信息安全管理办法百度.docx

信息安全管理办法百度.docx

《信息安全管理办法百度.docx》由会员分享，可在线阅读，更多相关《信息安全管理办法百度.docx（7页珍藏版）》请在冰豆网上搜索。

信息安全管理办法XX

XX金融公司信息平安管理方法

第一章总那么

第一条根据?

中华人民共和国计算机信息系统平安保护条例?

等有关法律法规，制定本管理方法。

第二条信息平安是指通过各种计算机、网络〔内部信息平台〕和密码技术，保护信息在传输、交换和存储过程中的机密性、完整性和真实性。

具体包括以下几个方面。

〔一〕信息处理和传输系统的平安。

系统管理员应对处理信息的系统进行详细的平安检查和定期维护，防止因为系统崩溃和损坏而对系统内存储、处理和传输的信息造成破坏和损失。

〔二〕信息内容的平安。

 侧重于保护信息的机密性、完整性和真实性。

系统管理员应对所负责系统的平安性进行评测，采取技术措施对所发现的漏洞进行补救，防止窃取、冒充信息等。

〔三〕信息传播平安。

要加强对信息的审查，防止和控制非法、有害的信息通过本公司的信息网络〔内部信息平台〕系统传播，防止对国家利益、公司利益以及个人利益造成损害。

第二章职责权限

第三条信息平安管理实施工作责任制和责任追究制，由XX金融公司〔以下简称“公司〞〕成立信息平安领导小组，由CIO担任领导小组组长，负责本公司信息平安工作的策略，重点，制度和措施，对本单位的信息平安工作负领导责任；由信息技术部负责人担任信息平安实施小组组长，成员包括部门信息平安管理员，负责信息平安保护工作的具体实施，对本单位的信息平安负直接管理责任。

第四条信息平安实施小组对本公司的效劳器，网络，信息系统具有审核和管理权，负责本公司信息系统的规划，建设，应用开发，运行维护与用户管理。

第三章主要风险

第五条公司存在如下风险：

〔一〕来自公司外的风险

1.病毒和木马风险。

互联网上不同类型的病毒和木马，在感染公司用户电脑后，会篡改电脑系统文件，使系统文件损坏，导致用户电脑最终彻底崩溃，严重影响职工的工作效率；有些木马在用户访问网络的时候，不小心被植入电脑中，轻那么丧失工作文件，重那么泄露机密信息。

2.不法分子等黑客风险。

计算机网络的飞速开展也导致一些不法分子利用网络行窃、行骗等，如果是信息技术部、结算部和财务部电脑假设被黑客植入后门，留下监视类木马查件，将有可能造成重要数据被拷贝泄露、财务网银密码被窃取。

还可能使效劳器资源耗尽，最终彻底崩溃，同时整个网络彻底瘫痪。

〔二〕来自公司内的风险

1.文件的传输风险。

职工将公司重要文件以QQ、MSN发送出去，造成公司信息资源的外泄，危害公司生存开展。

2.文件的打印风险。

职工将公司技术资料或商业信息打印到纸张带出公司，公司信息资料外泄。

3.文件的风险。

职工将纸质重要资料或技术图纸出去，以及将其他单位给公司的技术文件和重要资料带走，造成公司信息外泄。

4.存储设备的风险。

职工通过光盘或移动硬盘等存储介质将文件资料拷贝出公司，或职工私自拆开电脑机箱，将硬盘偷偷带出公司，造成公司信息泄露。

5.上网行为风险。

职工在电脑上访问不良网站，造成电脑及公司网络的破坏，导致电脑系统崩溃。

6.用户密码风险。

主要包括用户密码和管理员密码。

用户的开机密码、业务系统登陆密码被他人掌握，此用户权限内的信息资料和业务数据被窃取；管理员密码被不法分子窃取，破坏应用系统的正常运行。

7.机房设备风险。

主要包括效劳器、UPS电源、网络交换机、交换机、光端机等。

这些风险来自自然灾害导致的机房设施损坏及业务中断。

8.办公/区域风险。

主要包括办公区域敏感信息的平安。

职工在办公区域随意堆放本部门的重要文件或是在办公区域毫不避嫌谈论工作内容，可能会泄露部门工作机密，甚至是公司机密。

为了保证公司信息的平安保密，公司所有人员必须严格遵守公司信息平安管理方法，以此为根底，从各个层面杜绝信息平安隐患。

第四章风险防范措施

第六条信息平安防范措施

〔一〕计算机设备平安管理。

1.公司所有人员应保持清洁、平安、良好的计算机设备工作环境，禁止在计算机应用环境中放置易燃、易爆、强腐蚀、强磁性等有害计算机设备平安的物品。

2.严格遵守计算机设备使用、开机、关机等平安操作规程和正确的使用方法。

任何人不允许私自拆卸计算机组件，计算机出现故障时应及时向信息管理部报告，不允许私自处理和维修。

3.发现由以下等个人原因造成硬件的损坏或丧失的，其损失由当事人如数赔偿：

违章作业；保管不当；擅自安装、使用硬件和电气装置。

公司每位职工对自己的工作电脑既有使用的权利又有保护的义务。

任何的硬件损坏必须给出损坏报告，说明损坏原因，不得擅自更换。

公司会视实际情况进行处理。

4.下班后所有不再使用的计算机，应关闭主机电源，以防止意外，对于共同使用的计算机，原那么上由最后一个退出系统的使用人员关机，并关闭电源。

外人未经公司领导批准不得操作公司计算机设备。

〔二〕部门资料平安管理

1.外接存储设备平安管理

信息技术部使用技术手段禁止所有人员以个人介质光盘、U盘、移动硬盘等存储设备拷贝公司的文件资料并带出公司。

假设因出差等原因需要拷贝文件资料到存储设备中，需要经过加密机来进行拷贝。

为确保硬盘的平安，严禁任何人私自拆开电脑机箱，将用户主机贴上封条标签，除信息技术部人员外，任何人不得私自拆开机箱，假设信息技术部进行电脑硬件故障排查时，撤除封条标签后，在故障排查结束及时更换新的封条标签。

信息技术部将定期检查，假设发现有封条拆开痕迹，将查看视频监控记录，追查相关人责任。

2.文件平安管理。

人员对外发送涉密，必须经上级核实后，统一在规定部门登记，由规定部门通过加密机发送，禁止个人在未经许可的情况下对外发送涉密文件，一经发现，所有后果将由个人承当。

在对内文件时，应即刻通知接收人接收并取走件，在结束时，应马上取走原件。

假设因时没有取走件，导致件丧失，造本钱部门信息外泄，那么由本人承当一切后果。

3.文件打印平安管理。

所有人员不得私自将公司文件打印带出公司，一经发现，严肃处理。

假设在上班时间，打印工作文件时，需要即刻在打印机处等候文件的打印，文件打印完成后马上取走，假设因文件打印时有其他紧急事件，应该通知本部门人员代为领取打印文件。

禁止一切打印后未及时取走打印文件的行为，一经发现，将对本人警告，假设因打印后，文件丧失，造成信息资料外泄，那么由本人承当相关责任。

4.文件的存储平安管理。

所有部门人员应定时清理计算机中的文件，去除不需要的垃圾文件，将重要的文件和工作资料保存在特定的文件夹里，每月末应将电脑中的文件资料做一次备份，将文件资料备份到部门专用U盘或移动硬盘上，确保个人工作资料的文件归档，在电脑突发性故障或硬盘损坏时，能够及时恢复最近的工作资料；电脑桌面上的文件应每周末拷贝到非系统盘符中或不要在桌面存放任何工作性文件资料。

假设因个人原因未执行备份，造成数据资料丧失时，将由本人承当相关后果。

假设职工离职，在办完离职手续后，所在部门负责人应联系信息技术部协助将此职工工作资料拷贝到部门U盘或移动硬盘上，假设没有执行此平安过程，离职职工损失的文件资料由该部门承当。

5.办公区域的平安管理。

所有部门人员每天下班时应保证办公桌的整洁，将部门重要文件资料存放在个人抽屉柜中，并检查确保办公桌上没有存放重要文件或其他有可能泄露本部门工作内容的信息源。

假设因资料没有存放好，被他人取走，造成的后果将由本人承当。

〔三〕帐号密码平安管理

使用者须妥善保管好自己的帐户和密码。

严防被窃取而导致泄密。

核心业务系统及OA帐户及密码由经营办管理员设置后通知职工，职工及时修改密码后牢记。

所有职工必须在所使用的计算机中设置开机密码和屏幕保护密码。

为了保护公司的信息资产，设置密码时应注意：

密码至少有8个字符长；密码必须包含以下任一局部：

字母A-Z或a-z，数字0-9，特殊字符，例如$，-等。

1.电脑密码管理：

每个职工管理自己电脑的登录密码,周期性的及时更改自己的电脑登录密码。

2.应用系统密码管理：

所有核心业务系统用户及OA用户都将分配到一个帐号密码，帐号是不变的，用户可以更改自己的系统密码，密码尽可能设置为高平安性的复杂密码，严禁用户将密码设置为如123456等傻瓜式密码，假设密码设置过于简单，被其他用户非法登陆后，在核心业务系统中将会非法编制篡改单据，在OA中非法冒用流程管理权限，假设产生此情况，将会导致严重的后果；严禁将核心业务系统帐号或OA帐号密码透露给他人，让他人代己做核心业务系统单据或办理OA流程；职工调离岗位或离职，所在部门负责人应及时通知信管部注销该职工的应用系统帐户。

假设因以上原因造成的信息平安后果将由本人承当。

3.采用用户身份认证系统：

对核心业务系统采取USBKEY认证技术，并选择其中一种技术与公司现有的静态密码技术相结合，USBKEY采用USB密钥，存储特定的加密算法，只有将USB钥匙接上电脑，与电脑中存储的认证软件验证通过后，才能进入。

我们通过〔动态+静态〕混合身份认证，或〔硬件+软件〕混合身份认证，保证效劳器的登陆基于网内的行为、网外的行为都是平安的。

〔四〕杀毒软件平安管理

用户使用的杀毒软件和防火墙已经设置好自动调度更新和病毒库升级，每日定时杀毒，使用者也应经常手动扫描杀毒。

〔五〕各类软件平安管理

软件原始盘片应交信息技术部保管，软、硬件设备的原始资料〔软盘、光盘、说明书及保修卡、许可证协议等〕交信息技术部保管。

保管应做到防水、防磁、防火、防盗。

使用者必需的操作守册由使用者长借、保管。

〔六〕邮件平安管理

所有因公对外联系的电子邮件一律通过公司邮箱在自己的办公电脑上进行收发。

〔七〕日常工作信息平安

1.职工应对在自己公司电脑内公司机密信息的平安负责，当需暂时离开座位时必须立即启动屏幕保护程序并带有密码。

2.职工有责任正确地保护分配给本人的所有计算机帐户。

3.各部门经理及人事部应及时向信息技术部提供本部门及公司职工的人事及职位变动信息。

4.每台公司电脑内必须安装反病毒软件并启动实时扫描程序。

信息技术部可以提供最新杀毒软件。

5.不得安装有可能危及公司计算机网络的任何软件，假设实在有需要进行软件测试的必须将计算机脱离公司计算机网络进行单机操作。

6.任何对公司内部计算机网络的黑客行为是绝对禁止的，一经查实将按公司有关规定严肃处理。

第七条信息技术部的平安措施如下：

〔一〕计算机网络设备平安管理

公司所有计算机及网络设备统一归信息技术部管理。

本方法所涉及产品的界定：

1.计算机是指为公司内部职工使用的PC机〔包括CPU、硬盘、内存、机箱、显示器、主板、网卡、显卡、显示器、光驱、键盘和鼠标。

2.网络设备是指公司内部使用的效劳器、网络交换机、路由器、集线器、以及网络接入设备等。

3.计算机其他配件是指公司备用的光驱、软驱等。

4.附带软件包括计算机驱动盘、系统安装盘、程序安装盘等。

5.包括计算机及耗材的采购方案、故障维修等项工作。

在职工电脑各组件老化或损坏，严重影响工作效率时，所在部门可申请以旧换新或报废处理。

假设需要报废，按照规定方法执行，各部门不得擅自处理破旧的电脑或电子设备。

报废的电脑硬盘必须消磁处理。

〔二〕公司所有输入输出设备统一归信息技术部管理

输入输出设备包括扫描仪，机，打印机。

使用者在使用此相关设备遇到问题可寻信息技术部帮助。

在使用设备过程中遇到故障要及时向信息技术部反映，以便信息技术部及时查找原因，解决故障。

〔三〕公司视频会议设备和视频监控设备统一由信息技术部管理

1.视频会议设备包括视频会议效劳器、视频会议终端、SONY摄像头、会议话筒、电视、投影仪以及键盘、接收器、遥控器和线材局部。

信息管理部负责以上设备的维护管理工作包括视频会议的搭建。

2.视频监控设备包括监控效劳器、监控系统以及各路视频采集器。

信息管理部负责各路视频的监控以及备份和维护工作。

〔四〕核心业务系统、OA帐户平安管理

系统管理帐号的设置与管理

1.核心业务系统、OA系统管理帐号必须经过主管领导授权取得。

2.核心业务系统管理员负责核心业务系统帐套环境生成、维护，负责一般操作帐号的生成和维护，负责故障恢复等管理及维护；OA系统由集团数据中心统一管理、流程的建设和优化。

3.核心业务系统、OA系统管理员对业务系统进行数据整理、故障恢复等操作，必须有相关部门的签字和领导的审批授权。

4.核心业务系统、OA操作用户需要增加或修改权限需要填写核心业务系统/OA用户权限申请表，并经过本部门负责人签字后交由信息技术部作权限相关处理。

5.系统管理员不得使用他人帐号进行业务操作。

6.系统管理员调离岗位或离职，信息技术部负责人应及时注销其帐号并生成新的系统管理员帐号。

〔五〕密码平安管理

1.终端计算机密码平安管理：

电脑终端密码由用户自行管理，在用户人员变动或电脑更换时，系统管理员及时收回并更换密码。

2.应用效劳器密码平安管理：

包括核心业务系统效劳器、OA效劳器、域效劳器、邮箱效劳器。

信息技术部为确保效劳器置于外网相对平安，针对每个效劳器创立一个复杂的、不同的密码，并每年更换一次新密码。

制成密码登记文件，并提交给部门负责人。

3.防火墙/路由器密码平安管理:

防火墙和路由器的密码和效劳器管理方法一样，设置成不同的、复杂的密码，并每年更换一次，将密码登记到?

网络设备密码登记文件?

中，并提交给部门负责人。

4.核心业务系统/OA系统密码平安管理:

核心业务系统/OA系统密码分为管理员密码和操作用户密码。

系统管理员登录密码由核心业务系统/OA管理员掌管，为保证系统平安需要定期更改时，及时上报部门负责人。

操作用户密码由核心业务系统/OA管理员在创立帐户时初始生成，信息技术部发放帐号密码后，由用户本人修改密码，并自行保管好自己的密码，如特殊原因忘记密码时，由核心业务系统/OA管理员帮其初始化密码。

信息技术部应将所有的效劳器和网络设备设置不同的密码，所有的密码仅限于信息技术部内部人员掌握，不得向其他部门人员透露，在特殊情况下，需要供给商做远程调试时，方可透漏相关设备密码，在调试结束后，应尽快更改密码。

并通知部门内其他人员。

由于效劳器及网络设备均置于公网上，容易受到不法分子攻击，因此，需要定期更改密码，且密码复杂性尽可能设置高。

〔六〕数据备份平安管理

定期备份核心业务系统效劳器、OA效劳器、邮箱效劳器。

数据清理前必须对数据进行备份，在确认备份正确前方可进行清理操作。

历次清理前的备份数据要根据备份策略进行定期保存或永久保存，并确保可以随时使用。

数据清理的实施应避开公司网络应用顶峰，防止对各部门工作造成影响。

〔七〕信息资料平安管理，在条件允许的范围内要求使用如下系统管理

1.加密系统管理；使用的是文档加密系统，对常用办公软件office、pdf、AutoCAD文件加密，公司内部的此类文件被带出公司后，显示在其他的电脑上均为乱码，保证了各个部门在未授权的情况无法将公司的文件资料泄露出去。

2.监控软件管理：

监控软件在很大程度上起到威慑作用，监控软件能够记录所有用户在个人电脑上的一举一动，通过实时屏幕监控、屏幕录象、插入存储设备报警、网页及程序过滤等功能及时抓出威胁公司信息平安的元凶。

3.打印控制软件管理：

打印控制软件应用后，职工的打印需要在管理员审核通过前方能打印，假设管理员审核到某职工的打印内容涉及本公司信息平安，拒绝职工的打印。

在审核通过、打印完成后，管理员可随时调出以前的打印记录，保证了及时信息平安责任追究。

4.设备送外维修，须经设备管理部门负责人批准。

送修前，需将设备存储介质内应用软件和数据备份后删除，并进行登记。

对修复的设备，设备维修人员应对设备进行验收、病毒检测和登记。

5.信息技术部对报废设备中存有的程序、数据资料进行备份后去除，并妥善处理废弃无用的资料和介质，防止泄密。

6.信息技术部负责计算机病毒的防治工作，建立公司的计算机病毒防治管理制度，经常进行计算机病毒检查，发现病毒及时去除。

7.用户计算机未经信息技术部允许不准安装其它软件、不准使用来历不明的载体〔包括软盘、光盘、移动硬盘等〕。

〔八〕机房平安管理

严格按照?

计算机机房管理制度?

执行。

第八条构建信息平安，必须做到管理、技术两者双管齐下

〔一〕加强管理，综合防范。

平安体系是一个整体的、系统的工程，不是简单的“技术积木〞。

它是技术、管理的有机结合体。

管理者必须以预防为主、综合管理、人员防范和技术防范相结合，逐级建立多层次的平安防护体系，综全防范实现分级阻止违规行为，实现一体化的平安系统。

〔二〕完善制度，强化培训。

完善的信息平安管理制度是行业信息系统平安运行的根底保证。

为系统资源规定明确使用的权限，对职工按其职责划定必要的最小授权范围，明确平安责任。

确保平安措施落实、有效，加强职工的信息平安教育和培训，强化平安意识和法治观念。

提高职工的职业道德和信息化应用水平。

第五章附那么

第九条本方法由公司信息技术部解释。

第十条本方法自发文之日起实施。