疫情防控线上登记系统安全办法

疫情防控线上登记系统安全办法第一章总则1.1目的与依据为有效应对突发公共卫生事件，规范疫情防控线上登记系统的建设、运行与维护，确保在疫情防控工作中采集的个人敏感信息及关键运行数据的保密性、完整性、可用性与可控性，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、《传染病防治法》以及国家关于疫情防控与网络安全等级保护的相关规定，特制定本办法。本办法旨在构建全方位、立体化的安全防护体系，防范数据泄露、篡改、丢失等安全风险，保障疫情防控工作的有序开展。1.2适用范围本办法适用于参与疫情防控线上登记系统建设、运营、维护、管理及使用的所有单位、部门及相关人员。涵盖系统的需求分析、设计开发、测试部署、上线运行、数据存储、传输交换、销毁废弃等全生命周期环节。所有涉及系统访问、数据处理及运维管理的第三方合作机构必须严格遵守本办法规定，并签署相应的安全保密协议。1.3基本原则系统安全管理工作遵循以下核心原则：（1）最小权限原则：仅授予用户完成其工作任务所需的最小数据访问权限和操作权限，严禁越权操作。（2）全程加密原则：数据在采集、传输、存储及使用过程中，必须采用符合国家标准的加密技术进行保护。（3）数据最小化原则：仅收集与疫情防控密切相关的必要信息，避免过度收集与疫情防控无关的个人隐私数据。（4）纵深防御原则：建立网络层、应用层、数据层多层次的安全防护体系，确保单一防线失效时仍有其他防线进行拦截。（5）全程留痕原则：系统内的所有关键操作必须进行日志记录，确保行为可追溯、责任可认定。（6）动态防护原则：根据疫情形势变化及安全威胁演变，动态调整安全策略和技术手段。第二章数据采集安全规范2.1前端采集安全控制疫情防控线上登记系统的前端页面（包括移动端APP、小程序及Web页面）是数据入口的第一道防线。前端代码必须进行严格的混淆与加固处理，防止被反编译篡改。在数据提交前，必须在前端对用户输入的格式、长度、类型进行合法性校验，过滤特殊字符，防止XSS跨站脚本攻击及SQL注入。对于身份证号、手机号等核心敏感字段，前端应采用掩码显示或仅做本地临时缓存，严禁在本地日志或明文存储中留存。2.2防机器人与防刷机制为防止恶意攻击者利用自动化脚本批量注册、提交虚假疫情信息或进行系统瘫痪攻击，系统必须部署高强度的防机器人验证机制。在用户登录、信息提交、查询等关键环节，必须强制启用验证码技术（如滑块拼图、文字点选等），并具备动态刷新能力。同时，系统应基于用户行为分析、设备指纹识别及IP信誉度评估，建立实时风控模型，对异常高频访问、疑似爬虫行为进行自动阻断或触发二次验证。2.3数据收集最小化与知情同意系统设计必须严格遵循“够用即可”的原则。在登记表单设计上，仅保留姓名、证件号码、联系方式、健康状况、行程轨迹等疫情防控必需字段，严禁强制收集用户的生物识别信息（如人脸、指纹）、财产状况等非必要数据。在用户首次使用系统时，必须以显著方式弹窗展示《个人信息保护声明》及《用户授权协议》，明确告知用户数据收集的目的、方式、范围及存储期限，并获得用户的明确主动授权（如点击“我同意”按钮），不得采用默认勾选等方式暗箱操作。2.4敏感信息脱敏处理对于系统后台管理界面及数据分析大屏，展示用户详细信息时必须实施强制脱敏规则。身份证号应隐藏中间出生日期段，手机号应隐藏中间四位，家庭住址应隐藏具体门牌号。除具有特定审批权限的高级管理人员外，普通运维人员及基层工作人员只能查看脱敏后的数据，严禁通过接口调试、数据库直连等方式绕过前端展示限制获取明文数据。第三章网络传输与通信安全3.1传输通道加密系统所有客户端与服务器之间的数据通信必须强制使用HTTPS协议进行加密传输，严禁使用HTTP明文传输协议。必须使用TLS1.2及以上版本的加密协议，禁用SSLv2/v3及TLS1.0等已知存在漏洞的加密套件。SSL/TLS数字证书必须由受信任的第三方CA机构签发，并确保证书在有效期内。系统应配置HSTS（HTTPStrictTransportSecurity），强制客户端仅通过HTTPS连接，防止SSL剥离攻击。3.2API接口安全防护系统对外提供的数据交换接口（API）必须实施严格的安全认证机制。接口调用必须采用双向认证或基于OAuth2.0、JWT（JSONWebToken）等标准的安全令牌认证方式。所有API请求必须携带由服务端下发的AccessToken，并设置合理的过期时间（建议不超过2小时）。接口传输参数应进行签名验证，防止请求参数在传输过程中被篡改。对于涉及批量数据导出的高风险接口，必须实施更严格的IP白名单访问控制及调用频率限制。3.3网络隔离与边界防护疫情防控登记系统应部署在逻辑隔离的专用网络区域（如DMZ区或VPC私有子网），通过防火墙与外部互联网进行隔离。数据库服务器、核心应用服务器严禁直接暴露于公网。系统前端Web服务器应配置Web应用防火墙（WAF），实时拦截SQL注入、XSS、命令执行、文件包含等常见Web攻击。建议在系统入口处部署抗DDoS设备或服务，清洗恶意流量，保障业务连续性。3.4远程访问安全严禁通过公网直接远程管理（RDP、SSH）系统服务器。运维人员如需进行远程维护，必须通过堡垒机（运维安全审计系统）进行统一跳转。堡垒机应启用双因子认证（MFA），结合密码和动态令牌或生物特征进行身份鉴别。所有远程运维操作必须全程录像，并定期审计操作行为。禁止在非受控终端（如个人电脑、网吧电脑）进行系统后台维护操作。第四章数据存储与加密管理4.1数据库加密存储疫情防控数据属于高敏感个人隐私，必须在数据库层面实施加密存储。对于身份证号、手机号、详细住址等核心字段，必须采用国家密码管理局认可的算法（如SM4对称算法或AES-256算法）进行加密存储。加密密钥必须由专门的密钥管理系统（KMS）进行统一生成、分发、轮换和销毁，严禁将密钥硬编码在应用程序代码中或以明文形式存储在配置文件中。建议采用透明数据加密（TDE）技术对数据库底层文件进行加密，防止磁盘被盗导致数据泄露。4.2数据库访问控制数据库系统应严格限制账户权限，关闭默认的超级管理员账户或重命名并设置极高强度的复杂密码。应用程序连接数据库应使用专用的业务账户，该账户仅拥有对特定表的增、删、改、查权限，严禁授予DDL（数据定义语言）权限。禁止在代码中使用拼接SQL语句的方式访问数据库，必须强制使用参数化查询或ORM框架，从根本上杜绝SQL注入漏洞。4.3数据备份与恢复建立完善的数据备份策略，确保数据在任何灾难场景下可恢复。应实施“全量备份+增量备份”相结合的策略，全量备份建议每日一次，增量备份建议每小时或每半小时一次。备份数据必须加密存储，并实行异地容灾备份，防止因火灾、地震等物理灾害导致数据永久丢失。备份数据的访问权限应与生产环境物理隔离，恢复操作必须经过严格的审批流程，并在测试环境中验证恢复数据的可用性。4.4数据分类分级管理依据数据的重要性和敏感程度，对系统内的数据进行分类分级管理。具体分类分级标准及防护要求如下表所示：数据级别数据定义示例数据防护要求第四级（绝密）一旦泄露对国家安全或个人权益造成特别严重损害实时流调数据、确诊人员详细轨迹、核心密钥存储加密（高强度）、访问需双人审批、操作强制审计、禁止导出第三级（机密）一旦泄露对公共卫生安全或个人权益造成严重损害身份证号、手机号、详细住址、健康状态存储加密、严格权限控制、接口调用签名、日志留存第二级（秘密）一旦泄露对疫情防控管理造成一般损害姓名、性别、年龄、职业、大致区域访问控制、传输加密、定期审计第一级（公开）可对外公开或脱敏后公开的信息疫情通报数据、防疫政策、常见问题解答基础防护、防篡改第五章身份鉴别与访问控制5.1强身份认证机制系统管理员账号必须实施强身份认证策略。密码长度不得少于12位，且必须包含大小写字母、数字及特殊符号，并强制每90天更换一次。系统应配置密码复杂度策略，禁止使用弱口令（如123456、admin等）及包含用户名的密码。对于登录后台管理系统的操作，必须强制开启双因子认证（2FA），通过短信验证码、动态令牌或企业微信/钉钉扫码确认后方可登录。5.2基于角色的访问控制（RBAC）系统应建立完善的用户角色管理体系，根据“岗位定角色”的原则，预设系统管理员、数据审核员、基层录入员、数据分析师等不同角色。通过角色关联权限，实现权限的批量管理。严禁直接给单个用户赋予权限，必须通过角色进行授权。权限分配矩阵如下表所示：角色/权限用户管理系统配置数据录入数据查询数据修改数据导出日志审计超级管理员是是否是是是是系统运维否是否否否否是数据审核员否否否是是否否基层录入员否否是是否否否数据分析师否否否是否是否第三方接口否否是是否否否5.3会话安全管理系统应具备安全的会话管理机制。用户登录成功后，应生成不可预测的高强度SessionID，并通过安全Cookie传输。Cookie应设置HttpOnly、Secure属性，防止XSS攻击窃取会话凭证。系统应设置合理的会话超时时间（建议后台管理系统超时时间为15分钟，无操作自动登出），并具备“踢出用户”功能，允许管理员强制终止异常用户的会话。在用户修改密码、注销登录后，必须彻底销毁服务端对应的会话令牌。5.4账户安全审计与锁定系统必须配置账户防暴力破解策略。当同一账户连续输错密码达到5次（阈值可配置）时，系统应自动锁定该账户30分钟以上，并通过邮件或短信通知账户持有人。当同一IP地址尝试登录失败次数过多时，应自动加入临时黑名单。管理员应定期（每季度）审计系统用户列表，及时清理离职、转岗人员的僵尸账号，确保“人离号销”。第六章系统运维与监控审计6.1安全日志审计系统必须开启全方位的日志记录功能，覆盖网络层、应用层及数据库层。日志内容应至少包括：时间、源IP、目标IP、操作人、操作类型、操作对象、执行结果（成功/失败）等关键要素。日志格式应统一，并支持Syslog等标准协议外发至独立的安全日志中心（SIEM）。日志数据必须定期归档，保存时间不得少于6个月，满足《网络安全法》合规要求。严禁在日志中记录用户密码、身份证号等明文敏感信息。6.2漏洞管理与补丁更新建立常态化的漏洞扫描与补丁更新机制。在系统上线前，必须通过第三方专业安全服务机构进行代码审计和渗透测试，修复高危漏洞后方可上线。系统运行期间，应每月进行一次自动化漏洞扫描，每季度进行一次人工渗透测试。对于操作系统、数据库、中间件及Web应用软件，应关注厂商发布的安全公告，在测试环境验证补丁兼容性后，及时进行补丁更新，修复已知安全漏洞。6.3性能监控与可用性保障部署应用性能管理（APM）系统，对系统的CPU使用率、内存占用、磁盘I/O、网络带宽及数据库连接池状态进行7x24小时实时监控。设置合理的告警阈值（如CPU超过80%持续5分钟），一旦触发阈值，立即通过短信、电话通知运维人员。系统应具备负载均衡能力，通过集群部署避免单点故障。对于关键服务进程，应配置守护进程或自动拉起脚本，确保服务意外停止时能自动恢复。6.4供应链安全管理严格管控系统开发及运维过程中使用的第三方组件、开源库及云服务。建立第三方组件清单，定期通过SCA（软件成分分析）工具扫描开源组件漏洞，禁止使用存在已知高危漏洞（如Log4j2、Struts2系列漏洞）的组件。在选择云服务商时，应评估其安全合规资质，并确保云上资源配置符合安全基线要求。第七章应急响应与灾难恢复7.1应急响应组织与预案成立疫情防控系统网络安全应急响应小组，明确组长、技术负责人、联络员及其职责。制定详细的《网络安全事件应急预案》，针对数据泄露、勒索病毒感染、网页篡改、系统瘫痪等不同场景，制定标准化的处置流程（PDR模型：检测、抑制、根除、恢复）。应急预案应每年至少进行一次演练，并根据演练结果及新技术威胁进行动态修订。7.2安全事件分级与处置根据安全事件的影响范围及危害程度，将事件分为特别重大（I级）、重大（II级）、较大（III级）和一般（IV级）四个等级。（1）I级/II级事件（如核心数据库被删、大规模敏感数据泄露）：必须立即启动最高级别响应，实施系统物理隔离或断网保护，并在1小时内向属地网安部门及上级主管部门报告。（2）III级/IV级事件（如个别页面被篡改、局部DDoS攻击）：应立即采取技术手段阻断攻击源，恢复系统正常运行，并在24小时内形成事件分析报告。7.3勒索病毒专项防护针对疫情防控数据高价值特点，重点加强勒索病毒防护。严禁在服务器上访问非业务必要网站或下载不明文件。关闭非必要的高危端口（如445、3389、135等）。部署终端检测与响应（EDR）工具，实时监控文件系统的异常加密行为。一旦检测到勒索病毒特征，应立即隔离受感染主机，阻断横向传播，并利用备份数据进行恢复。7.4灾难恢复演练为确保在极端情况下的业务连续性，应建立异地灾备中心。定期（每半年）进行灾难恢复演练，模拟主数据中心发生火灾、断电或数据丢失场景，验证备份数据的完整性与可用性，测试业务切换至灾备中心的流程及所需时间（RTO）和数据丢失程度（RPO），确保核心业务在灾难发生后4小时内可恢复运行。第八章数据生命周期与销毁8.1数据留存期限管理严格遵循疫情防控相关法律法规对数据留存期限的要求。对于登记收集的原始个人信息，应在疫情防控结束后或达到规定的留存期限（如本地政府规定为6个月或1年）后，立即采取删除、匿名化或去标识化处理。严禁将疫情防控数据用于任何商业用途或与疫情防控无关的统计分析。8.2数据销毁流程建立规范的数据销毁审批与执行流程。当数据达到销毁条件时，由数据管理部门发起销毁申请，经安全部门审批同意后，由运维人员执行销毁操作。（1）逻辑删除：对于数据库中的记录，先执行逻辑删除（标记为已删除），确保业务端不可见。（2）物理清除：经过一定保留期后，对数据库表空间进行碎片整理，彻底覆写底层数据。（3）介质销毁：对于存储过敏感数据的硬盘、磁带、U盘等物理介质，在报废前必须使用专业数据销毁工具进行多次覆写（至少3次）或采用消磁、物理粉碎方式处理，确保数据无法通过任何技术手段恢复。8.3隐私合规性审查在数据生命周期结束前，应组织进行隐私合规性审查，确认数据销毁范围符合相关法律法规要求，并留存销毁记录（包括销毁时间、销毁数据量、销毁人、监销人等）以备审计。销毁记录应长期保存。第九章法律合规与责任追究9.1