外部相關(guān)方信息安全管理規(guī)程

外部相關(guān)方信息安全管理規(guī)程1.前言為了保護(hù)公司的信息安全，規(guī)范與外部相關(guān)方的信息交互行為，制定本規(guī)程，明確外部相關(guān)方在獲取、處理、存儲(chǔ)等各個(gè)環(huán)節(jié)應(yīng)遵守的信息安全管理要求，旨在確保公司的信息安全。2.定義外部相關(guān)方：指與公司發(fā)生業(yè)務(wù)往來(lái)的其他組織、個(gè)人。機(jī)密信息：指可能對(duì)公司造成重大損失或泄露對(duì)公司不利的信息。敏感信息：指不屬于機(jī)密信息，但在泄露后會(huì)對(duì)公司造成一定損失或者可能被他人濫用的信息。個(gè)人信息：指具有標(biāo)識(shí)個(gè)人身份的信息，包括但不限于姓名、身份證號(hào)、電話號(hào)碼、地址等信息。信息接入點(diǎn)：指外部相關(guān)方通過(guò)的接入網(wǎng)絡(luò)、設(shè)備、系統(tǒng)或者應(yīng)用程序等信息交換渠道。3.外部相關(guān)方信息安全管理要求3.1信息安全保密要求外部相關(guān)方不得在未經(jīng)授權(quán)的情況下，收集、利用、存儲(chǔ)、預(yù)覽、處理、輸出或傳輸公司的機(jī)密信息和敏感信息。外部相關(guān)方在與公司的業(yè)務(wù)往來(lái)中，應(yīng)將公司的機(jī)密信息和敏感信息予以妥善保管，防止泄露或?yàn)E用。外部相關(guān)方不得擅自將公司的機(jī)密信息和敏感信息轉(zhuǎn)授給其他第三方機(jī)構(gòu)或個(gè)人。外部相關(guān)方不得向其他員工或機(jī)構(gòu)透露公司的機(jī)密信息和敏感信息，如有必要，需獲得授權(quán)。外部相關(guān)方應(yīng)根據(jù)公司的要求處理信息載體，如資料、文檔、磁盤等，確保機(jī)密信息和敏感信息不會(huì)被非法獲取。3.2信息安全技術(shù)要求外部相關(guān)方使用的所有信息系統(tǒng)均需有安全保護(hù)措施，如防火墻、殺毒軟件、入侵檢測(cè)系統(tǒng)、備份系統(tǒng)等。外部相關(guān)方使用的所有信息系統(tǒng)更換前，需對(duì)其中的機(jī)密信息和敏感信息進(jìn)行完全刪除或徹底清空。如有必要，應(yīng)由公司派員參與并確認(rèn)。外部相關(guān)方應(yīng)使用安全可靠的協(xié)議，如TLS/SSL等。外部相關(guān)方應(yīng)定期對(duì)其信息系統(tǒng)進(jìn)行安全檢測(cè)和漏洞掃描，發(fā)現(xiàn)問(wèn)題及時(shí)解決并上報(bào)公司。外部相關(guān)方使用的手機(jī)、筆記本電腦等移動(dòng)設(shè)備應(yīng)安裝相應(yīng)的安全保護(hù)軟件，確保機(jī)密信息和敏感信息不會(huì)被非法獲取。外部相關(guān)方不得在未經(jīng)允許的情況下，向公司網(wǎng)絡(luò)、設(shè)備、系統(tǒng)或者應(yīng)用程序等信息接入點(diǎn)以外的設(shè)備輸入或輸出信息流，或者未經(jīng)授權(quán)將公司的機(jī)密信息和敏感信息輸入到外部裝置中。3.3個(gè)人信息保護(hù)要求外部相關(guān)方在獲取、保存和使用個(gè)人信息時(shí)，應(yīng)嚴(yán)格遵守《個(gè)人信息保護(hù)法》相關(guān)規(guī)定，保護(hù)被收集信息人的合法權(quán)益。外部相關(guān)方不得非法獲取、泄露或?yàn)E用個(gè)人信息。外部相關(guān)方應(yīng)加強(qiáng)對(duì)個(gè)人信息數(shù)據(jù)的保密性，安全性和完整性管理，確保個(gè)人信息不被竊取、篡改、毀損等。外部相關(guān)方應(yīng)遵照合法、正當(dāng)、必要、自愿的原則，收集和使用個(gè)人信息，不得強(qiáng)迫、欺詐或者其他隱蔽的方式強(qiáng)制收集個(gè)人信息。外部相關(guān)方應(yīng)按照相關(guān)規(guī)定，在個(gè)人信息保護(hù)方面實(shí)施訪問(wèn)控制、運(yùn)行監(jiān)測(cè)等措施，保障信息安全。4.監(jiān)督與管理公司應(yīng)指定專人負(fù)責(zé)外部相關(guān)方信息安全管理，監(jiān)督外部相關(guān)方的信息安全行為，并對(duì)其進(jìn)行定期檢查和評(píng)估。在與外部相關(guān)方簽訂合同、協(xié)議等文件時(shí)，公司需將信息安全管理要求明確寫入條款，并明確各方的權(quán)利和義務(wù)。對(duì)于外部相關(guān)方的安全違規(guī)行為，公司應(yīng)根據(jù)相關(guān)條款或規(guī)定，采取相應(yīng)措施予以處理，包括但不限于限制其使用權(quán)或停止與其業(yè)務(wù)合作。達(dá)到規(guī)定的保密時(shí)間后，公司保留向外部相關(guān)方追索已經(jīng)泄露的機(jī)密信息和敏感信息權(quán)利。5.附則本規(guī)程自頒布之日起執(zhí)行。本規(guī)程解釋權(quán)歸公司所有。本規(guī)程由公司信息安全專家和法務(wù)人員共同起草。本規(guī)程可根據(jù)需要進(jìn)行修訂，修訂后的