网络安全用户管理制度

网络安全用户管理制度一、适用范围本制度适用于公司全体人员（含正式员工、实习生、外包服务人员、第三方合作人员及远程办公人员）在使用公司网络、信息系统及相关数字资产过程中的安全管理。涉及的网络环境包括公司内网、办公无线网（Wi-Fi）、远程接入（VPN）及移动办公网络；信息系统涵盖业务系统、管理系统、数据存储平台及各类终端设备（如电脑、手机、平板、物联网设备）。二、管理原则1.最小权限原则：用户对网络资源的访问权限严格基于岗位职责需求，禁止超范围授权。权限分配需经业务主管与信息安全部门双重审批，确保“仅必要、仅当前”。2.责任分离原则：网络访问的申请、审批、执行、监督职责由不同角色承担。例如，用户提交权限申请→业务主管审核业务必要性→信息安全部门评估安全风险→系统管理员执行授权→审计部门定期核查，形成闭环制衡。3.动态调整原则：用户权限随岗位变动、项目结束或离职等场景实时更新。权限有效期需明确标注（如临时项目权限最长不超过项目周期+7个工作日），到期自动回收或重新审批。4.全员参与原则：网络安全责任覆盖所有用户，从高层管理者到基层员工均需遵守本制度，接受安全培训并配合安全检查。三、用户分类与权限管理3.1用户分类标准根据用户与公司的关联关系及访问需求，分为以下四类：核心用户：公司正式员工，长期使用公司核心业务系统（如财务系统、客户管理系统），需访问敏感数据（如客户信息、财务报表）。临时用户：实习生、短期项目合作方，访问权限仅限特定项目所需系统，无敏感数据操作权限。第三方用户：外包服务提供商（如IT运维服务商、数据清洗服务商），根据服务协议授予有限系统访问权限（如只读或指定功能操作），禁止访问非服务相关数据。远程用户：因工作需要远程接入公司网络的员工（如驻外人员、居家办公人员），需通过公司指定的VPN或零信任访问平台（ZTA）接入，权限与内网用户一致但需额外验证。3.2权限分级与分配权限按敏感程度分为四级（L1-L4，L1为最低，L4为最高）：L1权限：基础办公权限（如邮件系统登录、内部文档库只读、办公软件使用），所有用户默认具备，无需额外审批。L2权限：部门级业务权限（如部门内部数据查询、协作工具编辑），由部门负责人审批，信息安全部门备案。L3权限：跨部门或敏感业务权限（如客户信息修改、财务数据导出），需部门负责人+分管副总双签，信息安全部门审核风险后授权。L4权限：系统管理权限（如数据库管理员、服务器运维权限），仅限IT部门核心运维人员，需总经理审批+信息安全部门安全背景核查（近3年无安全违规记录），且权限需双人共管（如数据库超级管理员密码由两人分段保管）。3.3权限审批流程1.用户填写《网络权限申请表》，注明权限类型、理由、有效期（最长不超过6个月，特殊情况需单独说明）。2.业务主管审核业务必要性，标注“同意”或“驳回（需说明理由）”。3.信息安全部门核查历史权限使用记录（如近1年是否有越权操作、违规访问），评估风险（如权限是否与岗位职责匹配、是否存在权限重叠），出具“通过”“限制（如缩短有效期）”或“拒绝”意见。4.系统管理员根据审批结果在2个工作日内完成权限配置，并通过邮件通知用户权限详情（含权限范围、有效期、违规责任）。四、用户账号生命周期管理4.1账号注册与激活新用户入职：HR部门在员工入职前3个工作日内，通过内部系统提交《新员工信息表》（含姓名、部门、岗位、直属领导）至信息安全部门。信息安全部门根据岗位信息自动匹配基础权限（L1），并在24小时内创建账号（格式：姓名拼音+工号，如zhangsan001），初始密码由系统随机生成（8位数字+字母组合），通过加密邮件发送至员工个人邮箱（非公司邮箱）。员工首次登录需修改密码（需符合“8-16位，包含大小写字母+数字+特殊符号”要求），否则账号锁定。临时/第三方用户：需求部门提前5个工作日提交《临时用户接入申请》，注明用户姓名、所属单位、接入目的、权限等级（不超过L2）、有效期（最长3个月）。信息安全部门审核后创建临时账号（前缀为“TEMP_”），设置自动过期时间（到期前3个工作日邮件提醒需求部门确认是否续期）。临时用户离职时，需求部门需在24小时内通知信息安全部门注销账号。4.2账号权限调整岗位变动：员工调岗时，原部门负责人需在调岗生效前1个工作日内，通过系统提交《权限回收申请》，信息安全部门在4小时内回收原岗位权限；新部门负责人同步提交《新权限申请》，按3.3流程重新授权。权限续期：权限到期前7个工作日，用户需通过系统提交《权限续期申请》，说明续期理由。业务主管审核必要性，信息安全部门核查近3个月权限使用记录（如是否存在异常访问频次、越权操作），无风险则续期（最长不超过原有效期），否则驳回并回收权限。4.3账号注销与归档员工离职/退休：HR部门在离职日期前3个工作日通知信息安全部门，信息安全部门在24小时内冻结账号（禁止登录），并触发数据归档流程：个人办公电脑：IT运维部门回收设备，格式化硬盘（敏感岗位需物理销毁硬盘）。邮箱/文件存储：归档至公司档案库（保留1年），删除个人可操作权限。系统权限：全部回收，生成《账号注销确认单》由HR、信息安全部门、原部门负责人三方签字存档。账号异常：如检测到账号被盗用（如异地登录、高频错误登录），信息安全部门立即锁定账号，通知用户通过短信+人脸识别验证身份后重置密码；若72小时内未验证，账号自动注销并触发审计流程。五、网络访问控制要求5.1物理访问控制核心机房、网络设备间仅限IT运维人员进入，需凭工牌+指纹双重验证，访问记录实时上传至监控系统（保存至少1年）。办公区域无线网（Wi-Fi）分为“访客网”与“办公网”：访客网仅开放互联网访问，禁止访问内部系统；办公网需通过工牌认证+动态密码（每30分钟更新）接入，连接后自动分配内网IP。5.2逻辑访问控制多因素认证（MFA）：所有L2及以上权限账号必须启用MFA（可选短信验证码、硬件令牌、生物识别）。L3/L4权限账号强制使用硬件令牌（如U盾），且令牌需与账号绑定，丢失后需72小时内到IT部门补办并重置权限。会话管理：L1权限账号空闲30分钟自动退出；L2及以上权限账号空闲15分钟自动退出，重新登录需二次验证。网络分段：公司网络划分为办公区、生产区、测试区，区域间访问需通过防火墙策略控制。生产区（存储核心业务数据）仅允许L3及以上权限用户访问，且访问记录需实时同步至安全审计平台。六、用户安全操作规范6.1密码与身份管理禁止共享账号或使用他人账号登录，禁止将密码告知他人（含同事、家属）。密码需每90天强制更换，禁止重复使用近3次密码。L3/L4权限账号密码需每30天更换，且长度不低于12位（包含大小写字母+数字+2种特殊符号）。禁止在公共设备（如会议室电脑）保存密码，禁止使用“123456”“password”“生日”等弱密码（系统自动检测，弱密码无法提交）。6.2数据传输与存储传输敏感数据（如客户身份证号、财务报表）需通过公司加密邮件系统（SMIME加密）或文件传输平台（支持AES-256加密），禁止使用个人邮箱、微信、QQ等第三方工具。本地存储敏感数据需加密（如WindowsBitLocker、macOSFileVault），加密密钥由用户自行保管（禁止明文记录）。移动存储设备（U盘、移动硬盘）需经IT部门备案（粘贴唯一编号标签），禁止使用未经备案的设备拷贝数据。6.3终端设备安全办公电脑需安装公司统一的终端安全管理软件（含杀毒、补丁管理、行为监控），禁止卸载或关闭防护功能。未安装软件的设备禁止接入办公网。移动设备（手机、平板）接入办公网需通过“企业移动管理（EMM）平台”，仅允许安装公司应用商店内的软件，禁止安装游戏、社交、金融类第三方应用（经审批的办公类社交软件如企业微信除外）。禁止在办公设备上运行“破解软件”“盗版工具”或访问非法网站（系统自动拦截钓鱼网站、恶意下载链接）。6.4邮件与即时通讯安全收到可疑邮件（如陌生发件人、超大附件、诱导点击链接）需立即标记为“垃圾邮件”并转发至安全邮箱（sec@），禁止直接打开附件或点击链接。使用企业微信/钉钉等内部通讯工具时，禁止传输敏感数据（如截图、文件），确需传输的需通过加密文件传输功能，并标注“敏感”标签（系统自动记录留存）。七、安全监测与审计7.1监测范围与工具监测内容包括：账号登录日志（时间、IP、设备）、系统操作日志（数据查询、修改、删除）、网络流量（异常大流量、跨区域访问）。使用安全信息与事件管理系统（SIEM）集中采集日志，通过规则引擎（如“同一账号10分钟内5次错误登录”“非工作时间访问财务系统”）触发预警。7.2审计流程与频率日常审计：信息安全部门每日检查预警事件，72小时内完成核查（如确认是误报需记录原因；确认违规需启动问责流程）。专项审计：每季度对L3/L4权限账号进行全量审计，重点检查权限使用合规性（如是否超范围操作）、日志完整性（如是否存在日志删除记录）。外部审计：每年聘请第三方机构进行网络安全审计，审计报告提交管理层并公示整改计划。7.3违规处理首次违规（如弱密码、未及时更新补丁）：口头警告+安全培训（2小时）。二次违规（如共享账号、传输敏感数据至第三方工具）：书面警告+扣减当月绩效10%，违规记录计入个人安全档案。三次及以上违规或重大安全事件（如因操作失误导致数据泄露）：解除劳动合同（正式员工）或终止合作（外包/第三方用户），并依法追究责任。八、安全培训与考核8.1培训计划新员工培训：入职7个工作日内完成《网络安全基础》培训（含制度解读、常见攻击场景、应急流程），通过线上测试（满分100分，80分合格，不合格需补考）。在职培训：每季度开展1次专题培训（如“钓鱼邮件防范”“移动设备安全”），每半年组织1次模拟演练（如模拟数据泄露事件，测试员工应急响应能力）。重点岗位培训：L3/L4权限用户每季度参加1次高级安全培训（含权限管理最佳实践、零信任架构原理），培训记录作为权限续期的必要条件。8.2考核与激励