网络安全体系建设方案（2018）
编制：审核：
批准：2018-xx-xx
1 安全体系发布令。
根据《网络安全法》《信息安全等级保护管理办法》的相关规范及指导要求，参照gb/t22080-2008idtiso27001:2005《信息技术-安全技术-信息安全管理体系要求》，为进一步加强公司运营系统及办公系统的安全运行及防护，避免公司核心业务系统及日常办公系统遭受到病毒、木马、黑客攻击等网络安全威胁，防止因网络安全事件（系统中断、数据丢失、敏感信息泄密）导致公司和客户的损失，制定本网络安全体系。
本网络安全体系是公司的法规性文件，是指导公司各部门建立并实施信息安全管理、技术、运行体系的纲领和行动准则，用于贯彻公司的网络安全管理方针、目标，实现网络安全体系有效运行、持续改进，体现公司对社会的承诺，现正式批准发布，自 2023年 xx月 xx 日起实施。
全体员工必须严格按照本网络安全体系的要求，自觉遵循信息安全管理方针，贯彻实施本安全体系的各项要求，努力实现公司信息安全管理方针和目标。
总经理：批准日期：2018-xx-xx
2 安全体系设计。
公司整体安全体系包括安全方针、目标及策略，分为信息安全管理、技术、运行三大体系，通过安全工作管理、统一技术管理、安全运维管理三部分管理工作，实施具体的系统管理、安全管理及审计管理，来达到对计算环境、区域边界、网络通信的安全保障。
2.1 总体策略。
2.1.1 安全方针。
强化意识、规范行为、数据保密、信息完整。
2.1.2 安全目标。
信息网络的硬件、软件及其系统中的数据受到保护，电子文件能够永久保存而不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断。
2.1.3 总体策略。
公司运营环境及运营系统需满足国家行业的规范要求，并实施**等级保护及风险管理；
公司办公环境及办公系统满足通用信息化系统的运行要求，并实施二级等级保护；
公司自主（或外包）研发的网络安全软硬件产品必须符合相关国家标准的强制性要求，由具备资格的机构安全认证合格或者安全检测符合要求后，方可对外销售。
2.1.4 实施原则。
谁主管谁负责、分级保护、技术与管理并重、全员参与、持续改进。
2.2 安全管理体系。
安全管理体系主要涉及组织机构、人员安全、制度标准三个方面的安全需求和控制措施。
2.2.1 组织机构。
分别建立安全管理机构和安全管理岗位的职责文件，对安全管理机构和网络安全负责人的职责进行明确，确定网络安全负责人，落实网络安全保护责任；建立信息发布、变更、审批等流程和制度类文件，增强制度的有效性；建立安全审核和检查的相关制度及报告方式。
目前公司设立了安全管理机构委员会，在岗位、人员、授权、沟通、检查各个环节进行决策、管理和监督，委员会由公司副总经理领导，成员包括各部门分管总监。
2.2.2 人员安全。
对人员的录用、离岗、考核、培训、安全意识教育等方面应通过制度和操作程序进行明确，并对违反信息安全要求的相关人员进行惩罚。
根据可信雇员管理策略对所有人员进行安全背景审查、可信度鉴别和聘用，并签署安全保密协议；对人员离职需要有严格的管理程序，及时取消相应权限、清理物品并完成相关工作交接；将安全管理规范执**况纳入日常绩效考核；定期对全体人员进行网络安全教育、技术培训和技能考核。
2.2.3 制度流程。
按照公司文件管理的有关规定制定、审定、发布、和修订内部安全管理制度和操作规程，管理制度在发布前应经过公司安全委员会审批通过，对制度的评审工作应列入年度信息化安全工作会议。
应建立网络信息安全投诉、举报制度，公布投诉、举报方式等信息，及时受理并处理有关网络信息安全的投诉和举报。
同时为保证制度的严密性和持续性，各制度流程将会根据系统运营实际情况定期或不定期进行修订，修订的审批、发布流程与新增完全相同，将报安全委员会审批通过后实施。
2.3 安全技术体系。
安全技术体系主要包括：物理安全、网络安全、主机安全、终端安全、应用安全、数据安全六个方面的安全需求和控制措施。
2.3.1 物理安全。
1. 电磁屏蔽。
应采用接地方式防止外界电磁干扰和设备寄生耦合干扰；
电源线和通信线缆应隔离铺设，避免互相干扰；
应对关键设备和磁介质实施电磁屏蔽；
2. 物理分层。
机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；
机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁；
机房出入口应安排专人值守，控制、鉴别和记录进入的人员；
需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围；
应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域；
3. 门禁控制。
重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员；
对于核心区的访问需要“刷卡+指纹”才能进入；
4. 入侵报警。
应利用光、电等技术设置机房防盗报警、监控报警系统；
机房内部应部署物理侵入报警系统，在通道处安装红外及微波移动监测感应器，应将入侵报警接入门禁系统，以便实现自动关门设防、开门撤防，若机房有非法物理侵入，将触发入侵报警，通知安全监控室值班人员；
5. **监控。
机房应部署**监控系统，监控机房各个区域，并实时录像保存，对重要区域需采用两个摄像头监控拍摄，防止单点故障，重要区域的录像要求保存一年以上；
6. 电力冗余。
应在机房供电线路上配置稳压器和过电压防护设备；
应提供短期的备用电力**，至少满足主要设备在断电情况下的正常运行要求；
应设置冗余或并行的电力电缆线路为计算机系统供电；
应建立备用供电系统。
2.3.2 网络安全。
1. 结构安全。
应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；
应保证网络各个部分的带宽满足业务高峰期需要；
应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；
应绘制与当前运**况相符的网络拓扑结构图；
应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；
应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；
应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机；
2. 访问控制。
应在网络边界部署访问控制设备，启用访问控制功能；
应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；
应对进出网络的信息内容进行过滤，实现对应用层http、ftp、telnet、smtp、pop3等协议命令级的控制；
应在会话处于非活跃一定时间或会话结束后终止网络连接；
应限制网络最大流量数及网络连接数；
重要网段应采取技术手段防止地址欺骗；
应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；
应限制具有拨号访问权限的用户数量；
3. 入侵防御。
应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、ip碎片攻击和网络蠕虫攻击等；
当检测到攻击行为时，记录攻击源ip、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。
4. 设备防护。
应对登录网络设备的用户进行身份鉴别；
应对网络设备的管理员登录地址进行限制；
网络设备用户的标识应唯一；
主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；
身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换；
应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；
网络安全规划建设方案
1.作业区网络现状。大庆油田采油二厂作业区计算机网络安全存在如下问题 网络病毒泛滥 来自黑客攻击 信息丢失 服务被拒绝等。另外作业区采用的是对等网网络系统，系统漏洞补丁不能自动 分发 安装，使用的是固定ip地址，更容易受到攻击。为此确定了以下几个必须考虑的安全防护要点 采用域管理网络系统方式 由于网...
网络安全方案
1.前言 随着网络应用地日益广泛，各种大型企业或单位也将通过网络与用户及其他相关业系统之间进行交流，提供各种网上地信息服务，但这些网络用户中，不乏竞争对手和恶意破坏者，这些人可能会不断地寻找系统内部网络上地漏洞，企图潜入内部网络。一旦网络被人攻破，机密地数据 资料可能会被盗取 网络可能会被破坏，给系...
网络安全方案
1.课程概述。网络安全解决方案 是计算机网络技术专业学生的专业主干课程，是结合网络专业培养应用型网络人才的目标而开设的，该课程定位于中小企业网络安全管理员的培养。课程根据网络安全管理员的岗位职责来选取内容，在内容选取时还听取了来自企业的专家的意见。课程以网络安全威胁以及采取的安全技术，包括防火墙 入...