1目的
为加强公司内部信息安全保障体系建设、提升公司内部针对数据信息风险识别、评估和预防能力,从而达到规避信息安全问题给公司带来经济损失和经营风险。
2适用范围
本制度适应公司信息安全管理(网络、软件系统、网络设备、机房等)。
3名词解释
3.1信息:是指音讯、消息、通讯系统传输和处理的对象,泛指公司运营过程中所产生具备可再利用
价值数据载体。按照数据来源方式,可将公司信息大致分为:技术信息、商务信息、财务信息、生产设备信息。
3.2信息安全:是指保护信息及信息系统免受未经授权的进入、使用、披露、破坏、修改、检视、记录
及销毁。
4功能权责
4.1 IT部:负责整个公司网络信息安全统筹管理、研发服务器上的应该用管理、维护、数据备份和定
期巡检,研发内部信息安全的审查。以及负责本制度制订、解释和执行情况监督。
4.2研发部:负责对PDM、PLM、以及开发专用软件及工具的使用管理,必要生产资料的发放,且负
责本制度内部宣导、执行和监督。
4.3 公司各部门:负责对个人办公涉及硬件、软件、网络等相关资源管理,且负责本制度内部宣导、
执行和监督。
5制度说明
5.1计算机设备安全管理
5.1.1严禁使用个人计算机接入公司网络或进行办公用途。若因工作需要必须使用个人电脑的,
必须提交《USB存储、个人邮箱/计算机权限申请单》申请,经公司总经理批准后由IT部
携带卡方可带入公司使用,并且进出公司大门时需要在保安处登记。如有违反,对违规电
脑一律进行全盘格式化处理,并全公司范围通报批评。如对公司造成损失的,视情节严重
情况,予以追究相应责任。
5.1.2禁止对办公计算机进行一切未授权的外部访问,包括光盘引导、U盘引导、硬盘引导等非
法访问方式。
5.1.3因公出差人员,如需外带笔记本电脑,应提前申请,并说明出差事由、时间等信息,由IT
部统一配置,并对所存储资料进行加密处理。出差结束后应及时归还借用笔记本电脑,并
由IT部对使用情况进行安全审计,如有异常及时上报。
5.1.4公司所有员工应保持清洁、安全、良好的计算机设备工作环境,禁止在计算机应用环境中
放置易燃、易爆、腐蚀、强磁性等有害计算机设备安全的物品。
5.1.5严格遵守计算机设备使用、开机、关机等安全操作规程和正确的使用方法。
5.1.6发现由以下等个人原因造成硬件的损坏或丢失的,其损失由当事人如数赔偿:违章作业;
保管不当;擅自安装、使用硬件和电气装置。公司每位员工对自己的工作电脑既有使用的
权利又有保护的义务。任何的硬件损坏必须给出损坏报告,说明损坏原因,不得擅自更换。
公司会视实际情况进行处理。
5.1.7下班后所有不再使用的计算机,应关闭主机电源,对于共同使用的计算机,原则上由最后
一个退出系统的使用人员关机,并关闭电源。
5.1.8外请人员对计算机进行维修时,必须由IT部人员全程陪同。
5.1.9员工原则上只能使用本部门分配的计算机,非必要时,不能将设备交由他人操作;非经当
事人同意,不得擅自在他人的计算机上进行任何操作;
5.1.10员工不能私自安装电脑系统,若需要安装系统,必须联系IT部,由IT工程师评估之后,
安排时间安装。对因私自安装影响正常使用,数据丢失等损失,由员工自己承担,并视损
失程度进行处罚。
5.1.11员工不能私自拆装电脑,若发现有电脑配件被更换或减少,将对设备保管人进行处罚。
5.1.12因员工在电脑上接入产品,设备,导致电脑主板、电源、USB接口等烧坏,后果由员工
自行承担,对损失进行赔偿(因工作原因除外)。
5.1.13公司的电脑显示器、主机、打印机、笔记本、投影仪等IT资产,有贴好唯一编号的标签,
员工不可以私自撕毁,覆盖,兑换标签,若发现标签不见,损毁,与实物不符,则对资产
保管人和使用人进行处罚。
5.1.14严禁非法断电关机,严禁IT设备接触水、金属丝等导电异物
5.1.15研发部门使用的电脑应安装信息安全防护软件,对公司重要的文档和数据进行保护
(IP_guad)
5.1.16接入研发网络的笔记本电脑应安装信息安全保护软件。
5.1.17研发部门的同事应当遵守公司的保密协议,未经授权不能将会司涉密文件通过移动存储
或网络等任保途径带出公司,一旦发现将移交公安机关处理。
5.2资料安全管理
5.2.1所有公司员工严禁以个人存储介质,如光盘、U盘、移动硬盘等存储设备拷贝公司文件资
料。
5.2.2内部文件交换,必须使用已登记的公司U盘、移动硬盘等存储介质,在IT部指定的办公计
算机上进行操作。
5.2.3外部输入文件,可使用个人存储设备,但必须在IT部指定的办公计算机上进行操作。5.2.4未经授权,任何人不得通过非法途径复制公司办公电脑信息资料。若实际工作需要,必须
依照《IT服务管理规定》申请审批后,方可开通。
5.2.5所有公司员工不得私自将公司文件打印带出公司,一经发现,严肃处理。若在上班时间,
打印工作文件时,需要将打印文件马上取走,或通知本部门人员代为领取打印文件。针对未及时取走打印文件行为,一经发现,将对本人警告,若因打印后,文件丢失,造成信息资料外泄,则由本人承担相关责任。
5.2.6部门重要文件资料需存放在个人抽屉柜中,并检查确保办公桌上没有存放重要文件或其他
有可能泄露本部门工作内容的信息源,若因资料没有存放好,被他人取走,造成的后果将由本人承担。
5.2.7公司所有员工必须在使用的计算机中设置开机密码和屏幕保护密码,为了保护公司财产、
以及员工办公机密信息,设置密码时,应注意:密码至少有8字符长度,密码必须包含以下任一部分:字母A-Z或者a-z,数字0-9,以及特殊符号(例如:$@#^!_等),每三个月必须更新一次密码。
5.2.8公司所有人员工拥有一个公司内部计算机登录账号。新员工申请账号时需要向网络管理员
提供姓名、部门、职位等信息,网络工程师将在一天内将账户信息通知其本人。公司所有用户在分配到工作电脑时,应首先更改自己的电脑登录密码。
5.2.9服务器、网络设备、固定电话、WIFI、以及门禁和考勤设备的账号和密码,根据实际工作
职责,以及业务需求,依照《IT服务管理规定》相关管理规定提交相关申请,经批准后,由管理员统一配发,同时管理员也会进行周期性更新,使用者不得私自修改、或者意图采用其它方式进行篡改账号和密码信息,一经发现严肃处理。
5.2.10公司内部使用的业务系统(OA、ERP、企业邮箱、考勤软件等),依据入职员工岗位职
责、工作范围等相关信息,统一分配系统账号和密码,初始账号和密码统一由系统管理员设置,后续员工必须重新设置,且必须妥善管理。严防密码和账号被窃取而导致泄密。
5.2.11公司员工调离岗位时,管理员及时注销、收回员工现有账号和密码,以避免信息账号和
密码信息泄露导致信息安全风险。
5.2.12外来磁盘、对外报送的磁盘以及从外界录入信息的磁盘,一律进行病毒检测,在确保没
有病毒时方可进入本公司计算机读取信息。外来的信息光盘,非经允许,不准在公司的计算机读取信息,以防止病毒入侵。
5.2.13严禁员工私自将与工作无关文件信息以光盘、活动硬盘、局域网及其它任何形式拷贝至
公司计算机硬盘及在公司局域网上传播。
5.2.14业务数据必须定期、完整、真实、准确地转储到不可更改的介质上,并要求集中和异地
保存,保存期限至少2个月,具体依据数据的重要性和追溯要求确定保存期限。
5.2.15严禁利用,具备拍照、摄影、录像功等影像记忆功能的个人电子设备,在公司办公区内
开展拍照、摄影、录像等活动。
5.2.16与工作相关的重要文件及数据保存两份以上的备份,并上传到PLM系统;研发过程中
的程序源代码数据应实时上传到SVN 文件服务器,所有研发人员需严格遵守《研发管理
制度》。
5.3软件安全管理
5.3.1公司ERP管理系统应建立严格的安全防护策略,禁止通过外部互联网访问公司软件系统。
如因业务性质要求,需开放系统外网访问功能,IT部应提前规划完善的安全访问策略,并
提报外部访问人员名单,经公司审批后执行,记录备案。
5.3.2公司所有服务器、以及个人办公电脑都必须安装由IT部指定杀毒软件、且必须设置好自动
调度更新和病毒库升级、每日定时杀毒。不得擅自卸载杀毒软件,IT部会不定期进行抽查,
且将抽查结果详细记录到《杀毒软件安装情况分析表》。
5.3.3系统中心各部门应定期查毒,(周期15天)管理员应及时升级病毒库,并提示各部门对杀
毒软件进行在线升级。
5.3.4公司配备具有IPS和IDS能力的网络设备(例如:防火墙、路由器、网络行为监控设备等),
操作系统等,对于公司的网络资源、应用软件、用户行为等进行24小时监控。可以有效避
免各种外来攻击。
5.3.5公司所有员工都必须基于域控服务器安全认证机制,访问公司文件服务器、共享文档、以
及其他资源,员工不得擅自摆脱域控,违者按照罚则进行处分。
5.3.6在个人办公电脑上安装和使用各种应用软件之前,必须经由杀毒软件对安装源进行全文扫
描,确认无任何病毒之后,方可安装。
5.3.7所有软件安装源、或光碟交由IT部统一保管,且必须保管在防水、防磁、防火、防盗之处。
5.3.8任何部门和个人严禁在局域网上使用来历不明、可能引发病毒传染的软件。对于可能引起
计算机病毒的软件,应使用杀毒软件检查、杀毒。
5.4网络安全管理
5.4.1未经公司IT部确认,任何人不得私自改变公司网络拓扑结构、网络设备布置、服务器、路
由器、交换机配置和网络参数。
5.4.2严禁在公司办公环境私自架设无线网络,影响正常办公秩序;
5.4.3任何员工不得随意改变网络接入位置、也不得随意修改办公电脑接入IP、网卡地址。
5.4.4任何员工不得对公司内部网络进行恶意侦听和信息截获、发送干扰正常网络通信的数据,
或利用各种系统漏洞扫描工具、扫描公司内网中其它办公电脑漏洞和利用漏洞发起网络攻
击。
5.4.5非涉外工作需要,禁止办公计算机接入互联网,使用QQ、Skype、MSN等即时联络通讯
软件,以免造成内部资料外泄。若实际工作需要,必须依照《IT服务管理规定》申请审批
后,方可开通。
5.4.6任何员工不得利用公司互联网资源访问和传播色情、邪教、谣言等不利于公司的负面信息。
5.4.7任何员工不得在公司的局域网上制造传播任何计算机病毒,不得故意引入病毒。网络使用
者发现病毒应立即向IT部反馈。IT部接到举报后,应及时指导和协助处理病毒。
5.4.8任何单位及个人,不得利用联网计算机从事危害公司局域网的活动。
5.4.9任何外来协作单位以及个人、进入公司使用网络资源之前,接待部门必须严格按照《外来
人员网络、设备资源使用登记表》登记后,IT部工程师才开放相关资源。默认情况外来协
作工作单位及个人仅限于外网资源使用,禁止访问公司内网上的任何资源。但外来协作单
位及个人,在工作开展过程中确实需要使用公司内网资源,接待部门相关负责必须参照《IT
服务管理规定》相关规定进行申请。
5.5机房安全管理
5.5.1严禁在网络服务器上安装一切与工作无关的软件。严禁在网络上运行或传播一切法律法规
禁止、有损国公司形象以及涉及公司秘密、危害公司信息安全的软件或图文信息。
5.5.2IT部做好机房设备的日常维护工作,严禁在机房内吸烟,不准在机房堆放杂物和垃圾,保
持机房室内整洁。离开时,必须关闭不用的设备及电源,锁好机房门窗。
5.5.3无关人员未经IT部经理或网络工程师批准,不得自私进入机房重地,更不得试图通过技术
手段窃取机房重要机密。
5.5.4进入机房的外来人员及携带的物品,均须接受检查登记,详尽、如实地填写《外来人员出
入机房登记表》上的相关内容,详细要求请参照《机房管理规定》执行,IT部工程师负责
登记,确认无误后,方可由IT部工程师陪同进入。
5.5.5所有进入机房工作人员,未经IT部经理、网络工程师允许,不得私自访问机房任何服务器、
网络设备、以及信息系统中的业务数据信息,更不得擅自对机房设备、布局、以及结构拍
摄。
5.5.6严格遵守账号、口令管理,根据访问数据级别使用相应权限的口令进入系统;不得窃取、
破译他人权限密码。
5.5.7机房内不能存放任何食品,严禁在机房内存放杂物,严禁在机房内使用其他用电器。
5.5.8所有进入机房工作的人员应严格遵守《机房管理规定》,保持机房卫生、整洁,不能乱动与
自己工作无关的设备,严禁在机房大声喧哗、玩电子游戏、聊天等。
5.5.9IT部确保服务器室内服务器、网络交换机等设备、设施的工作正常。并按照《机房管理规
定》相关要求,将日常服务器巡检结果记录到《服务器系统健康检查记录表》
5.5.10服务器系统的防黑、防毒、数据恢复等安全防护工作由IT部统筹负责。
5.6信息安全事件应急处理机制
5.6.1IT部根据软件系统、硬件设备、以及网络系统具体操作指引制定应急事件处理预案。
5.6.2由IT部牵头,各中心部门相互配合,成立应急事件处理小组,遏制事件持续恶化。
5.6.3事件发生部门,应在事件发生前1小时内,提报给IT部经理调查处理并及时向上级汇报。
5.6.4IT部依据《信息安全检查表》对网络违规案件及其他网络安全检查时,公司各部相关人员
必须积极配合和整改。
5.7日常操作规范
5.7.1公司员工应对自己的办公电脑中文件、图片等资料信息具有保密意识,当离座之际,须将
个人办公电脑锁定、且启用屏保,防止其他人窃取机密信息。
5.7.2公司员工应该养成定期清理办公电脑中垃圾和定期杀毒的良好习惯。
5.7.3办公电脑应放置于通风干燥的地方,防止灰尘进入机箱,注意日常保养清洁
5.8违规处罚(次数统计周期为每半年)
5.8.1对违反计算机设备安全管理相关管理条例者,第一次(未造成后果的)予以部门通报批评
教育处分;第二次(或者造成后果了),予以全公司通报批评并计小过一次,并视情节严重
性扣绩效3-8分处分,并赔偿损失。部门直接领导扣绩效5-8分;针对屡教不改(三次以
上),视情节严重性扣绩效10-15分处分、予以计大过处分并赔偿损失,部门直接领导扣
绩效10-15分;针对产生恶劣影响者或者造成重要数据泄露的,予以开除处分,且赔偿公
司一切经济损失,构成犯罪的,则移交公安机关处理,部门直接领导扣15分,间接领导扣
10分,IT部负责人扣5分。
5.8.2违反资料安全管理、网络安全管理、软件安全管理、机房安全管理,处罚如下:
1)造成本人及别人无法正常开展工作4H以上,但不影响本部门业务工作、以及整个公司业务
工作开展,同时不影响本部门、以及整个公司网络系统、软件系统的正常运转,予以书面警
告处分,并扣绩效3分处分;第二次予以小过处分一次,并扣绩效5分处分,部门直接领导扣
绩效3分;第三次予以大过处分一次,并扣绩效10分处分,部门直接领导扣绩效5分;针对
三次以上(屡教不改),予以开除处分,部门直接领导扣10分
2)造成本部门网络系统、软件系统等短暂性瘫痪,但未造成数据信息丢失、泄露者,予以记小
过、并扣绩效5分,部门直接领导扣绩效3分。第二次予以小过处分一次,且扣绩效8分处
分,部门直接领导扣绩效5分;第三次予以大过处分一次,且扣绩效10分处分,部门直接领导
扣绩效5分;针对三次以上(屡教不改),予以开除处分,部门直接领导扣10分
3)导致公司整体网络系统、软件系统短暂性(2H以下)瘫痪,且认错积极、及时主动向IT提
报违规操作错误源头,并没有造成数据信息丢失,也没有给公司带来直接经济损失者,予以
记大过、并扣绩效15分,部门直接领导扣绩效10分。
4)导致公司网络系统、软件系统长期(2H以上)处于瘫痪状态者;造成公司重要数据信息丢
失、泄露者;迫使公司短暂性大面积停工者,给公司带来巨大经济损失者。予以开除处分,
且赔偿公司一切经济损失,构成犯罪的,则移交公安机关处理。部门直接领导扣15分,间
接领导扣10分,IT部负责人扣5分。
6执行表单
6.1派生表单
6.1.1《杀毒软件安装情况分析表》表单编码:
6.1.2《USB存储、私人邮箱-计算机权限申请单》表单编码:
6.2引用表单
6.2.1《外来人员出入机房登记表》表单编码:
6.2.2《服务器系统健康检查记录表》表单编码:
7参考文件
7.1《IT服务管理规定》文件编码:
7.2《机房管理规定》文件编码:
8附件
无
9说明
9.1本制度经公司办领导批准后施行。
9.2本制度解释权归IT部,本制度由综合管理部及公司办监督执行。
9.3本制度的修订、废止由IT部提出,修订权、废止权归公司。
信息安全管理规定 1目的 在遵循集团《计算机信息安全管理制度》原则基础上,为确保公司网络平台、信息系统的正常运行及信息系统中的信息数据安全,防止泄密,针对公司实际情况,制定本管理规定。 2范围 本办法适用于公司全体员工。 3术语定义 3.1 计算机信息:是指存储在计算机相关设备上的应用系统(软件)、数据、文档、图纸等含有一定意义的计算机信息资料。 3.2 内部网络:是指园区网络及通过专线与园区互联的其他园区、驻外机构网络(以下简称内网)。 3.3 外部网络:是指互联网或除互联网和公司内网之外的第三方专网(以下简称外网)。 3.4 VPN:虚拟专用网络(Virtual Private Network,简称VPN),是指在公共网络上建立专用网络的技术,属于远程访问技术,就是利用公网链路架设的虚拟私有网络。 4职责 4.1信息化管理部门:公司信息化管理部门,负责计算机信息安全日常工作,事业部接入级网络交换设备的管理工作,及时向总部信息化管理部门、督察部门报告重大计算机信息安全隐患和计算机信息安全事件。 4.2 计算机用户:负责本人领用的办公计算机的日常保养、正常操作及安全管理,负责所接触计算机信息的保密性、可用性和完整性;及时向信息化管理部门报告计算机信息安全隐患和计算机信息安全事件。涉密信息的起草人必须按公司《保密制度》相关规定提出信息密级的定级申请。 5内容与要求 5.1 账号和密码安全管理 5.1.1 信息系统用户账号须严格按照业务信息系统要求进行设置,原则上不得设置成共用账号,以确保使用人与账号的唯一性。 5.1.2 员工申请信息系统账号权限时,所在部门的负责人应严格审核,控制授予满足其工作需要的最小权限;员工岗位或工作内容发生变化后应及时提出申请权限变更,应用系统管理员应及时变更异动员工的权限,冻结离职员工的账号。 5.1.3计算机用户应妥善保管好自己的系统账号密码或身份认证设备,如发现遗失或被盗,应立即向信息化管理部门报告,信息化管理部门应及时处理,确保账号使用的合法性。
信息安全管理制度 一、总则 为了加强公司内所有信息安全的管理,让大家充分运用计算机来提高工作效率, 特制定本制度。 二、计算机管理要求 1.IT管理员负责公司内所有计算机的管理,各部门应将计算机负责人名单报给 IT管理员,IT管理员(填写《计算机IP地址分配表》)进行备案管理。如有变更,应在变更计算机负责人一周内向IT管理员申请备案。 2.公司内所有的计算机应由各部门指定专人使用,每台计算机的使用人员均定为计算机的负责人,如果其他人要求上机(不包括IT管理员),应取得计算机负责人的同意,严禁让外来人员使用工作计算机,出现问题所带来的一切责任应由 计算机负责人承担。 3.计算机设备未经IT管理员批准同意,任何人不得随意拆卸更换;如果计算机出现故障,计算机负责人应及时向IT管理员报告,IT管理员查明故障原因,提出整改措施,如属个人原因,对计算机负责人做出处罚。 4.日常保养内容: A.计算机表面保持清洁 B.应经常对计算机硬盘进行整理,保持硬盘整洁性、完整性; C.下班不用时,应关闭主机电源。 5.计算机IP地址和密码由IT管理员指定发给各部门,不能擅自更换。计算机系统专用资料(软件盘、系统盘、驱动盘)应由专人进行保管,不得随意带出公司 或个人存放。 6.禁止将公司配发的计算机非工作原因私自带走或转借给他人,造成丢失或损坏的 要做相应赔偿,禁止计算机使用人员对硬盘格式化操作。
7.计算机的内部调用: A. IT管理员根据需要负责计算机在公司内的调用,并按要求组织计算机的迁移 或调换。 B. 计算机在公司内调用,IT管理员应做好调用记录,《调用记录单》经副总经理 签字认可后交IT管理员存档。 8.计算机报废: A. 计算机报废,由使用部门提出,IT管理员根据计算机的使用、升级情况,组 织鉴定,同意报废处理的,报部门经理批准后按《固定资产管理规定》到财 务部办理报废手续。 B. 报废的计算机残件由IT管理员回收,组织人员一次性处理。 C. 计算机报废的条件:1)主要部件严重损坏,无升级和维修价值;2)修理或 改装费用超过或接近同等效能价值的设备。 三、环境管理 1.计算机的使用环境应做到防尘、防潮、防干扰及安全接地。 2.应尽量保持计算机周围环境的整洁,不要将影响使用或清洁的用品放在计算机 周围。 3.服务器机房内应做到干净、整洁、物品摆放整齐;非主管维护人员不得擅自进 入。 四、软件管理和防护 1.职责: A. IT管理员负责软件的开发购买保管、安装、维护、删除及管理。 B. 计算机负责人负责软件的使用及日常维护。 2.使用管理: A. 计算机系统软件:要求IT管理员统一配装正版Windows专业版,办公常用办
信息工作管理制度 第一章总则 第一条为了加强信息管理,规范信息安全操作行为,提高信息安全保障能力和水平,维护信息安全,促进信息化建设,根据《中华人民共和国计算机信息系统安全保护条例》等规定,以《环境信息网络管理维护规范》(环保部制定)等标准为基本管理操作准则,制订本管理制度。 第二条本制度适用范围为信息与监控中心,其他单位可参照执行。 第二章岗位管理 第三条业务信息工作人员(包括监控与信息中心技术人员及机关业务系统管理人员)、机房运维人员(包括外包机构人员),应遵循《环境信息网络管理维护规范》等规定。 第四条机房运维人员根据运维合同规定由机房管理部门对其实行管理。 第五条信息工作人员岗位设置为系统管理员、业务管理员、网络管理员、安全管理员、安全审计员。 人员岗位及职责 (一)系统管理员 系统管理员是从事服务器及存储设备运行管理的人
员,业务上应具备熟练掌握操作系统、熟练操作服务器和存储设备的能力。 1、负责指定的服务器、存储等设备的资料登记、软件保管及设备报修。 2、配合完成指定的业务软件运行环境的建立,正式运行后的服务器系统软硬件操作的监管,执行中心的备份策略。 3、在所负责的的服务器、存储设备发生硬件故障时,及时组织有关人员恢复系统的运行,针对系统事故找到系统事故原因。 4、负责指定的服务器操作系统的管理口令修改。 5、负责制定、执行服务器及存储设备故障应急预案。 (二)业务管理员(业务联系人) 业务管理员是部署在应用服务器上的操作系统及业务系统运行管理的人员,业务上应具备业务系统安装及基本调试操作的能力(业务软件厂家负责培训),业务系统及部署操作系统故障分析的能力,预防系统风险的能力。 1、负责维护业务系统的运行及业务系统的安装环境。 2、负责制定、执行业务系统及其数据的备份计划。 3、负责业务数据的数据备份及数据恢复。 4、负责制定执行本业务系统的故障应急预案。 (三)网络管理员
XX公司信息安全管理制度(试行) 第一章 第二章 第三章总则 第一条为保证信息系统安全可靠稳定运行,降低或阻止人为或自然因素从物理层面对公司信息系统的保密性、完整性、可用性带来的安全威胁,结合公司实际,特制定本制度。 第二条本制度适用于XX公司以及所属单位的信息系统安全管理。 第四章职责 第三条相关部门、单位职责: 一、信息中心 (一)负责组织和协调XX公司的信息系统安全管理工作; (二)负责建立XX公司信息系统网络成员单位间的网络访问规则;对公司本部信息系统网络终端的网络准入进行管理; (三)负责对XX公司统一的两个互联网出口进行管理,配置防火墙等信息安全设备;会同保密处对公司本部互联网上网行为进行管理; (四)对XX公司统一建设的信息系统制定专项运维管理办法,明确信息系统安全管理要求,界定两级单位信息安全管理责任; (五)负责XX公司网络边界、网络拓扑等全局性的信息安全管理。 二、人力资源部
(一)负责人力资源安全相关管理工作。 (二)负责将信息安全策略培训纳入年度职工培训计划,并组织实施。 三、各部门 (一)负责本部门信息安全管理工作。 (二)配合和协助业务主管部门完善相关制度建设,落实日常管理工作。 四、所属各单位 (一)负责组织和协调本单位信息安全管理工作。 (二)对本单位建设的信息系统制定专项运维管理办法,明确信息系统安全管理要求,报XX公司信息中心备案。 第五章信息安全策略的基本要求 第四条信息系统安全管理应遵循以下八个原则: 一、主要领导人负责原则; 二、规范定级原则; 三、依法行政原则; 四、以人为本原则; 五、注重效费比原则; 六、全面防范、突出重点原则; 七、系统、动态原则; 八、特殊安全管理原则。 第五条公司保密委应根据业务需求和相关法律法规,组织制定公司信息安全策略,经主管领导审批发布后,对员工及相关方进行传达和培训。 第六条制定信息安全策略时应充分考虑信息系统安全策略的“七定”要求,即定方案、定岗、定位、定员、定目标、定制度、定工作流程。 第七条信息安全策略主要包括以下内容: 一、信息网络与信息系统必须在建设过程中进行安全风险评估,并根据评估结果制定安全策略; 二、对已投入运行且已建立安全体系的系统定期进行漏洞
信息安全管理制度 为加强公司各信息系统管理,保证信息系统安全,根据《中华人民共和国保守国家秘密法》和国家保密局《计算机信息系统保密管理暂行规定》、国家保密局《计算机信息系统国际联网保密管理规定》,及上级信息管理部门的相关规定和要求,结合公司实际,制定本制度。 本制度包括网络安全管理、信息系统安全保密制度、信息安全风险应急预案 网络安全管理制度 第一条公司网络的安全管理,应当保障网络系统设备和配套设施的安全,保障信息的安全,保障运行环境的安全。 第二条任何单位和个人不得从事下列危害公司网络安全的活动: 1、任何单位或者个人利用公司网络从事危害公司计算机网络及信息系统的安全。 2、对于公司网络主结点设备、光缆、网线布线设施,以任何理由破坏、挪用、改动。 3、未经允许,对信息网络功能进行删除、修改或增加。 4、未经允许,对计算机信息网络中的共享文件和存储、处理或传输的数据和应用程序进行删除、修改或增加。
5、故意制作、传播计算机病毒等破坏性程序。 6、利用公司网络,访问带有“黄、赌、毒”、反动言论内容的网站。 7、向其它非本单位用户透露公司网络登录用户名和密码。 8、其他危害信息网络安全的行为。 第三条各单位信息管理部门负责本单位网络的安全和信息安全工作,对本单位单位所属计算机网络的运行进行巡检,发现问题及时上报信息中心。 第四条连入公司网络的用户必须在其本机上安装防病毒软件,一经发现个人计算机由感染病毒等原因影响到整体网络安全,信息中心将立即停止该用户使用公司网络,待其计算机系统安全之后方予开通。 第五条严禁利用公司网络私自对外提供互联网络接入服务,一经发现立即停止该用户的使用权。 第六条对网络病毒或其他原因影响整体网络安全的子网,信息中心对其提供指导,必要时可以中断其与骨干网的连接,待子网恢复正常后再恢复连接。
信息安全管理办法 第一章总则 第一条为加强公司信息安全管理,推进信息安全体系建设,保障信息系统安全稳定运行,根据国家有关法律、法规和《公司信息化工作管理规定》,制定本办法。 第二条本办法所指的信息安全管理,是指计算机网络及信息系统(以下简称信息系统)的硬件、软件、数据及环境受到有效保护,信息系统的连续、稳定、安全运行得到可靠保障。 第三条公司信息安全管理坚持“谁主管谁负责、谁运行谁负责”的基本原则,各信息系统的主管部门、运营和使用单位各自履行相关的信息系统安全建设和管理的义务与责任。 第四条信息安全管理,包括管理组织与职责、信息安全目标与工作原则、信息安全工作基本要求、信息安全监控、信息安全风险评估、信息安全培训、信息安全检查与考核。 第五条本办法适用于公司总部、各企事业单位及其全体员工。 第二章信息安全管理组织与职责 第六条公司信息化工作领导小组是信息安全工作的最高决策机构,负责信息安全政策、制度和体系建设规划的审批,部署并协调信息安全体系建设,领导信息系统等级保护工作。 第七条公司建立和健全由总部、企事业单位以及信息技术支持单位三方面组成,协调一致、密切配合的信息安全组织和责任体系。各级信息安全组织均要明确主管领导,确定相关责任,设置相应岗位,配备必要人员。 第八条信息管理部是公司信息安全的归口管理部门,负责落实信息化工作领导小组的决策,实施公司信息安全建设与管理,确保重要信息系统的有效保护和安全运行。具体职责包括:组织制定和实施公司信息安全政策标准、管理制度和体系建设规划,组织实施信息安全项目和培训,组织信息安全工作的监督和检查。 第九条公司保密部门负责信息安全工作中有关保密工作的监督、检查和指导。
* 主办部门:系统运维部 执笔人: 审核人: XXXXX 信息安全管理策略V0.1 XXX-XXX-XX-01001 2014年3月17日
[本文件中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容,除另有特别注明,版权均属XXXXX所有,受到有关产权及版权法保护。任何个人、机构未经XXXXX的书面授权许可,不得以任何方式复制或引用本文件的任何片断。] 文件版本信息 文件版本信息说明 记录本文件提交时当前有效的版本控制信息,当前版本文件有效期将在新版本文档生效时自动结束。文件版本小于1.0 时,表示该版本文件为草案,仅可作为参照资料之目的。 阅送范围 内部发送部门:综合部、系统运维部
目录 第一章总则 (1) 第二章信息安全方针 (1) 第三章信息安全策略 (2) 第四章附则 (13)
第一章总则 第一条为规范XXXXX信息安全系统,确保业务系统安全、稳定和可靠的运行,提升服务质量,不断推动信息安全工作的健康发展。根据《中华人民共和国计算机信息系统安全保护条例》、《信息安全技术信息系统安全等级保护基本要求》 (GB/T22239-2008)、《金融行业信息系统信息安全等级保护实施指引》(JR/T 0071—2012)、《金融行业信息系统信息安全等级保护测评指南》(JR/T 0072—2012),并结合XXXXX实际情况,特制定本策略。 第二条本策略为XXXXX信息安全管理的纲领性文件,明确提出XXXXX在信息安全管理方面的工作要求,指导信息安全管理工作。为信息安全管理制度文件提供指引,其它信息安全相关文件在制定时不得违背本策略中的规定。 第三条网络与信息安全工作领导小组负责制定信息安全 管理策略。 第二章信息安全方针 第四条 XXXXX的信息安全方针为:安全第一、综合防范、预防为主、持续改进。 (一)安全第一:信息安全为业务的可靠开展提供基础保障。把信息安全作为信息系统建设和业务经营的首要任务;
Through the joint creation of clear rules, the establishment of common values, strengthen the code of conduct in individual learning, realize the value contribution to the organization.公司信息安全管理制度正 式版
公司信息安全管理制度正式版 下载提示:此管理制度资料适用于通过共同创造,促进集体发展的明文规则,建立共同的价值观、培 养团队精神、加强个人学习方面的行为准则,实现对自我,对组织的价值贡献。文档可以直接使用, 也可根据实际需要修订后使用。 信息安全是指通过各种策略保证公司计算机设备、信息网络平台(内部网络系统及ERP、CRM、WMS、网站、企业邮箱等)、电子数据等的安全、稳定、正常,旨在规范与保护信息在传输、交换和存储、备份过程中的机密性、完整性和真实性。为加强公司信息安全的管理,预防信息安全事故的发生,特制定本管理制度。本制度适用于使用新合程计算机设备、信息系统、网络系统的所有人员。 1.计算机设备安全管理 1.1员工须使用公司提供的计算机设备
(特殊情况的,经批准许可的方能使用自已的计算机),不得私自调换或拆卸并保持清洁、安全、良好的计算机设备工作环境,禁止在计算机使用环境中放置易燃、易爆、强腐蚀、强磁性等有害计算机设备安全的物品。 1.2严格遵守计算机设备使用、开机、关机等安全操作规程和正确的使用方法。任何人不允许私自拆卸计算机组件,当计算机出现硬件故障时应及时向信息技术部报告,不允许私自处理和维修。 1.3员工对所使用的计算机及相关设备的安全负责,如暂时离开座位时须锁定系统,移动介质自行安全保管。未经许可,不得私自使用他人计算机或相关设备,不得
十八、信息安全管理制度 一、计算机安全管理 1、医院计算机操作人员必须按照计算机正确的使用方法操作计算机系统。严禁暴力使用计算机或蓄意破坏计算机软硬件。 2、未经许可,不得擅自拆装计算机硬件系统,若须拆装,则通知信息科技术人员进行。 3、计算机的软件安装和卸载工作必须由信息科技术人员进行。 4、计算机的使用必须由其合法授权者使用,未经授权不得使用。 5、医院计算机仅限于医院内部工作使用,原则上不许接入互联网。因工作需要接入互联网的,需书面向医务科提出申请,经签字批准后交信息科负责接入。接入互联网的计算机必须安装正版的反病毒软件。并保证反病毒软件实时升级。 6、医院任何科室如发现或怀疑有计算机病毒侵入,应立即断开网络,同时通知信息科技术人员负责处理。信息科应采取措施清除,并向主管院领导报告备案。 7、医院计算机内不得安装游戏、即时通讯等与工作无关的软件,尽量不在院内计算机上使用来历不明的移动存储工具。
二、网络使用人员行为规范 1、不得在医院网络中制作、复制、查阅和传播国家法律、法规所禁止的信息。 2、不得在医院网络中进行国家相关法律法规所禁止的活动。 3、未经允许,不得擅自修改计算机中与网络有关的设置。 4、未经允许,不得私自添加、删除与医院网络有关的软件。 5、未经允许,不得进入医院网络或者使用医院网络资源。 6、未经允许,不得对医院网络功能进行删除、修改或者增加。 7、未经允许,不得对医院网络中存储、处理或者传输的数据和应用程序进行删除、修改或者增加。 8、不得故意制作、传播计算机病毒等破坏性程序。 9、不得进行其他危害医院网络安全及正常运行的活动。 三、网络硬件的管理 网络硬件包括服务器、路由器、交换机、通信线路、不间断供电设备、机柜、配线架、信息点模块等提供网络服务的设施及设备。 1、各职能部门、各科室应妥善保管安置在本部门的网络设备、设施及通信。 2、不得破坏网络设备、设施及通信线路。由于事故原因造
信息安全管理制度 目录 1.安全管理制度要求 1.1总则:为了切实有效的保证公司信息安全,提高信息系统为公司生产经营的服务能力,特制定交互式信息安全管理制度,设定管理部门及专业管理人员对公司整体信息安全进行管理,以确保网络与信息安全。 1.1.1建立文件化的安全管理制度,安全管理制度文件应包括: a)安全岗位管理制度; b)系统操作权限管理; c)安全培训制度; d)用户管理制度; e)新服务、新功能安全评估; f)用户投诉举报处理; g)信息发布审核、合法资质查验和公共信息巡查; h)个人电子信息安全保护; i)安全事件的监测、报告和应急处置制度; j)现行法律、法规、规章、标准和行政审批文件。 1.1.2安全管理制度应经过管理层批准,并向所有员工宣贯 2.机构要求 2.1 法律责任 2.1.1互联网交互式服务提供者应是一个能够承担法律责任的组织或个人。 2.1.2互联网交互式服务提供者从事的信息服务有行政许可的应取得相应许可。 3.人员安全管理 3.1 安全岗位管理制度 建立安全岗位管理制度,明确主办人、主要负责人、安全责任人的职责:岗位管理制度应包括保密管理。 3.2 关键岗位人员 3.2.1关键岗位人员任用之前的背景核查应按照相关法律、法规、道德规范和对应的业务要求来执行,包括: 1.个人身份核查: 2.个人履历的核查: 3.学历、学位、专业资质证明: 4.从事关键岗位所必须的能力 3.2.2 应与关键岗位人员签订保密协议。 3.3 安全培训 建立安全培训制度,定期对所有工作人员进行信息安全培训,提高全员的信息安全意识,包括: 1.上岗前的培训; 2.安全制度及其修订后的培训; 3.法律、法规的发展保持同步的继续培训。 应严格规范人员离岗过程: a)及时终止离岗员工的所有访问权限; b)关键岗位人员须承诺调离后的保密义务后方可离开; c)配合公安机关工作的人员变动应通报公安机关。
信息安全管理制度 根据国家有关规定,每个民政工作人员都负有保障计算机及其网络安全保密工作的职责。各处室、直属单位全体人员要认真严格执行国家有关部门制定的信息保密和信息安全有关规定,严格规范计算机的使用行为。如因个人违规操作导致计算机发生网络安全保密责任的,要追究个人责任,按照国家有关规定,予以严肃处理。 为维护我局网络环境安全、稳定、健康,根据国家信息产业部《计算机信息网络国际互联网安全保护管理办法》、《互联网安全保护技术措施规定》、《计算机信息网络国际联网安全保护管理办法》等国家法律、法规,特制定本制度。 第一章、总则 一、严格遵守国家有关互联网方面的法律法规; 二、坚决封堵不良和有害信息的侵入; 三、严格管理政务内网和政务外网计算机使用,防止泄密情况发生; 四、积极配合公安机关的网络信息安全部门检查; 五、按照备案要求,及时备案本单位在互联网应用方面的变更信息; 六、在本单位建立网络信息安全保护小组,并报相关部门备案; 七、根据本单位在互联网应用的实际情况,在信息网络安全员、信息安全情况上报、信息安全风险评估、中心机房管理、电脑及网络运行
安全管理、系统安全管理及登记、安全保护技术措施、安全教育和培训、信息发布等方面制定以下细则制度。 第二章、信息网络安全员制度 一、设立1人专职3人兼职的计算机信息网络安全员(以下简称安全员); 二、安全员主要负责网络(主要是局域网)的系统安全性; 三、安全员负责全局干部职工网络安全方面操作及相关知识培训; 四、安全员负责系统数据的冗余灾备工作; 五、安全员确保系统日志保存完善并保留60天以上; 六、对系统防病毒系统、防火墙(及以后的入侵检测系统)定期升级。定期对系统作安全检测,及时发现安全漏洞予以消除,对检测结果和漏洞消除情况有记录; 七、安全员应经常保持对最新技术的掌握,实时了解网络信息安全的动向,做到预防为主; 八、安全员承担对不良、有害信息上报、处置工作职责; 九、安全员承担信息安全部门交办的其他网络安全任务。 第三章、信息安全情况报告制度 一、建立与公安机关网络监察部门和保密局联系机制,对网络安全、保密方面出现的问题和情况及时沟通和处理; 二、各计算机用户,均有责任和义务监督、发现、报告、处理本机
鑫欧克公司信息安全管理制度 一、信息安全指导方针 保障信息安全,创造用户价值,切实推行安全管理,积极预防风险,完善控制措施,信息安全,人人有责,不断提高顾客满意度。 二、计算机设备管理制度 1、计算机的使用部门要保持清洁、安全、良好的计算机设备工作环境,禁止在计算机应用环境中放置易燃、易爆、强腐蚀、强磁性等有害计算机设备安全的物品。 2、非本单位技术人员对我单位的设备、系统等进行维修、维护时,必须由本单位相关技术人员现场全程监督。计算机设备送外维修,须经有关部门负责人批准。 3、严格遵守计算机设备使用、开机、关机等安全操作规程和正确的使用方法。任何人不允许带电插拨计算机外部设备接口,计算机出现故障时应及时向电脑负责部门报告,不允许私自处理或找非本单位技术人员进行维修及操作。三、操作员安全管理制度 (一)操作代码是进入各类应用系统进行业务操作、分级对数据存取进行控制的代码。操作代码分为系统管理代码和一般操作代码。代码的设置根据不同应用系统的要求及岗位职责而设置; (二)系统管理操作代码的设置与管理
1、系统管理操作代码必须经过经营管理者授权取得; 2、系统管理员负责各项应用系统的环境生成、维护,负责一般操作代码的生成和维护,负责故障恢复等管理及维护; 3、系统管理员对业务系统进行数据整理、故障恢复等操作,必须有其上级授权; 4、系统管理员不得使用他人操作代码进行业务操作; 5、系统管理员调离岗位,上级管理员(或相关负责人)应及时注销其代码并生成新的系统管理员代码; (三)一般操作代码的设置与管理 1、一般操作码由系统管理员根据各类应用系统操作要求生成,应按每操作用户一码设置。 2、操作员不得使用他人代码进行业务操作。 3、操作员调离岗位,系统管理员应及时注销其代码并生成新的操作员代码。 四、密码与权限管理制度 1、密码设置应具有安全性、保密性,不能使用简单的代码和标记。密码是保护系统和数据安全的控制代码,也是保护用户自身权益的控制代码。密码分设为用户密码和操作密码,用户密码是登陆系统时所设的密码,操作密码是进入各应用系统的操作员密码。密码设置不应是名字、生日,重复、顺序、规律数字等容易猜测的数字和字符串; 2、密码应定期修改,间隔时间不得超过一个月,如发
关于下发《**电信公司信息安全管理八项制度 (试行)》的通知 县级分公司、公司各部门: 根据中电信黑[2011] 793 号《黑龙江电信信息安全管理八项制度(试行)》,制定了《**电信公司信息安全管理八项制度(试行)》,请认真遵照执行。并将执行过程中出现的新情况,新问题及时反馈至运行维护部。 各相关职能部门要按照本制度规范尽快落实本部门的信息安全工作及责任人。 附件 1:**电信公司业务经营、合作的信息安全评估保障制度 附件 2:**电信公司违法违规信息应急处置流程 附件 3:**电信公司信息安全工作(资金、人员)保障制度
附件 4:**电信公司信息安全管理考核和奖惩制度附件 5:**电信公司信息安全技术保障制度 附件 6:**电信公司信息安全事件报告制度 附件 7:**电信公司信息安全事件应急处置制度附件 8:**电信公司信息安全组织机构管理制度
附件 1: **电信公司基础业务经营、合作的 信息安全评估保障制度 一、公司产品内容上线前应当由专人对相关内容的合法合规性进行审核,做到先审后发,产品中未通过审核的相关内容不得上线运营。需要审核的产品内容包括但不仅限于各产品中以公司名义对外发布的以及客户通过公司自营网站对外发布的图片、文字、流媒体等信息内容。 二、公司自营网站、自营业务业务板块或栏目新增、变更,须经各级公司部门负责人同意,报公司分管领导审批。 三、与合作方(含代收费)进行业务合作前,各部门业务运营部门(中心)应当严格审核其电信业务经营许可证或备案许可证、营业执照等经营资质材料,对其身份信息当面核验、留存有效证件复印件并报公司信息安全业务管理部门复核。在签订合作协议时,必须要求合作方签订《信息安全承诺书》,明确其负责合作涉及业务的信息安全,约定信息安全考核制度和违法违规处罚标准。 四、合作业务涉及合作方需进行 IP 地址和域名备案的, 在业务开通前,必须要求合作方出具 IP 地址和域名已经备案 的书面证明函件。
互联网企业网站信息安全管理制度全套 目录 信息发布登记制度 (1) 信息内容审核制度 (2) 信息监视、保存、清除和备份制度 (3) 病毒检测和网络安全漏洞检测制度 (5) 违法案件报告和协助查处制度 (6) 安全管理人员岗位工作职责 (7) 安全教育和培训制度 (8) 信息发布登记制度 1. 在信源接入时要落实安全保护技术措施,保障本网络的运行安全和信息安全; 2. 对以虚拟主机方式接入的单位,系统要做好用户权限设定工作,不能开放其信息目录以外的其他目录的操作
权限。 3. 对委托发布信息的单位和个人进行登记并存档。 4. 对信源单位提供的信息进行审核,不得有违犯《计算机信息网络国际联网安全保护管理办法》的内容出现。 5. 发现有违犯《计算机信息网络国际联网安全保护管理办法》情形的,应当保留有关原始记录,并在二十四小时内向当地公安机关报告。 信息内容审核制度 1、必须认真执行信息发布审核管理工作,杜绝违犯《计算机信息网络国际联网安全保护管理办法》的情形出现。 2、对在本网站发布信息的信源单位提供的信息进行认真检查,不得有危害国家安全、泄露国家秘密,侵犯国家的、社会的、集体的利益和公民的合法权益的内容出现。 3、对在BBS 公告板等发布公共言论的栏目建立完善的审核检查制度,并定时检查,防止违犯《计算机信息网络国际联网安全保护管理办法》的言论出现。 4、一旦在本信息港发现用户制作、复制、查阅和传
播下列信息的:( 1 ). 煽动抗拒、破坏宪法和法律、行政法规实施( 2 ) . 煽动颠覆国家政权,推翻社会主义制度(3). 煽动分裂国家、破坏国家统一(4). 煽动民族仇恨、民族歧视、破坏民族团结( 5) . 捏造或者歪曲事实、散布谣言,扰乱社会秩序( 6 ). 宣扬封建迷信、淫秽、色情、赌博、暴力、凶杀、恐怖、教唆犯罪( 7 ). 公然侮辱他人或者捏造事实诽谤他人( 8 ). 损害国家机关信誉( 9 ) . 其他违反宪法和法律、行政法规( 10) . 按照国家有关规定,删除本网络中含有上述内容的地址、目录或者关闭服务器。并保留原始记录,在二十四小时之内向当地公安机关报告。 信息监视、保存、清除和备份制度 为促进公司网站健康、安全,高效的应用和发展,维护国家和社会的稳定,杜绝各类违法、
1目的 为加强公司内部信息安全保障体系建设、提升公司内部针对数据信息风险识别、评估和预防能力,从而达到规避信息安全问题给公司带来经济损失和经营风险。 2适用范围 本制度适应公司信息安全管理(网络、软件系统、网络设备、机房等)。 3名词解释 3.1信息:是指音讯、消息、通讯系统传输和处理的对象,泛指公司运营过程中所产生具备可再利用 价值数据载体。按照数据来源方式,可将公司信息大致分为:技术信息、商务信息、财务信息、生产设备信息。 3.2信息安全:是指保护信息及信息系统免受未经授权的进入、使用、披露、破坏、修改、检视、记录 及销毁。 4功能权责 4.1 IT部:负责整个公司网络信息安全统筹管理、研发服务器上的应该用管理、维护、数据备份和定 期巡检,研发内部信息安全的审查。以及负责本制度制订、解释和执行情况监督。 4.2研发部:负责对PDM、PLM、以及开发专用软件及工具的使用管理,必要生产资料的发放,且负 责本制度内部宣导、执行和监督。 4.3 公司各部门:负责对个人办公涉及硬件、软件、网络等相关资源管理,且负责本制度内部宣导、 执行和监督。 5制度说明 5.1计算机设备安全管理 5.1.1严禁使用个人计算机接入公司网络或进行办公用途。若因工作需要必须使用个人电脑的, 必须提交《USB存储、个人邮箱/计算机权限申请单》申请,经公司总经理批准后由IT部 携带卡方可带入公司使用,并且进出公司大门时需要在保安处登记。如有违反,对违规电 脑一律进行全盘格式化处理,并全公司范围通报批评。如对公司造成损失的,视情节严重 情况,予以追究相应责任。 5.1.2禁止对办公计算机进行一切未授权的外部访问,包括光盘引导、U盘引导、硬盘引导等非 法访问方式。 5.1.3因公出差人员,如需外带笔记本电脑,应提前申请,并说明出差事由、时间等信息,由IT 部统一配置,并对所存储资料进行加密处理。出差结束后应及时归还借用笔记本电脑,并 由IT部对使用情况进行安全审计,如有异常及时上报。 5.1.4公司所有员工应保持清洁、安全、良好的计算机设备工作环境,禁止在计算机应用环境中
公司IT信息安全管理制度4 富世康公司IT信息安全管理制度 第一条总则通过加强公司计算机系统、办公网络、服务器系统的管理,保证网络系统安全运行,保证公司机密文件的安全,保障服务器、数据库的安全运行。加强计算机使用人员的安全意识,确保计算机系统正常运转。 第二条范围 1、计算机网络系统由计算机硬件设备、软件及客户机的网络系统配置组成。 2、软件包括:服务器操作系统、SQL数据库、金蝶财务软件、浩龙餐饮管理软件、思迅商业管理软件、今目标办公自动化系统、微励系统及其它办公软件。 3、客户机的网络系统配置包括客户机在网络上的名称,IP 地址分配,用户登陆名称、用户密码、及Internet的配置等。 4、系统软件是指:操作系统(如WINDOWS XP、SERVER2008、WINDOWS7等)软件。 第三条职责 1、信息部为网络安全运行的管理部门,负责公司计算机网络系统、计算机系统、数据库系统的日常维护和管理。 2、负责系统软件的调研、采购定型、安装、升级、保管工作。
3、网络管理人员负责计算机网络系统、办公自动化系统、平台系统的安全运行;服务器安全运行和数据备份;Internet对外接口安全以及计算机系统防病毒管理;各种软件的用户密码及权限管理协助各部门进行数据备份和数据归档。 4、网络管理人员执行公司保密制度,严守公司商业机密。 5、员工执行计算机安全管理制度,遵守公司保密制度。 6、系统管理员的密码必须由网络管理部门相关人员掌握。 第三条管理办法 I、公司计算机使用管理制度 1、从事计算机网络信息活动时,必须遵守《计算机信息网络国际联网安全保护管理办法》的规定,应遵守国家法律、法规,加强信息安全教育。 2、计算机等硬件设备由公司统一配置并定位,任何部门和个人不得允许私自挪 用调换、外借和移动电脑。 3、电脑硬件及其配件添置应列出清单报审计部,在征得公司领导同意后,由信息部负责进行添置。 4、电脑操作应按规定的程序进行。 (1)电脑的开、关机应按按正常程序操作,因非法操作而使电脑不能正常使用的,修理费用由该部门负责;
北京XXXXXXXXXXXXX 信息安全管理制度 制定部门:技术部与行政部 制定人:XXX 制定时间:2016.4.21
1.安全管理制度要求 总则为了切实有效的保证公司信息安全,提高信息系统为公司生产经营的服务力,特制定交互式信息安全管理制度,设定管理部门及专业管理人员对公司整体信息安全行管理,以确保网络与信息安全。 1.1.1建立文件化的安全管理制度,安全管理制度文件应包括: a安全岗位管理制度 b系统操作权限管理; c安全培训制度; d用户管理制度 e新服务、新功能安全评估 f用户投诉举报处理; g信息发布审核、合法资质查验和公共信息巡查; h个人电子信息安全保护;安全事件的监测、报告和和应急处置制度;现行法律、法规、规章、标准和行政审批文件。 1.1.2安全管理制度应经过管理层批准,并向所有员工宣贯 2.机构要求 2.1法律责任 2.1.1互联网交互式服务提供者应是一个能够承担法律责任的组织或个人。 2.1.2互联网交互式服务提供者从事的信息服务有行政许可的应取得相应许可。 3.人员安全管理 3.1安全岗位管理制度 建立安全岗位管理制度,明确主办人、主要负责人、安全责任人的职责:岗位管理制度应包括保密管理。 3.2关键岗位人员 3.2.1关键岗位人员任用之前的背景核查应按照相关法律、法规、道德规范和对应的业务要求来执行,包括: 1.个人身份核查 2.个人履历的核查 3.学历、学位、专业资质证明 4.从事关键岗位所必须的能力 3.2.2应与关键岗位人员签订保密协议。 安全培训 建立安全培训制度,定期对所有工作人员进行信息安全培训,提高全员是 1上岗前的培训 2.安全制度及其修订后的培训 3.法律、法规的发展保持同步的继绩培训。 应严格规范人员离岗过程: a及时终止离岗员工的所有访间权限; b关键岗位人员须承诺调离后的保密义务后方可离开; c配合公安机关工作的人员变动应通报公安机关。 3.4人员离岗 应严格规范人员离岗过程 a及时终止离岗员工的所有访间权限; b关键岗位人员须承诺调离后的保密义务后方可离开;
**企业信息安全管理制度 第一条总则通过加强公司计算机系统、办公网络、服务器系统的管理,保证网络系统安全运行,保证公司机密文件的信息安全,保障服务器、数据库的安全运行。加强计算机办公人员的安全意识和团队合作精神,把各部门相关工作做好。 第二条范围 1、计算机网络系统由计算机硬件设备、软件及客户机的网络系统配置组成。 2、软件包括:服务器操作系统、数据库及应用软件、有关专业的网络应用软件等。 3、客户机的网络系统配置包括客户机在网络上的名称,IP地址分配,用户登陆名称、用户密码、及Internet的配置等。 4、系统软件是指:操作系统(如WINDOWS XP、WINDOWS7等)软件。 5、平台软件是指:鼎捷ERP、办公用软件(如OFFICE 2003)等平台软件。 6、专业软件是指:设计工作中使用的绘图软件(如Photoshop等)。 第三条职责 1、信息中心部门为网络安全运行的管理部门,负责公司计算机网络系统、计算机系统、数据库系统的日常维护和管理。 2、负责系统软件的调研、采购、安装、升级、保管工作。 3、网络管理人员负责计算机网络系统、办公自动化系统、平台系统的安全运行;服务器安全运行和数据备份;Internet对外接口安全以及计算机系统防病毒管理;各种软件的用户密码及权限管理协助各部门进行数据备份和数据归档。 4、网络管理人员执行公司保密制度,严守公司商业机密。 5、员工执行计算机安全管理制度,遵守公司保密制度。 6、系统管理员的密码必须由网络管理部门相关人员掌握。 第三条管理办法 I、公司电脑使用管理制度 1、从事计算机网络信息活动时,必须遵守《计算机信息网络国际联网安全保护管理办法》的规定,应遵守国家法律、法规,加强信息安全教育。
XX公司信息安全管理制度(试行) 第一章总则 第一条为保证信息系统安全可靠稳定运行,降低或阻止人为或自然因素从物理层面对公司信息系统的保密性、完整性、可用性带来的安全威胁,结合公司实际,特制定本制度。 第二条本制度适用于XX公司以及所属单位的信息系统安全管理。 第二章职责 第三条相关部门、单位职责: 一、信息中心 (一)负责组织和协调XX公司的信息系统安全管理工作; (二)负责建立XX公司信息系统网络成员单位间的网络访问规则;对公司本部信息系统网络终端的网络准入进行管理; (三)负责对XX公司统一的两个互联网出口进行管理,配置防火墙等信息安全设备;会同保密处对公司本部互联网上网行为进行管理; (四)对XX公司统一建设的信息系统制定专项运维管理办法,明确信息系统安全管理要求,界定两级单位信息安全管理责任; (五)负责XX公司网络边界、网络拓扑等全局性的信息安全管理。 二、人力资源部 (一)负责人力资源安全相关管理工作。 (二)负责将信息安全策略培训纳入年度职工培训计划,并组织实施。 三、各部门 (一)负责本部门信息安全管理工作。
(二)配合和协助业务主管部门完善相关制度建设,落实日常管理工作。 四、所属各单位 (一)负责组织和协调本单位信息安全管理工作。 (二)对本单位建设的信息系统制定专项运维管理办法,明确信息系统安全管理要求,报XX公司信息中心备案。 第三章信息安全策略的基本要求 第四条信息系统安全管理应遵循以下八个原则: 一、主要领导人负责原则; 二、规范定级原则; 三、依法行政原则; 四、以人为本原则; 五、注重效费比原则; 六、全面防范、突出重点原则; 七、系统、动态原则; 八、特殊安全管理原则。 第五条公司保密委应根据业务需求和相关法律法规,组织制定公司信息安全策略,经主管领导审批发布后,对员工及相关方进行传达和培训。 第六条制定信息安全策略时应充分考虑信息系统安全策略的“七定”要求,即定方案、定岗、定位、定员、定目标、定制度、定工作流程。 第七条信息安全策略主要包括以下内容: 一、信息网络与信息系统必须在建设过程中进行安全风险评估,并根据评估结果制定安全策略; 二、对已投入运行且已建立安全体系的系统定期进行漏洞扫描,以便及时发现系统的安全漏洞; 三、对安全体系的各种日志(如入侵检测日志等)审计结果进行研究,以便及时发现系统的安全漏洞; 四、定期分析信息系统的安全风险及漏洞、分析当前黑客非常入侵的特点,及时调整安全策略; 五、制定人力资源、物理环境、访问控制、操作、备份、系统获取及维护、业务连续性等方面的安全策略,并实施。 第八条公司保密委每年应组织对信息安全策略的适应性、充分性和有效性进行评审,必要时组织修订;当公司的组织架构、生产经营模式等发生重大变化时也应进行评审和修订。
中心机房管理制度 计算机机房属机密重地。为做到严格管理,保证安全,特制订如下制度: 第一条中心机房的管理由系统管理员负责,非机房工作人员未经允许不准进入,机房门口明显位置应张贴告示:“机房重地,非请莫入”。 第二条机房内应保持整洁,严禁吸烟、吃喝、聊天、会客、休息。不准在计算机及工作台附近放置可能危及设备安全的物品。 第三条机房内严禁一切与工作无关的操作。严禁外来信息载体带入机房,未经允许不准将机器设备和数据带出机房。 第四条认真做好机房内各类记录介质的保管工作,落实专人收集、保管,信息载体必须安全存放并严密保管,防止丢失或失效。机房资料外借必须经批准并履行手续,方可借出。作废资料严禁外泄。 第五条机房工作人员要随时掌握机房运行环境和设备运行状态,保证设备随时畅通。机房设备开关必须先经检查确认正常后再按顺序依次开关机。 第六条机房工作人员对机房存在的隐患及设备故障要及时报告,并与有关部门及时联系处理。非常情况下应立即采取应急措施并保护现场。
第七条机房设备应由专业人员操作、使用,禁止非专业人员操作、使用。对各种设备应按规范要求操作、保养。发现故障,应及时报请维修,以免影响工作。 第八条外单位人员因工作需要进入机房时,必须报经局领导审批后方可进入,进入机房后须听从工作人员的指挥,未经许可,不得触及机房内设施。 第九条外来人员参观机房,须指定人员陪同。操作人员按陪同人员要求可以在电脑演示、咨询;对参观人员不合理要求,陪同人员应婉拒,其他人员不得擅自操作。 第十条中心机房处理秘密事务时,不得接待参观人员或靠近观看。
网络安全管理制度 第一条严格遵守法律、行政法规和国家其他有关规定,确保计算机信息系统的安全。 第二条连入局域网的用户严禁访问外部网络,若因工作需要,上网查询信息,允许访问与工作相关的网站,但须报告计算机管理部门,并在专业人员的指导下完成。非本局工作人员不允许上网查询信息。严禁访问宣扬封建迷信、淫秽、色情、赌博、暴力、凶杀、恐怖、教唆犯罪等违法网站。禁止在网络上聊天及玩游戏。 第三条加强信息发布审核管理工作。发布网络信息不得有危害国家安全、泄露国家秘密,侵犯国家、社会、集体的利益和公民的合法权益的内容出现。 第四条禁止非工作人员操纵系统,禁止不合法的登录情况出现。遇到安全问题应及时向计算机管理部门报告,并采取措施及时解决。 第五条局域网要采取安全管理措施,保障计算机网络设备和配套设施的安全,保障信息的安全,保障运行环境的安全。 第六条不得利用局域网络从事危害本局利益、集体利益和发表不适当的言论,不得危害计算机网络及信息系统的安全。在局域网上不允许进行干扰任何网络用户、破坏网络