信息安全管理規(guī)范(編輯修改稿)
2025-05-15 04:41 本頁面
【文章內(nèi)容簡介】 保險箱或柜子中）。（3） 在無人使用時，將個人計算機、計算機終端和打印機、復印機設為鎖定狀態(tài)。（4） 為個人計算機、計算機終端設定密碼，同時設定屏保時間（=15分鐘）。（5） 在打印保密級別為企業(yè)機密、企業(yè)秘密的信息后，應立刻從打印機中清除相關(guān)痕跡，并有效保護打印出來的信息內(nèi)容。 遠程工作安全策略必須保護好遠程工作場所防止盜竊設備和信息、未經(jīng)授權(quán)公開信息、對公司內(nèi)部系統(tǒng)進行遠程非法訪問或濫用設備等行為。員工應：（1） 保障物理安全。（2） 對家人和客人使用設備進行限制。如果必須要使用，應在旁邊進行監(jiān)督和控制，確保關(guān)鍵業(yè)務信息的安全。（3） 遠程工作活動結(jié)束時，權(quán)限以及設備及時收回。（4） 網(wǎng)絡遠程登錄終端的撥號密碼即VPN帳號僅限本人使用，不允許他人使用。（5） 進入公司或客戶的信息系統(tǒng)工作完畢后，必須立即退出系統(tǒng)。 移動辦公策略使用移動辦公設備（如筆記本電腦）時，員工尤其應該注意保證業(yè)務信息不受損壞、非法訪問或泄密：（1） 移動辦公設備需要帶出公司工作場所時，應進行登記。（2） 在公共場所使用移動辦公設備時，必須注意防范被未經(jīng)授權(quán)的人員窺視。（3） 應實時更新用于防范惡意軟件的程序。（4） 應對信息進行方便快捷的備份。（5） 備份的信息應該予以適當?shù)谋Ｗo以防信息被盜或丟失。（6） 使用移動辦公設備通過公共網(wǎng)對公司商務信息進行遠程訪問時必須進行身份識別和VPN訪問控制。（7） 防止移動辦公設備被盜。（8） 防止保密級別為企業(yè)秘密級以上的信息所在的移動辦公設備無人看管。 介質(zhì)的申請、使用、掛失、報廢要求 （1） 介質(zhì)的申請：序號責任者任務相關(guān)文件或記錄1資產(chǎn)管理員按照公司的固定資產(chǎn)或消耗資材申領(lǐng)方式向公司申領(lǐng)介質(zhì)。《 固定資產(chǎn)管理制度》《 計算機維護消耗資材管理辦法》2資產(chǎn)管理員從公司領(lǐng)取介質(zhì)并登記到《 介質(zhì)登記表》中?！?介質(zhì)登記表》3資產(chǎn)管理員如通過設備管理，需通過usb使用的移動存儲介質(zhì)在中注冊。參見使用說明4資產(chǎn)管理員在《 介質(zhì)登記表》中登記發(fā)放時間，使用人等信息后發(fā)放介質(zhì)?！?介質(zhì)登記表》（2） 介質(zhì)的使用：A． 如安裝了設備，所有工作中使用的USB存儲介質(zhì)都應在中進行注冊。B． 如果確認介質(zhì)中的內(nèi)容不再需要，應立即將其以可靠方式清除。C． 如果數(shù)據(jù)需要保存，則使用人應該保存在有良好安全措施的個人計算機和服務器上，而不應該放在計算機活動介質(zhì)中。D． 所有的備份介質(zhì)都應存放在安全可靠的地方，并符合生產(chǎn)廠家說明書的安全要求。（3） 介質(zhì)的掛失：序號責任者任務相關(guān)文件或記錄1使用者使用人立即向資產(chǎn)管理員申報掛失2資產(chǎn)管理員如果是通過usb使用的移動存儲介質(zhì)被掛失且在上注冊過，則應在上進行注銷。3資產(chǎn)管理員在介質(zhì)登記表中登記掛失《介質(zhì)登記表》（4） 介質(zhì)的報廢：序號責任者任務相關(guān)文件或記錄1使用者1）、書面文件用碎紙機粉碎2）、其他介質(zhì)報廢，使用人向資產(chǎn)管理員申請介質(zhì)報廢。2資產(chǎn)管理員如果是通過usb使用的移動存儲介質(zhì)且在上注冊過，則應在上進行注銷。3資產(chǎn)管理員按照公司的固定資產(chǎn)和消耗資材的報廢流程實施。《 固定資產(chǎn)管理制度》《 計算機維護消耗資材管理辦法》4資產(chǎn)管理員在介質(zhì)清單中登記已報廢《 1介質(zhì)登記表》 信息安全事件管理流程（1） 發(fā)現(xiàn)A． 公司全體員工都有責任和義務將已發(fā)現(xiàn)的或可疑的事件、故障和薄弱點及時報告給相關(guān)部門或人員。B． 任何企圖阻攔、干擾、報復事件報告者的行為都被視為違反公司策略。（2） 報告A． 對于部門范圍內(nèi)的信息安全事件，當事人可直接向部門負責人報告，并按照本部門規(guī)范進行處理。事件處理者需填寫附錄中的《 信息安全事件報告處理記錄單》，每月將相關(guān)記錄上交過程管理部。B． 除部門內(nèi)可以自行處理的信息安全事件外，其余信息安全事件必須統(tǒng)一上報給客服記錄 。（3） 響應A． 客服對信息安全事件做出最初響應，將技術(shù)方面的信息安全事件交給系統(tǒng)服務部組織處理，將管理方面的信息安全事件交給過程管理部組織相關(guān)部門進行處理。B． 需要做進一步調(diào)查的信息安全事件，當其影響范圍涉及整個公司或影響程度嚴重妨礙了公司的正常運營時，報告給信息安全管理委員會。C． 事件響應及處理者在處理安全事件時應考慮以下優(yōu)先次序：n 保護人員的生命與安全n 保護敏感的設備和資料n 保護重要的數(shù)據(jù)資源n 防止系統(tǒng)被損壞n 將公司遭受的損失降至最小D． 如果發(fā)生違法事件，事件相關(guān)涉及部門要采集并保存有效證據(jù)，上交過程管理部報告給公司最高管理者決策，由法務部向外部法律機構(gòu)報告。必要時，法務部可以尋求外部專家的支持。（4） 評價/調(diào)查安全事件或故障發(fā)生之后，事件處理者要對事件或故障的類型、嚴重程度、發(fā)生的原因、性質(zhì)、產(chǎn)生的損失、責任人進行調(diào)查確認，形成事件或故障評價資料。（5） 懲戒A． 要根據(jù)事件的嚴重程度、造成的損失、產(chǎn)生的原因?qū)`規(guī)者進行教育或者處罰。B． 懲戒手段可包括通報批評、行政警告、經(jīng)濟處罰、調(diào)離崗位、依據(jù)合同給予辭退，對于觸犯刑律者可交司法機關(guān)處理。C． 具體處罰標準參見《信息安全管理職責程序》。（6） 公告A． 事件的調(diào)查結(jié)果要反饋給當事部門領(lǐng)導。B． 當事部門可組織相關(guān)的人員進行學習和培訓。 電子郵件安全使用規(guī)范（1） 公司電子郵件系統(tǒng)禁止用于創(chuàng)建與分發(fā)任何含有破壞性、歧視性的信息，包括對種族、性別、殘疾人、年齡、職業(yè)、性取向、宗教信仰、政治信念、國籍等方面的攻擊性語言。公司的員工如果接收到任何含有此類信息的郵件，應立即
公司管理相關(guān)推薦
鄂ICP備17016276號-1