电子文件载体保护与信息安全管理
【摘要】本文通过分析电子文件的特点，探究对电子文件载体保护方法与信息安全管理策略，以确保电子文件的原始性、完整性、真实性，使电子文件有效地、可靠地服务社会。
【关键词】电子文件；载体保护；信息安全；管理策略
电子文件是指在数字设备及环境中形成，以数码形式存储于磁带、磁盘、光盘等载体，依赖计算机等数字设备阅读、处理，并可在通信网络上传送的文件。然而，当前许多单位缺乏对电子文件载体科学保存与信息安全管理技术重视，因此有必要采取相关管理方法确保电子文件载体保护和信息安全。
一、电子文件的特点
（一）信息的非人工识读性
由于电子文件的存贮载体是磁盘、磁带和光盘等具有“海量存储”之称介质中，以数字编码序列的形式存在的，必须由相应的计算机设备将载体上编码序列读取出来，然后转换成人能识别的形式显示在屏幕上或打印纸上，具有非人工识读性。同时电子文件从形成、传输到存储都是通过计算机实现的，对于系统具有依赖性。
（二）信息与载体之间的可分离性
电子文件与纸质文件不同在于：纸质文件的信息与载体是不可分离的，而电子文件则是信息与载体之间是可分离的。电子文件中的信息不一定具有固定的物理位置，可以从一个载体转换到另一个载体上，也可以对非实体形态进行加工和管理。这种分离性造成了电子文件信息的易于更改，而且改后可不留任何痕迹，同时也可以造成信息易复制和易传输等。一旦管理不当，则会影响电子文件的真实性、系统性和完整性。
（三）多种信息媒体的集成性
过去的文件一般只能记录一种或两种信息媒体，使用多媒体计算机之后，电子文件可将图文信息、音频信号、视频图像等不同媒体形式的信息记录在同一份文件上，使其达到声像并茂，真实地再现当时的活动情况，从而使具有了多种信息集成性特点。
二、对电子文件的管理策略
（一）电子文件载体的物理保护
信息安全管理制度 目录 1.安全管理制度要求 1.1总则：为了切实有效的保证公司信息安全，提高信息系统为公司生产经营的服务能力，特制定交互式信息安全管理制度，设定管理部门及专业管理人员对公司整体信息安全进行管理，以确保网络与信息安全。 1.1.1建立文件化的安全管理制度，安全管理制度文件应包括： a)安全岗位管理制度； b)系统操作权限管理； c)安全培训制度； d)用户管理制度； e)新服务、新功能安全评估； f)用户投诉举报处理； g)信息发布审核、合法资质查验和公共信息巡查； h)个人电子信息安全保护； i)安全事件的监测、报告和应急处置制度； j)现行法律、法规、规章、标准和行政审批文件。 1.1.2安全管理制度应经过管理层批准，并向所有员工宣贯 2.机构要求 2.1 法律责任 2.1.1互联网交互式服务提供者应是一个能够承担法律责任的组织或个人。 2.1.2互联网交互式服务提供者从事的信息服务有行政许可的应取得相应许可。 3.人员安全管理 3.1 安全岗位管理制度 建立安全岗位管理制度，明确主办人、主要负责人、安全责任人的职责：岗位管理制度应包括保密管理。 3.2 关键岗位人员 3.2.1关键岗位人员任用之前的背景核查应按照相关法律、法规、道德规范和对应的业务要求来执行，包括： 1.个人身份核查： 2.个人履历的核查： 3.学历、学位、专业资质证明： 4.从事关键岗位所必须的能力 3.2.2 应与关键岗位人员签订保密协议。 3.3 安全培训 建立安全培训制度，定期对所有工作人员进行信息安全培训，提高全员的信息安全意识，包括： 1.上岗前的培训； 2.安全制度及其修订后的培训； 3.法律、法规的发展保持同步的继续培训。 应严格规范人员离岗过程： a)及时终止离岗员工的所有访问权限； b)关键岗位人员须承诺调离后的保密义务后方可离开； c)配合公安机关工作的人员变动应通报公安机关。
信息安全管理流程说明书 （S-I）
信息安全管理流程说明书 1 信息安全管理 1.1目的 本流程目的在于规范服务管理和提供人员在提供服务流程中应遵循和执行的相关活动，保证信息安全管理目标的实现，满足SLA中的信息安全性需求以及合同、法律和外部政策等的要求。 1) 在所有的服务活动中有效地管理信息安全； 2) 使用标准的方法和步骤有效而迅速的处理各种与信息安全相关的问题，识别并跟 踪组织内任何信息安全授权访问； 3) 满足服务级别协议、合同、相关法规所记录的各项外部信息安全需求； 4) 执行操作级别协议和基础合同范围内的信息安全需求。 1.2范围 本安全管理流程的规定主要是针对由公司承担完全维护和管理职责的IT系统、技术、资源所面临的风险的安全管理。 向客户提供服务的相关人员在服务提供流程中所应遵循的规则依据公司信息安全管理体系所设定的安全管理规定，以及客户自身的相关安全管理规定。 公司内部信息、信息系统等信息资产相关的安全管理也应遵循公司信息安全管理体系所设定的安全管理规定。 2术语和定义 2.1相关ISO20000的术语和定义 1) 资产（Asset）：任何对组织有价值的事物。 2) 可用性（Availability）：需要时，授权实体可以访问和使用的特性。 3) 保密性（Confidentiality）：信息不可用或不被泄漏给未授权的个人、实体和流程的 特性。 4) 完整性（Integrity）：保护资产的正确和完整的特性。
5) 信息安全（Information security）：保护信息的保密性、完整性、可用性及其他属 性，如：真实性、可核查性、可靠性、防抵赖性。 6) 信息安全管理体系（Information security management system ISMS）：整体管理 体系的一部分，基于业务风险方法以建立、实施、运行、监视、评审、保持和改 进信息安全。 7) 注：管理体系包括组织机构、策略、策划、活动、职责、惯例、程序、流程和资 源。 8) 风险分析（Risk analysis）：系统地使用信息以识别来源和估计风险。 9) 风险评价（Risk evaluation）：将估计的风险与既定的风险准则进行比较以确定重 要风险的流程。 10) 风险评估（Risk assessment）：风险分析和风险评价的全流程。 11) 风险处置（Risk treatment）：选择和实施措施以改变风险的流程。 12) 风险管理（Risk management）：指导和控制一个组织的风险的协调的活动。 13) 残余风险（Residual risk）：实施风险处置后仍旧残留的风险。 2.2其他术语和定义 1) 文件（document）：信息和存储信息的媒体； 注1：本标准中，应区分记录与文件，记录是活动的证据，文件是目标的证据； 注2：文件的例子，如策略声明、计划、程序、服务级别协议和合同； 2) 记录（record）：描述完成结果的文件或执行活动的证据； 注1：在本标准中，应区分记录与文件，记录是活动的证据，文件是目标的证据； 注2：记录的例子，如审核报告、变更请求、事故响应、人员培训记录； 3) KPI：Key Performance Indicators 即关键绩绩效指标；也作Key Process Indication即关键流程指标。是通过对组织内部流程的关键参数进行设置、取样、 计算、分析，衡量流程绩效的一种目标式量化管理指标，流程绩效管理的基础。
历史修订记录
1 目的 为了防止信息的泄密，避免严重灾难的发生，特制定此程序。 2 适用范围 包括但不限于计算机网络、个人计算机、互联网、邮件、电子文件和其他电子服务等相关设备、设施或资源。 3 术语和定义 ePHI：电子受保护健康信息。 IIHI：个人可识别健康信息。 4 职责与权限 4.1信息安全负责人 i.负责批准《系统/软件账号申请单》； ii.负责安全事件的确认和处理。 4.2客服部 i.负责医数聚系统的管理。 4.3人力资源部 i.负责硬件和移动设备的管理； ii.负责钉钉、钉邮和微信的管理。 4.4质量管理部 i.负责监督网络信息安全管理的执行。 4.5各部门 i.负责按照网络信息安全管理要求执行。 5 程序 5.1个人ePHI不论存储媒介，包括但不限于：姓名、年龄、性别、病例、医疗数据； 均需要采取措施，防止泄露。 5.1.1员工获得IIHI的程度应基于员工的工作性质及其相关的职责，员工可以访问他 们完成工作所需的所有IIHI，但不能获得更多的访问权限。 5.1.2任何员工都不可获得比其清除水平更高的IIHI水平。 5.2硬件和移动设备的管理控制 5.2.1硬件和移动设备包括但不限于：计算机、笔记本电脑、移动硬盘、U盘、光碟。 5.2.2硬件和移动设备的领用
5.2.2.1员工办公用到的硬件和移动设备采取实名登记制，由人力资源部通过《硬件 和移动设备领用登记表》做好登录管理，并每年梳理一次，以保证信息的正确性。 5.2.2.2当员工领用新的硬件或移动设备后，应第一时间设置使用密码，密码设置不 可过于简单，避免使用姓名、生日、简单数字等，使用密码只可自己知悉，不可告知其他同事，更不可记录下存放在显眼易获取位置，当员工察觉密码存在泄漏、丢失、被获取的可能时，一小时内上报信息安全责任人知悉，由信息安全责任人按照《安全事件管理程序》执行。为了防止密码被获知，人力资源部需监督员工每半年更换一次使用密码。 5.2.2.3员工离岗超过五分钟需对工位的硬件和移动设备进行保密操作，如拔出移动 硬盘存放在带锁抽屉，启动计算机的屏保功能等。保密操作如可以由设备自动执行，人力资源部应监督员工提前设置好。 5.2.2.4因员工离职、调岗等原因需要退回或变更硬件或移动设备时，退回或变更的 硬件和移动设备，在使用前，由人力资源部对其进行使用痕迹的清除工作，并填写记录《硬件和移动设备使用痕迹清除记录表》，质量管理部监督执行情况。 5.2.3硬件和移动设备损坏需要维修时，以防信息的泄露不可将设备带出公司维修， 需请专业人士上门维修，且全程需要有人员陪同在监控覆盖区域进行，对维修单位或个人按照《业务伙伴的管理程序》执行。 5.3系统/软件管理控制 5.3.1我司现有涉及PHI传输的系统/软件：医数聚系统、钉钉、钉邮、微信。 5.3.2医数聚系统由客服部负责管理，钉钉、钉邮、微信由人力资源部负责管理。 5.3.3我司系统/软件实行一人一账号的原则，个人账号不得相互借用，员工因工作需 要需要登录系统/软件时，需填写《系统/软件账号申请单》，交部门负责人审核，信息安全责任人批准后，交给管理部门开通账号及相关权限，管理部门需建立系统/软件《用户管理一览表》，管理系统/软件的使用人员及其权限相关信息，当员工离职、调岗时，管理部门需在收到信息的第一时间对该账户状态或权限做变更处理。管理部门应不定期的对《用户管理一览表》进行信息确认，以确保其准确无误。 5.3.4员工获得系统/软件的账号及初始密码后，需更改初始密码，密码的管理参见 5.2.2.2。 5.3.5为了确保信息传输在监控下进行，相关部门和人员对外联络应使用公司提供的系 统或软件账号进行。 5.3.6与ePHI相关的信息传输，尽可能在医数聚系统中完成，如必须使用钉钉、钉邮、 微信等，应遵循文件的加密规定。 5.3.7医数聚系统操作控制 5.3.7.1医数聚系统中对每个订单的处理都会形成“订单操作记录”，客服部需每季度
电子文档安全管理系统快捷使用指南 【V2.1.0.2】 （请在使用产品前仔细阅读本指南） 卫士通信息产业股份有限公司 二Ｏ一Ｏ年制
目录 1 关于本指南 (3) 2 安全提示或说明 (3) 3 软件安装使用所需要的信息 (3) 4 软件安装步骤 (3) 4.1服务器安装 (3) 4.1.1 安装软件狗驱动 (3) 4.1.2 安装加密卡设备驱动程序 (4) 4.1.3 安装FTP服务器 (5) 4.1.4 安装SQL SERVER服务器 (5) 4.1.5 安装服务端加密控件 (5) 4.1.6 安装电子文档安全管理系统服务器 (6) 4.2客户端安装 (6) 4.2.1 安装客户端加密控件 (6) 4.2.2 安装电子文档安全管理系统客户端 (7) 4.2.3 安装打印共享客户端 (7) 5 软件使用 (8) 5.1SQL数据库设置 (8) 5.2服务端参数设置 (10) 5.3FTP服务器的设置 (11) 5.4系统组织管理 (11) 5.5打印权限管理 (13) 5.6标密定密管理 (14) 5.7文件传输及打印 (16) 5.8文件备份 (18) 6 常见问题及疑难解答 (19)
1关于本指南 本指南用来帮助您了解电子文档安全管理系统V2.1.0.2的安装和使用。 2安全提示或说明 确保服务器端的持续性供电。 3软件安装使用所需要的信息 确保服务器端已正确插入加密卡，支持SJY115-F和高速签名卡两种。 确保客户端已领到加密模块，并已正确发放证书。 4软件安装步骤 4.1服务器安装 4.1.1安装软件狗驱动 运行光盘中Dog\SoftDogInstdrv.exe文件，出现图 1操作界面，点击“安装”按钮开始安装软件狗的驱动程序；
信息安全管理制度 为加强公司各信息系统管理，保证信息系统安全，根据《中华人民共和国保守国家秘密法》和国家保密局《计算机信息系统保密管理暂行规定》、国家保密局《计算机信息系统国际联网保密管理规定》，及上级信息管理部门的相关规定和要求，结合公司实际，制定本制度。 本制度包括网络安全管理、信息系统安全保密制度、信息安全风险应急预案 网络安全管理制度 第一条公司网络的安全管理，应当保障网络系统设备和配套设施的安全，保障信息的安全，保障运行环境的安全。 第二条任何单位和个人不得从事下列危害公司网络安全的活动： 1、任何单位或者个人利用公司网络从事危害公司计算机网络及信息系统的安全。 2、对于公司网络主结点设备、光缆、网线布线设施，以任何理由破坏、挪用、改动。 3、未经允许，对信息网络功能进行删除、修改或增加。 4、未经允许，对计算机信息网络中的共享文件和存储、处理或传输的数据和应用程序进行删除、修改或增加。 5、故意制作、传播计算机病毒等破坏性程序。
6、利用公司网络，访问带有“黄、赌、毒”、反动言论内容的网站。 7、向其它非本单位用户透露公司网络登录用户名和密码。 8、其他危害信息网络安全的行为。 第三条各单位信息管理部门负责本单位网络的安全和信息安全工作，对本单位单位所属计算机网络的运行进行巡检，发现问题及时上报信息中心。 第四条连入公司网络的用户必须在其本机上安装防病毒软件，一经发现个人计算机由感染病毒等原因影响到整体网络安全，信息中心将立即停止该用户使用公司网络，待其计算机系统安全之后方予开通。 第五条严禁利用公司网络私自对外提供互联网络接入服务，一经发现立即停止该用户的使用权。 第六条对网络病毒或其他原因影响整体网络安全的子网，信息中心对其提供指导，必要时可以中断其与骨干网的连接，待子网恢复正常后再恢复连接。
最新ISO27001信息安全管理体系全套文件（手册+程序文件+作业规范）
信息安全管理体系程序文件目录
信息安全管理体系作业文件目录
1 适用 本程序适用于公司信息安全事故、薄弱点、故障和风险处置的管理。 2 目的 为建立一个适当信息安全事故、薄弱点、故障风险处置的报告、反应与处理机制，减少信息安全事故和故障所造成的损失，采取有效的纠正与预防措施，正确处置已经评价出的风险，特制定本程序。 3 职责 3.1 各系统归口管理部门主管相关的安全风险的调查、处理及纠正措施管理。 3.2 各系统使用人员负责相关系统安全事故、薄弱点、故障和风险的评价、处置报告。 4 程序 4.1 信息安全事故定义与分类： 4.1.1 信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等原因直接造成下列影响（后果)之一，均为信息安全事故： a) 企业秘密、机密及国家秘密泄露或丢失； b) 服务器停运4 小时以上； c) 造成信息资产损失的火灾、洪水、雷击等灾害； d) 损失在十万元以上的故障/事件。 4.1.2 信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等原因直接造成下列影响（后果)之一，属于重大信息安全事故： a) 企业机密及国家秘密泄露； b) 服务器停运8 小时以上； c) 造成机房设备毁灭的火灾、洪水、雷击等灾害； d) 损失在一百万元以上的故障/事件。 4.1.3 信息安全事件包括： a) 未产生恶劣影响的服务、设备或者实施的遗失； b) 未产生事故的系统故障或超载； c) 未产生不良结果的人为误操作； d) 未产生恶劣影响的物理进入的违规
. . 1目的 明确公司信息化及信息资源管理要求，对内外部信息及信息系统进行有效管理，以确保各部门( 单位 ) 和岗位能及时、安全地识别、获取并有效运用、保存所需信息。 2适用范围 适用于公司信息化管理及信息收集、整理、转换、传输、利用与发布管理。 3术语和定义 3.1信息 有意义的数据、消息。公司的信息包括管理体系所涉及的质量、环境、职业健康安全、测量、标准 化、内部控制、三基等和生产经营管理中所有信息。 3.2企业信息化 建立先进的管理理念，应用先进的计算机网络技术，整合、提升企业现有的生产、经营、设计、制 造、管理方式，及时为企业各级人员的决策提供准确而有效的数据信息，以便对需求做出迅速的反应， 其本质是加强企业的“核心竞争力” 。 3.3信息披露 指公司以报告、报道、网络等形式，向总部、地方政府报告或向社会公众公开披露生产经营管理相 关信息的过程。 3.4 ERP 企业资源规划 3.5 MES 制造执行系统 3.6LIMS 实验室信息管理系统 3.7IT 信息技术 4职责 4.1信息化工作领导小组负责对公司信息化管理工作进行指导和监督、检查，对重大问题进行决策， 定期听取有关信息化管理的工作汇报，协调解决信息化过程中存在的有关问题。 4.2 ERP支持中心负责公司ERP系统运行、维护管理，每月召开ERP例会，分析总结系统运行情况， 协调处理有关问题，及时向总部支持中心上报月报、年报。 4.3信息中心是公司信息化工作的归口管理部门，主要职责： a) 负责制定并组织实施本程序及配套规章制度，对各部门( 单位 ) 信息化工作进行业务指导和督促； b)负责信息化建设管理，组织进行信息技术项目前期管理，编制信息建设专业发展规划并组织实施； c) 负责统一规划、组织、整合和管理公司信息资源系统，为各部门( 单位 ) 信息采集、整理、汇总和 发布等环节提供技术支持；对Internet用户、电子邮箱进行设置管理；统一管理分公司互联网出口； d) 负责计算机网络系统、信息门户和各类信息应用系统的安全运行和维护及计算机基础设施、计算
平安校园安全管理系统 【方案介绍】 针对平安校园的安防建设需求，率先推出了完整的平安校园安防融合管理解决方案，目前已在全国许多省市试点推广使用，全国用户量已经达到20多万。该方案以安卓星校园安全管理平台融合安防管理平台为核心，一方面通过统一的、高度集中的管理平台，实现校园多个安防系统的全面融合与统一管理，简化管理流程，提升管理效率；另一方面通过视频监控与各安防子系统的联动整合，提升校园的综合防范能力。 随着平安校园建设的步伐加快，校园安防系统无疑成为各个学校建设的重点项目。校园安防，主要是利用家校互动平台、视频监控、
防盗报警、进出校自动考勤、身份识别、巡更系统、紧急求助、呼叫系统、等各种硬件设施保障校园安全。不过，对于不同规模的学校，并不是所有的安防系统设施都需要重点建设的，教育机构可以根据自身的需求以及预算等因素进行调整，已确保建设出一个“高性价比”的安防体系。 ?实现主要功能 通过安卓星校园安全管理平台与安防融合管理解决方案，可实现学生自主防御，亲情通话、定位，求救，视频监控、防盗报警、电子围栏、进出校自动考勤、公共广播等安防子系统的集成与统一管理。 1） 1、安卓星校园安全管理平台之家校互动 建立当地的校园安全管理平台，整合全线资源到平台中来，实现大平台与手机APP平台无缝对接，融合各方资源提升平台增值服务。登陆入口，通过登陆到校园管理平台管理学生信息、在校情况，家庭作业、考勤、教师应用平台等实现电子学生证的定位，跟踪，亲情通话等功能
2、合作商地方管理平台 合作商管理平台登陆入口，合作商通过登陆到安卓星电子学生证区域管理应用平台实现远程身份ID号码管理，管理好自己所在区域的客户开通、停止服务的时限等。。。 3、APP移动互联网终端平台 APP登陆界面家长APP 老师APP APP应用平台，通过移动互联网终端了解被监护人的相关信息及家、校互动的大平台中的所有功能，建立合作商当地的APP主站，
公司IT信息安全管理制度4 富世康公司IT信息安全管理制度 第一条总则通过加强公司计算机系统、办公网络、服务器系统的管理，保证网络系统安全运行，保证公司机密文件的安全，保障服务器、数据库的安全运行。加强计算机使用人员的安全意识，确保计算机系统正常运转。 第二条范围 1、计算机网络系统由计算机硬件设备、软件及客户机的网络系统配置组成。 2、软件包括：服务器操作系统、SQL数据库、金蝶财务软件、浩龙餐饮管理软件、思迅商业管理软件、今目标办公自动化系统、微励系统及其它办公软件。 3、客户机的网络系统配置包括客户机在网络上的名称，IP 地址分配，用户登陆名称、用户密码、及Internet的配置等。 4、系统软件是指：操作系统（如WINDOWS XP、SERVER2008、WINDOWS7等）软件。 第三条职责 1、信息部为网络安全运行的管理部门，负责公司计算机网络系统、计算机系统、数据库系统的日常维护和管理。 2、负责系统软件的调研、采购定型、安装、升级、保管工作。
3、网络管理人员负责计算机网络系统、办公自动化系统、平台系统的安全运行；服务器安全运行和数据备份；Internet对外接口安全以及计算机系统防病毒管理；各种软件的用户密码及权限管理协助各部门进行数据备份和数据归档。 4、网络管理人员执行公司保密制度，严守公司商业机密。 5、员工执行计算机安全管理制度，遵守公司保密制度。 6、系统管理员的密码必须由网络管理部门相关人员掌握。 第三条管理办法 I、公司计算机使用管理制度 1、从事计算机网络信息活动时，必须遵守《计算机信息网络国际联网安全保护管理办法》的规定，应遵守国家法律、法规，加强信息安全教育。 2、计算机等硬件设备由公司统一配置并定位，任何部门和个人不得允许私自挪 用调换、外借和移动电脑。 3、电脑硬件及其配件添置应列出清单报审计部，在征得公司领导同意后，由信息部负责进行添置。 4、电脑操作应按规定的程序进行。 （1）电脑的开、关机应按按正常程序操作，因非法操作而使电脑不能正常使用的，修理费用由该部门负责；
《ISMS方针、手册、程序文件模板》 1 信息安全管理手册 2 信息安全适用性声明 3 信息安全管理体系程序文件 3.01文件管理程序 3.02记录管理程序 3.03纠正措施管理程序 3.04预防措施控制程序 3.05信息安全沟通协调管理程序 3.06管理评审程序 3.07相关方信息安全管理程序 3.08信息安全风险管理程序 3.09信息处理设施安装使用管理程序 3.10计算机管理程序 3.11电子邮件管理程序 3.12信息分类管理程序 3.13商业秘密管理程序 3.14员工聘用管理程序 3.15员工培训管理程序 3.16信息安全奖惩管理程序 3.17员工离职管理程序 3.18物理访问管理程序 3.19信息处理设施维护管理程序 3.20信息系统变更管理程序 3.21第三方服务管理程序 3.22信息系统接收管理程序 3.23恶意软件管理程序 3.24数据备份管理程序 3.25网络设备安全配置管理程序 3.26可移动介质管理程序 3.27介质处置管理程序 3.28信息系统监控管理程序 3.29用户访问管理程序 3.30远程工作管理程序 3.31信息系统开发管理程序 3.32数据加密管理程序 3.33信息安全事件管理程序 3.34业务持续性管理程序 3.35信息安全法律法规管理程序 3.36内部审核管理程序 4 信息安全管理体系作业文件 4.01员工保密守则 4.02员工保密协议管理制度 4.03Token管理规定 4.04产品运输保密管理规定 4.05介质销毁办法 4.06信息中心机房管理制度 4.07信息中心信息安全处罚规定 4.08信息中心密码管理规定 4.09档案室信息销毁制度 4.10电子数据归档管理规定 4.11生产系统机房管理规定 4.12机房安全管理规定 4.13计算机应用管理岗位工作标准 4.14信息开发岗位工作标准 4.15系统分析员岗位工作标准 4.16各部门微机专责人工作标准 4.17网络通信岗位工作标准 4.18监视系统管理规定 4.19数据加密管理规定 4.20涉密计算机管理规定 4.21电子邮件使用准则 4.22互联网使用准则 4.23档案室信息安全职责 4.24市场部信息安全岗位职责规定 4.25复印室管理规定 4.26机房技术资料管理制度 4.27市场部计算机机房管理规定 4.28信息安全记录的分类和保存期限 4.29信息安全事件分类规定 4.30保安业务管理规定 4.31计算机硬件管理维护规定 4.32网站信息发布管理规定 4.33工具及备品备件管理制度 4.34财务管理系统访问权限说明 4.35信息安全管理程序文件编写格式 5 信息安全策略文件 5.01信息资源保密策略 5.02信息资源使用策略 5.03安全培训策略 5.04第三方访问策略 5.05物理访问策略 5.06变更管理安全策略 5.07病毒防范策略 5.08可移动代码防范策略 5.09备份安全策略 5.10信息交换策略 5.11信息安全监控策略 5.12访问控制策略 5.13帐号管理策略 5.14特权访问管理策略 5.15口令策略 5.16清洁桌面和清屏策略 5.17网络访问策略 5.18便携式计算机安全策略 5.19远程工作策略 5.20网络配置安全策略 5.21服务器加强策略 5.22互联网使用策略 5.23系统开发策略 5.24入侵检测策略 5.25软件注册策略 5.26事件管理策略 5.27电子邮件策略 5.28加密控制策略 6 信息安全管理体系记 录 6.01信息安全风险评估计划 6.02信息安全风险评估报告 6.03信息安全风险处理计划 6.04信息安全内部专家名单 6.05信息安全外部顾问名单 6.06信息安全法律、法规清单 6.07信息安全法律法规符合性评估表 6.08信息安全法律法规要求清单 6.09信息安全法律法规实施控制一览表 6.10相关方一览表 6.11信息安全薄弱点报告 6.12信息安全文件审批表 6.13信息安全文件一览表 6.14文件修改通知单 6.15文件借阅登记表 6.16文件发放回收登记表 6.17文件销毁记录表 6.18信息安全记录一览表 6.19记录借阅登记表 6.20记录销毁记录表 6.21信息安全重要岗位一览表 6.22信息安全重要岗位员工一览表 6.23信息安全重要岗位评定表 6.24员工年度培训计划 6.25信息安全培训计划 6.26员工离职审批表 6.27第三方服务提供商清单 6.28第三方服务风险评估表 6.29第三方保护能力核查计划 6.30第三方保护能力核查表 6.31信息设备转移单 6.32信息设备转交使用记录 6.33信息资产识别表 6.34计算机设备配置说明书 6.35计算机配备一览表 6.36涉密计算机设备审批表 6.37涉密计算机安全保密责任书 6.38信息设备（设施）软件采购申请 6.39信息处理设施使用情况检查表 6.40应用软件测试报告 6.41外部网络访问授权登记表 6.42软件一览表 6.43应用软件开发任务书 6.44敏感重要信息媒体处置申请表 6.45涉密文件复印登记表 6.46文章保密审查单 6.47对外提交涉密信息审批表 6.48机房值班日志 6.49机房人员出入登记表 6.50机房物品出入登记表 6.51时钟校准记录 6.52用户设备使用申请单 6.53用户访问授权登记表a 6.54用户访问授权登记表 b 6.55用户访问权限评审记录 6.56远程工作申请表 6.57远程工作登记表 6.58电子邮箱申请表 6.59电子邮箱一览表 6.60电子邮箱使用情况检查表 6.61生产经营持续性管理战略计划 6.62生产经营持续性管理计划 6.63生产经营持续性计划测试报告 6.64生产经营持续性计划评审报告 6.65私人信息设备使用申请单 6.66计算机信息网络系统容量规划 6.67软件安装升级申请表 6.68监控活动评审报告 6.69信息安全故障处理记录 6.70系统测试计划 6.71网络打印机清单 6.72设备处置再利用记录 6.73设施系统更改报告 6.74软件设计开发方案 6.75软件设计开发计划 6.76软件验收报告 6.77重要信息备份周期一览表 6.78操作系统更改技术评审报告 6.79事故调查分析及处理报告 6.80上级单位领导来访登记表 6.81第三方物理访问申请授权表 6.82第三方逻辑访问申请授权表 6.83重要安全区域访问审批表 6.84重要安全区域控制一览表 6.85重要安全区域检查表 6.86人工查杀病毒记录表 1 / 1
信息安全管理程序 1.目的 为了防止信息和技术的泄密,避免严重灾难的发生，特制定此安全规定。。2.适用范围 包括但不限于电子邮件、音频邮件、电子文件、个人计算机、计算机网络、互联网和其它电子服务等相关设备、设施或资源。 2.1权责 2.1.1人力资源部：负责信息相关政策的规划、制订、推行和监督。 2.2.2 IT部：负责计算机、计算机网络相关设备设施的维护保养以及信息数据的备份相关事务处理。 2.2.3全体员工：按照管理要求进行执行。 3.内容 3.1公司保密资料： 3.1.1公司年度工作总结，财务预算决算报告，缴纳税款、薪资核算、营销报表和各种综合统计报表。 3.1.2公司有关供货商资料，货源情报和供货商调研资料。 3.1.3公司生产、设计数据，技术数据和生产情况。 3.1.4公司所有各部门的公用盘共享数据，按不同权责划分。 3.2公司的信息安全制度 3.2.1 凡涉及公司内部秘密的文件数据的报废处理，必须碎纸后丢弃处理。 3.2.2 公司员工工作所持有的各种文件、数据、电子文件，当本人离开办公室外出时，须存放入文件柜或抽屉，不准随意乱放，更未经批准，不能复制抄录或携带外出。 3.2.3 未经公司领导批准，不得向外界提供公司的任何保密数据和任何客户数据。 3.2.4经理室要运用各种形式经常对所属员工进行信息安全教育，增强保密意识：3.2. 4.1在新员工入职培训中进行信息安全意识的培训，并经人事检测合格后,方可建立其网络账号及使用资格。 3.2. 4.2每年对所有计算机用户至少进行一次计算机安全检查，包括扫病,去除与工作无关的软件等。 3.2.5不要将机密档及可能是受保护档随意存放，文件存放在分类目录下指定位
试论电子文档安全管理系统方案设计-论文论文关键词:电子文档 泄密 传统控制方案 有效控制方案 论文摘要:为了更有效防止文件的非法访问和输入、输出。就需要一套合理有效的电子文档安全管理方案。以犯罪行为心里学为理论指导,以安全事件过程管理为主线,实现事前预防、事中控制、事后审计的安全管理。 现在大家谈论到信息安全,首先想到的就是病毒、黑客入侵,在媒体的宣传下,病毒、黑客已经成为危害信息安全的罪魁祸首。然而,对计算机系统造成重大破坏的往往不是病毒、黑客,而是组织内部人员有意或无意对信息的窥探或窃取。从技术上来讲,内部人员更易获取信息,因为内部人员可以很容易地辨识信息存储地,且无需拥有精深的IT知识,只要会操作计算机,就可以轻易地获取自己想要得资料,相对而言,黑客从外部窃取资料就比较困难,首先,他们要突破防火墙等重重关卡,然后,还要辨别哪些是他们
想要的信息。 FBI和CSI对484家公司进行了网络安全专项调查,调查结果显示:超过85%的安全威胁来自单位内部,其中16%来自内部未授权的存取, 14%来自专利信息被窃取, 12%来自内部人员的欺骗,只有5%是来自黑客的攻击;在损失金额上,由内部人员泄密导致的损失高达60,565,000美元,是黑客所造成损失的16倍,病毒所造成损失的12倍。这组数据充分说明了内部人员泄密的严重危害,同时也提醒国内组织应加强网络内部安全建设。 1 电子文档泄密途径主要有以下几点 1)通过软盘驱动器、光盘驱动器、光盘刻录机、磁带驱动器等存储设备泄密;
2)通过COM、LPT端口、调制解调器、USB存储设备、1394、红外线等通讯设备泄密; 3)通过邮件、FTP等互联网方式 泄密; 4)接入新的通讯或存储设备,如:硬盘; 5)通过添加打印机、使用网络打印机将资料打印后带出; 6)通过便携式电脑进入局域网窃取信息,带离单位;
* 主办部门：系统运维部 执笔人： 审核人： XXXXX 信息安全管理体系文件控制管理规定 XXX-XXX-XX-02001 2014年3月17日
[本文件中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属XXXXX所有，受到有关产权及版权法保护。任何个人、机构未经XXXXX的书面授权许可，不得以任何方式复制或引用本文件的任何片断。] 文件版本信息 文件版本信息说明 记录本文件提交时当前有效的版本控制信息，当前版本文件有效期将在新版本文档生效时自动结束。文件版本小于时，表示该版本文件为草案，仅可作为参照资料之目的。 阅送范围 内部发送部门：综合部、系统运维部、技术开发部
目录 第一章总则.................................. 错误!未定义书签。第二章细则.................................. 错误!未定义书签。第三章附则.................................. 错误!未定义书签。附件：........................................ 错误!未定义书签。
第一章总则 第一条为规范XXXXX信息安全管理体系文件的审批、发布、分发、更改、保管和作废等活动，根据《金融行业信息系统信息安全等级保护实施指引》（JR/T 0071—2012），结合XXXXX 实际，制定本规定。 第二条本规定适用于XXXXX信息安全管理体系文件控制过程和活动。 第三条信息安全管理体系文件是确保XXXXX信息系统正常运转形成的文书，用于阐述需保护的资产、风险管理的方法、控制目标及方式和所需的保护程度。 第四条网络与信息安全工作领导小组办公室负责组织XXXXX信息安全管理体系各级文件的编写、审核和归档；负责组织体系各级文件的宣传推广。 第二章细则 第五条体系文件的类别 信息安全管理体系文件可分为以下四级： （一）一级文件：管理策略； （二）二级文件：管理规定； （三）三级文件：管理规范、实施细则、操作手册等； （四）四级文件：运行记录、表单、工单、记录模板等。 第六条体系文件的编写
北京XXXXXXXXXXXXX 信息安全管理制度 制定部门：技术部与行政部 制定人：XXX 制定时间：2016.4.21
1.安全管理制度要求 总则为了切实有效的保证公司信息安全,提高信息系统为公司生产经营的服务力,特制定交互式信息安全管理制度,设定管理部门及专业管理人员对公司整体信息安全行管理,以确保网络与信息安全。 1.1.1建立文件化的安全管理制度,安全管理制度文件应包括: a安全岗位管理制度 b系统操作权限管理; c安全培训制度; d用户管理制度 e新服务、新功能安全评估 f用户投诉举报处理; g信息发布审核、合法资质查验和公共信息巡查; h个人电子信息安全保护;安全事件的监测、报告和和应急处置制度;现行法律、法规、规章、标准和行政审批文件。 1.1.2安全管理制度应经过管理层批准,并向所有员工宣贯 2.机构要求 2.1法律责任 2.1.1互联网交互式服务提供者应是一个能够承担法律责任的组织或个人。 2.1.2互联网交互式服务提供者从事的信息服务有行政许可的应取得相应许可。 3.人员安全管理 3.1安全岗位管理制度 建立安全岗位管理制度,明确主办人、主要负责人、安全责任人的职责:岗位管理制度应包括保密管理。 3.2关键岗位人员 3.2.1关键岗位人员任用之前的背景核查应按照相关法律、法规、道德规范和对应的业务要求来执行,包括: 1.个人身份核查 2.个人履历的核查 3.学历、学位、专业资质证明 4.从事关键岗位所必须的能力 3.2.2应与关键岗位人员签订保密协议。 安全培训 建立安全培训制度,定期对所有工作人员进行信息安全培训,提高全员是 1上岗前的培训 2.安全制度及其修订后的培训 3.法律、法规的发展保持同步的继绩培训。 应严格规范人员离岗过程: a及时终止离岗员工的所有访间权限; b关键岗位人员须承诺调离后的保密义务后方可离开; c配合公安机关工作的人员变动应通报公安机关。 3.4人员离岗 应严格规范人员离岗过程 a及时终止离岗员工的所有访间权限; b关键岗位人员须承诺调离后的保密义务后方可离开;
信息安全事件管理程序 1 目的 为明确信息安全事件处理的责任和流程，有效处理信息安全事件，最大限度地减少和降低因信息安全事件给公司带来的损失，特制定本程序。 2 范围 本程序适用于公司发生的各类信息安全事态或事件的检测、报告和处理。 3 术语和定义 引用ISO/IEC27001和ISO/IEC27002相关术语和定义。 注：本程序中的信息安全事件是标准中的“信息安全事态”和“信息安全事件”的总称。 4 职责与权限 信息安全领导办公室批准关键业务恢复计划，并指导本程序的执行，对执行情况进行监督检查； 各部门信息安全主管负责本程序在部门内的组织实施； 部门信息安全员在信息安全主管的组织下具体实施相关活动。 5 相关活动 5.1 信息安全事件报告流程 任何员工，一旦发生、发现或观察到已发生或潜在的信息安全事件，必须以电话、邮件、口头等方式立即报告给信息安全办公室，联系方式是： 联系人： 联系电话： 邮件： 接报人要填写《信息安全事件报告和处理表》。
5.2 处理 根据信息安全事件的轻重缓急，区分以下情况组织资源处理事件： 如果仅是误报，则取消事件响应，恢复到正常状态；如果信息安全事件已被控制，未影响关键业务活动，在部门信息安全主管组织下对信息安全事件进行处理，并记录所有信息用于信息安全事件的评审； 如果信息安全事件已被控制，已影响关键业务活动，在XXX部负责下，实施《XXX关键业务活动恢复计划》，并记录所有信息用于信息安全事件的评审； 如果信息安全事件失去控制，实施紧急救援，召集外部专业机构实施处理，见《对外联络表》，同时记录所有活动；并由XXX部负责填写《信息安全事件报告和处理表》。 5.3 改进 信息安全事件处理完毕后，信息安全领导办公室应进行以下活动： ●进一步收集相关事件信息； ●从信息安全事件中总结教训，重点分析事件发展的趋势和模式； ●确定新的或经过变化的控制措施并制定计划付诸实施； ●适当时对相关人员进行信息安全事件的教育培训。 6 相关文件和记录 业务连续性管理程序 备份管理程序 关键业务恢复计划 对外联络表 信息安全事件报告和处理表
XX公司信息安全管理制度（试行） 第一章总则 第一条为保证信息系统安全可靠稳定运行，降低或阻止人为或自然因素从物理层面对公司信息系统的保密性、完整性、可用性带来的安全威胁，结合公司实际，特制定本制度。 第二条本制度适用于XX公司以及所属单位的信息系统安全管理。 第二章职责 第三条相关部门、单位职责： 一、信息中心 （一）负责组织和协调XX公司的信息系统安全管理工作； （二）负责建立XX公司信息系统网络成员单位间的网络访问规则；对公司本部信息系统网络终端的网络准入进行管理； （三）负责对XX公司统一的两个互联网出口进行管理，配置防火墙等信息安全设备；会同保密处对公司本部互联网上网行为进行管理； （四）对XX公司统一建设的信息系统制定专项运维管理办法，明确信息系统安全管理要求，界定两级单位信息安全管理责任； （五）负责XX公司网络边界、网络拓扑等全局性的信息安全管理。 二、人力资源部 （一）负责人力资源安全相关管理工作。 （二）负责将信息安全策略培训纳入年度职工培训计划，并组织实施。 三、各部门 （一）负责本部门信息安全管理工作。
（二）配合和协助业务主管部门完善相关制度建设，落实日常管理工作。 四、所属各单位 （一）负责组织和协调本单位信息安全管理工作。 （二）对本单位建设的信息系统制定专项运维管理办法，明确信息系统安全管理要求，报XX公司信息中心备案。 第三章信息安全策略的基本要求 第四条信息系统安全管理应遵循以下八个原则： 一、主要领导人负责原则； 二、规范定级原则； 三、依法行政原则； 四、以人为本原则； 五、注重效费比原则； 六、全面防范、突出重点原则； 七、系统、动态原则； 八、特殊安全管理原则。 第五条公司保密委应根据业务需求和相关法律法规，组织制定公司信息安全策略，经主管领导审批发布后，对员工及相关方进行传达和培训。 第六条制定信息安全策略时应充分考虑信息系统安全策略的“七定”要求，即定方案、定岗、定位、定员、定目标、定制度、定工作流程。 第七条信息安全策略主要包括以下内容： 一、信息网络与信息系统必须在建设过程中进行安全风险评估，并根据评估结果制定安全策略； 二、对已投入运行且已建立安全体系的系统定期进行漏洞扫描，以便及时发现系统的安全漏洞; 三、对安全体系的各种日志(如入侵检测日志等)审计结果进行研究，以便及时发现系统的安全漏洞; 四、定期分析信息系统的安全风险及漏洞、分析当前黑客非常入侵的特点，及时调整安全策略； 五、制定人力资源、物理环境、访问控制、操作、备份、系统获取及维护、业务连续性等方面的安全策略，并实施。 第八条公司保密委每年应组织对信息安全策略的适应性、充分性和有效性进行评审，必要时组织修订；当公司的组织架构、生产经营模式等发生重大变化时也应进行评审和修订。
AEO海关一般认证文件008-信息安全管理制度_New
AEO海关一般认证文件008-信息安全管理制度
注：要有备份系统，电脑装杀毒软件，设备密码 1目的 为确保公司计算机内文件安全及不受入侵，特制订本程序。 2范围 本程序适用于本公司所有计算机的管制。 3执行程序 3.1计算机的使用措施 3.1.1公司及各部门的计算机只能经由公司授权的 雇员操作使用，每台电脑应设置进入密码保 护，以防止未经授权的人员使用、篡改资料或 从事其它不法活动,见《授权使用电脑及上网人 员名单》; 3.1.2每位电脑使用者必须接受本程序和如何识别 文件与资料诈骗方面的培训，只有经培训合格 的人员才可操作电脑； 3.1.3使用者应保持设备及其所在环境的清洁，下 班时务必关机切断电源； 3.1.4使用者的业务数据，应严格按照要求妥善存 储在相应的位置上； 3.1.5未经许可，使用者不可增删硬盘上的应用软 件、系统软件和私自打开主机机箱； 3.1.6打印机墨盒经专人确认后，方可使用，严禁 私自更换和添加墨水； 3.1.7严禁使用电脑在上班时间内浏览非法网站、 玩游戏、听音乐等； 3.1.8公司所有电脑都设置电脑使用密码和荧幕密 码并定期更改，以防他人盗取。如发现密码已 泄露，则立即更换。欲设的密码及由别人提供 的密码应不予采用； 3.1.9操作员不可随意让不熟悉的人使用自己的电 脑，如确有必要使用，必须在旁监督； 3.1.10任何人未经操作员本人同意,不得使用他人 的电脑； 3.1.11严禁恶意删除他人文件、破坏公司系统； 3.1.12先以加密技术保护敏感的数据文件,然后才 通过公司网络及互联网进行传送,在适当的情况 下,利用数字证书为信息及数据加密或加上数字 签名；
网络信息安全管理制度大全 一、电脑设备管理 (2) 二、软件管理 (4) 三、数据安全管理 (6) 四、网络信息安全管理 (7) 五、病毒防护管理 (8) 六、下载管理 (8) 七、机房管理 (8) 八、备份及恢复 (11)
一、电脑设备管理 1、计算机基础设备管理 2、各部门对该部门的每台计算机应指定保管人，共享计算机则由部门指定人员 保管，保管人对计算机软、硬件有使用、保管责任。 3、公司计算机只有网络管理员进行维护时有权拆封，其它员工不得私自拆开封。 4、计算机设备不使用时，应关掉设备的电源。人员暂离岗时，应锁定计算机。 5、计算机为公司生产设备，不得私用，转让借出；除笔记本电脑外，其它设备 严禁无故带出办公生产工作场所。 6、按正确方法清洁和保养设备上的污垢，保证设备正常使用。 7、计算机设备老化、性能落后或故障严重，不能应用于实际工作的，应报信息 技术部处理。 8、计算机设备出现故障或异常情况（包括气味、冒烟与过热）时，应当立即关 闭电源开关，拔掉电源插头，并及时通知计算机管理人员检查或维修。 9、公司计算机及周边设备，计算机操作系统和所装软件均为公司财产，计算机 使用者不得随意损坏或卸载。 10、公司电脑的IP地址由网络管理员统一规划分配，员工不得擅自更改其IP 地址，更不得恶意占用他人的地址。计算机保管人对计算机软硬负保管之责，使用者如有使用不当，造成毁损或遗失，应负赔偿责任。
11、保管人和使用人应对计算机操作系统和所安装软件口令严格保密，并至少每 180天更改一次密码，密码应满足复杂性原则，长度应不低于8位，并由大写字母、小写字母、数字和标点符号中至少3类混合组成；对于因为软件自身原因无法达到要求的，应按照软件允3许的最高密码安全策略处理。 12、重要资料、电子文档、重要数据等不得放在桌面、我的文档和系统盘（一般 为C盘）以免系统崩溃导致数据丢失。与工作相关的重要文件及数据保存两份以上的备份，以防丢失。公司设立文件服务器，重要文件应及时上传备份，各部门专用软件和数据由计算机保管人定期备份上传，需要信息技术部负责备份的应填写《数据备份申请表》，数据中心信息系统数据应按《备份管理》备份。 13、正确开机和关机。开机时，先开外设（显示器、打印机等），再开主机；关 机时，应先退出应用程序和操作系统，再关主机和外设，避免非正常关机。 14、公司邮箱帐号必须由本帐号职员使用，未经公司网络管理员允许不得将帐号 让与他人使用，如造成公司损失或名誉影响，公司将追究其个人责任，并保留法律追究途径。 15、未经允许，员工不得在网上下载软件、音乐、电影或者电视剧等，不得使用 BT、电驴、POCO等严重占用带宽的P2P下载软件。员工在上网时，除非工作需要，不允许使用QQ、MSN等聊天软件。员工不得利用公司电脑及网络资源玩游戏,浏览与工作无关的网站。若发现信息技术部可暂停其Internet使用权限，并报相关领导处理。不得随意安装工作不需要的软件。公司拥有的授权软件软件须报公司副总审批通过后由信息技术部或授权相关部门执行。 16、计算机出现重大故障，如硬盘损坏，计算机保管人应立即向部门负责人和信 息技术部报告，并填写《设备故障登记表》。 17、员工离职时，人力资源应及时通知信息技术部取消其所有的IT资源使用权 限，回收其电脑并保留一个星期，若一个星期之内人事部没有招到新员工顶替，电脑将备份数据后入库。 18、如需要私人计算机连接到公司网络，需信息技术部授权并进行登记。 19、不得随意安装软件，软件安装按照《软件管理》实施。 20、所有计算机设备必须统一安装防病毒软件，未经信息技术部同意，不得私自 在计算机中安装非公司统一规定的任何防病毒软件及个人防火墙。所有计算机必须及时升级操作系统补丁和防病毒软件。 21、任何人不得在公司的局域网上制造传播任何计算机病毒，不得故意引入病 毒。