网络安全管理办法

XXXX公司网络安全管理办法第一章总则第一条为保证XXXX公司所属网络的安全、稳定、可靠运行，以及网络承载的各业务系统的正常运行，特制定本办法。第二章组织及职责第二条信息化部门的职责：1.负责所辖范围内网络系统与设备的安全管理。2.制定网络安全防范措施和解决办法。3.实施骨干设备安全防范措施和解决办法。4.负责协调处理网络的安全事件。5.负责所辖范围内骨干网络设备的安全监控。第三条网络安全管理员职责：1.贯彻、落实公司关于网络安全工作的策略、制度；2.参与制定网络安全工作实施细则；3.参与制定实施网络安全策略、安全应急预案和事件处理程序；4.处理日常网络安全类投诉（垃圾邮件、病毒攻击等）；5.定期分析网络安全情况；6.参加网络安全培训和技术交流。第四条网络监控人员职责：1.负责对所辖范围内的安全事件进行监控；2.配合网络系统与设备的安全管理工作；3.配合设备维护人员处理与网络系统与设备相关的安全问题；4.配合网络安全事件的处理。第三章网络访问控制第五条采用技术措施实现内外部网络之间以及内部网不同安全域之间的隔离与访问控制，例如采用防火墙技术或VLAN技术。第六条对网络相关设备的管理应进行用户分级管理及严格的身份鉴别。第七条应采取有效的访问控制手段，保证在认证通过前，用户不能使用网络设备和主机系统提供的服务。第八条对网络设备进行远端配置和管理时，应进行严格的身份认证。用户权限和账号口令的设置和管理应符合《帐号口令管理办法》的相关要求。第四章网络攻击防范第九条履行国家相关部门在防范网络攻击方面的相关法律和规定。第十条使用获得国家计算机信息系统安全专用产品销售许可证的网络攻击防范产品。第十一条网络中的网络设备和应用系统在正常运行阶段，应关闭与业务无关的服务和端口，防止非法访问。第十二条在网络边界以及重要网段处，通过相关安全设备或技术手段，防止非授权信息的通过。第十三条在网络边界以及重要网段处，进行实时网络入侵检测。如果检测到入侵行为，应立即通知相关人员进行处理，同时上报相关主管人员和安全管理人员。第十四条在网络关键节点和部位部署网络漏洞扫描器对整个网络进行安全扫描；对网络中的重要设备进行定期系统漏洞扫描。通过扫描发现和预防可能的破坏活动，发现漏洞应及时报相关设备维护主管人员和安全管理人员并进行进一步处理。第十五条采用有效手段保证网络上敏感信息的传输安全。第五章病毒防范第十六条网络相关设备上禁止安装、运行与业务无关的软件，以防止感染病毒。第十七条网络相关设备需进行实时病毒检测，发现病毒应及时处理，并立即汇报维护主管人员。第十八条重要的主机或网络需进行实时病毒监测，发现病毒立即通知有关部门及时处理。第十九条使用公司指定的防病毒产品，防病毒产品的管理与使用参见《防病毒管理办法》。第二十条网络维护人员应增强病毒防范意识，配合安全管理人员和安全技术人员做好病毒防范工作。第六章审计跟踪第二十一条对网络相关设备的运行、维护、管理应有审计方案（包括审计内容、审计信息分析与处理、审计记录备份等）和记录。第二十二条应对以下事件做审计记录：1.网络设备或服务启动或关闭。2.网络设备或服务配置修改。3.网络连接方式改变。4.登录到网络设备或服务器系统。5.其它异常情况。第二十三条审计记录应包含以下信息：1.用户操作时的用户识别符。2.事件发生的日期和时间。3.事件内容或操作结果。第二十四条网络相关设备、系统软件或应用软件都应具备并打开审计功能。第二十五条应定期对审计记录进行审查和分析，发现异常情况立即汇报相关维护主管人员和安全管理人员。第二十六条网络相关设备和主机的审计记录应符合相应备份原则。第二十七条审计记录不能被未授权用户修改或删除。第七章数据安全第二十八条网络设备的配置信息等重要系统数据的管理应遵循以下原则：1.重要的系统数据应实施严格的安全保密管理。2.对系统数据的操作应经过严格的身份鉴别与权限控制，防止非授权操作。3.应采取有效措施防止系统数据的非法生成、变更、泄漏、丢失与破坏。4.系统数据应根据需要随时进行核对审查，防止使用过程中产生误操作或被非法篡改。5.对重要系统数据应建立相关得备份和恢复策略。具体参见《数据备份与恢复管理办法》。6.对系统数据应实行专人管理。第二十九条对网络中传输的重要数据的管理应遵循以下原则：1.保护网络不被监听。一般的工作人员不能使用网络监听工具如tcpdump，sniffit，snoop，etherfind，wireshark等。2.网络要使用交换设备划分成子网，不使用的网络接口要禁止。3.重要数据在内部网上传输时要考虑加密（如：SSH，IPSec），在公网上传输时必须要加密。第六章标准维护与解释第三十条本管理办法由XXXX信息安全领导小组每年复核一次，在必要时进行修订，并颁发执行。第三十一条本管理办法解释权归XXXX公司。第三十二条本管理办法自下发之日起生效。