网络和系统安全管理制度

重庆米兰高赔竞彩下载官网职业学院网络和系统安全管理制度

一、目的

为了规范本单位网络安全管理，按照《GB/T 22239网络安全技术 信息系统安全等级保护基本要求》及其它中华人民共和国有关计算机网络安全的相关标准、法律、法规和安全规定，结合本单位的实际情况，特制定本制度。

二、适用范围

本制度适用于本单位业务相关的计算机网络如办公局域网络，业务网络，互联网络及其它下属机构的网络等的安全管理。

三、职责

为加强本单位网络和系统安全管理，保障网络畅通，成立网络安全工作领导小组，负责网络安全的领导和协调。其下辖信息技术部，内设立网络/系统安全主管和网络/系统管理员。

本制度所指的系统，是指计算机信息系统中所涉及的计算机软件系统。具体是指：本单位主机操作系统和应用系统，以及下属单位通过网络接入的主机操作系统和应用系统。

3.1网络安全领导小组职责：

(1)制订网络建设与发展的总体规划。

(2)制订并监督执行网络运行的有关制度。

(3)制订网络的运行安全与网络安全计划。

(4)定期检查各级网络系统的管理状况。

(5)处理网络运行管理当中的普遍性、重大性问题。

(6)制订网络管理人员教育与培训的计划。

3.2信息技术部工作职责：

3.2.1负责全网的网络安全相关的具体事务；全面负责本单位系统安全管理工作。综合协调相关部门完成系统安全规划、建设、维护、保障工作。

3.2.2落实国家及市政府有关系统安全法规、方针、政策、标准和规范，联系上级主管部门并落实系统安全管理相关工作。

3.2.3组织制定安全管理规章制度和标准规范。

3.2.4指导、协调和检查各部门系统安全工作，组织落实系统筹级保护制度，统筹开展系统风险评估和安全检查工作。

3.2.5负责系统一般事故的调查和处理，协助系统重大事故的调查和处理。

3.2.6在应急体系框架内，负责系统应急管理相关工作。

3.2.7开展涉密计算机网络的系统立项、设计和建设，做好系统安全与保密检查。

3.2.8负责规范系统安全产品的测评和选型工作。

3.2.1信息技术部主管的职责：

(1)制定网络建设及网络发展规划，确定网络安全策略。

(2)管理施网络建设及网络调整任务。

(3)定期对网络运行情况及相关记录进行审查。

(4)考核网络管理员，做好网络建设和网络更新的组织工作和技术支持，制定和修订网络管理规章制度并监督执行。

3.2.2网络/系统管理员的职责：

(1)协助网络主管制定网络建设及网络发展规划，确定网络安全策略。

(2)协助网络主管实施网络建设及网络调整。

(3)负责公用网络实体，如交换机、集线器、防火墙、网关、配线架、网线、接插件等的维护和管理。

(4)负责网络设备及相关软件的安装、维护、调整及更新。

(5)负责网络账号管理、设备帐号管理、网络资源分配、数据安全。

(6)监视网络运行，调整网络参数，调度网络资源，保持网络安全、稳定、畅通。

(7)负责系统备份和网络数据备份。

(8)保管网络拓扑图、网络接线表、设备规格及配置单、网络管理记录、网络运行记录、网络检修记录等网络资料。

(9)每年对本单位网络的效能评价，提出网络结构、网络技术和网络管理的改进措施。

3.3其它各部门职责：

(1)负责各自部门使用的计算机网络设备的安全管理。

(2)负责各自部门数据的安全备份。

(3)负责及时通知信息技术部有关各自部门使用的计算机病毒、网络异常等情况及其它安全隐患情况。

四、管理要求

4.1在本单位网络安全领导小组的统一领导下，由信息技术部负责网络安全的具体管理，其下设网络管理角色，明确各个角色的权限、责任和风险。达到如下管理要求：

(1)定期查看网络运行情况，及时发现设备性能、网络带宽、路由等存在的问题。

(2)定期对运行日志和审计数据进行分析，生成相应的审计报表，及时发现网络攻击，非法接入、病毒爆发等异常行为，重要系统应每天生成审计报表，每个月生成全网审计报表。

(3)定期对防火墙、防病毒网关、入侵防范系统、交换机等设备进行更新，以适应不断变化的网络情况。

(4)对各种网络设备及相关软件系统安全策略、安全配置、日志管理、漏洞扫描、自身防护、口令管理等方面做出规定。对重要日常维护工作建立操作规程等。

(5)定期对网络设备的配置文件、安全策略、重要数据等进行备份。

五、系统安全工作过程

5.1对系统管理员角色进行划分：

5.1.1指定专门的部门或人员对相应的系统进行管理；

5.1.2划分系统管理员的角色，落实系统（主机）管理员、应用管理员和数据库管理员角色。

5.1.3根据明确的各个系统管理角色分配对应的管理权限实现管理用户的权限分离，并仅授予管理用户所需的最小权限。

5.1.4根据系统管理角色，明确各个角色的责任和风险。

5.2定期对系统日志和审计数据进行分析：

5.2.1开启系统的日志和审计功能，日志和审计范围应包含服务器和重要客户端上的每个操作系通用户和数据库用户。

5.2.2审计内容应包括系统重要用户行为、系统资源异常和重要系统命令的使用等系统内重要的安全相关事件。

5.2.3重要的服务器生成审计记录和报表，审计记录包含事件的日期、时间、类型标识和结果等。

5.2.4定期对系统日志和审计记录进行备份。

5.2.5发现日志和审计中的异常情况和行为立即向信息主管人员报告。

5.3系统安全配置和安全运行

5.3.1重要系统的用户管理由主管部门审批，并制定用户口令复杂度、更新周期等制度。

5.3.2采用安全的系统远程管理方式，防止鉴别信息在网络传输过程中被窃听。

5.3.3启用系统入侵防范功能或应用入侵防范功能软硬件，对重要服务器的入侵行为进行检测和报警，对入侵事件进行记录。

5.3.4及时对系统进行必要的升级，关闭系统中危险和无用的服务。

5.3.5操作系统安装防恶意代码软件，并及时更新；安装了网络防恶意代码软件的，则制定统一的恶意代码防范策略。

5.3.6通过一定的手段限制非授权终端用户登录重要的服务器，对重要服务器的资源使用情况进行监控，并形成监控机制。

六、网络安全管理工作过程

6.1网络内各种网络设备、安全设备及网络安全相关系统由网络管理员统一管理，其他任何人不得擅自操作网络设备，修改网络设置，网络管理员对于网络系统的设置、修改做好登记、备案工作。重大更改必须向主管领导汇报，征得同意后方可进行。

6.2网络管理员绘制与网络运行情况一致的网络拓扑图，并根据网络变化情况对拓扑图进行及时更新。

6.3采取监控技术措施，每天定时对网络设备性能、路由、网络流量情况进行监控，记录，保证能及时发现网络中存在或是即将发生的问题，根据情况及时对网络进行调整，保障网络稳定通畅。

6.4根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，对网络划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段，避免将重要网段部署在网络边界处，重要网段与其他网段之间采取可靠的技术隔离手段。

6.5通过技术手段，对接入网络和接入互联网进行管理，能及时发现和阻止非授权的用户接入本单位网络和接入互联网。

6.6对网络系统中的各种日志进行管理，日志能详细记录下事件的日期、时间、事件等信息，保证日志信息不会被删除、修改或覆盖。每天对日志进行审查，分析，及时发现网络中的异常情况，并生成分析报表。

6.7网络内所有网络设备、安全设备及网络安全相关系统应当根据管理需求设立正确的角色分配，各种角色权限分离，建立相应帐号，每个帐号仅由一个管理员使用，并加口令予以保护，任何非系统管理员严禁使用、猜测各类管理员口令。

6.8定制口令管理策略，口令长度至少在8位以上，由字母、数字、其它符号构成，且定期更换，并作好相应的口令更换记录。

6.9对网络内所有网络设备、安全设备及网络安全相关系统的远程管理用户限制IP地址，并采用加密传输的方式进行远程管理，并采用技术措施防止口令探测。

6.10在网络边界部署访问控制设备，根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级，应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制。

6.11采取技术措施，使网络中的连接会话处于非活跃一定时间或会话结束后终止网络连接。

6.12采取技术措施，限制网络最大流量数及网络连接数。

6.13采取技术措施，使重要网段能防止地址欺骗。

6.14如有VPN用户，应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户。

6.15如有拨号用户，应限制具有拨号访问权限的用户数量。

6.16采取技术措施，网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等，当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。

6.17采取技术措施，在网络边界处对恶意代码进行检测和清除。

6.18采取技术措施，防止IP地址欺骗。

6.19每天制作设备配置、安全策略等重要数据的备份并异地存放，系统一旦故障时能够快速恢复。备份数据不得更改。

6.20每天定时对防火墙、防毒墙、入侵检测、交换机等设备的软硬件及相关规则库进行更新，并进行记录。

6.21根据网络使用情况，根据不同的网络安全事件的紧急预案，并定期对安全预案进行预演。

七、附 则

(1)本办法由信息技术部负责解释并督促执行。

(2)本办法自印发之日起执行。

(3)违反本管理制度，将提请有关部门视情节给予相应的批评教育、通报批评、行政处分或处以警告、责令停机整顿。触犯国家法律、行政法规的，依照有关法律、行政法规的规定予以处罚；构成犯罪的，依法追究刑事责任。

八、相关记录

1、《网络安全管理记录》