宽带接入网网络与信息安全保障措施精品

1、宽带接入网网络与信息安全保障措施网络与信息安 全责任人填写本表单中“网络与信 息安全管理人员配备情 况及相应资质”栏目中 “信息安全负责人”联系电话(手机)网络与信息安 全应急联络人联系电话(手机)网络与信息安 全管理组织机 构设置及工作 职责本栏请填写本公司负责网络信息安全工作的相关内容如下：1 .企业负责人(法人/总经理)XX为网络与信息安全第f 任人， 全面负责企业网络与信息安全工作。2 .网络与信息安全管理组织架构。应明确本企业网络与信息安全 主管部门，明确涉及的其他主体或部门， 并有明确的安全职责及分工。 本项包含但不限于以下内容：(1)网络与信息安全主管部门名称；(2)网络与信息安

2、全主管部门负责人姓名与职务等信息；(3)网络与信息安全主管部门配置人数；(4)网络与信息安全主管部门工作职责(须含但不限于信息安 全管理责任制、有害信息发现受理处置机制、有害信息投诉受理处置 机制、重大信息安全事件应急处置和报告制度、信息安全管理政策和业务培训制度、网络安全管理责任制度、网络安全防护制度、网络安 全事件应急处置和报告制度、有害信息发现和过滤技术手段、用户日志留存所采用的技术手段、网络安全防护技术手段、安全联络员变动 承诺制度等)。(5)网络与信息安全涉及的其他主体或部门名称及职责。3.制定网络与信息安全监督检查制度。该制度应包含但不限于以 下内容：(1)实施监督检查工作的责任部

3、门及人员；(2)检查范围：对企业的网络与信息安全工作和措施制度的落 实、执行情况进行监督检查；(3)检查的周期和比例，检查可以是定期检查和不定期抽查相 接合；(4)检查发现问题的处理：及时完善健全网络与信息安全管理措施 和制度，对发生网络与信息安全事件的责任部门、责任人员进行处理。网络与信息安 全管理人员配 备情况及相应 资质本栏请填写本公司网络与信息安全管理人员情况：1 .申请企业应至少配备 3名或以上网络与信息安全管理人员，并注明管理人员姓名、联系方式、职责分工，附管理人员身份证及资质 证书复印件；2 .网络安全人员应具有相应的专业技术资格(网络与信息安全从业资质或通信、计算机相关专业本科

4、及以上学历证明)；3 .提供网站接入时：每接入 1万个网站至少配备 2名专职信息 安全工作人员；接入不足1万个网站的，按1万个计算。要求这两个 人应小与下表中所列的网络与/息安全责任人重复。责任人姓 名职务办公 电话手机身份 证号 码职责邮箱第一责 任人(公 司法人/ 总经理)信息安全负责人网络安全负责人7*24 小 时应急 联系电 话传真 电话网络与信息安 全管理责任制本栏请填写本公司依据电信条例、互联网信息服务管理办法、 电信业务经营许可管理办法 等政策法规制定和建立的企业内部信 息安全管理责任制度，该制度应包含但不限于以下内容：1 .信息安全管理责任制度。(1)企业应制定信息安全管理责任

5、制度。通过文件形式明确信 息安全主管部门及其他相关部门的工作职责。其中信息安全主管部门职责至少包括制定信息安全年度工作计划、制定信息安全相关工作制度、负责信息安全事件的响应、处置、协调、负责网络与信息安全教 育培训及应急演练，依法配合通信行业主管部门开展违法信息的处 置、净化网络环境等相关工作；(2)建立企业内部责任追究制度。明确违反信息安全相关规定 的责任部门责任人的相应处罚措施；(3)明确信息安全主管部门及其他相关部门、岗位均应签署网 络与信息安全责任书。2 .信息安全责任书(模板)。(1)制定企业内部信息安全责任书模板， 责任书应明确信息安全 应遵守的规定、承担的责任、履行的义务，及违反

6、规定相应具体处罚 措施；(2)要求信息安全主管部门及其他相关部门、岗位均应签署信息安全责任书；(3)责任书签订周期：应当每年签一次，有人员调整变动，人员 变动时应及时签。监管配合机制本栏请填写本公司依据电信条例、互联网信息服务管理办法 、电信业务经营许可管理办法 等政策法规制定和建立的企业内部信息安全监管配合制度：1.应明确面向用户的有害信息受理处置机制，内容应包括：有明确的受理方式，包括电话、QQ电子邮箱等；有明确的受理部门、人员、有害信息受理机制和流程；针对发现问题，建立相应制度和措施的完 善机制，防止同类问题的再次发生。2,建立监管配合机制，内容包括：明确网络与信息安全主管部门为监 管工

7、作配合部门，指定该部门负责人及一名业务主管作为配合工作日 常联络人，依法配合通信行业主管部门开展违法信息的处置等相关工 作；企业对发现的（技术手段发现、人工审核发现、用户投诉发现） 正在传输的违法信息，应立即停止传输并上报政府主管部门。网络与信息安 全事件应急处 置本栏请填写本公司依据电信条例、互联网信息服务管理办法 、 通信网络安全防护管理办法、通信网络安全防护系列标准、 公共互联网网络安全应急预案和互联网网络安全信息通报实施办法等政策法规制定和建立的企业内部网络与信息安全事件应急处 置报告制度。该制度应包含但不限于以下内容：1 .企业应明确网络与信息安全应急处置责任部门、人员及24小时应急

8、值班电话。2 .制定企业网络与信息安全应急预案。预案应明确网络与信息安全事件范围、级别及处置流程，网络与信息安全应急处置的措施和手 段。当出现电信条例所规定“九不准”有害信息内容和网络安全 威胁时，应立即启动应急预案。3 .恢复系统正常运转的方案及时限。 如发生网络与信息安全事件 应第一时间采取措施，及时消除非法信息和网络威胁，无法迅速消除、影响较大时实施紧急关闭， 将危害影响控制在最小范围；及时进行原因分析，制定解决方案，在有害信息和安全隐患未彻底消除前，不得 恢复系统运行；留存证据并分析事件原因，在有关部门调查时予以提供。4 .应急处置报告制度。应及时向有关部门报送事态发展、处置措施、原因

9、分析、工作进展和经验教训等，重大网络与信息安全事件应 于2小时内向政府有关部门报告。5 .网络与信息安全应急演练。每年应组织开展网络与信息安全应 急演练，须包含但不限于演练科目、时间、地点、内容、点评等，同 时要积极参加电信管理机构组织开展的演练。信息安全技术 保障措施（根据 具体业务开展 和监管配合情 况配套建设相 应的技术保障 措施）本栏请填写本公司依据全国人民代表大会常务委员会关于加强网络信息保护的决定、电信条例、互联网信息服务管理办法 等政策法规及通信行业主管部门有美要求配套建设的信息安全技术 手段，同步落实与业务发展相适应的安全保障措施。1 .用户信息保护、有害信息发现和过滤、 日志

10、留存等方面的网络信 息安全技术手段的详细材料，包括系统软件名称及功能目的、技术方案、处置流程、保障措施等。2 .用户信息保护、有害信息发现和过滤、日志留存等系统（设备、 软件）放置的机房地址。3 .明确以上系统的维护、管理和使用部门，定期检测系统功能，确 保系统可靠运行。确保不发生侵害用户隐私、信息泄露等；确保有害 信息及时发现和过滤、处置；用户日志留存完整准确，留存时限/、得 彳什60日。网络安全防护 制度本栏请填写本公司根据通信网络安全防护管理办法、通信网络安全防护系列标准、公共互联网网络安全应急预案和互联网网络安全信息通报实施办法 等，制定本公司网络安全防护制度。该制度应包含但不限于 以

11、下内容：网络安全防护工作是指为防止通信网络阻塞、中断、瘫痪或者被非法控制，以及为防止通信网络中传输、 存储、处理的数据信息丢失、 泄露或者被篡改而开展的工作。网络安全防护工作坚持积极防御、综合防范、分级保护的原则。建立与通信网络单元相适应的安全防护措 施，并根据实际情况适时调整通信网络单元的划分和级别；每年对网络单元进行符合性评测； 每年对通信网络单元开展安全风险评估，及时消除重大网络安全隐患； 投入必要的经费和条件； 网络安全保障设 施的新建、改建、扩建费用，应当纳入本单位建设项目概算和费用额 度；对检查中发现的重大网络安全隐患，应当及时进行整改。1 .填写网络安全防护基本信息表（系统上传文

12、字内容，表格 版提交纸质材料时提供）。依据通信网络安全防护管理办法（工业和信息化部令第11号）要求，根据业务系统所属类型，按照增值 电信业务系统相关网络安全防护定级要求进行定级（定级方法和流程参见管局官方网站首页一专题工作一宽带接入网业务试点工作一增 值电信企业网络单元定级流程及方法、山西省通信管理局增值业务许可网络单元定级软件），并在系统建设、运行、维护中按照相关行业 标准开展定级备案、符合性评测、风险评估等网络安全防护工作。（此 处内容若因字数限制填写不下，可在“其他栏目中填写”）2 .机房管理制度（1）如企业有自建机房，应建立机房安全管理制度，制度内容 应包含但不限于：机房设备清单（为机

13、房所有设备建立资产清单（台帐），设备型号、数量、进出库时间等）机房设备安全等级（根据设备的重要性划分设备的安全等级）机房内设备位置安全 （根据设备的重要性划分设备在机房内的位置安全）电力供应安全 机房出入管理 机房环境管理等内容。（2）企业没有自建机房，与其他企业签署托管或代维协议的， 机房设备清单（为机房所有设备建立资产清单（台帐），设备型号、数量、进出库时间等）需提供托管协议或代维协议中涉及机房管理、 环境及电力供应等相关内容，纸质材料审核时需提供托管或代维协议 的原件及复印件（盖章）。3 .设备操作安全管理制度。制度应对不同岗位设备操作权限进行 分级，明确不同权限可操作设备的范围，设备操

14、作内容并进行操作日志记录（记录中要包含设备操作内容和审批流程等内容），建立设备密码管理相关制度（明确设置专用账户、 专用密码，密码复杂程度（如 数字和字母组合）、密码更换周期等内容。）4 .网络设备运行维护制度。制度应明确维护的部门，设备运行维 护的内容、周期以及系统相关功能检测的周期。5 .重要系统的备份维护管理制度。主要指对重要系统或设备（服 务器、数据库等）进行备份维护制定相应制度，应明确维护周期，并 在维护时采取相应数据保护措施（如：数据转贮、卸下磁盘磁带等）。在对系统进行预防维修或故障维修时，应记录故障原因、维修对象、维修内容和维修前后状况等信息 .应建立完整的维护记录档案。6 .防

15、火墙等安全措施管理制度。制度应明确防火墙安全管理和维 护周期，以及企业内部防火墙管理方面的流程、规范等内容。7 .用户日志留存系统维护制度。制度应包含用户日志留存系统的 维护周期、维护内容、维护规范管理等内容。网络安全防护 技术手段本栏请填写本公司依据通信网络安全防护管理办法、通信网络安全防护系列标准、公共互联网网络安全应急预案和互联网网络安全信息通报实施办法、增值电信企业网络单元定级流程及方法等，制定本公司网路安全防护举措。该相关制度举措 应包含但不限于以下内容：网络安全系统防护重点解决操作系统、数据库和各个服务器，例如WEB服务器及 WAP服务器等系统安全问题，以建立一个安全的 系统运行平

16、台，有效抵抗黑客利用系统的安全缺陷对系统进行攻击， 主要措施包括：1 .应采用与网络安全防护等级相适应的防火墙等技术手段有效 保护本地网络安全。简述本企业防火墙设备型号，功能及本企业防火 墙采取的相关安全防护措施，如对外屏蔽重要设备地址、关闭与本身 服务不相关的端口等。2 .操作系统安全保障措施。(1)系统安全防护能力。文件访问控制(系统内文件访问权限要进行分级)用户权限级别(根据系统使用情况，系统不同用户授 予不同范围的最小权限)防病毒软件/硬件(系统要具备防病毒功能的软件、硬件)。(2)操作日志记录。对系统的操作要有日志记录，重要操作要 有审批流程，并列出审批内容。(3)要有专人负责定期对

17、系统或软件进行升级和补丁。(4)对操作系统进行密码管理，要体现密他更换的时间，密码 的复杂程度(密码设置不能使用纯数字等简单密码，须使用英文字母加数字或符号的混合密码)等内容，如企业制定了相关密码管理制度， 此处可参照执行。(5)定期开展系统安全检测。定期对系统进行安全漏洞扫描， 并在扫描检测完成后， 编写检测报告，详细记录漏洞检测结果及实施 的补救措施与安全策略，并整理归档备查。3.数据库安全保障措施。(1)数据库存取权限。对数据库存取访问要有权限分级，通过 设置不用级别的权限，控制用户对数据库的存取，主要是严格控制访 问机制、实现数据库所有操作内容的的可审计。(2) 口令安全管理。数据库访

18、问应设置口令保护，对口令日常 定期更换、复杂程度等制定管理制度，避免出现弱口令等网络安全隐 患，以确保数据库数据安全。(3)数据库安全功能。经授权的数据库系统管理员需定期对数 据库安全功能、用户和数据库操作权限进行有效管理，确保数据库安全。(4)数据库定期备份。数据库数据应定期进行备份和转储等操 作。(5)操作日志记录。数据库的所有操作均应有操作日志记录， 重要操作需进行审批，以备安全审计使用。(6)故障恢复能力等。描述对数据库出现各种人为故障、软件 故障和硬件故障时，如何进行恢复的能力，确保发生故障后能恢复全 部数据内容。网络与信息安 全管理政策和 业务培训制度本栏填写本公司依据电信条例、互联网信息服务管理办法等政策法规制定和建立的企业内部信息安全教育培训制度，该制度应包含但不限于以下内容：1,通过文件形式制定网