015-介質控制程序

1、介質控制程序撰寫： 發(fā)布：2021年4月1日文件編號：YJF-SP-015版本：A1文檔秘級：秘密版本歷史序號版本修訂內容修訂部門/人修訂時間1A0制定2020-8-12A1制定2021-4-13451范圍本標準規(guī)定了*科技信息介質處置的管理，包括對介質進行控制 和物理上的保護，以防止信息遭受未授權泄露、修改、移動或銷毀以及業(yè)務活動遭受干 擾。2規(guī)范性引用文件以下文件中的條款通過本標準的引用而成為本標準的條款。但凡注日期的引用文 件，其隨后所有的修改或修訂均不適用于本標準，然而，鼓勵各部門研究是否可使用這 些文件的最新版本。但凡不注日期的引用文件，其最新版本適用于本標準。3術語和定義無4職責和

2、權限1系統(tǒng)運維部負責公司相關信息介質的維護和管理。4.2介質使用部門和使用者由部門負責管理的介質，由該部門領導負責保管或指定專人負責保管。個人使用的 介質由本人負責保管。5規(guī)定1總那么1. 1任何信息設備，如：計算機、交換機、打印機、 機、復印機等，都需要 介質進行存儲，當存儲設備或介質需要轉移或銷毀時，如果處理不當，很容易造成信息 泄漏。因此，必須按規(guī)定執(zhí)行處置。. 1.2介質分為一般介質和可移動介質，一般介質包括：文件檔案、計算機存儲介 質，可移動介質是指U盤、移動硬盤、數(shù)碼相機、光盤、磁帶、軟盤和打印的媒體等。.1.3介質處置原那么：當不再需要時，介質應該按照正式的程序可靠、平安的處置,

3、 使敏感信息泄露給未經授權的人員的風險最小化。5.2介質處置5. 2.1敏感信息介質的處置應該與信息的敏感程度相一致，介質的敏感程度應考慮風險評估的結果。5. 2.2介質處置應考慮以下原那么：a）將所有的存儲介質都應平安的收集和處置；b）信息介質的處置前應該識別需要平安處置的工程；c）銷毀方式一般分為一般格式化、低級格式化、專業(yè)軟件重寫、粉碎。d）對無敏感信息的介質作一般格式化即可，在保證質量的基礎上重新分配和使用。e）保存有敏感信息的存儲介質應當?shù)玫狡桨驳拇娣藕吞幹谩τ诤忻舾行畔⒌?介質應采用低級格式化或專業(yè)軟件重寫，反復次數(shù)為三次，再進行粉碎。f）應對含有敏感信息的存儲介質的處置做出記

4、錄，以備審查。g）銷毀的介質在處理后宜保存三個月后再作處理。2. 3處置措施可以是：a）軟盤：文件刪除后，高級格式化后粉碎。或利用專用磁盤維護工具，處理后粉 碎。b）硬盤：文件先做刪除，高級格式化后，低級格式化。報廢的硬盤，需要粉碎報 廢。循環(huán)使用的硬盤，低級格式化后，拷入大量數(shù)據(jù)，覆蓋無用信息后，高級格式化， 再使用。c）光盤：一次性光盤，粉碎。可擦寫光盤，格式化后再使用。5.3可移動介質處理3. 1介質管理可移動介質領用須由申請人在0A系統(tǒng)中填寫“信息平安權限申請”經部門領導審 核，系統(tǒng)運維部批核，網絡組受理。不準隨意將移動介質借給他人及非相關人員使用， 損壞的移動介質不得隨意丟棄，應按照

5、規(guī)定方式銷毀處理。3.2復制和移出向可移動介質拷貝敏感信息，或將可移動介質帶離公司需要獲得本部門領導的批 準，存有涉密數(shù)據(jù)的移動硬盤由專人負責，外出攜帶時要嚴格控制在平安使用范圍內， 存儲的涉密數(shù)據(jù)使用完后要及時刪除。3.3重復使用對能夠重復使用的可移動介質需要重復使用，被授權操作者首先必須確認可移動介 質中的敏感信息或重要信息已經平安清除，其次要嚴格控制在可移動介質的廠家指出的 可重復使用的次數(shù)之內，確保其存貯信息的平安、可靠性。3. 4保存可移動介質的的保管部門應按介質要求的保存環(huán)境來保存含有敏感信息或重要信 息的可移動介質，各部門應對含有敏感信息或重要信息的可移動介質妥善保管，防止丟 失

6、，有任何異常必須向部門領導匯報，并根據(jù)部門領導的指示對異常情況作相應的處理。3. 5廢棄可移動介質應經過部門領導認可，需確保信息的保密性，能進行刪除操作的，將保 密信息或重要信息進行刪除。需要廢棄的介質統(tǒng)一送到系統(tǒng)運維部，由信息管理人員統(tǒng) 一進行平安銷毀處理。3.6隱私管理5. 3. 6. 1各部門應記錄于存儲PH的移動介質和或設備的任何使用情況，在可行的 情況下，各部門應使用在存儲PH時允許加密可移動物理介質和或設備。未加密的介質 應在不可防止的情況下使用，并且在使用未加密的介質和或設備的情況，公司應實施相 應規(guī)程或補償控制（如防篡改），以降低PII的風險。5. 3. 6. 2在處置存儲PII的移動介質的情況下，可移動介質應經過部門領導認可， 需確保信息的保密性，能進行刪除操作的，將保密信息或重要信息進行刪除。需要廢棄 的介質統(tǒng)一送到系統(tǒng)運維部，由信息管理人員統(tǒng)一進行平安銷毀處理，并實施以確保先 前存儲的PH信息不能被訪問。5. 3. 6. 3使用物理介質進行信息傳輸，應記錄包含PII的傳入和傳出物理介質的信 息，包括物理介質的類型，授權的發(fā)件人及收件人，日期和時間以及物理介質的數(shù)量。 在可能的情況下，應實施其他措施，如加密，以確保數(shù)據(jù)只能在目的地而非傳輸途中被 訪問。公司在物理介質離開場所之前對包含