系统防护管控准则.docxVIP

系统防护管控准则

我干系统安全防护相关工作快十年了，见过太多本来完全可以避免的安全事故，说起来都是实打实的教训——有的公司换了三波运维，连自己有多少个应用系统、多少台服务器都理不清，留下一个带高危漏洞的旧插件没人管，最后被黑客钻进去偷了核心客户数据；有的单位员工离职半个月，系统账号还没锁，被别有用心的人拿去删了业务数据，整个部门停摆快一周；还有的朋友觉得“我们就是小公司，不会有人盯着我们”，结果被批量扫漏洞的机器人攻破，主页被篡改不说，还被锁了硬盘要赎金。这些问题说到底，都不是技术不够用，而是没有一套明确可落地的管控准则，大家凭经验干活，总有疏忽的时候。所以这套系统防护管控准则，不是摆出来应付检查的空架子，是踩了无数坑总结出来的实操规则，目的就是帮大家把风险挡在外面，出了问题也能快速处置，不管对系统安全还是对负责干活的同事，都是一层保护。

1总则

1.1编制目的

编制本准则的核心目的，是规范从系统上线、日常运维到下线全生命周期的防护管控工作，明确各个环节的操作标准和责任边界，提前识别并消除大部分常见安全风险，保障系统持续稳定运行，保护系统内的业务数据、用户信息不被泄露、篡改或破坏，同时也给一线从业人员明确的操作依据，避免无规可依导致的疏忽和责任不清。

1.2适用范围

本准则适用于各类企事业单位、组织机构的所有对外服务系统、内部业务系统、核心数据存储系统的防护管控，不管是刚上线