信息安全技術(shù)互聯(lián)網(wǎng)交互式服務(wù)安全保護(hù)管理制度

PAGE5銳理信息安全管理制度目錄1.安全管理制度要求1.1總則：為了切實(shí)有效的保證公司信息安全，提高信息系統(tǒng)為公司生產(chǎn)經(jīng)營(yíng)的服務(wù)能力，特制定交互式信息安全管理制度，設(shè)定管理部門及專業(yè)管理人員對(duì)公司整體信息安全進(jìn)行管理，以確保網(wǎng)絡(luò)與信息安全。1.1.1建立文件化的安全管理制度，安全管理制度文件應(yīng)包括：安全崗位管理制度；b)系統(tǒng)操作權(quán)限管理；c)安全培訓(xùn)制度；d)用戶管理制度；e)新服務(wù)、新功能安全評(píng)估；f)用戶投訴舉報(bào)處理；g)信息發(fā)布審核、合法資質(zhì)查驗(yàn)和公共信息巡查；h)個(gè)人電子信息安全保護(hù)；i)安全事件的監(jiān)測(cè)、報(bào)告和應(yīng)急處置制度；j)現(xiàn)行法律、法規(guī)、規(guī)章、標(biāo)準(zhǔn)和行政審批文件。1.1.2安全管理制度應(yīng)經(jīng)過管理層批準(zhǔn)，并向所有員工宣貫2.機(jī)構(gòu)要求2.1法律責(zé)任2.1.1互聯(lián)網(wǎng)交互式服務(wù)提供者應(yīng)是一個(gè)能夠承擔(dān)法律責(zé)任的組織或個(gè)人。2.1.2互聯(lián)網(wǎng)交互式服務(wù)提供者從事的信息服務(wù)有行政許可的應(yīng)取得相應(yīng)許可。3.人員安全管理3.1 安全崗位管理制度建立安全崗位管理制度，明確主辦人、主要負(fù)責(zé)人、安全責(zé)任人的職責(zé)：崗位管理制度應(yīng)包括保密管理。3.2關(guān)鍵崗位人員3.2.1關(guān)鍵崗位人員任用之前的背景核查應(yīng)按照相關(guān)法律、法規(guī)、道德規(guī)范和對(duì)應(yīng)的業(yè)務(wù)要求來執(zhí)行，包括：1.個(gè)人身份核查：2.個(gè)人履歷的核查：3.學(xué)歷、學(xué)位、專業(yè)資質(zhì)證明：4.從事關(guān)鍵崗位所必須的能力3.2.2應(yīng)與關(guān)鍵崗位人員簽訂保密協(xié)議。3.3安全培訓(xùn)建立安全培訓(xùn)制度，定期對(duì)所有工作人員進(jìn)行信息安全培訓(xùn)，提高全員的信息安全意識(shí)，包括：1.上崗前的培訓(xùn)；2.安全制度及其修訂后的培訓(xùn)；3.法律、法規(guī)的發(fā)展保持同步的繼續(xù)培訓(xùn)。應(yīng)嚴(yán)格規(guī)范人員離崗過程：a)及時(shí)終止離崗員工的所有訪問權(quán)限；b)關(guān)鍵崗位人員須承諾調(diào)離后的保密義務(wù)后方可離開；c)配合公安機(jī)關(guān)工作的人員變動(dòng)應(yīng)通報(bào)公安機(jī)關(guān)。3.4人員離崗應(yīng)嚴(yán)格規(guī)范人員離崗過程：a)及時(shí)終止離崗員工的所有訪問權(quán)限；b)關(guān)鍵崗位人員須承諾調(diào)離后的保密義務(wù)后方可離開；c)配合公安機(jī)關(guān)工作的人員變動(dòng)應(yīng)通報(bào)公安機(jī)關(guān)。4.訪問控制管理4.1訪問管理制度建立包括物理的和邏輯的系統(tǒng)訪問權(quán)限管理制度。4.2 權(quán)限分配按以下原則根據(jù)人員職責(zé)分配不同的訪問權(quán)限：a) 角色分離，如訪問請(qǐng)求、訪問授權(quán)、訪問管理；b) 滿足工作需要的最小權(quán)限；c) 未經(jīng)明確允許，則一律禁止。4.3特殊權(quán)限6.2.1公司采取管理與技術(shù)措施，及時(shí)發(fā)現(xiàn)和停止違法有害信息發(fā)布。6.2.2公司采用人工或自動(dòng)化方式，對(duì)發(fā)布的信息逐條審核。采取技術(shù)措施過濾違法有害信息，包括且不限于基于關(guān)鍵詞的文字信息屏蔽過濾；b)基于樣本數(shù)據(jù)特征值的文件屏蔽過濾；c)基于URL的屏蔽過濾。6.2.3應(yīng)采取技術(shù)措施對(duì)違法有害信息的來源實(shí)施控制，防止繼續(xù)傳播。注：違法有害信息來源控制技術(shù)措施包括但不限于：封禁特定帳號(hào)、禁止新建帳號(hào)、禁止分享、禁止留言及回復(fù)、控制特定發(fā)布來源、控制特定地區(qū)或指定IP帳號(hào)登陸、禁止客戶端推送、切斷與第三方應(yīng)用的互聯(lián)互通等。6.2.4公司建立7*24h信息巡查制度，及時(shí)發(fā)現(xiàn)并處置違法有害信息。6.2.5建立涉嫌違法犯罪線索、異常情況報(bào)告、安全提示和案件調(diào)差配合制度，包括：a/對(duì)發(fā)現(xiàn)的違法有害信息，立即停止發(fā)布傳輸，保留相關(guān)證據(jù)（包括用戶注冊(cè)信息、用戶登錄信息、用戶發(fā)布信息等記錄），并向?qū)俚毓矙C(jī)關(guān)報(bào)告b/對(duì)于煽動(dòng)非法聚集、策劃恐怖活動(dòng)、揚(yáng)言實(shí)施個(gè)人極端暴力行為等重要情況或重大緊急事件立即向?qū)俚毓矙C(jī)關(guān)報(bào)告，同時(shí)配合公安機(jī)關(guān)做好調(diào)查取證工作6.2.6與公安機(jī)關(guān)建立7*24h違法有害信息快速處置工作機(jī)制，有明確URL的單條違法有害信息和特定文本、圖片、視頻、鏈接等信息的源頭及分享中的任何一個(gè)環(huán)節(jié)應(yīng)能再5min之內(nèi)刪除，相關(guān)的屏蔽過濾措施應(yīng)在10min內(nèi)生效。6.3破壞性程序防范6.3.1實(shí)施破壞性程序的發(fā)現(xiàn)和停止發(fā)布措施、并保留發(fā)現(xiàn)的破壞性程序的相關(guān)證據(jù)。6.3.2對(duì)軟件下載服務(wù)提供者（包括應(yīng)用軟件商店），檢查用戶發(fā)布的軟件是否是計(jì)算機(jī)病毒等惡意代碼。7個(gè)人電子信息保護(hù)7.1.1制定明確、清楚的個(gè)人電子信息處置規(guī)則，并且在顯著位置予以公示。在用戶注冊(cè)時(shí)，在與用戶簽訂服務(wù)協(xié)議中明示收集與使用個(gè)人電子信息的目的、范圍與方式。7.1.2湖南凱美醫(yī)療網(wǎng)站僅收集為實(shí)現(xiàn)正當(dāng)商業(yè)目的和提供網(wǎng)絡(luò)服務(wù)所必需的個(gè)人信息；收集個(gè)人電子信息時(shí)，取得用戶的明確授權(quán)同意；公司在姜個(gè)人電子信息交給第三方處理時(shí)，處理方符合本制度標(biāo)準(zhǔn)的要求，并取得用戶明確授權(quán)同意；法律、行政法規(guī)另有規(guī)定的，從其規(guī)定。7.1.3公司在修改個(gè)人電子信息處理時(shí)，應(yīng)告知用戶，并取得其同意。7.2技術(shù)措施公司建立覆蓋個(gè)人電子信息處理的各個(gè)環(huán)節(jié)的安全保護(hù)制度和技術(shù)措施，防止個(gè)人電子信息泄露、損毀、丟失，包括：a)采用加密方式保存用戶密碼等重要信息b)審計(jì)內(nèi)部員工對(duì)涉及個(gè)人電子信息的所有操作，并對(duì)審計(jì)進(jìn)行分析，預(yù)防內(nèi)部員工故意泄露c)審計(jì)個(gè)人電子信息上載、存儲(chǔ)或傳輸，作為信息泄露，毀損，丟失的查詢依據(jù)d)建立程序來控制對(duì)涉及個(gè)人電子信息的系統(tǒng)和服務(wù)的訪問權(quán)的分配。這些程序涵蓋用戶訪問生存周期內(nèi)的各個(gè)階段，從新用戶初始注冊(cè)到不再需要訪問信息系統(tǒng)和服務(wù)的用戶的最終撤銷e)系統(tǒng)的安全保障技術(shù)措施覆蓋個(gè)人電子信息處理的各個(gè)環(huán)節(jié)，防止網(wǎng)絡(luò)違法犯罪活動(dòng)竊取信息，降低個(gè)人電子信息泄露的風(fēng)險(xiǎn)7.3個(gè)人信息泄露事件的處理當(dāng)發(fā)現(xiàn)個(gè)人電子信息泄露時(shí)間后，應(yīng)：b)立即采取補(bǔ)救措施，防止信息繼續(xù)泄露c)24小時(shí)內(nèi)告知用戶，根據(jù)用戶初始注冊(cè)信息重新激活賬戶，避免造成更大的損失立即告屬地公安機(jī)關(guān)8安全事件管理8.1安全時(shí)間管理制度8.1.1建立安全事件的監(jiān)測(cè)、報(bào)告和應(yīng)急處置制度，確?？焖儆行Ш陀行虻仨憫?yīng)安全事件.8.1.2安全事件包括違法有害信息、危害計(jì)算機(jī)信息系統(tǒng)安全的異常情況及突發(fā)公共事件。8.2應(yīng)急預(yù)案制定安全事件應(yīng)急處置預(yù)案，向?qū)俚毓矙C(jī)關(guān)寶貝，并定期開展應(yīng)急演練。8.3突發(fā)公共事件處理突發(fā)公共事件分為四級(jí)：I級(jí)（特別重大）、II級(jí)（重大）、III級(jí)（較大）、IV級(jí)（一般），互聯(lián)網(wǎng)交互式服務(wù)提供者應(yīng)建立相應(yīng)處置機(jī)制，當(dāng)突發(fā)公共事件發(fā)生后，投入相應(yīng)的人力與技術(shù)措施開展處置工作：a)I級(jí)：應(yīng)投入安全管理等部門80%甚至全部人力開展處置工作；b)II級(jí)：應(yīng)投入安全管理等部門50