华为信息安全手册

华为技术有限公司全球技术服务部

华为技函【2008】53号

【内部公开】

【一般】

全球技术服务部安全生产手册V2.0

（2008年9月30日第一次修订稿）

1 目的

为加强客户设备信息安全工作，规范员工的服务行为，提高员工的信息安全意识，保证客户设备的信息安全，特制定本手册（以下简称“本手册”）。

2 适用范围

本手册适用于全球技术服务部工程业务、基础服务、管理服务等所有技术服务活动中涉及客户设备信息安全的行为。

3 客户设备信息安全准则

3.1 不得恶意收集客户设备的重要信息（如网络拓扑结构，IP地址、设备口令、最终用户帐户信息等），不得泄漏客户设备的重要信息，所持有的客户设备信息须在工作完成后及时删除和销毁。

3.2 经客户许可持有的客户设备信息文档（如数据文件、算法程序、外购件配置信息、设备序列号、设备条码等），未经许可不得扩散，并在工作完成后及时删除和销毁。该许可必须是可追溯的记录（例如传真、录音、EMAIL、通知、现场服务确认、确认的会议纪要等方式之一）。

3.3 未经客户许可，不得擅自操作客户设备，该许可必须是可追溯的记录（例如传真、录音、EMAIL、通知、现场服务确认、确认的会议纪要等方式之一）。

3.4 在操作客户设备过程中，不得利用客户网络从事与工作无关的事情，如玩网络游戏、登录与工作无关的网站。

3.5 在操作客户设备过程中，禁止随意将个人便携设备、存储介质（包括但不限于可擦写光盘、U盘、移动硬盘等）接入客户设备，如果必须接入，所接入设备和介质必须经过最新病毒库的检测，确保没有携带病毒、木马等程序。

3.6 在操作客户设备过程中，禁止使用服务器和维护终端连接互联网；如果必须连接，应做好安全防护措施（例如安装防火墙、VLAN隔离、安装防病毒软件、更新系统补丁、系统加固等）。一旦操作过程中设备感染病毒，应当立即把被感染设备隔离，进行杀毒处理后再连接到相应网络。

1. 新员工入职信息安全须知

新员工入职后，在信息安全方面有哪些注意事项？

接受“信息安全与保密意识”培训；

每年应至少参加一次信息安全网上考试；

办理员工卡；

签署劳动合同（含保密职责）；

根据部门和岗位的需要签署保密协议。

员工入职后，需要办理员工卡，员工卡的意义和用途是什么？

工卡是公司员工的身份证明，所有进入华为公司的人员，在公司期间一律要正确佩戴相应的卡证。 工卡还有考勤、门禁验证等作用。 工卡不仅关系到公司形象及安全，还关系到员工本人的切身利益，一定要妥善保管。

公司信息安全方面的规定都有哪些？在哪里可以查到信息安全的有关管理规定？

网络安全部在参考国际安全标准BS7799和在顾问的帮助下，制订了一套比较完整的信息安全方面的管理规定，其中与普通员工关系密切的有《信息保密管理规定》、《个人计算机安全管理规定》、《信息交流管理规定》、《病毒防治管理规定》、《办公区域安全管理规定》、《网络连接管理规定》、《信息安全奖惩管理规定》、《计算机物理设备安全管理规定》、《开发测试环境管理规定》、《供应商/合作商接待管理办法》、《外部人员信息安全管理规定》、《会议信息安全管理规定》和《帐号和口令标准》等。

这些管理规定都汇总在《信息安全策略、标准和管理规定》（即《信息安全白皮书》）中，并且在不断的修改和完善之中。

在“IS Portal”上您可以查到公司信息安全相关的所有信息，如信息安全方面的规定、制度、操作手册、培训胶片、宣传材料和宣传案例等。

各体系细化的信息安全管理规定，可咨询本体系的信息安全专员。

作为一名普通员工，应该如何做才能够符合公司信息安全要求？

积极学习和遵守公司各类信息安全管理规定和安全措施，将遵守安全规定融入自己的日常工作行为中。

在工作中，要有强烈的信息安全和保密意识，要有职业的敏感性。

有义务制止他人违规行为或积极举报可能造成泄密、窃密或其他的安全隐患。

2. 计算机的安全

信息安全管理手册(总31页)

--本页仅作为文档封面，使用时请直接删除即可--

--内页可以根据需求调整合适字体及大小--

江苏XXXX科技有限公司 编 号 XX-ISMS-01

版 本 A/0

密 级 内部限制

受 控 是

信

息

安

全

管

理

手

册

生效日期 核 准 审 查 制 订

修改记录

序号 修改原因 修改内容 修改人/时间 批准人/时间 备注

目 录

、信息安全管理手册发布令

、管理者代表任命书

、公司简介

、信息安全方针

、信息安全目标

1、范围

2、引用标准

3、术语和定义

4、信息安全管理体系

组织环境

理解相关方的需求和期望

明确信息安全管理体系的范围

信息安全管理体系

5、领导

领导和承诺

方针

组织角色、职责和权力

6、计划

处置风险和机遇

信息安全目标的计划和实现

7、支持

资源

能力

意识

沟通 文档要求

8、实施

运行计划和控制

信息安全风险评估

信息安全风险处置

9、绩效评价

监视、测量、分析和评价

内部审核

管理评审

10、改进

不符合项和纠正措施

持续改进

附件：

附件一：信息安全职能分配表

附件二：信息安全职责

附件三：信息安全管理体系程序文件清单

附件四：信息安全管理体系作业指导书文件清单

信息安全管理手册发布令

为提高江苏XXXX科技有限公司的信息安全管理水平，保障企业经营、服务和日常管理活动，防止由于信息系统的中断、数据的丢失、敏感信息的泄密所导致的业务中断或安全事故，公司开展贯彻ISO/IEC 27001:2013《信息技术-安全技术-信息安全管理体系要求》标准的工作，建立文件化的信息安全管理体系，制定了江苏XXXX科技有限公司《信息安全管理手册》（以下简称手册）。

本手册是企业的法规性文件，是指导企业建立并实施信息安全管理体系的纲领和行动准则，用于贯彻企业的信息安全管理方针、管理目标，实现信息安全管理体系有效运行、持续改进，是江苏XXXX科技有限公司信息安全管理工作长期遵循的准则。

密级：秘密

QXX-Q1-MA-01

第 1 页 共 24 页

信息安全管理手册

编制： 日期：2015-04-01

审核： 日期：2015-04-01

批准： 日期：2015-04-01

2015-04-01发布 2015-04-01实施

XXXXXXXXX有限公司发布 密级：秘密

QXX-Q1-MA-01

第 2 页 共 24 页 [版本变更记录]

生效日期 版本 修改说明 修改人 复审人 批准人

2015-04-01 V1.0 创建文件

密级：秘密

QXX-Q1-MA-01

第 3 页 共 24 页

目 录

0.1手册颁布令 ....................................................................... 4

0.2管理者代表任命书 ................................................................. 5

0.3 管理手册说明 ................................................................... 6

0.3.1用途 ....................................................................... 6