机关网络信息安全制度

机关网络信息安全制度一、总则信息安全是机关正常运转的基石，而非单纯的IT技术问题。本制度旨在构建“技术防范、管理规范、责任到人”的综合防御体系，确保机关网络与信息系统在符合《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国保守国家秘密法》及GB/T22239-2019《信息安全技术网络安全等级保护基本要求》的前提下，实现数据的保密性、完整性与可用性（CIA三要素）。本制度适用于机关全体工作人员（含借调、聘用、运维人员）以及接入机关内部网络的所有信息系统与终端设备。二、组织架构与职责安全责任必须落实到具体人头，而非抽象的部门。机关实行“谁主管谁负责、谁使用谁负责、谁运行谁负责”的安全责任制，建立网络安全领导小组统筹下的分级管理体系。（一）网络安全领导小组组长：机关主要领导。副组长：分管信息化工作的领导。职责：每季度召开1次网络安全专题会议，审议重大安全决策。批准年度网络安全预算与应急预案。发生Ⅰ级（特别重大）安全事件时，担任总指挥，启动最高级别响应。（二）信息化管理部门（牵头部门）职责：制定并修订本制度及配套技术规范。负责防火墙、IDS/IPS、WAF、VPN等安全设备的策略配置与日志审计。每日1次巡查核心网络设备及安全设备运行状态，每季度输出1份《网络安全运行分析报告》。组织开展网络安全攻防演练与培训。（三）业务部门与用户职责：遵守“最小权限原则”，仅申请业务必需的访问权限。妥善保管个人账号密码，对以本人身份实施的所有网络行为负责。发现异常情况（如电脑勒索弹窗、邮箱异常发送）必须在15分钟内上报信息化管理部门。三、网络架构与边界安全边界是防御的第一道防线，也是攻击者的首要目标。机关网络实行物理隔离与逻辑访问控制相结合的策略，严禁违规外联与跨边界连接。（一）网络分区管理内部办公网（涉密/敏感区）：存储、处理工作秘密与内部敏感信息。必须与互联网实行物理隔离（符合BMB59标准要求），严禁通过无线网卡、3G/4G/5G上网卡、蓝牙等任何方式接入互联网。互联网接入区（非涉密区）：用于访问互联网资源。部署下一代防火墙（NGFW），开启应用层过滤、IPS入侵防御及防病毒功能。DMZ区（对外服务区）：存放对外门户网站、OA外网入口等。必须仅开放映射所需的HTTP/HTTPS端口（TCP80/443），严禁直接映射数据库端口（如TCP3306、1433）至公网。（二）边界防护策略访问控制列表（ACL）：遵循“默认拒绝”策略。仅允许业务必需的IP地址与端口通过，每半年对ACL规则进行1次审计清理，删除冗余或临时规则。入侵检测/防御：IDS/IPS设备必须实时开启，特征库更新周期≤24小时。对于检测到的高危攻击（如SQL注入、缓冲区溢出），必须自动执行阻断动作并触发告警。VPN接入：远程办公必须通过SSLVPN接入，严禁使用PPTP/L2TP等加密强度不足的协议。VPN必须强制启用多因素认证（MFA，如短信验证码+动态令牌），会话超时时间设定为30分钟无操作自动断开。四、终端安全管理终端往往是安全防线中最薄弱的环节，也是APT（高级持续性威胁）攻击的跳板。所有接入机关网络的终端必须符合以下安全基线要求。（一）操作系统安全补丁管理：必须开启操作系统自动更新功能。对于关键安全补丁（Critical），信息化管理部门应在发布后72小时内通过WSUS/SCCM等系统完成分发，终端用户应在收到提示后24小时内完成安装。防病毒软件：必须安装机关统一下发的企业级防病毒客户端（如EDR终端检测与响应系统），严禁私自卸载或关闭实时防护。病毒库版本滞后超过3天的终端将被自动阻断网络接入。屏幕保护：必须设置屏幕保护密码，等待时间设置为10分钟以内，“在恢复时显示登录屏幕”选项必须勾选。（二）外设与接口管控USB存储设备：内部办公网终端默认禁用USB存储功能（通过组策略或端点管理软件实现）。例外申请：因工作需要确需使用的，须经部门负责人审批并登记备案，使用专用加密U盘。风险机理：普通U盘极易携带Autorun病毒或被利用作为“摆渡攻击”介质，导致物理隔离失效。无线网络：内部办公网计算机必须禁用无线网卡（通过BIOS或物理开关封死）。严禁在办公区私自架设Wi-Fi热点，防止内网信号外泄或搭建钓鱼Wi-Fi。（三）软件安装白名单机制：仅允许安装机关标准软件库内的应用（如Office、WPS、AdobeReader等）。禁止软件：严禁安装游戏、股票、P2P下载、远程控制（如TeamViewer、向日葵，IT运维专用除外）等与工作无关的软件。五、账号与身份认证弱口令是绝大多数数据泄露事件的罪魁祸首，必须通过强策略与多因素认证构筑防线。（一）口令策略复杂度要求：长度不少于12位，必须包含大写字母、小写字母、数字、特殊符号（!@#$%^&*）中的3种。更换周期：普通用户账号每90天强制更换一次；特权账号（系统管理员、数据库管理员）每30天更换一次。复用限制：禁止使用最近5次使用过的密码。默认口令：系统上线或设备交付前，必须修改所有默认账号（如admin/root）的密码，严禁保留空口令或出厂默认口令。（二）特权账号管理权限分离：系统开发、测试、运维、审计职责必须分离。一人不得同时拥有超级管理员与审计员权限。共用账号：严禁多人共用同一个特权账号进行操作。必须通过堡垒机进行运维操作，确保所有命令“可追溯、可审计、不可抵赖”。六、数据安全与备份恢复数据的价值在于其可用性，而备份是灾难后的最后一根救命稻草。必须建立完善的数据分类分级与备份恢复机制。（一）数据分类分级核心数据：涉及国家安全、机关核心业务数据、个人隐私信息（身份证号、电话等）。必须进行加密存储（AES-256位加密），传输通道必须使用HTTPS/TLS1.2以上协议。重要数据：机关内部规章制度、会议纪要、一般业务数据。一般数据：可公开对外发布的信息。（二）备份策略遵循“3-2-1”备份原则：至少保留3份数据副本，存储在2种不同的介质上，其中1份在异地。数据库备份：核心数据库：每日1次全量备份（凌晨02:00执行），每4小时1次增量备份。日志备份：每15分钟1次事务日志备份，确保RPO（数据恢复点目标）≤15分钟。文件服务器备份：每日1次增量备份，每周1次全量备份。恢复演练：每半年至少进行1次数据恢复演练，验证备份文件的有效性与完整性，并记录演练报告。（三）数据销毁存储介质报废：硬盘、U盘、磁带等存储介质在报废前，必须经过物理销毁（消磁或粉碎）或符合DoD5220.22-M标准的低级格式化（覆写3次以上），严禁直接作为普通垃圾丢弃。七、应用系统安全业务应用直接承载核心数据，其漏洞往往导致致命一击。应用系统的全生命周期都必须融入安全要素。（一）上线前安全检测代码审计：自研或定制开发系统上线前，必须进行静态代码审计（SAST），重点检测SQL注入、XSS跨站脚本、命令执行等OWASPTop10漏洞。渗透测试：必须委托第三方具备资质的机构进行黑盒/灰盒渗透测试，出具《渗透测试报告》。存在高危漏洞的系统严禁上线，必须修复并复测直至通过。（二）运行期安全HTTPS强制：所有Web应用必须强制使用HTTPS，禁用弱加密算法（如SSLv2/v3、TLS1.0），配置HSTS（HTTPStrictTransportSecurity）头部。会话管理：用户会话标识（SessionID）长度不得少于128位，且不得在URL中传递。登出或超时后，服务端必须彻底销毁会话状态。八、恶意代码防范病毒传播的速度往往快于人工响应，必须依赖自动化防御体系与全员的安全意识。（一）邮件安全网关过滤：邮件网关必须开启附件沙箱分析功能，对exe、bat、vbs、js、office宏等高风险附件进行静态扫描与动态行为分析。钓鱼演练：信息化管理部门每季度组织1次钓鱼邮件模拟演练，统计中招率并针对性开展培训。用户操作规范：严禁打开来源不明、主题异常的邮件附件。严禁点击邮件中非官方域名的链接（如伪装成）。（二）勒索软件专项防范横向移动阻断：在内网核心区域部署4-7层访问控制策略，禁用SMB445、RPC135、RDP3389等高危端口在非必要网段的互通，防止勒索病毒内网横向扩散。应急处置：一旦发现终端出现勒索弹窗，用户必须立即断开网线（物理断网）并拔除所有外接存储设备，严禁重启电脑（防止内存中的加密密钥丢失或文件头进一步破坏），并第一时间上报。九、应急响应与处置事故发生后的“黄金30分钟”决定了损失的范围。必须建立分级响应、流程清晰的应急机制。（一）事件分级Ⅰ级（特别重大）：核心业务系统瘫痪>4小时，或敏感数据泄露>1000条，或造成严重社会影响。Ⅱ级（重大）：核心业务系统瘫痪>2小时，或局部网络攻击导致大面积瘫痪。Ⅲ级（一般）：单台终端中毒、非核心系统短暂中断、弱口令告警。（二）响应流程监测发现：通过SIEM（安全信息和事件管理）系统告警或用户上报。研判定级：信息化管理部门在15分钟内完成初步研判，确定事件等级。应急处置：抑制：采取断网、隔离主机、关闭服务、修改防火墙策略等措施，止损优先。根除：查找攻击源头（如恶意进程、后门账号、漏洞点），进行清除与修补。恢复：利用备份数据恢复系统与业务，并验证功能正常。总结报告：事件处置完毕后5个工作日内，出具《网络安全事件分析报告》，明确原因、损失、改进措施。（三）通报机制发生Ⅰ级、Ⅱ级安全事件，必须在1小内书面上报上级主管部门及当地公安机关网安部门。十、监督检查与考核没有检查的制度只是一纸空文，考核是制度落地的保障。通过常态化审计与考核，形成PDCA闭环。（一）日志审计留存要求：防火墙、交换机、服务器、应用系统的日志必须留存不少于6个月（符合《网络安全法》要求）。分析要求：信息化管理部门每周对日志进行1次关联分析，重点关注异地登录、权限提升、频繁失败登录等异常行为。（二）合规检查自查：各业务部门每季度开展1次信息安全自查，填写《信息安全自查表》。抽查：信息化管理部门联合保密办每半年进行1次现场抽查，重点检查终端外设使用、弱口令、违规外联等情况。（三）奖惩措施奖励：对及时发现重大安全隐患或有效阻断网络攻击的个人，给予通报表扬或物质奖励。处罚：违反“物理隔离”规定，将涉密计算机接入互联网的，给予记过以上处分，造成严重后果的追究法律责任。因弱口令、私自接入设备导致入侵事件的，通报批评并扣除当月绩效。瞒报、迟报安全事件的，从严追究部门负责人责任。十一、附则制度的生命力在于随环境变化而迭代。本制度由机关信息化管理部门负责解释，每年根据法律法规变化及技术发展进行修订。本制度自发布之日起施行，原有相关规定与本制度不一致的，以本制度为准。附录A：可执行工具表附表1：终端安全自查清单（样表）检查项目检查内容判定标准频次责任人操作系统是否开启自动更新是每日使用人操作系统屏幕保护等待时间≤10分钟每日使用人防病毒软件实时防护状态已启用每日使用人防病毒软件病毒库版本延迟≤3天每日使用人口令安全是否存在空口令或弱口令否每月使用人外设接口USB存储设备是否违规接入否随时使用人网络连接是否违规开启Wi-Fi/热点否随时使用人软件安装是否安装违规软件否每月使用人附表2：网络安全应急联络通讯录（样表）角色姓名办公电话手机短号职责应急总指挥张某某010-xxxxxxx138******6xxxx决策、审批、协调资源技术负责人李某某010-xxxxxxx139******6xxxx方案制定、技术处置网络管理员王某某010-xxxxxxx136******6xxxx网络隔离、策略封禁系统管理员赵某某010-xxxxxxx137******6xxxx服务器排查、数据恢复安全厂商厂商A400-xxxx-xxxx--应急响应支撑（SLA15分钟）公安网安报警中心110/010-xxxxxxx