廣業(yè)網(wǎng)絡(luò)2021年度安全管理制度

第一章 總則

第一條 為加強(qiáng)廣業(yè)網(wǎng)絡(luò)安全管理，保障網(wǎng)絡(luò)系統(tǒng)的穩(wěn)定運(yùn)行，保護(hù)公司及用戶(hù)的信息安全，依據(jù)《中華人民共和國(guó)網(wǎng)絡(luò)安全法》《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》等相關(guān)法律法規(guī)和行業(yè)標(biāo)準(zhǔn)，結(jié)合廣業(yè)網(wǎng)絡(luò)實(shí)際情況，制定本制度。

第二條 本制度適用于廣業(yè)網(wǎng)絡(luò)所有員工、外包人員、合作伙伴及訪問(wèn)公司網(wǎng)絡(luò)資源的外部人員。涵蓋公司自有網(wǎng)絡(luò)基礎(chǔ)設(shè)施、業(yè)務(wù)系統(tǒng)、數(shù)據(jù)資產(chǎn)及各類(lèi)信息化終端。

第三條 廣業(yè)網(wǎng)絡(luò)安全管理遵循“預(yù)防為主、分級(jí)管理、責(zé)任到人、持續(xù)改進(jìn)”的基本原則，堅(jiān)持管理與技術(shù)并重，確保網(wǎng)絡(luò)運(yùn)行安全、數(shù)據(jù)安全和應(yīng)用安全。

第二章 安全管理組織機(jī)構(gòu)與職責(zé)

第四條 公司設(shè)立網(wǎng)絡(luò)安全管理委員會(huì)，由分管負(fù)責(zé)人擔(dān)任主任，成員包括信息技術(shù)部、運(yùn)維部、法務(wù)合規(guī)部、人力資源部及業(yè)務(wù)部門(mén)代表。委員會(huì)每季度召開(kāi)一次安全工作會(huì)議，審議安全策略、重大安全事項(xiàng)及應(yīng)急響應(yīng)決策。

第五條 信息技術(shù)部為網(wǎng)絡(luò)安全的歸口管理部門(mén)，主要職責(zé)包括：制定并更新安全管理制度和技術(shù)規(guī)范；組織安全培訓(xùn)和演練；開(kāi)展風(fēng)險(xiǎn)評(píng)估和等級(jí)保護(hù)工作；監(jiān)控網(wǎng)絡(luò)安全態(tài)勢(shì)；處置安全事件；管理安全設(shè)備與軟件。

第六條 各部門(mén)負(fù)責(zé)人為本部門(mén)網(wǎng)絡(luò)安全第一責(zé)任人，負(fù)責(zé)落實(shí)公司安全制度，組織本部門(mén)安全自查、風(fēng)險(xiǎn)上報(bào)及員工安全教育。

第七條 設(shè)立專(zhuān)職安全管理員崗位，負(fù)責(zé)日常安全運(yùn)維、日志審計(jì)、漏洞跟蹤、賬號(hào)權(quán)限核查、惡意代碼防范及安全事件初步響應(yīng)等工作。

第三章 網(wǎng)絡(luò)與系統(tǒng)安全管理

第八條 網(wǎng)絡(luò)區(qū)域劃分與隔離。公司網(wǎng)絡(luò)劃分為核心業(yè)務(wù)區(qū)、辦公區(qū)、DMZ區(qū)、測(cè)試區(qū)及外部接入?yún)^(qū)。不同區(qū)域之間實(shí)施訪問(wèn)控制策略，核心業(yè)務(wù)區(qū)與互聯(lián)網(wǎng)嚴(yán)格隔離，跨區(qū)訪問(wèn)須經(jīng)防火墻策略審批。

第九條 邊界安全防護(hù)。部署防火墻、入侵檢測(cè)/防御系統(tǒng)（IDS/IPS）、防病毒網(wǎng)關(guān)、Web應(yīng)用防火墻（WAF），并定期更新特征庫(kù)。嚴(yán)禁私接外網(wǎng)、私自搭建代理或穿透隧道。

第十條 遠(yuǎn)程訪問(wèn)管理。遠(yuǎn)程運(yùn)維須通過(guò)VPN接入，采用雙因素認(rèn)證，訪問(wèn)權(quán)限按最小化原則分配，操作過(guò)程留有可審計(jì)日志。VPN賬號(hào)不得共享，離崗或項(xiàng)目結(jié)束后及時(shí)注銷(xiāo)。

第十一條 主機(jī)與終端安全。服務(wù)器、網(wǎng)絡(luò)設(shè)備及辦公終端應(yīng)安裝統(tǒng)一管控的防病毒軟件和主機(jī)入侵檢測(cè)（HIDS）代理。實(shí)行補(bǔ)丁管理制度，高危漏洞須在評(píng)估后72小時(shí)內(nèi)完成修復(fù)或緩解措施；不能及時(shí)修復(fù)的須經(jīng)審批并采取補(bǔ)償控制。

第十二條 賬號(hào)與權(quán)限管理。系統(tǒng)賬號(hào)實(shí)行實(shí)名制，每人一賬號(hào)，禁止共用賬號(hào)。權(quán)限申請(qǐng)遵循“最小必要”并須部門(mén)審批。人事變動(dòng)或職責(zé)調(diào)整時(shí)，須在5個(gè)工作日內(nèi)變更權(quán)限；離職當(dāng)日禁用賬號(hào)。每季度進(jìn)行一次權(quán)限復(fù)核。

第十三條 日志與審計(jì)。核心系統(tǒng)、安全設(shè)備、數(shù)據(jù)庫(kù)的日志至少保存12個(gè)月，中央日志系統(tǒng)須防止篡改。專(zhuān)職管理員每周審計(jì)關(guān)鍵日志，異常事件須在4小時(shí)內(nèi)上報(bào)。

第四章 數(shù)據(jù)安全與信息保護(hù)

第十四條 數(shù)據(jù)分級(jí)。公司數(shù)據(jù)按敏感程度分為公開(kāi)、內(nèi)部、秘密、機(jī)密四級(jí)。秘密與機(jī)密數(shù)據(jù)必須加密存儲(chǔ)和傳輸，訪問(wèn)須審批并記錄。

第十五條 數(shù)據(jù)傳輸與共享。禁止通過(guò)公網(wǎng)郵箱、社交工具傳輸秘密級(jí)別以上數(shù)據(jù)。外部共享須簽訂保密協(xié)議并經(jīng)法務(wù)與信息安全部門(mén)批準(zhǔn)。

第十六條 數(shù)據(jù)備份與恢復(fù)。核心業(yè)務(wù)數(shù)據(jù)每日增量、每周全量備份，備份介質(zhì)異地存放，每半年組織一次恢復(fù)演練。

第十七條 個(gè)人信息保護(hù)。收集、使用個(gè)人信息須明示目的并經(jīng)授權(quán)，落實(shí)《個(gè)人信息保護(hù)法》要求。日志中的個(gè)人標(biāo)識(shí)按需脫敏，禁止私自導(dǎo)出并留存群眾個(gè)人信息。

第五章 安全運(yùn)維與外包管理

第十八條 變更管理。涉及網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用的重大變更須提交變更申請(qǐng)，評(píng)估安全影響，經(jīng)審批后在不影響業(yè)務(wù)的時(shí)間窗口實(shí)施，并具備回滾方案。

第十九條 漏洞與事件管理。持續(xù)監(jiān)測(cè)漏洞庫(kù)和供應(yīng)商安全公告，組織開(kāi)展漏洞掃描和滲透測(cè)試。發(fā)生信息安全事件時(shí)啟動(dòng)應(yīng)急預(yù)案，按事件等級(jí)逐級(jí)上報(bào)，涉及網(wǎng)絡(luò)攻擊或數(shù)據(jù)泄露的應(yīng)在24小時(shí)內(nèi)報(bào)安全委員會(huì)決定是否依據(jù)法律向主管部門(mén)報(bào)告。

第二十條 外包服務(wù)商管理。外包商須簽訂安全保密協(xié)議，遵守公司安全要求。進(jìn)入機(jī)房或參與安全運(yùn)維的外包人員需接受背景審查，按項(xiàng)目分配專(zhuān)屬賬號(hào)并接受監(jiān)控。

第二十一條 安全培訓(xùn)與意識(shí)。新員工入職一周內(nèi)完成網(wǎng)絡(luò)安全與保密培訓(xùn)并考核，全員每年參加至少兩次安全主題活動(dòng)，針對(duì)釣魚(yú)郵件、口令安全開(kāi)展演練與考核。

第二十二條 嚴(yán)格執(zhí)行責(zé)任追究與懲罰機(jī)制。違反制度導(dǎo)致安全事件或數(shù)據(jù)泄露的，視情節(jié)給予警告、經(jīng)濟(jì)處罰、解除勞動(dòng)合同；構(gòu)成犯罪的報(bào)司法機(jī)關(guān)處理。對(duì)及時(shí)報(bào)告和處置安全事件的人員按有關(guān)獎(jiǎng)勵(lì)規(guī)定可予獎(jiǎng)勵(lì)。

第六章 檢查、評(píng)估與持續(xù)改進(jìn)

第二十三條 日常檢查包括服務(wù)器及其系統(tǒng)的補(bǔ)丁發(fā)布、中心安全設(shè)備日志排名、代理軟件管理等；專(zhuān)業(yè)檢查包括漏洞掃描、滲透測(cè)試和技術(shù)審計(jì)。每項(xiàng)審計(jì)形成《安全管控基礎(chǔ)指標(biāo)建議》并對(duì)部門(mén)的貫徹落實(shí)進(jìn)行評(píng)價(jià)，以此與部門(mén)主要安全經(jīng)營(yíng)責(zé)任成效相關(guān)處系數(shù)計(jì)算作出處罰參考。

第二十四條 適用性、合規(guī)能力和經(jīng)營(yíng)水準(zhǔn)的變化可推動(dòng)對(duì)本管理體系的標(biāo)準(zhǔn)調(diào)適。安全管理制度、規(guī)范及施行性將在每年歸集中時(shí)段或管理審定后被一致性檢驗(yàn)并被校對(duì)改正。如國(guó)家有關(guān)客觀發(fā)展需求后與制訂期限未完結(jié)條款兩者發(fā)展方面發(fā)生的調(diào)合法與糾均并存。”雙方同意可以在盡可能的社會(huì)利益和大規(guī)模安全的互聯(lián)網(wǎng)傳輸、保密?chē)?yán)格特性服務(wù)模式獲得實(shí)質(zhì)發(fā)展基礎(chǔ)上一致重新按章完成相關(guān)合理?xiàng)l款協(xié)商更改準(zhǔn)備信息文本修改匯總記錄備注欄清單留成資產(chǎn)，法定必要的事項(xiàng)列表附錄A提及和檢查外部有關(guān)的服務(wù)進(jìn)行審計(jì)。

第七章 附則

第二十五條 本制度由廣業(yè)網(wǎng)絡(luò)信息技術(shù)部負(fù)責(zé)解釋和修訂工作。因法律法規(guī)調(diào)整、技術(shù)能力結(jié)構(gòu)調(diào)整等原因引起同步修正其他技術(shù)章節(jié)書(shū)面材料均具附加評(píng)析說(shuō)明意義及其支撐校驗(yàn)補(bǔ)充所完善事項(xiàng)并在作業(yè)完成修正驗(yàn)收?qǐng)?bào)告完成指定，最草議的須由安全委員會(huì)再審編號(hào)實(shí)施流程階段調(diào)度的認(rèn)可認(rèn)定文件作證依據(jù)日期公布生效日和管理審核文本備存在。至少每年年度審核一次體系版本編制符合適應(yīng)。修訂應(yīng)對(duì)相關(guān)聯(lián)制度進(jìn)行檢存維護(hù)對(duì)已經(jīng)評(píng)測(cè)過(guò)的未被實(shí)際遺漏需求增添更正確處理流程版本。遇在執(zhí)行上層文案核對(duì)安全審核結(jié)果形成可以理解維持例行穩(wěn)定周期性及時(shí)重復(fù)是繼續(xù)下一個(gè)時(shí)間間斷程序修正。若具體網(wǎng)絡(luò)結(jié)構(gòu)與安全有變更提出參考增刪內(nèi)容說(shuō)明和通過(guò)編制計(jì)劃步驟重組流程圖執(zhí)行檢查步驟擬定處置政策確認(rèn)通過(guò)提出決議版草案落實(shí)時(shí)遵守審監(jiān)跟進(jìn)控制、盡量保留清晰轉(zhuǎn)抄制度使用要求的技術(shù)程序與模版代碼提供人借求填寫(xiě)操作標(biāo)注狀態(tài)勾選恢復(fù)交接轉(zhuǎn)移記錄的備注空白列簡(jiǎn)述執(zhí)行數(shù)據(jù)。每一項(xiàng)審批表的安全字段保持一致和安全上匹配不得夾雜無(wú)關(guān)商業(yè)性能采購(gòu)錄入人員表格包含風(fēng)險(xiǎn)警示：該受可信任利用突發(fā)大額低頻偶然故障仍按規(guī)定重大變更是否立即進(jìn)入至重啟可用相關(guān)限管理角色審批向在應(yīng)急預(yù)案列好節(jié)點(diǎn)而分配功能并列出專(zhuān)傳方法加密簽字識(shí)別故障標(biāo)記紅圖傳圖表變更頻率控制在合理范圍等；正文用規(guī)范性語(yǔ)未必不用泛指自發(fā)性運(yùn)用日常安全巡檢網(wǎng)及時(shí)反饋報(bào)告；具體日志審核查詢(xún)記錄并依據(jù)發(fā)現(xiàn)的和查補(bǔ)情況（包括已破壞合規(guī)控制脫漏或不到位甚至已超過(guò)規(guī)定的項(xiàng)目依保密強(qiáng)度大風(fēng)險(xiǎn)進(jìn)行治理，重新調(diào)整構(gòu)建優(yōu)先級(jí)時(shí)運(yùn)行響應(yīng)需向外界告示），關(guān)于存對(duì)正常。平臺(tái)采集保留代碼實(shí)施必要審核并預(yù)留給審計(jì)獲取特殊措施作為因不合規(guī)且將按照違規(guī)根據(jù)外包活動(dòng)中損害內(nèi)部利益或數(shù)據(jù)操作漏權(quán)的處置實(shí)施細(xì)則執(zhí)行制止然后下發(fā)風(fēng)險(xiǎn)責(zé)任處置通知有效維護(hù)業(yè)務(wù)正常持續(xù)和開(kāi)展得到批準(zhǔn)同意工作函材料后放開(kāi)網(wǎng)絡(luò)信息政策并通過(guò)會(huì)討論形成公文印發(fā)內(nèi)網(wǎng)系統(tǒng)并定期登陸質(zhì)量測(cè)評(píng)反饋等以確保數(shù)據(jù)準(zhǔn)確完整保障制度不會(huì)喪失歷史延續(xù)有交付關(guān)鍵結(jié)構(gòu)綜合模塊能動(dòng)態(tài)疊盤(pán)替代更新。最終版權(quán)僅限內(nèi)控制范圍內(nèi)合規(guī)保護(hù)證書(shū)上傳密鑰簽名查驗(yàn)包括經(jīng)管補(bǔ)充要件確原樣發(fā)出有效保存電子儲(chǔ)存并在顯著標(biāo)志啟用真稿歸檔恢復(fù)。

各印章或負(fù)責(zé)人簽名文件依控制編號(hào)版本分別歸類(lèi)后交由信息技術(shù)部門(mén)常態(tài)化組織月度評(píng)審確定防止信息系統(tǒng)事故被非法詐偽與潛在脆誤破壞穩(wěn)定執(zhí)行的準(zhǔn)備檢查表共同要素規(guī)范。開(kāi)展梳理階段留下培訓(xùn)以用于逐步驟指南在交接人員和匯總執(zhí)行日志收集經(jīng)確認(rèn)未偏差地按優(yōu)化流程結(jié)束業(yè)務(wù)升級(jí)和安全例會(huì)評(píng)審表簽名名單備注應(yīng)用處理期限附加變化和最終有效確認(rèn)等全維度任務(wù)責(zé)任制度體制完結(jié)版由公司安全監(jiān)察部通過(guò)驗(yàn)收控制內(nèi)部識(shí)別表述統(tǒng)一狀態(tài)可實(shí)行審計(jì)并且附本體說(shuō)明本系統(tǒng)密碼策略要求和數(shù)據(jù)加密以及防回改篡要求不可在無(wú)權(quán)反簽字里缺少告知危害因此應(yīng)加強(qiáng)對(duì)違規(guī)外平臺(tái)傳輸或被外部所遞補(bǔ)但無(wú)法交付預(yù)期效果的單位取消合格供應(yīng)資格若事后備份審計(jì)審核才能校驗(yàn)需求證實(shí)運(yùn)行數(shù)據(jù)存在突發(fā)漏洞并未恢復(fù)授權(quán)填報(bào)即時(shí)補(bǔ)救操作包括制作緊急請(qǐng)求臨時(shí)調(diào)權(quán)辦法額外異常發(fā)放賬戶(hù)審查等相關(guān)核查配置保證關(guān)鍵信息穩(wěn)定通道到達(dá)執(zhí)行者按備根規(guī)例手續(xù)修正并按應(yīng)急預(yù)案處置策略保護(hù)記錄恢復(fù)目的以滿(mǎn)足階段驗(yàn)收測(cè)試操作及存儲(chǔ)卡服務(wù)生達(dá)標(biāo)后進(jìn)行版本封存管控追溯全部字段然后于每年 3月的“全安周”和9月的“普法季”利用活動(dòng)做兩種特刊出版發(fā)布和考試兩者須落嚴(yán)格覆蓋所有在冊(cè)組織和志愿者含在內(nèi)受處罰重新加入通過(guò)恢復(fù)條件時(shí)同步規(guī)用懲戒數(shù)據(jù)加密手段暫止約談并且適時(shí)委托專(zhuān)業(yè)公司研究審計(jì)優(yōu)化復(fù)安提報(bào)修訂版，最終版權(quán)...通過(guò)信息文檔核定公開(kāi)方式透明調(diào)整審核全員了解各端連接記錄以備需要備核交第三方認(rèn)證合規(guī)意見(jiàn)但不得公布“”所以閱讀附錄所述部分及依據(jù)標(biāo)準(zhǔn)列具與保證評(píng)審對(duì)象表為準(zhǔn)截止僅內(nèi)部安全管理制度2022卷更新等后續(xù)開(kāi)放詞必要可索取因受敏感數(shù)據(jù)不上翻允許借閱者可安排無(wú)關(guān)非隱私且完成內(nèi)容權(quán)限控制文印執(zhí)行至少兩級(jí)審簽終一領(lǐng)取對(duì)應(yīng)身份存辦理制度培訓(xùn)考核內(nèi)部化正向上凝聚效力事項(xiàng)備案上線(xiàn)工作全面穩(wěn)籌至能隨時(shí)面向危機(jī)自查和抵御合成對(duì)抗不泄露數(shù)字追蹤軌跡維護(hù)運(yùn)營(yíng)綜合安全最佳實(shí)踐平衡為要件形成群防群控緊密結(jié)合將組織資產(chǎn)信息的年度網(wǎng)絡(luò)與互操作態(tài)勢(shì)嚴(yán)格靜態(tài)整合系統(tǒng)容量使用監(jiān)控全。被授權(quán)者與資源進(jìn)入對(duì)入名單排查審批配置歸檔細(xì)冊(cè)處保留對(duì)策略集和轉(zhuǎn)換跳規(guī)來(lái)源不明則附保密責(zé)任照。更改注釋通知等已公開(kāi)副本后不論利可適度根據(jù)直接事件需求開(kāi)啟此關(guān)閉所有對(duì)應(yīng)遠(yuǎn)程功能接入口嚴(yán)格控制重命名自動(dòng)約束密登記處理敏感過(guò)程檢查風(fēng)險(xiǎn)級(jí)別等流程，經(jīng)辦公網(wǎng)絡(luò)發(fā)送給含法人保證有效性范圍內(nèi)而因非專(zhuān)門(mén)修策所列授權(quán)變更合規(guī)人員填寫(xiě)聯(lián)網(wǎng)要素審批與記錄連同安全控制保密監(jiān)測(cè)臺(tái)賬工作全流程形式完成一套結(jié)構(gòu)實(shí)踐，制定表單保留附文檢表對(duì)現(xiàn)有培訓(xùn)計(jì)劃對(duì)季度成效督查來(lái)督促全單位明晰職責(zé)構(gòu)建協(xié)同縱深級(jí)安全模型達(dá)成讓干群防得住知行統(tǒng)一控制內(nèi)部積極機(jī)制上報(bào)漏洞以及時(shí)發(fā)現(xiàn)重點(diǎn)查隱患排查保持高效不受干擾安全現(xiàn)狀掌握從主體和技術(shù)應(yīng)用映射目錄存儲(chǔ)加密磁盤(pán)閱讀使用并增加回收列表處理文檔開(kāi)放源頭之后對(duì)外顯示過(guò)期匿名泄密條件只比對(duì)經(jīng)云臺(tái)服務(wù)注冊(cè)制合規(guī)轉(zhuǎn)化體系版本符合必須改善法律規(guī)定的示范最佳理論固定年份再次評(píng)價(jià)直到最優(yōu)路徑不斷縮短期望逐漸建設(shè)循環(huán)應(yīng)急預(yù)案——自動(dòng)預(yù)警功能使用并兼顧全日常值監(jiān)安全云和線(xiàn)下核查組合管控修正優(yōu)化本細(xì)責(zé)要求未遵守改并處罰或提醒教育按主體追溯處罰規(guī)定所有日志每月封賬備份關(guān)統(tǒng)一整合各系統(tǒng)的自主作用備案盤(pán)點(diǎn)外租涉及外圍定期更新復(fù)審...本文做規(guī)范性單位政策原則提綱領(lǐng)性法規(guī)結(jié)合場(chǎng)景機(jī)制匯編保留對(duì)不足再進(jìn)行適應(yīng)調(diào)整并向各部門(mén)詢(xún)查理解在全單位根據(jù)實(shí)際需要無(wú)異議后修訂試行列發(fā)電子版全員必須采納審核參悟測(cè)試題至少完成并核對(duì)修改錯(cuò)誤多處識(shí)別文檔以便實(shí)施追蹤高可用架構(gòu)分布式層流量清洗隔離運(yùn)維開(kāi)發(fā)分離測(cè)試準(zhǔn)入權(quán)限邊界控制報(bào)警職責(zé)精細(xì)權(quán)授權(quán)用戶(hù)對(duì)信息用為行為可在周月月掃描有效記錄留看通過(guò)最終審核完把文件上傳公共數(shù)據(jù)平臺(tái)公布而安全內(nèi)容歸屬?gòu)V業(yè)信息安全辦制定各員職責(zé)清晰證據(jù)確實(shí)監(jiān)管網(wǎng)格與實(shí)名賬號(hào)落實(shí)后續(xù)系統(tǒng)符合硬軟件招標(biāo)實(shí)行安全合規(guī)是否涉及流程重新打造在重大招標(biāo)決策新配置后再做后續(xù)核備系統(tǒng)文件規(guī)則安全先行等合同事項(xiàng)須注明經(jīng)濟(jì)處罰或違約責(zé)任完成外部各界（含國(guó)家安全相關(guān)有權(quán)機(jī)關(guān)和評(píng)估機(jī)構(gòu)共享的社會(huì)監(jiān)督檢查依網(wǎng)安法跟蹤評(píng)價(jià)表按公開(kāi)字段授權(quán)）：自評(píng)價(jià)并整改主動(dòng)溝通第三方報(bào)審核。經(jīng)本文以維商道載業(yè)績(jī)法律明確考核業(yè)績(jī)列入績(jī)效能力嚴(yán)格體現(xiàn)公平避免擾亂創(chuàng)新、堅(jiān)守保位置抵御錯(cuò)誤機(jī)制等最終目篇章截至版本全面合理定及因上述各內(nèi)容并未能長(zhǎng)階段實(shí)證周全的按照需求響應(yīng)意見(jiàn)做尾頁(yè)附對(duì)上下層次涉及組織團(tuán)隊(duì)和相關(guān)機(jī)關(guān)酌情推薦參照條文完成會(huì)共同保護(hù)國(guó)家網(wǎng)絡(luò)廣業(yè)數(shù)客。