WordPress 网站安全协议标准操作规程（SOP）

管理 WordPress 网站时需要考虑的安全措施

为持续保障数字资产安全并提升网站安全性，我们正在为 WordPress 网站管理制定全面的安全协议。这些措施旨在防范未经授权的访问，并确保您的团队始终遵循数字安全领域的最佳实践。

引入双因素身份验证（2FA）

核心安全协议是强制启用双因素身份验证（2FA）。这一额外的安全层可确保对 WordPress 后台的访问受到严格管控，仅限授权人员使用。要求提供第二重验证方式，可以显著降低未经授权访问的风险。

不要再将密码保存在浏览器中

为进一步保障数字环境的安全，请强制执行禁止在浏览器中保存密码的政策。这种做法虽然方便，却存在安全隐患。最好的方式是鼓励使用安全的密码管理器来存储密码，从而在不牺牲便利性的前提下提升安全性。

强制使用安全的网络连接

鉴于公共网络连接存在的安全漏洞，应要求所有团队成员在管理 WordPress 网站时使用安全的网络连接。这意味着必须使用 VPN，并不惜一切代价避免使用公共 Wi-Fi 网络。任何违反该政策的行为都将受到严厉的纪律处分，以维护您的高标准安全要求。

详细的网站文档记录

每位团队成员都需要为其负责的每个 WordPress 网站维护一份详细文档。该文档应包含已安装插件的完整清单、当前用户列表、每月人工扫描记录等关键信息。此举旨在保持透明度，并促进网站的高效管理。

插件的安装与管理

为致力于维护 WordPress 环境的安全，安装新插件或移除现有插件现在都需要获得明确的书面许可。该政策可防止可能引入漏洞的未经授权的变更。以安全风险著称的文件管理器类插件严格禁止使用。

对安全做出承诺

这些 WordPress 网站管理协议的强化措施体现了您对安全的坚定承诺。通过落实这些举措，您可以致力于保护您的数字资产，以及客户或团队成员托付给您的信息的完整性。

请理解，适应这些变化可能需要一段调整期。然而，从长远来看，安全性的提升、合规性的改善以及更稳健的数字基础设施所带来的益处，将远远超过初期带来的不便。

我们为您准备了 WordPress 网站安全协议标准操作规程（SOP）模板，您可以点击此处下载 PDF 版本。

如果您想直接复制粘贴，我们也将内容列于下方。

WordPress 网站安全协议标准操作规程（SOP）

文档控制信息

• 版本：1.0
• 日期：2024年4月8日
• 文件负责人：
• 审批人：

目的

本 SOP 规定了管理 WordPress 网站的安全协议，旨在防范未经授权的访问和潜在的安全威胁，重点在于启用双因素身份验证（2FA）以及禁止在浏览器中保存密码。

适用范围

本规程适用于所有负责管理、维护或访问 WordPress 网站后台的员工。

职责分工

• 网站管理员：负责执行安全协议。
• IT 安全团队：为安全措施的落实提供支持与监督。
• 全体用户：遵守安全协议。

操作流程

1. 双因素身份验证（2FA）
   
   • 实施步骤：
     1. 安装并启用 2FA 插件，例如 “Two Factor Authentication” 或 “Wordfence Security”。
     2. 进入插件设置，为所有用户角色启用 2FA。
     3. 选择首选的 2FA 验证方式（例如邮箱、短信或身份验证器应用），并完成相应配置。
   • 用户注册启用：
     1. 通过官方通知告知所有用户 2FA 的启用要求。
     2. 提供分步指南或培训课程，指导用户完成 2FA 设置。
     3. 为所有用户设定账户启用 2FA 的截止日期。
   • 合规监测：
     1. 定期检查用户账户，确保 2FA 已启用。
     2. 及时处理任何合规问题或用户遇到的困难。
2. 禁止在浏览器中保存密码
   
   • 操作指引：
     1. 向用户普及在浏览器中保存密码的风险。
     2. 鼓励使用安全的密码管理器来存储密码。
     3. 如条件允许，部署技术方案以阻止浏览器保存密码。
   • 合规检查：
     1. 定期开展审计，确保该政策得到落实。
     2. 为用户提供安全密码管理方面的支持与替代方案。

其他最佳实践

• 定期更新：确保 WordPress 核心程序、主题与插件定期更新。
• 强密码策略：要求所有账户使用强密码。
• 限制登录尝试次数：安装插件限制登录尝试次数，并在多次失败后封禁相关 IP 地址。
• 用户角色管理：仅授予用户履行职责所需的最低权限。
• SSL 证书：使用 SSL 证书对网站收发的数据进行加密。
• 网站备份：定期安排网站备份，并妥善安全存储。
• 安全审计：定期开展安全审计与渗透测试，及时发现并修复漏洞。

网站文档记录要求

• 政策声明：每位团队成员均须为其负责的每个 WordPress 网站维护一份详细文档。该文档作为完整记录，应包括但不限于以下信息：
  • 插件：所有已安装插件的清单，包括其用途及最近一次更新的日期。此部分还应注明与插件运行相关的任何自定义设置或特殊配置。
  • 当前用户：所有拥有 WordPress 后台访问权限的用户名单，包括其角色及添加日期。应定期开展审计，确保只有授权用户拥有访问权限。
  • 安全措施：网站上已实施的具体安全措施，包括 2FA 设置、SSL 证书及自定义防火墙规则。
  • 每月人工扫描：使用 Immunify 或类似工具进行的每月人工扫描记录，包括扫描日期及相应的发现或处理措施。
  • 变更日志：网站上所有更新、修改或重大操作的详细记录，包括日期及负责人。

插件的安装与管理

• 政策声明：在任何情况下，团队成员均不得在未获得组织内指定负责人明确书面许可的情况下安装、更新或移除插件。该政策旨在防止可能危及网站安全或功能的未经授权的变更。
  
  • 例外流程：插件安装或更新的申请必须以书面形式提交给指定负责人，并说明申请理由及对潜在安全影响的评估。
  • 禁用插件：严禁使用文件管理器类插件或任何已知存在安全漏洞的插件，包括但不限于允许在 WordPress 仪表盘中直接操作文件的插件。

合规与执行

• 监控与审计：定期审计将确保本 SOP 得到遵守，包括检查网站文档的完整性、核实已安装插件的授权情况，以及确保按要求进行人工扫描。
• 不合规处理：任何违反本 SOP 的行为都将立即予以处理。不合规行为可能导致纪律处分，包括撤销网站访问权限，直至解除劳动关系。

培训与意识提升

• 定期培训：所有团队成员将定期接受关于本 SOP 的培训，内容包括网站管理中安全的重要性、插件安装申请流程，以及如何有效开展人工扫描。
• 宣导活动：持续开展的宣导活动将强化遵守安全协议以及详细记录网站管理活动的重要性。

安全网络连接要求

政策声明

为确保最高级别的安全性并防范未经授权的访问及潜在的安全漏洞，所有团队成员在访问 WordPress 后台或进行任何网站管理活动时，均必须使用安全的网络连接。本质上不安全且易被截获的公共网络连接严格禁止使用。

安全连接指引

• 使用 VPN：远程访问网站时，用户必须使用虚拟专用网络（VPN），以确保连接的安全性与加密性。IT 部门可提供经批准的 VPN 服务推荐。
• Wi-Fi 安全：从家庭或私人网络访问网站时，须确保 Wi-Fi 网络采用 WPA2 或 WPA3 加密，且网络密码强度高且唯一。
• 禁用公共网络：在任何情况下，团队成员均不得使用公共 Wi-Fi 网络（如咖啡馆、图书馆、酒店等）访问 WordPress 仪表盘、执行更新或管理内容，这也包括通过公共 Wi-Fi 网络进行热点共享的情况。

合规与执行

• 监控与检测：IT 安全团队将部署监控方案，检测并预警任何通过不安全或公共网络访问网站管理工具的尝试。
• 纪律处分：任何被发现违反本政策的团队成员都将立即面临纪律处分，直至解除劳动关系。这种严格的执行力度对于保护我们数字资产的完整性与安全性是必要的。

用户责任与报告

• 个人责任：所有用户在访问网站后台时，均须对自身网络连接的安全性负个人责任。对政策的不知情或技术层面的困难均不构成不合规的正当理由。
• 事件报告：鼓励用户报告任何可能有意或无意违反安全网络连接协议的事件。及时报告有助于降低潜在的安全风险。

培训与意识提升

• 持续教育：组织将持续为全体团队成员提供有关网络连接安全、公共网络相关风险，以及如何有效使用 VPN 的教育与资源。
• 安全意识宣导活动：将定期开展宣导活动，强化本政策的重要性，并让全体团队成员及时了解维护安全网络连接的最佳实践。