二级部门子网站安全管理细则

二级部门子网站安全管理细则第一章总则第一条为规范和加强二级部门子网站（以下简称“子网站”）的建设、运行与安全管理，保障信息发布的安全性、准确性和权威性，防范网络攻击、数据泄露等安全风险，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《互联网信息服务管理办法》及上级主管部门关于网络安全的相关规定，结合本单位实际情况，制定本细则。第二条本细则适用于本单位所属各二级部门、直属机构及其他附属单位（以下统称“二级部门”）自行建设、运维或依托第三方平台建设、以本单位名义对外提供服务的各类子网站及其相关信息系统。子网站包括但不限于独立域名二级网站、二级目录、专题专栏、移动端微网站及各类新媒体发布平台。第三条子网站安全管理遵循“谁主管、谁负责；谁运行、谁负责；谁使用、谁负责”的原则，坚持安全防护与信息化建设“同步规划、同步建设、同步使用”。二级部门主要负责人是子网站安全管理的第一责任人，对本部门子网站的安全负全面责任。第四条子网站安全管理目标包括：确保网站持续稳定运行，防止网页被篡改、数据被窃取或破坏，防止有害信息传播，落实网络安全等级保护制度，建立健全安全应急响应机制，提升全员网络安全意识。第二章组织架构与职责第五条单位网络安全与信息化领导小组（以下简称“领导小组”）是子网站安全工作的领导机构，负责审定子网站安全管理制度、年度安全工作计划，统筹协调重大安全事件处置。第六条单位信息化管理部门（或网络中心）作为子网站安全的归口管理部门，主要履行以下职责：（一）制定和修订子网站安全管理相关技术规范和标准；（二）监督、检查和指导各二级部门落实子网站安全防护措施；（三）提供子网站建设的技术支持、安全咨询和托管服务；（四）负责全网范围内的安全监测、漏洞扫描和预警通报；（五）协调处置跨部门或重大的网络安全突发事件。第七条二级部门在子网站安全管理中履行以下职责：（一）落实领导小组及信息化管理部门的安全工作部署，制定本部门子网站安全管理制度和操作规程；（二）负责子网站内容建设的审核、发布与管理，确保信息内容真实、准确、合法；（三）负责子网站后台账号、密码的管理及权限分配；（四）定期开展本部门子网站的安全自查和隐患整改；（五）发生安全事件时，第一时间开展应急处置并上报。第八条单位宣传部门负责对子网站发布的信息内容进行政治导向、舆论导向的监管，协助处置有害信息传播事件。第三章网站建设与上线安全管理第九条子网站建设须严格遵守国家及行业相关标准，新建、改版或迁移子网站必须向信息化管理部门进行备案或审批。备案内容应包括网站名称、域名/IP地址、平台类型、建设方式（自建/托管）、负责人、联系方式及技术架构等。第十条子网站建设应优先采用单位统一推荐的建站系统或云服务平台。确需自行开发或采用第三方商业系统的，必须经过代码安全审计和漏洞检测，严禁使用存在已知高危漏洞的开源版本或盗版软件。第十一条网站开发过程中应遵循安全编码规范，对用户输入进行严格的过滤、验证和转义，防范SQL注入、跨站脚本攻击（XSS）、跨站请求伪造（CSRF）等常见Web漏洞。第十二条子网站在正式上线前，必须通过信息化管理部门组织的安全测评，包括但不限于漏洞扫描、渗透测试和配置核查。对于测评中发现的高危风险，必须整改完毕并复测合格后方可上线运行。第十三条子网站域名管理应遵循统一规划原则。原则上二级部门不得私自注册国际域名或使用未经批准的域名。域名解析记录需由信息化管理部门统一管理或接入监管，严禁私自修改DNS解析指向。第十四条子网站必须启用HTTPS加密传输，申请并部署有效的SSL/TLS数字证书，确保数据传输过程中的机密性和完整性。证书失效前应及时续期，避免出现证书过期告警。第四章系统运维与加固管理第十五条二级部门应加强子网站服务器（含虚拟主机、云主机）及中间件的安全管理，及时关注并安装操作系统、数据库、Web服务器（如Nginx、Apache、IIS）及内容管理系统（CMS）的安全补丁和更新版本。第十六条严格遵循最小化原则配置服务器和Web应用。关闭不必要的服务、端口和组件，限制不必要的脚本执行权限，禁止在Web目录下放置与网站运行无关的文件、脚本或备份文件（如.bak、.sql、.old等）。第十七条子网站应部署必要的安全防护设备或软件。建议在网站前端部署Web应用防火墙（WAF），开启防篡改、防注入、防跨站等防护策略。对于托管在统一平台的子网站，应继承平台的安全防护能力。第十八条建立日志审计制度。子网站应具备访问日志记录功能，详细记录用户访问时间、源IP、访问URL、提交参数、返回状态码等信息。服务器系统日志、应用日志及安全设备日志须保留至少6个月以上，并定期进行备份和分析，以便及时发现异常行为。第十九条实施定期的安全巡检。二级部门应每月至少组织一次对本部门子网站的例行检查，重点检查网站页面是否正常、有无黑链暗链、有无挂马内容、证书是否有效等。信息化管理部门每季度组织一次全面的技术检测。第五章数据安全与备份恢复第二十条子网站涉及的数据包括网站程序代码、数据库文件、静态网页资源、用户上传的附件及发布的历史文档等。所有数据均应分类分级管理，重要数据实施重点保护。第二十一条建立完善的数据备份机制。二级部门需制定详细的备份策略，定期对子网站核心数据和配置文件进行备份。备份数据应采取异地存储或云端存储方式，确保“本地-异地”双重保障。备份类型备份频率保留周期责任主体备注完全备份每周一次至少3个月二级部门包含全库及程序文件增量/差异备份每日一次至少1个月二级部门针对数据库变动部分配置备份发生变更时至少6个月二级部门包含Web配置及IIS/Nginx配置日志备份每日一次至少6个月信息化管理部门系统及访问日志第二十二条备份数据的恢复演练。每半年至少进行一次数据恢复演练，验证备份数据的完整性和可用性，确保在发生灾难性故障时能够快速恢复业务。第二十三条加强用户上传文件的管理。对用户上传的图片、文档、压缩包等文件，必须进行严格的类型白名单校验、文件大小限制及病毒查杀。上传目录应禁止执行脚本权限，防止WebShell上传攻击。第二十四条严禁在子网站数据库中明文存储用户敏感信息（如身份证号、手机号、密码等）。敏感数据必须进行加密存储或脱敏处理，密钥管理应符合国家密码管理相关规定。第六章内容安全与发布审核第二十五条子网站信息发布实行严格的“三审三校”制度和“先审后发”原则。所有上网发布的信息，必须经过编辑初审、部门负责人复审、分管领导终审（或根据授权由信息员审核），重要敏感信息须报单位宣传部门备案。第二十六条内容审核重点包括：（一）政治导向：是否存在违反党的路线方针政策、涉及国家秘密、危害国家安全等内容；（二）法律法规：是否存在法律法规禁止发布的信息；（三）真实性：信息内容是否真实可靠，来源是否权威；（四）知识产权：是否侵犯他人版权、肖像权等合法权益；（五）格式规范：文字、图片、排版是否符合发布标准。第二十七条建立上网信息复查机制。对于已发布的信息，特别是长期静态页面，应定期进行回溯检查，防止因历史漏洞导致页面被篡改植入不良信息。第二十八条子网站严禁开设论坛、留言板、互动社区等具有交互功能的板块（经专项审批的除外）。如确需开设交互功能，必须实行“用户实名制”管理，并具备人工先审后发、关键词过滤、24小时巡查等能力。第二十九条严禁在子网站页面源代码、注释或隐藏链接中植入赌博、色情、私服、游戏外挂等违规黑链。信息化管理部门应定期使用自动化工具检测全网暗链。第三十条子网站转载外部新闻或文章时，必须注明准确来源，不得转载来源不明、未经授权的境外媒体信息或网络谣言。第七章账号与权限管理第三十一条子网站后台管理系统必须设置强密码策略。密码长度不得少于10位，且必须包含大写字母、小写字母、数字和特殊符号中的至少三种。严禁使用弱口令（如123456、admin等）或默认出厂密码。第三十二条实行账号实名制管理。所有后台管理账号必须绑定到具体责任人，实行“一人一号”。严禁共用账号、多人登录同一超级管理员账号。第三十三条定期更换密码。管理员密码应每3个月强制更换一次。当关键岗位人员变动时，必须立即更改相关账号密码。第三十四条严格权限控制。根据岗位职责分配最小必要权限，普通内容编辑账号仅赋予发布和修改权限，不得赋予系统设置、模板修改、插件安装、数据库导入导出等高危权限。第三十五条启用登录安全防护。后台管理系统应具备登录失败处理功能，连续输错密码5次以上应锁定账号或禁止登录IP。建议启用多因素认证（MFA）或动态口令卡登录后台。第三十六条人员离岗离职管理。当网站管理员或信息员离职或岗位调整时，二级部门须在1个工作日内通知系统管理员注销或冻结其后台账号，并做好工作交接，确保资产不流失、权限不遗留。第八章应急响应与事件处置第三十七条建立子网站安全事件应急预案。预案应包括应急组织架构、事件分级标准、响应流程、处置措施、后期恢复及调查评估等内容。二级部门应根据本预案制定适合自身情况的执行方案。第三十八条网站安全事件分为四级：（一）特别重大事件：网站被篡改并传播有害信息，造成严重政治影响或大规模社会恐慌；（二）重大事件：主页被篡改、核心数据泄露或服务中断超过2小时；（三）较大事件：二级栏目被篡改、一般数据泄露或服务中断超过30分钟；（四）一般事件：系统存在高危漏洞、非核心页面被篡改或服务短暂中断。第三十九条事件报告流程。发现子网站安全事件后，发现人应立即向二级部门负责人和信息化管理部门报告。对于较大及以上安全事件，须在15分钟内口头报告，30分钟内书面报告。第四十条事件处置流程：（一）初步研判：确认事件类型、影响范围及危害程度；（二）紧急止损：立即断开网络连接（物理断网或修改DNS解析），防止事态扩大；（三）消除隐患：清除木马、后门、被篡改页面，修补漏洞，更换受损密码；（四）恢复重建：在确认环境安全后，利用备份数据恢复网站业务；（五）总结复盘：分析事件原因，评估损失，形成整改报告。第四十一条严禁瞒报、迟报、漏报网络安全事件。对于因处置不当导致事态扩大的，将追究相关领导及责任人的责任。第九章监督检查与考核奖惩第四十二条信息化管理部门每年至少组织两次对二级部门子网站的专项安全检查。检查方式包括远程技术扫描、现场实地核查、日志审计及渗透测试等。第四十三条检查结果纳入二级部门年度信息化工作及网络安全工作考核评价体系。对于考核优秀的部门予以通报表扬；对于考核不合格的部门予以通报批评。第四十四条违规处理。有下列情形之一的，将视情节轻重，对相关责任人进行约谈、通报批评，直至建议给予纪律处分；违反法律法规的，移交公安机关处理：（一）未建立安全管理制度或制度执行不力，导致发生重大网络安全事件的；（二）拒不配合安全检查，或对发现的安全隐患拒不整改、拖延整改的；（三）私自建设网站、私自托管服务器、私自解析域名的