信息科技系統(tǒng)與網(wǎng)絡(luò)安全管理制度

信息科技系統(tǒng)與網(wǎng)絡(luò)安全管理制度一、背景和目的為了加強(qiáng)企業(yè)的信息科技系統(tǒng)與網(wǎng)絡(luò)安全管理，保護(hù)企業(yè)的信息資產(chǎn)安全，提高企業(yè)的運(yùn)營(yíng)效率和競(jìng)爭(zhēng)力，特訂立本制度。本制度的目的是確保企業(yè)信息科技系統(tǒng)和網(wǎng)絡(luò)的穩(wěn)定運(yùn)行，避開(kāi)信息泄露、網(wǎng)絡(luò)攻擊等安全事件對(duì)企業(yè)的不利影響，保障企業(yè)的數(shù)據(jù)和業(yè)務(wù)的連續(xù)可用性、完整性和機(jī)密性。二、適用范圍本制度適用于公司內(nèi)全部涉及信息科技系統(tǒng)和網(wǎng)絡(luò)的員工、系統(tǒng)管理員、網(wǎng)絡(luò)管理員等相關(guān)人員，以及與企業(yè)相關(guān)的外部合作伙伴和供應(yīng)商。三、信息資產(chǎn)分類和保護(hù)級(jí)別為了規(guī)范信息資產(chǎn)的保護(hù)措施，本制度將信息資產(chǎn)分為三個(gè)等級(jí)，并訂立相應(yīng)的保護(hù)措施：1.一級(jí)信息資產(chǎn)一級(jí)信息資產(chǎn)屬于企業(yè)最核心的信息資產(chǎn)，包含但不限于核心業(yè)務(wù)數(shù)據(jù)、財(cái)務(wù)數(shù)據(jù)、企業(yè)機(jī)密信息等。對(duì)于一級(jí)信息資產(chǎn)，必需進(jìn)行嚴(yán)格的訪問(wèn)掌控和加密保護(hù)，僅限此類信息有明確權(quán)限的員工訪問(wèn)。2.二級(jí)信息資產(chǎn)二級(jí)信息資產(chǎn)包含公司員工個(gè)人信息、客戶信息等。對(duì)于二級(jí)信息資產(chǎn)，需要進(jìn)行適當(dāng)?shù)脑L問(wèn)掌控，僅限有關(guān)人員在合法需求的前提下訪問(wèn)，并采取必需的加密保護(hù)措施。3.三級(jí)信息資產(chǎn)三級(jí)信息資產(chǎn)包含一些公開(kāi)信息和一些不涉及個(gè)人隱私的內(nèi)部信息。對(duì)于三級(jí)信息資產(chǎn)，可以進(jìn)行適度的訪問(wèn)掌控，但無(wú)需進(jìn)行加密保護(hù)。四、信息科技系統(tǒng)和網(wǎng)絡(luò)安全管理1.密碼安全全部員工必需設(shè)置強(qiáng)密碼，并定期更改密碼。密碼應(yīng)包含字母、數(shù)字和特殊字符，而且長(zhǎng)度不能少于8個(gè)字符。禁止共享密碼，不得將密碼告知他人或用于其他系統(tǒng)。禁止使用弱密碼，如常用的日期、123456等。用戶鎖定機(jī)制：在連續(xù)5次登錄失敗后，系統(tǒng)會(huì)自動(dòng)鎖定賬號(hào)，需要向系統(tǒng)管理員申請(qǐng)解鎖。2.網(wǎng)絡(luò)訪問(wèn)和使用禁止未經(jīng)授權(quán)的網(wǎng)絡(luò)訪問(wèn)，包含但不限于黑客攻擊、病毒傳播、入侵行為等。禁止擅自修改、刪除、傳播網(wǎng)絡(luò)中的信息資源。禁止使用未獲授權(quán)的網(wǎng)絡(luò)設(shè)備和軟件，包含但不限于路由器、交換機(jī)、防火墻等。禁止使用網(wǎng)絡(luò)進(jìn)行非法活動(dòng)，包含但不限于傳播淫穢、暴力、恐怖主義等違法信息。禁止在網(wǎng)絡(luò)中傳輸敏感信息，包含但不限于賬號(hào)密碼、銀行卡信息、個(gè)人身份證件號(hào)碼等。3.信息安全應(yīng)急處理和事件響應(yīng)系統(tǒng)管理員和網(wǎng)絡(luò)管理員負(fù)責(zé)監(jiān)控系統(tǒng)和網(wǎng)絡(luò)的安全情形，發(fā)現(xiàn)安全事件應(yīng)立刻進(jìn)行處理和報(bào)告。安全事件的處理和報(bào)告應(yīng)依照公司的安全響應(yīng)流程進(jìn)行，包含安全事件上報(bào)、調(diào)查分析、修復(fù)等。安全事件的應(yīng)急處理措施應(yīng)與公司的安全策略和安全技術(shù)規(guī)范相全都。安全事件的調(diào)查分析結(jié)果和處理措施應(yīng)及時(shí)匯報(bào)給上級(jí)主管，并記錄相關(guān)信息。五、違規(guī)處理和安全意識(shí)培訓(xùn)1.違規(guī)處理違反本制度的行為將依據(jù)嚴(yán)重程度予以相應(yīng)的處理，包含但不限于口頭警告、書面警告、責(zé)令停職、降低崗位級(jí)別、辭退等。對(duì)于有意或嚴(yán)重違反制度的行為，將依法追究法律責(zé)任。2.安全意識(shí)培訓(xùn)公司將定期開(kāi)展信息安全意識(shí)培訓(xùn)，包含安全政策、安全規(guī)范、安全技術(shù)等方面的培訓(xùn)。全部員工必需參加安全意識(shí)培訓(xùn)，并按要求進(jìn)行考核測(cè)試。新員工應(yīng)在入職前接受相應(yīng)的安全意識(shí)培訓(xùn)。六、制度的宣傳和執(zhí)行公司將通過(guò)內(nèi)部通知、培訓(xùn)、會(huì)議等形式將本制度的內(nèi)容宣傳給相關(guān)人員。全部員工必需遵守本制度，并承當(dāng)相應(yīng)的責(zé)任。系統(tǒng)管理員、網(wǎng)絡(luò)管理員等相關(guān)人員必需嚴(yán)格執(zhí)行和監(jiān)督本制度的執(zhí)行情況，并及時(shí)報(bào)告制度的不完善和改進(jìn)看法。七、制度