年4月19日網絡安全管理辦法文檔僅供參考《XXXX安全管理制度匯編》網絡安全管理辦法文件名稱網絡安全管理辦法密級內部文件編號版本號V1.0編寫部門XXX部門編寫人審批人發布時間

目錄TOC\o"1-3"\h\z編制說明 3第一章總則 4第二章網絡安全要求 4第三章附則 7第一節文擋信息 7第二節版本控制 7第三節其它信息 7

編制說明為進一步貫徹黨中央和國務院批準的《國家信息化領導小組關于加強信息安全保障工作的意見》及其“重點保護基礎信息網絡和重要信息系統安全”的思想、貫徹信息產業部“積極預防、及時發現、快速反應、確保恢復”的方針和“同步規劃、同步建設、同步運行”的要求，特制定本制度。本制度依據中國信息安全的有關法律法規，結合XXXX的自身業務特點、并參考國際有關信息安全標準制定的。《XXXX安全管理制度匯編網絡安全管理辦法》加強了安全事件應急響應管理能力，規范安全事件應急響應流程，涉及的應急響應是指各系統發生嚴重和重大安全事件時應啟用的應急響應管理。

總則制度目標：為了加強信息安全保障能力，建立健全的安全管理體系，提高整體的網絡與信息安全水平，保證網絡通信暢通和業務系統的正常運營，提高網絡服務質量，在安全體系框架下，本制度為規范網絡安全的運行維護，保護作為信息傳輸基礎的網絡基礎設施的安全，保障網絡服務的可用性和信息傳輸的機密性。適用范圍：本制度由網絡與信息安全工作組制訂，適用于各部門使用的網絡中涉及網絡設備、網絡設計、運行、邊界保護、監控和審計方面的安全規定。本制度所述的網絡設備包括網絡設備和使用在網絡環境中的安全設備，如路由器、交換機、防火墻、入侵檢測系統及網絡監控設備。使用人員及角色職責：本制度適用于安全管理員，部門安全管理員、安全技術人員及系統管理員。制度相關性：本制度涉及網絡的安全技術規范、安全檢查及監控等管理辦法，同時遵照相關專業技術文檔。網絡安全要求各系統網絡設備當前運行配置文件應和備份配置文件保持一致。各系統網絡設備的配置變更應根據本辦法嚴格執行。網絡設備登錄提示標識應適當屏蔽內部網絡信息內容，并應有相關合法性警告信息。各系統管理員應每季度檢查網絡設備登錄方式的開放情況，關閉沒有使用的登錄方式。經過設備日志或外部認證設備維護對設備的登錄狀況，內容應當包括訪問登錄時間，人員，成功登錄和失敗登錄時間和次數等信息。嚴格控制對網絡設備的管理授權。按照最小權限原則對用戶進行授權。各系統網絡設備的密碼應嚴格按照《XXXX安全管理制度匯編賬號、口令及權限管理辦法》執行。各部門應每季度收集設備運行狀況，經過運行記錄和供應商了解當前已有設備的硬件/軟件缺陷，跟蹤設備缺陷的修復情況，及時向部門信息安全組織和信息安全工作組匯報，作為設備選型/廠商選擇的參考指標。負責網絡設備維護的人員應與網絡設備廠商保持暢通的溝通聯系，以便能及時從廠商處獲取必要的技術支持。嚴禁管理員透漏設備口令、SNMP字符串、設備配置文件等信息給未授權人員。所有網絡必須具有關于拓撲結構、所用設備、鏈路使用情況等關于網絡情況的詳細說明文檔，并保持文檔內容和現有網絡、設備連接和鏈路信息保持一致。網絡應具備冗余設計和規劃，實現基本的冗余配置，預防關鍵點的網絡故障。應配備冗余鏈路、核心和匯聚層的冗余設備，配置冗余路由以充分保障網絡的可用性。對重要區域實行冷備份與熱備份相結合的方式，避免雙重失效造成的影響。網絡冗余措施應根據預先制定的冗余配置、設備、線路等測試方案每季度進行驗證測試，以判別是否滿足冗余要求。網絡管理員或安全管理員對網絡鏈路應進行探測和監控，并對已經發生的安全事件進行及時響應和處理。重要部門在網絡上傳輸機密性要求高的信息時，必須啟用可靠的加密算法保證傳輸安全。在網絡中選擇和使用恰當的路由協議，并正確地進行配置和實施，保證網絡的互聯互通。由統一的IP地址管理機構、人員負責對外部和內部各個部門、人員的IP地址進行規劃、登記、維護和分配。確保各個部門有足夠的地址容量并有一定的冗余供擴展使用。對于重要區域應單獨分配地址段，用于專門的網絡設備互聯，不與其它用戶混用，以利于安全措施的使用。維護和記錄IP地址的使用情況，及時關閉和回收被廢止的地址。未經部門或信息安全組織批準，測試網絡與內部網絡不能直接連接。未經部門或信息安全組織批準，嚴禁職工私自設立撥號接入服務。未經部門或信息安全組織批準，嚴禁職工經過拔號方式對外部網絡進行訪問。所有的遠程訪問必須具備身份鑒別和訪問授權控制，至少應采用用戶名/口令方式，經過Internet的遠程接入訪問必須經過VPN的連接，并啟用VPN的加密與驗證功能。不同安全域之間應采用防火墻，路由器訪問控制列表等方式對邊界進行保護。只開放必要的服務和端口，減少暴露在網絡外部的風險。對于重要的系統需要在防火墻上對信息流的內容按照一定方式進行邊界過濾。根據業務變化及時檢驗更新現有的防火墻配置制度，滿足新的安全需求。采取邏輯或物理隔離方法對網絡采取必要的隔離措施，以維護不同網絡間信息的機密性，解決網絡信息分區傳輸的安全問題。在網絡中的重要位置應部署網絡監控設備或者采用人工手段，監控采集網絡中的流量和事件，設備運行情況等信息，分析發掘異常事件。網絡中各設備應開啟日志記錄功能，對網絡使用情況進行記錄。建立網絡中的審計體系，應當對審計結果中的異常信息和長期性事件趨勢進行分析。

附則文擋信息本制度由業務科技處制定，并負責解釋和修訂。由信息安全工作組討論經過，發布執行。本制度自發布之日起執行。版本控制對本制度所有修改及審批、發布都按時間順序記錄在此。版本日期修改內容修改人審批人V1.0月日文檔定稿其它信息本制度中所稱的人員角色職責由各部門人員分別擔任，可能現有崗位的職工在不同時期所擔任的角色不同，甚至身兼多種角色，這種情況下該職工應該履行所兼每種角色的