外来人员网络接入审批办法

外来人员网络接入审批办法第一章总则第一条为规范外来人员接入公司内部网络的行为，加强信息安全管理，防范网络攻击、数据泄露等安全风险，保障公司信息系统及数据资源的完整性、保密性和可用性，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》及行业相关监管要求，结合公司网络建设与安全防护实际情况，特制定本办法。第二条本办法适用于所有非本公司正式员工（以下简称“外来人员”）因业务需要申请接入公司网络环境的行为。外来人员包括但不限于：来访客户、合作伙伴、供应商、厂商技术支持人员、外包服务人员、实习人员、临时务工人员及其他因公进入公司区域的人员。第三条网络接入管理遵循“最小权限原则”、“全程可控原则”、“专人负责原则”和“安全审计原则”。所有外来人员接入网络必须经过严格的审批流程，并签署相关安全保密协议。第四条本办法所指网络接入范围包括公司办公区有线网络、办公区无线网络（Wi-Fi）、访客专用网络以及因业务需要必须接入的生产、测试或研发等非公开网络区域。第五条公司信息安全部是外来人员网络接入的归口管理部门，负责技术支撑、安全策略配置、行为审计及违规处置；各业务部门是外来人员网络接入的申请部门和责任部门，负责业务必要性审核、访问期间的行为监督及账号回收协助。第二章组织机构与职责第六条信息安全部职责（一）负责制定、修订和解释外来人员网络接入相关的技术标准与安全管理制度；（二）负责网络接入系统的建设、运维与优化，确保认证、授权、审计（AAA）系统的正常运行；（三）负责对外来人员网络接入申请进行技术审批，依据安全策略划分网络VLAN、配置防火墙策略及访问控制列表（ACL）；（四）负责对接入网络的外来终端进行必要的安全检查，包括但不限于防病毒软件检测、系统补丁合规性检查；（五）负责监控外来人员的网络访问行为，定期输出安全审计报告，及时发现并处置异常流量与违规操作。第七条申请部门（接待部门）职责（一）负责对外来人员的身份背景、业务需求进行初步核实，确保接入事由真实、合规；（二）负责发起网络接入申请流程，如实填写外来人员信息、访问时间、所需访问资源及接入设备信息；（三）担任外来人员在网期间的“安全担保人”，负责对外来人员进行公司信息安全告知与现场行为监督；（四）在外来人员离开或业务结束后，负责及时通知信息安全部注销其网络访问权限，并回收临时账号及凭证。第八条行政部（前台）职责（一）负责外来人员进出公司物理区域的登记与身份核验；（二）配合信息安全部，在必要时提供外来人员物理进出记录以供审计追溯。第三章接入分类与权限控制第九条根据业务风险等级及访问资源的性质，将外来人员网络接入划分为三个级别，不同级别对应不同的审批流程与访问权限。第十条一级接入：互联网访问（一）适用场景：仅需访问互联网，无需访问公司内部资源的短期访客，如商务洽谈、一般性参观等。（二）权限范围：仅允许通过NAT方式访问互联网，严禁访问公司内网IP段、内部业务系统及核心数据。（三）网络区域：接入至“Guest-VLAN”或“访客Wi-Fi”隔离区。第十一条二级接入：受限内网访问（一）适用场景：因工作需要必须访问公司特定非涉密业务系统或共享资源的长期驻场人员、厂商运维人员等。（二）权限范围：允许访问经审批的特定内部服务器IP、端口或特定应用系统。禁止跨网段漫游，禁止访问核心数据库、财务系统、源代码库及未公开的研发环境。（三）网络区域：接入至“Partner-VLAN”或特定部门隔离区，实施严格的ACL访问控制。第十二条三级接入：核心/生产网访问（一）适用场景：涉及生产环境故障排查、核心设备调试、敏感数据处理的厂商技术人员或专家顾问。（二）权限范围：在指定时间段内，通过跳板机或专用运维终端访问特定的生产设备或系统。禁止直接访问生产网段，禁止下载数据，操作过程必须全程录屏审计。（三）网络区域：接入至“Maintenance-VLAN”，通过堡垒机进行操作，实施最高级别监控。第十三条严禁外来人员接入涉密网络、核心研发内网及未经过安全评估的测试网络。确有特殊业务需求需接入上述网络的，必须经公司分管副总裁或总经理特批，并采取物理隔离或专用加密通道措施。第四章申请与审批流程第十四条申请前置条件外来人员在申请网络接入前，必须提供有效身份证明文件（身份证、护照、工作证等），并由接待部门签署《信息安全保密承诺书》或《保密协议》（NDA）。未签署保密协议的，信息安全部有权拒绝其接入申请。第十五条申请材料要求申请部门需在OA系统或专门的网络安全管理平台提交申请，填写内容必须包含以下要素：（一）外来人员姓名、身份证号、所属单位、联系方式；（二）接待部门负责人及具体担保人姓名；（三）接入事由及业务必要性说明；（四）计划接入起止时间（精确到小时）；（五）接入终端设备MAC地址、设备类型（PC/手机/平板）、操作系统版本；（六）需要访问的具体系统名称、服务器IP地址或网络资源描述；（七）申请接入级别（一级、二级或三级）。第十六条审批流程节点（一）一级接入审批流程：申请部门负责人审批→信息安全部网络管理员审批→系统自动下发权限。（二）二级接入审批流程：申请部门负责人审批→被访问资源归属部门负责人审批（确认资源开放必要性）→信息安全部负责人审批→权限配置。（三）三级接入审批流程：申请部门负责人审批→被访问资源归属部门负责人审批→信息安全部负责人审核→公司分管领导审批→权限配置与人工复核。第十七条紧急接入绿色通道对于突发故障需紧急远程接入或现场接入的厂商技术人员，可由申请部门负责人通过电话或邮件向信息安全部负责人申请临时授权。信息安全部在确认身份后，可开通有效期不超过4小时的临时账号，申请部门须在24小时内补齐所有审批流程，否则信息安全部将强制中断连接并冻结相关责任人权限。第十八条审批时效各审批节点应在收到申请后的2个工作小时内完成审批。对于三级接入，最终审批应在4个工作小时内完成。信息安全部应在审批通过后30分钟内完成网络策略配置。第五章身份认证与账号管理第十九条认证方式（一）一级接入：采用短信验证码认证或访客扫码认证。认证有效期为单次或当日有效，过期自动失效。（二）二级接入：采用专用临时账号认证。账号格式通常为“guest_部门缩写_序号”，由后台随机生成强密码。（三）三级接入：采用双因素认证（2FA）。需结合动态令牌（OTP）或生物特征识别，并通过堡垒机进行二次身份验证。第二十条账号生命周期管理（一）账号创建：外来人员不得使用公司内部员工账号。所有外来访问账号必须由信息安全部统一创建，严禁借用、混用员工账号。（二）账号有效期：账号有效期严格对应审批通过的时间段。最长有效期原则上不超过30天。确需延期的，须提前3个工作日重新发起申请，原账号到期后自动注销，不得通过续期方式变相长期占用。（三）账号唯一性：一个临时账号对应一个外来人员或一个终端设备。禁止多人共用同一个账号，确保行为可追溯至个人。第二十一条密码策略外来人员临时账号必须符合公司强密码策略：（一）长度不少于12位；（二）包含大写字母、小写字母、数字及特殊符号；（三）不得包含外来人员姓名、生日等易猜测信息；（四）账号创建时强制要求首次登录修改密码（若系统支持）。第六章终端安全管理第二十二条接入终端要求（一）外来人员接入终端必须安装主流操作系统，且已开启自动更新功能，系统补丁不得落后最新发布版本6个月以上（特殊老旧设备需特批）。（二）终端必须安装公司指定的防病毒软件或终端安全管理软件（EDR）客户端。对于无法安装客户端的特殊终端（如某些工业控制设备），需申请部门提供书面担保，并仅允许接入严格隔离的VLAN。（三）终端主机名必须规范命名，格式为“Visitor-姓名-单位”，以便于识别和管理。第二十三条终端入网检查（NAC）外来人员终端接入网络时，网络准入控制系统（NAC）将自动执行以下健康检查：（一）病毒库版本检查：要求病毒库版本更新时间在7天以内；（二）防火墙状态检查：要求终端防火墙处于开启状态；（三）屏幕锁定检查：要求设置屏幕保护密码，且等待时间不超过10分钟；（四）违规软件检查：检测是否安装P2P下载软件、游戏、黑客工具或未授权的远程控制软件。第二十四条不符合项处理对于未通过健康检查的终端，系统将自动将其隔离至“修复隔离区”。隔离区内仅提供访问病毒库更新服务器和补丁服务器的权限。外来人员需完成修复后重新发起认证检查，合格后方可进入业务网络。第二十五条移动存储管理严禁外来人员将未经授权的U盘、移动硬盘等可移动存储设备接入公司内部计算机。确有数据交换需求的，必须使用公司经过加密处理的专用U盘，并经过数据摆渡设备进行病毒查杀和审计。第七章使用规范行为准则第二十六条禁止行为清单外来人员在接入公司网络期间，严格遵守以下“十严禁”：（一）严禁私自更改计算机IP地址、MAC地址或网络配置；（二）严禁使用网络扫描工具（如Nmap、Superscan）对公司内部网络进行扫描、探测；（三）严禁尝试暴力破解、猜解员工账号密码或提权攻击；（四）严禁访问、下载、传播淫秽色情、暴力恐怖及反动信息；（五）严禁利用公司网络资源进行虚拟货币挖掘、P2P下载、观看在线视频等与工作无关的高带宽占用行为；（六）严禁私自搭建无线热点（Wi-FiSharing）或携带随身Wi-Fi设备接入公司内网；（七）严禁在公司内网终端上安装未授权的软件或服务；（八）严禁故意干扰、破坏网络设备或信息系统的正常运行；（九）严禁将公司账号、密码、VPN凭证转借给他人使用；（十）严禁未经授权拍照、录音、录像或拷贝公司敏感信息。第二十七条数据传输规范（一）外来人员如需上传数据至公司服务器，必须经过内容安全检查，确保不包含恶意代码或病毒。（二）严禁通过互联网即时通信工具（如微信、QQ私人号）、个人网盘等方式传输公司业务数据。（三）所有涉及公司敏感数据的下载、打印操作，必须在申请中明确列明，并经被访问资源归属部门专人书面审批，操作日志将被重点记录。第二十八条远程连接规范外来人员确需远程接入公司网络的，必须使用公司提供的SSLVPN或IPsecVPN官方客户端，严禁使用第三方VPN工具或TeamViewer、向日葵等未经安全评估的远程控制软件。远程连接必须开启全程会话记录。第八章监控、审计与应急响应第二十九条实时监控信息安全部应部署流量分析系统（NTA）、入侵检测系统（IDS）及上网行为管理设备，对外来人员接入区域的网络流量进行7x24小时实时监控。重点监控异常连接、高频访问、非授权端口扫描及敏感数据传输行为。第三十条日志审计（一）网络设备日志：交换机、路由器、防火墙、WAF等设备需开启详细日志功能，并同步至统一的日志审计系统（SIEM），日志保留时间不少于6个月。（二）应用系统日志：外来人员访问的业务系统需记录详细的访问日志，包括登录时间、操作模块、查阅数据量、下载记录等。（三）终端操作日志：对于三级接入人员，必须通过堡垒机记录所有键盘输入、屏幕显示及文件传输内容，录像文件保留时间不少于3个月。第三十一条异常告警机制当监测到以下异常情况时，安全系统应自动触发告警，并通知安全运维人员：（一）单一终端在1分钟内发起超过100次的连接请求；（二）访问被防火墙明确拦截的敏感IP或端口；（三）尝试访问与其业务范围无关的高价值资产；（四）终端检测出病毒或木马活动；（五）在非审批时间段内产生网络流量。第三十二条应急响应流程（一）阻断：一旦发现外来人员正在进行明显的攻击行为或违规操作，安全运维人员有权立即采取物理断网或VLAN隔离措施，无需等待审批。（二）取证：保留现场，对相关日志、流量包、内存镜像进行完整备份和固化。（三）分析：由安全专家对事件进行定性和分析，评估影响范围。（四）处置：根据事件严重程度，要求违规人员离场，上报公司管理层，并保留追究法律责任的权利。第三十三条违规分级与处罚根据违规行为的性质和造成的后果，将违规分为三级进行处罚：（一）轻微违规：未造成实质影响，如超时使用、命名不规范等。给予口头警告，并记录在案。（二）一般违规：造成轻微安全隐患或资源浪费，如私自安装无关软件、低带宽滥用等。暂停其网络权限，责令接待部门进行整改教育。（三）严重违规：造成安全事件、数据泄露或系统瘫痪，如扫描内网、传播病毒、窃取数据等。立即永久终止接入权限，将外来人员列入黑名单，通报其所属单位，并移交法务部门处理，追究其民事或刑事责任。第九章离网与注销管理第三十四条主动注销外来人员业务结束或离开公司前，接待部门担保人必须通过系统发起“离网注销申请”，或直接通知信息安全部进行权限回收。第三十五条自动注销对于设定了有效期的账号，系统将在到期时间自动触发注销流程：（一）删除AAA服务器上的账号密码；（二）清除交换机/防火墙上对应的ACL策略；（三）释放IP地址；（四）归档相关审计日志。第三十六条紧急注销若发生外来人员设备失窃、账号泄露或担保人发现其有违规嫌疑，应立即联系信息安全部进行紧急注销。信息安全部需在15分钟内完成权限回收操作。第三十七条离网安全确认外来人员离网时，接待部门需确认：（一）外来人员已退出所有业务系统；（二）已清除个人终端上保存的公司任何形式的数据、账号密码或缓存文件；（三）已归还所有借阅的文档、介质或门禁卡。第十章附则第三十八条本办法所涉及的相关表格、表单（如《外来人员网络接入申请表》、《信息安全保密承诺书》）由信息安全部统一制定模板，并在公司OA系统发布。第三十九条对于因科研合作、保密项目等特殊原因确需豁免部分安全条款的，需由项目组提交专项风险评估报告，经公司信息安全委员会审议通过后，签署补充保密协议方可执行。第四十条本办法由公司信息安全部负责解释和修订。第四十一条本办法自发布之日起施行。原相关规定与本办法不一致的，以本办法为准。附录A：外来人员网络接入审批流程表步骤节点名称执行角色核心动作输出物时限要求1申请提交接待部门经办人�填写申请单，上传身份证明，签署保密协议电子申请单业务开始前2业务审核接待部门负责人确认业务必要性，核实人员身份审批意见2小时内3资源确认资源归属部门负责人确认开放资源范围及风险可控性资源授权清单2小时内4安全审批信息安全部评估安全风险，确定接入级别，划分VLAN技术审批意见2小时内5高级审批分管领导仅针对三级接入或高风险访问领导签字4小时内6权限配置网络管理员创建账号，配置策略，下发准入通知账号及配置信息审批后30分钟内7接入验证外来人员终端入网认证，安装安全客户端连接成功-8行为监控安全审计系统实时流量分析，日志记录审计日