分支机构网络管控制度

分支机构网络管控制度第一章总则第一条为规范公司各分支机构的网络基础设施建设、运行维护及安全管理，保障网络系统稳定运行和数据信息安全，防范网络风险，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《关键信息基础设施安全保护条例》及公司《网络安全管理办法》《信息化建设管理办法》等法律法规和内部制度，结合分支机构实际管理需求，制定本制度。第二条本制度适用于公司所属所有分支机构，包括但不限于分公司、办事处、子公司、项目部等各类独立运营单元。分支机构全体员工（含正式员工、劳务派遣人员、实习人员）、因业务需要接入分支机构网络的外部单位人员（如合作厂商、客户代表等）均须遵守本制度。分支机构网络涵盖其内部局域网（LAN）、无线网络（WLAN）、广域网接入（WAN）及相关网络设备、服务器、终端设备等。第三条分支机构网络管控遵循“统一规划、分级负责、预防为主、技防结合”的原则，实行“总部统筹管理、分支机构具体落实、技术防护与管理监督并重”的管理模式。分支机构网络建设须符合总部整体战略规划，确保网络资源合规使用、业务连续性得到保障，同时满足数据安全保密要求。第二章管理职责第四条总部信息部是分支机构网络管控的归口管理部门，履行以下职责：（一）制定分支机构网络管控的整体策略、技术标准、管理规范及操作流程；（二）统一规划分支机构网络架构，审批分支机构网络建设方案、重大变更申请及网络设备采购计划；（三）负责分支机构网络设备（包括路由器、交换机、防火墙、无线AP、服务器等）的统一选型、采购、配置部署及技术支持；（四）监控分支机构网络运行状态，定期组织开展网络安全审计、风险评估及漏洞扫描；（五）组织分支机构网络管理人员业务培训、应急演练及安全意识教育；（六）协调处置分支机构重大网络安全事件，指导分支机构落实安全防护措施。第五条分支机构负责人是本单位网络管控第一责任人，履行以下职责：（一）贯彻落实总部网络管控要求，将网络管理纳入本单位日常管理工作，保障网络资源合规使用；（二）指定专人担任分支机构网络管理员（须具备相关技术资质，如CCNA、HCIA等），明确其岗位职责、权限及考核标准；（三）审批分支机构内部网络使用申请，监督员工遵守本制度及总部相关规定；（四）保障分支机构网络管理所需经费、设备及人员支持，确保网络运维工作正常开展；（五）配合总部信息部开展网络检查、安全审计及事件调查，及时整改发现的问题。第六条分支机构网络管理员是本单位网络管理的直接责任人，履行以下职责：（一）严格执行总部网络策略及技术标准，负责分支机构网络设备的日常运维管理，包括设备配置管理、故障排查、性能监控、固件升级等；（二）管理分支机构内部用户网络账号与权限，建立账号清单（含账号名称、使用人、权限范围、创建/注销时间等），定期清理离职人员账号及闲置权限；（三）实时监控网络运行日志（包括设备日志、系统日志、安全日志等），发现异常流量、非法访问、设备故障等情况，立即向总部信息部及本单位负责人报告，并采取初步处置措施；（四）落实数据备份、病毒防护、安全补丁更新等安全措施，确保服务器、终端设备安全防护软件正常运行；（五）保管分支机构网络设备配置文档、拓扑结构图、账号清单、运维记录等重要资料，确保信息准确、完整，并按总部要求定期上报；（六）协助总部信息部开展网络安全事件应急处置，配合调查事件原因，提交事件处置报告。第三章网络接入管控第七条接入方式管理（一）总部统一规划分支机构网络接入路径，分支机构须通过总部指定的加密通道（如IPSecVPN、SSLVPN、SD-WAN等）接入总部内部网络，禁止私自以任何方式（如宽带拨号、4G/5G路由器直连、第三方VPN等）接入互联网或其他外部网络。确因业务需要开通其他接入方式的，须向总部信息部提交书面申请，说明必要性、安全措施及风险防控方案，经总部分管领导批准后方可实施。（二）分支机构无线网络（WLAN）建设须符合总部《无线网络安全规范》，采用企业级无线AP，启用WPA2-Enterprise或WPA3加密协议，禁止使用开放网络（OPEN）或弱加密协议（如WEP、WPA-PSK）。无线网络用户须通过802.1X认证或Portal认证（与总部统一认证平台对接），禁止匿名接入。（三）外部单位人员接入分支机构内部网络时，须由分支机构业务部门提出申请，明确接入目的、访问范围、接入期限及使用设备，经分支机构负责人审批后，由网络管理员配置临时访问权限，并全程记录访问日志。接入期限结束后，立即关闭权限并清除相关访问记录。第八条网络设备管理（一）分支机构网络设备须由总部信息部统一采购、配置，禁止私自采购、改装、更换或使用未经总部认证的设备。设备采购须纳入年度信息化预算，分支机构提出需求后，由总部信息部组织技术评审、采购及部署。（二）网络设备配置须严格遵循总部《网络设备配置规范》，包括但不限于VLAN划分（业务VLAN与访客VLAN隔离）、IP地址分配（遵循总部IP地址规划表）、访问控制列表（ACL）策略（限制非授权访问）、路由协议配置（启用OSPF或BGP，确保路由安全）等。分支机构网络管理员无权擅自修改设备核心配置，确需变更的，须提交变更申请，经总部信息部审批后由总部技术人员或授权分支机构管理员实施。（三）分支机构网络管理员须建立网络设备台账，记录设备名称、型号、序列号、购置日期、设备位置、维保期限、配置版本等信息，设备报废、转移时须及时更新台账，并向总部信息部报备。第九条IP与MAC地址管理（一）分支机构IP地址由总部信息部统一规划分配，采用“静态分配+动态分配”相结合的方式。服务器、网络设备、打印机等关键设备使用静态IP地址，普通终端设备使用DHCP动态IP地址，DHCP地址池保留30%冗余，避免地址冲突。（二）关键网络接口（如服务器端口、核心交换机上行端口、防火墙管理端口）须启用MAC地址绑定功能，禁止未经MAC地址认证的设备接入。分支机构新增终端设备时，须向网络管理员申请MAC地址备案，备案后方可接入网络。（三）IP地址或MAC地址变更时，须由使用部门提出书面申请，说明变更原因及新地址/地址，经分支机构负责人审批后，由网络管理员实施变更，并同步更新设备台账及IP地址分配表。禁止私自修改终端设备IP地址或MAC地址，禁止使用虚假地址接入网络。第四章数据安全管理第十条数据分类分级（一）分支机构数据按敏感度分为四级：1.公开数据：可对外公开的信息，如公司宣传资料、产品目录、公开新闻稿等；2.内部数据：仅限公司内部使用的信息，如内部管理制度、会议纪要、普通业务数据等；3.敏感数据：包含客户信息、财务数据、人力资源数据、未公开业务合同等，泄露可能对公司或客户造成一定损害的信息；4.核心数据：涉及公司战略规划、核心技术、核心业务数据、并购重组信息等，泄露可能对公司造成重大损失或严重影响公司声誉的信息。（二）分支机构须对产生、处理、存储的数据进行分类标记，敏感数据与核心数据须在数据产生时标注“敏感”“核心”标识，并存储在总部指定的加密存储系统中，禁止在本地终端、非授权服务器或移动存储设备中明文存储。第十一条数据传输与存储安全（一）数据传输须遵循“加密优先”原则，敏感数据与核心数据在传输过程中须采用SSL/TLS、IPSec等加密协议，通过总部指定的加密通道进行传输，禁止通过明文邮件、即时通讯工具（如微信、QQ、钉钉等公共平台）、FTP明文传输等非加密渠道传输。（二）分支机构本地数据须每日备份至总部灾备中心，备份数据保留期限不少于6个月，核心数据须采用异地备份（至少两个不同地理位置的备份点）。备份介质（如硬盘、磁带）须加密存储，由网络管理员专人保管，备份记录包括备份时间、数据类型、备份介质编号、验证结果等。（三）分支机构向外部单位提供数据时，须签订《数据安全协议》，明确数据用途、保密义务、使用期限及违约责任，数据提供前须报总部法务部及信息部备案。禁止通过个人邮箱、U盘等非授权方式向外部提供数据。第十二条数据销毁管理（一）存储敏感数据与核心数据的设备（如服务器、硬盘、U盘、移动硬盘等）报废时，须由分支机构网络管理员提出申请，经总部信息部审核后，由总部信息部使用专业数据销毁工具（如消磁机、数据擦除软件）进行物理或逻辑销毁，销毁过程须全程录像，并出具《数据销毁证明》。（二）禁止简单删除文件、格式化硬盘或低级格式化后直接处置设备，防止数据通过数据恢复技术泄露。销毁后的设备由总部信息部统一回收处置，分支机构不得擅自处理。第五章系统运维管理第十三条账号与权限管理（一）分支机构员工网络账号须使用真实姓名注册，遵循“一人一账号”原则，禁止共用账号、使用昵称或匿名账号。账号创建由部门负责人提交《网络账号申请表》，经分支机构负责人审批后，由网络管理员在总部统一身份认证平台创建。（二）用户权限分配遵循“最小必要”原则，根据岗位职责授予访问权限，如普通员工仅能访问业务系统相关模块，管理员权限仅限于设备运维、账号管理等必要操作。权限变更时，须由部门负责人提交《权限变更申请》，经分支机构负责人审批后，由网络管理员实施。（三）账号生命周期管理：员工入职时，由部门负责人提交账号申请；员工离职或岗位调动时，须立即停用或调整其账号权限，并删除相关访问记录；长期（超过90天）未使用的账号，由网络管理员冻结并通知相关部门确认是否继续使用，确认不使用的予以注销。第十四条补丁与漏洞管理（一）分支机构服务器、终端设备操作系统及应用软件须及时安装总部推送的安全补丁。补丁发布后，分支机构网络管理员须在24小时内下载补丁包，并在测试环境中进行兼容性测试，测试通过后3个工作日内完成生产环境部署。（二）总部信息部每季度对分支机构网络进行漏洞扫描（使用Nessus、OpenVAS等工具），发现高危漏洞（CVSS评分≥7.0）时，分支机构须在48小时内完成修复，并提交《漏洞修复报告》。因业务原因无法立即修复的，须制定临时防护措施（如访问控制、隔离设备）并明确修复时限，报总部信息部备案。第十五条日志与审计管理（一）分支机构网络设备（路由器、交换机、防火墙）、服务器（操作系统、数据库、应用系统）、安全设备（入侵检测系统、防病毒系统）须启用日志功能，记录用户登录、访问操作、设备配置变更、安全事件等信息。日志保存期限不少于180天，日志内容须包含时间、源IP、目标IP、操作类型、操作结果等关键要素。（二）分支机构网络管理员每日检查日志，发现异常登录（如非工作时间登录、多次失败登录）、非法访问（如访问未授权服务器）、恶意流量（如DDoS攻击流量）等情况，立即采取隔离措施并向总部信息部报告。总部信息部每半年对分支机构日志进行集中审计，形成《网络安全审计报告》，通报审计结果并要求整改。第六章应急响应管理第十六条应急组织与职责（一）总部设立网络安全应急领导小组，由分管信息部的副总经理任组长，信息部、法务部、合规部、公关部负责人为成员，负责统筹处置分支机构重大网络安全事件，制定应急响应预案，协调跨部门资源。（二）分支机构成立应急响应小组，由分支机构负责人任组长，网络管理员为副组长，业务部门骨干为成员，负责本单位网络安全事件的初步处置、信息上报及配合总部处置。第十七条事件分级与响应流程（一）网络安全事件按影响范围和严重程度分为三级：1.一般事件：单台终端故障、局部网络中断（影响范围≤1个部门），业务中断时间≤2小时，未造成数据丢失或泄露；2.较大事件：核心设备故障、部分业务系统中断（影响范围≥2个部门），业务中断时间≤4小时，造成少量数据丢失或轻微泄露；3.重大事件：网络瘫痪、核心数据泄露、黑客攻击、病毒爆发等，影响全公司业务或造成重大经济损失/声誉损害，业务中断时间≥4小时，造成大量数据丢失或严重泄露。（二）响应流程：1.事件报告：发现事件后，分支机构应急小组须立即（30分钟内）通过电话、邮件向总部信息部及网络安全应急领导小组报告，报告内容包括事件类型、发生时间、影响范围、初步处置措施及预计恢复时间；2.事件研判：总部信息部接到报告后，15分钟内组织技术人员研判事件级别，确定响应级别（一般、较大、重大），并启动相应应急预案；3.事件处置：-一般事件：由分支机构应急小组自行处置，总部信息部提供远程技术支持，处置完成后2小时内向总部提交《事件处置报告》；-较大事件：总部信息部派遣技术人员赶赴现场指导处置，分支机构配合采取隔离受感染设备、启用备份数据恢复系统等措施，处置完成后4小时内提交《事件处置报告》；-重大事件：立即启动重大事件应急预案，总部应急领导小组统筹指挥，分支机构配合采取断网隔离、数据追溯、报警等措施，24小时内初步处置完成并向监管部门（如网信办、公安部门）报告，3日内提交详细《事件调查报告》；4.事件总结：事件处置完成后，分支机构须组织分析事件原因、暴露的问题及改进措施，形成《事件总结报告》，报总部信息部及应急领导小组备案，作为后续制度优化的依据。第七章监督检查与责任追究第十八条监督检查机制（一）总部信息部联合法务部、合规部每季度对分支机构网络管控情况进行现场检查，检查内容包括：制度执行情况、网络设备配置合规性、数据安全管理、账号权限管理、日志记录完整性、应急演练开展情况等。检查结果纳入分支机构年度绩效考核，与分支机构负责人及相关人员绩效挂钩。（二）分支机构须每月开展一次网络自查，形成《网络自查报告》，内容包括：设备运行状态、安全措施落实情况、问题整改情况等，于每月5日前报总部信息部。对自查发现的问题，须制定整改计划明确整改时限（一般问题≤7天，严重问题≤30天），整改完成后提交《整改报告》。（三）重大节假日（如春节、国庆节）或重要活动（如公司年会、行业展会）前，总部组织专项网络安全检查，重