ISO27001认证咨询 网络安全控制程序（模板文件）

1.0 目的

规范计算机系统通信网络安全管理，确保其运行具备有效性、安全性、完善性。

2.0 适用范围

适用于公司业务范围内的网络、计算机设备，及其它相关网络周边通讯设备（施）

3.0 职责

3.1 总经理负责公司制定网络总体安全策略，以及网络安全规划的批准，协调重大网络安全事故应急恢复工作，为网络安全提供必要的资源，满足网络安全运行要求。

3.2 信息安全主任负责对会议室网络接口使用的批准，协调并主导网络安全或异常事故或事件的处理工作。

3.3 电脑部负责网络安全规划，对网络安全采取防范措施，定期对网络运行以及通讯设备设施进行维护和检查，定期进行重要信息备份，及时处理网络安全异常问题；

3.4 各部门负责协助电脑部实施网络安全管理防范措施，及时汇报网络安全故障，并协助相关部门处理网络故障，严格按照网络安全管理要求使用网络或网络设备。

4.0 规定

4.1 网络安全规划

4.1.1 公司整个网络必须形成《网络拓扑图》、《网络布线图》，并且网络物理接口必须有明确的网络物理标识符号。

4.1.2 网络扩建时应形成《网络或系统开发设计方案》，经总经理批准后生效，方案必须具有可行性，还应该考虑以下要求：

a. 应该要考虑环境、设备配置与应用情况、远程联网方式、通信量的估算、网络维护管理、网络应用与业务定位等因素。

b. 应考虑采用星型和总线型拓扑设计，每层楼统一网络接口直接接入中心机房，各楼层的用户端由每层楼统一的网络接口接入。

c. 应考虑在保证具开放性、标准化、可靠性、先进性、实用性和扩展性的前提下简化网络维护和管理工作。

d. 应考虑网络连通性网络负载问题，尽量采用多线路或冗余链路。

4.1.3 电脑部定期对公司的网络安全运行和管理情况进行综合分析和规划，并形成《网络安全规划》报总经理批准后，按照规划要求实施各项活动实现网络安全策略。

4.2 网络安全的防范控制

4.2.1 内外网的隔离要求

a. 只需外部网办公的用户，应该设置单独的线路与公司内部网分离。

b. 只需内部网络办公的用户，则不开放外网连接权限。如需要应进行申请。

c. 同时使用外部网和内部网办公的用户，根据实际情况采用适当网络隔离技术进行隔离，以限制和减少病毒传播，防止黑客入侵，预防信息泄漏事件发生。

4.2.2 网络接口安全管理

a. 电脑室对ISP运营商的光纤接口进行管理，光纤收发器必须放在中心机房的机柜中，由指定网络管理员进行检查和维护，确保工作时间内实时连通性。

b. 对从中心机房到每层楼的网络接口，必须在《网络拓扑图》中明确标识，网络管理员定期检查网络接口，其它任何人不得随意更换接口或撕毁接口标识。

c. 用户端的内/外部网络接口必须进行申请，经过总经理最终审批准后，网络管理员按照工作的要求开通接口的使用权限（如：内部网接口和外部网接口），不定期查看接口使用情况。开通后不得自行更换接口。

d. 会议室网络接口应采用隔离技术与公司内部网络隔离，会议室网络接口的使用必须经过信息安全主任批准后，电脑部方可开通使用权限。

4.2.3 网络安全的访问控制

a. 在内部网与外部网之间配备相应的安全设备（如：网络防火墙、网络安全网关设备），防范外部入侵者攻击，控制网络病毒的入侵与感染。

b. 网络访问必须遵守网络管理的基本要求，按照预先申请的访问权限进行访问，禁止未经过批准访问其他与工作无关的网络资源。参见《用户访问控制程序》

4.2.4 网络共享安全管理

a. 向公司的服务器上传文件前，必须对需要上传的文件进行杀毒处理，确保其所在的网络平台保持正常状态，避免通过下载文件传播病毒。

b. 对于服务器上传文件必须按照其文件的访问权限要求，设置相应的共享访问人员，并根据实际情况设置相应的控制权限（如：打印、复制、下载等）。

4.2.5 网络安全检测与审计

a. 网络管理员应定期检查防病毒服务器的运行情况，以及网络病毒活动的监测情况，将检查结果记录于《机房检查记录表》。

b. 网络管理员定期检查网络监控设备（包括：路由器、交换机、防火墙、网络监控设备等）的可用性和功能，并查看设备的工作日志。将检查结果记录于《机房检查记录表》

c. 网络管理员采用适当的网络运行监测软件，每天对公司整个网络运行情况进行自动检测，分析网络数据流通量。检查和分析结果记录《网络运行安全检查表》。

d. 网络管理员应定期对内/外部用户使用网络的过程（包括：访问外部网站、内外部邮件收发等）进行审计与监控，分析网络出现问题和威胁源，确保公司的重要信息不被泄漏；审计与监控结果记录《网络安全审计监控记录表》。

4.3 网络病毒的预防和处理

4.3.1 杀毒软件控制基本要求

公司网络内的服务器、用户端的电脑设备上安装企业版的杀毒软件，杀毒软件应该设置自动更新模式,用户端的电脑设备上的杀毒软件应设置每天定时杀毒一次。

4.3.2 防火墙控制基本要求

交换机前段应安装网络防火墙，并进行网络安全设置（包括：对IP地址和端口屏蔽，以及数据包的过滤等），确保网络安全符合公司运营的要求。

4.3.3 电话网络安全

a. 电话用户必须正确的使用电话网络，禁止向外发布恶意或不良或未经批准的信息，不得破坏电话网络设施（如：电话线、电话机、通信端口等）。

b. 当电话网络设施损或故障的时，应及时向电脑部进行汇报，由电脑部的相关管理人员进行处理。

c. 当接到恶意电话（如：敲诈、欺骗、影响公司形象等内容）的电话的时，应及时向信息安全主任汇报，由信息安全主任进行相应处理。

4.4 网络信息数据备份

对重要服务器（如：OA系统、ERP系统、邮箱系统）数据进行存储和备份（场点内备份，场点外保存），确保在网络系统硬件故障、人为失误、入侵者非授权访、网络病毒攻击时，及时恢复破坏或丢失的数据。（参见《重要信息备份控制程序》

4.5 网络的异常处理

4.5.1 网络设施发生异常处理

当网络设施发生异常（如：损坏等）导致信息不通畅的事故或事件时，网络管理员应进行分析和调查，并向信息安全主任或总经理汇报。同时组织相关人员制定相应的纠正预防措施处理异常事故或事件，并形成《网络安全异常处理报告》。

4.5.2 网络安全检查异常处理

a. 网络管理员在定期检查防病毒服务器、网络监控设备过程中发现异常时，应进行调查和分析，并采取有效措施进行处理，处理结果记录于《机房检查记录表》。

b. 网络管理员在公司网络运行每天监测过程中发现异常时，应进行调查和分析，并采取有效措施进行处理，处理结果直接记录于《网络运行安全检查表》。

c. 网络管理员在内/外部用户使用网络的过程定期审计或监控中发现异常时，应进行调查和分析，并采取有效措施进行处理，处理结果直接记录于《网络安全审计监控记录表》。若发生信息泄密，应及时向信息安全主任或总经理汇报，信息安全主任评估事故的严重程度后，采取相应处理措施。

4.5.3 病毒的处理要求

a. 用户的杀毒软件检测到病毒感染时应及时通知网络管理员，网络管理员根据病毒感染情况，采用适当方式处理；当病毒感染严重影响电脑运行时，应在重要信息备份后采取适当方式处理病毒。处理过程应记录至《网络病毒处理报表》。

b. 大范围用户同时感染类似相同网络病毒，网络管理员对感染群体进行隔离，进行调查和分析，采用有效的措施消除病毒。并形成《网络安全异常处理报告》。

4.6 其他要求

4.6.1 当任何人违反网络安全控制要求时，严格按照《信息安全奖励和惩戒管理规定》要求对当事人进行处理或处罚。

5.0 缩略语及术语定义

5.1 网络病毒：通过网络传播的一种暗中感染计算机系统并进行破坏的程序。

6.0 支持文件

6.1 《用户访问控制程序》

6.2 《重要信息备份控制程序》

6.3 《信息安全奖励和惩戒管理规定》

7.0 记录

7.1 《机房检查记录表》

7.2 《网络运行安全检查表》

7.3 《网络安全审计监控记录表》

7.4 《网络病毒处理报表》

7.5 《网络安全异常处理报告》。

8.0 附录

无