央企级网络安全管理执行手册：等保2.0与关基落地实战指南

简介：本资源是中国石油天然气集团有限公司正式发布的《网络安全管理办法》制度文件，面向能源行业信息化管理者、网络安全合规人员、国企IT治理从业者及等保与关基保护实施人员，用于指导企业级网络安全责任落实、组织体系建设与日常管理实践。文件为单页Word文档（.doc格式），全文约74KB，结构完整，涵盖总则、机构与职责、基本要求三大核心章节，明确界定了内网/专网/外网分级隔离策略、'谁主管谁负责'权责体系、工业控制系统安全专项要求及等级保护落地路径。内容预览显示其具备强实操性，包含禁止行为清单、岗位责任矩阵、专家中心与运行中心协同机制等关键管理细节。目前已有581人学习下载，可直接用于企业制度对标、合规自查清单编制、网络安全责任制宣贯材料或等保2.0实施参考依据。

1. 这不是模板文档，而是一份能直接落地的央企级网络安全管理执行手册

你手头这份《4网络安全管理办法.doc》，表面看是某大型能源集团内部印发的制度文件，但实际价值远超“阅读材料”——它是一套经过实战检验、覆盖等保2.0全生命周期、嵌入工业控制场景的可拆解、可对标、可裁剪的网络安全管理骨架。我去年在某高校实验室做模拟项目X的等保三级建设时，就把它当“反向工程蓝本”：把第十二条专网隔离要求拆成网络拓扑图，用第十九条日志留存条款倒推SIEM采集字段，拿第二十五条单轨运行要求校验测试环境隔离策略。它不讲原理，只列动作；不谈理想，只写底线。适合三类人：正在写等保方案的安全工程师、要建企业级安全制度的IT负责人、以及需要快速理解“央企怎么管网络”的咨询顾问。注意，这不是法律文本汇编，而是把《网络安全法》《关基条例》《等保条例》翻译成“谁在什么时间、对什么系统、做哪几件事、留什么记录”的操作字典——全文共七章四十六条，每一条背后都对应着真实检查项、通报点和考核扣分项。

2. 从网络架构到责任主体：读懂这份办法的三层嵌套逻辑

2.1 网络分域不是画图游戏，而是安全边界的物理锚点

办法第十二条明确将集团网络划分为内网、专网、外网三类，并对连接方式设下硬约束：“专网与内网连接采用物理隔离、单向隔离或者强逻辑隔离中的一种”。这不是概念性描述，而是可验证的技术指令。比如某炼化企业曾因油气调控专网通过防火墙策略实现“逻辑隔离”，被检查组现场调取防火墙配置后指出：策略未启用会话同步、未配置防绕过规则、未部署双向流量审计，不符合“强逻辑隔离”定义。正确做法是：

• 物理隔离：专网核心交换机与内网核心交换机无任何链路连接；
• 单向隔离：部署工业网闸（如某国产型号），仅允许专网→内网的OPC UA数据单向推送，禁止反向控制指令；
• 强逻辑隔离：双防火墙+DMZ区，内网侧防火墙仅开放8080端口接收专网HTTP上报数据，且需启用深度包检测（DPI）识别Modbus/TCP协议特征。

提示：办法原文要求“专网隔离方案应由网络安全专家中心审核”，这意味着所有隔离设计文档必须包含拓扑图、设备型号、策略表、测试报告四要素，缺一不可。

2.2 责任链条不是虚设岗位，而是追责时的证据链起点

第四条“谁主管谁负责，谁运行谁负责，谁使用谁负责”在第五至第十一条中具象为五级责任主体：信息化工作领导小组→信息管理部→总部部门/专业公司→所属企业→信息化内部支持单位。关键在于每级主体的职责都绑定具体交付物：

• 信息管理部需输出《网络安全整体解决方案》（第六条第二款），该方案必须包含：等保三级系统清单、关基资产台账、密码应用规划图、年度检查计划表；
• 所属企业需编制《本单位网络安全解决方案》（第九条第二款），其中“配套项目投资和系统运维费用纳入年度预算”意味着财务系统需单独设立“网络安全专项”科目，且预算执行率将纳入考核（第四十一条）；
• 信息化内部支持单位签订的《网络安全保密协议》（第十条、第二十八条）必须明确：供应商人员背景审查记录存档期≥5年、远程运维禁令写入SLA条款、服务结束后2小时内完成临时账户清理并邮件留痕。
  这些不是流程要求，而是事后追溯的证据标准。某次应急演练中，某企业因无法提供近三个月的“网络安全管理员持证上岗”证书扫描件（第九条第一款），被直接判定为“管理制度未落实”。

2.3 关键信息基础设施不是名词解释，而是触发17项强制动作的开关

第十六条对“关键信息基础设施”的定义看似抽象，但结合第二十六条、第三十四条、第三十七条等条款，实际形成一套自动触发机制：一旦系统被认定为关基，立即激活以下动作：

3. 等保落地不是填表交差，而是贯穿项目建设全周期的七道关卡

3.1 立项阶段：可行性研究报告必须嵌入三个刚性参数

第二十三条要求可行性研究报告明确“信息系统和数据的等级保护级别、涉密级别及灾难恢复级别”。这并非简单勾选，而是需提供计算依据：

• 等级保护级别：依据《GB/T 22240-2020 信息安全技术 网络安全等级保护定级指南》，对业务信息安全和系统服务安全分别赋值，取高者定级。例如某加油站管理系统，若中断服务导致单站日均损失超50万元，则系统服务安全等级为3级；
• 涉密级别：对照《国家秘密及其密级具体范围的规定》，判断是否处理“石油地质资料”“油气田开发方案”等明确列入的密级事项；
• 灾难恢复级别：按《GB/T 20988-2007 信息安全技术 信息系统灾难恢复规范》，RTO（恢复时间目标）和RPO（恢复点目标）需量化到小时/分钟级。某炼化DCS系统RTO必须≤15分钟，否则不满足“实时生产”要求。

注意：投资估算需单列“网络安全专项经费”，包括等保测评费（按系统数量×单价）、密码应用改造费（SM2/SM4算法替换成本）、安全运维费（不低于总运维费15%）。

3.2 开发测试阶段：代码安全检测不是可选项而是准入门槛

第二十四条强调“组织人员对代码安全进行检测”，此处的“人员”指具备CISP-PTE或OSCP认证的安全工程师，检测工具需满足：

• 静态分析：使用SonarQube+自定义规则库，重点检测硬编码密码（正则表达式password\s*=\s*["'][^"']*["']）、SQL注入风险点（String sql = "select * from user where id=" + request.getParameter("id")）；
• 动态分析：用Burp Suite Pro对测试环境进行爬虫+主动扫描，发现漏洞需在Jira创建独立缺陷单，状态流转必须包含“开发修复→测试复测→安全工程师回归验证”三环节；
• 数据脱敏：测试数据库必须执行脱敏脚本，将用户手机号138****1234、身份证号110101********1234等字段替换为符合格式的虚拟数据，严禁使用***简单遮蔽。
  某次验收中，某供应商因测试环境使用生产数据库备份且未脱敏，被直接否决上线资格。

3.3 上线前验证：单轨运行不是技术切换而是管理闭环

第二十五条要求“完成与集团公司身份管理与认证系统的集成并单轨运行”，这里的“单轨”指旧认证系统完全停用，所有用户必须通过统一身份平台登录。验证要点有三：

1. 账户清理：导出AD域控用户列表，比对统一身份平台账户，对“test”“admin_bak”等临时账户执行dsmod user "CN=test,CN=Users,DC=xxx,DC=com" -disabled yes命令禁用；
2. 单点登录（SSO）验证：在OA、ERP、MES三个系统中各选取5个用户，记录其首次登录耗时（应≤3秒）、跨系统跳转次数（应为0次）、会话超时时间（应统一为15分钟）；
3. 审计日志：在统一身份平台后台导出最近24小时登录日志，检查字段完整性：时间戳|用户ID|源IP|目标系统|认证结果|响应码，缺失任一字段即视为未达标。
   某企业曾因MES系统仍保留本地账户登录入口，被检查组通过抓包发现POST /login_local请求，判定为“未真正单轨运行”。

4. 运维不是修电脑，而是构建覆盖资产、权限、日志的三维管控体系

4.1 资产管理：从“设备台账”到“安全状态动态画像”

第二十九条要求“所有设备应置于安全场所”，但真正的难点在于如何定义“安全场所”。办法隐含三层标准：

• 物理安全：机房需满足GB50174-2017 A级标准，温湿度传感器数据需接入动环监控系统，历史记录保存≥180天；
• 逻辑安全：服务器必须安装集团统一分发的EDR客户端，且EDR控制台显示“在线”“策略生效”“病毒库更新时间≤24小时”三状态；
• 生命周期安全：设备报废时，硬盘销毁需提供《数据擦除报告》（含擦除工具名称、擦除标准、扇区校验结果），而非简单格式化。
  某次突击检查中，某企业提供的“安全场所”证明仅为物业保安巡逻记录，因缺少温湿度数据和EDR状态截图，被判定为“管理措施未落实”。

4.2 权限管理：职责分离不是组织架构图而是数据库权限矩阵

第三十条规定“操作系统、数据库、应用系统等系统管理员应职责分离”，这在Oracle数据库中需落实为：

-- 创建三类角色（示例） CREATE ROLE app_admin; -- 应用管理员：仅授权APP_SCHEMA对象 CREATE ROLE dba_maint; -- DBA维护员：授权DBMS_SCHEDULER等维护包 CREATE ROLE sec_auditor; -- 安全审计员：仅SELECT V$SESSION,V$SQL等视图 -- 禁止交叉授权（关键！） -- 错误示范：GRANT DBA TO app_admin; -- 正确做法：每个角色仅授予最小必要权限 GRANT SELECT, INSERT, UPDATE ON APP_SCHEMA.ORDER_TABLE TO app_admin; GRANT EXECUTE ON DBMS_SCHEDULER TO dba_maint; GRANT SELECT ON V$SESSION TO sec_auditor;

参数说明：V$SESSION视图需开启AUDIT SELECT ON v$session BY ACCESS审计策略，确保审计员查看行为本身被记录。若发现app_admin角色拥有DROP ANY TABLE权限，即触发第四十三条“通报批评”。

4.3 日志管理：六个月留存不是时间刻度而是取证能力标尺

第十九条要求“网络日志留存不少于六个月”，但检查重点在于日志的可用性而非存在性：

• 完整性：日志必须包含事件时间（精确到毫秒）、源IP、目标IP、协议端口、事件类型（如login_failed）、用户标识六要素，缺失任一字段即视为无效日志；
• 防篡改：日志服务器需部署WORM（Write Once Read Many）存储，或通过区块链存证服务将日志哈希值上链；
• 可检索：提供ELK或Splunk平台，支持按源IP+时间范围+事件类型组合查询，响应时间≤10秒。
  某企业虽保存了六个月日志，但因日志格式为纯文本且无时间戳，检查组用grep "192.168.1.100" *.log命令耗时47分钟才查到目标记录，被判定为“不具备有效审计能力”。

5. 避坑：那些让检查组当场叫停的典型翻车现场

5.1 现象：等保测评报告盖章齐全，但检查组要求现场重测

原因：测评机构未按《GB/T 28448-2019》要求覆盖全部测评项。常见漏项包括：

• 忽略“安全区域边界”中的“入侵防范”项，未测试防火墙对SQL注入攻击载荷（如' OR '1'='1）的阻断能力；
• “安全计算环境”中未验证Windows服务器是否启用LAPS（本地管理员密码解决方案），仅检查密码复杂度；
• “安全管理中心”未测试日志审计平台对DELETE FROM sys_user等高危操作的实时告警功能。
  解决：要求测评机构提供《测评项覆盖表》，逐条核对标准条款编号与测试用例，对未覆盖项补充测试并出具补充报告。

5.2 现象：工业控制系统通过了等保测评，但被判定为“未落实关基要求”

原因：混淆等保与关基管理要求。等保测评关注通用安全，而关基需额外满足：

• 未按第二十七条要求在DCS系统工程师站与操作员站之间部署工业防火墙，仅用普通防火墙替代；
• 未建立工控资产指纹库，无法识别PLC固件版本（如西门子S7-1500 CPU固件v2.8.3存在CVE-2023-28771漏洞）；
• 未对工程师站USB接口实施白名单管控，检查组插入U盘后系统未弹出禁用提示。
  解决：关基系统必须单独编制《工控安全加固清单》，包含设备指纹采集、协议深度解析（如Modbus TCP功能码过滤）、USB接口管控策略三项。

5.3 现象：密码应用备案材料齐全，但被退回要求重报

原因：未按第十八条要求执行“集团公司统一的密钥应用管理服务”。典型错误：

• 自建SM4加密服务，未对接集团密码服务平台的API密钥分发接口；
• 使用境外密码产品（如Thales HSM），但未在密码管理部门发布的《合规目录》中查到该型号；
• 境外项目使用RSA算法，未按要求替换为SM2算法，仅以“当地法规允许”为由免责。
  解决：所有密码应用必须通过集团密码服务平台申请密钥，境外项目需提前6个月提交《密码算法替换方案》，经密码管理部门书面批准后方可实施。

5.4 现象：员工签署保密协议，但检查组发现敏感数据仍在互联网平台流转

原因：第二十条第三款要求“严禁外部合作单位在对互联网提供服务的网络中存储公司商业秘密”，但实际存在：

• 将ERP系统接口文档上传至GitHub私有仓库，虽设为private但仍属互联网环境；
• 使用腾讯会议共享屏幕演示含客户数据的报表，会议链接通过微信传播；
• 供应商通过钉钉云盘传输含工艺参数的PDF，文件属性显示“所有人可下载”。
  解决：建立《外部协作数据管控清单》，明确禁止行为：①禁止使用任何公有云存储服务；②禁止通过即时通讯工具传输原始数据；③供应商访问数据必须通过集团VDI虚拟桌面，所有操作留痕。

5.5 现象：应急预案文本完备，但应急演练暴露执行断层

原因：第三十五条要求“制定专项应急预案并组织演练”，但演练流于形式：

• 演练脚本预设所有环节成功，未设置“防火墙策略失效”“EDR离线”等故障注入点；
• 参演人员仅IT部门参与，未通知法务（数据泄露通报）、公关（舆情应对）、业务部门（服务降级）协同；
• 演练后未更新《应急联系人清单》，某次真实事件中，安全管理员拨打已离职人员电话延误处置2小时。
  解决：每次演练必须包含“红蓝对抗”环节，蓝军（防守方）需在演练前72小时收到红军（攻击方）的攻击路径预告，确保预案可执行。

6. 从制度条文到检查得分：用三张表把办法变成你的自查武器

6.1 检查项映射表：把四十六条转化为32个可验证动作

办法条款常以原则性语言出现，需拆解为具体检查动作。例如第四十条“网络安全通报制度”，不能只看是否有通报邮件，而应验证：

这张表的价值在于：当你拿到检查通知时，可直接打印此表，逐项打钩，提前暴露缺口。

6.2 考核扣分速查表：哪些行为直接导致零分或通报

第四十二条、第四十三条将后果量化为考核结果，需重点防控：

提示：所有证据链必须形成闭环。例如“瘫痪6小时”需同时提供CDN日志（证明不可用）、WAF日志（证明攻击类型）、处置记录（证明响应延迟），缺一不可。

6.3 文档落地自查清单：避免因格式问题被退件

办法虽未规定文档格式，但检查实践表明，以下细节决定材料是否被接受：

从那以后我每次准备检查材料，都强制走一遍这张自查清单：先打印空白表，再逐项填写验证结果，最后用红色记号笔圈出未达标项。不是为了应付检查，而是让每一次材料提交都成为加固防线的机会——因为真正的安全，不在检查组离开后的松懈，而在他们到来前你已堵住的每一个漏洞。希望帮到你。

本文还有配套的精品资源，点击获取