服务器安全生产管理制度

服务器安全生产管理制度为规范服务器全生命周期安全管理，保障业务系统连续性、数据完整性与保密性，防范网络安全风险，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及网络安全等级保护2.0系列标准，结合本单位业务实际，制定本制度。本制度适用于本单位所有物理服务器、云服务器（含公有云、私有云、混合云部署的服务器）、边缘计算节点服务器的安全管理，覆盖生产环境、测试环境、灾备环境及第三方托管环境下的所有服务器资产。服务器安全生产管理遵循“谁主管谁负责、谁运维谁负责、谁使用谁负责”的核心原则，落实全生命周期管控要求，坚持安全防护与业务发展并重，贯彻最小权限、纵深防御、持续改进的管理理念，确保服务器运行安全与数据安全。1.组织架构与职责1.1三级责任体系本单位建立三级服务器安全管理责任体系，明确各层级管理职责，实现责任到人、权责清晰。1.1.1决策层：由安全管理委员会、IT分管领导组成，是服务器安全生产的最高决策机构，负责审批服务器安全管理制度、年度安全建设预算、重大安全事件处置方案，统筹协调服务器安全管理所需的人力、物力资源，对本单位服务器安全负总责。1.1.2执行层：由运维部、安全部、各业务部门组成，是服务器安全生产的执行主体，负责落实各项安全管理要求，开展日常运维、安全防护、漏洞修复、应急处置等工作。1.1.3监督层：由内审部组成，负责对服务器安全管理制度的执行情况进行独立审计，监督安全责任落实情况，评估安全管理有效性，提出整改要求并跟踪落实。1.2岗位职责1.2.1运维部职责：负责服务器资产台账管理、部署上线、日常运维、性能优化、数据备份、硬件维保、下线销毁等工作；落实服务器安全基线配置要求；配合安全部开展漏洞扫描、渗透测试、安全检查等工作；负责服务器故障的排查与处置，保障业务连续性。1.2.2安全部职责：负责制定服务器安全管理制度与技术规范；开展服务器安全基线核查、漏洞扫描、渗透测试、入侵检测、日志审计等安全工作；跟踪最新安全漏洞与威胁预警，发布安全通告并督促漏洞修复；牵头服务器安全事件的调查与处置；组织安全培训与应急演练。1.2.3业务部门职责：负责提出服务器资源申请与业务需求；配合运维部、安全部开展服务器安全管理工作；落实业务系统层面的安全配置要求；对本部门业务数据的安全性负责。1.2.4内审部职责：负责每季度开展服务器安全管理合规审计，检查制度执行情况、安全责任落实情况、漏洞修复情况、数据备份有效性等；出具审计报告，提出整改意见并跟踪整改闭环；对服务器安全管理体系的有效性进行评估。1.3责任人机制每台服务器必须明确三名责任人，责任信息录入资产台账并动态更新：一是资产责任人，由业务部门负责人担任，对服务器承载的业务与数据安全负首要责任；二是运维责任人，由运维部指定专人担任，对服务器的运行稳定性、配置合规性负直接责任；三是安全责任人，由安全部指定专人担任，对服务器的安全防护有效性负监督责任。2.服务器全生命周期安全管理2.1规划采购阶段2.1.1需求与选型：业务部门提出服务器采购需求时，需明确业务安全等级、性能要求、数据敏感程度等指标；运维部、安全部共同参与服务器选型，硬件设备需优先选用获得国家信息安全认证的产品，禁止采购存在供应链安全风险的厂商产品；操作系统、中间件、数据库等软件需采用正版授权版本，禁止使用破解版、来历不明的软件，优先选用安全生态成熟、厂商持续维护的版本（如RedHatEnterpriseLinux8及以上、WindowsServer2019及以上版本、CentOSStream9等），禁止使用已停止官方维护的软件版本（如CentOS7及以下版本、WindowsServer2008及以下版本）。2.1.2供应商管理：服务器供应商需具备相应的经营资质与技术服务能力，近3年无重大网络安全事件记录，签订采购合同时需明确安全责任条款，要求供应商承诺所提供的产品无后门、无恶意代码，若因产品安全缺陷导致损失，供应商需承担相应责任。2.2部署上线阶段2.2.1安全基线配置：服务器部署完成后，运维人员必须按照《服务器安全基线配置规范》完成安全配置，基线配置项不少于120项，覆盖操作系统、中间件、数据库三个层面，核心配置要求包括：关闭不必要的系统服务（如telnet、ftp、rpcbind等）；封禁非业务必需的高危端口（如23、135、139、445，3389、22等默认管理端口需修改后按需开放）；设置密码复杂度策略（密码长度不少于12位，包含大小写字母、数字、特殊字符，90天强制更换，禁止复用前5次历史密码）；启用系统审计日志；配置防火墙规则，默认拒绝所有入站访问，仅开放业务必需的端口与IP白名单；落实最小权限原则，普通用户禁止拥有超级管理员权限，sudo权限需按需分配并记录操作日志。2.2.2上线前安全测评：服务器上线前必须通过安全部的安全测评，测评内容包括漏洞扫描、基线核查、渗透测试三个环节：高危漏洞（CVSS评分≥7.0）、中危漏洞（CVSS评分4.0-6.9）修复率需达到100%，低危漏洞（CVSS评分<4.0）需制定整改计划并在7天内完成修复；基线合规率需达到98%以上，不符合项需立即整改；渗透测试未发现可利用的高危安全漏洞。测评通过后出具《服务器上线安全测评报告》，经安全部、运维部、业务部门三方签字确认后方可上线。2.2.3资产登记：服务器上线前必须完整录入资产配置管理数据库（CMDB），登记信息包括但不限于：资产编号、设备型号、序列号、IP地址（公网/内网）、所属业务系统、部署位置（机房机柜号/云可用区）、硬件配置（CPU、内存、磁盘、网卡）、操作系统版本、中间件版本、数据库版本、资产责任人、运维责任人、安全责任人、上线时间、维保到期时间、安全等级（等保护级），资产信息变更需在24小时内更新CMDB，确保资产台账准确率达到100%。2.3运行维护阶段运行维护阶段的安全管理要求详见本制度第3章“日常运维安全管控”。2.4下线销毁阶段2.4.1下线审批：服务器下线前，业务部门需提交《服务器下线申请单》，明确下线原因、数据迁移情况、备份情况，经业务部门负责人、运维部、安全部审批通过后方可实施下线操作。2.4.2数据处置：服务器下线前，运维人员需完成业务数据的迁移与备份，确认数据完整性后，对服务器存储介质进行数据擦除：物理服务器采用符合DoD5220.22-M标准的7次覆写方式进行数据擦除，若存储介质损坏无法擦除，需采用物理粉碎的方式销毁；云服务器需删除所有数据、快照、备份，释放云资源，确认无法恢复数据。2.4.3销毁记录：数据销毁过程需由两名以上工作人员在场，全程录像，销毁完成后出具《数据销毁证明》，由运维部、安全部、业务部门三方签字确认，销毁记录与录像保存不少于3年。禁止未经审批私自处置服务器或存储介质，防止数据泄露。3.日常运维安全管控3.1账号权限管理3.1.1账号分类与三权分立：服务器账号实行分类管理，设置系统管理员、运维管理员、安全审计员三类角色，实现三权分立：系统管理员负责系统配置、权限分配，拥有超级管理员权限；运维管理员负责日常运维操作，拥有业务系统运维权限；安全审计员负责日志审计、操作监督，仅有日志查看权限，无系统配置与运维操作权限。3.1.2账号申请与回收：账号申请实行严格的审批流程：1.申请人通过OA系统提交《服务器账号权限申请单》，明确申请账号类型、权限范围、使用期限、申请事由；2.申请人所属部门负责人审核申请真实性与必要性；3.运维部账号管理员根据最小权限原则核定权限范围；4.安全部对权限配置进行合规性备案；5.账号管理员完成账号创建后，通过加密渠道将账号信息告知申请人，申请人需在24小时内修改初始密码。临时账号有效期最长不超过7天，到期自动回收；员工离职、调岗时，人力资源部需提前24小时通知运维部，运维部需在员工离职/调岗生效前完成账号注销与权限回收。3.1.3超级管理员账号管理：超级管理员账号（root、administrator）实行双人共管机制，密码分为两段，分别由两名运维主管保管，使用时需共同输入；超级管理员账号的使用必须提交申请，经IT分管领导审批通过后方可使用，操作过程全程通过堡垒机录像，操作日志保存不少于180天。禁止个人私自持有超级管理员账号密码，禁止共享账号。3.2远程访问管理3.2.1访问通道要求：所有服务器的远程管理必须通过堡垒机进行，禁止直接通过公网IP或内网IP直接远程登录服务器；堡垒机需部署在独立的运维安全域，与生产域、测试域通过防火墙隔离。3.2.2身份认证要求：远程访问采用双因子认证机制，认证方式为“密码+短信验证码/硬件令牌/生物识别”，禁止单一密码认证；SSH协议禁止使用密码认证，需采用“密钥+密码”双认证方式，默认端口需修改为非22端口；RDP协议需启用网络级身份验证（NLA），默认端口需修改为非3389端口。3.2.3访问控制要求：远程访问实行IP白名单机制，仅允许运维网段、指定办公网段的IP访问堡垒机，禁止公网直接访问堡垒机；堡垒机需配置访问控制策略，根据用户权限分配可访问的服务器范围与操作权限，禁止越权访问。所有远程操作全程录像，操作日志集中存储，保存不少于180天，安全审计员可随时调阅审计。3.3补丁与漏洞管理3.3.1漏洞监测与预警：安全部安排专人每日跟踪国家信息安全漏洞共享平台（CNVD）、厂商安全公告、行业安全预警等渠道的漏洞信息，对高危漏洞（CVSS≥7.0）需在2小时内发布内部安全预警，明确漏洞影响范围、风险等级、修复建议。3.3.2漏洞扫描机制：安全部每月开展一次全量服务器漏洞扫描，重要业务系统（三级等保及以上）每周开展一次漏洞扫描；每季度开展一次渗透测试，主动发现服务器存在的安全漏洞。漏洞扫描结果需形成《漏洞扫描报告》，同步至运维部与相关业务部门。3.3.3漏洞修复时限：漏洞修复实行分级管理：高危漏洞需在24小时内启动修复，72小时内完成修复，确因业务原因无法及时修复的，需采取临时防护措施（如WAF规则拦截、端口封禁、访问限制等）并报安全部备案，制定整改计划限期15天内完成；中危漏洞需在7天内完成修复；低危漏洞需在30天内完成修复。漏洞修复完成后需经安全部验证通过后方可闭环。3.3.4补丁管理要求：所有系统补丁、软件补丁需先在测试环境进行验证，确认补丁不影响业务系统正常运行、无兼容性问题后，方可在生产环境部署；补丁验证通过率需达到99%以上才能批量推送；补丁部署过程需记录操作日志，保留补丁版本、部署时间、操作人、验证结果等信息。3.4日志管理3.4.1日志采集要求：所有服务器必须开启系统日志、安全日志、应用日志，日志内容需包含登录时间、登录IP、登录账号、操作内容、操作结果、错误信息等关键字段；日志需通过syslog、filebeat等工具集中采集至安全信息与事件管理系统（SIEM），实现日志的统一存储、分析与审计。3.4.2日志存储要求：普通业务系统服务器日志保存期限不少于6个月，重要业务系统（三级等保及以上）服务器日志保存期限不少于12个月；日志服务器需单独部署，采用独立的存储介质，权限严格控制，仅安全审计员拥有日志查看权限，禁止任何人删除、篡改日志内容。3.4.3日志分析要求：安全部安排专人每日对SIEM系统的告警信息进行分析，排查异常登录、异常操作、恶意攻击等安全事件，发现可疑行为立即开展调查；每周出具《日志审计周报》，汇总本周安全告警情况、处置情况、风险趋势。3.5日常巡检管理3.5.1巡检分级：服务器巡检分为每日基础巡检、每周安全巡检、每月全面巡检三个层级。3.5.2巡检内容：每日基础巡检由运维人员负责，内容包括CPU使用率（预警阈值≥80%）、内存使用率（预警阈值≥85%）、磁盘使用率（预警阈值≥80%）、网络带宽使用率（预警阈值≥70%）、核心服务运行状态、系统告警信息，巡检结果记录在运维管理系统中，发现异常立即处置；每周安全巡检由安全部负责，内容包括账号合规性检查、端口开放情况检查、防火墙规则检查、入侵检测告警核查、病毒库更新情况检查，发现问题限期整改；每月全面巡检由运维部、安全部联合开展，内容包括硬件健康状态、系统性能趋势、安全防护有效性、备份完成情况，巡检完成后出具《月度服务器巡检报告》，提交IT分管领导与相关业务部门。3.5.3巡检记录管理：所有巡检记录需电子化存档，保存期限不少于1年，巡检发现的问题需建立整改台账，跟踪整改闭环，整改完成率需达到100%。3.6数据备份管理3.6.1备份策略：服务器数据备份实行“本地+异地”的灾备体系，重要业务系统数据需同时部署本地备份与异地灾备，备份策略如下：全量备份每周执行1次，增量备份每日执行1次，差分备份每3天执行1次；备份数据采用AES-256算法加密存储，防止备份数据泄露。3.6.2备份介质与存放：本地备份采用磁盘阵列存储，异地灾备部署在距离本地50公里以上的灾备机房，备份介质需定期检查健康状态，磁盘阵列每年更换一次使用超过3年的老旧磁盘，磁带库每3年更换一次磁带介质。3.6.3备份验证：每季度开展一次备份恢复测试，覆盖所有重要业务系统，测试内容包括备份数据完整性验证、恢复操作时长核算、恢复后业务可用性验证，测试结果形成《备份恢复测试报告》，由运维部、安全部、业务部门三方签字确认；备份恢复成功率需达到99.9%以上，若未达标需立即排查备份链路、备份介质、备份策略存在的问题，10个工作日内完成整改并重新测试。3.6.4备份数据保留：业务数据保留期限不少于1年，日志数据保留期限不少于6个月，系统配置文件、安全配置文件保留期限不少于3年；超过保留期限的备份数据需经安全部、业务部门联合审批后方可删除，删除过程需记录存档。4.多层级安全防护体系4.1物理安全防护4.1.1机房环境要求：物理服务器部署的机房需满足温湿度控制要求，温度保持在18℃-27℃，相对湿度保持在40%-60%，每2小时自动记录温湿度数据，超出阈值立即告警；机房防雷接地电阻需小于4Ω，每年开展一次防雷检测；消防系统采用七氟丙烷气体灭火装置，禁止使用水喷淋，每月检查一次消防设备有效性；UPS不间断电源供电时间不少于4小时，每半年开展一次UPS放电测试，确保供电可靠性。4.1.2机房访问控制：机房实行严格的门禁管理，采用“生物识别+门禁卡”双因子认证，仅授权人员可进入；外来人员进入机房需提交《机房访问申请单》，经运维部、安全部审批后由专人全程陪同，禁止单独停留；机房所有区域部署视频监控，监控录像保存不少于90天；机房核心服务器区域需加装物理锁，仅运维主管可进入，进出需登记时间、人员、事由。4.1.3硬件设备防护：物理服务器需固定在机柜中，加装机柜锁；服务器的USB接口、光驱等外接接口需全部在系统层面禁用，确需使用的需经安全部审批并做好使用记录；禁止携带个人存储设备（U盘、移动硬盘、智能手机等）进入服务器核心区域，防止恶意代码植入与数据泄露。4.2网络安全防护4.2.1安全域划分：服务器按照业务属性、安全等级划分为生产域、测试域、运维域、灾备域四个安全域，域之间通过下一代防火墙（NGFW）隔离，访问控制策略遵循“默认拒绝、最小权限”原则，仅开放业务必需的访问端口与IP白名单。生产域与测试域严格隔离，禁止测试环境直接访问生产环境数据，禁止测试数据流入生产环境。4.2.2边界安全防护：生产域与公网边界部署Web应用防火墙（WAF）、入侵防御系统（IPS）、抗DDoS设备，抗DDoS防护能力不低于100Gbps，可抵御常见的SYNFlood、UDPFlood、HTTPFlood等攻击；所有面向公网的业务系统必须部署合规SSL证书，采用TLS1.3协议，禁用SSL3.0、TLS1.0、TLS1.1等弱加密协议，禁用弱密码套件。4.2.3网络访问审计：所有跨安全域的访问流量需经过防火墙审计，记录访问源IP、目的IP、端口、访问时间、访问结果等信息，日志保存不少于6个月；重要业务系统的网络流量需镜像至流量分析系统，实时监测异常流量与攻击行为。4.3主机安全防护4.3.1恶意代码防护：每台服务器必须部署终端检测与响应系统（EDR），病毒库、威胁情报每日自动更新，实时监控恶意程序、异常进程、文件篡改、提权行为等安全风险；每周开展一次全盘病毒扫描，发现病毒立即隔离处置，溯源感染路径，排查同网段服务器是否被感染，处置完成后出具病毒处置报告报安全部备案。4.3.2主机入侵检测：服务器部署主机入侵检测系统（HIDS），对系统关键文件（如/etc/passwd、/etc/shadow、C:\Windows\System32\drivers\etc\hosts等）、应用配置文件、数据库配置文件进行完整性监控，一旦发生篡改立即告警；对异常登录、暴力破解攻击、端口扫描等行为实时监测，发现可疑行为立即封禁IP并推送告警至安全部。4.3.3资源滥用监控：运维监控系统实时监控服务器资源使用情况，对CPU、内存、磁盘、带宽连续30分钟以上处于90%高负载状态的服务器进行告警，排查是否存在挖矿、肉鸡等恶意行为，发现异常立即隔离处置。4.4应用与数据安全防护4.4.1中间件安全：Web中间件（Nginx、Apache、Tomcat等）需按照安全基线配置，删除默认测试页面、管理控制台、示例程序等不必要的组件；禁用不必要的HTTP方法（如PUT、DELETE、TRACE等）；配置访问频率限制，防止爬虫、暴力破解攻击。缓存中间件（Redis、Memcached等）禁止监听公网端口，必须设置长度不少于16位的强密码，禁用flushall、keys、config等危险命令，禁止以root权限运行。4.4.2数据库安全：数据库服务器禁止直接暴露在公网，仅允许应用服务器访问数据库端口；数据库账号实行最小权限分配，禁止使用sa、root等超级管理员账号运行业务系统；敏感数据（用户身份信息、银行卡号、交易数据、密码等）需脱敏存储，采用掩码、替换、加盐哈希等脱敏算法，禁止明文存储敏感数据；数据库操作需开启全量审计日志，记录所有增删改查操作，日志保存不少于12个月；每季度开展一次数据库安全检查，排查弱密码、越权访问、SQL注入等风险。4.4.3数据传输安全：服务器之间的数据传输、服务器与客户端的数据传输需采用加密协议，敏感数据传输需采用端到端加密，防止数据在传输过程中被窃取、篡改；禁止通过HTTP、FTP等明文协议传输敏感数据，内部系统间传输敏感数据需采用加密通道。5.应急响应与事件处置5.1事件分级根据服务器安全事件的影响范围、严重程度，将事件分为四个等级：5.1.1特别重大事件（I级）：核心业务系统服务器大面积瘫痪，导致核心业务中断超过2小时；敏感数据泄露超过10万条；服务器被植入勒索病毒，导致10台以上服务器数据加密无法恢复；发生其他造成特别严重影响的安全事件。5.1.2重大事件（II级）：核心业务系统中断30分钟以上、2小时以内；敏感数据泄露1万条以上、10万条以下；10台以上服务器被入侵；发生其他造成严重影响的安全事件。5.1.3较大事件（III级）：重要业务系统中断30分钟以内；敏感数据泄露1千条以上、1万条以下；3台以上、10台以下服务器被入侵；发生其他造成较大影响的安全事件。5.1.4一般事件（IV级）：单个服务器发生故障，不影响主要业务运行；敏感数据泄露不足1千条；单个服务器被入侵但未造成数据损失；发生其他影响较小的安全事件。5.2响应流程5.2.1事件发现与上报：运维人员、安全人员发现服务器安全事件或告警后，需第一时间上报安全部，安全部在10分钟内完成事件级别研判，I级、II级事件需立即上报安全管理委员会与IT分管领导。5.2.2应急处置：根据事件级别启动相应等级的应急响应：I级事件启动一级响应，应急小组全员到位，30分钟内完成初步风险隔离（如断网、封禁IP、隔离受感染服务器等），防止事态扩大；II级事件启动二级响应，运维部、安全部核心人员到位，2小时内完成风险隔离；III级事件启动三级响应，由运维部、安全部相关人员负责处置，4小时内完成风险控制；IV级事件由运维人员自行处置，处置完成后24小时内报安全部备案。5.2.3事件调查与恢复：风险隔离后，应急小组开展事件调查，分析事件原因、影响范围、损失情况，制定修复方案与业务恢复方案；业务恢复需按照“先核心、后边缘”的原则，优先恢复核心业务系统，恢复过程需做好详细记录，验证业务功能、数据完整性正常后方可结束恢复操作。5.2.4事件上报与通报：I级事件需在1小时内按合规要求向上级主管单位上报，2小时内提交事件初步报告；II级事件需在24小时内提交事件初步报告。事件处置完成后，需向相关业务部门通报事件情况与处置结果。5.3事件复盘与改进事件处置完成后5个工作日内，安全部牵头开展事件复盘，出具《安全事件复盘报告》，明确事件根因、处置过程、存在的问题、整改措施与责任认定，整改措施需明确责任人与完成时限，安全部跟踪整改闭环，防止同类事件再次发生。5.4应急演练5.4.1演练频次：每季度开展一次桌面应急演练，每半年开展一次实战应急演练，每年开展一次跨部门联合应急演练。5.4.2演练内容：演练内容覆盖勒索病毒攻击、DDoS攻击、数据泄露、硬件故障、数据误删除等常见场景，每次演练设定不同的演练主题，确保覆盖各类风险场景。5.4.3演练评估：演练完成后需开展效果评估，检验应急预案的可行性、应急队伍的响应能力、防护措施的有效性，形成《应急演练评估报告》，针对演练中发现的问题优化应急预案，10个工作日内完成整改。演练记录与报告保存不少于2年。6.第三方安全管理6.1第三方人员管理第三方运维服务商、外包人员需访问服务器或进入机房的，必须签订《保密协议》，明确保密责任与违约责任，禁止泄露本单位任何业务数据、系统信息、技术资料；第三方人员需提交身份信息、资质证明进行备案，办理临时访问权限，权限有效期与服务合同一致，到期自动回收。6.2第三方操作管理第三方人员运维操作必须通过堡垒机进行，全程录像，操作前需提交《运维操作方案》，明确操作内容、操作时间、风险点与回退方案，经运维部、安全部审批通过后方可实施；操作过程中我方运维人员需全程在场陪同，对关键操作进行复核，操作完成后共同验证系统运行状态，签字确认后方可结束。