网络安全管理办法-.docVIP

蓝黛科技集团股份有限公司

文件编号

管理文件

页数

IT服务管理办法

版本号

A/0

内部公开

网络安全管理办法

主责部门：信息管理部

编制：年月日

审核：年月日

审查：年月日

批准：年月日

实施日期：2024年9月14日

文件编号

版本号

A/0

收发管理号

受控状态（盖章）

有限公司

文件编号

管理文件

页数

第

第PAGE3页共7页

网络安全管理办法

版本号

A/0

有限公司

文件编号

管理文件

页数

第

第PAGE3页共3页

网络安全管理办法

版本号

A/0

文件版本号

修改内容说明

修改处数

修改人

生效日期

1目的

规范网络和系统安全管理活动，保障网络和系统在使用过程中的安全性。

2适用范围

适用于公司物理范围内的网络和系统建设、使用、运维等各个阶段的安全管理。

3术语和定义

网络安全（CyberSecurity）：指网络系统的\t/item/%E7%BD%91%E7%BB%9C%E5%AE%89%E5%85%A8/_blank硬件、\t/item/%E7%BD%91%E7%BB%9C%E5%AE%89%E5%85%A8/_blank软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，\t/item/%E7%BD%91%E7%BB%9C%E5%AE%89%E5%85%A8/_blank网络服务不中断。

4职责、权限与资格

4.1信息管理部：负责公司物理范围内的网络和系统建设、使用、运维等各个阶段的总体安全管理并督促检查各相关部门执行。

4.2各部门：负责执行相关的网络和系统建设、使用、运维等各个阶段的安全管理要求。

5实施流程及方法

5.1公司信息系统网络安全控制措施包括：

1)实施有效的网络安全策略；

2)防火墙等安全配置管理；

3)网络设备的定期维护；

4)对用户访问网络实施授权管理；

5)对网络设备和系统的变更进行严格控制；

6)对网络的运行情况进行监控；

7)对网络服务的管理。

5.1.1网络安全的通用策略如下：

a)公司网络管理员负责信息网络和系统安全，审核系统日志。系统日志的记录内容和保存期限应符合《信息系统监控管理办法》。

b)网络管理员负责公司网络设备的配置和内部的IP地址管理。

c)网络管理员应编制《网络拓扑图》，描述网络结构并表示网络的各组成部分之间在逻辑上和物理上的相互连接。

d)网络管理员应根据需要增加、修改或删除网络过滤策略，以符合数据传送的保密性、可用性、使用最小化规则。

e)任何个人不得擅自修改网络资源配置、网络权限和网络安全等级。

5.1.2防火墙设备安全配置策略如下：

a)除内部向外部提供的服务外，其他任何从外部向内部发起的连接请求必须通过“IT系统权限申请流程”，经本部门领导和信息部领导批准。

b)除内部向外部提供的服务相关部分外，内部向外部的访问需通过OA“账户权限申请”，经本部门领导和信息领导批准。

c)对设备的管理控制不对外提供。

d)防火墙的策略设定，应以保证正常通信为前提，在不影响通信质量的前提下，对指定的需要禁止的通信类型进行相应的禁止设定。

e)防火墙的设定应保证各个连接设备的兼容性，并考虑冗余和容错。

f)防火墙ACL设定：依照连接对象及网络协议相关事宜制定ACL加以过滤；依据防火墙负载程度，将可能造成网络系统无法运作的通讯端口，制定访问控制清单加以过滤。

5.1.3网络交换机安全配置策略：

a)网络交换机安全配置策略应考虑和周边网络设备的连接的兼容性、安全性、可靠性和可变性；

b)网络交换机安全配置策略应尽量减少不必要的限定以保证合理的通信能力。

c)公司网络默认划分为生产网、办公网、监控网，各个网络之间采用VLAN进行隔离，具体划分详见《VLAN分段规划表》。

d）开发测试网络必须与生产网络隔离。

e)逻辑隔离的网络区域间实施缺省拒绝的访问控制策略，合理设置访问控制规则，只允许访问指定网络。

f)各接入用户应在授权的网络区域内工作，跨越权限使用网络的，网络管理员应提出警告。

5.1.4上网行为控制策略：

流