信息安全保障與安全運(yùn)維管理制度

信息安全保障與安全運(yùn)維管理制度第一節(jié)總則第一條為了保障企業(yè)信息安全，確保信息系統(tǒng)正常運(yùn)行并有效防范各種安全威逼，訂立本規(guī)章制度。第二條本制度適用于全部企業(yè)員工及外部合作伙伴，必需遵守本制度的相關(guān)要求。第三條信息安全保障與安全運(yùn)維管理由企業(yè)安全保障與運(yùn)維部門負(fù)責(zé)，并得到企業(yè)管理層的全力支持。第四條信息安全保障與安全運(yùn)維工作應(yīng)遵從合法、合規(guī)、安全、保密的原則，并充分考慮業(yè)務(wù)的連續(xù)性和可用性。第五條全部員工應(yīng)接受相關(guān)信息安全保障與安全運(yùn)維的培訓(xùn)，并按規(guī)定定期進(jìn)行安全意識(shí)教育和培訓(xùn)。第二節(jié)信息安全保障第六條企業(yè)內(nèi)部網(wǎng)絡(luò)的設(shè)計(jì)與建設(shè)應(yīng)滿足以下要求：1.網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)清楚，實(shí)行分段管理；2.網(wǎng)絡(luò)防火墻對(duì)內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)進(jìn)行安全隔離；3.網(wǎng)絡(luò)設(shè)備配置符合安全策略要求；4.對(duì)外網(wǎng)訪問應(yīng)有統(tǒng)一出口，且設(shè)置合理的安全策略。第七條企業(yè)內(nèi)部網(wǎng)絡(luò)對(duì)外部訪問的安全掌控措施應(yīng)滿足以下要求：1.接入企業(yè)內(nèi)部網(wǎng)絡(luò)的外部網(wǎng)絡(luò)設(shè)備應(yīng)經(jīng)過嚴(yán)格的安全審計(jì)和許可；2.外部網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)的訪問應(yīng)通過合法可信的訪問掌控設(shè)備；3.員工外部訪問應(yīng)有合理的權(quán)限掌控措施，限制訪問敏感信息；4.對(duì)外部網(wǎng)絡(luò)訪問進(jìn)行監(jiān)控與審計(jì)，記錄訪問日志。第八條企業(yè)信息系統(tǒng)的安全管理應(yīng)滿足以下要求：1.信息系統(tǒng)和應(yīng)用程序的開發(fā)、運(yùn)維需依照安全開發(fā)生命周期的規(guī)范進(jìn)行；2.對(duì)信息系統(tǒng)和應(yīng)用程序進(jìn)行漏洞掃描、安全評(píng)估和風(fēng)險(xiǎn)評(píng)估；3.定期檢查和修復(fù)已知的安全漏洞；4.部署合規(guī)的安全掌控技術(shù)，如反病毒軟件、入侵檢測(cè)與防范系統(tǒng)等；5.對(duì)信息系統(tǒng)定期備份，確保數(shù)據(jù)可恢復(fù)；6.遵從合規(guī)的軟件使用授權(quán)規(guī)定，禁止使用盜版軟件；7.加密存儲(chǔ)和傳輸敏感信息。第九條企業(yè)信息安全事件的處理應(yīng)滿足以下要求：1.確定信息安全事件的緊急程度和影響范圍；2.快速響應(yīng)并抑制信息安全事件的擴(kuò)散；3.阻斷被入侵系統(tǒng)與外部網(wǎng)絡(luò)的連接；4.收集、保存和分析信息安全事件的相關(guān)證據(jù)；5.及時(shí)通報(bào)上級(jí)管理層和相關(guān)部門，幫助進(jìn)行安全事件調(diào)查；6.訂立合理的恢復(fù)措施，并連續(xù)跟進(jìn)，防止仿佛事件再次發(fā)生。第三節(jié)安全運(yùn)維管理第十條企業(yè)信息系統(tǒng)的運(yùn)維管理應(yīng)滿足以下要求：1.信息系統(tǒng)的運(yùn)維必需由專業(yè)人員進(jìn)行，并定期進(jìn)行系統(tǒng)巡檢；2.定期備份系統(tǒng)和應(yīng)用程序，并存儲(chǔ)在安全可靠的地方；3.對(duì)關(guān)鍵系統(tǒng)和設(shè)備進(jìn)行監(jiān)控，發(fā)現(xiàn)異常情況及時(shí)處理；4.運(yùn)維人員應(yīng)依照崗位權(quán)限原則，確保工作職責(zé)和權(quán)限相符；5.運(yùn)維記錄必需詳實(shí)、準(zhǔn)確，并進(jìn)行安全保密。第十一條企業(yè)網(wǎng)絡(luò)設(shè)備的管理應(yīng)滿足以下要求：1.網(wǎng)絡(luò)設(shè)備的配置必需依照安全規(guī)范進(jìn)行，禁止使用默認(rèn)賬號(hào)和密碼；2.對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行定期巡檢，發(fā)現(xiàn)問題及時(shí)修復(fù)和更新；3.網(wǎng)絡(luò)設(shè)備的升級(jí)必需經(jīng)過確認(rèn)和授權(quán)，并記錄升級(jí)的原因及操作過程；4.禁止自行拆卸、更改網(wǎng)絡(luò)設(shè)備或?qū)ζ溥M(jìn)行非法操作。第十二條企業(yè)應(yīng)用系統(tǒng)的管理應(yīng)滿足以下要求：1.應(yīng)用系統(tǒng)的安裝、配置和更新必需經(jīng)過授權(quán)并記錄；2.應(yīng)用系統(tǒng)的權(quán)限管理必需嚴(yán)格，用戶只能取得合法授權(quán)的權(quán)限；3.應(yīng)用系統(tǒng)的日志必需進(jìn)行合理的記錄，且日志存儲(chǔ)安全可靠；4.定期檢查應(yīng)用系統(tǒng)的漏洞和安全風(fēng)險(xiǎn)，及時(shí)處理。第十三條企業(yè)員工的管理應(yīng)滿足以下要求：1.調(diào)搭配理的系統(tǒng)和應(yīng)用權(quán)限，權(quán)限必需與員工工作職責(zé)相符；2.員工必需妥當(dāng)保管賬號(hào)和密碼，嚴(yán)禁泄露或與他人共享；3.員工對(duì)緊要信息要進(jìn)行加密和保護(hù)，確保保密性和完整性；4.員工必需依照規(guī)定操作，嚴(yán)禁未授權(quán)的行為。第四節(jié)法律責(zé)任第十四條對(duì)于違反本制度規(guī)定的行為，企業(yè)將采取以下法律責(zé)任：1.違反信息安全管理規(guī)定的，將受到紀(jì)律處分，甚至解除勞動(dòng)合同的懲罰；2.對(duì)有意破壞信息安全的，將依照相關(guān)法律進(jìn)行懲罰，必需時(shí)移交司法機(jī)關(guān)處理。第十五條對(duì)于因違反信息安全管理制度導(dǎo)致的損失，違規(guī)人員應(yīng)承當(dāng)相應(yīng)的賠償責(zé)任，且企業(yè)保存追究其法律責(zé)任的權(quán)利。第五節(jié)附則第十六條