信息安全管理規(guī)范培訓(xùn)資料-wenkub
2023-05-03 04:41:09 本頁面
【正文】 立即更改臨時口令。（2） 除非能安全保存，避免將口令記錄在紙上。（6） 如需在信息資產(chǎn)上表述保密聲明，可采用以下兩種表述方式：表述方式一：“保密聲明：公司資產(chǎn)，注意保密。（2） 一般電子或紙質(zhì)文檔應(yīng)在該文檔頁眉的右上角或頁腳上標(biāo)注其保密級別或在文件封面打上保密章，磁盤等介質(zhì)應(yīng)在其表面非數(shù)據(jù)區(qū)予以標(biāo)注其保密級別。 n 根據(jù)公司相關(guān)策略和信息資產(chǎn)責(zé)任人的要求，負(fù)責(zé)信息資產(chǎn)的維護(hù)操作和日常管理事務(wù)；n 負(fù)責(zé)具體設(shè)置信息訪問權(quán)限；n 負(fù)責(zé)所管理的信息資產(chǎn)的安全控制；n 部署恰當(dāng)?shù)陌踩珯C(jī)制，進(jìn)行備份和恢復(fù)操作；n 按照信息資產(chǎn)責(zé)任人的要求實(shí)施其他控制。信息資產(chǎn)責(zé)任人對所屬信息資產(chǎn)負(fù)直接責(zé)任。2內(nèi)部公開非敏感但僅限公司內(nèi)部使用的信息、信息處理設(shè)備和系統(tǒng)資源。安全保障設(shè)備：硬件防火墻、入侵檢測系統(tǒng)、身份驗(yàn)證等其他電子設(shè)備：打印機(jī)、復(fù)印機(jī)、掃描儀、傳真機(jī)等實(shí)體信息紙制的各種文件、合同、傳真、會議紀(jì)要、財(cái)務(wù)報(bào)表、證書、電報(bào)、發(fā)展計(jì)劃以及各類其他材質(zhì)的證書獎牌等。 信息資產(chǎn)的分類規(guī)定 公司的信息資產(chǎn)分為電子數(shù)據(jù)、軟件、硬件、實(shí)體信息、服務(wù)五大類。每個員工必須認(rèn)識到信息資產(chǎn)的價值，負(fù)責(zé)保護(hù)好自己生成、管理或可觸及的涉及的數(shù)據(jù)和信息。n 管理與技術(shù)并重，確保公司信息資產(chǎn)的安全，保障公司持續(xù)正常運(yùn)營。n 履行對客戶知識產(chǎn)權(quán)的保護(hù)承諾，保障客戶信息資產(chǎn)的安全，滿足并超越客戶信息安全需求。員工必須遵守《信息標(biāo)識與處理程序》，了解信息的保密級別。類別說明電子數(shù)據(jù)存在信息媒介上的各種數(shù)據(jù)資料，包括源代碼、數(shù)據(jù)庫數(shù)據(jù)等各種電子化的數(shù)據(jù)資料、項(xiàng)目文檔、管理文檔、運(yùn)行管理規(guī)程、計(jì)劃、報(bào)告、用戶手冊、作業(yè)指導(dǎo)書等各種電子化的數(shù)據(jù)資料。服務(wù)通過各種協(xié)議方式固化下來的服務(wù)活動、如物業(yè)、第三方、供應(yīng)商、提供檢修服務(wù)的提供方等。3企業(yè)秘密敏感的信息、信息處理設(shè)備和系統(tǒng)資源，只給必須知道者。n 理解和各種信息訪問活動相關(guān)的安全風(fēng)險；n 根據(jù)公司信息密級劃分標(biāo)準(zhǔn)來確定所屬信息資產(chǎn)的級別；n 根據(jù)公司相關(guān)策略確定并檢查信息訪問權(quán)限；n 針對所屬信息資產(chǎn)提出恰當(dāng)?shù)谋Ｗo(hù)措施。用戶：信息資產(chǎn)的使用者，除了公司內(nèi)部員工，也可能是因?yàn)闃I(yè)務(wù)需要而訪問公司信息的客戶或第三方組織。（3） 如果某存儲介質(zhì)中包含各個級別的信息，作為整體考慮，該存儲介質(zhì)的保密級別標(biāo)注應(yīng)以最高為準(zhǔn)。”表述方式二：“保密聲明：本文檔受國家相關(guān)法律和公司制度保護(hù)，不得擅自復(fù)制或擴(kuò)散。（3） 只要有跡象表明系統(tǒng)或口令可能遭到破壞，應(yīng)立即更改口令。（7） 不得共享個人用戶口令。（4） 為個人計(jì)算機(jī)、計(jì)算機(jī)終端設(shè)定密碼，同時設(shè)定屏保時間（=15分鐘）。（2） 對家人和客人使用設(shè)備進(jìn)行限制。（5） 進(jìn)入公司或客戶的信息系統(tǒng)工作完畢后，必須立即退出系統(tǒng)。（4） 應(yīng)對信息進(jìn)行方便快捷的備份。（8） 防止保密級別為企業(yè)秘密級以上的信息所在的移動辦公設(shè)備無人看管。參見使用說明4資產(chǎn)管理員在《 介質(zhì)登記表》中登記發(fā)放時間，使用人等信息后發(fā)放介質(zhì)。D． 所有的備份介質(zhì)都應(yīng)存放在安全可靠的地方，并符合生產(chǎn)廠家說明書的安全要求。3資產(chǎn)管理員按照公司的固定資產(chǎn)和消耗資材的報(bào)廢流程實(shí)施。事件處理者需填寫附錄中的《 信息安全事件報(bào)告處理記錄單》，每月將相關(guān)記錄上交過程管理部。C． 事件響應(yīng)及處理者在處理安全事件時應(yīng)考慮以下優(yōu)先次序：n 保護(hù)人員的生命與安全n 保護(hù)敏感的設(shè)備和資料n 保護(hù)重要的數(shù)據(jù)資源n 防止系統(tǒng)被損壞n 將公司遭受的損失降至最小D． 如果發(fā)生違法事件，事件相關(guān)涉及部門要采集并保存有效證據(jù)，上交過程管理部報(bào)告給公司最高管理者決策，由法務(wù)部向外部法律機(jī)構(gòu)報(bào)告。B． 懲戒手段可包括通報(bào)批評、行政警告、經(jīng)濟(jì)處罰、調(diào)離崗位、依據(jù)合同給予辭退，對于觸犯刑律者可交司法機(jī)關(guān)處理。 電子郵件安全使用規(guī)范（1） 公司電子郵件系統(tǒng)禁止用于創(chuàng)建與分發(fā)任何含有破壞性、歧視性的信息，包括對種族、性別、殘疾人、年齡、職業(yè)、性取向、宗教信仰、政治信念、國籍等方面的攻擊性語言。這些規(guī)則也適用于當(dāng)公司員工接收到這類電子郵件并進(jìn)行轉(zhuǎn)發(fā)的情況。（6） 禁止使用工作郵箱從事任何非法活動及其與工作無關(guān)的郵件。（10） 做好郵件的病毒防護(hù)工作。 用戶注冊與權(quán)限管理策略 對任何多用戶使用的信息系統(tǒng)和服務(wù)設(shè)施進(jìn)行訪問，應(yīng)：（1） 使用唯一的用戶名，以便將用戶與其操作聯(lián)系起來，使用戶對其操作負(fù)責(zé)。（4） 應(yīng)記錄所有注冊用戶。 用戶口令管理在進(jìn)行信息系統(tǒng)的口令管理，應(yīng)：（1） 用戶需要自己維護(hù)口令，系統(tǒng)僅在開始時提供一個安全的臨時口令，用戶需要立即更改臨時口令。（4） 保證個人口令安全，確保工作組口令僅在本組成員間共享。（3） 為防止計(jì)算機(jī)使用人員私自卸載客戶端及信息安全客戶端，卸載密碼和工具由系統(tǒng)服務(wù)事業(yè)部統(tǒng)一管理。（6） 為防止惡意代碼的侵?jǐn)_，每臺計(jì)算機(jī)必須按《訪問控制管理程序》；網(wǎng)絡(luò)共享文件必須設(shè)置密碼和只讀權(quán)限。（9） 使用電子郵件，對來路不明的郵件（特別是含有附件的郵件），收到后不要打開，直接刪除并清空廢件箱。（4） 嚴(yán)禁連接公司網(wǎng)絡(luò)的任何單位和人員以任何形式對防火墻進(jìn)行攻擊。 局域網(wǎng)的日常管理規(guī)定各部門不得將私自構(gòu)建的局域網(wǎng)接入公司網(wǎng)絡(luò)。（2） 禁止使用路由器及無線路由設(shè)備。 網(wǎng)絡(luò)專線的日常管理規(guī)定（1） 各部門不得私自搭建網(wǎng)絡(luò)專線。（2） 對違反信息安全管理規(guī)定，并造成嚴(yán)重后果的部門或員工，由公司信息安全管理委員會授權(quán)實(shí)施懲戒。在ISO 27001的標(biāo)準(zhǔn)里：216。 信息是有生命周期的。 信息安全的三要素n 機(jī)密性n 完整性n 可用性注：
公司管理相關(guān)推薦
鄂ICP備17016276號-1