57网络安全管理办法.docx

1、57网络安全管理办法网络安全管理办法修订记录版本编号修订日期主要修订摘要审核记录审核人员属于部门审核日期第一章 总则第一条 为了保证公司网络系统安全、持续和稳健运行，根据国家相关法律以及相关文件要求，特制定本管理办法。第二条 本管理办法所称的网络系统，是指由投资购买或租用，由信息中心负责维护和管理的网络系统，主要包括网络主、辅节点设备，配套的网络线缆设施，以及由网络服务器、工作站构成的，提供网络应用及服务的硬件、软件的集成系统。第三条 网络系统设备管理维护工作由信息中心负责，信息中心可以委托相关单位指定人员代为管理子节点设备。任何单位和个人，未经信息中心同意，不得擅自安装、拆卸或改变网络设备。

2、任何单位和个人，不得利用联网计算机、终端从事侵入、危害网络、服务器、工作站的活动。第四条 本管理办法适用于第二章 组织机构与职责第五条 信息中心是网络建设和管理的执行机构。其职责是：为网建设和发展制订整体规划；负责组织实施已经批准施行的网络建设计划；负责网络的运行维护管理；为全公司网络用户提供服务、培训和咨询；跟踪引进先进网络技术；负责网络的运行畅通、设备的运行维护、信息数据的安全保密工作；负责建立的网络设备档案；负责对网络安全事件进行风险识别、评估、监测和出具相关报告材料；制定网络的相关管理办法。第六条 XX部负责人员岗位变动情况的审核。XX部负责对网络管理办法执行情况进行监督、检查。XX部

3、负责网络安全事件报送监管机构相关事项。第七条 发起风险评估的责任主体包括网络安全工作管理职能部门各支撑系统维护部门，如综合管理部门、业务支撑部门、管理信息系统部门等等。接受安全风险评估的部门应参与制定安全风险评估计划及评估方案，了解评估可能造成的影响及规避措施，配合实施安全风险评估工作。参与安全风险评估人员应严格遵守公司保密管理规定，对接触到的敏感信息、漏洞情况等严格保密。如委托第三方进行风险评估，应选择符合国家和公司要求的风险评估服务机构，并在与之签订的协议中，明确保密要求及禁止利用中提供的权限、信息进行其它破坏性或者信息刺探等非法活动，保障公司及客户利益。第三章 网络结构管理第八条 网络划

4、分为业务网、办公网、开发网、互联网等四个子网。各子网之间实行安全隔离，各子网内的服务器、终端之间不允许跨网访问，各子网内的终端严禁混用及跨网访问，以提高网络管理平台数据的安全。第九条 开发网为封闭式子网，主要使用人员为和合作单位的开发人员；开发人员必须使用提供的固定开发终端和固定IP地址进行开发工作，严禁在开发网内使用自带笔记本电脑和移动存储介质；开发人员严禁接触生产环境，开发产品源代码需由开发人员提交给代码审核人员进行审核后，交由产品维护人员进行上传更新；采用的安全措施包括防病毒软件、IPS、防火墙等。第四章 网络安全管理第十条 为保障网络设备的安全、稳定运行，机房必须建立相应的接地、防雷、

5、防火、防水设施和UPS、柴油发电机等后备电源设备，并符合相关国家标准。第十一条 网络管理员负责网络的运行管理，实施网络安全策略和安全运行细则。第十二条 网络管理员应制定周密的切实可靠的网络备份和应急恢复方案，防止由于网络设备系统崩溃、硬件损坏等原因而引起业务中断。重要核心网络设备必须采用“双机热备”的方式，非核心网络设备可采用一备多的“冷备”的方式。第十三条网络管理员应定期对中心机房网络设备进行巡检，监测网络设备的物理稳定性和系统稳定性，进行系统日志审计，并对系统状况及安全事件进行分析，制定相应的维护策略。第十四条 网络设备发生故障，网络管理员应本着先抢通业务、后排除故障的原则按照规定流程排除

6、故障，并填写设备故障报告表，遇到重大故障时应及时上报领导，事后编写故障分析报告。第十五条 网络管理员应负责落实、实施涉及网络设备的密码管理机制。第十六条 针对服务器、网络设备、网络安全设备应建立相应的日志服务器，历史记录保持时间不得低于12个月；重要服务器、网络设备、网络安全设备日志应建立日志备份机制。第十七条 任何人不得利用各种网络设备或软件技术从事用户帐户及口令的侦听、盗用活动，不得使用任何非法手段获取他人信息。第十八条网络设备、服务器等发生破坏案件，或遭到黑客攻击，如该案件影响到公司重要信息系统的正常运行，信息中心负责突发事件应急处置工作并在事发后二十分钟内将事件报备XX部。第十九条网络

7、管理员定期对配置文件进行离线备份，在配置变更前、变更后分别对网络设备的配置文件进行备份。第五章 网络接入管理第二十条 网络接入应符合“谁主管、谁负责，谁接入、谁负责”总体原则，遵从“基于需求”、“集中化”、“标准化”及“可控”等具体原则。通过规范申请、审批等过程，实现安全的网络互联。第二十一条 各部门或个人不得擅自将计算机终端设备接入网络，必须向信息中心提交IP地址申请表（附录），由信息中心审核申请，统一分配IP地址，将IP地址与MAC地址绑定。网络用户必须严格使用分配的IP地址，不得擅自更改。第二十二条 生产网、办公网、开发网内客户端必须安装防病毒软件及网络准入控制软件，用户不得擅自更改或删

8、除安装的网络服务软件。如重新安装操作系统，应及时向信息中心申请重新安装网络服务软件。第二十三条 员工因工作调动或离职时，其所在单位应负责将其所使用的计算机名、IP地址、用户名、登录密码、邮箱等信息以书面形式提交人力资源部审核，由信息中心相关人员核实、变更并登记备案。第二十四条 外来人员未经许可不得使用网络资源，如需访问内网，由相关接待部门填写外来计算机及存储设备接入申请表（附件2）并经主管领导审批后向信息中心申请。第二十五条 未经信息中心许可，任何单位和个人不得非法私自将非计算机接入公司网络或擅自接纳网络用户。第二十六条未经信息中心允许，不得共享计算机内的各种资源；不得对计算机网络功能进行删除

9、、修改或者增加；不得对计算机网络中存储、处理或者传输的数据和应用程序进行删除、修改或者增加。第二十七条 严禁使用办公电脑和网络在线观看及下载电影、电视剧、游戏等较大的数据文件，禁止玩各类网络游戏、挂游戏外挂等。第六章 互联网上网管理第二十八条公司建设互联网接入必须提前提交互联网申请表（附件3），经信息中心审批后方可开始实施；第二十九条 公司互联网出口必须部署防火墙等安全防护设备，接入互联网的电脑必须经过许可，并且安装防病、毒防火墙等安全防护软件。 第三十条 公司上互联网电脑严禁接入到公司的办公网、生产网以及通过移动介质拷贝文件至办公电脑和业务终端；第三十一条 公司上互联网电脑不得存储国家密级文

10、件及公司重要文件，各单位要按照国家关于互联网上网信息安全有关规定，加强对本单位互联网上网电脑的管理，不得利用互联网泄露公司商业秘密和损害公司的利益，对于出现的违法违纪行为，公司将根据有关规定追究有关单位和当事人的责任。第三十二条 公司互联网接入的目的是为了加强与外界的合作与交流。因此任何人不得在上网电脑上玩网络游戏、聊天、浏览非法网站和下载软件、音乐、电影等，如因以上原因引起计算机系统染毒、系统崩溃而延误工作造成损失的，上网者将受纪律处分并负责对电脑进行修复。第三十三条 公司员工上网应当遵守有关法律、法规的规定，加强自律，开展文明、健康的上网活动。严禁利用单位网络传播病毒，危害公司网络安全；制

11、作、下载、复制、查阅、发布、传播或以其他方式使用反动、淫秽色情等有害信息；第七章 安全加固及补丁管理第三十四条 供应商和集成商需在服务期内及时为设备和系统安装操作系统、数据库、中间件等第三方软件的安全补丁，保证系统不出现CVE高风险漏洞。第三十五条 供应商和集成商需在安全补丁安装前完成与设备或系统的兼容性测试。如果出现不能兼容的情况，供应商和集成商必须免费对现有程序、应用进行修改和升级，或者免费提供额外的安全措施，以保证安全性。第三十六条 供应商和集成商在系统验收前，必须对系统进行安全加固，并提交加固报告，并遵循第四章所提供的安全验收标准，进行安全验收。集成商必须保证提供的系统上不存在任何CV

12、E高风险漏洞。如在验收后发现CVE高风险漏洞，集成商和厂商应立即免费进行升级和加固。第八章 帐号口令及日志审计管理第三十七条 所有网络设备均需要支持基于帐号的访问控制功能，并对口令文件提供妥善的保护。第三十八条各网络设备应能保存帐号增删、配置更改、权限更改、重要操作和登陆信息等有关安全内容的日志。该日志的保存期限应不小于2年。如果因容量限制无法满足该要求，应将日志定期导出，采用其他手段进行保存。第三十九条 网络管理员管理应定期对运行日志、网络监控记录的日常维护和报警信息进行分析和处理。第四十条 如某些网络设备自身账号口令管理以及日志审计功能不能满足相关技术要求，需配套相应的外部安全设备以满足相

13、应的安全技术要求。第四十一条 各网络设备在认证方面支持双要素认证接口。 第十章 网络升级与漏洞扫描管理第四十二条 持续跟踪厂商提供的网络设备的软件升级更新情况，在经过充分的测试评估后对必要的补丁进行更新，并在更新前对现有的重要文件进行备份。第四十三条 每季度至少进行一次漏洞扫描，对漏洞风险持续跟踪，在经过充分的验证测试后对必要的漏洞开展修补工作。第四十四条 实施漏洞扫描或漏洞修补前，应对可能的风险进行评估和充分准备,如选择恰当时间，并做好数据备份和回退方案。第四十五条 漏洞扫描或漏洞修补后应进行验证测试，以保证网络系统的正常运行。第十一章 附则第四十六条 本管理办法由信息中心负责解释。第四十七

14、条 本管理办法自发布之日起执行。附录1：IP地址申请表IP地址申请表编号： 时间：基本信息：单位名称联系人姓名员工编号电话使用人姓名员工编号电话计算机放置位置申请原因接入网络办公网 生产网 互联网填制单位意见：签字/盖章：日期：信息技术部意见：签字/盖章：日期：附录2：外来计算机及存储设备接入申请表外来计算机及存储设备接入申请表编号： 日期：申请部门及人员申请日期公司陪同人员来访单位及使用人员拟接入计算机型号拟接入计算机操作系统接入事由申请接入时段申请接入的网络防病毒软件病毒库更新日期审批记录接入前病毒检查结果安全检查记录安全管理员签名接入时间离开时间备注附录3：互联网申请表互联网申请表编号：

15、 时间：申请部门申请部门意见（签字盖章） 日期:上网负责人联系电话座机：手机：申请上网电脑数（台）申请上网帐号数(笔记本用户)上网需求详情申请理由：所需上网功能要求： 所需上网时间段:办公室意见（签字盖章） 日期:信息技术部意见： （签字盖章） 日期:技术部门主管行领导意见： 日期:附件1-2外来人员网络申请表基本信息接待单位名称 联系人姓名员工编号电话外单位名称办公场所地址外单位人员姓名使用设备笔记本 台式机电话笔记本 台式机电话笔记本 台式机电话笔记本 台式机电话申请原因主要用途使用时限从 年 月 日至 年 月 日填制单位意见：签字/盖章：日期：主管行长意见： 签字/盖章： 日期：信息中心

16、意见：签字/盖章：日期：附件1-3网络互联申请表申请单位名称联系人姓名联系电话对方单位联系人姓名联系电话对方单位通讯地址互联接入方式(通讯线路类型)互联业务描述(如访问哪些数据、进行什么维护等等)互联方案描述（包括互联双方系统名称、IP地址或者地址段、申请方端口协议等相关信息）详细方案附后互联变更记录（包括首次互联接入及各次互联变更的时间、申请表/变更申请表编号）申请互联有效期：填制单位意见： 签字/盖章：日期：主管行长意见： 签字/盖章： 日期：信息中心意见：签字/盖章：日期：附件1-4入网申请表基本信息单位名称 单位地址联系人姓名员工编号电话入网原因入网类别新装 移机入网要求办公网 生产网网络设备已到位 采购中竣工时限填制单位意见：签字/盖章：日期：信息中心意见：签字/盖章：日期：注：各分、支行新开网点或进行网点搬迁时要求提前二十天填写入网申请表；附件1-5远程接入申请表基本信息单位名称 使用人姓名员工编号电话远程接入原因接入类别远程维护 远程代办业务 离行办公接入时限从 年 月 日至 年 月 日接入地点 填制单位意见：签字/盖章：日期：主管行领导意见：签字/盖章：日期：信息中心意见：签字/盖章：日期：注：各分、支行新开网点或进行网点搬迁时要求提前二十天填写入网申请表；