网络安全自我保护

网络安全自我保护一、风险识别与评估（一）常见风险类型。网络钓鱼、恶意软件、弱密码破解、社交工程、系统漏洞、数据泄露等风险类型需重点识别。各单位应建立风险台账，定期更新风险清单，明确风险等级与影响范围。各单位应建立风险台账，定期更新风险清单，明确风险等级与影响范围。（二）评估方法规范。采用定性与定量相结合的评估方法，结合历史数据与行业基准，对关键信息基础设施进行季度评估。采用定性与定量相结合的评估方法，结合历史数据与行业基准，对关键信息基础设施进行季度评估。（三）评估结果应用。评估结果应纳入年度安全预算，高风险项需制定专项整改方案，整改期限不得超过90天。评估结果应纳入年度安全预算，高风险项需制定专项整改方案，整改期限不得超过90天。二、技术防护措施（一）防火墙部署标准。核心网络区域必须部署双机热备防火墙，策略更新需经过三重审核。核心网络区域必须部署双机热备防火墙，策略更新需经过三重审核。（二）入侵检测配置。IDS系统应采用实时监测模式，误报率控制在5%以内，每周生成分析报告。IDS系统应采用实时监测模式，误报率控制在5%以内，每周生成分析报告。（三）终端安全管理。所有终端必须安装杀毒软件，每日进行全盘扫描，病毒库更新需同步至凌晨2点。所有终端必须安装杀毒软件，每日进行全盘扫描，病毒库更新需同步至凌晨2点。三、访问控制管理（一）权限分级制度。系统管理员权限需经部门负责人审批，操作权限实行最小化原则。系统管理员权限需经部门负责人审批，操作权限实行最小化原则。（二）多因素认证要求。重要业务系统必须启用短信+动态口令认证，认证日志需保存180天。重要业务系统必须启用短信+动态口令认证，认证日志需保存180天。（三）会话管理规范。所有远程会话必须使用加密通道，会话超时时间设定为30分钟。所有远程会话必须使用加密通道，会话超时时间设定为30分钟。四、数据安全防护（一）数据分类分级。按照机密级、内部级、公开级进行三级分类，不同级别数据需采取差异化防护措施。按照机密级、内部级、公开级进行三级分类，不同级别数据需采取差异化防护措施。（二）备份恢复机制。核心数据每日增量备份，每周全量备份，备份数据需异地存储，恢复测试每月进行一次。核心数据每日增量备份，每周全量备份，备份数据需异地存储，恢复测试每月进行一次。（三）数据传输加密。所有跨网段数据传输必须采用TLS1.2协议，传输过程中需进行完整性校验。所有跨网段数据传输必须采用TLS1.2协议，传输过程中需进行完整性校验。五、安全意识培训（一）培训内容体系。包括法律法规、风险识别、应急响应、安全工具使用等模块，每年至少培训两次。包括法律法规、风险识别、应急响应、安全工具使用等模块，每年至少培训两次。（二）考核评估标准。培训后需进行闭卷测试，合格率必须达到95%以上，不合格人员需补训。培训后需进行闭卷测试，合格率必须达到95%以上，不合格人员需补训。（三）培训效果跟踪。每月抽查员工安全操作行为，对违规行为进行通报批评，连续三次违规需调离敏感岗位。每月抽查员工安全操作行为，对违规行为进行通报批评，连续三次违规需调离敏感岗位。六、应急响应机制（一）响应流程规范。发现安全事件后需在30分钟内上报，2小时内启动应急响应，4小时内完成初步处置。发现安全事件后需在30分钟内上报，2小时内启动应急响应，4小时内完成初步处置。（二）处置措施标准。隔离受感染终端，封堵攻击源IP，恢复系统备份，全程记录处置过程。隔离受感染终端，封堵攻击源IP，恢复系统备份，全程记录处置过程。（三）复盘改进要求。每次事件处置后需进行复盘，形成改进报告，相关措施需在30天内落实。每次事件处置后需进行复盘，形成改进报告，相关措施需在30天内落实。七、合规性管理（一）制度体系建设。建立网络安全管理制度汇编，包括保密制度、访问控制制度、应急响应制度等，制度需定期更新。建立网络安全管理制度汇编，包括保密制度、访问控制制度、应急响应制度等，制度需定期更新。（二）合规性检查。每季度进行一次全面检查，重点检查制度落实情况与操作规范性，检查结果需书面报告。每季度进行一次全面检查，重点检查制度落实情况与操作规范性，检查结果需书面报告。（三）整改闭环管理。检查发现的问题需制定整改计划，整改完成后需进行验收，验收合格后方可销项。检查发现的问题需制定整改计划，整改完成后需进行验收，验收合格后方可销项。八、物理环境安全（一）机房管理标准。核心机房需24小时监控，温湿度控制在10-25℃，门禁系统采用人脸识别+指纹双验证。核心机房需24小时监控，温湿度控制在10-25℃，门禁系统采用人脸识别+指纹双验证。（二）设备管理规范。所有网络设备需贴有标签，设备台账需与实物一致，定期进行巡检。所有网络设备需贴有标签，设备台账需与实物一致，定期进行巡检。（三）废弃物处置要求。报废设备必须进行数据销毁，销毁过程需全程录像，记录需保存三年。报废设备必须进行数据销毁，销毁过程需全程录像，记录需保存三年。九、第三方风险管理（一）供应商审查标准。所有第三方供应商需进行安全资质审查，审查内容包括安全认证、人员背景等，审查不合格者不得合作。所有第三方供应商需进行安全资质审查，审查内容包括安全认证、人员背景等，审查不合格者不得合作。（二）合同约束条款。合同中必须包含安全责任条款，明确双方安全义务，违约需承担法律责任。合同中必须包含安全责任条款，明确双方安全义务，违约需承担法律责任。（三）合作过程监控。对第三方人员进行定期抽查，检查其操作行为是否符合安全规范，发现问题需立即整改。对第三方人员进行定期抽查，检查其操作行为是否符合安全规范，发现问题需立即整改。十、持续改进机制（一）安全审计要求。每月进行一次安全审计，审计内容包括制度执行、操作规范性等，审计报告需经主管领导签字。每月进行一次安全审计，审计内容包括制度执行、操作规范性等，审计报告需经主管领导签字。（二）漏洞管理规范。发现漏洞后需在24小时内评估风险，高风险漏洞需在7天内修复，修复过程需经安全部门验收