企业公司网络与信息安全管理制度

企业公司网络与信息安全管理制度1.总则1.1目的与依据为规范公司网络与信息安全管理，防范网络攻击、数据泄露、业务中断等安全风险，保障公司业务稳定运行，维护公司、员工及用户的合法权益，依据国家相关法律法规、行业通用安全标准及公司实际经营需求，制定本制度。1.2适用范围本制度适用于公司总部及所有下属分、子公司的网络与信息安全管理工作，覆盖所有在职员工、劳务派遣人员、外包人员、第三方服务人员，以及公司所有网络设施、信息系统、数据资产、终端设备的规划、建设、运维、使用全生命周期管理。1.3基本原则网络与信息安全管理遵循“谁主管谁负责、谁运营谁负责、谁使用谁负责”的核心原则，落实分级管理、预防为主、全员参与、全程管控的工作要求，确保安全管理覆盖所有业务环节和责任主体。2.权责体系2.1三级责任架构公司建立“决策-执行-监督”三级信息安全责任体系，明确各层级权责边界，确保安全工作有人抓、有人管、有人督：（1）决策层：设立信息安全管理委员会，由公司总经理任主任，技术总监、财务总监、各核心业务部门负责人为委员，负责审批信息安全战略规划、年度预算、重大安全事件处置方案，每季度召开1次安全工作专项会议，审议安全工作进展及风险隐患整改情况。年度信息安全专项预算不低于公司年度IT总预算的15%，专项用于安全设备采购、专业服务外包、培训演练、漏洞奖励等支出。（2）执行层：设立专职信息安全部，配置不少于3名专职安全管理人员，其中至少2名持有注册信息安全专业人员（CISP）或同等专业资质，负责日常安全运营、漏洞监测处置、应急响应、安全培训、合规建设等具体工作，每月向信息安全管理委员会提交《安全运营月报》，内容包括漏洞修复情况、事件处置情况、风险预警等。（3）监督层：由公司内审部承担信息安全监督职责，配置1名专职安全审计人员，负责每半年开展1次信息安全专项审计，监督制度落地、问题整改、资金使用合规性，审计结果直接向总经理汇报，审计发现的问题要求责任部门15个工作日内完成整改，整改完成后由内审部复查验证。2.2部门与岗位权责各业务部门负责人为本部门信息安全第一责任人，每个部门配置1名兼职安全联络员，负责本部门安全通知传达、隐患上报、员工日常安全教育等工作，每月5日前向信息安全部报送上月本部门安全情况。所有员工均有遵守安全制度、上报安全隐患、保护公司信息资产的义务。3.网络安全管理3.1网络架构安全公司网络采用“三级架构、五域隔离”的设计标准，确保架构清晰、边界明确：（1）三级网络架构为核心层、汇聚层、接入层，核心交换机、核心路由器均采用双机热备配置，整体网络可用性不低于99.99%，核心链路带宽预留30%以上冗余，满足业务峰值需求。（2）五域安全隔离为互联网接入区、DMZ对外服务区、业务生产区、内部办公区、运维管理区，各安全域之间通过下一代防火墙实现逻辑隔离，访问控制策略遵循“默认拒绝、最小授权”原则，仅开放必要的访问端口和权限。每季度对防火墙策略进行1次梳理清理，废弃、过期策略占比不超过5%。3.2边界安全管理互联网出口实行统一管控，禁止各部门私拉网线、私自接入互联网。互联网出口必须配置下一代防火墙（吞吐量不低于峰值流量的1.5倍）、入侵防御系统（IPS）、Web应用防火墙（WAF）、抗DDoS清洗设备、上网行为管理设备，所有安全设备策略每周检查1次，误拦截率控制在0.1%以下。DMZ区仅部署对外提供服务的前端应用系统，禁止存放核心业务数据，所有对外服务端口必须经过信息安全部审批，禁止开放不必要的高危端口。3.3办公网络安全办公网络实行强制准入控制，所有终端必须安装企业版杀毒软件、终端检测与响应系统（EDR）、完成IP-MAC绑定后方可接入内网，IP-MAC绑定率达到100%。禁止员工私接无线路由器、随身WiFi、私有网络设备，禁止私自将内网终端接入外部公共网络，违者按一般违规处理。办公网与生产网实现物理隔离，办公网终端默认无生产网访问权限，确因工作需要访问的，需提交正式申请，经部门负责人、信息安全部双审批后开通临时权限，有效期最长不超过7天，到期自动回收。3.4无线网络管理公司无线网络分为员工内网无线、访客无线两类，两类网络物理隔离，分别归属独立VLAN。员工内网无线采用WPA3-Enterprise加密方式，结合域账号统一认证，禁止使用WEP、WPA等弱加密协议；访客无线网络仅开放互联网访问权限，禁止访问任何内部资源，访客账号由接待部门线上申请，有效期最长72小时，到期自动注销。所有无线AP的管理后台仅对运维管理区开放，禁止公网直接访问。3.5远程访问安全员工因工作需要远程访问内部资源的，必须通过公司统一部署的SSLVPN系统接入，禁止使用第三方远程工具、私搭VPN等违规方式访问内部资源。VPN账号实行双因子认证（密码+动态令牌/企业微信验证），权限按最小需求配置，仅开放工作所需的系统访问权限。VPN登录日志统一上传至安全日志平台，留存不少于180天，信息安全部每日抽查VPN登录记录，发现异地异常登录、非工作时间频繁登录等情况，立即锁定账号并核实情况。连续30天未使用的VPN账号自动冻结，确需使用的需重新提交申请激活。4.物理环境安全4.1机房安全管理机房建设符合国家通用机房建设标准，配置门禁系统、视频监控系统、气体消防系统、UPS不间断电源、精密空调系统。机房门禁采用指纹+密码双因子认证，仅授权运维人员可进入，进入机房必须实名登记，记录进出时间、事由，外来人员进入必须由运维人员全程陪同。视频监控覆盖机房所有出入口、设备摆放区域，监控录像留存不少于90天。机房温度控制在18℃-25℃，相对湿度控制在40%-60%，运维人员每日巡检并记录温湿度、设备运行状态，巡检记录留存不少于1年。机房UPS供电时间不低于4小时，备用柴油发电机每月启动1次空载测试，确保市电中断后15分钟内可正常供电，保障核心设备持续运行。4.2办公区域安全员工离开工位必须锁定终端屏幕，终端自动锁屏时间设置不超过5分钟，锁屏密码长度不少于8位，包含字母、数字、特殊字符三类组合。存放敏感、核心数据的纸质文件、存储介质必须锁入专用文件柜或保险柜，禁止随意放置在桌面、公共区域等易被接触的位置。废弃的纸质涉密文件必须使用碎纸机粉碎，禁止直接丢弃；废弃的存储介质（硬盘、U盘、存储卡等）必须交由信息安全部统一销毁，禁止私自丢弃、转卖或挪作他用。5.数据安全管理5.1数据分类分级公司所有数据按照敏感程度、泄露后的影响程度分为四级，各部门每年第一季度完成本部门数据资产梳理，更新数据分类分级清单，报信息安全部备案，具体划分标准如下：（1）核心数据（L4）：指涉及公司核心商业秘密、用户个人敏感信息、核心技术资料的数据，包括但不限于财务核心报表、核心算法代码、用户身份证号/银行卡号/生物识别信息、未公开的并购重组方案、核心供应商报价体系，此类数据泄露将造成公司100万元以上经济损失，或严重声誉损害，或触犯相关法律法规。（2）敏感数据（L3）：指涉及公司一般商业秘密、内部敏感信息的数据，包括但不限于员工薪酬信息、客户联系方式、未公开的业务规划、招投标底文件、普通用户行为数据，此类数据泄露将造成公司50万-100万元经济损失，或一定程度声誉损害。（3）内部数据（L2）：指仅可在公司内部流通、不对外公开的数据，包括但不限于内部规章制度、普通工作流程、部门内部通知、非敏感运营数据，此类数据泄露将造成公司10万-50万元经济损失，或轻微业务影响。（4）公开数据（L1）：指公司主动对外公开的数据，包括但不限于官网宣传内容、公开招聘信息、已发布的产品介绍、公开财报数据，此类数据泄露无不良影响。5.2数据全生命周期管控（1）数据采集：采集用户个人信息必须遵循合法、正当、必要原则，明示采集用途、范围，取得用户明确授权，禁止超范围采集、强制采集与服务无关的用户信息。内部业务数据采集必须经过部门负责人审批，确保数据来源合法、准确，禁止采集未经授权的第三方数据。（2）数据存储：核心数据必须采用AES-256加密算法加密存储，敏感数据采用AES-128加密或脱敏存储，禁止明文存储核心、敏感数据。数据备份严格执行“3-2-1”策略：即保留3份数据副本，存储在2种不同介质上，其中1份备份异地存放，异地备份点与主数据中心距离不少于100公里。核心数据每日做增量备份，每周做全量备份；敏感数据每三日做增量备份，每两周做全量备份。备份数据每季度进行1次恢复测试，恢复成功率不低于99.9%，测试记录留存不少于1年。（3）数据传输：核心、敏感数据内部传输必须走加密通道（SSL/TLS1.3及以上版本），禁止明文传输。数据对外传输实行分级审批：内部数据由部门负责人审批，敏感数据由信息安全部审批，核心数据由总经理审批。对外传输核心、敏感数据必须采用加密压缩包格式，密码通过单独渠道（如电话、内部短信）发送，禁止通过同一传输渠道发送密码。禁止使用个人微信、QQ、个人邮箱等非公司指定渠道传输敏感及以上级别数据。（4）数据使用：核心数据访问权限仅开放给必要岗位，需本人申请、部门负责人审核、总经理审批后方可开通；敏感数据访问需本人申请、部门负责人审批、信息安全部备案。数据访问实行“权限最小化、按需开通”原则，禁止超权限访问、下载数据。核心、敏感数据的访问、下载、修改操作全程留痕，操作日志留存不少于1年。禁止私自复制、截屏、拍摄核心、敏感数据，确因工作需要的需提前提交审批。（5）数据销毁：存储核心、敏感数据的存储介质报废时，必须采用消磁+物理粉碎双重销毁方式，由信息安全部、内审部各1名工作人员现场监督，销毁过程全程录像，销毁记录留存不少于3年。电子数据的销毁必须采用多次覆写（不少于7次）或物理销毁方式，禁止仅执行删除、格式化操作。纸质涉密文件销毁由两名工作人员监销，销毁记录留存不少于1年。6.终端安全管理6.1办公终端安全公司所有办公终端（台式机、笔记本）统一由IT部门配发，实行实名制管理，使用人为终端安全第一责任人。办公终端必须安装企业版杀毒软件、EDR终端检测系统、桌面管理系统，禁止私自卸载、关闭安全软件，禁止私自修改终端安全配置。病毒库每日自动更新，每周执行1次全盘病毒扫描，发现病毒立即处置并上报信息安全部。终端漏洞修复实行分级管理：高危漏洞24小时内完成修复，修复率100%；中危漏洞7天内完成修复，修复率不低于95%；低危漏洞30天内完成修复，修复率不低于90%。禁止在办公终端安装与工作无关的软件，尤其是破解软件、盗版软件、来源不明的软件，禁止访问色情、赌博、钓鱼等违法违规网站，禁止使用办公终端从事与工作无关的盈利性活动。外接存储设备（U盘、移动硬盘）实行统一管控，禁止使用私人外接存储设备接入办公终端，确因工作需要使用的，需使用公司统一配发的加密U盘，经部门负责人审批后方可使用，拷贝敏感及以上数据需额外经信息安全部审批。6.2服务器终端安全所有服务器（包括云服务器、物理服务器）统一由运维部门管理，实行资产台账登记，台账信息包括IP地址、操作系统、用途、责任人、配置信息等，更新频率不低于每月1次。服务器必须关闭不必要的端口和服务，默认管理端口（如SSH22、RDP3389）必须修改为高位端口，禁用默认管理员账号（root、administrator）的远程登录权限，日常运维使用普通账号，需提权时通过sudo/runas命令执行，操作全程留痕。服务器必须部署主机审计系统，所有操作日志上传至统一日志平台，留存不少于180天。生产服务器禁止安装与业务无关的软件，禁止私自开放端口、修改配置，确需修改的需提交变更申请，经运维负责人、信息安全部审批后在业务低峰期（凌晨2:00-4:00）操作，操作记录留存不少于1年。服务器补丁更新必须先在测试环境验证兼容性，验证通过后按照10%、30%、100%的比例灰度更新，每阶段观察24小时无异常后方可进入下一阶段，防止补丁导致业务中断。6.3移动终端安全公司配发的移动办公终端（手机、平板）必须安装移动设备管理（MDM）系统，启用远程锁屏、定位、擦除功能，终端开机密码长度不少于8位，包含字母、数字、特殊字符三类组合，自动锁屏时间不超过3分钟。禁止在公司配发的移动终端上安装与工作无关的应用，禁止存储敏感及以上级别数据，禁止将公司配发的移动终端转借他人使用。员工个人移动终端接入公司办公系统的，必须通过公司统一的移动办公平台，禁止通过个人设备直接访问内部业务系统、存储内部敏感数据。员工离职时，必须配合IT部门删除个人终端上的所有公司办公应用和相关数据，拒不配合的按严重违规处理。7.账号与权限管理7.1账号分类与权限分配原则公司账号分为超级管理员账号、系统管理员账号、运维账号、业务用户账号、临时账号、测试账号六类。权限分配严格遵循两大原则：（1）最小权限原则：仅分配用户完成本职工作所需的最小权限，禁止超额授权、冗余授权。（2）职责分离原则：开发、测试、运维、审计岗位权限相互隔离，开发人员无生产环境运维权限，运维人员无数据库业务数据修改权限，审计人员独立于业务、技术部门，直接向总经理汇报。7.2账号生命周期管理（1）账号开通：新员工入职当天由所在部门提交账号开通申请，明确所需系统、权限范围，经部门负责人审批、信息安全部审核后，由IT部门统一开通，禁止个人私自申请、开通他人账号。（2）权限变更：员工岗位调整时，所在部门需在3个工作日内提交权限变更申请，完成旧权限回收、新权限开通，禁止出现岗位调整后权限未变更、权限冗余的情况。（3）账号注销：员工离职当天，IT部门必须注销该员工所有账号权限，包括办公系统、业务系统、VPN、邮箱、门禁、WiFi等，收回所有公司配发的终端、存储介质，信息安全部负责监督注销过程，确保无遗漏。外包人员、第三方人员的临时账号在项目结束后3个工作日内必须注销。7.3密码与认证管理超级管理员账号密码长度不少于16位，包含大写字母、小写字母、数字、特殊字符四类字符，每90天更换1次，禁止复用最近5次使用过的密码；系统管理员、运维账号密码长度不少于12位，四类字符组合，每90天更换1次；普通业务用户账号密码长度不少于8位，三类字符组合，每180天更换1次。禁止使用姓名拼音、生日、手机号、工号、“123456”等弱密码，禁止将密码记录在纸上、存储在未加密的文档中。所有后台管理系统、VPN、服务器远程访问、数据库访问必须启用双因子认证，禁止仅使用密码单因子认证。禁止共享、转借账号，禁止将本人账号告知他人，因账号共享造成安全事件的，由账号所有人承担全部责任。7.4特殊账号管理临时账号仅限临时工作需求使用，有效期最长7天，到期自动注销，确需延长的需重新提交申请。测试账号仅限测试环境使用，禁止在生产环境创建测试账号，项目上线后3个工作日内必须注销所有测试账号。超级管理员账号实行双人共管，密码由两人分别保管一半，使用时需两人同时在场，且有正式审批记录，使用日志单独留存，留存期限不少于2年。8.漏洞与补丁管理8.1漏洞监测与分级公司建立全渠道漏洞监测机制，及时发现各类安全隐患：内部层面，信息安全部每周对所有互联网资产、内部核心资产执行1次全量漏洞扫描，每日对重点业务系统执行1次增量扫描；每季度组织1次内部渗透测试，覆盖所有核心业务系统。外部层面，每年委托具备相应专业资质的第三方机构开展1次全面渗透测试和漏洞扫描；建立漏洞奖励机制，鼓励外部白帽子上报公司系统漏洞，经核实后给予500-5000元不等的奖励。漏洞按照危害程度分为四级：（1）高危漏洞：可直接获取服务器权限、核心数据泄露，或可导致业务系统完全中断的漏洞，如远程代码执行、SQL注入、文件上传漏洞、未授权访问核心系统等。（2）中危漏洞：可越权访问普通数据、获取部分敏感信息，或可导致业务系统部分功能异常的漏洞，如水平越权、普通用户信息泄露、业务逻辑漏洞等。（3）低危漏洞：仅造成非敏感信息泄露（如系统版本信息、路径信息）、配置不当但无直接危害的漏洞。（4）提示性漏洞：无明确实际危害，仅为版本较低、配置不规范等提示性问题。8.2漏洞处置与验证漏洞处置实行分级时限管理，确保风险及时闭环：（1）高危漏洞：发现后24小时内完成修复，暂无法修复的必须采取临时防护措施（如WAF规则拦截、端口封禁、IP白名单限制），并提交风险评估报告，报信息安全管理委员会备案，72小时内必须完成修复。（2）中危漏洞：发现后7天内完成修复，修复前需充分评估对业务的影响，制定应急预案。（3）低危漏洞：发现后30天内完成修复，可结合日常运维工作同步开展。（4）提示性漏洞：结合系统版本迭代逐步优化，无强制修复时限。漏洞修复完成后，信息安全部必须进行复测验证，确认漏洞已完全修复，方可完成闭环。所有漏洞的发现、研判、处置、验证过程必须记录在漏洞管理台账中，台账留存不少于2年。8.3补丁管理所有操作系统、应用系统、中间件的补丁必须纳入统一管理，由运维部门安排专人负责补丁跟踪、测试、更新。补丁更新必须遵循“先测试、后上线”的原则，先在测试环境部署验证，确认兼容性、安全性无问题后，再在生产环境灰度更新，避免补丁导致业务异常。关键业务系统的补丁更新必须提前24小时通知相关业务部门，制定专项应急预案，在业务低峰期操作，操作过程全程留痕。9.应急响应与事件管理9.1事件分级按照事件的影响范围、严重程度，将网络与信息安全事件分为四级：（1）特别重大事件（一级）：核心业务系统中断超过4小时，或核心数据泄露超过1000条，或造成直接经济损失100万元以上，或引发重大舆情、触犯法律法规的事件。（2）重大事件（二级）：核心业务系统中断超过2小时，或敏感数据泄露超过500条，或造成直接经济损失50万-100万元，或引发较大舆情的事件。（3）较大事件（三级）：非核心业务系统中断超过2小时，或核心业务系统中断超过30分钟，或内部数据泄露，或造成直接经济损失10万-50万元的事件。（4）一般事件（四级）：个别终端中毒、账号异常、轻微漏洞，未影响业务正常运行，无经济损失的事件。9.2应急响应流程发现安全事件后，发现人必须第一时间上报信息安全部，上报内容包括事件现象、影响范围、发生时间等。信息安全部接到上报后15分钟内响应，初步研判事件等级，启动相应级别的应急响应：（1）一般、较大事件：由信息安全部牵头，相关业务、运维部门配合处置，处置完成后24小时内提交事件处置报告，报信息安全管理委员会备案。（2）重大、特别重大事件：立即上报信息安全管理委员会主任（总经理），成立应急指挥部，启动专项应急预案，统筹开展处置工作，每2小时汇报一次处置进展。事件处置遵循“先隔离、后处置、再恢复”的原则：首先隔离受感染的设备、网段、系统，防止事件扩散蔓延；其次开展溯源分析，明确攻击来源、攻击路径、影响范围、损失情况；然后针对性开展处置，清除恶意代码、修复漏洞、补全安全措施；最后在确认风险完全消除后，逐步恢复业务系统运行，尽量减少对业务的影响。9.3事后复盘与演练事件处置完成后7个工作日内，信息安全部牵头组织复盘会议，分析事件发生的根本原因，制定整改措施，明确责任人和整改时限，更新相关安全制度和应急预案。整改完成后由内审部验证整改效果，确保同类事件不再发生。公司建立常态化应急演练机制：每季度组织1次专项应急演练（如勒索病毒应急、数据泄露应急、钓鱼邮件演练等），每年组织1次综合应急演练，覆盖所有核心业务和部门。演练前制定详细演练方案，演练后完成演练报告，总结存在的问题，优化应急预案，演练记录留存不少于2年。9.4勒索病毒专项防控所有核心数据必须保留离线备份，离线备份介质与网络物理隔离，防止被勒索病毒加密。禁止在生产服务器、办公终端打开陌生邮件附件、点击陌生链接，禁止下载来源不明的文件。信息安全部每周推送1次勒索病毒最新预警，及时更新防护规则，每季度组织1次勒索病毒专项演练，提升全员防范能力和应急处置水平。10.第三方与外包安全管理10.1外包人员管理外包人员入场前必须签订《保密协议》《信息安全承诺书》，参加公司信息安全入职培训，考试合格（80分以上）后方可办理入场手续。外包人员账号权限按最小需求配置，仅限访问工作所需的系统和数据，临时账号有效期不超过项目周期，项目结束后3个工作日内完成注销。外包人员使用的终端必须符合公司终端安全要求，安装公司统一的安全软件，禁止私自拷贝公司数据，禁止将公司数据带出办公区域，禁止使用个人存储设备接入公司网络。外包人员进入机房、核心办公区域必须由公司对接人员全程陪同，登记出入记录。10.2第三方服务管理采购第三方云服务、SaaS服务、安全服务等涉及数据处理的服务时，必须由信息安全部开展安全评估，核查服务商的安全资质、数据保护能力，涉及核心、敏感数据的服务商必须具备相应的行业安全认证资质。签订服务合同时必须包含专项安全条款，明确双方的安全责任、数据保密义务、违约赔偿责任、数据返还及销毁要求。第三方服务商需要接入公司内部网络、访问公司数据的，必须提交正式申请，经部门负责人、信息安全部审批后开通临时权限，访问过程由对接人员全程监督，操作日志留存不少于180天。服务终止后，立即注销所有访问权限，要求服务商删除所有留存的公司数据，并提供正式的数据删除证明。10.3项目交付安全管理外包开发项目、第三方开发项目交付时，必须提交完整的安全测试报告，由信息安全部开展安全验收。安全验收标准：高危漏洞修复率100%，中危漏洞修复率不低于95%，低危漏洞修复率不低于80%，核心业务功能无逻辑漏洞。未达到验收标准的项目不予验收，要求开发方限期整改，整改完成后重新验收，整改时间计入项目交付周期。11.培训考核与奖惩11.1安全培训公司建立全员信息安全培训机制，确保所有员工掌握必要的安全知识和技能：（1）新员工入职培训：新员工入职必须参加不少于4学时