无锡星诺电气有限公司
网络安全保障制度
 
第一章 总则
 
第一条 为保障无锡星诺电气有限公司（以下简称“公司”）网络与信息系统安全稳定运行，保护公司核心业务数据与客户信息，防范网络攻击、数据泄露等安全风险，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》及《信息安全技术网络安全等级保护基本要求》（GB/T 22239）等法律法规和标准，结合公司信息化建设与网络应用实际，制定本制度。
第二条 本制度适用于公司总部及所属各部门、车间、仓库的网络环境、计算机终端、服务器、应用系统（含ERP、MES、PLM、OA、能耗管理平台等）、数据库及所有相关信息的访问、使用、传输、存储和销毁等环节的安全保障工作。所有公司内部员工、驻场外包人员及临时访客均须遵守本制度。
第三条 网络安全保障遵循以下原则：
（一）安全合规原则：严格遵循国家法律法规和行业监管要求，确保网络安全建设与运营合法合规。
（二）等级保护原则：依据信息系统的重要程度和遭受破坏后的危害程度，实施网络安全等级保护管理。
（三）主动防御原则：采取技术手段和管理措施，从事前预防、事中监控到事后追溯，构建全面的网络安全防护体系。
（四）权责统一原则：遵循“谁主管谁负责，谁运营谁负责，谁使用谁负责”的基本原则，将网络安全责任落实到人。
（五）最小权限原则：员工和系统的访问权限严格控制在完成工作任务所需的最小范围内。
 
第二章 组织与职责
 
第四条 公司成立网络安全与信息化领导小组（以下简称“网安小组”），由公司总经理任组长，分管副总经理任副组长，各部门负责人为成员。网安小组是公司网络安全工作的最高决策机构，负责统筹规划、协调重大网络安全事项，审议和发布网络安全管理制度、应急预案和年度工作计划，并提供资源保障。
第五条 信息技术部（或指定的信息化管理归口部门）是公司网络安全保障工作的归口管理执行机构，主要职责包括：
（一）编制和修订网络安全管理制度、技术规范与操作规程；
（二）负责公司网络基础设施、服务器、安全设备（防火墙、入侵检测系统等）和关键应用系统的日常运维、安全加固与监控；
（三）组织网络安全风险评估、安全检查、渗透测试与等级保护测评工作；
（四）负责网络安全事件的应急响应、分析研判、调查取证与报告编写；
（五）组织网络安全宣传、技术培训及攻防演练；
（六）管理供应商、第三方服务人员的网络访问行为。
第六条 各部门负责人是本部门网络安全的第一责任人，应指定一名兼职网络安全员，负责：
（一）监督本部门员工遵守网络安全制度，对部门内计算机、网络设备进行日常管理；
（二）发现异常情况立即向信息技术部报告，并协助开展事件排查与处置；
（三）本部门业务数据的安全备份与保密管理。
第七条 全体员工和外部人员应：
（一）严格遵守网络安全制度，妥善保管个人账号密码，不越权访问系统和数据；
（二）不私自搭建网络热点、私接网络设备或安装非授权软件；
（三）对使用的终端和数据进行安全保护，发现异常第一时间上报。
 
第三章 网络与终端安全管理
 
第八条 网络架构与边界防护
（一）公司内部网络应划分为生产控制网、办公业务网、研发设计网、访客网等不同安全域，通过网络防火墙、VLAN等技术实现逻辑隔离和访问控制。生产车间等重点区域如采用5G专网或工业无线网，应与公网实施安全隔离。
（二）在网络出口和核心交换点须部署防火墙、入侵检测与防御系统（IDS/IPS），配置严格的访问控制列表（ACL）和安全策略，对进出网络流量进行实时监测和过滤，阻断非法外联和异常流量。
（三）禁止在内部网络中使用非授权的远程访问工具，确因运维或业务需要需远程接入的，必须通过VPN、堡垒机等安全通道，并经过申请、审批和强身份认证。
第九条 终端计算机与移动设备
（一）所有公司配发的台式机、笔记本、工作站等终端必须安装和运行公司指定的防病毒软件及终端管理客户端，开启操作系统防火墙，及时更新安全补丁，并由信息技术部统一进行域管理。
（二）统一设置屏幕保护密码，要求使用者在离开工位时立即锁屏。禁止开放文件共享和远程桌面端口，如因工作确需开放，应经审批并限定特定IP地址。
（三）未经信息技术部许可，不得在办公和生产终端上安装、使用与工作无关的软件，严禁私自搭建Wi-Fi热点或使用无认证的移动存储设备。
（四）员工自带的智能设备（手机、平板等）连接公司内部网络时，须进行MAC地址登记和身份认证，仅限于访客网络区域，不得访问核心业务系统。
第十条 服务器与机房管理
（一）关键服务器须放置在专用机房或机柜内，实施物理访问控制，配置门禁和视频监控。机房环境应满足温湿度、防雷、防静电及不间断电源（UPS）要求。
（二）服务器操作系统和数据库应使用正版软件，遵循最小安装原则，卸载无用组件和服务。系统上线前须进行安全加固和漏洞扫描。
（三）建立服务器巡检记录，定期检查系统日志、资源使用率和硬件状态，对异常登录和关键操作进行审计。
 
第四章 数据与应用安全
 
第十一条 身份认证与访问控制
（一）所有信息系统（ERP、MES、PLM、OA等）应实现统一的身份认证，口令长度不少于8位，须包含大小写字母、数字和特殊符号的组合，并强制90天更换。关键系统应实施多因素认证。
（二）应用系统应根据业务和岗位需求，遵循最小权限原则进行权限划分。员工入职、转岗和离职时，人事部门应第一时间通知信息技术部进行账号的创建、权限调整或停用注销。
第十二条 数据安全管理
（一）依据数据重要性和敏感性，对数据进行分类分级管理（如核心商密、普通商密、内部公开等），明确各类数据的访问、使用、传输和销毁要求。
（二）涉及商业秘密、客户信息、产品设计图纸、财务数据等关键数据，在存储时应进行加密；通过邮件、U盘或云盘进行对外发送和拷贝时，须经部门负责人审批，并做好记录。
（三）建立核心业务数据库与重要文件的本地与异地备份机制，每日自动增量备份，每周全量备份，并定期进行备份数据的可恢复性验证。
第十三条 系统开发与运维安全
（一）自主或委托开发的软件系统，应在开发阶段进行源代码安全检测，不得存在后门。外部服务商的系统在进行交付和验收时，须提交安全测试报告。
（二）系统运维操作（含数据库直接操作、后台配置修改等）须通过堡垒机进行，实现单点登录、操作录屏和全程审计。严禁未经审批直接在生产服务器上安装软件或修改配置。
 
第五章 网络安全事件与应急管理
 
第十四条 网络安全事件定义与分级
网络安全事件是指由于人为操作、黑客攻击、恶意代码、软硬件故障等原因，造成信息系统中断、数据泄露、损坏或丢失的事件。依据影响范围和程度分为三级：
一般事件：单个员工终端中毒、页面篡改但未造成数据影响等，不影响公司主要业务。
重大事件：核心业务系统（ERP/MES）中断超过2小时、内部网络大面积瘫痪、关键数据被加密勒索等，对公司运营造成明显损失。
特别重大事件：涉及产品、客户核心数据大量泄露，造成严重法律风险或社会影响；工控系统被恶意控制，造成生产安全威胁。
第十五条 应急响应流程
（一）任何员工发现网络信息安全事件，应立即口头或电话报告部门负责人和信息技术部。
（二）信息技术部在接到报告后应立即进行初步研判，启动应急响应程序，采取断网、暂停服务、封锁IP、保留证据等紧急措施，防止事态扩大。
（三）对于重大及以上事件，须在30分钟内上报网安小组和公司主要领导，并在2小时内形成初步书面报告。必要时，应依法向属地公安机关和行业监管部门报告。
（四）事件处置完毕后，信息技术部应在5个工作日内提交详细的《网络安全事件分析与整改报告》，分析根因，提出修复和防范措施，并跟踪落实，实现闭环管理。
第十六条 应急演练
每年应至少组织一次包含网络攻击、数据恢复、机房故障等场景的应急演练，并对演练结果进行总结评估，持续优化应急响应机制。
 
第六章 安全审计与培训
 
第十七条 安全审计
（一）信息技术部应定期（每月）对安全设备日志、操作系统日志、应用系统操作日志和数据库审计记录进行汇总分析，识别异常行为和潜在威胁，并出具月度安全简报。
（二）每年至少邀请具有资质的第三方机构或按照等级保护要求，对公司核心信息系统进行一次全面的安全风险评估或渗透测试，并对发现的安全漏洞和风险点进行限期整改。
第十八条 安全培训与考核
（一）信息技术部每年至少组织一次全员网络安全意识培训，内容涵盖密码管理、钓鱼邮件识别、移动介质使用规范、数据保密规定等。
（二）新员工入职培训中必须包含网络安全制度的内容，经考核合格后方可上岗。
（三）将网络安全制度的遵守情况纳入部门和个人的安全绩效考核，对违反规定造成安全事件的，视情节轻重给予通报批评、经济处罚乃至解除劳动合同；对发现重大漏洞、阻止安全事件发生的，给予表彰奖励。
 
第七章 附则
 
第十九条 本制度由信息技术部负责解释和修订。如遇国家法律法规或公司组织架构调整，应及时修订本制度。
第二十条 本制度自发布之日起施行，原有相关制度与本制度不一致的，以本制度为准。