重大活動(dòng)期間網(wǎng)絡(luò)安全保障辦法

重大活動(dòng)期間網(wǎng)絡(luò)安全保障辦法第一章總則為切實(shí)做好重大活動(dòng)期間的網(wǎng)絡(luò)安全保障工作，建立健全網(wǎng)絡(luò)安全防護(hù)體系，提高應(yīng)對(duì)網(wǎng)絡(luò)安全突發(fā)事件的能力，確保關(guān)鍵信息基礎(chǔ)設(shè)施、重要業(yè)務(wù)系統(tǒng)及數(shù)據(jù)的機(jī)密性、完整性和可用性，維護(hù)社會(huì)穩(wěn)定和公共利益，特制定本辦法。本辦法適用于單位及所屬機(jī)構(gòu)在重大政治活動(dòng)、大型會(huì)議、體育賽事、節(jié)假日等重要保障時(shí)期內(nèi)的網(wǎng)絡(luò)安全管理工作。重大活動(dòng)網(wǎng)絡(luò)安全保障工作堅(jiān)持“誰(shuí)主管誰(shuí)負(fù)責(zé)、誰(shuí)運(yùn)營(yíng)誰(shuí)負(fù)責(zé)、誰(shuí)使用誰(shuí)負(fù)責(zé)”的原則，全面落實(shí)網(wǎng)絡(luò)安全主體責(zé)任。保障工作以預(yù)防為主、防管結(jié)合為導(dǎo)向，確保在活動(dòng)期間實(shí)現(xiàn)“網(wǎng)絡(luò)不癱瘓、系統(tǒng)不癱瘓、數(shù)據(jù)不泄露”的總體目標(biāo)。所有參與保障工作的部門(mén)及人員必須嚴(yán)格遵守本辦法及相關(guān)技術(shù)標(biāo)準(zhǔn)，將網(wǎng)絡(luò)安全工作置于首位，確保萬(wàn)無(wú)一失。第二章組織領(lǐng)導(dǎo)與職責(zé)分工在重大活動(dòng)保障期間，應(yīng)成立“重大活動(dòng)網(wǎng)絡(luò)安全保障領(lǐng)導(dǎo)小組”，作為網(wǎng)絡(luò)安全工作的最高決策機(jī)構(gòu)。領(lǐng)導(dǎo)小組組長(zhǎng)應(yīng)由單位主要負(fù)責(zé)人擔(dān)任，副組長(zhǎng)由分管網(wǎng)絡(luò)安全工作的領(lǐng)導(dǎo)擔(dān)任，成員包括各業(yè)務(wù)部門(mén)、信息技術(shù)部門(mén)及后勤保障部門(mén)的主要負(fù)責(zé)人。領(lǐng)導(dǎo)小組負(fù)責(zé)統(tǒng)籌協(xié)調(diào)保障期間的總體工作，審定保障方案和應(yīng)急預(yù)案，決策重大安全事項(xiàng)，調(diào)動(dòng)各類(lèi)應(yīng)急資源。領(lǐng)導(dǎo)小組下設(shè)辦公室，辦公室設(shè)在信息技術(shù)部門(mén)或網(wǎng)絡(luò)安全專(zhuān)職機(jī)構(gòu)，負(fù)責(zé)日常保障工作的具體執(zhí)行與落實(shí)。辦公室需建立專(zhuān)項(xiàng)工作組，包括但不限于網(wǎng)絡(luò)技術(shù)組、系統(tǒng)應(yīng)用組、安全監(jiān)測(cè)組、應(yīng)急響應(yīng)組和綜合協(xié)調(diào)組。各工作組職責(zé)劃分如下：網(wǎng)絡(luò)技術(shù)組負(fù)責(zé)核心網(wǎng)絡(luò)設(shè)備、鏈路的安全配置與巡檢，保障網(wǎng)絡(luò)帶寬質(zhì)量，實(shí)施網(wǎng)絡(luò)邊界防護(hù)策略，防范分布式拒絕服務(wù)攻擊（DDoS）等網(wǎng)絡(luò)層威脅。系統(tǒng)應(yīng)用組負(fù)責(zé)服務(wù)器、操作系統(tǒng)、數(shù)據(jù)庫(kù)及中間件的安全加固，業(yè)務(wù)系統(tǒng)的代碼審計(jì)與漏洞修復(fù)，確保應(yīng)用系統(tǒng)的穩(wěn)定運(yùn)行。安全監(jiān)測(cè)組負(fù)責(zé)全網(wǎng)安全態(tài)勢(shì)的7×24小時(shí)實(shí)時(shí)監(jiān)控，利用安全信息事件管理平臺(tái)（SIEM）收集日志，分析異常行為，及時(shí)發(fā)現(xiàn)并上報(bào)安全預(yù)警。應(yīng)急響應(yīng)組負(fù)責(zé)制定并演練應(yīng)急預(yù)案，在發(fā)生安全事件時(shí)迅速進(jìn)行處置，包括攻擊溯源、系統(tǒng)恢復(fù)和數(shù)據(jù)還原。綜合協(xié)調(diào)組負(fù)責(zé)保障期間的行政事務(wù)、人員值班安排、后勤物資供應(yīng)以及與上級(jí)主管部門(mén)、監(jiān)管機(jī)構(gòu)及外部廠商的聯(lián)絡(luò)溝通。第三章保障準(zhǔn)備階段工作要求保障準(zhǔn)備階段是重大活動(dòng)網(wǎng)絡(luò)安全工作的基石，原則上應(yīng)在活動(dòng)開(kāi)始前30天啟動(dòng)。本階段主要任務(wù)是全面排查風(fēng)險(xiǎn)、清零安全隱患、落實(shí)防護(hù)措施、開(kāi)展實(shí)戰(zhàn)演練，確保以“零隱患”狀態(tài)進(jìn)入實(shí)戰(zhàn)階段。在資產(chǎn)梳理與核查方面，必須對(duì)所有聯(lián)網(wǎng)資產(chǎn)進(jìn)行“地毯式”清查。不僅要包括傳統(tǒng)的服務(wù)器、終端、網(wǎng)絡(luò)設(shè)備，還應(yīng)覆蓋云資產(chǎn)、物聯(lián)網(wǎng)設(shè)備、移動(dòng)終端以及各類(lèi)API接口。建立最新的資產(chǎn)清單，明確資產(chǎn)責(zé)任人、物理位置、重要程度及服務(wù)關(guān)聯(lián)關(guān)系。對(duì)于僵尸資產(chǎn)、未授權(quán)資產(chǎn)及存在高風(fēng)險(xiǎn)漏洞的資產(chǎn)，必須在保障開(kāi)始前完成下線(xiàn)、隔離或修復(fù)處理。嚴(yán)禁存在“影子IT”現(xiàn)象，確保所有資產(chǎn)納管可控。在風(fēng)險(xiǎn)評(píng)估與滲透測(cè)試方面，應(yīng)組織專(zhuān)業(yè)力量對(duì)核心業(yè)務(wù)系統(tǒng)及關(guān)鍵信息基礎(chǔ)設(shè)施開(kāi)展深度風(fēng)險(xiǎn)評(píng)估。采用靜態(tài)代碼審計(jì)（SAST）、動(dòng)態(tài)應(yīng)用測(cè)試（DAST）及人工滲透測(cè)試相結(jié)合的方式，全面挖掘系統(tǒng)邏輯漏洞、身份認(rèn)證缺陷、權(quán)限繞過(guò)風(fēng)險(xiǎn)及數(shù)據(jù)泄露隱患。對(duì)于發(fā)現(xiàn)的漏洞，實(shí)行“清單式”管理，明確整改責(zé)任人、整改措施及完成時(shí)限，實(shí)行“銷(xiāo)號(hào)”制度，確保漏洞修復(fù)率達(dá)到100%。對(duì)于暫時(shí)無(wú)法修復(fù)的高危漏洞，必須制定臨時(shí)性的專(zhuān)項(xiàng)防護(hù)方案或替代措施，并報(bào)領(lǐng)導(dǎo)小組審批。在網(wǎng)絡(luò)安全加固方面，應(yīng)遵循最小權(quán)限原則和默認(rèn)拒絕策略。對(duì)所有服務(wù)器、數(shù)據(jù)庫(kù)、網(wǎng)絡(luò)設(shè)備進(jìn)行基線(xiàn)配置核查，關(guān)閉不必要的服務(wù)、端口和賬號(hào)；強(qiáng)制實(shí)施復(fù)雜密碼策略并定期更換；啟用雙因素認(rèn)證機(jī)制；部署并更新防病毒軟件、終端檢測(cè)與響應(yīng)（EDR）等終端安全防護(hù)工具；加強(qiáng)防火墻、WAF（Web應(yīng)用防火墻）、IPS（入侵防御系統(tǒng)）等安全設(shè)備的策略?xún)?yōu)化，封堵非業(yè)務(wù)必需的訪(fǎng)問(wèn)路徑。在數(shù)據(jù)安全防護(hù)方面，應(yīng)對(duì)重要數(shù)據(jù)進(jìn)行分類(lèi)分級(jí)管理。明確核心數(shù)據(jù)、重要數(shù)據(jù)和一般數(shù)據(jù)的邊界，對(duì)敏感數(shù)據(jù)實(shí)施加密存儲(chǔ)和加密傳輸。嚴(yán)格管控?cái)?shù)據(jù)導(dǎo)出、下載和拷貝行為，保障期間原則上暫停非必要的數(shù)據(jù)批量導(dǎo)出操作。審查數(shù)據(jù)備份策略，確保關(guān)鍵數(shù)據(jù)已實(shí)施全量備份和增量備份，并定期進(jìn)行備份數(shù)據(jù)的有效性恢復(fù)測(cè)試，確保備份數(shù)據(jù)可用。在供應(yīng)鏈安全管理方面，應(yīng)加強(qiáng)對(duì)軟件供應(yīng)商、服務(wù)商及外包開(kāi)發(fā)人員的安全管理。對(duì)第三方組件進(jìn)行安全掃描，排查包含惡意代碼、后門(mén)或已知漏洞的開(kāi)源組件、商業(yè)軟件。保障期間，原則上停止一切非緊急的系統(tǒng)變更、版本升級(jí)及新功能上線(xiàn)，實(shí)施嚴(yán)格的“封網(wǎng)”管理。如確需緊急變更，必須執(zhí)行升級(jí)后的審批流程，經(jīng)領(lǐng)導(dǎo)小組組長(zhǎng)簽字確認(rèn)后方可實(shí)施，并需雙人復(fù)核操作。在應(yīng)急演練方面，應(yīng)至少組織一次全流程、全要素的網(wǎng)絡(luò)安全應(yīng)急演練。演練場(chǎng)景應(yīng)覆蓋網(wǎng)頁(yè)篡改、勒索病毒感染、數(shù)據(jù)泄露、DDoS攻擊等常見(jiàn)高風(fēng)險(xiǎn)事件。通過(guò)演練檢驗(yàn)應(yīng)急預(yù)案的科學(xué)性、技術(shù)團(tuán)隊(duì)的反應(yīng)速度及協(xié)同作戰(zhàn)能力，對(duì)演練中暴露的問(wèn)題進(jìn)行即查即改，不斷優(yōu)化處置流程。第四章保障實(shí)施階段工作要求保障實(shí)施階段指重大活動(dòng)正式舉辦期間，此階段實(shí)行最高級(jí)別的安全防護(hù)策略和最嚴(yán)格的管控措施。所有相關(guān)人員必須進(jìn)入實(shí)戰(zhàn)狀態(tài)，實(shí)行7×24小時(shí)值班值守制度，確保指揮通暢、反應(yīng)迅速、處置果斷。在監(jiān)測(cè)預(yù)警方面，安全監(jiān)測(cè)組應(yīng)依托態(tài)勢(shì)感知平臺(tái)、流量分析設(shè)備及日志審計(jì)系統(tǒng)，對(duì)全網(wǎng)流量、系統(tǒng)運(yùn)行狀態(tài)、用戶(hù)行為進(jìn)行不間斷監(jiān)控。重點(diǎn)關(guān)注境外攻擊源、異常高頻訪(fǎng)問(wèn)、SQL注入特征、Webshell上傳行為、大流量異常擁塞等關(guān)鍵指標(biāo)。設(shè)定科學(xué)合理的告警閾值，過(guò)濾誤報(bào)信息，確保告警信息的準(zhǔn)確性和實(shí)效性。一旦發(fā)現(xiàn)安全告警，監(jiān)測(cè)人員應(yīng)立即進(jìn)行初步研判，區(qū)分網(wǎng)絡(luò)攻擊、誤操作或設(shè)備故障，并在規(guī)定時(shí)間內(nèi)（原則上不超過(guò)5分鐘）向應(yīng)急響應(yīng)組報(bào)告。在值班值守方面，應(yīng)建立領(lǐng)導(dǎo)帶班、骨干值守的值班體系。每日實(shí)行“零報(bào)告”和“定時(shí)報(bào)告”制度，即各值班小組每?jī)尚r(shí)向領(lǐng)導(dǎo)小組辦公室報(bào)告一次運(yùn)行情況，無(wú)事報(bào)平安，有事報(bào)詳情。值班人員必須嚴(yán)格遵守值班紀(jì)律，不得擅離職守，確保通訊工具24小時(shí)暢通。值班記錄需詳實(shí)記錄監(jiān)控情況、告警處置過(guò)程及系統(tǒng)運(yùn)行狀態(tài)，形成完整的值班日志。在應(yīng)急處置方面，一旦發(fā)生安全突發(fā)事件，應(yīng)立即啟動(dòng)應(yīng)急預(yù)案。應(yīng)急響應(yīng)流程應(yīng)遵循“先阻斷、后分析、再恢復(fù)”的原則。第一步，實(shí)施緊急隔離。對(duì)于被攻擊或已失陷的主機(jī)、系統(tǒng)，立即采取斷開(kāi)網(wǎng)絡(luò)連接、關(guān)停服務(wù)或物理隔離等措施，防止攻擊蔓延或損失擴(kuò)大。第二步，開(kāi)展分析研判。通過(guò)日志分析、流量回溯、惡意代碼逆向分析等手段，確定攻擊類(lèi)型、攻擊路徑、攻擊源頭及受影響范圍。第三步，實(shí)施根除與恢復(fù)。清除惡意代碼、后門(mén)程序，修補(bǔ)被利用的安全漏洞，經(jīng)安全確認(rèn)后，利用備份數(shù)據(jù)恢復(fù)系統(tǒng)和服務(wù)。恢復(fù)過(guò)程必須經(jīng)過(guò)嚴(yán)格的測(cè)試和驗(yàn)證，防止引入新的風(fēng)險(xiǎn)。第四步，加強(qiáng)追蹤溯源。在確保自身安全的前提下，盡可能收集攻擊者指紋信息，配合公安機(jī)關(guān)進(jìn)行取證和溯源。在變更管控方面，實(shí)施階段實(shí)行最嚴(yán)格的“封網(wǎng)”策略。原則上禁止一切線(xiàn)上系統(tǒng)變更、網(wǎng)絡(luò)策略調(diào)整、設(shè)備配置修改及數(shù)據(jù)操作。對(duì)于因突發(fā)故障必須進(jìn)行的搶修操作，必須執(zhí)行“雙人復(fù)核”機(jī)制，在監(jiān)護(hù)人員監(jiān)督下進(jìn)行操作，并全程記錄操作步驟和結(jié)果。所有操作需可審計(jì)、可追溯。在外部聯(lián)防方面，應(yīng)加強(qiáng)與上級(jí)網(wǎng)絡(luò)安全主管部門(mén)、公安機(jī)關(guān)網(wǎng)安部門(mén)、電信運(yùn)營(yíng)商及網(wǎng)絡(luò)安全廠商的協(xié)同聯(lián)動(dòng)。建立快速聯(lián)絡(luò)機(jī)制，遇到重大攻擊線(xiàn)索或外部威脅情報(bào)時(shí)，及時(shí)上報(bào)并請(qǐng)求支援。利用威脅情報(bào)數(shù)據(jù)，提前在防護(hù)設(shè)備中部署阻斷策略，實(shí)現(xiàn)“情報(bào)驅(qū)動(dòng)防御”。第五章專(zhuān)項(xiàng)技術(shù)防護(hù)措施針對(duì)重大活動(dòng)期間的高強(qiáng)度攻擊特點(diǎn)，需部署并啟用專(zhuān)項(xiàng)技術(shù)防護(hù)措施，構(gòu)建縱深防御體系。在網(wǎng)絡(luò)邊界防護(hù)方面，應(yīng)在互聯(lián)網(wǎng)出口、核心交換區(qū)、服務(wù)器區(qū)前段部署多層級(jí)防火墻。啟用精細(xì)化訪(fǎng)問(wèn)控制列表（ACL），僅開(kāi)放業(yè)務(wù)必需的IP地址和端口。針對(duì)Web應(yīng)用，必須啟用Web應(yīng)用防火墻（WAF），開(kāi)啟防SQL注入、防XSS跨站腳本、防網(wǎng)頁(yè)篡改等防護(hù)策略。針對(duì)應(yīng)用層DDoS攻擊，應(yīng)啟用專(zhuān)業(yè)抗DDoS設(shè)備或云清洗服務(wù)，配置智能流量清洗策略，確保在遭受大流量攻擊時(shí)業(yè)務(wù)不中斷。在終端安全防護(hù)方面，應(yīng)在所有服務(wù)器和辦公終端上部署企業(yè)級(jí)防病毒軟件或EDR系統(tǒng)。強(qiáng)制開(kāi)啟實(shí)時(shí)防護(hù)功能，禁止用戶(hù)私自關(guān)閉。實(shí)施USB移動(dòng)存儲(chǔ)介質(zhì)管控，保障期間根據(jù)安全級(jí)別，可采取禁用USB存儲(chǔ)或只讀策略。加強(qiáng)對(duì)終端違規(guī)外聯(lián)行為的監(jiān)控，防止內(nèi)網(wǎng)終端私自接入互聯(lián)網(wǎng)或非法外聯(lián)。在安全審計(jì)方面，應(yīng)全面開(kāi)啟網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器及應(yīng)用系統(tǒng)的日志功能。將日志統(tǒng)一發(fā)送至syslog服務(wù)器或日志審計(jì)系統(tǒng)，確保日志留存時(shí)間不少于6個(gè)月。重點(diǎn)審計(jì)特權(quán)賬號(hào)（如root、administrator）的登錄、操作行為，數(shù)據(jù)庫(kù)的增刪改查操作，以及防火墻策略的變更記錄。利用用戶(hù)實(shí)體行為分析（UEBA）技術(shù)，識(shí)別內(nèi)部人員的異常操作行為，防范內(nèi)部威脅。在網(wǎng)頁(yè)防篡改方面，對(duì)于對(duì)外提供服務(wù)的門(mén)戶(hù)網(wǎng)站、重要業(yè)務(wù)系統(tǒng)，必須部署網(wǎng)頁(yè)防篡改系統(tǒng)。采用內(nèi)核級(jí)驅(qū)動(dòng)技術(shù)或動(dòng)態(tài)內(nèi)嵌技術(shù)，實(shí)現(xiàn)對(duì)網(wǎng)頁(yè)文件的實(shí)時(shí)鎖定。一旦檢測(cè)到網(wǎng)頁(yè)文件被非法修改，系統(tǒng)應(yīng)立即自動(dòng)恢復(fù)備份文件，并鎖定攻擊源，同時(shí)向管理員發(fā)送告警信息。確保在發(fā)生篡改事件時(shí)，公眾訪(fǎng)問(wèn)到的始終是可信內(nèi)容。在郵件安全方面，應(yīng)部署郵件安全網(wǎng)關(guān)，對(duì)進(jìn)出郵件進(jìn)行過(guò)濾。啟用反垃圾郵件、反釣魚(yú)郵件、反病毒引擎。加強(qiáng)對(duì)郵件附件的沙箱檢測(cè)，防止通過(guò)郵件投遞勒索病毒或特種木馬。保障期間，應(yīng)向全員發(fā)布安全預(yù)警，提醒員工警惕冒充領(lǐng)導(dǎo)、財(cái)務(wù)、合作伙伴的釣魚(yú)郵件，禁止打開(kāi)來(lái)源不明的附件和鏈接。第六章保障結(jié)束階段工作要求保障結(jié)束階段指重大活動(dòng)閉幕后的總結(jié)期，主要任務(wù)是解除封網(wǎng)、總結(jié)經(jīng)驗(yàn)、整改遺留問(wèn)題，確保系統(tǒng)平穩(wěn)過(guò)渡到日常運(yùn)行狀態(tài)。在解除封網(wǎng)方面，應(yīng)逐步有序地恢復(fù)日常運(yùn)維模式。首先，對(duì)保障期間暫停的非必要服務(wù)進(jìn)行評(píng)估，確認(rèn)無(wú)誤后開(kāi)啟。其次，解除臨時(shí)的收緊型安全策略，恢復(fù)常規(guī)業(yè)務(wù)變更流程。在恢復(fù)變更前，需對(duì)保障期間積累的變更需求進(jìn)行集中評(píng)審和測(cè)試，避免集中上線(xiàn)引發(fā)新的風(fēng)險(xiǎn)。在總結(jié)復(fù)盤(pán)方面，應(yīng)召開(kāi)網(wǎng)絡(luò)安全保障工作總結(jié)會(huì)。對(duì)保障期間的總體情況進(jìn)行通報(bào)，包括攻擊次數(shù)、攻擊類(lèi)型、處置效率、系統(tǒng)運(yùn)行指標(biāo)等數(shù)據(jù)。深入分析保障過(guò)程中暴露出的薄弱環(huán)節(jié)，如監(jiān)測(cè)盲區(qū)、響應(yīng)滯后、資源不足等問(wèn)題。形成《重大活動(dòng)網(wǎng)絡(luò)安全保障總結(jié)報(bào)告》，報(bào)送上級(jí)主管部門(mén)。在資料歸檔方面，應(yīng)將保障期間的各類(lèi)方案、預(yù)案、值班記錄、告警日志、處置報(bào)告、演練資料等進(jìn)行整理、分類(lèi)和歸檔。這些資料不僅是后續(xù)審計(jì)的依據(jù)，也是優(yōu)化未來(lái)保障工作的重要參考。在持續(xù)改進(jìn)方面，針對(duì)保障期間發(fā)現(xiàn)的未徹底解決的隱患或技術(shù)短板，制定專(zhuān)項(xiàng)整改計(jì)劃。更新資產(chǎn)庫(kù)、威脅情報(bào)庫(kù)及應(yīng)急預(yù)案。根據(jù)實(shí)戰(zhàn)經(jīng)驗(yàn)，調(diào)整安全設(shè)備的基線(xiàn)策略和防護(hù)規(guī)則，提升常態(tài)化安全防護(hù)水平。第七章監(jiān)督檢查與責(zé)任追究建立健全網(wǎng)絡(luò)安全監(jiān)督檢查機(jī)制，確保各項(xiàng)保障措施落實(shí)到位。領(lǐng)導(dǎo)小組辦公室應(yīng)定期或不定期對(duì)各部門(mén)、各崗位的保障工作準(zhǔn)備情況、執(zhí)行情況進(jìn)行督導(dǎo)檢查。檢查內(nèi)容包括但不限于：漏洞修復(fù)情況、策略配置情況、值班在崗情況、日志記錄情況等。對(duì)于在保障期間認(rèn)真負(fù)責(zé)、表現(xiàn)突出、成功阻斷重大攻擊或有效處置安全事件的部門(mén)和個(gè)人，給予表彰和獎(jiǎng)勵(lì)。對(duì)于未認(rèn)真履行本辦法規(guī)定職責(zé)，導(dǎo)致發(fā)生以下情形之一的，將嚴(yán)肅追究相關(guān)部門(mén)領(lǐng)導(dǎo)和直接責(zé)任人的責(zé)任：因排查不徹底導(dǎo)致重大漏洞未被發(fā)現(xiàn)并被利用的；因防護(hù)措施不到位導(dǎo)致發(fā)生網(wǎng)頁(yè)篡改、數(shù)據(jù)泄露、服務(wù)中斷等安全事件的；因監(jiān)測(cè)不及時(shí)、處置不當(dāng)導(dǎo)致安全事件擴(kuò)大或產(chǎn)生嚴(yán)重不良社會(huì)影響的；因違規(guī)操作或擅自變更導(dǎo)致系統(tǒng)出現(xiàn)故障的；瞞報(bào)、遲報(bào)、謊報(bào)安全