网络安全合规自查常态化办法

网络安全合规自查常态化办法第一章总则第一条目的与依据为深入贯彻落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》等法律法规，切实履行网络安全主体责任，建立健全网络安全合规自查工作的长效机制，实现网络安全自查工作的常态化、制度化、规范化，及时消除网络安全隐患，保障信息系统安全、稳定、持续运行，特制定本办法。第二条适用范围本办法适用于本单位及所属各部门、各分支机构（以下统称“各部门”）的所有网络与信息系统建设、运维、管理及相关活动。全体员工均应严格遵守本办法规定。第三条基本原则（一）预防为主，防治结合。坚持安全防护与合规检查并重，通过常态化自查主动发现风险，防患于未然。（二）全面覆盖，突出重点。自查范围应覆盖所有网络资产、业务流程和管理环节，同时重点关注关键信息基础设施、重要数据和核心业务系统。（三）权责一致，闭环管理。明确各部门在自查工作中的职责分工，对发现的问题建立台账，实行销号管理，确保整改到位。（四）动态调整，持续改进。根据法律法规变化、技术发展和业务实际情况，动态调整自查内容和频次，持续提升安全合规水平。第二章组织与职责第四条网络安全领导小组职责网络安全领导小组是网络安全合规自查工作的领导机构，主要职责包括：（一）审批年度网络安全合规自查工作计划和方案。（二）协调解决自查工作中遇到的重大问题和资源调配。（三）听取自查工作汇报，决策重大安全风险处置方案。（四）监督自查整改工作的落实情况。第五条网络安全管理部门职责网络安全管理部门（或指定专职部门）是自查工作的牵头执行机构，主要职责包括：（一）制定和完善网络安全合规自查管理制度及技术标准。（二）组织制定年度自查计划，并具体组织实施或指导各部门实施。（三）汇总、分析自查结果，编制自查报告，上报领导小组。（四）建立并维护网络安全问题整改台账，跟踪整改进度，组织整改验收。（五）负责自查工具的选型、维护和升级管理。第六条各业务部门职责各业务部门是本部门网络安全合规自查的责任主体，主要职责包括：（一）配合网络安全管理部门开展自查工作，提供必要的资料、人员和技术支持。（二）负责本部门业务系统、终端设备、数据资产的日常自查。（三）落实本部门发现的安全隐患整改工作。（四）定期组织本部门员工开展网络安全意识教育和技能培训。第七条审计与监督部门职责审计与监督部门负责对网络安全合规自查工作的开展情况、问题整改情况进行独立审计和监督，确保自查工作的真实性和有效性。第三章自查内容与标准第八条技术防护自查（一）网络架构安全。检查网络拓扑结构是否合理，关键节点是否存在单点故障；是否划分了安全域，域间访问控制策略是否遵循“最小权限”原则；是否具备网络流量监测、异常行为分析能力。（二）访问控制安全。检查防火墙、路由器、交换机等网络设备的访问控制列表配置是否合规；是否关闭了不必要的高危端口（如3389、445等）；是否实施了多因素认证措施。（三）恶意代码防范。检查服务器、终端是否安装了经授权的防病毒软件，病毒库是否及时更新；是否具备恶意代码样本的检测和清除能力；是否定期进行全盘病毒查杀。（四）漏洞管理。检查操作系统、数据库、中间件及应用软件是否存在已知高危漏洞；是否在漏洞发布后规定时限内完成补丁修复或采取临时缓解措施；是否定期开展漏洞扫描。（五）入侵检测与防御。检查入侵检测系统（IDS）、入侵防御系统（IPS）、Web应用防火墙（WAF）等安全设备是否正常运行，规则库是否更新；是否能够有效监测并阻断外部攻击行为。（六）数据安全与备份。检查数据分类分级制度落实情况；敏感数据是否在采集、传输、存储、使用、销毁等全生命周期得到有效保护；是否采用加密技术保护敏感数据；是否建立数据备份机制，并定期验证备份数据的可用性和恢复流程的有效性。第九条管理制度自查（一）管理机构与人员。检查是否设立网络安全领导机构及专职安全管理岗位；人员录用、离岗、考核等环节是否有严格的安全审查流程；关键岗位是否签署保密协议。（二）全生命周期管理。检查系统建设是否经过定级备案、安全测评；系统运维过程中是否有变更审批、操作审计记录；系统废弃时是否对敏感数据进行彻底清除。（三）应急管理与演练。检查是否制定网络安全事件应急预案；预案是否定期评审和更新；是否定期开展应急演练，演练记录是否完整；是否建立应急响应队伍并配备必要的应急资源。（四）供应链安全。检查是否对软件供应商、服务商进行安全评估；是否在合同中明确双方安全责任；是否对外包运维人员进行操作限制和审计。第十条人员意识自查（一）安全培训。检查是否定期开展全员网络安全法律法规和意识培训；新员工入职是否包含网络安全必修课程。（二）社会工程学防范。检查是否定期开展钓鱼邮件测试；员工是否具备识别网络诈骗、恶意链接的能力。（三）账号管理。检查是否存在弱口令、空口令账号；是否存在账号共享、超权限使用情况；是否定期清理僵尸账号。第四章自查流程与频次第十一条自查频次要求为确保自查工作的常态化，各部门应严格执行以下频次要求：（一）日常自查：每日进行。由系统运维人员和安全管理员通过日志审计、监控告警等方式进行。（二）专项自查：每月进行。由网络安全管理部门组织，针对特定系统或特定风险点进行深入检查。（三）全面自查：每季度进行。由网络安全管理部门牵头，各业务部门配合，对全单位范围内的网络与信息系统进行地毯式检查。（四）突击自查：不定期开展。由领导小组或审计部门发起，不预先通知，以检验真实安全防护水平。第十二条自查实施流程（一）计划制定。网络安全管理部门应根据法律法规要求及上级主管部门部署，结合本单位实际情况，于每年年初制定年度自查计划，明确自查目标、范围、内容、时间安排和责任分工。（二）自查准备。召开自查启动会，明确任务分工；准备自查工具（如漏洞扫描器、基线核查工具等）及检查表单；收集相关资产清单和配置文档。（三）现场检查。检查人员应依据检查表单，通过人工核查、工具扫描、渗透测试、访谈询问等多种方式开展检查，详细记录检查过程和发现的问题，保留相关截图、日志等证据材料。（四）结果分析。对收集到的检查数据进行汇总、整理和分析，判定风险等级，区分合规与违规项。（五）报告编制。根据分析结果编制《网络安全合规自查报告》，报告内容应包括自查概况、检查情况、发现的问题、风险分析、整改建议等。第十三条自查工具管理（一）所有使用的自查工具必须为正版授权或开源合规工具，严禁使用来源不明、可能包含后门的非法工具。（二）使用漏洞扫描、渗透测试等具有攻击性的工具时，必须严格履行审批手续，限定测试时间和范围，采取必要的防护措施，防止对生产系统造成不良影响。（三）自查工具产生的数据应严格保密，检查结束后应及时清理测试过程中的临时数据和敏感信息。第五章问题整改与闭环管理第十四条问题分级与台账管理（一）对自查中发现的安全隐患和问题，按照风险程度分为“紧急”、“重要”、“一般”三个等级。1.紧急：指已被黑客利用、存在高危漏洞且无补丁、数据发生泄露等直接威胁系统安全或业务连续性的问题。2.重要：指存在中危漏洞、配置不规范、策略失效等可能被利用造成一定影响的问题。3.一般：指不符合基线标准、文档缺失、流程不规范等短期内不会造成直接影响的问题。（二）建立《网络安全问题整改台账》，记录问题描述、发现时间、责任部门、责任人员、风险等级、整改措施、计划完成时间、实际完成时间、验证结果等信息。第十五条整改实施（一）对于“紧急”级别问题，责任部门必须立即采取临时阻断、隔离、下线等应急措施，并在24小时内启动实质性整改工作。（二）对于“重要”级别问题，责任部门应在发现后5个工作日内制定整改方案，明确整改时限（原则上不超过30天）并组织实施。（三）对于“一般”级别问题，责任部门应纳入月度工作计划，原则上在次月自查前完成整改。（四）整改过程中涉及资金投入、系统架构变更等重大事项的，责任部门应及时提交申请，按流程报批。第十六条整改验收与销号（一）整改完成后，责任部门应向网络安全管理部门提交《整改完成报告》及相关证明材料（如配置截图、修复报告、测试记录等）。（二）网络安全管理部门收到验收申请后，应在3个工作日内组织人员进行复核验证。（三）经确认已彻底消除隐患的，由网络安全管理部门在台账中做“销号”处理；未通过验收的，退回责任部门重新整改，并视情况延长整改时限。第十七条持续跟踪对于因技术条件限制暂时无法整改的问题，责任部门应制定替代性防护方案和临时监控措施，明确后续整改计划，并每季度向网络安全管理部门报告跟踪情况，直至问题解决。第六章考核与问责第十八条考核评价网络安全合规自查工作纳入各部门年度绩效考核体系。考核指标包括但不限于：（一）自查计划执行率（是否按时开展自查）。（二）问题发现率（是否主动发现深层次隐患）。（三）整改完成率（隐患是否按期整改销号）。（四）再次发生率和整改反弹率。第十九条奖励机制对于在自查工作中表现突出，主动发现重大安全隐患并成功避免安全事故发生的部门和个人，或者在网络安全技术创新、攻防演练中取得优异成绩的，给予表彰和奖励。第二十条问责机制对违反本办法规定，造成不良后果或影响的，视情节轻重对相关责任人进行问责：（一）未按规定开展自查工作，或自查工作流于形式、走过场，导致应发现的问题未发现的，给予通报批评。（二）发现隐患后隐瞒不报、虚假报告，或未及时采取整改措施导致发生网络安全事件的，依规追究部门负责人及直接责任人责任。（三）因整改不力导致问题反复出现、屡查屡犯的，加重问责。（四）违反保密规定，泄露自查数据、漏洞信息或系统敏感信息的，严肃处理。（五）造成重大数据泄露、系统瘫痪或严重经济损失的，依法依规追究法律责任。第七章培训与宣贯第二十一条培训计划网络安全管理部门应每年制定网络安全培训计划，针对不同岗位人员开展分层级培训：（一）决策层：重点培训网络安全法律法规、战略规划、风险研判能力。（二）技术管理层：重点培训安全技术标准、合规要求、应急响应指挥。（三）执行层：重点培训安全配置规范、漏洞修复技能、日志分析能力。（四）全员：重点培训安全意识、个人信息保护、日常操作规范。第二十二条宣贯形式通过内部网站、宣传栏、公众号、邮件推送、知识竞赛、模拟演练等多种形式，常态化开展网络安全知识宣贯，营造“网络安全人人有责、人人参与”的良好氛围。第二十三条案例警示定期收集国内外网络安全典型案例，特别是同行业、同类型事故案例，组织全员学习，进行警示教育，吸取教训，举一反三，提升全员对网络安全合规重要性的认识。第八章附则第二十四条文档管理本办法实施过程中产生的各类计划、方案、报告、台账、记录等文档资料，均应按照档案管理规定进行归档保存，保存期限不得少于3年，关键信息基础设施相关资料保存期限不得少于5年。第二十五条解释权本办法由本单位网络安全管理部门负责解释。第二十六条实施日期本办法自发布之日起施行。原有相关规定与本办法不一致的，以本办法为准。附件：网络安全合规自查常态化检查清单参考表检查大类检查子项检查内容要点检查方法风险等级判定参考频次要求物理环境安全机房出入控制检查机房门禁记录，是否有非授权人员进入；进出是否登记。查阅门禁日志、访客登记表重要每月环境监测检查温湿度、电力供应、消防系统、防水防雷设施是否正常运行。现场查看、监控日志紧急每日网络通信安全网络架构核心网络设备是否有冗余；关键节点是否具备冗余链路。现场核查、查看拓扑图重要每季度边界防护互联网出口是否部署防火墙、WAF等安全设备；策略是否白名单化。查看设备配置紧急每月无线安全AP接入是否经过审批；是否启用加密认证；是否隐藏SSID。现场测试、配置核查重要每月区域边界安全访问控制检查防火墙策略是否遵循“最小权限”；是否存在“AnytoAny”策略。漏洞扫描、配置审计紧急每月入侵防范IDS/IPS/WAF规则库是否更新至最新版本；是否存在攻击告警未处理。查看告警日志、版本信息紧急每日入网验证内网终端接入是否经过认证（如802.1x、NAC）；是否存在非法外联。现场测试、审计日志重要每周计算环境安全身份鉴别服务器、数据库、中间件是否存在弱口令、空口令；是否开启登录失败处理功能。弱口令扫描、配置核查紧急每周漏洞补丁操作系统、数据库、应用软件是否存在未修复的高危漏洞。漏洞扫描工具紧急每月终端防病毒终端是否安装杀毒软件；病毒库是否更新；是否开启实时防护。抽样检查、控制台统计重要每周审计记录关键服务器是否开启安全审计；日志是否定期备份；日志保存时间是否满足要求（通常6个月以上）。日志审计、配置核查一般每月应用系统安全代码安全应用系统是否存在SQL注入、XSS、文件上传等高危漏洞。渗透测试、代码审计紧急上线前/每季度会话管理会话超时时间是否设置合理（如15分钟）；会话标识是否随机生成。渗透测试、代码审计重要每季度数据传输敏感数据传输是否采用SSL/TLS等加密协议；是否禁用弱加密算法。抓包分析、配置核查紧急每季度数据安全数据分类分级是否对重要数据进行分类分级标识；是否建立数据资产清单。查阅文档、访谈一般每季度数据备份关键数据是否定期进行本地+异地备份；备份数据是否定期进行恢复演练。查阅备份记录、演练报告紧急每月敏感数据保护敏感数据展示是否脱敏；导出下载是否审批；测试数据是否去标识化。功能测试、流程审计重要每月管理制度人员管理关