XX外部人員訪問管理規(guī)定

1、第二條 精選優(yōu)質文檔-傾情為你奉上XX信息系統(tǒng)外部人員訪問管理規(guī)定2015年7月第一章 總 則第一條 為加強XX對外部人員訪問的安全管理，切實防范外部人員訪問風險，制定本管理規(guī)定。第二條 本規(guī)定適用于XX信息系統(tǒng)外部人員的管理。第三條 XX信息安全領導小組及下設領導小組辦公室負責XX信息系統(tǒng)外部人員訪問管理。第二章 外部人員訪問控制第四條 對于外部人員的來訪，設置來訪記錄單，由XX接待人員填寫后，交業(yè)務相關科室保存；對于第三方的緊急來訪，不能夠及時記錄的，可事后補錄來訪記錄單。第五條 未經(jīng)XX授權，外部人員不得進行任何方式的訪問；外部人員的訪問，也不能超出XX的授權范圍。第六條 根據(jù)外部人員訪

2、問的性質、訪問內容的敏感程度、訪問方式確定外部人員訪問可能造成的威脅，識別相關的風險，確定外部人員訪問應采取的訪問控制措施。第七條 除預定的工作內容外，接待人員不得為外部人員隨意安排其它活動，不得向外部人員透露授權內容之外的關于XX技術、商務方面的情況。第八條 訪問核心區(qū)域和重要業(yè)務系統(tǒng)，外部人員在經(jīng)過授權后必須由接待人員陪同才能進行訪問，陪同人員要對外部人員的訪問過程進行跟蹤監(jiān)控，并事先告知外部人員有關的安全注意事項。第九條 對外部人員訪問的操作內容進行記錄，并對記錄進行審計；信息系統(tǒng)安全管理員應定期對關鍵系統(tǒng)外部人員訪問的記錄和日志進行審查。第十條 接待人員違反上述規(guī)定，未盡到接待責任，使

3、外部人員處于失控狀態(tài)或擅自引領外部人員進入非授權區(qū)域的，應由科室負責人給予警告或批評。第三章 外部合作協(xié)議要求第十一條 外部相關機構需要對重要和受限的信息資產(chǎn)進行訪問前，必須簽訂保密協(xié)議。保密協(xié)議包括對外部人員的保密協(xié)議和對外部相關機構的保密協(xié)議。第十二條 與外部人員簽署的保密協(xié)議應明確規(guī)定保密范圍、保密責任、違約責任、協(xié)議有效期和責任人等內容。第四章 外部信息傳輸?shù)谑龡l 與外部相關機構進行信息或軟件的傳輸時，要根據(jù)信息和軟件的敏感程度選擇適當?shù)臄?shù)據(jù)傳輸方式（網(wǎng)絡傳輸、可移動載體傳輸、郵遞等）和控制措施（加密等）。第十四條 數(shù)據(jù)傳輸使用內部計算機網(wǎng)絡完成，未經(jīng)批準不得借助其它公共計算機網(wǎng)絡平

4、臺進行數(shù)據(jù)傳輸。第十五條 外部人員未經(jīng)許可禁止攜帶移動介質和便攜式設備進入相關區(qū)域第十六條 經(jīng)許可后使用可移動介質和便攜式設備進行數(shù)據(jù)傳輸?shù)模瑐鬏斖戤吅?，必須從載體上完全清除數(shù)據(jù)。第十七條 因業(yè)務需要須向外部相關機構提供含有保密信息的規(guī)定、資料或實物的，接待人應當在獲得相應的批準或授權，并與外部相關機構簽訂保密協(xié)議后再行提供，接待人應開具清單請外部人員簽收。第五章 外部人員管理第十八條 外部人員在進入和離開業(yè)務區(qū)域時要登記備案。第十九條 對外部人員允許訪問的區(qū)域、系統(tǒng)、設備、信息等內容應進行明確的書面規(guī)定。第二十條 外部人員在現(xiàn)場提供服務時，要遵守XX的安全策略和相關安全管理規(guī)定。第二十一條

5、外部人員訪問系統(tǒng)前應對其告知相關的安全責任，新增的系統(tǒng)或應用系統(tǒng)帳號必須經(jīng)運維科授權，由運維科工作人員負責添加；在訪問完畢后由運維科工作人員移除其訪問權限，并對上述操作進行記錄。第二十二條 外部人員在對系統(tǒng)的訪問過程中，不得對系統(tǒng)設置“后門”和進行惡意的破壞活動（如惡意刪除、篡改數(shù)據(jù)等）。第六章 外部人員管理權限與審批第二十三條 ，外部人員必須應得到信息中心安全科負責人的授權并得到明確的授權訪問，范圍，方可訪問XX網(wǎng)絡和信息系統(tǒng)。第二十四條 安全員根據(jù)外部人員訪問的性質、訪問內容的敏感程度、訪問方式確定外部人員訪問可能造成的威脅，識別相關的風險，確定外部人員訪問應采取的訪問控制措施。第二十五條 訪問核心區(qū)域和重要業(yè)務系統(tǒng)，外部人員在經(jīng)過信息中心安全科負責人授權后必須由接待人員陪同才能進行訪問，陪同人員要對外部人員的訪問過程進行跟蹤監(jiān)控，并事先告知外部人員有關的安全注意事項。第二十六條 數(shù)據(jù)傳輸應通過業(yè)務專網(wǎng)完成，未經(jīng)信息中心安全科負責人批準不得借助其它公共計算機網(wǎng)絡平臺進行數(shù)據(jù)傳輸。第二十七條 外部人員未經(jīng)安全員許可禁止攜帶移動介質和便攜式設備進入相關區(qū)域；第二十八條 因業(yè)務需要須向外部相關機構提供含有保密信息的規(guī)定、資料或實物的，接待人應當在獲得信息中心安全科負責人和相應業(yè)務部門負責人的批準或授權，并與外部相關機構簽訂保密協(xié)議后再行提供，接待人應開具清單請外