信息化标准和管理制度

1、精品文档 你我共享知识改变命运6 6 信息安全层6.16.1 机房安全管理办法第一章 总则 计算机机房作为计算机设备、网络基础设施的汇集地，是信息安全重要的区域。计算 机机房的安全是企业信息安全的基础。为了确保机房的安全， 保证机房内设备 （包括主机服务器、 存储设备、 网络设备、 UPSUPS、 空调等）的安全运转，使得机房内的信息资产免受物理环境（比如温度、湿度等）的影响， 也使得机房内的信息设备或信息资产免受非法或未经授权的访问、窃取或破坏， 制定本办法。本办法适用于国家开发投资公司（以下简称“公司” ）信息化管理不对总部中心机房及 亦庄容灾中心的安全管理。各投资公司企业可参照制定自身的

2、机房安全管理办法。第二章 出入机房管理 第一条 机房是公司生产和安全消防重地， 必须安全门禁系统。 未经许可， 任何人员不得进 入。第二条 进入机房人员不得携带任何易燃、易爆、腐蚀性、强电磁、辐射性、流体物质等对 设备正常运转构成威胁的物品。第三条 需要机房门禁卡的信息化管理部员工须填写机房门禁卡申请表 （附件一）、机房 门禁卡仅限本人使用，不得转接他人，如有遗失，立即上报。持有门禁卡人员如需 延长期限，应在到期前及时提出申请。第四条 其他部门和外单位人员因工作需要进入机房时， 要先填写 出入机房申请表 （附件 二），经信息化管理部门负责人批准后并在信息化管理部人员陪同下才能进入机房。第五条

3、任何进入机房的无门禁人员，都要填写出入机房登记表 （附件三），登记随身携 带的物品，经机房管理员认真检查并核对出入机房申请表后，在信息化管理部 有关人员的陪同下进入机房相应区域。第六条 进入机房人员要自觉遵守机房内各项管理规定，保持机房内安静、整洁、工作完毕 后及时离开。第七条 信息化管理部负责人指定专人每月对出入机房登记表 、出入机房申请表 、机 房门禁卡申请表和门禁系统日志进行审阅，确保所有访问机房的人员均已通过授 权。第三章 机房设备管理第八条 机房管理员要对机房内设备做好标识和登记，记录设备的型号、配置、位置、状态 等信息，以便跟踪设备变化。第九条 机房管理员对机房设备的操作必须严格按

4、照操作规程进行。第十条 未经许可，任何人不得对机房设备进行操作。第十一条 机房设备必须经过信息化管理部负责人的书面审批才能被移进或移出。第十二条 信息化管理部制定机房内供电系统、 消防系统、 监控系统、 空调系统等设备的 维护保养计划，机房管理员必须按此计划进行检查和维护。第十三条 对机房内设备的维护和定期维护保养，机房管理员要做好详细记录。第十四条 机房内所有设备应该符合公司有关标准化定制管理要求。第四章 值班管理第十五条 信息化管理部根据实际情况，安排机房管理员对机房实行值班或者巡检。第十六条 机房管理员每天检查机房设备的运行状态， 并填写机房运行日志（附件四）， 如果发现问题，及时汇报处

5、理。第十七条 对外来人员的操作，机房管理员都要在机房运行日志中记录。第十八条 维护部门负责人每周审阅机房运行日志 ，确保所有机房操作已通过相应的授权和审批。 第五章机房消防、安全管理第十九条机房内要保持设备正常运行所必须的温度、湿度等环境要求，对运行环境可能出现的不利因素进行检测并预警。这些要求包括但不局限于如下内容：精品文档 你我共享知识改变命运（一） 安装2424小时不间断空调系统，使机房内保持一定的温度和相对湿度；（二） 安装温度和湿度显示装置；（三） 安装厌恶感应探测器和湿度感应探测器；（四） 安装火灾报警和自动灭火系统；（五） 配备手动灭火器。第二十条机房管理员应明确机房消防器材的存

6、放位置并熟悉使用方法，积极协助当地消防部门进行消防年检工作，按照国家标准进行消防器材的维护和更换。第二十一条 机房管理员必须熟悉总电源、设备电源、照明用电等开关的位置，熟练掌握发生危险情况时切断电源的方法和步骤。第二十二条 严禁在消防通道内堆放杂物，保持消防通道畅通，确保设备及工作人员安全。第二十三条机房内应配备不间断电源系统（UPSUPS）, ,确保有足够的后备电力支持系统的紧急 操作。每年对UPSUPS进行检修和维护，以确保其正常有效运行。第六章附则第二十四条本办法由集团信息化管理部附则解释和修订。第二十五条 本办法自颁布之日起实行。原国家开发投资公司机房管理规定同时废止。附件一 机房门禁

7、卡申请表机房门禁卡申请表编号:申请人姓名部门处室名称有效期限年 月 弓日一一年 月曰申请人签字日期信息化管理部 负责人签字日期备注精品文档 你我共享知识改变命运附件二出入机房申请表出入机房申请表申请日期：编号:单位姓名联系方式事由携带物品陪同人员日期计划进入时间计划离开时间信息化管理部 负责人签字日期备注附件三出入机房登记表出入机房登记表日期单位姓名联系方式事由携带物品进入 时间 离开 时间管理员 签字备注审核人:精品文档 你我共享知识改变命运附件四 机房运行日志机房运行日志-年月日 -时监控内容运行情况（良好/ /故障）监控内容运行情况（良好/ /故障）小型机防火墙主交换机域服务器磁带库备份

8、系统MailMail服务器路由器DNSDNS服务器漏水检测WWWWWW服务器配电柜及UPSUPS空调门窗和门禁系统消防设备故障描述故障处理外来人员操作记录备注记录入： - 审核人：-备注：11根据实际监控需要，可按上述格式添加机房设备；2在运行情况栏里填写良好或故障，有故障的设备在故障描述栏里分别填写，在故障处理栏里分别填写报 修时间及处理结果。精品文档 你我共享知识改变命运6.26.2 计算机类设备接入网络管理标准 第一章 总则 为对国家开发投资公司（一下简称“公司” ）互联网接入及互联网用户进行规范管理， 经济、合理地利用互联网连接宽带， 有序、 高效地使用互联网信息资源， 为集团公司的生

9、产、 经营、管理和决策服务，制定本标准。本标准使用于国投集团总部及成员企业计算机的网络接入。第二章 因特网接入及安全管理第一条 因特网接入是指接入公司计算机网络的总部职能部门、 子公司投资企业经审批通过 当地因特网服务提供单位（ISPISP）接入因特网。第二条 公司总部和所属各子公司接入因特网要严格按照中华人民共和国计算机信息网 络国际联网管理暂行规定等有关法规，办理相关手续。第三条 通过当地 ISPISP 接入因特网的企业，接入方案、安全措施及管理措施报总部信息化 管理部服务保障处（以下简称“服务保障处” ）审核，经批准后方可实施因特网接 入。如未经批准擅自接入因特网的，公司总部信息化管理部

10、将通报该企业管理部 门限期纠正；逾期没有纠正的将断开其与国投集团主干网的连接，并对造成损失 和不良影响者追究相关责任。第四条 通过当地 ISPISP 接入因特网使用的域名和 IPIP 地址，须报信息化管理部服务保障部备 案。第五条 所属投资企业网络接入因特网的部分和住宅小区网络，必须采取技术措施与企业 内部网实现隔离。隔离技术措施须报服务保障处审核批准后，方可接入因特网， 以保证企业内部网络的安全和稳定运行，并接受服务保障处的检查。第六条 通过集团总部接入因特网的子公司，须将上网人数、账号名称、服务需求等报服 务保障处审核；批准后由信息化管理部服务保障处进行技术参数配置，实施接入 服务。第七条

11、 各投资企业 ITIT 部门负责信息网络的安全管理，服务保障处负责安全技术措施的实 施与相关服务。第三章 因特网资源使用管理第八条 因特网资源指连接因特网的信道和因特网所有可合法浏览、使用的资源。第九条 接入因特网的企业应采取建立代理服务器 / / 缓存服务器等技术措施，提高因特网资 源的利用率，减轻网络拥塞，提高信息获取速度。第十条 各成员企业网络运行部门负责对代理服务器 / / 缓存服务器的管理和维护，保证代理 服务器/ /缓存服务器每天 2424 小时正常运行。第十一条 I I T T 部门可根据实际情况将因特网访问分为“优先使用，分时使用，限时使用，限 户使用”等类型，制定相关规定，落

12、实技术措施，达到优先、有序、有效使用因 特网的目的。第十二条 采 取提高优先级别、放宽时间限制的技术措施，优先保证高级管理人员以及业务 与因特网关系密切的业务人员使用因特网。第十三条 对 一般需求的人员，根据工作需要和信道负荷情况，可采取分时使用、限时使用 等技术措施。超限时要显示说明信息，引导用户按规定使用因特网。第十四条 I I T T 部门要认真核算成本，合理收取费用，用经济手段加强和规范对用户使用因特 网的管理第十五条 各 ITIT 部门要配置因特网用户管理系统，包括因特网用户的身份认证、审计、计费 系统，要对用户进行有效管理。第四章 因特网用户管理第十六条 申请成为因特网用户必须经本

13、企业 ITIT 部门审核批准。第十七条 因 特网用户要严格遵守国家有关法律、法规和集团公司有关规定，严格执行国家 和集团公司安全保密制度。对违反规定和制度的企业和个人，有关部门有权中止 其对因特网的访问，并追究相关责任。第十八条 因 特网用户所在单位网络运行部门负责保留和管理用户的访问记录，以备计费和 相关部门查用。第五章 附则第十九条 本标准由集团信息化管理部负责解释和修订。精品文档 你我共享知识改变命运第二十条 本标准自颁布之日起实行。6.36.3 防火墙管理办法第一章 总则 为加强国家开发投资公司（以下简称“公司” ）计算机防病毒系统的建设和管理工作， 确保计算机、服务器、网络的正常运行

14、，特制定本办法。计算机防病毒的范围包括公司总部、 子公司与投资企业的计算机网络、 服务器、 台式计 算机、笔记本电脑等。系统管理实行统一协调、分级管理、分工负责的原则。第二章 计算机防病毒管理第一条 必须配备计算机防病毒管理员，负责本企业计算机病毒的防护工作。第二条 必须设置防病毒服务器， 安装防病毒软件， 并建立防病毒网站， 提供防病毒工具和 补丁软件下载服务。第三条 服务器、 台式计算机、 笔记本电脑等必须安装防病毒软件并及时更新病毒定义码和 系统补丁程序，没有安装防病毒软件的计算机不得连接到国投集团网络中。第四条 各投资企业应对本企业上连总部广域网的路由器端口进行限制， 防止本企业的计算

15、 机病毒进入公司广域网。第五条 须关闭访问互联网的出口设备所有不使用的端口，以防止病毒和黑客攻击公司网 络，确保网络安全。第六条 计算机防病毒管理员负责防病毒网站的内容更新与维护， 及时浏览总部的防病毒网 站，了解病毒最新动态，获取最新病毒定义码和补丁程序，并在本企业发布。第七条 计算机防病毒管理员负责大规模计算机病毒爆发时应急处理。 在病毒爆发程度严重 时，应及时中断病毒源的网络连接， 以避免病毒蔓延；待病毒处理完毕后， 再恢复 其网络连接。第八条 计算机防病毒管理员负责每三个月进行一次防病毒系统巡检， 在每季度的第一周内 完成防病毒总结报告，并报总部信息化管理部。第三章 突发计算机病毒的处

16、理第九条 在计算机病毒爆发期间，计算机防病毒管理员应及时通知总部计算机防病毒管理员，并按计算机病毒应急响应及处理机制进行处理。第四章 附则第十条 本办法由集团信息化管理部负责解释和修订。第十一条本法自颁布之日起实行。6.46.4 操作系统安全管理办法第一章 总则操作系统是用来管理计算机软件、 硬件资源， 协调计算机工作并为用户提供使用和编程 接口的一组程序。 应用软件一般建立在操作系统提供的系统软件平台之上， 因此稳定可靠的 操作系统是应用软件平稳运行和信息系统安全、 保密的基础。 尤其在网络环境中， 操作系统 的安全性是信息系统安全性的决定性因素之一。本办法所指操作系统指服务器的操作系统，包

17、括UNIXUNIX 和 WindowsWindows。本办法适用于国家开发投资公司（以下简称“公司” ）信息化管理部对公司操作系统的 安全管理。成员企业可参照制定自身的操作系统管理办法。第二章 操作系统安全的一般性原则第一条 禁用不必要的服务， 尽量将系统中不用的服务、 尤其是一些暂时不用的网络服务关 闭，从而使系统遭受攻击的可能性降至最低。第二条 对等认证原则（ TrustedTrusted PathPath ），对等认证原则是指某一实体（程序、用户等）直 接和系统上的另一实体在通讯前相互认证的过程。第三条 最小权限原则， 最小权限原则是指系统只能授予应用程序和用户必要的权限， 而不 能授予

18、额外的权限。精品文档 你我共享知识改变命运第四条 强制式文档权限控制原则（ Non-DiscretionaryNon-Discretionary ProtectionProtection） , , 大多数操作系统都提供了自主访问控制， 建议对重要的文档的权限控制集中管理， 由专门的安全管理 人员负责这些文档的权限授予。第五条 通过补丁增强系统安全， 补丁程序是弥补系统弱点 （vulnerabilityvulnerability ）的最佳途径。 第六条 在计算机上安装软件防火墙系统， 根据需要在重要服务器和重要个人电脑 （包括笔 记本电脑）中安装软件防火墙系统。 目前大多数的防病毒软件具有类似的

19、安全功能。 其他的手段还包括安装防病毒软件、入侵检测软件和漏洞扫描工具。第七条 对于重要的数据进行加密。第八条 安全性能评估，对于安全产品应选用经过国内、国外权威第三方认证的安全产品， 如通过CCCC或TCSESTCSES所规定的B B级标准的操作系统。第九条 系统管理员应随时保持警惕以预防攻击事件的发生或者将攻击的危害降至最低。第三章 操作系统访问控制要求第十条 用户或者应用程序访问系统资源时要求操作系统管理员通过设置必要的选项完成 以下功能：（一）提供适当的身份验证方法。如果使用了口令管理系统，应确保使用高质 量的口令。（二）识别和验证身份。如果需要，还要验证每个合法用户的终端或位置。（三

20、）记录成功和失败的系统访问（日志信息） 。（四）根据情况限制用户连接时间。第十一条用户终端自动识别功能（一）通过终端访问操作系统时应使用终端自动识别功能来验证与其连接的终 端位置和连接类型。如果绘画必须从某一位置或计算机终端开始，则应 尽量使用终端自动识别技术。（二）终端内部附带的标识可说明是否允许该终端开始或接受某些具体事务， 应尽量对终端进行物理保护，维护终端标识的安全。第十二条登录程序应最大限度地减少公开的信息，以避免非法用户使用。登录程序应：（一）在登录过程未成功之前禁止显示系统或应用的标识。（二）显示一般性注意事项。提醒用户只有合法用户才能访问计算机。（三）登录期间禁止提供帮助消息。

21、（四）只有所有输入数据完成后才能验证登录信息。出差时，系统不应说明哪 部分数据正确，哪部分数据错误。（五）应限制允许登录的失败次数（宜为 3 3 次）。精品文档 你我共享（六）限制登录程序允许的时间上限和下限。如果超过限制，则系统必须终止 登录过程。（七）成功登录后，宜显示以下信息： 1 1）以前成功登录的日期和时间。 2 2）上 次成功登录以来登录失败的详细情况。第十三条登录超时要求（一）高风险地域（如无法进行安全管理的公共或外部区域）或服务于高风险 新天地终端如果处于不工作状态，则必须在设定的不工作时间后予以关 闭，防止非法用户进行访问。（二）为所有PCPC提供有限的终端超时功能。当系统超

22、时未激活时， 应能够自动锁住系统，防止非法访问，但不宜关闭应用或网络会话。（三）超时的时间设置取决于连接系统的重要程度、终端风险暴露程度以及终 端上信息的业务价值。第四章 用户账号安全第十四条用户身份识别和验证（一）信息系统所有用户都应拥有个人专用的唯一标识符（用户IDID ）以便操作能够追溯到具体责任人。但是在认证和授权体系没有建立之前，特定操 作系统内所有的用户必须有一个唯一的IDID，并且该IDID名称不能让人猜测到该用户的权限级别，如管理员、主管等。（二）对于每一个申请使用系统的用户，应要求填写账号申请表，并在表格中 包含公司的密码安全政策规范，明确违反该规范的后果和责任，同时要 求用

23、户签名以产生法律效力。（三）对于用户身份的验证，宜采用多种身份验证程序来加以证实。口令是一 种很常见的身份识别和验证方法。采用加密方法和身份验证协议也可达 到同样的效果。也可使用用户的内存标记或智能卡等进行身份识别和验 证。也可使用基于个人唯一特点或特性的生物统计学身份验证技术来验 证用户身份。将安全技术和安全机制结合起来可进行更为严格的身份验 证。第十五条用户账号过期（一）（二）应设置用户账号的有效日期（例如可设置用户账号的有效期为一年）。当某一个用户账号过期时，系统维修检查确认该用户账号所对应的员工 是否还留在公司，如果不是则将该账号自动删除，否则继续激活该用户（三）账号。如果用户账号过期

24、了但是用户无法联系到（例如正在度假） ，可先将其用户账号锁住，等用户回来以后按需要激活。第十六条 GuestGuest 账号（一）（二）应禁止长期保留 GuestGuest 账号 当系统安装完成后必须视情况删除GuestGuest 账号，当用户确实需要 GuestGuest账号进行临时的访问时，才可将GuestGuest 账号激活。（三）应确保 GuestGuest 账号的口令安全。第十七条所有操作系统应禁止使用无口令的用户账号。第十八条除非有特殊的要求，不应有多个用户共享一个用户 IDID 和口令，而应使用用户组的 概念来代替。第十九条用户账号安全其它事项（一）系统管理员应具备有两个账号，一

25、个作为系统的常规用户，执行阅读文知识改变命运精品文档 你我共享档，收发电子邮件等常规性操作，另一个用作管理，即真正具有管理员 效力的用户账号。（二）用户账号重命名，也就是对默认的账号重命名。包括administratoradministrator 、GuestGuest以及其它一些在安装统计时（如ISSISS）自动建立的账号。（三）建立伪管理员账号， 如在系统中建立用户名为 “administratoradministrator”的用户，并设定一个难以推测的口令，但是不赋予其真正的管理员权限。第五章 用户口令安全第二十条口令选择： 口令选择的目标在于使密码易记难猜。 即对于口令的主人而言密码非

26、常 容易记住，但对于攻击者而言，却很难通过密码主人的特征、习惯等来推测密码。 用户在选择密码时应遵循如下原则（一）禁止使用登录账号或者登录账号的任何变形（例如大写、反序等）作为 口令。（二）口令不应包含任何个人信息，例如名字、生日、 电话号码、 身份证号码、门牌号等。（三）（四）（五）（六）（七）（八） 第二十一条禁止使用全部是数字或者字母的口令。 不应使用常规单词，例如英文辞典中查得到的单词。 口令长度必须大于 6 6 各字符。 必须同时包含大小写字母。 口令中必须包含非字母字符，例如数字和标点。 宜使用一个很快输入的口令。 口令政策： 口令安全除了要求用户选择安全性高的口令外，还需要有一系

27、列的口令政策保证口令的安全，这主要包括：（一）所有操作系统中的口令，用户只能记在心里，不应以任何形式出现在纸 面上，也不应出现在计算机文档中。（二）（三）（四）（五）不应将口令给其他人。 口令必须定期更新，系统宜自动提示用户定期更换口令。 应使用个人口令，明确责任。根据情况可让用户更改自己的口令，还可让用户采用一种确认程序，允 许出现输入错误。（六）（七）（八） 第二十二条用户首次登录时要求用户必须更改临时口令。 应记录用户以前的口令记录（如过去1212 个月的记录）防止重复使用。安装软件后更改默认的供应商口令。系统管理员应定期对口令安全进行检查，以保证安全政策的落实。 系统管理员可使用口令破

28、解程序定期对用户口令进行检查，如果这些工具能够破解用户口令， 则必须责令用户修改口令。第二十三条（一）（二）（三）口令的其他事项输入时屏幕上不显示口令。 口令文件和应用系统数据应分开存储。 利用单向加密算法以加密方式存储口令。第六章 操作系统网络安全第二十四条操作系统的网络安全主要是指操作系统本身提供的网络服务的安全性，例如电子邮件服务、WebWeb服务、FtpFtp服务、命名服务以及网络功能设置的安全如网络协议等。第七章 文件系统安全知识改变命运精品文档 你我共享知识改变命运第二十五条 文件系统的安全是指系统中所有文件的安全， 包括所有操作系统管理的设备资 源的安全问题， 例如打印机。 文件

29、系统的安全是系统安全的最后防线， 主要通过两 种方式实现文件系统安全。（一）通过文件系统权限控制文件被恶意地址访问或者在任何未经适当授权的情况下被访问。（二）通过对文件进行适当地加密实现。第八章 系统监控第二十六条 确定哪些内容是系统监控的对象。 系统监控的对象一般包括对系统的任何未经 授权的访问以及操作系统本身是否存在安全漏洞等两个方面。第二十七条 对于系统监控的记录即日志应做的分析。 操作系统需要监控的对象主要分为用 户账号安全、 网络安全和文件系统安全三个方面。 对用户账号安全进行定期的盘查 主要用于发现两个问题： 不应出现的访问； 用户登录以后是否执行了不应执行的命 令。网络安全监控非

30、常困难但又非常重要， 因为对于系统的攻击大部分是从网络上 发起的。文件系统安全的监控主要在于确定是否存在对于文件系统的非法访问以及 监控文件备份政策和规范是否得到了切实的执行。第二十八条 管理员在平时使用一些常见的命令和工具随时了解系统的运行状况； 操作系统 的风险可降低但是不能完全消除，因此需要管理员时刻保持警惕。第九章 附则第二十九条 本办法由集团信息化管理部负责解释和修订。 第三十条本办法自颁布之日起实行。6.56.5 防病毒管理办法第一章 总则 为加强国家开发投资公司（以下简称“公司” ）计算机防病毒系统的建设和管理工作， 确保计算机、服务器、网络的正常运行，特制定本办法。计算机防病毒

31、的范围包括公司总部、 子公司与投资企业的计算机网络、 服务器、 台式计 算机、笔记本电脑等。系统管理实行统一协调、分级管理、分工负责的原则。第二章 计算机防病毒管理第一条 必须配备计算机防病毒管理员， 第一条 必须配备计算机防病毒管理员， 负责本企 业计算机病毒的防护工作。第二条 必须设置防病毒服务器， 安装防病毒软件， 并建立防病毒网站， 提供防病毒工具和 补丁软件下载服务。第三条 服务器、台式计算机、笔记本电脑等必须安装防病毒软件并及时更新病毒定义码和 系统补丁程序，没有安装防病毒软件的计算机不得连接到国投集团网络中。第四条 各投资企业应对本企业上连总部广域网的路由器端口进行限制，防止本企

32、业的计算 机病毒进入公司广域网。第五条 须关闭访问互联网的出口设备所有不使用的端口， 以防止病毒和黑客攻击公司网络， 确保网络安全。第六条 计算机防病毒管理员负责防病毒网站的内容更新与维护，及时浏览总部的防病毒网 站，了解病毒最新动态，获取最新病毒定义码和补丁程序，并在本企业发布。第七条 计算机防病毒管理员负责大规模计算机病毒爆发时应急处理。在病毒爆发程度严重 时，应及时中断病毒源的网络连接，以避免病毒蔓延；待病毒处理完毕后，再恢复 其网络连接。第八条 计算机防病毒管理员负责每三个月进行一次防病毒系统巡检，在每季度的第一周内 完成防病毒总结报告，并报总部信息化管理部。第三章 突发计算机病毒的处

33、理第九条 在计算机病毒爆发期间， 计算机防病毒管理员应及时通知总部计算机防病毒管理员， 并按计算机病毒应急响应及处理机制进行处理。第四章 附则精品文档 你我共享知识改变命运第十条 本办法由集团信息化管理部负责解释和修订。第十一条 本法自颁布之日起实行。6.66.6 账号与权限管理办法第一章 总则作为公司大型的应用系统，系统安全问题需要考虑很多因素，信息安全是其中的重点。为了保证国家开发投资公司（以下简称“公司” ）信息安全，防止非授权用户访问系统资源， 有效地管理用户的权限，特制定本管理办法。本办法适用于公司各应用系统账号及权限的管理。 成员企业可参照制定自身应用系统的 账户与权限管理办法。第

34、二章 系统权限的划分第一条 公司各类应用系统在公司内部局域网内运行。系统的权限分为三级。第二条 一级权限内容属于公司机密，为最高权限等级，其核心机密内容是公司财务系统、 预算管理系统、 人力资源系统、 报表平台系统、重要的文件或会议纪要，该系统严 格控制授权人，不对外开放，采取一级授权。第三条 二级授权系统内容属于公司对外不公开的内部行政事宜和相关业务管理系统， 包括 除人力资源系统外， 一级授权所具有的内容， 该系统保密，不对外开放，相对控制 授权人数，采取二级 。第四条 三级内容属于公司内部可以公开的信息，主要包括企业内部对全体职工下发的文 件、资料。例如：宣传资料，公共信息、每日经济新闻信息等交流和参阅的资料。 这些信息原来就是针对企业内部职工发放的； 还包括在公共媒体上已经公布的信息 内容以及可以在网上查询的有关资料； 该系统是属于内部公开的系统， 采取三级授 权。第三章 用户账号的建立和变更第五条 新员工入职