企业公司网络与信息安全管理制度

企业公司网络与信息安全管理制度为全面保障公司网络基础设施、信息系统、数据资产及用户终端全生命周期安全，有效防范网络攻击、数据泄露、系统中断、合规处罚等各类安全风险，严格落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络安全等级保护条例》及网络安全等级保护2.0系列标准要求，结合公司现有总部职能部门11个、区域分公司12个、智能制造生产基地3个、在职员工2137人、部署核心业务系统8套（含ERP、MES、CRM、SCM、财务核算、人力资源管理、OA协同办公、客户服务系统）、联网终端设备2642台的实际运营场景，制定本管理要求，覆盖范围包含公司总部、各分公司、全资及控股子公司，以及所有接入公司网络资源的外包驻场人员、合作方人员、临时访客，所有涉及公司网络访问、系统使用、数据处理的活动必须严格遵守本要求。建立“一把手负总责、分级压实责任、全员参与防控”的网络与信息安全责任体系，成立公司网络与信息安全领导小组，组长由公司法定代表人、总经理担任，为公司网络与信息安全第一责任人，副组长由分管信息化工作的副总经理、首席信息安全官（CISO）担任，成员包括各职能部门、业务单元负责人及IT运维部、法务合规部、人力资源部、行政保障部核心管理人员。领导小组每季度召开1次安全工作专题会议，审议安全投入、风险整改、事件处置等重大事项；首席信息安全官牵头统筹日常安全管理工作，每年12月底前完成下一年度网络与信息安全预算编制，安全专项投入不低于上年度IT总投入的15%，每季度组织1次全公司范围的安全风险评估，形成风险清单跟踪整改。IT运维部下设专职安全运营中心（SOC），配置持证安全运维人员7名，实行7*24小时轮班值守机制，负责防火墙、入侵检测/防御系统（IDS/IPS）、终端检测与响应系统（EDR）、数据防泄漏系统（DLP）、零信任访问网关等安全设备的日常运维，对高危安全告警的响应处置时效不超过15分钟；法务合规部负责每年至少1次的网络与信息安全合规审计，对接网信、公安、通管等行业监管部门的检查与执法工作，审核对外数据合作、信息发布的合规性；人力资源部负责将网络与信息安全培训纳入新员工入职必修环节，确保全员年度安全培训覆盖率100%；行政保障部负责机房物理环境、办公区域网络接入点的日常巡查；各部门负责人为本部门网络与信息安全第一责任人，每个部门配置1名兼职安全联络员，每月25日前上报本部门安全隐患与人员安全行为异常情况。物理与网络基础设施安全管理层面，机房物理环境严格按照网络安全等级保护三级要求建设，主数据中心部署双因子门禁系统、全域视频监控、七氟丙烷气体灭火系统、UPS不间断电源（后备供电时长不低于8小时）、温湿度自动调控系统，机房常年温度控制在22±2℃、相对湿度控制在50%±5%，机房出入必须经IT运维部负责人审批，如实登记人员信息、出入时间、办事事由，严禁携带个人存储介质、拍照录像设备进入核心机房区域，机房视频监控记录留存时间不低于90天，严禁无关人员违规进入。网络架构严格落实分区防护要求，划分为五大功能区域：一是核心业务区，承载所有核心业务系统服务器与生产数据存储，访问控制粒度细化到端口级，仅开放业务必要的IP访问权限，严禁任何核心业务资源直接暴露在公网；二是办公网络区，承载员工办公终端、OA系统、视频会议系统等内部办公资源，与核心业务区之间部署下一代防火墙做访问隔离，所有访问核心区的请求必须经过零信任网关的身份验证、环境检测、权限校验，严格按照最小必要原则授权；三是DMZ对外服务区，承载官网、邮件系统、公众查询端口等对外提供服务的资源，前端部署Web应用防火墙（WAF），每小时自动开展一次漏洞扫描与恶意流量检测，对识别到的恶意IP拦截时效不超过1分钟；四是第三方接入区，为供应商、外包人员设置专用接入区域，采用SSLVPN+双因素认证接入方式，仅开放其工作必需的系统访问权限，临时账号有效期最长不超过90天，到期自动回收权限；五是生产工控区，承载三个生产基地的工业控制系统设备，与办公网络实行物理隔离，跨网数据传输必须通过专用摆渡机完成，所有摆渡文件需经过3款不同杀毒引擎的交叉查杀后方可传输。网络设备配置文件每季度备份一次，备份文件采用国密算法加密存储在离线介质，设备管理员密码长度不低于12位，包含大小写字母、数字、特殊字符，每90天强制更换，严禁使用默认密码、通用密码，严禁开启Telnet等明文管理协议，所有远程设备运维操作必须通过堡垒机执行，全程操作录像留痕，日志留存时间不低于6个月。互联网出口采用电信10G、联通5G双链路冗余设计，全年链路可用性不低于99.99%，每年至少开展2次链路中断应急演练；办公无线网络实行SSID隐藏，采用WPA3加密协议，办公WiFi与访客WiFi实现物理隔离，访客WiFi接入需通过手机号短信验证，账号有效期最长24小时，严禁访客WiFi访问任何内部办公资源。信息系统全生命周期安全管理层面，所有新开发、新采购的信息系统上线前必须通过严格的安全测评，自研系统需完成100%代码审计，第三方采购系统需由安全人员开展漏洞扫描、渗透测试，高危漏洞修复率达到100%后方可上线；定级为等保三级的核心业务系统，必须取得具备资质的第三方测评机构出具的合格测评报告，同步完成账号权限梳理、日志配置、数据备份策略设置后，方可正式投入使用。系统运维阶段严格落实三权分立原则，系统管理员、安全管理员、审计管理员权限分离、互不兼任，员工账号实行一人一号、实名绑定，严禁多人共用账号，员工办理离职手续后24小时内必须回收其所有系统访问权限；建立补丁测试与推送机制，针对微软发布的高危系统漏洞，在补丁发布后7天内完成兼容性测试并推送到所有办公终端安装，核心业务系统补丁需在测试环境验证业务稳定性后15天内完成安装，每月统计终端与系统补丁安装率，确保整体安装率不低于98%；所有系统的操作日志（含账号登录、权限变更、数据操作、配置修改等）统一归集到安全运营中心平台，普通系统日志留存时间不低于180天，等保三级核心系统日志留存时间不低于1年。系统下线前必须完成数据迁移或安全销毁，存储介质按规范做消磁或物理粉碎处理，所有系统账号全部回收，下线流程需经业务部门、IT运维部、法务合规部三方签字确认，相关记录归档留存3年以上。数据分级分类与全生命周期安全管理层面，按照数据一旦泄露、篡改、损毁造成的影响程度，将公司所有数据划分为四个级别：一级为核心涉密数据，包含核心产品配方、未公开的重大战略决策、上市公司未披露财务报告、用户敏感个人信息（身份证号、银行卡号、生物识别信息、健康医疗信息），泄露后将造成重大经济损失或严重合规风险；二级为重要业务数据，包含客户合作合同、全量销售数据、核心供应链信息、员工薪酬信息，泄露后将造成局部业务运转受阻或较大经济损失；三级为一般办公数据，包含内部普通工作通知、非涉密工作文档、日常沟通记录，泄露后影响范围有限；四级为公开数据，包含官网公开信息、对外发布的宣传材料、已经正式公开的公告信息。针对不同级别数据落实差异化管控要求：一级数据存储采用国密SM4算法加密，传输采用TLS1.3加密协议，访问需经部门负责人、数据安全管理员双重审批，严禁下载到个人终端，严禁通过微信、QQ、私人邮箱等公共渠道传输，仅允许在公司配发的加密终端上在线查看，所有操作全程录屏留痕；二级数据访问需经部门负责人审批，可下载到公司配发的办公终端查看，严禁传输至外部公共网络；三级数据可在公司内部正常流转，对外传输需经部门负责人审批；四级数据可按公司宣传管理流程公开发布。严格落实核心数据“3-2-1”备份策略，即留存3份数据副本、采用2种不同存储介质、存放1份距离主数据中心50公里以上的异地离线备份，备份频率为实时增量备份、每日全量备份，每季度开展1次备份恢复演练，确保核心业务系统恢复时间目标（RTO）不超过4小时，恢复点目标（RPO）不超过30分钟；个人信息处理严格遵循最小必要原则，收集个人信息前必须明确告知信息主体收集目的、使用范围、存储期限，严禁超范围收集个人信息，每年开展1次个人信息保护影响评估（PIA）。存储过期数据的硬盘、U盘等存储介质，必须采用场强不低于9000奥斯特的消磁设备彻底消磁后做物理粉碎处理，销毁过程由IT运维部、行政保障部、法务合规部三方人员现场监督，签字确认销毁记录，严禁将存储过内部数据的介质随意丢弃或转卖。终端与人员行为安全管理层面，所有公司配发的办公终端必须统一安装EDR终端防护软件、DLP数据防泄漏客户端，严禁员工私自卸载、关闭终端安全防护功能，严禁私自安装来源不明的破解软件、盗版软件；终端USB端口默认关闭，因工作需要使用移动存储介质的，必须经部门负责人审批后，使用公司统一配发的加密U盘，严禁私人U盘、移动硬盘等存储设备接入公司办公终端；严禁员工使用个人终端接入核心业务区网络，因特殊工作需要使用个人终端接入办公网的，必须经IT部门安全检测，安装必要的防护软件，访问权限仅开放OA、企业邮箱等非核心系统，严禁访问核心业务数据。人员安全管理覆盖入职、在职、离场全流程：新员工入职时必须签订《网络与信息安全保密协议》，接受不少于4学时的安全专项培训，培训内容涵盖钓鱼邮件识别、密码安全规范、数据传输要求、安全事件上报流程，培训后参加闭卷考试，满分100分，80分以上为合格，不合格者需重新培训直至合格方可上岗；在职员工每年接受不少于8学时的安全继续教育培训，每季度开展1次钓鱼邮件模拟演练，将员工钓鱼邮件点击比例控制在5%以下，对点击可疑钓鱼链接的员工开展一对一专项辅导与补考；外包人员、驻场合作方人员入场前必须签订安全保密协议，接受2学时的安全规范培训，发放临时接入账号，账号有效期与其服务周期保持一致，人员离场时立即回收所有访问权限。所有系统账号密码必须满足长度不低于10位、包含大小写字母、数字、特殊字符的复杂度要求，每90天强制更换，严禁将密码记录在便签、未加密文档、浏览器自动保存列表中，严禁将个人账号转借他人使用；IT部门每季度开展1次全网络弱口令扫描，发现弱口令立即通知相关人员24小时内整改，确保弱口令整改率100%。公司邮件系统部署反垃圾邮件网关、恶意附件查杀引擎，确保垃圾邮件拦截率不低于99.9%、带毒邮件拦截率100%，员工收到可疑邮件时严禁点击链接、下载附件，需第一时间上报IT部门核实处置，严禁使用公司工作邮箱注册与工作无关的网站、网络服务。安全监测、漏洞管理与应急响应层面，安全运营中心7*24小时监测全网络流量、终端行为、系统日志，对异常异地登录、短时间大量数据下载、暴力破解、恶意代码传播等高危告警进行实时研判，第一时间阻断攻击行为；每季度开展1次全网络全面漏洞扫描，每半年委托具备资质的第三方安全机构开展1次渗透测试，对发现的高危漏洞24小时内完成修复，中危漏洞7天内完成修复，低危漏洞30天内完成修复，漏洞修复完成后逐一复测，确保漏洞修复率100%；每年至少参加1次属地网信部门组织的实战化攻防演练，检验现有防御体系的有效性。建立分层级的网络与信息安全应急响应机制，针对勒索病毒攻击、数据泄露、网络中断、系统宕机等常见场景制定专项处置流程，按照事件影响范围与损失程度将安全事件分为四个等级：一级事件为核心业务系统瘫痪、核心数据大规模泄露，影响全公司业务正常运转，预计造成100万元以上直接经济损失，事件发生后立即启动一级响应，由领导小组组长牵头处置，1小时内上报属地网信、公安部门，24小时内形成初步处置报告；二级事件为单条业务线系统中断、局部数据泄露，影响单个区域或部门业务运转，预计造成10-100万元直接经济损失，由首席信息安全官牵头处置，4小时内上报公司领导小组；三级事件为单个终端感染恶意程序、少量非核心数据泄露，影响范围局限在10人以内，预计造成10万元以下直接经济损失，由安全运营中心值班人员牵头处置，1个工作日内上报IT部门负责人；四级事件为无实际影响的安全告警、可疑攻击行为，由运维人员按日常流程处置即可。每年至少开展2次应急演练，其中必须包含1次勒索病毒攻击专项演练，演练后形成复盘评估报告，及时优化应急预案与处置流程。监督考核与责任追究层面，建立常态化安全考核机制，IT部门每月对各部门的终端防护软件安装率、弱口令整改率、钓鱼邮件演练点击率、安全培训完成率进行量化通报，考核结果纳入各部门年度绩效考核，占部门绩效考核权重的8%。对违反本管理要求的行为，视情节轻重给予相应处理：存在未按要求安装终端防护软件、私自卸载安全客户端、设置弱口令、转借个人账号等一般违规行为的，对当事人给予全公司通报批评，扣发当月绩效奖金的10%；存在私自将核心数据传输至外部、未经授权访问核