水利系统网络安全运维管理制度

水利系统网络安全运维管理制度适用范围与核心原则网络安全运维覆盖政务管理、工控调度、监测感知三类网络域，任何运维操作不得突破防汛调度指令优先、工程运行安全优先的刚性约束。本制度适用于省、市、县三级水行政主管部门，直属水利工程管理单位（含大型水库、重点水闸、一级堤防、大型灌区管理局），承担水文监测、水资源监控、山洪灾害预警、农村供水信息化运维服务的第三方机构，以及所有接入水利业务专网、工控调度专网、水利政务外网的信息系统、感知终端与网络设备。运维工作必须严格遵守四项核心原则：一是底线优先原则，必须将水旱灾害防御调度、工程安全运行类系统的可用性作为运维第一目标，该类系统年可用率不得低于99.99%，汛期（每年4月1日至10月15日，南方省份可根据本地入汛时间提前至3月1日、延后至11月1日）核心调度系统计划外停机时间单次不得超过5分钟，累计不得超过30分钟；二是最小权限原则，所有运维账号、业务账号必须配置完成本职工作所需的最小权限，严禁超范围授权；三是三同步原则，系统新建、升级、改造时，网络安全防护措施必须同步规划、同步建设、同步投运，严禁系统“带险上线”；四是可审计原则，所有运维操作必须全程留痕、可追溯，严禁任何绕过审计系统的操作。运维组织与权责划分网络安全运维责任不能悬空到“相关部门”，必须明确到具体岗位、具体人员，实现权责可追溯、操作可审计。各单位必须建立三级运维责任体系：第一责任人：各单位分管信息化工作的领导为本单位网络安全第一责任人，必须每季度主持召开1次网络安全运维研判会，审批核心系统最高权限账号、重大变更方案、Ⅰ级/Ⅱ级应急响应启动申请，对本单位网络安全事件负领导责任。专职运维岗：各单位网信部门必须配备不少于2名专职网络安全运维人员，要求持有CISP、CISAW或网络安全等级保护测评师相关资质，严格落实系统管理员、安全管理员、安全审计员“三权分立”要求：系统管理员负责系统配置、资源分配，严禁访问、修改审计日志；安全审计员负责日志留存、操作审计、违规行为追溯，严禁修改系统运行配置；安全管理员负责账号授权、漏洞整改、安全策略配置，严禁直接执行业务数据修改操作。三类账号必须由不同人员掌握，严禁1人同时持有两类以上核心管理账号。末端使用岗：各业务科室工作人员、基层闸站/水文站操作人员负责本人所用终端、系统账号的日常管理，对自身账号下的所有操作负直接责任。第三方运维权责必须以书面协议明确：所有提供驻场、远程运维服务的第三方机构，进场前必须签订《水利系统第三方运维网络安全保密协议》（见附件1），缴纳不低于合同额10%的网络安全履约保证金；所有运维操作必须通过单位统一部署的运维堡垒机跳转，全程录屏留存；严禁通过微信、QQ、向日葵、TeamViewer等非授权远程工具直连水利内网系统——这类工具存在未授权访问、数据明文传输漏洞，易被攻击者植入后门导致闸控系统被非法操控，替代方案为使用经国家密码管理局认证的SSLVPN+堡垒机双通道接入，访问权限仅开放到指定设备、指定端口，操作过程由本单位运维人员实时监看。日常运维操作规范据行业公开案例统计，80%以上的水利网络安全事件源于日常运维的不规范操作而非高级持续性威胁，标准化的日周月巡检流程是成本最低的风险防控手段。针对水利系统政务外网、工控专网、互联网感知域风险耐受度差异大的特点，必须执行分级分类运维标准，严禁一刀切套用通用政务网运维要求。分级巡检机制日常巡检：非汛期每个工作日上午9:00前完成全网设备巡检，汛期加密为每4小时1次，核心调度区域巡检频率不低于每2小时1次。巡检量化指标包括：核心交换机、路由器CPU利用率≤70%，内存利用率≤75%，跨网段链路丢包率≤0.1%；防火墙、入侵检测系统（IDS）、Web应用防火墙（WAF）24小时内高危告警处置率100%；工控SCADA系统前置机通信状态正常，水文遥测终端（RTU）在线率≥99%，山洪灾害重点防治区终端在线率必须达到100%；机房温度控制在20~24℃，相对湿度控制在45%~65%，UPS电池剩余容量≥90%，后备供电时间≥4小时。巡检完成后必须在《日常运维巡检台账》（见附件2）上签字确认，严禁补填、代签。周度巡检：每周五下午完成周度检查，具体内容包括：核查堡垒机操作录屏、系统日志、安全设备日志完整性，确保日志留存时长满足《中华人民共和国网络安全法》要求的不少于180天；开展全网弱口令排查，所有账号口令必须满足长度≥12位、包含大小写字母、数字、特殊字符的要求，每90天强制更换，严禁使用admin、123456、单位名称拼音+年份等通用弱口令；扫描对外发布系统开放端口，关闭135、139、445、3389等非必要高危端口，确需开放的端口必须经安全管理员审批后配置访问控制白名单。月度巡检：每月最后1个工作日完成全网深度检查，具体内容包括：采用漏洞扫描设备开展全量漏洞扫描，对CVSS评分≥7.0的高危漏洞分级处置：政务外网域（OA、公文、财务、政务服务系统）必须在72小时内完成补丁修复，修复完成后重启验证业务可用性；工控专网域（闸门控制、泵站调度、大坝监测系统）严禁直接安装通用操作系统补丁——工控系统多采用嵌入式WindowsXP/7、实时Linux系统，通用补丁未经过厂家兼容性测试，安装后可能导致PLC程序跑飞、闸门误动作、通信中断，因此工控域高危漏洞优先采用工控防火墙配置访问控制策略阻断漏洞利用端口、部署工控主机卫士配置程序白名单的方式缓解风险，确需安装补丁的必须搭建与生产环境1:1的仿真测试环境，连续72小时试运行无异常，经工程管理部门、调度部门联合审批后，选择非汛期、非调度时段（优先凌晨0:00-4:00）实施，补丁安装前必须完成全系统配置、业务数据的全量离线备份；互联网感知域（山洪预警广播、农村供水监控、对外信息门户）必须在48小时内完成漏洞修复，防止被篡改、植入恶意链接。变更管理要求所有系统配置修改、版本升级、链路割接必须提前3个工作日提交《网络变更审批单》（见附件3），明确变更时间、影响范围、回退方案、责任人，经系统管理员、安全管理员、业务科室负责人三方签字后方可实施；变更影响范围覆盖3个及以上县（区）水利单位、或涉及核心调度系统的，必须由单位网络安全第一责任人审批。变更实施时优先选择业务低峰期，现场安排至少2名运维人员，1人操作、1人核验；变更完成后连续观察2小时系统运行状态，确认无异常后方可结束操作；若变更失败必须立即启动回退方案，30分钟内恢复业务，事后24小时内提交变更失败原因分析报告。严禁无审批变更、无回退方案变更、变更后不验证。终端与物理环境管理所有接入水利内网的办公终端、工控上位机必须安装统一的终端检测与响应系统（EDR），开启实时病毒防护、外设管控策略，严禁私自卸载安全软件、私自修改IP地址接入内网；严禁在连接内网的终端上连接公共WiFi、使用私人手机USB充电——手机连接终端时会自动建立MTP数据传输通道，手机携带的恶意程序可能通过该通道感染内网终端，成为攻击跳板。机房门禁必须启用双因子认证（门禁卡+指纹），严禁仅靠单门禁卡进入核心机房；外来人员进入机房必须登记身份证信息，由本单位运维人员全程陪同，严禁携带个人U盘、移动硬盘、笔记本电脑进入机房，确需带入的存储设备必须经安全管理员离线查杀病毒、登记备案后方可带入，阻断摆渡攻击路径（攻击演化路径：染毒外来存储介质接入内网终端→病毒通过内网横向扩散→感染SCADA服务器→加密数据或下发错误调度指令→引发工程运行事故）。数据安全与备份管理水利数据涵盖雨水情、工程安全、供水调度、取用水台账等敏感信息，一旦泄露、篡改或丢失，直接影响防洪决策、供水安全和社会稳定，其备份策略必须严格匹配业务中断容忍度。按照数据敏感程度与业务影响，执行三级备份策略：核心数据：包含雨水情实时监测数据、闸门/泵站调度指令、水库大坝安全监测数据、山洪灾害预警阈值、农村供水用户敏感信息，必须执行“三地三中心”备份策略：生产中心本地实时备份（RPO≤5分钟，RTO≤30分钟）、同城灾备中心每15分钟增量备份、异地灾备中心每日0点全量备份（异地灾备中心距离生产中心≥100公里，避免同一自然灾害导致生产、备份系统同时损坏），备份数据采用SM2/SM3国密算法加密存储。重要数据：包含水资源管理台账、水利工程建设档案、公文流转数据、行政执法记录，执行本地每日全量备份、异地灾备中心每周全量备份策略，RPO≤24小时，RTO≤4小时。一般数据：包含公开宣传信息、日常通知公告、非涉密工作资料，执行本地每周全量备份策略，RPO≤7天，RTO≤24小时。必须建立常态化备份验证机制：每月随机抽取不少于10%的备份文件开展恢复测试，每季度开展1次全量备份恢复演练，确保备份文件可用——严禁只备份不验证，据行业测算，约35%的备份系统因磁盘损坏、文件校验失败、备份策略配置错误等问题，在真正需要恢复时无法使用。核心数据备份介质必须采用只读一次写（WORM）存储，防止勒索病毒加密备份文件。严格管控数据外传流程：核心数据导出必须经业务科室负责人、安全管理员双审批，导出文件自动添加包含导出人姓名、导出时间、文件唯一标识的数字水印；严禁通过个人邮箱、私人云盘、即时通讯工具传输核心水利数据；对外公开发布的雨水情、工程信息必须经过脱敏处理，不得发布精确到村级以下的水库库容、闸孔开度、堤防险工险段坐标等敏感信息，防止敏感信息被收集利用（风险演化路径：公开渠道暴露的工程精确参数→被别有用心人员收集整合→汛期编造虚假险情信息传播引发公众恐慌，或被敌对势力利用制定破坏方案）。风险监测与应急响应水利网络安全事件的应急处置不能等攻击者完成破坏后再行动，必须建立分级响应、快速阻断的机制，尤其要避免处置过程中影响防汛调度主业务。按照事件影响范围、危害程度，建立三级响应机制，明确每级的判定标准、启动权限、响应时效与处置原则：响应级别判定标准启动权限响应时效核心处置原则Ⅰ级（特别重大）核心工控系统被非法控制；省级/市级水利门户被篡改；雨水情数据被篡改影响防汛决策；全网业务中断≥2小时单位网安第一责任人接警后10分钟内集结优先保障工程物理安全，通知现场切换手动控制模式，物理断开工控系统外网连接，完整留存溯源证据，每30分钟向上级报送进展Ⅱ级（重大）县级范围业务中断≥1小时；核心服务器感染勒索病毒未扩散；政务门户无法访问≥1小时网信部门负责人接警后15分钟内响应立即拔掉受感染设备网线隔离（严禁直接关机，避免触发MBR引导区加密导致恢复难度提升10倍），定位攻击源后从离线备份恢复数据，连续24小时监测无异常再接网Ⅲ级（一般）单个终端染毒；弱口令被探测未攻破；单个RTU离线≥2小时值班运维人员接警后15分钟内响应快速隔离处置，1小时内闭环，详细登记事件台账严格落实应急值守与演练要求：汛期必须安排2名运维人员24小时在岗值班，值班电话保持畅通，接告警后15分钟内响应，严禁值班期间擅离职守、将值班电话呼叫转移至无人接听状态。非汛期每半年开展1次实战化应急演练，重点模拟勒索病毒攻击、工控系统非法入侵、核心链路中断、数据泄露四类场景；每年汛前1个月必须开展1次专项应急演练，演练采用“不打招呼、随机触发”的方式检验运维人员真实响应能力，严禁提前编脚本、走流程的“表演式演练”；演练完成后7个工作日内开展复盘，针对暴露的问题更新应急预案、补全防护策略，形成“演练-评估-整改-优化”的PDCA闭环。严禁在防汛一级应急响应期间对核心工控系统执行停机、重启、补丁升级操作——该时段系统中断将直接影响调度指令下达，可能导致洪水漫坝、堤防溃决等重大风险，确需处置的故障必须采用网络侧隔离、旁路部署的方式，不得中断主系统运行。第三方运维与供应链管理第三方运维人员、信息化供应链是水利网络安全的薄弱环节，近3年全国水利行业通报的网络安全事件中，近60%与第三方违规操作、产品供应链漏洞直接相关。严格第三方人员准入管理：所有第三方运维人员进场必须提交身份证复印件、无犯罪记录证明，办理临时出入证；进入核心机房、操作核心系统时必须由本单位运维人员全程陪同，严禁第三方人员单独在机房操作、私自拷贝系统数据；远程运维申请的临时账号有效期最长不超过7天，到期自动失效，操作完成后立即注销账号，严禁为第三方人员配置长期有效、无操作范围限制的“万能账号”。严格供应链安全管控：采购的网络设备、服务器、工控终端、安全设备必须符合《中华人民共和国网络安全法》《关键信息基础设施安全保护条例》要求，具备网络安全等级保护认证、商用密码产品认证，优先选用国产化自主可控产品；新设备上线前必须开展全量漏洞扫描、恶意代码检测，格式化出厂预置存储磁盘，关闭设备自带的调试后门账号、远程维护端口，修改设备默认管理口令，严禁设备带默认配置直接接入生产网络；系统开发、升级时优先选用经过安全评估的国产化组件，严禁使用未经过代码审计的开源插件、免费软件，防止开源组件内置后门、挖矿程序引发安全事件。考核与责任追究制度的约束力来自可落地的问责机制，没有量化考核、责任到人的运维要求，最终都会变成纸上空文。建立季度运维考核机制：每季度由单位网信部门牵头，对照巡检完成率、高危漏洞整改及时率、账号合规率、备份可用率、应急响应时效5类核心指标（达标要求：巡检完成率100%、高危漏洞整改及时率100%、账号合规率100%、备份可用率100%、应急响应达标率100%），对各科室、下属单位、第三方服务商的运维落实情况开展检查，检查结果纳入年度绩效考核，对第三方服务商的考核结果与运维款支付、后续服务资格直接挂钩。明确追责情形：有下列行为之一的，对相关责任人员给予通报批评，情节严重的按规定给予政务处分，构成违法犯罪的移交司法机关处理：未按要求开展日常巡检，未及时发现系统隐患导致核心调度系统中断、影响防汛调度的；无审批擅自变更系统配置、安装未测试补丁，造成工控系统误动、业务数据丢失的；使用非授权远程工具连接内网、私自绕过堡垒机操作，导致系统被入侵、数据泄露的；未按要求落实备份策略，事件发生后无法恢复数据，造成重大损失的；应急响应处置不及时，导致事件影响范围扩大的；未履行陪同监督责任，放任第三方人员违规操作造成安全事件的。同时明确免责条款：严格按照制度流程开展运维操作，因不可抗因素（如电力部门大面积停电、运营商骨干网故障、未公开的0day漏洞攻击且已采取必要防护措施）导致的安全事件，不追究运维人员责任，避免过度问责导致人员隐瞒事件、不敢处置。培训与能力建设基层水利单位运维人员的能力短板是最大的安全短板，常态化的实操培训比采购昂贵的安全设备更能有效降低事件发生概率。明确分层培训要求：专职网络安全运维人员每年参加网络安全专业培训时长不少于40学时，必须熟练掌握等保2.0基本要求、工控安全防护规范、应急处置流程，每年至少参加1次实战攻防演练；基层水管单位兼职运维人员每半年参加1次专项培训，重点掌握账号安全管理、终端杀毒操作、异常情况上报流程，严