信息安全與防護(hù)管理制度

信息安全與防護(hù)管理制度第一章總則第一條目的和依據(jù)1.1為保護(hù)企業(yè)的信息系統(tǒng)和數(shù)據(jù)安全，確保信息資產(chǎn)的機(jī)密性、完整性和可用性，訂立本制度。1.2本制度依據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國保守國家秘密法》等相關(guān)法律法規(guī)。第二條適用范圍2.1本制度適用于公司內(nèi)全部員工、承包商以及和公司有合作關(guān)系的合作伙伴。第三條定義3.1信息系統(tǒng)：指包含硬件、軟件、網(wǎng)絡(luò)設(shè)施及其附屬設(shè)備在內(nèi)的為存儲、處理、傳輸、接收和顯示企業(yè)信息所構(gòu)成的系統(tǒng)。3.2信息安全：指保護(hù)信息資產(chǎn)，防止未經(jīng)授權(quán)的訪問、使用、披露、修改、損毀、丟失、泄漏等危害事件。3.3信息資產(chǎn)：指全部與公司相關(guān)的信息、數(shù)據(jù)及其載體。第二章信息安全管理第四條責(zé)任和義務(wù)4.1公司擔(dān)負(fù)信息安全管理工作，確保信息安全和安全性能。4.2公司將每位員工的信息安全義務(wù)列入其職責(zé)范圍，要求員工樂觀參加信息安全保護(hù)工作。4.3各部門負(fù)責(zé)人應(yīng)確保員工依照信息安全管理要求進(jìn)行操作，定期進(jìn)行安全教育培訓(xùn)。第五條安全策略和風(fēng)險評估5.1公司將訂立信息安全策略，包含保密策略、完整性策略、可用性策略等，以確保信息資產(chǎn)安全。5.2公司將定期對信息系統(tǒng)進(jìn)行安全風(fēng)險評估和漏洞掃描，及時修補(bǔ)安全漏洞。第六條員工行為管理6.1公司將訂立員工使用電子設(shè)備和網(wǎng)絡(luò)的規(guī)范，包含但不限于電子郵件使用、網(wǎng)上沖浪、軟件安裝等方面的規(guī)定。6.2員工不得泄露公司機(jī)密信息，不得利用公司信息系統(tǒng)進(jìn)行違法犯罪活動。6.3員工須遵守安全性記錄和報告的規(guī)定，如發(fā)現(xiàn)安全事件需立刻上報相關(guān)部門。第七條系統(tǒng)訪問掌控7.1公司將依據(jù)員工的工作需要設(shè)定訪問權(quán)限，分別予以最高權(quán)限、普通權(quán)限和最低權(quán)限。7.2公司將對員工的訪問權(quán)限進(jìn)行定期審核，及時禁止無用權(quán)限。7.3員工不得將其訪問權(quán)限泄露給未經(jīng)許可的人員，也不得冒用他人的身份訪問公司信息系統(tǒng)。第八條數(shù)據(jù)備份與恢復(fù)8.1公司將訂立數(shù)據(jù)備份策略，并定期對緊要數(shù)據(jù)進(jìn)行備份。8.2公司將定期測試數(shù)據(jù)恢復(fù)本領(lǐng)，確保在發(fā)生數(shù)據(jù)災(zāi)難時能夠及時恢復(fù)正常運營。第九條外部網(wǎng)絡(luò)訪問掌控9.1公司將依據(jù)安全評估結(jié)果設(shè)定外部網(wǎng)絡(luò)訪問掌控措施，包含但不限于防火墻、反病毒軟件等。9.2員工在外部網(wǎng)絡(luò)訪問公司信息系統(tǒng)時，必需通過授權(quán)的VPN連接。第三章信息安全事件管理第十條信息安全事件報告和處理10.1員工在發(fā)現(xiàn)或懷疑發(fā)生信息安全事件時，應(yīng)立刻向信息安全負(fù)責(zé)人報告。10.2信息安全負(fù)責(zé)人應(yīng)依照信息安全事件應(yīng)急響應(yīng)計劃，及時進(jìn)行處理和報告。第十一條信息安全事件調(diào)查和溯源11.1公司將訂立信息安全事件調(diào)查和溯源的規(guī)程，包含調(diào)查權(quán)限的設(shè)定、調(diào)查記錄的保管等。11.2公司將指定特地的安全人員進(jìn)行信息安全事件的調(diào)查和溯源工作。第十二條信息安全事件后果處理12.1公司將對造成信息資產(chǎn)泄露、損壞等不良后果的人員進(jìn)行追責(zé)，并依據(jù)公司規(guī)定予以相應(yīng)的懲罰。12.2公司將改進(jìn)和完善信息安全措施，避開仿佛事件再次發(fā)生。第四章監(jiān)督與檢查第十三條監(jiān)督機(jī)構(gòu)和職責(zé)13.1公司將設(shè)立信息安全監(jiān)督機(jī)構(gòu)，負(fù)責(zé)對信息安全管理的監(jiān)督和檢查。13.2信息安全監(jiān)督機(jī)構(gòu)的職責(zé)包含但不限于審核、檢查、調(diào)查等。第十四條管理制度的評審和修訂14.1公司將定期對信息安全管理制度進(jìn)行評審，及時修訂并提出改進(jìn)看法。14.2修訂信息安全管理制度應(yīng)經(jīng)過信息安全監(jiān)督機(jī)構(gòu)的審核和批準(zhǔn)。第五章附則第十五條實施時間15.1本制度自發(fā)布之日起實施。第十六條附加條款16.1對于未盡事宜，由