行政事业单位信息设施安全管理制度

行政事业单位信息设施安全管理制度行政事业单位信息设施安全管理以保障信息系统稳定运行、数据资产安全可控、业务连续性为核心目标，遵循“谁主管谁负责、谁使用谁负责、预防为主、综合防控”原则，覆盖信息设施规划、采购、部署、使用、维护、报废全生命周期，贯穿网络边界、终端设备、数据存储、传输交换等关键环节，具体管理要求如下：一、责任体系与岗位设置（一）单位主要负责人为信息设施安全第一责任人，负责审批安全策略、协调资源保障、监督重大安全事项落实；分管信息化工作的领导为直接责任人，牵头制定安全管理制度、组织安全检查与考核；信息中心为安全管理主责部门，负责制度执行、技术防护、应急处置等具体工作；各业务部门负责人为部门内信息设施使用安全的直接责任人，承担本部门终端设备、业务系统操作合规性管理职责。（二）设立专职安全管理岗位，配备不少于2名信息安全管理员（需具备网络安全相关资质或3年以上相关工作经验），负责安全策略制定、风险评估、日志审计、事件处置等工作；系统运维岗与安全管理岗分离，运维人员仅负责设备日常维护，不得兼任安全策略配置、权限审批等职责；关键业务系统设置双人操作岗，重要操作需两人共同完成并记录过程。（三）建立安全责任清单，明确各岗位安全职责与考核标准，将信息设施安全纳入部门年度绩效考核（权重不低于15%），对因管理失职导致安全事件的，按《行政机关公务员处分条例》等规定追究相关人员责任。二、信息设施全生命周期管理（一）规划采购阶段：信息设施采购需纳入单位年度信息化预算，采购需求由信息中心会同使用部门联合制定，明确安全技术指标（如符合GB/T20271-2019《信息系统安全技术信息系统通用安全技术要求》、支持固件安全升级、具备日志审计功能等）；优先选用通过国家信息安全产品认证（如中国网络安全审查技术与认证中心认证）的设备，禁止采购来源不明、无安全认证或存在已知高危漏洞的产品；采购合同需明确供应商安全责任，包括提供技术支持、漏洞修复服务、数据脱敏承诺等条款。（二）部署配置阶段：新设备部署前需进行安全检测，包括硬件完整性检查（无物理篡改）、固件版本验证（非篡改版本）、操作系统基线配置核查（关闭默认账号、禁用不必要服务、启用防火墙等）；网络设备配置遵循最小权限原则，仅开放业务必需的端口和协议，核心交换机、路由器等设备启用访问控制列表（ACL），限制非授权访问；服务器需划分专用管理网段，管理终端与业务终端物理隔离，管理账号采用双因素认证（如用户名+动态令牌）。（三）使用维护阶段：建立信息设施台账，记录设备名称、型号、IP地址、责任人、部署位置、采购时间等信息，每季度更新一次；终端设备（含台式机、笔记本、打印机、扫描仪等）实行注册管理，未注册设备禁止接入内网；严禁私自改装设备（如拆卸硬盘、更换主板）、私接无线上网卡或移动路由设备；服务器、网络设备等关键设施需放置于专用机房，机房实行双人双锁管理，进入需登记并经信息中心负责人审批，监控录像保存至少90天。（四）报废处置阶段：拟报废设备需经信息中心安全检测，确认存储介质内数据已彻底清除（采用DBAN等专业工具覆盖擦除3次以上，或物理销毁硬盘）；存储过敏感数据（如财务数据、个人信息）的设备，其存储介质须由单位纪检部门监督销毁，留存销毁过程影像资料；报废设备处置需通过正规渠道，与具备资质的回收企业签订协议，禁止直接转卖或丢弃。三、网络安全防护要求（一）网络区域划分：将内部网络划分为办公网、业务网、互联网接入区三个安全域，不同安全域之间通过防火墙或逻辑隔离设备进行隔离；办公网仅用于日常办公，禁止部署业务系统；业务网部署核心业务系统（如财务系统、人事管理系统），限制访问权限；互联网接入区仅开放必要的对外服务（如门户网站），与其他区域间设置单向访问控制（仅允许外部访问互联网区，禁止反向访问）。（二）边界安全防护：互联网出口部署下一代防火墙、入侵检测系统（IDS）和抗DDoS攻击设备，防火墙策略每季度评审一次，冗余规则及时清理；与外部单位互联（如上级部门、数据共享单位）需通过专用线路或VPN连接，VPN采用IPSec或SSL协议，认证方式为数字证书+动态口令；无线网络（WLAN）仅允许内部终端接入，使用WPA3加密，SSID隐藏，接入需通过802.1X认证（绑定MAC地址+用户名密码），禁止开放Guest网络。（三）终端安全管理：所有终端设备必须安装统一的终端安全管理软件，实现防病毒（病毒库每日更新）、补丁管理（重要补丁72小时内完成安装）、外设管控（禁用USB存储设备自动运行，仅允许注册过的U盘接入）；移动办公终端（如笔记本电脑）需启用全盘加密（如BitLocker或VeraCrypt），离开办公区域需经部门负责人审批，返回后24小时内提交使用记录；外接设备（如打印机、扫描仪）接入内网前需进行病毒扫描，扫描结果留存备查。四、数据安全管理规范（一）数据分类分级：根据数据敏感性和影响程度，将数据分为三级：一级数据（绝密），如未公开的财务决算数据、涉密人事信息；二级数据（机密），如月度财务报表、在职人员基本信息；三级数据（内部），如公开文件、一般性通知。分类分级结果由信息中心会同业务部门、保密部门联合确认，形成《数据分类分级目录》，每年更新一次。（二）数据访问控制：一级数据访问需经单位主要负责人审批，仅限2名指定人员操作；二级数据访问需经分管领导审批，操作过程全程录像；三级数据访问由部门负责人审批，访问日志留存至少6个月。所有数据访问实行“最小权限”原则，根据岗位职责分配只读、修改、删除等权限，权限变更需填写《权限变更申请表》，经审批后由安全管理员执行。（三）数据存储安全：本地存储的一级数据需加密存储（加密算法不低于AES-256），密钥由安全管理员与纪检部门各持一半，解密需两人同时在场；数据库管理系统启用审计功能，记录所有数据操作（增删改查）的时间、账号、IP地址，审计日志每日备份至离线存储设备；业务数据每日增量备份、每周全量备份，备份介质存放在与机房物理隔离的安全场所，每季度进行一次恢复测试，测试结果报分管领导。（四）数据传输安全：跨安全域传输数据需通过加密通道（如SSL/TLS1.2以上版本），传输一级数据时需使用数字签名验证发送方身份；通过互联网传输内部数据时，需压缩加密后通过单位专用邮件系统或文件传输平台发送，禁止使用公共邮箱或即时通讯工具（如微信、QQ）传输二级及以上数据；与外部单位交换数据前需签订《数据安全协议》，明确数据用途、保存期限、泄露责任等条款，交换过程由安全管理员全程监控。五、运维操作与应急管理（一）日常运维规范：制定《信息设施运维操作手册》，明确服务器重启、数据库备份、网络设备配置变更等操作的步骤、注意事项和审批流程；高风险操作（如修改核心路由策略、删除生产数据库）需提前3个工作日提交申请，经分管领导审批后在非业务高峰时段（如20:00-24:00）执行，操作时需两人在场（一人操作、一人监督），并记录操作前后系统状态。（二）远程运维管理：远程登录服务器或网络设备需通过专用运维终端（仅用于运维操作，禁止访问互联网），使用SSH（端口22）或RDP（端口3389）协议，禁止使用默认端口；远程运维账号设置复杂密码（长度≥12位，包含字母、数字、符号），每30天更换一次；临时远程运维（如供应商技术支持）需经信息中心负责人审批，限定访问时间（不超过24小时），访问过程全程录像，结束后立即删除临时账号。（三）应急响应机制：制定《信息安全事件应急预案》，明确事件分级标准（一般事件：单台终端感染病毒；较大事件：业务系统中断超过2小时；重大事件：数据泄露涉及500人以上）、响应流程（发现-报告-隔离-处置-恢复-总结）和责任分工；每季度开展一次应急演练（模拟勒索病毒攻击、数据库误删除等场景），演练记录报单位主要负责人；发生较大及以上安全事件时，需在1小时内向上级主管部门报告，24小时内提交书面报告，48小时内完成系统恢复。（四）第三方运维管理：委托外部单位进行运维服务时，需签订《安全保密协议》，要求其人员提供无犯罪记录证明并接受安全培训；第三方人员仅限访问授权范围内的设备和数据，操作过程由单位安全管理员全程监督；运维结束后，立即回收临时账号、删除日志外的操作记录，设备接入点恢复初始配置。六、安全培训与检查考核（一）常态化培训：每半年组织一次全员安全培训，内容包括网络安全法解读、常见攻击手段（如钓鱼邮件、社会工程学）防范、数据安全操作规范等；新入职人员需完成岗前安全培训（课时≥8小时），考核合格后方可使用信息设施；重点岗位人员（如财务人员、档案管理员）每年参加专项培训（课时≥12小时），培训记录存入个人档案。（二）定期检查机制：信息中心每月开展一次自查，检查内容包括设备台账完整性、终端安全软件运行状态、数据备份有效性等，形成《安全检查报告》；每季度联合纪检部门开展一次专项检查，重点核查高风险操作记录、数据访问日志、应急演练落实情