安全生产安全生产网络安全防护责任制考核办法

安全生产安全生产网络安全防护责任制考核办法第一章总则第一条为深入贯彻落实国家网络安全相关法律法规及安全生产管理规定，坚持“安全第一、预防为主、综合治理”的方针，强化安全生产领域网络安全防护责任，构建全方位、全链条、全覆盖的网络安全责任体系，特制定本办法。本办法旨在通过建立科学、严谨、量化的考核机制，确保企业生产经营活动中的网络基础设施、工业控制系统、数据资产及关键业务应用的安全稳定运行，有效防范化解网络安全风险，防止因网络安全事件引发安全生产事故。第二条本办法适用于公司所属各单位、各部门及全体从业人员。考核对象包括但不限于生产车间、设备管理部门、信息技术中心、安全监管部门及各级管理人员。考核内容涵盖网络安全管理责任落实、技术防护体系建设、应急响应处置、安全教育培训及日常运维管理等各个方面。第三条安全生产网络安全防护责任制考核工作遵循以下原则：（一）坚持党政同责、一岗双责、齐抓共管、失职追责。将网络安全防护责任纳入安全生产责任制体系，与生产经营同部署、同落实、同检查、同考核。（二）坚持管业务必须管安全、管行业必须管安全、管生产经营必须管安全。各业务部门在负责生产经营的同时，必须承担相应的网络安全防护责任。（三）坚持客观公正、科学量化、注重实效。考核过程以事实为依据，以数据为准绳，确保考核结果真实反映各单位网络安全防护水平。（四）坚持奖惩分明、激励约束并重。强化考核结果的运用，将网络安全绩效与评优评先、薪酬分配、职务晋升直接挂钩。第四条考核依据包括但不限于《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》《工业控制系统信息安全防护指南》及公司内部《网络安全总体策略》《安全生产管理制度》等相关规定。第二章组织机构与职责第五条公司成立网络安全与安全生产委员会（以下简称“安委会”），作为网络安全防护责任制考核的最高领导机构。安委会负责审定考核办法、年度考核计划及考核结果，研究解决考核中出现的重大问题和争议。安委会下设办公室，负责考核工作的日常组织、协调、监督及资料归档。第六条信息技术中心作为网络安全防护的主管部门，履行以下考核管理职责：（一）制定和完善网络安全防护责任制考核实施细则及评分标准。（二）组织实施季度、年度网络安全防护专项检查与考核。（三）汇总分析考核数据，形成考核报告，提出奖惩建议。（四）指导各单位开展网络安全自查自纠工作，提供技术支持与培训。（五）建立考核档案，记录考核过程、发现问题、整改情况及最终得分。第七条安全监督管理部门作为安全生产的综合监管部门，履行以下协同考核职责：（一）将网络安全防护指标纳入安全生产年度目标责任书。（二）参与网络安全防护责任制考核工作，重点监督网络安全事件对安全生产的影响。（三）对因网络安全问题导致的安全生产隐患或事故进行追责。（四）督促落实网络安全问题的整改闭环管理。第八条各业务单位及生产车间是网络安全防护的责任主体，其主要负责人是本单位网络安全第一责任人。其职责包括：（一）建立健全本单位网络安全防护责任制，明确各岗位的安全职责。（二）制定年度网络安全工作计划，并组织实施。（三）定期开展网络安全自查和风险评估，及时整改隐患。（四）组织本单位员工参加网络安全知识培训和应急演练。（五）配合公司组织的考核检查工作，对查出的问题负责整改落实。第三章考核内容与评分标准第九条考核内容主要包括组织领导与责任落实、制度建设与执行、技术防护能力、应急管理与事件处置、教育培训与意识培养、安全运行与隐患治理六个方面。考核实行百分制，另设加分项和一票否决项。第十条组织领导与责任落实（权重15分）重点考核各单位是否将网络安全纳入重要议事日程，是否明确分管领导和专职（兼职）安全员，是否层层签订网络安全责任书，是否定期召开网络安全工作会议分析研判形势。第十一条制度建设与执行（权重15分）重点考核网络安全管理制度体系的完备性及执行力度。包括但不限于账号权限管理制度、数据备份与恢复制度、工控系统安全管理规定、外来人员接入管理制度等是否建立健全，以及日常操作是否符合制度规范。第十二条技术防护能力（权重30分）重点考核网络安全技术防护措施的部署与有效性。包括网络边界防护、工业控制系统隔离、终端安全管理、病毒防护、漏洞修补、身份鉴别、访问控制、安全审计等技术指标的落实情况。第十三条应急管理与事件处置（权重15分）重点考核应急预案的实用性、应急队伍的建设、应急物资的储备、定期演练的开展情况以及网络安全事件的报告、响应和处置效率。第十四条教育培训与意识培养（权重10分）重点考核网络安全培训计划的实施情况、员工网络安全意识测试成绩、社会工程学防范能力以及新员工上岗前的安全培训情况。第十五条安全运行与隐患治理（权重15分）重点考核日常安全巡检记录、隐患排查治理台账、问题整改率、系统运行可用率及数据完整性校验等运维指标。第十六条具体考核评分标准详见下表。考核组将依据此表进行现场查验、资料审查和技术检测。考核维度权重序号考核项目考核内容与标准要求评分标准扣分原因组织领导与责任落实151责任体系建立主要负责人需明确为网络安全第一责任人，明确分管领导及专兼职管理员；职责清晰，覆盖到岗。未明确第一责任人扣5分；未明确分管领导或管理员扣3分；职责未覆盖全员扣2分。2会议部署每季度至少召开1次网络安全专题会议，研究部署工作，解决实际问题。少一次会议扣2分；会议无记录、无决议扣1分。3责任书签订逐级签订网络安全责任书，明确年度目标。未签订扣5分；签订不全扣2分；内容与实际不符扣1分。制度建设与执行154管理制度完备性建立账号管理、数据备份、工控安全、移动介质管理等制度，符合法规要求。缺一项核心制度扣2分；制度内容严重滞后扣1分。5制度执行有效性定期开展制度执行情况检查，有检查记录和问题通报。未开展检查扣3分；发现问题未整改扣2分。6操作规程关键岗位有详细的网络安全操作规程，员工严格按规程操作。无操作规程扣2分；发现违规操作一次扣1分。技术防护能力307网络边界防护生产网与管理网实施有效隔离（物理或逻辑），部署工业防火墙，策略配置最小化。未隔离扣10分；策略配置不合理（如全通）扣5分；无审计日志扣2分。8终端安全管理生产终端、办公终端安装杀毒软件，病毒库及时更新；开启主机防火墙；补丁及时更新。未安装杀毒软件每台扣2分；病毒库未更新扣1分；存在高危漏洞未修补每处扣2分。9访问控制实施严格的身份鉴别（双因子认证关键设备），权限分配遵循“最小权限”原则，定期审计账号。存在弱口令每处扣2分；权限过大扣2分；僵尸账号未清理每个扣1分。10数据安全关键生产数据实施定期备份（本地+异地），备份数据可恢复；敏感数据加密存储传输。无备份或备份失败扣5分；未做恢复测试扣2分；敏感数据明文传输扣3分。11安全审计关键网络设备、安全设备、服务器开启日志审计功能，日志保存期限符合法规要求（≥6个月）。未开启日志扣3分；日志保存不达标扣2分；日志分析缺失扣1分。应急管理与事件处置1512应急预案制定网络安全事件应急预案，预案通过专家评审或备案，且具有针对性。无预案扣5分；预案未更新或未备案扣2分；与实际脱节扣2分。13应急演练每年至少开展1次网络安全应急演练（含实战攻防或桌面推演），有演练总结和改进报告。未开展演练扣5分；演练方案简单扣2分；无改进措施扣1分。14事件处置发生安全事件按规定时限上报，处置流程规范，未发生瞒报、迟报。发生安全事件未及时上报扣5分；处置不当导致事态扩大扣3分；瞒报一票否决。教育培训与意识培养1015宣传培训�年开展全员网络安全培训不少于2次，新员工100%培训上岗。培训次数不足扣2分；新员工未培训扣2分；培训效果无评估扣1分。16意识测试定期组织网络安全意识测试或钓鱼邮件演练，员工通过率达标。未组织测试扣2分；通过率低于80%扣2分。安全运行与隐患治理1517日常巡检每日开展系统运行状态巡检，每周开展安全日志分析，记录完整。巡检记录缺失扣3分；日志分析流于形式扣2分。18隐患整改对检查发现的隐患建立台账，明确整改责任人、资金、时限，实现闭环管理。隐患未整改每处扣2分；整改不彻底扣1分；无台账扣2分。19变更管理网络架构、系统配置变更履行审批手续，变更前进行风险评估和回退方案制定。违规变更扣5分；无回退方案扣2分；变更导致故障扣3分。第四章考核方式与程序第二十条考核方式分为日常考核、季度专项考核和年度综合考核。（一）日常考核：由信息技术中心结合日常运维监控、日志审计、漏洞扫描等工作进行，主要针对各单位日常违规操作、隐患整改及时性等进行记录和扣分，作为季度和年度考核的基础数据。（二）季度专项考核：每季度末开展，重点针对当季度重点网络安全工作落实情况、重大活动保障情况进行专项检查。考核采取听取汇报、查阅资料、现场核查、技术检测（如漏洞扫描、渗透测试）等方式进行。（三）年度综合考核：每年12月至次年1月进行，对全年网络安全防护工作进行全面评价。年度考核得分由四个季度专项考核得分平均值（占60%）和年终现场综合考核得分（占40%）构成。第二十一条考核程序：（一）考核预告：信息技术中心提前5个工作日下发考核通知，明确考核时间、范围、内容及配合要求。（二）单位自评：被考核单位对照考核标准进行自查自评，提交自评报告及相关证明材料。（三）现场考核：考核组进驻现场，听取汇报，查阅台账资料，对关键系统和重要岗位进行实地检查和技术测试。（四）问题确认：考核组将发现的问题向被考核单位进行反馈，确认事实，由被考核单位负责人签字认领。（五）评分汇总：考核组根据检查情况，结合日常考核记录，计算最终得分，形成考核报告。（六）结果审定：考核报告报公司安委会审定，确定最终考核等级。第二十二条现场考核中，对于涉及生产核心工控系统的检测，必须严格履行审批手续，在非生产高峰期或测试环境中进行，严禁在无防护措施的情况下对生产系统进行具有破坏性的测试。第五章奖惩规定第二十三条考核结果分为优秀、良好、合格、不合格四个等级。考核得分90分及以上为优秀；80分至89分为良好；60分至79分为合格；60分以下为不合格。第二十四条设立“安全生产网络安全专项奖励基金”，对考核结果优秀的单位和个人予以表彰奖励。（一）年度考核优秀的单位，给予领导班子及网络安全管理部门一次性奖金奖励，并颁发荣誉证书。（二）在网络安全重大隐患排查、重大攻击事件处置中做出突出贡献的个人，给予专项奖励，并作为年度评优评先、职务晋升的重要依据。（三）考核结果与各单位年度安全生产绩效挂钩，按照一定比例折算计入安全生产总分。第二十五条建立责任追究机制，对考核不合格或发生网络安全责任事故的单位和个人进行处罚。（一）年度考核不合格的单位，取消其年度安全生产评优资格，扣减领导班子年度绩效薪酬。主要负责人需向公司安委会做书面检讨，并限期整改。（二）考核中发现重大安全隐患且未及时整改的，对相关责任单位进行通报批评，并处以罚款。（三）因管理不善、责任不落实导致发生一般及以上网络安全事件的，依据公司《安全生产奖惩制度》及国家相关法律法规，对直接责任人和分管领导进行行政处分或经济处罚；构成犯罪的，移交司法机关依法追究刑事责任。第二十六条实行“一票否决”制。凡发生以下情况之一的，年度考核直接定为不合格，并取消所有评优评先资格，从严追究责任：（一）发生关键信息基础设施中断、重要数据泄露或篡改，造成严重社会影响的。（二）发生由于网络安全问题导致的安全生产事故（如工控系统被攻击导致设备损坏、人员伤亡等）。（三）发生重大网络安全事件隐瞒不报、谎报或拖延报告的。（四）违反国家法律法规，造成严重后果的。第六章监督与申诉第二十七条考核工作坚持公开、公平、公正原则，接受全体员工监督。考核结果在公司内部进行公示，公示期不少于3个工作日。第二十八条被考核单位如对考核结果或扣分项有异议，可在公示期内向公司安委会办公室提出书面申诉，并提供相关证据材料。安委会办公室在收到申诉后5个工作日内组织复核，并将复核结果书面反馈申诉单位。复核结果为最终结论。第二十九条考核人员应严格遵守工作纪律，坚持原则，廉洁自律。在考核过程中徇私舞弊、弄虚作假的，一经查实，从严处理。第七章附则第三十条本办法所涉及的考核评分标准，将根据国家法律法规变化、公司业务发展及技术进步情况，由信息技术中心牵头适时进行修订和调整，经安委会批准后发布实施。第三十一条本办法中涉及的数据表格、自查报告模板、整改通知书格式等，由信息技术中心统一制定并另行下发。第三十二条各单位可依据本办法，结合自身实际情况，制定具体的实施细则，报信息技术中心备案。第三十三条本办法由公司网络安全与安全生产委员会负责解释。第三十四条本办法自发布之日起施行。原相关规定与本办法不一致的，以本办法为准。第八章专项技术防护细则补充第三十五条为确保考核的技术深度与落地性，针对工业控制系统（ICS）及关键信息基础设施，特制定以下专项技术防护细则，作为第三章技术防护能力考核的具体操作指南。第三十六条工业控制系统隔离防护要求：（一）安全管理要求：工业控制系统（如PLC、DCS、SCADA等）必须与企业办公网、互联网实行逻辑隔离或物理隔离。严禁未授权的跨区域连接。（二）单向隔离要求：对于必须进行数据交换的生产网与管理网，应部署工业网闸或单向隔离设备，确保数据流向为受控单向（如仅从生产网向管理网传输数据），阻断反向攻击路径。（三）无线接入管控：生产区域严禁擅自搭建无线局域网（WLAN）。确需使用的无线设备，必须采用高强度加密协议（如WPA2-Enterprise及以上），并实施MAC地址绑定和物理位置定位管理。第三十七条移动介质与外设管理：（一）专机专用管理：生产现场涉及工控系统的计算机，必须封闭USB存储端口，或使用专用的安全U盘。严禁使用个人U盘在工控机上进行数据拷贝。（二）中间机机制：确需进行数据交换的，应设置中间机（摆渡机），中间机应安装最新版本的杀毒软件，并进行严格的查杀处理。（三）外设管控：严禁在工控机上连接未经授权的外部设备（如智能手机、便携式打印机、蓝牙设备等）。第三十八条软件与补丁管理：（一）最小化安装：工控系统计算机仅安装操作系统和必须的应用软件，禁止安装游戏、办公软件、聊天工具等与生产无关的程序。（二）补丁测试机制：操作系统和应用软件补丁更新必须遵循“先测试、后发布”的原则。在测试环境中验证补丁对业务系统的兼容性后，方可分批次在生产环境部署。（三）白名单策略：工控系统应强制实施应用程序白名单策略，仅允许经过认证的合法程序运行，禁止未知的可执行代码执行。第三十九条入侵检测与监测审计：（一）工控审计监测：在工控网络关键节点部署工业控制系统安全审计系统，实时监测Modbus、OPC、IEC104等工控协议的指令行为。（二）异常行为分析：审计系统应具备异常行为分析能力，能够识别非法PLC指令写入、寄存器异常修改、频繁连接请求等攻击行为，并实时报警。（三）日志完整性保护：工控系统的操作日志、故障日志、安全日志应同步发送至专用日志服务器，防止攻击者通过清除本地日志掩盖攻击痕迹。第九章应急响应与实战演练细则第四十条应急响应准备要求：（一）应急工具包：各生产单位应准备网络安全应急工具包，包含系统启动盘、关键配置文件备份、应急杀毒U盘、常用系统恢复软件及关键硬件的备件清单。（二）联系方式更新：建立应急联络通讯录，包含内部技术骨干、厂商技术支持、上级监管部门及公安机关网安部门的联系方式，并每半年更新一次。（三）业务连续性计划：针对关键业务系统，制定手动操作替代方案，确保在系统瘫痪情况下，生产能够降级运行或安全停机，防止事故扩大。第四十一条应急演练实施规范：（一）演练频次：综合应急演练每年至少1次，针对勒索病毒、APT攻击、工控系统入侵等特定场景的专项演练每半年至少1次。（二）盲演机制：鼓励采用“不预先通知时间、不预先通知具体攻击形式”的“双盲”演练，真实检验应急队伍的快速响应能力。（三）演练复盘：演练结束后，必须在5个工作日内召开复盘会议，分析演练中的成功经验和存在问题，修订应急预案，形成《应急演练评估报告》。第四十二条事件分级与处置流程：（一）事件分级：根据影响范围和损失程度，将网络安全事件分为特别重大（I级）、重大（II级）、较大（III级）、一般（IV级）四个等级。（二）断网处置原则：一旦确认生产系统遭受正在进行的网络攻击（如勒索病毒加密、异常指令控制），应立即采取物理断网或紧急断开交换机端口措施，优先保障生产设备和人员安全。（三）溯源分析：事件处置后，应联合专业力量开展溯源分析，查明攻击来源、攻击路径、利用漏洞及攻击目的，形成《网络安全事件分析报告》，并采取针对性加固措施。第十章数据全生命周期安全管理第四十三条数据分类分级管理：（一）资产梳理：全面盘点生产数据、经营数据、客户数据及员工数据，形成数据资产清单。（二）分类分级：依据数据的重要性和敏感程度，将数据分为核心数据、重要数据和一般数据。核心数据（如工艺配方、核心源代码、涉密图纸）应实施最高级别防护。第四十四条数据采集与传输安全：（一）采集合规：数据采集过程不得侵犯用户隐私或违反国家相关数据采集规定。（二）传输加密：核心数据在跨网传输或公网传输过程中，必须采用国密算法（如SM2/SM3/SM4）或高强度国际标准算法（如AES-256）进行加密传输，防止数据被窃听或篡改。第四十五条数据存储与备份安全：（一）存储加密：核心数据存储时应采用透明加密技术，确保存储介质丢失后数据无法被直接读取。（二）备份策略：实施“3-2-1”备份策略（即至少3份数据副本，存储在2种不同介质上，其中1份在异地）。备份介质应定期进行可恢复性测试。（三）去标识化：对涉及个人敏感信息的数据，在进行测试、分析等非生产用途时，必须进行去标识化或匿名化处理。第四十六条数据销毁安全：（一）介质报废：存储过核心数据的硬盘、U盘等存储介质在报废前，必须进行物理销毁（如消磁、粉碎）或符合国家标准的多次覆写，严禁简单格式化后丢弃。（二）逻辑清除：对于不再需要的电子数据，应通过安全工具进行彻底擦除，确保无法通过数据恢复技术还原。第十一章