移动类设备安全管理规范

移动类设备安全管理规范一、总则（一）目的规范。为加强移动类设备安全管理，防范信息安全风险，保障业务连续性，特制定本规范。（二）适用范围。本规范适用于公司所有配备、使用或管理移动类设备的部门及人员，包括但不限于智能手机、平板电脑、便携式电脑等。（三）基本原则。移动类设备安全管理遵循统一领导、分级负责、全员参与、动态调整的原则，确保设备安全与业务需求平衡。二、设备分类与分级管理（一）分类标准。移动类设备按使用场景分为工作专用类、工作个人混合类、纯个人类三类，具体划分标准由各部门结合实际制定。（二）分级管控。1.工作专用类设备实行最高级别管控，必须全程纳入公司资产管理系统。2.工作个人混合类设备需签订保密协议，执行中度管控措施。3.纯个人类设备原则上禁止接入公司网络，确需使用需经审批。（三）资产登记。1.所有移动类设备纳入固定资产管理台账，包括设备型号、序列号、购置日期、使用人、存放地点等关键信息。2.每季度进行一次资产盘点，变动信息须3日内更新至系统。三、采购与配发管理（一）采购流程。1.需求部门提交采购申请，经信息安全部门审核后报财务部门审批。2.采购设备必须符合国家保密标准，优先选用具备安全加密功能的设备。（二）配发要求。1.新设备配发前必须安装公司统一配置的安全管理系统。2.配发时需签署《移动设备使用责任书》，明确使用规范及违规责任。（三）淘汰处置。1.设备使用年限达到5年或出现重大安全漏洞时必须强制淘汰。2.淘汰设备需经过数据彻底清除、硬件销毁等程序，相关记录存档备查。四、使用安全管控措施（一）密码管理。1.设备必须设置复杂度不低于8位的开机密码，并每90天更换一次。2.禁止使用生日、电话等易猜密码，禁止多人共用密码。（二）数据加密。1.所有移动设备必须对本地存储数据进行全盘加密。2.涉及敏感信息的文档传输必须使用公司指定的加密通道。（三）外接设备防护。1.禁止使用未经审批的U盘、移动硬盘等外接存储设备。2.必须通过专用消毒通道才能接入公司网络。（四）应用管控。1.仅允许安装公司批准的应用软件，禁止私自安装未知来源应用。2.每月对应用权限进行一次全面审查，非必要权限必须撤销。五、网络接入管理（一）Wi-Fi使用规范。1.工作网络Wi-Fi必须设置强认证机制，禁止使用开放型网络。2.公共Wi-Fi接入必须经过信息安全部门批准，并采取VPN等防护措施。（二）移动数据管理。1.工作类设备必须使用公司指定的移动数据套餐。2.个人类设备使用移动数据传输涉密信息必须经审批。（三）无线网络安全。1.定期检测无线网络信号强度，防止信号泄露。2.禁止使用蓝牙、红外等无线传输功能传输敏感信息。六、应急响应与处置（一）丢失报告。1.设备丢失必须在2小时内向信息安全部门报告。2.立即启动远程数据锁定与清除程序。（二）安全事件处置。1.发生病毒感染、数据泄露等安全事件必须立即隔离设备。2.启动应急响应预案，24小时内形成处置报告。（三）定期演练。1.每季度组织一次设备丢失应急演练。2.演练结果作为部门年度安全考核依据。七、监督检查与考核（一）日常检查。1.信息安全部门每月进行一次随机抽查。2.发现违规行为必须立即整改，并追究相关责任。（二）专项检查。1.每半年组织一次全面安全检查。2.检查结果与部门绩效挂钩。（三）责任追究。1.对违反本规范的行为，视情节轻重给予警告、罚款、降级等处分。2.造成重大安全事件的，依法追究法律责任。八、附则（一）本规范由信息安全部