邮箱：215114768@qq.com

 

局属各单位：

为进一步加强对统计网络安全、统计数据安全的组织领导，根据《莆田市统计局关于印发<莆田市统计网络系统安全管理制度><莆田市统计信息系统数据安全管理办法>的通知》（莆统〔2022〕50号）文件精神，现印发《莆田市城厢区统计网络系统安全管理制度》，请认真贯彻落实。

 

                                 莆田市城厢区统计局

                                  2023年12月4日

莆田市城厢区统计网络系统安全管理制度

目 录

第一章 总则………………………………………………………………………………………………3

第二章 职责分工…………………………………………………………………………………………3

第三章 网络系统建设安全管理…………………………………………………………………………5

第一节 网络系统安全规划编制……………………………………………………………………5

第二节 网络系统定级………………………………………………………………………………5

第三节 网络系统安全方案设计……………………………………………………………………5

第四节 网络系统软硬件采购………………………………………………………………………6

第五节 网络系统工程实施…………………………………………………………………………6

第六节 网络系统测试及验收………………………………………………………………………6

第七节 网络系统试运行……………………………………………………………………………6

第八节 网络系统等级测评及风险评估……………………………………………………………7

第九节 网络系统上线及使用………………………………………………………………………7

第四章 网络系统运维安全管理…………………………………………………………………………7

第一节 网络系统安全维护…………………………………………………………………………7

第二节 网络系统身份及访问控制…………………………………………………………………8

第三节 网络系统恶意代码防护……………………………………………………………………9

第四节 网络系统数据备份及数据恢复……………………………………………………………9第五节 网络系统安全状态监控 …………………………………………………………………10

第六节 网络系统安全事件处置与应急预案 ……………………………………………………10

第七节 网络系统安全检查与持续改进 …………………………………………………………11

第八节 网络系统变更管理及变更控制 …………………………………………………………11

第九节 网络安全等级保护制度管理 ……………………………………………………………12

第五章 网络系统连接安全管理 ………………………………………………………………………12

第一节 外部网络连接安全管理 …………………………………………………………………12

第二节 局域网络连接安全管理 …………………………………………………………………13

第六章 数据安全管理 …………………………………………………………………………………13

第七章 网站与政务新媒体安全管理 …………………………………………………………………13

第八章 网络准入及人员访问安全管理 ………………………………………………………………14

第一节 网络及计算机终端安全管理 ……………………………………………………………14

第二节 网络准入安全管理 ………………………………………………………………………14

第三节 内部人员网络访问安全管理 ……………………………………………………………15

第九章 机房安全管理 …………………………………………………………………………………16

第十章 电子邮件安全管理 ……………………………………………………………………………17

第十一章 安全检查和安全教育培训 …………………………………………………………………17

第十二章 附则 …………………………………………………………………………………………17

 

 

 

 

第一章 总则

第一条 为规范城厢区统计网络系统的安全管理，保障网络安全稳定运行，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）《信息安全技术网络安全等级保护安全设计技术要求》（GB/T25070-2019）等规定，特制定本制度。 

第二条 本制度中的网络系统包括城厢区统计系统使用的网络线路、网络设备、网络安全设备、网管系统、中间件、服务器及数据库等所有软硬件系统。 

第三条 本制度适用于网络系统建设、系统运行维护、系统连接以及系统使用等方面的安全管理工作。  

第四条 网络系统的规划、建设及运行实行集中统一管理，城厢区统计机构按照“谁主管谁负责，谁运行谁负责，谁使用谁负责”的原则开展网络系统的各项安全管理工作，逐级落实网络系统安全责任制。 

第五条 城厢区统计系统工作人员须在本制度的权限和职责范围内操作和使用，不得利用网络从事危害国家安全、泄露国家秘密等违法犯罪活动，不得制作、查阅、复制和传播淫秽色情及妨碍社会治安等信息，不得利用网络发表攻击党和国家制度的言论。 

第六条 禁止非信息技术管理部门进行网络的规划、建设和运行管理；未经许可，禁止在城厢区统计机构内部网络搭建无线局域网。 

第二章 职责分工

第七条 城厢区统计机构成立网络安全和信息化工作领导小组，组长由局负责人担任，副组长由党组成员和其他班子成员担任，成员由各业负责人组成。负责统筹协调、动落实网络系统安全领导工作。城厢区统计机构领导班子对本单位网络系统安全负全面领导责任；班子主要负责人负主要领导责任，分管领导负直接领导责任，班子其他成员负相关领导责任，各部门主要负责人及相关业务人员根据所承担的任务负直接责任。每年至少召开一次网络安全题会议，听取网络安全工作总体情况汇报，研究网络安全工作。  

第八条 城厢区统计机构网络安全和信息化工作领导小组为网络系统安全管理工作领导部门。 

第九条 网络安全和信息化工作领导小组职责： 

（一）根据《中华人民共和国网络安全法》《中华人民共和国密码法》《中华人民共和国数据安全法》等相关规定，贯彻落实国家统计局、省统计局和市有关网络安全管理部门制定的政策及工作部署，制定网络系统安全总体规划和管理制度，领导统计系统开展网络安全工作。 

（二）制定网络系统安全规章制度，督促、指导本单位落实网络系统安全规章制度。 

（三）统筹规划网络系统安全建设和运维所需资金、物资、人力等资源。 

（四）制定网络系统安全应急预案，组织应对突发事件和领导网络系统安全事件的追查、处置工作。 

（五）组织开展网络系统安全等级保护相关工作。 

（六）制定网络系统商用密码的应用规划和实施方案，指导本单位商用密码应用改造工作。 

（七）制定网络系统安全宣传和教育计划。 

第十条 城厢区统计机构网络安全和信息化工作领导小组办公室的职责： 

（一）负责组织本单位政务信息、业务信息安全管理，制定信息审核、发布等规定，并贯彻落实。 

（二）负责落实本单位网络系统的网络安全规划和建设工作。按照“同步规划、同步建设、同步运行”的原则，落实本单位网络系统的建设和密码应用升级改造工作。负责本单位网络系统的安全风险评估，制定相应安全规划、安全方案、安全措施、管理制度及经费预算。 

（三）组织开展网络安全通报工作。在重要时期，组织开展网络安全监测和应急处置工作，发现重大网络安全事件时，及时上报网络安全和信息化工作领导小组，并根据应急预案，采取相应措施。定期开展网络安全应急演练工作。 

（四）组织本单位网络安全检查，配国家统计局、省统计局和市有关网络安全管理部门的各项网络安全检查工作，及时整改检查中发现的问题。定期开展安全自查，制定并落实各项整改措施。 

（五）负责网络安全等级保护的定级、备案、测评和整改。定期开展等级保护测评工作，根据测评结果对网络系统进行整改。 

（六）负责网络安全运维工作，从物理、网络、主机、应用等方面进行安全监测和运行管理，优化网络安全策略，保障网络系统安全运行。 

（七）制定网络安全培训计划，组织网络安全管理人员参加安全教育培训，提高相关人员的网络安全意识和技术防护能力。 

（八）做好其它网络安全相关工作及领导小组交办的有关事项。 

第三章 网络系统建设安全管理

第一节  网络系统安全规划编制

　　第十一条 城厢区统计机构网络安全和信息化工作领导小组负责编制本单位网络系统安全规划，编制的网络系统安全规划应符国家统计局以及省统计局的安全规划要求，并依据国家统计局以及省统计局网络系统安全规划的变化不断进行调整。 

第二节  网络系统定级

　　第十二条 城厢区统计机构网络安全和信息化工作领导小组应按照《国家统计信息系统安全等级保护定级指南》及《国家统计系统信息安全等级保护管理办法》的相关规定执行网络系统定级工作。 

第三节  网络系统安全方案设计

　　第十三条 城厢区统计机构网络安全和信息化工作领导小组办公室负责组织本单位网络系统安全方案设计。 

　　第十四条 网络系统安全方案的设计应以《国家统计信息系统安全设计技术要求》中的相关规定为依据，其中，安全策略制定主要包括网络结构安全、网络访问控制、网络安全审计、网络入侵防范、网络恶意代码防范、网络设备登录控制、边界完整保护、通信网络可信接入保护以及网络备份与恢复等方面。主要安全设计要求如下： 

　　（一）网络结构安全设计：理划分网络区域，对核心网络设备和网络链路进行冗余或备份设计，根据设计绘制网络拓扑结构图，明确标识网络区域边界及关键网络设备等信息； 

　　（二）网络访问控制安全设计：在网络边界部署访问控制设备或防火墙等安全设备，对网络区域边界及网络区域内部设计访问控制安全策略； 

　　（三）网络设备服务能力安全设计：保证关键网络设备的业务处理能力和带宽设计具备冗余空间，满足业务高峰需求； 

　　（四）网络设备登录控制设计：依靠网络设备、网络安全设备提供的功能设计网络登录控制及远程接入访问控制策略； 

　　（五）网络安全集中管理设计：根据网络安全管理需要在网络系统中部署集中的网络安全管理产品，对网络设备进行集中监控、配置和故障诊断等管理； 

　　（六）网络行为安全审计设计：根据网络安全保护需要在网络系统中部署网络安全审计产品，对网络设备运行情况、网络流量、用户行为等日志进行审计。 

第四节  网络系统软硬件采购

　　第十五条 城厢区统计机构网络安全和信息化工作领导小组办公室应根据网络系统安全方案设计要求，按照规定的采购流程组织采购符规定要求的产品。对于安全保护等级三级及以上的网络系统中信息安全产品的选型及采购，还应采用与其安全保护等级相适应的网络产品和服务。 

第五节  网络系统工程实施

　　第十六条 网络系统工程实施是指将网络系统相关软硬件安装部署到符等级保护要求的安装环境中，并进行安全策略等配置和调试。 

　　第十七条 网络系统工程实施应严格保证网络系统安装测试环境与在运行的网络环境隔离。在网络系统安装过程中应满足以下要求： 

　　（一）在网络设备上粘贴不易除去的标签（标记设备基本信息）； 

　　（二）禁用网络系统中不要的网络服务及端口，删除与网络系统运行和维护无关的账号，并安装网络系统安全运行所需的全部安全补丁程序； 

　　（三）严格按安全方案中的安全策略设计进行安全配置，建立并安全保管网络系统配置文档，在文档中详细记录当前的网络安全策略配置信息。 

第六节  网络系统测试及验收

　　第十八条 城厢区统计机构网络安全和信息化工作领导小组办公室负责组织本单位网络系统的测试验收工作，在网络系统功能及能测试验收的同时须同步做好安全测试验收，对于安全保护等级二级及以上网络系统，应委托公正的第三方测试单位执行安全测试验收工作，并对其出具的安全测试验收报告进行备案。 

　　第十九条 在网络系统测试验收期间，应尽量断开测试中的新建网络系统与在运行的网络系统间的连接；在进行新建网络与在运行网络间的接入连接测试时，应采用要的访问控制技术措施严格控制新建网络连接后的接入方式和访问范围（如限定新建网络的接入地址及可访问的地址等）。 

第七节  网络系统试运行

　　第二十条 网络系统测试验收通过后，需经过一定时间的试运行。网络安全和信息化工作领导小组办公室负责制定试运行计划，执行试运行期间的网络系统安全维护和管理工作，并根据试运行阶段发现的问题及时调整网络系统的部署和配置，并对试运行期间的网络系统安全情况进行监督和检查，提出处置意见甚至延长试运行时间。 

　　第二十一条 试运行期间应开启网络系统的日志和审计功能，记录跟踪网络系统使用及安全状况，审计管理员应定期对试运行网络系统审计结果进行分析，保证试运行网络系统的正常运行。 

　　第二十二条 网络系统试运行不格的，网络安全和信息化工作领导小组办公室负责根据相关部门的意见对网络系统进行整改，达到相关部门安全管理及使用要求后，才能正式上线。 

第八节  网络系统等级测评及风险评估

　　第二十三条 网络系统试运行结束后，需要对于安全保护等级为二级及以上的网络系统进行等级测评。等级测评工作由网络安全和信息化工作领导小组办公室统一组织，可以委托具有业资质的测评机构执行等级测评工作，编写等级测评报告并备案。 

　　第二十四条 等级测评和风险评估不格的网络系统，不允许上线使用，应依据等级测评告和风险评估报告对网络系统进行整改，相关工作完成后重新进行风险评估和等级测评。 

第九节  网络系统上线及使用

　　第二十五条 网络系统试运行结束后，网络安全和信息化工作领导小组办公室应根据试运行结果编写试运行报告。 

　　第二十六条 未经审批上线的各类网络系统，网络安全和信息化工作领导小组办公室有权要求相关部门停用并进行整改。 

第四章 网络系统运维安全管理

第一节 网络系统安全维护

　　第二十七条 城厢区统计机构网络安全和信息化工作领导小组办公室负责网络系统安全管理与维护工作。要保障网络安全运维经费，网络系统安全防护设施的建设、运维及安全检查、测评、整改等费用列入年度经费预算。 

　　第二十八条 网络管理员应就所管理的网络软硬件系统建立登记管理制度，记录并维护网络系统管理日志，包括网络系统的建设、使用、维护以及废止等方面的日志。 

　　第二十九条 网络安全和信息化工作领导小组办公室应指定人（网络管理员）对网络系统的拓扑图、配置参数、地址表等信息统一登记管理。网络系统发生变更时，应及时更新备案，并将更新后的网络拓扑图逐级上报至市统计局网络安全领导小组办公室备案。上述所有信息应严格保密，信息的获取及访问应经过部门主管领导审批，严禁任何的非授权信息获取及访问行为。 

　　第三十条 网络管理员和安全管理员应做好网络系统的日常巡检工作，包括检查网络系统的运行状态、检测网络线路可达情况、查看网络系统安全策略执行情况、对网络冗余设备定期进行切换测试等，发现问题时应做出预警并及时处理。网络管理员应定期将巡检记录结果整理、归档，按月形成报告，并内部备案。 

　　第三十一条 网络安全和信息化工作领导小组办公室应保证整个网络设备正常运行所须的运行环境。网络系统因运行环境或其他原因需要停用时，应经网络安全和信息化工作领导小组办公室负责人批准确认后方可停用。 

　　第三十二条 城厢区统计机构广域网接入节点中使用的核心网络设备（如路由器、交换机、防火墙等）的变更和维修，须经过本级网络安全和信息化工作领导小组审批。 

　　第三十三条 未经允许严禁厂商或服务商通过因特网或其他方式远程登录进行网络软硬件系统的维修。厂商或服务商人员进入现场维修网络软硬件系统时，网络安全和信息化工作领导小组办公室应指派人全程陪同监控，维修完成后应对维修后的网络软硬件系统进行安全检查。 

　　第三十四条 因网络硬件设备故障需要带离现场维修，需将设备带离机房时，应记录设备出入机房日志，拆除所有可能存储配置信息等敏感信息的硬件和固件，或清除敏感信息后方能带出机房进行维修。 

　　第三十五条 对不能满足网络系统业务使用需求而报废处理的网络软硬件系统，应报本级网络安全和信息化工作领导小组审批。 

　　第三十六条 对下架报废的网络硬件设备，网络安全和信息化工作领导小组办公室应采取要的措施对设备存储介质内数据进行不可恢复处理或销毁处理。 

第二节 网络系统身份及访问控制

　　第三十七条 城厢区统计机构网络安全和信息化工作领导小组办公室负责完成网络系统中安全系统的身份及访问控制。 

　　第三十八条 网络系统的账号应按用户分配，根据实际需要为用户分配完成其任务的小权限。不允许在同一个网络软硬件系统中配置同名账号，避免不同用户共享账号；避免同一个用户在多个网络软硬件系统中使用同样的用户账号和口令，防止一个网络软硬件系统的口令失窃威胁其他系统安全；在网络软硬件系统中配置账号口令时，应采用口令加密存储方式。 

　　第三十九条 安全保护等级三级及以上的网络系统须采用口令、密码技术、生物技术等身份鉴别方式，其中至少一种应使用密码技术来实现。 

　　第四十条 网络系统需设定两层管理口令。第一层口令的权限控制在对网络系统的设置进行查看和浏览，第二层口令的权限才可以对设备配置进行更改。 

　　第四十一条 安全保护等级二级及以上网络软硬件系统应定期更换管理员账号的口令，口令的设置应满足口令复杂度要求（8位以上，大小写字母、数字和特殊字符三者以上组）；信息安全等级三级及以上网络软硬件系统应采用两种身份鉴别技术对系统进行登录验证。 

　　第四十二条 应在网络系统中配置网络管理员登录访问限制策略，包括限定访问IP或使用用的管理终端和通信路径，分离管理数据流与业务数据流等。 

　　第四十三条 应在网络系统中配置登录失败处理策略，包括对非活跃时间或结束会话后自动终止网络连接，限制非法登录次数及当前网络登录连接超时自动退出等。 

　　第四十四条 应在网络系统中配置远程管理限制策略，包括限制只能通过网络管理端口进行管理和维护，禁止使用明文传送的Telnet或http服务，采用SSH或HTTPS等加密协议。 

第三节 网络系统恶意代码防护

　　第四十五条 城厢区统计机构网络安全和信息化工作领导小组办公室负责组织、监督和检查网络系统恶意代码防护安全工作的执行,按照安全策略完成网络系统中的恶意代码防护工作。 

　　第四十六条 网络管理员和安全管理员应定期去网络系统产品供应商网站上检索新的更新程序或新的安全补丁程序并及时下载和安装，安全管理员应定期对网络系统的升级更新情况进行检查。 

　　第四十七条 网络中部署了恶意代码防护系统的，安全管理员应定期检测系统更新并维护恶意代码库的升级，检查是否启用了恶意代码检测及阻断功能，查看相关阻断信息并对截获的恶意代码进行分析处理，编写书面报表和总结汇报进行备案。 

　　第四十八条 安全管理员应制定漏洞扫描策略，定期进行漏洞扫描，对发现的网络安全漏洞及时进行修补与更新，并编写书面报表和总结汇报进行备案。 

第四节 网络系统数据备份及数据恢复

　　第四十九条 网络系统中需要备份的数据主要包括系统配置数据以及系统运行过程中记录的日志及审计数据。其中，网络系统运维部门负责网络系统中非安全系统配置数据和日志及审计数据的备份和恢复；信息安全管理职能部门负责网络系统中安全系统配置数据和日志及审计数据的备份和恢复，并监督与指导网络系统运维部门执行网络系统数据的安全备份及恢复工作。 

　　第五十条 网络系统配置数据的备份和恢复要求如下： 

　　（一）应定期备份网络系统的安全配置信息，安全保存于与网络系统隔离的存储介质（设备）中，并定期检查数据的有； 

　　（二）网络系统遇割接、优化调整、软件升级等情况时，应提前备份网络系统的安全配置信息； 

　　（三）备份后的网络系统配置数据应加密存储，并采用技术和管理手段保护数据完整。 

　　第五十一条 网络系统日志及审计数据备份和恢复要求如下： 

　　（一）应预先制定日志及审计数据保存及备份的策略与机制，通过网络系统提供的日志及审计数据保存和备份功能备份数据； 

　　（二）应定期将存储在网络设备中日志和审计数据备份到与网络设备隔离的存储介质（设备）中进行存档，并定期检查数据的有和完整。 

第五节 网络系统安全状态监控

　　第五十二条 城厢区统计机构网络安全和信息化工作领导小组办公室负责网络系统安全状态监控。 

　　第五十三条 网络管理员应充分利用网络管理系统，日志集中管理平台等工具实现对网络设备运行状况、网络流量、用户行为等的实时监控和能分析，确保故障能够及时发现。 

　　第五十四条 网络管理员应在网络边界处重点监控主流的各种攻击行为。如，端口扫描、强力攻击、木马后门攻击、拒服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等。发现攻击行为时，应记录攻击源IP、攻击类型、攻击目的、攻击时间等信息。 

　　第五十五条 网络管理员对发现的异常情况和安全隐患应及时处理和修复，上报本级网络安全和信息化工作领导小组办公室，对发现的影响网络系统正常运行的重大信息安全事件，应启动应急预案。  

第六节 网络系统安全事件处置与应急预案

　　第五十六条 网络系统安全事件处置应按照《莆田市统计局关于印发新闻发言人及新闻应急处置制度等六项制度的通知》（莆统〔2019〕63号）中《莆田市统计局网络与安全事件应急预案》规定的相关职责和处置程序开展工作。 

　　第五十七条 网络安全和信息化工作小组应对网络系统相关的人员定期进行应急预案培训。网络系统运营者应每年至少开展一次网络安全应急演练，设备保温施工提高应对网络安全事件的水平和协同配能力。网络系统运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。在重大会议期间加强网络系统安全值守，制定安全值守方案及值班计划，保持24小时通讯畅通。 

　　第五十八条 发生网络安全事件后，网络安全和信息化工作领导小组应当立即启动应急预案，采取有处置措施，并在24小时内将有关情况报送市统计局网络安全领导小组。市统计局网络安全领导小组根据网络安全事件影响范围判断是否报送市网络安全主管部门。 

第七节 网络系统安全检查与持续改进

　　第五十九条 城厢区统计机构网络安全和信息化工作领导小组办公室主要负责本级网络系统的自查工作，并负责协助上级部门,完成上级布置的网络系统安全检查工作。 

　　第六十条 网络安全和信息化工作领导小组办公室应至少每半年对网络系统安全状况进行系统自查工作，对发现的问题及时整改。 

　　第六十一条 网络安全和信息化工作领导小组办公室应配授权的外部机构对本单位进行网络安全检查。 

　　第六十二条 对自查和上级部门检查中发现问题的，网络安全和信息化工作领导小组办公室应根据检查结果及检查报告中的处理意见，编写网络系统整改方案，组织整改，并在整改完成后向发起检查的部门报告整改情况，并接受其复查。 

第八节 网络系统变更管理及变更控制

　　第六十三条 网络系统的变更主要包括网络结构变更、网络安全保护等级变化引起的变更以及网络系统安全策略变更等。 

　　第六十四条 网络系统的网络结构变更应由业务应用部门发起，向本级网络安全和信息化工作领导小组办公室提出网络系统的使用需求；网络安全和信息化工作领导小组办公室根据业务应用部门提出的网络使用需求，分析是否需要进行网络变更以及执行网络变更的可行，编写可行分析报告，并进行变更审批，审批通过后按本制度第三章规定进行网络系统建设。 

　　第六十五条 网络系统的网络安全保护等级变化引起的变更应由业务应用部门发起，向本级网络安全和信息化工作领导小组办公室提交网络变更申请，并将网络系统安全等级变更后的定级报告作为变更申请附件；由本级网络安全和信息化工作领导小组办公室进行变更审批，审批通过后按本制度第三章规定进行网络系统建设。 

　　第六十六条 网络系统的安全策略变更应由本级网络安全和信息化工作领导小组办公室负责。 

　　第六十七条 接入广域网的网络接入节点相关网络系统的变更，由网络安全和信息化工作领导小组办公室负责按本制度第三章规定进行网络系统建设。 

　　第六十八条 执行网络系统变更前，应由网络安全和信息化工作领导小组办公室负责制定网络变更与回退方案，并备份网络软硬件系统当前安全策略，为回退方案执行做好准备。 

第九节 网络安全等级保护制度管理

　　第六十九条 城厢区统计机构网络安全和信息化工作领导小组办公室应按照《信息系统安全技术、网络安全等级保护定级指南（GB/T22240一2020）》《国家统计信息系统安全等级保护定级指南》《国家统计信息系统安全保护层次区域等级划分准则》中的相关规定对统计网络系统进行定级。其中，新建的统计系统应在系统建设前完成系统定级；已运行未定级的统计网络系统应在系统整改前完成系统定级；已运行已定级的统计网络系统应在系统安全保护等级变化时重新定级。 

　　第七十条 网络安全和信息化工作领导小组办公室应定期组织对统计网络系统进行等级测评，安全保护等级三级系统每年进行一次等级测评，安全保护等级二级系统不定期进行等级测评。 

第五章 网络系统连接安全管理

第一节 外部网络连接安全管理

　　第七十一条 各级网络系统与外部网络连接应统一管理和控制。所有的外部网络连接除经过本级网络安全和信息化工作领导小组审批备案外，区级统计机构的外部网络连接应上报市级网络安全工作领导小组审批备案。 

　　第七十二条 城厢区统计机构不得私自建立机构间的广域网连接。凡未经上级主管机构审批建立的网络连接，市级网络安全工作领导小组有权要求断开网络连接。 

　　第七十三条 城厢区统计机构不得私自建立其他任何的外部网络连接，包括不得私自建立与Internet的网络连接；不得私自建立与第三方作伙伴的网络连接；不得私自建立远程拨号接入的网络连接等。凡未经审批建立的网络连接，市级网络安全工作领导小组有权要求断开网络连接。 

　　第七十四条 城厢区统计机构应在网络边界配备安全防护措施，并设置严格的访问控制策略。访问控制策略设置应遵循“默认禁止”和“小授权”原则。根据应用的需求，仅开放需要的服务端口；应尽可能细化到具体计算机IP地址和服务端口，一般禁止对本网络区域外的IP开放3389、445、135、139等高风险端口，以降低安全隐患。 

第二节 局域网络连接安全管理

　　第七十五条 网络系统中局域网的连接应统一管理和控制，不允许私自建立局域网络系统间的连接。凡未经审批建立的网络连接，本级网络安全和信息化工作领导小组有权要求断开网络连接。 

　　第七十六条 不同安全保护等级的局域网络不允许直连，网络连接时应在网络边界设置要的网络安全隔离设备，并配备符网络系统安全等级保护要求的安全访问控制策略。 

第六章 数据安全管理

　　第七十七条 网络系统实行安全等级保护，软件使用权限按程序审批，相关软件使用人员按业务指定权限使用、操作相应的软件，并且定期或不定期地更换不同的密码口令，不得使用弱口令。 

　　第七十八条 应采用密码技术保证重要数据在传输、存储过程中的保密，包括但不限于鉴别数据、重要业务数据和重要个人信息等。 

　　第七十九条 应采用校验技术或密码技术保证重要数据在传输、存储过程中的完整，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。 

　　第八十条 网络系统不得收集其提供服务所需以外的用户个人（企业）信息，或者将信息用于提供服务之外的目的，不得以欺骗、误导、强迫等方式，或者违反法律、行政法规以及双方的约定收集信息。系统在传输或者存储个人（企业）信息时，需采用加密算法进行加密。 

第七章 网站与政务新媒体安全管理

　　第八十一条 统计官网与统计政务新媒体不得出现以下安全、泄密事故等严重问题： 

　　（一）出现严重表述错误； 

　　（二）对安全攻击（如页面被挂马、内容被篡改等）没有及时有处置造成严重安全事故； 

　　（三）存在弄虚作假行为（如伪造发稿日期等）; 

　　（四）发布未经保密、版权和业务审核的信息。 

　　第八十二条 应当对收集、使用的用户信息严格保密，做好用户信息保护工作。 

　　第八十三条 加强信息发布审核、管理，发现法律、法规禁止发布或者传输的信息，应当立即停止传输该信息，并采取消除等处置措施，防止信息扩散，保存有关记录，并向有关主管部门报告。 

　　第八十四条 做好舆情监测工作，加强网络信息审查，一旦发现问题，及时处理。 

　　第八十五条 网上发送的电子信息、应用软件等，不得设置恶意程序，不得含有法律、行政法规禁止发布或者传输的信息。 

第八章 网络准入及人员访问安全管理

第一节 网络及计算机终端安全管理

　　第八十六条 城厢区统计网络实行内网与外网物理隔离。 

　　第八十七条 计算机须安装防病毒软件，病毒库需更新至新，定期进行漏洞扫描并安装系统补丁，确保操作系统安全运行。 

　　第八十八条 计算机须做好安全保护工作，如设置开机、待机屏幕保护密码，禁止系统匿名账号、远程登录等，确保数据安全。禁止使用移动硬盘、U盘、手机等存储设备进行数据交换，只能使用光盘刻录的方式进行数据交换。 

　　第八十九条 禁止利用本局网络，对外提供WEB、DHCP、DNS、MAIL等网络服务，禁止私自安装网络设备，禁止私自建立网站、论坛等。 

　　第九十条 禁止上班时间利用网络玩游戏、炒股、看电影、聊天等与工作无关内容。 

　　第九十一条 处理涉密信息只能使用各级统计机构保密办指定的涉密计算机，并按规定操作。 

　　第九十二条 须遵守“涉密的信息不上网、上网的信息不涉密”和“谁上传、谁负责，谁审核、谁负责”的制度。 

　　第九十三条 因装修或建设需要变动网络线路或设备时，须事先提出可行方案，由信息技术管理部门审核通过后方可实施。 

　　第九十四条 计算机按程序批准报废后，将报废计算机、硬盘由本单位人统一保管，并送有资质的机构销毁。 

　　第九十五条 涉密信息设备的使用、保管、移交、销毁等环节须严格执行国家秘密载体保密管理制度，实行人管理。 

第二节 网络准入安全管理

　　第九十六条 存储涉及秘密信息的主机和终端设备不得接入本制度中约定的网络系统。城厢区统计机构网络安全和信息化工作领导小组办公室应对主机服务器及各类终端设备的网络准入进行严格管理，任何机构或个人不得私自将主机服务器及各类终端设备接入统计信息网络。 

　　第九十七条 主机服务器及各类终端设备接入内部网络时，业务部门应向市级统计机构网络安全领导小组办公室提出网络接入申请，检查通过后方可执行网络接入地址分配及网络接入环境准备等工作。 

　　第九十八条 对待入内网的主机服务器及各类终端设备的安全符检查主要包括以下内容： 

　　（一）是否关闭了不要的服务及端口； 

　　（二）是否安装了安全运行所需的安全补丁程序； 

　　（三）是否安装了安全管理客户端软件及病毒和恶意代码防护软件； 

　　（四）是否进行了要的恶意代码和病毒检查； 

　　（五）是否符终端管理系统准入条件。 

　　第九十九条 凡是在内部网络中使用过的主机服务器和终端设备，未经批准不能连入外部网络中使用。如需要连接到外部网络中使用的，需要在联网前进行门的安全检查和安全处理。 

第三节 内部人员网络访问安全管理

　　第一百条 内部人员网络访问包括局域网络访问、Internet访问及远程网络访问。内部人员所在部门应对内部人员的网络访问权限进行严格控制，记录访问授权日志及权限回收日志，并备案保存。 

　　第一百零一条 内部人员入职后，所在业务应用部门应根据工作需要向本级网络安全和信息化工作领导小组办公室提出网络访问授权申请，经批准后，开通网络服务；内部人员离职或岗位调动前，所在部门应及时通知本级网络安全和信息化工作领导小组办公室收回或调整内部人员网络访问权限。 

　　第一百零二条 网络安全和信息化工作领导小组办公室应为每一个内部人员分配唯一的网络访问账号和口令，并按照小权限原则对内部人员进行网络使用授权，严格监控内部人员的网络使用行为，详细记录网络访问授权及行为监控日志，并对使用申请审批材料及各类日志信息等进行备案。 

　　第一百零三条 内部人员得到账号口令后，应在次使用时修改初始口令，并对自己的账号和口令妥善保管，不得提供给他人使用，发现账号和口令丢失后，应尽快上报所在部门和网络系统运维部门处理，严禁任何非授权的外部访问。 

　　第一百零四条 内部人员须注重局域网络使用安全，禁止内部人员利用统计机构的网络从事破坏局域网安全的任何行为，如恶意攻击网络设备等行为，一经发现，应及时阻断，并严惩责任人员。 

　　第一百零五条 内部人员须意识到Internet是“公开的”，数据信息可能会被非法获取，因此在通过Internet传送敏感数据时须考虑安全要求，采用一定的加密措施。在Internet上分发和业务相关的数据或文件前，须得到相关业务应用部门主管领导的批准，禁止利用统计机构的网络在Internet上进行任何非法的活动，禁止在办公设备上安装从网络上下载的可执行程序。 

　　第一百零六条 内部人员从Internet接入统计机构局域网络时，只能采用VPN的远程访问方式，未经许可严禁为第三方人员（如公司技术人员）分配VPN帐号。严禁使用任何即时通讯工具提供的远程访问服务（如QQ远程桌面等）；Windows远程桌面连接及SSH等远程服务，只能在统计机构的局域网络远程访问中使用。 

　　第一百零七条 内部人员离岗离职时，网络安全和信息化工作领导小组办公室应即时取消其计算机网络系统访问授权。职务上的需要所持有或保管的一切记录着本单位信息的文件、资料、图表、笔记、报告、信件、传真、磁带、磁盘、仪器以及其他任何形式的载体，均须归还，而无论这些信息有无商业上的价值。办理离职手续后，离职人员须承诺离职后的保密义务，签订离岗安全保密协议。 

第九章 机房安全管理

　　第一百零八条 严禁携带任何易燃、易爆、腐蚀、强辐射、流体物质等物品进入机房，禁止在机房内吸烟。 

　　第一百零九条 外来人员未经许可不得进入机房，因工作需要进入机房时须做好进出入登记，应填写《机房人员出入记录》。换穿拖鞋或鞋套方可进入机房工作。 

　　第一百一十条 离开机房时应检查相关设备是否正常运行。 

　　第一百一十一条 机房工作人员应恪守保密制度，不得泄露各种密码、信息资料和数据。发生密码、资料丢失等情况要及时上报，并积采取措施保证机房安全。 

　　第一百一十二条 工作人员要确保机房的空调、配电、防雷接地等系统正常运行，定期检查，发现隐患及时排除，设备报警要立即处理。  

　　第一百一十三条 机房钥匙或门禁由人保管，不能随意转借。 

　　第一百一十四条 对机房设备进行操作应当遵守规范，禁止无关人员操作机房任何设备。 

　　第一百一十五条 定期对设备、机房环境进行常规清洁和维护。 

　　第一百一十六条 工作人员应按职责密切监视各种设备的运行情况，确保安全、高运行，发现问题及时处理并上报。 

　　第一百一十七条 任何设备出入机房，经办人须填写《计算机机房设备出入记录》。 

第十章 电子邮件安全管理

　　第一百一十八条 外部电子邮件指的是使用外网电子邮件系统（例如QQ、163电子邮箱系统），对于使用外部电子邮件系统有如下要求： 

　　（一）严禁通过外网邮箱传递、转发涉密信息、工作秘密、敏感信息等。 

（二） 定期检查，及时清理、清空邮箱中收发过的邮件，关闭邮箱自动转发功能。 

　　（三）用户应增强电子邮箱密码复杂度，并对邮箱帐号和密码的安全负责。用户不得自行把自己的邮箱帐号提供给他人使用，须经常改变邮箱密码以防邮箱被他人盗用。 

（四）对来源不明的可疑邮件、链接、附件不要随意打开，提高对钓鱼、恶意链接邮件的警惕。 

  第十一章 安全检查和安全教育培训

　　第一百一十九条 城厢区网络安全和信息化工作领导小组办公室应当积配上级统计局、网信办、公安局等信息安全管理部门开展的项检查工作，按时报送相关检查材料。 

　　第一百二十条 信息技术管理部门负责局网络系统安全等级保护测评、安全巡检、漏洞扫描、安全评估等安全工作，分发整改报告，各部门应及时整改加固并反馈。 

第一百二十一条 城厢区网络安全和信息化工作领导小组办公室制定安全教育年度计划，结工作特点和实际开展不同形式的安全教育，提高安全教育的针对和实、组织相关人员认真学习国家关于计算机网络和信息安全的有关规定，提高工作人员维护网络安全的警惕和自觉。 

第十二章 附则

　　第一百二十二条 本制度由莆田市城厢区统计网络安全和信息化工作领导小组办公室负责解释。 

　　第一百二十三条 本制度自发布之日起执行。