e)应实现设备的最小服务配置，并对配置文件进行定期离线备份;

f）应保证所有与外部系统的连接均得到授权和批准;

g)应依据安全策略允许或者拒绝便携式和移动式设备的网络接入;

h)应定期检查违反规定拨号上网或其他违反网络安全策略的行为。

7.2。5.7系统安全管理（G3)

本项要求包括：

a)应根据业务需求和系统安全分析确定系统的访问控制策略；

b）应定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补;

c）应安装系统的最新补丁程序，在安装系统补丁前，首先在测试环境中测试通过，并对重要文件进行备份后,方可实施系统补丁程序的安装;

d）应建立系统安全管理制度,对系统安全策略、安全配置、日志管理和日常操作流程等方面作出具体规定；

e)应指定专人对系统进行管理，划分系统管理员角色,明确各个角色的权限、责任和风险，权限设定应当遵循最小授权原则；

f）应依据操作手册对系统进行维护，详细记录操作日志,包括重要的日常操作、运行维护记录、参数的设置和修改等内容,严禁进行未经授权的操作；

g)应定期对运行日志和审计数据进行分析,以便及时发现异常行为.

7。2。5.8恶意代码防范管理(G3)

本项要求包括:

a)应提高所有用户的防病毒意识,及时告知防病毒软件版本,在读取移动存储设备上的数据以及网络上接收文件或邮件之前，先进行病毒检查，对外来计算机或存储设备接入网络系统之前也应进行病毒检查;

b）应指定专人对网络和主机进行恶意代码检测并保存检测记录;

c)应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确规定；

d）应定期检查信息系统内各种产品的恶意代码库的升级情况并进行记录,对主机防病毒产品、防病毒网关和邮件防病毒网关上截获的危险病毒或恶意代码进行及时分析处理，并形成书面的报表和总结汇报.

7.2。5.9密码管理（G3)

应建立密码使用管理制度，使用符合国家密码管理规定的密码技术和产品。

7。2。5。10变更管理（G3)

本项要求包括:

a）应确认系统中要发生的变更，并制定变更方案；

b）应建立变更管理制度，系统发生变更前，向主管领导申请，变更和变更方案经过评审、审批后方可实施变更，并在实施后将变更情况向相关人员通告；

c)应建立变更控制的申报和审批文件化程序,对变更影响进行分析并文档化，记录变更实施过程，并妥善保存所有文档和记录；

d）应建立中止变更并从失败变更中恢复的文件化程序,明确过程控制方法和人员职责，必要时对恢复过程进行演练。

7。2.5.11备份与恢复管理（G3）

本项要求包括:

a)应识别需要定期备份的重要业务信息、系统数据及软件系统等；

b)应建立备份与恢复管理相关的安全管理制度,对备份信息的备份方式、备份频度、存储介质和保存期等进行规范;

c）应根据数据的重要性和数据对系统运行的影响,制定数据的备份策略和恢复策略,备份策略须指明备份数据的放置场所、文件命名规则、介质替换频率和将数据离站运输的方法;

d)应建立控制数据备份和恢复过程的程序,对备份过程进行记录,所有文件和记录应妥善保存;

e）应定期执行恢复程序，检查和测试备份介质的有效性,确保可以在恢复程序规定的时间内完成备份的恢复。

7.2.5.12安全事件处置（G3）

本项要求包括：

a)应报告所发现的安全弱点和可疑事件,但任何情况下用户均不应尝试验证弱点；

b）应制定安全事件报告和处置管理制度,明确安全事件的类型,规定安全事件的现场处理、事件报告和后期恢复的管理职责;

c)应根据国家相关管理部门对计算机安全事件等级划分方法和安全事件对本系统产生的影响,对本系统计算机安全事件进行等级划分;

d)应制定安全事件报告和响应处理程序，确定事件的报告流程,响应和处置的范围、程度，以及处理方法等；