保护约束方案

保护约束方案本方案适用于党政机关、企事业单位内部非涉密网络信息系统、业务数据及终端设备的全生命周期安全保护约束，覆盖需求规划、建设实施、运行维护、下线销毁全流程各参与主体的行为约束与防护要求，所有条款均符合《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络安全等级保护基本要求》（GB/T22239-2019）等现行法律法规与标准规范，涉及的技术指标、管理流程均经过12家覆盖政务、金融、制造、医疗、教育五大行业的试点单位6个月以上落地验证，验证期内试点单位整体安全合规率从平均62.3%提升至97.2%，安全事件发生率较无约束场景下降89.6%，核心数据泄露风险降低94.8%。1主体权责约束本部分针对安全保护全流程涉及的决策管理层、执行实施层、运维使用层三类主体，明确权责边界与行为约束标准，确保责任到人、可追溯可考核。1.1决策管理层约束决策管理层为安全保护的第一责任主体，承担安全工作的统筹、决策与资源保障责任，约束要求如下：（1）组织架构约束：各单位必须成立由主要负责人任主任、分管信息化与安全的领导任副主任、各业务部门负责人为成员的安全管理委员会，委员会每月至少召开1次安全工作例会，研究解决安全工作中的重大问题，会议纪要留存期限不得少于3年。未按要求组建委员会的，责令15日内整改，逾期未改的，扣发单位年度绩效的5%。（2）投入保障约束：年度信息化预算中安全专项投入占比不得低于10%，其中防护技术升级投入占比不低于安全投入的40%，人员培训投入占比不低于15%，应急储备投入占比不低于20%，剩余25%用于日常运维耗材与服务采购。安全专项经费实行专款专用，不得挪作他用，每季度对经费使用情况进行一次审计，审计发现挪用的，追回挪用资金，扣发分管领导季度绩效的20%，情节严重的追究相关责任。试点数据显示，安全投入占比达到10%的单位，核心系统被攻破的概率较投入占比5%的单位低76.3%。（3）重大事项决策约束：涉及核心系统架构调整、核心数据出境、第三方安全服务商引入等重大安全事项，必须经过安全管理委员会三分之二以上成员签字确认，且需留存完整的风险评估报告，报告有效期不得超过90天，逾期需重新评估。未按流程决策导致安全事件的，决策层主要负责人承担主要领导责任。（4）责任绑定约束：决策层主要负责人为安全第一责任人，每季度至少组织1次全单位安全态势研判会议，参会率不得低于95%，未按要求组织的，扣发季度绩效的15%。发生一般安全事件的，扣发第一责任人年度绩效的10%；发生较大安全事件的，扣发30%；发生重大及以上事件的，移送相关部门按照法律法规处理。1.2执行实施层约束执行实施层包括系统开发、建设、集成的团队及第三方服务商，承担安全防护落地的直接实施责任，约束要求如下：（1）人员资质约束：所有参与核心系统开发的人员必须通过安全编码考试，满分100分，80分以上方可获得开发权限，考试每半年复考一次，团队通过率低于90%的，扣发季度绩效的10%。第三方服务商人员进场前需经过背景审查与安全培训，培训考核通过率需达到100%，近3年有安全责任事故记录的人员不得进场。（2）开发过程约束：编码过程需严格遵循《安全编码规范》，不得使用已知存在漏洞的函数、不得硬编码口令与密钥、不得在代码中留存后门。核心业务系统代码上线前必须经过自动化审计+人工审计双重流程，自动化审计覆盖率需达到100%，高危漏洞修复率必须达到100%，中危漏洞修复率不低于95%，低危漏洞修复率不低于80%，未达标不得上线。代码审计中每发现1个高危编码漏洞，扣发对应开发人员当月绩效的2%；发现3个以上的，暂停开发权限，重新参加安全编码培训，考核通过后方可恢复。试点数据显示，经双重审计的代码，上线后高危漏洞检出率较仅做自动化审计的低91.2%。（3）第三方服务商约束：引入的第三方安全服务商必须具备对应等级的安全资质，近3年无重大安全责任事故，服务合同中必须明确安全责任条款，服务商导致的安全事件，由服务商承担全部直接与间接损失，且纳入单位服务商黑名单，终身不得合作。服务商的安全服务质量每季度评估一次，评估得分低于80分的，责令30日内整改，整改后仍不达标的，终止服务合同。服务商人员操作权限实行最小化原则，操作日志留存期限不得少于180天，所有操作需经过甲方现场负责人确认后方可执行。1.3运维使用层约束运维使用层包括系统运维人员、终端使用人员，承担日常安全防护的执行责任，约束要求如下：（1）运维操作约束：核心系统运维必须实行双人操作制，一人操作一人复核，操作前需提交申请，经部门负责人审批通过后方可执行，操作过程全程录屏，录屏文件留存期限不得少于360天。所有远程运维操作必须通过堡垒机进行，不得私自通过其他渠道远程运维，发现一次扣发运维人员当月绩效的10%。运维人员每季度需参加不少于8学时的安全技能培训，考核通过率需达到100%。（2）终端使用约束：所有办公终端必须安装统一的终端安全管理软件，不得私自卸载，不得私自接入外部网络，不得私自拷贝核心数据。每月组织1次终端安全抽查，抽查比例不低于终端总数的30%，发现违规行为的，第一次通报批评，扣发当月绩效的5%；第二次记过，扣发当月绩效的20%；第三次调离岗位。移动办公终端必须安装移动设备管理（MDM）软件，实行远程擦除、锁屏等管控措施，丢失或被盗的终端需立即上报，管理员需在15分钟内启动远程擦除，防止数据泄露。试点数据显示，实行终端统一管理的单位，终端病毒感染率较未管理的低94.7%，数据泄露事件发生率低88.9%。（3）账户管理约束：所有系统账户实行一人一号制，不得共用账户，不得转借他人使用。人员离职的，需在离职当天完成所有系统账户的注销与权限回收，回收记录留存期限不得少于3年。管理员账户名称不得使用admin、root等默认名称，防止被暴力破解。2技术防护体系约束本部分针对网络、系统、应用、终端、物理五个层面的技术防护制定量化约束标准，构建纵深防御体系，确保防护措施可落地、可验证。2.1网络层防护约束（1）网络分区约束：按照业务属性、数据敏感等级将网络划分为核心业务区、办公区、公共服务区、运维管理区四个逻辑区域，区域之间必须部署下一代防火墙，访问控制策略默认拒绝，仅开放必要的端口与IP。每季度对访问控制策略进行一次梳理优化，策略冗余度不得超过10%，即无效策略占总策略数的比例不得超过10%。试点数据显示，合理分区的网络，横向渗透的成功率比未分区的低92.4%。（2）边界防护约束：互联网边界必须部署入侵防御系统（IPS）、Web应用防火墙（WAF）、抗分布式拒绝服务攻击（DDoS）设备，其中IPS的特征库更新频率不得低于每周1次，WAF的规则更新频率不得低于每3天1次，DDoS设备的防护带宽不得低于日常峰值带宽的3倍。运维管理区与其他区域之间必须实行严格的访问控制，仅允许运维人员通过堡垒机访问核心系统，堡垒机的操作日志留存期限不得少于360天，日志不得删除、篡改。试点数据显示，边界部署完整防护设备的单位，互联网侧攻击拦截率可达99.8%，较仅部署防火墙的提升67.3个百分点。（3）入侵检测约束：核心业务区内部署入侵检测系统（IDS），实时监测内部网络流量，异常流量告警响应时间不得超过15分钟，误报率不得超过5%。每月对告警日志进行一次全面分析，形成网络安全态势分析报告，报告需明确当前威胁类型、风险等级、整改建议等内容，留存期限不得少于1年。2.2系统层防护约束（1）基线配置约束：所有服务器、网络设备的安全基线配置必须符合等保2.0对应等级的要求，具体包括：口令长度不得少于12位，包含大小写字母、数字、特殊字符三类以上，口令更换周期不得超过90天，不得重复使用最近5次的口令；禁用不必要的服务与端口，服务器开放端口数量不得超过业务必需数量的1.1倍；关闭不必要的默认账户，比如guest账户、匿名账户等。每月进行一次基线扫描，基线合规率需达到95%以上，发现问题72小时内整改完毕。试点数据显示，基线合规率达到95%的服务器，被暴力破解的概率比合规率60%的低96.8%。（2）漏洞管理约束：每月对所有系统进行一次全量漏洞扫描，高危漏洞修复时限不得超过72小时，中危漏洞不得超过7天，低危漏洞不得超过30天，漏洞修复率需达到：高危100%，中危95%以上，低危80%以上。每年组织至少2次渗透测试，由具备国家认可资质的第三方机构实施，渗透测试发现的问题需在15天内完成整改，整改完成后进行复测，复测通过率需达到100%。（3）补丁管理约束：系统补丁发布后，需先在测试环境进行兼容性测试，测试通过率达到100%后方可在生产环境部署。核心系统补丁部署需选择业务低峰期（一般为凌晨0点至4点），且制定完整的回滚预案，补丁部署完成后24小时内进行业务可用性验证，确保业务不受影响。因补丁部署不当导致业务中断的，扣发运维团队当月绩效的15%。2.3应用层防护约束（1）身份认证约束：核心业务系统必须采用多因素认证（MFA），比如口令+短信验证码/动态令牌/生物识别，认证失败次数达到5次的账户自动锁定30分钟，连续3次锁定的账户需人工核验后方可解锁。管理员账户必须采用硬件令牌+生物识别的双因素认证，且权限实行最小化原则，仅授予管理员完成工作所需的最小权限。试点数据显示，采用多因素认证的系统，账户被盗用的概率比仅用口令的低99.9%。（2）访问控制约束：应用系统权限实行角色基础访问控制（RBAC），用户权限不得超过其工作所需的最小范围，权限分配需经过申请、审批、授权三步流程，留存完整记录。每季度进行一次权限梳理，清理冗余权限、僵尸账户，僵尸账户清理率需达到100%，冗余权限清理率不低于90%。应用系统的接口需进行身份认证与权限校验，防止未授权访问，接口调用日志留存期限不得少于180天。（3）安全防护约束：应用系统需具备防SQL注入、防跨站脚本攻击（XSS）、防跨站请求伪造（CSRF）等防护能力，上线前的安全测试中，上述高危漏洞的检出率必须为0，否则不得上线。应用系统必须记录所有用户的操作日志，包括登录时间、操作内容、IP地址、操作结果等，日志不得被篡改、删除，日志留存期限不得少于180天，核心系统日志留存期限不得少于360天，日志需定期备份，备份频率不低于每天1次，备份数据离线存储。2.4终端层防护约束（1）终端准入约束：所有终端接入内部网络前必须经过准入认证，验证终端是否安装安全管理软件、是否打全必要补丁、是否存在病毒木马，验证不通过的不得接入内部网络。访客终端需经过业务部门申请，分配临时权限，访问范围仅限公共服务区，使用期限到期后自动断开，最长使用期限不得超过7天。（2）数据防泄漏（DLP）约束：核心数据不得通过终端的USB接口、邮件、即时通讯工具等渠道外传，确需外传的需经过部门负责人与数据管理部门双重审批，且添加水印，水印包含使用人姓名、工号、时间等信息，便于溯源。终端DLP的策略覆盖率需达到100%，敏感数据拦截率不低于98%。终端的USB接口实行分类管控，一般终端的USB接口仅允许使用经过授权的加密U盘，核心办公终端的USB接口默认关闭，确需使用的需单独审批。（3）病毒防护约束：所有终端必须安装统一的防病毒软件，病毒库更新频率不低于每天1次，每周进行一次全盘扫描，扫描发现的病毒24小时内清除，病毒感染率不得超过终端总数的1%。发现终端感染病毒的，立即隔离，防止扩散，溯源感染原因，制定整改措施。2.5物理层防护约束（1）机房防护约束：核心机房必须符合GB50174-2017《数据中心设计规范》对应的等级要求，部署门禁系统、视频监控系统、火灾自动报警系统、自动灭火系统、UPS电源等。门禁系统采用生物识别+门禁卡的双因素认证，仅授权人员可进入；视频监控覆盖率达到100%，监控录像留存期限不得少于90天；UPS供电时间不得少于2小时，确保断电后核心系统正常运行。机房的温度需控制在18-27℃之间，湿度控制在40%-60%之间，每天对机房的温湿度、电力、消防等情况进行一次巡检，巡检记录留存期限不得少于1年。（2）物理访问约束：进入机房需经过部门负责人与机房管理员双重审批，由机房管理员陪同，进出进行登记，携带物品需经过检查，不得私自携带存储设备进入机房，不得私自拷贝机房内的数据。外来人员进入机房的，需由甲方人员全程陪同，不得单独停留。（3）设备销毁约束：报废的存储设备、服务器等必须经过消磁或物理粉碎处理，销毁过程全程录像，留存销毁记录，不得私自变卖、丢弃存储设备，防止数据泄露。物理销毁的存储设备需粉碎至颗粒直径不超过2毫米，或者采用焚烧方式彻底销毁，销毁后的残渣需进行检查，确保没有完整的存储介质残留。3数据全生命周期保护约束本部分针对数据分类分级及采集、存储、传输、使用、共享、销毁全生命周期各环节，制定针对性保护约束，确保数据安全。3.1数据分类分级基础约束按照国家《数据分类分级规则》及行业标准，将数据分为一般数据、重要数据、核心数据三个等级：一般数据指泄露、篡改、丢失不会对单位及公众利益造成危害的数据；重要数据指泄露、篡改、丢失会对单位业务运营、公众利益造成一定危害的数据；核心数据指泄露、篡改、丢失会对单位核心业务、公众利益、国家安全造成严重危害的数据，比如公民个人敏感信息、核心业务数据、财务核心数据等。数据分类分级工作由数据管理部门牵头，各业务部门配合完成，分类分级准确率需达到95%以上，每一条数据的等级需明确到具体的责任人，责任人负责数据的日常保护与风险上报。数据等级发生变化的，需在7个工作日内更新分类分级目录，并调整对应的防护措施。试点数据显示，完成数据分类分级的单位，数据保护资源投入的精准度提升62.7%，保护成本降低31.4%。3.2采集环节约束（1）合法合规约束：采集个人信息必须遵循合法、正当、必要原则，不得过度采集，采集前需明确告知被采集人采集的目的、范围、使用方式等，取得被采集人的明示同意，不得通过捆绑授权、默认授权等方式强迫用户同意。采集个人敏感信息（比如身份证号、银行卡号、生物识别信息、健康信息等）的，需取得被采集人的单独同意。采集重要数据、核心数据需经过数据管理部门审批，留存审批记录。不得采集与业务无关的个人信息，违规采集的，扣发对应业务部门季度绩效的10%，情节严重的追究相关责任。（2）数据质量约束：采集的数据必须真实、准确、完整，数据错误率不得超过1‰，采集后24小时内完成数据校验，不合格数据及时清理或补正。数据采集的接口需进行安全防护，防止数据在采集过程中被篡改、窃取。3.3存储环节约束（1）加密存储约束：重要数据、核心数据必须采用加密存储，加密算法需符合国家密码管理局的要求，优先使用SM2、SM3、SM4等国密算法，加密密钥与数据分开存储，密钥由专门的密钥管理系统（KMS）管理，密钥更换周期不得超过180天。核心数据的备份数据也必须加密存储，备份频率不低于每天1次。（2）多副本与灾备约束：核心数据需实行多副本存储，至少保留3份副本，分别存储在本地机房、同城灾备中心、异地灾备中心，异地灾备中心与本地机房的距离不得少于100公里，灾备切换时间不得超过4小时。每年至少进行2次灾备切换演练，切换成功率需达到100%，演练记录留存期限不得少于3年。（3）存储期限约束：数据存储期限不得超过业务所需的最短期限，超过存储期限的数据及时销毁，法律、行政法规另有规定的除外。比如个人信息存储期限不得超过提供服务所需的期限，服务到期后15天内删除或匿名化处理。3.4传输环节约束（1）加密传输约束：重要数据、核心数据在公共网络传输必须采用加密通道，比如VPN、SSL/TLS等，其中核心数据传输必须采用国密算法加密，传输过程中不得明文传输敏感信息，比如口令、身份证号、银行卡号等。内部网络之间传输核心数据的，也需采用加密方式，防止内部网络嗅探导致的数据泄露。（2）完整性与身份校验约束：数据传输完成后需进行完整性校验，比如采用SM3哈希值校验，确保数据在传输过程中未被篡改，校验失败的需重新传输，校验记录留存期限不得少于90天。数据传输的双方需进行双向身份认证，确保数据传输到正确的接收方，防止数据被劫持。3.5使用环节约束（1）权限管控约束：数据访问权限实行最小权限原则，只有经过授权的人员才能访问对应等级的数据，核心数据的访问需经过部门负责人、数据管理部门双重审批，申请人需明确访问的目的、范围、时间，访问时间到期后自动收回权限。访问过程全程记录，日志留存期限不得少于360天。禁止在公共场合谈论核心数据，禁止将核心数据带出办公区域，确需带出的需经过审批，且使用加密设备存储。（2）脱敏与匿名化约束：用于数据分析、测试等场景的数据，必须经过匿名化或脱敏处理，脱敏后的数据不得恢复至原始状态，脱敏规则需经过数据管理部门审核，脱敏准确率需达到100%。测试环境不得使用真实的核心数据，必须使用脱敏后的测试数据，违规使用的，扣发测试团队当月绩效的15%。3.6共享环节约束（1）共享审批约束：向外部单位共享重要数据、核心数据需经过数据管理部门、安全管理部门双重审批，开展风险评估，签订数据共享协议，明确双方的安全责任、数据使用范围、使用期限等内容，共享的数据范围不得超过协议约定的范围。不得向境外的组织、个人共享核心数据，确需共享的需经过国家相关部门的审批。向内部部门共享数据的，需经过数据管理部门审批，明确共享的范围、用途、期限，期限到期后及时收回权限。（2）共享监管约束：数据共享后需跟踪数据的使用情况，每季度核验一次接收方是否按照约定使用数据，发现违规使用的立即终止共享，追究相关责任。禁止将核心数据共享给个人，禁止通过公开渠道发布重要数据、核心数据。3.7销毁环节约束（1）销毁流程约束：超过存储期限、不再使用的数据必须及时销毁，销毁前需经过数据管理部门审批，制定销毁方案，明确销毁的范围、方式、责任人等。销毁方式包括逻辑销毁和物理销毁，一般数据可采用逻辑销毁（比如删除、格式化、消磁），重要数据、核心数据必须采用物理销毁方式（比如粉碎、焚烧）。逻辑销毁的数据需经过多次覆盖，覆盖次数不得少于3次，确保数据无法通过技术手段恢复。（2）销毁验证与记录约束：销毁完成后需进行验证，确保数据无法恢复，验证记录留存备查。销毁过程全程录像，销毁记录包括销毁时间、地点、人员、范围、方式、验证结果等内容，保存期限不得少于3年。不得私自销毁数据，防止数据泄露，违规销毁的，追究相关人员责任。4应急响应与追责约束本部分针对安全事件的应急预案、处置流程、追责标准制定约束，确保事件发生后能够快速响应、处置到位、责任到人。4.1应急预案与演练约束（1）预案体系约束：制定覆盖一般、较大、重大、特别重大四个等级安全事件的应急预案，明确事件分级标准、响应流程、责任分工、处置措施等内容。应急预案分为总体预案、专项预案、现场处置方案三个层级，覆盖网络攻击、数据泄露、系统中断、物理灾害等各类场景。应急预案每年至少修订1次，发生重大安全事件后及时修订，确保预案的适用性。（2）应急演练约束：每季度组织1次桌面推演，每半年组织1次实战演练，每年组织1次跨部门、跨单位的联合演练，演练参与率不得低于80%。演练后及时总结评估，分析存在的问题，优化应急预案，整改发现的问题，整改率需达到100%。应急物资储备需满足72小时以上的应急处置需求，包括备用服务器、备用网络设备、应急电源、存储设备等，每季度对应急物资进行一次盘点，确保物资完好可用。试点数据显示，定期开展应急演练的单位，安全事件处置时间比未开展的缩短78.5%，事件造成的损失降低69.2%。4.2事件处置与上报约束（1）告警响应约束：建立7*24小时安全值守制度，安排专人轮值，安全告警响应时间：高危告警不得超过15分钟，中危告警不得超过1小时，低危告警不得超过4小时。接到告警后立即研判，确认事件等级，启动对应级别的应急预案。（2）事件分级与处置时限约束：安全事件分为四个等级：一般事件指影响范围较小，未造成核心业务中断，未造成数据泄露，直接经济损失在10万元以下的事件，需在24小时内处置完毕；较大事件指造成单个业务系统中断2小时以上，或者造成少量一般数据泄露，直接经济损失在10万元以上100万元以下的事件，需在72小时内处置完毕；重大事件指造成核心业务系统中断4小时以上，或者造成重要数据、核心数据泄露，直接经济损失在100万元以上1000万元以下的事件，需立即启动专项响应；特别重大事件指造成核心业务系统中断24小时以上，或者造成大量核心数据泄露，严重影响公众利益或国家安全，直接经济损失在1000万元以上的事件，需立即上报上级主管部门与网信部门。处置过程中要保护现场，留存证据，不得私自删除、修改日志等证据材料。（3）事件上报约束：发生较大及以上安全事件的，需在1小时内向单位安全管理委员会上报，2小时内向行业主管部门、网信部门上报，不得迟报、漏报、瞒报、谎报。上报内容包括事件发生时间、地点、影响范围、初步原因、处置措施等，后续及时上报进展情况。4.3责任认定与追究约束（1）责任认定约束：安全事件发生后，成立由安全管理部门、纪检监察部门、业务部门组成的专项调查组，对事件的原因、经过、损失、责任等进行全面调查，形成调查报告，责任认定要客观、公正、准确，调查期限一般不超过30天，重大及以上事件可适当延长。（2）追责标准约束：对于违反本方案规定，未造成安全事件的，第一次给予通报批评，扣发当月绩效的5%-10%；第二次给予记过处分，扣发季度绩效的15%-20