信息安全管理規(guī)定

信息安全管理規(guī)定目 錄1.1.1信息安全管理規(guī)定1一、總則1二、適用范圍1三、職責1四、管理規(guī)定2五、信息安全風險評估6六、附則61.1.2.計算機病毒防范管理規(guī)定61.1.3信息系統(tǒng)管理制度10一、業(yè)務主管職責10二、系統(tǒng)管理員具體職責：10三、系統(tǒng)管理員操作管理制度11四、系統(tǒng)管理員備份管理制度11五、軟件管理制度12六、數據管理制度13七、系統(tǒng)維護管理制度13八、檔案及數據管理制度141.1.4中心機房管理規(guī)定15一、機房人員日常行為準則16二、機房安全制度16三、機房用電安全制度17四、機房消防安全制度17五、機房硬件設備安全使用制度18六、軟件安全使用制度19七、機房資料、文檔和數據安全制度20八、機房財產登記和保護制度20九、機房巡檢制度21信息安全管理規(guī)定1.1.1信息安全管理規(guī)定一、總則為加強公司管理處計算機信息體系資產安全的保護，保障公司信息化體系連續(xù)可靠正常地運行，根據中華人民共和國計算機信息系統(tǒng)安全保護條例、中華人民共和國計算機信息網絡國際網管理暫行規(guī)定和相關行政法規(guī)，結合公司管理處實際狀況，特制訂本規(guī)定。二、適用范圍本規(guī)定適用于公司管理處所有員工，所有公司電子信息設備、版權軟件、電子信息系統(tǒng)、電子信息文件、客戶和廠商及兄弟單位提供給公司的所有電子信息資料的安全管理。三、職責3.1技術保障部負責本規(guī)定的制訂和修訂。3.2各級部門主管負責本規(guī)定在本部門的落實。3.3技術保障部負責對本規(guī)定的執(zhí)行情況開展定期或不定期的檢查和指導。四、管理規(guī)定4.1電子產品資產管理4.1.1公司所有辦公電腦（含筆記本電腦）與相關電子產品屬公司資產，任何部門及個人無權侵占、挪為私用。4.1.2公司所有辦公電腦及相關電子產品由技術保障部統(tǒng)一做資產編號、建立臺帳、調度分配，并發(fā)放給對應的使用人員，資產掛靠人有該資產使用權，同時需承擔保管義務，任何遺失、人為破壞行為，需按照資產折舊值賠償。4.1.3公司所有辦公電腦及相關電子產品是公司配備給部門或個人的工作工具，任何人無權利用其做個人經營或工作無關事宜，一經發(fā)現提報人力資源部據公司相關規(guī)定處分。4.1.4未經許可，不得擅自使用他人電腦，所有用戶需設置5分鐘密碼屏保，以確保離開后電腦不被他人使用。4.1.5人員離職、調崗時，請參照人事人員離職/換崗流程通知技術保障部協助所屬部門交接人員備份信息資料，接收、重新分配電腦。4.2賬號及密碼安全管理4.2.1公司各自崗位管理員及用戶無條件對本人所負責的相關信息系統(tǒng)及軟硬件密碼負直接管理責任，未經上級主管審批，不得將自己的賬號及密碼告訴其他人，造成損失者，對賬戶及密碼擁有人員酌情處分。4.2.2機房設備及服務器、各信息系統(tǒng)管理員賬號統(tǒng)一由技術保障部對應責任崗位負責，并定期修改密碼；密碼需統(tǒng)一登記在冊，并及時更新，由技術保障部經理負責，出現重大泄露事件，對部門經理及相關責任人處分。4.2.3公司官網、微信、微博等與公司宣傳有關的賬號、密碼，統(tǒng)一由市場營銷部門對應崗位負責。4.2.4因工作需要，在政府或第三方機構等網站注冊的賬號、密碼，分別由各責任部門自行負責。4.2.5具有信息系統(tǒng)權限的人員離職、調崗時，必須由技術保障部會簽離職、調崗相關單據，以及時處理相關權限。4.3計算機系統(tǒng)安全管理4.3.1公司所有辦公電腦系統(tǒng)權限、安裝軟件、端口使用權限全部由技術保障部根據本規(guī)定統(tǒng)一設置、管控，特殊崗位因工作需要開通權限，需經申請批準后由技術保障部執(zhí)行，任何未經批準擅自更改者視情節(jié)嚴重性進行處分。4.3.2未經技術保障部備案許可，嚴禁擅自安裝自帶軟件，私自安裝軟件造成的版權糾紛，將由個人承擔全部相關法律責任。4.3.3公司所有辦公電腦嚴禁安裝游戲、工作無關軟件，技術保障部不定期檢查，對并違規(guī)行為做通報。4.4網絡及應用系統(tǒng)安全管理4.4.1任何部門和個人，不得利用計算機信息系統(tǒng)和網絡系統(tǒng)從事危害國家利益、集體利益和公民合法權益的活動，不得利用國際互聯網制作、復制、查閱和傳播違法信息，任何利用公司網絡所作的違法行為屬個人行為，將全部由個人承擔相關法律責任，公司將配合相關部門嚴厲查處。煽動抗拒、違法亂紀、顛覆國家政權、分裂國家、破壞民族團結的；捏造或者歪曲事實，散布謠言，擾亂社會秩序的；宣揚封建迷信、淫穢、色情、賭博、暴力、兇殺、恐怖，教唆犯罪的；公然侮辱他人或者捏造事實誹謗他人的。4.4.2任何部門和個人不得從事下列危害公司或公共計算機信息系統(tǒng)和網絡系統(tǒng)安全的活動，違者全部由個人承擔相關法律責任，并視情節(jié)嚴重性請相關部門追究法律責任。故意制作、傳播計算機病毒等破壞性程序的；故意攻擊公共網絡、公共服務器、公司網絡、公司服務器的；其他故意危害公共網絡、公司網絡安全的行為。4.4.3 電腦IP地址是公司網絡管理的最重要基礎，公司所有辦公電腦（含筆記本電腦）由技術保障部統(tǒng)一分配IP地址，任何部門或個人無權擅自修改IP地址。4.4.4不得利用公司網絡打游戲、看電影、下載工作無關資料。4.4.5不得在公司內部安裝、使用網絡代理軟件，以擾亂網絡管理機制。4.4.6技術保障部需定期檢查、通報公司網絡使用狀況，并對違規(guī)者申請?zhí)幏帧?.5信息資料安全管理4.5.1公司所有信息資料屬公司資產，各部門與個人有義務承擔本部門或個人信息資料的保密責任，并對所轄機密資料的安全承擔連帶責任。4.5.2各部門主管需逐級制訂本部門機密資料的內容、受限范圍、發(fā)放審批機制，并定期檢查、更新。4.5.3未經批準，不得把本部門機密資料放置在公共網絡、內部不受限共享夾、或以其他任何方式發(fā)送給受限范圍以外的人員；任何有意、無意的泄密行為都是公司嚴厲禁止的，直至追究法律責任。4.5.4對于部分有備份安全需求的部門，可申請由技術保障部統(tǒng)一安排部署備份服務器及備份機制。4.6中心機房安全管理詳見公司管理處中心機房管理規(guī)定。4.7計算機病毒防范詳見公司管理處計算機病毒防范管理規(guī)定4.8監(jiān)控資料安全管理 4.8.1監(jiān)控資料調閱管理部門為技術保障部，安防監(jiān)控錄像調閱請參照綜合管理部相關規(guī)定。五、信息安全風險評估5.1隨著信息技術的不斷發(fā)展、重大信息系統(tǒng)環(huán)境的不斷改進和改變，每年至少要進行一次信息安全風險評估，對相關的制度進行重新審核，并更新不適當的內容。六、附則6.1本規(guī)定由技術保障部負責解釋。1.1.2.計算機病毒防范管理規(guī)定為加強計算機的安全監(jiān)察工作，預防和控制計算機病毒，保障計算機系統(tǒng)的正常運行，根據國家有關規(guī)定，結合實際情況，制定本制度。一、凡在公司內所轄計算機進行操作、運行、管理、維護、使用計算機系統(tǒng)以及購置、維修計算機及其軟件的部門，必須遵守本制度。二、本辦法所稱計算機病毒，是指編制或者在計算機程序中插入的破壞計算機系統(tǒng)功能或者毀壞數據，影響計算機使用，并能自我復制的一組計算機指令或者程序代碼。三、任何工作人員不得制作和傳播計算機病毒。四、任何工作人員不得有下列傳播計算機病毒的行為：故意輸入計算機病毒，危害計算機信息系統(tǒng)安全。向計算機應用部門提供含有計算機病毒的文件、軟件、媒體。購置和使用含有計算機病毒的媒體。五、預防和控制計算機病毒的安全管理工作，由技術保障部負責實施管理。其主要職責是制定計算機病毒防治管理制度和技術規(guī)程，并檢查執(zhí)行情況；采取計算機病毒安全技術防治措施；對計算機信息系統(tǒng)使用人員進行計算機病毒防治教育和培訓；及時檢測、清除計算機系統(tǒng)中的計算機病毒，并做好檢測、清除的記錄；購置和使用具有計算機信息系統(tǒng)安全專用產品銷售許可證的計算機病毒防治產品；對因計算機病毒引起的計算機信息系統(tǒng)癱瘓、程序和數據嚴重破壞等重大事故及時做好記錄，評估事故損失，保護現場并向公安機關報告。六、計算機安全管理部門應加強對計算機操作人員的審查，并定期進行安全教育和培訓。七、計算機信息系統(tǒng)應用部門應建立計算機運行記錄制度，未經審定的任何程序、指令或數據，不得輸入計算機系統(tǒng)運行。八、計算機安全管理部門應對引起的計算機及其軟件進行計算機病毒檢測，發(fā)現染有計算機病毒的，應采取措施加以消除，在未消除病毒之前不準投入使用。九、通過網絡進行電子郵件或文件傳輸，應及時對傳輸媒體進行病毒檢測，接收到郵件時也要及時進行病毒檢測，以防止計算機病毒的傳播。十、積極接受公安機關對計算機病毒防治管理工作的監(jiān)督、檢查和指導。十一 現對日常使用計算機做出如下建議及時安裝系統(tǒng)補丁。建議使用系統(tǒng)自帶的更新程序進行系統(tǒng)更新，不要使用諸如360安全衛(wèi)士或qq電腦管家進行更新安裝殺毒軟件?？梢园惭b360等免費殺毒軟件。定期掃描系統(tǒng)是否感染有病毒，3天左右一次，可以在下班前或中午吃飯的時候進行全盤病毒查殺。定期更新防病毒軟件。不要亂點擊鏈接和下載軟件,目前許多下載網站都帶有推廣鏈接，很容易造成誤操作.如需要下載軟件,請到正規(guī)官方網站上下載.不要訪問無名和不熟悉的網站,防止受到惡意代碼攻擊或是惡意篡改注冊表和IE主頁.不要陌生人和不熟悉的網友聊天,特別是那些QQ病毒攜帶者,因為他們不時自動發(fā)送消息,這也是其中毒的明顯特征.關閉無用的應用程序,因為那些程序對系統(tǒng)往往會構成威脅,同時還會占用內存,降低系統(tǒng)運行速度.安裝軟件時,切記不要安裝其捆綁軟件,尤其是部分流氓軟件,一旦安裝，想要卸載十分麻煩,甚至于需要重裝系統(tǒng)才能清除.不要隨意執(zhí)行附件中的可執(zhí)行文件，一般以.com,.exe.bat作為后綴名這些附件極有可能帶有計算機病毒或是黑客程序，輕易運行，很可能帶來不可預測的結果。對于這些可執(zhí)行程序附件都必須檢查，確定無異后才可使用。不要隨意打開附件中的文檔文件對方發(fā)送過來的電子函件及相關附件的文檔，首先要用另存為命令(SaveAs)保存到本地硬盤，待用病毒查殺軟件檢查無毒后才可以打開使用。如果用鼠標直接點擊兩下DOC、XLS等附件文檔，會自動啟用Word或Excel，如有附件中有病毒則會立刻傳染;如有是否啟用宏的提示，那絕對不要輕易打開，否則極有可能感染上郵件病毒。不要直接運行附件對于文件擴展名很怪的附件，或者是帶有腳本文件如*.VBS、*.SHS等的附件，千萬不要直接打開，一般可以刪除包含這些附件的電子函件，以保證計算機系統(tǒng)不受計算機病毒的侵害，或經過掃描之后打開。郵件設置如果是使用Outlook作為收發(fā)電子郵件軟件的話，應當進行一些必要的設置。選擇工具菜單中的選項命令，在安全中設置附件的安全性為高;在其他中按高級選項按鈕，按加載項管理器按鈕，不選中服務器腳本運行。最后按確定按鈕保存設置。外來U盤、移動硬盤、光盤等最好在裝有殺毒軟件的電腦上查毒確認無病毒后再打開、執(zhí)行、拷貝。1.1.3信息系統(tǒng)管理制度一、業(yè)務主管職責財務、綜管、營銷、運營等重點業(yè)務主管，負責協調本業(yè)務范圍內信息系統(tǒng)的總體運行工作。具體職責包括： 1、 負責本部門信息化崗位的設定和分配， 結合本部門情況確定每個崗位的職責； 2、 分配每一崗位人員操作權限， 以書面形式通知系統(tǒng)管理員；3、 根據本單位的實際情況， 總結系統(tǒng)存在的問題， 并提出改進的建議；4、 研究本單位的需求， 對信息系統(tǒng)提出新需求或升級的請求； 二、系統(tǒng)管理員具體職責： 1、 負責系統(tǒng)軟件、 硬件及數據庫的安裝與升級； 2、 負責系統(tǒng)軟件、 硬件及數據庫所有技術問題， 保障系統(tǒng)正常運行； 3、 負責服務器的硬軟件資源分配， 監(jiān)控網絡的運行； 4、 負責數據的備份與備份的恢復工作； 5、 負責公司用戶權限的分配管理工作， 做好數據的保密工作； 6、 負責組織信息系統(tǒng)的培訓工作； 三、系統(tǒng)管理員操作管理制度 1、 操作人員(包括專業(yè)維護人員) 必須嚴格按照操作權限操作，不得越權操作。每次操作應記錄相應的操作日記，日記包括操作時間、執(zhí)行命令等。 2、操作人員離開系統(tǒng)時，應退出系統(tǒng)或進行系統(tǒng)封鎖。 3、管理員每周應檢查數據備份情況，每月應將其刻錄成光盤。4、系統(tǒng)管理員變動前必須辦理交接手續(xù)，經接管人員或監(jiān)交人員與系統(tǒng)管理員雙方簽字確認，作為檔案存檔。四、系統(tǒng)管理員備份管理制度 具體內容包括： （1）管轄范圍內的服務器地址分布； （2）網絡服務器口令、數據庫超級口令、公司信息系統(tǒng)管理員口令；（3）每年的歷史數據備份，本年的所有的數據備份；（4）系統(tǒng)培訓資料；（5）系統(tǒng)維護記錄本；（6）所有版本的公司信息系統(tǒng)軟件；（7）所有版本的數據庫管理系統(tǒng)軟件；（8）其他應交接的內容。（9）對交接內容應進行相應的測試，以確保交接質量。 一旦交接，接替人員或監(jiān)交人員應立即更換所有口令，并開始承擔系統(tǒng)管理員的所有工作。 五、軟件管理制度1、信息系統(tǒng)功能改動時，應對其功能改動部分進行認真測試研究，確定新增功能的用法，防止工作的盲目性。 2、公司在組織軟件的升級工作時，一般應在同一個會計期間內一次性更換所有在用軟件，升級前應通知各用戶，并對功能更動部分加以說明。 3、要嚴格保護所有在用軟件的版權，包括網絡、數據庫、操作系統(tǒng)、軟件等。嚴禁將軟件以任何形式出售、轉讓或贈送給該范圍以外的任何單位或個人。 4、各單位要制定具體的防病毒措施。所有來歷不明的媒體介質在使用前必須經過病毒檢測，對所有在用計算機尤其是 NT 服務器必須定期進行病毒檢測。使用網絡的單位要嚴防病毒通過網絡傳播，辦公用計算機不能裝入各種游戲軟件。 六、數據管理制度1、信息系統(tǒng)的數據管理是指數據不丟失、不損毀、不向無關人員泄露、不被非法修改，保障數據的安全要從技術和管理兩個方面著手，做好安全保密工作。 2、要經常對系統(tǒng)中的數據進行備份，以便在計算機發(fā)生故障時可將數據恢復到最近狀態(tài)。數據備份的目標是防止任何時間發(fā)生的硬、軟件故障以及人為失誤造成的數據損毀，因此原則上要求在發(fā)生業(yè)務的當天都進行備份。具體備份模式為：（1）每天在服務器上作一數據備份，（2）每周作一個異地備份，每月制作一份數據光盤； （3）每年年末制作雙備份, 存儲于不同的地點。 3、對備份的數據應加強管理，防止被非法拷貝或毀壞。 4、采取各種措施來保障上網數據的安全性。要嚴密控制好數據庫及其服務器的口令，控制好各用戶的口令。 七、系統(tǒng)維護管理制度1、系統(tǒng)維護管理是指為保障系統(tǒng)正常運行而進行的對硬件、網絡、數據庫、操作系統(tǒng)、軟件及相關辦公自動化軟件進行的安裝、修正、更新版本、擴展、備份等操作以及對軟件應用模式的設計及實施工作。系統(tǒng)的維護管理工作由系統(tǒng)管理員或由系統(tǒng)管理員授權的專業(yè)維護人員負責進行。未經系統(tǒng)管理員授權的人員不得進行系統(tǒng)維護操作。 2、未經系統(tǒng)管理員許可，不得在公司信息系統(tǒng)服務器上安裝其它硬、軟件，不得改變系統(tǒng)的運行環(huán)境。 3、系統(tǒng)運行時，應獲得充分的維護保障。系統(tǒng)發(fā)生影響正常運行的故障時，系統(tǒng)理員應及時給予處理。屬于系統(tǒng)優(yōu)化或不影響正常業(yè)務流程的問題，系統(tǒng)管理員應進行合理的預計，提前規(guī)劃，制定實施方案以確保系統(tǒng)的平穩(wěn)運行。 4、系統(tǒng)運行中出現故障或出現不明意義的提示時，操作人員應保護現場，及時與系統(tǒng)管理員聯系。由于操作人員擅自處理故障而引起的后果由操作人員自己負責。 5、系統(tǒng)管理員在不能直接排除故障并且沒有替代解決方案， 應請求上一級部門系統(tǒng)管理員或專業(yè)維護人員的技術支持。6、要建立系統(tǒng)管理維護記錄本實行系統(tǒng)維護記錄制度。 對故障的發(fā)生時間、 表現、 解決辦法及結果等進行詳細的記錄， 并由維護人員或系統(tǒng)管理員簽字。 系統(tǒng)管理維護記錄本的登記要條理清楚、 時間準確， 字跡工整。 7、對于兩個以上的系統(tǒng)維護管理人員應進行合理的分工， 充分發(fā)揮系統(tǒng)管理員的作用， 不斷加強系統(tǒng)維護的技術保障， 逐步形成一套有效的系統(tǒng)維護管理體制。 八、檔案及數據管理制度1、公司信息系統(tǒng)檔案包括： （1）數據庫備份資料 ； （2）軟件升級前的數據庫備份；（3）打印輸出的經過蓋章簽字的會計資料；（4）每年一次的經系統(tǒng)管理員簽字的系統(tǒng)管理維護記錄本存檔；（5）所有版本的系統(tǒng)、 網絡、 數據庫、 軟件；（6）軟件的開發(fā)文檔、 源程序；（7）其他應該存檔的資料或數據。 2、打印輸出的憑證、 報表、 帳簿等各種會計資料的保存按財政部會計檔案管理辦法 執(zhí)行。 數據庫的備份要永久保留。 以膠片、 磁、 光等介質保存的數據的檔案應按照有關規(guī)定保存在溫濕度適宜、 陽光不直射， 并且不能被損害的場所。 3、以磁介質存儲的數據應定期更換新的介質進行再拷貝。 4、本章未及內容按照財政部會計檔案管理辦法 執(zhí)行。附件：補丁更新記錄臺帳、數據備份登記臺帳、服務器等設備維護登記表、檔案移交登記表的樣本。1.1.4中心機房管理規(guī)定為進一步做好公司信息化管理工作，提高精細化管理水平，降低辦公費用消耗，確保公司網絡通訊系統(tǒng)的暢通，按照公司信息安全管理規(guī)定，特制訂中心機房管理規(guī)定。本規(guī)定適用于中心機房的管理，機房工作人員要認真遵守，并作為日常行為規(guī)范。一、機房人員日常行為準則1.1必須注意環(huán)境衛(wèi)生。禁止在機房內抽煙、吃食物、隨地吐痰，保持機房無塵潔凈環(huán)境。1.2機房用品要各歸其位，不能隨意亂放,不許堆放雜物。注意檢查機房的防曬、防水、防潮，維持機房環(huán)境通爽，保證機房的適當溫度和適度。1.3中心機房每周清掃一次，物品要擺放整齊，保持安靜清潔的工作環(huán)境。二、機房安全制度2.1禁止帶領與機房工作無關的人員進出機房，建立機房準入制度，凡進入機房人員必須得到技術保障部經理允許，并進行登記（格式見公司管理處機房出入登記表），由技術保障部人員全程陪同。2.2未經主管領導批準，禁止將密碼、信息外借透露給其它人員，同時有責任對信息保密。對于泄露信息的情況要及時上報，并積極主動采取措施保證機房安全。2.3重點做好機房防火、防水、防潮濕、防干燥、防短路、防斷路、防老鼠、防盜、防高溫，出現機房盜竊、破門、火警、水浸、110報警等嚴重事件時，網絡信息工作人員有義務以最快的速度和最短的時間到達現場，協助處理相關的事件。2.4工作人員離開工作區(qū)域前，應保證工作區(qū)域內保存的重要文件、資料、設備、數據處于安全保護的狀態(tài)。三、機房用電安全制度3.1機房工作人員應學習常規(guī)的用電安全操作知識，了解機房內部的供電、用電設施的操作規(guī)程。掌握機房用電應急處理步驟、措施、要領。定期檢查供電、用電設備、設施。3.2機房不得亂拉亂接電線及用電設備。如發(fā)現用電安全隱患，應及時采取措施解決，不能解決的必須及時向主管領導匯報。3.3在危險性高的位置應張貼相應的安全操作方法、警示以及指引，實際操作時應嚴格執(zhí)行。3.4在外部供電系統(tǒng)停電時，機房工作人員應全力配合完成停電應急工作，啟動應急設備，或及時關閉計算機系統(tǒng)。四、機房消防安全制度4.1機房管理人員應熟悉機房內部消防安全操作規(guī)則，了解消防設備操作原理、掌握消防應急處理步驟、措施和要領。4.2工作人員要保護消防設備不被破壞。如發(fā)現消防安全隱患，應及時采取措施解決，不能解決的應及時向相關負責人員提出解決。4.3最后離開機房的工作人員，應檢查消防設備的工作狀態(tài)消防器材的完好，關閉將會帶來消防隱患的設備，采取措施保證無人狀態(tài)下的消防安全。五、機房硬件設備安全使用制度5.1機房人員必須熟知機房內設備的基本安全操作規(guī)則。應定期檢查、整理硬件物理連接線路，定期檢查硬件運作狀態(tài)。5.2禁止隨意在設備上進行安裝、拆卸硬件、或隨意更改設備連線、禁止隨意進行硬件復位。禁止在服務器上進行試驗性質的配置操作，需要對服務器進行配置，應在其它可進行試驗的機器上調試通過并確認可行后，才能對服務器進行準確的配置。5.3對影響到全公司的硬件設備的更改、調試等操作應預先發(fā)布通知，并且應有充分的時間、方案、人員準備，才能進行硬件設備的更改。對重大設備設置的更改，必須首先形成方案文件，經過討論確認可行后，由具備資格的技術人員進行更改和調整，并應做好詳細的更改和操作記錄。對設備的更改、升級、配置等操作之前，應對更改、升級、配置所帶來的負面后果做好充分