IT数据安全及权限管理制度-v0.9

IT数据平安及权限管理制度总则目的数据是集团重要的资产。为保证信息的平安性、牢靠性、完整性和有效性，集团制定和实行相应管理制度,进行对信息的爱护，以避开其遭遇外来的威逼和损害，防止未经授权地修改、泄漏和破坏。并为加强信息系统用户账号和权限的规范化管理,确保各信息系统平安、有序、稳定运行，防范应用风险。运用范围本制度适用于集团内全部员工，全部员工应明确本制度,支持本制度,并自觉遵守。信息平安,人人有责职责本制度将作为监察员工遵守状况及复查的基本原则。违反本制度者经查实将由集团管理部门进行处理,可视其轻重处以纪律处分或解职。信息管理部负责指导及协调本制度的实施，依据集团实际业务发展状况，信息管理部将在获得集团领导同意后酌情修正本制度，以使其符合集团的实际状况。信息管理部负责本制度的说明及修正数据平安管理规定（一）保密制度1．运用范围 适用于集团在生产、研发、行政管理中形成的文件（如：合同、图纸、技术报告、企业标准、管理制度、图片、程序、数模、人事档案、财务报告等）及模型、样机、样件等。2．保密要求2.1新员工进入集团后，由人力资源部组织进行《保密制度》学习培训，并签订《学问产权及保密协议》。2.2员工由于项目工作须要，必需将数据携带外出、复印、打印或者经由电子邮件、传真发送，必需由其主管项目经理批准，并登记备案。2.3集团电脑配置实行一机一人，每台电脑必需设置个人密码，任何人不得将个人密码告知他人，否则后果自负。3．奖惩因疏忽或无意泄漏集团数据者,由集团依据情节进行惩罚。（二）集团计算机网络管理方法1．职责/职能1.1综合管理部是计算机系统主管部门，统—管理集团的计算机网络。1.2数据操作员负责集团对外及外来光盘、磁盘、电子邮件等电子文件传递的管理工作。1.3网站管理员负责集团内、外网站服务器的维护管理工作。2．内部平安防范管理2.1集团内各类计算机系统用户，严禁运行未经检验和来历不明的软件，严禁在各自的计算机内安装与各自业务无关的软件，严禁安装运行各种嬉戏软件，严禁将计算机系统口令和个人密码告知无关人员，未经许可严禁将计算机交由外部门人员操作。2.2集团各计算机用户应确保各自计算机内的数据资料的平安。未经许可，任何人严禁擅自拷贝集团数据。综合管理部切实做好数据的备份工作。3．防范计算机病毒 3.1集团内各计算机用户应当专人、专管、专用。 3.2集团预防计算机病毒选用的硬件、软件必需是正版产品。3.3对计算机平安运行操作的具体要求：3.3.1谨慎地处理、运用共享软件。3.3.2新安装系统要进行检验。3.3.3外来电脑未经许可不得联入集团网络。3.3.4对软盘、U盘、移动硬盘、光盘实行管理，在运用外来软盘、U盘、移动硬盘、光盘时，应首先检测其平安性。3.3.5决不执行不知来源的程序。3.3.6系统中的数据要定期进行备份。3.3.7禁止在工作场所安装计算机嬉戏，玩计算机嬉戏。3.3.8计算机系统管理员定期检查清除计算机嬉戏。3.3.9亲密留意自用计算机的配置参数(如引导扇区、中断向量表、应用程序长度、执行时间)和运行状况，发觉异样，刚好报告系统管理员，做出推断和处理。3.4确保杀毒软件病毒特征码的刚好更新：由于病毒不断发展变更，要求计算机系统管理员亲密留意所用杀毒软件病毒特征码的更新状况，做到刚好更新。3.5防范病毒制度化：对各计算机系统，尤其是服务器定期扫描杀毒。3.6对新购计算机进行病毒检查，对新购软件系统进行病毒检查，计算机不得外借。3.7互联网防毒的平安措施： 3.7.1不得进入各“黑客”站点访问，不允许在局域网及Internet上运用“黑客”软件，以防不明病毒。3.7.2不得打开不明Email，不得通过Email下载软件，如发生不明状况应刚好向探讨院学问工程及信息技术部报告。 3.7.3严格限制远程访问者的权限及认证，以防不明攻击及感染病毒，特殊限制匿名登陆。4．电子文件传递管理4.1对外拷贝软盘、U盘、移动硬盘、光盘需经相关部门领导批准方可执行。 4.2外来以软盘、光盘为载体的文件进入集团计算机系统前，需照实登记，并进行病毒扫描后方可进入。4.3在集团内部，网上电子文件允许下载，但文件下载后一律视为非受控文件，文件运用者有责任关注此文件的最新版本，以保持此电子文件的现行有效性。4.4集团内部禁止擅自运用各类盗版软件，个人如私自传入盗版软件并运用，由此造成的与学问产权相关的后果将由运用者本人负全责。（三）数据流出管理限制程序规定1．范围适用于全集团电子文档数据的管理和备份归档的数据。2．职能/职责2.1数据流出的申请人负责填写和完成审批，申请单参见附件1，《数据流出申请表》。2.2集团负责审批的人员负责审批各类需流通数据，并负责必要的授权。2.3综合管理部数据管理员负责确认数据的真实性，对符合要求的数据予以执行操作。2.3.1负责刚好组织支配数据的备份及归档。2.3.2负责对各数据予以查毒处理。2.3.3负责完成已审批数据的中转、刻录、备份等。3．流程3.1数据流通3.1.1流出集团数据3.1.1.1申请人填写《数据流通登记审批表》。3.1.1.2学问工程及信息技术部操作员负责按表格审批内容执行操作。3.1.2数据流入、中转3.1.2.1经服务器中转内部的数据，由数据流通员必需见到签字后方可赐予流通。3.1.2.2对须要导入资料或软件的员工，应自觉留意有关学问产权方面的问题，并不得将与工作无关及私人用途的数据导入集团网络。3.2数据流通审批对于须要发出的数据，项目经理在签字前，应检查该数据是否为须要的数据，有无多余数据，是否遗漏数据，即检查数据的正确性。3.3备份及归档资料管理室负责怪份数据的归档和保存，供应历史数据的查找和利用。权限管理规范范围适用于公司开发和管理的各应用信息系统，包括OA协同办公系统、ERP管理软件、财务软件、企业邮箱及网站系统等。术语和定义用户：被授权运用或负责维护应用信息系统的人员。用户账号：在应用信息系统中设置与保存、用于授予用户合法登陆和运用应用信息系统等权限的用户信息，包括用户名、密码以及用户真实姓名、单位、联系方式等基本信息内容。权限：允许用户操作应用信息系统中某功能点或功能点集合的权力范围。角色：应用信息系统中用于描述用户权限特征的权限类别名称。用户管理3.1用户分类3.1.1系统管理员系统管理员主要负责应用信息系统中的系统参数配置，用户账号开通与维护管理、设定角色与权限关系，维护行政区划和组织机构代码等数据字典，系统日志管理以及数据管理等系统运行维护工作。3.1.2一般用户指由系统管理员在应用信息系统中创建并授权的非系统管理员类用户，拥有在被授权范围内登陆和运用应用信息系统的权限。3.2用户角色与权限关系应用信息系统中对用户操作权限的限制是通过建立一套角色与权限对应关系，对用户账号授予某个角色或多个角色的组合来实现的，一个角色对应肯定的权限（即应用信息系统中允许操作某功能点或功能点集合的权力），一个用户账号可通过被授予多个角色而获得多种操作权限。为实现用户管理规范化和便利系统维护，公司各应用信息系统应遵循统一的角色与权限设置规范，在不同的应用信息系统中设置的角色名称及对应的权限特征，应遵循权限设置规范基本要求。由于不同的应用信息系统在具体的功能点设计和搭配运用上各不相同，因此对角色的设置以及同样的角色在不同应用信息系统中所匹配的具体权限范围可能存在差异，所以每个应用信息系统应分别制定适用于本系统的权限设置规范。3.3用户账号实名制注册管理为保证应用信息系统的运行平安和对用户供应跟踪服务，各应用信息系统用户账号的申请注册实行“实名制”管理方式，即在用户账号申请注册时必需向信息系统管理部门供应用户真实姓名、隶属单位与部门、联系方式等真实信息。用户账号申请与审批4.1账号申请任何一个用户账号的申请与开通均须经过集团统一制定的账号申请与审批备案管理流程，且一个用户在同一个应用信息系统中只能注册和被授予一个用户账号。集团各应用信息系统的用户账号及角色权限的申请开通、注销和密码初始化等账号管理工作均运用集团统一制定的《用户账号申请单》办理。《用户账号申请单》包括三部分填写内容：（1）申请人状况；（2）账号申请状况；（3）受理单位看法。其中（1）申请人状况和（2）账号申请状况两部分由申请人填写；（3）受理部门看法由受理部门填写。用户权限的申请应严格参照各应用信息系统制定的《应用信息系统角色与权限关系比照表》中对不同级别和类型用户的角色权限配置要求执行，不得越级或超范围申请。4.2账号审批和开通各应用信息系统的账号申请一般由该部门的负责人审批，审批同意后提交该系统的系统管理员负责开通账号。对有特殊平安等级爱护要求的应用信息系统以及各应用信息系统中的系统管理员，还需通过受理部门的主管领导审批。原则上应用信息系统主管部门应在收到《用户账号申请单》后才能进行审批和开通账号。特殊状况下，经部门负责人和受理部门主管领导书面同意后，可实行事后审查的方式，先开通账号，但自账号开通日起超过1个月仍未收到《用户账号申请单》的，系统管理员有权对该账号实行短暂停用措施。平安管理5.1账号平安凡须要运用应用信息系统的用户，每人均须依据“实名制”方式申请一个仅限本人运用的用户账号。不同用户的用户账号彼此之间不得随意借用，因某用户账号的操作而造成应用信息系统中数据信息或任何系统功能等方面的变更或后果，均由拥有该用户账号的用户负责。假如某用户因工作调动或其它缘由而不允许接着运用某应用信息系统时,其隶属的原工作单位应督促和确保该用户离职前刚好申请注销相关用户账号；不论原用户是否知晓或同意，均禁止将其原账号转交其他人员接着运用。5.2密码平安设置用户密码是用户登陆应用信息系统时身份合法性认证的重要手段，用户密码的设置应尽量困难化，不易被他人推想，密码长度一般不少于6位，并做到定期更换新密码。密码遗忘时可向系统管理员申请密码初始化修复。若发觉账号密码泄露,用户须马上报告系统管理员刚好实行停用账号措施，并在报告后的24小时内向该信息系统主管部门提交书面报告，说明具体状况，以便系统主管部门帮助核查系统内数据和系统运行状况，实行有效补救措施将危害程度降至最低。档案管理应用信息系统用户账号和角色权限管理工作应建立完善的档案管理制度，以加强用户账号的申请注册、审批以及密码和权限维护等日常工作管理。档案管理工作由系统管理员具体负责，应备案管理的主要档案资料包括：《用户账号申请单》（盖公章原件），《用户账号管理工作登记表》（附表4）及有关报表，《应用信息系统角色与权限关系比照表》，其他与用户账号管理相关的重要文件资料和数据存储介质，有关管理