信息安全與防護(hù)管理制度

信息安全與防護(hù)管理制度第一章總則第一條目的和依據(jù)1.1為保護(hù)企業(yè)的信息系統(tǒng)和數(shù)據(jù)安全，確保信息資產(chǎn)的機(jī)密性、完整性和可用性，訂立本制度。1.2本制度依據(jù)《中華人民共和國(guó)網(wǎng)絡(luò)安全法》《中華人民共和國(guó)保守國(guó)家秘密法》等相關(guān)法律法規(guī)。第二條適用范圍2.1本制度適用于公司內(nèi)全部員工、承包商以及和公司有合作關(guān)系的合作伙伴。第三條定義3.1信息系統(tǒng)：指包含硬件、軟件、網(wǎng)絡(luò)設(shè)施及其附屬設(shè)備在內(nèi)的為存儲(chǔ)、處理、傳輸、接收和顯示企業(yè)信息所構(gòu)成的系統(tǒng)。3.2信息安全：指保護(hù)信息資產(chǎn)，防止未經(jīng)授權(quán)的訪問(wèn)、使用、披露、修改、損毀、丟失、泄漏等危害事件。3.3信息資產(chǎn)：指全部與公司相關(guān)的信息、數(shù)據(jù)及其載體。第二章信息安全管理第四條責(zé)任和義務(wù)4.1公司擔(dān)負(fù)信息安全管理工作，確保信息安全和安全性能。4.2公司將每位員工的信息安全義務(wù)列入其職責(zé)范圍，要求員工樂(lè)觀參加信息安全保護(hù)工作。4.3各部門負(fù)責(zé)人應(yīng)確保員工依照信息安全管理要求進(jìn)行操作，定期進(jìn)行安全教育培訓(xùn)。第五條安全策略和風(fēng)險(xiǎn)評(píng)估5.1公司將訂立信息安全策略，包含保密策略、完整性策略、可用性策略等，以確保信息資產(chǎn)安全。5.2公司將定期對(duì)信息系統(tǒng)進(jìn)行安全風(fēng)險(xiǎn)評(píng)估和漏洞掃描，及時(shí)修補(bǔ)安全漏洞。第六條員工行為管理6.1公司將訂立員工使用電子設(shè)備和網(wǎng)絡(luò)的規(guī)范，包含但不限于電子郵件使用、網(wǎng)上沖浪、軟件安裝等方面的規(guī)定。6.2員工不得泄露公司機(jī)密信息，不得利用公司信息系統(tǒng)進(jìn)行違法犯罪活動(dòng)。6.3員工須遵守安全性記錄和報(bào)告的規(guī)定，如發(fā)現(xiàn)安全事件需立刻上報(bào)相關(guān)部門。第七條系統(tǒng)訪問(wèn)掌控7.1公司將依據(jù)員工的工作需要設(shè)定訪問(wèn)權(quán)限，分別予以最高權(quán)限、普通權(quán)限和最低權(quán)限。7.2公司將對(duì)員工的訪問(wèn)權(quán)限進(jìn)行定期審核，及時(shí)禁止無(wú)用權(quán)限。7.3員工不得將其訪問(wèn)權(quán)限泄露給未經(jīng)許可的人員，也不得冒用他人的身份訪問(wèn)公司信息系統(tǒng)。第八條數(shù)據(jù)備份與恢復(fù)8.1公司將訂立數(shù)據(jù)備份策略，并定期對(duì)緊要數(shù)據(jù)進(jìn)行備份。8.2公司將定期測(cè)試數(shù)據(jù)恢復(fù)本領(lǐng)，確保在發(fā)生數(shù)據(jù)災(zāi)難時(shí)能夠及時(shí)恢復(fù)正常運(yùn)營(yíng)。第九條外部網(wǎng)絡(luò)訪問(wèn)掌控9.1公司將依據(jù)安全評(píng)估結(jié)果設(shè)定外部網(wǎng)絡(luò)訪問(wèn)掌控措施，包含但不限于防火墻、反病毒軟件等。9.2員工在外部網(wǎng)絡(luò)訪問(wèn)公司信息系統(tǒng)時(shí)，必需通過(guò)授權(quán)的VPN連接。第三章信息安全事件管理第十條信息安全事件報(bào)告和處理10.1員工在發(fā)現(xiàn)或懷疑發(fā)生信息安全事件時(shí)，應(yīng)立刻向信息安全負(fù)責(zé)人報(bào)告。10.2信息安全負(fù)責(zé)人應(yīng)依照信息安全事件應(yīng)急響應(yīng)計(jì)劃，及時(shí)進(jìn)行處理和報(bào)告。第十一條信息安全事件調(diào)查和溯源11.1公司將訂立信息安全事件調(diào)查和溯源的規(guī)程，包含調(diào)查權(quán)限的設(shè)定、調(diào)查記錄的保管等。11.2公司將指定特地的安全人員進(jìn)行信息安全事件的調(diào)查和溯源工作。第十二條信息安全事件后果處理12.1公司將對(duì)造成信息資產(chǎn)泄露、損壞等不良后果的人員進(jìn)行追責(zé)，并依據(jù)公司規(guī)定予以相應(yīng)的懲罰。12.2公司將改進(jìn)和完善信息安全措施，避開仿佛事件再次發(fā)生。第四章監(jiān)督與檢查第十三條監(jiān)督機(jī)構(gòu)和職責(zé)13.1公司將設(shè)立信息安全監(jiān)督機(jī)構(gòu)，負(fù)責(zé)對(duì)信息安全管理的監(jiān)督和檢查。13.2信息安全監(jiān)督機(jī)構(gòu)的職責(zé)包含但不限于審核、檢查、調(diào)查等。第十四條管理制度的評(píng)審和修訂14.1公司將定期對(duì)信息安全管理制度進(jìn)行評(píng)審，及時(shí)修訂并提出改進(jìn)看法。14.2修訂信息安全管理制度應(yīng)經(jīng)過(guò)信息安全監(jiān)督機(jī)構(gòu)的審核和批準(zhǔn)。第五章附則第十五條實(shí)施時(shí)間15.1本制度自發(fā)布之日起實(shí)施。第十六條附加條款16.1對(duì)于未盡事宜，由