自动售检票系统运维安全操作规程

自动售检票系统运维安全操作规程第一章总则1.1目的与依据为规范自动售检票系统（以下简称AFC系统）的运行维护操作行为，保障系统软硬件环境的安全性、稳定性及数据的完整性，防范各类网络安全风险与运营事故，依据《中华人民共和国网络安全法》、《计算机信息系统安全保护条例》及城市轨道交通相关技术规范，结合AFC系统实际运维需求，特制定本操作规程。1.2适用范围本规程适用于AFC系统全线网中心计算机系统（ACC）、车站计算机系统（SC）、终端设备（包括自动售票机TVM、半自动售票机BOM、自动充值机AVM、自动检票机AGM、便携式检票机PCA等）及相关网络设备、安全设备的日常运维、故障处理、软件升级、数据备份与恢复等所有安全操作活动。1.3基本原则AFC系统运维安全操作遵循“最小权限原则、全程审计原则、职责分离原则、预防为主原则”。所有操作行为必须可控、可查、可管，严禁违规操作、越权操作及未经授权的变更。第二章组织架构与岗位职责2.1运维安全组织体系建立AFC系统三级运维安全管理体系，设立运维安全管理领导小组、运维工作执行组及安全审计监督组。领导小组负责审批重大安全变更与应急响应策略；执行组负责具体日常操作与故障处置；审计组负责监督操作合规性及日志审查。2.2岗位安全职责系统运维应严格实行“三权分立”机制，即系统管理员、安全管理员、安全审计员职责分离，互不兼任，具体职责如下：2.2.1系统管理员职责负责AFC系统服务器、网络设备、数据库的日常配置、补丁更新及性能优化。仅拥有系统层面的操作权限，无权分配安全策略或查看审计日志。2.2.2安全管理员职责负责安全策略的部署、防病毒系统的管理、防火墙及入侵检测系统的规则配置。负责用户账号的创建、注销及权限分配，确保权限符合业务需求。2.2.3安全审计员职责负责对系统管理员、安全管理员及所有运维人员的操作行为进行日志审计、定期分析安全告警信息，负责编制安全审计报告，发现违规行为及时上报。2.3外部人员管理涉及厂家、第三方服务商进行系统维护或接入时，必须签署保密协议与安全责任书。由内部人员全程陪同（旁站），实行“一人一机、专用账号、操作录像”，并在操作结束后立即注销临时账号。第三章物理环境与终端设备安全操作3.1机房进出管理进入ACC及SC机房必须实行严格的门禁管理制度。运维人员需提前申请，经审批后通过双人双钥（或门禁+指纹）方式进入。进出机房必须登记《机房进出登记表》，记录时间、事由、携带物品及审批人。严禁携带未经授权的具有无线通讯功能的设备（如非工作笔记本电脑、私人手机等）进入核心生产区。3.2终端设备现场维护安全3.2.1维护前准备运维人员在前往现场维护TVM、AGM等设备前，必须确认工单内容及授权等级。携带运维专用笔记本电脑，确保已安装最新版杀毒软件并更新至最新病毒库，禁止使用来源不明的U盘、移动硬盘。3.2.2物理端口与接口管理在维护过程中，严禁随意暴露未使用的物理接口（如USB、串口、网口）。对于必须使用的调试接口，在调试完成后应立即通过技术手段（如USB封锁软件、物理封条）予以封闭。涉及现金模块（钱箱）的操作，必须遵循现金管理规定，在视频监控下由双人配合完成。3.2.3设备上下电操作对终端设备进行断电重启或更换模块前，必须先进行数据保存与状态检查。严禁在正在进行交易或数据上传的过程中强行断电。操作完成后，需检查设备自检状态、界面显示及交易流水完整性，确认无误后方可离开。3.3维修介质管理所有用于系统恢复或数据拷贝的光盘、U盘等介质，必须实行“专人专用、分类标识”。介质在使用前必须进行查杀毒处理，严禁在涉密计算机与互联网计算机之间交叉使用存储介质。报废的存储介质必须经过物理销毁或低级格式化处理，确保数据不可恢复。第四章网络与系统访问控制操作4.1网络架构安全分区AFC网络应严格划分为安全控制区、内部办公区、外部接入区（如银行、清分中心）。区域之间必须部署防火墙、网闸等隔离设备，仅开放业务必需的端口和协议。运维操作严禁跨区域直接访问，必须通过指定的跳板机或运维审计网关进行。4.2远程接入安全操作4.2.1VPN接入管理运维人员如需从外部网络远程接入AFC内部网络，必须使用多因子认证（如VPN令牌+动态口令）。VPN接入权限应基于“临时授权、即时生效、定时失效”原则，严禁申请长期有效的远程接入账号。4.2.2运维审计网关使用所有针对服务器、数据库、网络设备的远程运维操作（SSH、Telnet、RDP等），必须通过运维安全审计网关（堡垒机）进行。堡垒机需启用命令级录制与字符级回放功能，确保操作过程可追溯。严禁绕过堡垒机直接通过TeamViewer、向日葵等远程工具进行设备维护。4.3账号与密码管理4.3.1账号生命周期管理新建账号必须经过审批流程，账号权限分配需严格对照《AFC系统权限矩阵表》。人员离职或岗位变动时，必须在24小时内注销或冻结其相关系统账号，并清理其文件访问权限。4.3.1密码复杂度要求所有系统账号密码必须满足以下复杂度要求：长度不少于12位，包含大小写字母、数字及特殊符号；每90天强制更换一次；禁止使用弱口令或默认口令；禁止密码复用（最近5次密码不能重复）。关键设备（如核心交换机、数据库服务器）的密码需由信封密封保存，定期由审计员监督更换。第五章软件更新与补丁管理操作5.1变更申请与评估任何AFC系统软件的升级、补丁加载、配置参数修改均属于变更范畴。变更实施前，必须提交《AFC系统变更申请单》，详细说明变更原因、内容、影响范围、回退方案及测试计划。由技术专家委员会对变更方案进行风险评估，审批通过后方可执行。5.2测试环境验证所有软件更新与补丁，必须先在测试环境中进行全量验证。测试内容包括但不限于：功能正确性、系统兼容性、性能影响评估。测试通过并出具《测试报告》后，方可制定上线计划。5.3变更实施窗口5.3.1非紧急变更非紧急的软件更新或配置变更，严格限制在非运营高峰期（通常为夜间收车后至次日运营前前2小时）进行。变更操作必须至少由两名运维人员配合，一人操作，一人监护。5.3.2紧急变更针对严重影响系统运行或重大安全漏洞的紧急补丁，可启动紧急变更流程。但在实施前必须电话通报安全管理员，并在实施后24小时内补齐变更审批手续与测试记录。5.4变更实施与回退变更实施时，应严格按照操作步骤文档执行，并在堡垒机监控下进行。实施完成后，需进行功能验证与健康检查。如果变更失败或引发异常，必须立即执行预定的回退方案，将系统恢复至变更前状态，严禁在故障状态下进行试探性修改。第六章数据安全与备份恢复操作6.1数据分类与分级根据数据重要性与敏感程度，将AFC数据分为核心交易数据（票卡交易、充值记录）、配置数据（设备参数、黑名单）、日志数据（操作日志、报警日志）。核心交易数据属于最高保护级别，必须实施加密存储与传输。6.2数据备份策略6.2.1备份频率数据库应采用“全量备份+增量备份”相结合的策略。核心业务数据库每日至少进行一次全量备份，每小时进行一次事务日志备份。配置参数在每次变更后立即备份。6.2.2备份介质与存储备份数据必须存储在本地专用存储服务器及异地灾备中心（或云端冷存储）。备份数据文件应启用加密算法（如AES-256）进行加密保护。备份介质应定期进行可读性抽检，每季度至少进行一次恢复演练。6.3数据恢复操作数据恢复操作为最高风险操作，仅限在发生数据丢失或逻辑错误时，经部门负责人及安全管理员双重授权后方可执行。恢复前必须对当前受损数据进行镜像备份，防止二次破坏。恢复过程需详细记录每一步操作，恢复后需由业务人员核对数据的一致性与准确性。6.4敏感信息脱敏在进行故障排查、数据统计分析或向第三方提供数据支持时，严禁直接导出包含乘客隐私（如身份证号、手机号）及完整卡号的数据。必须使用数据脱敏工具对敏感字段进行掩码处理（如显示为138****1234）。第七章应急响应与故障处置安全7.1应急响应分级根据AFC系统故障的影响范围与严重程度，将突发事件分为特别重大（I级）、重大（II级）、较大（III级）、一般（IV级）四个等级。I级：全线网AFC系统瘫痪，无法进行任何售票检票业务。II级：多个车站或ACC核心功能失效。III级：单个车站或部分终端设备大规模故障。IV级：个别终端设备故障，不影响整体运营。7.2应急处置流程7.2.1故障上报发现系统异常或安全告警，运维人员应在15分钟内完成初步研判并上报。I级、II级事件需立即启动应急预案，通知应急指挥小组。7.2.2故障隔离为防止故障扩散（如蠕虫病毒爆发、网络风暴），在查明原因前，可采取临时隔离措施（如物理断网、关闭服务端口）。隔离操作需记录隔离设备列表与时间，待故障排除后按顺序恢复。7.2.3业务恢复优先保障进出站核心业务（AGM检票）。若TVM故障，应立即启用人工售票窗口（BOM）发放预制单程票或应急票，引导乘客使用二维码过闸，确保车站运营秩序。7.3安全事件处置若发生黑客入侵、数据泄露等安全事件，应立即保存现场（断开网络但不关机，保留内存数据），封存相关日志。配合公安机关进行取证调查，严禁擅自清洗日志或篡改现场数据。事后需编写《安全事件分析报告》，制定整改措施。第八章安全审计与合规管理8.1日志审计管理8.1.1日志收集范围必须集中收集服务器系统日志、应用中间件日志、数据库审计日志、网络设备日志及防火墙日志。日志内容应包含：时间、源IP、目的IP、操作账号、操作命令、执行结果等关键要素。8.1.2日志留存时间所有审计日志必须保留至少6个月，核心交易日志及安全告警日志必须保留至少1年。日志存储服务器应具备防篡改功能，禁止运维人员拥有日志系统的删除权限。8.2定期安全检查每月开展一次系统漏洞扫描与基线核查。每季度开展一次渗透测试与网络安全专项检查。检查内容包括：弱口令检测、端口开放检测、补丁缺失检测、权限合规性检测。对于发现的安全隐患，需下发《整改通知书》并跟踪闭环。8.3考核与培训定期组织运维人员参加网络安全意识教育与技能培训。将安全操作合规性纳入运维人员月度绩效考核。对于违反本规程造成事故的，视情节轻重给予警告、记过或解除劳动合同处分；构成犯罪的，依法移交司法机关追究刑事责任。第九章附件与附表9.1AFC系统关键端口安全策略表设备类型服务名称协议端口号源地址限制访问策略备注核心交换机SSHTCP22运维网段仅允许堡垒机访问禁止密码登录，仅密钥数据库服务器OracleTCP1521ACC/SC网段加密传输需配合IPACLTVM终端业务数据TCP8001-8100SC服务器IP双向通信需防火墙状态检测防火墙VPNUDP500/4500互联网特定用户组开启DPD检测9.2运维操作权限分配矩阵表岗位角色服务器管理网络设备管理数据库管理业务应用配置安全策略配置日志审计系统管理员是是是是否否安全管理员否否否否是否安全审计员否否否否否是一般运维人员否否否限制否否9.3常见故障应急联络表故障类型责任部门第一联络人