信息安全方针

信息安全方针第一章总则第一条为保证科技发展部信息资产的保密性、完整性和可用性，保障科技发展部信息系统安全稳定运行，确保各项业务顺利开展，特制定本方针。

第二条本信息安全方针适用于哈尔滨银行科技发展部，是科技发展部所有信息安全标准、规范、流程必须遵从的纲领性文件。

第三条应定期或在发生重大变化时，对本方针进行评审修订，以确保本方针持续的适宜性、充分性和有效性。

第二章信息安全方针第四条科技发展部的信息安全方针是：预防为主，分级保护，分层负责，持续改进。

第五条预防为主。

科技发展部信息安全工作贯彻预防为主的指导思想，采取各项主动预防措施，建立信息安全和操作风险防控体系，增强全员安全意识，完善应急机制，加强内部安全检查，做到防患于未然。

第六条分级保护。

科技发展部按照信息系统的重要程度划分相应等级，根据信息系统的等级采取相应的保护措施，保证科技发展部各信息系统得到适当等级的保护。

第七条分层负责。

科技发展部建立层次化的信息安全组织，确保责任逐层分解并落实。

第八条持续改进。

科技发展部按照PDCA模型进行信息安全管理的持续改进，保证科技发展部的信息系统在动态变化的过程中始终得到全面的保护。

第三章信息安全管理原则第九条责任制原则。

科技发展部信息安全管理工作实行“操作落实到人，布置落实到组，检查落实到中心，监督落实到专业组，考评落实到科技发展部”的五级风险防范责任体系。

第十条规范化原则。

遵循适用法律法规、监管部门及总行的要求，参照行业规范及国内外的信息安全标准。

第十一条统筹性原则。

信息安全管理工作贯穿于科技发展部运行生产的全过程，实行技术和管理相结合，做到统筹兼顾。

第十二条实用性原则。

在确保信息安全的同时，各项控制措施注重实效性和可操作性。

第四章信息安全组织机构第十三条科技发展部信息安全组织框架包括管理决策、监督检查、贯彻执行三个方面的职能。

具体内容详见《信息安全组织建设管理规定》。

第五章信息安全基本策略第一节组织安全第十四条组织安全目标：保证科技发展部组织的安全；保持被外部各方访问、处理、沟通的科技发展部信息及信息处理设施的安全。

公司的安全方针的五项内容公司安全方针的五项内容:一、信息安全保护公司信息资产是非常重要的财产，为了保护公司和客户的利益，所有员工都必须遵守信息安全规定。

不得将公司的敏感信息外泄或滥用，严禁在未经授权的情况下访问、复制或传播公司的机密信息。

同时，员工需要妥善保管个人账号和密码，不得将账号和密码透露给他人，以防止不法分子利用信息进行攻击。

二、网络安全管理公司网络是信息存储和传输的重要通道，必须严格管理和维护。

所有员工需要遵循网络安全管理规定，不得在公司网络中传播病毒、木马或其他恶意软件。

在使用公司网络时，要遵循合法合规的原则，不得进行非法活动，包括但不限于侵入他人计算机系统、盗取他人信息等。

三、设备安全防护公司的设备是公司正常运营的基础，所有员工都有责任保护设备的安全。

在使用公司设备时，要遵守设备使用规定，不得私自更改设备设置、安装未经授权的软件或硬件。

同时，要定期检查设备的安全性，包括防火墙、杀毒软件等的更新和维护，以确保设备的安全运行。

四、物理安全措施公司的办公环境和设施也需要得到保护，以防止未经授权的人员进入或物品丢失。

员工需要保持办公区域的整洁和安全，不得将公司的办公设备带离公司或交给未经授权的人员。

同时，要保护个人的办公电脑和文件，不得外借或私自复制公司的文件和资料。

五、安全意识培养公司安全方针的有效执行需要全员的参与和支持，因此，公司将进行安全意识培训和教育，提高员工的安全意识和技能。

员工要积极参与培训，学习安全知识，提高自己的安全意识和应对能力。

同时，公司将建立安全报告和奖惩制度，鼓励员工发现安全问题并及时上报，同时对违反安全规定的行为进行相应的纠正和奖惩。

总结起来，公司的安全方针主要包括信息安全保护、网络安全管理、设备安全防护、物理安全措施和安全意识培养五个方面。

这些方针的执行不仅是保护公司财产和客户利益的需要，也是维护公司声誉和形象的重要举措。

通过全员的共同努力，公司的安全水平将得到持续提升，为公司的可持续发展提供有力保障。

数据备份与恢复
制定数据备份和恢复计划 ，以应对数据丢失或损坏 的情况。
系统安全策略
访问控制
限制用户对系统的访问权限，防止未经授权的访问和恶意行为。
防病毒和防恶意软件
安装和更新防病毒和防恶意软件，以检测和清除系统中的病毒和恶意程序。
系统更新和补丁管理
及时应用系统更新和补丁，以修复安全漏洞和提升系统安全性。
网络与通信安全策略
01
网络安全
保护网络设备和通信链路免受未经授 权的访问和攻击。
02
数据加密
采用数据加密技术，保护数据的机密 性和完整性。
03
防火墙和入侵检测/预 防系统（ID…
通过部署防火墙和IDS/IPS，监控和阻 止潜在的网络攻击。
物理安全策略
门禁系统
通过门禁系统限制对敏感区域 和重要设备的访问。
加密和数据保护原则
对敏感数据进行加密和保护，确保 数据的机密性和完整性。
安全审计原则
建立安全审计机制，对系统、应用 程序和数据进行实时监控和审计， 及时发现和处理安全事件。
备份和恢复原则
对重要数据进行备份和恢复，确保 数据在发生安全事件时能够迅速恢 复。
信息安全组织架构
成立信息安全委员会
由公司高层领导组成信息安全委员会，负责制定 信息安全战略、审核信息安全政策和制度以及监 督信息安全工作的实施情况。
06
安全策略的实施和管理
安全策略的实施计划
确定实施目标和实施 范围
明确安全策略要达到的目标和实 施的具体范围，为后续工作提供 明确的方向。
制定实施计划和时间 表
根据实施范围和目标，制定详细 的实施计划，包括具体的工作任 务、时间节点、责任人等，同时 根据实际情况进行时间安排。

信息安全方针文件编号：1目的本文档为有限公司(以下简称“”或“公司”)ISO/IEC27001信息安全管理体系文档的一级文档，将阐明组织的信息安全目标和方针，对信息安全管理体系做出概括性叙述，是组织对外实施信息安全保证、对内进行信息安全管理的总纲。

2 范围本方针为所有信息安全标准、规范、流程必须遵从的纲领性文件，其中所规定的信息安全控制措施，适用对象为所有接触、处理、使用、运营、维护和保管重要信息资产的公司员工和第三方人员。

3 参考文件《ISO/IEC27001:2013信息技术安全技术信息安全管理体系要求》《信息系统安全保护等级基本要求GBT22239-2008))4 术语说明机密性：确保只有经过合法授权才可以存取信息。

完整性：保护信息资产的准确、完整的特性。

可用性：确保经授权的用户在需要时可以获取信息及服务。

信息安全管理体系：指为确保达成信息安全方针所建立的相关管理制度与配套措施。

信息安全管理体系，以ISc)27001为主要参考标准，兼顾等级保护要求的法律法规要求。

第三方：本方针所称第三方，指除公司内部组织和员工外的其他单位，如合作机构、供应商、服务商、战略合作伙伴、访客等。

5 信息安全定义以信息技术为命脉，将信息技术作为商业的组成部分。

公司信息安全的定义为：确保重要信息资产及相关信息的机密性、完整性、可用性。

6 总体方针与原则所有“公司”的信息资产是“公司”高度有价值的资产。

信息资产指“公司”所创造、使用、及维护的客户及员工个人的信息和“公司”专有的信息，这包括著述、口述、或电子信息。

信息安全目的是保护此类资产,使信息不能在为授权下，意外地或刻意的被使用、发放、篡改、或删除。

随着“公司”日利益利用互联网进行业务扩展，减低信息资产受到的外来威胁（如，计算机病毒、黑客攻击、信息泄密等）的风险同样重要。

“公司”承诺建立并推行高标准的信息安全规范，并：1、严格遵循国家法例、监管机构法规、及行业常规和守则的信息安全要求，并以最高标准作为规范原则；2］信息受到适当的保护，确保信息的保密性、完整性机可用性：3、构建信息及信息系统安全控制是以深度防御及默认安全作为实施原则；4、信息及信息系统所建立的保护与其敏感度、价值、及重要性相匹配。