部门网络安全履职考核细则

部门网络安全履职考核细则第一章总则第一条为全面贯彻落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及关键信息基础设施安全保护相关条例，进一步压实各部门网络安全主体责任，建立健全网络安全责任制考核体系，切实提升整体网络安全防护能力与风险管控水平，特制定本细则。第二条本细则适用于公司及下属单位所有业务部门及职能管理部门（以下统称“各部门”）。考核工作坚持“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则，确立网络安全“一把手”工程，将网络安全履职情况纳入部门年度绩效考核体系，作为评优评先、领导班子综合考核评价的重要依据。第三条考核工作遵循客观公正、科学规范、突出重点、注重实效的原则。考核内容不仅关注防御体系的建立，更关注运行过程中的实际效果、隐患排查治理能力以及突发事件的应急响应效率，确保网络安全工作可量化、可追溯、可问责。第四条考核目标是通过系统性的履职评价，推动各部门从“被动防御”向“主动防控”转变，实现网络安全管理常态化、制度规范化、技术标准化，有效防范重大网络安全事件发生，保障业务连续性和数据完整性。第二章组织管理与职责分工第五条网络安全工作领导小组负责统筹领导全公司网络安全履职考核工作，审定考核方案、评分标准及最终考核结果，研究解决考核中出现的重大争议和问题。第六条网络安全管理部门（或信息安全部）作为考核的牵头执行部门，具体职责包括：（一）制定年度网络安全履职考核实施细则及评分表；（二）建立日常监测与审计机制，收集各部门网络安全运行数据；（三）组织季度检查、专项督查及年度考核评审；（四）汇总考核结果，形成分析报告，提出整改建议与奖惩意见。第七条人力资源部负责将网络安全履职考核结果纳入部门年度绩效薪酬分配及干部任免体系，协同落实考核结果的奖惩应用。第八条各部门负责人是本部门网络安全第一责任人，对本部门网络安全履职情况负总责。各部门应设立网络安全兼职管理员，负责对接考核工作，落实具体整改任务，并建立部门内部网络安全责任制，将责任细化到具体岗位和人员。第三章考核维度与核心内容第九条考核内容围绕组织领导、制度建设、资产管理、技术防护、数据安全、应急响应、教育培训、监督整改等八个维度展开，实行百分制评分，并设置加分项与一票否决项。第十条组织领导与责任落实（权重10%）重点考核各部门网络安全组织架构的建立与运行情况。（一）是否明确部门负责人为网络安全第一责任人，并签订《网络安全责任书》；（二）是否定期召开部门内部网络安全专题会议（每季度至少一次），研究部署本部门网络安全工作，并有完整的会议纪要；（三）是否设立专（兼）职网络安全管理员，且人员具备相应的专业技能，保持队伍稳定性；（四）是否保障本部门网络安全项目建设、运维服务及培训教育所需的经费预算。第十一条制度建设与合规管理（权重10%）重点考核制度体系的完善性及落地执行情况。（一）是否根据国家法律法规及公司总体制度，结合部门业务特点，制定内部网络安全管理细则、操作规程或应急预案；（二）制度内容是否覆盖人员准入、权限管理、设备接入、数据流转等关键环节；（三）制度修订是否及时，每年至少开展一次制度适用性评估与更新；（四）是否建立并执行网络安全合规性自查机制，定期对照等级保护标准进行自查。第十二条资产与漏洞管理（权重15%）重点考核信息资产底数清晰度及风险闭环管理能力。（一）资产台账管理：是否建立完整的信息资产清单（包括服务器、终端、网络设备、应用系统、数据资产等），且账实相符率需达到100%；新增或变更资产是否在24小时内更新台账；（二）软件供应链管理：是否对引入的第三方软件、开源组件进行安全评估，建立软件物料清单（SBOM），防范供应链风险；（三）漏洞全生命周期管理：是否定期开展漏洞扫描（系统至少每季度一次，应用上线前必扫），发现的高危及以上漏洞是否在规定时限（高危48小时，中危7天）内完成修复或验证；（四）配置核查：是否定期核查系统基线配置，关闭不必要的服务和端口。第十三条网络边界与终端安全（权重15%）重点考核技术防护措施的有效性。（一）网络隔离：业务系统是否按安全等级划分区域部署，违规跨区连接行为是否为零；互联网出口是否统一管理，严禁私接外网；（二）访问控制：是否严格实施防火墙策略、ACL规则，策略变更是否经过审批与最小权限原则；是否采用多因素认证方式访问关键系统；（三）终端安全：办公终端是否全部安装杀毒软件并更新病毒库；是否违规开启远程桌面、共享文件夹；是否违规使用无线热点；（四）移动存储介质：是否建立U盘、移动硬盘等介质的使用登记制度，严禁在涉密计算机与互联网计算机之间交叉使用。第十四条数据安全与个人信息保护（权重20%）重点考核数据全生命周期安全管理及隐私保护能力。（一）数据分类分级：是否按照公司数据分类分级标准，对部门产生和管理的数据进行打标定级，形成数据资产地图；（二）权限管控：是否严格执行数据访问权限审批，坚持“最小够用”原则，是否存在越权查询、下载敏感数据行为；（三）数据脱敏与加密：测试环境数据是否经过脱敏处理；敏感数据存储和传输是否采用国密算法加密；（四）数据出境与共享：向第三方提供或共享数据时，是否经过安全评估并签署保密协议；是否存在违规向境外传输数据的行为；（五）个人信息保护：面向公众采集个人信息时，是否遵循“告知-同意”原则，是否提供注销或撤回同意的功能。第十五条应急响应与事件处置（权重10%）重点考核突发事件应对能力及演练效果。（一）应急预案：是否制定贴合业务实际的应急预案，且要素齐全、流程清晰；（二）应急演练：是否每年至少组织一次实战化应急演练或桌面推演，并有演练记录与总结报告；（三）事件报告：发生网络安全事件时，是否严格遵守“双报告”制度（即向公司主管部门报告、向当地网安部门报告），严禁迟报、瞒报、漏报；（四）处置效率：在发生攻击或故障时，是否能够快速定位、隔离并恢复，业务恢复时间（RTO）和数据恢复点（RPO）是否符合预定指标。第十六条宣传教育与人员管理（权重10%）重点考核全员安全意识及人员操作规范。（一）教育培训：是否定期组织部门全员网络安全培训（每年至少4次），新员工入职是否进行100%安全培训与考核；（二）意识考核：是否组织全员参加网络安全知识考试或钓鱼邮件演练，员工被钓鱼率需低于公司设定阈值；（三）人员离岗：员工离职、转岗时，是否立即注销其系统账号、回收权限及资产，并签署保密承诺书；（四）外包管理：是否对外包人员进行背景审查，签署保密协议，并对其操作行为进行全程审计与监控。第十七条监督整改与持续改进（权重10%）重点考核问题整改的及时性与彻底性。（一）问题整改：对于日常检查、审计、通报中发现的安全隐患，是否按期完成整改，整改率达到100%；（二）举一反三：是否针对行业内发生的典型安全事件，开展类比排查，防范同类风险；（三）配合监管：是否积极配合上级监管部门或公司内部组织的各项网络安全检查、攻防演练（如HVV）工作。第四章考核方式与程序第十八条考核采取日常考核、季度督查与年度综合评定相结合的方式。日常考核侧重于自动化监测数据与日志审计；季度督查侧重于现场抽查与制度执行验证；年度考核为全面综合评价。第十九条日常监测与数据采集网络安全管理部门通过态势感知平台、终端安全管理平台、日志审计系统等工具，实时采集各部门的资产在线率、漏洞修复率、病毒感染率、违规外联次数等数据，形成月度运行报告，作为年度考核的基础数据来源。第二十条季度专项督查每季度末，由考核组抽取重点部门或关键业务系统进行现场检查。检查方式包括访谈、查阅文档、漏洞扫描、渗透测试等。督查结果进行通报，并按权重计入年度考核总分。第二十一条年度综合考评（一）自查自评：每年12月中旬，各部门对照本细则进行全面自查，提交《年度网络安全履职自查报告》；（二）现场复核：考核组对自查报告进行复核，并结合全年监测数据、季度督查结果、整改完成情况等进行综合评分；（三）结果审定：初步评分结果报网络安全工作领导小组审议，确定最终考核等级。第二十二条考核等级划分根据最终得分，考核结果划分为四个等级：（一）优秀（90分及以上）：网络安全管理体系健全，防护措施有效，全年无安全责任事故；（二）良好（80分-89分）：网络安全管理较为规范，基本满足防护要求，无重大安全事件；（三）合格（70分-79分）：存在一定安全隐患，但在考核期内已完成整改或未造成后果；（四）不合格（70分以下）：网络安全管理混乱，存在重大隐患未整改，或发生安全责任事故。第五章评分标准与量化指标第二十三条为确保考核的客观性与可操作性，制定详细的量化评分表。具体指标及分值如下：考核维度序号考核指标分值评分标准（扣分细则）数据来源一、组织领导1.1责任书签订3未签订部门级网络安全责任书，扣3分；签署不规范或未全员覆盖，扣1分。文档查验1.2专题会议3未每季度召开专题会议，每缺一次扣1分；无会议纪要或决议未落实，扣0.5分/次。会议记录1.3人员配备2未设立专兼职安全管理员，扣2分；人员变更频繁导致工作脱节，扣1分。人员名单1.4经费保障2未落实网络安全相关预算，或预算执行率低于50%，扣2分。财务数据二、制度建设2.1制度完备性3缺少必要的管理细则或操作规程，每缺一项扣1分。制度文档2.2制度更新3未每年开展制度评估与修订，扣3分。版本记录2.3合规自查4未定期开展等级保护自查或合规检查，扣4分；无自查报告，扣2分。自查报告三、资产管理3.1资产台账准确率5账实相符率低于100%，每发现一处偏差扣0.5分；新增资产未及时登记，扣1分/个。现场核查3.2漏洞修复时效性5高危漏洞未在48小时内修复，扣2分/个；中危漏洞未在7天内修复，扣1分/个。漏扫报告3.3软件供应链管理3使用未报备的开源组件或第三方软件，扣1分/次；存在已知高危漏洞组件，扣2分/个。成分分析3.4配置基线核查2基线配置不符合安全要求，扣1分/项。配置审计四、技术防护4.1网络边界隔离5违规跨网连接、私接互联网，扣5分/次；非必要端口对外开放，扣2分/个。流量监测4.2访问控制策略3防火墙/ACL策略存在“Any-Any”宽泛策略，扣2分/条；策略未定期清理，扣1分。策略审计4.3终端合规率4杀毒软件未安装或病毒库过期，扣1分/台；违规安装软件，扣0.5分/台。终端审计4.4弱口令管理3存在空口令、弱口令账户，扣2分/个。账号审计五、数据安全5.1数据分类分级5未完成数据资产打标定级，扣5分；分级不准确，扣2分。数据平台5.2敏感数据脱敏5测试环境包含真实明文敏感数据，扣5分；开发运维人员违规查询数据，扣5分/次。数据审计5.3数据加密传输5敏感数据明文传输，扣2分/次；未使用加密协议，扣2分。流量分析5.4数据出境审批5向境外传输数据未经安全评估，扣5分；向第三方提供数据无协议，扣3分。传输记录六、应急响应6.1应急预案完备性3预案缺失或未覆盖关键业务，扣3分；预案未更新，扣1分。预案文档6.2应急演练4未开展年度演练，扣4分；演练无总结或效果评估，扣2分。演练记录6.3事件报告时效3发生安全事件迟报、瞒报，扣3分；造成恶劣影响，一票否决。事件记录七、教育培训7.1安全培训覆盖率3培训覆盖率未达100%，扣3分；无培训记录，扣1分。培训档案7.2钓鱼演练中招率4员工钓鱼点击率超过5%，每超1%扣1分。演练报告7.3外包人员管理3外包人员无背景审查或保密协议，扣3分；操作无审计，扣1分。审计日志八、监督整改8.1隐患整改率5整改率未达100%，每有一项未整改扣2分。整改台账8.2配合监管检查5不配合公司或监管部门检查，扣5分；对通报问题敷衍塞责，扣3分。检查记录第二十四条加分项（一）在网络安全技术创新、攻防比赛中获得省部级以上表彰的，加3-5分；（二）主动发现并上报重大高危漏洞，避免重大损失发生的，加2-5分；（三）在年度“护网行动”或重保期间表现突出，受到公司嘉奖的，加3分。第二十五条一票否决项凡发生以下情况之一的，年度考核直接定为“不合格”，并依照相关规定追究责任：（一）发生由于管理不善导致的数据泄露、丢失、篡改等重大安全事件，造成严重社会影响或经济损失的；（二）发生关键信息基础设施中断运行超过2小时以上的；（三）在国家级重要活动保障期间发生网络安全责任事故的；（四）存在重大安全隐患拒不整改，导致被上级监管部门通报批评或处罚的。第六章结果应用与奖惩第二十六条考核结果与部门年度绩效挂钩。考核等级为“优秀”的部门，在年度绩效分配中给予正向激励，原则上网络安全专项奖金系数不低于1.1；考核等级为“不合格”的部门，扣减部门年度绩效奖金，并取消部门年度评优评先资格。第二十七条建立考核结果约谈机制。对考核排名靠后或被评为“不合格”的部门，由公司分管领导约谈部门主要负责人，责令其限期整改，并提交书面整改报告和保证书。连续两年考核不合格的，调整部门主要负责人岗位。第二十八条实行责任追究制度。对于在考核中发现违规操作、越权访问、数据泄露等行为的责任人，依据公司违规违纪处理办法给予纪律处分；情节严重构成犯罪的，依法移送司法机关处理。第二十九条对于在考核工作中弄虚作假、瞒报漏报数据的部门，一经查实，考核成绩直接降级处理，并通报批评。第七章申诉与监督第三十条建立考核申诉机制。各部门对考核结果有异议的，可在收到考核结果通报之日起5个工