ecovadis信息安全制度及应急预案0625212153.docx

1、ecovadis信息安全制度及应急预案0625212153欠冗殷怜有限公司社会责任编号 ： DR- 版次： A/ 0修订记录修订申请单号修订日期修订原因修订人修订页修订状态实施日期编制审核批准XXX 科 技 股 份 有 限 公 司 2018 - 06- 21 发 布 201 8- 06- 22 实施持有者发放编号发放日期受控状态司 信息安全管理制度页次： 第1页共13 页信息安全管理制度为加强公司各信息系统管理， 保证 信息系统安全， 根据中华人民共和国保守国家秘密法和国家保密局计算机信息系统保密管理暂行规定、 国家保密局计算机信息系统国际联网保密管理规定， 及上级信息管理部门的相关规定和要求

2、， 结合公司实际制定本制度。本制度包括网络安全管理、信息系统安全保密制度、信息安全风险应急预案。网络安全管理制度第一条 公司网络的安全管理，应当保障网络系统设备和配套设施的安 全， 保障信息的安全， 保障 运行环境的安全。第二条 任何单位和个人不得从事下列危害公司网络安全的活动：1 、 对 于公司网络主结点设备、光缆、网线布线设施，以 任何理由破坏、挪用、改动。2、未经允许，对信息网 络功能以及计算机信息网络中的共享文件和存储、处理或传输的数据和应用程序进行删除、修改或增加。3、故意制作、传播计算机病毒等破坏性程序。4、利用公司网络， 访问带有“黄、赌、毒”、 反动 言 论内容的网站。5、向其

3、它非本单位用户透露公司网络登录用户名和密码。6、其他任何单位或者个人利用公司网络从事危害公司计算机网络及信息系统安全的行为。第三条 各单位信息管理部门负责本单位网络安全和信息安全工作， 对本单位所属计算机网络的运行进行巡检， 发现问题及时上报信息中心。第四条 连入公司网络的用户必须在其本机上安装防病毒软件，一经发现个人计算机由感染病毒等原因影响到整体网络安全， 信 息中心将立即停止该用户使用公司网络， 待其计算机系统安全之后方予开通。第五条 对网络病毒或其他原因影响整体网络安全的子网， 信 息中心对其提供指导， 必要时可以中断其与骨干网的连接，待子网恢复正常后再恢复连接。信息系统安全保密制度第

4、一条、 “ 信息系统安全保密” 是一项常抓不懈的工作， 每名系统管理员都必须提高信息安全保密憩识， 充分认识到信息安全保密的重要性及必要性。对重要系统的系统岗位员工进行信息系统安全保密培训。第二条、实行信息发布责任追究制度， 所有信 息的发布必须按规定办理审核、审签手续， 必须真实有效且符合中华人民共和国法规。涉及国家及公司机密的信息系统必须与内部网和互联网实施物理隔离， 严格执行上网信息的审查制度和涉及国家秘密的信息不得在企业内网发布的规定， 杜绝泄密事件的发生。凡发布虚假、反动、色悄、泄密等内容，追究信息报送和审核者责任，对 公司造成重大经济损失， 将追究责任人相应的法律责任。第三条、信息

5、系统管理权限从安全级别上分为绝密、机密、秘密；从 适用 对象上分为高级管理员、系统管理员、高级用户、中级用户、一般用户、特殊用户；从 操 作承载体上分为服务器（包括系统服务器、应用服务器和控制服务器）、工作终端、用户终端； 从设定内容上分为完全控制、权限设置变更废止、创建、删除、添加、编辑、更新、运行、读取、拷贝、其他操作 等。设定密码有效期限，对 密码存储采用非明文二次加密技术防止各类密码泄露事故的发生。第四条、所有信息系统的使用者和不同安全等级信息之间必须存在授权关系， 并在新建信息系统开发建设阶段形成方案并加以设计，在 软件系统中预留对应关系设置的功能，根 据使用者岗位职务的变迁进行调整

6、。第五条、利用 IT 技术手段，对信 息系统的硬件配置调整、软件参数修改严加控制。利用操作系统、数据库系统、应用系统所提供的安全机制， 设置相应的安全参数， 保证系统访问的安全； 对 于 重要的计算机设备， 要利用软件技术等手段防止员工擅自安装、卸载软件或改变软件系统配置， 并定期对以上悄况进行检查。第六条、信息系统如需要委托专业机构进行系统运行和维护管理时， 应严 格审 查其资质条件、市场剩余和信用状况等， 并且与其签订正式的服务合同和保密协议。第七条、 所有信息系统服务器、工作终端、用户终端必须安装安全防病毒软件，对 未安装防病毒软件的终端用户有权拒绝为其提供网络接入服务。第八条、对千通过

7、互联网传输的涉密或关键业务数据， 要采取必要的技术手段确保信息传递的保密性、准确性、完整 性。第九条、对千停止运行的废旧系统， 应 当做好系统中有价值及涉密信息的销毁、转移等善后工作。第十条、系统管理人员要遵守信息系统的各项管理制度，防 止利用计算机舞弊和犯罪。信息安全风险应急预案一、总则为加强公司信息安全风险源的预防管理，提高应急防范能力，保障网络系统、信息系统及信息机房的整体安全，促 进公司安全生产稳步健康发展， 制定本预案。二、编制目 的依据中华人民共和国计算机信息系统安全保护条例、中华人民共 和国计算机信息网络国际联网安全保护管理办法等有关法规文件精神。确保公司信息网络系统安全运行，

8、为公司整体安全形势稳步发展提供保障。三、适用范围本预案适用于各单位信息安全突发风险应急管理。四、主要风险源1、火灾2、意外断电3、重要数据丢失4、网络系统大面积瘫痪5、高空作业司 信息安全管理制度页次： 第6页共13 页五、风险源辨识及评估各单位应组织员工对风险源进行全面、系统的辨识和风险评估，并确保： 危险源辨识前要进行相关知识的培训； 辨 识范围覆盖本单位的所有活动及区域；对 危险源辨识和风险评估资料进行统计、分析、整理、归档。5. 1、火灾辨识及评估5. l. 1 火灾辨识( 1 ) 自然灾害引起的火灾( 2 ) 强电线路短路引起的火灾( 3 ) 杂物堆积引起的火灾( 4 ) 温度过高引

9、起的火灾。( 5 ) 老鼠咬线引起的火灾。5. 1. 2 火灾风险评估机房发生火灾可能导致工作人员人身受到伤害； 信息网络设备受到损坏； 网 络系统大面积瘫痪； 国 家、集体财产受到损失。5. 2、意外断电辨识及评估5. 2. 1 意外断电辨识( 1) 自然灾害引起的意外断电。( 2 ) 短路跳闸引起的意外断电。司 信息安全管理制度页次： 第7页共13 页5. 2. 2 意外断电风险评估1、意外断电可能导致机房核心交换机、防火墙、汇聚交换机、数据库服务器、软件服务器、恒温设备等重要设备损坏或数据丢失；2、意外断电可能导致烟雾报警系统、温度报警和断电系统无法正常工作而带来的间接财产损失。5. 3

10、、重要数据丢失辨识及评估5. 3. 1 重要数据丢失辨识( 1) 意外断电引起的数据丢失。 ( 2 ) 服务器故障引起的数据丢失。 ( 3 ) 数据库损坏引起的数据丢失。5. 3. 2 重要数据丢失风险评估1、安全软件系统数据丢失可能导致安全生产监控类系统数据无法正常采集千传输， 影响到矿井安全生产的正常进行。2、数据库系统数据丢失可能导致经营管理类系统无法正常使用， 影响公司相关部门经营管理工作和日常办公无法正常进行。5. 4、网络系统大面积瘫痪5. 4. 1 网络系统大面积瘫痪辨识( 1) 意外断电引起的核心交换机、防火墙损坏或故障导致网络系统大面 积瘫痪。( 2 ) 通信线路中断引起的网

11、络系统大面积瘫痪( 3 ) 服务器损坏或故障引起的大面积无法登录互联网。5. 4. 2 网络系统大面积瘫痪风险评估1、网络系统大面积瘫痪可能导致公司与生产矿井之间的信息传输中断， 管理部门失去对矿井生产的安全监管，安全生产无法正常进行。2、网络系统大面积瘫痪可能导致公司日常办公无法正常进行。5. 5、高空作业辨识及评估5. 5. 1 高空作业辨识( 1) 日常高空维修可能造成人身伤害。( 2 ) 工程高空施工可能造成人身伤害。5.5. 2 高空作业风险评估日常高空维修网络设备、打扫卫生和高空施工可能造成工作人员人身伤害和精神伤害， 影响公司安全生产稳步发展。六、安全风险应急预案及措施根据各单位

12、存在的主要风险源和风险评估，保障安全生产工作有序进行， 制定本预案及措施。6.1 火灾应急预 案及处置 措施6. 1. 1 应急预案( 1 ) 发生特大火灾时（包括机房、UPS、 库 房 ） ， 值 班人员应立即逃离火灾范围，启动对应的火灾应急预案和响应级别，拉响警报，向公司总调度室、本单位负责人、单位安监部门汇报，在确 保人身安全的情况下， 组织人员利用灭火器进行灭火； 如果火势过大， 人员无法靠近时，应 立即拨打火警119, 求助消防部门进行灭火。( 2) 发生重大火灾时（包括机房局部、UPS 控制器、库房局部），值班人员应立即逃离火灾范围，启 动对应的火灾应急预案， 拉响警报， 向公司调

13、度室和本单位安监部门汇报， 在 确保 人身安全的情况下， 组织人员利用灭火器进行灭火， 力争将财产损失降到最低。( 3 ) 发生较大火灾时（包括消防通道、办公室）值班人员应启动对应的火灾应急预案，向公司总调度室及本单位安监部门汇报，在确保人身安全的情况下， 组织人员利用灭火器进行灭火， 避免或降低财产损失。6. 1. 2 处置措施( 1) 火灾发生时，值班和工作人员应立即脱离火灾范围，确保人身安全。( 2) 根据火灾大小确定火灾风险等级，并启动相应的响应等级。( 3 ) 根据火灾风险等级向公司总调度室及本单位安监部门汇报火灾悄况。( 4 ) 火 势过大无法控制时， 应立即拨打火警 119 进行

14、求助。( 5 ) 在确保人身安全的情况下， 组织人员利用灭火器进行灭火，避 免火灾扩大，降 低财产 损失。( 6 ) 尽最大可能搜集火灾发生的相关信息，做 好记录， 为事故处理提供依据。( 7 ) 每月针对火灾诱发根源进行彻底检查（如易燃物品不能堆放、库房 物品分类并整齐摆放等）， 预防火灾的发生。6. 2、意外断电应急预案及处置措施6.2. 1 应急预案发生自然灾害和短路引起的意外断电时，值 班人员在确保人身安全的情况下，根 据风险等级启动相应的响应等级，向本单位安监部门进行汇报， 邀请电力维修人员进行断电故障排查， 并组织技术人员对机房核心交换机、防火墙、汇聚交换机、数据库服务器、数据备份

15、服务器、软件服务器、软件系统、烟雾报警、UPS温度监控、机房温度监控系统进行隐患排查，发现设备故障和数据丢失， 应当进行及时处理和上报。6. 2. 2 处置措施( 1) 发生意外断电时，在确 保人身安全的情况下， 值班 人员应启动相应的响应等级。( 2) 向本单位安监部门进行汇报。( 3 ) 必须请专业电力维修人员进行故障排查与维修。( 4 ) 搜集意外断电发生的信息并作好记录， 为事故处理提供依据。6. 3、重要数据丢失应急预案及处置措施6. 3. 1 应急预案( 1) 因意外断电引起重要数据丢失时， 值班人员应根据风险等级启动相应的响应等级，向 公司总调度室和安监部门进行汇报， 邀请专业电

16、力维修人员进行故障排查， 恢复供电正常， 排查机房设备及数据悄况， 发现设备故障和数据丢失， 立即组织相关技术人员进行恢复。( 2 ) 因服务器故障引起数据丢失时，值班 人员应根据风险等级启动相应的响应等级， 向公司总调度室和安监部门进行汇报， 并组织技术人员进行服务器维修和数据恢复， 如果服务器和数据无法维修和恢复时， 应 向本 单位负责人汇报并外请专业人员进行维修， 确保 设备和数据安全。( 3 ) 因数据库无法启动引起的数据丢失，值班 人员应根据风险等级启动相应的响应等级，向公 司总调度室和安监部门进行汇报，并组织技术人员进行数据恢复， 如果数据无法恢复，应 向本单位负责人汇报并外请专业

17、人员进行数据恢复， 确保 设数据安全。6. 3. 2 处置措施( 1) 发生数据丢失时，值班 人员应根据风险等级启动相应相应等级。( 2 ) 值班人员向公司总调度室和本单位安监部门汇报。( 3 ) 组织技术人员对数据进行恢复。( 4 ) 本单位技术人员无法恢复丢失数据时，应向本单位负责人汇报并外请专业人员进行数据恢复， 确保 数据安全。( 5 ) 做好数据丢失与恢复过程的记录。6. 4、高空作业应急预案及处置措施6. 4. 1 应急预案( 1) 在高空维修过程中发生人员坠落风险时， 如果坠落人员处于清醒状态， 应立即拨打 120 送往医院进行急救； 如果坠落人员处千昏迷状态， 其他维修人员应当

18、立即进行简单的急救（如将人平躺在地上， 进行按压胸部、抬人中、人工呼吸等）， 同时 拨打 120 急救电话送往医院进行抢救， 并向公司总调度室、本单位负责人及安监部门汇报。( 2 ) 在高空施工过程中发生人员坠落风险时， 如果坠落人员处于清醒状态， 应立即拨打 120 送往医院进行急救； 如果坠落人员处千昏迷状态， 其他维修人员应当立即进行简单的急救（如将人平躺在地上， 进行按压胸部、抬人中、人工呼吸等）， 同时 拨打 120 急救电话送往医院进行抢救， 并向公司总调度室、本单位负责人及安监部门汇报。6. 4. 2 处置措施( 1) 日常高空维修必须在确保人身安全的悄况下进行 ，否 则， 不能进行维修作业。( 2) 在日常工作中设计到高空维修，维 修人员一定要 2 人或 2 人以上进行维修。否则， 维修人员可以拒绝维修工作。( 2) 高空维修人员必须佩带安全绳索， 并采用安全梯子进行高空作业。否则， 不能进行高空维修作业。( 3 ) 事故发生后要对事故的经过进行详细记录， 为事故处理提供依据。