信息系统管理制度

信息系统管理制度第一章总则第一条为规范公司信息系统全生命周期管理，保障信息系统安全、稳定、高效运行，保护公司数据资产安全，支撑业务持续健康发展，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《信息安全等级保护管理办法》等法律法规及监管要求，结合公司实际运营情况，制定本制度。第二条本制度适用于公司总部及所有全资、控股分子公司，覆盖公司所有自行开发、外购部署、云托管、第三方合作接入的各类信息系统，涵盖信息系统从需求立项、开发测试、上线运行、维护优化到下线废止的全流程管理活动。第三条信息系统管理遵循“谁主管谁负责、谁运营谁负责、谁使用谁负责”的原则，落实全生命周期管控，坚持安全与效率并重，分级分类管理，保障业务合规运行。第四条组织与职责划分：1.信息管理部：为公司信息系统归口管理部门，负责统筹公司信息系统整体规划、管理标准制定、全生命周期管控，组织开展信息系统安全检查、应急演练，牵头数据安全与质量管理，编制年度信息系统建设与运维预算，审核系统立项、上线、下线申请，组织开展信息系统安全等级保护测评，对接行业监管部门，每年至少组织1次全公司范围信息系统全面检查，每半年至少组织1次核心系统应急演练。2.业务使用部门：负责提出本部门信息系统业务需求，参与需求评审、测试验收，提出系统优化迭代需求，负责本部门用户权限申请初审，规范本部门用户系统操作行为，定期梳理本部门业务数据，及时反馈系统运行异常问题，落实本部门数据质量管控责任。3.网络安全部：负责信息系统安全防护体系建设，开展系统漏洞扫描、渗透测试、入侵监测、恶意代码防范，核心系统每季度至少开展1次全面漏洞扫描，非核心系统每半年至少开展1次漏洞扫描，审核信息系统建设安全方案，配合开展安全事件调查处置，定期开展安全审计。4.合规管理部：负责信息系统建设、运营相关合规审查，重点开展涉及个人信息处理、数据对外提供、数据出境等场景的合规审核，参与信息系统重大安全事件的合规评估。5.财务部：负责信息系统建设、运维预算审批与经费保障，监督经费使用合规性。第五条信息系统分级管理：根据系统重要性、业务影响程度、数据敏感程度将公司所有信息系统划分为三级，动态调整：1.一级（核心信息系统）：支撑公司核心主营业务运行，存储或处理10万条以上用户个人敏感信息、公司核心商业秘密，一旦发生故障会造成公司核心业务中断1小时以上、直接经济损失100万元以上，或引发重大监管处罚、品牌舆情的信息系统，包括核心交易系统、客户关系管理系统、核心财务核算系统、生产调度系统等。2.二级（重要信息系统）：支撑公司主要业务或内部管理运行，存储或处理1万条-10万条用户个人敏感信息、公司重要商业秘密，一旦发生故障会造成业务中断4小时以上、直接经济损失10万元以上100万元以下的信息系统，包括部门业务管理系统、人力资源管理系统、OA办公系统等。3.三级（一般信息系统）：支撑公司非核心业务或临时项目运行，不涉及敏感信息和商业秘密，故障不会影响核心业务运行，造成直接经济损失在10万元以下的信息系统，包括内部培训系统、临时项目管理系统、公示系统等。信息系统分级每2年开展一次全面复核调整，发生重大业务调整、数据规模变化的随时调整分级。第二章信息系统立项与开发上线管理第一条需求立项管理：所有信息系统新建、改造升级必须履行立项审批流程，由业务需求部门提交《信息系统建设立项申请》，附正式需求说明书、可行性分析报告、投资估算、初步安全方案，由信息管理部组织业务、安全、合规、财务部门开展联合评审，一级系统立项需提交总经理办公会审批，二级系统立项由分管信息工作副总经理审批，三级系统立项由信息管理部审批，未经立项审批不得启动任何信息系统建设。第二条开发过程管控：1.自主开发：严格遵循公司编码规范、安全开发流程，开发环境、测试环境、生产环境必须物理或逻辑隔离，严禁开发人员直接访问、修改生产环境数据，每完成一个功能模块必须开展单元测试，全功能开发完成后开展集成测试，同步留存完整开发文档、测试文档。2.外购定制开发：由信息管理部牵头组织招标选型，必须审核供应商的资质、安全服务能力，一级系统供应商必须具备等保2.0三级对应建设资质，近3年无重大安全事故违法违规记录，签订合同时必须明确安全责任、数据所有权归属、保密条款、服务响应级别、应急处置责任，严禁将核心数据所有权转移给第三方供应商。3.云服务采购：必须选择具备国家云服务安全资质要求的服务商，一级核心系统不得直接将核心敏感数据存储在公有云，确需使用公有云的必须按规定完成国家网信部门安全审查，签订云服务合同时明确数据安全责任、可用性保障条款，一级系统云服务可用性承诺不得低于99.95%。第三条测试与上线审批：所有信息系统正式上线前必须完成三轮测试，测试合格后方可申请上线：1.功能测试：由业务使用部门完成，核心功能测试覆盖率必须达到100%，所有业务场景全部验证通过，出具功能测试报告。2.性能测试：由信息管理部完成，核心系统必须满足峰值并发1.2倍业务量运行无卡顿，连续压力测试时间不低于24小时，系统响应延迟不超过200ms。3.安全测试：由网络安全部完成，开展渗透测试与漏洞验证，高危漏洞修复率必须达到100%，中危漏洞修复率不低于95%，出具安全测试报告。所有测试合格后，提交《信息系统上线审批表》附全套测试报告，一级系统上线由分管信息副总经理审批，二级、三级系统上线由信息管理部审批，上线后设置7天试运行期，试运行期间核心业务可用性不低于99.9%，无重大功能BUG方可正式投入运行。第三章运行与维护管理第一条分级运维保障：根据信息系统分级落实不同运维保障标准：1.一级核心系统：实行724小时实时监控，专职运维人员在线值守，故障响应时间不超过15分钟，一般故障修复时间不超过1小时，重大故障修复时间不超过4小时。2.二级重要系统：实行712小时监控，故障响应时间不超过1小时，一般故障修复时间不超过4小时，重大故障修复时间不超过8小时。3.三级一般系统：实行工作日58小时监控，故障响应时间不超过4小时，故障修复时间不超过24小时。所有运维操作必须提前提交申请，完整记录操作内容、操作时间、操作人员，一级系统核心配置变更、生产数据修改操作必须提前24小时报信息管理部审批，安排双人复核，操作必须安排在业务低峰期进行，操作前必须完成全量数据备份，所有运行维护操作日志至少留存6个月，核心系统日志留存不少于1年，满足监管审计要求。第二条外包运维管理：确需外包运维的信息系统，必须审核服务商资质与安全能力，签订正式保密协议与安全协议，外包运维人员必须经公司审核备案，发放临时操作权限，所有核心操作必须由公司专职运维人员全程陪同，严禁外包人员单独获取核心敏感数据访问权限，外包人员服务到期或离场必须在1个工作日内回收所有权限，每年开展一次外包服务商安全能力评估，评估不合格的终止外包合作。第三条版本变更管理：系统版本升级、功能调整必须遵循变更管理流程，提前发布变更公告，明确变更时间、影响范围、回滚方案，一级系统变更必须提前3个工作日通知所有相关使用方，变更完成后安排不少于2小时的业务验证时间，变更失败必须在30分钟内启动回滚流程，恢复到变更前状态，一级系统每季度累计正式变更次数不得超过4次，避免频繁变更影响系统稳定性。第四条硬件与环境管理：自建机房部署的信息系统，核心硬件设备必须采用双机热备架构，机房环境控制在温度18-24℃、相对湿度40%-60%，核心系统配备不间断电源（UPS），续航时间不低于4小时，每月开展一次硬件设备巡检，每季度开展一次机房环境指标检测，云部署系统要求服务商每季度提供硬件可用性监测报告，每年不少于一次现场安全核查。第五条漏洞与补丁管理：网络安全部定期推送漏洞预警，高危漏洞必须在72小时内完成修复，中危漏洞必须在7天内完成修复，低危漏洞必须在30天内完成修复，核心系统补丁安装前必须先在测试环境验证72小时，确认无兼容性问题后方可在生产环境安装，避免补丁引发系统故障。第四章用户账号与权限管理第一条账号管理：所有信息系统用户实行“一人一号”实名制管理，严禁共享、共用账号，确因工作需要共用账号的，必须经信息管理部审批，限定使用期限最长不超过3个月，用户离职、调岗必须在1个工作日内停用原系统账号，3个工作日内完成账号注销，账号闲置超过90天自动停用，每年12月开展一次全公司系统账号全面清理，清理长期闲置、过期账号。第二条权限管理：遵循“最小必要、最小授权”原则，按岗位职责配置系统权限，一级核心系统超级管理员账号数量不得超过2个，必须由信息管理部专人保管，严禁使用超级管理员账号开展日常业务操作，权限变更必须提交申请，经用户所在部门负责人审批、信息管理部复核后方可调整，核心系统权限每季度复核一次，普通系统权限每半年复核一次，发现超权限配置及时回收调整。第三条账号安全要求：用户必须设置强密码，密码长度不少于8位，包含大小写字母、数字、特殊字符三类以上组合，每90天必须更换一次密码，连续三次输入密码错误自动锁定账号，连续180天不登录自动注销账号，严禁在非公司授权设备上存储账号密码，严禁将账号转借非公司人员使用。第五章数据安全与质量管理第一条数据分类分级防护：严格按照公司《数据分类分级管理制度》对信息系统存储处理的数据进行分类分级，核心敏感数据必须采用AES-256加密存储，传输采用SSL加密，所有访问操作全程留痕，涉及个人信息处理的必须建立个人信息处理清单，明确处理目的、方式、范围、存储期限，存储到期后及时完成数据删除或匿名化处理。第二条数据质量管理：业务使用部门为本部门数据质量责任主体，每月开展一次核心业务数据校验，核心业务数据准确率不低于99.9%，完整性不低于99.95%，信息管理部每季度开展一次全公司数据质量抽查，对数据质量不合格的部门下达整改通知书，限期15个工作日完成整改。第三条数据传输与共享管理：核心敏感数据导出必须经部门负责人审批、信息管理部备案，导出文件必须加密，严禁通过个人邮箱、微信、QQ等非授权渠道传输公司敏感数据，严禁将敏感数据存储到个人设备、私人云盘，跨部门数据共享必须签订数据共享协议，明确使用范围与安全责任，对外提供数据必须经合规管理部审核、总经理审批，涉及个人信息对外提供的必须按规定取得用户单独同意，符合法律法规要求。第四条数据备份与恢复管理：按照分级要求落实数据备份制度：1.一级核心系统：核心数据每日全量备份，每小时增量备份，备份数据异地存储，异地备份中心距离生产中心不低于50公里，每月开展一次数据恢复演练，恢复成功率必须达到100%。2.二级重要系统：数据每周全量备份，每日增量备份，每季度开展一次数据恢复演练。3.三级一般系统：数据每月全量备份，每半年开展一次数据恢复演练。核心业务数据备份留存时间不少于5年，一般业务数据备份留存时间不少于1年，满足监管审计、纠纷追溯要求。第六章安全管理与监督检查第一条安全等级保护管理：一级核心系统必须按照网络安全等级保护2.0三级要求建设防护体系，二级重要系统按照二级要求建设，三级一般系统按照一级要求建设，新建系统上线前必须完成公安部门等级保护备案，每年开展一次等级保护测评，测评不合格的限期3个月完成整改，整改仍不合格的停止系统运行。第二条安全审计管理：网络安全部每季度开展一次全公司信息系统安全审计，核心系统每月开展一次安全审计，审计内容包括异常登录、权限变更、数据访问、敏感操作等，发现异常访问及时预警核查，审计记录至少留存1年。第三条第三方接入管理：第三方系统接入公司内部信息系统必须提交接入申请，经信息管理部、网络安全部审核通过，签订安全接入协议，明确接入范围、数据交互权限，API接口对接必须设置调用频率限制，单个调用密钥每分钟调用次数不超过100次，每月对第三方接入行为开展安全审计，发现违规接入立即断开连接，每年对第三方合作方开展一次安全能力评估，评估不合格的终止合作。第四条日常监督检查：信息管理部牵头每年至少开展一次全公司信息系统合规安全全面检查，每半年对一级核心系统开展一次抽查，检查内容包括系统运行状态、安全防护配置、权限管理、数据安全管控等，检查发现问题下达整改通知书，明确整改责任人、整改期限，整改完成后开展复查，纳入部门年度绩效考核。第七章应急管理与事件处置第一条应急预案与演练：分级编制信息系统应急预案，一级核心系统编制专项应急预案，明确应急处置流程、责任分工、处置措施，每半年组织一次核心系统专项应急演练，每年组织一次全公司范围综合应急演练，演练完成后开展预案有效性评估，及时修订完善应急预案。第二条事件分级处置：根据信息系统安全事件的影响范围、损失程度划分为三级处置：1.特别重大事件：一级系统中断超过2小时、二级系统中断超过12小时，造成直接经济损失超过100万元，敏感数据泄露超过1万条，立即启动专项应急预案，第一时间上报公司总经理，24小时内按规定上报监管部门，开展应急处置。2.重大事件：一级系统中断1-2小时、二级系统中断4-12小时，直接经济损失10-100万元，敏感数据泄露100-1万条，启动应急预案，上报分管副总经理，12