MHWJW13-网络与信息系统安全设计规范-V1.1-ok

信息网络防护规章(标准版)1. 引言本文档旨在制定信息网络防护规章的标准版，以确保网络安全和数据保护。

该规章适用于所有使用信息网络的个人、组织和机构。

2. 定义- 信息网络：指通过计算机、互联网等技术实现的信息传输和共享的网络。

- 信息网络防护：指采取措施保护信息网络的安全性和可用性，防止未经授权的访问、攻击和破坏。

3. 规章要求3.1 密码安全- 所有用户必须设置强密码，并定期更换密码。

- 密码应包含字母、数字和特殊字符，长度不少于8位。

- 禁止使用弱密码，如生日、常见的字典词汇等。

- 禁止共享密码，每个用户应拥有独立的账户和密码。

3.2 网络设备安全- 网络设备应定期进行安全检查，包括防火墙、入侵检测系统等。

- 安全漏洞应及时修补和更新。

- 禁止使用未经授权的网络设备，如路由器、交换机等。

3.3 病毒防护- 所有设备必须安装并定期更新病毒防护软件。

3.4 数据备份与恢复- 数据备份应定期进行，并存储在安全的地方。

- 备份数据应进行加密和验证。

- 定期进行数据恢复测试，确保备份的有效性。

3.5 网络访问控制- 确定合适的网络访问权限，限制非必要的访问。

- 禁止未经授权的访问和操作。

- 定期审查和更新访问控制列表。

4. 其他事项- 所有用户应定期接受网络安全培训，并签署网络安全承诺书。

- 管理员应定期审核和改进信息网络防护规章。

- 违反规章的行为将受到相应的处罚和纪律处理。

5. 结论本文档制定了信息网络防护规章的标准版，旨在保护信息网络的安全和可用性。

所有用户和组织应遵守这些规章要求，并定期进行安全检查和培训，以确保信息网络的安全防护工作得到有效实施。

中国移动统一信息平台技术规范中国移动企业信息化一期工程统一信息平台技术规范（v1.0）中国移动通信集团公司目录1 总则 (1)1.1. 概述 (1)1.2. 适用范围 (1)1.3. 起草单位 (2)1.4. 解释权 (2)2 应用体系架构 (3)2.1. 两级架构 (3)2.2. 统一信息平台的组成 (4)2.3. 总体技术要求 (5)3 展示平台 (6)3.1. 域名规则 (6)3.2. 登录流程 (7)3.3.访问安全控制 (7)3.3.1. ......................................................... 认证83.3.2. ......................................................... 加密93.3.3. ......................................................... 授权93.4.个性化展现管理 (9)3.5.内容应用聚集 (10)3.6.系统性能要求 (11)4 网络和接入平台 (12)4.1.全国互联广域网组织结构 (12)4.1.1. ..................... 全国互联广域网拓扑结构124.1.2. ................. 广域网互联承载网络的选择134.1.3. ......................... 全国互联广域网的路由144.1.4. ................. 全国互联广域网的网络安全144.2.集团公司统一信息平台的网络组织结构14 4.2.1. ............. 集团公司统一信息平台局域网144.2.2. ................. 集团公司统一信息平台接入164.3.省公司统一信息平台的网络组织结构 (17)4.3.1. ................. 省公司统一信息平台局域网174.3.2. ..................... 省公司统一信息平台接入194.4.I P地址规划 (20)4.4.1. .................................... I P地址规划原则204.4.2. .................................... I P地址规划方法224.4.3. .................................... I P地址规划要求235安全管理平台 (24)5.1.网络管理及网络安全 (24)5.1.1. ......................................... 网络系统管理245.1.2. ................................................. 网络安全245.2.系统管理及系统安全 (25)5.2.1...................................................... 系统管理255.2.2. ................................................. 系统安全265.2.3. ..................................... 数据管理和安全285.2.4. ..................................................... 防病毒296系统和环境要求 (30)6.1.系统要求 (30)6.1.1. ................................................. 主机设备306.1.2. ................................................. 操作系统316.1.3. ......................................... 存储备份设备316.1.4. ................................................. 网络设备326.1.5. ..................................................... 数据库346.1.6. ......................................... 展示平台软件366.1.7. ................................................. 开发工具376.1.8. ................................................. 系统文档376.2.机房环境要求 (38)6.2.1. ......................................... 机房环境条件386.2.2. ................................................. 接地要求396.2.3. ............................................. 空调及电源401 总则1.1. 概述目前中国移动通信集团公司已成为世界第一大GSM移动电话运营商，并已经从提供话音和基本数据业务的单一业务运营者逐步转变为提供话音、数据、Internet及未来多媒体业务的综合业务运营商。

网络信息防护准则(标准版)目标本文档旨在提供网络信息防护准则的标准版，以帮助组织和个人保护其网络信息安全。

定义网络信息防护是指采取各种措施来保护网络系统和数据免受未经授权的访问、使用、披露、破坏、修改或丢失的威胁。

准则以下几点是网络信息防护的标准准则：1. 强化网络安全意识组织和个人应提高网络安全意识，了解网络威胁和常见攻击方式。

定期进行网络安全培训，向员工和用户传达合适的安全意识教育。

2. 使用强密码和多因素身份验证所有网络账户都应使用强密码，并定期更改密码。

对于重要账户，建议启用多因素身份验证，以提高账户的安全性。

3. 更新和维护软件和系统定期更新操作系统、应用程序和防病毒软件，以获取最新的安全补丁和漏洞修复。

确保所有软件和系统都处于最新的稳定版本，并及时修复已知的漏洞。

4. 控制访问权限对网络资源和敏感数据实施适当的访问控制，并为每个用户分配适当的权限。

定期审查和更新用户权限，确保权限与职责相匹配。

5. 加密重要数据和通信对于重要数据和敏感通信，应使用加密技术来保护其机密性。

采用安全的协议和加密算法，确保数据在传输和存储过程中不被窃取或篡改。

6. 备份和恢复数据定期备份关键数据，并将备份存储在安全的地方。

制定数据恢复计划，以便在数据丢失或损坏时能够及时恢复。

7. 监测和检测安全事件建立安全事件监测和检测机制，定期审查日志和报警信息，及时发现和应对安全事件。

实施入侵检测系统和防火墙等安全设备，保护网络免受恶意攻击。

8. 建立紧急响应计划制定紧急响应计划，明确安全事件发生时的应急措施和责任分工。

定期组织演练，以验证和改进紧急响应计划的有效性。

结论通过遵循网络信息防护准则的标准版，组织和个人能够提高网络安全性，保护其网络系统和数据免受潜在的威胁。

请按照准则中的要求，制定并执行适合自身情况的网络信息防护策略。

文档信息制度编号: 生效日期: 分发范围:解释部门: 版次:Ver1.1 页数: 11制定人: 审核人: 批准人:版本记录XX单位第三方安全管理规范1总则1.1目的为了加强对第三方合作伙伴、人员、系统的安全管理，防止引入第三方给XX单位带来的安全风险，特制定本管理办法。

1.2范围本规范适用于XX单位在信息安全管理过程中对外来人员和第三方人员的行为规范管理。

1.3职责XX单位第三方信息安全管理由信息中心负责，并应按照本办法严格落实。

2管理细则2.1解释（1）本办法所指第三方包括第三方公司、第三方系统、第三方人员：（2）第三方公司是指向XX单位提供设备、产品、服务的外部公司。

（3）第三方系统是指为XX单位服务或与XX单位合作运营的系统。

这些系统可能不在XX单位机房内，但能通过接口与XX单位的系统发生数据交互。

（4）第三方人员是指为XX单位提供开发、测试、运维等服务或参与合作运营系统管理的非XX单位人员。

（5）对第三方公司的信息安全管理应遵循如下原则：“谁主管谁负责、谁运营谁负责、谁使用谁负责、谁接入谁负责”的原则。

2.2总体要求（1）对于与卫计委开展合作运营的第三方公司，信息中心要求其按照XX 单位网络与信息安全的管理规定，严格落实信息安全责任，建立日常安全运维、检查制度，确保不发生信息泄密、重大安全漏洞。

（2）信息中心需要求在卫计委开展现场长期服务的第三方公司，在派驻现场设立专职人员，其主要职责包括：负责按照国家及XX单位的信息安全管理要求，开展派驻现场的安全管理，指导和监督派驻现场人员的信息安全，确保不发生违规行为；接受卫计委的监督和考核等。

（3）第三方公司信息安全管理人员发生变更时，应在变更前1周将有关变更信息报送XX单位信息中心。

（4）信息中心要督促指导第三方公司及人员遵循XX单位的安全管理制度和规范，将安全要求作为考核内容，纳入双方合作协议，定期组织对第三方安全检查。

2.3第三方公司及人员管理（1）第三方公司必须与XX单位签订保密协议，在协议中明确第三方公司的保密责任以及违约罚则；第三方公司应与其员工签订保密协议，在协议中明确第三方公司员工的保密责任以及违约罚则。

校园统一信息门户平台建设方案目录1. 项目概述 (1)1.1. 项目名称 (1)1.2. 项目背景 (1)1.3. 建设依据 (1)2. 总体设计 (2)2.1. 总体目标 (2)2.2. 设计原则 (4)2.3. 总体架构 (6)2.4. 应用架构 (7)2.5. 数据库设计 (8)2.5.1. 历史数据库设计 (8)2.5.2. 历史数据 (10)2.5.3. 统计数据 (11)2.5.4. 暂时表 ................................................. 1.12.5.5. 数据冗余处理............................................ 1.22.5.6. 数据库安全 (13)2.6. 性能设计........................................................ 1.43. 系统设计............................................................ 1.53.1. 信息管理........................................................ 1.53.1.1. 信息发布 (15)3.1.2. 资料下载 (15)3.1.3. 问卷调查 (16)3.2. 服务管理........................................................ 1.63.2.1. 服务管理 (16)3.2.2. 服务基础数据............................................ 1.73.3. 个人主页........................................................ 1.83.3.1. 个人卡片 (18)3.3.2. 热门服务 (18)3.3.3. 消息提醒 (18)3.3.4. 我的服务 (19)3.3.5. 日程中心 (19)3.4. API 管理 ........................................................ 1.93.4.1. 接口注册与发布 (20)3.4.2. 插件管理................................................ 2.03.4.3. 接口申请与审批 (20)3.4.4. 接口访问统计分析 (20)3.5. 系统管理........................................................ 2.13.5.1. 系统设置................................................ 2.13.5.2. 权限管理................................................ 2.13.5.3. 监控日志管理............................................ 2.23.5.4. 基础数据管理............................................ 2.23.6. 数据交换与共享..................................................................................................................... 2.33.7. 标准化体系设计...................................................................................................................2.4项目名称：校园统一信息门户平台统一信息门户平台是数字化校园的信息集中展示的窗口，是各应用系统中各种应用服务集成和部署的平台，它把分立各个业务系统的不同功能有效地组织起来，为各类用户提供统一的信息服务入口，为校园师生提供个性化信息服务。

文档信息制度编号: 生效日期: 分发范围:解释部门: 版次:Ver1.1 页数: 5制定人: 审核人: 批准人: 传阅阅后执行并存档保密保密等级内部公开版本记录XX单位网络与信息系统安全设计规范1总则1.1目的为规范XX单位信息系统安全设计过程，确保整个信息安全管理体系在信息安全设计阶段即符合国家相关标准和要求，特制订本规范。

1.2范围本规范适用于XX单位在信息安全设计阶段的要求和规范管理。

1.3职责信息中心负责信息安全系统设计，并会同上级单位、相关部门和有关专家对设计方案进行评审后报信息安全领导小组批准。

2设计规范2.1物理机房安全设计新机房建设根据物理安全主要包括：物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护等，该部分内容将主要参考GB/T22239‐2008《信息系统安全等级保护基本要求》（以下简称《基本要求》）要求的第三级标准进行建设，建设过程中可以参考的标准主要包括：GB50174－93《电子计算机机房设计规范》GB 50057－1994《建筑物防雷设计规范》GB 2887-88《计算站场地安全要求》GB 2887-89《计算站场地技术条件》应从安全技术设施和安全技术措施两方面对信息系统所涉及到的主机房、辅助机房和办公环境等进行物理安全设计，设计内容包括防震、防雷、防火、防水、防盗窃、防破坏、温湿度控制、电力供应、电磁防护等方面。

物理安全设计是对采用的安全技术设施或安全技术措施的物理部署、物理尺寸、功能指标、性能指标等内容提出具体设计参数。

具体依据《基本要求》中的“物理安全”内容，同时可以参照《信息系统物理安全技术要求》等。

2.2通信网络与区域边界安全设计网络设计、建设、维护过程中应参考GB/T22239‐2008)《信息系统安全等级保护基本要求》第三级网络部分要求。

对信息系统所涉及的通信网络，包括骨干网络、城域网络和其他通信网络（租用线路）等进行安全设计，设计内容包括通信过程数据完整性、数据保密性、保证通信可靠性的设备和线路冗余、通信网络的网络管理等方面。

指挥自动化计算机网络安全要求GJB 1281-91一 范围1.1 主题内容和适用范围1.1.1 本标准规定了全军指挥自动化计算机网络在实体、网络和管理等方面的安全要求（未涉及可靠性安全要求）。

可作为论证、招标、研制、验收和应用的基本依据。

其它计算机网络，特别是国家重点要害部门的计算机网络也可参照采用。

1.1.2 本标准适用于指挥自动化广域网和局域网。

二 引用文件GB 2887 计算站场地技术要求GB 4943 数据处理设备的安全GB 9361 计算站场地安全要求GJB 141.1 用于数据传输的一般专用标准电话电路特性GJB 141.2 用于数据传输的优质专用标准电话电路特性GJB 148 数据传输质量维护极限及维护标准GJB 151 军用设备和分系统电磁发射和敏感度要求GJB 663 军用通信系统、设备安全要求三 定义3.1 信息破坏由于偶然事故或人为因素而破坏信息的正确性、完整性和可用性。

3.2 网络实体计算机网络中各类设备（包括节点机设备、通信设备、终端设备、存储设备、电源系统等）以及为此服务的其他硬件设备的总称。

3.3 计算机病毒依附在计算机程序中的一种可以繁衍的程序。

它象生物病毒一样使计算机程序感染，并在计算机网络中再生和扩散，造成其紊乱或瘫痪。

3.4 最小特权在完成某种操作时所赋予网络中每个主体（用户或进程）必不可少的特权。

3.5 主动威胁非法占用网络处理信息、侵入文件、修改程序，造成在错误状态下运行。

3.6 被动威胁当网络正常运行时，由于系统单元暴露或输入输出等管理不严造成信息泄露或被非法截取而产生的威胁。

3.7 实体安全（物理安全）为确保网络在信息的采集、处理、传输、存储过程中，不致受到人为或自然因素的危害，而对网络设备、设施、环境、人员等所采取的安全措施。

3.8 灾难事件因人为或自然灾害造成的涉及全局的一时难以恢复的破坏性事件。

四 一般要求4.1 目标网络安全设计应与论证、招标、研制、验收和应用工作同步进行，并根据需求，分阶段、分层次逐步实施和完善，以达到如下目标：a.保证网络正常运行，避免各种非故意的错误与损失；b.保证信息的正确性、完整性和可用性，防止网络及数据遇到偶然的、被动的和主动的威胁，以及自然灾害的破坏；c.对影响网络的意外事故具有应急措施。