信息安全管理体系网络安全管理制度

第一章 总则 1第二章 管理职责 1第三章 网络架构安全 1第四章 网络配置安全 2第五章 网络运维安全 4第六章 附则 6总则为了加强集团网络安全管理工作,保障集团信息系统网络在安全、可控状态下运行，建立健全信息系统相关网络操作手册，提高网络通信质量，优化网络结构，特制定本制度。本制度的目的是对集团业务相关网络架构安全设计、网络安全策略的制定、网络设备的安全配置、网络运维安全进行统一规范和管理。管理职责网络运营中心是集团信息系统网络的管理维护部门，其中网络安全工程师、网络工程师负责集团信息系统网络的具体安全管理工作。网络安全工程师负责业务相关安全设备操作手册制定以及配置维护、更新，梳理业务系统访问关系，制定访问控制规则，负责定期检查安全设备的日志，及时发现攻击事件，排除安全隐患。网络工程师负责网络基础架构、业务平台相关网络的方案设计、实施、优化，负责业务相关网络设备操作手册制定以及配置维护、更新，负责堡垒主机的账号权限管理，负责业务相关网络的监控、维护和故障处理，负责定期检查网络设备日志，排除安全隐患。网络架构安全集团业务相关网络/安全设备应满足业务高峰的流量需求，网络/安全工程师应能够明确核心和边界设备的承载能力。核心设备应满足冗余备份，不能出现单点故障问题，并明确备份方式是热备还是冷备。网络/安全工程师应明确业务终端与业务服务器之间的访问路径、路由选择，并根据业务需求进行路由优化、更新。网络边界应部署具有网络访问控制功能的设备，如防火墙设备，并配置适当的访问控制规则。避免将重要网段部署在网络边界处且直接连接互联网，重要网段与其他网段之间须采取可靠的技术隔离手段。网络工程师应绘制与实际网络结构相符的网络拓扑图，网络拓扑图要求详细准确，并且要根据网络结构的变化实时更新。网络工程师应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段。网络工程师应根据各业务系统的重要程度顺序来指定带宽分配优先级别，保证在网络发生拥堵时能够优先保障重要业务系统稳定运行。应建立统一的日志服务器，实时收集网络/安全设备的日志信息，保障审计记录不会被删除、修改或覆盖，并且可以根据审计记录进行分析，生成审计报告。应建立网络准入准出控制机制，如采用终端管理软件对非授权设备接入内部网络进行定位阻断，并且可以对内部设备非法连接互联网行为进行定位阻断。应在网络边界建立入侵防范机制，能够在网络边界处监控并记录端口扫描等攻击行为，并提供报警功能。应在网络边界部署防恶意代码防范设备，如防毒墙，并且要及时更新恶意代码库。网络配置安全网络/安全设备应启用访问控制功能，网络安全工程师根据业务系统访问需求制定访问控制规则，访问控制粒度应达到端口级别。网络工程师通过堡垒主机限制用户可以访问的系统资源，控制粒度为单个用户。交换机应启用重要网段IP/MAC绑定功能，以防止ARP攻击。安全设备应启用对进出网络的信息内容过滤功能，实现对应用层HTTP、FTP、TELNET、SMTP、POP等协议命令级的控制。流量控制设备应启用根据IP地址、端口、协议来限制应用数据流的最大流量功能，或者通过在防火墙设备启用根据IP地址限制网络连接数功能，保障业务应用带宽不被占用。防火墙设备应启用会话超时退出机制，当会话处于非活跃状态一段时间如100s时，终止会话连接，并释放资源，防止拒绝服务攻击发送大量无效连接。应基于遵循最小授权原则，根据用户需求不同建立满足其所需最小权限的网络/安全设备账户，特权用户权限应该分离，防止出现管理员账号共用的情况，重要网络/安全设备应采用两种组合鉴别技术来进行身份认证。网络/安全设备账号申请详见《信息系统安全运维管理制度》。网络/安全设备口令应满足复杂度要求，口令最小长度为8位，至少含有大写字母、小写字母、数字和特殊符号中的三种，并保证三个月修改一次密码。网络/安全设备应启用维护管理IP地址限制机制，限制管理员的维护登录地址，防止恶意用户随意连接网络/安全设备。网络/安全设备远程管理应采用加密协议，如SSH、HTTPS等，防止鉴别信息在传输过程中被监听截获，保证数据传输的保密性和完整性。网络/安全设备应启用登录失败处理功能，限制非法登录5次锁定该账号5分钟。网络/安全设备应启用登录超时退出机制，当网络登录连接超过3分钟无操作时自动退出连接。网络/安全设备应按照最小化服务原则，仅开启所需的服务，关闭不需要服务，防止开启危险服务为设备带来不必要的风险。网络/安全设备应开启日志记录，能够记录设备运行状况、网络流量、用户行为等，记录应包括：事件的日期和时间、用户、事件类型、事件是否成功等信息。堡垒主机应开启用户操作审计，记录用户的操作内容。日志应至少保存1个月，重要设备日志应至少保存半年。安全设备应启用防范DOS/DDOS攻击的功能。网络运维安全网络工程师应对网络的运行情况进行监控，一旦发现网络故障，及时上报网络运营中心，并尽快解决问题，恢复网络畅通。各业务部门人员在工作过程中发现网络故障，也应及时通知网络运营中心技术人员解决问题。所有的网络故障都应进行记录，根据记录结果查找原因形成分析结果，记录表详见《信息系统安全事件管理制度》。网络/安全工程师应建立详细的网络/安全设备操作手册，人员在操作设备时应严格按照操作手册进行，避免误操作影响网络的正常运行。网络安全工程师应根据集团业务系统访问关系制定相应的安全策略，定期梳理安全策略，保证安全策略的有效性。应严格遵守内外网隔离的原则，所有接入集团内部网络的终端设备必须符合集团接入终端的安全管理要求，安装指定的防病毒软件和准入管理软件，对于不符合要求的终端设备禁止其接入；禁止任何部门和个人私自安装、搭设各种网络设备连接互联网，一经发现立即断开其网络连接，并上报集团领导。严格遵守网络变更管理，网络/安全工程师在调整网络配置参数前，应书面请示部门领导，变更信息应做好记录。实施有可能影响网络正常运行的重大网络变更，应提前通知所有使用部门并安排在节假日进行，同时做好配置参数的备份和应急恢复准备，网络变更流程参见《信息系统变更安全管理制度》。网络/安全工程师对机房网络/安全设备进行远程维护都要经过堡垒机进行连接，并通过堡垒机限制登录用户的操作权限，对登录用户进行操作审计。网络安全工程师应实时关注重要网络/安全设备OS版本的安全问题，如发现使用的OS版本存在严重安全漏洞时，应邀请设备厂商对该OS版本进行补丁升级，升级前做好备份、测试工作。如设备厂商发布新OS版本，技术人员确认是否有必要升级新版本，如有必要升级，应邀请设备厂商进行版本升级，升级前做好备份、测试工作。OS补丁、版本变更流程参见《信息系统变更安全管理制度》。网络/安全工程师应定期对网络/安全设备开启的服务进行梳理，关闭非必须的服务。定期对设备配置信息进行备份，防止设备出现故障无法及时恢复配置信息。网络安全工作主要内容包括：集团信息安全管理体系的建设、实施；集团日常信息安全的检查审计；集团新上线业务的安全检测；集团突发信息安全事件的应急响应；集团信息安全第三方服务项目的配合、监督；集团人员信息安全的培训教育；集团信息安全相关审计报告的编写；集团信息安全相关报告、记录的整理归档。网络安全工作具体内容如下：编写制定集团信息安全管理制度、安全配置规范、安全工作流程以及安全工作记录表单，经讨论通过后装订成册，下发集团各相关业务部门执行；日常的网络设备、安全设备、服务器操作系统、数据库、存储设备、应用中间件安全检查、日志审计以及漏洞扫描，提交周安全报告，与网络运营中心及技术中心相关部门沟通确认后进行整改，监督整改进度；日常的业务系统的安全检查，主要包括对业务系统进行应用漏洞扫描，渗透测试，提交周安全报告，与技术中心沟通确认后进行整改，监督整改进度。检测集团新上线业务系统的安全，对业务系统进行应用漏洞扫描，渗透测试及代码审计，出具安全检测报告，符合上线要求则由网络运营中心提供基础环境予以上线，不符合上线要求则由技术中心进行整改，监督整改进度；及时对集团突发的信息安全事件进行应急响应，配合相关技术人员分析事件原因，制定处理方案。事件处理完成后详细记录处理过程，加强防范措施，监督整改进度；配合第三方安全服务公司的评估项目实施，监督实施过程，审核实施报告（如风险评估报告、漏洞扫描报告、渗透测试报告），监督整改进度。第三方项目人员的安全管理详见《第三方人员安全管理制度》；定期开展针对业务相关人员的安全意识、安全操作流程培训教育，提高员工的安全意识水平，保障集团业务系统安全；