信息及网络安全员工手册

信息及网络安全员工手册 第一章：信息安全总则 第一条信息安全的定义 信息是公司有形或无形的资产，是公司业务营运的重要资本，安全则是利用主动或被动的各种方法，来保护或保持一个环境，使其活动的进行不受干扰。因此信息安全即为了降低因人为疏失、蓄意破坏或自然灾害等因素带来的风险，运用一整套适当的控制措施，包括政策、实践、步骤、组织结构和软硬件功能等，来确保公司的资产受到妥善的保护。 第二条公司资安管控的目的 即确保信息的机密性（只有经过授权的人才能存取信息）、完整性（保证信息没有经过非法的篡改）与可用性（确保信息在需要时可以提供有授权的用户），保护公司信息资产免遭不当使用、泄漏、篡改、破坏等，确保信息搜集，处理，传送，储存及流通之安全，以保障公司业务永续经营。 第三条公司信息安全保护范围定义 公司信息安全保护范围涵盖实体的纸张文件以及信息设备，并包括电子文件等非实体的与信息相关的信息资产。信息资产的分类包括但不限于以下六种： （1）信息生产技术、工艺，设计、模型、图样、规格、原型、制程、配方、开发技术、电脑程序、软件、概念、发现、提案、模具、原始码、目标码、著作原件、操作手册、系统文件、输入输出格式、文件、档案结构、程序说明表、质量数据、专门技术、计划、实施进度及其结果、销售、服务情报、原材料、零部件来源情报、客户数据、管理、经营的运行及决策、财务数据、报价数据、订单信息、退货信息、采购数据、成本数据、产品开发计划、生产排配（布局））、检测数据、建厂数据、人事数据、诉讼、与其它公司协作业务相关之情报、与关联公司相关之情报，其它各单位认为应该保密的信息或情报等； （2）软件：系统软件、应用软件、开发工等； （3）实体设备：计算机设备（处理器、显示器、内存条、主板等）通讯设备（路由器、交换机、传真机、电话机、手机及各类移动通讯设备等））储存媒体（纸介质载体、磁性物质载体、电光信号载体、其它载体等）； （4）服务：计算及通讯服务等； （5）企业形象与声誉公共广告、业界成绩、商誉等。 第四条 公司数据机密等级的定义 公司数据机密等级简单划分以下四级： 1.极机密 2.机密 3.秘密 4.一般 第二章员工信息安全责任及义务 员工严禁以任何方式或透过任何途径，盗取或泄漏公司机密资料、散发损害公司声誉言论、攻击他人计算机、网站、网络、服务器或不合理占用计算机及网络资源等，若发现他人有此类行为，应主动举报。 第五条 关于对外发言 （1）公司设有专门的对外发言及信息披露制度，员工应严格遵守该发言及讯息披露制度，严禁擅自代表公司对外发表言论（包含新闻媒体、网站、论坛、博客等对外公开之平台或以电话、传真、邮件等方式）； （2）严禁员工在公共场合（例如餐厅、乘坐交通工具、有无关之第三者在场之场合）谈论公司营运相关内容，以避免公司机密信息泄漏。 第六条 机密性书面数据安全管控规范 书面数据泛指以纸质形式存在的数据，员工应遵守以下规范： （1）重要数据应标示其机密等级； （2）机密文档之借阅需经负责主管同意并签核； （3）借阅机密文档应于该文档保管空间内为之，未经授权不可带出该保管空间外或做书面记录； （4）未经许可及书面批准，严禁复制机密文档； （5）未经授权，严禁将公司机密性书面资料携出公司； （6）长时间（半小时以上）离开座位时，桌面不能放有机密性书面数据，机密数据须放在带锁抽屉或保险柜内，并加以上锁； （7）含有机密资料的纸张在丢弃之前应经过当安全处理（例如使用碎纸机粉碎）； 第七条 关于教育训练 （1）员工必须参加公司举办的职前资安教育训练，通过考试后，方可上岗； （2）员工应积极学习和遵守公司各类信息安全管理规定和安全措施，将遵守安全规定融入自已的日常工作行为中； （3）员工必须参加公司定期举办的资安教育训练。 第八条 员工离职资安要求 （1）员工离职应将其所分配、使用、监督或管理之相关设备及数据等及其复制物全数交还公司，并接受公司离职面谈； （2）员工离职时，必须向其部门主管或其指定人员交接数据、包含设计、数据、图纸、模型、实验纪录等包括但不限于以纸本文件或电子文件方式储存之数据； （3）员工离职时，所有信息账号（电子证书、上网账号及密码、电话密码、即时通账号及密码、ERP账号及密码、OA账号及密码、电子签核账号及密码、各部门操作系统账号及密码等）应实时注销； （4）员工离职后，亦应遵守相关保密规定，避免公司知识产权或秘密外泄。 第九条人员调动资安要求 （1）进行交接时，应确认以下几点： 保密资料的移交和清理； 应用系统账号与权限的移交，变更及移除； 归还办公室、储物柜、机房等地方的钥匙； 其它应交接的事项； （2）员工调动部门后，与新岗位工作职责无关的文档，员工应归还原所属部门，否则应自行彻底地删除或销毁。删除或销毁的方式必须符合公司规定，如使用碎纸机销毁含机密信息的纸张，而不能直接扔垃圾箱或用手撕毁等。如在新岗位需继续保留原岗位机密数据， 一定要经过机密信息所有人及所属单位批准。 第十条外来访客接待人员资安规范 接待宣导事项 访客来访，相关接待人员应该提前电话宣导公司资安规定，并严禁访客携带信息处理设备进出公司。如果因工作原因必须使用，需经过授权方可进出公司； 接待访客须知 访客来访，接待人员需全程陪同，并按照预先核定之参观路线，引导进出公司； 拍照、录音、录像限制 访客来访，接待人员应告知访客未经授权不得擅自拍照、录音、录像之规定； 与访客签订保密协议 若在与供货商或第三方的接触过程中可能接触到公司的机密数据，则需要求对方签订保密协议，保密协议之格式需与法务处确认； 访客携带信息处理设备 若外来访客携带信息处理设备，请按照“外来访客资讯处理设备管控规定”办理设备进出事宜； 陌生访客接待须知 员工若发现部门出现陌生访客，需提高警觉并即刻通知主管，将该访客引导至入口接待区等待。 第十一条 员工相关保密契约的签订 （1）员工及其它从事公司业务相关人员，需与公司签订“劳动合同”、“知识产权暨保密协议书”； （2）特定员工（如信息设备管理人员、软件开发人员等）公司依需要将要求员工签订特定保密契约； （3）员工因工作调换、职位变动、调出单位及调入单位，公司依需要将要求员工重新签订“劳动合同”、“知识产权暨保密协议书”。 第十二条资安奖惩规范 员工资安奖惩将依据公司员工手册，联络单及其它作业办法内容执行。 第三章：信息处理设备的管控 第十三条信息处理设备定义 信息处理设备是指含有存储、数据处理功能的信息设备，包括但不限于以下设备：计算机主机、手提电脑、智能手机、硬(软)盘、光盘、U盘、MP3、MP4、PDA、数码相机/录象机、数据存储卡等有存储功能之信息设备以及不具存储功能如照相机（使用胶片）、读卡器、录音机、刻录机、USB设备、具有无线上网及传输功能的设备、具录音功能设备、各种信息扫描设备等资安管控物品。 第十四条门禁管理 为维护正常生产秩序，公司施行严格的门禁管理。公司正式员工应当佩戴厂牌，来访客户、供货商、应聘者等人员及车辆均应遵循相应流程申请入厂并佩戴标识，并接受门岗人员安全检查。 第十五条门岗进出规范 （1）员工携公用信息处理设备进出公司：《手提电脑（含台式计算机主机）携入携出申请单》并在《公用信息处理设备出入管制卡》上做好记录，经有效签核，门卫核对放行; （2）公司销售给终端客户之信息处理产品：开具《物品放行单》由门卫核对放行（包装必须完好，否则依正常流程出厂）; （3）公司销售给终端客户返修/送检之信息处理设备：出示“购买凭证”给门卫确认，填写《手提电脑（含台式计算机主机）携入携出申请单》经门卫核对后放行，出厂按正常出厂流程办理; （4）公司可移动式存储设备经主管授权在园区内可凭《公用信息处理设备出入管制卡》由门卫核对出入; （5）所有人员严禁携带智能手机进入各生产车间/研发等管制区域.

第十六条 员工信息处理设备管控规范 （1）所有员工一律严禁携带个人信息处理设备进出公司生产、办公区域; （2）未经授权，严禁携带信息处理设备进出公司； （3）公务使用信息处理设备由各部门负责人签报上级授权主管核准； （4）若宿舍区位于公司之内，该宿舍区信息处理设备仅可在生活区使用，严禁携入宿舍区外任何区域，携出园区必须经过资安检查. 第十七条 外来访客信息处理设备管理规范 （1）供货商与协力厂商 严禁携带信息处理设备进入公司，如因工作必须携入者，接待人员需事先协助访客提出申请，携出前需填写《手提电脑（含台式计算机主机）携入携出申请单》，由各各部门负责人签报上级授权主管核准后方可放行： （2）客户若客户需携信息处理设备进出公司，接待人员需在《客户来访接待申请单》上注明计算机相关信息，携出前需填写《手提电脑（含台式计算机主机）携入携出申请单》，由各各部门负责人签报上级授权主管核准后方可放行； （3）应聘人员严禁携带个人信息处理设备进入公司。招聘单位应向应聘人员宣导公司安相关规定; （4）其它参访人员未经公司授权，严禁携带个人信息处理设备进入公司。邀请部门应向参访人员宣导公司资安相关规定。 第十八条 信息处理设备送修、报废及再使用规范 （1）信息处理设备送修需经授权后方可进行; （2）员工应要求维修人员尽量在公司内进行维修，并且监督整个维修过程; （3）除进行数据恢复处，信息处理设备进行委外维修需将存储媒体（如记忆卡、硬盘等）取出并存放在公司内的保险柜等安全的地方，否则应进行消磁等安全方式处理： （4）信息处理设备需经过安全处理（如消磁等）并经授权方可进行报废; （5）存储媒体（如硬盘等）需要再利用时，必须确认原先数据及数据已确实删除，并经IT单位确认且无法轻易被恢复方可再使用。 第十九条信息处理设备邮寄或快递管理规范 （1）未经授权，禁止将信息处理设备及机密性纸本文件以邮寄或快递的方式携出公司;