（一）網(wǎng)站安全保障措施 1.1互聯(lián)網(wǎng)接入日志審計技術(shù)措施 互聯(lián)網(wǎng)日志審計措施是維護(hù)互聯(lián)網(wǎng)絡(luò)和信息安全的基石，是公安機關(guān)打擊計算機犯罪的重要依據(jù)。日志審計重點考慮系統(tǒng)時鐘和操作系統(tǒng)日志，其技術(shù)指標(biāo)主要包括：系統(tǒng)的啟動時間、用戶登陸帳號、登陸時間、用戶進(jìn)行的操作、下線時間等。對每一次網(wǎng)絡(luò)連接應(yīng)記錄連接的源IP地址、目的機器IP地址、連接的時間、使用的協(xié)議等信息。 日志審計系統(tǒng)原則上使用經(jīng)公安機關(guān)檢測合格的產(chǎn)品。所采用的產(chǎn)品必須保證日志記錄的完整性，日志保存的時間至少為60天。 1.2防病毒、防黑客攻擊技術(shù)措施 防病毒、防黑客攻擊技術(shù)措施是防止不法分子利用互聯(lián)網(wǎng)絡(luò)進(jìn)行破壞活動，保護(hù)互聯(lián)網(wǎng)絡(luò)和本公司的信息安全的需要。我公司將制定以下防病毒、防黑客攻擊的安全技術(shù)措施： ①所有接入互聯(lián)網(wǎng)的計算機應(yīng)使用經(jīng)公安機關(guān)檢測合格的防病毒產(chǎn)品并定期下載病毒特征碼對殺毒軟件升級，確保計算機不會受到已發(fā)現(xiàn)的病毒的攻擊。 ②確保物理網(wǎng)絡(luò)安全，防范因為物理介質(zhì)、信號輻射等造成的安全風(fēng)險。 ③采用網(wǎng)絡(luò)安全控制技術(shù)，采用防火墻、IDS等設(shè)備對網(wǎng)絡(luò)安全進(jìn)行防護(hù)。 ④制訂系統(tǒng)安全技術(shù)措施，使用漏洞掃描軟件掃描系統(tǒng)漏洞，關(guān)閉不必要的服務(wù)端口。 ⑤制訂口令管理制度，防止系統(tǒng)口令泄露和被暴力破解。 ⑥制定系統(tǒng)補丁的管理制度，確定系統(tǒng)補丁的更新、安裝、發(fā)布措施，及時堵住系統(tǒng)漏洞。 1.3關(guān)鍵字過濾技術(shù) 采用關(guān)鍵字過濾技術(shù)防止不法分子利用互聯(lián)網(wǎng)傳播反動、黃色和敏感信息，保護(hù)互聯(lián)網(wǎng)信息安全是所有提供交互式欄目的聯(lián)網(wǎng)單位依法履行的責(zé)任和義務(wù)。我公司也將采用關(guān)鍵字過濾技術(shù)對交互式信息的內(nèi)容和標(biāo)題進(jìn)行過濾。 1.4其它技術(shù)措施 多層防火墻：根據(jù)用戶的不同需求，采用多層高性能的硬件防火墻對客戶托管的主機進(jìn)行全面的保護(hù)。 異構(gòu)防火墻：同時采用業(yè)界先進(jìn)成熟的F5防火墻硬件防火墻進(jìn)行保護(hù)，不同廠家不同結(jié)構(gòu)的防火墻更進(jìn)一步保障了用戶網(wǎng)絡(luò)和主機的安全。 防病毒掃描：專業(yè)的防病毒掃描軟件，杜絕病毒對客戶主機的感染。 入侵檢測：專業(yè)的安全軟件，提供基于網(wǎng)絡(luò)、主機、數(shù)據(jù)庫、應(yīng)用程序的入侵檢測服務(wù)，在防火墻的基礎(chǔ)上又增加了幾道安全措施，確保用戶系統(tǒng)的高度安全。 漏洞掃描：定期對用戶主機及應(yīng)用系統(tǒng)進(jìn)行安全漏洞掃描和分析，排除安全隱患，做到安全防患于未然。 F5bigip防火墻硬件防火墻運行在CISCO交換機上層提供了專門的主機上監(jiān)視所有網(wǎng)絡(luò)上流過的數(shù)據(jù)包，發(fā)現(xiàn)能夠正確識別攻擊在進(jìn)行的攻擊特征。 攻擊的識別是實時的，用戶可定義報警和一旦攻擊被檢測到的響應(yīng)。此處，我們有如下保護(hù)措施： 全部事件監(jiān)控策略：此項策略用于測試目的，監(jiān)視報告所有安全事件。在現(xiàn)實環(huán)境下面，此項策略將嚴(yán)重影響檢測服務(wù)器的性能。 攻擊檢測策略：此策略重點防范來自網(wǎng)絡(luò)上的惡意攻擊，適合管理員了解網(wǎng)絡(luò)上的重要的網(wǎng)絡(luò)事件。 協(xié)議分析：此策略與攻擊檢測策略不同，將會對網(wǎng)絡(luò)的會話進(jìn)行協(xié)議分析，適合安全管理員了解網(wǎng)絡(luò)的使用情況。 網(wǎng)站保護(hù)：此策略用于監(jiān)視網(wǎng)絡(luò)上對HTTP流量的監(jiān)視，而且只對HTTP攻擊敏感。適合安全管理員了解和監(jiān)視網(wǎng)絡(luò)上的網(wǎng)站訪問情況。 Windows網(wǎng)絡(luò)保護(hù)：此策略重點防護(hù)Windows網(wǎng)絡(luò)環(huán)境。 會話復(fù)制：此項策略提供了復(fù)制Telnet, FTP, SMTP會話的功能。此功能用于安全策略的定制。 linux遠(yuǎn)程登錄采用1024位密鑰的安全防護(hù)，確保服務(wù)器萬無一失。 DMZ監(jiān)控此項策略重點保護(hù)在防火墻外的DMZ區(qū)域的網(wǎng)絡(luò)活動。這個策略監(jiān)視網(wǎng)絡(luò)攻擊和典型的互聯(lián)網(wǎng)協(xié)議弱點攻擊，例如（HTTP,FTP,SMTP,POP和DNS），適合安全管理員監(jiān)視企業(yè)防火墻以外的網(wǎng)絡(luò)事件。 防火墻內(nèi)監(jiān)控：此項策略重點針對穿越防火墻的網(wǎng)絡(luò)應(yīng)用的攻擊和協(xié)議弱點利用，適合防火墻內(nèi)部安全事件的監(jiān)視。 1.5總體技術(shù)發(fā)展策略： （1）配備專業(yè)的維護(hù)人員為用戶提供服務(wù)的系統(tǒng)進(jìn)行全天候的監(jiān)控，一旦應(yīng)用系統(tǒng)發(fā)生故障，維護(hù)人員可立即解決問題并使系統(tǒng)恢復(fù)正常，在要求的時間內(nèi)正確處理用戶的請求服務(wù)，對用戶的請求進(jìn)行響應(yīng)，并回復(fù)給用戶請求的內(nèi)容，保證內(nèi)容準(zhǔn)確無誤。 （2）用備份技術(shù)來提高數(shù)據(jù)恢復(fù)時的完整性。備份工作可以手工完成，也可以自動完成。現(xiàn)有的操作系統(tǒng)都帶有比較初級的備份系統(tǒng)。由于備份本身含有秘密信息，備份介質(zhì)也是偷竊者的目標(biāo)，因此，計算機系統(tǒng)允許用戶的某些特別文件不進(jìn)行系統(tǒng)備份，而做涉密介質(zhì)備份。 （3）防病毒。定期檢查網(wǎng)絡(luò)系統(tǒng)是否被感染了計算機病毒，對引導(dǎo)軟盤或下載軟件和文檔應(yīng)加以安全控制，對外來軟盤在使用前應(yīng)進(jìn)行病毒診斷。同時注意不斷更新病毒診斷軟件版本，及時掌握、發(fā)現(xiàn)正在流行的計算機病毒動向，并采取相應(yīng)的有效措施。 （4）補丁程序。及時安裝各種安全補丁程序，不給入侵者以可乘之機。 （5）仔細(xì)閱讀"系統(tǒng)日志"和“用戶日志”。對可疑活動一定要仔細(xì)分析，如有人在試圖訪問一些不安全的服務(wù)端口，利用Finger、Tftp或用Debug手段訪問用戶郵件服務(wù)器等。對此系統(tǒng)管理員應(yīng)加以關(guān)注和分析。 （6）信息過濾。系統(tǒng)平臺的非法內(nèi)容過濾子系統(tǒng)對發(fā)送的短信內(nèi)容進(jìn)行嚴(yán)格的監(jiān)控，一旦發(fā)現(xiàn)敏感、非法、黃色等信息，系統(tǒng)會將此條信息視為無效信息，阻止信息的發(fā)送！公司有專人負(fù)責(zé)過濾內(nèi)容的收集錄入，內(nèi)容包括中文簡體、繁體、英文等各種編碼的信息。公司將盡最大限度確保信息的合法性，阻止造成信息安全的非法行為。 （二）、信息安全保密管理制度 1、 充分發(fā)揮和有效信息資源，保障門戶網(wǎng)站的正常運行，對網(wǎng)絡(luò)信息進(jìn)行及時、有效、規(guī)范的管理。 2、 在我公司門戶網(wǎng)站服務(wù)器上提供的信息，不得危害國家安全、泄露國家秘密;不得有害社會穩(wěn)定、治安和有傷風(fēng)化。 3、 本公司各部門及信息采集人員對所提供信息的真實性、合法性負(fù)責(zé)并承擔(dān)發(fā)布信息引起的任何法律責(zé)任； 4、 各部門指定專人擔(dān)任信息管理員，負(fù)責(zé)本網(wǎng)站信息發(fā)布工作。不允許用戶 將其帳號、密碼轉(zhuǎn)讓或借予他人使用；因密碼泄密給本網(wǎng)站以及本公司帯來的不利 影響由泄密人承擔(dān)全部責(zé)任。并追究該部門負(fù)賁人的管理責(zé)任： 5、 不得將任何內(nèi)部資料、機密資料、涉及他人隱私資料或侵犯任何人的專利、 商標(biāo)、著作權(quán)、商業(yè)秘密或其他專?屬權(quán)利之內(nèi)容加以上載、張貼。 6、 所有信息及時備份，并按規(guī)定將系統(tǒng)運行日志和用戶使用日志記錄保存 3月以上且未經(jīng)審核不得刪除;網(wǎng)站管理員不得隨意蕓改后臺操作I己錄; 7、 嚴(yán)格遵循部門負(fù)責(zé)制的原則。明確責(zé)任人的職責(zé)，細(xì)化工作流程，網(wǎng)站相 關(guān)信息按照編輯上傳、初審、終審?fù)ㄟ^的審核程序發(fā)布。切實保障網(wǎng)絡(luò)信息的 有效性、真實性、合法性； 8、 遵守對網(wǎng)站服務(wù)信息監(jiān)視、保存、淸除和備份的制度，經(jīng)常開展網(wǎng)絡(luò)有害信息的排查清理工作，對涉嫌違法犯罪的信息及時報告并協(xié)助公安機關(guān)查迅。 （三）、用戶信息安全管理制度 我公司門戶網(wǎng)站為充分保護(hù)用戶的個人隱私、保障用戶信息安全，特制訂用戶信息安全管理制度。 1、定期的相關(guān)人員進(jìn)行網(wǎng)絡(luò)信息安全培訓(xùn)并進(jìn)行考核。使網(wǎng)站相關(guān)管理人員充分認(rèn)識到網(wǎng)絡(luò)安全的重要性，嚴(yán)格遵守相應(yīng)規(guī)章制度。 2、 尊重并保護(hù)用戶的個人隱私，除了在與用戶簽署的隱私保護(hù)協(xié)議和網(wǎng)站服務(wù)條款以及其他公布的準(zhǔn)則規(guī)定的情況下，未經(jīng)用戶授權(quán)不隨意公布和泄露 用戶個人身份信息。 3、對用戶的個人信息嚴(yán)格保密。井承搭未經(jīng)用戶授權(quán)，不得編輯或透露其個人信息及保存在本網(wǎng)站中的非公開內(nèi)容，但下列情況除外： 違反相關(guān)法律法規(guī)或本網(wǎng)站服務(wù)協(xié)議規(guī)定； 按照主管部門的要求。有必要向相關(guān)法律部門提供備案的內(nèi)容； 因維護(hù)社會個體和公眾的權(quán)利、財產(chǎn)或人身安全的需要； 被侵害的第三人提出合法的權(quán)利主張； 為維護(hù)用戶及社會公共利益、本網(wǎng)站的合法權(quán)益的需要； 事先荻得用戶的明確授權(quán)或其它符合需要公開的相關(guān)要求。 4、用戶應(yīng)當(dāng)嚴(yán)格遵守網(wǎng)站用戶帳號使用登記和操作權(quán)限管理制度,并對自己的用戶賬號、密碼妥善保管，定期或不定期修改登錄密碼。嚴(yán)格保密，嚴(yán)禁向他人泄露。 5、毎個用戶都要對其帳號中的所有活動和事件負(fù)全責(zé)。用戶可隨時改變用戶的密碼和圖標(biāo)。也可以結(jié)束舊的帳號而重新申請注冊一個新帳號。用戶同意若 發(fā)現(xiàn)任何非法使用用戶帳號或安全漏洞的情況，有義務(wù)立即通告本網(wǎng)站。 6、如用戶不慎泄露登陸脹號和密碼，應(yīng)當(dāng)及時與網(wǎng)站管理員聯(lián)系,請求管理 員及時鎖定用戶的操作權(quán)限，防止他人非法操作;在用戶提供有效身份證明和有效憑據(jù)并審查核實后，重新設(shè)定密碼恢復(fù)正常使用。 我公司將嚴(yán)格執(zhí)行本規(guī)章制度，并形成規(guī)范化管理。并成立由單位負(fù)責(zé)人、部門負(fù)責(zé)人、主要技術(shù)人員組成的網(wǎng)絡(luò)信息安全小組，并確定至少兩名安全負(fù)責(zé)人作為突發(fā)事件處理的直接責(zé)任人。