企业 IT 设备管理制度

企业IT设备管理制度第一章总则1.1目的为统一集团及下属各法人单位对服务器、网络、安全、终端、IoT五类IT资产的采购、部署、运行、维护、退役全生命周期管理，降低信息泄露、业务中断、合规罚款三类风险，特制定本制度。1.2适用范围本制度适用于注册地在中华人民共和国境内、由集团直接或间接控股50%以上的所有公司、分支机构、办事处、工厂、研发中心、销售中心、仓储中心，以及临时项目组。境外分支机构参照当地法律做差异化映射，但须向集团信息化委员会备案。1.3法规依据《网络安全法》《数据安全法》《个人信息保护法》《密码法》《关键信息基础设施安全保护条例》《电子招标投标办法》《固定资产管理办法》《企业会计准则第4号——固定资产》。若地方法规严于本制度，以地方法规为准。1.4术语定义IT设备：指用于采集、传输、处理、存储、展示、销毁数据的硬件及其嵌入式软件，包括但不限于服务器、存储、网络设备、安全设备、个人电脑、笔记本、平板、手机、打印机、扫描仪、IoT终端、工控机、POS机、视频监控设备。资产标签：由集团统一编码规则生成的12位二维码标签，前4位为法人代码，中间6位为年月日，末2位为当日流水。关键业务：指中断30分钟即造成单日营收损失≥100万元或影响客户数≥1万人的业务系统。第二章组织与职责2.1信息化委员会（以下简称“信委会”）主任由集团CTO兼任，成员包括财务、审计、法务、供应链、人力、行政、生产、质量、安全环保部门总监。职责：审批年度IT预算、重大采购、报废清单、应急预案演练报告。2.2资产管理中心（AMC）编制8人，隶属信委会，设资产经理1名、资产专员5名、数据分析师2名。负责制度解释、资产系统运维、标签打印、盘点督导、报废评估、培训考核。2.3使用部门指实际使用IT设备的业务部门、工厂车间、门店、项目组。职责：指定兼职资产管理员（每50台设备必须设1名），负责验收、日常保管、故障报修、配合盘点、退役申请。2.4财务部负责按固定资产标准进行会计确认、折旧计提、减值测试、报废损益入账。2.5审计部每年至少开展一次IT资产专项审计，覆盖采购、付款、实物、账务四流一致性，出具整改清单并跟踪闭环。第三章采购管理3.1需求申请使用部门在OA提交《IT设备需求申请单》，字段包括：业务场景、性能指标、数量、预算来源、上线时限、关键等级。系统强制校验：同类设备库存闲置率>10%时禁止新增申请，须先行调拨。3.2技术选型AMC每季度更新《集团技术基线清单》，分A（强制）、B（推荐）、C（限制）三档。A档设备须走集采协议，B档可议价5%，C档需信委会主任特批。3.3招标与合同金额≥100万元项目必须公开招标；金额30–100万元可邀请招标；金额<30万元可直接谈判，但须三家比价。合同必须包含：所有权保留条款、保密条款、后门检测条款、违约金（每日1‰）、EPEAT/节能认证要求。3.4验收到货3个工作日内完成。步骤：①外包装拍照上传；②SN码与合同比对；③开机30分钟压力测试；④固件版本核对；⑤资产标签粘贴；⑥使用部门与AMC双签字；⑦OA自动生成验收报告并推送财务。第四章资产台账与标签4.1台账字段必填38项：资产编码、SN码、SKU、品牌、型号、配置、采购日期、金额、供应商、合同号、使用人、位置、关键等级、IP、MAC、固件版本、保修截止、折旧年限、残值率、下次盘点日期、状态（在用/闲置/维修/报废）。4.2标签管理标签材质：PET防拆、耐温80℃、防水、防油、防酒精。粘贴位置：笔记本D壳左上角，服务器前面板左下角，交换机第1端口下方。禁止覆盖原厂SN。遗失补办须缴纳50元工本费。4.3数据同步AMC每日02:00通过API将台账同步至财务ERP、HR系统、CMDB、零信任准入系统，确保“人-财-物-权”四账一致。差异>0.5%触发告警。第五章使用与维护5.1领用使用人扫码确认《电子领用单》，系统自动绑定其工号、邮箱、MAC地址。离职或调岗须先归还设备，HR方可开具离职证明。5.2软件安装仅允许使用集团软件中心推送的白名单程序。私自安装盗版软件，首次罚款1000元，第二次记过处分，第三次解除劳动合同。5.3补丁与漏洞服务器：每月第2个周六00:00–06:00为固定补丁窗口；终端：每周三12:00自动推送；网络设备：每季度第1个工作日。高危漏洞须在24小时内打补丁或采用虚拟补丁。5.4故障报修使用人通过企业微信“IT报修”小程序扫码提交，系统5分钟内派单至驻场工程师。SLA：关键业务4小时到场，非关键业务1工作日。连续两次超时，供应商扣款500元/次。5.5备件库AMC在总部、华东、华南、华北设4级备件库，常备CPU、内存、硬盘、电源、风扇、模块。库存下限=近6个月平均月耗×2。低于下限自动触发补货PO。第六章移动存储与外部接口6.1USB端口管控默认策略：禁止读写，白名单审批开放。审批流程：使用人→部门经理→信息安全经理→IT总监，限时7天。6.2加密要求经审批的U盘必须使用BitLocker或安恒加密U盘，AES-256位，密码长度≥12位，含大小写、数字、特殊字符。6.3日志审计所有USB插拔、文件拷贝行为实时上传至SIEM，保存180天。异常拷贝（>1000文件/小时）自动冻结账号并短信告警安全值班手机。第七章变更与调拨7.1变更类型配置升级、位置迁移、使用人变更、IP变更、用途变更。7.2审批链关键业务设备：使用部门经理→系统运维经理→信息安全经理→AMC经理；非关键：使用部门经理→AMC专员。7.3实施步骤①提交《IT资产变更单》；②AMC在2小时内冻结原配置；③变更实施窗口00:00–06:00；④完成后30分钟内更新台账、CMDB、监控系统；⑤次日生成《变更总结报告》。第八章盘点与差异处理8.1盘点周期全集团年度大盘、季度抽盘、月度关键资产抽盘。抽盘比例：关键100%、重要30%、一般10%。8.2盘点工具PDA扫码枪+蓝牙打印机+盘点APP，离线缓存5000条，支持一键导出差异。8.3差异分类盘亏、盘盈、标签损毁、信息错误。8.4处理时限盘亏24小时内启动调查，3个工作日出具调查报告；确认为丢失的，按账面净值赔偿，责任人1个月内缴清；拒不缴纳，从工资中分3期扣除并取消年度绩效奖金。第九章退役与报废9.1退役标准①达到折旧年限且故障率>10%/年；②维修成本>账面净值50%；③因技术淘汰无法升级至安全基线；④国家明令淘汰高能耗设备。9.2数据清除硬盘≥500GB须使用Blancco6次覆写并出具报告；SSD须执行NVMeSecureErase；无法清除的物理粉碎，粒径≤6mm，全程录像保存3年。9.3环保处置委托具有《危险废物经营许可证》的回收商，转移联单须盖公章，并在广东省固体废物管理平台备案。9.4资产损失报废净值>10万元/单，须信委会主任审批；>50万元/单，须集团总裁审批。第十章信息安全与合规10.1开机加密所有笔记本强制启用TPM2.0+PIN，密码错误5次自动锁定并上报MDM。10.2网络准入802.1X+MAC+证书三重认证，未通过设备自动划入隔离VLAN，仅允许访问补丁服务器。10.3日志留存设备操作日志、系统日志、网络日志、安全日志统一送至日志湖，保留3年，压缩加密存储，密钥由HSM管理。10.4合规检查每半年邀请第三方机构做等保测评、ISO27001监督审核、PCI-DSS扫描。发现高危漏洞未在30天内修复，部门总监扣减年度绩效10%。第十一章供应商与外包管理11.1准入门槛注册资本≥1000万元；近3年无重大行政处罚；具备ISO9001、ISO27001、ISO20000证书；工程师持证率≥60%（CISP、PMP、CCIE、RHCE）。11.2黑名单出现以下行为之一，列入集团黑名单3年：①因产品质量造成业务中断>30分钟；②泄露集团数据；③行贿；④虚假应标。11.3考核指标质量40分、交付20分、服务20分、价格10分、合规10分。季度评分<80分，暂停投标资格6个月；连续两次<80分，终止合作并索赔。第十二章应急预案12.1场景分类A类：机房整体掉电；B类：核心交换机故障；C类：批量笔记本中毒；D类：供应链勒索软件。12.2响应分级Ⅰ级（A类）：15分钟内启动，RTO≤30分钟，RPO≤5分钟；Ⅱ级（B类）：30分钟内启动，RTO≤2小时；Ⅲ级（C/D类）：1小时内启动，RTO≤4小时。12.3指挥链信委会主任任总指挥，IT运维总监任现场指挥，AMC经理任物资保障组长，财务总监任资金保障组长。12.4备用设备在30km外设冷备机房，常备50台高性能服务器、2台核心交换机、1套全闪存储，每季度通电测试4小时并出具报告。12.5演练每半年至少演练1次，全年覆盖全部4类场景。演练结束2小时内完成《演练总结》，7日内完成整改验证。未按时完成整改，责任人每次罚款500元。第十三章培训与考核13.1培训对象新员工、使用人、资产管理员、IT工程师、部门总监。13.2培训内容制度解读、系统操作、安全合规、应急流程、案例复盘。13.3学时要求新员工2学时，资产管理员6学时/年，IT工程师8学时/年，部门总监4学时/年。未完成者，年度绩效扣5%。13.4考核方式线上闭卷考试80分合格，三次不合格调离岗位。第十四章奖惩细则14.1奖励年度盘点差异率<0.1%的部门，授予“资产管理标杆”锦旗，奖励5