互联网使用管理规范

互联网使用管理规范

1.目的

为规范互联网的访问和使用，保障互联网的合理、安全、高效运行，保障网络资源的高效利用，保证业务的服务质量，特制订本管理规定。

2．适用范围

本规定适用于及所属下属企业。本规定主要是规范互联网技术及安全管理，不涉及互联网信息发布内容的管理，内容管理参见总办或相关规定。

3.释义

本规定所指网络特指内部网络，包含有线网络、无线网络和VPN网络。网络设备指能与公司网络进行有效数据通信的任何网络、通讯、计算机产品。

互联网，是由按照一定的通讯协议组成的，位于网络之外并提供公用信息和互连的国际计算机网络。

防火墙是一种协助确保信息安全的网络设备，用来隔离公司的内外网络，并会依照特定的规则，允许或是限制传输的数据通过。

上网行为管理是指帮助互联网用户控制和管理对互联网的使用，包括对网页访问过滤、网络应用控制、带宽流量管理、信息收发审计、用户行为分析等。

4.职责：

信息管理部是互联网的管理部门，主要职责有：

1、负责整个互联网出口的建设、日常维护和管理，包括但不限于所有互联网出口的建设、互联网上网管理等；

2、相关域名注册情况登记备案，协助下属企业向政府信息主管部门进行域名备案；

3、负责网站的建设、运行、维护和技术支持，审核关于网站的推广计划；

4、监督、检查网站运行情况；指导、检查、监督各板块及下属公司网站运行、维护工作；

5、负责网络安全（包括但不限于防病毒、防黑客攻击）；以及为网站的正常运行、日常维护提供技术支持与保障。

各产业板块及下属公司信息管理部门负责根据本规定的要求制订、完善和执行本公司的管理办法，但不得与管理制度相抵触；负责本公司用户访问互联网权限的管理。

5.使用和管理规定：

根据业务的发展，允许各板块及下属企业有互联网出口，可以访问互联网并发布信息。网络内的所有互联网出口的设备、线路、IP地址由信息管理部统一管控。

5.1 互联网基础架构管理

1)网络设备

互联网网络设备主要包括网络防火墙（含硬件防火墙、软件防火墙）、上网行为管理设备（含代理服务器）等。

互联网网络设备的管理，按网络设备管理规定进行管理。

2) 拓扑结构

为保障网络的安全，公司内网必须通过防火墙或上网行为管理设备与互联网进行连接，各板块及成员企业典型互联网网络拓扑结构请参照下图：

任何企业或个人未经批准，禁止更改互联网网络物理线路链接。禁止变动公司互联网网络拓扑结构、改变互联网网络连接关系。

3）网络协议和端口管理

公司网络中使用的IP地址由信息部进行统一规划，个人电脑所用内网IP 地址必须按信息部指定DHCP方式获取，禁止擅自改动。

各板块及下属企业使用的IP地址段，由信息管理部统一规划和分配，各板块及下属企业应该将本企业使用的IP地址段报信息部备案。详见网络协议标准。

对外网提供服务的服务器，不得打开除应用服务使用端口之外的其他端口。

4) 网络服务

互联网网络服务包括但不限于DNS、E-mail、WWW、FTP、Proxy代理等。任何公司或个人未经批准，禁止私自架设网络服务；替换、变更、关闭、干扰网络服务。

如有相关需求，需要向信息管理申请并备案，申请上述开通网络服务，请提交网络服务申请表（见附件一）。

5.2 互联网上网行为管理

5.2.1 使用权限管理

1）申请访问互联网的必须是有合理办公需求的公司正式员工。

2）申请访问互联网的使用人，应当向信息部提交相关申请材料，并如实填写互联网访问申请表（见附件二）。

3）信息管理部将根据工作需要及职级开通互联网访问权限，有特殊要求需要经信息部及部门领导批准后开通。

4）对予以批准的，信息管理部保留申请材料备案，并负责开通和分配访问资源；对没有批准的，将申请材料退回原申请人。

5）取得互联网访问权限的个人，在工作关系发生变化时，需要重新提交申请，经批准后才能继续访问互联网。

6)各板块及下属企业参照总部上述申请流程，自行负责本企业员工上网权限的管控。

5.2.2 接入标准

为保障公司网络的安全稳定运行,公司员工个人计算机通过公司网络连接互联网需达到桌面安全要求，详见桌面安全相关管理制度。

5.2.3 使用规范

1) 公司员工有维护网络安全，保证网络正常运行的责任和义务。

2）有关员工上网行为的管控制度，参照上网行为管理规定和桌面安全管理规定。

5.3 互联网访问安全管理

互联网安全管控的技术框架，如下图：

1）必须构建互联网网络安全防护体系，实现内网与互联网的逻辑隔离。

2）需要建立网络安全管理中心（SOC），实现对网络安全的全面监控，并建立安全管理服务体系。

3）对与互联网安全联接的出口严格控制，逻辑隔离设备由信息管理部统一管理。出口所在企业仅有本地用户访问行为控制的权限，网络访问路由及安全策略由统一管控。

4）信息管理部对各板块及下属企业的各类互联网安全设备进行日常维护、监控、审计，并且负责对数据中心的整个网络、服务器和工作站进行内部监控。

5）互联网安全设备日常维护包括但不限于：集中管理、服务器操作系统补丁管理、安全审计综合分析、客户端安全管理、监控管理、应用审计情况分析、IP地址管理、门户网站系统的监控等。

6）互联网安全设备包括但不限于：入侵防御系统（IPS）、防火墙（FW）、互联网监管与审计、抗拒绝服务系统（DDOS）、VPN网关、漏洞扫描系统、防病毒系统等。

7）互联网安全策略：

A、统一制定安全基线，各板块、企业在安全基线范围内可以增加个性

化内容，但不得超越安全基线；

B、安全基线可半年回顾，不合理可修改

C、紧急安全需求，统一组织修订