基层单位信息系统安全等级保护三级管理制度-环境和资源管理管理

版本号：1.0. xxxx

信息系统环境和资源管理规定

第一章 总则

第一条 为了进一步规范我单位信息系统环境安全管理和资源管理工作，根据《信息安全等级保护管理办法》、《信息系统安全管理要求》（GBT 20269-2006）和其他有关法律法规的规定，结合本单位实际，特制定本规定。

第二条 本规定适用于我单位信息系统安全管理人员和技术人员进行信息系统环境安全管理和资源管理工作，包括机房安全管理、办公环境安全管理、资产清单管理、资产的分类与标识、介质管理、设备管理。

第三条 信息系统环境安全管理和资源管理的责任部门为我单位信息系统安全管理中心。

第二章 机房安全管理

第四条 信息系统中心机房的设备区为最高一级保护区域，监控区为二级保护区域，在各区门口上方设置醒目标志，提醒未经允许禁止入内。

第五条 明确机房安全管理的责任人，在监控区设置醒目牌子，标示责任人及轮流值班人员的姓名；机房出入应有指定人员负责，未经允许的人员不准进入机房；获准进入机房的来访人员，其活动范围应受到限制，并有接待人员陪同。

第六条 机房钥匙由专人管理，未经批准，不准任何人私自复制机房钥匙或服务器开机钥匙；没有指定管理人员的明确准许，任何记录介质、文件材料及各种被保护品均不准带出机房，与工作无关的物品均不准带入机房；机房内严禁吸烟及带入火种和水源。

第七条 所有来访人员应经过正式批准，登记记录应妥善保存以备查；获准进入机房的来访人员，一般应禁止携带个人计算机等电子设备进入机房，其活动范围和操作行为应受到限制，并有机房接待人员负责和陪同。

第八条 任何进出机房的人员应经过门禁设施的监控和记录，应有防止绕过门禁设施的手段；门禁系统的电子记录应妥善保存以备查；进入机房的人员应佩戴相应证件；未经批准，禁止任何物理访问；未经批准，禁止任何人移动计算机

相关设备或带离机房。

第三章 办公环境安全管理

第九条 设置有网络终端的办公环境，是信息系统环境的组成部分，应防止利用终端系统窃取敏感信息或非法访问；工作人员下班后，终端计算机应关闭；存放敏感文件或信息载体的文件柜应上锁或设置密码；工作人员调离部门或更换办公室时，应立即交还办公室钥匙；设立独立的会客接待室，不在办公环境接待来访人员。

第十条 工作人员离开座位应将桌面上含有敏感信息的纸件文档放在抽屉或文件柜内；工作人员离开座位，终端计算机应退出登录状态、采用屏幕保护口令保护或关机。

第十一条 在关键区域或部位，应使相应的办公环境与机房的物理位置在一起，以便进行统一的物理保护。

第四章 资产清单管理

第十二条 应编制并维护与信息系统相关的资产清单，至少包括信息资产、软件资产、有形资产、应用业务相关资产、服务。

第十三条 应清晰识别每项资产的拥有权、责任人、安全分类以及资产所在的位置等。

第十四条 应清晰识别业务应用系统资产的拥有权、责任人、安全分类以及资产所在的位置等；必要时应该包括主要业务应用系统处理流程和数据流的描述，以及业务应用系统用户分类说明。

第五章 资产分类与标识管理

第十五条 应根据资产的价值、重要性、业务应用对资产进行分级和标识，以便可以基于资产的价值选择保护措施和进行资产管理等相关工作。

第十六条 应对信息资产进行分类管理，对信息系统内分属不同业务范围的各类信息，按其对安全性的不同要求分类加以标识。信息系统数据可以分为系统数据和用户数据两类；用户数据的应考虑自身保密性分类，如：国家秘密信息、其他秘密信息、专有信息、公开信息。

第十七条 以业务应用为主线，用体系架构的方法，通过对各个资产之间有

机的联系和关系的结构性描述信息资产。

第六章 介质管理

第十八条 对脱机存放的各类介质（包括信息资产和软件资产的介质）进行控制和保护，以防止被盗、被毁、被修改以及信息的非法泄漏；介质的归档和查询应有记录，对存档介质的目录清单应定期盘点，指定专人保管，借阅要经过审批和登记并限定借阅范围；介质应储放在安全的环境中防止损坏；对于需要送出维修或销毁的介质，应防止信息的非法泄漏。

第十九条 根据所承载的数据和软件的重要程度对介质进行标识和分类，存放在由专人管理的介质库中，防止被盗、被毁以及信息的非法泄漏；对存储保密性要求较高的信息的介质，其借阅、拷贝、传输须经信息保管部门的领导批准后方可执行，并登记在册；存储介质的销毁必须经批准并按指定方式进行，不得自行销毁；介质应保留2个以上的副本，而且要求介质异地存储，存储地的环境要求和管理方法应与本地相同。

第二十条 对重要介质的数据和软件必要时应加密存储；对重要的信息介质的分发传递采取保护措施；对于需要送出维修或销毁的介质，应首先删除信息，再重复写操作进行覆盖，防止数据恢复和信息泄漏。

第七章 设备管理

第二十一条 对于信息系统的各种软硬件设备的选型、采购、发放或领用，使用者应提出申请，报经相应领导审批，才可以实施；设备的选型、采购、使用和保管应明确责任人。

第二十二条 实行系统化管理，设备有专人负责，实行分类管理；通过对资产清单的管理，记录资产的状况和资产使用、转移、废弃及其授权过程，保证设备的完好率。

第二十三条 建立资产管理信息登记机制，对各种资产进行全面管理，提高资产安全性和使用效率；建立资产管理登记系统，提供资产分类标识、授权与访问控制、变更管理、系统安全审计等功能。

第八章 附则

第二十四条 本规定由单位信息安全领导小组负责解释。

第二十五条 违反本规定，发生信息安全事件的，按照事件造成的损失和后果，依据国家有关法律法规进行处罚。

第二十六条 本规定自发布之日起施行。