【正文】 系統(tǒng)服務部：統(tǒng)一管理公司的電子郵件服務器。 人力資源部：負責電子郵件的開通、使用、維護和監(jiān)督檢查工作。 使用郵箱用戶：應熟練使用各種辦公軟件進行郵件的收發(fā)。 4. 郵箱管理流程郵箱開通：員工在入職時，辦理入職手續(xù)時，由人力資源部統(tǒng)一開通。郵箱關閉：員工因離職不再使用公司業(yè)務郵箱，由人力資源部執(zhí)行注銷，特殊人員的郵箱賬號需要保留的，需經總經理批準后方可注銷。公司郵箱賬號限本人使用，禁止借用他人使用，禁止非工作用途將公司郵箱公布于外部網(wǎng)絡。 如有需要，經部門主管向人力資源部申請，可開通部門郵箱。5. 郵箱使用一般郵件內容不應超過10M，如需發(fā)送較大附件，建議將附件拆分后分發(fā)送。不得傳遞與本人工作無關以及有害社會、企業(yè)安定的郵件。經批準用郵件訂閱報刊、新聞、論壇。部門員工可以向部門郵箱發(fā)送發(fā)給部門所有員工的郵件。文檔編號（由總裁辦填寫）密級內部公開文檔發(fā)布級別公司級文檔發(fā)布及實行范圍全員制度試行日期（可選）制度執(zhí)行日期文檔起草人簽字： 日期： 文檔修訂人：簽字：日期：修訂說明：備注：文檔負責人：簽字：日期：文檔審批信息安全管理者代表簽字： 日期：文檔審批人簽字： 日期：信息安全交流控制制度1. 目標 解決組織與外部方之間業(yè)務信息的安全傳輸，保護通過使用各種類型通信設施進行的信息傳輸。2. 總則 公司對與外部組織或個人進行信息傳輸進行統(tǒng)一規(guī)劃和管理。 公司鼓勵和提倡各下屬以及員工采用電子郵件進行內外交流，在采取了信息安全控制的措施的情況下，也可以使用其他方式對外進行信息傳輸。 使用電子郵件應符合《電子郵件管理規(guī)定》中的相關要求。 3. 信息傳輸安全控制措施對傳輸前的信息進行病毒掃描，防止病毒威脅擴散。對一二級密級信息文件須加密傳輸。在使用任何通信手段前應確認接收方是真實可靠的?？赏ㄟ^電話、短信等方式進行身份驗證。所傳輸?shù)臉I(yè)務信息（包括消息）的保留和處理，要符合國家和地方法律法規(guī)規(guī)定。 4. 信息傳輸協(xié)議一級敏感信息采取全程不落地加密傳輸?shù)姆绞竭M行，對信息中的敏感字段要進行脫敏處理。對傳輸完成后的源文件，應予以立即清除。對于二級敏感信息采取加密傳輸?shù)姆绞竭M行?？杀４娼浖用艿脑募?，未加密的原文件應被清除。與外部交流的重要信息，應定義雙方的識別標記，進行電子簽名，以識別信息來源，保證信息來源的真實可靠。對重要的信息交流，雙方需簽訂交流協(xié)議，規(guī)定信息安全事態(tài)發(fā)生時的責任和義務、以及相關的保密責任和義務。信息系統(tǒng)或軟件自動傳輸需交流的信息，須符合交流協(xié)議的規(guī)定，并按密級保護的要求操作。5. 定期評審公司應對信息安全交流管理以及信息安全管理體系每年度進行一次安全評審公司應與相關聯(lián)外部組織或內部組織每年進行一次信息安全管理溝通，以征求相關組織對公司信息安全的評價，以便于改進。公司與相關外部組織或內部組織溝通情況記入《信息安全管理體系意見表》，提交給信息安全管理領導小組，制定和落實整改措施。文檔編號（由總裁辦填寫）密級內部公開文檔發(fā)布級別公司級文檔發(fā)布及實行范圍全員制度試行日期（可選）制度執(zhí)行日期文檔起草人簽字： 日期： 文檔修訂人：簽字：日期：修訂說明：備注：文檔負責人：簽字：日期：文檔審批信息安全管理者代表簽字： 日期：文檔審批人簽字： 日期：八、信息安全事件管理制度1. 目的和范圍為加強和改進信息安全事件管理；在發(fā)生信息安全事件時能及時報告，快速響應，將損失控制在最小范圍；在發(fā)生信息安全事件后，能夠分析事故原因及產生影響、反饋處理結果、吸取事故教訓；在發(fā)現(xiàn)信息安全異?，F(xiàn)象時，能及時溝通，采取有效措施，防止安全事故的發(fā)生；特制訂本管理制度。本制度適用于影響信息安全的所有事故以及安全異?，F(xiàn)象以及全體人員（包括外協(xié)人員、實習生、長期客戶員工、來訪客戶等）。2. 引用文件1) 下列文件中的條款通過本規(guī)定的引用而成為本規(guī)定的條款。凡是注日期的引用文件，其隨后所有的修改單（不包括勘誤的內容）或修訂版均不適用于本標準，然而，鼓勵各部門研究是否可使用這些文件的最新版本。凡是不注日期的引用文件，其最新版本適用于本標準。2) GB/T 220802016/ISO/IEC 27001:2013 信息技術安全技術信息安全管理體系要求3) GB/T 220812016/ISO/IEC 27002:2013 信息技術安全技術信息安全管理實施細則4) 《業(yè)務連續(xù)性管理制度》3. 職責和權限1) 信息安全管理領導小組：負責對內部信息安全事件的處理和獎懲意見進行審批；負責對糾正預防措施進行審批。2) 信息安全工作小組：負責組織制定內部信息安全事件處理制度；聽取信息安全事件的匯報，負責對信息安全事件進行調查取證，提出處理措施，提出獎懲意見以及糾正預防措施，負責信息安全有關的所有文件的管理與控制；負責組織制定項目信息安全事件處理制度；聽取信息安全事件的匯報，負責對信息安全事件進行調查取證，提出處理措施，提出獎懲意見以及糾正預防措施，負責信息安全有關的所有文件的管理與控制。3) 各部門：積極預防信息安全事件的發(fā)生；及時準確的匯報信息安全事件，配合信息安全事件的調查取證工作；配合執(zhí)行處理措施，獎懲決定以及糾正預防措施。4) 異常現(xiàn)象和事件發(fā)現(xiàn)人：異?，F(xiàn)象和事件發(fā)現(xiàn)人有義務及時準確地報告異?，F(xiàn)象和事件的真實情況，并采取適當?shù)呐R時措施制止事故的進一步擴大。4. 信息安全異常現(xiàn)象信息安全異?，F(xiàn)象是指被識別的一種系統(tǒng)、服務或網(wǎng)絡狀態(tài)的發(fā)生，表明一次可能的信息安全策略違規(guī)或某些防護措施失效，或者一種可能與安全相關但以前不為人知的一種情況。 信息安全異?，F(xiàn)象處理流程圖1 信息安全異常現(xiàn)象處理流程圖信息安全異?，F(xiàn)象處理流程：a) 異?，F(xiàn)象發(fā)現(xiàn)者應及時上報信息安全工作小組，由工作小組指派相應人員進行處理。b) 相應人員判斷異?，F(xiàn)象是否為信息安全事件，如果是的話進入信息安全事件處理流程；如果不是，由相應人員對異?，F(xiàn)象進行處理。5. 信息安全事件信息安全事件：是指辦公設備/計算機/網(wǎng)絡設備系統(tǒng)/信息管理系統(tǒng)的硬件、軟件、數(shù)據(jù)因故障/非法攻擊/病毒入侵/惡意破壞/非授權外傳/遺失/災難等安全原因而遭到破壞、更改、泄露而造成業(yè)務活動不能正常進行或者涉密信息泄露或者在其他方面造成損失的事件。 有害程序事件（MI） 有害程序事件是指蓄意制造、傳播有害程序，或是因受到有害程序的影響而導致的信息安全事件。有害程序是指插入到信息系統(tǒng)中的一段程序，有害程序危害系統(tǒng)中數(shù)據(jù)、應用程序或操作系統(tǒng)的保密性、 完整性或可用性，或影響信息系統(tǒng)的正常運行。 有害程序事件包括計算機病毒事件、蠕蟲事件、特洛伊木馬事件、僵尸網(wǎng)絡事件、混合攻擊程序事件、網(wǎng)頁內嵌惡意代碼事件和其它有害程序事件等 7 個子類，說明如下： a) 計算機病毒事件（CVI） 是指蓄意制造、傳播計算機病毒，或是因受到計算機病毒影響而導致 的信息安全事件。計算機病毒是指編制或者在計算機程序中插入的一組計算機指令或者程序代碼，它可以破壞計算機功能或者毀壞數(shù)據(jù)，影響計算機使用，并能自我復制； b) 蠕蟲事件（WI） 是指蓄意制造、傳播蠕蟲，或是因受到蠕蟲影響而導致的信息安全事件。蠕蟲是指除計算機病毒以外，利用信息系統(tǒng)缺陷，通過網(wǎng)絡自動復制并傳播的有害程序； c) 特洛伊木馬事件（THI） 是指蓄意制造、傳播特洛伊木馬程序，或是因受到特洛伊木馬程序影響而導致的信息安全事件。特洛伊木馬程序是指偽裝在信息系統(tǒng)中的一種有害程序，具有控制該信息系統(tǒng)或進行信息竊取等對該信息系統(tǒng)有害的功能； d) 僵尸網(wǎng)絡事件（BI） 是指利用僵尸工具軟件，形成僵尸網(wǎng)絡而導致的信息安全事件。僵尸網(wǎng)絡是指網(wǎng)絡上受到黑客集中控制的一群計算機，它可以被用于伺機發(fā)起網(wǎng)絡攻擊，進行信息竊取或傳播木馬、蠕蟲等其他有害程序； e) 混合攻擊程序事件（BAI） 是指蓄意制造、傳播混合攻擊程序，或是因受到混合攻擊程序影響而導致的信息安全事件。混合攻擊程序是指利用多種方法傳播和感染其它系統(tǒng)的有害程序，可能兼有計算機病毒、蠕蟲、木馬或僵尸網(wǎng)絡等多種特征?；旌瞎舫绦蚴录部梢允且幌盗杏泻Τ绦蚓C合作用的結果，例如一個計算機病毒或蠕蟲在侵入系統(tǒng)后安裝木馬程序等； f) 網(wǎng)頁內嵌惡意代碼事件（WBPI） 是指蓄意制造、傳播網(wǎng)頁內嵌惡意代碼，或是因受到網(wǎng)頁內 嵌惡意代碼影響而導致的信息安全事件。網(wǎng)頁內嵌惡意代碼是指內嵌在網(wǎng)頁中，未經允許由瀏 覽器執(zhí)行，影響信息系統(tǒng)正常運行的有害程序； g) 其它有害程序事件（OMI） 是指不能包含在以上6個子類之中的有害程序事件。 網(wǎng)絡攻擊事件（NAI） 網(wǎng)絡攻擊事件是指通過網(wǎng)絡或其他技術手段，利用信息系統(tǒng)的配置缺陷、協(xié)議缺陷、程序缺陷或使用暴力攻擊對信息系統(tǒng)實施攻擊，并造成信息系統(tǒng)異?；驅π畔⑾到y(tǒng)當前運行造成潛在危害的信息安全事件。 網(wǎng)絡攻擊事件包括拒絕服務攻擊事件、后門攻擊事件、漏洞攻擊事件、網(wǎng)絡掃描竊聽事件、網(wǎng)絡釣魚事件、干擾事件和其他網(wǎng)絡攻擊事件等7個子類，說明如下： a) 拒絕服務攻擊事件（DOSAI） 是指利用信息系統(tǒng)缺陷、或通過暴力攻擊的手段，以大量消耗信息系統(tǒng)的 CPU、內存、磁盤空間或網(wǎng)絡帶寬等資源，從而影響信息系統(tǒng)正常運行為目的的信息安全事件；b) 后門攻擊事件（BDAI） 是指利用軟件系統(tǒng)、硬件系統(tǒng)設計過程中留下的后門或有害程序所設置的后門而對信息系統(tǒng)實施的攻擊的信息安全事件；c) 漏洞攻擊事件（VAI） 是指除拒絕服務攻擊事件和后門攻擊事件之外，利用信息系統(tǒng)配置缺陷、協(xié)議缺陷、程序缺陷等漏洞，對信息系統(tǒng)實施攻擊的信息安全事件；d) 網(wǎng)絡掃描竊聽事件（NSEI） 是指利用網(wǎng)絡掃描或竊聽軟件，獲取信息系統(tǒng)網(wǎng)絡配置、端口、服務、存在的脆弱性等特征而導致的信息安全事件；e) 網(wǎng)絡釣魚事件（PI） 是指利用欺騙性的計算機網(wǎng)絡技術，使用戶泄漏重要信息而導致的信息安全事件。例如，利用欺騙性電子郵件獲取用戶銀行帳號密碼等；f) 干擾事件（II） 是指通過技術手段對網(wǎng)絡進行干擾，或對廣播電視有線或無線傳輸網(wǎng)絡進行插播，對衛(wèi)星廣播電視信號非法攻擊等導致的信息安全事件；g) 其他網(wǎng)絡攻擊事件（ONAI） 是指不能被包含在以上6個子類之中的網(wǎng)絡攻擊事件。 信息破壞事件（IDI） 信息破壞事件是指通過網(wǎng)絡或其他技術手段，造成信息系統(tǒng)中的信息被篡改、假冒、泄漏、竊取等而導致的信息安全事件。信息破壞事件包括信息篡改事件、信息假冒事件、信息泄漏事件、信息竊取事件、信息丟失事件和其它信息破壞事件等6個子類，說明如下：a) 信息篡改事件（IAI） 是指未經授權將信息系統(tǒng)中的信息更換為攻擊者所提供的信息而導致的信息安全事件，例如網(wǎng)頁篡改等導致的信息安全事件；b) 信息假冒事件（IMI） 是指通過假冒他人信息系統(tǒng)收發(fā)信息而導致的信息安全事件，例如網(wǎng)頁假冒等導致的信息安全事件；c) 信息泄漏事件（ILEI） 是指因誤操作、軟硬件缺陷或電磁泄漏等因素導致信息系統(tǒng)中的保密、敏感、個人隱私等信息暴露于未經授權者而導致的信息安全事件；d) 信息竊取事件（III） 是指未經授權用戶利用可能的技術手段惡意主動獲取信息系統(tǒng)中信息而導致的信息安全事件；e) 信息丟失事件（ILOI） 是指因誤操作、人為蓄意或軟硬件缺陷等因素導致信息系統(tǒng)中的信息丟失而導致的信息安全事件；f) 其它信息破壞事件（OIDI） 是指不能被包含在以上5個子類之中的信息破壞事件。 信息內容安全事件（ICSI） 信息內容安全事件是指利用信息網(wǎng)絡發(fā)布、傳播危害國家安全、社會穩(wěn)定和公共利益的內容的安全事件。信息內容安全事件包括以下4個子類，說明如下：a) 違反憲法和法律、行政法規(guī)的信息安全事件；b) 針對社會事項進行討論、評論形成網(wǎng)上敏感的輿論熱點，出現(xiàn)一定規(guī)模炒作的信息安全事件；c) 組織串連、煽動集會游行的信息安全事件；d) 其他信息內容安全事件等4個子類。 設備設施故障（FF） 設備設施故障是指由于信息系統(tǒng)自身故障或外圍保障設施故障而導致的信息安全事件，以及人為的使用非技術手段有意或無意的造成信息系統(tǒng)破壞而導致的信息安全事件。設備設施故障包括軟硬件自身故障、外圍保障設施故障、人為破壞事故、和其它設備設施故障等4個子類，說明如下：a) 軟硬件自身故障（SHF） 是指因信息系統(tǒng)中硬件設備的自然故障、軟硬件設計缺陷或者軟硬件運行環(huán)境發(fā)生變化等而導致的信息安全事件；b) 外圍保障設施故障（PSFF） 是指由于保障信息系統(tǒng)正常運行所必須的外部設施出現(xiàn)故障而導致的信息安全事件，例如電力故障、外圍網(wǎng)絡故障等導致的信息安全事件；c) 人為破壞事故（MDA） 是指人為蓄意的對保障信息系統(tǒng)正常運行的硬件、軟件等實施竊取、破壞造成的信息安全事件；或由于人為的遺失、誤操作以及其他無意行為造成信息系統(tǒng)硬件、軟件等遭到破壞，影響信息系統(tǒng)正常運行的信息安全事件；d) 其它設備設施故障（IFOT） 是指不能被包含在以上3個子類之中的設備設施故障而導致的信息安全事件。 災害性事件（DI） 災害性事件是指由于不可抗力對信息系統(tǒng)造成物理破壞而導致的信息安全事件。災害性事件包括水災、臺風、地震、雷擊、坍塌、火災、恐怖襲擊、戰(zhàn)爭等導致的信息安全事件。 其他事件（OI） 其他事件類別是指不能歸為以上6個基本分類的信息安全事件。 級別說明安全事故（一級）1) 造成業(yè)務系統(tǒng)運行中斷，嚴重影響業(yè)務活動進行的。2) 數(shù)據(jù)被