VPN网络管理办法

VPN网络管理办法

第一节 总则

第一条 为进一步规范中国人寿财产保险股份有限公司（以下简称“中国人寿财险”）VPN网络使用，加强安全风险管控，特制定本管理办法。

第二条 本办法所指的VPN网络指中国人寿财险为满足业务、办公对网络接入的需求而建设的IPSEC VPN网络和SSL VPN网络。

第三条 本办法适用于中国人寿财险总公司、各级分支机构及第三方合作机构的VPN网络接入管理。

第四条 本办法中关于分公司各项管理规定均适用于计划单列市中心支公司。

第二节 VPN网络用户分类

第五条 为加强VPN网络接入管控，特将VPN网络用户分为内部用户和外部用户两大类。

第六条 内部VPN用户包括以下两种类型：

（一）内部机构用户，指多人（3-20人）集中办公的机构VPN用户，如中支公司、县支公司、营销服务部。

（二）内部个人用户，指为满足中国人寿财险内部员工

移动办公需求所设立的VPN用户。

第七条 外部VPN用户主要包括以下类型：

（一）专业/兼业代理机构用户，指为已建立合作关系的专业、兼业代理出单机构而设立的VPN用户。如车险4S店/修理厂出单点、其他代理出单机构等。

（二）保险经纪公司用户，指为已建立合作关系的保险经纪公司用户访问业务系统需要而设立的VPN用户。

（三）第三方车险查勘/定损/公估等机构用户，指为满足第三方车险查勘/定损/公估等机构访问理赔系统需要而设立的VPN用户。

（四）互动出单点用户，指为满足中国人寿互动出单点进行代理出单业务的需要而设立的VPN用户。

（五）外部技术支持人员用户，指为我公司提供技术支持的外部技术人员而设立的VPN用户。

第三节 组织与职责

第八条 VPN用户的申请、审批、配置及开通工作由总、分公司有关部门根据职能划分，分别进行相关工作。

第九条 总公司负责VPN网络基础设施的建设与维护，制订VPN用户准入审核原则,VPN用户接入申请的审核，对VPN用户进行管理与监督检查。总公司相关部门职责分工如下：

（一）总公司信息技术部：VPN网络基础设施的建设与维护；为总公司VPN用户、分公司VPN管理员提供技术支持服务；总公司VPN用户申请审核及配置开通、关闭工作；指定专职VPN管理员；对分公司VPN用户申请流程及接入类型进行审核；分公司VPN账号的开通及关闭；对VPN用户使用情况进行监督检查，对于不符合本管理规定的行为会同相关责任部门进行进一步处理。

（二）总公司战略发展部门：负责分公司机构VPN用户设立的审批工作，当出现各级分支机构撤销的情况时，及时通知总公司信息技术部关闭VPN用户账号。

（三）总公司人力资源部门：负责对总公司内部VPN用户申请人进行身份确认，当出现总公司员工离职、调离情况时，及时通知总公司信息技术部关闭VPN用户账号。

（四）总公司战略发展部门、人力资源部门、内控合规部门、营销业务管理部门、车险业务管理部门、非车险业务管理部门、互动业务部门：负责制订本管理条线所负责的VPN用户准入的审核原则,指导分公司对口部门建立相应审核细则，并对分公司存在异议或需特殊申请的VPN网络接入申请进行指导把关。

第十条 分公司主要负责接受辖内的VPN网络接入申请，根据总公司下发的VPN用户准入审核原则制订相关VPN用户准入审核细则，对申请信息进行审核；对通过审核的接入申

请配置VPN账号和权限并上报总公司开通，负责VPN账号的日常维护；配合总公司对不符合本管理规定的VPN用户的处理工作。对涉及新增中介代理出单机构的VPN接入审批应视当地监管政策要求报告分公司分管领导。相关部门职责分工如下：

（一）分公司总经理室：负责对分公司各部门提交的VPN用户申请信息进行审核，并将审核结果反馈相应部门。

（二）分公司人事/行政/合规部门：负责辖内内部机构用户、内部个人用户VPN申请的准入审核工作；当出现员工离职、调离情况时，应及时通知分公司信息技术部门关闭VPN用户账号。

（三）分公司营销业务管理部门：负责辖内专兼业代理机构、保险经纪公司用户VPN申请的准入审核工作；当与上述合作机构终止合作关系时，应及时通知分公司信息技术部门关闭VPN用户账号。

（四）分公司车险业务管理部门：负责辖内第三方车险查勘/定损/公估等机构用户申请的准入审核工作；当与上述合作机构终止合作关系时，应及时通知分公司信息技术部门关闭VPN用户账号。

（五）分公司互动业务部门：负责辖内互动出单点VPN申请的准入审核工作；当与互动出单点终止合作关系时，应及时通知分公司信息技术部门关闭VPN用户账号。

（六）分公司信息技术部门：接收上述职责部门与外部技术支持人员提交的VPN用户接入申请，确认审核流程完整，根据申请信息进行账号配置，报总公司信息技术部开通；对辖内VPN用户提供技术支持与维护服务；建立VPN用户信息统计表；指定专人担任VPN管理员；定期会同相关责任部门进行VPN用户清理。

第十一条 VPN使用者应妥善保存VPN账号、密码、USB-KEY、硬件网关设备；在赋予的权限内进行操作，并对此账号所进行的一切操作负有全部责任；严禁将VPN账号转借他人使用。

第四节 内部VPN用户管理细则

第十二条 总公司个人用户的VPN网络接入申请，由总公司申请者通过部门协调单提交《VPN使用责任承诺书（内部用户）》至所在部门负责人、总公司人力资源部审核通过后，由总公司信息技术部进行配置开通工作。

第十三条 对于新成立的分公司机构，应由总公司战略发展部门通过部门协调单提交申请，由总公司信息技术部门设置分公司VPN管理员账号并指导分公司VPN网络建设。

第十四条 分公司内部用户申请VPN接入时根据使用者的身份、用途，各类型VPN用户审批流程如下（详细流程见附件一）：

（一）分公司内部机构用户

分公司申请机构负责人将正式书面申请（附件二）、《VPN使用责任承诺书（内部用户）》（附件三）、当地保监局的开业批复或营业执照的复印件及相关规定要求的其他文件提交分公司人事/行政/合规部门，审核通过并报分公司总经理室批准后，将申请材料转交分公司信息技术部门进行后续开通工作。

（二）分公司内部个人用户

申请者将正式书面申请、《VPN使用责任承诺书（内部用户）》及相关规定要求的其他文件提交分公司人事/行政/合规部门，审核通过并报分公司总经理室批准后将相关材料转交分公司信息技术部门进行后续开通工作。

第十五条 各级VPN管理员应建立内部VPN用户信息统计表，不得为同一用户重复配置VPN账号。

第十六条 对于发生变更或撤销的内部机构及调离、离职的内部人员，各级责任部门应及时填写VPN用户申请表（附件二）转交至本级信息技术部门进行用户变更或注销处理，不得将其VPN用户转交其他机构/人员使用。

第十七条 各级信息技术部门应按季度会同相关责任部门对内部VPN用户进行核查，对应注销的用户及时进行清理。

第五节 外部VPN用户管理细则

第十八条 对总公司外部技术支持人员的VPN使用申请，应由总公司信息技术部相关系统负责处室对外部技术支持人员提交的《VPN使用责任承诺书（外部用户）》审核，通过后将申请材料转交总公司VPN管理员进行软件配置开通，并向总公司信息技术部负责人报告。

第十九条 分公司外部用户申请VPN接入时，根据外部用户使用性质的不同，审批流程如下（详细流程见附件一）：

（一）专兼业代理机构、保险经纪公司

由分公司营销业务管理部门对代理机构、保险经纪公司提交的正式书面申请表、《VPN使用责任承诺书（外部用户）》（附件四）及相关规定要求的其他文件进行审核，审核通过并报分公司总经理室批准后，转交分公司信息技术部门进行后续开通工作。

（二）第三方车险查勘/定损/公估等机构

由分公司车险业务管理部门对第三方车险查勘/定损/公估等机构提交的正式书面申请表、《VPN使用责任承诺书（外部用户）》（附件四）及相关规定要求的其他文件进行审核，审核通过并报分公司总经理室批准后，转交分公司信息技术部门进行后续开通工作。

（三）互动业务出单点

由分公司互动业务部门对互动业务出单点提交的正式

书面申请表、《VPN使用责任承诺书（外部用户）》（附件四）及相关规定要求的其他文件进行审核，审核通过并报分公司总经理室批准后，转交分公司信息技术部门进行后续开通工作。

（四）外部技术支持人员

由分公司信息技术部门对外部技术支持人员提交的书面申请表、《VPN使用责任承诺书（外部用户）》及相关规定要求的其他文件进行审核，确认身份无误并报分公司总经理室批准后进行后续开通工作。

第二十条 原则上不允许非车险的第三方查勘/定损/公估等机构使用VPN访问理赔系统，如有特殊需要，应由分公司非车险业务管理部门报送总公司非车险业务管理部门审核，审核通过后由分公司非车险业务管理部门转交分公司信息技术部门进行后续开通工作。

第二十一条 各级VPN管理员应建立外部VPN用户信息统计表，不得为同一用户重复配置VPN账号。

第二十二条 对于发生变更或不再进行合作的外部机构/人员，责任部门应及时填写VPN用户申请表转交至分公司信息技术部门进行用户变更或注销处理，不得将其VPN用户转交其他外部机构/人员使用。

第二十三条 对于外部VPN用户提出的账号维护需求，如重新绑定硬件证书、USB-KEY,进行VPN软件维护等，该VPN

用户的使用者需要填写VPN维护申请单（附件六）至分公司信息技术部门；分公司信息技术部门核查相关信息无误后再进行维护操作。

第二十四条 各级信息技术部门应按季度会同相关责任部门对外部VPN用户进行核查，对应注销的用户及时进行清理。

第六节 VPN使用安全规范

第二十五条 VPN账号下发后使用者必须修改口令，口令长度不得少于六位，不得为字母或数字的单列组合，必须定期更改口令（建议三至六个月更换一次口令）。

第二十六条 VPN使用者应妥善保存VPN账号、密码、USB-KEY、硬件网关设备，在赋予的权限内进行操作，并对此账号所进行的一切操作负有全部责任。严禁将VPN账号转借他人使用。

第二十七条 内部机构用户可使用的VPN接入方式为P5000/S5100硬件网关接入；内部移动办公员工主选的VPN接入方式为绑定硬件证书的SSL VPN，备选的VPN接入方式为绑定硬件证书、USB-KEY的IPSEC VPN。

第二十八条 外部用户主选接入方式为绑定硬件证书、USB-KEY的SSL VPN，备选接入方式为绑定硬件证书、USB-KEY的IPSEC VPN。以上各接入方式详细技术说明可参见附件五

《VPN技术说明文件》。

第七节 附则

第二十九条 当VPN用户的行为可能危害系统安全时，总公司信息技术部有权先中断、终止VPN用户的使用，再通知相关人员。例如：发现某用户的网络流量异常或发现黑客攻击、病毒入侵等。

第三十条 总公司信息技术部有权对VPN用户行为进行监督检查，并进行必要处理。

第三十一条 本制度由总公司信息技术部负责解释。 第三十二条 本制度自发布之日起开始执行。原《中国人寿财产保险股份有限公司分公司VPN接入指引（修订版）》（国寿财险办发〔2008〕70号）同时废止，相关内容可参照附件五《VPN技术说明文件》。

附件列表：

附件一、分公司VPN申请流程 附件二、VPN账号申请表

附件三、VPN使用责任承诺书（内部用户） 附件四、VPN使用责任承诺书（外部用户） 附件五、VPN技术说明文件 附件六、VPN账号维护申请表