P01-網絡安全管理制度

網絡安全管理制度范圍及職責本制度適用于網絡安全管理，包括：網絡系統安全管理、賬號管理、病毒防治管理、網絡事件報告和查處。信息中心主要負責網絡安全管理制度的制定和修訂；網絡管理員負責網絡維護。網絡管理應在信息系統內外網網絡邊界部署防火墻、審計系統、IDS等安全設備；對內部網絡進行區(qū)域隔離、保護。重要的業(yè)務應用服務器區(qū)部署單獨的防火墻進行保護。內外網網絡之間要實行物理隔離。如需進行數據交換時，應使用符合國家政策和保密部門認可的安全產品或技術措施進行數據傳輸。所有在互聯網發(fā)布的應用系統必須使用網頁防篡改技術或專用安全設備進行保護，確保網站在受到破壞時能自動恢復。所有在互聯網發(fā)布的應用系統必須經過有資質的專業(yè)信息安全公司或第三方技術機構的安全測評，確保網站的安全性。采用技術手段對網絡接入進行控制。內部終端如因工作需要接入Internet或其他網絡，應向所在部門領導提出申請，經批準后由網絡管理員提供接入服務。管理員對接入端信息做詳細登記并存檔備案。外部人員如需接入網絡，需由部門主管領導批準，再由網絡管理員提供臨時接入服務。網絡管理員負責網絡拓撲圖的繪制。若網絡結構發(fā)生變化要及時更新拓撲圖，確保網絡拓撲圖完整、真實。未經綜合處主管領導批準，任何人不得改變網絡拓撲結構、網絡設備布局、服務器和路由器配置以及網絡參數。在未經許可的情況下，任何人不得進入計算機系統更改系統信息和用戶數據。任何人不得利用計算機技術侵害用戶合法利益，不得制作和傳播有害信息。運維管理對信息系統核心設備采取冗余措施（包括線路及設備冗余），確保網絡正常運行。對網絡、安全設備進行管理時須采用安全的方式（如加密、SSH等），并嚴格控制可訪問該設備的地址和網段。定期對網絡系統（服務器、網絡設備）進行漏洞掃描，并及時修補已發(fā)現的安全漏洞。根據設備廠商提供的更新軟件對網絡設備和安全設備進行升級，在升級之前要注意對重要文件的配置進行備份。定期對重要的網絡、安全設備進行巡檢，確保重要設施工作正常，并填寫相關記錄表單歸檔保存。若在巡檢中發(fā)現安全問題要及時上報處理。定期對重要系統服務器和相關業(yè)務數據進行備份，備份數據應一式兩份，分別進行保存管理。部署專用的網絡審計設備記錄網絡訪問日志，日志的最小保存期限不低于180天，且應保證無一天以上的中斷。賬號管理對網絡管理員、安全審計員等不同用戶建立不同的賬號，并對資源管理權限進行劃分，以便于審計。網絡賬號、密碼設計必須滿足長度、復雜度要求，用戶須定期更改密碼以保障網絡賬戶安全。指定專人對服務器和網絡設備的賬號、密碼進行統一登記，一式兩份存檔管理。管理員須嚴守職業(yè)道德和職業(yè)紀律，不得將任何賬號、密碼等信息泄露出去。惡意代碼管理不得制造和傳播任何計算機病毒。網絡服務器的病毒防治由網絡管理員負責，網絡管理員負責對各部門計算機的病毒防治工作進行指導和協助。及時更新網絡系統服務器病毒庫，定期對服務器進行全盤掃描殺毒。提高自身的惡意代碼防范意識，在接收文件或郵件之前，必須先進行惡意代碼檢查。已授權的外來計算機或存儲設備在接入網絡之前，必須對其進行惡意代碼掃描。惡意事件處理發(fā)現制造病毒、故意傳播病毒等行為，須立即通知綜合處電腦室，并協助有關