网络与系统安全控制规范

一、这份规范如何使用

本规范参考等级保护二级的安全要求，规定公司建设和运维系统时应落实的措施。项目负责人应在上线前逐项检查：由谁配置、是否已完成、用什么记录证明；不适用的项目说明原因。密码长度、检查周期和修复目标属于公司要求，不是对国家标准原文的引用。客户或适用规定要求更严格时，执行更严格的要求。

使用云服务器时，也要分清责任。例如，云服务商负责机房和底层硬件，我方负责操作系统、应用和备份，客户负责指定业务人员权限。项目负责人应将实际分工写入项目文件，不能因为购买了云服务，就省略应用和账号的安全检查。

二、办公设备、机房与存储介质

运维负责人应登记用于项目的电脑、服务器和存储介质，写明使用人和用途。自管机房和重要设备应限制人员进入，并检查供电、消防、防盗、温湿度和漏水风险。租用云资源的，应核对服务商提供的机房保障资料及其适用范围。

开发和运维电脑应及时更新系统，开启恶意软件防护、磁盘加密和自动锁屏。公司默认无人操作10分钟内锁屏。设备遗失时，使用人应立即报告，由运维人员撤销登录会话和相关密钥。

用移动硬盘或U盘保存客户保密资料，须先获批准，采取加密措施并登记借还。设备转交他人、报废或退租前，应检查资料已擦除，必要时销毁介质，并保留处理记录。

三、网络连接与对外访问

运维负责人应画出简明网络图，标明公网入口、应用、数据库、管理通道和备份位置。不同用途的访问分开控制，只开放业务实际需要的连接。

这些要求要通过实际连接测试确认。不能只看安全组配置就认定有效，也不能因一条规则误拦正常请求而关闭全部保护。

四、账号、密码与登录保护

每位管理员使用独立账号。默认账号应禁用、改名或更换初始凭据，不得长期多人共用一个管理员账号。数据库应用账号只取得业务所需权限，不使用数据库超级管理员运行日常业务。

公司默认密码至少12位，并阻止常见弱口令及已知泄露口令。系统使用专门的密码哈希算法保存密码，即保存用于校验的不可逆结果，不保存明文或可解密的密码。程序访问密钥应使用高强度随机值，不能使用人名、日期等可猜测内容。

生产高权限账号和远程运维必须在密码之外使用额外的身份验证。邮箱一次性验证码是可采用的方式之一；还应保护邮箱账号，避免密码和验证码落入同一泄露渠道。验证码应限时、只能使用一次、限制尝试次数，不能写入日志。验证码发送或校验服务失败时，应拒绝登录或使用经批准的替代核验方式，不能直接放行。

公司默认登录连续失败5次后锁定15分钟，或采取具有相当保护效果的限速措施；管理会话闲置30分钟后失效。上线前应实际测试错误、过期和重复验证码，以及会话过期、退出和撤权后的访问结果。

人员离岗、授权到期或发现凭据泄露时，应及时撤权或更换凭据，并使相关会话失效。高权限和外部人员访问至少每季度复核一次；临时应急账号应限定使用时间，事后检查操作记录并更换凭据。

五、应用与客户数据隔离

开发人员必须在服务器端检查用户身份和访问权限。页面隐藏了按钮，不代表接口已经受到保护。检查范围应包含单条查询、批量处理、文件下载、历史链接、后台任务和缓存。

例如，用户把请求中的文件编号从自己的文件改成另一客户的文件，服务器仍必须拒绝访问。不能直接相信浏览器传来的客户编号，也不能让AI检索绕过原有权限。

上传功能应限制文件类型、大小和存放位置，避免把上传文件当程序运行。读取外部网址时，应阻止访问内部管理地址。生产环境关闭无关服务、调试入口、示例程序和目录浏览，限制配置及密钥文件的读取权限。

保密数据应按风险和项目约定采用存储加密，并单独控制密钥权限。附件、导出文件、日志和备份也要受到相应保护。临时目录和共享计算资源在任务结束后清理，避免后续任务读到上一客户的资料。

六、操作日志与异常告警

运维人员应记录登录成功和失败、权限调整、管理员操作、重要数据导出和删除、备份恢复及安全设置变更。记录应能说明：谁在什么时间、从哪里、对什么对象、进行了什么操作、结果如何。相关系统应同步时间，便于核对同一事件。

日志不得包含完整密码、验证码、登录令牌和无关的保密正文。相关网络日志按现行法律要求保留不少于六个月；其他记录按用途、合同和适用规定确定期限。日志应限制查看和删除权限，并通过独立保存等方式防止被擅自修改或随业务主机一同丢失。

异常登录、大量失败、非预期访问、批量导出、防护关闭、日志停止写入和磁盘满等情况，应向负责人及替代联系人发送告警。运维负责人要检查告警是否真正送达，不能只在服务器上留下无人查看的报错。

系统管理、安全管理和日志检查应分清职责。人员兼任时，应安排第二人复核并保存独立日志，不能由操作人自行删除异常记录后宣布问题结束。

七、漏洞与补丁处理

研发和运维负责人应维护系统、框架及第三方软件的版本清单，每月检查漏洞通告；出现重大漏洞时立即核对是否受影响。补丁发布前验证兼容性和恢复办法。正式补丁尚不可用时，先通过限制访问、关闭功能或隔离服务减小风险。

公司内部目标为：正在被利用，或可直接造成敏感数据泄露、登录和权限检查被绕过的问题，立即升级处理，确认后24小时内有效控制风险，7日内修复或形成获批的替代处理计划。其他高风险问题7日内处理，中风险30日内、低风险90日内安排整改。以上按自然日计算，监管或客户要求更短时执行更短期限。

延期必须写明原因、临时保护措施、责任人、批准人和下次检查日期。修复后重新测试原问题及类似入口，不能只凭已安装补丁就关闭记录。

八、备份、恢复与上线检查

备份应覆盖数据库、附件、关键配置和恢复所需的软件版本，并安排密钥的安全保管。至少一份备份采用独立权限保护，避免同一账号被盗后同时删除生产数据和全部备份。备份失败应发出告警。

运维负责人至少每季度在隔离环境抽样恢复一次。恢复后检查记录数量、文件是否完整、权限是否正确，以及关键业务能否使用。备份文件存在或任务显示成功，都不能代替实际恢复验证。

上线前，项目负责人还应确认安全测试、生产配置、备份、恢复及发布回退方案已完成。登录绕过、跨客户访问、有效密钥泄露等重大问题未解决时，不得正式发布。

九、固定检查安排

每次检查保留实际结果，区分“未核验、已满足、待整改、不适用”。“已满足”应有配置或测试记录支持；临时例外要有期限和补救安排，不能免除法律义务。

本规范参考GB/T 22239—2019及《网络安全法》。是否达到相应保护等级，应以具体系统的实际建设和评估结果判断。