机关网络信息安全常态化巡检制度

机关网络信息安全常态化巡检制度第一章总则为全面加强机关网络信息安全管理，切实防范化解网络安全重大风险，保障机关信息系统、数据资产及网络环境的持续安全稳定运行，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及关键信息基础设施安全保护相关条例，结合本机关信息化建设实际情况，制定本制度。本制度所指网络信息安全常态化巡检，是指由指定的信息安全管理部门或专职人员，依照既定的标准、流程和周期，对机关网络架构、服务器设备、终端系统、应用软件、数据资产及相关管理制度执行情况，进行持续性、周期性、预防性的检查、测试、扫描与评估的活动。常态化巡检工作遵循“预防为主、防管结合、谁主管谁负责、谁使用谁负责”的原则。通过建立全方位、多层次的巡检机制，实现安全隐患的早发现、早报告、早处置，确保将安全风险控制在可接受范围内，杜绝重特大网络安全责任事故的发生。本制度适用于机关各处室、直属单位及其管辖范围内的所有信息系统、网络设备、办公终端及相关信息化基础设施。所有接入机关内部网络的单位和人员均须遵守本制度规定，配合开展安全巡检工作。第二章组织架构与职责机关网络安全与信息化领导小组（以下简称“领导小组”）是网络信息安全常态化巡检工作的最高领导机构，负责审批年度巡检计划、审定重大安全风险处置方案、协调跨部门资源以及监督巡检工作的整体落实情况。信息中心（或指定的信息技术部门）是常态化巡检工作的具体执行与管理部门，其主要职责包括：（一）制定和修订网络信息安全巡检制度、操作规程及年度、月度巡检计划；（二）组建专业的安全巡检团队，配置必要的巡检工具和检测设备；（三）具体组织实施日常巡检、专项巡检和应急巡检任务，出具巡检报告；（四）负责跟踪督促安全隐患的整改落实，建立整改台账，实行闭环管理；（五）定期汇总分析巡检数据，评估机关整体网络安全态势，向领导小组汇报工作。机关各业务处室作为网络与信息系统的使用部门，负有直接安全责任，其主要职责包括：（一）配合信息中心开展对本部门使用的信息系统、终端设备的现场检查与漏洞扫描；（二）指定本部门兼职安全管理员，负责日常自查工作，及时发现并上报本部门内的异常情况；（三）落实信息中心下达的安全隐患整改通知，在规定时限内完成整改并反馈结果；（四）加强对本部门人员的网络安全意识教育，规范操作行为，减少因人为误操作导致的安全事件。第三方运维服务商受委托参与系统维护期间，必须严格遵守本制度，接受信息中心的监督与检查。在运维过程中发现的安全隐患，必须立即向机关信息中心报告，不得隐瞒、拖延迟报或擅自处置。第三章巡检范围与内容常态化巡检的范围应覆盖机关物理环境、通信网络、区域边界、计算环境、应用系统、数据资产及管理制度的各个方面，具体内容如下：一、物理环境安全巡检重点检查核心机房、配线间及重要设备存放区域的物理安全状况。1.环境监控：检查机房温度、湿度、供电电压、精密空调运行状态是否在正常范围内。2.门禁管理：核查机房进出登记记录，确认是否存在未授权人员进入情况；检查门禁系统及视频监控是否运行正常，录像资料留存时间是否符合合规要求（原则上不少于90天）。3.消防防雷：检查气体灭火系统气压是否正常，火灾报警控制器有无故障点；检查防雷接地系统电阻值是否符合标准，防雷模块是否失效。4.线路安全：检查光纤、网线等线缆铺设是否规范，有无老化、破损、鼠咬痕迹，标签标识是否清晰完整。二、网络架构与设备安全巡检重点检查网络拓扑结构、网络设备及安全防护设备的配置与运行状态。1.拓扑结构：核查网络拓扑图是否与实际环境一致，是否存在未经审批的非法接入点或私自搭建的无线网络。2.交换机/路由器：检查CPU利用率、内存利用率、端口流量是否异常；检查设备日志是否开启并同步至日志审计服务器，是否存在大量登录失败、端口震荡等异常告警。3.安全设备：检查防火墙策略是否符合“最小化原则”，是否存在过期、冗余或过于宽放的策略；检查入侵检测/防御系统（IDS/IPS）、防毒墙、上网行为管理设备是否处于正常运行状态，病毒库、特征库是否升级至最新版本。4.网络隔离：核查内外网隔离措施是否有效，是否存在违规跨网连接行为，关键区域是否实施了逻辑或物理隔离。三、主机与服务器安全巡检重点检查操作系统、数据库及中间件的运行安全状况。1.系统状态：检查服务器CPU、内存、磁盘空间使用率，是否存在资源耗尽风险；检查系统时间是否与NTP服务器同步。2.账户权限：检查是否存在多余、过期或共享账户；核查管理员权限分配情况，验证特权账户是否进行了定期审计；检查账户口令复杂度策略是否符合要求（如长度、字符组合、定期更换）。3.补丁更新：检查操作系统、数据库及关键应用软件是否已安装最新的安全补丁，是否存在已知的高危漏洞未修补情况。4.防病毒管理：检查服务器端防病毒软件是否正常运行，病毒库是否更新，实时监控功能是否开启，全盘扫描日志中是否有病毒感染记录。5.服务端口：利用扫描工具检测服务器开放端口，关闭非业务必需的高风险端口（如135,139,445,3389等），防止被恶意利用。四、应用系统安全巡检重点检查业务应用系统及Web服务的安全性。1.系统漏洞：定期对Web应用进行漏洞扫描，检测是否存在SQL注入、跨站脚本（XSS）、跨站请求伪造（CSRF）、页面包含敏感信息泄露等常见Web漏洞。2.身份认证：检查系统登录界面是否存在弱口令枚举风险，验证码机制是否有效，账户锁定策略是否启用，是否存在默认后台页面未删除或修改的情况。3.会话管理：检查会话超时时间设置是否合理，用户注销后会话是否彻底销毁，Cookie是否设置了HttpOnly和Secure属性。4.接口安全：核查系统API接口的调用权限控制，是否存在未授权访问或越权访问风险，接口传输数据是否加密。五、数据安全与备份巡检重点检查数据存储、传输、备份及恢复机制的有效性。1.数据分类分级：检查是否已建立数据分类分级清单，敏感数据（如身份证号、手机号、涉密文件）是否在系统中进行了脱敏处理或加密存储。2.备份策略：核查备份策略执行情况，包括全量备份、增量备份的频率是否合规；验证备份数据的完整性，防止备份数据损坏或丢失。3.恢复测试：定期（每季度至少一次）抽取备份数据进行恢复测试，确保备份数据可用且恢复时间目标（RTO）和恢复点目标（RPO）满足业务连续性要求。4.传输加密：检查敏感数据在传输过程中是否采用了SSL/TLS等加密协议，防止数据在传输中被窃听或篡改。六、终端安全巡检重点检查机关办公计算机、移动终端及打印设备的安全状况。1.桌面管理：检查是否安装了统一的终端安全管理软件（如EDR），是否违规接入互联网；检查是否私自安装了与工作无关的软件、游戏或黑客工具。2.外设管理：检查USB端口管理策略是否生效，是否存在违规使用U盘、移动硬盘等移动存储设备的情况，是否通过了杀毒扫描。3.弱口令检测：随机抽取终端进行弱口令检测，确保所有终端均设置了开机密码和屏幕保护密码，且不存在空密码情况。巡检类别巡检对象核心指标检测手段风险等级判定参考物理安全机房环境温度(18-27℃)、湿度(40%-65%)、电压环境监控系统读取、现场查看超出阈值即为高危风险网络设备防火墙策略冗余度、CPU/内存使用率、端口开放日志审计、配置比对、Nmap扫描策略混乱或关键端口非授权开放为高危主机安全操作系统补丁更新率、高危端口开放、弱口令漏扫系统、人工核查、口令破解工具存在未修补的高危漏洞为高危应用安全Web系统SQL注入、XSS、未授权访问Web漏扫器、渗透测试可直接获取服务器权限漏洞为特高危数据安全数据库敏感字段加密、备份成功率人工审计、恢复测试敏感数据明文存储为高危终端安全办公PC杀毒软件运行率、违规外联、违规软件准入控制系统、现场抽查存在病毒且未处理为高危第四章巡检方式与频次为确保巡检工作的全面性和有效性，应根据检查对象的重要程度及风险等级，采取多样化的巡检方式，并严格规定巡检频次。一、巡检方式1.人工巡检：由运维人员或安全管理员通过现场查看、翻阅日志、询问操作人员等方式进行检查。适用于物理环境、设备指示灯状态、机房进出记录等无法通过自动化工具获取信息的场景。2.工具扫描：利用漏洞扫描器、基线配置核查工具、Web应用扫描器等自动化工具，对网络设备、服务器、应用系统进行批量化的技术检测。适用于发现已知漏洞、配置缺陷等标准化安全问题。3.渗透测试：模拟黑客攻击手法，对关键业务系统进行非破坏性的入侵尝试，以发现深层的安全隐患和逻辑漏洞。此项工作可由内部专业人员实施或聘请具备资质的第三方机构进行。4.数据分析：通过日志审计系统（SIEM）、流量分析系统，对全网日志和流量数据进行集中分析，挖掘潜在攻击行为、异常流量趋势和违规操作行为。5.专项检查：针对重大节假日、重大活动期间，或国家发布新的重大网络安全漏洞预警（如Log4j2、Struts2等）时，组织开展的专门性、针对性检查。二、巡检频次1.每日巡检：针对核心机房物理环境、核心网络设备及安全防护设备的运行状态、关键业务系统可用性进行例行检查。此项工作应在每个工作日上午9:30前完成。2.每周巡检：对全网安全设备策略变更情况、服务器补丁更新情况、病毒库版本、关键系统日志进行一次全面回顾与分析。每周五下午应对本周安全数据进行汇总。3.每月巡检：对所有服务器、网络设备进行一次全面的漏洞扫描和配置核查；对办公终端进行一次违规软件检查和弱口令抽查；对本月安全事件进行统计分析并生成月度报告。4.每季巡检：开展一次深度的渗透测试或红蓝对抗演练；对数据备份恢复机制进行一次实际恢复测试；对网络安全管理制度执行情况进行合规性审计。5.每年巡检：对机关整体网络信息安全体系进行一次年度等级保护测评或风险评估；全面梳理资产清单，修订安全策略和应急预案。对于新上线的信息系统或重大网络架构调整，必须在上线运行前或调整完成后一周内完成一次全面的专项安全巡检。第五章巡检流程管理常态化巡检工作必须遵循标准化的作业流程，确保操作规范、记录详实、结果可追溯。巡检流程主要包括计划制定、前期准备、现场实施、分析报告、整改督办五个阶段。一、计划制定信息中心应于每年年初制定《年度网络信息安全巡检计划》，明确年度巡检目标、重点对象、时间安排和预算。在此基础上，每月25日前制定下个月的《月度巡检执行表》，将具体任务分解到天、落实到人。计划制定应充分考虑业务高峰期，避免因巡检操作影响业务系统的正常运行。二、前期准备1.工具准备：准备好漏洞扫描器、配置核查工具、网线测试仪、笔记本电脑等软硬件设备，并确保工具本身已更新至最新版本且无病毒。2.资料调阅：收集最新的网络拓扑图、IP地址分配表、设备配置清单、系统管理员账号密码（经审批授权后获取）等基础资料。3.方案确认：对于可能影响业务连续性的深度巡检（如重启设备、压力测试），应提前制定应急预案，并向相关部门发布《巡检通知函》，明确巡检时间和可能的影响范围。三、现场实施1.身份核实：巡检人员进入机房或接触重要设备时，必须严格遵守机房管理规定，进行登记签到。2.规范操作：严格按照操作规程执行检查命令，禁止随意更改系统配置、删除关键文件或执行未知脚本。如需进行操作验证，必须在测试环境中先行通过，或在业务低谷期经审批后进行。3.详细记录：使用统一的《网络信息安全巡检记录表》，如实记录检查时间、检查对象、检查方法、检查结果、发现的异常现象及截图证据。记录要求字迹清晰、数据准确，严禁造假或漏记。四、分析报告巡检结束后，巡检负责人应在2个工作日内对收集到的数据进行汇总分析。对于扫描发现的漏洞，需剔除误报，确认风险等级。根据分析结果，编制《网络信息安全巡检报告》。报告内容应包括：巡检概况、总体安全态势评价、存在的安全隐患清单（含风险等级、整改建议）、历史问题整改情况对比等。报告需经审核后存档。五、整改督办依据巡检报告，信息中心应向责任部门下发《网络安全隐患整改通知书》，明确隐患描述、整改措施建议、责任人和整改截止日期。1.一般风险（如低危漏洞、配置不规范）：要求在5个工作日内完成整改。2.高风险（如中高危漏洞、弱口令）：要求在3个工作日内完成整改或采取临时规避措施。3.紧急风险（如系统已被入侵、勒索病毒）：需立即启动应急响应，进行隔离止损，并于24小时内完成初步处置和溯源分析。第六章隐患排查与整改机制建立安全隐患的闭环管理机制，确保“发现一个、整改一个、销号一个”。对于巡检发现的问题，实行台账式管理，动态更新整改状态。一、隐患分级标准根据隐患可能造成的影响范围和危害程度，将安全隐患划分为四个等级：1.特别重大隐患：直接威胁关键信息基础设施安全，可能导致核心数据泄露、丢失、篡改，或造成大面积业务中断超过4小时，造成严重社会影响的隐患。2.重大隐患：可能导致重要业务系统停顿、敏感数据泄露，或内部网络被非法控制的隐患。3.一般隐患：可能导致局部网络故障、非核心数据泄露，或违反安全管理制度但未造成实质损害的隐患。4.轻微隐患：暂时不影响系统和数据安全，但不符合最佳实践或规范要求的隐患。二、整改实施流程1.整改方案制定：责任部门接到整改通知后，应立即组织技术人员分析隐患原因，制定具体的整改方案和实施计划。对于重大及以上隐患，整改方案需报领导小组审批。2.整改过程监控：整改实施过程中，技术人员应做好变更记录和操作日志。如整改涉及系统架构调整或核心配置变更，必须进行双人复核，防止误操作引发次生故障。3.整改结果验证：整改完成后，责任部门应向信息中心提交《整改完成报告》。信息中心需安排原巡检人员或不同人员进行复核验证，确认隐患已消除且未引入新问题。4.隐患销号：经验证合格后，在安全隐患台账中对该项记录进行“销号”处理，形成完整的闭环记录。三、整改保障措施对于因技术力量不足、资金短缺或客观条件限制无法按期整改的隐患，责任部门必须提交书面延期申请，说明原因并制定临时防范措施（如加强监控、限制访问、物理隔离等），经信息中心审核、领导小组批准后方可延期。延期期限一般不超过15个工作日，特别重大隐患原则上不得延期。对于长期无法解决的历史遗留隐患或系统性风险，信息中心应将其列入重点攻坚项目，组织专家进行专题研讨，申请专项资金，或通过系统升级、架构重构等方式从根本上予以解决。第七章应急响应与处置巡检过程中如发现正在进行的网络攻击行为（如DDoS攻击、暴力破解、病毒爆发、网页篡改等），应立即终止常规巡检流程，转为应急响应模式。1.事件研判：初步判断事件类型、影响范围和严重程度，立即报告网络安全负责人。如事态紧急，可直接向领导小组汇报。2.紧急隔离：为防止事态扩大，应立即采取断开网络连接、拔除网线、关停服务器或关闭相关服务端口等物理或逻辑隔离措施。3.取证保护：在采取应急处置措施的同时，应尽可能保留现场证据，包括但不限于系统日志、流量镜像文件、恶意代码样本、被篡改页面截图等，为后续溯源分析提供依据。4.消除威胁：利用杀毒软件查杀病毒，修补被利用的漏洞，重置被攻破的账户密码，清除后门程序，恢复被篡改的数据。5.恢复运行：在确认威胁彻底消除、系统环境安全后，按照优先级逐步恢复业务系统运行，并进行持续24小时的密切监控，防止死灰复燃。事后，应依据《网络安全事件应急预案》相关要求，编制《网络安全事件处置报告》，详细描述事件经过、原因分析、处置过程、损失评估及改进措施，并按规定向上级主管部门报告。第八章考核与监督将网络信息安全常态化巡检工作纳入机关年度绩效考核体系，建立奖惩分明的考核机制，确保制度落到实处。一、考核指标考核指标主要包括：巡检计划完成率、隐患发现及时率、隐患整改按时率、重大安全责任事故发生数、安全台账记录规范性等。二、奖励措施对于在巡检工作中表现突出，及时发现并避免了重大网络安全事故的个人或部门，给予通报表扬和相应的物质奖励。对于提出创新性安全优化建议并被采纳实施的，可给予专项奖励。三、惩处措施有下列情形之一的，视情节轻重，对相关责任人进