网络安全运维管理规范手册（标准版）

网络安全运维管理规范手册（标准版）1.前言为规范本单位信息系统、网络设备、服务器、安全设备的日常运维行为，落实网络安全主体责任，防范网络攻击、病毒入侵、数据泄露、系统宕机等安全风险，保障网络与信息系统安全稳定持续运行，依据《网络安全法》《数据安全法》《关键信息基础设施安全保护条例》《信息安全技术信息系统安全运维管理规范》GB/T33172，结合单位实际，编制本手册。本手册适用于本单位全部局域网、互联网出口、服务器集群、业务应用、安全设备、终端计算机、云资源、运维人员、外包运维服务商。所有运维人员、外包人员必须严格遵守本规范。2.总则2.1目的建立标准化、闭环化网络安全运维体系，明确运维岗位职责、操作流程、权限管理、变更管理、应急处置、日志审计、安全检查要求；实现运维工作可管、可控、可审计、可追溯，降低网络安全事件发生概率，发生安全事件时快速响应、降低损失。2.2适用范围网络设备：交换机、路由器、防火墙、上网行为管理、入侵检测/防御系统（IDS/IPS）、堡垒机、负载均衡、VPN网关等；主机设备：物理服务器、虚拟机、云主机、存储设备；终端设备：办公PC、笔记本、工控终端、自助终端；业务系统：Web业务、数据库、中间件、网站、小程序后台；运维人员：内部运维人员、外包服务商、第三方技术支持人员。2.3基本原则最小权限原则：运维账号仅分配完成工作所需最低权限；权限分离原则：开发、运维、审计岗位分离，单人不能完成全流程高危操作；事前审批、事中留痕、事后审计：所有高危操作必须审批，操作全程日志留存；预防为主、应急兜底：常态化巡检加固，配套安全事件应急预案；谁运维、谁负责，落实安全责任到人。2.4引用法规标准《中华人民共和国网络安全法》《中华人民共和国数据安全法》《关键信息基础设施安全保护条例》GB/T33172信息安全技术信息系统安全运维管理规范GB/T22239信息安全技术网络安全等级保护基本要求3.组织与岗位职责3.1组织架构网络安全负责人：单位分管领导，审批重大变更、审批应急预案启动、安全事件决策；安全运维主管：负责运维制度落地、运维任务分配、安全检查、风险整改、外包管理；网络运维岗：网络、安全设备、链路、出口带宽运维；系统运维岗：服务器、操作系统、存储、虚拟化、云平台运维；应用与数据库运维岗：业务系统、数据库、中间件运维；安全审计岗：独立于运维，负责日志审计、账号审计、操作审计、定期安全巡检；外包运维人员：服从本单位安全管理，接受安全培训，权限单独管控。禁止：运维人员兼任安全审计岗位。3.2岗位职责网络安全负责人：审批重大网络变更，负责安全事件的决策上报；运维主管：组织日常巡检、漏洞整改、安全培训，定期输出运维报告；运维工程师：日常巡检、设备维护、故障处置、漏洞加固，严格执行操作规范，留存运维记录；安全审计岗：定期审计运维操作日志、账号权限，发现违规操作上报，独立开展风险核查；外包人员：签订保密协议，权限按需临时开通，操作全程审计，离场立即回收账号权限。4.账号与权限管理4.1账号分类管理员账号、运维操作账号、审计账号、访客账号、外包临时账号。禁止共用账号、共享密码。4.2账号申请、变更、注销流程账号申请：填写账号权限申请单，写明用途、权限范围、有效期，运维主管审批后方可创建；账号变更：岗位变动，立即提交权限变更申请，收缩多余权限；账号注销：员工离职、外包到期，当日完成账号删除/禁用，禁止遗留僵尸账号。4.3口令安全管理口令复杂度：长度≥12位，大小写字母+数字+特殊符号组合；定期更换：管理员口令90天内更换；禁止弱口令（123456、admin、手机号、生日等）；禁止明文存储口令，禁止微信、QQ、邮件传输账号密码；高危设备（防火墙、堡垒机、数据库）启用双因素认证（2FA）。4.4运维访问控制远程运维必须通过堡垒机（运维审计网关）跳转登录，禁止互联网直接访问核心设备；所有远程操作自动录屏，日志留存≥6个月；生产核心设备优先本地机房登录，外网远程仅应急启用，单独审批。5.日常巡检管理5.1巡检分类日常巡检（每日）、周巡检、月度巡检、季度专项安全巡检、年度全面安全评估。5.2巡检内容网络设备：设备在线状态、CPU/内存利用率、端口状态、带宽、设备日志、异常告警；安全设备：防火墙策略、IDS/IPS告警、病毒库、特征库版本、VPN在线用户；服务器：CPU、内存、磁盘、系统日志、登录异常、端口监听、系统漏洞；数据库：连接数、慢查询、数据库日志、权限、备份状态；终端：终端杀毒状态、补丁更新、外设管控；业务系统：业务可用性、访问报错、异常访问日志。5.3巡检要求巡检必须填写《网络安全运维巡检记录表》，发现异常立即登记；告警分级：一般告警、重要告警、紧急告警，分级处置；巡检记录、截图、日志归档保存，保存期限不少于6个月。6.变更管理（核心管控章节）6.1变更定义网络配置修改、安全策略调整、系统升级、补丁安装、业务版本更新、账号权限变更、硬件更换、IP地址调整等。6.2变更分级一般变更：低风险，不影响核心业务，运维主管审批；重要变更：影响部分业务，需制定回滚方案，安全负责人审批；重大变更：停机、核心网络架构调整，需要提前评估、预案、测试窗口，单位领导审批。6.3变更流程提交变更申请单→风险评估→制定实施方案+回滚预案→审批→预约变更窗口（优先非业务高峰、夜间/周末）→实施变更→业务验证→确认上线/失败执行回滚→填写变更总结归档。无审批、无回滚方案，严禁实施变更。变更实施全程留存操作记录。7.漏洞与补丁管理定期漏洞扫描：每季度开展一次漏洞扫描；高危漏洞立即复测整改；漏洞分级：高危、中危、低危，建立漏洞台账，闭环管理；补丁管理：先在测试环境验证补丁，再上线部署；业务系统补丁提前评估兼容性；零日漏洞、高危应急漏洞，按专项应急流程处置；漏洞整改完成后复测验证，销项归档。8.日志与审计管理日志采集范围：防火墙、交换机、服务器、堡垒机、数据库、业务系统登录、运维操作日志；日志保存期限：至少6个月，重要系统建议留存1年；禁止随意删除、篡改日志；审计岗定期开展日志审计，重点核查：异常登录、异地登录、批量账号访问、高危命令执行、夜间异常运维操作；发现可疑行为，立即阻断、溯源、上报。9.数据备份管理所有核心业务数据库、配置文件执行定期备份；备份策略：全量备份+增量备份，异地离线备份；备份周期：根据业务重要性，每日增量，每周/每月全量；定期备份恢复演练，至少每半年一次，验证备份可用性；备份介质妥善保管，加密存储，严格访问权限，防止备份数据泄露。10.恶意代码与终端安全管理服务器、办公终端统一部署防病毒/EDR终端安全软件，病毒库自动更新；禁止私自关闭安全防护软件；U盘、移动存储设备管控，内外网设备物理隔离，禁止交叉拷贝；邮件安全：部署邮件网关，查杀钓鱼邮件、恶意附件；定期开展钓鱼邮件演练。11.安全事件应急处置11.1安全事件分级一般事件：单点终端中毒、非核心设备故障，不影响业务；较大事件：部分业务中断、弱口令爆破、少量数据泄露风险；重大事件：核心业务瘫痪、勒索病毒、大量数据泄露、网页篡改。11.2应急处置流程发现告警/上报→事件研判分级→应急响应启动→隔离止损（断网、封禁账号、隔离主机）→溯源分析→清除恶意程序、漏洞加固→系统恢复验证→事后复盘、出具事件报告→优化制度与防护措施。11.3上报要求发生重大网络安全事件，按法规要求，在规定时限向网信、公安等主管部门上报，不得迟报、瞒报、漏报。12.外包与第三方管理所有第三方运维服务商签订网络安全保密协议；第三方人员进场前安全培训，临时账号设置有效期；第三方操作全部通过堡垒机审计，我方运维人员旁站监督高危操作；合同终止当天，回收全部账号、权限、访问资料，离场前做安全核查。13.培训与考核管理运维人员每年不少于2次网络安全培训，内容包含本规范、等级保护、应急演练、钓鱼识别；每年至少组织1次网络安全应急演练（勒索病毒、网站篡改、入侵演练等）；将安全运维执行情况纳入运维人员绩效考核；出现违规操作造成安全事故，追究相应责任。14.机房与物理安全机房门禁、监控，出入登记；非授权人员不得单独进入机房；机房温湿度、消防、UPS、精密空调定期巡检；设备物理标签，线缆标识清晰；机房做好防水、防火、防盗。15.违规责任禁止行为清单：私自创建共享账号、弱口令；未经审批擅自修改网络/安全设备配置；绕过堡垒机直接远程登录核心设备；私自拷贝、导出业务敏感数据；篡改、删除安全日志、运维记录；内外网设备私自互联。违规处理：警告、暂停运维权限、追责；造成安全事件、经济损失的，按单位制度和法律追责；外包人员立即终止合同并追责。16