信息系统安全管理制度第一章 总则第一条 为保证本单位信息系统的操作系统和数据库系统的安全，根据《中华人民共和国计算机信息系统安全保护条例》，结合本单位系统建设实际情况，特制定本制度
第二条 本制度适用于本单位 XX 部门及所有系统使用部门和人员
第三条 XX 部门是本单位系统管理的责任主体，负责组织单位系统的维护和管理
第二章 系统安全策略第四条 XX 部门负责单位人员的权限分配，权限设定遵循最小授权原则
1) 管理员权限：维护系统，对数据库与服务器进行维护
系统管理员、数据库管理员应权限分离，不能由同一人担任
2) 普通操作权限:对于各个系统的使用人员,针对其工作范围给予操作权限
3) 查询权限：对于单位管理人员可以以此权限查询数据,但不能输入、修改数据
4) 特别操作权限：严格控制单位管理方面的特别操作，只将权限给予相关科室负责人，例如退费操作等
第五条 加强密码策略,使得普通用户进行鉴别时，假如输入三次错误口令将被锁定，需要系统管理员对其确认并解锁，此帐号才能够再使用
用户使用的口令应满足以下要求：-8 个字符以上；—使用以下字符的组合：a-z、A—Z、0—9,以及
＠＃$％^＆＊（）- +；-口令每三个月至少修改一次
第六条 定期安装系统的最新补丁程序，在安装前进行安全测试，并对重要文件进行备份
第七条 每月对操作系统进行安全漏洞扫描，及时发现最新安全问题，通过升级、打补丁或加固等方式解决
第八条 关闭信息系统不必要的服务
第九条 做好备份策略，保障系统故障时能快速的恢复系统正常并避开数据的丢失
第三章 系统日志管理第十一条 对于系统重要数据和服务器配值参数的修改，必须征得 XX 领导批准，并做好相应记录
第十二条 对各项操作均应进行日志管理，记录应包括操作人员、操作时间和操作内容等详细信息
第十三条 审计日志应包括但不局限于以下内容：包括重要用户行为、系统资源的
