安全运维管理山西省信息化和信息安全评测中心被测系统详细信息系统名称重要等级主要用途负责人评估人员评估日期签字确认IP地址安全运维管理山西省信息化和信息安全评测中心被测系统详细信息控制点测评项测评对象7.1.10.1 环境管理a) 应指定专门的部门或人员负责机房安全，对机房出入进行管理，定期对机房供配电、空调、温湿度控制、消防等设施进行维护管理； 物理安全负责人和记录表单类文档b) 应建立机房安全管理制度，包括物理访问、物品进出和环境安全等方面； 管理制度类文档和记录表单类文档c) 应不在重要区域接待来访人员，不随意放置含有敏感信息的纸档文件和移动介质等。 管理制度类文档和办公环境7.1.10.2 资产管理应编制并保存与保护对象相关的资产清单，包括资产责任部门、重要程度和所处位置等内容。 记录表单类文档7.1.10.3 介质管理a) 应将介质存放在安全的环境中，对各类介质进行控制和保护，实行存储环境专人管理，并根据存档介质的目录清单定期盘点； 资产管理员和记录表单类文档b) 应对介质在物理传输过程中的人员选择、打包、交付等情况进行控制，并对介质的归档和查询等进行登记记录。 资产管理员和记录表单类文档7.1.10.4 设备维护管理a) 应对各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理；设备管理员和管理制度类文档b) 应建立配套设施、软硬件维护方面的管理制度，对其维护进行有效的管理，包括明确维护人员的责任、维修和服务的审批、维修过程的监督控制等。管理制度类文档和记录表单类文档系统管理员安全管理员7.1.10.5 漏洞和风险管理应采取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补。记录表单类文档7.1.10.6 网络和系统安全管理a) 应划分不同的管理员角色进行网络和系统的运维管理，明确各个角色的责任和权限； 记录表单类文档b) 应指定专门的部门或人员进行账户管理，对申请账户、建立账户、删除账户等进行控制； 运维负责人和记录表单类文档c) 应建立网络和系统安全管理制度，对安全策略、账户管理、配置管理、日志管理、日常操作、升级与打补丁、口令更新周期等方面作出规定； 管理制度类文档d) 应制定重要设备的配置和操作手册，依据手册对设备进行安全配置和优化配置等； 操作规程类文档e) 应详细记录运维操作日志，包括日常巡检工作、运行维护记录、参数的设置和修改等内容。 记录表单类文档7.1.10.7 恶意代码防范管理a) 应提高所有用户的防恶意代码意识，对外来计算机或存储设备接入系统前进行恶意代码检查等； 运维负责人和管理制度类文档b)应对恶意代码防范要求做出规定，包括防恶意代码软件的授权使用、恶意代码库升级、恶意代码的定期查杀等；管理制度类文档c) 应定期检查恶意代码库的升级情况，对截获的恶意代码进行及时分析处理。安全管理员和记录表单类文档7.1.10.8 配置管理应记录和保存基本配置信息，包括网络拓扑结构、各个设备安装的软件组件、软件组件的版本和补丁信息、各个设备或软件组件的配置参数等； 7.1.10.9 密码管理a) 应遵循密码相关国家标准和行业标准； 安全管理员运维负责人层面得分7.1.10.9 密码管理b) 应使用国家密码管理主管部门认证核准的密码技术和产品。 7.1.10.10 变更管理应明确变更需求，变更前根据变更需求制定变更方案，变更方案经过评审、审批后方可实施。 记录表单类文档7.1.10.11 备份与恢复管理a) 应识别需要定期备份的重要业务信息、系统数据及软件系统等； 系统管理员和记录表单类文档b) 应规定备份信息的备份方式、备份频度、存储介质、保存期等； 管理制度类文档c) 应根据数据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略、备份程序和恢复程序等。 管理制度类文档7.1.10.12 安全事件处置a) 应及时向安全管理部门报告所发现的安全弱点和可疑事件； 运维负责人和记录表单类文档b) 应制定安全事件报告和处置管理制度，明确不同安全事件的报告、处置和响应流程，规定安全事件的现场处理、事件报告和后期恢复的管理职责等； 管理制度类...
