公司网络信息安全管理制度

公司网络信息安全管理制度为规范公司网络与信息安全管理，保障公司业务系统稳定运行、数据资产安全，防范网络安全事件发生，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及国家网络安全等级保护相关规定，结合公司实际经营情况，制定本制度。本制度适用于公司总部及各下属分、子公司所有网络基础设施、信息系统、终端设备、数据资产的安全管理，以及全体员工、第三方合作人员的网络与信息安全行为管理。所有接入公司网络的设备、人员、系统均需严格遵守本制度规定。一、组织机构与职责（一）信息安全领导小组由公司总经理任组长，分管信息技术的副总经理任副组长，各部门负责人为成员，是公司网络信息安全的最高决策机构，主要职责包括：审批公司网络信息安全战略规划、年度安全工作方案、安全建设预算；统筹协调重大网络安全事项；审批重大网络安全事件处置方案，对公司网络信息安全负总体责任；审批网络信息安全相关奖惩方案及重要制度文件。（二）信息技术部是公司网络信息安全的执行管理部门，设置不少于2名专职信息安全管理员，主要职责包括：制定并更新网络信息安全管理制度、操作规程及技术标准；负责网络基础设施、信息系统、安全设备的建设、运维与日常安全防护；开展漏洞扫描、补丁修复、账号权限管理、数据备份与恢复等日常工作；7*24小时监控网络安全态势，处置网络安全事件；组织开展信息安全培训、应急演练；配合审计部及外部监管部门开展安全审计、测评工作；定期向信息安全领导小组汇报网络信息安全工作情况。（三）各业务部门是本部门网络信息安全的责任主体，部门负责人为第一责任人，主要职责包括：落实本部门网络信息安全管理工作，严格执行公司安全制度；组织本部门员工参加信息安全培训与演练；负责本部门员工账号、数据资产的安全管理；及时上报本部门发现的网络安全隐患或事件；配合信息技术部开展安全检查、整改工作。（四）审计部是公司网络信息安全的独立监督部门，主要职责包括：独立开展网络信息安全内部审计，监督制度执行情况；审计网络安全建设、运维、数据安全等工作的合规性；跟踪审计发现问题的整改落实情况；向信息安全领导小组提交审计报告。（五）全体员工是个人岗位网络信息安全的直接责任人，主要职责包括：严格遵守公司网络信息安全制度及操作规程；妥善保管个人账号密码，不得转借他人；不从事危害网络安全的行为，发现安全隐患及时上报；配合信息技术部开展安全检查、事件处置工作；对违规操作造成的损失承担直接责任。二、网络安全等级保护管理（一）等级划分根据国家网络安全等级保护制度要求，结合公司信息系统的重要程度、受到破坏后的危害程度，将公司信息系统划分为三个保护等级：1.一般保护级（对应等保一级）：仅面向内部特定部门或员工使用、不涉及敏感数据的非核心业务系统，如部门内部共享盘、员工培训系统、内部知识分享平台等，系统遭到破坏后对公司正常经营秩序影响较小。2.重要保护级（对应等保二级）：承载公司重要业务运营数据、涉及商业秘密或个人信息的系统，如OA协同办公系统、CRM客户关系管理系统、供应链管理系统、官方网站前台系统等，系统遭到破坏后会对公司经营秩序、商业利益造成较大影响，或导致少量个人信息泄露。3.核心保护级（对应等保三级）：承载公司核心经营数据、关键业务全流程数据、核心商业秘密的系统，如ERP企业资源计划系统、财务资金管理系统、核心业务运营系统、数据中台系统等，系统遭到破坏后会对公司经营秩序、商业利益造成重大损害，或导致大量个人信息泄露。（二）防护要求公司信息系统建设严格遵循“同步规划、同步建设、同步使用”的三同步原则，按照对应等级的防护要求开展安全建设与运维：1.一般保护级系统按照国家网络安全等级保护一级要求建设，落实基础安全防护措施，定期开展安全检查；2.重要保护级系统按照国家网络安全等级保护二级要求建设，落实访问控制、入侵防范、数据备份等防护措施，每2年开展一次等级保护测评；3.核心保护级系统按照国家网络安全等级保护三级要求建设，落实多重防护、安全审计、灾难备份等高级防护措施，每年开展一次等级保护测评，测评不合格的需在3个月内完成整改并复测。三、网络基础设施安全管理（一）物理环境安全公司核心机房是网络基础设施的核心物理载体，需严格落实以下防护要求：1.机房环境参数需符合GB50174-2017《数据中心设计规范》B级标准，温度控制在22±2℃，相对湿度控制在40%-60%，配备精密空调24小时运行，定期校准温湿度传感器，每月至少记录1次温湿度数据，保存记录不少于3个月；2.供电系统采用双路市电+UPS不间断电源+柴油发电机三级供电架构，UPS后备供电时间不低于4小时，柴油发电机储油量满足不少于8小时满负荷运行需求，每月开展一次UPS放电测试，每季度开展一次柴油发电机启动测试，测试记录保存不少于1年；3.消防系统采用七氟丙烷气体灭火系统，配备烟感、温感探测器，每月检查消防系统状态，每半年开展一次消防演练，消防器材在有效期内定期更换；4.机房门禁采用双人双锁+生物识别（指纹+人脸识别）准入机制，仅授权人员可进入，出入机房需填写《机房出入登记本》，记录出入人员、时间、事由，登记记录保存不少于3年；5.机房配备24小时视频监控系统，监控覆盖机房所有区域，监控录像保存不少于90天，监控数据不得随意删除、调取；6.机房实行每日2次巡检制度，巡检内容包括温湿度、供电状态、设备运行状态、消防系统状态等，巡检记录保存不少于6个月，发现异常立即处置并上报。（二）网络架构安全公司网络采用分层分区的逻辑架构，划分为核心数据区、业务应用区、办公终端区、DMZ对外服务区四个独立逻辑区域，区域之间采用下一代防火墙进行边界隔离，具体要求如下：1.核心数据区部署核心数据库、核心业务系统服务器，是最高安全等级区域，与其他区域之间默认拒绝所有访问，仅基于最小权限原则开放必要的业务端口及IP白名单，禁止直接对外暴露核心数据区IP及端口；2.业务应用区部署各业务应用系统服务器，与核心数据区之间仅开放数据库访问端口，与办公终端区之间开放业务系统访问端口，仅授权人员可访问对应业务系统；3.办公终端区部署员工办公终端、办公辅助系统，与互联网之间通过防火墙及上网行为管理系统进行访问控制，禁止办公终端私自接入互联网绕过管控；4.DMZ对外服务区部署对外提供服务的系统（如官方网站、对外服务接口等），仅对外开放80、443等必要业务端口，所有对外服务需通过Web应用防火墙（WAF）防护后接入，禁止核心业务系统直接部署在DMZ区；5.无线网络单独划分为独立子网，与办公内网物理隔离，接入无线网络需通过802.1x身份认证，仅授权员工设备可接入，禁止未授权设备接入公司无线网络；6.所有网络架构变更需提交变更申请，经信息技术部负责人审批后方可实施，重大架构变更需经信息安全领导小组审批，变更过程全程记录，变更后进行安全验证。（三）网络设备安全网络设备包括路由器、交换机、防火墙、负载均衡、无线控制器等，需落实以下管理要求：1.所有网络设备统一登记建档，记录设备型号、序列号、部署位置、配置信息、责任人，建立设备台账，定期盘点，每年至少盘点一次；2.设备账号采用分级管理，删除或禁用默认账号，普通账号仅授予必要权限，特权账号（如admin、root）由信息技术部两名专职管理员双人保管，密码采用不低于12位的复杂度密码（含大小写字母、数字、特殊字符），每90天更换一次，密码不得重复使用近3次以内的历史密码；3.设备配置变更严格执行变更审批流程，变更前需备份配置文件，变更后验证配置有效性，配置文件每周备份一次，备份文件保存不少于6个月；4.定期开展漏洞扫描，每月至少开展一次全网设备漏洞扫描，针对CVSSv3评分≥7.0的高危漏洞，核心设备需在72小时内完成修复，重要设备需在7天内修复；评分4.0-6.9分的中危漏洞需在15天内修复；评分<4.0分的低危漏洞需在30天内修复，漏洞修复后需验证修复效果，漏洞扫描及修复记录保存不少于1年；5.禁止直接通过公网远程管理网络设备，确需远程管理的需通过VPN接入，且采用强身份认证。（四）边界安全防护1.网络边界部署下一代防火墙、入侵检测系统（IDS）、入侵防御系统（IPS）、Web应用防火墙（WAF）、抗DDoS设备，实时监控边界流量，识别并拦截攻击行为，发现异常流量及时告警处置；2.部署网络安全态势感知平台，7*24小时监控全网安全状态，告警响应时间不超过30分钟，实行告警处置闭环管理，所有告警需记录处置过程、处置结果；3.部署上网行为管理系统，管控员工上网行为，禁止访问非法网站、禁止下载未经授权的软件、禁止通过公共网络传输敏感数据，上网行为日志保存不少于6个月；4.定期开展边界安全评估，每季度开展一次边界安全策略优化，清理冗余规则，确保边界安全策略最小化。四、信息数据安全管理（一）数据分级分类按照数据重要程度及泄露后的影响范围，将公司数据划分为四个等级，实行分级防护：1.公开级：可对外公开披露的数据，包括公司简介、公开招聘信息、已公开的年度报告、产品宣传资料等；2.内部级：仅适用于公司内部员工使用，对外披露不会造成重大损失的数据，包括内部规章制度、普通工作流程、非敏感的内部通知、部门内部共享资料等；3.敏感级：涉及公司商业秘密、客户个人信息、供应商核心信息，泄露会对公司造成较大损失的数据，包括客户联系方式及交易数据、供应商报价及合作协议、未公开的经营数据、员工个人信息、非核心技术资料等；4.核心级：涉及公司核心竞争力、核心经营利益，泄露会对公司造成重大损失的数据，包括核心技术专利、核心业务算法、财务核心数据与资金流水、核心战略规划、重大战略合作协议、核心客户核心数据等。（二）数据全生命周期管理1.数据采集：遵循合法、正当、必要原则，不得超出业务需求范围采集数据；采集个人信息需取得个人同意，明确告知采集目的、范围、使用方式；建立数据采集清单，明确各数据的采集责任人、采集范围、用途，禁止超范围采集数据。2.数据存储：敏感级及以上数据需采用加密方式存储，核心级数据采用国密算法加密存储；存储介质需登记建档，定期检查存储介质健康状态；禁止将敏感级及以上数据存储在私人设备或公共云盘。3.数据传输：传输敏感级及以上数据需采用加密传输协议（如HTTPS、SSL/TLS、IPSecVPN），核心级数据传输需采用专线或加密VPN通道；禁止通过公共网络明文传输敏感数据，禁止用私人邮箱、即时通讯工具（如微信、QQ）传输敏感级及以上数据。4.数据使用：遵循最小权限原则，按需分配数据访问权限，敏感级及以上数据访问需提交审批，操作日志全程记录，包括访问人员、时间、操作内容；禁止擅自复制、下载、转发敏感数据，确需复制的需经部门负责人及信息技术部审批。5.数据销毁：纸质数据销毁需采用符合DIN32757标准的4级以上碎纸机销毁；电子数据销毁需采用DoD5220.22-M标准进行7次覆写，或采用物理消磁、物理粉碎方式销毁，禁止以直接删除或格式化作为销毁方式；销毁过程需双人监督，形成销毁记录，保存不少于3年。（三）数据备份与恢复建立分级备份机制，针对不同等级数据落实差异化备份策略：1.核心级数据采用“本地+异地”双备份模式，本地全量备份每周执行1次，增量备份每6小时执行1次，异地全量备份每10天执行1次，增量备份每天执行1次；本地备份数据保留30天，异地备份数据保留90天；异地备份节点与主数据中心物理距离不低于50公里，且不在同一地震带、同一供电网格内。2.重要级数据采用本地全量备份每周1次，增量备份每天1次，备份数据保留15天。3.一般级数据采用本地全量备份每月1次，备份数据保留7天。4.备份数据需定期进行恢复演练，核心级系统每季度开展1次恢复演练，重要级系统每半年开展1次恢复演练，恢复成功率需达到100%，演练记录保存不少于1年。5.备份介质存放于防磁、防火、防潮的专用保险柜，由两名管理员双人保管，存放环境温度控制在18-24℃，相对湿度35%-50%，定期检查备份介质有效性，每月检查1次。（四）数据脱敏与加密1.开发、测试、培训环境使用生产数据时需进行脱敏处理，敏感字段（如手机号、身份证号、银行卡号、客户名称）需替换为虚假数据，禁止直接使用生产真实数据用于非生产环境。2.核心数据库、核心业务系统采用透明加密，数据库操作需全程审计，操作日志保存不少于1年。3.敏感数据展示需实行脱敏规则，非授权人员仅能查看脱敏后的数据，禁止直接展示完整敏感信息。五、终端安全管理（一）办公终端安全所有接入公司网络的办公终端（台式机、笔记本）需落实以下管理要求：1.统一安装终端检测与响应系统（EDR）、正版杀毒软件，禁止私自卸载或关闭安全防护软件；终端系统补丁自动更新，高危漏洞补丁72小时内完成安装，病毒库每天自动更新。2.终端开机密码需符合复杂度要求（不少于8位，含大小写字母、数字、特殊字符），每90天更换一次，屏幕锁屏时间不超过5分钟，离开工位需锁定屏幕。3.禁止私自安装未经授权的软件，禁止私自拆除终端硬件，禁止私自更改终端网络配置（IP地址、DNS等）。4.禁止终端同时连接公司内网和外网（双网卡），使用公司终端接入外部网络时需断开内网连接。5.终端报废时需彻底清除硬盘数据，采用7次覆写或物理销毁方式处理，禁止未经处理的报废终端不得对外处置。（二）移动终端安全1.公司配发的移动终端（手机、平板）需统一安装移动设备管理系统（MDM），进行统一管控，仅可访问授权的业务系统，禁止私自越狱、root。2.员工自带设备（BYOD）接入公司业务系统需经信息技术部审批，安装MDM客户端，遵守公司安全规定，敏感数据禁止下载到本地，员工离职时需远程擦除公司数据。3.移动终端开机密码不少于6位，屏幕锁屏时间不超过5分钟，禁止将移动终端转借他人使用。（三）物联网终端安全1.公司所有物联网终端（监控摄像头、门禁控制器、传感器、智能生产设备等）需统一登记建档，单独划分为独立的物联网区域，与办公内网、业务网物理隔离。2.物联网终端默认密码必须修改为复杂度密码，定期更新固件，高危漏洞72小时内修复。3.禁止物联网终端直接暴露在公网，确需远程访问的需通过VPN接入。4.物联网终端数据传输需加密，禁止明文传输采集的数据。（四）移动存储介质管理1.公司移动存储介质（U盘、移动硬盘、SD卡等）由信息技术部统一采购、编号、登记建档，配发至各部门使用，禁止私人移动存储介质接入公司网络。2.存储敏感级及以上数据需采用加密移动存储介质，使用需提交审批，使用记录保存不少于6个月。3.移动存储介质报废需按数据销毁要求处理，禁止私自转借、丢弃公司移动存储介质。六、账号与权限安全管理（一）账号分类与职责分离公司系统账号分为四类，遵循职责分离原则：系统管理员账号负责系统配置、运维管理；运维管理员账号负责日常运维操作；业务用户账号负责业务操作；审计用户账号负责安全审计。系统管理员不得兼任审计员，运维管理员不得兼任业务系统管理员，单一账号不得同时拥有系统配置、业务操作、审计权限。（二）权限分配流程权限分配严格遵循最小权限原则，仅授予员工完成岗位职责所需的最小权限，申请流程为：员工提交权限申请单，明确申请系统、权限范围、使用期限，经部门负责人审核后，根据系统等级分级审批：一般级系统由信息技术部负责人审批，重要级系统由分管副总审批，核心级系统由信息安全领导小组组长审批；审批通过后由信息技术部管理员开通权限，开通后1个工作日内反馈申请人。（三）账号生命周期管理1.员工入职时，由人力资源部提交入职人员信息，信息技术部根据岗位配置默认权限，员工入职当天完成账号开通。2.员工调岗时，人力资源部提交调岗通知，信息技术部在3个工作日内完成权限调整，收回原岗位权限，开通新岗位权限。3.员工离职时，人力资源部提交离职通知，信息技术部在24小时内注销所有系统账号、邮箱、VPN账号等，收回所有公司配发的设备、存储介质，由部门负责人监督完成工作交接，确认无遗漏后方可办理离职手续。4.每季度开展一次账号审计，清理冗余账号、休眠账号，连续90天未登录的账号予以禁用，连续180天未登录的账号予以删除，审计记录保存不少于1年。（四）特权账号管理系统最高权限账号（如root、administrator、sa等）由信息技术部两名专职管理员双人保管，密码存放于专用密码保险柜，使用特权账号需提交申请，经信息技术部负责人审批后方可使用，使用过程全程录像、操作审计，使用后立即修改密码；特权账号禁止用于日常运维以外的操作，禁止将特权账号密码泄露给无关人员。（五）日志审计管理所有网络设备、安全设备、服务器、业务系统需开启日志审计功能，记录操作人、操作时间、操作内容、IP地址等信息；一般系统日志保存不少于6个月，核心级系统、重要级系统日志保存不少于1年；审计部每月开展一次日志审计，发现异常操作及时核查处置，审计报告报信息安全领导小组。七、应急响应与事件处置（一）事件分级按照事件影响范围、损失程度分为四级：1.一般事件：影响单个终端或单个一般级系统，未影响正常业务开展，未造成数据泄露，可在2小时内恢复的事件，如单个终端病毒感染、一般系统轻微故障。2.较大事件：影响单个重要级系统或多个终端，造成局部业务受影响，可在4小时内恢复，或敏感级数据泄露1000条以内未造成重大损失的事件。3.重大事件：影响核心级系统，造成核心业务中断超过4小时，或敏感级数据泄露1000-10000条，或核心级数据少量泄露，造成较大经济损失或品牌影响的事件。4.特别重大事件：造成核心业务中断超过24小时，或敏感级数据泄露10000条以上，或核心级数据大量泄露，造成重大经济损失或严重品牌影响，涉嫌违法犯罪的事件。（二）响应处置流程1.发现上报：任何员工发现网络安全事件，需第一时间上报信息技术部，上报内容包括事件现象、发生时间、影响范围；信息技术部接到上报后立即初步研判事件等级，一般事件2小时内报信息技术部负责人，较大事件4小时内报信息安全领导小组，重大及以上事件1小时内报信息安全领导小组组长，同时按照国家相关法律法规要求上报监管部门。2.遏制处置：信息技术部立即采取遏制措施防止事件扩大，如断开受感染终端网络、关闭漏洞端口、隔离受攻击系统；随后开展根因分析，制定处置方案，经领导小组审批后实施，根除风险源。3.恢复运行：风险根除后，逐步恢复系统运行，验证系统正常后恢复业务，数据恢复需验证数据完整性。4.信息发布：事件相关信息由行政部统一对外发布，禁止任何员工私自对外发布事件相关信息，避免造成不良影响。（三）应急演练与储备1.信息安全领导小组每年组织不少于2次综合应急演练，每季度组织1次专项应急演练（如勒索病毒、数据泄露、DDoS攻击等），演练前制定演练方案，明确演练目标、场景、参与人员，演练后形成演练报告，针对问题落实整改，演练记录保存不少于2年。2.建立应急物资储备机制，配备备用服务器、备用网络设备、应急工具、备份介质等，定期检查应急物资有效性，每月检查1次。（四）事后复盘与整改每起安全事件处置完成后，信息技术部在7个工作日内形成事件处置报告，包括事件原因、影响范围、处置过程、整改措施，报信息安全领导小组；针对事件暴露出的问题，制定整改计划，明确整改责任人、整改时限，跟踪整改到位，整改率需达到100%。八、合规与审计管理（一）合规管理公司网络信息安全工作需符合国家相关法律法规及行业监管要求，每年开展1次合规评估，评估内容包括制度合规、系统合规、数据合规、人员合规等，评估报告报信息安全领导小组；对评估发现的合规风险，制定整改计划，限期完成整改。（二）内部审计审计部每半年开展1次全面的网络信息安全内部审计，专项审计根据工作需要开展，审计内容包括制度执行情况、网络安全防护情况、数据安全管理情况、账号权限管理情况、应急响应情况等；审计形成审计报告，报公司管理层，针对审计发现的问题，下达整改通知书，责任部门需在规定时限内完成整改，审计部跟踪整改情况，整改完成后进行验证，整改率需达到100%。（三）等级保护测评按照国家网络安全等级保护要求，核心保护级系统每年开展1次等级保护测评，重要保护级系统每2年开展1次等级保护测评，测评工作由具备资质的第三方机构实施，测评不合格的需在3个月内完成整改，整改完成后申请复测，确保符合等级保护要求。九、人员与第三方安全管理（一）人员入职安全管理新员工入职需签订《保密协议》《网络信息安全承诺书》，信息技术部组织信息安全入职培训，培训内容包括本制度、安全操作规范、应急处置流程等，考试合格后方可上岗，培训及考试记录保存不少于2年。（二）人员在职安全管理每年组织不少于2次全员信息安全培训，培训内容包括最新安全意识、最新安全威胁、操作规范等，培训考核合格率需达到100%，不合格者需补考，补考仍不合格的予以调岗或辞退；定期开展安全意识宣传，如安全海报、安全邮件、案例分享等，提升全员安全意识。（三）人员离职安全管理员工离职需交接所有公司资料、设备、存储介质，信息技术部注销所有账号，人力资源部确认所有交接完成后方可办理离职手续，离职后仍需遵守保密协议，不得泄露公司信息，违反保密协议的依法追究责任。（四）第三方人员安全管理1.第三方人员（外包人员、运维人员、施工人员、供应商等）进入公司机房或接入公司网络，需签订《保密协议》，