一、网络安全规划

（一）计算机信息中心在网络系统规划、升级、改造建设过程中，应组织相关人员对网络建设方案进行评审，使方案满足网络安全管理要求。

二、网络接入控制

（一）各科室对涉及到网络变更方面的需求（如网络结构变更、终端网络需求变更）、非常规性网络访问（如外来人员临时性访问），需向计算机信息中心提出书面申请，计算机信息中心对变更申请进行评审通过后，方可进行操作。

（二）无线网络由计算机信息中心进行统一部署和管理，如其他科室需要接入无线网络或部署无线网络设备时，需向计算机信息中心提出申请，经审批后方可接入。

（三）计算机信息中心负责网络与其他外部单位网络的安全防护，在网络边界处采取安全措施进行有效隔离防护，并对违规行为进行检查和阻断。

（四）计算机信息中心负责网络的VLAN和安全域划分，不同业务应用系统尽量安排在不通的安全域中，各VLAN和安全域间应采取有效的访问控制措施。

（五）计算机信息中心对网络设备、网络设备之间的连接线缆进行标识，重要网络端口也须进行详细标识。

三、网络安全审计

（一）计算机信息中心采取开启网络设备日志，记录与网络安全相关的操作与活动，并定期对记录进行评审，将评审结果进行记录。

（二）日志保存时间应至少保证在1个月以上。

（三）计算机信息中心在网络关键位置采取网络审计手段，对网络访问操作行为进行记录，定期对记录进行评审，将评审结果进行记录。

四、网络设备管理

（一）计算机信息中心制定网络备份策略（如网络配置备份、软、硬件备份），并做好相应备案。

（二）计算机信息中心每月对网络配置、网络设备日志进行备份，并做好备份记录。

（三）计算机信息中心做好网络配置、网络设备日志及网络设备备件的保存与管理，保证备份的安全性。

（四）计算机信息中心定期对配置备份及设备备件进行测试，保证其可用性，并对测试结果进行记录。

（五）根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有的重要文件进行备份。

（六）建立日志服务器，保存日志时间要求超过6个月。

（七）定期对设备口令进行更新。

五、网络安全检查

（一）计算机信息中心制定详细的网络检查项目，负责进行网络系统运行的日常检查工作，将检查结果进行记录。

（二）计算机信息中心定期对网络设备配置进行检查和评估，确保网络配置与安全策略保持一致，并对检查结果进行记录。

（三）定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的修补。

六、网络访问控制

（一）计算机信息中心制定网络访问控制策略，并做好相应备案。访问控制策略内容应包括：根据业务、管理等情况，对不同的部门接入进行划分；明确各部门只能访问被允许访问的网络和网络服务；规定各部门访问网络和网络服务使用的手段(如拨号、VPN等)。

（二）如有用户需要接入网络，需要向计算机信息中心提出书面申请，由计算机信息中心审核开通，确保网络用户的访问权限符合网络访问控制策略。

（三）计算机信息中心制定远程设备维护的管理，交医院安全管理委员会备案，以保证远程维护人员的操作符合信息安全管理策略，防止由于疏忽、密码账户泄漏造成未授权访问连接网络设备与服务器。

（四）计算机信息中心应确保维护厂商的远程维护连接只允许访问指定的设备和服务，由计算机信息中心负责审批、开启和关闭，保持每次远程连接记录备查，并对远程访问帐号定期进行审核。

（五）计算机信息中心对远程诊断和配置端口采取技术手段与管理措施进行保护，如无必要，禁止使用远程诊断和配置端口。

（六）计算机信息中心应对远程用户进行身份鉴别（如回拨程序、证书、密钥、口令等），若系统的远程访问无法提供用户鉴别措施时，禁止使用远程访问功能。