网络安全生产管理要求

安全生产管理要求

01 安全意识要求

安全意识细则:

1. 不准设置弱口令
2. 不准使用非工作邮箱代收工作邮件;
3. 不准点击来路不明邮件中的链接或打开附件;
4. 不准将账号与口令以明文保存于终端上;不准将系统设计文档、网络拓扑等敏感信息存放于服务器上;
5. 不准将本人使用的账号与口令告知他人;
6. 不准在互联网上的外部网站或应用(如论坛、微博、时通信软件等)中使用与公司设备、系统相同的账号或口令；
7. 不准允许来路不明的人员远程控制公司内各类设备或执行其告知的各项指令；
8. 不准将各类应用的源代码上传至互联网上;
9. 不准设置公司内业务系统为自动登录;
10. 不准私自在办公网络及其他内网中搭建无线热点;
11. 不准将终端同时跨接内外网；
12. 不准未经审批开通内部系统的互联网出口。

02 安全交付要求

安全交付要求细则:

1. 渗透范围只能对授权网站渗透，严禁对非授权网站进行渗透。远程渗透只允许采用公司隔离网 IP 出口对授权网站进行渗透，特殊情况 IP 变更需提前跟主管领导或项目经理报备。(售前、公安检查、网信办 cert 检查可适当扩大范围,需提前请示)
2. 渗透前需先拔通隔离网 VPN，使用前需先申请加入邮件群组。
3. 渗透测试服务交付过程中，尽量不上传 webshell或其他远控木马，如上传应截图后立刻删除，同时所采用的 webshell或其他远控木马版本应确保不存在后门，并在报告中说明路径地址以及标注是否删除(部分原因可能无法删除必须加粗说明)。上传的 webshell文件路径、密码需保证一定复杂度，且密码不允许出现侮辱性字段。
4. 如果客户指定了渗透时间段，务必遵循在该时间段内开展渗透，严禁在非授权时间范围内进行渗透。渗透复测需由项目经理或渗透组长发起，禁止私自提前复测。
5. 实施过程中发现或被告之客户业务系统出现异常，如宕机、访问缓慢等时间停止后续操作并向项目经理及主管领导汇报沟通，以控制影响面，方便弥补损失!
6. 渗透测试过程中，尽可能避免权限提升操作以及添加账号等操作，如需使用应与项目经理或客户沟通告知风险。
7. 对越权遍历ID等攻击行为，要求缩短请求次数以及频率。
8. 严禁任何形式以及理由的拖库拖代码行为。
9. 渗透过程中如需对生产业务系统用户密码进行修改的，如密码重置漏洞，修改初始化密码等行为，必须提前请示报备方可进行。渗透过程中如遇到修改、插入、删除等操作的功能，包括但不限于如编辑用户资料、删除用户信息、删除/修改收货地址等，严禁使用OR/XOR/NOT/&&/||/AND/ANY/SOME 等关键字构造逻辑真测试 SQL 注入，避免导致批量修改/插入/删除用户数据造成无法挽回工作失误。
10. 对登录页弱口令进行穷举爆破时,应先测试单个用户判定系统是否有账号锁定策略，如有锁定策略应禁止大批量用户的密码穷举测试。
11. 对于扫描器使用，禁止进行登录授权扫描，即不允许在扫描器中进行业务系统内部功能的扫描，避免插入大量脏数据到业务系统影响业务，只允许发起未登录的匿名扫描。
12. 渗透测试过程中，如发现本公司产品存在安全漏洞、异常或缺陷，在提交给客户报告前先上报到项目经理或项目组长，不能擅自提交公司产品漏洞到客户。(家丑不可外扬)
13. 渗透测试工作结束之后需还原客户现场,渗透测试结束后需检查后台是否有其他扫描进程在运行。
14. 严禁在各类报告中插入病毒等样本。(防止报告门)

03 安全行为要求

安全行为要求细则:

1. 在客户现场实施时，如果客户明确说了不能接入互联网，禁止在接入客户网络环境的情况下又同时接入自己的或公共的 WIFI上互联网。
2. 不该问的不问、不该看的不看，不拍照、不定位、不发朋友圈等社交信息。
3. 未经授权下不碰客户任何文档、设备。不准泄露客户及公司信息，严禁明文传输或将客户文档上传至互联网。
4. 严禁在客户办公环境中打 CTF 比赛。
5. 不准未授权扫描渗透。严格遵守国家法律、客户现场的工作纪律和公司的管理要求。
6. 严禁参与黑产相关项目或在互联网上的外部网站、应用(如论坛、微博、微信等)讨论黑产项目运营方法、技术。
7. 严禁在无授权情况下私自对公司的系统进行渗透测试，如发现问题，第一时间向各自主管领导反馈!
8. 不准在非工作机处理工作文档，不准混用专用电脑与办公电脑。

03 安全保密要求

安全保密要求细则:

1. 上网不涉密，涉密不上网;专机专用，不交又使用移动存储。
2. 在敏感单位(如:公安、网信、军队、国安、工信等)工作时要主动问询相关规定并严格遵守。
3. 敏感单位、项目用代号标记。
4. 接受正规的保密培训、增强保密意识。
5. 外网本绝对不要连入内网，同时内网本绝对不要连wifi。
6. 专网专用，禁止一机两用：在客户场所，所有网线都不能自己随便乱插，当不知道哪根是互联网、哪根是公安(客户)专网时，务必要咨询客户，不能因为着急而自己去试，更不能想当然。
7. 不能把手机电源线插到公安(客户)专网电脑上充电。
8. 不能把个人优盘插到公安(客户)专网电脑上。
9. 公安(客户)专网使用的加密优盘，需要询问客户是允许拷出还是拷入，并严格按要求操作，不能想当然。
10. 公安(客户)专网涉密数据，没有经过客户允许时不能私自拍照、传播，更不能发布到互联网上。
11. 在客户现场听到的任何有关需要保密的信息，不可以私自议论、讨论，更不可以随意向外散布，不能发朋友圈、微博。
12. 在客户现场,看到的有关新闻信息,比如某人在某政府门口上访静坐拉横幅等不可以随意拍照发朋友圈、微博，这些信息是不能经过安全人员的手机传出去。
13. 保密工作出现疏忽，会直接触犯刑法，严重情况会直接影响各人的人生走向，务必重视!