XX期貨公司信息安全管理辦法參考模板V0.9

1、 信息安全管理辦法XX期貨公司信息安全管理辦法（參考模板）制 訂:審 核:批 準:文檔屬性文件屬性內(nèi)容文件名稱文件編號文件版本號文件狀態(tài)作 者文檔編寫日期年月文檔發(fā)布日期年月日文檔變更歷史清單文件版本號修正日期修正人備 注本次修改變更說明序號變更內(nèi)容簡述第一章 總則第一條 為落實中國證監(jiān)會證券期貨業(yè)信息安全保障管理暫行辦法，加強XX期貨公司（以下簡稱“公司”）的信息安全管理，提高信息安全保障工作水平，特制定本管理制度。第二條 公司信息安全保障工作的目標是確保公司信息資產(chǎn)的可用性、完整性、保密性、時效性、可審查性和可控性，切實保護公司的合法權(quán)益。第三條 信息資產(chǎn)指公司擁有或者控制的、對公司有價值

2、的信息資源，如數(shù)據(jù)、軟件、設(shè)施、服務(wù)及無形資產(chǎn)等。第四條 依據(jù)“誰主管，誰負責”、“誰使用，誰負責”的原則，明確各部門和崗位的信息安全責任。第二章 組織及職責第五條 公司設(shè)立信息安全領(lǐng)導小組，組長由公司總經(jīng)理擔任，小組成員由公司的其他領(lǐng)導和技術(shù)部門負責人擔任。信息安全領(lǐng)導小組負責公司的整體信息安全管理工作，具體職責如下：（一）落實國家信息安全監(jiān)管部門、行業(yè)監(jiān)管部門信息安全要求，報告公司有關(guān)信息安全狀況和重要信息安全事件；（二）對信息安全管理相關(guān)的重大事項進行決策；（三）協(xié)調(diào)公司內(nèi)部信息安全工作，支持和推動信息安全工作在公司范圍內(nèi)的實施；（四）印發(fā)信息安全策略、規(guī)范等與信息安全管理相關(guān)的文件；（

3、五）對重大信息安全事故進行責任認定和處罰。第六條 公司設(shè)立信息安全工作小組，組長由信息技術(shù)分管領(lǐng)導擔任，副組長由技術(shù)部門負責人和總經(jīng)理辦公室負責人擔任。成員包括技術(shù)部門成員和各部門相關(guān)人員。信息安全工作小組在信息安全領(lǐng)導小組的領(lǐng)導下，承擔信息安全管理的日常工作，具體職責如下：（一）建立、貫徹、落實與維護信息安全策略，并定期報告信息安全工作開展情況；（二）為信息安全領(lǐng)導小組決策提供依據(jù)；（三）處理公司信息安全事故，為事故責任認定提供依據(jù)；（四）建立與各部門、單位、行業(yè)監(jiān)管部門、外部安全管理主管機構(gòu)之間的定期聯(lián)系和溝通機制。第七條 各部門負責人負責本部門的信息安全管理工作，具體職責如下：（一）采取

4、有效措施落實和推動信息安全策略及規(guī)范在本部門的實施；（二）批準本部門的相關(guān)控制程序，監(jiān)督落實情況；（三）指導和要求本部門員工遵守信息安全策略及規(guī)范。第八條 人力資源相關(guān)部門負責公司人力資源相關(guān)的信息安全工作，具體職責如下：（一）對員工聘用和解聘過程中涉及的信息安全進行有效管理；（二）制定并實施與信息安全相關(guān)的獎懲措施；（三）組織實施信息安全教育與培訓。第九條 公司應設(shè)立內(nèi)部審計崗位，負責公司信息安全工作的監(jiān)督和審計，具體職責如下（四級要求）：（一）對信息安全管理相關(guān)工作進行審計，包括定期對IT流程執(zhí)行情況進行審計，并對發(fā)現(xiàn)的問題提出整改意見； （二）向信息安全領(lǐng)導小組匯報審計結(jié)果，并督促審計整

5、改工作的進行；（三）協(xié)助信息安全工作小組識別適用于公司的所有法律、法規(guī)及行業(yè)監(jiān)管部門頒布的規(guī)章制度。第三章 信息安全方針第十條 公司參考國家及監(jiān)管部門相關(guān)法規(guī)標準進行信息安全管理工作，目標如下：（一）嚴格落實國家信息安全等級保護制度，對公司信息資產(chǎn)分類分等級進行保護；（二）加強對公司員工和客戶的信息安全教育和培訓，確保相關(guān)人員理解其安全職責和義務(wù)，減少人為風險；（三）防止對公司場所和設(shè)施的未授權(quán)訪問、干擾和損壞，加強重要區(qū)域的安全保護；（四）建立規(guī)范化的操作程序，明確運營職責，加強運營管理，重點做好防惡意代碼管理、數(shù)據(jù)備份管理、網(wǎng)絡(luò)安全管理、介質(zhì)安全管理、信息交換安全管理及監(jiān)控；（五）建立信息

6、系統(tǒng)的用戶授權(quán)訪問機制，防止員工及外部人員非授權(quán)的使用行為；采取適當?shù)拇胧?，發(fā)現(xiàn)、阻止對信息系統(tǒng)的非授權(quán)訪問和破壞信息系統(tǒng)的行為；（六）保護信息系統(tǒng)設(shè)計、開發(fā)過程中的安全，確保程序以正確的方式處理數(shù)據(jù)；保護程序、設(shè)計文檔及源代碼的安全；（七）建立信息安全事故的處理與報告機制，持續(xù)改進信息安全事件處理能力與管理水平；（八）按照“預防為主，加強監(jiān)控；快速響應，職責分明”的原則，建立應急預案，及時處置突發(fā)事件，保障業(yè)務(wù)的持續(xù)性；（九）確保相關(guān)的信息安全措施或規(guī)范符合現(xiàn)行法律、法規(guī)及監(jiān)管部門的要求；（十）滿足其他符合公司情況的安全要求。第十一條 對于違反信息安全規(guī)定的部門和員工，部門領(lǐng)導要承擔相應責任，個人將按規(guī)定接受相應的處罰。第十二條 違反信息安全規(guī)定的信息技術(shù)服務(wù)提供商，將按照相關(guān)約定接受相應的處罰，并承擔相應的法律責任。第四章 附則第十三條