公司互聯(lián)網(wǎng)和信息安全管理制度

公司互聯(lián)網(wǎng)和信息安全管理制度第一章總則第一條目的和依據(jù)為確保公司互聯(lián)網(wǎng)和信息系統(tǒng)的安全可靠運(yùn)行，保護(hù)公司信息資源的完整性、機(jī)密性和可用性，提升公司網(wǎng)絡(luò)風(fēng)險(xiǎn)防范和應(yīng)對(duì)本領(lǐng)，訂立本制度。第二條適用范圍本制度適用于公司全部部門和員工，關(guān)聯(lián)公司及外包單位也應(yīng)遵守本制度。第三條定義互聯(lián)網(wǎng)：指全球范圍的計(jì)算機(jī)網(wǎng)絡(luò)互連，以協(xié)議為基礎(chǔ)，實(shí)現(xiàn)世界范圍計(jì)算機(jī)的互聯(lián)互通。信息系統(tǒng)：指由計(jì)算機(jī)技術(shù)、存儲(chǔ)器、通信技術(shù)以及各種軟件構(gòu)成的為實(shí)現(xiàn)信息處理、存儲(chǔ)、傳遞、搜尋等功能的系統(tǒng)。信息安全：指信息系統(tǒng)的可用性、機(jī)密性和完整性得到保護(hù)的狀態(tài)。第四條職責(zé)分工公司高層管理者負(fù)責(zé)訂立信息安全策略，明確信息安全的緊要性，確保公司互聯(lián)網(wǎng)和信息安全管理制度的有效實(shí)施。IT部門負(fù)責(zé)公司信息系統(tǒng)的運(yùn)行和維護(hù)，健全信息安全管理體系，開展網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估和防范工作。各部門負(fù)責(zé)訂立和執(zhí)行信息安全操作規(guī)程，保障本部門的信息安全需求。全體員工應(yīng)加強(qiáng)信息安全意識(shí)培訓(xùn)，嚴(yán)格遵守本制度，樂觀自動(dòng)發(fā)現(xiàn)和報(bào)告信息安全問題。第二章互聯(lián)網(wǎng)和信息安全管理要求第五條互聯(lián)網(wǎng)接入管理公司互聯(lián)網(wǎng)接入由IT部門負(fù)責(zé)，任何部門和個(gè)人未經(jīng)許可，不得私自搭建互聯(lián)網(wǎng)接入設(shè)備。互聯(lián)網(wǎng)接入設(shè)備必需符合相關(guān)安全要求，定期進(jìn)行漏洞掃描和安全評(píng)估，并及時(shí)修復(fù)漏洞。每個(gè)員工的上網(wǎng)行為都將被監(jiān)控和記錄，禁止使用互聯(lián)網(wǎng)上的非法、有害或違反公司規(guī)章制度的信息。第六條信息系統(tǒng)使用規(guī)范公司全部信息系統(tǒng)賬號(hào)和口令均屬于公司資產(chǎn)，嚴(yán)禁私自借用、泄露或轉(zhuǎn)讓。各部門應(yīng)做好權(quán)限管理，合理調(diào)配和掌控員工的信息系統(tǒng)訪問權(quán)限，依照需要及時(shí)調(diào)整。離職人員或調(diào)崗人員應(yīng)及時(shí)注銷或調(diào)整其信息系統(tǒng)權(quán)限。第七條信息安全公約全體員工接受信息安全培訓(xùn)后，應(yīng)簽署《信息安全承諾書》，承諾遵守信息安全相關(guān)規(guī)定。禁止在公司信息系統(tǒng)中散布、存儲(chǔ)、傳播非法的、違反道德倫理的信息。員工應(yīng)保護(hù)公司信息資產(chǎn)，不得私自復(fù)制、外傳或以任何形式泄露公司緊要信息。不得使用非法軟件或未經(jīng)授權(quán)的黑客工具，不得進(jìn)行未經(jīng)授權(quán)的侵入測(cè)試或滲透攻擊。第八條信息安全事件處理對(duì)于發(fā)現(xiàn)的信息安全事件，應(yīng)立刻向IT部門或上級(jí)報(bào)告，認(rèn)真記錄事件經(jīng)過和相關(guān)信息。IT部門應(yīng)及時(shí)響應(yīng)和處理信息安全事件，訂立應(yīng)對(duì)措施并進(jìn)行事后分析。相關(guān)責(zé)任人應(yīng)樂觀搭配信息安全事件的調(diào)查和處理工作，不得隱瞞或竄改相關(guān)數(shù)據(jù)。第九條信息安全風(fēng)險(xiǎn)評(píng)估定期開展公司信息安全風(fēng)險(xiǎn)評(píng)估，識(shí)別和分析可能存在的風(fēng)險(xiǎn)隱患。依據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果，及時(shí)訂立風(fēng)險(xiǎn)防范和應(yīng)對(duì)措施，并進(jìn)行演練和驗(yàn)證。定期評(píng)估和檢查公司的信息安全管理制度，及時(shí)修訂和完善。第十條外包單位管理外包單位在承接公司的信息系統(tǒng)開發(fā)、運(yùn)維等業(yè)務(wù)時(shí)，應(yīng)建立和實(shí)施符合公司要求的信息安全管理制度。與外包單位之間應(yīng)簽訂保密協(xié)議，并明確對(duì)外包單位及其員工的信息安全要求。第三章違規(guī)行為及懲罰第十一條違規(guī)行為分類細(xì)小違規(guī)行為：包含未經(jīng)許可使用公司互聯(lián)網(wǎng)設(shè)備、上網(wǎng)時(shí)間超出規(guī)定限制等。一般違規(guī)行為：包含在公司信息系統(tǒng)內(nèi)傳播違法、有害信息、泄露公司機(jī)密信息等。嚴(yán)重違規(guī)行為：包含有意破壞或竄改公司信息系統(tǒng)、進(jìn)行未經(jīng)授權(quán)的侵入測(cè)試或滲透攻擊等。第十二條懲罰措施細(xì)小違規(guī)行為者，應(yīng)予以口頭警告和告誡，記錄在個(gè)人檔案中。一般違規(guī)行為者，應(yīng)予以書面警告，記錄在個(gè)人檔案中，并做出相應(yīng)的紀(jì)律處分。嚴(yán)重違規(guī)行為者，應(yīng)依法予以嚴(yán)厲處理，可能涉及開除、刑事追究等。第四章附則第十三條宣傳和教育公司應(yīng)定期開展信息安全宣傳教育活動(dòng)，提高員工的信息安全意識(shí)和本領(lǐng)。第十四條監(jiān)督和檢查公司將建立定期的信息安全檢查制度，對(duì)各部門和員工的信息安全情況進(jìn)行監(jiān)督和檢查。第十五條修訂和解釋本制度由公司高層管理者負(fù)責(zé)解釋，依據(jù)實(shí)際需要隨時(shí)