4.在远程维护管理时，应使用具有加密协议的登录控制模块，并及时删除多余和过期的远程维护账户。
（九）访问控制
1.对网络边界应通过设置防火墙等设备的安全策略，限制可访问的端口和相应的网络协议。
2.对服务器操作系统应设置安全策略，以控制资源的访问，并根据用户的角色分配权限，关闭不必要的服务端口。
3.对网站系统平台应启用安全策略，以限制用户访问网站配置文件和数据库等重要文件。
4.对访问网站相关服务器的管理终端，应限制其IP地址及访问权限。
5.可通过防火墙或网站系统平台配置，限制访问网站的单个IP最大流量及连接数。
（十）安全审计
1.应对网络设备、安全设备、服务器操作系统、网站访问日志、网站系统管理操作行为进行安全审计，可选用安全审计相关设备。
2.应每月对审计记录进行统计、分析，生成审计报表，并对审计记录进行保存防护。
3.应通过对网站访问日志中攻击事件的审计分析，确认攻击危害性并作出相应的控制措施。
（十一）数据备份与恢复
1.应每周至少对网站数据库进行一次全备份，每天进行一次差异备份。网站数据库备份应每年至少进行一次恢复测试，确保备份数据库文件的可用性。
2.应每天对网站访问日志进行一次备份，每月对其他系统日志进行一次备份，并合理设置日志文件的存放空间和存放期限，确保日志备份的连续完整。
3.对网站基础设施和应用系统层面相关的配置文件、审计记录等系统数据，应每季度及在配置发生变更时进行一次备份。
4.可利用上海市电子政务灾备中心进行异地备份，或在不同区域间互为备份。如采用本地备份机制，应保证备份介质的场外安全存放。
三、运行维护
（十二）安全监控
1.应建立本地或远程的监控平台，设定监控频度和状态阀值，监控网站的安全性和可用性，对异常情况及时报警，并定期对历史监控数据进行分析归档。
2.网站安全性监控可包含页面篡改、网站挂马、域名劫持、关键词等。
3.网站可用性监控可包含网站连通、业务功能、系统资源、响应时间、下载速度等。
（十三）安全检测
1.应通过本地安全检查，确保安全设备、服务器操作系统、网站系统平台的配置安全。
2.应在网站正式运行前或网站应用程序发生变更后，进行网站源代码安全扫描。
3.应每月进行一次网站安全扫描，至少包含网站服务器操作系统、网站系统平台、网站页面漏洞等方面的扫描；应每年至少进行一次网站渗透性测试。
