【正文】 ：為信息安全提供管理指導(dǎo)和支持； 2)安全組織：在公司內(nèi)管理信息安全；3)資產(chǎn)分類(lèi)與管理：對(duì)公司的信息資產(chǎn)采取適當(dāng)?shù)谋Ｗo(hù)措施； 4)人員安全：減少人為錯(cuò)誤、偷竊、欺詐或?yàn)E用信息及處理設(shè)施的風(fēng)險(xiǎn)；5)實(shí)體和環(huán)境安全：防止對(duì)商業(yè)場(chǎng)所及信息未授權(quán)的訪(fǎng)問(wèn)、損壞及干擾；6)通訊與運(yùn)作管理：確保信息處理設(shè)施正確和安全運(yùn)行； 7)訪(fǎng)問(wèn)控制：妥善管理對(duì)信息的訪(fǎng)問(wèn)權(quán)限；8)系統(tǒng)的獲得、開(kāi)發(fā)和維護(hù)：確保將安全納入信息系統(tǒng)的整個(gè)生命周期；9)安全事件管理：確保安全事件發(fā)生后有正確的處理流程與報(bào)告方式；10)商業(yè)活動(dòng)連續(xù)性管理：防止商業(yè)活動(dòng)的中斷，并保護(hù)關(guān)鍵的業(yè)務(wù)過(guò)程免受重大故障或?yàn)?zāi)害的影響；11)符合法律：避免違反任何刑法和民法、法律法規(guī)或者合同義務(wù)以及任何安全要求。、信息安全建設(shè)的原則1)領(lǐng)導(dǎo)重視，全員參與；2)信息安全不僅僅是IT部門(mén)的工作，它需要公司全體員工的共同參與；3)技術(shù)不是絕對(duì)的；4)信息安全管理遵循“七分管理，三分技術(shù)”的管理原則； 5)信息安全事件符合“二、八”原則；6)20%的安全事件來(lái)自外部網(wǎng)絡(luò)攻擊，80%的安全事件發(fā)生在公司內(nèi)部；7)管理原則:管理為主，技術(shù)為輔，內(nèi)外兼防，發(fā)現(xiàn)漏洞，消除隱患，確保安全。、信息安全管理體系建設(shè)的目的1)保障ERP系統(tǒng)的安全運(yùn)行，控制公司信息泄密風(fēng)險(xiǎn)； 2)提高企業(yè)員工對(duì)安全的認(rèn)識(shí)和對(duì)安全管理的參與； 3)提高企業(yè)用戶(hù)及合作伙伴對(duì)企業(yè)的信心、信任、滿(mǎn)意程度； 4)提高企業(yè)信息安全管理的質(zhì)量和水平； 5)使企業(yè)更有效地管理和處理信息安全事件； 6)遵守和通過(guò)相關(guān)法律法規(guī)的要求；7)為將來(lái)企業(yè)充份利用電子商務(wù)打下重要的基礎(chǔ)。第二章員工信息安全規(guī)范 、適用范圍本標(biāo)準(zhǔn)規(guī)定了公司員工必須遵循的個(gè)人計(jì)算機(jī)和其他方面的安全要求，規(guī)定了員工保護(hù)公司涉密信息的責(zé)任，并列出了大量可能遇到的情況下的安全要求。本標(biāo)準(zhǔn)適用于公司所有員工，包括子公司的員工，以及其他經(jīng)授權(quán)使用公司內(nèi)部資源的人員。、計(jì)算機(jī)安全要求1）計(jì)算機(jī)信息登記與使用維護(hù)：每臺(tái)由公司購(gòu)買(mǎi)的計(jì)算機(jī)的領(lǐng)用、使用人變更、配置變更、報(bào)廢等環(huán)節(jié)必須經(jīng)過(guò)IT部的登記，嚴(yán)禁私自變更使用人和增減配置；每位員工有責(zé)任保護(hù)公司的計(jì)算機(jī)資源和設(shè)備，以及包含的信息。每位員工必須把自己的計(jì)算機(jī)名字設(shè)置成固定的格式，一律采用AD域名_所屬地區(qū)編號(hào)組成；例如某臺(tái)計(jì)算機(jī)名為SSSS_100201，SSSS為地區(qū)AD域名，100為地區(qū)編號(hào)，201代表該地區(qū)第201個(gè)賬戶(hù)。2）必須在所有個(gè)人計(jì)算機(jī)上激活下列安全控制：所有計(jì)算機(jī)（包括便攜電腦與臺(tái)式機(jī)）必須設(shè)有系統(tǒng)密碼；系統(tǒng)密碼應(yīng)當(dāng)符合一定程度的復(fù)雜性要求，并不定期更換密碼；存儲(chǔ)在個(gè)人計(jì)算機(jī)中的包含有公司涉密信息的文件，需要加密存放。3）當(dāng)員工離開(kāi)辦公室或工作區(qū)域時(shí)：必須立即鎖定計(jì)算機(jī)或者激活帶密碼保護(hù)的屏幕保護(hù)程序； 如果辦公室或者工作區(qū)域能上鎖，最后一個(gè)離開(kāi)的員工請(qǐng)鎖上辦公室或工作區(qū)域；妥善保管所有包含公司涉密內(nèi)容的文件，如鎖進(jìn)文件柜。4）防范計(jì)算機(jī)病毒和其他有害代碼：每位員工由公司配備的計(jì)算機(jī)上都必須安裝和運(yùn)行公司授權(quán)使用的防病毒軟件；員工必須開(kāi)啟防病毒軟件實(shí)時(shí)掃描保護(hù)功能，至少每周進(jìn)行一次全硬盤(pán)掃描，在網(wǎng)絡(luò)條件許可的情況下每天進(jìn)行一次病毒庫(kù)文件的更新；如果員工發(fā)現(xiàn)未能處理的病毒，應(yīng)立即斷開(kāi)局域網(wǎng)連接，以免病毒在局域網(wǎng)內(nèi)部交叉感染，并及時(shí)向公司IT部門(mén)匯報(bào)。5）軟件的使用：?jiǎn)T工不得私自在計(jì)算機(jī)上安裝公司禁止的軟件，公司禁止安裝的軟件包括但不限于：BT等P2P軟件、Sniffer等流量監(jiān)控軟件及黑客軟件、P2P終結(jié)者、網(wǎng)絡(luò)執(zhí)法官之類(lèi)的網(wǎng)絡(luò)管理軟件；工作用計(jì)算機(jī)禁止安裝盜版殺毒軟件和盜版防火墻軟件； 公司員工的機(jī)器上必須安裝并開(kāi)啟功能的軟件有：金山企業(yè)版防病毒軟件、Office20360瀏覽器、Winrar、固網(wǎng)打印服務(wù)；如果由于使用未經(jīng)公司授權(quán)的且沒(méi)有許可的軟件造成公司損失，員工需要承擔(dān)全部責(zé)任。6）文件的共享：?jiǎn)T工在使用文件共享時(shí)，必須將其設(shè)置為受限共享；禁止使用基于互聯(lián)網(wǎng)的P2P軟件和共享服務(wù)，如：BT、eMule等； 不得在計(jì)算機(jī)上配置匿名FTP、TFTP、HTTP，或其他無(wú)需驗(yàn)證的服務(wù)；例如：?jiǎn)T工不得在公司的計(jì)算機(jī)上私自架設(shè)匿名FTP； 未經(jīng)IT部門(mén)許可，不得在使用ERP系統(tǒng)的計(jì)算機(jī)上使用U盤(pán)或移動(dòng)硬盤(pán)。如因業(yè)務(wù)需要，必須要訪(fǎng)問(wèn)其他人的硬盤(pán)。當(dāng)定義共享權(quán)限時(shí)，員工必須設(shè)定用戶(hù)權(quán)限、設(shè)定訪(fǎng)問(wèn)密碼，并及時(shí)取消所定義的共享。7）郵件的發(fā)送與接收：禁止使用公司的計(jì)算機(jī)散布、回復(fù)、轉(zhuǎn)發(fā)連鎖郵件、惡作劇郵件； 禁止將涉及公司秘密的內(nèi)部郵件轉(zhuǎn)發(fā)到互聯(lián)網(wǎng)上。8）公司涉密信息的保護(hù)：公司涉密信息包括但不限于公司數(shù)據(jù)庫(kù)中的秘密信息，與公司目前或未來(lái)產(chǎn)品、服務(wù)或研究有關(guān)的公司技術(shù)或科技信息，業(yè)務(wù)或營(yíng)銷(xiāo)計(jì)算、營(yíng)銷(xiāo)收益或其他財(cái)務(wù)資料、人事資料，以及軟件等技術(shù)信息、經(jīng)營(yíng)信息等；公司的員工會(huì)接觸到公司的涉密信息。員工禁止在未經(jīng)公司授權(quán)的情況下泄漏這些信息，并且必須遵守公司為保護(hù)此信息而制定的各項(xiàng)標(biāo)準(zhǔn)和流程；每個(gè)員工只能接觸使用與本崗位工作相關(guān)的涉密信息，禁止從非正常途徑獲取公司或部門(mén)的涉密信息；禁止非授權(quán)復(fù)制涉密信息；對(duì)公司文檔的保管、存檔、發(fā)送、刪除、銷(xiāo)毀、復(fù)制等必須遵守公司相關(guān)的文檔保密管理規(guī)定；禁止使用提供翻譯服務(wù)的互聯(lián)網(wǎng)站來(lái)翻譯公司的涉密信息； 公司涉密信息盡量避免通過(guò)互聯(lián)網(wǎng)傳送，但由于工作需要，需要通過(guò)電子郵件等方式發(fā)送公司涉密信息時(shí)，可以采用Winrar加密壓縮的方式把涉密內(nèi)容作為附件發(fā)送，然后通過(guò)其他渠道告知對(duì)方加密密碼。9）公司信箱的帳戶(hù)及密碼所有的密碼必須符合如下條件：至少8個(gè)字符長(zhǎng)，并且包含英文、數(shù)字及特殊字符； 禁止把用戶(hù)名用作密碼或其一部分；舊密碼中任何三個(gè)連續(xù)的字符盡量不要連續(xù)出現(xiàn)在新密碼中； 公司要求員工至少每30天更換一次密碼。10）內(nèi)部網(wǎng)絡(luò)使用規(guī)則禁止在網(wǎng)絡(luò)上偽裝為他人身份；不得私自安裝網(wǎng)絡(luò)管理軟件，監(jiān)控網(wǎng)絡(luò)流量或者妨礙他人使用網(wǎng)絡(luò)資源；不得對(duì)公司網(wǎng)絡(luò)或服務(wù)器以及網(wǎng)絡(luò)中他人電腦運(yùn)行安全掃描程序或者惡意攻擊；未經(jīng)IT部允許，不得增加網(wǎng)絡(luò)設(shè)備到公司的網(wǎng)絡(luò)中，嚴(yán)禁私自購(gòu)買(mǎi)路由器、交換機(jī)接入公司網(wǎng)絡(luò)等行為； 宿舍區(qū)電腦大部分屬于員工私人計(jì)算機(jī)，禁止將公司數(shù)據(jù)及其他涉及到公司機(jī)密的電子文件傳入私人計(jì)算機(jī)中；第三章公司信息安全管理檢查執(zhí)行規(guī)定．檢查原則根據(jù)違規(guī)行為的性質(zhì)、造成的后果及違規(guī)人的主觀(guān)意愿對(duì)違規(guī)行為進(jìn)行處罰。對(duì)在公司信息安全管理制度和措施上貫徹、監(jiān)控不力、權(quán)限審核不當(dāng)，造成公司安全制度和措施難以落實(shí)，安全管理工作混亂的部門(mén)，部門(mén)負(fù)責(zé)人須承擔(dān)領(lǐng)導(dǎo)責(zé)任。對(duì)違反信息安全管理規(guī)定者，如其直接領(lǐng)導(dǎo)有明顯管理和指導(dǎo)不力的須承擔(dān)連帶責(zé)任。．檢查方式公司技術(shù)部門(mén)抽調(diào)網(wǎng)絡(luò)管理人員，不定期對(duì)公司所屬公司辦公電腦進(jìn)行抽查。分析信息安全日志文件，排查違規(guī)電腦，追究相關(guān)當(dāng)事人。．檢查結(jié)果對(duì)于故意盜竊、泄露公司保密信息的，或故意違反信息安全管理規(guī)定，性質(zhì)特別嚴(yán)重造成重大損失的，給予罰款、降薪、降職、辭退、直至開(kāi)除的處理，并賠償公司損失。對(duì)于觸犯國(guó)家法律的，移交國(guó)家司法機(jī)關(guān)依法處理。?對(duì)違反公司信息安全制度規(guī)定，性質(zhì)較輕，在公司內(nèi)部系統(tǒng)給予點(diǎn)名通報(bào)批評(píng)，并記錄在案，責(zé)令限期改正。