这篇已经合并了。它和另外几份同类的制度合到了一起按「测评时查什么、执行时卡在哪」重写了落地要点建议直接看合并版网络安全管理制度模板包二系统与设备、访问控制、终端与日志审计。本页保留作为单独检索入口正文内容与原来一致不影响你对照使用。网络安全管理总纲制度三网络访问控制与权限安全管理制度1 目的为落实公司《网络安全管理总纲制度》要求建立全维度网络访问控制体系规范网络访问入口管控、账号全生命周期管理、权限分配与使用、远程访问及第三方接入等行为防范非法接入、越权访问、账号泄露、数据窃取等安全风险保障公司网络边界安全、内部资源访问合规可控确保业务系统与数据资产安全稳定运行特编制本制度。2 范围2.1 适用主体本制度适用于公司各部门、分支机构、全体员工以及所有接入公司网络、访问公司信息资源的合作方、外包人员、第三方供应商等相关主体所有相关单位及人员均需严格遵守本制度规定自觉履行安全责任。2.2 管控范围本制度覆盖公司所有网络访问行为与权限管控全流程管控范围包括但不限于公司网络边界、安全域间、内外网之间的访问控制策略管理终端接入公司网络的准入控制管理所有信息系统、网络设备、服务器的账号与权限全生命周期管理远程访问、VPN接入、跨网访问等非本地访问行为管理第三方人员、外部设备接入公司网络的访问管控所有访问行为的审计、监测与违规处置管理。3 规范性引用文件下列文件为本制度的引用文件及支持性文件若相关文件更新按最新版本执行《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络安全等级保护条例》《信息安全技术 网络安全等级保护基本要求》GB/T 22239《信息安全技术 访问控制技术指南》GB/T 311674 术语和定义访问控制指通过技术与管理手段对主体访问客体的行为进行管控仅允许授权主体在授权范围内执行访问操作拒绝非授权访问的安全机制。最小权限原则指仅为账号、用户、设备分配完成其工作所必需的最小访问权限默认拒绝所有非必要的访问请求从源头降低安全风险。三权分立指将系统管理权限、安全管理权限、审计管理权限相互分离分别由不同角色持有避免单一账号具备全量权限实现权限制衡与相互监督。账号生命周期指账号从申请创建、权限分配、使用运维、变更调整直至回收注销的完整管理流程。终端准入指对申请接入公司网络的终端设备进行合规性校验仅符合安全要求的终端方可获得网络访问权限的管控机制。安全域指公司根据业务属性、数据敏感等级、防护需求划分的网络逻辑区域不同安全域之间实行严格的访问控制策略。特权账号指具备系统最高管理权限、可对设备、系统、数据进行核心配置与操作的账号包括但不限于系统超级管理员、数据库管理员账号等。5 管理职责5.1 归口管理部门公司信息安全管理部门为本制度的归口管理部门全面负责本制度的 落地实施 与监督管控具体职责如下负责本制度的制定、修订、解释、宣贯工作确保制度内容贴合公司实际及合规要求负责统筹制定公司网络访问控制整体策略、权限管控标准、账号管理规范审批核心访问策略与特权账号权限负责组织开展访问行为审计、权限合规性检查、专项风险评估排查非法访问、越权操作等安全隐患负责监督违规访问事件的应急处置、溯源分析与责任认定跟踪整改落实情况负责终端准入系统、访问控制设备、审计平台的策略配置与安全管控。5.2 运维管理部门公司IT基础设施管理部门、系统运维部门为本制度的直接执行部门是访问控制策略落地与账号运维的责任主体具体职责如下落实本制度各项要求制定访问控制策略运维规范、账号操作细则与应急预案负责网络边界访问控制设备、防火墙、ACL策略、终端准入系统的日常运维、配置变更与策略优化填写附件3《访问控制策略变更审批单》负责公司信息系统、网络设备、服务器的账号创建、权限配置、变更调整、注销回收的具体执行留存全流程操作记录配合信息安全管理部门开展访问行为审计、风险排查与应急处置负责日常访问告警的处置与闭环负责对运维人员、第三方人员的访问操作进行全程监督与审计。5.3 业务与使用部门各业务部门、资源使用部门为本部门人员 访问权限 与访问行为的管理责任主体具体职责如下负责本部门人员账号与访问权限的申请、复核确保权限申请符合最小权限原则填写附件1《账号权限申请审批单》规范本部门人员的网络访问行为开展内部安全宣贯杜绝违规访问、账号共享、越权操作等行为人员岗位变动、离职时同步提交权限变更、账号注销申请填写附件2《账号权限变更/注销审批单》及时上报本部门发现的非法访问、账号异常、权限违规等安全事件配合开展应急处置与安全检查。5.4 第三方主体责任接入公司网络、访问公司资源的供应商、外包人员、合作方等第三方主体必须严格遵守本制度规定签订保密协议与安全承诺书明确访问范围与操作规范仅在审批范围内开展访问操作对自身访问行为与接入设备的安全负责若因违规操作造成安全风险或公司损失需承担全部相应责任情节严重的移交司法机关处理。6 管理内容6.1 访问控制总体原则默认拒绝原则所有网络访问、跨域访问、系统访问均遵循“白名单允许、默认拒绝”原则仅开放业务必需的访问通道与权限关闭所有非必要端口、协议与访问路径。最小权限原则所有账号、设备、用户的访问权限均按“完成工作必需的最小范围”配置严禁超范围、超权限分配访问权限。纵深防御原则构建“边界防护-区域隔离-终端准入-系统管控-权限审计”的多层访问控制体系实现全链路访问行为管控。全程可追溯原则所有网络访问行为、权限操作、账号变更均需开启全流程审计确保操作行为可追溯、可核查、可定责。谁申请谁负责、谁审批谁担责原则权限申请人对申请内容的真实性与使用行为负责审批人对权限分配的合理性与合规性承担审批责任。安全域隔离原则严格遵循公司网络安全域划分规范不同安全等级的区域之间实行严格的访问控制低安全等级区域默认禁止访问高安全等级区域。6.2 网络边界与域间访问控制公司互联网出口、内外网边界、不同安全域边界必须通过防火墙、WAF、IDS/IPS等访问控制设备实现管控所有跨边界访问流量必须经过安全设备过滤与审计严禁绕开边界防护设备的直连访问。边界访问控制策略必须严格遵循白名单机制仅开放业务必需的IP、端口与协议定期每季度对访问策略进行梳理审计清理冗余、过期、不合规的策略填写附件6《访问控制策略审计记录表》。核心业务系统、敏感数据存储区域必须部署在高安全等级内网区域严禁直接暴露在公网确需对外提供服务的系统必须部署在DMZ区通过反向代理、端口映射等方式实现访问严禁内网地址直接对公网暴露。不同安全域之间的访问必须严格限制访问方向与访问范围生产网与办公网、工控网与办公网之间必须实现单向访问控制默认禁止办公终端直接访问生产核心区域。严禁私自修改边界访问控制策略、防火墙规则、路由配置所有策略变更必须履行审批流程填写附件3《访问控制策略变更审批单》经审批通过后方可实施变更全程留痕审计。6.3 终端准入访问控制所有终端设备办公电脑、笔记本、移动终端、工控终端等接入公司网络必须通过公司终端准入系统的合规性校验仅通过校验的终端方可获得相应的网络访问权限未通过校验的终端将被隔离至修复区禁止访问公司内网资源。终端准入合规性校验标准包括安装公司指定的正版终端安全软件、系统补丁更新至合规版本、开机密码符合强密码策略、无违规软件、无恶意程序、未开启非法代理等。严禁任何部门与个人私自将未通过准入校验的终端、外部设备接入公司网络严禁私接无线路由器、随身WiFi、交换机等网络设备严禁通过代理、隧道等方式绕开终端准入管控。外来访客终端需接入公司网络的必须申请临时访客权限填写附件4《远程/访客/第三方接入申请审批单》仅开放互联网访问权限默认禁止访问公司内网资源特殊情况需访问内网的必须经专项审批限定访问范围与有效期。运维管理部门定期开展全网终端接入扫描发现非法接入、私接设备、绕开准入管控的行为立即阻断网络连接同步上报信息安全管理部门追责。6.4 账号与权限全生命周期管理6.4.1 账号分类与管控要求公司所有系统、设备的账号实行分类分级管控分为特权账号系统管理员、数据库管理员等、普通用户账号、临时账号、第三方账号、审计账号五大类不同类别账号实行差异化管控。所有账号必须实行一人一号、实名化管理严禁共享账号、公用账号、匿名账号严禁将个人账号转借、租赁给他人使用账号持有人对账号的使用行为与安全负全部责任。所有系统必须严格执行三权分立原则实现系统管理员、安全管理员、审计管理员权限分离严禁单一账号同时具备管理、安全、审计权限避免权限过度集中。特权账号实行专项管控仅为必需岗位分配使用必须提前申请审批操作全程录屏审计密码实行专人保管、定期更换核心系统特权账号必须启用双因素认证禁止特权账号直接用于日常业务操作。6.4.2 账号创建与权限分配所有账号创建与权限分配必须履行审批流程由使用人提交申请填写附件1《账号权限申请审批单》明确申请账号的系统、权限范围、使用期限、申请事由经部门负责人、信息安全管理部门审批通过后由运维部门统一创建。权限分配必须严格遵循最小权限原则仅分配申请范围内必需的操作权限严禁超范围分配管理权限、跨业务权限临时账号、第三方账号必须设置明确的有效期最长不超过3个月到期自动注销。账号创建完成后必须配置强密码策略密码长度不少于8位包含大小写字母、数字、特殊符号严禁使用弱密码、默认密码核心系统、特权账号密码长度不少于12位启用双因素认证密码每90天强制更换禁止重复使用历史密码。账号创建完成后运维部门需将账号信息同步更新至公司账号管理台账填写附件7《账号权限管理台账》确保账实相符、信息完整。6.4.3 账号使用与权限变更账号使用人必须妥善保管账号密码严禁明文存储密码、将密码告知他人发现账号异常登录、密码泄露、权限异常时必须立即修改密码并上报信息安全管理部门与运维部门处置。连续90天未登录的闲置账号运维部门将予以锁定连续180天未登录的僵尸账号将直接注销如需重新使用需重新履行审批流程。人员岗位调整、工作职责变更时必须同步提交权限变更申请填写附件2《账号权限变更/注销审批单》回收原有岗位权限分配新岗位必需的最小权限严禁权限“只增不减”。账号权限变更必须履行审批流程严禁未经审批私自调整账号权限、越权操作所有权限变更操作必须全程审计留存操作记录。6.4.4 账号注销与回收人员离职、项目结束、第三方合作终止时必须立即提交账号注销申请填写附件2《账号权限变更/注销审批单》在离职/合作终止前完成所有相关账号的注销、权限回收、访问通道关闭严禁留存闲置账号。账号注销前必须完成相关业务数据、配置文件的交接与备份注销后同步更新账号管理台账确保账号无法再登录访问公司资源。临时账号到期前2个工作日运维部门需提醒使用人到期后立即注销账号与相关权限确需延期的需重新履行审批流程。6.4.5 权限定期复审公司每季度开展一次全量账号与权限合规性复审重点核查特权账号、第三方账号、临时账号的权限合理性清理冗余权限、闲置账号填写附件5《账号权限复审记录表》。复审过程中发现的超权限、不合规账号立即予以权限回收或账号锁定限期整改对相关责任人进行追责。6.5 远程访问安全管控公司核心业务系统、生产服务器、内网核心资源严禁直接通过公网远程访问所有远程访问必须通过公司指定的加密VPN通道、堡垒机进行严禁私自开启远程访问端口、搭建远程访问通道。所有远程访问必须提前履行审批流程填写附件4《远程/访客/第三方接入申请审批单》明确访问人、访问对象、访问范围、访问时间、访问事由经部门负责人、信息安全管理部门审批通过后方可开通。远程访问必须启用双因素认证严格遵循最小权限原则仅开放审批范围内的访问权限限定访问IP与访问时间非工作时间默认关闭远程访问通道。所有远程访问操作必须全程录屏审计日志留存期限不少于6个月核心系统远程操作日志留存不少于12个月严禁删除、篡改远程访问审计日志。远程访问操作完成后使用人必须立即断开访问连接运维部门同步关闭临时访问通道严禁长期开放非必要的远程访问权限。第三方人员需远程访问公司资源的除履行审批流程外必须有我方运维人员全程陪同监督仅分配临时最小权限操作完成后立即注销账号、关闭访问通道。6.6 第三方接入访问管控第三方人员、设备需接入公司网络的必须先与公司签订保密协议与安全承诺书明确安全责任与违规处罚条款未签订相关协议的严禁接入。第三方接入必须履行专项审批流程填写附件4《远程/访客/第三方接入申请审批单》明确接入主体、接入设备、接入方式、访问范围、接入期限、安全责任经业务部门、运维部门、信息安全管理部门审批通过后方可接入。第三方接入设备必须经过安全检测安装指定安全软件通过终端准入合规性校验后方可接入接入后划入独立的第三方专用安全域与公司核心业务区域严格隔离仅开放审批范围内的访问权限。第三方接入期限到期后立即断开网络连接注销相关账号与访问权限同步更新接入台账确需延期的需提前重新履行审批流程。严禁第三方人员私自接入公司网络、扩大访问范围、扫描探测公司网络架构、复制泄露公司数据一经发现立即阻断接入追究相关责任情节严重的移交司法机关处理。6.7 访问行为审计与违规处置公司构建全网访问行为审计体系通过日志审计平台、SIEM系统、堡垒机等设备对所有网络访问、账号登录、权限操作、跨域访问行为进行7×24小时全量采集与监测实时识别异常访问、暴力破解、越权操作等违规行为。所有访问审计日志必须完整留存普通访问日志留存期限不少于6个月核心系统、特权账号、等保合规系统的访问日志留存期限不少于12个月法律法规有更高要求的从其规定严禁篡改、删除、伪造审计日志确保日志的真实性、完整性与不可篡改性。信息安全管理部门定期开展访问行为专项审计每周对特权账号操作、远程访问、跨域访问行为进行审计每月对全量访问行为进行合规性分析发现违规行为立即处置形成审计报告。发现非法接入、暴力破解、账号泄露、越权访问、违规操作等安全事件时立即启动应急处置流程采取账号锁定、访问阻断、连接断开、溯源分析等措施防止事态扩大同步上报公司负责人与监管部门。对于违反本制度规定的部门与个人公司将视情节轻重给予通报批评、经济处罚、岗位调整等处分造成重大安全事件、数据泄露、监管处罚的依法追究相关责任构成违法犯罪的移交司法机关处理。6.8 应急处置发现以下安全事件时相关人员必须第一时间上报信息安全管理部门非法接入公司网络、绕开访问控制设备直连内网的行为账号异常登录、密码泄露、特权账号被非法盗用或滥用越权访问、违规操作核心系统、窃取或篡改公司敏感数据远程访问、第三方接入出现异常或未经审批私自开启访问通道访问控制策略被非法篡改、防火墙等安全设备异常离线或被攻击其他可能影响公司网络安全、数据安全的访问相关安全事件。应急责任界定相关部门及人员需积极配合应急处置工作拒不配合、推诿扯皮导致事件扩大的加重追责因未履行上报义务造成重大损失的依法追究相关人员责任。7 记录控制一览表序号记录编号记录名称使用部门归档部门保存地点保存期限1AB-T200-003-F01账号权限申请审批单各业务部门、运维部门信息安全管理部门公司文档管理系统3年2AB-T200-003-F02账号权限变更/注销审批单各业务部门、运维部门信息安全管理部门公司文档管理系统3年3AB-T200-003-F03访问控制策略变更审批单运维部门信息安全管理部门公司文档管理系统3年4AB-T200-003-F04远程/访客/第三方接入申请审批单各业务部门、运维部门信息安全管理部门公司文档管理系统3年5AB-T200-003-F05账号权限复审记录表信息安全管理部门、运维部门信息安全管理部门公司文档管理系统3年6AB-T200-003-F06访问控制策略审计记录表信息安全管理部门、运维部门信息安全管理部门公司文档管理系统3年7AB-T200-003-F07账号权限管理台账运维部门信息安全管理部门公司文档管理系统账号全生命周期3年8 附录附件1《账号权限申请审批单》AB-T200-003-F01申请事项□ 新账号创建 □ 权限新增 □ 临时账号申请申请日期年 月 日申请人所属部门岗位联系方式有效期□ 长期 □ 临时自 年 月 日 至 年 月 日申请系统/设备名称IP/部署位置申请事由申请权限详情系统模块/操作范围/权限类型部门负责人审批意见签字 日期运维部门审核意见签字 日期信息安全管理部门审批意见签字 日期账号创建/权限配置结果□ 已完成 □ 未完成原因 操作人 日期申请人签收确认签字 日期附件2《账号权限变更/注销审批单》AB-T200-003-F02申请事项□ 权限变更 □ 账号锁定 □ 账号注销 □ 密码重置申请日期年 月 日申请人所属部门岗位账号持有人账号持有人所属部门岗位涉及系统/设备名称账号名称申请事由变更/注销详情部门负责人审批意见签字 日期运维部门审核意见签字 日期信息安全管理部门审批意见签字 日期操作执行结果□ 已完成 □ 未完成原因 操作人 日期备注附件3《访问控制策略变更审批单》AB-T200-003-F03申请人所属部门申请日期年 月 日变更涉及设备□ 防火墙 □ WAF □ 路由器 □ 负载均衡 □ 其他设备名称/IP变更类型□ 新增策略 □ 修改策略 □ 删除策略 □ 临时策略变更有效期□ 长期 □ 临时自 年 月 日 至 年 月 日变更原因变更前策略详情变更后策略详情风险评估□ 低风险 □ 中风险 □ 高风险 评估说明运维部门审核意见签字 日期信息安全管理部门审批意见签字 日期分管领导审批意见签字 日期策略变更执行结果□ 已完成 □ 未完成原因 操作人 日期 操作日志编号变更后测试结果□ 正常 □ 异常异常说明 测试人 日期备注附件4《远程/访客/第三方接入申请审批单》AB-T200-003-F04申请事项□ 远程访问 □ 访客接入 □ 第三方接入 □ 接入延期申请日期年 月 日申请人所属部门接入主体□ 公司员工 □ 外来访客 □ 第三方供应商 □ 其他联系方式接入人员姓名身份证/工牌号接入设备信息设备名称设备MAC地址设备IP如有接入方式□ VPN接入 □ 局域网接入 □ 堡垒机接入 □ 其他接入期限自 年 月 日 至 年 月 日访问范围□ 仅互联网 □ 内网指定系统系统名称 □ 内网全部资源 □ 其他接入事由陪同监督人第三方/访客姓名 部门联系方式部门负责人审批意见签字 日期运维部门审核意见签字 日期信息安全管理部门审批意见签字 日期接入配置结果□ 已完成 □ 未完成原因 操作人 日期接入人确认本人确认严格遵守公司相关制度不违规访问、不泄露公司数据对自身接入行为负责。签字 日期接入终止记录终止日期 年 月 日 终止原因操作人 日期附件5《账号权限复审记录表》AB-T200-003-F05复审批次复审周期年 第 季度复审日期年 月 日年 第 季度复审日期年 月 日复审人员复审部门信息安全管理部门、运维部门陪同人员复审范围□ 全公司所有账号权限 □ 特权账号权限 □ 第三方账号权限 □ 临时账号权限 □ 指定部门账号权限部门 复审依据《网络安全管理总纲制度三网络访问控制与权限安全管理制度》《信息安全技术 访问控制技术指南》GB/T 31167复审内容及结果1. 账号实名化情况□ 合规 □ 不合规不合规详情 2. 权限分配合理性最小权限原则□ 合规 □ 不合规不合规详情 3. 闲置/僵尸账号清理情况□ 已清理 □ 未清理未清理详情 4. 特权账号管控情况□ 合规 □ 不合规不合规详情 5. 临时/第三方账号有效期情况□ 合规 □ 不合规不合规详情 6. 三权分立执行情况□ 合规 □ 不合规不合规详情 7. 其他复审内容发现问题汇总整改要求及期限整改责任人 整改期限 年 月 日 整改措施复审结论□ 合格 □ 基本合格 □ 不合格复审人员签字签字 日期部门负责人签字签字 日期整改复查记录复查结果□ 已整改 □ 未整改未整改原因 复查人 复查日期 年 月 日备注附件6《访问控制策略审计记录表》AB-T200-003-F06审计批次审计周期年 第 季度审计日期年 月 日审计人员审计部门信息安全管理部门、运维部门配合人员审计范围□ 边界访问控制策略 □ 安全域间访问策略 □ 终端准入策略 □ 远程访问策略 □ 第三方接入策略 □ 所有访问控制策略涉及设备审计依据《网络安全管理总纲制度三网络访问控制与权限安全管理制度》《信息安全技术 网络安全等级保护基本要求》GB/T 22239审计内容及结果1. 策略合规性白名单原则□ 合规 □ 不合规不合规详情 2. 策略有效性业务必需□ 合规 □ 不合规不合规详情 3. 冗余/过期策略清理情况□ 已清理 □ 未清理未清理详情 4. 策略变更审批流程执行情况□ 合规 □ 不合规不合规详情 5. 策略日志留存情况□ 合规 □ 不合规不合规详情 6. 安全域隔离策略执行情况□ 合规 □ 不合规不合规详情 7. 其他审计内容发现问题汇总整改要求及期限整改责任人 整改期限 年 月 日 整改措施审计结论□ 合格 □ 基本合格 □ 不合格审计人员签字签字 日期部门负责人签字签字 日期整改复查记录复查结果□ 已整改 □ 未整改未整改原因 复查人 复查日期 年 月 日备注附件7《账号权限管理台账》AB-T200-003-F07序号账号名称账号类型持有人所属部门关联系统/设备权限范围创建日期有效期状态创建人变更/注销记录备注1□ 特权账号 □ 普通账号 □ 临时账号 □ 第三方账号 □ 审计账号年 月 日□ 正常 □ 锁定 □ 注销日期 操作 操作人2□ 特权账号 □ 普通账号 □ 临时账号 □ 第三方账号 □ 审计账号年 月 日□ 正常 □ 锁定 □ 注销日期 操作 操作人3□ 特权账号 □ 普通账号 □ 临时账号 □ 第三方账号 □ 审计账号年 月 日□ 正常 □ 锁定 □ 注销日期 操作 操作人4□ 特权账号 □ 普通账号 □ 临时账号 □ 第三方账号 □ 审计账号年 月 日□ 正常 □ 锁定 □ 注销日期 操作 操作人5□ 特权账号 □ 普通账号 □ 临时账号 □ 第三方账号 □ 审计账号年 月 日□ 正常 □ 锁定 □ 注销日期 操作 操作人台账维护人 维护日期 年 月 日 审核人 审核日期 年 月 日
