2026年橡胶制品公司HR系统数据安全管理制度

2026年橡胶制品公司HR系统数据安全管理制度第一章总则第一条为保障公司HR系统数据安全，规范数据采集、存储、使用、传输、销毁等全流程管理，保护员工个人信息及公司人力资源核心数据安全，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等相关法律法规，结合公司橡胶制品生产经营及人力资源管理实际，制定本制度。第二条本制度所指HR系统数据，包括员工基本信息（身份证号、联系方式、家庭住址等）、薪酬福利数据、考勤考核数据、劳动合同信息、培训发展记录、轮岗晋升档案等所有存储于公司HR系统的人力资源相关数据；HR系统涵盖公司人力资源管理所使用的软硬件系统及配套存储设备。第三条本制度适用于公司所有访问、操作、管理HR系统的人员，包括人力资源部全体员工、各部门HR数据提报人员、IT部门系统维护人员、公司管理层及其他经授权访问HR系统的人员。第四条HR系统数据安全管理遵循“分类分级、最小权限、全程管控、责任到人”的原则，确保数据采集合法、存储安全、使用合规、销毁彻底，防止数据泄露、篡改、丢失等安全事件发生。第五条公司成立HR系统数据安全管理小组，由人力资源部负责人担任组长，IT部门负责人、法务部门负责人、行政部负责人为成员，负责数据安全制度落地、安全事件处置、权限审批监督等工作，小组办公室设在人力资源部。第二章职责分工第六条数据安全管理小组职责：（一）制定HR系统数据分类分级标准，明确核心数据、敏感数据、普通数据的管控要求，报公司管理层审批后执行；（二）每季度开展HR系统数据安全自查，排查权限管理、数据存储、访问日志等方面的安全隐患，形成自查报告并督促整改；（三）受理数据安全事件举报，组织开展安全事件调查与处置，制定整改措施并跟踪落实；（四）定期评估制度执行效果，根据法律法规更新、系统升级情况优化数据安全管控要求。第七条人力资源部职责：（一）负责HR系统数据的采集、录入、更新，确保数据真实、准确、完整，采集员工个人信息前需告知员工采集目的、使用范围并取得员工同意；（二）制定HR系统权限申请与审批流程，严格控制系统访问权限，及时回收离职、调岗人员的系统访问权限；（三）建立HR系统操作台账，记录数据录入、查询、修改、导出等操作行为，台账保存期限不少于3年；（四）组织开展部门员工数据安全培训，提升员工数据保护意识，规范数据操作行为。第八条IT部门职责：（一）负责HR系统软硬件的日常维护与安全加固，安装防病毒、防火墙等安全防护设备，定期更新系统补丁，防止系统被非法入侵；（二）设置HR系统访问日志，记录所有用户的登录时间、IP地址、操作行为等信息，日志保存期限不少于6个月；（三）制定HR系统数据备份方案，定期开展全量备份和增量备份，备份数据存储于独立安全设备，且定期验证备份数据的可恢复性；（四）配合数据安全管理小组处置数据安全事件，及时采取技术手段阻断风险、恢复数据。第九条各部门职责：（一）指定专人负责本部门HR数据提报工作，提报数据前核实信息准确性，严禁提报虚假、错误数据；（二）加强本部门授权访问HR系统人员的管理，严禁转借账号密码、越权查询数据；（三）发现HR数据泄露、异常访问等情况时，立即向数据安全管理小组报告，配合开展调查工作。第十条系统访问人员职责：（一）妥善保管HR系统账号密码，定期更换密码（至少每3个月一次），密码需包含字母、数字、特殊符号，长度不少于8位；（二）仅在工作必要时访问HR系统，仅查询与本职工作相关的数据，严禁下载、复制、转发无关数据；（三）离开工作岗位时及时锁定电脑，退出HR系统，防止他人冒用账号操作；（四）发现系统漏洞、数据异常等安全隐患时，立即向人力资源部或IT部门报告，不得隐瞒或擅自处理。第三章数据分类分级与访问控制第十一条数据分类分级：（一）核心数据：员工身份证号、银行卡号、薪酬明细、社保公积金账户信息等，此类数据仅限人力资源部指定专人访问，且需双人复核操作；（二）敏感数据：员工考勤记录、绩效考核结果、劳动合同原件扫描件、培训档案等，此类数据仅限授权的人力资源部员工及对应部门负责人访问；（三）普通数据：员工姓名、岗位名称、入职时间等公开度较高的基础信息，可授权各部门HR数据提报人员查询。第十二条权限申请与审批：（一）访问HR系统需填写《HR系统权限申请表》，说明访问用途、数据范围、权限类型，经部门负责人审核、人力资源部负责人审批后，由IT部门配置权限；（二）权限配置遵循“最小权限”原则，仅授予完成工作所需的最低权限，不授予无关联的数据访问权限；（三）员工调岗、离职后，人力资源部需在1个工作日内通知IT部门回收其HR系统权限，IT部门需在24小时内完成权限注销。第十三条访问行为管控：（一）严禁使用公共网络、非公司设备访问HR系统，访问系统需通过公司内网或指定的VPN通道；（二）严禁将HR系统账号密码告知他人，严禁多人共用一个账号，发现账号异常登录时立即修改密码并报告IT部门；（三）导出HR系统数据需经人力资源部负责人审批，导出的数据需加密存储，使用后及时删除，严禁通过微信、邮箱等非加密渠道传输。第四章数据存储、传输与销毁第十四条数据存储要求：（一）HR系统数据存储于公司专用服务器，服务器需设置访问密码和物理安全防护，仅限IT部门指定人员操作；（二）核心数据需加密存储，加密密钥由人力资源部负责人和IT部门负责人分别保管，需双人配合方可解密；（三）禁止将HR系统数据存储于个人电脑、U盘、移动硬盘等非专用存储设备，确需临时存储的，需加密且使用后72小时内删除。第十五条数据传输要求：（一）内部传输HR数据需使用公司加密办公系统，外部传输需使用加密邮件或专用传输通道，传输前需验证接收方身份及权限；（二）向外部机构（如社保部门、税务部门）提供员工数据时，需核验机构资质，签订数据保密协议，仅提供必要的最小范围数据。第十六条数据销毁要求：（一）员工离职后，其非归档数据需按规定销毁，归档数据需加密存储至指定档案系统，销毁需填写《HR数据销毁记录表》，经审批后执行；（二）存储介质（硬盘、U盘等）报废前，需对存储的HR数据进行彻底销毁（如物理粉碎、专业数据擦除），防止数据被恢复；（三）数据销毁记录需保存不少于3年，以备核查。第五章应急处置第十七条安全事件分类：（一）一级事件：核心数据大规模泄露、系统被非法入侵篡改、备份数据丢失等严重安全事件；（二）二级事件：敏感数据少量泄露、系统权限被违规使用、数据备份异常等一般安全事件；（三）三级事件：普通数据错误、系统短暂故障、权限配置失误等轻微安全事件。第十八条应急处置流程：（一）发现安全事件后，发现人需立即向数据安全管理小组报告，说明事件类型、影响范围、发生时间等信息；（二）一级事件需在1小时内上报公司管理层，管理小组立即组织IT部门采取技术手段阻断风险（如关闭系统、冻结权限），法务部门评估法律风险；（三）事件处置完成后，管理小组需在3个工作日内出具事件调查报告，分析原因、明确责任、制定整改措施，避免同类事件再次发生。第六章监督追责第十九条日常监督：数据安全管理小组每月抽查HR系统权限配置、操作日志、数据备份情况，每半年开展一次全面的数据安全审计。第二十条责任追究：（一）人力资源部员工违规录入、修改、导出HR数据，导致数据错误或泄露的，扣减绩效奖金，情节严重的调离岗位；（二）IT部门未按要求维护系统、备份数据，导致系统故障或数据丢失的，相关经办人提交书面检讨，扣减绩效奖金；（三）各部门人员越权访问、泄露HR数据的，给予警告处分，造成公司经济损失或法律风险的，依法追究赔偿责任；（四）故意泄露、篡改HR核心数据，触犯法律法规的，移交司法