第一篇：企業(yè)信息安全管理?xiàng)l例

信息安全管理?xiàng)l例

第一章信息安全概述 1.1、公司信息安全管理體系

信息是一個(gè)組織的血液，它的存在方式各異?？梢允谴蛴?，手寫(xiě)，也可以是電子，演示和口述的。當(dāng)今商業(yè)競(jìng)爭(zhēng)日趨激烈，來(lái)源于不同渠道的威脅，威脅到信息的安全性。這些威脅可能來(lái)自?xún)?nèi)部，外部，意外的，還可能是惡意的。隨著信息存儲(chǔ)、發(fā)送新技術(shù)的廣泛使用，信息安全面臨的威脅也越來(lái)越嚴(yán)重了。

信息安全不是有一個(gè)終端防火墻，或者找一個(gè)24小時(shí)提供信息安全服務(wù)的公司就可以達(dá)到的，它需要全面的綜合管理。信息安全管理體系的引入，可以協(xié)調(diào)各個(gè)方面的信息管理，使信息管理更為有效。信息安全管理體系是系統(tǒng)地對(duì)組織敏感信息進(jìn)行管理，涉及到人，程序和信息科技系統(tǒng)。

改善信息安全水平的主要手段有：

1)安全方針：為信息安全提供管理指導(dǎo)和支持； 2)安全組織：在公司內(nèi)管理信息安全；

3)資產(chǎn)分類(lèi)與管理：對(duì)公司的信息資產(chǎn)采取適當(dāng)?shù)谋Ｗo(hù)措施； 4)人員安全：減少人為錯(cuò)誤、偷竊、欺詐或?yàn)E用信息及處理設(shè)施的風(fēng)險(xiǎn)；

5)實(shí)體和環(huán)境安全：防止對(duì)商業(yè)場(chǎng)所及信息未授權(quán)的訪(fǎng)問(wèn)、損壞及干擾；

6)通訊與運(yùn)作管理：確保信息處理設(shè)施正確和安全運(yùn)行； 7)訪(fǎng)問(wèn)控制：妥善管理對(duì)信息的訪(fǎng)問(wèn)權(quán)限；

8)系統(tǒng)的獲得、開(kāi)發(fā)和維護(hù)：確保將安全納入信息系統(tǒng)的整個(gè)生命周期；

9)安全事件管理：確保安全事件發(fā)生后有正確的處理流程與報(bào)告方式；

10)商業(yè)活動(dòng)連續(xù)性管理：防止商業(yè)活動(dòng)的中斷，并保護(hù)關(guān)鍵的業(yè)務(wù)過(guò)程免受重大故障或?yàn)?zāi)害的影響；

11)符合法律：避免違反任何刑法和民法、法律法規(guī)或者合同義務(wù)以及任何安全要求。

1.2、信息安全建設(shè)的原則

1)領(lǐng)導(dǎo)重視，全員參與；

2)信息安全不僅僅是IT部門(mén)的工作，它需要公司全體員工的共同參與；

3)技術(shù)不是絕對(duì)的；

4)信息安全管理遵循“七分管理，三分技術(shù)”的管理原則； 5)信息安全事件符合“

二、八”原則；

6)20%的安全事件來(lái)自外部網(wǎng)絡(luò)攻擊，80%的安全事件發(fā)生在公司內(nèi)部；

7)管理原則:管理為主，技術(shù)為輔，內(nèi)外兼防，發(fā)現(xiàn)漏洞，消除隱患，確保安全。

1.3、信息安全管理體系建設(shè)的目的

1)保障ERP系統(tǒng)的安全運(yùn)行，控制公司信息泄密風(fēng)險(xiǎn)； 2)提高企業(yè)員工對(duì)安全的認(rèn)識(shí)和對(duì)安全管理的參與； 3)提高企業(yè)用戶(hù)及合作伙伴對(duì)企業(yè)的信心、信任、滿(mǎn)意程度； 4)提高企業(yè)信息安全管理的質(zhì)量和水平； 5)使企業(yè)更有效地管理和處理信息安全事件； 6)遵守和通過(guò)相關(guān)法律法規(guī)的要求；

7)為將來(lái)企業(yè)充份利用電子商務(wù)打下重要的基礎(chǔ)。

第二章員工信息安全規(guī)范 2.1、適用范圍

本標(biāo)準(zhǔn)規(guī)定了公司員工必須遵循的個(gè)人計(jì)算機(jī)和其他方面的安全要求，規(guī)定了員工保護(hù)公司涉密信息的責(zé)任，并列出了大量可能遇到的情況下的安全要求。

本標(biāo)準(zhǔn)適用于公司所有員工，包括子公司的員工，以及其他經(jīng)授權(quán)使用公司內(nèi)部資源的人員。

2.2、計(jì)算機(jī)安全要求

1）計(jì)算機(jī)信息登記與使用維護(hù)：

每臺(tái)由公司購(gòu)買(mǎi)的計(jì)算機(jī)的領(lǐng)用、使用人變更、配置變更、報(bào)廢等環(huán)節(jié)必須經(jīng)過(guò)IT部的登記，嚴(yán)禁私自變更使用人和增減配置；

每位員工有責(zé)任保護(hù)公司的計(jì)算機(jī)資源和設(shè)備，以及包含的信息。每位員工必須把自己的計(jì)算機(jī)名字設(shè)置成固定的格式，一律采用AD域名_所屬地區(qū)編號(hào)組成；

例如某臺(tái)計(jì)算機(jī)名為SSSS_100201，SSSS為地區(qū)AD域名，100為地區(qū)編號(hào)，201代表該地區(qū)第201個(gè)賬戶(hù)。2）必須在所有個(gè)人計(jì)算機(jī)上激活下列安全控制：

所有計(jì)算機(jī)（包括便攜電腦與臺(tái)式機(jī)）必須設(shè)有系統(tǒng)密碼；系統(tǒng)密碼應(yīng)當(dāng)符合一定程度的復(fù)雜性要求，并不定期更換密碼；存儲(chǔ)在個(gè)人計(jì)算機(jī)中的包含有公司涉密信息的文件，需要加密存放。3）當(dāng)員工離開(kāi)辦公室或工作區(qū)域時(shí)：

必須立即鎖定計(jì)算機(jī)或者激活帶密碼保護(hù)的屏幕保護(hù)程序； 如果辦公室或者工作區(qū)域能上鎖，最后一個(gè)離開(kāi)的員工請(qǐng)鎖上辦公室或工作區(qū)域；

妥善保管所有包含公司涉密內(nèi)容的文件，如鎖進(jìn)文件柜。4）防范計(jì)算機(jī)病毒和其他有害代碼：

每位員工由公司配備的計(jì)算機(jī)上都必須安裝和運(yùn)行公司授權(quán)使用的防病毒軟件；

員工必須開(kāi)啟防病毒軟件實(shí)時(shí)掃描保護(hù)功能，至少每周進(jìn)行一次全硬盤(pán)掃描，在網(wǎng)絡(luò)條件許可的情況下每天進(jìn)行一次病毒庫(kù)文件的更新；

如果員工發(fā)現(xiàn)未能處理的病毒，應(yīng)立即斷開(kāi)局域網(wǎng)連接，以免病毒在局域網(wǎng)內(nèi)部交叉感染，并及時(shí)向公司IT部門(mén)匯報(bào)。5）軟件的使用：

員工不得私自在計(jì)算機(jī)上安裝公司禁止的軟件，公司禁止安裝的軟件包括但不限于：BT等P2P軟件、Sniffer等流量監(jiān)控軟件及黑客軟件、P2P終結(jié)者、網(wǎng)絡(luò)執(zhí)法官之類(lèi)的網(wǎng)絡(luò)管理軟件；

工作用計(jì)算機(jī)禁止安裝盜版殺毒軟件和盜版防火墻軟件； 公司員工的機(jī)器上必須安裝并開(kāi)啟功能的軟件有：金山企業(yè)版防病毒軟件、Office2010、360瀏覽器、IE8.0升級(jí)包、Winrar、固網(wǎng)打印服務(wù)；

如果由于使用未經(jīng)公司授權(quán)的且沒(méi)有許可的軟件造成公司損失，員工需要承擔(dān)全部責(zé)任。6）文件的共享：

員工在使用文件共享時(shí)，必須將其設(shè)置為受限共享；

禁止使用基于互聯(lián)網(wǎng)的P2P軟件和共享服務(wù)，如：BT、eMule等； 不得在計(jì)算機(jī)上配置匿名FTP、TFTP、HTTP，或其他無(wú)需驗(yàn)證的服務(wù)；

例如：?jiǎn)T工不得在公司的計(jì)算機(jī)上私自架設(shè)匿名FTP； 未經(jīng)IT部門(mén)許可，不得在使用ERP系統(tǒng)的計(jì)算機(jī)上使用U盤(pán)或移動(dòng)硬盤(pán)。如因業(yè)務(wù)需要，必須要訪(fǎng)問(wèn)其他人的硬盤(pán)。當(dāng)定義共享權(quán)限時(shí)，員工必須設(shè)定用戶(hù)權(quán)限、設(shè)定訪(fǎng)問(wèn)密碼，并及時(shí)取消所定義的共享。

7）郵件的發(fā)送與接收：

禁止使用公司的計(jì)算機(jī)散布、回復(fù)、轉(zhuǎn)發(fā)連鎖郵件、惡作劇郵件； 禁止將涉及公司秘密的內(nèi)部郵件轉(zhuǎn)發(fā)到互聯(lián)網(wǎng)上。8）公司涉密信息的保護(hù)：

公司涉密信息包括但不限于公司數(shù)據(jù)庫(kù)中的秘密信息，與公司目前或未來(lái)產(chǎn)品、服務(wù)或研究有關(guān)的公司技術(shù)或科技信息，業(yè)務(wù)或營(yíng)銷(xiāo)計(jì)算、營(yíng)銷(xiāo)收益或其他財(cái)務(wù)資料、人事資料，以及軟件等技術(shù)信息、經(jīng)營(yíng)信息等；

公司的員工會(huì)接觸到公司的涉密信息。員工禁止在未經(jīng)公司授權(quán)的情況下泄漏這些信息，并且必須遵守公司為保護(hù)此信息而制定的各項(xiàng)標(biāo)準(zhǔn)和流程；

每個(gè)員工只能接觸使用與本崗位工作相關(guān)的涉密信息，禁止從非正常途徑獲取公司或部門(mén)的涉密信息；禁止非授權(quán)復(fù)制涉密信息；

對(duì)公司文檔的保管、存檔、發(fā)送、刪除、銷(xiāo)毀、復(fù)制等必須遵守公司相關(guān)的文檔保密管理規(guī)定；

禁止使用提供翻譯服務(wù)的互聯(lián)網(wǎng)站來(lái)翻譯公司的涉密信息； 公司涉密信息盡量避免通過(guò)互聯(lián)網(wǎng)傳送，但由于工作需要，需要通過(guò)電子郵件等方式發(fā)送公司涉密信息時(shí)，可以采用Winrar加密壓縮的方式把涉密內(nèi)容作為附件發(fā)送，然后通過(guò)其他渠道告知對(duì)方加密密碼。

9）公司信箱的帳戶(hù)及密碼

所有的密碼必須符合如下條件：

至少8個(gè)字符長(zhǎng)，并且包含英文、數(shù)字及特殊字符； 禁止把用戶(hù)名用作密碼或其一部分；

舊密碼中任何三個(gè)連續(xù)的字符盡量不要連續(xù)出現(xiàn)在新密碼中； 公司要求員工至少每30天更換一次密碼。10）內(nèi)部網(wǎng)絡(luò)使用規(guī)則

禁止在網(wǎng)絡(luò)上偽裝為他人身份；

不得私自安裝網(wǎng)絡(luò)管理軟件，監(jiān)控網(wǎng)絡(luò)流量或者妨礙他人使用網(wǎng)絡(luò)資源；

不得對(duì)公司網(wǎng)絡(luò)或服務(wù)器以及網(wǎng)絡(luò)中他人電腦運(yùn)行安全掃描程序或者惡意攻擊；

未經(jīng)IT部允許，不得增加網(wǎng)絡(luò)設(shè)備到公司的網(wǎng)絡(luò)中，嚴(yán)禁私自購(gòu)買(mǎi)路由器、交換機(jī)接入公司網(wǎng)絡(luò)等行為； 宿舍區(qū)電腦大部分屬于員工私人計(jì)算機(jī)，禁止將公司數(shù)據(jù)及其他涉及到公司機(jī)密的電子文件傳入私人計(jì)算機(jī)中；

第三章公司信息安全管理檢查執(zhí)行規(guī)定

3.1．檢查原則

根據(jù)違規(guī)行為的性質(zhì)、造成的后果及違規(guī)人的主觀意愿對(duì)違規(guī)行為進(jìn)行處罰。對(duì)在公司信息安全管理制度和措施上貫徹、監(jiān)控不力、權(quán)限審核不當(dāng)，造成公司安全制度和措施難以落實(shí)，安全管理工作混亂的部門(mén)，部門(mén)負(fù)責(zé)人須承擔(dān)領(lǐng)導(dǎo)責(zé)任。對(duì)違反信息安全管理規(guī)定者，如其直接領(lǐng)導(dǎo)有明顯管理和指導(dǎo)不力的須承擔(dān)連帶責(zé)任。

3.2．檢查方式

公司技術(shù)部門(mén)抽調(diào)網(wǎng)絡(luò)管理人員，不定期對(duì)公司所屬公司辦公電腦進(jìn)行抽查。分析信息安全日志文件，排查違規(guī)電腦，追究相關(guān)當(dāng)事人。

3.3．檢查結(jié)果

對(duì)于故意盜竊、泄露公司保密信息的，或故意違反信息安全管理規(guī)定，性質(zhì)特別嚴(yán)重造成重大損失的，給予罰款、降薪、降職、辭退、直至開(kāi)除的處理，并賠償公司損失。對(duì)于觸犯國(guó)家法律的，移交國(guó)家司法機(jī)關(guān)依法處理。?對(duì)違反公司信息安全制度規(guī)定，性質(zhì)較輕，在公司內(nèi)部系統(tǒng)給予點(diǎn)名通報(bào)批評(píng)，并記錄在案，責(zé)令限期改正。

第二篇：淺談如何加強(qiáng)企業(yè)信息安全風(fēng)險(xiǎn)管理

淺談如何加強(qiáng)企業(yè)信息安全風(fēng)險(xiǎn)管理

摘要：隨著全球信息化程度的提高，企業(yè)信息化程度也隨之提高，企業(yè)信息安全風(fēng)險(xiǎn)管理也顯得越發(fā)重要。企業(yè)網(wǎng)絡(luò)的安全防范對(duì)于企業(yè)來(lái)說(shuō)也是不容忽視的。本課題研究了企業(yè)所面臨的信息安全風(fēng)險(xiǎn)，試圖從企業(yè)管理的各個(gè)主要環(huán)節(jié)入手進(jìn)行分析，認(rèn)為可以構(gòu)建一個(gè)安全的企業(yè)網(wǎng)絡(luò)。

關(guān)鍵詞：企業(yè)、信息安全、風(fēng)險(xiǎn)、管理

前言

隨著國(guó)內(nèi)經(jīng)濟(jì)建設(shè)的持續(xù)發(fā)展和知識(shí)經(jīng)濟(jì)模式的到來(lái)，企業(yè)得以高速發(fā)展，企業(yè)管理水平也亟待提高，不少企業(yè)也正以一種前所未有的熱情來(lái)致力于企業(yè)內(nèi)部管理素質(zhì)與效率的提高；信息化的管理手段在網(wǎng)絡(luò)經(jīng)濟(jì)迅速發(fā)展的時(shí)代顯得尤為重要。

第一章:企業(yè)信息安全管理的重要性

信息化已經(jīng)成為一個(gè)大型企業(yè)的發(fā)展戰(zhàn)略，只有實(shí)現(xiàn)信息化,企業(yè)才有可能抓住機(jī)遇，實(shí)現(xiàn)企業(yè)的快速、健康發(fā)展。信息在企業(yè)的經(jīng)營(yíng)和發(fā)展中的作用由此可窺一斑，有時(shí)候信息甚至可以左右一個(gè)企業(yè)的存亡。如今，企業(yè)之間以及企業(yè)內(nèi)部的信息傳遞越來(lái)越依賴(lài)于網(wǎng)絡(luò)。在寬帶網(wǎng)絡(luò)建設(shè)得到飛速發(fā)展，信息得到快速傳遞的同時(shí)，因?yàn)槠髽I(yè)信息安全問(wèn)題而倒閉或蒙受巨大經(jīng)濟(jì)損失的案例也不勝枚舉。2010年1月12日，baidu.com域名被劫持，此次網(wǎng)站被“黑”事件創(chuàng)下了百度創(chuàng)建以來(lái)最大的一次斷網(wǎng)事故，也給民眾和各企業(yè)敲響了警鐘：網(wǎng)絡(luò)信息安全問(wèn)題不可忽視。

隨著互聯(lián)網(wǎng)的發(fā)展和網(wǎng)絡(luò)技術(shù)的不斷進(jìn)步，企業(yè)信息安全問(wèn)題已經(jīng)成為每一個(gè)企業(yè)面對(duì)生死存亡必須要考慮的一個(gè)問(wèn)題。由于互聯(lián)網(wǎng)的開(kāi)放性和通信協(xié)議原始設(shè)計(jì)的局限性的影響，企業(yè)信息因?yàn)橹T多方面的原因容易造成外泄，給公司的正常運(yùn)營(yíng)帶來(lái)安全隱患。企業(yè)在充分利用網(wǎng)絡(luò)資源，享受信息傳遞的方便快捷的同時(shí)，降低企業(yè)安全信息管理風(fēng)險(xiǎn)顯得尤為重要。

第二章：企業(yè)信息安全面對(duì)的風(fēng)險(xiǎn)

一、企業(yè)外部人員的信息竊?。粌?nèi)部服務(wù)器被非法訪(fǎng)問(wèn)，破壞傳輸信息的完整性。

黑客、木馬的破壞性，相信很多企業(yè)的CTO都感受頗深。很多企業(yè)的局域網(wǎng)設(shè)計(jì)、辦公自動(dòng)化（OA）系統(tǒng)都存在著或多或少的漏洞。網(wǎng)絡(luò)布線(xiàn)之后，局域網(wǎng)沒(méi)有經(jīng)過(guò)深思熟慮的規(guī)劃，路由器密碼為空或者沒(méi)有經(jīng)過(guò)修改，網(wǎng)關(guān)設(shè)臵過(guò)于簡(jiǎn)單等等。辦公自動(dòng)化（OA）系統(tǒng)方面，權(quán)限管理過(guò)于簡(jiǎn)單或者基本沒(méi)有，用戶(hù)名及密碼明文傳輸?shù)鹊?，都?huì)給日后的使用，埋下隱患的種子。

二、企業(yè)內(nèi)部人員的故意或過(guò)錯(cuò)而造成的商業(yè)機(jī)密泄漏。黑客的攻擊，或許只會(huì)對(duì)企業(yè)的局域網(wǎng)、以及辦公系統(tǒng)帶來(lái)破壞，很少能夠有目的地，如其所愿地獲取所希望的信息。企業(yè)核心信息的泄露，很大一部分，要?dú)w咎于企業(yè)內(nèi)部管理的不規(guī)范，或者內(nèi)部員工的有目的的向競(jìng)爭(zhēng)對(duì)手提供企業(yè)重要信息。

企業(yè)的核心數(shù)據(jù)，也就是所謂的商業(yè)機(jī)密，一定要保證，除了核心管理層之外的人員，其他員工無(wú)權(quán)獲取。對(duì)商業(yè)機(jī)密的保護(hù)不夠重視，或者對(duì)企業(yè)信息訪(fǎng)問(wèn)權(quán)限缺乏強(qiáng)有力的約束，以及權(quán)限管理不健全，都會(huì)帶來(lái)企業(yè)核心數(shù)據(jù)信息的外泄，無(wú)論是有意還是無(wú)意，都會(huì)給企業(yè)帶來(lái)無(wú)法估計(jì)的損失。

因此，面對(duì)企業(yè)信息安全所面臨的威脅，企業(yè)必須把信息安全風(fēng)險(xiǎn)降到最低，避免因企業(yè)信息外泄或被竊而給企業(yè)帶來(lái)不可估量的損失。對(duì)當(dāng)今的企業(yè)而言，必須通過(guò)加強(qiáng)企業(yè)信息安全風(fēng)險(xiǎn)管理，對(duì)可

3預(yù)見(jiàn)的風(fēng)險(xiǎn)加強(qiáng)防范，維護(hù)企業(yè)信息安全，避免造成不必要的損失，在保證企業(yè)信息正常流轉(zhuǎn)的同時(shí)，保障企業(yè)的正常運(yùn)行。

企業(yè)信息化建設(shè)的概念是發(fā)展的，它隨著管理理念、實(shí)現(xiàn)手段等因素的發(fā)展而發(fā)展。因而管理也是企業(yè)信息安全得到保證的重要組成部分，也是防止來(lái)自?xún)?nèi)部網(wǎng)絡(luò)入侵必需的重要部分。管理混亂、安全管理制度不健全等都可能引起企業(yè)信息安全風(fēng)險(xiǎn)。即除了從技術(shù)下功夫外，還得依靠管理來(lái)實(shí)現(xiàn)。

應(yīng)對(duì)企業(yè)信息安全風(fēng)險(xiǎn)不只是給電腦設(shè)臵密碼，安裝殺毒軟件那么簡(jiǎn)單，這需要企業(yè)的每一位員工以每一件小事，每一個(gè)細(xì)節(jié)為出發(fā)點(diǎn)，從工作的方方面面加強(qiáng)防范。加強(qiáng)企業(yè)信息安全風(fēng)險(xiǎn)管理，要求企業(yè)每位員工提高安全防范意識(shí)。

第三章：如何降低企業(yè)信息安全的風(fēng)險(xiǎn)

一、制定企業(yè)信息安全規(guī)范，并嚴(yán)格加以執(zhí)行。

企業(yè)要重視局域網(wǎng)規(guī)劃，完善網(wǎng)絡(luò)設(shè)計(jì)、建設(shè)，首先從網(wǎng)絡(luò)層面規(guī)范信息安全要求。企業(yè)內(nèi)部的網(wǎng)絡(luò)使用方面，要求員工不要隨意到網(wǎng)上下載軟件、不要打開(kāi)不明郵件附件等等。企業(yè)內(nèi)部管理人員或員工應(yīng)該設(shè)臵用戶(hù)口令，并且保證該口令不會(huì)因?yàn)檫^(guò)于簡(jiǎn)單而容易破解，并明確權(quán)限管理，把責(zé)任落實(shí)到個(gè)人，禁止信息泄密。

二、警惕對(duì)企業(yè)內(nèi)部不滿(mǎn)的員工和已離職員工。

員工離職之后及時(shí)更換管理員用戶(hù)名及口令等信息。防止員工在把內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)、管理員用戶(hù)名及口令以及系統(tǒng)的一些重要信息傳播給外人帶來(lái)信息泄漏風(fēng)險(xiǎn)而造成經(jīng)濟(jì)損失。

三、加強(qiáng)對(duì)員工企業(yè)信息安全方面的培訓(xùn)。

提升安全技能，并通過(guò)運(yùn)用企業(yè)信息方面危機(jī)的事例分析，逐步培養(yǎng)企業(yè)人員信息安全意識(shí)，使員工充分認(rèn)識(shí)企業(yè)信息安全風(fēng)險(xiǎn)防范的必要性和重要性，并注重提高處理計(jì)算機(jī)系統(tǒng)安全問(wèn)題的能力。

四、提高對(duì)計(jì)算機(jī)安全的重視程度。

企業(yè)網(wǎng)絡(luò)管理人員應(yīng)定期對(duì)計(jì)算機(jī)進(jìn)行安全檢查，并選擇最適合自己公司需要的管理軟件。

加強(qiáng)企業(yè)信息安全風(fēng)險(xiǎn)管理還要求企業(yè)員工從身邊的細(xì)節(jié)加強(qiáng)防范，在日常工作中對(duì)辦公郵箱加強(qiáng)管理，經(jīng)常更換登錄密碼，并對(duì)重要數(shù)據(jù)進(jìn)行備份。打印紙不隨意丟棄，過(guò)期文件及時(shí)銷(xiāo)毀。

結(jié)論

通過(guò)以上措施，我們基本上可以從里到外，從上級(jí)管理者到普通員工之間，形成一個(gè)立體的信息防護(hù)網(wǎng)，保護(hù)企業(yè)的重要信息不外泄，形成了企業(yè)信息安全的立體化防護(hù)。

第三篇：企業(yè)信息安全管理 先從內(nèi)網(wǎng)管理著手

企業(yè)信息安全管理先從內(nèi)網(wǎng)管理著手

隨著互聯(lián)網(wǎng)技術(shù)在企業(yè)的中大規(guī)模運(yùn)用，現(xiàn)代化企業(yè)已經(jīng)離不開(kāi)網(wǎng)絡(luò)，但是由于許多企業(yè)網(wǎng)絡(luò)管理意識(shí)薄弱，越來(lái)越多的網(wǎng)絡(luò)問(wèn)題就在不斷危害著企業(yè)的利益。網(wǎng)絡(luò)問(wèn)題會(huì)給企業(yè)帶來(lái)什么樣的危害呢？小草上網(wǎng)行為管理軟路由從眾多企業(yè)的反饋中，收集整理了一些。

首先員工對(duì)互聯(lián)網(wǎng)的濫用使企業(yè)的生產(chǎn)力嚴(yán)重流失、工作效率降低。使用QQ、MSN等即時(shí)通信工具是目前最為普遍的網(wǎng)絡(luò)使用形式之一。上自企業(yè)管理者，下至普通員工，均對(duì)此情有獨(dú)鐘。大量的時(shí)間被用來(lái)聊天、處理私事，經(jīng)由聊天工具傳播的病毒、惡意軟件更是不勝枚舉。企業(yè)花巨資打造的信息化工作平臺(tái)成為員工的私人領(lǐng)地和病毒桃花源。

P2P等下載軟件導(dǎo)致關(guān)鍵業(yè)務(wù)應(yīng)用帶寬無(wú)法保證。P2P下載技術(shù)使人們可以高速獲取海量的網(wǎng)絡(luò)資源，員工可以通過(guò)這些下載工具以最快捷的方式獲得自己喜歡的資源(主要是影音娛樂(lè)文件)。企業(yè)組織有限的帶寬資源成為這些員工獲取娛樂(lè)享受的專(zhuān)用通道，一條條專(zhuān)用通道的建立使企業(yè)組織的IT系統(tǒng)建設(shè)事倍功半。

通過(guò) E-mail、MSN或者移動(dòng)硬盤(pán)造成文件流失、泄露?，F(xiàn)在越來(lái)越多的泄密事件在網(wǎng)上流傳，比如前段時(shí)間，由于一封著名企業(yè)的高管發(fā)給同事的內(nèi)部郵件不慎泄露，其中相關(guān)內(nèi)容在企業(yè)內(nèi)部及業(yè)內(nèi)均造成了重大影響，直接致使該高管離職。

這些泄密事件表明：通過(guò)論壇、外發(fā)郵件等導(dǎo)致的組織內(nèi)部機(jī)密信息泄漏事件的發(fā)生越來(lái)越普遍，企業(yè)所建立的機(jī)密文件管理體系形同虛設(shè)。

網(wǎng)頁(yè)和郵件中潛伏著病毒、木馬、間諜程序。調(diào)查發(fā)現(xiàn)，很多病毒事件是因?yàn)閱T工訪(fǎng)問(wèn)一些非法網(wǎng)頁(yè)、BBS論壇或下載通過(guò)即時(shí)通信軟件傳播的文件而引發(fā)的。這些病毒程序不僅會(huì)降低系統(tǒng)效率、侵占網(wǎng)絡(luò)帶寬，而且會(huì)使企業(yè)組織的網(wǎng)絡(luò)門(mén)戶(hù)洞開(kāi)，受到各種形式的威脅，從而使企業(yè)網(wǎng)絡(luò)處于高風(fēng)險(xiǎn)和不穩(wěn)定的狀態(tài)，企業(yè)組織網(wǎng)絡(luò)成了病毒實(shí)驗(yàn)所。

面對(duì)這些問(wèn)題，小草上網(wǎng)行為管理軟路由能夠輕松管理P2P軟件下載、P2P視頻、在線(xiàn)電影、網(wǎng)絡(luò)電視;針對(duì)帶寬擁堵難題，還可以智能分配帶寬，同時(shí)能夠根據(jù)總流量的限制合理管控帶寬資源使用，更出色的是還可以為企業(yè)關(guān)鍵業(yè)務(wù)設(shè)置優(yōu)先級(jí)帶寬使用，從而最大程度保障公司業(yè)務(wù)流通順暢。

小草上網(wǎng)行為管理軟路由能夠幫助企業(yè)管理者管控網(wǎng)絡(luò)濫用問(wèn)題，防止網(wǎng)絡(luò)攻擊、黑客入侵，提升網(wǎng)絡(luò)使用效率，提高員工的工作效率。

第四篇：企業(yè)信息安全保密制度

企業(yè)集 團(tuán) 管 理 制 度

信息安全保密制度

（2016初稿）/ 9

上海企業(yè)經(jīng)營(yíng)管理股份有限公司

信息安全保密制度 第一章 總 則

第一條 根據(jù)國(guó)家相關(guān)規(guī)定，結(jié)合《企業(yè)知識(shí)產(chǎn)權(quán)管理規(guī)范》及具體情況，為保障公司整體利益和長(zhǎng)遠(yuǎn)利益，使公司長(zhǎng)期、穩(wěn)定、高效地發(fā)展，適應(yīng)激烈的市場(chǎng)競(jìng)爭(zhēng)，特制定本制度。

第二條 本規(guī)定是安全保密、知識(shí)產(chǎn)權(quán)及專(zhuān)利保護(hù)工作的依據(jù)和準(zhǔn)則。各部室要把安全保密工作列入工作規(guī)劃，使安全工作落到實(shí)處。

第三條 公司秘密是關(guān)系公司權(quán)力和利益，依照程序只允許特定時(shí)空范圍的人員知悉的事項(xiàng)，包括但不限于技術(shù)專(zhuān)利、財(cái)務(wù)、人事和其他商業(yè)機(jī)密。技術(shù)秘密是指能為公司帶來(lái)經(jīng)濟(jì)利益、具有實(shí)用性的技術(shù)信息、設(shè)計(jì)方案等，包括但不限于：技術(shù)信息、工程設(shè)計(jì)、科研專(zhuān)利、知識(shí)產(chǎn)權(quán)等等。財(cái)務(wù)秘密包括但不限于公司經(jīng)營(yíng)的財(cái)務(wù)、資產(chǎn)及相關(guān)統(tǒng)計(jì)數(shù)字。人事秘密主要是與公司人力資源現(xiàn)狀、招聘計(jì)劃、員工隱私、勞資狀況等相關(guān)的信息。包括但不限于：人事檔案、合同、協(xié)議、職員工資性收入、招聘計(jì)劃等。日常秘密主要包括不限于：日常文件文檔、資料等。商業(yè)秘密包括但不限于：客戶(hù)名單、定價(jià)政策、財(cái)務(wù)資料、進(jìn)貨渠道，等等。

第四條 公司所有職員、外派人員都有保守公司秘密的義務(wù)。接觸到公司秘密的高級(jí)員工，如：管理人員、技術(shù)人員、財(cái)務(wù)人員、秘書(shū)等負(fù)有特別的保秘責(zé)任。

第五條 保密工作實(shí)行安全、便利可行、積極預(yù)防的工作方針。保密范圍和密級(jí)確定： / 9

第六條 公司秘密包括本制度第三條規(guī)定的及下列秘密事項(xiàng)：(一)公司重大決策中的秘密事項(xiàng)；

(二)公司尚未付諸實(shí)施的經(jīng)營(yíng)戰(zhàn)略、方向、規(guī)劃及決策等；(三)公司內(nèi)部掌握的合同、協(xié)議、意見(jiàn)書(shū)及可行性報(bào)告；(四)公司財(cái)務(wù)預(yù)決算報(bào)告及各類(lèi)財(cái)務(wù)報(bào)表、統(tǒng)計(jì)報(bào)表；(五)公司職員人事檔案，工資性、勞務(wù)性收入及資料；(六)公司科研專(zhuān)有技術(shù)、專(zhuān)利、知識(shí)產(chǎn)權(quán)、工程設(shè)計(jì)、等等；(七)其他經(jīng)公司確定應(yīng)當(dāng)保密的事項(xiàng)。

第七條 公司秘密的密級(jí)分為“絕密”、“機(jī)密”、“秘密”三級(jí)。

絕密是最重要的公司秘密，泄露會(huì)使公司權(quán)益和利益遭受特別嚴(yán)重?fù)p害;機(jī)密是重要的公司秘密，泄露會(huì)使公司權(quán)益和利益遭受到嚴(yán)重?fù)p害;秘密是一般的公司秘密，泄露會(huì)使公司權(quán)力和利益遭受損害。

第八條 秘級(jí)的確定：

(一)公司經(jīng)營(yíng)發(fā)展中，直接影響公司權(quán)益和利益的重要決策文件、技術(shù)資料、技術(shù)專(zhuān)利等為絕密級(jí);(二)公司的規(guī)劃、財(cái)務(wù)報(bào)表、統(tǒng)計(jì)資料、重要會(huì)議記錄、公司經(jīng)營(yíng)情況為機(jī)密級(jí);(三)公司人事檔案、合同、協(xié)議、職員工資性收入、尚未進(jìn)入市場(chǎng)或尚未公開(kāi)的各類(lèi)信息為秘密級(jí)。

第九條 秘密級(jí)別由董事會(huì)秘書(shū)辦公室依據(jù)第七條確定，并確定保密期限：分永久、長(zhǎng)期、短期，一般與密級(jí)相對(duì)應(yīng)，特殊情況外標(biāo)明。保密期限屆滿(mǎn)，自行解密。/ 9

第十條 發(fā)現(xiàn)已經(jīng)或者可能泄露秘密時(shí)，應(yīng)立即采取補(bǔ)救措施并報(bào)告主管部室或公司領(lǐng)導(dǎo)；主管部室或領(lǐng)導(dǎo)接到報(bào)告，應(yīng)及時(shí)處理。

第十一條 本制度規(guī)定的泄密是指下列行為之一：(一)使秘密被不應(yīng)知悉者知悉的;(二)使秘密超出接觸限定范圍，而不能證明未被不應(yīng)知悉者知悉的。

第二章 日常保密管理規(guī)定

第十二條 日常保密包括但不限于文印文檔、資料、人事及其他保密事項(xiàng)等。辦公室為日常保密工作管理部室。辦公室主要保密職責(zé)：

(一)根據(jù)法律及上級(jí)公司規(guī)定，結(jié)合公司實(shí)際制定安全保密管理規(guī)定，并監(jiān)督實(shí)施；

(二)負(fù)責(zé)組織宣傳安全保密管理規(guī)定、制度，組織培訓(xùn)學(xué)習(xí)公司有關(guān)保密安全條例；

(三)制定并落實(shí)人事、檔案保密管理措施；

(四)配合其他部室完成技術(shù)、財(cái)務(wù)、商業(yè)等保密的管理、監(jiān)督和檢查工作；(五)嚴(yán)格機(jī)要、文印人員、招聘選拔；

(六)對(duì)安全保密突發(fā)事件應(yīng)急處理，日常安全保密工作的監(jiān)督；協(xié)助公司領(lǐng)導(dǎo)完成保密工作檢查、獎(jiǎng)懲及與之相關(guān)的活動(dòng)等；

(七)承辦上級(jí)領(lǐng)導(dǎo)交辦的其他保密事項(xiàng)。

第十三條 日常保密工作，各部室、各崗位應(yīng)做到：

(一)領(lǐng)導(dǎo)干部、部室負(fù)責(zé)人、專(zhuān)業(yè)組長(zhǎng)：增強(qiáng)保密意識(shí)、以身作則，模范遵守保密規(guī)定，落實(shí)保密責(zé)任。做到：不泄露知悉的公司秘密；不在無(wú)保密保障的/ 9

場(chǎng)所閱辦秘密文件、資料；不在家屬、親友、熟人和其他無(wú)關(guān)人員面前談?wù)摴久孛苁马?xiàng)；不攜帶秘密文件、資料參加社交活動(dòng)；不在出訪(fǎng)、考察等外事活動(dòng)中攜帶秘密文件、資料；閱辦完秘密文件及時(shí)清退、歸檔；審校、簽發(fā)文件及稿件時(shí)，要把好定密關(guān)；下級(jí)發(fā)生泄密問(wèn)題后，及時(shí)上報(bào)、設(shè)法補(bǔ)救，不掩蓋包庇。

(二)員工應(yīng)做到：不該說(shuō)的秘密不說(shuō)；不該問(wèn)的秘密不問(wèn)；不該看的秘密不看；不該記錄的秘密不記錄；不在非保密本上記錄秘密；不在公共場(chǎng)所和家屬、子女、親友面前談?wù)摴久孛苁马?xiàng)；不在不利于保密的地方存放秘密文件、資料；不攜帶秘密材料游覽、參觀、探親、訪(fǎng)友和出入公共場(chǎng)所；不在私人交往中泄露公司秘密。日常保密措施：

第十四條 健全收發(fā)文制度，各部室要有專(zhuān)人負(fù)責(zé)文件、設(shè)計(jì)圖紙、技術(shù)檔案等機(jī)密文件的管理和清退工作，發(fā)現(xiàn)秘級(jí)文件資料丟失、被竊、泄密時(shí)，須立即報(bào)告，及時(shí)追查、力挽損失。

第十五條 檔案管理按照質(zhì)量管理體系文件中有關(guān)規(guī)定執(zhí)行。

第十六條 有秘密內(nèi)容的會(huì)議或活動(dòng)，主辦部門(mén)應(yīng)采取措施：

(一)選擇具備保密條件的會(huì)議場(chǎng)所，嚴(yán)禁使用無(wú)線(xiàn)話(huà)筒傳達(dá)密件或向室外擴(kuò)音；

(二)根據(jù)需要，限定參會(huì)人員的范圍，指定參會(huì)人員;(三)依照規(guī)定使用會(huì)議設(shè)備和管理會(huì)議文件；

(四)規(guī)定不準(zhǔn)記錄的會(huì)議內(nèi)容，不得記錄，不攜帶錄音機(jī)進(jìn)入會(huì)場(chǎng)錄音；不以任何形式對(duì)外泄露會(huì)議秘密內(nèi)容，會(huì)議結(jié)束后，要對(duì)會(huì)議場(chǎng)所進(jìn)行保密檢查；/ 9

嚴(yán)禁濫印、復(fù)印會(huì)議秘密文件資料，確需要復(fù)制的須經(jīng)批準(zhǔn)。

第十七條 文印崗人員應(yīng)該做到：

(一)復(fù)印的秘密文件：需經(jīng)批準(zhǔn)后才能復(fù)??；嚴(yán)格控制份數(shù)，復(fù)印件要按原件一樣管理；

(二)嚴(yán)格保管承印的秘密文稿、資料及有秘密內(nèi)容的磁盤(pán)、錄音筆等；對(duì)會(huì)議記錄和有關(guān)文件、資料嚴(yán)加保管，及時(shí)立卷歸檔；

(三)嚴(yán)格遵守保密紀(jì)律，打印、復(fù)印涉密文稿的內(nèi)容不得傳播，不得讓無(wú)關(guān)人員閱看，不私自多印留存；

(四)打印的密件廢頁(yè)、圖紙廢頁(yè)、蠟紙應(yīng)及時(shí)處理，不讓無(wú)關(guān)人員閱看；發(fā)現(xiàn)密件丟失或下落不明，要立即報(bào)告，并抓緊查找，采取補(bǔ)救措施。定期檢查、清理、清退、銷(xiāo)毀文件；嚴(yán)防將秘密文件、資料和文件底稿隨同舊報(bào)紙等出售。

第十八條 對(duì)于密級(jí)文件、資料設(shè)計(jì)圖紙、方案、技術(shù)標(biāo)準(zhǔn)和其他物品，須采取保密措施：

(一)非經(jīng)批準(zhǔn)，不得復(fù)制和摘抄;收發(fā)、傳遞和外出攜帶，由指定人員擔(dān)任，并采取必要的安全措施；

(二)在設(shè)備完善的保險(xiǎn)裝置中保存；

(三)如有與質(zhì)量管理體系中規(guī)定相左之處，以后者為準(zhǔn)。第十九條 如有必要公司應(yīng)與相關(guān)人員簽訂《保密合同》。

第三章 商業(yè)保密管理規(guī)定

第二十條 商業(yè)保密包括但不限于：客戶(hù)信息、采購(gòu)資料、定價(jià)政策、財(cái)務(wù)資料、進(jìn)貨渠道、投標(biāo)信息、經(jīng)營(yíng)策略等。

第二十一條 市場(chǎng)部為商業(yè)保密的主管部門(mén)，辦公室及其他部門(mén)配合市場(chǎng)部/ 9

完成商業(yè)保密管理。市場(chǎng)部主要保密職責(zé)：

(一)制定商業(yè)保密管理有關(guān)規(guī)范、制度，并組織實(shí)施、監(jiān)督；(二)組織宣傳、培訓(xùn)商業(yè)管理規(guī)定；

(三)負(fù)責(zé)本部門(mén)保密管理工作，監(jiān)督其他部門(mén)管理工作；(四)負(fù)責(zé)商業(yè)泄密事件的應(yīng)急、調(diào)查、處理、處罰工作；

第二十二條 涉及公司商業(yè)秘密的合作、代理、交易合同或協(xié)議，依據(jù)情況設(shè)置相關(guān)“保密條款”，限制對(duì)方行為。

第二十三條 市場(chǎng)部有關(guān)人員不可將商業(yè)秘密透露給任何第三方或用于合同目的以外的用途，離職、辭職時(shí)，要及時(shí)交出相關(guān)資料，同時(shí)不得泄露公司經(jīng)營(yíng)秘密；不可在對(duì)外接受訪(fǎng)問(wèn)或者與任何第三方交流時(shí)泄露秘密內(nèi)容。

第四章 財(cái)務(wù)保密管理規(guī)定

第二十四條 財(cái)務(wù)保密工作包括但不限于資產(chǎn)、財(cái)務(wù)統(tǒng)計(jì)數(shù)字及工資及其他報(bào)表的保密。

第二十五條 財(cái)務(wù)部為財(cái)務(wù)保密的歸主管部門(mén)，市場(chǎng)部、辦公室及其他部門(mén)配合財(cái)務(wù)部落實(shí)財(cái)務(wù)保密工作。財(cái)務(wù)部主要保密職責(zé)：

(一)根據(jù)法律及上級(jí)單位規(guī)定，結(jié)合實(shí)際制定財(cái)務(wù)保密規(guī)范；(二)組織本部門(mén)員工學(xué)習(xí)并執(zhí)行財(cái)務(wù)保密制度的有關(guān)規(guī)定；(三)負(fù)責(zé)組織宣傳保密、安全管理規(guī)定、規(guī)范，組織培訓(xùn)學(xué)習(xí)公司有關(guān)保密安全規(guī)定；

(四)負(fù)責(zé)本部門(mén)保密管理工作，監(jiān)督其他部門(mén)管理工作； / 9

(五)負(fù)責(zé)財(cái)務(wù)泄密事件的應(yīng)急、調(diào)查、處理、處罰工作；

第五章 計(jì)算機(jī)與互聯(lián)網(wǎng)信息保密管理規(guī)定

第二十六條 IT部要健全各項(xiàng)信息保密管理制度，強(qiáng)化機(jī)房計(jì)算機(jī)的應(yīng)用管理。凡秘密數(shù)據(jù)的傳輸和存貯均應(yīng)采取相應(yīng)的保密措施，錄有文件的存貯設(shè)備要妥善保管，嚴(yán)防丟失。

(一)保障公司計(jì)算機(jī)及其相關(guān)的配套設(shè)備、設(shè)施的安全，保障信息的安全，保障計(jì)算機(jī)功能的正常發(fā)揮，維護(hù)計(jì)算機(jī)信息系統(tǒng)的安全性。應(yīng)及時(shí)發(fā)現(xiàn)安全隱患，及時(shí)提出解決方案，及時(shí)處理解決問(wèn)題；

(二)新用戶(hù)登記時(shí)，應(yīng)認(rèn)真核實(shí)其身份，并詳細(xì)記錄用戶(hù)的相關(guān)信息。員工不允許將公司“用戶(hù)信息和網(wǎng)絡(luò)密碼”告知非本公司人員。員工離開(kāi)本公司，IT部應(yīng)注銷(xiāo)該員工的所有用戶(hù)信息；

(三)對(duì)于安全性較高的信息，需要嚴(yán)格管理。無(wú)論是紙張形式還是電子形式，均要落實(shí)到責(zé)任人。嚴(yán)禁將工作中的數(shù)據(jù)文檔帶離。

(四)企業(yè)研發(fā)的各辦公系統(tǒng)的數(shù)據(jù)內(nèi)容要嚴(yán)格把關(guān)；IT部要將審核后的內(nèi)容準(zhǔn)確、安全、即時(shí)地上傳至托管服務(wù)器。

(五)加強(qiáng)計(jì)算機(jī)系統(tǒng)的保密安全管理。對(duì)涉密與非保密計(jì)算機(jī)予以明確區(qū)分，涉密機(jī)必須完全與局域網(wǎng)脫離連接，并禁止上因特網(wǎng)以防泄密。并采取身份認(rèn)證、存儲(chǔ)傳輸加密、配置防視頻泄密干擾器等措施加強(qiáng)保密防范。

第二十七條 屬于公司秘密的信息、資料和其它物品的制作、收發(fā)、傳遞、使用、復(fù)制、摘抄、保存和銷(xiāo)毀，由辦公室或主管領(lǐng)導(dǎo)委托專(zhuān)人執(zhí)行；采用電腦技術(shù)存取、處理、傳遞的公司秘密由IT部門(mén)負(fù)責(zé)保密。/ 9

第二十八條 計(jì)算機(jī)房?jī)?nèi)，禁止無(wú)關(guān)人員逗留、參觀，嚴(yán)禁會(huì)客。

第六章 罰則 和 獎(jiǎng)則

第二十九條 公司對(duì)在安全保密工作中做出突出成績(jī)的個(gè)人和部室給予獎(jiǎng)勵(lì)。

第三十條 對(duì)未按本《規(guī)定》進(jìn)行管理或管理不善造成秘密泄漏的，除對(duì)直接責(zé)任者按規(guī)定給予相應(yīng)處理外，還將追究所屬部室主要負(fù)責(zé)人的責(zé)任，并對(duì)直接責(zé)任者和所屬部室給予相應(yīng)的經(jīng)濟(jì)處罰。

第三十一條 對(duì)無(wú)視本《規(guī)定》，以謀取個(gè)人或小集團(tuán)利益為目、蓄意泄漏秘密的，造成重大損失和嚴(yán)重后果的，將依《中華人民共和國(guó)刑法》追究法律責(zé)任。

第三十二條 保密管理人員因玩忽職守使秘密泄漏造成經(jīng)濟(jì)損失，削弱競(jìng)爭(zhēng)能力的，視情節(jié)輕重給予不同程度的行政處分和經(jīng)濟(jì)處罰，明知故犯者加重處罰。對(duì)違反本《規(guī)定》，使單位秘密泄露，造成直接或間接經(jīng)濟(jì)損失的，由公司保衛(wèi)部及所屬管理部門(mén)負(fù)責(zé)調(diào)查核實(shí)，并提出處理意見(jiàn)，報(bào)公司領(lǐng)導(dǎo)批準(zhǔn)后執(zhí)行。

第七章 附 則

第三十三條 本《規(guī)定》自發(fā)布之日起執(zhí)行。第三十四條 本規(guī)定的解釋權(quán)屬于本公司保衛(wèi)部。/ 9

第五篇：企業(yè)信息安全管理辦法

信息安全管理辦法

第一章 總則

第一條

為加強(qiáng)公司信息安全管理，推進(jìn)信息安全體系建設(shè)，保障信息系統(tǒng)安全穩(wěn)定運(yùn)行，根據(jù)國(guó)家有關(guān)法律、法規(guī)和《公司信息化工作管理規(guī)定》，制定本辦法。

第二條

本辦法所指的信息安全管理，是指計(jì)算機(jī)網(wǎng)絡(luò)及信息系統(tǒng)（以下簡(jiǎn)稱(chēng)信息系統(tǒng)）的硬件、軟件、數(shù)據(jù)及環(huán)境受到有效保護(hù)，信息系統(tǒng)的連續(xù)、穩(wěn)定、安全運(yùn)行得到可靠保障。

第三條

公司信息安全管理堅(jiān)持“誰(shuí)主管誰(shuí)負(fù)責(zé)、誰(shuí)運(yùn)行誰(shuí)負(fù)責(zé)”的基本原則，各信息系統(tǒng)的主管部門(mén)、運(yùn)營(yíng)和使用單位各自履行相關(guān)的信息系統(tǒng)安全建設(shè)和管理的義務(wù)與責(zé)任。

第四條

信息安全管理，包括管理組織與職責(zé)、信息安全目標(biāo)與工作原則、信息安全工作基本要求、信息安全監(jiān)控、信息安全風(fēng)險(xiǎn)評(píng)估、信息安全培訓(xùn)、信息安全檢查與考核。

第五條

本辦法適用于公司總部、各企事業(yè)單位及其全體員工。

第二章 信息安全管理組織與職責(zé)

第六條

公司信息化工作領(lǐng)導(dǎo)小組是信息安全工作的最高決策機(jī)構(gòu)，負(fù)責(zé)信息安全政策、制度和體系建設(shè)規(guī)劃的審批，部署并協(xié)調(diào)信息安全體系建設(shè)，領(lǐng)導(dǎo)信息系統(tǒng)等級(jí)保護(hù)工作。

第七條

公司建立和健全由總部、企事業(yè)單位以及信息技術(shù)支持單位三方面組成，協(xié)調(diào)一致、密切配合的信息安全組織和責(zé)任體系。各級(jí)信息安全組織均要明確主管領(lǐng)導(dǎo)，確定相關(guān)責(zé)任，設(shè)置相應(yīng)崗位，配備必要人員。

第八條

信息管理部是公司信息安全的歸口管理部門(mén)，負(fù)責(zé)落實(shí)信息化工作領(lǐng)導(dǎo)小組的決策，實(shí)施公司信息安全建設(shè)與管理，確保重要信息系統(tǒng)的有效保護(hù)和安全運(yùn)行。具體職責(zé)包括：組織制定和實(shí)施公司信息安全政策標(biāo)準(zhǔn)、管理制度和體系建設(shè)規(guī)劃，組織實(shí)施信息安全項(xiàng)目和培訓(xùn)，組織信息安全工作的監(jiān)督和檢查。

第九條

公司保密部門(mén)負(fù)責(zé)信息安全工作中有關(guān)保密工作的監(jiān)督、檢查和指導(dǎo)。

第十條

企事業(yè)單位信息部門(mén)負(fù)責(zé)本單位信息安全的管理，具體職責(zé)包括：在本單位宣傳和貫徹執(zhí)行信息安全政

策與標(biāo)準(zhǔn)，確保本單位信息系統(tǒng)的安全運(yùn)行，實(shí)施本單位信息安全項(xiàng)目和培訓(xùn)，追蹤和查處本單位信息安全違規(guī)行為，組織本單位信息安全工作檢查，完成公司部署的信息安全工作。

第十一條

技術(shù)支持單位在信息管理部的領(lǐng)導(dǎo)下，承擔(dān)所負(fù)責(zé)的信息系統(tǒng)和所在區(qū)域的信息安全管理任務(wù)，主要包括：在所維護(hù)系統(tǒng)和本區(qū)域內(nèi)宣傳和貫徹信息安全政策與標(biāo)準(zhǔn)，確保所負(fù)責(zé)信息系統(tǒng)的安全運(yùn)行。

第十二條

各級(jí)信息管理部門(mén)設(shè)立信息安全管理和技術(shù)崗位，包括信息安全、應(yīng)用系統(tǒng)、數(shù)據(jù)庫(kù)、操作系統(tǒng)、網(wǎng)絡(luò)負(fù)責(zé)人和管理員，重要崗位可設(shè)置兩個(gè)員工互為備份。

第十三條

信息安全崗位的設(shè)立應(yīng)遵循職責(zé)分離的要求，包括：制度監(jiān)督者與執(zhí)行者分離，信息系統(tǒng)授權(quán)者與操作者分離，應(yīng)用系統(tǒng)管理員與數(shù)據(jù)庫(kù)管理員分離，程序開(kāi)發(fā)人員不應(yīng)具備對(duì)生產(chǎn)環(huán)境的訪(fǎng)問(wèn)權(quán)限。

第十四條

公司員工必須嚴(yán)格遵守公司信息安全政策、管理制度、技術(shù)標(biāo)準(zhǔn)和信息系統(tǒng)控制要求，承擔(dān)相關(guān)安全義務(wù)和責(zé)任，并及時(shí)報(bào)告信息安全事件。

第三章 信息安全目標(biāo)與工作原則

第十五條

信息安全工作的總體目標(biāo)是：實(shí)施信息系統(tǒng)安全等級(jí)保護(hù)，建立和健全先進(jìn)實(shí)用、完整可靠的信息安全體系，保證系統(tǒng)和信息的完整性、真實(shí)性、可用性、保密性和可控性，保障信息化建設(shè)和應(yīng)用，支撐公司業(yè)務(wù)持續(xù)、穩(wěn)定、健康發(fā)展。

第十六條

信息安全體系建設(shè)必須堅(jiān)持以下原則： 堅(jiān)持統(tǒng)一。信息安全體系必須統(tǒng)一規(guī)劃、統(tǒng)一標(biāo)準(zhǔn)、統(tǒng)一設(shè)計(jì)、統(tǒng)一投資、統(tǒng)一建設(shè)、統(tǒng)一管理。

保障應(yīng)用。保障網(wǎng)絡(luò)和信息系統(tǒng)，特別是全局網(wǎng)絡(luò)和重要業(yè)務(wù)信息系統(tǒng)不間斷穩(wěn)定運(yùn)行及其信息的安全，實(shí)現(xiàn)以應(yīng)用促安全，以安全保應(yīng)用。

符合法規(guī)。信息安全體系要滿(mǎn)足法律法規(guī)要求，包括國(guó)家對(duì)信息系統(tǒng)等級(jí)保護(hù)、企業(yè)內(nèi)部控制要求，積極采用法律法規(guī)允許的、成熟的先進(jìn)技術(shù)和專(zhuān)業(yè)安全服務(wù)。

綜合防范。管理與技術(shù)并重，相互補(bǔ)充。從組織與流程、制度與人員、場(chǎng)地與環(huán)境、網(wǎng)絡(luò)與系統(tǒng)、數(shù)據(jù)與應(yīng)用等多方面著手，在系統(tǒng)設(shè)計(jì)、建設(shè)和運(yùn)維的多環(huán)節(jié)進(jìn)行綜合防范。

集中共享。建立集中、統(tǒng)一的信息安全技術(shù)服務(wù)平臺(tái)和

集中專(zhuān)業(yè)化的信息安全隊(duì)伍。

第四章 信息安全工作基本要求

第十七條

根據(jù)公司信息安全專(zhuān)項(xiàng)規(guī)劃和總體方案，分層次建立以安全組織體系為核心、安全管理體系為保障、安全技術(shù)體系為支撐的全面信息安全體系，并保持三個(gè)體系穩(wěn)定、均衡發(fā)展。

第十八條

建立全面的信息安全管理體系：

制定并實(shí)施統(tǒng)一的信息安全策略、管理制度和技術(shù)標(biāo)準(zhǔn)。

實(shí)行信息系統(tǒng)資產(chǎn)管理責(zé)任制，保護(hù)信息系統(tǒng)，特別是核心信息系統(tǒng)的設(shè)備、軟件、數(shù)據(jù)和技術(shù)文檔的安全。

建立信息系統(tǒng)物理環(huán)境、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、數(shù)據(jù)等各層面的安全管理流程，實(shí)現(xiàn)對(duì)信息系統(tǒng)全生命周期的安全管理。

實(shí)現(xiàn)對(duì)信息系統(tǒng)的安全風(fēng)險(xiǎn)管理，及時(shí)發(fā)現(xiàn)和防范安全隱患。

第十九條

建立有效的信息安全技術(shù)體系：

強(qiáng)化網(wǎng)絡(luò)、桌面和應(yīng)用系統(tǒng)安全防護(hù)體系，按照自主定級(jí)、自主保護(hù)的原則，評(píng)估確定各信息系統(tǒng)保護(hù)等級(jí)并實(shí)施

相應(yīng)的保護(hù)措施。

建立統(tǒng)一的網(wǎng)絡(luò)安全信任體系，加強(qiáng)網(wǎng)絡(luò)實(shí)體身份管理與認(rèn)證，為網(wǎng)絡(luò)和信息系統(tǒng)安全運(yùn)行提供信任基礎(chǔ)。

建立完善有效的安全監(jiān)控和預(yù)警體系，監(jiān)控重要網(wǎng)絡(luò)和核心業(yè)務(wù)系統(tǒng)，及時(shí)發(fā)現(xiàn)安全隱患。

建立全面有效的應(yīng)急響應(yīng)體系，制定并落實(shí)完整、規(guī)范的應(yīng)急處理和響應(yīng)流程，完善信息安全報(bào)告、處理機(jī)制。

建立包括同城和異地容災(zāi)備份中心的信息系統(tǒng)災(zāi)難恢復(fù)體系，定期進(jìn)行災(zāi)難恢復(fù)的測(cè)試和演練，確保災(zāi)難發(fā)生后能夠充分發(fā)揮備份的效能，降低造成的影響和損失。

第五章 信息安全監(jiān)控

第二十條

信息安全監(jiān)控的目的是對(duì)威脅系統(tǒng)、數(shù)據(jù)庫(kù)及網(wǎng)絡(luò)安全的因素進(jìn)行有效控制，防止由于技術(shù)或人為因素導(dǎo)致的異常和損失，同時(shí)為其他安全措施的設(shè)計(jì)和實(shí)施提供可靠依據(jù)。安全監(jiān)控的結(jié)果要保存一年以上。

第二十一條

信息系統(tǒng)的運(yùn)行和維護(hù)單位，在國(guó)家法律和公司有關(guān)規(guī)定許可的范圍內(nèi)，具體進(jìn)行規(guī)范、合理、有效的信息安全監(jiān)控。使用公司網(wǎng)絡(luò)及應(yīng)用系統(tǒng)的用戶(hù)有義務(wù)接受

必要的監(jiān)控。監(jiān)控不能影響、泄漏不涉及安全問(wèn)題的網(wǎng)上行為和個(gè)人隱私的內(nèi)容。

第二十二條

各級(jí)信息部門(mén)負(fù)責(zé)制定和實(shí)施信息安全監(jiān)控計(jì)劃，包括日常監(jiān)控、應(yīng)急處理和定期匯報(bào)。

第二十三條

日常監(jiān)控分為實(shí)時(shí)監(jiān)控和定期檢查，包括應(yīng)用系統(tǒng)、數(shù)據(jù)庫(kù)、操作系統(tǒng)、網(wǎng)絡(luò)、物理環(huán)境以及外部人員對(duì)信息系統(tǒng)訪(fǎng)問(wèn)的實(shí)時(shí)監(jiān)控與定期檢查。監(jiān)控及檢查結(jié)果要存檔備查，異常情況須及時(shí)向有關(guān)負(fù)責(zé)人匯報(bào)。

第二十四條

各級(jí)信息部門(mén)應(yīng)對(duì)網(wǎng)絡(luò)及重要信息系統(tǒng)制定詳細(xì)的應(yīng)急處理預(yù)案。應(yīng)急處理按照預(yù)案進(jìn)行，并至少每年組織一次相關(guān)崗位人員進(jìn)行應(yīng)急預(yù)案演練。

第二十五條

各級(jí)信息部門(mén)編制、上報(bào)信息安全月報(bào)和年報(bào)，及時(shí)向主管領(lǐng)導(dǎo)和上級(jí)部門(mén)匯報(bào)重大信息安全風(fēng)險(xiǎn)和事件。

第六章 信息安全風(fēng)險(xiǎn)評(píng)估

第二十六條

信息管理部負(fù)責(zé)組織建立風(fēng)險(xiǎn)評(píng)估規(guī)范及實(shí)施團(tuán)隊(duì)，定期或在重大、特殊事件發(fā)生時(shí)進(jìn)行風(fēng)險(xiǎn)評(píng)估。

第二十七條

風(fēng)險(xiǎn)評(píng)估包括范圍確定、風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)分析和控制措施，確保信息安全，滿(mǎn)足應(yīng)用和業(yè)務(wù)需要。

評(píng)估范圍可包括管理組織、流程、政策與標(biāo)準(zhǔn)、應(yīng)用系統(tǒng)、數(shù)據(jù)庫(kù)、操作系統(tǒng)、網(wǎng)絡(luò)、物理環(huán)境，應(yīng)涵蓋公司內(nèi)部關(guān)鍵控制點(diǎn)。

風(fēng)險(xiǎn)識(shí)別包括識(shí)別風(fēng)險(xiǎn)類(lèi)型和風(fēng)險(xiǎn)事件，形成風(fēng)險(xiǎn)列表，更新信息風(fēng)險(xiǎn)數(shù)據(jù)庫(kù)。

風(fēng)險(xiǎn)分析包括信息資產(chǎn)分類(lèi)、風(fēng)險(xiǎn)發(fā)生概率和影響程度分析，并確定風(fēng)險(xiǎn)等級(jí)，形成風(fēng)險(xiǎn)評(píng)估報(bào)告。

控制措施包括安全管理策略和風(fēng)險(xiǎn)控制措施，形成風(fēng)險(xiǎn)控制報(bào)告。

第二十八條

信息管理部將風(fēng)險(xiǎn)評(píng)估和控制報(bào)告上報(bào)信息主管領(lǐng)導(dǎo)審批。根據(jù)領(lǐng)導(dǎo)審批意見(jiàn)，落實(shí)控制措施。

第七章 信息安全培訓(xùn)

第二十九條

信息管理部負(fù)責(zé)制定公司信息安全培訓(xùn)計(jì)劃，組織、實(shí)施信息安全管理和技術(shù)培訓(xùn)。各級(jí)信息部門(mén)負(fù)責(zé)相應(yīng)層級(jí)的信息安全培訓(xùn)，培訓(xùn)計(jì)劃報(bào)信息管理部備案。

第三十條

信息管理部及各企事業(yè)單位信息部門(mén)對(duì)應(yīng)用系統(tǒng)、數(shù)據(jù)庫(kù)、操作系統(tǒng)和網(wǎng)絡(luò)管理員、開(kāi)發(fā)人員進(jìn)行信息安全技術(shù)培訓(xùn)，提高信息安全管理和維護(hù)水平。

第三十一條

信息管理部及各企事業(yè)單位信息部門(mén)分層次、分類(lèi)型對(duì)員工進(jìn)行信息安全培訓(xùn)，包括針對(duì)業(yè)務(wù)和技術(shù)管理人員進(jìn)行管理層面的信息安全管理培訓(xùn)，針對(duì)從事日常業(yè)務(wù)處理人員進(jìn)行操作層面基本安全知識(shí)培訓(xùn)。

第三十二條

員工上崗前，應(yīng)進(jìn)行崗位信息安全培訓(xùn)，并簽署信息安全保密協(xié)議。在崗位發(fā)生變動(dòng)時(shí)，及時(shí)調(diào)整信息系統(tǒng)操作權(quán)限。

第三十三條

信息安全政策與標(biāo)準(zhǔn)發(fā)生重大調(diào)整、新建和升級(jí)的信息系統(tǒng)投入使用前，開(kāi)展必要的安全培訓(xùn)，明確相關(guān)調(diào)整和變更所帶來(lái)的信息安全權(quán)限和責(zé)任的變化。

第八章 信息安全檢查與考核

第三十四條

信息管理部定期進(jìn)行信息安全檢查與考核，包括信息安全政策與標(biāo)準(zhǔn)的培訓(xùn)與執(zhí)行情況、重大信息安全事件及整改措施落實(shí)情況、現(xiàn)有信息安全措施的有效性、信息安全技術(shù)指標(biāo)完成情況。

第三十五條

各企事業(yè)單位信息部門(mén)按照本辦法和《公司信息系統(tǒng)運(yùn)行維護(hù)管理辦法》進(jìn)行信息安全自我考核，信息管理部進(jìn)行綜合評(píng)價(jià)，形成考核報(bào)告，報(bào)信息主管領(lǐng)導(dǎo)。

第三十六條

對(duì)于不執(zhí)行本辦法造成嚴(yán)重后果的，應(yīng)追究相關(guān)部門(mén)和個(gè)人責(zé)任。

第九章 附則

第三十七條

各企事業(yè)單位可參照本管理辦法制定相應(yīng)的實(shí)施細(xì)則。

第三十八條 第三十九條

本辦法由公司信息管理部負(fù)責(zé)解釋。本辦法自印發(fā)之日起施行。