XXX企业网络安全.docx

XXX企业网络安全.docx

《XXX企业网络安全.docx》由会员分享，可在线阅读，更多相关《XXX企业网络安全.docx（24页珍藏版）》请在冰点文库上搜索。

XXX企业网络安全

XXX企业网络安全

综合设计方案

四川川大能士信息安全有限公司

2002年3月

1XXX企业网络分析

此处请按照用户实际情形做简要分析

2网络威逼、风险分析

针对XXX企业现时期网络系统的网络结构和业务流程，结合XXX企业今后进行的网络化应用范畴的拓展考虑，XXX企业网要紧的安全威逼和安全漏洞包括以下几方面：

2.1内部窃密和破坏

由于XXX企业网络上同时接入了其它部门的网络系统，因此容易显现其它部门不怀好意的人员（或外部非法人员利用其它部门的运算机）通过网络进入内部网络，并进一步窃取和破坏其中的重要信息（如领导的网络帐号和口令、重要文件等），因此这种风险是必须采取措施进行防范的。

2.2搭线（网络）窃听

这种威逼是网络最容易发生的。

攻击者能够采纳如Sniffer等网络协议分析工具，在INTERNET网络安全的薄弱处进入INTERNET，并专门容易地在信息传输过程中猎取所有信息（专门是敏锐信息）的内容。

对XXX企业网络系统来讲，由于存在跨过INTERNET的内部通信（与上级、下级）这种威逼等级是相当高的，因此也是本方案考虑的重点。

2.3假冒

这种威逼既可能来自XXX企业网内部用户，也可能来自INTERNET内的其它用户。

如系统内部攻击者假装成系统内部的其他正确用户。

攻击者可能通过冒充合法系统用户，诱骗其他用户或系统治理员，从而获得用户名/口令等敏锐信息，进一步窃取用户网络内的重要信息。

或者内部用户通过假冒的方式猎取其不能阅读的隐秘信息。

2.4完整性破坏

这种威逼要紧指信息在传输过程中或者储备期间被篡改或修改，使得信息/数据失去了原有的真实性，从而变得不可用或造成广泛的负面阻碍。

由于XXX企业网内有许多重要信息，因此那些不怀好意的用户和非法用户就会通过网络对没有采取安全措施的服务器上的重要文件进行修改或传达一些虚假信息，从而阻碍工作的正常进行。

2.5其它网络的攻击

XXX企业网络系统是接入到INTERNET上的，如此就有可能会遭到INTERNET上黑客、恶意用户等的网络攻击，如试图进入网络系统、窃取敏锐信息、破坏系统数据、设置恶意代码、使系统服务严峻降低或瘫痪等。

因此这也是需要采取相应的安全措施进行防范。

2.6治理及操作人员缺乏安全知识

由于信息和网络技术进展迅猛，信息的应用和安全技术相对滞后，用户在引入和采纳安全设备和系统时，缺乏全面和深入的培训和学习，对信息安全的重要性与技术认识不足，专门容易使安全设备/系统成为摆设，不能使其发挥正确的作用。

如本来对某些通信和操作需要限制，为了方便，设置成全开放状态等等，从而显现网络漏洞。

由于网络安全产品的技术含量大，因此，对操作治理人员的培训显得尤为重要。

如此，使安全设备能够尽量发挥其作用，幸免使用上的漏洞。

2.7雷击

由于网络系统中涉及专门多的网络设备、终端、线路等，而这些差不多上通过通信电缆进行传输，因此极易受到雷击，造成连锁反应，使整个网络瘫痪，设备损坏，造成严峻后果。

因此，为幸免遭受感应雷击的危害和静电干扰、电磁辐射干扰等引起的瞬时电压浪涌电压的损坏，有必要对整个网络系统采取相应的防雷措施。

注：

部分描述地点需要进行调整，请按照用户实际情形叙述。

3安全系统建设原则

XXX企业网络系统安全建设原则为：

1）系统性原则

XXX企业网络系统整个安全系统的建设要有系统性和适应性，不因网络和应用技术的进展、信息系统攻防技术的深化和演变、系统升级和配置的变化，而导致在系统的整个生命期内的安全爱护能力和抗御风险的能力降低。

2）技术先进性原则

XXX企业网络系统整个安全系统的设计采纳先进的安全体系进行结构性设计，选用先进、成熟的安全技术和设备，实施中采纳先进可靠的工艺和技术，提升系统运行的可靠性和稳固性。

3）治理可控性原则

系统的所有安全设备（治理、爱护和配置）都应自主可控；系统安全设备的采购必须有严格的手续；安全设备必须有相应机构的认证或许可标记；安全设备供应商应具备相应资质并可信。

安全系统实施方案的设计和施工单位应具备相应资质并可信。

4）适度安全性原则

系统安全方案应充分考虑爱护对象的价值与爱护成本之间的平稳性，在承诺的风险范畴内尽量减少安全服务的规模和复杂性，使之具有可操作性，幸免超出用户所能明白得的范畴，变得专门难执行或无法执行。

5）技术与治理相结合原则

XXX企业网络系统安全建设是一个复杂的系统工程，它包括产品、过程和人的因素，因此它的安全解决方案，必须在考虑技术解决方案的同时充分考虑治理、法律、法规方面的制约和调控作用。

单靠技术或单靠治理都不可能真正解决安全咨询题的，必须坚持技术和治理相结合的原则。

6）测评认证原则

XXX企业网络系统作为重要的政务系统，其系统的安全方案和工程设计必须通过国家有关部门的评审，采纳的安全产品和保密设备需通过国家主治理部门的认可。

7）系统可伸缩性原则

XXX企业网络系统将随着网络和应用技术的进展而发生变化，同时信息安全技术也在进展，因此安全系统的建设必须考虑系统可升级性和可伸缩性。

重要和关键的安全设备不因网络变化或更换而废弃。

4网络安全总体设计

一个网络系统的安全建设通常包括许多方面，包括物理安全、数据安全、网络安全、系统安全、安全治理等，而一个安全系统的安全等级，又是按照木桶原理来实现的。

按照XXX企业各级内部网络机构、广域网结构、和三级网络治理、应用业务系统的特点，本方案要紧从以下几个方面进行安全设计：

网络系统安全；

应用系统安全；

物理安全；

安全治理；

4.1安全设计总体考虑

按照XXX企业网络现状及进展趋势，要紧安全措施从以下几个方面进行考虑：

网络传输爱护

要紧是数据加密爱护

要紧网络安全隔离

通用措施是采纳防火墙

网络病毒防护

采纳网络防病毒系统

广域网接入部分的入侵检测

采纳入侵检测系统

系统漏洞分析

采纳漏洞分析设备

定期安全审计

要紧包括两部分：

内容审计和网络通信审计

重要数据的备份

重要信息点的防电磁泄露

网络安全结构的可伸缩性

包括安全设备的可伸缩性，即能按照用户的需要随时进行规模、功能扩展

网络防雷

4.2网络安全

作为XXX企业应用业务系统的承载平台，网络系统的安全显得尤为重要。

由于许多重要的信息都通过网络进行交换，

4.2.1网络传输

由于XXX企业中心内部网络存在两套网络系统，其中一套为企业内部网络，要紧运行的是内部办公、业务系统等；另一套是与INTERNET相连，通过ADSL接入，并与企业系统内部的上、下级机构网络相连。

通过公共线路建立跨过INTERNET的企业集团内部局域网，并通过网络进行数据交换、信息共享。

而INTERNET本身就缺乏有效的安全爱护，如果不采取相应的安全措施，易受到来自网络上任意主机的监听而造成重要信息的泄密或非法篡改，产生严峻的后果。

由于现在越来越多的政府、金融机构、企业等用户采纳VPN技术来构建它们的跨过公共网络的内联网系统，因此在本解决方案中对网络传输安全部分举荐采纳VPN设备来构建内联网。

可在每级治理域内设置一套VPN设备，由VPN设备实现网络传输的加密爱护。

按照XXX企业三级网络结构，VPN设置如下图所示：

图4-1三级VPN设置拓扑图

每一级的设置及治理方法相同。

即在每一级的中心网络安装一台VPN设备和一台VPN认证服务器（VPN-CA），在所属的直属单位的网络接入处安装一台VPN设备，由上级的VPN认证服务器通过网络对下一级的VPN设备进行集中统一的网络化治理。

可达到以下几个目的：

网络传输数据爱护；

由安装在网络上的VPN设备实现各内部网络之间的数据传输加密爱护，并可同时采取加密或隧道的方式进行传输

网络隔离爱护；

与INTERNET进行隔离，操纵内网与INTERNET的相互访咨询

集中统一治理，提升网络安全性；

降低成本（设备成本和爱护成本）；

其中，在各级中心网络的VPN设备设置如下图：

图4-2中心网络VPN设置图

由一台VPN治理机对CA、中心VPN设备、分支机构VPN设备进行统一网络治理。

将对外服务器放置于VPN设备的DMZ口与内部网络进行隔离，禁止外网直截了当访咨询内网，操纵内网的对外访咨询、记录日志。

如此即使服务器被攻破，内部网络仍旧安全。

下级单位的VPN设备放置如下图所示：

图4-3下级单位VPN设置图

从图4-4可知，下属机构的VPN设备放置于内部网络与路由器之间，其配置、治理由上级机构通过网络实现，下属机构不需要做任何的治理，仅需要检查是否通电即可。

由于安全设备属于专门的网络设备，其爱护、治理需要相应的专业人员，而采取这种治理方式以后，就能够降低下属机构的爱护成本和对专业技术人员的要求，这对有着庞大下属、分支机构的单位来讲将是一笔不小的费用。

由于网络安全的是一个综合的系统工程，是由许多因素决定的，而不是仅仅采纳高档的安全产品就能解决，因此对安全设备的治理就显得尤为重要。

由于一样的安全产品在治理上是各自治理，因而专门容易因为某个设备的设置不当，而使整个网络显现重大的安全隐患。

而用户的技术人员往往不可能差不多上专业的，因此，容易显现上述现象；同时，每个爱护人员的水平也有差异，容易显现相互配置上的错误使网络中断。

因此，在安全设备的选择上应当选择能够进行网络化集中治理的设备，如此，由少量的专业人员对要紧安全设备进行治理、配置，提升整体网络的安全性和稳固性。

4.2.2访咨询操纵

由于XXX企业广域网网络部分通过公共网络建立，其在网络上必定会受到来自INTERNET上许多非法用户的攻击和访咨询，如试图进入网络系统、窃取敏锐信息、破坏系统数据、设置恶意代码、使系统服务严峻降低或瘫痪等，因此，采取相应的安全措施是必不可少的。

通常，对网络的访咨询操纵最成熟的是采纳防火墙技术来实现的，本方案中选择带防火墙功能的VPN设备来实现网络安全隔离，可满足以下几个方面的要求：

操纵外部合法用户对内部网络的网络访咨询；

操纵外部合法用户对服务器的访咨询；

禁止外部非法用户对内部网络的访咨询；

操纵内部用户对外部网络的网络；

阻止外部用户对内部的网络攻击；

防止内部主机的IP欺诈；

对外隐藏内部IP地址和网络拓扑结构；

网络监控；

网络日志审计；

详细配置拓扑图见图4-1、图4-2、图4-3。

由于采纳防火墙、VPN技术融为一体的安全设备，并采取网络化的统一治理，因此具有以下几个方面的优点：

治理、爱护简单、方便；

安全性高（可有效降低在安全设备使用上的配置漏洞）；

硬件成本和爱护成本低；

网络运行的稳固性更高

由因此采纳一体化设备，比之传统解决方案中采纳防火墙和加密机两个设备而言，其稳固性更高，故障率更低。

4.2.3入侵检测

入侵检测系统的设置如下图：

从上图可知，入侵检测仪在网络接如上与VPN设备并接使用。

入侵检测仪在使用上是独立网络使用的，网络数据全部通过VPN设备，而入侵检测设备在网络上进行疹听，监控网络状况，一旦发觉攻击行为将通过报警、通知VPN设备中断网络（即IDS与VPN联动功能）等方式进行操纵（即安全设备自适应机制），最后将攻击行为进行日志记录以供以后审查。

4.2.4漏洞扫描

作为一个完善的通用安全系统，应当包含完善的安全措施，定期的安全评估及安全分析同样相当重要。

由于网络安全系统在建立后并不是长期保持专门高的安全性，而是随着时刻的推移和技术的进展而持续下降的，同时，在使用过程中会显现新的安全咨询题，因此，作为安全系统建设的补充，采取相应的措施也是必定。

本方案中，采纳漏洞扫描设备对网络系统进行定期扫描，对存在的系统漏洞、网络漏洞、应用程序漏洞、操作系统漏洞等进行探测、扫描，发觉相应的漏洞并告警，自动提出解决措施，或参考意见，提醒网络安全治理员作好相应调整。

4.2.5其它

对复杂或有专门要求的网络环境，在采取安全措施上应当专门考虑，增加新的安全措施。

4.3应用系统安全

4.3.1系统平台安全

XXX企业各级网络系统平台安全要紧是指操作系统的安全。

由于目前要紧的操作系统平台是建立在国外产品的基础上，因而存在专门大的安全隐患。

XXX企业网络系统在要紧的应用服务平台中采纳国内自主开发的安全操作系统，针对通用OS的安全咨询题，对操作系统平台的登录方式、文件系统、网络传输、安全日志审计、加密算法及算法替换的支持和完整性爱护等方面进行安全改造和性能增强。

一样用户运行在PC机上的NT平台，在选择性地用好NT安全机制的同时，应加大监控治理。

4.3.2应用平台安全

4.3.3病毒防护

因为病毒在网络中储备、传播、感染的方式各异且途径多种多样，相应地企业在构建网络防病毒系统时，应利用全方位的企业防毒产品，实施“层层设防、集中操纵、以防为主、防杀结合”的策略。

具体而言，确实是针对网络中所有可能的病毒攻击设置对应的防毒软件，通过全方位、多层次的防毒系统配置，使网络没有薄弱环节成为病毒入侵的缺口。

本方案中在选择杀毒软件时应当注意几个方面的要求：

具有杰出的病毒防治技术、程序内核安全可靠、应付国产和国外病毒能力超群、全中文产品，系统资源占用低，性能优越、可治理性高，易于使用、产品集成度高、高可靠性、可调配系统资源占用率、便利的网络化自动升级等优点。

病毒对信息系统的正常工作运行产生专门大阻碍，据统计，信息系统的60%瘫痪是由于感染病毒引起的。

4.3.3.1系统设计原则

为了更好的解决病毒的防范，一样要求病毒防范系统满足如下要求：

采纳世界最先进的防毒产品与XXX网络网络系统的实际需要相结合，确保XXX网络系统具有最佳的病毒防护能力的情形下综合成本最少。

贯彻川大能士“层层设防，集中控管，以防为主、防治结合”的企业防毒策略。

在XXX网络中所有可能的病毒攻击点或通道中设置对应的防病毒软件，通过这种全方位的、多层次的防毒系统配置，使企业网络免遭所有病毒的入侵和危害。

充分考虑XXX网络的系统数据、文件的安全可靠性，所选产品与现系统具有良好的一致性和兼容性，以及最低的系统资源占用，保证不对现有系统运行产生不良阻碍。

应用全球最为先进的“实时监控”技术，充分体现趋势科技“以防为主”的反病毒思想。

所选用产品具备对多种压缩格式文件的病毒检测。

所选用产品易于安装、操作简便、便于治理和爱护，具有友好的用户界面。

应用经由ICSA（国际电脑安全协会）技术认证的扫描引擎，保证对包括各种千面人病毒、变种病毒和黑客程序等具有最佳的病毒侦测率，除对已知病毒具备全面的侦防能力，对未知病毒亦有良好的侦测能力。

强调在XXX网络防毒系统内，实施统一的防病毒策略、集中的防毒治理和爱护，最大限度地减轻使用人员和爱护人员的工作量。

完全自动化的日常爱护，便于进行病毒码及扫描引擎的更新。

提供良好的售后服务及技术支持。

具有良好的可扩充性，充分爱护用户的现有投资，适应XXX网络系统的今后进展需要

4.3.3.2产品应用

按照XXX企业网络系统的结构和应用特点，病毒防备可采取多种措施：

网关防毒；

服务器防毒；

客户端防毒；

邮件防毒；

应用拓扑如下图：

图4-4病毒应用拓扑图

在网络骨干接入处，安装防毒墙（即安装有网关杀毒软件的独立网关设备），由防毒墙实现网络接入处的病毒防护。

由因此安装在网络接入处，因此，对要紧网络协议进行杀毒处理（SMTP、FTP、HTTP）。

在服务器上安装单独的服务器杀毒产品，对服务器进行病毒爱护。

由于内部存在几十个网络客户端，如采纳一般杀毒软件会造成升级苦恼、使用不便等咨询题。

可在服务器上安装客户端防病毒产品（客户端杀毒软件的工作模式是服务器端、客户端的方式）的服务器端，由客户端通过网络与服务器端连接后进行网络化安装。

对产品升级，可通过在服务器端进行设置，自动通过INETRNET进行升级，再由客户端到服务器端进行升级，大大简化升级过程，同时整个升级是自动完成，不需要人工操作。

对邮件系统，可采取安装专用邮件杀毒产品，通过在邮件服务器上安装邮件杀毒程序，实现对内部邮件的杀毒，保证邮件在收、发时差不多上通过检查的，确保邮件无毒。

通过这种方法，能够达到层层设防的作用，最终实现病毒防护。

4.3.4数据备份

储备介质安全

在选择储备介质上应选择储存时刻长，对环境要求低的储备产品，并采取多种储备介质备份。

如同时采纳硬盘、光盘备份的方式。

数据安全

即数据在备份前是真实数据，没有通过篡改或含有病毒。

备份过程安全

确保数据在备份时是没有受到外界任何干扰，包括因专门断电而使数据备份中断的或其它情形。

备份数据的保管

对存有备份数据的储备介质，应储存在安全的地点，防火、防盗及各种灾难，并注意储存环境（温度、湿度等）的正常。

同时对专门重要的备份数据，还应当采取异地备份保管的方式，来确保数据安全。

对重要备份数据的异地、多处备份（幸免类似美国911事件为各公司产生的阻碍）

4.3.5安全审计

作为一个良好的安全系统，安全审计必不可少。

由于XXX企业是一个专门庞大的网络系统，因而对整个网络（或重要网络部分）运行进行记录、分析是专门重要的，它能够让用户通过对记录的日志数据进行分析、比较，找动身生的网络安全咨询题的缘故，并可作为以后的法律证据或者为以后的网络安全调整提供依据。

4.3.6认证、鉴不、数字签名、抗抵赖

由于XXX企业网络系统庞大，上面存在专门多分级的重要信息；同时，由于现在国家正在大力推进电子政务的进展，网上办公差不多越来越多的被应用到各级政府部门当中，因此，需要对网上用户的身份、操作权限等进行操纵和授权。

对不同等级、类型的信息只承诺相应级不的人进行批阅；对网上公文的处理采取数字签名、抗抵赖等相应的安全措施。

4.4物理安全

XXX企业网络系统的物理安全要求是爱护运算机网络设备、设施以及其它媒体免遭地震、水灾、火灾和雷击等环境事故以及人为操作失误或错误及各种运算机犯罪行为导致的破坏过程。

4.4.1两套网络的相互转换

由于XXX企业内部网络系统具有两套网络，这两套网络系统是完全物理隔离的，而企业内部有部分用户需要两个网络都要接入，这就涉及到两个网络之间的相互切换咨询题。

而现在的实际使用是采纳手工拔插网线的方式进行切换，这使得使用中专门不方便。

因此，本方案建议采纳网络隔离卡的方式来解决网络切换的咨询题。

4.4.1.1隔离卡工作方式

隔离卡上有两个网络接口，一个接内网，一个接外网；另外还有一个操纵口，通过操纵口连接一个操纵器（只有火柴盒大小），放置于电脑旁边。

同时，在隔离卡上接两个硬盘，使一个运算机变为两个运算机使用，两个硬盘上分不运行独立的操作系统。

如此，可通过操纵器进行切换（简单的开关，类似电源开关），使运算机分不接到两个网络上。

4.4.1.2应用

按照XXX企业网络的实际情形，需要在二、三、四楼共20个信息点上安装隔离卡。

其中二楼6个，三楼12个，四楼2个。

4.4.2防电磁辐射

终端设备专门是CRT显示器均有程度不同的电磁辐射咨询题，但又因终端分散使用不宜集中采纳屏蔽室的方法来防止，因此除要求在订购设备上尽量选取低辐射产品外，还应按照爱护对象分不采取主动式的干扰设备（如干扰机来破坏对信息的侦窃），或采纳加装带屏蔽门窗的屏蔽室。

4.4.3网络防雷

由于XXX企业网络系统的物理范畴要紧是在一栋大楼内，而大楼本身已采取相应的防雷措施，因此，本方案中要紧针对网络系统防雷进行设计，不包括电源防雷（这一样属于大楼防雷的部分）。

许多用户为防止运算机及其局域网或广域网遭雷击，便简单地在与外部线路连接的调制解调器上安装避雷器，但由于静电感应雷、防电磁感应雷要紧是通过供电线路破坏设备的，因此对运算机信息系统的防雷爱护第一是合理地加装电源避雷器，其次是加装信号线路和天馈线避雷器。

如果大楼信息系统的设备配置中有运算机中心机房、程控交换机房及机要设备机房，那么在总电源处要加装电源避雷器。

按照有关标准要求，必须在0区、1区、2区分不加装避雷器（0区、1区、2区是按照雷电显现的强度划分的）。

在各设备前端分不要加装串联型电源避雷器（多级集成型），以最大限度地抑制雷电感应的能量。

同时，运算机中心的MODEM、路由器、甚至HUB等都有线路出户，这些出户的线路都应视为雷电引入通道，都应加装信号避雷器。

对楼内运算机等电子设备进行防护的同时，对建（构）筑物再安装防雷设施就更安全了。

按照XXX企业网络结构、物理结构、电源结构分析，防雷系统可采取两级防雷措施。

骨干网络防雷；

终端防雷；

以上两级避雷可使用信号避雷器来实现。

按照网络连接线路的类型和带宽选择相应的避雷器。

4.4.4重要信息点的物理爱护

XXX企业各级网络内部存在重要的信息点，如内部核心应用系统，环境等都需要爱护，它要紧包括三个方面：

（1）环境安全：

对系统所在环境的安全爱护，如区域爱护和灾难爱护（参见国家标准GB50173－93《电子运算机机房设计规范》、国标GB2887－89《运算站场地技术条件》、GB9361－88《运算站场地安全要求》）。

（2）设备安全：

要紧包括设备的防盗、防毁坏及电源爱护等。

（3）媒体安全：

包括媒体数据的安全及媒体本身的安全。

4.5安全治理

任何网络系统的安全建设，不仅仅是采纳安全产品，而是结合相应的安全治理来进行的。

XXX企业及下属各级机构在行政治理上采取逐级纵向治理的方式，因此在网络治理上也采纳这种方式，。

组织机构体系指是XXX企业网络系统安全的组织保证系统，由机构、岗位和人事三个模块构成一个体系。

XXX企业网络系统的安全组织体系是安全治理体系的组织保证。

那个组织体系在国家有关安全部门（如机要局、保密局、公安厅、安全厅、信息安全和谐机构等）的指导下，遵循国家有关法律法规，制定相应的安全治理制度和内部的法规政策，并对内部人员进行安全教育和治理，指导、监督、考核安全制度的执行。

安全组织建立原则

XXX企业网络系统的安全组织体系，是网络系统安全的组织保证系统，由机构、岗位和人事三个部分构成一个体系。

安全组织结构

XXX企业网络系统的安全治理机构设置为三个层次：

决策层、治理层和执行层。

决策层是XXX企业网络系统主体单位决定系统安全重大事宜的领导机构，由主管信息工作的负责人为首，有行使国家安全、公共安全、机要和保密职能的部门负责人和信息系统要紧负责人参与组成。

治理层是决策层的日常治理机关，按照决策机构的决定全面规划并和谐各方面力量实施信息系统的安全方案，制定、修改安全策略，处理安全事故，设置安全有关的岗位。

执行层是在治理层和谐下具体负责某一个或某几个特定安全事务的一个逻辑群体，那个群体分布在信息系统的各个操作层或岗位上。

岗位是XXX企业网络系统安全治理部门按照安全需要设定的负责某一个或某几个安全事务的职位，岗位在系统内部能够是具有垂直领导关系的若干层次的一个序列，一个人能够负责一个或几个安全岗位，但一个人不得同时兼任安全岗位所对应的系统治理或具体业务岗位。

因此岗位并不是一个机构，它由治理机构设定，由人事机构治理。

人事机构是按照治理机构设定的岗位，对岗位上在职和待职的工作人员进行素养教育、业绩考核和治理，以及对离职工作人员进行监管的机构。

人事机构的全部治理活动在国家有关安全的法律、法规、政策规定范畴内依法进行。

在XXX企业主管部门直截了当领导下，自上而下地构建层次清晰、职责明确的安全组织体系。

安全组织职责

XXX企业网络系统的各级安全工作小组的职责是：

在XXX企业网络系统安全治理机构的领导下，严格执行各项安全治理规章制度，进行日常的安全保密工作，对内部人员进行安全教育和治理，指导、监督和考核安全制度的执行。

治理体系

治理是XXX企业网络系统安全的灵魂。

网络信息系统安全的治理体系由法律治理、制度治理和培训治理三部分组成。

XXX企业网络系统安全治