华为信息安全手册

华为信息安全手册

一、新职员入职信息安全须知

新职员入职后，在信息安全方面有哪些注意事项？

同意“信息安全与保密意识”培训；

每年应至少参加一次信息安全网上考试；

办理职员卡；

签署劳动合同（含保密职责）；

依照部门和岗位的需要签署保密协议。

职员入职后，需要办理职员卡，职员卡的意义和用途是什么？

工卡是公司职员的身份证明，所有进入华为公司的人员，在公司期间一律要正确

佩戴相应的卡证。 工卡还有考勤、门禁验证等作用。 工卡不仅关系到公司形象

及安全，还关系到职员本人的切身利益，一定要妥善保管。

公司信息安全方面的规定都有哪些？在哪里能够查到信息安全的有关治理规定？

网络安全部在参考国际安全标准BS7799和在顾问的关心下，制订了一套比较完整

的信息安全方面的治理规定，其中与一般职员关系紧密的有《信息保密 治理规定

》、《个人运算机安全治理规定》、《信息交流治理规定》、《病毒防治治理规

定》、《办公区域安全治理规定》、《网络连接治理规定》、《信息安全奖 惩管

理规定》、《运算机物理设备安全治理规定》、《开发测试环境治理规定》、《

供应商/合作商接待治理方法》、《外部人员信息安全治理规定》、《会议信息

安全治理规定》和《帐号和口令标准》等。

这些治理规定都汇总在《信息安全策略、标准和治理规定》（即《信息安全白皮

书》）中，同时在不断的修改和完善之中。

在“IS Portal”上您能够查到公司信息安全相关的所有信息，如信息安全方面的

规定、制度、操作手册、培训胶片、宣传材料和宣传案例等。

各体系细化的信息安全治理规定，可咨询本体系的信息安全专员。

作为一名一般职员，应该如何做才能够符合公司信息安全要求？

积极学习和遵守公司各类信息安全治理规定和安全措施，将遵守安全规定融入自

己的日常工作行为中。

在工作中，要有强烈的信息安全和保密意识，要有职业的敏锐性。

有义务禁止他人违规行为或积极举报可能造成泄密、窃密或其他的安全隐患。

二、运算机的安全 口令设置

公司规定的口令设置最低标准是什么，每次更换口令，都不容易记住新口令，该

如何办？

一般用户（公司一样职员均为一般用户）设置口令的最低标准要紧有以下几条：

(1)口令长度不能少于6位且必须包含字母

(2)口令至少应包含一个数字字符

另外，一个好的口令除了符合口令的最低标准外，最好还应包含大小写字母和特

殊的字符。

设置简单的口令不安全，而复杂的口令又不容易记住。建议您用自己心中的一句

话的拼音或英语语句的首个字母组合作为密码。如：就“我想去看2008奥运会”

这一自己心中愿望的话，能够设置密码为WXqk2008ayh，或者用其他某段容易记住

的字符串，稍加改造作为口令，如一个换过专门字符的网站地址等，这 样的口令

专门好记，也专门难猜。

假如没有设置口令会带来哪些危害？

对系统不设口令就像银行存折没有密码一样，是专门危险的。

(1)假如不设开机口令，那么他人可轻松启动或重新启动系统，从而操作您的运算

机，还可通过在CMOS中给机器设置开机口令，让您无法使用运算机；

(2) 便携机若不设硬盘口令，那么只要将您的硬盘接到别的运算机中，硬盘上所

有资料就会一览无余的出现出来；

(3)假如不设屏幕爱护口令，当您离开时，其他人能够轻易的进入、使用您的运算

机，将您的文件删除或发送出去；

(4)共享文件夹时假如不设口令，任何能够和您运算机相连的人不需授权，均可拿

走你共享的资料。

软件安装

为了保证运算机安全，在第一次使用运算机时有哪几项安全措施需要赶忙完成？

(1)需要第一加入公司China域，登陆网址 ://win2khelp.huawei /下载加

入域的工具JoinDomain.exe。

(2)需要赶忙安装操作系统的安全补丁，能够从各地文件服务器指定路径下载，如

总部路径为\\lg-fs\Root\Software\System\$Patch。

(3)需要赶忙安装Symantec防病毒软件，能够从各地文件服务器指定路径下载，如

总部路径为\\lg-fs\Root\Software\Application\System

Tools\Security\$virus。

(4)需要赶忙设定屏幕爱护程序，并启用密码爱护， 注意等待时刻不能大于10分

钟。

(5) 设置开机口令，操作系统（administrator）口令，假如是便携机还应设置硬

盘口令。

(6)设置Notes邮箱10分钟内自动锁定。

(7) 需安装SPES、ACC，可登陆网址 ://spes.huawei /下载安装最新版

SPES客户端软件；可登陆 ://acc.huawei /下载安装最新版ACC客户端软件

。

以上措施完成后，请运行ACC进行自检，保证没有红色违规项。如有疑问，能够咨

询IT hotline（Tel：+86-755-28560160）

什么是非标准软件？要使用非标准软件，应如何申请？

非标软件是针对标准软件来定义的，关于公司一般职员来说，凡是IT桌面标准、

研发工具标准之外的软件均属于非标软件，如游戏、不含在IT及研发标准 内的免

费或自由软件、阻碍网络安全的工具软件等等。原则上非标软件不能够随便使用

，若工作有需要，必须填写“IT资产申请”电子流，经审批后使用。关于涉 及安

全的工具软件，还需填写“IS Authority Application”中的“网络安全软件申

请”电子流。

我自己购买了一套软件，想安装在公司的运算机上，不知是否能够？

不能够。常用办公软件在公司文件服务器上都有相应的安装软件，比如IE、Lotus

Notes、Office 等等，需要安装时可直截了当连到办公所在地文件服务器上安装。不

要安装自己购买的软件，因为：

(1)存在版权问题；

(2)购买的软件未经公司测试，不能保证可靠稳固运行和正常爱护；

(3)更为严峻的是，还可能因购买的软件中带有木马、病毒程序、软件留有后门等

给公司网络安全带来隐患。

运算机修理/使用

运算机发生故障需要修理时，应该注意哪些事项?

职员应该要求修理人员尽量在公司内进行修理，同时监督整个修理过程。当修理

人员需要将运算机带出公司修理时，为了防止泄密，一定要记得拆卸下硬盘，并

存放在公司内的保密柜等安全的地点。

运算机使用方面应注意哪些事项？

(1)只有在因工作需要进行远程数据爱护的时候，在保证物理上与公司的内部网络

断开的情形下，通过部门二级主管和网络安全部批准后才能在办公区拨号上网。

(2)私自转借运算机可能造成泄密隐患，因此未经批准，职员不得转借运算机。

(3)对专门储备设备及其介质（如USB）的使用，需要走“IS Authority

Application”电子流申请。

(4)私自使用运算机进行刻录、扫描存在较大信息安全隐患，因此，刻录和扫描的

需求须经审批后，由专人负责操作。

(5)公司配置给您的机器是公司的标准配置，未经批准，不得私自安装任何标准配

置外的配件。

网络配置和使用

现在，也许你开始需要连入公司网络了。第一需要配置好网络，这时安全方面需

要注意什么呢？

个人运算机的IP地址应设置为自动猎取方式，不能擅自配置固定IP地址，否则可

能引起网络冲突，阻碍公司网络的安全运行。

公司的网络标准协议为TCP/IP。公司办公网络不得启动除公司标准协议外的任何

其他网络协议，如SPX/IPX、NETBIOS等。

禁止一般职员在公司办公网络严禁安装启动DNS、Wins、DHCP等网络服务。假如您

的操作系统是WINDOWS SERVER或Unix等服务器操作系统，可要专门小心这一点呀

！

网络设置好后，你就需要给您的运算机起一个名字，注意，可不能随便起，您知

道运算机的命名规则吗？

公司的运算机专门多，为了便于治理和爱护，公司要求运算机命名方式为：您的

姓的第一位拼音字母 +工号。假如您治理多台运算机，请在工号后加A、 B 、C、

D ….

个人能够设置FTP、Wins等网络服务吗，什么缘故？

未经批准，不得私自设置WWW、FTP以及BBS、NEWS、DNS、Wins、DHCP等各种形式

的网络服务，更不能在公司网络上运行任何攻击或破坏网络服务的软件。因为设

置这类服务会对网络正常运行造成不良阻碍。

如确实业务需要，不接入公司大网（如，仅在实验室小网使用）同时不需要IT协

助的服务申请，提交“IS Authority Application”电子流进行申请，其余服务

的申请通过IT requirment流程申请。

三、人员安全

一般职员的职责

作为一般职员，我在信息安全中的职责是什么？

积极学习和遵守公司各类信息安全治理规定和安全措施，将遵守安全规定融入自

己的日常工作行为中。

在工作中，要有强烈的信息安全和保密意识，要有职业的敏锐性。有义务禁止他

人违规行为或积极举报可能造成泄密、窃密或其他安全隐患的行为。

关于信息安全方面问题，应该向谁咨询或反馈？

您能够向直截了当向部门主管，信息安全专员咨询或反馈；还能够通过公司的IT热线

（ : +86-755-28560160，Notes: ithotline 12345，Email:

ithotline@huawei ）或信息安全问题受理电子流咨询或反馈。

治理者的责任

作为治理者，我在信息安全中的责任有哪些？

各级部门的一把手是本部门信息安全的第一责任人。

负责信息安全治理规定在本部门的推行和落实。

对本部门人员的违规事件承担领导责任。

各级主管应负责本部门哪些与信息安全相关的活动？

各级主管应负责本部门所有与信息安全相关的活动。具体有：确定各个资产、各

个系统的治理员，使该治理员对该资产、系统的安全负责；在本部门内对职员 进

行培训、教育和宣传，使本部门每个职员都遵守公司的信息安全策略、标准和管

理规定，报告信息安全隐患、漏洞或事故，树立主动爱护公司信息资产的意识。

职员出差

在出差时，若需携带保密资料，应注意哪些事项？

应注意如下事项：

(1)非因公外出时绝对不能携带绝密资料。

(2)因公外出只承诺携带工作相关文档，携带外出的保密资料需第一通过审批，在

离开公司时出示通过审批的有效凭证；

(3)出差前请确认出差目的地的网络情形，假如完全无法接入网络，请确认便携机