网络使用管理制度

网络使用管理制度一、总则1.1制度目的为规范本单位全体员工的网络使用行为，保障单位内部网络与信息系统安全稳定运行，防范网络安全风险，提高网络资源使用效率，保护单位涉密信息、业务数据和员工个人信息安全，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》等法律法规及行业监管要求，结合本单位实际运营情况，制定本制度。1.2适用范围本制度适用于本单位所有在职员工、劳务派遣人员、外包服务人员、访客以及所有接入单位内部网络的设备、信息系统和外部服务。无论使用单位配发的网络设备还是个人设备接入单位网络，均须遵守本制度所有条款。1.3权责划分1.信息技术部（以下简称IT部）是本单位网络使用的归口管理部门，负责网络基础设施建设、日常运维、安全防护、账号管理、违规行为处置以及制度更新落实，具体权责包括：IP地址分配与管理、防火墙规则配置、入侵检测系统运维、网络流量监控、安全漏洞扫描与修复、用户账号权限开通与注销、网络安全事件应急处置。2.安全管理部负责监督本制度的执行，定期开展网络安全合规检查，牵头处置重大网络安全违规事件，配合公安机关开展网络安全案件调查。3.各部门负责人负责落实本部门网络使用安全管理责任，督促本部门员工遵守本制度，配合IT部和安全管理部开展违规核查。4.全体使用者须严格遵守本制度，对自身网络使用行为的合规性和安全性负责，发现网络安全隐患第一时间向IT部报告。二、网络接入管理2.1内部有线网络接入1.单位办公区所有有线网络端口均已完成物理端口绑定，仅允许已登记的设备MAC地址接入，未登记设备无法自动获取IP地址，禁止私自从现有端口分流接入交换机、路由器等设备，如需新增接入端口须向IT部提交《网络接入申请单》，经部门负责人签字审批后由IT部工程师现场完成部署，违规私接设备的，第一次给予口头警告，第二次给予记过处分，并处500元罚款。2.所有有线接入设备须完成MAC地址、设备归属人、使用位置登记，设备报废、调离岗位时须及时告知IT部注销MAC地址绑定信息，未及时注销导致非授权设备接入的，由原归属人承担安全责任。3.IP地址采用静态分配与DHCP动态分配结合模式，办公电脑统一采用静态IP分配，移动办公设备采用DHCP动态分配，禁止私自修改IP地址，私自修改IP地址导致IP冲突影响其他员工办公的，给予200元罚款，造成业务中断的，承担相应的损失赔偿责任。2.2内部无线网络接入1.单位无线网络分为办公内网WiFi和访客WiFi两个独立分区，两个分区采取物理隔离措施，办公内网WiFi仅允许单位员工接入，访客WiFi仅开放互联网访问权限，禁止访问单位内部业务系统和共享资源。2.办公内网WiFi采用802.1X身份认证，员工须使用本人工号作为账号，初始密码须在首次接入后12小时内修改，密码长度不得少于10位，须包含大小写字母、数字和特殊符号三类及以上字符，禁止将本人WiFi认证账号转借他人使用，转借账号导致安全事件的，由账号所有人承担全部责任。3.访客WiFi接入须通过单位前台完成身份登记，由前台工作人员生成有效期不超过24小时的临时二维码凭证，访客扫码完成认证后接入，过期自动失效，禁止为过期访客续期临时权限，禁止将访客临时权限提供给内部员工使用。4.无线网络SSID禁止隐藏，IT部每季度定期更换办公内网WiFi的认证密钥加密方式，每半年开展一次无线接入点位安全扫描，清除私设的无线热点。2.3外部网络接入管理1.禁止员工私自通过4G/5G移动热点、随身WiFi、有线宽带等外部网络接入单位内部办公网络，禁止通过双网卡同时连接外部互联网和单位内部网络，防止内部数据泄露。2.确因工作需要开通外部网络直连权限的，须向IT部提交《外部网络接入审批单》，经CIO签字审批后，由IT部配置独立的安全隔离策略，部署流量监控和数据泄露防护工具，每月对接入流量进行审计，未审批私自接入的，给予记过处分，并处1000元罚款，造成数据泄露的，解除劳动合同并依法追究法律责任。3.远程办公接入单位内部网络须使用单位统一配发的VPN客户端，采用“账号密码+短信验证码+设备指纹”三重认证方式，禁止转借VPN账号，禁止在非信任设备上登录VPN，VPN会话闲置超过30分钟自动断开，员工离开岗位须主动退出VPN。三、账号与权限管理3.1账号开通与注销1.所有网络服务账号（包括系统登录、VPN、WiFi、数据库、业务应用等）均遵循“一人一号”原则，禁止多人共用一个账号，禁止共享账号密码，新员工入职由HR部门提前1个工作日向IT部提交账号开通申请，IT部在员工入职当日完成账号开通，离职员工由HR部门在离职当日提交账号注销申请，IT部在2小时内完成所有账号的禁用注销，离职未及时注销账号导致安全风险的，由HR部门经办人承担责任。2.试用期员工账号权限按照岗位最低需求配置，转正后根据岗位调整权限，外包人员账号有效期不得超过外包合同约定的服务期限，到期自动禁用，确需续期的由对接部门重新提交审批。3.2权限分级管理1.网络权限按照“最小必要”原则分级分配，分为四个等级：一级权限（超级管理员）：仅开放给IT部核心运维人员，拥有网络设备、核心系统的全部配置权限，超级管理员账号不超过2个，采用双人共管方式登录；二级权限（部门管理员）：开放给各部门信息联络员，拥有本部门共享文件夹权限分配、本部门设备入网初审权限，不得修改网络核心配置；三级权限（普通员工）：仅拥有访问本职工作所需业务系统、互联网公共资源的权限，不得访问涉密系统、核心数据库；四级权限（访客）：仅拥有互联网访问权限，不得访问任何内部资源。2.权限调整须提交《权限变更申请单》，经部门负责人和IT部经理双审批后调整，超级管理员权限变更须经CIO审批，禁止越权开通权限，违规开通权限的给予IT部经办人记过处分。3.3密码安全管理1.所有网络服务账号密码有效期不得超过90天，系统自动提示密码到期更换，禁止重复使用最近5次内使用过的密码，IT部每季度开展一次弱密码扫描，对使用“123456”“单位名称+工号”“生日”等弱密码的账号，直接强制锁定，要求用户修改密码后解锁，连续三次被查到弱密码的给予100元罚款。2.禁止将密码记录在公开文档、桌面便签、浏览器自动保存等未加密位置，禁止通过微信、QQ、邮箱等非加密渠道传输密码，如需共享紧急密码须使用单位统一的密码管理工具加密传输。四、网络设备与终端安全管理4.1网络基础设施管理1.核心交换机、路由器、防火墙、入侵检测系统（IDS）、入侵防御系统（IPS）等核心网络设备放置在专用机房，实行24小时恒温恒湿监控，机房入口采用门禁刷卡+人脸双验证，仅允许IT部运维人员进入，外来运维人员进入须经IT部经理审批，由本单位工程师全程陪同，登记进出时间和人员信息。2.IT部每日对核心设备运行状态、CPU使用率、内存占用率、端口流量进行监控，核心设备CPU使用率超过70%、内存占用率超过80%时及时发出告警，工程师须在1小时内排查处置，每季度对核心设备配置进行备份，备份文件加密存储在离线存储介质，防止配置丢失。3.防火墙规则每半年更新一次，默认关闭所有非必要端口，仅开放业务必须的80、443、3389（仅对内部运维开放）等端口，禁止开放135、139、445等高危端口，每周对防火墙日志进行审计，发现异常访问及时处置。4.2终端设备安全管理1.所有接入单位网络的终端设备（包括办公电脑、笔记本电脑、手机、平板等）必须安装单位统一配置的终端安全管理系统（EDR），启用病毒查杀、漏洞修复、外设管控、数据加密功能，禁止私自卸载、关闭EDR客户端，私自卸载的，第一次警告，第二次罚款300元，第三次记过。2.终端操作系统和应用软件必须及时安装官方安全补丁，IT部每周推送一次漏洞扫描报告，高危漏洞要求用户在3个工作日内完成修复，未按时修复导致被入侵的，由用户承担责任，禁止使用盗版操作系统和应用软件，盗版软件带来的法律风险由使用人承担。3.禁止在终端设备上存储涉密信息和核心业务数据，核心业务数据必须存储在单位统一的云服务器或共享存储服务器，终端本地仅允许存储临时工作文件，工作完成后及时转移至存储服务器。4.员工个人设备接入单位网络须向IT部登记MAC地址和设备信息，安装EDR客户端，仅允许访问互联网，禁止访问内部业务系统，涉密岗位禁止使用个人设备接入单位内部网络。4.3外接设备管理1.终端外设端口（USB接口、光盘驱动器、蓝牙、NFC等）实行统一管控，普通员工USB存储设备默认只读，禁止写入，确需使用可写USB存储设备的，须向IT部申请开通权限，使用经过加密认证的单位配发USB设备，禁止使用私人U盘、移动硬盘拷贝内部数据，违规使用私人移动存储设备的，给予500元罚款，造成数据泄露的解除劳动合同。2.外来U盘接入单位网络终端前必须经过病毒查杀，查杀未通过禁止接入，发现携带病毒的立即隔离处置，防止病毒扩散。3.禁止私自连接蓝牙设备、无线鼠标键盘以外的外接设备，禁止通过外接移动基站、串口设备修改网络配置。五、网络使用行为规范5.1互联网访问规范1.禁止利用单位网络访问涉及危害国家安全、色情暴力、赌博诈骗、邪教迷信等违法违规网站，IT部通过防火墙对上述网站进行实时拦截，每半年更新一次违规网址库，访问违规网站被防火墙拦截的，第一次给予口头警告，第二次给予记过处分，并处300元罚款，多次违规的解除劳动合同。2.禁止利用单位网络下载、传播盗版软件、影视资源、音乐书籍等侵权内容，禁止下载大型游戏、高清电影等与工作无关的大体积文件，占用网络带宽影响正常业务的，给予200元罚款，IT部对P2P下载流量进行带宽限制，单IPP2P下载带宽不超过1Mbps，保障办公业务带宽需求。3.禁止利用单位网络发送垃圾邮件、钓鱼邮件，禁止点击来路不明的邮件附件和链接，收到可疑邮件第一时间报送IT部处置，点击钓鱼链接导致账号密码泄露的，给予记过处分。4.禁止在互联网社交媒体、论坛、短视频平台发布单位涉密信息、未公开业务数据、内部管理文件，禁止发布对单位不利的不实言论，违规发布的解除劳动合同，并依法追究法律责任。5.2内部资源使用规范1.单位内部网络带宽总出口为10Gbps，其中办公业务带宽占70%，互联网访问带宽占30%，IT部对各部门带宽使用进行动态管控，单部门带宽占用超过分配额度的自动进行限流，保障核心业务带宽需求。2.禁止利用单位内部网络开展与工作无关的活动，包括在线直播、网络追剧、网络游戏、网络购物等，影响本职工作和他人办公的，给予口头警告，屡教不改的给予记过处分。3.单位内部共享存储资源实行配额管理，普通员工个人存储空间配额为50GB，部门共享存储空间配额为500GB，超过配额的自动停止写入权限，须清理冗余文件后恢复，禁止存储与工作无关的文件，IT部每季度清理一次超过1年未访问的冗余文件，清理前提前7天通知各部门。5.3网络行为审计1.IT部对所有接入单位网络的流量进行全日志审计，审计日志保存时间不少于6个月，关键业务系统访问日志保存时间不少于1年，审计内容包括源IP地址、目的IP地址、访问时间、访问内容、传输数据大小等，审计日志仅用于安全事件核查，不得泄露给无关人员。2.安全管理部每月抽取10%的员工网络访问日志进行合规检查，发现违规行为及时通报处理。六、数据安全与信息保护6.1数据分级保护单位数据按照敏感程度分为三级：一级数据（绝密级）：包括单位核心商业秘密、未公开的财务数据、客户核心隐私信息、技术核心源码，仅允许核心技术和高管岗位接触，访问需要双人审批；二级数据（机密级）：包括内部业务报表、部门工作文件、普通客户信息，仅允许对应业务部门员工接触；三级数据（公开级）：包括对外公开的招聘信息、宣传资料，可对外公开。6.2数据传输安全1.传输一级敏感数据必须采用端到端加密传输，禁止通过微信、QQ、个人邮箱等非加密渠道传输，必须使用单位统一的加密邮箱或内部即时通讯工具传输，违规传输的给予记过处分，造成泄露的承担全部责任。2.向单位外部传输敏感数据须提交《外部数据传输审批单》，经部门负责人和安全管理部双审批，IT部做好传输记录存档，禁止未经审批向外部传输任何内部数据。6.3数据存储安全1.一级敏感数据必须存储在离线加密存储介质，定期备份，二级敏感数据存储在内部加密服务器，禁止存储在联网的个人终端和第三方云存储平台，禁止将单位数据存储在个人百度网盘、阿里云盘等第三方云空间，违规存储的给予500元罚款，造成泄露的解除劳动合同。2.IT部每日对核心数据进行全量备份，备份数据存储在异地灾备中心，灾备中心与主数据中心距离不超过50公里，每季度开展一次恢复演练，确保备份数据可用。6.4个人信息保护员工个人信息存储在单位内部HR系统，加密存储，仅允许HR部门相关人员访问，禁止其他部门私自获取员工个人信息，禁止向第三方出售、泄露员工个人信息，违反的依法追究法律责任。七、网络安全事件处置7.1事件分级根据网络安全事件的影响范围和危害程度，分为四个等级：一级事件（特别重大）：造成核心业务系统中断超过2小时，大量核心数据泄露，影响单位正常运营，造成经济损失超过10万元；二级事件（重大）：造成部门业务系统中断超过4小时，少量敏感数据泄露，造成经济损失1万-10万元；三级事件（一般）：造成单台终端中毒，局部网络中断不超过1小时，未造成数据泄露，经济损失低于1万元；四级事件（轻微）：发现安全隐患未造成实际损失。7.2应急处置流程1.任何员工发现网络异常（包括终端卡顿、蓝屏、账号异常登录、系统无法访问、数据丢失等），须第一时间断开网络连接，向IT部应急小组报告，报告内容包括异常现象、发生时间、设备位置、涉及数据范围，不得私自处理防止扩大影响，一级事件须在10分钟内上报CIO和单位主要负责人，二级事件须在30分钟内上报IT部经理，三级、四级事件直接上报IT部值班工程师。2.处置：IT部应急小组接到报告后，一级事件须在15分钟内启动应急预案，切断受感染网段网络连接，隔离受感染设备和服务器，开展溯源分析，修复漏洞，恢复业务，二级事件须在30分钟内赶到现场处置，三级事件须在1小时内处置，处置过程全程记录，形成处置报告。3.通报：事件处置完成后，24小时内发出事件通报，说明事件原因、影响范围、处置结果、防范措施，对涉及违规的人员提出处理意见。7.3应急演练IT部每半年组织一次全员网络安全应急演练