系统性网络风险源头防控办法

系统性网络风险源头防控办法第一章总则为构建全方位、立体化的网络安全防护体系，切实加强系统性网络风险的源头治理，坚持“安全第一、预防为主、综合治理”的方针，确立从根本消除隐患、从初始阶段阻断风险的管理理念，特制定本办法。本办法旨在通过规范管理流程、强化技术手段、落实主体责任，将网络安全防护关口前移，实现对网络威胁的早发现、早预警、早处置，保障信息系统的机密性、完整性和可用性。本办法适用于单位内部所有涉及网络基础设施建设、信息系统开发与运维、数据处理与存储、网络接入与互联等相关活动的部门及人员。所有参与网络与信息系统建设、运维和使用的第三方合作伙伴也必须严格遵守本办法的相关规定。源头防控工作遵循以下核心原则：一是谁主管谁负责、谁运营谁负责、谁使用谁负责的原则，压实各级主体责任；二是最小权限原则，默认拒绝策略，仅授予完成工作所需的最小权限；三是纵深防御原则，在网络边界、系统应用、数据资产等多个层面构建多重防护屏障；四是动态调整原则，根据网络攻击手段的变化和技术发展，持续优化防控策略。第二章组织架构与职责分工建立健全网络安全源头防控领导机构和工作机制，形成统一领导、分工明确、责任到人、协同联动的工作格局。设立网络安全与信息化领导小组，作为网络安全工作的最高决策机构，负责审定网络安全源头防控的总体策略、规章制度和重大经费预算，决策重大网络安全事件的处置方案。领导小组组长由单位主要负责人担任，对网络安全源头防控工作负总责。设立网络安全管理办公室，作为日常办事机构，设在信息化管理部门。其主要职责包括：组织落实领导小组的各项决策；制定和修订网络安全源头防控相关实施细则和技术标准；统筹协调各业务部门开展网络安全风险评估与整改；监督、检查和考核各部门源头防控措施的执行情况；组织开展网络安全意识教育和技能培训。业务部门是网络安全源头防控的直接责任主体。其主要职责包括：在系统规划、需求分析阶段提出安全需求；配合开展安全风险评估和漏洞整改；落实本部门负责系统的数据分类分级和访问控制；规范本部门人员的网络行为，定期开展安全自查。安全运维团队负责技术层面的具体落地。其职责包括：部署和维护安全防护设备（防火墙、入侵检测、WAF等）；监控系统运行状态和安全日志；定期进行漏洞扫描、渗透测试和代码审计；响应安全告警，实施应急处置。第三章基础设施与网络架构源头防控在基础设施规划与建设阶段，必须将安全性作为首要考量因素，严禁“先建设后补漏”。所有网络架构设计必须经过严格的合规性审查和安全论证。网络区域划分应遵循逻辑隔离与物理隔离相结合的原则。依据业务重要性、数据敏感度和流动方向，将网络划分为互联网接入区、核心业务区、数据存储区、运维管理区、第三方接入区等不同安全域。各安全域之间必须部署下一代防火墙、网闸等隔离设备，实施严格的访问控制策略（ACL），禁止非必要的跨域直接访问。对于核心生产网络和涉密网络，必须实施物理隔离或符合国家要求的逻辑强隔离。严禁未经授权的外部设备接入内部网络，严禁在内部网络中私自搭建无线接入点（AP）。所有无线网络接入必须通过独立认证网关，并采用强加密协议（如WPA3Enterprise），禁止使用WEP等弱加密协议。网络设备（路由器、交换机、负载均衡器等）的配置管理必须纳入配置管理数据库（CMDB）进行统一管控。新设备上线前，必须更改默认出厂账号和密码，关闭Telnet、HTTP等不安全的管理服务，仅保留SSHv2、HTTPS等加密管理通道。定期备份网络设备配置，并在配置变更后进行差异比对和基线检查。在云环境建设方面，应遵循云安全责任共担模型。对于基础设施即服务（IaaS），需强化虚拟化层面的安全防护，确保虚拟机监视器（Hypervisor）的补丁及时更新，实施虚拟机间的逻辑隔离；对于平台即服务（PaaS）和软件即服务（SaaS），需在合同中明确服务提供商的安全责任边界，并对其服务持续性计划进行审核。第四章软件全生命周期源头防控将安全管控贯穿于软件需求分析、设计、编码、测试、发布、运维及废弃的全生命周期，推行安全开发生命周期（SDLC）流程。在需求分析阶段，必须同步编制《安全需求规格说明书》，明确系统的身份认证、访问控制、审计日志、数据加密、数据备份等安全功能性需求，以及抗拒绝服务、防注入攻击等非功能性需求。安全需求需经安全专家评审通过后方可进入设计阶段。在设计阶段，应开展威胁建模分析。采用STRIDE等模型，对系统架构、数据流、组件交互进行潜在威胁分析，识别设计层面的逻辑缺陷，并设计相应的缓解措施。设计文档中必须包含详细的安全架构图、数据流图和信任边界划分说明。在编码阶段，开发人员必须遵循安全编码规范。禁止使用已知存在安全漏洞的第三方组件和库函数，所有引入的开源组件必须通过软件成分分析（SCA）工具扫描，确保无高危漏洞且许可证合规。禁止在代码中硬编码密钥、密码等敏感信息。实施代码版本控制，对代码提交进行强制性安全检查。在测试阶段，必须执行安全测试。包括静态应用程序安全测试（SAST）、动态应用程序安全测试（DAST）和交互式应用程序安全测试（IAST）。对于核心业务系统，必须开展由专业安全团队实施的黑盒渗透测试和白盒代码审计。安全测试发现的漏洞必须修复并回归测试通过后，方可申请上线。系统发布上线必须执行严格的变更管理和发布审批流程。上线前需进行安全基线核查，确保系统配置符合安全加固标准。生产环境与开发、测试环境必须严格物理或逻辑隔离，禁止开发测试人员直接操作生产环境数据库。第五章数据全生命周期源头管控数据是网络安全防护的核心对象，必须建立数据分类分级制度，根据数据的重要性、敏感度和遭泄露后的影响程度，将数据划分为不同等级（如公开、内部、敏感、绝密），并实施差异化防护策略。数据采集环节应遵循合法、正当、必要的原则。严禁采集与业务无关的个人隐私信息。对于必须采集的敏感信息，应采取脱敏、掩码等技术手段降低风险。数据采集接口需具备防爬虫、防重放攻击机制。数据存储环节，敏感数据必须采取加密存储措施。采用国密合规算法（如SM4）或国际标准强算法（如AES-256）对存储数据进行加密，密钥管理必须符合密钥全生命周期管理规范，严禁密钥明文硬编码或与密文同库存储。数据库访问权限应严格限制，禁止使用数据库最高权限账号（如sa、root）作为应用连接账号。数据传输环节，所有涉及敏感数据传输的网络链路必须采用SSL/TLS等加密通道，强制使用TLS1.2及以上版本，禁用弱加密算法。应对传输的数据进行完整性校验，防止数据在传输过程中被篡改。数据使用与共享环节，应实施严格的数据访问控制（RBAC+ABAC）。对敏感数据的查询、导出、下载操作必须进行多因素身份认证和审批留痕。向第三方提供数据共享时，必须签订数据保密协议，并进行数据脱敏处理，确需提供明文数据的必须经过专项安全评估。数据销毁环节，对于不再使用的存储介质（如硬盘、磁带、U盘），必须采用物理销毁（消磁、粉碎）或符合国家标准的逻辑覆写方式，确保数据无法被恢复。逻辑删除操作仅仅是标记，不视为彻底销毁。第六章供应链与第三方风险源头管控随着业务外包和开源技术的广泛应用，供应链风险已成为网络风险的重要源头。必须建立严格的供应商准入、评估和退出机制。供应商准入审查。在选择软硬件供应商、系统集成商、运维服务商时，必须对其企业资质、技术实力、安全管理体系、既往安全业绩进行尽职调查。对于关键信息基础设施的供应商，需评估其产品和服务供应链的安全性，避免引入带有后门、恶意代码的产品。外包服务管理。与第三方服务商签订合同时，必须包含详细的网络安全保密条款，明确双方的安全责任边界、违约责任和应急配合义务。根据第三方接触数据的敏感程度，限定其访问权限和操作范围，实施审计日志监控，禁止第三方通过远程通道未经监控地操作内部系统。开源软件治理。建立企业级开源软件组件库，统一管理开源软件的引入、更新和修复。严禁开发人员随意从互联网下载未经审核的开源代码。引入开源组件时，必须跟踪其许可证风险（GPL、MIT等）和漏洞风险（CVE），建立软件物料清单（SBOM），一旦发现上游组件出现重大漏洞，能够快速定位受影响系统并实施修复。第七章人员与意识源头管控人员是网络安全中最活跃也最脆弱的因素，需通过严格的人员管理和持续的意识教育，构建“人防”防线。人员背景审查。对关键岗位（如系统管理员、数据库管理员、网络安全员）人员入职前进行背景调查，核实其身份信息、职业资格和过往犯罪记录。签署保密协议和竞业禁止协议，明确法律责任。权限管理与回收。实施严格的账号生命周期管理。员工入职时，根据最小权限原则开通账号；岗位变动时，及时同步调整权限；离职时，必须立即注销所有系统账号，回收门禁卡、数字证书等物理资产，并签署离职保密承诺书。定期（至少每季度）审计系统账号，清理僵尸账号、幽灵账号。安全意识教育。制定年度安全培训计划，对所有员工（含管理人员、运维人员、普通员工）开展常态化网络安全意识培训。培训内容应包括密码安全、邮件钓鱼防范、社会工程学识别、终端安全操作、数据保护规范等。新员工入职必须接受安全培训并考核合格后方可上岗。钓鱼演练与考核。定期开展不预先通知的钓鱼邮件演练，检验员工对网络诈骗的识别能力。将网络安全违规行为纳入绩效考核体系，对因人为疏忽导致安全事件的人员进行追责。第八章监测、审计与持续改进建立全方位的安全监测和审计体系，及时发现异常行为和潜在威胁，实现闭环管理。日志审计。所有网络设备、安全设备、服务器、数据库、应用系统必须开启审计功能，并将日志统一发送至日志审计系统或安全信息与事件管理（SIEM）平台。日志内容应包含用户身份、操作时间、源IP、目的IP、操作类型、操作结果等关键要素。日志保存时间应符合法律法规要求，原则上不少于6个月。基线核查与漏洞管理。定期（每月）利用自动化工具对全网资产进行配置核查，确保符合安全基线要求。定期（每周）进行漏洞扫描，及时获取厂商发布的安全公告和补丁信息。对于高危漏洞，必须在24小时内完成评估，72小时内完成修复或采取临时规避措施。应急演练。定期（每年至少一次）开展网络安全应急演练，模拟勒索病毒攻击、数据泄露、网站篡改、大规模DDoS攻击等典型场景，检验应急预案的有效性和技术团队的响应能力，演练后进行复盘总结，优化应急预案。合规性检查。定期对照《网络安全法》、《数据安全法》、《个人信息保护法》及行业监管要求，开展合规性自查自纠，确保各项防控措施符合法律法规规定。第九章附则本办法所指的系统性网络风险，包括但不限于网络攻击、病毒木马、数据泄露、系统瘫痪、供应链中断等影响业务连续性和数据安全的风险。各部门应根据本办法，结合自身业务特点，制定相应的实施细则和操作规程，确保办法落地执行。对于违反本办法规定，造成网络与信息系统故障、数据泄露或其他重大损失的，将依据相关规定对责任人进行严肃处理；构成犯罪的，依法追究刑事责任。本办法由网络安全管理办公室负责解释和修订。随着网络安全形势的变化和技术的发展，将适时对办法进行修订和完善。本办法自发布之日起施行。附录：关键控制措施检查表控制领域控制点检查标准/要求检查频率责任主体网络架构区域隔离核心业务区与互联网接入区之间必须部署防火墙或网闸季度网络运维组网络架构无线管理无线接入使用WPA2/WPA3Enterprise，禁用弱口令每月网络运维组网络设备配置基线关闭不必要服务（Telnet/HTTP），修改默认密码每次变更后网络运维组身份认证策略设置账号密码长度不少于12位，包含大小写字母、数字、特殊字符持续监测系统管理员身份认证多因素认证关键系统、远程访问、数据库访问必须启用MFA持续监测安全管理组终端安全防病毒管理终端必须安装企业级防病毒软件，病毒库版本为最新每日桌面运维组终端安全补丁管理操作系统及应用软件补丁更新率100%（高危）每周桌面运维组应用开发代码审计上线前必须完成静态代码扫描和人工审计每次发布前开发安全组应用开发开源组件无已知高危漏洞（CVSS>7.0），无许可证风险每次发布前开发安全组数据安全敏感数据加密敏感数据存储和传输必须使用强加密算法季度数据管理组数据安全数据备份关键数据实施异地备份，定期进行恢复演练每月数据管理组供应链供应商评估关键供应商需提供安全合规证明或渗透测试报告年度/准入时采购部/安全部物理环境机房出入机房进出需登记，视频监控保留不少于90天持续监测行政安保部附录：安全基线配置关键参数参考1.操作系统基线密码策略：`minlen=12`,`minclass=4`,`maxrepeat=3`,`dcredit=-1`,`ucredit=-1`,`lcredit=-1`,`ocredit=-1`。会话超时：SSH连接闲置超时时间为300秒（5分钟）。登录失败处理：连续失败5次锁定账号，锁定时间30分钟。Root登录：禁止直接RootSSH登录，必须通过普通用户提权。文件权限：关键系统文件（如/etc/passwd,/etc/shadow）权限必须为644或更严格。2.数据库基线监听端口：禁止数据库端口直接对公网开放。审计策略：开启全量审计或至少审计DDL、DML、DCL及特权