完整版信息安全手册.docx

1、完整版信息安全手册XXXXXXXX有限公司信息安全管理手册1 目的为了规范和明确XXXXXXXX有限公司业务发展的信息安全管理方面的总体要求，特制定本规定。确保我司BBB项目符合BBB信息安全管理要求；有效保护双方利益和和信息资产安全，特制定此规定。2 范围本规定适用于XXXXXXXX有限公司各部门及全体员工。3 总体安全目标建立符合要求的信息安全管理体系，确保离岸外包项目运作中的信息安全，防止公司及客户的技术秘密、商业秘密的泄露，保障公司外包业务的顺利发展。4 信息安全信息安全是指信息网络的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地

2、运行，信息服务不被中断。5 信息安全组织5.1 信息安全组织为了响应公司外包业务的离岸政策、适应外包业务发展方向、使业务能够顺利回迁，建立符合公司及客户要求的信息安全管理体系，保证业务离岸后的顺利开展，本着尊重知识产权、维护公司、客户的商业利益、为客户的业务开展提供最安全的保障服务。经公司研究决定成立信息安全管理组，各地域或场地可参照成立信息安全小组。5.2 信息安全职责信息安全主任：根据公司信息安全要求及业务发展需求，对信息安全相关事务进行支持、决策，确保外包项目的信息安全，对所承接的BBB外包服务业务的信息安全负责。信息安全专员：建立信息安全组织，作为信息安全管理人员负责建立和维护ISMS

3、（Information Security Management System信息安全管理体系）负责组织信息安全管理规定、标准和流程的制定、推行、检查和安全事件调查工作。机要员：主要负责执行信息安全制度中规定的及信息安全专员的指令，一个地域只有一个机要员，通常重要区域的钥匙、密码、门禁卡由其负责保管，所有物品出入FBI场地必须由机要员进行确认检查，并做好相关的记录。安全岗：执行信息安全制度中规定的及信息安全专员的指令，根据信息安全制度的相关规定，执行检查、登记出入FBI场地人员及携带的物品，负责维护责任区域的安全。当有人员及人员携带物品强行出入FBI场地的时候，安全岗人员必须立即制止。IT专员

4、：主要负责执行信息安全制度中规定的及信息安全专员的指令，协助信息安全机要员做好信息安全方面的技术工作，FBI场地的机房网络、内外邮箱的设置，设备出场的数据处理，进场设备的存储、端口的处理，信息安全技术工作方面的改进、优化。卡证专员：主要执行规范公司员工及外来人员的出入卡证发放和门禁系统授权管理工作。根据信息安全制度的相关规定，结合卡证管理流程及权限，对卡证管理实行员工工卡、临时工卡、来宾卡的识别、确认、登记、门禁授权、编码、归类、注销等管理流程工作的实现。部门执行主任：主要负责本部门下属的各项目组在FBI场地信息安全管理工作，并任命项目组中的具体信息安全执行负责人，配合信息安全管理工作组的工作

5、做好日常的信息安全管理及定期信息安全的检查、监控和审计工作。对部门下属成员的信息安全违规、举报行为执行信息安全管理工作组规定的奖励和处罚。项目组信息安全员：主要负责本项目组内人员及设备的信息安全管理工作，配合信息安全管理工作组的工作做好日常的信息安全管理及定期信息安全的检查、监控和审计工作。对部门下属成员的信息安全违规、举报行为执行信息安全管理工作组规定的奖励和处罚。5.3 信息安全操作流程分为：规划、执行、检查、改进四个阶段，每个阶段都有明确的参与和执行责任人。分别说明如下：规划：根据公司信息安全原则和业务发展的需求，信息安全管理工作组全体成员讨论并制定详细的管理流程。一般情况下由需求部门向

6、信息安全专员提出需求，并由信息安全专员召集信息安全管理工作组的机要员、IT专员及需求申请部门人员进行需求的讨论并给出解决方案，方案确定后由信息安全管理工作组主任进行审核、签发。执行：所有签发的管理方案都必须严格执行起来，一般情况下由需求部门、个人向信息安全专员提出申请，按照申请流程中规定进行操作，涉及到由申请者直接上级和部门领导审批同意，之后交由信息安全专员进行审核。审核后由机要员、IT专员、卡证专员进行具体的操作和处理，安全岗执行人员要看到完整的流程审批以后才可以进行放行和记录。检查：信息安全管理工作组全体成员定期会对FBI场地内的物理隔离、门禁权限、办公设备、机房设备、FBI实验室设备、监

7、控记录及历史存档记录会同业务部门的信息安全执行主任进行检查和审计。并将结果以报告的形式汇报给信息安全管理工作组主任。对发现信息安全方面的违规问题由信息安全专员以书面的形式向分公司进行发文进行通报。改进：原有管理方案不能继续满足业务发展需求时，由业务部门向信息安全专员提出申请，信息安全专员召集信息安全管理工作组的全体成员及需求部门进行管理方案的改进评审会议。在检查中发现有信息安全漏洞的，由信息安全专员召集信息安全管理工作组的全体成员及需求部门进行管理方案的改进评审。最终由信息安全主任进行审核、签发。6 信息资产分类与控制为了规范文档的保密制度，明确信息资产所有人责任、信息密级的划分，信息资产的识

8、别。公司所有文档，无论是电子件或纸件，必须标有文件密级。文档密级应出现在文档页眉的醒目位置，页脚应出现未经许可，不得扩散 的字样。信息是一种资产，像其它重要的业务资产一样，对公司具有价值，因此需要妥善保护。6.1 信息资产管理6.1.1 信息资产分类数据与文档：数据库和数据文件、系统文件、用户手册、培训材料、运行与支持程序、业务持续性计划、应急安排。书面文件：合同、指南、企业文件、包含重要业务结果的文件。软件资产：应用软件、系统软件、开发工具和实用程序。物理资产：计算机、网络设备、磁介质（磁盘与磁带）6.1.2 信息资产密级秘密：是指一般的公司秘密，一旦泄露会使公司和客户的安全和利益受到一定的

9、危害和损失。 内部公开：公司各部门、项目组内部员工不受限制查阅的信息，XX不得随意外传。6.2 信息资产的标识和处理6.2.1落实资产责任：为公司的资产提供适当的保护，为所有信息财产确定所有人，并且为维护适当的管理措施而分配责任。可以委派执行这些管理计划的责任。被提名的资产所有者应当承担保护资产的责任。6.2.2 控制措施资产的清单：列出并维持一份与每个信息系统有关的所有重要资产的清单。在信息安全体系范围内为资产编制清单是一项重要工作，每项资产都应该清晰定义，合理估价，在组织中明确资产所有权关系，进行安全分类，并以文件方式详细记录在案。6.2.3 具体措施包括：公司可根据业务运作流程和信息系统

10、基础架构识别出信息资产，按照信息资产所属系统或所在部门列出资产清单，将每项资产的名称、所处位置、价值、资产负责人等相关信息记录在资产清单上；根据资产的相对价值大小来确定关键信息资产，并对其进行风险评估以确定适当的控制措施；对每一项信息资产，组织的管理者应指定专人负责其使用和保护，防止资产被盗、丢失与滥用；定期对信息资产进行清查盘点，确保资产账物相符和完好无损。 6.2.4 信息的分类：确保信息资产得到适当程度的保护应当将信息分类，指出其安全保护的具体要求、优先级和保护程度。不同信息有不同的敏感性和重要性。有的信息资产可能需要额外保护或者特殊处理。应当采用信息分类系统来定义适当的安全保护等级范围

11、，并传达特殊处理措施的需要。6.2.5 控制措施信息资产分类原则：信息的分类及相关的保护控制，应适合于公司运营对于信息分享或限制的需要，以及这些需要对企业营运所带来的影响。信息的分类和相关保护措施应当综合考虑到信息共享和信息限制的业务需要，还要考虑对业务的影响，例如对信息XX的访问或者对信息的破坏。一般说来，信息分类是一种处理和保护该信息的简捷方法。信息分类时要注意以下几点：信息的分类等级要合理、信息的保密期限、谁对信息的分类负责。6.2.6 控制措施信息的标识与处理：应当制定信息标识及处理的程序，以符合公司所采用的分类法则。为信息标识和处理定义一个符合组织分类标准的处理程序是非常重要的。这些

12、程序要涵盖实物形式和电子形式的信息。对于每种分类，应当包含以下信息处理活动的程序：复制、存储、通过邮局、传真和电子邮件的信息发送、通过口头语言的信息传递，包括通过移动电话、语音邮件和录音电话传送的信息、销毁。对于那些含有被划定为敏感或者重要信息的应用系统，其输出应当带有适当的分类标识。该标识应当反映根据组织规则而建立的分类。需要考虑的项目包括打印的报告、屏幕显示、存储介质（磁带、磁盘、CD、卡式盒带）、电子消息和文档传输。7 人员的安全管理7.1 聘用条款和保密协议（公司员工保密协摘录）7.1.1聘用条款中员工的信息安全责任7.1.1.1知识产权：7.1.1.1.1 知识产权是指根据法律法规有

13、关规定或根据甲方与第三方签署的协议由甲方所有、使用、支配、提供、拥有或者将要拥有的一切智力劳动成果，包括但不限于专利权、商标权、著作权、软件、企业名称、企业标记（Logo）、域名、网站、数据库、经营或开发成果、商誉、职务技术成果等。7.1.1.1.2 乙方承诺在与甲方的劳动合同关系存续期间及期满后不对甲方的知识产权进行贬低、歪曲、破坏或者任何其它损害。在劳动合同有效期内乙方应努力维护、提高甲方知识产权的价值。7.1.1.1.3 乙方承诺，未经甲方书面同意，不将第一条所提及的技术成果、作品、软件、专利等用作商业目的或者许可他人用于商业目的。7.1.1.1.4 乙方在与甲方的劳动合同存续期间，及在

14、劳动合同关系终止后二年内, 所有主要是利用在XXXXX的工作时间或利用XXXXX或派驻合作方的物质技术条件所完成的,一切与甲方业务、产品、程序与服务有关的技术成果，包括但不限于发现、发明、思路、概念、过程、产品、方法和改进或其一部分，不论是否可以或已经受到知识产权法律保护，不论以何种形式存在，均为职务技术成果，其所产生的所有权利包括知识产权归甲方、甲方合作方单独或共同所有。未经甲方书面许可不得以乙方和/或其它任何第三方的名义申请专利或者版权登记。7.1.1.1.5 乙方在结束与甲方的劳动合同关系一年内，若有继续完成与在甲方工作期间所担任的课题或分配的任务有关而取得的技术成果，仍属于甲方或派驻合

15、作方所有。7.1.1.1.6 对于甲方实施、转让、许可他人使用职务技术成果或者将职务技术成果投入其它商业用途而引起的收益或者损失，乙方不提出任何权利主张也不承担任何责任。但由于乙方职务技术成果固有的缺陷或者乙方在实施该职务技术成果的失误造成的损害，乙方应承担责任。7.1.1.1.7 乙方承认所有在与甲方劳动关系存续期间产生或者接触到的甲方提供的或通过甲方获取的有关资料及其它信息载体都属于甲方所有，未经甲方书面许可，不得向任何第三方提及、出示及传播。7.1.1.1.8 乙方承诺不向他人谈论甲方尚未对外公布的业务和技术发展动态。乙方承诺不设法获取非本人工作所需的甲方保密的技术资料、技术文件和客户档

16、案材料以及非本人工作所需的甲方内部及对外的商业文件。乙方进一步承诺不利用甲方的客户及渠道为自己或他人谋求利益。7.1.2商业秘密7.1.2.1 符合法律法规有关规定或根据甲方与第三方签署的协议由甲方所有、使用、支配、提供的具有商业价值的，非公知的并由甲方采取了保密措施的所有技术信息和/或经营信息。7.1.2.2 甲方在开发、销售各类计算机软件产品以及为各类软件产品提供技术支持、信息咨询服务及培训的过程中，或是接受指派为本协议所面向的派驻合作方提供外包服务期间,本方和合作方所独有的机密、专有技术及商业秘密性质的情报均简称为“商业秘密”。7.1.2.3 甲方的商业秘密包括但不限于档案资料、技术资料

17、、市场销售资料、财务信息资料以及：7.1.2.4 甲方及派驻合作方开发或销售的所有软件，以及与此类软件有关的文档：包括程序的源编码、目标码部分、视听部分、人工或机器可读形式程序部分，还包括图表、流程图、样图、草图、技术说明、设计图数据教材、有关病毒的报告及客户资料。7.1.2.5 甲方的业务计划、产品开发计划、财务情况、内部业务规程和客户名单等信息；以及正在开发或构思之中的商业思想、业务和技术发展动态、系统安全机制与实现等方面的信息、数据以及计算机数据库、资料、源程序、目标程序、计算机软件等；7.1.2.6 甲方现有的以及正在开发或者构思之中的服务项目的信息和资料；7.1.2.7 甲方现有的或

18、者正在开发之中的质量管理方法、定价方法、销售方法等方法；7.1.2.8 甲方应对第三方负有保密责任的所有第三方的机密信息;7.1.2.9 甲方的股东资料、投资背景等以及其它被甲方标明或声明为秘密的信息。7.1.2.10 乙方承诺在与甲方的劳动合同关系存续期间以及解除后二年内，保守甲方商业秘密，未经甲方书面许可，不向任何第三方以任何明示或者暗示的方式透露，包括与商业秘密无关的其它甲方雇员在内。乙方承诺不设法获取非其工作所必需的任何形式的甲方的商业秘密，并不得利用与甲方工作关系为自身谋求利益。7.1.2.11 除用于甲方安排或者委托的工作之外，乙方不得将商业秘密信息用于其它任何目的。在使用完毕之后

19、，乙方应立即向甲方交还或者按照甲方的要求销毁商业秘密的载体，包括但不限于文件、磁盘、光盘、计算机内存等。7.1.2.12 乙方只能在因工作需要必须使用的情况下提供给其它可靠的员工，并应事先与其签署与本协议充分相似的保密协议，提供程度仅限于可执行一定的商业目的。并保证这些员工应遵守本协议中约定的义务，不在无甲方及派驻合作方许可的前提下，向第三方（包括顾问）透漏这些秘密信息，并应约束其接触本保密信息的员工遵守保密义务。7.1.2.13 如为合作的目的确实需要向第三方披露甲方及派驻合作方的保密信息，需事先得到甲方及派驻合作方的书面许可，并与该第三方签订相应的保密协议。7.1.2.14 如果乙方根据法

20、律程序或行政要求必须披露“商业秘密”，应事先通知甲方及派驻合作方，并协助公司采取必要的保护措施，防止或限制保密信息的进一步扩散。7.1.2.15 乙方应按照甲方要求对商业秘密或其载体进行妥善地保管、存储、加密、回收、销毁等。未经甲方许可或非因工作需要，乙方不得将商业秘密信息或其载体带出甲方住所。7.1.2.16 在与甲方的劳动合同关系中止、终止或解除时，乙方应将所有包含、代表、显示、记录或者组成商业秘密的原件及拷贝，包括但不限于装置、记录、数据、笔记、报告、建议书、名单、信件、规格、图纸、设备、材料、磁盘、光盘等，归还甲方。7.1.2.17 员工在签署劳动合同以后必须签署保密协议。7.1.2.

21、17 员工职位晋升为PL、PM、SE等关键岗位，业务技能达到公司及BBB公司认可的三级及以上级别的，都必须与BBB公司签署保密协议，各方都应切实遵守保密协议中约定的保密义务。7.2 人员背景审查目的：保障三级及以上工作岗位人员所掌握的信息安全。7.2.1 审查流程7.2.1.1 员工再进入三级及以上工作岗位时，由人力资源部和用人部门共同开展对人员背景的调查。7.2.1.2 具体调查内容：身份审查、学历审查、工作履历审查、信用度审查、职业道德审查、职业背景审查、忠诚度审查。7.2.1.3 审查标准：审查的资料完整性、真实性，审核身份证原件、毕业证原件、各种技能职称 原件的真实性，是否相互吻合。7

22、.2.2 员工背景调查表人员背景调查表基本信息被调查者姓名性别身份证号码户口所在地出生日期年龄身份验证被调查者的身份内容真实性说明身份证号码是（） 否（）年龄是（） 否（）户口所在地是（） 否（）验证来源：学历验证被调查者提供信息真实性说明学校名称是（） 否（）学习时间是（） 否（）所学专业是（） 否（）证明人/机构：职位：专业资格验证被调查者的身份内容真实性说明认证机构是（） 否（）获得认证时间是（） 否（）认证内容是（） 否（）证明人/机构：工作履历验证被调查者的身份内容真实性说明雇主公司名称是（） 否（）雇主公司注册地是（） 否（）雇佣时间是（） 否（）职务名称是（） 否（）直接上司职务

23、是（） 否（）被调查者是否与贵公司有劳动争议是（） 否（）被调查者是否存在信息安全违纪违规行为是（） 否（）证明人： 职务： 调查时间：7.3 员工培训目的：宣传、普及信息安全制度，增强员工的信息安全意识。培训对象：新员工、在职员工培训方式：授课+考核7.3.1 培训周期7.3.1.1新员工：所有部门新员工在入职当天由人力资源培训部组织信息安全制度培训，培训签到表归档。培训结束后在一周之内组织信息安全考试，考试及格线为23分（25分制），并将考试签到表、考试成绩进行归档。7.3.1.2在职员工：所有部门在职员工每半年组织一次信息安全培训，培训签到表归档。培训结束后在一周之内组织信息安全考试，考

24、试及格线为23分（25分制），并将考试签到表、考试成绩进行归档。7.3.2 培训效果检查7.3.2.1 定期以业务部门、项目组为单位进行信息安全知识检查，对检查结果低于90%的部门、团队进行再次的全员覆盖培训并组织考试，对培训签到表、考试签到表、考试成绩归档并通知部门主管。7.3.2.2 不定期对FBI场地内的研发人员进行信息安全知识的抽检，对抽查成绩低于23分（25分制）的员工组织培训并考试，对培训签到表、考试签到表、考试成绩归档并通知业务部门直接领导和部门主管。7.4 人员离职目的：保证离职人员不带走公司任何信息资产。7.4.1离职人员信息交接流程7.4.1.1 员工离职前，公司与离职员工

25、签署离职保密承诺。7.4.1.2 员工离职前公司将收回所有的工作资料的纸件、电子件及员工拥有的相关信息系统和资源的访问使用权限。7.4.1.3 员工离职前收回员工门禁磁卡及工作证。7.4.1.4 员工在其离职两年内仍要按照进公司时签订的合同，承担下列保密责任，否则将承担违约的民事或刑事责任。7.4.1.5 不带走从公司获取的任何资料，包括但不限于记载的纸件或电子件上的文档、文件、图表、目录，存储于磁盘、光盘上的软件、程序等。7.4.1.6 离职后两年内不得到与XXX公司或与客户公司有竞争关系的公司从事与在XXX公司工作期间工作性质相同或者相似的工作。7.4.1.7 未经XXX公司书面同意，不向

26、任何单位和个人透露或使用在公司就职期间获得的商业秘密，包括技术秘密、商务秘密、财务秘密、管理秘密以及其它经营秘密。7.5 违规处理目的：建立正式的违规处理流程，对违反信息安全管理规定的员工进行相应处理。7.5.1信息安全违规级别对于触犯国家法律的，公司将移交国家司法机关依法处理。此外，则根据违规行为的后果、性质以及违规人的主观意愿，将违规行为分为如下四个等级：一级：有意盗窃、泄露公司保密信息，或有意违反信息安全管理规定，性质严重造成重大损失。二级：有意违反信息安全管理规定，性质严重或造成损失。三级：无意违反信息安全管理规定，造成公司损失；或者有意违反信息安全管理规定，但性质不严重且 没有造成严

27、重损失。四级：违反信息安全管理规定，性质较轻，没有造成公司损失。7.5.2信息安全违规处理流程信息安全违规处理流程V1.0任务名称人物、程序、重点及标准时 限相关资料事 故定 级程序1、参考国家相关法律2、公司人事制度3、公司信息安全制度业务部门发生信息安全事故以后，项目组信息安全员应在第一时间向信息安全专员进行汇报即时信息安全工作组核实情况后，对事故进行定级1个工作日信息安全主任对事故级别审核1个工作日BBB信管办对事故级别审核1个工作日重点对所发生的事故进行定级标准定级及时、准确组 织信 息安 全工 组会 议程序1、公司信息安全制度2、事故调查报告信息安全专员组织事故部门召开临时会议1个工

28、作日信息安全专员组织信息安全工作组召开临时会议1个工作日事故报BBB信管办1个工作日信息安全小组研究制定具体事故的解决措施2个工作日事故解决措施报信息安全主任审批重点组织信息安全工作组召开临时会议，制定具体事故的解决措施标准组织信息安全工作组召开临时会议，措施合理执 行解 决措 施程序1、公司信息安全制度2、公司人事制度事故解决措施审批通过后，由信息安全专员组织落实根据实际情况事故部门负责落实执行，信息安全小组配合随时重点信息安全小组制定措施的落实标准措施落实及时、全面、准确总 结报 告与 预防措施程序1、公司信息安全制度2、事故调查报告事故发生部门将执行结果反馈到信息安全小组1个工作日信息安

29、全专员输出事故总结报告，并修订事故预防措施3个工作日事故总结报告、事故预防措施报信息安全主任审核1个工作日事故总结报告、事故预防措施报BBB信管办审核1个工作日信息安全工作组将事故总结存档即时重点信息安全小组输出事故总结报告，并修订事故预防措施标准总结报告真实、客观、全面预防措施及时、合理、可行7.5.3违规事件处理流程图8 物理安全策略8.1场地安全目的：明确公司FBI各工作区域的安全级别。8.1.1 FBI受控区域的划分8.1.1.1受控区域级别划分 一级：FBI出入通道 FBI研发区 FBI实验室IT机房 公司后门 二级：培训室 会议室 三级：茶水间 洗手间8.1.1.2 重要区域及受控

30、区域管理责任划分公司前门：前台负责管理。FBI出入通道：安全岗负责管理。FBI实验室：实验室管理员负责管理。IT机房：机房管理员负责管理。公司后门:信息安全工作组负责管理。FBI研发区：各项目组负责管理。FBI场内会议室：使用者负责管理。培训室：使用者负责管理。8.1.1.3 物理隔离FBI研发区（包括FBI的办公区、实验室、会议室）与其它办公区域进行了物理隔离。 IT机房与其它办公区域进行物理隔离。8.1.2出入控制安全岗负责FBI出入口的日常管理，对出入人员身份及设备的合法性进行识别和检查。公司前门、FBI出入口、IT机房、FBI实验室、公司后门都安装有CCTV监控系统，对受控区域进行360度无死角监控，所有监控记录必须保存一个月以上。所有在公司FBI工作人员都必须刷卡出入，IT机房、FBI实验室采取最小授权策略，未授权人员不得私自进入。所有进入FBI及受控区域的都必须进行申请，申请通过以后由卡证专员进行门禁卡的授权和发放，禁止未得到授权人员私自出入FBI及FBI内的受控区域。所有在FBI研发区办公人员都必须正确佩戴具有员工合法身份识别的公司工作证，未佩戴人员不得