信息安全技術(shù)互聯(lián)網(wǎng)交互式服務安全保護管理制度

1銳理信息安全管理制度1。1總則：為了切實有效的保證公司信息安全,提高信息系統(tǒng)為公司生產(chǎn)經(jīng)營的服務能力，特制定交互式信息安全管理制度，設(shè)定管理部門及專業(yè)管理人員對公司整體信息安全進行管理,以確保網(wǎng)絡與信息安全。1.1.1建立文件化的安全管理制度,安全管理制度文件應包括：a)安全崗位管理制度;b)系統(tǒng)操作權(quán)限管理;c）安全培訓制度;d）用戶管理制度；e)新服務、新功能安全評估;f)用戶投訴舉報處理;g)信息發(fā)布審核、合法資質(zhì)查驗和公共信息巡查；h）個人電子信息安全保護；i）安全事件的監(jiān)測、報告和應急處置制度;j)現(xiàn)行法律、法規(guī)、規(guī)章、標準和行政審批文件。1.1。2安全管理制度應經(jīng)過管理層批準，并向所有員工宣貫2.1法律責任2.1.1互聯(lián)網(wǎng)交互式服務提供者應是一個能夠承擔法律責任的組織或個人。2.1.2互聯(lián)網(wǎng)交互式服務提供者從事的信息服務有行政許可的應取得相應許可。3.1安全崗位管理制度建立安全崗位管理制度,明確主辦人、主要負責人、安全責任人的職責：崗位管理制度應包括保23.2關(guān)鍵崗位人員3.2.1關(guān)鍵崗位人員任用之前的背景核查應按照相關(guān)法律、法規(guī)、道德規(guī)范和對應的業(yè)務要求來2。個人履歷的核查:3。學歷、學位、專業(yè)資質(zhì)證明:4.從事關(guān)鍵崗位所必須的能力3.2。2應與關(guān)鍵崗位人員簽訂保密協(xié)議。3。3安全培訓建立安全培訓制度，定期對所有工作人員進行信息安全培訓，提高全員的信息安全意識，包括：1。上崗前的培訓;2.安全制度及其修訂后的培訓；3.法律、法規(guī)的發(fā)展保持同步的繼續(xù)培訓.應嚴格規(guī)范人員離崗過程:a）及時終止離崗員工的所有訪問權(quán)限；b)關(guān)鍵崗位人員須承諾調(diào)離后的保密義務后方可離開；c）配合公安機關(guān)工作的人員變動應通報公安機關(guān)。3.4人員離崗后的保密義務后方可離開；c）配合公安機關(guān)工作的人員變動應通報公安機關(guān)。4.1訪問管理制度建立包括物理的和邏輯的系統(tǒng)訪問權(quán)限管理制度.4.2權(quán)限分配按以下原則根據(jù)人員職責分配不同的訪問權(quán)限:a)角色分離,如訪問請求、訪問授權(quán)、訪問管理；b）滿足工作需要的最小權(quán)限；c)未經(jīng)明確允許，則一律禁止.4.3特殊權(quán)限3限制和控制特殊訪問權(quán)限的分配和使用：a）標識出每個系統(tǒng)或程序的特殊權(quán)限;b）按照“按需使用、“一事一議的原則分配特殊權(quán)限；c）記錄特殊權(quán)限的授權(quán)與使用過程;d）特殊訪問權(quán)限的分配需要管理層的批準。注:特殊權(quán)限是系統(tǒng)超級用戶、數(shù)據(jù)庫管理等系統(tǒng)管理權(quán)限.4。4權(quán)限的檢查定期對訪問權(quán)限進行檢查,對特殊訪問權(quán)限的授權(quán)情況應在更頻繁的時間間隔內(nèi)進行檢查，如發(fā)現(xiàn)不恰當?shù)臋?quán)限設(shè)置，應及時予以調(diào)整。5.1網(wǎng)絡與主機系統(tǒng)的安全應維護使用的網(wǎng)絡與主機系統(tǒng)的安全，包括：a)實施計算機病毒等惡意代碼的預防、檢測和系統(tǒng)被破壞后的恢復措施;b）實施7×24h網(wǎng)絡入侵行為的預防、檢測與響應措施;c）適用時，對重要文件的完整性進行檢測,并具備文件完整性受到破壞后的恢復措施；d）對系統(tǒng)的脆弱性進行評估，并采取適當?shù)拇胧┨幚硐嚓P(guān)的風險。注:系統(tǒng)脆弱性評估包括采用安全掃描、滲透測試等多種方式。5。2備份5.2。1應建立備份策略，有足夠的備份設(shè)施，確保必要的信息和軟件在災難或介質(zhì)故障時可以恢復。5.2。2網(wǎng)絡基礎(chǔ)服務（登錄、消息發(fā)布等）應具備容災能力。5。3安全審計5.3.1應記錄用戶活動、異常情況、故障和安全事件的日志。5。3。2審計日志內(nèi)容應包括：a)用戶注冊相關(guān)信息,包括：1）用戶唯一標識;2)用戶名稱及修改記錄；3)身份信息，如姓名、證件類型、證件號碼等；4）注冊時間、IP地址及端口號;5）電子郵箱地址和于機號碼；6)用戶備注信息；7）用戶其他信息.4b）群組、頻道相關(guān)信息，包括:1)創(chuàng)建時間、創(chuàng)建人、創(chuàng)建人IP地址及端口號；2)刪除時間、刪除人、刪除人IP地址及端口號；3)群組組織結(jié)構(gòu)；4)群組成員列表。c)用戶登錄信息，包括：1)用戶唯一標識；2）登錄時間；3）退出時間；4）IP地址及端口號。d）用戶信息發(fā)布日志，包括：1）用戶唯一標識;2）信息標識;3)信息發(fā)布時間；4）IP地址及端口號；5）信息標題或摘要，包括圖片摘要。e）用戶行為，包括：1）進出群組或頻道；3）上傳、下載文件。5.3.3應確保審計日志內(nèi)容的可溯源性,即可追溯到真實的用戶ID、網(wǎng)絡地址和協(xié)議。電子郵件、短信息、網(wǎng)絡電話、即時消息、網(wǎng)絡聊天等網(wǎng)絡消息服務提供者應能防范偽造、隱匿發(fā)送者真實標記的消息的措施;涉及地址轉(zhuǎn)換技術(shù)的服務，如移動上網(wǎng)、網(wǎng)絡代理、內(nèi)容分發(fā)等應審計轉(zhuǎn)換前后的地址與端口涉及短網(wǎng)址服務的,應審計原始URL與短URL之間的映射關(guān)系.5。3.4應保護審計日志,保證無法單獨中斷審計進程,防止刪除、修改或覆蓋審計日志。5.3。5應能夠根據(jù)公安機關(guān)要求留存具備指定信息訪問日志的留存功能。審計日志保存周期：5a）應永久保留用戶注冊信息、好友列表及歷史變更記錄，永久記錄聊天室（頻道、群組)注冊信息、成員列表以及歷史變更記錄；b）系統(tǒng)維護日志信息保存12個月以上;c）應留存用戶日志信息12個月以上；d)對用戶發(fā)布的信息內(nèi)容保存6個月以上；e)已下線的系統(tǒng)的日志保存周期也應符合以上規(guī)定。6。1用戶管理6.1.1向用戶宣傳法律法規(guī)，應在用戶注冊時,與用戶簽訂服務協(xié)議，告知相關(guān)權(quán)利義務及需承擔的法律責任。6。1.2建立用戶管理制度，包括:a)用戶實名登記真實身份信息，并對用戶真實身份信息進行有效核驗,有校核驗方法可追溯到用戶登記的真實身份，如:1）身份證與姓名實名驗證服務：3)合法、有效的數(shù)字證書：4）已確認真實身份的網(wǎng)絡服務的注冊用戶：5）經(jīng)電信運營商接入實名認證的用戶.（如某網(wǎng)站采用已經(jīng)實名認證的第三方賬號登陸，可認為該網(wǎng)站的用戶已進行有效核驗.)b)應對用戶注冊的賬號、頭像和備注等信息進行審核，禁止使用違反法律法規(guī)和社會道德的內(nèi)c)建立用戶黑名單制度,對網(wǎng)站自行發(fā)現(xiàn)以及公安機關(guān)通報的多次、大量發(fā)送傳播違法有害信息的用戶納應入黑名單管理。6.1。3當用戶利用互聯(lián)網(wǎng)從事的服務需要行政許可時，應查驗其合法資質(zhì)，查驗可以通過以下方法進行:a)核對行政許可文件：b）通過行政許可主管部門的公開信息:c)通過行政許可主管部門的驗證電話、驗證平臺。6。2違法有害信息防范和處置66.2.1公司采取管理與技術(shù)措施，及時發(fā)現(xiàn)和停止違法有害信息發(fā)布。6。2。2公司采用人工或自動化方式，對發(fā)布的信息逐條審核。采取技術(shù)措施過濾違法有害信息，包括且不限于基于關(guān)鍵詞的文字信息屏蔽過濾；b)基于樣本數(shù)據(jù)特征值的文件屏蔽過濾;6.2。3應采取技術(shù)措施對違法有害信息的來源實施控制,防止繼續(xù)傳播.注：違法有害信息來源控制技術(shù)措施包括但不限于:封禁特定帳號、禁止新建帳號、禁止分享、禁止留言及回復、控制特定發(fā)布來源、控制特定地區(qū)或指定IP帳號登陸、禁止客戶端推送、切斷與第三方應用的互6。2.4公司建立7*24h信息巡查制度，及時發(fā)現(xiàn)并處置違法有害信息.6。2.5建立涉嫌違法犯罪線索、異常情況報告、安全提示和案件調(diào)差配合制度,包括：a/對發(fā)現(xiàn)的違法有害信息，立即停止發(fā)布傳輸，保留相關(guān)證據(jù)（包括用戶注冊信息、用戶登錄信息、用戶發(fā)布信息等記錄），并向?qū)俚毓矙C關(guān)報告b/對于煽動非法聚集、策劃恐怖活動、揚言實施個人極端暴力行為等重要情況或重大緊急事件立即向?qū)俚毓矙C關(guān)報告，同時配合公安機關(guān)做好調(diào)查取證工作6.2.6與公安機關(guān)建立7＊24h違法有害信息快速處置工作機制，有明確URL的單條違法有害信相關(guān)的屏蔽過濾措施應在10min內(nèi)生效。6。3.1實施破壞性程序的發(fā)現(xiàn)和停止發(fā)布措施、并保留發(fā)現(xiàn)的破壞性程序的相關(guān)證據(jù)。6.3。2對軟件下載服務提供者(包括應用軟件商店檢查用戶發(fā)布的軟件是否是計算機病毒等惡意代碼.7.1.1制定明確、清楚的個人電子信息處置規(guī)則，并且在顯著位置予以公示.在用戶注冊時，在與用戶簽訂服務協(xié)議中明示收集與使用個人電子信息的目的、范圍與方式。7.1.2湖南凱美醫(yī)療網(wǎng)站僅收集為實現(xiàn)正當商業(yè)目的和提供網(wǎng)絡服務所必需的個人信息；收集個人電子信息時，取得用戶的明確授權(quán)同意;公司在姜個人電子信息交給第三方處理時，處理方符合本制度標準的要求，并取得用戶明確授權(quán)同意；法律、行政法規(guī)另有規(guī)定的，從其規(guī)定。7。1。3公司在修改個人電子信息處理時,應告知用戶，并取得其同意。7。2技術(shù)措施公司建立覆蓋個人電子信息處理的各個環(huán)節(jié)的安全保護制度和技術(shù)措施,防止個人電子信息泄露、損毀、丟失,包括:a)采用加密方式保存用戶密碼等重要信息b)審計內(nèi)部員工對涉及個人電子信息的所有操作，并對審計進行分析，預防內(nèi)部員工故意泄露c）審計個人電子信息上載、存儲或傳輸,作為信息泄露，毀損，丟失的查詢依據(jù)7d）建立程序來控制對涉及個人電子信息的系統(tǒng)和服務的訪問權(quán)的分配。這些程序涵蓋用戶訪問生存周期內(nèi)的各個階段,從新用戶初始注冊到不再需要訪問信息系統(tǒng)和服務的用戶的最終撤銷e)系統(tǒng)的安全保障技術(shù)措施覆蓋個人電子信息處理的各個環(huán)節(jié)，防止網(wǎng)絡違法犯罪活動竊取信息，降低個人電子信息泄露的風險7。3個人信息泄露事件的處理1、當發(fā)現(xiàn)個人電子信息泄露時間后,應：b）立即采取補救措施，防止信息繼續(xù)泄露c）24小時內(nèi)告知用戶，根據(jù)用戶初始注冊信息重新激活賬戶，避免造成更大的損失立即告屬地公安機關(guān)8。1安全時間管理制度8。1。1建立安全事件的監(jiān)測、報告和應急處置制度，確?？焖儆行Ш陀行虻仨憫踩录?。8.1.2安全事件包括違法有害信息、危害計算機信息系統(tǒng)安全的異常情況及突發(fā)公共事件。8。2應急預案制定安全事件應急處置預案，向?qū)俚毓矙C關(guān)寶貝,并定期開展應急演練。8。3突發(fā)公共事件處理互聯(lián)網(wǎng)交互式服務提供者應建立相應處置機制