国有企业网络安全管理制度.docxVIP

国有企业网络安全管理制度

一、第一章总则

1.1第一条目的与依据

为规范公司网络安全管理工作，防范网络攻击、数据泄露、系统瘫痪等安全事件，保障生产经营连续性，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络安全等级保护基本要求》（GB/T22239）、《关键信息基础设施安全保护条例》及国务院国资委关于国有企业网络安全的有关要求，结合公司实际，制定本制度。

1.2第二条适用范围

本制度适用于公司总部及所属全资、控股子公司全体员工（含正式员工、劳务派遣人员、实习生），以及接入公司网络的第三方承包商、外包运维人员和访客。公司自建、代管或租用的全部信息资产（服务器、终端、网络设备、应用系统、数据资源）均在管理范围内。

1.3第三条基本原则

?分级分域：网络按安全等级划分为生产控制区、办公区、对外服务区、管理区，区间边界部署访问控制策略，未经审批不得跨区访问。

?最小权限：任何账户只授予完成本职工作所需的最小权限，权限随岗位变动即时调整，随离职即时回收。

?谁主管谁负责、谁运营谁负责：业务系统的网络安全责任由系统主管业务部门承担，信息部门承担技术防护与监督职责，不因外包而转移。

?可追溯：所有关键操作（登录、授权、配置变更、数据导出）留存日志，日志保留期不少于6个月（按《网络安全法》要求），核心系统不少于12个