网络信息安全防护规范.docxVIP

网络信息安全防护规范

1适用范围

本规范适用于所有接入单位内部网络的员工、外部合作人员、运维服务人员，以及单位所属的服务器、终端设备、网络设备、业务系统、数据资产、云服务资源的全生命周期安全防护管理。涵盖日常办公、业务运维、系统开发、数据流转、应急响应等全场景网络信息安全活动，是单位各部门、各岗位开展网络信息安全工作的强制性执行依据。

2术语与定义

2.1关键信息基础设施：指面向公众提供的政务服务、生产运营、公共服务等一旦遭到破坏、丧失功能或者数据泄露，可能危害国家安全、公共利益的信息系统、网络设施及相关数据资产。

2.2等保2.0：即《网络安全等级保护条例》及配套标准体系，将网络安全保护等级分为五级，其中三级及以上系统需每年开展一次等级测评，二级系统每两年开展一次等级测评。

2.3零信任架构：以“永不信任、始终验证”为核心原则，对所有访问主体的身份、权限、环境、行为进行持续动态校验，不默认信任任何内部或外部网络环境的安全架构。

2.4数据分级：根据数据泄露后的影响程度，将数据分为核心级（泄露后会造成重大经济损失、法律风险或声誉损害，如用户核心隐私、核心算法、财务核心数据）、重要级（泄露后会造成局部业务影响，如业务运营数据、普通用户信息）、一般级（公开可查询的非敏感数据，如对外宣传资料、公开政策文件）三级。

2.5漏洞CVSS评分：通用漏洞评分系统，评分≥9.0为