当前位置：文档之家› 信息安全管理规范

信息安全管理规范

1.0目的

为了预防和遏制公司网络各类信息安全事件的发生，及时处理网络出现的各类信息安全事件，减轻和消除突发事件造成的经济损失和社会影响，确保移动通信网络畅通与信息安全，营造良好的网络竞争环境，有效进行公司内部网络信息技术安全整体控制，特制定本规范。

2.0 适用范围

本管理规范适用于四川移动所属系统及网络的信息安全管理及公司内部信息技术整体的控制。

3.0 信息安全组织机构及职责：

根据集团公司关于信息安全组织的指导意见，为保证信息安全工作的有效组织与指挥，四川移动通信有限责任公司建立了网络与信息安全工作管理组，由公司分管网络的副总经理任组长，网络部分管信息安全副总经理任副组长，由省公司网络部归口进行管理，省公司网络部门设置信息安全管理专职人员，负责信息安全职能管理和安全技术管理，省监控中心设置安全监控人员，各市州分公司及生产中心设置专职或兼职信息安全管理员，负责全省各系统及网络的信息安全管理协调工作。

3.1.1网络与信息安全工作管理组组长职责：

负责公司与相关领导之间的联系，跟踪重大网络信息安全事件的处理过程，并负责与政府相关应急部门联络，汇报情况。

3.1.2网络与信息安全工作管理组副组长职责：

负责牵头制定网络信息安全相关管理规范，负责网络信息安全工作的安排与落实，协调网络信息安全事件的解决。

3.1.3信息安全职能管理职责：

负责组织贯彻和落实各项安全管理要求，制定安全工作计划；制订和审核网络与信息安全管理制度与相关工作流程；组织检查和考核网络及信息安全工作的实施情况；定期组织对安全管理工作进行审计和评估；组织制定安全应急预案和应急演练，针对重大安全事件，组织实施应急处理工作及后续的整改工作；汇总和分析安全事件情况和相关安全状况信息；组织安全教育和培训。

3.1.4信息安全技术管理职责：

根据有限公司制定的技术规范和有关技术要求，对各类网络、业务系统和支撑系统提出相应安全技术要求，并审核技术方案；牵头对各类网络和系统实施安全技术评估和技术审计工作；发布安全漏洞和安全威胁预警信息，并细化制定相应的技术解决方案；协助制定网络与信息安全的应急预案，参与应急演练；针对重大安全事件，参与实施应急处理，并定期对各类安全事件进行技术分析。

3.1.5安全监控人员职责：

对全网安全设备进行集中监控；处理日常的安全事件；协助网络安全处分析、处理复杂和重大安全事件。

3.1.6安全管理员职责：

在省公司及分公司网络部领导下，负责各市州分公司及生产中心网络信息安全的技术工作及相关协调工作，贯彻执行集团公司和省省/市公司网络部下发的相关信息安全技术规范及文件，根据相关安全技术规范和技术要求，对各类网络、业务系统和支撑系统进行包括安全在内的日常维护。协调各相关部门进行具体实施，对各市州分公司及生产中心业务系统、支撑系统网络安全进行分析、审计，降低各市州分公司及生产中心各业务系统、支撑系统安全隐患，减少信息安全事件的发生，保障其安全运行。

4.0 管理规范

4.1 管理系统

本管理规范适用于四川移动各生产、支撑系统，包括OA系统、MIS系统、BOSS 系统及其子系统、经营分析系统、客户服务系统、MISC系统、交换机系统、智能网系统、彩铃平台等。

4.2网络与信息安全基本要求：

4.2.1网络与信息的安全工作实行谁主管、谁负责、预防为主、综合诊治、人员防范与技术防范相结合的原则，逐级建立安全保护责任制。

4.2.2各级网络维护部门应加强对系统管理人员安全意识的培养，建立完善的定时定人负责制，有效明确责任，提高维护管理效率。

4.3 用户帐号/权限管理流程

4.3.1用户帐号/权限管理适用于四川省移动通信有限责任公司及下属各分公司，主要

为了规范四川移动各业务系统涉及系统级(含数据库级)、应用级层面的的帐号、权限及密码的管理。

4.3.2 系统管理人员逻辑分类

四川省移动通信有限责任公司所属系统及网络(包括OA系统、MIS系统、BOSS 系统及其子系统、经营分析系统、客户服务系统、MISC系统、交换机系统、智能网系统、彩铃平台等)的信息安全管理及公司内部信息技术整体的控制，各系统分别具有不同层面管理员及用户：

4.3.3 用户授权管理流程

4.3.4如果存在第三方厂商人员使用超级管理员帐号的情况，应和第三方厂商签订相关的安全保密协议，以合理确保第三方厂商能够执行中国移动的安全管理要求和职责不相容要求。厂商要保留帐号创建，帐号变更，帐号删除和密码变更的记录，供我方人员进行定期的检查。

4.3.6各生产、支撑网络系统如因维护要求有第三方远程登陆接入需求，应填写《远程维护接入申请和情况记录表》，经本维护单位安全管理员和部门分管负责人签字后，临时开通远程登录功能，方可接入。操作完毕后，应及时关闭远程维护接入点，并填写《远程维护接入申请和情况记录表》。本维护单位安全管理员及时审阅相应的操作日志记录并签字确认。

4.3.7 各业务及支撑系统的厂商开发人员由于需要进行系统故障处理、检查等原因拥有生产系统的用户名及口令。公司进行对开发人员（包括外包厂商）对生产系统进行程序更新的控制，只有在有必要时才临时由信息技术部门主管授权开发人员访问并更

新生产系统，开发人员访问生产系统时由信息技术部门系统维护人员对其访问进行监督，并在访问结束后及时删除或禁止开发人员在生产系统中的账号。

4.3.8 因系统原因不能按个人创建独立的用户账号的，由超级管理员按使用权限制定相应账号，授权到到使用部门指定人员。其他维护人员工作若需要使用该账号，每次需要填写《账号临时使用申请表》，由超级管理员审批后，在超级管理员的帮助下进入系统进行维护，工作完成后立即退出系统，保证系统安全。

4.3.9 质量管理和考核办法见6.0

4.4 密码口令管理要求

4.5 信息安全监控

4.5.1密切关注用户投诉情况，并通过短信监控过滤系统7*24小时对短信中心中所有短信息进行监控。对更新的关键词在2小时内录入关键词库，对短信进行内容监控。对短信发送的流量进行控制，对个人每小时发送500条或企业每小时发送10000条的要过滤出来，审核内容，如内容合法，可继续发送，否则将主被叫号码、发送时间、信息内容等相关信息进行保存，并上报上级主管单位。对于大量发送有害信息（法轮功：10条和10条以上，其它政治类30条和30条以上）的用户，应在发现后15分钟内关闭该用户的短信息业务功能。

4.5.2移动信使、短信网关、企业网站及WAP二级站点，EMIS系统公告板（包括分公司）、电子论坛、邮件网关服务器应建立信息监控过滤机制，7*24小时监控，对发布内容先审后发并进行信息巡查，杜绝反动、色情等有害信息出现在网站上。一旦发现SP业务出现非法信息传播，将立即断掉梦网与该SP的连接端口，并立即上报主管部

门。

4.5.3企业网站及WAP二级站点应7*24小时对访问情况进行监控，发现黑客攻击，立即封掉黑客的IP地址,同时上报上级主管部门。

4.6 系统信息安全策略

4.6.1 系统信息安全策略表：

4.7 局域网终端接入管理

为了加强公司各系统局域网终端接入认证管理，确保只有通过认证的终端设备才可对公司内部局域网资源进行使用，保障移动通信网络畅通与信息安全，所有接入公司内部局域网终端，需按以下流程进行接入：

4.8系统备份制度

4.8.1各市州分公司、信息技术中心维护单位必须准备一定数量的磁带/光盘作为存贮文件使用。各类磁带/光盘要妥放在专柜中, 以保证安全和使用方便。

4.8.2必须按照相关专业维护规程和厂家要求进行磁带(磁盘) /光盘转录工作。

4.8.3每次系统备份后，操作员必须在磁带盘/光盘和磁带/光盘登记本上同时进行登记。登记内容内容包括：磁带盘/光盘编号、拷贝日期、时间、操作员工号等。

4.8.4各类磁带/光盘要置放在温、湿度适宜的环境中, 注意避免强光、强磁的影响, 避免挤压。

4.8.5加强对计费磁带/光盘的管理, 要设专人负责保管, 严格按照规定步骤操作,防止计费信息和用户信息的遗失。交接手续要完备, 防止遗失计费磁带。

4.8.6在局数据修改、软件版本升级、软件补丁装载、工程割接、系统配置修改、人工再启动、再装载前后，均须由执行人制定备份计划并由相应业务部门主管审批后实施。

4.8.7 四川移动各地所有系统的备份介质保存在本地机房中，只有本地经过授权进入机房的人员才能接触系统备份磁带。异地备份介质保存在异地专用库房中，库房钥匙只有负责异地存放备份介质的维护人员掌握。

4.8.8各市州分公司、信息技术中心系统的备份介质应由相关维护人员定期（如：每周）执行异地存放，并由执行异地备份人员在完成异地存放后进行记录（如：异地备份登记表），部门主管定期（如：每月）审阅本地、异地备份记录并签字。

4.9信息安全预警管理

4.9.1信息安全预警基本要求：

4.9.1.1信息安全的预警工作实行预防为主、信息收集发布与及时处理相结合的原则，逐级建立安全预警责任制。

4.9.1.2各级网络维护部门应加强对系统管理人员安全意识的培养，明确责任，提高维护管理效果。

4.9.2 预警信息管理流程

4.9.2.1 预警信息分类

四川省移动通信有限责任公司所属系统及网络(包括OA系统、MIS系统、BOSS系统及其子系统、经营分析系统、客户服务系统、MISC系统、交换机系统、智能网系统、彩铃平台等)信息安全预警信息发布。预警信息分类主要分为普及型预警和专项预警：

4.9.2.2 预警信息发布流程

4.9.2.3由信息安全技术管理员负责收集来自于安全厂商的安全公告信息，并根据预警信息归类。预警信息主要划分为两类，普及型预警和专项预警。普及型预警面向的对象是全公司员工，主要包括病毒预警和人员操作预警。专项预警主要是通知专业管理员进行处理，主要包括软件预警、网络预警和主机预警。具体预警信息参照《安全预警信息收集和发布》。

4.3.4信息安全技术管理员归类后的安全预警信息提交信息安全职能管理和网络与信息安全工作管理组副组长审核后发布到全公司或者安全管理员及安全监控人员。

4.3.5发布方式：预警信息通过四川省移动通信有限责任公司的EIP平台预警通知的方式进行不定期的信息安全预警发布。

5.0审阅更新要求

5.1 本规定每年由四川移动省公司网络部进行审阅更新，并将已更新的安全规章制度应及时下发各相关部门遵照执行。

5.2 各部门和生产中心可根据本程序对不同的生产系统根据具体要求进行细化，形成

信息安全管理规定

信息安全管理规定 1目的在遵循集团《计算机信息安全管理制度》原则基础上，为确保公司网络平台、信息系统的正常运行及信息系统中的信息数据安全，防止泄密，针对公司实际情况，制定本管理规定。 2范围本办法适用于公司全体员工。 3术语定义 3.1 计算机信息：是指存储在计算机相关设备上的应用系统（软件）、数据、文档、图纸等含有一定意义的计算机信息资料。 3.2 内部网络：是指园区网络及通过专线与园区互联的其他园区、驻外机构网络（以下简称内网）。 3.3 外部网络：是指互联网或除互联网和公司内网之外的第三方专网（以下简称外网）。 3.4 VPN：虚拟专用网络（Virtual Private Network，简称VPN），是指在公共网络上建立专用网络的技术，属于远程访问技术，就是利用公网链路架设的虚拟私有网络。 4职责 4.1信息化管理部门：公司信息化管理部门，负责计算机信息安全日常工作，事业部接入级网络交换设备的管理工作，及时向总部信息化管理部门、督察部门报告重大计算机信息安全隐患和计算机信息安全事件。 4.2 计算机用户：负责本人领用的办公计算机的日常保养、正常操作及安全管理，负责所接触计算机信息的保密性、可用性和完整性；及时向信息化管理部门报告计算机信息安全隐患和计算机信息安全事件。涉密信息的起草人必须按公司《保密制度》相关规定提出信息密级的定级申请。 5内容与要求 5.1 账号和密码安全管理 5.1.1 信息系统用户账号须严格按照业务信息系统要求进行设置，原则上不得设置成共用账号，以确保使用人与账号的唯一性。 5.1.2 员工申请信息系统账号权限时，所在部门的负责人应严格审核，控制授予满足其工作需要的最小权限；员工岗位或工作内容发生变化后应及时提出申请权限变更，应用系统管理员应及时变更异动员工的权限，冻结离职员工的账号。 5.1.3计算机用户应妥善保管好自己的系统账号密码或身份认证设备，如发现遗失或被盗，应立即向信息化管理部门报告，信息化管理部门应及时处理，确保账号使用的合法性。

信息安全管理制度..

信息工作管理制度第一章总则第一条为了加强信息管理，规范信息安全操作行为，提高信息安全保障能力和水平，维护信息安全，促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等规定，以《环境信息网络管理维护规范》（环保部制定）等标准为基本管理操作准则，制订本管理制度。第二条本制度适用范围为信息与监控中心，其他单位可参照执行。第二章岗位管理第三条业务信息工作人员（包括监控与信息中心技术人员及机关业务系统管理人员）、机房运维人员（包括外包机构人员），应遵循《环境信息网络管理维护规范》等规定。第四条机房运维人员根据运维合同规定由机房管理部门对其实行管理。第五条信息工作人员岗位设置为系统管理员、业务管理员、网络管理员、安全管理员、安全审计员。人员岗位及职责（一）系统管理员系统管理员是从事服务器及存储设备运行管理的人

员，业务上应具备熟练掌握操作系统、熟练操作服务器和存储设备的能力。 1、负责指定的服务器、存储等设备的资料登记、软件保管及设备报修。 2、配合完成指定的业务软件运行环境的建立，正式运行后的服务器系统软硬件操作的监管，执行中心的备份策略。 3、在所负责的的服务器、存储设备发生硬件故障时,及时组织有关人员恢复系统的运行,针对系统事故找到系统事故原因。 4、负责指定的服务器操作系统的管理口令修改。 5、负责制定、执行服务器及存储设备故障应急预案。（二）业务管理员（业务联系人）业务管理员是部署在应用服务器上的操作系统及业务系统运行管理的人员，业务上应具备业务系统安装及基本调试操作的能力（业务软件厂家负责培训），业务系统及部署操作系统故障分析的能力，预防系统风险的能力。 1、负责维护业务系统的运行及业务系统的安装环境。 2、负责制定、执行业务系统及其数据的备份计划。 3、负责业务数据的数据备份及数据恢复。 4、负责制定执行本业务系统的故障应急预案。（三）网络管理员

XX公司信息安全管理制度

信息安全管理制度信息安全是指通过各种策略保证公司计算机设备、信息网络平台（内部网络系统及ERP、CRM、WMS、网站、企业邮箱等）、电子数据等的安全、稳定、正常，旨在规范与保护信息在传输、交换和存储、备份过程中的机密性、完整性和真实性。为加强公司信息安全的管理，预防信息安全事故的发生，特制定本管理制度。本制度适用于使用新合程计算机设备、信息系统、网络系统的所有人员。 1.计算机设备安全管理 1.1员工须使用公司提供的计算机设备（特殊情况的，经批准许可的方能使用自已的计算机），不得私自调换或拆卸并保持清洁、安全、良好的计算机设备工作环境，禁止在计算机使用环境中放置易燃、易爆、强腐蚀、强磁性等有害计算机设备安全的物品。 1.2严格遵守计算机设备使用、开机、关机等安全操作规程和正确的使用方法。任何人不允许私自拆卸计算机组件，当计算机出现硬件故障时应及时向信息技术部报告，不允许私自处理和维修。 1.3员工对所使用的计算机及相关设备的安全负责，如暂时离开座位时须锁定系统，移动介质自行安全保管。未经许可，不得私自使用他人计算机或相关设备,不得私自将计算机等设备带离公司。 1.4因工作需要借用公司公共笔记本的，实行“谁借用、谁管理”的原则，切实做到为工作所用，使用结束后应及时还回公司。 2.电子资料文件安全管理。 2.1文件存储重要的文件和工作资料不允许保存在C盘（含桌面），同时定期做好相应备份，以防丢失；不进行与工作无关的下载、游戏等行为，定期查杀病毒与清理垃圾文件；拷贝至公共计算机上使用的相关资料，使用完毕须注意删除；各部门自行负责对存放在公司文件服务器P盘的资料进行审核与安全管理；若因个人原因造成数据资料泄密、丢失的，将由其本人承担相关后果。 2.2文件加密

企业信息安全规范

信息安全管理规范第一章总则第一条为规范企业信息系统及所承担维护服务的用户信息系统的信息安全管理，促进信息安全管理工作体系化、规范化，提高信息系统和网络服务质量，提高信息系统管理人员、维护人员以及使用人员的整体安全素质和水平，特制定本管理规范。本管理规范目标是为公司信息安全管理提供清晰的策略方向，阐明信息安全建设和管理的重要原则，阐明信息安全的所需支持和承诺。第二条本规范是指导公司信息安全工作的基本依据，信息安全相关人员必须认真执行本规程，并根据工作实际情况，制定并遵守相应的安全标准、流程和安全制度实施细则，做好安全维护管理工作。第三条信息安全是公司及所承担的用户信息系统系统运维服务工作的重要内容。公司管理层非常重视，大力支持信息安全工作，并给予所需的人力物力资源。第四条本规范的适用范围包括所有与公司信息系统及本公司所承担维护服务的各方面相关联的人员，它适用于本公司全部员工，集成商，软件开发商，产品提供商，商务伙伴和使用公司信息系统的其他第三方。第五条本规范适用于公司所承担服务支撑的外部各单位的信息系统的安全工作范围。第六条本规范主要依据国际标准ISO17799,并遵照我国信息安全有关法律法规、电信行业规范和相关标准。第二章安全管理的主要原则第七条管理与技术并重的原则：信息安全不是单纯的技术问题，在采用安全技术和产品的同时，应重视管理，不断积累完善各个信息安全管理章程与规定，全面提高信息安全管理水平。

第八条全过程原则：信息安全是一个系统工程，应将它落实在系统建设、运行、维护、管理的全过程中，安全系统应遵循与信息系统同步规划、同步建设、同步运行的原则，在任何一个环节的疏忽都可能给信息系统带来危害。第九条风险管理和风险控制原则：应进行安全风险管理和风险控制，以可以接受的成本或最小成本，确认、控制、排除可能影响公司信息系统的安全风险，并将其带来的危害最小化。第十条分级保护原则：应根据信息资产的重要程度以及面临的风险大小等因素决定各类信息资产的安全保护级别。制订各类网络系统和信息资产的安全保护等级表，在表中明确资产类别，同时确定对何种资产应达到何种级别的安全。第十一条统一规划、分级管理实施原则：信息安全管理遵循统一规划、分级管理的原则。信息安全领导小组负责对公司各项信息安全管理工作进行统一规划，负责信息安全管理办法的制定和监督实施。各级部门在信息安全领导小组指导与监督下，负责具体实施。第十二条平衡原则：在公司信息安全管理过程中，应在安全性与投入成本、安全性和操作便利性之间找到最佳的平衡点。第十三条动态管理原则：在公司信息安全管理过程中，应遵循动态管理原则，要针对信息系统环境的变动情况及时调整管理办法。第三章安全组织和职责第十四条建立和健全信息安全组织，设立由高层领导组成的信息安全领导小组，对于信息安全方面的重大问题做出决策，协调信息安全相关各部门之间的关系，并支持和推动信息安全工作在整个信息系统范围内的实施。第十五条公司应设置相应的信息安全管理机构，负责信息系统的信息安全管理工作，配备专职安全管理员，由安全管理员具体执行本公司信息安全方面的相关工作。第十六条公司信息系统的安全管理机构职责如下：根据本规范制定信息系统的信息安全管理制度、标准规范和执行程序；

公司信息安全管理制度(修订版)

信息安全管理制度一、总则为了加强公司内所有信息安全的管理，让大家充分运用计算机来提高工作效率，特制定本制度。二、计算机管理要求 1.IT管理员负责公司内所有计算机的管理，各部门应将计算机负责人名单报给 IT管理员，IT管理员（填写《计算机IP地址分配表》）进行备案管理。如有变更，应在变更计算机负责人一周内向IT管理员申请备案。 2.公司内所有的计算机应由各部门指定专人使用，每台计算机的使用人员均定为计算机的负责人，如果其他人要求上机（不包括IT管理员），应取得计算机负责人的同意，严禁让外来人员使用工作计算机，出现问题所带来的一切责任应由计算机负责人承担。 3.计算机设备未经IT管理员批准同意，任何人不得随意拆卸更换；如果计算机出现故障，计算机负责人应及时向IT管理员报告，IT管理员查明故障原因，提出整改措施，如属个人原因，对计算机负责人做出处罚。 4.日常保养内容： A．计算机表面保持清洁 B．应经常对计算机硬盘进行整理，保持硬盘整洁性、完整性； C．下班不用时，应关闭主机电源。 5．计算机IP地址和密码由IT管理员指定发给各部门，不能擅自更换。计算机系统专用资料（软件盘、系统盘、驱动盘）应由专人进行保管，不得随意带出公司或个人存放。 6.禁止将公司配发的计算机非工作原因私自带走或转借给他人，造成丢失或损坏的要做相应赔偿，禁止计算机使用人员对硬盘格式化操作。

7.计算机的内部调用： A. IT管理员根据需要负责计算机在公司内的调用，并按要求组织计算机的迁移或调换。 B. 计算机在公司内调用，IT管理员应做好调用记录，《调用记录单》经副总经理签字认可后交IT管理员存档。 8.计算机报废： A. 计算机报废，由使用部门提出，IT管理员根据计算机的使用、升级情况，组织鉴定，同意报废处理的，报部门经理批准后按《固定资产管理规定》到财务部办理报废手续。 B. 报废的计算机残件由IT管理员回收，组织人员一次性处理。 C. 计算机报废的条件：1）主要部件严重损坏，无升级和维修价值；2）修理或改装费用超过或接近同等效能价值的设备。三、环境管理 1.计算机的使用环境应做到防尘、防潮、防干扰及安全接地。 2.应尽量保持计算机周围环境的整洁，不要将影响使用或清洁的用品放在计算机周围。 3.服务器机房内应做到干净、整洁、物品摆放整齐；非主管维护人员不得擅自进入。四、软件管理和防护 1.职责： A. IT管理员负责软件的开发购买保管、安装、维护、删除及管理。 B. 计算机负责人负责软件的使用及日常维护。 2.使用管理： A. 计算机系统软件：要求IT管理员统一配装正版Windows专业版，办公常用办

信息安全管理系统的规范

信息安全管理系统的规范第二部分:信息安全管理系统的规范 1 1. 范围 BS 7799的这个部分指明了对建立、实现和文档化信息安全管理系统(ISMSs)的需求。它指明了将要按照个别机构的需要而实现的安全控制的需求。注:第一部分给出了对最佳惯例的推荐建议，这些惯例支持该规范中的需求。BS 7799的这个部分的条款4给出的那些控制目标和控制来自于BS 7799-1:1999并与改部分的内容保持一致。 2. 术语与定义为了BS 7799的这个部分，BS 7799-1给出的定义适用于该部分，并有以下专用术语: 2.1 适用性说明适用于机构的安全要求的目标和控制的批评。 3.信息安全管理系统的要求 3.1概要机构应建立及维护一个信息安全管理系统，目的是保护信息资产，订立机构的风险管理办法、安全控制目标及安全控制，以及达到什么程度的保障。 3.2建立一个管理框架以下的步骤是用来找出及记录安全控制目标及安全控制的(参看图一): a) 应定义信息安全策略; b) 应定义信息安全管理系统的范围，定义范围可以是机构的特征、位置、资产及技术;

c) 应进行合适的风险评估。风险评估应确认对资产的安全威胁、漏洞及对机构的冲击，从而定出风险的严重程度; d) 根据机构的信息安全策略及所要求达到的保障程度定出要管理的风险; e) 从以下第四条款选出机构要实现的安全控制目标及要实施的安全控制; f) 应准备一份适用性声明书，说明选出哪些安全控制目标及安全控制以及选择的原因。以上步骤应定期重复，确定系统的适用性。 2 3.3实施选出的安全控制目标及安全控制应由机构有效地执行，实施控制的执行程序是否有效应根据4.10.2的规定进行检查。 3.4文档信息安全管理系统的说明文档应包括以下信息: a) 按照3.2所定的步骤实现的证据; b) 管理架构的总结，其中包括信息安全策略、在适用性声明书所提及的安全控制目标和已经实现的安全控制; c) 为了实现3.3所指定的控制而采用的程序;这些程序应该刻画责任以及相关行动; d) 覆盖该ISMS中的管理和操作的程序，这些程序应该指出有哪些责任及其有关

信息安全系统管理系统要求规范

信息安全管理规范公司

版本信息当前版本: 最新更新日期: 最新更新作者: 作者: 创建日期: 审批人: 审批日期: 修订历史版本号更新日期修订作者主要修订摘要

Table of Contents（目录） 1. 公司信息安全要求 (5) 1.1信息安全方针 (5) 1.2信息安全工作准则 (5) 1.3职责 (6) 1.4信息资产的分类规定 (6) 1.5信息资产的分级（保密级别）规定 (7) 1.6现行保密级别与原有保密级别对照表 (7) 1.7信息标识与处置中的角色与职责 (8) 1.8信息资产标注管理规定 (9) 1.9允许的信息交换方式 (9) 1.10信息资产处理和保护要求对应表 (9) 1.11口令使用策略 (11) 1.12桌面、屏幕清空策略 (11) 1.13远程工作安全策略 (12) 1.14移动办公策略 (12) 1.15介质的申请、使用、挂失、报废要求 (13) 1.16信息安全事件管理流程 (14) 1.17电子邮件安全使用规范 (16) 1.18设备报废信息安全要求 (17) 1.19用户注册与权限管理策略 (17) 1.20用户口令管理 (18) 1.21终端网络接入准则 (18) 1.22终端使用安全准则 (18) 1.23出口防火墙的日常管理规定 (19) 1.24局域网的日常管理规定 (19) 1.25集线器、交换机、无线AP的日常管理规定 (19) 1.26网络专线的日常管理规定 (20) 1.27信息安全惩戒 (20) 2. 信息安全知识 (21) 2.1什么是信息？ (21) 2.2什么是信息安全？ (21)

网络数据和信息安全管理规范

网络数据和信息安全管理规范 IMB standardization office【IMB 5AB- IMBK 08- IMB 2C】

X X X X有限公司 WHB-08 网络数据和信息安全管理规范版本号: A/0 编制人： XXX 审核人： XXX 批准人： XXX 20XX年X月X日发布 20XX年X月X日实施

目的计算机网络为公司局域网提供网络基础平台服务和互联网接入服务。为保证公司计算机信息及网络能够安全可靠的运行，充分发挥信息服务方面的重要作用，更好的为公司运营提供服务，依据国家有关法律、法规的规定，结合公司实际情况制定本规定。术语本规范中的名词术语（比如“计算机信息安全”等）符合国家以及行业的相关规定。计算机信息安全是指防止信息财产被故意的或偶然的非授权泄露、更改、破坏或使信息被非法系统辨识，控制。即确保信息的完整性、保密性、可用性和可控性。包括操作系统安全、数据库安全、病毒防护、访问权限控制、加密与鉴别等七个方面。狭义上的计算机信息安全，是指防止有害信息在计算机网络上的传播和扩散，防止计算机网络上处理、传输、存储的数据资料的失窃和毁坏，防止内部人员利用计算机网络制作、传播有害信息和进行其他违法犯罪活动。网络安全，是指保护计算机网络的正常运行，防止网络被入侵、攻击等，保证合法用户对网络资源的正常访问和对网络服务的正常使用。计算机及网络安全员，是指从事的保障计算机信息及网络安全工作的人员。普通用户，是指除了计算机及网络安全员之外的所有在物理或者逻辑上能够访问到互联网、企业计算机网及各应用系统的公司内部员工。主机系统，指包含服务器、工作站、个人计算机在内的所有计算机系统。本规定所称的重要主机系统指生产、办公用的Web服务器、Email服务器、DNS服务器、OA服务器、企业运营管理支撑系统服务器、文件服务器、各主机系统等。网络服务，包含通过开放端口提供的网络服务，如WWW、Email、FTP、Telnet、DNS等。有害信息，参见国家现在法律法规的定义。

信息安全事件管理规范

信息安全管理部信息安全事件管理规范 V1.0

文档信息：文档修改历史: 评审人员：

信息安全事件管理规范年07月 1.0 目的明确规定“信息安全事件”的范围和处理流程，以便及时地对信息安全事件做出响应，启动适当的事件防护措施来预防和降低事件影响，并能从事件影响中快速恢复； 2．0 适用范围本制度适用于在信息安全部负责管理的所有信息资产上发生的对业务产生影响的异常事件的处理及后续响应流程。 3．0 相关角色和职责 ●信息安全总监：负责制定《信息安全事件管理规范》，并督促制度的落实和执行； ●信息安全部经理： ?负责《信息安全事件管理规范》中各项流程制度的日常督促执行； ?负责对各类信息安全事件进行第一时间响应，区分信息安全事件的类别及后续处理流程； ?负责跟踪各类信息安全事件的后续处理，确保公司能从中汲取教训，不再发生类似问题； ●信息安全事件发起人：在具体工作中发现异常后应及时上报，并协助完成后续处理工作。 4．0 信息资产信息安全管理部负责以下信息资产的安全运行： ●机房环境、硬件设备正常运行： ?互联机房； ?北京办公室机房； ?上海办公室机房； ?机房内的所有硬件设备，包括网络设备、服务器和其它设备； ●办公室网络环境正常运行 ?互联机房内网/外网环境； ?北京办公室内网/外网环境； ?上海办公室内网/外网环境； ●机房内系统工作正常； ?服务器操作系统工作正常 ?应用系统工作正常 ●机房内设备中存放的各类业务信息安全以上信息资产出现异常情况时，均属于信息安全事件处理的范畴。 5．0 信息安全事件分级、分类

对信息安全事件分级、分类是有效开展信息安全事件报告、应急处置、调查处理和评估备案等信息安全应急响应工作的必要条件。 5．1 信息安全事件分级根据信息安全事件所涉及的信息密级、对业务所造成的影响和相关的资产损失等要素，对信息安全事件分为以下几个级别： 1级：本级信息安全事件对公司业务造成了重大影响，例如机密数据丢失，重大考试项目考中异常等； 2级：本级信息安全事件对公司业务造成了一定影响，例如短时间的设备宕机、大规模的网站异常造成客户投拆等； 3级：本级及息安全事件指己发现的可能对公司业务造成重要影响的潜在风险事件，例如在日常维护工作中发现的各类异常事件等； 1级的信息安全事件又称为重大安全事件。与“信息安全事件”分级相关联的名词解释： ●常规工作：指影响超出单点范围，可能/己经造成了部门/小组级的工作异常，但未造成实质性损害的信息事件； 5．2 信息安全事件分类对信息安全事件分类是有效开展信息安全事件报告、应急处置、调查处理和评估备案等响应工作的重要依据。信息安全事件可分为： ●环境灾害： ?自然/人为灾害：水灾、火灾、地震、恐怖袭击、战争等； ?外围保障设施故障： ◆机房电力故障: 由于供电线路、供电设备出现故障或供电调配的原因而导致的信息安全事件 ◆外围网络故障：由于外围网络传输信道出现故障而导致业务系统无法对外正常服务 ◆其它外围保障设施故障：例如拖管机房的服务器、服务器故障等； ●常规事故： ?软硬件自身故障： ◆软件自身故障：由于软件设计存在漏洞或软件系统运行环境发生变化等原因而导致软件运行不正常的信息安全事件 ◆硬件自身故障：由于硬件设计不合理、硬件自然老化失效等原因引起硬件设备故障而导致信息系统不能正常运行的信息安全事件 ?无意事故： ◆硬件设备、软件遗失；与业务系统正常运行和使用相关的硬件设备和软件遗失而导致的信息安全事件 ◆数据遗失：系统中的重要数据遗失 ◆误操作破坏硬件；

企业信息安全保密管理办法

企业信息安全保密管理办法 1.目的作用企业内部的“信息流”与企业的“人流”、“物流”、“资金流”，均为支持企业生存与发展的最基本条件。可见信息与人、财、物都是企业的财富，但信息又是一种无形的资产，客观上使人们利用过程中带来安全管理上的困难。为了保护公司的利益不受侵害，需要加强对信息的保密管理，使公司所拥有的信息在经营活动中充分利用，为公司带来最大的效益，特制定本制度。 2.管理职责由于企业的信息贯穿在企业经营活动的全过程和各个环节，所以信息的保密管理，除了领导重视而且需全员参与，各个职能部门人员都要严格遵守公司信息保密制度，公司督察部具体负责对各部门执行情况的检查和考核。 3.公司文件资料的形成过程保密规定拟稿过程拟稿是文件、资料保密工作的开始，对有保密要求的文件、资料，在拟稿过程应按以下规定办理：初稿形成后，要根据文稿内容确定密级和保密期限，在编文号时应具体标明。草稿纸及废纸不得乱丢，如无保留价值应及时销毁。文件、资料形成前的讨论稿、征求意见稿、审议稿等，必须同定稿一样对待，按保密原则和要求管理。印制过程秘密文件、资料，应由公司机要打字员打印，并应注意以下几点：要严格按照主管领导审定的份数印制，不得擅自多印多留。要严格控制印制工程中的接触人员。打印过程形成的底稿、清样、废页要妥善处理，即使监销。复制过程复制过程是按照规定的阅读范围扩大文件、资料发行数量，要求如下：复制秘密文件、资料要建立严格的审批、登记制度。复制件与正本文件、资料同等密级对待和管理。严禁复制国家各种秘密文稿和国家领导人的内部讲话。

绝密文件、资料、未经原发文机关批准不得自行复制。 4.公司文件资料传递、阅办过程保密规定收发过程收进文件时要核对收件单位或收件人，检查信件封口是否被开启。收文启封后，要清点份数，按不同类别和密级，分别进行编号、登记、加盖收文章。发文时要按照文件、资料的类别和文号及顺序号登记清楚去向，并填写好发文通知单，封面要编号并加盖密级章。收发文件、资料都要建立登记制度和严格实行签收手续。递送过程企业内部建有文件、资料交换站的，可通过交换站进行，一律直送直取。递送外地文件、资料，要通过机要交通或派专人递送。凡携带秘密文件、资料外出，一般要有两人以上同行，必须装在可靠的文件包或箱内，做到文件不离人。递送的秘密文件、资料，一律要包装密封，并标明密级。阅办过程呈送领导人批示的文件、资料、应进行登记。领导人批示后，要及时退还或由经管文件部门当日收回。领导人之间不得横向传批文件、不得把文件直接交承办单位（人）。凡需有关部门（人）承办的文件、资料，一律由文件经管部门办理。绝密文件、资料，一般不传阅，应在特别设立的阅文室内阅读。秘密文件、资料，不得长时间在个人手中保留，更不能带回家或公共场所。要控制文件、资料阅读范围，无关人员不能看文件、资料。 5.公司文件资料归档、保管过程中的保密规定归档过程秘密文件、资料在归档时，要在卷宗的扉页标明原定密级，并以文件资料中最高密级为准。不宜于保留不属于企业留存的“三密”文件、资料，要及时清理上交或登记销毁，防止失散。有密级的档案，要按保密文件、资料管理办法进行管理。保密过程

信息安全管理规范完整篇.doc

信息安全管理规范1 1.0目的为了预防和遏制公司网络各类信息安全事件的发生，及时处理网络出现的各类信息安全事件，减轻和消除突发事件造成的经济损失和社会影响，确保移动通信网络畅通与信息安全，营造良好的网络竞争环境，有效进行公司内部网络信息技术安全整体控制，特制定本规范。 2.0 适用范围本管理规范适用于四川移动所属系统及网络的信息安全管理及公司内部信息技术整体的控制。 3.0 信息安全组织机构及职责：根据集团公司关于信息安全组织的指导意见，为保证信息安全工作的有效组织与指挥，四川移动通信有限责任公司建立了网络与信息安全工作管理领导小组，由公司分管网络的副总经理任组长，网络部分管信息安全副总经理任副组长，由省公司网络部归口进行职能管理，省公司各网络生产维护部门设置信息安全管理及技术人员，负责信息安全管理工作，省监控中心设置安全监控人员，各市州分公司及生产中心设置专职或兼职信息安全管理员，各系统维护班组负责系统信息安全负责全省各系统及网络的信息安全管理协调工作。 3.1.1网络与信息安全工作管理组组长职责：负责公司与相关领导之间的联系，跟踪重大网络信息安全事

件的处理过程，并负责与政府相关应急部门联络，汇报情况。 3.1.2网络与信息安全工作管理组副组长职责：负责牵头制定网络信息安全相关管理规范，负责网络信息安全工作的安排与落实，协调网络信息安全事件的解决。 3.1.3省网络部信息安全职能管理职责：省公司网络部设置信息安全管理员，负责组织贯彻和落实各项安全管理要求，制定安全工作计划；制订和审核网络与信息安全管理制度、相关工作流程及技术方案；组织检查和考核网络及信息安全工作的实施情况；定期组织对安全管理工作进行审计和评估；组织制定安全应急预案和应急演练，针对重大安全事件，组织实施应急处理工作及后续的整改工作；汇总和分析安全事件情况和相关安全状况信息；组织安全教育和培训。 3.1.4信息安全技术管理职责：各分公司、省网络部、省生产中心设置信息安全技术管理员，根据有限公司及省公司制定的技术规范和有关技术要求，制定实施细则。对各类网络、业务系统和支撑系统提出相应安全技术要求，牵头对各类网络和系统实施安全技术评估和工作；发布安全漏洞和安全威胁预警信息，并细化制定相应的技术解决方案；协助制定网络与信息安全的应急预案，参与应急演练；针对重大安全事件，组织实施应急处理，并定期对各类安全事件进行技术分析。

CCRC-ISV-C01：2018信息安全服务规范

文件编码：CCRC-ISV-C01:2018 信息安全服务规范 2018-05-25发布 2018-06-01实施中国网络安全审查技术与认证中心发布

目录 1. 适用范围 (1) 2. 规范性引用文件 (1) 3. 术语与定义 (1) 3.1. 信息安全服务 (1) 3.2. 信息安全风险评估 (1) 3.3. 信息安全应急处理 (1) 3.4. 信息系统安全集成 (1) 3.5. 信息系统灾难备份与恢复 (1) 3.6. 软件安全开发 (2) 3.7. 信息系统安全运维 (2) 3.8. 网络安全审计 .................................................................................. 错误!未定义书签。 3.9. 工业控制系统安全 (2) 4. 通用评价要求 (2) 4.1. 三级评价要求 (2) 4.1.1. 法律地位要求 (2) 4.1.2. 财务资信要求 (2) 4.1.3. 办公场所要求 (2) 4.1.4. 人员能力要求 (3) 4.1.5. 业绩要求 (3) 4.1.6. 服务管理要求 (3) 4.1.7. 服务技术要求 (3) 4.2. 二级评价要求 (3) 4.2.1. 法律地位要求 (4) 4.2.2. 财务资信要求 (4) 4.2.3. 办公场所要求 (4) 4.2.4. 人员能力要求 (4) 4.2.5. 业绩要求 (4) 4.2.6. 服务管理要求 (4) 4.2.7. 技术工具要求 (5) 4.2.8. 服务技术要求 (5) 4.3. 一级评价要求 (5) 4.3.1. 法律地位要求 (5) 4.3.2. 财务资信要求 (5)

电信公司信息安全管理八项制度

关于下发《**电信公司信息安全管理八项制度 (试行)》的通知县级分公司、公司各部门：根据中电信黑[2011] 793 号《黑龙江电信信息安全管理八项制度（试行）》，制定了《**电信公司信息安全管理八项制度(试行)》，请认真遵照执行。并将执行过程中出现的新情况，新问题及时反馈至运行维护部。各相关职能部门要按照本制度规范尽快落实本部门的信息安全工作及责任人。附件 1：**电信公司业务经营、合作的信息安全评估保障制度附件 2：**电信公司违法违规信息应急处置流程附件 3：**电信公司信息安全工作（资金、人员）保障制度

附件 4：**电信公司信息安全管理考核和奖惩制度附件 5：**电信公司信息安全技术保障制度附件 6：**电信公司信息安全事件报告制度附件 7：**电信公司信息安全事件应急处置制度附件 8：**电信公司信息安全组织机构管理制度

附件 1： **电信公司基础业务经营、合作的信息安全评估保障制度一、公司产品内容上线前应当由专人对相关内容的合法合规性进行审核，做到先审后发，产品中未通过审核的相关内容不得上线运营。需要审核的产品内容包括但不仅限于各产品中以公司名义对外发布的以及客户通过公司自营网站对外发布的图片、文字、流媒体等信息内容。二、公司自营网站、自营业务业务板块或栏目新增、变更，须经各级公司部门负责人同意，报公司分管领导审批。三、与合作方（含代收费）进行业务合作前，各部门业务运营部门（中心）应当严格审核其电信业务经营许可证或备案许可证、营业执照等经营资质材料，对其身份信息当面核验、留存有效证件复印件并报公司信息安全业务管理部门复核。在签订合作协议时，必须要求合作方签订《信息安全承诺书》，明确其负责合作涉及业务的信息安全，约定信息安全考核制度和违法违规处罚标准。四、合作业务涉及合作方需进行 IP 地址和域名备案的，在业务开通前，必须要求合作方出具 IP 地址和域名已经备案的书面证明函件。

信息安全管理规范标准

信息安全管理规公司

版本信息修订历史

Table of Contents（目录） 1. 公司信息安全要求 (5) 1.1信息安全方针 (5) 1.2信息安全工作准则 (5) 1.3职责 (6) 1.4信息资产的分类规定 (6) 1.5信息资产的分级（级别）规定 (7) 1.6现行级别与原有级别对照表 (8) 1.7信息标识与处置中的角色与职责 (8) 1.8信息资产标注管理规定 (9) 1.9允许的信息交换方式 (10) 1.10信息资产处理和保护要求对应表 (10) 1.11口令使用策略 (12) 1.12桌面、屏幕清空策略 (13) 1.13远程工作安全策略 (14) 1.14移动办公策略 (14) 1.15介质的申请、使用、挂失、报废要求 (15) 1.16信息安全事件管理流程 (17) 1.17电子安全使用规 (19) 1.18设备报废信息安全要求 (20) 1.19用户注册与权限管理策略 (20) 1.20用户口令管理 (21) 1.21终端网络接入准则 (21) 1.22终端使用安全准则 (22) 1.23出口防火墙的日常管理规定 (23) 1.24局域网的日常管理规定 (23) 1.25集线器、交换机、无线AP的日常管理规定 (23) 1.26网络专线的日常管理规定 (24) 1.27信息安全惩戒 (24) 2. 信息安全知识 (25) 2.1什么是信息？ (25) 2.2什么是信息安全？ (25) 2.3信息安全的三要素 (25)

2.4什么是信息安全管理体系？ (26) 2.5建立信息安全管理体系的目的 (27) 2.6信息安全管理的PDCA模式 (28) 2.7安全管理－风险评估过程 (28) 2.8信息安全管理体系标准（ISO27001标准家族） (29) 2.9信息安全控制目标与控制措施 (30)

信息安全管理规范通用版

信息安全管理规范及保密制度(通用版) ****年**月**日*****部制定第一章总则第1条为明确岗位职责,规范操作流程,确保公司信息资产的安全,特制订本制度。第2条本制度适用于公司所有员工。第二章电子邮件管理制度第3条行政人力部必须在员工入职三天内,向员工分配企业邮箱的个人用户名和密码。第4条公司邮箱账户限本人使用,禁止将本人账户转借或借用他人账户。员工必须及时修改初始密码,并且在使用中定期(最多3个月)修改邮箱的密码,以防他人利用。密码至少为8位,且需是字母、数字、特殊符号等至少两个的组合。因邮箱密码泄露造成的损失,由用户自行承担责任。第5条员工的对外往来的公务邮件,原则上必须使用公司统一后缀的邮箱;对外往来的私人邮件则不允许使用公司统一后缀的邮箱。禁止非工作用途将邮箱账户公布在外部INTERNET网上。公务用邮件时,必须使用含有以下字样的个人签名: 声明:您有义务对本邮件内容进行保密,未经书面允许不可私自复制、转发、散布。第6条收到危害社会安定的邮件,应及时删除,严禁转发或点击相应链接,若因此造成不良影响或损失的,由用户个人承担责任,管理员发现类似现象的有权封锁相

关邮件账户。发现邮件感染病毒,立刻将计算机断开公司网络,并使用相应软件进行杀毒。第7条发送带有公司涉密信息的邮件,发件人必须先经部门领导同意, (若是绝密级别,需经公司领导同意),并将涉密信息加密处理后方可发送;否则视情节严重程度予以处理。第8条员工离职时,根据需要交由部门专人监管一个月,后由行政人力部注销。第9条违反以上电子邮件管理规定,视情节轻重,最低经济处罚50元,并交行政人力部处理;情节特别严重的将移交国家司法机关,追究法律责任。第三章数据安全管理制度第10条为保证存储商业机密的计算机、文件、光盘等不会轻易泄露,公司对涉及技术及商业机密的文件、光盘等实行专人管理、借阅登记的制度;同时储存涉及技术及商业机密的计算机均应进行CMOS加密及屏幕保护加密。此两项密码除使用者本人拥有外,应向本部门经理备份,不得泄密给其它部门或个人。离开原工作岗位的员工由所在部门负责人将其所有工作资料收回并保存。如有因密码泄露而导致严重后果者,其行为等同于故意泄密,公司将按照人力资源奖惩制度予以严肃查处。第11条计算机终端用户务必将重要数据存放在计算机硬盘中除系统盘以外的的硬盘分区。计算机系统发生故障时,应及时与管理员联系并采取保护数据安全的措施。第12条计算机终端用户未做好备份前不得删除任何硬盘数据,对重要的数据应保存双份,存放在不同位置,并进行定期检查,防止数据丢失。

信息安全管理制度

信息安全管理制度为加强公司各信息系统管理，保证信息系统安全，据《中华人民共和国保守国家秘密法》和国家保密局《计算机信息系统保密管理暂行规定》、国家保密局《计算机信息系统国际联网保密管理规定》，及上级信息管理部门相关规定和要求，结合公司实际，制定本制度。本制度包括网络安全管理、信息系统安全保密制度、信息安全风险应急预案网络安全管理制度第一条公司网络的安全管理，应当保障网络系统设备和配套设施的安全，保障信息的安全，保障运行环境的安全。第二条任何单位和个人不得从事下列危害公司网络安全的活动： 1、任何单位或者个人利用公司网络从事危害公司计算机网络及信息系统的安全。 2、对于公司网络主结点设备、光缆、网线布线设施，以任何理由破坏、挪用、改动。 3、未经允许，对信息网络功能进行删除、修改或增加。 4、未经允许，对计算机信息网络中的共享文件和存储、处理或传输的数据和应用程序进行删除、修改或增加。 5、故意制作、传播计算机病毒等破坏性程序。

6、利用公司网络，访问带有“黄、赌、毒”、反动言论内容的网站。 7、向其它非本单位用户透露公司网络登录用户名和密码。 8、其他危害信息网络安全的行为。第三条各单位信息管理部门负责本单位网络的安全和信息安全工作，对本单位单位所属计算机网络的运行进行巡检，发现问题及时上报信息中心。第四条连入公司网络的用户必须在其本机上安装防病毒软件，一经发现个人计算机由感染病毒等原因影响到整体网络安全，信息中心将立即停止该用户使用公司网络，待其计算机系统安全之后方予开通。第五条严禁利用公司网络私自对外提供互联网络接入服务，一经发现立即停止该用户的使用权。第六条对网络病毒或其他原因影响整体网络安全子网，信息中心对其提供指导，必要时可以中断其与骨干网连接，待子网恢复正常后再恢复连接。

信息安全管理规定建议

信息安全管理规定建议文件编码（GHTU-UITID-GGBKT-POIU-WUUI-8968）

信息安全管理制度 1．总则：为了切实有效的保证公司信息系统安全，提高信息系统为公司生产经营的服务能力，特制定信息系统相关管理制度，设定管理部门及专业管理人员对公司整体信息系统进行管理，以保证公司信息系统的正常运行。 2．范围计算机网络系统由基础线路、计算机硬件设备、软件及各种终端设备的网络系统配置组成。软件包括：PC操作系统、数据库及应用软件、有关专业的网络应用软件等。终端机的网络系统配置包括终端机在网络上的名称，IP地址分配，用户登录名称、用户密码、U8设置、OA地址设置及Internet的配置等。系统软件是指: 操作系统（如 WINDOWS XP等）软件。平台软件是指:设计平台工具（如AUTOCAD等）、办公用软件（如OFFICE）等平台软件。管理软件是指：生产和财务管理用软件（如用友U8软件）。基础线路是指：联系整个信息系统的所有基础线路，包括公司内部的局域网线路及相关管路。 3．职责

公司设立信息管理部门，直接隶属于分管生产副总经理，设部门经理一名。信息管理部门为网络安全运行的归口部门，负责计算机网络系统的日常维护和管理。负责系统软件的调研、采购、安装、升级、保管工作。负责软件有效版本的管理。信息管理部门为计算机系统、网络、数据库安全管理的归口管理部门。信息管理人员负责计算机网络、办公自动化、生产经营各类应用软件的安全运行；服务器安全运行和数据备份；internet对外接口安全以及计算机系统防病毒管理；各种软件的用户密码及权限管理；协助职能科室进行数据备份和数据归档（如财务、生产、设计、采购、销售等）。信息管理人员执行企业保密制度，严守企业商业机密。员工执行计算机安全管理制度，遵守企业保密制度。系统管理员的密码必须由信息管理部门相关人员掌握。负责公司网络系统基础线路的实施及维护。 4．管理网络系统维护 4.1.1 系统管理员每日定时对机房内的网络服务器、各类生产经营应用的数据库服务器及相关网络设备进行日常巡视，并填写《网络运行日志》〔附录A〕记录各类设备的运行状况及相关事件。 4.1.2 对于系统和网络出现的异常现象信息管理部应及时组织相关人员进行分析，制定处理方案，采取积极措施，并如实将异常现象记录在

公司数据安全管理规范

******有限公司数据安全管理规范为了确保ERP系统的安全和保密管理，保障公司各项数据的安全准确，特制定本制度。 1、信息部是公司信息系统的管理部门，负责全公司信息化设备的管理、ERP系统的正常运行，基本参数的设置，系统用户权限的划分管理，系统数据的提取变更。信息部门负责人为公司信息安全第一责任人，负责信息安全和保密管理。 2、信息部指派专人负责按照本规范所制定的相关流程执行操作，用户授权和权限管理采取保守原则，选择最小的权限满足使用者需求。 3、公司ERP系统权限管理遵循以下原则：（1）为各部门各门店管理人员统一发放系统登陆账号，账号专人专用，账号下发后需立即更改初始密码，严禁使用他人工号或泄露密码。一经发现处以500元每次罚款，并永久性取消登录权限，由此造成的后果个人承担责任；情节严重的予以辞退。（2）公司非一线销售部门如人事、企划、行政等只开通OA系统权限。各门店楼层主管和经理只有本楼层销售查询权限。各门店店长和招商经理有各自门店销售查询权限。运营中心总监有百货、时代、车南外租区和自营品牌的权限。（3）如需信息部配合提取系统销售数据或者需变更工号操作权限，需填写业务联系函写明原因并由部门负责人和执行副总签字，否则信息部不予配合。（4）人事部每月应将主管级以上人员离职名单传递信息中心，信息部接到通知后立即给予权限终止，防止数据外泄。（5）公司员工计算机内涉及公司机密数据的，应给计算机设定开机密码并把文件进行加密处理，非工作需要不得以任何形式进行转移，不得随便拷贝到移动存储设备。（6）离开原工作岗位的员工，各部门负责人需把其工作资料进行回收保存，并通知信息部对其电脑进行相关处理。公司人员岗位内部调拨的，电脑保留原岗位不变。（7）公司内部经信息部确认需要送外维修的电脑，送修前需联系信息部拆除电脑的存储设备并由信息部保管，维修好后再联系信息部进行安装。（8）对于公司连接外网的电脑，不得浏览来历不明的网站或下载不明网站的程

完整word版信息安全管理办法

信息安全管理办法第一章总则第一条为保障公司信息安全，切实推行安全管理，积极预防风险，完善控制措施，制定本办法。第二条本办法适用于公司各职能部门、分公司信息安全管理。第二章主要内容及工作职责第三条信息安全管理的主要工作内容包括机房安全管理、网络安全管理、主机安全管理、应用安全管理、数据安全管理和管理安全工作。条IT中心工作职责 1、IT中心为公司信息安全管理主管部门。 2、负责公司信息安全管理策略制订与落实。 3、负责起草信息安全规章制度，承担信息安全保障建设、信息安全日常管理职能，提供信息安全技术保障。 4、负责各中心、分公司、专（兼）职信息管理员信息安全指导、培训。第五条各中心、分公司 1、指定专人担任专职或兼职信息管理员，负责协助IT 中心开展信息安全实施工作，并提供部门内部技术支持和网络管理工作。 2、负责落实相关信息安全管理工作在部门内的实施。

3、负责业务操作层的相关信息安全保障。 4、负责做好本部门人员的信息安全教育工作，提高人员的信息安全意识和技能水平。第三章机房安全管理第六条机房人员出入、巡检、操作和设备管理请参照《机房安全管理规定》。第四章网络安全管理第七条公司内部网络与互联网实行安全隔离，在网络边界处应部署防火墙或其他安全访问控制设备，制定访问控制规则。第八条新增网络设备入网时，网络管理员应按照《网络设备安全配置检查表》进行检查（见附录A）,经信息安全管理员确认所有检查项检查结果全部为“是"后允许网络设备进入网络运行。第九条网络新建或改造，在投入使用前，网络管理员须进行网络连通性、冗余性和传输速度等测试，信息安全管理员全程参与，确保网络系统安全。第十条当网络设备配置发生变更时，须及时对网络设备配置文件进行备份；网络设备配置每三个月进行全备份，网络设备配置文件由网络管理员保管。第十一条网络管理员应建立网络技术档案，技术文档包括拓扑结构（含分支网络）、网络设备配置等相关文档，网络技术文档由网络管理员保管。第五章主机安全管理

文档之家