信息系统安全保护制度.docxVIP

信息系统安全保护制度

为规范信息系统全生命周期安全管理，保障信息系统及其数据的保密性、完整性和可用性，防范因信息系统安全事件导致的业务中断、数据泄露、系统损毁等风险，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《关键信息基础设施安全保护条例》等法律法规，结合本单位实际业务需求，制定本制度。本制度适用于本单位所有信息系统（含自建系统、外包开发系统、第三方租用系统及移动应用系统）的规划、建设、运行、维护、报废等全流程安全管理，覆盖系统涉及的硬件设备、软件平台、数据资源、网络链路及相关人员。

一、安全责任体系

本单位实行信息系统安全分级责任制度，明确决策层、管理层、执行层及使用层的安全职责，确保责任可追溯、可落实。

决策层（单位主要负责人及领导班子）负责审定信息系统安全战略规划、重大安全投入及应急预案，定期听取安全工作汇报，研究解决安全重大问题，对信息系统整体安全负领导责任。

管理层（信息安全管理委员会）由分管信息化工作的负责人牵头，成员包括信息技术部门、业务部门、法务部门、审计部门负责人，负责统筹协调安全制度制定、安全策略审批、安全事件决策，监督安全措施落实，每季度至少召开一次安全专题会议，分析安全形势并部署重点工作。

执行层（信息技术部门）设立专职信息安全岗位（可设信息安全主管、安全运维工程师、安全审计员等），具体负责信息系统安全技术防护、安全事件处置、安全监测预警、安全培训实施等工作，定期向管理层提交安全风险评估报告。安全运维工程师与系统管理员岗位需分离，禁止一人兼任；安全审计员独立于运维团队，负责监督运维操作合规性。

使用层（各业务部门及全体员工）需严格遵守信息系统使用规范，不得越权访问、泄露系统账号、传播敏感数据；业务部门负责人对本部门使用的信息系统及数据安全负直接管理责任，需配合完成系统权限审核、数据分类分级、安全培训组织等工作。

二、技术防护要求

信息系统需采取多层级、多维度的技术防护措施，构建“边界防御-终端管控-数据保护-监测审计”的立体防护体系。

1.访问控制管理

所有信息系统需启用身份认证功能，默认关闭匿名访问权限。用户账号实行“一人一账号”原则，禁止共享账号；账号权限遵循“最小必要”原则，根据岗位职责分配功能权限和数据访问权限，权限开通需经业务部门负责人审批，权限调整需重新履行审批流程。

重要系统（如财务系统、客户信息管理系统）需采用多因素认证（MFA），认证方式包括但不限于动态令牌、短信验证码、生物识别（指纹/人脸）；登录失败超过5次自动锁定账号，锁定时间不低于30分钟，解锁需通过安全运维工程师人工审核。

系统管理员、数据库管理员等特权账号需单独管理，设置长度不低于12位、包含大小写字母+数字+特殊符号的复杂密码，每90天强制更换；特权账号操作需记录完整日志（含操作时间、操作人、操作内容、操作结果），并由安全审计员每周核查一次。

2.数据安全保护

数据分类分级管理：按照《数据分类分级指南》，将数据分为“公开级”“内部级”“敏感级”“绝密级”，明确各级数据的定义、访问权限、传输存储要求。敏感级及以上数据需加密存储，加密算法采用国密SM4或AES-256，密钥由安全运维工程师与密钥管理员双人保管，密钥变更周期不超过1年。

数据传输安全：跨网传输（如互联网与内网、不同业务子网之间）需通过VPN通道或加密隧道（TLS1.2及以上协议），禁止明文传输敏感数据；外部接口调用需进行身份鉴权和流量控制，限制单位时间内请求次数，防止接口滥用。

数据备份与恢复：重要系统数据需每日增量备份、每周全量备份，备份介质采用“本地+异地”双备份模式（异地备份存储于独立机房或第三方可信存储平台），备份数据每季度进行恢复测试，确保可用性；备份数据访问需经信息安全主管审批，禁止随意导出或删除。

3.网络边界防护

信息系统所在网络与互联网、其他外部网络之间需部署防火墙，根据业务需求设置严格的访问控制策略（ACL），仅开放必要的端口和协议（如HTTP/80、HTTPS/443），禁止开放高危端口（如Telnet/23、FTP/21未加密版本）。

核心业务区（如数据库区、应用服务区）与办公区、互联网区之间需部署网闸或单向传输设备，阻断双向直接连接；无线网络（Wi-Fi）需独立于核心业务网络，采用WPA3加密，设置单独的SSID和强密码，禁止连接核心业务系统。

4.入侵检测与监测

部署入侵检测系统（IDS）和入侵防御系统（IPS），实时监测网络流量、系统日志及用户行为，对异常访问（如高频次登录尝试、大文件异常下载）、恶意代码（如病毒、木马）、漏洞利用（如SQL注入、XSS攻击）等行为进行预警。安全运维工程师需每日查看监测日志，对中高危警报2小时内