企业终端电脑安全管理制度

企业终端电脑安全管理制度1总则企业核心数据资产的载体已从传统的机房服务器逐渐分散至每一名员工的办公终端，这使得终端电脑成为网络攻击的第一跳板和数据泄露的最主要出口。本制度旨在建立一套覆盖终端全生命周期的防御体系，通过技术管控与行政约束相结合的方式，阻断勒索病毒传播路径，杜绝内部违规外发行为，确保业务连续性与数据完整性。本制度适用于企业总部及所有下属机构全体员工（含正式工、实习生、外包人员）使用的台式机、笔记本电脑及图形工作站。2组织与职责终端安全不仅仅是技术部门的工作，而是涉及每一个使用者的责任共同体。信息安全部负责制定技术标准、部署防护工具及监控安全态势；人力资源部负责入职离职的权限联动；而每一位员工则是所持终端设备的直接安全责任人。2.1信息安全部职责负责企业级防病毒软件（EDR）、DLP（数据防泄漏）系统及补丁管理服务器的规划、部署与运维。每日审计安全日志，对高危行为（如大量文件拷贝、非授权外联）进行实时阻断与通报。每季度组织一次终端安全专项检查，并输出《终端安全合规性报告》。负责安全事件的应急响应与取证溯源。2.2部门负责人职责督促本部门员工执行本制度，配合信息安全部进行违规整改。对本部门申请的特殊权限（如豁装杀毒软件、开放USB端口）进行业务必要性审核并承担连带责任。发生人员离职或岗位变动时，必须在24小时内通知信息安全部进行权限回收或调整。2.3终端用户职责妥善保管本人账号密码，不得借予他人使用，对以本人账号发生的所有操作负责。遵守“最小权限”原则，仅申请工作必需的系统权限。发现电脑异常（如弹窗频繁、速度变慢、文件被加密）必须立即断开网络连接并上报。3终端准入与硬件管理硬件设备的物理完整性是系统安全运行的基石，任何未受控的设备接入内网都可能成为特洛伊木马。必须建立严格的设备注册机制，确保只有符合安全基线的设备才能入网，且所有硬件变更全程可追溯。3.1设备入网注册所有新购或员工自带的BYOD（自带设备）电脑，在接入企业内网前，必须安装公司指定的EDR客户端并完成安全基线扫描。安全基线合格标准：操作系统版本：Windows1022H2及以上或macOS12及以上。磁盘分区：系统盘（C盘）与数据盘（D盘）必须分开。防火墙状态：必须开启。未通过基线扫描的设备将被自动隔离至修复VLAN，仅允许访问补丁服务器。3.2硬件物理安全涉密岗位（如研发、财务、HR）使用的终端必须配备TPM2.0（可信平台模块）芯片，并启用全盘加密。开启BIOS/UEFI启动密码，防止他人通过启动U盘绕过操作系统安全机制窃取数据。离开工位时，必须使用Win+L键锁屏，防止物理接触导致的数据泄露。严禁私自拆卸主机机箱、更换硬盘或加装内存。确因工作需要升级硬件的，须由IT指定工程师操作并记录资产变更。3.3设备报废与处置设备报废前，必须执行数据清除操作。机械硬盘须进行物理消磁或粉碎；固态硬盘（SSD）须执行密码擦除或采用NISTSP800-88Clear标准进行覆写。报废设备严禁直接作为废品出售给回收商，须经过资产管理部门核对并破坏存储介质后，方可移交具备保密资质的回收公司处理。4操作系统与身份鉴别弱口令和长期未锁屏的终端是攻击者进入内网的首选通道。必须强化身份鉴别机制，确保“操作者即其人”，并限制系统高危权限的滥用。4.1账号与密码策略操作系统本地管理员账号（Administrator）必须重命名，并设置16位以上复杂密码。员工域账号密码策略：长度≥12位。必须包含大写字母、小写字母、数字、特殊符号四类中的至少三类。密码每90天强制更换一次，且不得重复使用最近5次的旧密码。严禁在便签、文档中明文记录密码。若怀疑密码泄露，必须在15分钟内自主修改。4.2屏幕保护与超时锁定屏幕保护程序等待时间设置为5分钟。触发屏幕保护后，必须恢复时输入密码才能解锁。严禁使用“不显示屏幕保护”或“相册屏保”（避免干扰视觉判断是否有人操作）。4.3权限管理普通员工严禁拥有本地管理员权限。若因特殊软件（如老旧驱动、开发环境）需要管理员权限，须通过OA系统申请，由部门负责人审批并经信息安全部备案，有效期最长不超过7天，到期自动回收。严禁使用盗版激活工具（如KMS激活器、破解补丁），此类工具常捆绑后门，会导致系统完全沦陷。5网络连接与边界防护网络边界的模糊化使得终端面临双重威胁：来自互联网的直接攻击和来自内网的横向渗透。必须构建“零信任”访问控制模型，不信任任何默认连接，所有接入均需验证。5.1有线与无线网络管理办公网终端必须通过802.1X认证接入交换机，未经MAC地址绑定或认证失败的端口将被自动关闭。严禁私自连接个人无线路由器（MiFi/随身WiFi）或开启Windows移动热点。此类行为会造成网络环路、IP冲突并绕过防火墙审计。连接公司Wi-Fi时，必须使用WPA2-Enterprise或WPA3协议，禁止使用WEP或WPA-PSK模式。5.2远程访问与VPN员工在办公区域外访问公司内网资源，必须通过SSLVPN客户端接入，严禁直接通过公网IP映射访问内部服务器。VPN账号实行实名制制，严禁多人共用同一VPN账号。VPN连接建立后，必须同时开启主机防火墙，禁止对局域网网段进行不必要的Ping或扫描探测。连续30分钟无流量交互，VPN会话必须自动断开。5.3外设管控默认禁用所有终端的USB存储设备写入权限（只读模式）。研发、设计等确需使用USB传递数据的岗位，须申请白名单，仅允许绑定特定序列号的U盘读写。蓝牙功能在办公区域内默认关闭。若需连接蓝牙鼠标或耳机，须设置为“仅可见模式”，配对完成后立即关闭发现功能。严禁使用红外端口或其他近场通讯功能进行数据传输。6软件环境与补丁管理软件漏洞是利用频率最高的攻击向量之一，而违规软件则是版权风险和挖矿木马的温床。必须建立统一的软件分发与补丁更新机制，确保终端环境的一致性与可控性。6.1软件安装白名单实施软件安装白名单策略，仅允许安装公司软件商店内发布的正版软件。员工不得私自下载安装游戏、P2P下载工具（如迅雷、BitTorrent）、远程控制工具（如TeamViewer、向日葵）及带有破解性质的软件。对于工作必需但未入库的专业软件，员工须提交《软件安装申请表》，附上正版授权证明，经信息安全部测毒后方能部署。6.2补丁更新管理操作系统高危补丁（CVSS评分≥7.0）发布后，信息安全部必须在48小时内通过WSUS/SCCM等系统进行强制推送。普通补丁及Office软件更新，应在发布后1周内完成安装。严禁因担心“更新后变慢”或“兼容性问题”而长期关闭WindowsUpdate。若补丁导致业务中断，须立即保留现场蓝屏截图（Dump文件）并联系IT协助回滚，不得自行禁用更新服务。6.3浏览器安全默认使用企业指定浏览器（如ChromeEnterprise版或Edge），并启用自动更新。严禁禁用浏览器沙箱机制。安装广告过滤插件时应仅限使用IT推送的企业策略版本，防止恶意插件劫持流量或窃取Cookies。7数据安全与移动存储介质数据是企业的核心资产，终端只是数据的临时容器。必须防止数据在终端落地、传输和销毁过程中的失控，确保“数据不落地、违规难拷贝”。7.1数据分类与标记核心商密数据（如源代码、客户名单、财务报表）原则上禁止存储在本地终端硬盘，应集中存储在文件服务器或私有云盘中。本地临时存储的核心数据，必须使用公司提供的加密工具（如7-ZipAES-256加密或VeraCrypt）进行加密存储。严禁将公司涉密文件上传至个人网盘（如百度云、GoogleDrive）、微信文件传输助手或发送至私人邮箱。7.2DLP（数据防泄漏）策略终端须部署DLP代理程序。当检测到包含敏感关键词（如“合同”、“发票”、“身份证号”）的文件通过IM、邮件或网页外发时，系统将自动阻断并触发审计告警。截图与截屏行为将被记录。高频截图（>10次/分钟）将触发“数据窃取”预警。7.3打印与刻录管理实施打印审计，所有打印任务须记录文件名、用户名、打印机名及时间。未经批准，严禁使用带有刻录功能的光驱（若设备自带，须在BIOS层面禁用或物理拆除）。涉密纸质文件打印后，须在打印机旁等待取件，防止文件遗留在托盘造成信息泄露。8恶意代码防范与应急响应攻击手段的自动化使得防御必须从“特征库匹配”转向“行为分析”。当终端失陷时，快速的响应机制是控制损失扩散的唯一手段，任何犹豫都可能导致勒索病毒在全网蔓延。8.1防病毒系统要求所有终端必须安装企业级EDR（端点检测与响应）系统，严禁私自卸载或关闭实时防护功能。病毒库版本必须与服务器端保持同步，时差不得超过4小时。每周至少进行一次全盘扫描，扫描任务默认安排在周五大检查后的午休或夜间进行。8.2垃圾邮件与钓鱼防范邮件客户端须启用反垃圾邮件过滤，并将发件人地址显示格式设置为“仅显示纯文本”，防止伪装发件人欺诈。员工收到索要密码、转账指令、或包含陌生链接/附件的邮件，须通过电话或其他渠道二次确认。严禁打开邮件中扩展名为.exe,.scr,.bat,.vbs,.js的附件。8.3应急响应分级与处置Ⅰ级响应（全网爆发）：判定标准：同一时间网内>20台终端出现勒索弹窗或CPU占用率100%。处置动作：信息安全部立即下发全网断网策略（阻断445/135/139端口），启动应急预案，通报全员拔网线。Ⅱ级响应（单点严重感染）：判定标准：单台终端发现病毒，且已尝试横向移动或盗取凭据。处置动作：隔离受损终端（物理断网或VLAN隔离），保留镜像取证，重装系统。Ⅲ级响应（一般违规）：判定标准：发现非恶意软件（如游戏、P2P工具）或低危告警。处置动作：远程卸载违规软件，对用户进行安全警告教育。9审计与合规没有审计的安全制度只是一纸空文。必须通过日志留存、定期检查和违规处罚，形成管理闭环，确保制度具有实际威慑力。9.1日志留存终端安全日志（包括登录日志、文件操作日志、USB插拔日志）须在本地保留6个月，重要日志需实时上传至SIEM（安全信息和事件管理）平台。日志内容须包含：时间戳、源IP、目标IP、用户名、操作类型、操作结果。9.2定期检查信息安全部每月随机抽取10%的终端进行深度合规检查。检查内容包括：弱口令检测、未授权软件检测、补丁缺失率检测、USB使用记录审计。检查结果将纳入各部门月度绩效考核。9.3违规处罚轻度违规（如未锁屏、安装无关游戏）：第一次口头警告，第二次全公司通报批评。中度违规（如私自开启WiFi热点、USB白名单外使用）：勒令整改，扣除当月绩效奖金，取消年度评优资格。重度违规（如私接外网导致入侵、故意泄露商业机密）：解除劳动合同，保留追究法律责任的权利。10附则本制度由信息安全部负责解释和修订。制度发布后，原有相关终端管理规定与本制度冲突的，以本制度为准。本制度自发布之日起正式施行。附录A：终端电脑安全配置自查表检查项目检查标准合规/不合格备注操作系统版本号Win1022H2+/macOS12+□合规□不合格补丁状态无“高危/重要”缺失补丁□合规□不合格防病毒软件状态：已开启；病毒库：最新（<4h）□合规□不合格防火墙域/专用/公用网络均启用□合规□不合格密码策略长度≥12位，含特殊字符□合规□不合格屏保锁屏等待时间5分钟，恢复需密码□合规□不合格管理员权限当前用户非本地管理员组□合规□不合格磁盘分区C盘（系统）与D盘（数据）分离□合规□不合格违规软件无游戏、P2P下载、远控工具□合规□不合格全盘加密磁盘属性显示“BitLocker已打开”□合规□不合格注：本表每月由员工自查并签字确认，部门负责人回收存档。附录B：常见安全故障应急处置流程卡（SOP）场景一：发现疑似勒索病毒攻击物理断网：立即拔掉网线或禁用无线网卡连接（<10秒内完成）。保持开机：严禁重启或关机（重启可能导致内存中的解密密钥丢失，或导致文件系统损坏加剧）。拍摄现场：手机拍摄勒索弹窗界面（含赎金要求、比特币地址、联系邮箱）。上报流程：拨打IT应