企业信息系统基础架构配置与变更管理规定

基础架构配置与变更管理规定第一节总则第一条为合理配置系统参数，实施硬件资源的有序调配，保证硬件设施与系统软件配置能在最大程度上满足信息系统运行与安全需要，特制定本规定。

第二条本规定所指基础架构，请参见《IT基础架构规》中的定义。

第三条本规定所涉及配置与变更管理围包括：硬件设施与平台软件的配置与变更、基础架构布局的配置与变更。

第四条规定中所指配置管理单位：省公司信息技术处。

第五条本规定中所指配置管理员包括系统管理员、数据库管理员、网络管理员、安全管理员等。

第二节平台软件的基准配置第六条平台软件的基准配置包括操作系统软件、数据库软件、网络设备系统软件、安全设备系统软件的基准配置等。

维护单位应为平台软件建立合适的配置基准。

配置基准应确保系统安全与整体安全要求的一致性。

第七条经授权的配置管理员应根据系统安装手册与配置基准对初装系统或设备进行基准配置，详细记录安装过程与设置，确保配置的正确性。

配置管理员应建立该配置对象的《配置清单》并在配置清单中清楚体现基准配置。

第八条完成基准配置的系统或设备需进行运行测试和安全性检查。

运行测试与安全检查通过后，配置管理员需在配置记录上写明运行测试与安全检查结果，由配置监管人签字确认。

只有在测试与安全检查没有问题的情况下该系统或设备才能在生产环境下运行。

第三节平台软件的配置变更第九条平台软件的配置变更包括但不限于：操作系统软件、数据库软件、网络设备系统软件、安全设备系统软件、系统安全策略的配置变更；供应商发布的补丁、升级包的使用等。

第十条配置管理员负责对平台软件进行配置管理和维护，配置监管人负责平台软件配置正确性的确认。

可通过操作系统层面对系统配置文件的访问权限的设置、明确的职责分工来确保配置和变更只能由被授权的人进行操作。

第十一条配置变更应有统一的配置变更申请、审批流程。

《配置变更申请、审批表》中应写明该配置变更所属设备的名称、配置的类别（操作系统、数据库、路由策略、安全策略、补丁包/升级包的使用等）和配置变更的原因及容。

若配置变更源于第三方服务商的建议则应同时提交第三方服务商建议文档。

第十二条配置管理员应根据变更申请制定配置变更计划，变更计划中应详细说明该配置变更可能对系统本身以及其他系统产生的影响、配置变更发生的时间、地点等。

第十三条配置单位管理层应根据配置变更计划及该配置变更所能产生的影响进行分析评估，对包括获取的补丁/升级包的安全性、准确性及真实性的核查，确定配置变更的原因是否充分，决定是否需要进行配置变更测试、是否同意该变更。

为确保生产系统的安全性，补丁/升级包在安装之前必需经过测试。

配置单位管理层应在《配置变更申请、审批表》中记录审批结果并签字。

第十四条经授权的配置管理员应根据审批后的配置变更计划进行配置变更，若需进行配置变更测试时，应首先完成测试并出具测试报告。

配置管理员在完成配置变更后应及时填写《配置变更记录表》，该表要求变更申请人对配置变更结果进行确认并签字。

同时配置管理员应更新《配置清单》。

第十五条配置管理员还应将《配置变更申请、审批表》、《配置清单》、《测试报告》做为《配置变更记录表》的附件提交给配置监管人，由其进行配置变更的确认，并在《配置变更记录表》的“监管人”一栏中签字。

第四节硬件设施的配置变更第十六条硬件设施的基准配置参见总公司下发的《IT基础架构规》。

第十七条硬件设施配置变更包括但不限于：主机处理器、主机存、主机硬盘、主机HBA卡、网卡、光驱、磁带机、网络设备接口模块、备份电源等硬件设施配置变更。

第十八条硬件设施使用方在硬件资源使用过程中时发生硬件资源不足或坏损时可申请硬件设施配置的变更，并填写《配置变更申请、审批表》。

第十九条配置管理员负责对硬件设施进行配置管理和维护，配置监管人负责确认硬件设施配置的正确性。

第二十条配置变更应有统一的配置变更申请、审批流程。

《配置变更申请、审批表》中应写明该配置变更所属设备的名称、配置的类别（CPU、存、硬盘、备份电源、HBA卡、网卡、光驱、磁带机、网络设备接口模块）和配置变更的原因及容。

第二十一条配置管理员应根据变更申请制定配置变更计划，变更计划中应详细说明该配置变更可能对系统本身以及其他系统产生的影响、配置变更发生的时间、地点等。

第二十二条配置单位管理层应根据配置变更计划及该配置变更所能产生的影响进行分析评估，确定配置变更的原因是否充分，决定是否需要进行配置变更测试、是否同意该变更。

配置单位管理层应在《配置变更申请、审批表》中记录审批结果并签字。

第二十三条经授权的配置管理员应根据审批后的配置变更计划进行配置变更，若需进行配置变更测试时，应首先完成测试并出具测试报告。

配置管理员在完成配置变更后应及时填写《配置变更记录表》，该表要求变更申请人对配置变更结果进行确认并签字。

同时配置管理员应更新《硬件设备维护档案》中的硬件设备基本配置(见《硬件设备维护规定》)。

第二十四条配置管理员还应将《配置变更申请、审批表》、《硬件设备维护档案》、《测试报告》作为《配置变更记录表》的附件提交给配置监管人，由其进行配置变更的确认，并在《配置变更记录表》的“监管人”一栏中签字。

第五节基础架构布局的变更第二十五条基础架构布局的变更包括但不限于：设备增减、设备迁移、线路调整、拓扑变化、定期停机检修等。

第二十六条维护单位应为基础架构布局建立相关文档，如机房布线图、网络拓扑图、设备分布图、机架分布图、跳线表、地址表等。

当基础架构布局发生变更时此类基础架构布局文档应得到及时的更新。

第二十七条基础架构布局变更时，变更提出方应填写《布局变更申请、审批表》，申请表中应具体描述变更的原因、容、时间、涉及到的部门等相关容，经需求方管理层审批后提交配置管理单位。

第二十八条经授权的配置管理员应根据审批后的布局变更计划进行布局变更并填写《布局变更记录表》，该表要求变更申请人对布局变更结果进行确认。

配置管理员应同时更新相关的基础架构布局文档。

第二十九条配置管理员还应将《布局变更申请、审批表》、《基础架构布局文档》一并作为《布局变更记录表》的附件提交给配置监管人，由其进行布局变更的确认，并在《布局变更记录表》的“监管人”一栏中签字。

第六节变更事件的处理第三十条根据变更事件可能造成的影响，其围可以分为处室围、部门围、省公司本部围、省公司本部及下级地市公司围四类。

配置管理单位应将可能产生的变更行为依据上述四种影响围进行归类划分，并每半年对分类规则进行评估更新。

第三十一条根据上述分类规则，维护单位应详细制定变更事件的通知细则，其容应包括各种影响围的最迟提前申请时间、最迟提前通知时间、变更审批领导等，并根据变更事件影响围的更新而重新评估通知细则。

第三十二条经过审批的配置变更或布局变更，配置管理维护单位管理层应根据影响围及通知细则提前发布变更通知，以便受影响管理方能够及时与可能影响到的有关各方联系确认，并提前通知有关各方预先做好准备。

第三十三条为减少配置变更与布局变更对正常业务和工作的影响，变更实施应尽量安排在业务、工作的空闲时段进行。

第七节定期审阅第三十四条技术的进步或系统、设备的升级可能引起配置基准的改变。

信息技术处应根据设备或系统的升级情况决定是否更新配置基准。

维护单位应定期对各类配置对象的配置基准进行评估(每年一次)，形成《配置基准评估表》并提交管理层审阅。

第三十五条若需发生配置基准的变更行为则应按照配置变更申请、审批流程执行。

配置管理员在填写配置变更申请时，应详细说明该配置变更属配置基准的变更。

配置基准的变更必需经过测试成功后方可实施。

第三十六条为了防止配置管理人员有意或无意的对软、硬件的配置、基础架构布局的非法更改，应建立对配置清单、基础架构布局文档、配置变更记录、布局变更记录的年审机制，该年审工作应由配置监管人员执行。

配置监管人应根据相关文档对真实情况进行检查，确保实际情况与相关文档的记录一致。

第三十七条配置监管人员进行年审工作后应填写《基础架构变更年审表》，该年审表应说明相关文档与实际情况是否相符。

若实际情况与相关文档不一致则应说明发生的原因与处理结果。

第八节文档保存第三十八条在基础架构配置与变更管理过程中产生的所有文档，包括《配置基准》、《配置清单》、《基础架构布局相关文档》、《配置变更申请、审批表》、《布局变更申请、审批表》、《配置变更记录表》、《布局变更记录表》、《基础架构变更年审表》、《配置基准评估表》等均应该由配置管理单位指定专人进行统一管理，保留工作痕迹。

第九节附则第三十九条本制度由省公司信息技术处负责解释和修订。

第四十条本制度自发布之日起开始执行。

附件一配置变更申请、审批流程附件二配置变更管理流程附件三配置变更申请、审批表附件四布局变更申请、审批表附件五配置变更记录表附件六布局变更记录表附件七基础架构变更年审表附件八配置基准一、路由器配置基准：1、关闭不必要的服务fingerbootptcp-small-serversudp-small-serversno ip proxy-arpno ip http server2、远程访问的安全使用SSH方式提供远程访问。

在vty线路上不提供telnet协议的传输，路由器允许终端闲置的时间设置为5分钟。

3、口令加密使用service password-encryption启用口令加密。

使用enable secret设置特权模式的访问口令。

4、snmp的安全删除public访问串。

用访问控制列表限制使用snmp的围。

5、端口的安全在不可靠接口上输入no ip unreachables停止发送icmp不可达信息，避免路由器被DOS攻击。

在不可靠接口上应关闭CDP协议，关闭ＩＰ反向路由设置。

6、访问控制列表使用访问控制列表技术进行访问控制，只允许指定的IP地址围访问。

7、日志设置外部的syslog日志服务器。

在网络设备上将日志发往该服务器，日志级别不低于notification。

8、AAA设置外在的AAA服务器。

通过该服务提供以下功能：●认证authentication，即确定访问者的身份。

路由器的控制台登录和远程登录都要使用AAA提供的认证服务。

在AAA服务器上为系统管理员和系统操作员分别设置用户账号。

●授权authorization，对不同的访问者授予不同的访问权限。

系统管理员账号可以执行修改设备配置的命令，而系统操作员只能执行查看设备状态的命令。

●记帐accounting，记录访问者对网络设备进行的操作。

9、路由协议网络设备上配置动态路由协议时要使用该路由协议所支持的最高级报文认证。

见下表：二、防火墙配置基准：1、防火墙的缺省包过滤规则为允许，在调试过程完成，测试结束后，一定要将防火墙的默认允许，改为禁止。

2、若防火墙的默认规则为全通的规则，请删除默认的安全规则，然后按照网络实际环境配置相应的安全规则，并且尽量不要设置地址和服务有ANY的规则，3、为了有效保护网与防火墙自身的抗攻击能力，可以打开防火墙的抗攻击功能，（建议在网络流量大的情况下不会开此功能，会影响网络的处理速度）4、为了有效的保护部的网络地址，并解决网络地址不足的问题，请尽量使用防火墙的ＮＡＴ功能，把网的ip地址转换成防火墙的公网地址后再访问外部网络。