網(wǎng)絡(luò)安全管理辦法

年4月19日網(wǎng)絡(luò)安全管理辦法文檔僅供參考《XXXX安全管理制度匯編》網(wǎng)絡(luò)安全管理辦法文件名稱網(wǎng)絡(luò)安全管理辦法密級內(nèi)部文件編號版本號V1.0編寫部門XXX部門編寫人審批人發(fā)布時(shí)間

目錄TOC\o"1-3"\h\z編制說明 3第一章總則 4第二章網(wǎng)絡(luò)安全要求 4第三章附則 7第一節(jié)文擋信息 7第二節(jié)版本控制 7第三節(jié)其它信息 7

編制說明為進(jìn)一步貫徹黨中央和國務(wù)院批準(zhǔn)的《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》及其“重點(diǎn)保護(hù)基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)安全”的思想、貫徹信息產(chǎn)業(yè)部“積極預(yù)防、及時(shí)發(fā)現(xiàn)、快速反應(yīng)、確保恢復(fù)”的方針和“同步規(guī)劃、同步建設(shè)、同步運(yùn)行”的要求，特制定本制度。本制度依據(jù)中國信息安全的有關(guān)法律法規(guī)，結(jié)合XXXX的自身業(yè)務(wù)特點(diǎn)、并參考國際有關(guān)信息安全標(biāo)準(zhǔn)制定的?！禭XXX安全管理制度匯編網(wǎng)絡(luò)安全管理辦法》加強(qiáng)了安全事件應(yīng)急響應(yīng)管理能力，規(guī)范安全事件應(yīng)急響應(yīng)流程，涉及的應(yīng)急響應(yīng)是指各系統(tǒng)發(fā)生嚴(yán)重和重大安全事件時(shí)應(yīng)啟用的應(yīng)急響應(yīng)管理。

總則制度目標(biāo)：為了加強(qiáng)信息安全保障能力，建立健全的安全管理體系，提高整體的網(wǎng)絡(luò)與信息安全水平，保證網(wǎng)絡(luò)通信暢通和業(yè)務(wù)系統(tǒng)的正常運(yùn)營，提高網(wǎng)絡(luò)服務(wù)質(zhì)量，在安全體系框架下，本制度為規(guī)范網(wǎng)絡(luò)安全的運(yùn)行維護(hù)，保護(hù)作為信息傳輸基礎(chǔ)的網(wǎng)絡(luò)基礎(chǔ)設(shè)施的安全，保障網(wǎng)絡(luò)服務(wù)的可用性和信息傳輸?shù)臋C(jī)密性。適用范圍：本制度由網(wǎng)絡(luò)與信息安全工作組制訂，適用于各部門使用的網(wǎng)絡(luò)中涉及網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)設(shè)計(jì)、運(yùn)行、邊界保護(hù)、監(jiān)控和審計(jì)方面的安全規(guī)定。本制度所述的網(wǎng)絡(luò)設(shè)備包括網(wǎng)絡(luò)設(shè)備和使用在網(wǎng)絡(luò)環(huán)境中的安全設(shè)備，如路由器、交換機(jī)、防火墻、入侵檢測系統(tǒng)及網(wǎng)絡(luò)監(jiān)控設(shè)備。使用人員及角色職責(zé)：本制度適用于安全管理員，部門安全管理員、安全技術(shù)人員及系統(tǒng)管理員。制度相關(guān)性：本制度涉及網(wǎng)絡(luò)的安全技術(shù)規(guī)范、安全檢查及監(jiān)控等管理辦法，同時(shí)遵照相關(guān)專業(yè)技術(shù)文檔。網(wǎng)絡(luò)安全要求各系統(tǒng)網(wǎng)絡(luò)設(shè)備當(dāng)前運(yùn)行配置文件應(yīng)和備份配置文件保持一致。各系統(tǒng)網(wǎng)絡(luò)設(shè)備的配置變更應(yīng)根據(jù)本辦法嚴(yán)格執(zhí)行。網(wǎng)絡(luò)設(shè)備登錄提示標(biāo)識應(yīng)適當(dāng)屏蔽內(nèi)部網(wǎng)絡(luò)信息內(nèi)容，并應(yīng)有相關(guān)合法性警告信息。各系統(tǒng)管理員應(yīng)每季度檢查網(wǎng)絡(luò)設(shè)備登錄方式的開放情況，關(guān)閉沒有使用的登錄方式。經(jīng)過設(shè)備日志或外部認(rèn)證設(shè)備維護(hù)對設(shè)備的登錄狀況，內(nèi)容應(yīng)當(dāng)包括訪問登錄時(shí)間，人員，成功登錄和失敗登錄時(shí)間和次數(shù)等信息。嚴(yán)格控制對網(wǎng)絡(luò)設(shè)備的管理授權(quán)。按照最小權(quán)限原則對用戶進(jìn)行授權(quán)。各系統(tǒng)網(wǎng)絡(luò)設(shè)備的密碼應(yīng)嚴(yán)格按照《XXXX安全管理制度匯編賬號、口令及權(quán)限管理辦法》執(zhí)行。各部門應(yīng)每季度收集設(shè)備運(yùn)行狀況，經(jīng)過運(yùn)行記錄和供應(yīng)商了解當(dāng)前已有設(shè)備的硬件/軟件缺陷，跟蹤設(shè)備缺陷的修復(fù)情況，及時(shí)向部門信息安全組織和信息安全工作組匯報(bào)，作為設(shè)備選型/廠商選擇的參考指標(biāo)。負(fù)責(zé)網(wǎng)絡(luò)設(shè)備維護(hù)的人員應(yīng)與網(wǎng)絡(luò)設(shè)備廠商保持暢通的溝通聯(lián)系，以便能及時(shí)從廠商處獲取必要的技術(shù)支持。嚴(yán)禁管理員透漏設(shè)備口令、SNMP字符串、設(shè)備配置文件等信息給未授權(quán)人員。所有網(wǎng)絡(luò)必須具有關(guān)于拓?fù)浣Y(jié)構(gòu)、所用設(shè)備、鏈路使用情況等關(guān)于網(wǎng)絡(luò)情況的詳細(xì)說明文檔，并保持文檔內(nèi)容和現(xiàn)有網(wǎng)絡(luò)、設(shè)備連接和鏈路信息保持一致。網(wǎng)絡(luò)應(yīng)具備冗余設(shè)計(jì)和規(guī)劃，實(shí)現(xiàn)基本的冗余配置，預(yù)防關(guān)鍵點(diǎn)的網(wǎng)絡(luò)故障。應(yīng)配備冗余鏈路、核心和匯聚層的冗余設(shè)備，配置冗余路由以充分保障網(wǎng)絡(luò)的可用性。對重要區(qū)域?qū)嵭欣鋫浞菖c熱備份相結(jié)合的方式，避免雙重失效造成的影響。網(wǎng)絡(luò)冗余措施應(yīng)根據(jù)預(yù)先制定的冗余配置、設(shè)備、線路等測試方案每季度進(jìn)行驗(yàn)證測試，以判別是否滿足冗余要求。網(wǎng)絡(luò)管理員或安全管理員對網(wǎng)絡(luò)鏈路應(yīng)進(jìn)行探測和監(jiān)控，并對已經(jīng)發(fā)生的安全事件進(jìn)行及時(shí)響應(yīng)和處理。重要部門在網(wǎng)絡(luò)上傳輸機(jī)密性要求高的信息時(shí)，必須啟用可靠的加密算法保證傳輸安全。在網(wǎng)絡(luò)中選擇和使用恰當(dāng)?shù)穆酚蓞f(xié)議，并正確地進(jìn)行配置和實(shí)施，保證網(wǎng)絡(luò)的互聯(lián)互通。由統(tǒng)一的IP地址管理機(jī)構(gòu)、人員負(fù)責(zé)對外部和內(nèi)部各個(gè)部門、人員的IP地址進(jìn)行規(guī)劃、登記、維護(hù)和分配。確保各個(gè)部門有足夠的地址容量并有一定的冗余供擴(kuò)展使用。對于重要區(qū)域應(yīng)單獨(dú)分配地址段，用于專門的網(wǎng)絡(luò)設(shè)備互聯(lián)，不與其它用戶混用，以利于安全措施的使用。維護(hù)和記錄IP地址的使用情況，及時(shí)關(guān)閉和回收被廢止的地址。未經(jīng)部門或信息安全組織批準(zhǔn)，測試網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)不能直接連接。未經(jīng)部門或信息安全組織批準(zhǔn)，嚴(yán)禁職工私自設(shè)立撥號接入服務(wù)。未經(jīng)部門或信息安全組織批準(zhǔn)，嚴(yán)禁職工經(jīng)過拔號方式對外部網(wǎng)絡(luò)進(jìn)行訪問。所有的遠(yuǎn)程訪問必須具備身份鑒別和訪問授權(quán)控制，至少應(yīng)采用用戶名/口令方式，經(jīng)過Internet的遠(yuǎn)程接入訪問必須經(jīng)過VPN的連接，并啟用VPN的加密與驗(yàn)證功能。不同安全域之間應(yīng)采用防火墻，路由器訪問控制列表等方式對邊界進(jìn)行保護(hù)。只開放必要的服務(wù)和端口，減少暴露在網(wǎng)絡(luò)外部的風(fēng)險(xiǎn)。對于重要的系統(tǒng)需要在防火墻上對信息流的內(nèi)容按照一定方式進(jìn)行邊界過濾。根據(jù)業(yè)務(wù)變化及時(shí)檢驗(yàn)更新現(xiàn)有的防火墻配置制度，滿足新的安全需求。采取邏輯或物理隔離方法對網(wǎng)絡(luò)采取必要的隔離措施，以維護(hù)不同網(wǎng)絡(luò)間信息的機(jī)密性，解決網(wǎng)絡(luò)信息分區(qū)傳輸?shù)陌踩珕栴}。在網(wǎng)絡(luò)中的重要位置應(yīng)部署網(wǎng)絡(luò)監(jiān)控設(shè)備或者采用人工手段，監(jiān)控采集網(wǎng)絡(luò)中的流量和事件，設(shè)備運(yùn)行情況等信息，分析發(fā)掘異常事件。網(wǎng)絡(luò)中各設(shè)備應(yīng)開啟日志記錄功能，對網(wǎng)絡(luò)使用情況進(jìn)行記錄。建立網(wǎng)絡(luò)中的審計(jì)體系，應(yīng)當(dāng)對審計(jì)結(jié)果中的異常信息和長期性事件趨勢進(jìn)行分析。

附則文擋信息本制度由業(yè)務(wù)科技處制定，并負(fù)責(zé)解釋和修訂。由信息安全工作組討論經(jīng)過，發(fā)布執(zhí)行。本制度自發(fā)布之日起執(zhí)行。版本控制對本制度所有修改及審批、發(fā)布都按時(shí)間順序記錄在此。版本日期修改內(nèi)容修改人審批人V1.0月日文檔定稿其它信息本制度中所稱的人員角色職責(zé)由各部門人員分別擔(dān)任，可能現(xiàn)有崗位的職工在不同時(shí)期所擔(dān)任的角色不同，甚至身兼多種角色，這種情況下該職工應(yīng)該履行所兼每種角色的