信息安全事故管理辦法.-管理辦法

信息安全事故管理辦法第一章 總則第一條 目的：為加強(qiáng) 公司信息系統(tǒng)安全事故的管理， 提高信息系統(tǒng)安全事故管理的制度化、規(guī)范化水平，及時(shí)掌握全行網(wǎng)絡(luò)和信息系統(tǒng)安全狀況，為協(xié)調(diào)組織相關(guān)力量進(jìn)行信息系統(tǒng)安全事故的應(yīng)急響應(yīng)處理奠定基礎(chǔ)，降低信息安全事故帶來(lái)的損失和影響，保障全行網(wǎng)絡(luò)和信息系統(tǒng)安全穩(wěn)定運(yùn)行，特訂定本管理辦法。第二條 依據(jù)：本管理辦法根據(jù)《公司信息安全管理策略》制訂。第三條 范圍：本辦法適用于全公司信息系統(tǒng)。第四條 定義：信息安全事故是指對(duì)任何信息技術(shù)資源合法使用、操作造成威脅的事件，或?qū)π畔⒓夹g(shù)資源具有潛在危險(xiǎn)的任何一種情況。第五條 總部DXC負(fù)責(zé)信息安全事故的接報(bào)、 匯總、通報(bào)和處置工作。DXC安全科負(fù)責(zé)人為信息安全事故協(xié)調(diào)員，并指定代理信息安全事故協(xié)調(diào)員。第二章 信息安全事故的范圍第六條 公司信息安全事故包括，但不限于：(一)系統(tǒng)感染計(jì)算機(jī)病毒。(二)公司網(wǎng)絡(luò)遭遇外部入侵或攻擊。(三)內(nèi)部人員利用公司網(wǎng)絡(luò)進(jìn)行破壞。(四)信息系統(tǒng)敏感數(shù)據(jù)泄露或失竊。(五)公司數(shù)據(jù)處理設(shè)備失竊。第七條 符合以下條件之一的信息安全事故必須報(bào)告：(一)導(dǎo)致計(jì)算機(jī)信息系統(tǒng)中斷或運(yùn)行不正常超過(guò) 4小時(shí)。(二)造成直接經(jīng)濟(jì)損失超過(guò)100萬(wàn)元。(三)嚴(yán)重威脅公司資金、信譽(yù)安全。(四)因計(jì)算機(jī)安全事故造成公司不能正常運(yùn)營(yíng)， 且影響范圍超過(guò)一個(gè)縣級(jí)行政區(qū)域。第三章 信息安全事故的監(jiān)控和處理第八條 安全事故管理分為安全事故監(jiān)控和安全事故處理。安全事故監(jiān)控完成對(duì)安全事故跡象的檢測(cè)和分析，發(fā)現(xiàn)和報(bào)告安全事故的存在。安全事故處理是對(duì)被發(fā)現(xiàn)的安全事故的響應(yīng)處理過(guò)程，包括四個(gè)主要階段：控制、證據(jù)收集、根除與恢復(fù)以及事后分析。第九條 安全事故監(jiān)控包括信息安全事故監(jiān)測(cè)、預(yù)測(cè)和預(yù)警，應(yīng)按照“早發(fā)現(xiàn)、早報(bào)告、早處置”的原則，加強(qiáng)對(duì)各類信息安全事故和可能引發(fā)信息安全事故的有關(guān)信息的收集、分析判斷和持續(xù)監(jiān)測(cè)。第十條 員工發(fā)現(xiàn)公司發(fā)生信息安全事故后，需向信息安全事故協(xié)調(diào)員報(bào)告，確認(rèn)故障情況，確認(rèn)故障處理時(shí)間，準(zhǔn)確定性故障級(jí)別，如果不能聯(lián)系上信息安全事故協(xié)調(diào)員，則向代理信息安全事故協(xié)調(diào)員報(bào)告。第十一條 生產(chǎn)運(yùn)行環(huán)境出現(xiàn)的安全事故按照《信息系統(tǒng)應(yīng)急預(yù)案》執(zhí)行。第十二條信息安全事故協(xié)調(diào)員接到報(bào)告后，需立即采取措施控制事態(tài)，如斷開(kāi)受病毒感染的系統(tǒng)的網(wǎng)絡(luò)連接，及時(shí)通知DXC安全科和用戶部門負(fù)責(zé)人，協(xié)調(diào)控制事件的影響。保留相關(guān)的防火墻、路由器、入侵檢測(cè)系統(tǒng)、操作和應(yīng)用系統(tǒng)日志等，以備檢查。第十三條 信息安全事故協(xié)調(diào)員根據(jù)事態(tài)發(fā)展，協(xié)調(diào) DXC相關(guān)科室進(jìn)行事件處理和平息，并及時(shí)向IT部門總經(jīng)理報(bào)告事件發(fā)展情況。 根據(jù)《信息安全風(fēng)險(xiǎn)評(píng)估管理辦法》，如果安全事故屬 I級(jí)或II 級(jí)，IT部門總經(jīng)理需向信息技術(shù)管理委員會(huì)匯報(bào)事件的控制狀況。第十四條信息安全事故協(xié)調(diào)員在事發(fā)24小時(shí)內(nèi)，向DXC安全科或DXC總經(jīng)理提交信息安全事故報(bào)告，填寫《信息安全事故報(bào)告》，信息安全事故報(bào)告包括以下內(nèi)容：(一)信息安全事故發(fā)生的時(shí)間、地點(diǎn)、單位、單位負(fù)責(zé)人和聯(lián)系方式。(二)信息安全事故的類別、涉及軟硬件系統(tǒng)的情況和事件發(fā)生的過(guò)程。(三)信息安全事故造成的后果和影響范圍。(四)信息安全事故發(fā)生的根本原因。(五)責(zé)任人或涉案人員。(六)信息安全事故發(fā)生后采取的應(yīng)急措施。(七)未來(lái)的防范措施。第十五條 參見(jiàn)《常見(jiàn)信息安全事故的恢復(fù)策略》。第四章 信息安全事故監(jiān)督管理第十六條總部DXC安全科應(yīng)按《公司信息科技風(fēng)險(xiǎn)管理辦法》的規(guī)定，不定期進(jìn)行抽查，對(duì)各項(xiàng)制度、計(jì)劃、方案、人員和物資等方面進(jìn)行驗(yàn)證。對(duì)未有效落實(shí)預(yù)案或各項(xiàng)規(guī)定的人員進(jìn)行通報(bào)批評(píng)，責(zé)令限期改正。第十七條總部DXC應(yīng)將信息安全事故的應(yīng)急管理和工作流程等作為信息安全風(fēng)險(xiǎn)培訓(xùn)的內(nèi)容，增強(qiáng)信息安全事故處置工作中的組織能力。第五章 附則第十八條 本管理辦法由DXC負(fù)責(zé)解釋和修訂。第十九條 本管理辦法自發(fā)布之日起施行。-----------------------------------------------------------------------------------------------衛(wèi)生管理制度1 總則1.1 為了加強(qiáng)公司的環(huán)境衛(wèi)生管理，創(chuàng)造一個(gè)整潔、文明、溫馨的購(gòu)物、辦公環(huán)境，根據(jù)《公共場(chǎng)所衛(wèi)生管理?xiàng)l例》的要求，特制定本制度。1.2 集團(tuán)公司的衛(wèi)生管理部門設(shè)在企管部，并負(fù)責(zé)將集團(tuán)公司的衛(wèi)生區(qū)域詳細(xì)劃分到各部室，各分公司所轄區(qū)域衛(wèi)生由分公司客服部負(fù)責(zé)劃分，確保無(wú)遺漏。2 衛(wèi)生標(biāo)準(zhǔn)2.1 室內(nèi)衛(wèi)生標(biāo)準(zhǔn)2.1.1 地面、墻面：無(wú)灰塵、無(wú)紙屑、無(wú)痰跡、無(wú)泡泡糖等粘合物、無(wú)積水，墻角無(wú)灰吊、無(wú)蜘蛛網(wǎng)。2.1.2 門、窗、玻璃、鏡子、柱子、電梯、樓梯、燈具等，做到明亮、無(wú)灰塵、無(wú)污跡、無(wú)粘合物，特別是玻璃，要求兩面明亮。2.1.3 柜臺(tái)、貨架：清潔干凈，貨架、柜臺(tái)底層及周圍無(wú)亂堆亂放現(xiàn)象、無(wú)灰塵、無(wú)粘合物，貨架頂部、背部和底部干凈，不存放雜物和私人物品。2.1.4 購(gòu)物車（筐）、直接接觸食品的售貨工具（包括刀、叉等）：做到內(nèi)外潔凈，無(wú)污垢和粘合物等。購(gòu)物車（筐）要求每天營(yíng)業(yè)前簡(jiǎn)單清理，周五全面清理消毒；售貨工具要求每天消毒，并做好記錄。2.1.5 商品及包裝：商品及外包裝清潔無(wú)灰塵（外包裝破損的或破舊的不得陳列）。2.1.6 收款臺(tái)、服務(wù)臺(tái)、辦公櫥、存包柜：保持清潔、無(wú)灰塵，臺(tái)面和側(cè)面無(wú)灰塵、無(wú)灰吊和蜘蛛網(wǎng)。桌面上不得亂貼、亂畫、亂堆放物品，用具擺放有序且干凈，除當(dāng)班的購(gòu)物小票收款聯(lián)外，其它單據(jù)不得存放在桌面上。2.1.7 垃圾桶：桶內(nèi)外干凈，要求營(yíng)業(yè)時(shí)間隨時(shí)清理，不得溢出，每天下班前徹底清理，不得留有垃圾過(guò)夜。2.1.8 窗簾：定期進(jìn)行清理，要求干凈、無(wú)污漬。2.1.9 吊飾：屋頂?shù)牡躏椧鬅o(wú)灰塵、無(wú)蜘蛛網(wǎng)，短期內(nèi)不適用的吊飾及時(shí)清理徹底。2.1.10 內(nèi)、外倉(cāng)庫(kù)：半年徹底清理一次，無(wú)垃圾、無(wú)積塵、無(wú)蜘蛛網(wǎng)等。2.1.11 室內(nèi)其他附屬物及工作用具均以整潔為準(zhǔn)，要求無(wú)灰塵、無(wú)粘合物等污垢。2.2 室外衛(wèi)生標(biāo)準(zhǔn)2.2.1 門前衛(wèi)生：地面每天班前清理，平時(shí)每一小時(shí)清理一次，每周四營(yíng)業(yè)結(jié)束后有條件的用水沖洗地面（冬季可根據(jù)情況適當(dāng)清理），墻面干凈且無(wú)亂貼亂畫。2.2.2 院落衛(wèi)生：院內(nèi)地面衛(wèi)生全天保潔，果皮箱、消防器械、護(hù)欄及配電箱等設(shè)施每周清理干凈。垃圾池周邊衛(wèi)生清理徹底，不得有垃圾溢出。2.2.3 綠化區(qū)衛(wèi)生：做到無(wú)雜物、無(wú)紙屑、無(wú)塑料袋等垃圾。3 清理程序3.1 室內(nèi)和門前院落等區(qū)域衛(wèi)生：每天營(yíng)業(yè)前提前10分鐘把所管轄區(qū)域內(nèi)衛(wèi)生清理完畢，營(yíng)業(yè)期間隨時(shí)保潔。下班后5-10分鐘清理桌面及衛(wèi)生區(qū)域。3.2 綠化區(qū)衛(wèi)生：每周徹底清理一遍，隨時(shí)保持清潔無(wú)垃圾。4 管理考核4.1 實(shí)行百分制考核，每月一次（四個(gè)分公司由客服部分別考核、集團(tuán)職能部室由企管部統(tǒng)一考核）。不符合衛(wèi)生標(biāo)準(zhǔn)的，超市內(nèi)每處扣0.5分，超市外每處扣1分。4.2 集團(tuán)堅(jiān)持定期檢查和不定期抽查的方式監(jiān)督各分公司、部門的衛(wèi)生工作。每周五為衛(wèi)生檢查日，集團(tuán)檢查結(jié)果考核至各分公司，各分公司客服部的檢查結(jié)果考核至各部門。4.3 集團(tuán)公司每年不定期組織衛(wèi)生大檢查活動(dòng)，活動(dòng)期間的考核以通知為準(zhǔn)。5 監(jiān)督考核部門：企管部、分公司客服部。6 本制度自二0一五年九月一日起實(shí)施。信息安全事故管理辦法第一章 總則第一條 目的：為加強(qiáng) 公司信息系統(tǒng)安全事故的管理， 提高信息系統(tǒng)安全事故管理的制度化、規(guī)范化水平，及時(shí)掌握全行網(wǎng)絡(luò)和信息系統(tǒng)安全狀況，為協(xié)調(diào)組織相關(guān)力量進(jìn)行信息系統(tǒng)安全事故的應(yīng)急響應(yīng)處理奠定基礎(chǔ)，降低信息安全事故帶來(lái)的損失和影響，保障全行網(wǎng)絡(luò)和信息系統(tǒng)安全穩(wěn)定運(yùn)行，特訂定本管理辦法。第二條 依據(jù)：本管理辦法根據(jù)《公司信息安全管理策略》制訂。第三條 范圍：本辦法適用于全公司信息系統(tǒng)。第四條 定義：信息安全事故是指對(duì)任何信息技術(shù)資源合法使用、操作造成威脅的事件，或?qū)π畔⒓夹g(shù)資源具有潛在危險(xiǎn)的任何一種情況。第五條 總部DXC負(fù)責(zé)信息安全事故的接報(bào)、 匯總、通報(bào)和處置工作。DXC安全科負(fù)責(zé)人為信息安全事故協(xié)調(diào)員，并指定代理信息安全事故協(xié)調(diào)員。第二章 信息安全事故的范圍第六條 公司信息安全事故包括，但不限于：(一)系統(tǒng)感染計(jì)算機(jī)病毒。(二)公司網(wǎng)絡(luò)遭遇外部入侵或攻擊。(三)內(nèi)部人員利用公司網(wǎng)絡(luò)進(jìn)行破壞。(四)信息系統(tǒng)敏感數(shù)據(jù)泄露或失竊。(五)公司數(shù)據(jù)處理設(shè)備失竊。第七條 符合以下條件之一的信息安全事故必須報(bào)告：(一)導(dǎo)致計(jì)算機(jī)信息系統(tǒng)中斷或運(yùn)行不正常超過(guò) 4小時(shí)。(二)造成直接經(jīng)濟(jì)損失超過(guò)100萬(wàn)元。(三)嚴(yán)重威脅公司資金、信譽(yù)安全。(四)因計(jì)算機(jī)安全事故造成公司不能正常運(yùn)營(yíng)， 且影響范圍超過(guò)一個(gè)縣級(jí)行政區(qū)域。第三章 信息安全事故的監(jiān)控和處理第八條 安全事故管理分為安全事故監(jiān)控和安全事故處理。安全事故監(jiān)控完成對(duì)安全事故跡象的檢測(cè)和分析，發(fā)現(xiàn)和報(bào)告安全事故的存在。安全事故處理是對(duì)被發(fā)現(xiàn)的安全事故的響應(yīng)處理過(guò)程，包括四個(gè)主要階段：控制、證據(jù)收集、根除與恢復(fù)以及事后分析。第九條 安全事故監(jiān)控包括信息安全事故監(jiān)測(cè)、預(yù)測(cè)和預(yù)警，應(yīng)按照“早發(fā)現(xiàn)、早報(bào)告、早處置”的原則，加強(qiáng)對(duì)各類信息安全事故和可能引發(fā)信息安全事故的有關(guān)信息的收集、分析判斷和持續(xù)監(jiān)測(cè)。第十條 員工發(fā)現(xiàn)公司發(fā)生信息安全事故后，需向信息安全事故協(xié)調(diào)員報(bào)告，確認(rèn)故障情況，確認(rèn)故障處理時(shí)間，準(zhǔn)確定性故障級(jí)別，如果不能聯(lián)系上信息安全事故協(xié)調(diào)員，則向代理信息安全事故協(xié)調(diào)員報(bào)告。第十一條 生產(chǎn)運(yùn)行環(huán)境出現(xiàn)的安全事故按照《信息系統(tǒng)應(yīng)急預(yù)案》執(zhí)行。第十二條信息安全事故協(xié)調(diào)員接到報(bào)告后，需立即采取措施控制事態(tài)，如斷開(kāi)受病毒感染的系統(tǒng)的網(wǎng)絡(luò)連接，及時(shí)通知DXC安全科和用戶部門負(fù)責(zé)人，協(xié)調(diào)控制事件的影響。保留相關(guān)的防火墻、路由器、入侵檢測(cè)系統(tǒng)、操作和應(yīng)用系統(tǒng)日志等，以備檢查。第十三條 信息安全事故協(xié)調(diào)員根據(jù)事態(tài)發(fā)展，協(xié)調(diào) DXC相關(guān)科室進(jìn)行事件處理和平息，并及時(shí)向IT部門總經(jīng)理報(bào)告事件發(fā)展情況。 根據(jù)《信息安全風(fēng)險(xiǎn)評(píng)估管理辦法》，如果安全事故屬 I級(jí)或II 級(jí)，IT部門總經(jīng)理需向信息技術(shù)管理委員會(huì)匯報(bào)事件的控制狀況。第十四條信息安全事故協(xié)調(diào)員在事發(fā)24小時(shí)內(nèi)，向DXC安全科或DXC總經(jīng)理提交信息安全事故報(bào)告，填寫《信息安全事故報(bào)告》，信息安全事故報(bào)告包括以下內(nèi)容：(一)信息安全事故發(fā)生的時(shí)間、地點(diǎn)、單位、單位負(fù)責(zé)人和聯(lián)系方式。(二)信息安全事故的類別、涉及軟硬件系統(tǒng)的情況和事件發(fā)生的過(guò)程。(三)信息安全事故造成的后果和影響范圍。(四)信息安全事故發(fā)生的根本原因。(五)責(zé)任人或涉案人員。(六)信息安全事故發(fā)生后采取的應(yīng)急措施。(七)未來(lái)的防范措施。第十五條 參見(jiàn)《常