導航:首頁 > 網路安全 > 網路安全產品漏洞管理規定違反第七條

網路安全產品漏洞管理規定違反第七條

發布時間:2022-11-29 22:35:24

㈠ 漏洞管理辦法

網路產品安全漏洞管理規定是由工業和信息化部、國家互聯網信息辦公室、公安部三部門聯合制定的,目的是為了規范網路產品安全漏洞發現、報告、修補和發布等行為,防範網路安全風險,已經於2021年9月正式實施。

法律依據:
《網路產品安全漏洞管理規定》
第一條為了規范網路產品安全漏洞發現、報告、修補和發布等行為,防範網路安全風險,根據《中華人民共和國網路安全法》,制定本規定。
第二條中華人民共和國境內的網路產品(含硬體、軟體)提供者和網路運營者,以及從事網路產品安全漏洞發現、收集、發布等活動的組織或者個人,應當遵守本規定。

㈡ 阿里雲未及時通報重大網路安全漏洞,會帶來什麼後果

【文/觀察者網 呂棟】

這事緣起於一個月前。當時,阿里雲團隊的一名成員發現阿帕奇(Apache)Log4j2組件嚴重安全漏洞後,隨即向位於美國的阿帕奇軟體基金會通報,但並沒有按照規定向中國工信部通報。事發半個月後,中國工信部收到網路安全專業機構的報告,才發現阿帕奇組件存在嚴重安全漏洞。

阿帕奇組件存在的到底是什麼漏洞?阿里雲沒有及時通報會造成什麼後果?國內企業在發現安全漏洞後應該走什麼程序通報?觀察者網帶著這些問題采訪了一些業內人士。

漏洞銀行聯合創始人、CTO張雪松向觀察者網指出,Log4j2組件應用極其廣泛,漏洞危害可以迅速傳播到各個領域。由於阿里雲未及時向中國主管部門報告相關漏洞,直接造成國內相關機構處於被動地位。

關於Log4j2組件在計算機網路領域的關鍵作用,有國外網友用漫畫形式做了形象說明。按這個圖片解讀,如果沒有Log4j2組件的支撐,所有現代數字基礎設施都存在倒塌的危險。

國外社交媒體用戶以漫畫的形式,說明Log4j2的重要性

觀察者網梳理此次阿帕奇嚴重安全漏洞的時間線如下:

根據公開資料,此次被阿里雲安全團隊發現漏洞的Apache Log4j2是一款開源的Java日誌記錄工具,控制Java類系統日誌信息生成、列印輸出、格式配置等,大量的業務框架都使用了該組件,因此被廣泛應用於各種應用程序和網路服務。

有資深業內人士告訴觀察者網,Log4j2組件出現安全漏洞主要有兩方面影響:一是Log4j2本身在java類系統中應用極其廣泛,全球Java框架幾乎都有使用。二是漏洞細節被公開,由於利用條件極低幾乎沒有技術門檻。因適用范圍廣和漏洞利用難度低,所以影響立即擴散並迅速傳播到各個行業領域。

簡單來說,這一漏洞可以讓網路攻擊者無需密碼就能訪問網路伺服器。

這並非危言聳聽。美聯社等外媒在獲取消息後評論稱,這一漏洞可能是近年來發現的最嚴重的計算機漏洞。Log4j2在全行業和政府使用的雲伺服器和企業軟體中「無處不在」,甚至犯罪分子、間諜乃至編程新手,都可以輕易使用這一漏洞進入內部網路,竊取信息、植入惡意軟體和刪除關鍵信息等。

阿里雲官網截圖

然而,阿里雲在發現這個「過去十年內最大也是最關鍵的單一漏洞」後,並沒有按照《網路產品安全漏洞管理規定》第七條要求,在2天內向工信部網路安全威脅和漏洞信息共享平台報送信息,而只是向阿帕奇軟體基金會通報了相關信息。

觀察者網查詢公開資料發現,阿帕奇軟體基金會(Apache)於1999年成立於美國,是專門為支持開源軟體項目而辦的一個非營利性組織。在它所支持的Apache項目與子項目中,所發行的軟體產品都遵循Apache許可證(Apache License)。

12月10日,在阿里雲向阿帕奇軟體基金會通報漏洞過去半個多月後,中國國家信息安全漏洞共享平台才獲得相關信息,並發布《關於Apache Log4j2存在遠程代碼執行漏洞的安全公告》,稱阿帕奇官方已發布補丁修復該漏洞,並建議受影響用戶立即更新至最新版本,同時採取防範性措施避免漏洞攻擊威脅。

中國國家信息安全漏洞共享平台官網截圖

事實上,國內網路漏洞報送存在清晰流程。業內人士向觀察者網介紹,業界通用的漏洞報送流程是,成員單位>工業和信息化部網路安全管理局 >國家信息安全漏洞共享平台(CNVD) CVE 中國信息安全測評中心 > 國家信息安全漏洞庫(CNNVD)> 國際非盈利組織CVE;非成員單位或個人注冊提交CNVD或CNNVD。

根據公開資料,CVE(通用漏洞共享披露)是國際非盈利組織,全球通用漏洞共享披露協調企業修復解決安全問題,由於最早由美國發起該漏洞技術委員會,所以組織管理機構主要在美國。而CNVD是中國的信息安全漏洞信息共享平台,由國內重要信息系統單位、基礎電信運營商、網路安全廠商、軟體廠商和互聯網企業建立的信息安全漏洞信息共享知識庫。

上述業內人士認為,阿里這次因為漏洞影響較大,所以被當做典型通報。在CNVD建立之前以及最近幾年,國內安全人員對CVE的共識、認可度和普及程度更高,發現漏洞安全研究人員慣性會提交CVE,雖然最近兩年國家建立了CNVD,但普及程度不夠,估計阿里安全研究員提交漏洞的時候,認為是個人技術成果的事情,上報國際組織協調修復即可。

但根據最新發布的《網路產品安全漏洞管理規定》,國內安全研究人員發現漏洞之後報送CNVD即可,CNVD會發起向CVE報送流程,協調廠商和企業修復安全漏洞,不允許直接向國外漏洞平台提交。

由於阿里雲這次的行為未有效支撐工信部開展網路安全威脅和漏洞管理,根據工信部最新通報,工信部網路安全管理局研究後,決定暫停阿里雲作為上述合作單位6個月。暫停期滿後,根據阿里雲整改情況,研究恢復其上述合作單位。

業內人士向觀察者網指出,工信部這次針對是阿里,其實也是向國內網路安全行業從業人員發出警示。從結果來看對阿里的處罰算輕的,一是沒有踢出成員單位,只是暫停6個月。二是工信部沒有對這次事件的安全研究人員進行個人行政處罰或警告,只是對直接向國外CVE報送的Log4j漏洞的那個安全專家點名批評。

本文系觀察者網獨家稿件,未經授權,不得轉載。

㈢ 網路產品服務的提供者不得設置什麼發現其網路產品服務存在安全缺陷漏洞等風險

《中華人民共和國網路安全法》規定,網路產品、服務的提供者不得設置「惡意程序」,發現其網路產品、服務存在安全缺陷、漏洞等風險時,應當立即採取補救措施,按照規定及時告知用戶並向有關主管部門報告。

任何個人和組織發送的電子信息、提供的應用軟體,不得設置惡意程序,不得含有法律、行政法規禁止發布或者傳輸的信息。

(3)網路安全產品漏洞管理規定違反第七條擴展閱讀

相關規定:

任何個人和組織應當對其使用網路的行為負責,不得設立用於實施詐騙,傳授犯罪方法,製作或者銷售違禁物品、管制物品等違法犯罪活動的網站、通訊群組,不得利用網路發布涉及實施詐騙,製作或者銷售違禁物品、管制物品以及其他違法犯罪活動的信息。

網路運營者應當加強對其用戶發布的信息的管理,發現法律、行政法規禁止發布或者傳輸的信息的,應當立即停止傳輸該信息,採取消除等處置措施,防止信息擴散,保存有關記錄,並向有關主管部門報告。

㈣ 網路安全管理規定

網路安全管理是人們能夠安全上網,那麼有哪些相關規定呢?下面我給大家介紹關於網路安全管理規定的相關資料,希望對您有所幫助。

網路安全管理規定

網路安全 規章制度 為確保我單位計算機信息網路的安全,根據《中華人民共和國信息 系統安全 保護條例》、《中華人民共和國計算機信息網路國際聯網管理暫行規定》及秦皇島市委、市保密局關於-的有關規定,結合我單位計算機信息網路使用情況,特製定本辦法。

一、計算機信息網路安全及保密管理工作在保密委員會、網路信息中心(簡稱「網路中心」)的領導下開展工作,實行工作責任制和責任追究制。各部門黨政主要負責人為本單位信息網路安全及保密責任人,簽訂-,負責本單位網路信息安全及保密管理工作。

二、網路中心和聯網各部門的弱電室是計算機信息網路的要害部門,必須由專人負責,各種設備的技術參數由網路中心負責,以確保信息網路的安全運行。其他任何人不得隨意移動網路設備,不得擅自修改設備技術參數。

三、網路中心作為單位網路的管理部門,負責單位區域網的規劃、建設、應用開發、運行維護及用戶管理。單位網路的計算機IP地址採取與計算機網卡物理地址綁定在一起的辦法,由網路中心統一管理,網路中心將已有的計算機IP地址及其綁定的計算機網卡物理地址以及該計算機使用者的情況登記備案。擬入網單位和聯網個人應到網路中心下載申請表格,填寫之後經過本單位領導審核簽字,並簽署相應的聯網安全保密 責任書 ,由網路中心負責安裝調試。用戶聯網正常後,口令由本單位或個人自己管理和更改。嚴禁擅自聯入單位區域網。

四、入網單位和聯網個人必須接受單位相關職能部門的監督檢查,並對單位採取的必要 措施 給予配合。單位主頁內容和新聞動態等信息服務站由指定的職能部門負責維護和服務,未被授權的任何單位或個人不能更改其內容。

五、在單位網路上開辦OA等公眾信息服務系統的單位,應按規定到網路中心辦理登記注冊手續,並向單位保密委員會備案。經批准建立的公眾信息服務系統應該按照國家相關要求技術上保障「先審後貼」,還應設立相應的管理員和管理制度。相關制度包括:

(1)安全保護技術措施;

(2)信息發布審核登記制度;

(3)信息監視、保存、清除和備份制度;

(4)不良信息 報告 和協助查處制度;

(5)管理人員崗位責任制。未經許可,任何入網單位或個人不得開通BBS等公眾信息服務系統。

六、所有單位和個人在網路上都應自覺遵守計算機信息網路安全的有關規定。不允許進行任何干擾網路用戶、破壞網路服務和網路設備的活動;不允許通過網路進入未經授權使用的計算機系統;不得以不真實身份使用網路資源;不得竊取他人賬號、口令使用網路資源;不得盜用未經合法申請的IP地址入網;未經單位許可不得開設二級代理,任何人不得擅自改動IP地址設置。

七、禁止下載互聯網上任何未經確認其安全性的軟體,嚴禁使用盜版軟體及游戲軟體。任何單位和個人不得利用單位分配的個人電子郵箱上公網注冊信息,不得訪問惡意網站和不健康網站,不要隨意打開陌生郵件。

八、網路系統的所有軟體均不準私自拷貝出來贈送 其它 單位或個人,違者將嚴肅處理。

九、嚴禁隨意使用軟盤和U盤、光碟等存儲介質,如工作需要,外來軟盤和U盤、光碟須在沒聯網的單機上檢查病毒,確認無毒後方可上網使用。私自使用造成病毒侵害要追究當事人責任。

十、嚴禁以任何途徑和媒體傳播計算機病毒,對於傳播和感染計算機病毒者,視情節輕重,給予適當的處分。製造病毒或修改病毒程序製成者,要給予嚴肅處理。

十一、發現病毒,應及時對感染病毒的設備進行隔離,情況嚴重時報相關部門並及時妥善處理。實時進行防病毒監控,做好防病毒軟體和病毒代碼的智能升級。

十二、應當注意保護網路數據信息的安全,對於存儲在資料庫中的關鍵數據,以及關鍵的應用系統應作數據備份。

十三、任何人不得利用網路從事危害國家安全,泄露國家秘密的活動。任何人不得查閱、復制和傳播有礙社會治安和傷風敗俗的信息。違反本管理規定,且有下列行為之一者,網路中心可提出警告、停止其使用網路,情節嚴重者,提交行政部門或有關司法部門處理。

1、查閱、製作、下載、復制、發布傳播或以其他方式使用含有下列內容信息的:

(1)煽動抗拒、破壞憲法和國家法律、行政法規的實施;

(2)煽動顛覆國家政權、破壞國家統一和民族團結、推翻社會主義制度;

(3)捏造或者歪曲事實,故意散布謠言,擾亂社會秩序;

(4)公然侮辱他人或捏造事實誹謗他人;

(5)宣揚封建迷信、淫穢、色情、暴力、兇殺、恐怖、教唆犯罪;

(6)散布「」邪教言論等。

2、破壞、盜用計算機網路中的信息資源和危害計算機網路安全活動。

3、盜用他人帳號。

4、私自轉借、轉讓用戶帳戶造成危害。

5、故意製作、傳播計算機病毒等破壞性程序。

6、擅自改變網路中的結構。

7、不按國家和單位有關規定擅自接納網路用戶。

8、上網信息審查不嚴,造成嚴重後果。

十四、本規章制度自公布之日起執行。

2網路安全規章制度第一章總則

第一條為了保護校園網路系統的安全、促進學校計算機網路的應用和發展、保證校園網路的正常運行和網路用戶的使用權益,制定本安全管理制度。

第二條校園網是學校公共服務體系的重要組成部分,由信息中心負責管理,全面為教學、科研、學術交流、管理服務,網上資源專管共有。

第三條

本管理制度所稱的校園網路系統,是指由學校投資購買、由學校網路信息中心負責維護和管理的校園網路主、輔節點設備、配套的網路線纜設施及網路伺服器、工作站所構成的、為校園網路應用及服務的硬體、軟體的集成系統。

第四條校園網系統的安全運行和系統設備管理維護工作由學校網路信息中心負責,學校網路信息中心可以委託相關部門指定人員代為管理子節點設備。任何部門和個人,未經校園網負責單位同意、不得擅自安裝、拆卸或改變網路設備。

第五條任何單位和個人、不得利用聯網計算機從事危害校園網及本地區域網伺服器、工作站的活動,不得危害或侵入未授權的伺服器、工作站。

第二章安全保護運行

第六條除校園網負責單位,其他單位(部門)或個人不得以任何方式試圖登陸進入校園網主、輔節點、伺服器等設備進行修改、設置、刪除等操作;任何單位和個人不得以任何借口盜竊、破壞網路設施,這些行為被視為對校園網安全運行的破壞行為。

第七條

校園網中對外發布信息的WWW伺服器中的內容必須經各單位領導審核,由單位負責人簽署意見後,交學校相關領導審核備案後,由學校網路信息中心從技術上開通其對外的信息服務。

第八條校園網各類伺服器中開設的帳戶和口令為個人用戶所擁有,學校網路信息中心對用戶口令保密,不得向任何單位和個人提供這些信息。

第九條網路使用者不得利用各種網路設備或軟體技術從事用戶帳戶及口令的偵聽、盜用活動,該活動被認為是對網路用戶權益的侵犯。

第十條校園內從事施工、建設,不得危害計算機網路系統的安全。

第十一條校園網主、輔節點設備及伺服器等發生案件、以及遭到黑客攻擊後,校園網負責單位必須在二十四小時內向學校及公安機關報告。

第十二條嚴禁在校園網上使用來歷不明、引發病毒傳染的軟體;對於來歷不明的可能引起計算機病毒的軟體應使用公安部門推薦的殺毒軟體檢查、殺毒。

第十三條嚴禁利用校園網進行賭博活動、玩游戲。

第十四條校園網的所有工作人員和用戶必須接受並配合學校網路信息中心進行的監督檢查和採取的必要措施。

第十五條校園網實行統一管理、分層負責制。網路中心對校管資源進行管理,各部門管理人員負責對本級資源進行管理,計算機系統管理員對各計算機系統的管理。

第十六條

嚴禁任何用戶擅自連入校園網,嚴禁任何非本校人員使用校園網,凡使用本校校園網的其他部門和個人要按有關規定進行登記,並簽署相應的信息 安全責任書 ,自覺遵守《通化市第十三中學校園網路管理制度》,並承擔一旦發生問題的相關責任。

第十七條凡本校工作人員均有義務幫助審查校園網上網信息,杜絕涉及國家機密或國家禁止的信息上網。

第十八條校園網工作人員和用戶在網路上發現有礙社會治安和不健康的信息有義務及時上報網路管理人員並自覺立即銷毀。

第十九條校園網內各級使用部門要設定網路安全員,負責相應的網路安全和信息安全工作,並定期對網路用戶進行有關信息安全和網路 安全 教育 。

第二十條

網路中心只對符合設置用戶名的部門和個人配置相應的用戶名和電子郵箱,並定期檢查其使用情況。由學校網路中心為其設置的用戶名等管理權歸本人所有,凡因此用戶名等發生的網路不安全因素均由本人承擔。

第二十一條任何單位(部門)和個人不得利用校園網製作、復制、查閱和傳播下列信息:

1)煽動抗拒、破壞憲法和法律、行政法規實施的;

2)煽動顛覆國家政權,推翻社會主義制度的;

3)煽動分裂國家、破壞國家統一的;

4)煽動民族仇恨、民族歧視,破壞民族團結的;

5)捏造或者歪曲事實,散布謠言,擾亂社會秩序的;

6)宣揚封建迷信、淫穢、色情、賭博、暴力、兇殺、恐怖、教唆犯罪;

7)公然侮辱他人或者捏造事實誹謗他人的;

8)損害國家機關信譽的;

9)其他違反憲法和法律、行政法規的。

第二十二條

校園網及子網的系統軟體、應用軟體及信息數據要實施保密措施。信息資源保密等級可分為:

(1)可向Internet公開的;

(2)可向校內公開的;

(3)可向有關單位或個人公開的;

(4)僅限於本單位內使用的;

(5)僅限於個人使用的。

第二十三條

對所有聯網計算機及上網人員要及時、准確登記備案。多人共用計算機上網的各級行政單位、教學業務單位上網計算機的使用要嚴格管理,部門負責人為網路安全負責人。學校公共機房一律不準對社會開放,機房工作人員記錄上網人員身份和上下網時間、機號。公共機房使用網路的記錄要保持一年。

第二十四條

校園網負責單位必須落實各項管理制度和技術規范,監控、封堵、清除網上有害信息。為了有效地防範網上非法活動,校園網要統一出口管理、統一用戶管理,進出校園網訪問信息的所有用戶必須使用校園網負責單位設立的代理伺服器。

第三章違約責任與處罰

第二十五條

違反第五條及第二十一、第二十二條規定的行為一經查實,將向學校有關部門報告,視情節給予相應的行政紀律處分及經濟處罰;造成重大影響和損失的將向市公安部門報告,由個人依法承擔相關責任。

第二十六條

違反第九條規定的偵聽、盜用行為一經查實,將提請學校給予行政處分,並在校園網上公布;對他人造成經濟損失的,由本人加倍賠償受害人損失,關閉其擁有的各類服務帳號;行為惡劣、影響面大、造成他人重大損失的,將向公安部門報案。

第二十七條違反第十二條、第十三條規定的行為一經查實,關閉其擁有的各類服務帳號;行為惡劣、影響面大、造成他人重大損失的,將向公安部門報案。

第二十八條故意傳播或製造計算機病毒,造成危害校園網系統安全的按《中華人民共和國計算機信息系統安全保護條例》中第二十三條的規定予以處罰。

第四章其他

第二十九條本管理制度由網路安全管理領導小組負責監督實施,具體處罰由學校實施。

第三十條本管理制度中所指出的校園網負責單位為學校網路信息中心。

第三十一條本管理制度自公布之日起實行。

3政府網路安全管理規章制度1、遵守國家有關法律、法規,嚴格執行安全保密制度,不得利用網路從事危害國家安全、泄露國家秘密等違法犯罪活動,不得製作、瀏覽、復制、傳播反動及黃色信息,不得在網路上發布反動、非法和虛假的消息,不得在網路上漫罵攻擊他人,不得在網上泄露他人隱私。嚴禁通過網路進行任何黑客活動和性質類似的破壞活動,嚴格控制和防範計算機病毒的侵入。

2、網路安全管理員主要負責全單位網路(包含區域網、廣域網)的系統安全性。

3、良好周密的日誌審計以及細致的分析經常是預測攻擊,定位攻擊,以及遭受攻擊後追查攻擊者的有力武器。應對網路設備運行狀況、網路流量、用戶行為等進行日誌審計,審計內容應包括事件的日期和時間、用戶、事件類型、事件是否成功等內容,對網路設備日誌須保存三個月。

4、網路管理員察覺到網路處於被攻擊狀態後,應確定其身份,並對其發出警告,提前制止可能的網路犯罪,若對方不聽勸告,在保護系統安全的情況下可做善意阻擊並向主管領導匯報。

5、每月安全管理人員應向主管人員提交當月值班及事件記錄,並對系統記錄文件保存收檔,以備查閱。

6、網路設備策略配置的更改,各類硬體設備的添加、更換必需經負責人書面批准後方可進行;更改前需經過技術驗證,必須按規定進行詳細登記和記錄,對各類軟體、現場資料、檔案整理存檔。

7、定期對網路設備進行漏洞掃描並進行分析、修復,網路設備軟體存在的安全漏洞可能被利用,所以定期根據廠家提供的升級版本進行升級。

8、對於需要將計算機外聯及接入的,需填寫網路外聯及准入申請表(附件十、《網路外聯及准入申請表》)。

9、對關鍵網路設備和關鍵網路鏈路需進行冗餘,以保證高峰時的業務需求,以消除設備和鏈路出現單點故障。

10、IP地址為計算機網路的重要資源,計算機各終端用戶應在信息科的規劃下使用這些資源,不得擅自更改。另外,某些系統服務對網路產生影響,計算機各終端用戶應在信息科的指導下使用,禁止隨意開啟計算機中的系統服務,保證計算機網路暢通運行。

11、每個月對網路設備安全文件,安全策略進行備份。

4網路安全管理規章制度第一條為切實加強學校校園網網路安全管理工作,維護學校校園網網路的正常運行,根據《中華人民共和國計算機信息系統安全保護條例》、《計算機信息網路國際聯網安全保護管理辦法》、《中華人民共和國計算機信息網路國際聯網管理暫行規定》及其他有關法律法規的規定,特製定本規范。

第二條學校信息中心在校長室的領導下主管學校網路安全工作,網路管理員及各系部信息員負責學校網路安全管理的具體事務。信息中心對學校網路安全管理工作應履行下列職責:

1.傳達並執行上級有關網路安全的條例、法規,並制止有關違反網路安全條例、法規的行為。

2.確定安全管理責任人(分管信息中心的辦公室主任為第一責任人)。

3.購置和配備應用與網路安全管理的軟、硬體(如防火牆、路由器、殺毒軟體等)。

4.對校園網上發布的信息進行安全檢查和審核。

第三條學校網路管理員在辦公室的領導下具體負責學校的網路安全和信息安全工作,包括網路安全的技術支持、信息發布的審核、重要信息的保存和備份以及不良信息的舉報和協助查處工作。

第四條學校信息中心可對校園內所有計算機進行安全檢查,相關部門或個人應積極配合,提供有關情況和資料。

第五條學校任何部門或個人通過網路存取、處理、傳遞屬於機密的信息,必須採取相應的保密措施,確保機密安全。重要部門的計算機應重點加強安全管理和保衛工作。

第六條學校所有計算機的網路配置(如IP地址等)應由網路管理員統一規劃與配置,任何部門或個人不得擅自更改配置信息。

第七條學校為學生提供上機服務的微機房,必須有專門的負責人負責管理,禁止學生瀏覽色情網站、利用網路散布反動言論等,如有違反,應按學校有關規定嚴肅處理。

第八條學校應建立網站和個人主頁的備案、定期審核制度。學校網站的建設應本著有利於教科研管理、有利於對內對外的宣傳、有利於學校師生的學習工作生活、有利於節約網路資源的原則,嚴格履行備案和定期審核的手續。未經審核或審核不合格的網站或個人主頁應予以取締。

第九條學校任何部門或個人在公網上建設網站、主頁,要嚴格遵守有關法規,不得損害學校的聲譽和利益。

第十條學校任何部門和個人不得利用校園網危害國家安全、泄露國家秘密,不得侵犯國家、社會、集體的利益,不得從事任何違法犯罪活動。

第十一條學校任何部門和個人不得利用校園網製作、復制、查閱和傳播下列信息:

1.煽動抗拒、破壞憲法和法律、行政法規實施的;

2.煽動顛覆國家政權,推翻社會主義制度的;

3.煽動分裂國家、破壞國家統一的;

4.煽動民族仇恨、民族歧視,破壞民族團結的;

5.捏造或者歪曲事實,散布謠言,擾亂社會秩序的;

6.宣揚封建迷信、淫穢、色情、賭博、暴力、兇殺、恐怖,教唆犯罪的;

7.公然侮辱他人或者捏造事實誹謗他人的;

8.損害學校形象和學校利益的;

9.侵犯他人知識產權的;

10.其他違反憲法和法律,行政法規的。

第十二條學校任何部門和個人不得從事下列危害校園網網路安全的活動:

1.未經允許,進入學校信息網路或者使用學校信息網路資源;

2.未經允許,對學校網路功能進行刪除、修改或者增加的;

3.未經允許,對學校網路中存儲、處理或者傳輸的數據和應用程序進行刪除、修改或者增加的;

4.故意製作、傳播計算機病毒等破壞性程序的;

5.使用各類黑客軟體進行黑客攻擊活動的;

6.未經學校批准,在校園網內私自建立網站或提供對外網路服務的;

7.在BBS、留言板、聊天室上對他人進行人身攻擊,發表消極、低級庸俗言論,發表各類未經許可的 廣告 信息,使用各種公眾人物的名字及其他不健康的內容作為自己的網名的;

8.其他危害計算機信息網路安全的。

第十三條任何部門或個人不得違反法律規定,侵犯校園網用戶的通信自由和通信秘密。

第十四條校園網內各類伺服器中開設的帳戶和口令為校內個人用戶所擁有,網路管理員應對用戶口令保密,不得向任何部門或個人提供這些信息。

第十五條校內網路使用者不得利用各種網路設備或軟體技術從事用戶帳戶及口令的偵聽、盜用活動,該活動被認為是對校內網路用戶權益的侵犯。

第十六條為了有效防範網上的非法活動,校園網要統一出口管理、統一用戶管理,未經學校信息中心批准,任何部門或個人一律不得開設代理伺服器等應用伺服器。

第十七條學校信息化領導小組必須落實各項管理制度和技術規范,有效監控、封堵、清除網上有害信息。網路管理員應定期檢查網路安全保護管理以及技術措施的落實情況,重點加強校園網電子公告欄、留言版、聊天室等互動式欄目的管理和監控,並定期對這些欄目的內容進行審核和檢查,及時發現和刪除各類有害信息。

第十八條學校開設的各類伺服器必須保持日誌記錄功能,歷史記錄保持時間不得低於6個月。網路管理員要按照公安部門有關技術監察的要求規定,不定期地檢查各開通伺服器的系統日誌。

第十九條對違反本規范的,由學校辦公室根據情節給予警告、責成相關部門、網路管理員和當事人寫出書面檢查、停機整頓的處理;情節嚴重的,由學校依據有關規定對當事人給予相應行政紀律處分;造成重大影響和損失的將向公安部門報案,由個人依法承擔相關責任。

第二十條違反第十五條規定的偵聽、盜用行為一經查實,將提請學校給予行政紀律處分,並在校內公布;對他人造成經濟損失的,由本人加倍賠償受害人損失,關閉其擁有的各類服務帳號;行為惡劣、影響面大、造成他人重大損失的,將向公安部門報案。

第二十一條故意傳播或製造計算機病毒,造成危害校園網系統安全的按《中華人民共和國計算機信息系統安全保護條例》中的相關規定予以處罰。

附則

第二十三條根據學校校園網運行的實際情況並結合上級部門有關規定,將對本規范適時予以修訂。

第二十四條本規范由鎮江高等職業技術學校信息處負責解釋,自發布之日起試行。

5鄉鎮網路安全管理規章制度為了加強我鎮信息網路、政府信息網的安全保密、使用和管理。依據《國家秘密及其密級具體范圍的規定》、《計算機信息系統國際聯網保密管理規定》等有關法律、法規的規定,特製定本制度。

一、黨政綜合辦公室負責本政府機關的計算機網路相關的設備和耗材。

二、黨政辦和財政所負責購置與計算機網路相關的設備和耗材。因工作需要而安裝相關的軟體或更換計算機相關配件,應及時報告辦公室,由辦公室統籌配置。

三、各站所計算機的管理、使用、保養、清潔等應明確到人,堅持誰使用誰負責;應定期打掃清潔衛生,嚴防煙灰、紙屑、茶水等進入計算機,確保安全運行。下班後應當關閉計算機並切斷電源、網線,如遇雷雨天氣,應切斷交換機的總電源。同時保護好電腦,若有人為造成電腦損失和造成被盜,應照價賠償。

四、計算機網路出現故障,應及時向辦公室反映,由黨政綜合辦公室聯系專業技術人員上門維護維修,禁止將主機送外維修,確保信息安全。

五、計算機的隨機配件、軟體和外購軟體應到黨政綜合辦公室登記、注冊、查毒後方可使用,並妥善保管;按規定實行雙硬雙網物理隔離的,使用者不得擅自撤出隔離卡。

六、各站所的設密文件、資料、信息應設置安全保護,不得保存於未設置保密措施的計算機上。未經授權,不得隨意訪問別人的保密文檔。

七、政府機關職工上班應當每天瀏覽縣委、縣政府、鎮政府等辦公信息網,做到公文處理及時、准確。

八、機關職工應該學習計算機知識和操作技能,積極參加計算機操作培訓。嚴格遵照計算機操作程序,正確使用計算機及網路設施,避免操作不當造成損壞。

九、機關職工應充分利用網路量大、面寬、傳遞快等優勢,自覺學習和運用網上相關知識,查閱與工作相關的資料,提高工作質量和水平。但不得瀏覽不健康網頁,不得在工作時間內玩游戲、聊天,不得用紙質列印下載與工作無關的資料、文件或信息。

十、機關職工違反本制度按照保密法及相關的法規、紀律規定處理,觸犯刑法的移送司法機關處置。

網路安全管理規定相關 文章 :

1. 網路安全管理制度範本精選

2. 企業網路安全管理制度

3. 網路安全管理制度辦法

4. 政府網路安全管理制度範文

5. 最新it信息安全管理制度範本

6. 學校網路安全管理制度3篇

7. 2017年最新網路安全保護法條例

㈤ 網信辦查出網站漏洞能關停網嗎

客戶網站因存在漏洞,被上報到了國家網路與信息安全信息通報中心,分發給當地網警,並給下發了信息系統安全等級保護限期整改通知書,並電話以及郵件告知了客戶,要求3天內對漏洞進行修復以及網路安全防護,對網站進行全面的安全加固,防止漏洞再次的發生。客戶第一次碰到這種情況,也不知道該如何解決,找了當時設計網站的服務商,他們竟然回復解決不了。 客戶才找到我們SINESAFE安全,說實在的,很多客戶遇到這種情況,第一時間想到的是網站建設服務商,並不會想到找網站安全服務商來解決問題。在這里再跟大家解釋一下,代碼設計是功能方面以及外觀方面的設計,像開發一個會員注冊功能,都是代碼設計的范圍,可當會員注冊存在漏洞,這就是屬於網站漏洞修復的范疇,應該找網站漏洞修復服務商來處理。

㈥ Apache安全漏洞全球發酵 工信部暫停阿里雲合作單位,Log4j2問題影響幾何

2001年,軟體開發者Ceki Gulcu設計出一套基於Java語言的日誌庫Log4j,並於不久後加入專門運作開源軟體項目的非盈利組織Apache。在此後的軟體迭代升級中,Apache在Log4j的基礎上推出了新開源項目Log4j2,在保留原本特性的同時加入了控制日誌信息輸出目的地、輸出格式、定義信息級別等功能,並很快因為其簡易便捷、功能強大的特徵,作為基本集成模塊廣泛應用於各類使用Java開源系統中。

但也正因為Log4j2廣泛的適用性,在被爆出存在遠程代碼執行安全漏洞後,在全球計算機領域引發巨大的安全危機。

除了Log4j2本身應用范圍廣外,該漏洞的另一大特徵在於利用方式十分簡單。據專家介紹,攻擊者僅需向目標輸入一段代碼,不需要用戶執行任何多餘操作即可觸發該漏洞,使攻擊者得以遠程式控制制受害者用戶的伺服器,90%以上基於Java開發的應用平台都會受到影響。

奇安信集團安域雲防護的監測數據顯示,截至12月10日中午12點,已發現近1萬次利用該漏洞的攻擊行為。奇安信應急響應中心已接到十餘起重要單位的漏洞應急響應需求,並於12月9日晚間將漏洞信息上報了相關主管部門。補天漏洞響應平台負責人介紹,12月9日深夜,僅一小時內就收到白帽黑客提交的百餘條該漏洞的信息。

而此前就十分猖獗的網路勒索軟體,通過利用Log4j2漏洞被發現後各大企業尚未及時修補前的間隙,發起了新一輪大規模勒索攻擊。來自KnownSec 404 團隊和深信服威脅情報團隊的研究人員報告稱,TellYouThePass、Khonsari等勒索軟體正利用該漏洞針對 Linux 和 Windows 系統發起進攻,在用戶終端直接完成安裝。

據工信部於12月17日在其官網發布的《關於阿帕奇Log4j2組件重大安全漏洞的網路安全風險提示》顯示,2021年12月9日,工業和信息化部網路安全威脅和漏洞信息共享平台收到有關網路安全專業機構報告,阿帕奇Log4j2組件存在嚴重安全漏洞。工業和信息化部立即組織有關網路安全專業機構開展漏洞風險分析,召集阿里雲、網路安全企業、網路安全專業機構等開展研判,通報督促阿帕奇軟體基金會及時修補該漏洞,向行業單位進行風險預警。

在此之前,我國對網路漏洞的處理方式和流程已做出具體要求。《網路安全法》第二十五條規定:「網路運營者應當制定網路安全事件應急預案,及時處置系統漏洞、計算機病毒、網路攻擊、網路侵入等安全風險;在發生危害網路安全的事件時,立即啟動應急預案,採取相應的補救措施,並按照規定向有關主管部門報告。」

今年7月,工業和信息化部、國家互聯網信息辦公室、公安部聯合發布《網路產品安全漏洞管理規定》,對網路產品提供者、運營者及信息共享平台的責任與義務提出更為詳細的要求。其第七條規定,網路產品提供者在發現或者獲知所提供網路產品存在安全漏洞後,應當立即採取措施並組織驗證,評估其危害程度和影響范圍,並在2日內向工業和信息化部網路安全威脅和漏洞信息共享平台報送相關漏洞信息;對屬於其上游產品或者組件存在的安全漏洞,應當立即通知相關產品提供者;對於需要產品用戶(含下游廠商)採取軟體、固件升級等措施的應及時告知並提供必要的技術支持。

平台方面,工業和信息化部網路安全威脅和漏洞信息共享平台同步向國家網路與信息安全信息通報中心、國家計算機網路應急技術處理協調中心通報相關漏洞信息。

據方寧介紹,目前國內的國家級漏洞採集共享平台主要包括CNVD(國家信息安全漏洞共享平台)、CNNVD(國家信息安全漏洞庫)等,此類平台往往招募了大量第三方安全企業長期向其輸送網路安全漏洞,這些第三方企業作為相關部門的支撐單位,需要依據規定及時將發現的漏洞提交到國家採集平台上。

目前,受到Log4j2漏洞影響和威脅的企業與組織數量仍在持續增長,據火線Apache Log4j2 漏洞影響面查詢網站統計顯示,截至發稿前,該漏洞已影響超6萬個開源軟體,涉及相關版本軟體包32萬余個。

除企業外,一些政府機構和 社會 組織由於未及時修補Log4j2漏洞,也成為黑客的攻擊目標。據報道,當地時間12月16日,比利時國防部遭到黑客利用該漏洞發起的攻擊,比利時國防部長回應稱,其安全團隊正努力保證網路安全,防止再發生類似事件。

盡管在12月8日, Apache官方就已發布Log4j2安全更新,但其影響預計還將持續很長一段時間。

「可能還需要至少6個月,才能把本次漏洞的影響面縮減到比較小的范圍內。」方寧解釋稱,此類0day漏洞(已被發現但還未推出相關補丁的漏洞)剛被爆出時,往往是對安全問題較為重視並有相應財力、人力的企業最早完成修復,大量的中小企業如果沒有專門的網路安全部門和團隊,可能都無法獲知相關的情況。

方寧表示,當前各大安全廠商已提供了一些自動化檢測工具和腳本,現在最重要的是企業和相關單位重視起來,根據國家漏洞庫、漏洞平台給出的解決方案,對照自己的產品系統進行檢查。上述北京網路安全公司技術人員則表示,很多開發者及時升級軟體版本,就可以避免被黑客利用漏洞進行攻擊,「最關鍵的還是要做好自查和升級。」

更多內容請下載21 財經 APP

㈦ 違反網路安全法的行為有哪些呢

違反網路安全法規會受到的處罰有:處五萬元以上五十萬元以下罰款,對直接負責的主管人員處一萬元以上十萬元以下罰款;構成違反治安管理行為的,依法給予治安管理處罰;構成犯罪的,依法追究刑事責任。
【法律依據】
《中華人民共和國網路安全法》第六十條
違反本法第二十二條第一款、第二款和第四十八條第一款規定,有下列行為之一的,由有關主管部門責令改正,給予警告;拒不改正或者導致危害網路安全等後果的,處五萬元以上五十萬元以下罰款,對直接負責的主管人員處一萬元以上十萬元以下罰款:
(一)設置惡意程序的;
(二)對其產品、服務存在的安全缺陷、漏洞等風險未立即採取補救措施,或者未按照規定及時告知用戶並向有關主管部門報告的;
(三)擅自終止為其產品、服務提供安全維護的。
第七十四條
違反本法規定,給他人造成損害的,依法承擔民事責任。
違反本法規定,構成違反治安管理行為的,依法給予治安管理處罰;構成犯罪的,依法追究刑事責任。

㈧ 中華人民共和國網路安全法

第一章總則
第一條為了保障網路安全,維護網路空間主權和國家安全、社會公共利益,保護公民、法人和其他組織的合法權益,促進經濟社會信息化健康發展,制定本法。

第二條在中華人民共和國境內建設、運營、維護和使用網路,以及網路安全的監督管理,適用本法。

第三條國家堅持網路安全與信息化發展並重,遵循積極利用、科學發展、依法管理、確保安全的方針,推進網路基礎設施建設和互聯互通,鼓勵網路技術創新和應用,支持培養網路安全人才,建立健全網路安全保障體系,提高網路安全保護能力。

第四條國家制定並不斷完善網路安全戰略,明確保障網路安全的基本要求和主要目標,提出重點領域的網路安全政策、工作任務和措施。

第五條國家採取措施,監測、防禦、處置來源於中華人民共和國境內外的網路安全風險和威脅,保護關鍵信息基礎設施免受攻擊、侵入、干擾和破壞,依法懲治網路違法犯罪活動,維護網路空間安全和秩序。

第六條國家倡導誠實守信、健康文明的網路行為,推動傳播社會主義核心價值觀,採取措施提高全社會的網路安全意識和水平,形成全社會共同參與促進網路安全的良好環境。

第七條國家積極開展網路空間治理、網路技術研發和標准制定、打擊網路違法犯罪等方面的國際交流與合作,推動構建和平、安全、開放、合作的網路空間,建立多邊、民主、透明的網路治理體系。

第八條 國家網信部門負責統籌協調網路安全工作和相關監督管理工作。國務院電信主管部門、公安部門和其他有關機關依照本法和有關法律、行政法規的規定,在各自職責范圍內負責網路安全保護和監督管理工作。

縣級以上地方人民政府有關部門的網路安全保護和監督管理職責,按照國家有關規定確定。

第九條 網路運營者開展經營和服務活動,必須遵守法律、行政法規,尊重社會公德,遵守商業道德,誠實信用,履行網路安全保護義務,接受政府和社會的監督,承擔社會責任。

第十條建設、運營網路或者通過網路提供服務,應當依照法律、行政法規的規定和國家標準的強制性要求,採取技術措施和其他必要措施,保障網路安全、穩定運行,有效應對網路安全事件,防範網路違法犯罪活動,維護網路數據的完整性、保密性和可用性。

第十一條 網路相關行業組織按照章程,加強行業自律,制定網路安全行為規范,指導會員加強網路安全保護,提高網路安全保護水平,促進行業健康發展。

第十二條 國家保護公民、法人和其他組織依法使用網路的權利,促進網路接入普及,提升網路服務水平,為社會提供安全、便利的網路服務,保障網路信息依法有序自由流動。

任何個人和組織使用網路應當遵守憲法法律,遵守公共秩序,尊重社會公德,不得危害網路安全,不得利用網路從事危害國家安全、榮譽和利益,煽動顛覆國家政權、推翻社會主義制度,煽動分裂國家、破壞國家統一,宣揚恐怖主義、極端主義,宣揚民族仇恨、民族歧視,傳播暴力、淫穢色情信息,編造、傳播虛假信息擾亂經濟秩序和社會秩序,以及侵害他人名譽、隱私、知識產權和其他合法權益等活動。

第十三條 國家支持研究開發有利於未成年人健康成長的網路產品和服務,依法懲治利用網路從事危害未成年人身心健康的活動,為未成年人提供安全、健康的網路環境。

第十四條 任何個人和組織有權對危害網路安全的行為向網信、電信、公安等部門舉報。收到舉報的部門應當及時依法作出處理;不屬於本部門職責的,應當及時移送有權處理的部門。

有關部門應當對舉報人的相關信息予以保密,保護舉報人的合法權益。第二章網路安全支持與促進第十五條 國家建立和完善網路安全標准體系。國務院標准化行政主管部門和國務院其他有關部門根據各自的職責,組織制定並適時修訂有關網路安全管理以及網路產品、服務和運行安全的國家標准、行業標准。

國家支持企業、研究機構、高等學校、網路相關行業組織參與網路安全國家標准、行業標準的制定。

第十六條國務院和省、自治區、直轄市人民政府應當統籌規劃,加大投入,扶持重點網路安全技術產業和項目,支持網路安全技術的研究開發和應用,推廣安全可信的網路產品和服務,保護網路技術知識產權,支持企業、研究機構和高等學校等參與國家網路安全技術創新項目。

第十七條國家推進網路安全社會化服務體系建設,鼓勵有關企業、機構開展網路安全認證、檢測和風險評估等安全服務。

第十八條國家鼓勵開發網路數據安全保護和利用技術,促進公共數據資源開放,推動技術創新和經濟社會發展。

國家支持創新網路安全管理方式,運用網路新技術,提升網路安全保護水平。

第十九條各級人民政府及其有關部門應當組織開展經常性的網路安全宣傳教育,並指導、督促有關單位做好網路安全宣傳教育工作。

大眾傳播媒介應當有針對性地面向社會進行網路安全宣傳教育。

第二十條 國家支持企業和高等學校、職業學校等教育培訓機構開展網路安全相關教育與培訓,採取多種方式培養網路安全人才,促進網路安全人才交流。第三章網路運行安全第一節 一般規定

第二十一條 國家實行網路安全等級保護制度。網路運營者應當按照網路安全等級保護制度的要求,履行下列安全保護義務,保障網路免受干擾、破壞或者未經授權的訪問,防止網路數據泄露或者被竊取、篡改:

(一)制定內部安全管理制度和操作規程,確定網路安全負責人,落實網路安全保護責任;

(二)採取防範計算機病毒和網路攻擊、網路侵入等危害網路安全行為的技術措施;

(三)採取監測、記錄網路運行狀態、網路安全事件的技術措施,並按照規定留存相關的網路日誌不少於六個月;

(四)採取數據分類、重要數據備份和加密等措施;

(五)法律、行政法規規定的其他義務。

第二十二條 網路產品、服務應當符合相關國家標準的強制性要求。網路產品、服務的提供者不得設置惡意程序;發現其網路產品、服務存在安全缺陷、漏洞等風險時,應當立即採取補救措施,按照規定及時告知用戶並向有關主管部門報告。

網路產品、服務的提供者應當為其產品、服務持續提供安全維護;在規定或者當事人約定的期限內,不得終止提供安全維護。

網路產品、服務具有收集用戶信息功能的,其提供者應當向用戶明示並取得同意;涉及用戶個人信息的,還應當遵守本法和有關法律、行政法規關於個人信息保護的規定。

第二十三條 網路關鍵設備和網路安全專用產品應當按照相關國家標準的強制性要求,由具備資格的機構安全認證合格或者安全檢測符合要求後,方可銷售或者提供。國家網信部門會同國務院有關部門制定、公布網路關鍵設備和網路安全專用產品目錄,並推動安全認證和安全檢測結果互認,避免重復認證、檢測。

第二十四條 網路運營者為用戶辦理網路接入、域名注冊服務,辦理固定電話、行動電話等入網手續,或者為用戶提供信息發布、即時通訊等服務,在與用戶簽訂協議或者確認提供服務時,應當要求用戶提供真實身份信息。用戶不提供真實身份信息的,網路運營者不得為其提供相關服務。

國家實施網路可信身份戰略,支持研究開發安全、方便的電子身份認證技術,推動不同電子身份認證之間的互認。

第二十五條 網路運營者應當制定網路安全事件應急預案,及時處置系統漏洞、計算機病毒、網路攻擊、網路侵入等安全風險;在發生危害網路安全的事件時,立即啟動應急預案,採取相應的補救措施,並按照規定向有關主管部門報告。

第二十六條開展網路安全認證、檢測、風險評估等活動,向社會發布系統漏洞、計算機病毒、網路攻擊、網路侵入等網路安全信息,應當遵守國家有關規定。

第二十七條任何個人和組織不得從事非法侵入他人網路、干擾他人網路正常功能、竊取網路數據等危害網路安全的活動;不得提供專門用於從事侵入網路、干擾網路正常功能及防護措施、竊取網路數據等危害網路安全活動的程序、工具;明知他人從事危害網路安全的活動的,不得為其提供技術支持、廣告推廣、支付結算等幫助。

第二十八條網路運營者應當為公安機關、國家安全機關依法維護國家安全和偵查犯罪的活動提供技術支持和協助。

第二十九條國家支持網路運營者之間在網路安全信息收集、分析、通報和應急處置等方面進行合作,提高網路運營者的安全保障能力。

有關行業組織建立健全本行業的網路安全保護規范和協作機制,加強對網路安全風險的分析評估,定期向會員進行風險警示,支持、協助會員應對網路安全風險。

第三十條網信部門和有關部門在履行網路安全保護職責中獲取的信息,只能用於維護網路安全的需要,不得用於其他用途。第二節 關鍵信息基礎設施的運行安全第三十一條國家對公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務等重要行業和領域,以及其他一旦遭到破壞、喪失功能或者數據泄露,可能嚴重危害國家安全、國計民生、公共利益的關鍵信息基礎設施,在網路安全等級保護制度的基礎上,實行重點保護。關鍵信息基礎設施的具體范圍和安全保護辦法由國務院制定。

國家鼓勵關鍵信息基礎設施以外的網路運營者自願參與關鍵信息基礎設施保護體系。

第三十二條 按照國務院規定的職責分工,負責關鍵信息基礎設施安全保護工作的部門分別編制並組織實施本行業、本領域的關鍵信息基礎設施安全規劃,指導和監督關鍵信息基礎設施運行安全保護工作。

第三十三條建設關鍵信息基礎設施應當確保其具有支持業務穩定、持續運行的性能,並保證安全技術措施同步規劃、同步建設、同步使用。

第三十四條除本法第二十一條的規定外,關鍵信息基礎設施的運營者還應當履行下列安全保護義務:

(一)設置專門安全管理機構和安全管理負責人,並對該負責人和關鍵崗位的人員進行安全背景審查;

(二)定期對從業人員進行網路安全教育、技術培訓和技能考核;

(三)對重要系統和資料庫進行容災備份;

(四)制定網路安全事件應急預案,並定期進行演練;

(五)法律、行政法規規定的其他義務。

第三十五條 關鍵信息基礎設施的運營者采購網路產品和服務,可能影響國家安全的,應當通過國家網信部門會同國務院有關部門組織的國家安全審查。

第三十六條關鍵信息基礎設施的運營者采購網路產品和服務,應當按照規定與提供者簽訂安全保密協議,明確安全和保密義務與責任。

第三十七條 關鍵信息基礎設施的運營者在中華人民共和國境內運營中收集和產生的個人信息和重要數據應當在境內存儲。因業務需要,確需向境外提供的,應當按照國家網信部門會同國務院有關部門制定的辦法進行安全評估;法律、行政法規另有規定的,依照其規定。

第三十八條關鍵信息基礎設施的運營者應當自行或者委託網路安全服務機構對其網路的安全性和可能存在的風險每年至少進行一次檢測評估,並將檢測評估情況和改進措施報送相關負責關鍵信息基礎設施安全保護工作的部門。

第三十九條國家網信部門應當統籌協調有關部門對關鍵信息基礎設施的安全保護採取下列措施:

(一)對關鍵信息基礎設施的安全風險進行抽查檢測,提出改進措施,必要時可以委託網路安全服務機構對網路存在的安全風險進行檢測評估;

(二)定期組織關鍵信息基礎設施的運營者進行網路安全應急演練,提高應對網路安全事件的水平和協同配合能力;

(三)促進有關部門、關鍵信息基礎設施的運營者以及有關研究機構、網路安全服務機構等之間的網路安全信息共享;

(四)對網路安全事件的應急處置與網路功能的恢復等,提供技術支持和協助。第四章網路信息安全第四十條 網路運營者應當對其收集的用戶信息嚴格保密,並建立健全用戶信息保護制度。

第四十一條 網路運營者收集、使用個人信息,應當遵循合法、正當、必要的原則,公開收集、使用規則,明示收集、使用信息的目的、方式和范圍,並經被收集者同意。

網路運營者不得收集與其提供的服務無關的個人信息,不得違反法律、行政法規的規定和雙方的約定收集、使用個人信息,並應當依照法律、行政法規的規定和與用戶的約定,處理其保存的個人信息。

第四十二條網路運營者不得泄露、篡改、毀損其收集的個人信息;未經被收集者同意,不得向他人提供個人信息。但是,經過處理無法識別特定個人且不能復原的除外。

網路運營者應當採取技術措施和其他必要措施,確保其收集的個人信息安全,防止信息泄露、毀損、丟失。在發生或者可能發生個人信息泄露、毀損、丟失的情況時,應當立即採取補救措施,按照規定及時告知用戶並向有關主管部門報告。

第四十三條個人發現網路運營者違反法律、行政法規的規定或者雙方的約定收集、使用其個人信息的,有權要求網路運營者刪除其個人信息;發現網路運營者收集、存儲的其個人信息有錯誤的,有權要求網路運營者予以更正。網路運營者應當採取措施予以刪除或者更正。

第四十四條任何個人和組織不得竊取或者以其他非法方式獲取個人信息,不得非法出售或者非法向他人提供個人信息。

第四十五條依法負有網路安全監督管理職責的部門及其工作人員,必須對在履行職責中知悉的個人信息、隱私和商業秘密嚴格保密,不得泄露、出售或者非法向他人提供。

第四十六條任何個人和組織應當對其使用網路的行為負責,不得設立用於實施詐騙,傳授犯罪方法,製作或者銷售違禁物品、管制物品等違法犯罪活動的網站、通訊群組,不得利用網路發布涉及實施詐騙,製作或者銷售違禁物品、管制物品以及其他違法犯罪活動的信息。

第四十七條網路運營者應當加強對其用戶發布的信息的管理,發現法律、行政法規禁止發布或者傳輸的信息的,應當立即停止傳輸該信息,採取消除等處置措施,防止信息擴散,保存有關記錄,並向有關主管部門報告。

第四十八條 任何個人和組織發送的電子信息、提供的應用軟體,不得設置惡意程序,不得含有法律、行政法規禁止發布或者傳輸的信息。

電子信息發送服務提供者和應用軟體下載服務提供者,應當履行安全管理義務,知道其用戶有前款規定行為的,應當停止提供服務,採取消除等處置措施,保存有關記錄,並向有關主管部門報告。

第四十九條 網路運營者應當建立網路信息安全投訴、舉報制度,公布投訴、舉報方式等信息,及時受理並處理有關網路信息安全的投訴和舉報。

網路運營者對網信部門和有關部門依法實施的監督檢查,應當予以配合。

第五十條國家網信部門和有關部門依法履行網路信息安全監督管理職責,發現法律、行政法規禁止發布或者傳輸的信息的,應當要求網路運營者停止傳輸,採取消除等處置措施,保存有關記錄;對來源於中華人民共和國境外的上述信息,應當通知有關機構採取技術措施和其他必要措施阻斷傳播。第五章監測預警與應急處置第五十一條國家建立網路安全監測預警和信息通報制度。國家網信部門應當統籌協調有關部門加強網路安全信息收集、分析和通報工作,按照規定統一發布網路安全監測預警信息。

第五十二條負責關鍵信息基礎設施安全保護工作的部門,應當建立健全本行業、本領域的網路安全監測預警和信息通報制度,並按照規定報送網路安全監測預警信息。

第五十三條國家網信部門協調有關部門建立健全網路安全風險評估和應急工作機制,制定網路安全事件應急預案,並定期組織演練。

負責關鍵信息基礎設施安全保護工作的部門應當制定本行業、本領域的網路安全事件應急預案,並定期組織演練。

網路安全事件應急預案應當按照事件發生後的危害程度、影響范圍等因素對網路安全事件進行分級,並規定相應的應急處置措施。

第五十四條網路安全事件發生的風險增大時,省級以上人民政府有關部門應當按照規定的許可權和程序,並根據網路安全風險的特點和可能造成的危害,採取下列措施:

(一)要求有關部門、機構和人員及時收集、報告有關信息,加強對網路安全風險的監測;

(二)組織有關部門、機構和專業人員,對網路安全風險信息進行分析評估,預測事件發生的可能性、影響范圍和危害程度;

(三)向社會發布網路安全風險預警,發布避免、減輕危害的措施。

第五十五條發生網路安全事件,應當立即啟動網路安全事件應急預案,對網路安全事件進行調查和評估,要求網路運營者採取技術措施和其他必要措施,消除安全隱患,防止危害擴大,並及時向社會發布與公眾有關的警示信息。

第五十六條 省級以上人民政府有關部門在履行網路安全監督管理職責中,發現網路存在較大安全風險或者發生安全事件的,可以按照規定的許可權和程序對該網路的運營者的法定代表人或者主要負責人進行約談。網路運營者應當按照要求採取措施,進行整改,消除隱患。

第五十七條 因網路安全事件,發生突發事件或者生產安全事故的,應當依照《中華人民共和國突發事件應對法》、《中華人民共和國安全生產法》等有關法律、行政法規的規定處置。

第五十八條 因維護國家安全和社會公共秩序,處置重大突發社會安全事件的需要,經國務院決定或者批准,可以在特定區域對網路通信採取限制等臨時措施。第六章法律責任第五十九條網路運營者不履行本法第二十一條、第二十五條規定的網路安全保護義務的,由有關主管部門責令改正,給予警告;拒不改正或者導致危害網路安全等後果的,處一萬元以上十萬元以下罰款,對直接負責的主管人員處五千元以上五萬元以下罰款。

關鍵信息基礎設施的運營者不履行本法第三十三條、第三十四條、第三十六條、第三十八條規定的網路安全保護義務的,由有關主管部門責令改正,給予警告;拒不改正或者導致危害網路安全等後果的,處十萬元以上一百萬元以下罰款,對直接負責的主管人員處一萬元以上十萬元以下罰款。

第六十條違反本法第二十二條第一款、第二款和第四十八條第一款規定,有下列行為之一的,由有關主管部門責令改正,給予警告;拒不改正或者導致危害網路安全等後果的,處五萬元以上五十萬元以下罰款,對直接負責的主管人員處一萬元以上十萬元以下罰款:

(一)設置惡意程序的;

(二)對其產品、服務存在的安全缺陷、漏洞等風險未立即採取補救措施,或者未按照規定及時告知用戶並向有關主管部門報告的;

(三)擅自終止為其產品、服務提供安全維護的。

第六十一條網路運營者違反本法第二十四條第一款規定,未要求用戶提供真實身份信息,或者對不提供真實身份信息的用戶提供相關服務的,由有關主管部門責令改正;拒不改正或者情節嚴重的,處五萬元以上五十萬元以下罰款,並可以由有關主管部門責令暫停相關業務、停業整頓、關閉網站、吊銷相關業務許可證或者吊銷營業執照,對直接負責的主管人員和其他直接責任人員處一萬元以上十萬元以下罰款。

第六十二條 違反本法第二十六條規定,開展網路安全認證、檢測、風險評估等活動,或者向社會發布系統漏洞、計算機病毒、網路攻擊、網路侵入等網路安全信息的,由有關主管部門責令改正,給予警告;拒不改正或者情節嚴重的,處一萬元以上十萬元以下罰款,並可以由有關主管部門責令暫停相關業務、停業整頓、關閉網站、吊銷相關業務許可證或者吊銷營業執照,對直接負責的主管人員和其他直接責任人員處五千元以上五萬元以下罰款。

第六十三條違反本法第二十七條規定,從事危害網路安全的活動,或者提供專門用於從事危害網路安全活動的程序、工具,或者為他人從事危害網路安全的活動提供技術支持、廣告推廣、支付結算等幫助,尚不構成犯罪的,由公安機關沒收違法所得,處五日以下拘留,可以並處五萬元以上五十萬元以下罰款;情節較重的,處五日以上十五日以下拘留,可以並處十萬元以上一百萬元以下罰款。

單位有前款行為的,由公安機關沒收違法所得,處十萬元以上一百萬元以下罰款,並對直接負責的主管人員和其他直接責任人員依照前款規定處罰。

違反本法第二十七條規定,受到治安管理處罰的人員,五年內不得從事網路安全管理和網路運營關鍵崗位的工作;受到刑事處罰的人員,終身不得從事網路安全管理和網路運營關鍵崗位的工作。

第六十四條 網路運營者、網路產品或者服務的提供者違反本法第二十二條第三款、第四十一條至第四十三條規定,侵害個人信息依法得到保護的權利的,由有關主管部門責令改正,可以根據情節單處或者並處警告、沒收違法所得、處違法所得一倍以上十倍以下罰款,沒有違法所得的,處一百萬元以下罰款,對直接負責的主管人員和其他直接責任人員處一萬元以上十萬元以下罰款;情節嚴重的,並可以責令暫停相關業務、停業整頓、關閉網站、吊銷相關業務許可證或者吊銷營業執照。

違反本法第四十四條規定,竊取或者以其他非法方式獲取、非法出售或者非法向他人提供個人信息,尚不構成犯罪的,由公安機關沒收違法所得,並處違法所得一倍以上十倍以下罰款,沒有違法所得的,處一百萬元以下罰款。

第六十五條關鍵信息基礎設施的運營者違反本法第三十五條規定,使用未經安全審查或者安全審查未通過的網路產品或者服務的,由有關主管部門責令停止使用,處采購金額一倍以上十倍以下罰款;對直接負責的主管人員和其他直接責任人員處一萬元以上十萬元以下罰款。

第六十六條關鍵信息基礎設施的運營者違反本法第三十七條規定,在境外存儲網路數據,或者向境外提供網路數據的,由有關主管部門責令改正,給予警告,沒收違法所得,處五萬元以上五十萬元以下罰款,並可以責令暫停相關業務、停業整頓、關閉網站、吊銷相關業務許可證或者吊銷營業執照;對直接負責的主管人員和其他直接責任人員處一萬元以上十萬元以下罰款。

第六十七條違反本法第四十六條規定,設立用於實施違法犯罪活動的網站、通訊群組,或者利用網路發布涉及實施違法犯罪活動的信息,尚不構成犯罪的,由公安機關處五日以下拘留,可以並處一萬元以上十萬元以下罰款;情節較重的,處五日以上十五日以下拘留,可以並處五萬元以上五十萬元以下罰款。關閉用於實施違法犯罪活動的網站、通訊群組。

單位有前款行為的,由公安機關處十萬元以上五十萬元以下罰款,並對直接負責的主管人員和其他直接責任人員依照前款規定處罰。

第六十八條 網路運營者違反本法第四十七條規定,對法律、行政法規禁止發布或者傳輸的信息未停止傳輸、採取消除等處置措施、保存有關記錄的,由有關主管部門責令改正,給予警告,沒收違法所得;拒不改正或者情節嚴重的,處十萬元以上五十萬元以下罰款,並可以責令暫停相關業務、停業整頓、關閉網站、吊銷相關業務許可證或者吊銷營業執照,對直接負責的主管人員和其他直接責任人員處一萬元以上十萬元以下罰款。

電子信息發送服務提供者、應用軟體下載服務提供者,不履行本法第四十八條第二款規定的安全管理義務的,依照前款規定處罰。

第六十九條網路運營者違反本法規定,有下列行為之一的,由有關主管部門責令改正;拒不改正或者情節嚴重的,處五萬元以上五十萬元以下罰款,對直接負責的主管人員和其他直接責任人員,處一萬元以上十萬元以下罰款:

(一)不按照有關部門的要求

㈨ 導致阿里雲被暫停合作的漏洞 究竟是什麼

新京報貝殼 財經 訊(記者 羅亦丹)因發現安全漏洞後的處理問題,近日阿里雲引發了一波輿論。

據媒體報道,11月24日,阿里雲安全團隊向美國開源社區Apache(阿帕奇)報告了其所開發的組件存在安全漏洞。12月22日,因發現Apache Log4j2組件嚴重安全漏洞隱患後,未及時向電信主管部門報告,阿里雲被暫停作為工信部網路安全威脅信息共享平台合作單位6個月。

12月23日,阿里雲在官方微信公號表示,其一名研發工程師發現Log4j2 組件的一個安全bug,遂按業界慣例以郵件方式向軟體開發方Apache開源社區報告這一問題請求幫助,「隨後,該漏洞被外界證實為一個全球性的重大漏洞。阿里雲因在早期未意識到該漏洞的嚴重性,未及時共享漏洞信息。」

「之前發現這樣的漏洞都是直接通知軟體開發方,這確實屬於行業慣例,但是《網路產品安全漏洞管理規定》出台後,要求漏洞要同時通報給國家主管部門。由於上述法案頒布的時間不是很長,我覺得漏洞的發現者,最開始也未必能評估到漏洞影響的范圍這么大。所以嚴格來說,這個處理不算冤,但處罰其實也沒有那麼嚴格,一不罰錢,二不影響做業務。」」某安全公司技術總監鄭陸(化名)告訴貝殼 財經 記者。

漏洞影響有多大?

那麼,如何理解Log4j2漏洞的嚴重程度呢?

安全公司奇安信將Apache Log4j2漏洞的CERT風險等級定為「高危」,奇安信描述稱,Apache Log4j 是 Apache 的一個開源項目,通過定義每一條日誌信息的級別,能夠更加細致地控制日誌生成過程,「Log4j2中存在JNDI注入漏洞,當程序將用戶輸入的數據進行日誌記錄時,即可觸發此漏洞,成功利用此漏洞可以在目標伺服器上執行任意代碼。」

安域雲防護的監測數據顯示,截至12月10日中午12點,已發現近1萬次利用該漏洞的攻擊行為。據了解,該漏洞影響范圍大,利用方式簡單,攻擊者僅需向目標輸入一段代碼,不需要用戶執行任何多餘操作即可觸發該漏洞,使攻擊者可以遠程式控制制受害者伺服器,90%以上基於java開發的應用平台都會受到影響。

「Apache Log4j RCE 漏洞之所以能夠引起安全圈的極大關注,不僅在於其易於利用,更在於它巨大的潛在危害性。當前幾乎所有的技術巨頭都在使用該開源組件,它所帶來的危害就像多米諾骨牌一樣,影響深遠。」奇安信安全專家對貝殼 財經 記者表示。

「這個漏洞嚴重性在於兩點,一是log4j作為java日誌的基礎組件使用相當廣泛,Apache和90%以上的java應用受到影響。二是這個漏洞的利用入口非常多,幾乎達到了(只要)是這個漏洞影響的范圍,只要有輸入的地方就受到影響。用戶或者攻擊者直接可以輸入的地方比如登錄用戶名、查詢信息、設備名稱等等,以及一些其他來源的被攻擊者污染的數據來源比如網上一些頁面等等。」從事多年漏洞挖掘的安全行業老兵,網友「yuange1975」在微博發文稱。

「簡而言之,該漏洞算是這幾年來最大的漏洞了。」鄭陸表示。

在「yuange1975」看來,該漏洞出來後,因為影響太廣泛,IT圈都在加班加點修補漏洞。不過,一些圈子裡發文章為了說明這個漏洞的嚴重性,又有點用了過高評價這個漏洞的詞語,「我不否認這個漏洞很嚴重,肯定是排名很靠前的漏洞,但是要說是有史以來最大的網路漏洞,就是說目前所有已經發現公布的漏洞里排第一,這顯然有點誇大了。」

「log4j漏洞發現者恐怕發現漏洞時對這個漏洞認識不足,這個應用的范圍以及漏洞觸發路徑,我相信一直到阿里雲上報完漏洞,恐怕漏洞發現者都沒完全明白這個漏洞的真正嚴重性,有可能當成了Apache下一個普通插件的一個漏洞。」yuange1975表示。

9月1日起施行新規 專家:對於維護國家網路安全具有重大意義

據了解,業界的開源條例遵循的是《負責任的安全漏洞披露流程》,這份文件將漏洞披露分為5個階段,依次是發現、通告、確認、修復和發布。發現漏洞並上報給原廠商,是業內常見的程序漏洞披露的做法。

貝殼 財經 記者觀察到,白帽黑客建立漏洞發現與收集的平台並告知企業的做法一度在圈內流行。根據《 財經 天下》的報道,把漏洞報給原廠商而不是平台方,也會有潛在的好處。包括微軟、蘋果和谷歌在內的廠商對報告漏洞的人往往會有獎勵,「最高的能給到十幾萬美元」。更重要的是名譽獎勵。幾乎每一家廠商對第一個報告漏洞的人或者集體,都會公開致謝。「對於安全研究人員而言,這種名聲也會讓他們非常在意。

不過,今年9月1日後,這一行業「常見程序」就要發生變化。

7月13日,工信部、國家網信辦、公安部印發《網路產品安全漏洞管理規定》,要求任何組織或者個人設立的網路產品安全漏洞收集平台,應當在兩日內向工業和信息化部網路安全威脅和漏洞信息共享平台報送相關漏洞信息。該規定自2021年9月1日起施行。

值得注意的是,《規定》中也有漏洞發現者需要向產品相關提供者通報的條款。如《規定》第七條第一款顯示,發現或者獲知所提供網路產品存在安全漏洞後,應當立即採取措施並組織對安全漏洞進行驗證,評估安全漏洞的危害程度和影響范圍;對屬於其上游產品或者組件存在的安全漏洞,應當立即通知相關產品提供者。第七條第七款則表示,不得將未公開的網路產品安全漏洞信息向網路產品提供者之外的境外組織或者個人提供。

奇安信集團副總裁、補天漏洞響應平台主任張卓在接受新京報貝殼 財經 記者采訪時表示,《網路產品安全漏洞管理規定》釋放了一個重要信號:我國將首次以產品視角來管理漏洞,通過對網路產品漏洞的收集、研判、追蹤、溯源,立足於供應鏈全鏈條,對網路產品進行全周期的漏洞風險跟蹤,實現對我國各行各業網路安全的有效防護。在供應鏈安全威脅日益嚴重的全球形勢下,《規定》對於維護國家網路安全,保護網路產品和重要網路系統的安全穩定運行,具有重大意義。

張卓表示,《規定》第十條指出,任何組織或者個人設立的網路產品安全漏洞收集平台,應當向工業和信息化部備案。同時在第六條中指出,鼓勵相關組織和個人向網路產品提供者通報其產品存在的安全漏洞,還「鼓勵網路產品提供者建立所提供網路產品安全漏洞獎勵機制,對發現並通報所提供網路產品安全漏洞的組織或者個人給予獎勵。」這兩條規定規范了漏洞收集平台和白帽子的行為,有利於讓白帽子在合法合規的條件下發揮更大的 社會 價值。

閱讀全文

與網路安全產品漏洞管理規定違反第七條相關的資料

熱點內容
老家監控網路下線了怎麼再連上 瀏覽:119
網路延遲40秒相當於多少秒 瀏覽:367
開一家網路直播公司需要多少啟動 瀏覽:901
江西石城無線網路服務電費 瀏覽:626
水星路由器怎麼擴展其他網路 瀏覽:378
廣電電視機的無線網路怎麼設置 瀏覽:151
英語單詞網路前面加什麼 瀏覽:999
sim卡網路連接選擇哪個 瀏覽:517
樂橙監控程序為什麼提示網路異常 瀏覽:331
光纖貓連接手機網路不可用 瀏覽:300
網路無線設備轉有線 瀏覽:181
屋裡網路沒了光纖無信號 瀏覽:703
PM網路營銷 瀏覽:739
網路電視安裝路由器教程 瀏覽:335
怎麼設置網路密碼讓別人知道 瀏覽:243
遭遇網路購物欺詐如何解決 瀏覽:53
華為手機直播間網路卡頓 瀏覽:938
如何在網路上查詢教授的論文 瀏覽:865
常州哪裡有網路營銷 瀏覽:964
華為路由器網路不可用怎麼辦 瀏覽:226

友情鏈接