网络安全管理总纲制度（四）：网络安全风险管控与隐患排查治理制度

这篇已经合并了。它和另外几份同类的制度合到了一起按「测评时查什么、执行时卡在哪」重写了落地要点建议直接看合并版网络安全管理制度模板包一总则、组织职责、风险管控与教育培训。本页保留作为单独检索入口正文内容与原来一致不影响你对照使用。网络安全管理总纲制度四网络安全风险管控与隐患排查治理制度1 目的为落实公司《网络安全管理总纲制度》要求建立常态化、标准化的网络安全风险分级管控与隐患排查治理闭环管理机制规范网络安全风险识别、评估、管控、监测全流程以及隐患排查、上报、整改、验收、销号全周期管理主动识别、防范、化解各 类 网络安全风险从源头消除安全隐患防范网络安全事件发生保障公司网络、业务系统、数据资产安全稳定运行满足国家法律法规及行业监管要求特编制本制度。2 范围2.1 适用主体本制度适用于公司各部门、分支机构、全体员工以及接入公司网络、参与公司信息化建设、访问公司信息资源的合作方、外包人员、第三方供应商、服务商等相关主体。所有相关单位及人员均需严格遵守本制度规定自觉履行风险管控与隐患排查治理责任。2.2 管控范围本制度覆盖公司网络安全风险管控与隐患排查治理全流程管控对象与范围包括但不限于公司全量网络资产网络设备、服务器、终端设备、安全设备、业务系统、数据库、存储设备、虚拟化平台等软硬件资产全流程管理环节网络架构、访问控制、账号权限、数据安全、应急处置、供应链安全、人员管理、第三方接入等所有信息化相关环节风险全生命周期风险识别、分析、评估、分级、管控、监测、预警、复盘全流程管理隐患全闭环管理隐患排查、上报、登记、整改、验收、销号、根源治理全周期管理。3 规范性引用文件下列文件为本制度的引用文件及支持性文件相关文件更新后按最新版本执行《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国安全生产法》《网络安全等级保护条例》《信息安全技术 信息安全风险评估规范》GB/T 20984《信息安全技术 网络安全等级保护基本要求》GB/T 22239《工业和信息化领域数据安全风险评估实施指南》4 术语和定义网络安全风险指公司网络、系统、数据等资产遭受潜在威胁利用资产存在的脆弱性导致安全事件发生的可能性以及事件发生后对公司造成的影响程度。风险分级管控指按照风险发生的可能性、影响程度对网络安全风险进行等级划分针对不同等级风险制定差异化管控措施明确管控责任实现风险分级、分层、分类、分专业的全流程管控。网络安全隐患指公司在网络安全管理、技术防护、人员操作、制度执行等方面存在的可能直接或间接导致网络安全事件、数据泄露、业务中断、监管处罚等不良后果的管理漏洞、技术缺陷、违规行为、配置短板等不安全因素。隐患闭环管理指对排查发现的安全隐患实现“排查-上报-登记-整改-验收-销号-复盘-根源治理”的全流程闭环管控确保隐患彻底消除同类问题不重复发生。风险评估指参照《信息安全技术 信息安全风险评估规范》GB/T 20984对网络资产、威胁、脆弱性、现有管控措施进行识别分析评估风险发生可能性与影响程度确定风险等级的全过程。残余风险指实施风险管控措施后仍然存在的、未被完全消除的网络安全风险。可接受风险指经过风险评估公司根据自身安全策略、业务需求与风险承受能力经管理层审批后可接受其潜在影响的残余风险。5 管理职责5.1 归口管理部门公司信息安全管理部门为本制度的归口管理部门全面负责本制度的 落地实施 与监督管控具体职责如下负责本制度的制定、修订、解释、宣贯与落地监督确保制度贴合公司实际与合规要求负责制定公司网络安全风险分级标准、隐患分级标准、风险管控与隐患排查治理工作规范统筹组织开展公司年度、半年度全面网络安全风险评估专项风险评估以及季度、年度全面隐患排查工作负责风险与隐患的统一登记、分级、督办建立风险分级管控台账、隐患治理闭环台账规范填写附件3《网络安全风险分级管控台账》、附件5《网络安全隐患治理闭环台账》负责监督风险管控措施落地、隐患整改进度组织整改验收对重大风险、重大隐患实行挂牌督办下达附件6《隐患整改通知书》负责定期向公司管理层报送风险管控与隐患排查治理工作情况对接监管部门完成相关合规报送工作负责组织开展风险管控与隐患排查治理相关培训、复盘与考核问责工作。5.2 运维执行部门公司IT基础设施管理部门、系统运维部门、业务系统运维部门为本制度的直接执行部门是风险管控与隐患排查治理的一线责任主体具体职责如下落实本制度各项要求制定本领域风险管控与隐患排查操作细则开展日常运维环节的风险监测与隐患排查工作负责每日开展网络、系统、设备的日常风险监测与隐患排查填写附件4《网络安全隐患排查记录表》及时上报发现的风险与隐患负责风险管控措施、隐患整改方案的具体落地执行按要求完成整改提交验收申请配合信息安全管理部门开展风险评估、专项排查、整改验收与复盘工作负责建立本领域风险与隐患管理台账动态更新留存相关记录。5.3 业务与使用部门各业务部门、资产使用部门为本部门业务相关风险与隐患的管理责任主体具体职责如下负责本部门业务系统、终端设备、业务流程相关的网络安全风险识别与隐患自查工作及时上报发现的风险与隐患配合信息安全管理部门、运维部门开展风险评估、隐患排查与整改工作落实本部门相关的整改要求负责规范本部门人员操作行为开展内部宣贯杜绝违规操作带来的安全风险与隐患参与本部门业务相关的风险评估与隐患复盘工作配合制定长效防控措施。5.4 第三方主体责任接入公司网络、参与公司信息化建设的第三方供应商、外包人员、服务商等主体必须严格遵守本制度规定对其提供的产品、服务、操作行为相关的网络安全风险与隐患负责需配合公司开展风险评估与隐患排查对发现的隐患按要求限期整改若因第三方原因导致安全风险或事件承担全部相应责任。5.5 管理层职责公司网络安全管理领导小组、分管领导负责审批重大风险管控方案、重大隐患整改方案监督本制度的整体落地协调解决风险管控与隐患排查治理工作中的重大问题保障相关工作所需的人员、资金、资源支持。6 管理内容6.1 总体原则预防为主主动防控坚持风险预控、关口前移优先开展风险识别与分级管控从源头防范安全隐患变被动处置为主动防控。分级管控责任到人按风险与隐患等级实行分级管控、分级督办明确各环节责任部门与责任人确保“一风险一管控、一隐患一整改”责任全覆盖、无死角。闭环管理持续改进建立隐患排查治理全闭环管理机制确保隐患整改彻底、根源消除定期复盘风险管控与隐患治理情况持续优化管控措施完善制度体系。全员参与全程覆盖建立全员风险防控责任体系覆盖所有部门、岗位、人员覆盖信息化建设、运维、使用、下线全生命周期。合规引领贴合实际风险管控与隐患排查治理工作需符合国家法律法规、行业监管要求同时贴合公司业务实际与网络安全现状确保可落地、可执行。6.2 网络安全风险分级管控6.2.1 风险识别与信息收集风险识别需覆盖公司全量网络资产、全业务流程、全管理环节、全人员主体确保无盲区、无遗漏具体要求如下风险识别与信息收集的主要方式包括日常安全监测、漏洞扫描、渗透测试、日志审计、合规性检查、安全巡检、风险访谈、安全事件复盘、行业风险预警、第三方漏洞平台信息、监管通报等各部门、各岗位人员在日常工作中发现潜在安全风险需立即填写附件1《网络安全风险识别记录表》上报信息安全管理部门风险信息收集实行常态化管理运维部门每日收集汇总风险信息信息安全管理部门每月汇总全公司风险信息每季度组织开展一次全面风险识别每年开展一次全覆盖风险识别出现以下场景时需立即开展专项风险识别与评估新系统上线、重大架构调整、核心业务变更前发生重大网络安全事件、行业内出现重大安全漏洞/事件后国家法律法规、监管要求发生重大调整后公司组织架构、业务模式发生重大变化后重大节假日、重要活动保障前。6.2.2 风险分析与评估网络安全风险评估严格参照《信息安全技术 信息安全风险 评估规范》GB/T 20984执行重点从风险发生可能性和风险影响程度两个核心维度开展分析具体要求如下风险发生可能性从高、中、低三个维度判定评估维度包括威胁源能力、脆弱性可利用性、现有管控措施有效性、同类事件历史发生频率等风险影响程度从严重、较大、一般、轻微四个维度判定评估维度包括对公司业务连续性、数据安全、经济损失、品牌声誉、合规监管、人员安全的影响等风险评估分为常规评估与专项评估常规评估每年至少开展1次全面评估每半年开展1次重点领域专项评估由信息安全管理部门牵头、各部门配合评估完成后出具附件2《网络安全风险评估报告》报公司管理层审批专项评估针对6.2.1中明确的特殊场景由信息安全管理部门组织开展形成专项评估报告并制定对应管控措施风险评估需明确风险点、威胁源、脆弱性、影响范围、现有管控措施、风险等级、管控建议等核心内容确保评估结果真实、准确、可落地。6.2.3 风险等级划分标准公司网络安全风险统一划分为四级实行分级管控具体划分标准如下风险等级等级定义核心判定标准一级风险特别重大风险极高风险必须立即采取管控措施可能导致公司核心业务全面中断、大规模核心数据泄露、重大监管处罚、巨额经济损失、严重品牌声誉危机或触犯国家法律法规的风险二级风险重大风险高风险必须制定专项管控方案可能导致公司核心业务局部中断、重要数据泄露、一般监管处罚、较大经济损失、品牌声誉受损的风险三级风险较大风险中风险需限期落实管控措施可能导致公司非核心业务中断、一般数据泄露、内部管理违规、轻微经济损失的风险四级风险一般风险低风险需持续关注管控基本不影响业务正常运行仅存在局部管理或技术短板无直接重大安全影响的风险6.2.4 风险分级管控要求所有识别评估后的风险全部纳入附件3《网络安全风险分级管控台账》统一管理实行“一风险一编号、一风险一方案”动态更新管控状态分级管控责任与要求一级风险由公司分管领导牵头督办信息安全管理部门联合相关部门制定专项管控方案与应急预案24小时内采取临时管控措施限期消除风险管控方案需报公司网络安全管理领导小组审批二级风险由信息安全管理部门负责人督办责任部门制定专项管控方案7个工作日内落实核心管控措施限期消除风险管控方案报公司分管领导审批三级风险由责任部门负责人督办明确责任人与管控措施15个工作日内完成管控整改报信息安全管理部门备案四级风险由责任人落实管控措施持续监测风险动态30个工作日内完成优化整改报信息安全管理部门登记备案。风险管控措施需针对性覆盖风险根源可分为技术防控措施、管理防控措施、应急防控措施、风险转移措施如网络安全保险四类确保管控措施可落地、可验证、可监测严禁未经审批擅自接受不可接受的风险确因业务需求无法完全消除的残余风险需开展专项评估明确风险影响与防控措施经公司管理层审批后方可纳入可接受风险范围持续监测管控。6.2.5 风险动态管控与监测建立风险动态更新机制当业务环境、威胁态势、管控措施发生变化时需重新开展风险评估调整风险等级与管控措施同步更新管控台账依托公司安全运营中心SOC、安全监测平台对一级、二级高风险实行7×24小时实时监测对三级、四级风险实行定期监测发现风险态势升级立即提升管控等级采取应急措施信息安全管理部门每月复盘风险管控效果每季度向公司管理层报送风险管控台账与工作情况每年对全公司风险管控情况进行全面复盘优化风险管控体系对已完成管控、消除的风险经信息安全管理部门验收确认后在管控台账中完成闭环归档相关记录留存不少于3年。6.3 网络安全隐患排查治理风险管控是隐患排查治理的前提隐患排查治理是风险管控的延伸两者协同推进确保公司网络安全防线筑牢筑实具体管理要求如下6.3.1 隐患定义与等级划分本制度所指网络安全隐患分为技术类隐患与管理类隐患两大类技术类隐患包括系统漏洞、配置缺陷、弱口令、边界防护缺失、访问控制不严、日志审计不完整、恶意代码防护失效等技术层面的不安全因素管理类隐患包括制度缺失、流程不规范、权限管理不严、人员安全意识不足、违规操作、应急体系不完善、培训不到位、第三方管理缺失等管理层面的不安全因素。公司网络安全隐患统一划分为三级实行分级治理具体划分标准如下隐患等级等级定义核心判定标准重大隐患可能直接引发重大网络安全事件必须立即停工/停业务整改可能直接导致核心业务中断、核心数据泄露、重大监管处罚、违法违规行为随时可能引发安全事件的隐患较大隐患可能引发较严重安全事件必须限期整改可能导致非核心业务中断、一般数据泄露、管理违规、局部安全防护失效存在较大安全事件发生可能性的隐患一般隐患对安全运行有一定影响需规范整改仅影响局部操作无直接重大安全影响不会直接引发安全事件的管理或技术不规范问题6.3.2 隐患排查机制建立“日常排查、专项排查、全面排查、突击排查”四位一体的隐患排查体系确保隐患早发现、早上报、早整改具体要求如下日常排查运维部门每日开展网络、系统、设备的日常运维隐患排查各部门每周开展本部门终端、业务操作相关的隐患自查排查人员填写附件4《网络安全隐患排查记录表》发现隐患立即上报专项排查针对重大节假日、重要活动保障、新系统上线、高危漏洞爆发、监管专项检查、行业安全事件等场景由信息安全管理部门牵头组织开展专项隐患排查形成专项排查报告全面排查每季度组织开展一次全公司覆盖的隐患全面排查每年年底开展一次年度全面隐患排查治理复盘由信息安全管理部门牵头各部门全面参与形成全面排查报告与年度工作总结报公司管理层突击排查信息安全管理部门可根据安全态势随机对各部门、各系统开展突击隐患排查核查日常排查工作落实情况与隐患整改效果隐患排查需做到“全覆盖、无死角、不走过场”严禁瞒报、漏报、虚报排查情况排查过程与结果需完整记录留存归档。6.3.3 隐患上报与登记隐患上报实行“首报负责制”发现隐患的人员为第一上报责任人必须立即上报重大隐患必须立即上报信息安全管理部门与公司分管领导严禁迟报、瞒报较大隐患需在2小时内上报信息安全管理部门一般隐患需在24小时内上报信息安全管理部门所有上报的隐患由信息安全管理部门统一审核、分级、登记纳入附件5《网络安全隐患治理闭环台账》实行“一隐患一编号、一隐患一档案”管理动态更新隐患状态对于外部监管部门、第三方机构通报的隐患信息安全管理部门需立即登记启动整改流程按要求反馈整改结果。6.3.4 隐患整改闭环管理隐患整改严格遵循“五定原则”定整改责任人、定整改措施、定整改时限、定应急预案、定验收标准确保整改责任落实到位、整改效果达标具体要求如下分级整改要求重大隐患立即采取临时管控措施暂停相关业务/系统操作成立专项整改小组制定专项整改方案与应急预案整改方案报公司管理层审批24小时内启动整改验收合格后方可恢复相关业务较大隐患明确整改责任人与措施15个工作日内完成整改整改期间采取临时管控措施防范风险一般隐患明确整改责任人30个工作日内完成整改规范优化相关操作与配置。对于整改难度大、整改周期长的隐患必须先采取有效的临时管控措施防范安全事件发生同时制定分阶段整改计划明确各阶段目标与时限定期报送整改进度整改验收与销号整改责任人完成整改后向信息安全管理部门提交整改验收申请与整改佐证材料信息安全管理部门组织验收对照验收标准核查整改效果验收合格的予以销号完成闭环验收不合格的下达附件6《隐患整改通知书》责令限期重新整改跟踪督办直至整改合格严禁虚假整改、纸面整改整改过程需完整记录整改材料、佐证资料、验收报告全部归档留存留存期限不少于3年。6.3.5 隐患根源治理与持续优化隐患整改销号后信息安全管理部门需联合责任部门开展根源分析明确隐患产生的根本原因技术、管理、人员、流程等制定长效防控措施从源头杜绝同类隐患重复发生每季度组织开展隐患治理复盘分析梳理高频隐患、共性隐患优化制度规范、技术防护措施、人员培训内容持续完善公司网络安全防护体系每年将隐患排查治理情况纳入公司网络安全年度工作总结分析年度隐患分布、整改情况、管控短板制定下一年度风险管控与隐患排查治理工作计划。6.4 监测预警与信息报送依托公司安全监测平台建立7×24小时网络安全风险与隐患监测预警体系实时监测威胁态势、漏洞情报、异常行为分级发布安全预警预警等级分为一级、二级、三级、四级对应风险等级预警发布后各部门需立即采取对应防控措施排查相关隐患防范风险落地信息安全管理部门每月向公司管理层报送风险管控与隐患排查治理工作月报每季度报送季度工作报告年度报送全面工作总结重大风险、重大隐患立即专项报送监管部门要求报送的风险管控、隐患治理相关材料由信息安全管理部门统一整理、审核、报送确保内容真实、准确、合规。6.5 档案与台账管理建立风险管控与隐患排查治理全流程档案管理制度所有相关记录、报告、方案、台账、佐证材料全部统一归档规范管理风险管控台账、隐患治理台账实行动态更新、专人管理确保台账信息完整、准确、可追溯所有档案资料电子档留存期限不少于3年纸质档留存期限不少于2年法律法规、监管要求有更长留存期限规定的从其规定。6.6 考核与问责网络安全风险管控与隐患排查治理工作纳入公司各部门、各岗位的年度绩效考核由信息安全管理部门联合人力资源部门开展考核对于严格落实本制度要求有效防范重大安全风险、及时发现并消除重大隐患、避免公司损失的部门与个人公司按相关规定给予表彰与奖励对于违反本制度规定存在以下行为的部门与个人公司将视情节轻重给予通报批评、经济处罚、岗位调整等处分造成安全事件、监管处罚、公司损失的依法追究相关责任构成违法犯罪的移交司法机关处理未按要求开展风险识别、隐患排查工作瞒报、漏报、迟报风险与隐患的隐患整改不力、虚假整改、逾期未整改的擅自接受重大风险未按要求落实管控措施的因违规操作、失职渎职导致重大风险与隐患产生的拒绝配合风险评估、隐患排查、整改验收工作的其他违反本制度规定的行为。6.7 应急处置发现风险隐患已出现恶化迹象或已引发网络安全事件的相关人员必须立即上报同时启动公司《网络安全事件应急预案》采取应急处置措施防止事态扩大安全事件处置完成后需将事件相关风险、隐患纳入管控与整改流程完成根源治理完善防控措施避免同类事件再次发生。7 记录控制一览表序号记录编号记录名称使用部门归档部门保存地点保存期限1AB-T200-004-F01网络安全风险识别记录表各部门、运维部门信息安全管理部门公司文档管理系统3年2AB-T200-004-F02网络安全风险评估报告信息安全管理部门信息安全管理部门公司文档管理系统3年3AB-T200-004-F03网络安全风险分级管控台账信息安全管理部门、运维部门信息安全管理部门公司文档管理系统3年4AB-T200-004-F04网络安全隐患排查记录表各部门、运维部门信息安全管理部门公司文档管理系统3年5AB-T200-004-F05网络安全隐患治理闭环台账信息安全管理部门信息安全管理部门公司文档管理系统3年6AB-T200-004-F06隐患整改通知书信息安全管理部门信息安全管理部门公司文档管理系统3年7AB-T200-004-F07重大风险/隐患专项管控方案信息安全管理部门、责任部门信息安全管理部门公司文档管理系统3年8 附录附件1《网络安全风险识别记录表》AB-T200-004-F01风险编号自动生成识别日期年 月 日风险名称识别人所属部门风险涉及资产/系统/业务风险发生场景风险描述潜在威胁、脆弱性、可能造成的影响初步风险等级预判□ 一级 □ 二级 □ 三级 □ 四级是否已采取临时管控措施□ 是 □ 否临时管控措施说明部门负责人审核意见签字 日期信息安全管理部门登记意见签字 日期备注附件2《网络安全 风险评估报告 》AB-T200-004-F02报告编号评估类型□ 年度全面评估 □ 半年度专项评估 □ 专项应急评估评估周期/评估场景评估日期年 月 日 至 年 月 日评估牵头部门参与部门/人员评估范围评估依据评估方法风险总体情况风险总数、各等级风险数量、整体风险态势分析风险明细清单附表格含风险编号、风险名称、风险等级、涉及资产、威胁分析、脆弱性分析、影响程度、现有管控措施、管控建议高风险专项分析与管控建议残余风险与可接受风险说明整体评估结论与下一步工作计划编制人审核人审批人编制日期审核日期审批日期附件3《网络安全风险分级管控台账》AB-T200-004-F03序号风险编号风险名称风险等级涉及资产/系统责任部门责任人管控措施管控时限管控状态验收情况更新日期备注1□一级 □二级 □三级 □四级年 月 日□管控中 □已闭环 □待管控□合格 □不合格 □待验收年 月 日2□一级 □二级 □三级 □四级年 月 日□管控中 □已闭环 □待管控□合格 □不合格 □待验收年 月 日3□一级 □二级 □三级 □四级年 月 日□管控中 □已闭环 □待管控□合格 □不合格 □待验收年 月 日附件4《网络安全隐患排查记录表》AB-T200-004-F04排查编号自动生成排查日期年 月 日排查人所属部门排查类型□ 日常排查 □ 专项排查 □ 全面排查 □ 突击排查排查范围如某业务系统、某部门终端、网络设备等隐患名称隐患等级□ 重大隐患 □ 较大隐患 □ 一般隐患隐患类型□ 技术类 □ 管理类发现时间年 月 日 时 分隐患详细描述含隐患位置、具体表现、潜在风险是否立即上报□ 是 □ 否上报时间年 月 日 时 分临时防控措施排查人签字签字 日期部门负责人审核签字 日期信息安全管理部门核实意见签字 日期备注附件5《网络安全隐患治理闭环台账》AB-T200-004-F05序号隐患编号隐患名称隐患等级隐患类型发现日期责任部门责任人整改措施整改时限整改进度验收情况销号日期根源分析备注123附件6《隐患整改通知书》AB-T200-004-F06通知书编号下达日期年 月 日隐患编号隐患名称责任部门责任人隐患等级□ 重大隐患 □ 较大隐患 □ 一般隐患隐患类型□ 技术类 □ 管理类隐患发现日期年 月 日原整改时限年 月 日隐患问题描述含未达标情况、潜在风险整改要求与标准重新整改时限年 月 日 前完成督办人下达部门盖章信息安全管理部门经办人签字签字 日期责任部门签收签字 日期责任人签收签字 日期备注附件7《重大风险/隐患专项管控方案》AB-T200-004-F07方案编号方案类型□ 重大风险管控 □ 重大隐患整改对应编号风险/隐患编号编制日期年 月 日牵头部门参与部门牵头人督办人风险/隐患基本情况含名称、等级、涉及范围、潜在影响、现状分析管控/整改目标明确可量化、可验证的目标管控/整改措施分阶段、分责任明确具体操作、责任人、完成时限资源保障人员、资金、技术、设备等保障条件应急处置措施风险/隐患恶化时的应急方案验收标准与方式编制人签字签字 日期牵头部门审核签字 日期分管领导审批签字 日期领导小组审批签字 日期备注