下载文档原格式
涉密计算机及信息系统安全策略The document on the security ___ is a top-level management document that serves as the starting point and core of thecompany's ork and n security guarantee work。
It is a guiding document for the management and technical measures for the security of the company's computer and n systems that all personnel must follow。
It is formulated and interpreted by the company's n security management department。
___。
and organized by the n security management ___.The ___ systems involve the storage。
n。
and processing of nal secrets。
company trade secrets。
and business-critical n。
which affects the company's image and the continuous n of its business。
Therefore。
it is ___ from technical。
management。
and ___.___ document include physical security strategy。
n security strategy。
n management strategy。
backup and recovery strategy。
官方网站： 涉密计算机安全保密策略设置的操作规范一、创建账户右击“我的电脑”→管理→系统工具→本地用户和组→用户→在右侧窗格中单击右键添加新用户，设置用户属性隶属于Power Users。
用户名分配策略：秘密级计算机用户名由系统管理员统一分配并填写账户情况统计表。
二、禁止访问“控制面板”开始→运行→gpedit.msc→用户配置→管理模板→控制面板→将右侧窗格的“禁止访问控制面板”策略启用。
三、禁用访问注册表编辑器开始→运行→gpedit.msc→用户配置→管理模板→系统→将右侧窗格的“阻止访问注册表编辑器”策略启用。
四、关闭系统自动播放功能开始→运行→gpedit.msc→用户配置→管理模板→系统→将右侧窗格的“关闭自动播放”策略设置为“所有驱动器”。
五、设置密码复杂性要求和密码长度等开始→运行→gpedit.msc→计算机配置→Windows设置→安全设置→账户策略→密码策略→启用“密码必须符合复杂性要求”、“密码长度最小值”、“密码最长留存期”（秘密级计算机密码长度最小值为8位，密码最长留存期设为30天）。
六、设置账户锁定阀值官方网站： 开始→运行→gpedit.msc→计算机配置→Windows设置→安全设置→账户策略→账户锁定策略→启用“账户锁定阀值”（5次）。
七、设置密码保护屏保程序开始→运行→gpedit.msc→用户配置→管理模板→控制面板→显示→启用右侧窗格的“屏幕保护程序”、“密码保护屏幕保护程序”并将“屏幕保护程序超时”策略设置为“600秒”。
八、设置BIOS密码1、启动电脑，然后按【Del】键进入BIOS设置主界面。
2、在BIOS主菜单中，有两个设置密码的选项，它们是“SetSupervisor Password”（设置超级用户密码）与“Set User Password”（设置用户密码）。
3、选择其中一个后按回车键，出现Enter Password对话框后，输入密码，密码复杂性同密码策略复杂性要求（不支持10位及以上密码设置的除外，但应设为最大位数）。
公司涉密计算机管理制度一、引言为了保护公司涉密计算机信息安全，维护公司核心业务和商业利益的安全性和保密性，制定本管理制度。
所有公司与员工必须严格遵守本制度，否则将面临相应的法律责任和行政处罚。
二、适用范围本制度适用于所有涉密计算机使用和管理的场所，包括但不限于公司内部办公场所、服务器机房、数据中心等。
三、基本原则1.防范原则：提前采取措施，防范涉密计算机信息泄露、病毒侵袭等风险。
2.需要原则：合理、必要的需要方可使用涉密计算机。
3.公正原则：按照公司内部规定和法律法规的要求处理涉密计算机信息。
四、涉密计算机管理1.设备管理（1）所有涉密计算机必须按照公司安全要求购置，使用前需要备案登记并获得公司相关部门批准。
（2）定期检查和更新涉密计算机硬件和软件，以确保其运行的安全性和稳定性。
（3）加强物理保障，定期检查涉密计算机的布放位置、通风、防水、防火等安全措施。
2.访问管理（1）制定访问权限管理制度，明确各级别人员对涉密计算机信息的访问权限。
（2）涉密计算机必须设置密码锁屏，定期更换密码，并定期检查员工遵守密码安全使用规范。
（3）所有访问涉密计算机的行为都要通过公司审批和记录，并配备监控录像设备，记录相关人员的操作。
3.数据备份管理（1）定期备份和恢复涉密计算机信息，确保数据的安全性和完整性。
（2）备份数据存储设备必须进行加密，并妥善保管，以防泄露和数据丢失。
（3）定期测试备份数据的可恢复性。
4.病毒防护管理（1）安装正版杀毒软件，定期对涉密计算机进行病毒扫描。
（3）定期更新杀毒软件的病毒库，并定期检查其可用性。
五、违规行为处理1.对于涉嫌违反本制度的员工，公司将依据公司规定进行相应的纪律处分，包括但不限于警告、记过、降级、开除等。
2.对于严重违反本制度的员工，公司将依法追究其法律责任。
3.对于部门或个人在涉嫌窃取、泄露公司涉密信息的行为上，公司有权将其诉诸司法机关，追究刑事责任。
六、附则1.本制度的解释权归公司所有，如有需要，公司有权对本制度进行修订和解释。
xx公司信息安全方针策略第一章总则第一条为加强和规范xx公司（以下简称“xx公司”）及各部门信息系统安全工作，提高本单位信息系统整体安全防护水平，实现信息安全的可控、能控、在控，依据国家有关法律、法规的要求，特制定本方针。
第二条本文件的目的是为xx公司信息系统安全管理提供一个总体的策略性架构文件，该文件将指导xx公司信息系统的安全管理体系的建立。
安全管理体系的建立是为xx 公司信息系统的安全管理工作提供参照，以实现xx公司统一的安全策略管理，提高整体的网络与信息安全水平，确保安全控制措施落实到位，保障网络通信畅通和业务系统的正常运营。
第三条本文件涵盖安全管理机构、人员安全管理、系统建设安全管理、系统运维安全管理、安全技术、业务运作安全管理等方面内容，适用于xx公司各部门信息系统资产和信息技术人员的安全管理和指导，适用于指导xx公司信息系统安全策略的制定、安全方案的规划和安全建设的实施，适用于xx公司安全管理体系中安全管理措施的选择。
第四条引用标准及参考文件本文档的编制参照了以下国家的标准和文件：（一）《中华人民共和国计算机信息系统安全保护条例》（二）《关于信息安全等级保护建设的实施指导意见》（信息运安〔2009〕27 号）（三）《信息安全技术信息系统安全等级保护基本要求》（GB/T 22239-2008）（四）《信息安全技术信息系统安全管理要求》（GB/T 20269—2006）（五）《信息系统等级保护安全建设技术方案设计要求》（报批稿）（六）《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安[2009]1429号）（七）《征信机构信息安全规范》（JR/T 0117-2014）（以下简称：“征信规范”）第二章方针、目标和原则第五条 xx公司信息系统安全坚持“安全第一、预防为主，管理和技术并重，综合防范”的总体方针，实现信息系统安全可控、能控、在控。
依照“分区、分级、分域”总体安全防护策略，执行信息系统安全等级保护制度。
XX公司计算机信息系统保密管理规定————————————————————————————————作者：————————————————————————————————日期：XX公司计算机信息系统保密管理暂行规定第一章总则第一条为加强XX公司涉密计算机信息系统的保密管理，确保国家秘密的安全，根据《中华人民共和国保守国家秘密法》和国家保密局下发的《计算机信息系统保密管理暂行规定》、《涉及国家秘密的计算机信息系统保密技术要求》，结合公司实际情况，制定本规定。
第二条本规定适用于公司总部以及下属子公司范围内采集、存储、处理、传递、输出国家秘密信息的计算机信息系统（以下简称涉密计算机信息系统）。
第三条本规定所称涉密计算机信息系统，是指用于处理国家秘密信息的计算机硬件、软件、视频语音设备、移动存储介质、相关网络及安全设备等。
涉及公司经营的商业秘密按照国家行业保密相关规定，应视为国家秘密进行管理。
第二章管理职责第四条XX公司保密委员会对公司总部和各子公司涉密计算机信息系统管理工作进行全面领导。
第五条XX公司信息中心在XX公司保密委员会领导下，具体负责公司总部和各子公司涉密计算机信息系统的保密管理工作进行指导、监督和检查。
各子公司信息技术部门在本单位保密委员会领导下，负责本单位计算机信息系统保密管理工作。
第六条各子公司信息技术部门应配合XX公司保密委员会办公室和信息中心，负责完成对本单位涉密计算机信息系统的定期或不定期的保密检查工作，并对发现的问题及时采取有效整改措施。
第七条按照“谁使用，谁管理，谁负责”的原则，涉密计算机信息系统的保密管理实行岗位责任制，各子公司由专人负责涉密计算机信息系统保密工作。
各子公司应根据系统所处理信息的涉密程度和重要性制定相应管理制度。
第八条各子公司保密部门应对涉密计算机信息系统的工作人员进行保密培训，并定期进行保密教育和检查。
第九条任何单位和个人发现以下问题应及时上报XX公司保密委员会：一、发现涉密计算机信息系统保密方面的漏洞和隐患；二、发现违反有关违反保密规定的行为；三、发现泄密事件。
文档信息制度编号: 生效日期: 分发范围:XXXX公司解释部门: 信息中心版次:Ver1.1 页数: 5制定人:信息安全工作小组审核人:信息安全领导小组批准人:传阅阅后执行并存档保密保密等级内部公开版本记录XXXX公司信息安全方针及安全策略1总则1.1目的为了深入贯彻落实国家信息安全政策文件要求和信息安全等级保护政策要求，加强XXXX公司的信息安全管理工作，增强XXXX公司全员信息安全意识，切实提高XXXX公司信息系统安全保障能力，特制定本方针。
1.2范围本方针适用于XXXX公司信息安全管理活动。
1.3职责由XXXX公司领导和各科室，部门主管为主体的信息安全领导小组负责本方针文件的审核和修订，由信息中心为主体的信息安全工作小组负责本方针文件的贯彻和执行。
1.4符合性本方针文件主要遵循《信息安全技术信息系统安全等级保护基本要求（GBT 22239-2008）》标准的要求，同时在部分环节也符合以下两个国际标准。
ISO/IEC 27001 信息安全管理体系要求ISO/IEC 27002 信息技术—安全技术—信息安全管理实践规范2信息安全方针XXXX公司总体安全方针为：提高人员信息安全风险意识，确保信息系统安全；强化信息安全管理，坚持以人为本。
3方针主要内容3.1主要安全策略⏹信息安全是XXXX公司及相关部门正常经营的重要保障，XXXX公司将遵照“统一规划、分级管理、积极防范、人人有责”的原则，通过风险评估和风险管理，采取一切可能的措施，加强XXXX公司信息安全的建设和管理。
⏹XXXX公司设立信息安全领导小组，信息安全领导小组是XXXX公司信息安全管理的最高机构；信息中心、运维人员、系统管理员等是XXXX公司信息安全日常工作和执行机构，负责XXXX公司信息系统及信息安全的日常维护和管理工作。
⏹XXXX公司全体职工均有参与信息安全管理、保护XXXX公司及相关部门信息安全的义务和责任。
XXXX公司全体职工应积极参加各种形式的信息安全教育和培训，遵守相关国家法律、法规、部门规章和行业规范，遵守XXXX公司信息安全管理制度。
第1篇一、概述随着信息技术的飞速发展，信息安全已成为国家安全、企业竞争力和个人隐私保护的重要方面。
为保障我单位信息安全，防止信息泄露和非法使用，特制定本安全保密策略和操作规程。
二、安全保密策略1. 全面性原则：安全保密工作应覆盖所有信息系统、网络设备和人员，确保无死角。
2. 预防为主原则：采取预防措施，减少安全事件的发生，确保信息安全。
3. 等级保护原则：根据信息系统的重要性和敏感程度，采取相应的安全保护措施。
4. 责任到人原则：明确各级人员的安全保密责任，确保安全保密工作落到实处。
5. 持续改进原则：不断更新和完善安全保密策略和操作规程，提高信息安全防护能力。
三、安全保密组织架构1. 安全保密领导小组：负责制定、审核和监督安全保密策略和操作规程的执行。
2. 安全保密办公室：负责具体实施安全保密工作，包括安全培训、安全检查、应急响应等。
3. 安全保密工作小组：负责各业务部门的安全保密工作，确保业务系统安全。
四、安全保密操作规程1. 用户管理- 用户注册：新用户需填写个人信息，经审核通过后方可注册。
- 用户权限：根据用户职责分配相应的权限，确保用户只能访问其权限范围内的信息。
- 用户密码：用户密码应复杂，定期更换，并禁止与他人共享。
2. 访问控制- 内部访问控制：限制内部人员访问敏感信息，确保信息仅限于授权人员访问。
- 外部访问控制：严格控制外部人员访问内部系统，防止信息泄露。
- 网络访问控制：通过防火墙、入侵检测系统等手段，防止非法访问和攻击。
3. 数据安全- 数据加密：对敏感数据进行加密存储和传输，确保数据安全。
- 数据备份：定期备份重要数据，确保数据不丢失。
- 数据恢复：制定数据恢复方案，确保在数据丢失或损坏时能够快速恢复。
4. 网络安全- 网络设备安全：定期检查网络设备，确保设备安全可靠。
- 网络监控：实时监控网络流量，发现异常情况及时处理。
- 网络攻击防范：采取防火墙、入侵检测系统等手段，防止网络攻击。
涉密计算机安全保密策略档案表（共5篇）第一篇：涉密计算机安全保密策略档案表涉密计算机和信息系统安全保密策略一、鉴别策略：1、用户终端设置BIOS启动口令2、登陆操作系统时需要身份鉴别。
身份鉴别为实名制，必须使用用户数码密钥并输入正确的用户名和密码后登陆系统。
3、用户名或密码错误三次以后自动锁定用户密码钥匙，需管理员进行解锁后方可使用。
4、用户身份鉴别成功后闲置时间超过5分钟需要新进行身份鉴别。
二、账户策略1、密码必须符合复杂性。
2、密码长度最小值为10个字符3、密码最长存留时间为30天4、复位账户锁定计数器1分钟之后5、账户锁定阀值：3次无效登陆三、本地策略1、启动监控：监控应用程序运行。
2、启动监控：监控移动介质使用。
3、启动日志：文档打印操作。
4、禁用：printscren 功能按键5、物理拆除：软盘驱动器。
6、禁用：光盘驱动器。
7、禁用：扫描仪、照相机。
8、禁用：调制解调器。
9、禁用：串行通讯口。
10、禁用：并行通讯口。
11、禁用：1394通讯口12、禁用：wifi无线网卡13、禁用：蓝牙设备四：网络安全1、禁用：本地连接。
2、禁用：网络修改。
3、禁用：新增加网卡。
4、禁用：红外设备。
5、禁用：PCMCIA设备。
五：软件安全1、用过合法渠道或官方网站定期下载系统补丁软件，并及时更新2、所有新的或变更的软件测试其：可用性、可靠性、可溶性、可恢复性和错误处理能力。
六：病毒防范1、安装2种以上可靠防毒软件，并定期查杀病毒。
2、对将要上传的文件资料进行病毒查杀在制作光盘3、对系统进行实时监测和过滤。
4、及时更新病毒库。
5、对发现的病毒及时查杀，可以的文件及时上报做好详细记录。
第二篇：涉密计算机保密管理制度涉密计算机（含笔记本电脑）保密管理制度一、按照“谁主管谁负责、谁运行谁负责”的原则，保密员负责保密计算机系统的安全和保密管理；二、设计国家秘密的信息（以下简称涉密信息）应当在涉密信息系统中处理。
非涉密信息系统不得处理涉密信息。
大连市保密局综合业务系统安全建设方案大连宏旗科技技术发展有限公司2014 ．1目录1、概述- 3 -1.1任务的由来-31.2任务的范围-31.3任务的目标-4-3、设计依据- 5 -4、内网网站概况- 6 -5.1涉密计算机信息系统基本要求- 75.2物理安全策略-85.3运行安全策略-85.3.1 网管中心服务器存储、备份及恢复安全策略- 8 -5.3.2 各部门服务器和客户端存储、备份及恢复安全策略- 9 -5.3.3 电源备份安全策略- 9 -5.3.4 病毒威胁安全策略- 9 -5.3.5 应急响应策略- 9 -5.3.6 运行策略- 9 -5.4信息安全策略-10 -5.4.1 身份认证策略- 10 -5.4.2 访问控制策略- 11 -5.4.3 安全审计策略- 11 -5.4.4 信息加密与电磁泄漏防护策略- 11 -5.4.5 系统安全性能检测策略- 12 -5.4.6 边界安全防护策略- 12 -6 、安全防护体系- 14 -7、安全运行体系设计- 17 -7.1安全存储与备份、恢复-187.2增加UPS 后备电源-187.3计算机病毒防治-187.4完善应急响应措施- 187.5完善运行管理措施- 19-8、信息安全保密体系设计208.1身份认证解决措施208.2访问控制解决措施208.3安全审计解决措施218.4信息加密与电磁泄漏防护解决方案218.5系统安全性能检测解决措施228.6边界安全保护解决措施22 9. 安全管理体系设计2210、建设实施内容2311、工程计划2612、结语271、概述1.1任务的由来根据国家保密局《关于印发<“十二五”期间全国保密系统信息化建设规划>的通知》要求，按照《全国保密综合业务信息系统建设总体方案》及涉密信息系统分级保护的相关标准，结合党委系统办公的有关要求，制定此方案。
1.2任务的范围本次任务是编写大连市保密局综合业务系统建设方案。
航天天绘科技有限公司涉密计算机及信息系统安全策略文件1 概述涉密计算机及信息系统安全策略文件属于顶层的管理文档，是公司网络与信息安全保障工作的出发点和核心，是公司计算机与信息系统安全管理和技术措施实施的指导性文件。
涉密计算机及信息系统安全策略文件是公司计算机和信息系统全体管理和使用人员必须遵循的信息安全行为准则，由公司信息安全管理部门制订及解释，由公司保密委员会审批发布，并由信息安全管理部门组织公司全体人员学习与贯彻。
公司涉密计算机及信息系统涉及到存储、传输、处理国家秘密、公司商业秘密和业务关键信息，关系到公司的形象和公司业务的持续运行，必须保证其安全。
因此，必须从技术、管理、运行等方面制定确保涉密计算机和信息系统持续可靠运行的安全策略，做好安全保障。
本策略文件主要内容包括：人员安全、资产分类与控制、物理和环境安全、系统开发和维护、访问控制、个人计算机安全、风险管理、业务持续性管理与灾难恢复、计算机与网络运行管理、遵循性等十个方面。
2 适用范围2.1本策略所称的涉密计算机和信息系统指公司所有通过计算机及信息系统存贮、处理或传输的信息及存贮、处理或传输这些信息的硬件、软件及固件。
2.2本策略适用于与公司涉密计算机及信息系统相关的所有部门及人员。
3 目标制定涉密计算机及信息系统安全策略的目标就是确保公司掌握的国家秘密、公司商业秘密和业务关键信息的安全性，并通过一系列预防措施将信息安全可能受到的危害降到最低。
信息安全管理应在确保信息和计算机受到保护的同时，确保计算机和信息系统能够在允许的范围内正常运行使用。
同时，本策略的目的也是让所有员工能够了解信息安全问题以及明确各自的信息安全职责，严格遵守本安全策略，并遵守国家相关的计算机或信息安全法律要求。
4 组织4.1保密委员会是计算机及信息系统安全管理的领导机关，负责领导信息安全管理体系的建立和信息安全管理的实施，主要包括：◆提供清晰的指导方向，可见的管理支持，明确的信息安全职责授权；◆审查、批准信息安全策略和岗位职责；◆审查业务关键安全事件；◆批准增强信息安全保障能力的关键措施和机制；◆保证必要的资源分配，以实现数据有效性以及信息安全管理体系的持续发展。
4.2信息安全管理部门具体负责建立和维持信息安全管理体系，协调相关活动，主要承担如下职责：◆调整并制定所有必要的信息安全管理规程、制度以及实施指南等；◆提议并配合执行信息安全相关的实施方法和程序，如风险评估、信息管理分层等；◆主动采取部门内的信息安全措施，如安全意识培训及教育等；◆配合执行新系统或服务的特殊信息安全措施；◆审查对信息安全策略的遵循性；◆配合并参与安全评估事项；◆根据信息安全管理体系的要求，定期向上级主管领导和保密委员会报告。
5 分层管理与控制5.1公司计算机及信息系统管理分为涉密计算机管理、内部网络（局域网）及计算机信息管理、互联网计算机信息管理三个管理层次。
5.2 涉密计算机只能处理涉及国家秘密的信息，实行物理隔离管理，只能由公司涉密人员使用，由公司保密员管理。
涉密计算机信息数据必须被保护以防止被泄漏、破坏或修改。
5.3 内部网络（局域网）及计算机配置加密管理措施，与互联网隔离，配置保密管理措施，只能通过局域网传输、储存技术文档、软件等涉及公司商业机密信息。
上述信息必须定期备份进行保护，以免破坏和非授权修改。
5.4 互联网计算机主要处理来自于外部资源的普通信息，配置上网行为管理措施，同样在信息安全防护上进行安全考虑。
5.5上述计算机及信息系统根据分层次管理的要求应当依据其分类进行物理标记。
6 人员安全策略为避免信息遭受人为过失、窃取、欺骗、滥用的风险，应当识别计算机及信息系统系统内部每项工作的信息安全职责并补充相关的程序文件。
公司全体人员都应该了解计算机及系统的网络与信息安全需求，公司必须为全体人员提供足够的培训以达到该安全目的，并为他们提供报告安全事件和威胁的渠道。
6.1工作定义及资源的安全工作人员从事或离开岗位时必须进行信息安全考虑，相关的安全事项必须包括在工作描述或合同中。
包括：◆对涉及访问秘密或关键信息，或者访问处理这些信息的系统的工作人员应进行严格审查和挑选；◆对信息系统具有特殊访问权限的工作人员应该签署承诺，保证不会滥用权限；◆当工作人员离开公司时应该移交信息系统的访问权限，或工作人员在公司内部更换工作岗位时应该重新检查并调整其访问权限。
6.2员工培训公司全体人员应了解计算机及信息系统的安全需求，并对如何安全地使用信息及相关系统和工具、信息安全策略和相关管理规定接受培训，熟悉信息安全的实施并加强安全意识。
6.3事件报告必须建立有效的信息反馈渠道，以便于公司人员一旦发现安全威胁、事件和故障，能及时向有关领导报告。
6.4信息处理设备可接受的使用策略公司禁止工作人员滥用计算机及信息系统的计算机资源，仅为工作人员提供工作所需的信息处理设备。
公司所有人员对系统网络和计算资源的使用（包括访问互联网）都必须遵守计算机及信息系统的安全策略和标准及所有适用的法律。
公司的计算机及信息系统应能防止使用人员连接到访问含有色情、种族歧视及其他不良内容的网站及某些非业务网站。
包括但不限于以下例子是不可接受的使用行为：◆使用信息系统资源故意从事影响他人工作和生活的行为。
◆工作人员通过信息系统的网络服务及设备传输、存储任何非法的、有威胁的、滥用的材料。
◆任何工作人员使用信息系统的计算机工具、设备和互联网访问服务来从事用于个人获益的商业活动（如炒股）。
◆工作人员使用信息系统服务来参与任何政治或宗教活动。
◆在没有信息安全管理部门的事先允许或审批的情况下，工作人员在使用的计算机中更改或安装任何类型的计算机软件和硬件。
◆在没有信息安全管理部门的事先允许或审批的情况下，工作人员拷贝、安装、处理或使用任何未经许可的软件。
6.5处理从互联网下载的软件和文件必须使用病毒检测软件对所有通过互联网（或任何其他公网）从信息系统之外的途径获得的软件和文件进行检查，同时，在获得这些软件和文件之前，信息安全管理部门必须研究和确认使用这些工具的必要性。
6.6工作人员保密协议公司所有人员必须在开始工作前，亲自签订计算机及信息系统保密协议。
6.7知识产权权利尊重互联网上他人的知识产权。
公司工作人员在被雇佣期间使用公司系统资源开发或设计的产品，无论是以何种方式涉及业务、产品、技术、处理器、服务或研发的资产，都是公司的专有资产。
7 物理和环境安全策略计算机信息和其他用于存储、处理或传输信息的物理设施，例如硬件、磁介质、电缆等，对于物理破坏来说是易受攻击的，同时也不可能完全消除这些风险。
因此，应该将这些信息及物理设施放置于适当的环境中并在物理上给予保护使之免受安全威胁和环境危害。
7.1安全区域根据信息安全的分层管理，应将支持涉密信息或关键业务活动的信息技术设备放置在安全区域中。
安全区域应当考虑物理安全边界控制及有适当的进出控制措施保护，安全区域防护等级应当与安全区域内的信息安全等级一致，安全区域的访问权限应该被严格控制。
7.2设备安全对支持涉密信息或关键业务过程（包括备份设备和存储过程）的设备应该适当地在物理上进行保护以避免安全威胁和环境危险。
包括：◆设备应该放置在合适的位置或加强保护，将被如水或火破坏、干扰或非授权访问的风险降低到可接受的程度。
◆对涉密信息或关键业务过程的设备应该进行保护，以免受电源故障或其他电力异常的损害。
◆对计算机和设备环境应该进行监控，必要的话要检查环境的影响因素，如温度和湿度是否超过正常界限。
◆对设备应该按照生产商的说明进行有序地维护。
◆安全规程和控制措施应该覆盖该设备的安全性要求。
◆设备包括存储介质在废弃使用之前，应该删除其上面的数据。
7.3物理访问控制信息安全管理部门应建立访问控制程序，控制并限制所有对计算计及信息系统计算、存储和通讯系统设施的物理访问。
应有合适的出入控制来保护安全场所，确保只允许授权的人员进入。
必须仅限公司工作人员和技术维护人员访问公司办公场所、布线室、机房和计算基础设施。
7.4建筑和环境的安全管理为确保计算机处理设施能正确的、连续的运行，应至少考虑及防范以下威胁：偷窃、火灾、温度、湿度、水、电力供应中断、爆炸物、吸烟、灰尘、振动、化学影响等。
必须在安全区域建立环境状况监控机制，以监控厂商建议范围外的可能影响信息处理设施的环境状况。
应在运营范围内安装自动灭火系统。
定期测试、检查并维护环境监控警告机制，并至少每年操作一次灭火设备。
7.5保密室、计算机房访问记录管理保密室、计算机房应设立物理访问记录，信息安全管理部门应定期检查物理访问记录本，以确保正确使用了这项控制。
物理访问记录应至少保留12个月，以便协助事件调查。
应经信息安全管理部门批准后才可以处置记录，并应用碎纸机处理。
8计算机和网络运行管理策略计算机和信息系统所拥有的和使用的大多数信息都在计算机上进行处理和存储。
为了保护这些信息，需要使用安全且受控的方式管理和操作这些计算机，使它们拥有充分的资源。
由于公司计算机和信息系统采用三层管理模式，不排除联接到外部网络，计算机和信息系统的运行必须使用可控且安全的方式来管理，网络软件、数据和服务的完整性和可用性必须受到保护。
8.1操作规程和职责应该制定管理和操作所有计算机和网络所必须的职责和规程，来指导正确的和安全的操作。
这些规程包括：◆数据文件处理规程，包括验证网络传输的数据；◆对所有计划好的系统开发、维护和测试工作的变更管理规程；◆为意外事件准备的错误处理和意外事件处理规程；◆问题管理规程，包括记录所有网络问题和解决办法（包括怎样处理和谁处理）；◆事故管理规程；◆为所有新的或变更的硬件或软件，制定包括性能、可用性、可靠性、可控性、可恢复性和错误处理能力等方面的测试/评估规程；◆日常管理活动，例如启动和关闭规程，数据备份，设备维护，计算机和网络管理，安全方法或需求；◆当出现意外操作或技术难题时的技术支持合同。
8.2操作变更控制对信息处理设施和系统控制不力是导致系统或安全故障的常见原因，所以应该控制对信息处理设施和系统的变动。
应落实正式的管理责任和措施，确保对设备、软件或程序的所有变更得到满意的控制。
8.3介质的处理和安全性应该对计算机介质进行控制，如果必要的话需要进行物理保护：◆可移动的计算机介质应该受控；◆应该制定并遵守处理包含机密或关键数据的介质的规程；◆与计算相关的介质应该在不再需要时被妥善废弃。
8.4鉴别和网络安全鉴别和网络安全包括以下方面：◆网络访问控制应包括对人员的识别和鉴定；◆用户连接到网络的能力应受控，以支持业务应用的访问策略需求；◆专门的测试和监控设备应被安全保存，使用时要进行严格控制；◆通过网络监控设备访问网络应受到限制并进行适当授权；◆应配备专门设备自动检查所有网络数据传输是否完整和正确；◆应评估和说明使用外部网络服务所带来的安全风险；◆根据不同的用户和不同的网络服务进行网络访问控制；◆对IP地址进行合理的分配；◆关闭或屏蔽所有不需要的网络服务；◆隐藏真实的网络拓扑结构；◆采用有效的口令保护机制，包括：规定口令的长度、有效期、口令规则或采用动态口令等方式，保障用户登录和口令的安全；◆应该严格控制可以对重要服务器、网络设备进行访问的登录终端或登录节点，并且进行完整的访问审计；◆严格设置对重要服务器、网络设备的访问权限；◆严格控制可以对重要服务器、网络设备进行访问的人员；◆保证重要设备的物理安全性，严格控制可以物理接触重要设备的人员，并且进行登记；◆对重要的管理工作站、服务器必须设置自动锁屏或在操作完成后，必须手工锁屏；◆严格限制进行远程访问的方式、用户和可以使用的网络资源；◆接受远程访问的服务器应该划分在一个独立的网络安全区域；◆安全隔离措施必须满足国家、行业的相关政策法规。
