的服務在大的服務故障或災難后繼續得以保持。
6.2.2第三方服務的監視和評審
應定期監視和評審由第三方提供的服務、報告和記錄,審核也應定期執行,并留下記錄。
6.2.3第三方服務的變更管理
應管理服務提供的變更,包括保持和改進現有的信息安全方針策略、程序和控制措施,要考慮業務系統和涉及過程的關鍵程度及風險的再評估
6.3系統規劃和驗收
6.3.1容量管理
IDC各系統資源的使用應加以監視、調整,并做出對于未來容量要求的預測,以確保擁有所需的系統性能。
系統硬件系統環境的功能、性能和容量要滿足IDC業務處理的和存貯設備的平均使用率宜控制在75%以內。
網絡設備的處理器和內存的平均使用率應控制在75%以內。
6.3.2系統驗收
建立對新信息系統、升級及新版本的驗收準則,并且在開發中和驗收前對系統進行適當的測試。
6.4防范惡意代碼和移動代碼
6.4.1對惡意代碼的控制措施
實施惡意代碼的監測、預防和恢復的控制措施,以及適當的提高用戶安全意識的程序
6.4.2對移動代碼的控制措施
當授權使用移動代碼時,其配置確保授權的移動代碼按照清晰定義的安全策略運行,應阻止執行未授權的移動代碼。
6.5備份
6.5.1備份
應按照客戶的要求以及已設的備份策略,定期備份和測試信息和軟件。各個系統的備份安排應定期測試以確保他們滿足業務連續性計劃的要求。對于重要的系統,備份安排應包括在發生災難時恢復整個系統所必需的所有系統信息、應用和數據。
應確定最重要業務信息的保存周期以及對要永久保存的檔案拷貝的任何要求。
6.6網絡安全管理
6.6.1網絡控制
為了防止使用網絡時發生的威脅和維護系統與應用程序的安全,網絡要充分受控;網絡的運行職責與計算機系統的運行職責實現分離;敏感信息在公用網絡上傳輸時,考慮足夠的加密和訪問控制措施。
6.6.2網絡服務的安全
網絡服務(包括接入服務、私有網絡服務、增值網絡和受控的網絡安全解決方案,例如防火墻和入侵檢測系統等)應根據安全需求,考慮如下安全控制措施:為網絡服務應用的安全技術,例如認證、加密和網絡連接控制;按照安全和網絡連接規則,網絡服務的安全連接需要的技術參數;若需要,網絡服務使用程序,以限制對網絡服務或應用的訪問。
6.7介質管理
6.7.1可移動介質的管理
建立適當的可移動介質的管理程序,規范可移動介質的管理。
可移動介質包括磁帶、磁盤、閃盤、可移動硬件驅動器、CD、DVD和打印的介質
6.7.2介質的處置
不再需要的介質,應使用正式的程序可靠并安全地處置。保持審計蹤跡,保留敏感信息的處置記錄。
6.7.3信息處理程序
建立信息的處理及存儲程序,以防止信息的未授權的泄漏或不當使用。
包含信息的介質在組織的物理邊界以外運送時,應防止未授權的訪問、不當使用或毀壞。
6.8信息交換
6.8.1信息交換策略和程序
為了保護通過使用各種類型的通信設施進行信息交換,是否有正式的信息交換方針、程序和控制措施。
6.8.2外方信息交換協議
在組織和外方之間進行信息/軟件交換時,是否有交換協議。
6.8.3電子郵件、應用系統的信息交換與共享
建立適當的控制措施,保護電子郵件的安全;為了保護相互連接的業務信息系統的信息,開發與實施相關的方針和程序。
6.9監控
6.9.1審計日志
審計日志需記錄用戶活動、異常事件和信息安全事件;為了幫助未來的調查和訪問控制監視,審計日志至少應保存1年。
6.9.2監視系統的使用
應建立必要的信息處理設施的監視使用程序,監視活動的結果應定期評審。
6.9.3日志信息的保護
記錄日志的設施和日志信息應加以保護,以防止篡改和未授權的訪問。
6.9.4管理員和操作員日志
系統管理員和系統操作員活動應記入日志。系統管理員與系統操作員無權更改或刪除日志。
6.9.5故障日志
與信息處理或通信系統的問題有關的用戶或系統程序所報告的故障要加以記錄、分析,并采取適當的措施。
6.9.6時鐘同步
一個安全域內的所有相關信息處理設施的時鐘應使用已設的精確時間源進行同步。
5星級IDC各計算機系統的時鐘與標準時間的誤差不超過10秒。
4星級IDC各計算機系統的時鐘與標準時間的誤差不超過25秒。
7、訪問控制
7.1用戶訪問管理
應有正式的用戶注冊及注銷程序,來授權和撤銷對所有信息系統及服務的訪問。
應限制和控制特殊權限的分配及使用;應通過正式的管理過程控制口令的分配,確保口令安全;管理層應定期使用正式過程對用戶的訪問權進行復查。
7.2用戶職責
建立指導用戶選擇和使用口令的指南規定,使用戶在選擇及使用口令時,遵循良好的安全習慣。
用戶應確保無人值守的用戶設備有適當的保護,防止未授權的訪問。
建立清空桌面和屏幕策略,采取清空桌面上文件、可移動存儲介質的策略和清空信息處理設施屏幕的策略,IDC并定期組織檢查效果。
7.3網絡訪問控制
建立訪問控制策略,確保用戶應僅能訪問已獲專門授權使用的服務。
應使用安全地鑒別方法以控制遠程用戶的訪問,例如口令+證書。
對于診斷和配置端口的物理和邏輯訪問應加以控制,防止未授權訪問。
根據安全要求,應在網絡中劃分安全域,以隔離信息服務、用戶及信息系統;對于共享的網絡,特別是越過組織邊界的網絡,用戶的聯網能力應按照訪問控制策略和業務應用要求加以限制,并建立適當的路由控制措施。
7.4操作系統訪問控制
建立一個操作系統安全登錄程序,防止未授權訪問;所有用戶應有唯一的、專供其個人使用的標識符(用戶ID),應選擇一種適當的鑒別技術證實用戶所宣稱的身份。
可能超越系統和應用程序控制的管理工具的使用應加以限制并嚴格控制。
不活動會話應在一個設定的休止期后關閉;使用聯機時間的限制,為高風險應用程序提供額外的安全。
7.5應用和信息訪問控制
用戶和支持人員對信息和應用系統功能的訪問應依照已確定的訪問控制策略加以限制。
敏感系統應考慮系統隔離,使用專用的(或孤立的)計算機環境。
7.6移動計算和遠程工作
應有正式策略并且采用適當的安全措施,以防范使用移動計算和通信設施時所造成的風險。
通過網絡遠程訪問IDC,需在通過授權的情況下對用戶進行認證并對通信內容進行加密。
8、信息系統獲取、開發和維護
8.1安全需求分析和說明
在新的信息系統或增強已有信息系統的業務需求陳述中,應規定對安全控制措施的要求。
8.2信息處理控制
輸入應用系統的數據應加以驗證,以確保數據是正確且恰當的。
驗證檢查應整合到應用中,以檢查由于處理的錯誤或故意的行為造成的信息的訛誤。
通過控制措施,確保信息在處理過程中的完整性,并對處理結果進行驗證。
8.3密碼控制
應開發和實施使用密碼控制措施來保護信息的策略,并保證密鑰的安全使用。
8.4系統文件的安全
應有程序來控制在運行系統上安裝軟件;試數據應認真地加以選擇、保護和控制;應限制訪問程序源代碼。
8.5開發過程和支持過程中的安全
建立變更控制程序控制變更的實施;當操作系統發生變更后,應對業務的關鍵應用進行評審和測試,以確保對組織的運行和安全沒有負面影響。
IDC應管理和監視外包軟件的開發。
8.6技術脆弱性管理
應及時得到現用信息系統技術脆弱性的信息,評價組織對這些脆弱性的暴露程度,并采取適當的措施來處理相關的風險。
9、信息安全事件管理
9.1報告信息安全事態和弱點
建立正式的IDC信息安全事件報告程序,并形成文件。
建立適當的程序,保證信息安全事態應該盡可能快地通過適當的管理渠道進行報告,要求員工、承包方人員和第三方人員記錄并報告他們觀察到的或懷疑的任何系統或服務的安全弱點。
9.2職責和程序
應建立管理職責和架構,以確保能對信息安全事件做出快速、有效和有序的響應。
9.3對信息安全事件的總結和證據的收集
建立一套機制量化和監視信息安全事件的類型、數量和代價,并且當一個信息安全事件涉及到訴訟(民事的或刑事的),需要進一步對個人或組織進行起訴時,應收集、保留和呈遞證據,以使證據符合相關訴訟管轄權。
10、業務連續性管理
10.1業務連續性計劃
建立和維持一個用于整個組織的業務連續性計劃,通過使用預防和恢復控制措施,將對組織的影響減少到最低,并從信息資產的損失中恢復到可接受的程度。
10.2業務連續性和風險評估
通過恰當的程序,識別能引起IDC業務過程中斷的事態(例如,設備故障、人為錯誤、盜竊、火災、自然災害和恐怖行為等),這種中斷發生的概率和影響,以及它們對信息安全所造成的后果。
業務資源與過程責任人參與業務連續性風險評估。
10.3制定和實施包括信息安全的連續性計劃
建立業務運行恢復計劃,以使關鍵業務過程在中斷或發生故障后,能在規定的水準與規定的時間范圍恢復運行
10.4測試、維護和再評估業務連續性計劃
業務連續性計劃應定期測試和更新,以確保其及時性和有效性。
定期測試及更新業務連續性計劃(BCP)/災難恢復計劃(DRP),并對員工進行培訓;定期對IDC的風險進行審核和管理評審,及時發現潛在的災難和安全失效。
5星級IDC:至少每年一次測試及更新;BCP/DRP,并對員工進行培訓;至少每年一次對IDC的風險進行審核和管理評審,及時發現潛在的災難和安全失效。
4星級IDC:至少每年一次測試及更新;BCP/DRP,并對員工進行培訓;至少每年一次對IDC的風險進行審核和管理評審,及時發現潛在的災難和安全失效。
11、符合性
11.1可用法律、法規的識別
IDC所有相關的法令、法規和合同要求,以及為滿足這些要求組織所采用的方法,應加以明確地定義、收集和跟蹤,并形成文件并保持更新。
11.2知識產權
應實施適當的程序,以確保在使用具有知識產權的材料和具有所有權的軟件產品時,符合法律、法規和合同的要求。
11.3保護組織的記錄
應防止重要的記錄遺失、毀壞和偽造,以滿足法令、法規、合同和業務的要求。
11.4技術符合性檢查
定期地對信息系統進行安全實施標準符合檢查,由具有勝任能力的已授權的人員執行,或在他們的監督下執行。
11.5數據保護和個人信息的隱私
應依照相關的法律、法規和合同條款的要求,確保數據保護和隱私。
篇3:中學醫務室安全管理制度
中學醫務室安全管理制度
一、學校相關衛生工作人員必須加強學習有關法規、政策，努力提高業務水平和工作能力。
二、醫務室購買藥品必須在衛生局指定的醫藥公司購買，不得直接跟廠方和藥商購買，買藥時要逐個進行藥品檢查，發現有偽劣藥品及離保值期藥品一律退貨，并調查追究經辦人。
三、每學期初進行藥品清理，對過期藥品、變質藥品進行登記，并注明藥品名稱、規格、數量、價格，然后經有關部門驗證后再銷毀。
四、醫生不開過期藥品，如領藥者發現過期藥品，立即退回處理。
五、發藥時要告訴學生怎樣安全使用藥品，并在藥袋上寫明每日服幾次，服藥時間、藥量、分幾次服完等。告誡病人不許超常服藥，警惕用藥過量引起的藥物中毒。
六、經常檢查醫務室電器設備，用電開關及線路若有漏電、斷電，應立即報告后勤處進行檢修，防止火災的發生。
七、醫務室使用壓鍋消毒時，誰消毒、誰負責，避免超壓發生爆炸事故。
八、醫務人員要堅持使用一次性注射器和輸管，嚴防醫源性交叉感染。各種常用衛生器械要定期消毒、浸泡，每學期檢查1-2次。發現生銹、破裂，功能不全即淘汰。
九、條件不具備時，不要給病人注射青霉素或其他易引起過敏性休克的藥品，對危重病人要立即送醫院處理。
十、醫務室人員每周一次到體育課場地進行體育衛生監督，檢查體育場地及體育器械有無不安全因素。
伊寧市第十七中學20*年3月