网络安全管理制度

中国科学院沈阳应用生态研究所前言网络安全是保障中国科学院沈阳应用生态研究所(以下简称沈阳生态所)信息系统安全运行的基础.
为保障沈阳生态所信息系统的安全、稳定运行,特制定本规范.

本制度由信息中心提出.
本制度由信息中心归口.
本制度起草部门:信息中心.
本制度主要起草人:岳倩本制度起草日期:2015/12/05网络安全管理制度范围本制度适用于沈阳生态所信息系统网络安全管理工作.
组织及职责系统管理员职责恪守职业道德,严守企业秘密,熟悉国家安全生产法以及有关信息安全管理的相关规程;负责网络安全设备的安全策略部署、配置及变更管理、内网运行情况、更新和维护等日常工作;对数据网络实行分级授权管理,按照岗位职责授予不同的管理级别和权限;密切注意最新网络攻击行为的发生、发展情况,关注和追踪业界公布的攻击事件;密切关注信息系统安全隐患,及时变更信息安全策略或升级安全设备.
信息安全管理员职责恪守职业道德,严守企业秘密,熟悉国家安全生产法以及有关信息安全管理的相关规程;每周对系统管理员的登录和操作记录进行审计;对系统管理员部署的安全策略、配置和变更内容进行审计;密切注意最新漏洞的发生、发展情况,关注和追踪业界公布的漏洞疫情.

管理员账号和权限管理管理员账号系统管理员和信息安全管理员的用户账号应分开设置,其他人员不得设置账户.
在安全设备上建立用户账号,需要经过本级信息部门安全主管的审批并保留审批记录.

系统管理员权限系统管理员具有设置、修改安全设备策略配置,以及读取和分析检测数据的权限.

信息安全管理员权限信息安全管理员具有读取安全设备日志信息,以及检查安全设备策略配置内容的权限.

管理员身份鉴别管理员身份鉴别可以采用口令方式.
应为用户级和特权级模式设置口令,不能使用缺省口令,确保用户级和特权级模式口令不同.
安全设备口令长度应采用8位以上,由非纯数字或字母组成,并保证每季度至少更换一次.

安全设备的身份鉴别,必要时可以采用数字证书方式.
策略和部署管理制定安全策略系统管理员应依据沈阳生态所管理系统信息安全规划,结合实际需求,制定、配置具体网络安全设备的安全策略,并且进行规范化和文档化;安全设备的策略文档应妥善保存.

对关键的安全设备要采用双机热备或冷备的方式进行部署以减小系统运行的风险.

安全设备统一部署安全设备部署应依据沈阳生态所管理系统的信息安全规划统一部署,保证安全设备的可用性.
安全设备部署的具体实施须经信息管理部门的审批并保留审批记录.

安全网关类设备部署安全网关类设备部署应根据网络安全域的划分情况进行正确部署,满足不同网络安全域之间访问控制的要求.

配置和变更管理配置和变更授权网络安全设备的配置、变更应满足信息系统变更管理的要求,配置和变更前应充分评估对信息系统可能产生的影响,报信息管理部门审批、授权后执行,保留审批记录.

防火墙设备配置防火墙设备配置操作规程要点如下:记录网络环境,定义防火墙网络接口;定义防火墙的网络对象和应用端口;定义安全策略;定义系统管理员和信息安全管理员权限;测试防火墙性能;编写和整理防火墙设备配置文档和技术资料.
VPN设备配置VPN设备配置操作规程要点如下:环境配置,指网络环境的设置,VPN网关的控制台的设置;设置VPN网关的各种网络参数特性,包括网络接口、透明网络、静态路由等;VPN设置,将证书导入VPN网关系统;进行SMC设置,对SMC进行身份认证并下载策略,加载加密算法;添加静态隧道,从SMC中下载与本机有信任关系的主机信息;设置与信任设备之间的隧道各项参数,定义虚拟路由,并进行客户端配置;防火墙设置,包括进行包过滤规则设置和NAT规则设置;服务器设置,包括VPN安全网关提供的DHCP服务器、拨号服务器、L2tp服务器、设置拨号用户、DNS代理和SNMP代理等功能的话设置;带宽管理,对流经网络接口的网络流量预先进行分配管理,保证用户对网络连接带宽的要求.
带宽管理针对所有网络接口进行管理;定义系统管理员和信息安全管理员权限;测试VPN安全网关性能;编写和整理VPN安全网关设备配置文档和技术资料.
代理服务器设备配置代理服务器设备配置操作规程要点如下:环境配置,指网络环境的设置,包括代理服务器对网络参数的设置;代理服务器安全策略设置;客户端的相关设置;定义系统管理员和信息安全管理员权限;性能参数测试,估测网络代理服务器吞吐量、延迟、并发连接数等;编写和整理代理服务器设备配置文档和技术资料.
运行维护管理安全设备的检测和维护安全网关及入侵检测类设备定期检测和维护要求如下:每月安装、更新厂家发布的设备补丁程序,及时修补设备操作系统的漏洞;每周审计一次日志报表;一个月内至少重新启动一次安全网关及入侵检测类设备.
安全设备的监视和记录安全网关及入侵检测类设备运行状况的监视和记录要求如下:系统管理员应定期和不定期地检查设备的运行状况,及时查看日志,对异常情况的发生,及时上报,并保存记录;对安全设备CPU和内存利用率、数据流量、地址翻译数量、报警次数等进行均时的监测、跟踪工作,每周形成报表.

安全设备配置备份和恢复安全设备配置备份和恢复要求如下:定期备份安全设备配置;修改安全设备配置前应对现有配置进行备份,以便修改失败后可快速恢复;跟踪软件及事件库的变更,确保使用当前有效的软件及事件库.
安全设备的审计信息安全管理员定期对网络安全设备的操作记录和内容本身进行审计,保证内容的完全性,保留记录.

安全事件处理和报告防火墙设备发生宕机或入侵检测设备出现告警或工作不正常引起网络拥塞或网络瘫痪等安全事件时,系统管理员应立即启动紧急响应程序,保留相应记录.
对网络进行紧急处理,堵塞攻击入口,恢复网络的正常运行,并追查攻击来源,及时上报,必要的情况下提交公安机关处理.

安全设备的维修安全设备的维修应防止安全设备配置信息的泄漏,送出外修应注意清除安全设备内部存储的安全配置;不允许厂商或服务商通过因特网或其它方式远程登录进行安全设备的维护;厂商或服务商进入现场维护安全设备,须指定专人全程陪同,维修完成后应进行安全检查.

安全数据管理安全设备的数据网络安全设备的安全数据主要包括安全设备对网络和系统检测得到的安全数据,对系统管理员操作的数据,对安全设备进行设置安全策略的配置数据,还有安全设备部署的网络逻辑图、安全策略等文档,应保证数据的完整性.

检测获得数据的管理对于安全设备对网络和系统检测得到的安全数据,对系统管理员操作的数据,系统管理员和信息安全管理员应分别进行备份和保管;任何人不得进行修改,未经主管领导批准任何人不得删除.

系统管理员定期分析安全设备对网络和系统检测得到的安全数据,发现漏洞或隐患应及时报告,并形成分析报告.

获得数据的管理信息安全管理员应定期分析安全设备对系统管理员操作的数据,发现违规问题或隐患应及时报告,并形成分析报告.

配置数据管理系统管理员应及时对安全设备进行设置安全策略(规则)的配置数据进行备份和保存,对安全设备部署的网络逻辑图、安全策略等文档也应进行妥善保管.

存储空间管理系统管理员应经常检查安全设备的存储空间,注意防止安全设备中对网络和系统检测得到的安全数据,以及对系统管理员操作的数据的丢失.

设备选型管理网络安全设备(产品)的使用应符合国家的有关规定,尽量采用具有计算机信息系统安全专用产品销售许可证的信息安全产品,且具有中国信息安全产品测评认证中心认证的信息安全产品.

密码设备选型应符合国家密码主管部门的有关要求,加密算法应得到国家密码主管部门的批准.

沈阳生态所计算机上国际互联网的规定管理系统与互联网实行严格的物理隔离,严禁用处理管理系统秘密信息的计算机上互联网,违者严肃查处.

采取切实措施,加强对计算机的使用管理,上互联网的计算机必须与处理管理系统秘密信息的计算机严格区分,做到专机专用,不得既用于上互联网又用于处理国家秘密信息.

使用物理隔离计算机一机两用的,物理隔离计算机必须采用经国家保密局批准的产品,使用中应严格规范操作,严防由于误操作造成泄密.
在目前尚不能确保安全的情况下,禁止任何单位将网络安全隔离与交换设备(又称网闸)用于涉密信息网络和互联网之间.

加强计算机及网络安全保密知识教育,加强保密形势教育,使涉密人员懂得用涉密计算机上互联网的严重危害性,提高信息安全保密意识,自觉遵守保密纪律和有关保密规定.

切实加强对计算机及网络的保密管理,建立健全规章制度,并严格执行;加强保密技术检查,及时发现违反规定的行为,堵塞泄密漏洞.