线上打卡签到系统安全规定

线上打卡签到系统安全规定第一章总则第一条目的与依据为规范公司线上打卡签到系统的安全管理，保障员工个人信息安全、企业数据资产安全及系统运行的稳定性，防范各类网络安全风险，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》及相关行业监管要求，结合公司实际业务场景，特制定本规定。第二条适用范围本规定适用于公司全体员工（含正式员工、实习生、劳务派遣人员）、外包人员以及所有使用公司线上打卡签到系统的用户。同时，适用于负责系统开发、运维、管理及安全审计的IT部门、人力资源部门及相关第三方合作机构。第三条核心原则系统安全管理遵循“安全第一、预防为主、权责到人、依法合规”的原则。在确保考勤数据准确性的前提下，最大限度降低对员工隐私的侵扰，实现业务效率与安全防护的平衡。系统设计、开发、测试、上线及运维全生命周期必须纳入安全管理体系。第四条定义与解释本规定所称“线上打卡签到系统”是指公司授权的，用于员工进行日常考勤签到、签退、外勤定位、请假审批等功能的移动端应用（App、小程序）、Web端管理平台及相关后台服务接口。“敏感个人信息”包括但不限于员工生物识别信息（人脸、指纹）、精准地理位置信息、身份证号、手机号等。第二章账号与身份认证安全管理第五条账号全生命周期管理线上打卡签到系统实行实名制管理。员工账号的创建、分配、使用、变更、冻结、注销必须经过严格的审批流程。1.账号创建：人力资源部门在员工入职时，需通过HR系统同步数据至考勤系统，确保工号、姓名、部门等基础信息的准确性与唯一性。严禁批量创建测试账号或幽灵账号。2.账号权限：系统应实施基于角色（RBAC）的访问控制策略。普通员工仅具备打卡、查看个人考勤权限；部门经理具备查看本部门考勤权限；系统管理员仅负责系统维护，严禁拥有未经授权的考勤数据查看权或修改权。3.账号注销：员工离职、转岗或调动时，人力资源部门需在1个工作日内发起账号变更或注销流程。离职员工账号必须立即冻结，保留期不得超过法定审计要求，期满后进行物理删除或匿名化处理。第六条身份认证机制为防止账号被盗用和非授权访问，系统必须采用强身份认证策略。1.多因素认证（MFA）：系统在登录环节必须强制开启多因素认证。推荐使用“企业内部SSO单点登录+动态口令”或“生物识别+口令”的组合方式。仅使用静态密码登录被视为高风险操作，系统应发出告警并限制部分功能。2.密码策略：若系统支持独立密码登录，密码复杂度必须满足以下要求：长度不少于12位；包含大写字母、小写字母、数字、特殊符号中的至少三种；不得包含用户名、工号等个人信息；每90天强制更换一次，且禁止重复使用最近5次使用过的密码。3.登录失败锁定：为防止暴力破解攻击，系统需设置登录失败锁定机制。连续输错密码5次，账号应自动锁定30分钟，并通知账号归属人及安全管理人员。第七条异常登录监测系统需具备实时监测异常登录行为的能力。当检测到以下场景时，应立即阻断登录并触发二次验证（如人脸识别或短信验证码）：1.陌生的IP地址或跨地域登录（如北京账号在上海登录）；2.陌生的设备指纹（DeviceID）或更换设备登录；3.非工作时间段（如凌晨2点）的异常登录尝试；4.短时间内高频次的接口调用。第三章终端设备与环境安全第八条移动终端安全要求员工使用的移动终端设备（手机、平板）是打卡系统的第一道防线，必须满足以下安全基线要求：1.系统版本：移动操作系统版本不得低于厂商官方支持的安全版本。对于存在已知高危漏洞且无法修复的旧版本系统（如Android4.4以下或iOS10以下），系统应拒绝安装或拒绝打卡操作。2.越狱与Root检测：系统客户端在启动时及打卡关键操作前，必须进行运行环境检测。一旦检测到设备已越狱或Root，应立即弹出安全警告，并禁止打卡操作，同时向服务端上报安全事件。3.应用环境检测：系统需具备检测模拟器、Hook框架（如Xposed、Frida）、多开软件（如平行空间、双开大师）的能力。对于在虚拟机或调试环境下运行的打卡请求，服务端应直接拒绝并记录日志。第九条网络传输安全打卡数据在网络传输过程中极易被截获或篡改，必须采取严格的传输加密措施。1.HTTPS加密：所有客户端与服务端的通信必须使用HTTPS协议，强制使用TLS1.2及以上版本。禁止使用HTTP明文传输任何数据。2.证书校验：客户端需开启严格的双向证书校验或SSLPinning（证书锁定），防止中间人攻击（MITM）。严禁客户端绕过证书校验逻辑。3.数据签名：关键业务数据（如签到时间、地理位置、打卡状态）在传输前必须进行业务层签名，服务端需验签，确保数据在传输过程中未被篡改。第十条反作弊与定位安全针对常见的打卡作弊行为，系统需部署多维度的技术检测手段。1.虚拟定位检测：系统需通过检测MockLocationAPI、GPS信号稳定性、基站定位与GPS定位偏差、速度异常等手段，识别使用虚拟定位软件修改位置的行为。2.时间篡改检测：打卡时间必须以服务端标准时间（NTP时间）为准。客户端仅上传时间戳，服务端需校验该时间戳与当前时间的偏差范围（如允许±60秒误差），超出范围视为无效。3.代理检测：系统需检测设备是否开启了HTTP/HTTPS代理或VPN，若检测到非公司授权的代理流量，应视为高风险操作并阻断。第四章数据采集与隐私保护第十一条最小必要采集原则系统采集员工个人信息必须遵循“合法、正当、必要”原则，严禁过度收集。1.必要信息：仅采集与考勤管理直接相关的信息，如：工号、姓名、打卡时间、地理位置（经纬度）、打卡现场照片（可选）。2.非必要信息：严禁采集员工的通讯录、短信记录、相册其他照片、应用列表等与考勤无关的隐私信息。3.生物识别信息：若采用人脸识别打卡，必须获得员工单独的书面同意。原则上应优先使用本地比对（1:1）模式，尽量减少原始人脸图片上传至服务器。第十二条地理位置信息处理1.精度控制：在非外勤场景下，系统后台应对地理位置数据进行模糊化处理（如仅保留到小数点后三位），避免精准轨迹的长期留存。2.地理围栏：公司办公区域应设置合理的地理围栏，围栏半径设置应科学，避免因GPS漂移导致员工无法正常打卡。3.数据留痕：所有的位置采集记录需包含采集来源（GPS/WiFi/基站）、采集精度、时间戳，以便后续审计。第十三条数据存储与加密1.存储加密：敏感个人信息（如人脸特征值、身份证号）在数据库中必须采用高强度加密算法（如AES-256）进行存储。密钥管理需符合密钥管理规范，实行密钥与数据分离存储。2.去标识化：用于算法分析、测试或大数据分析的考勤数据，必须经过去标识化处理，确保无法复原到特定个人。3.数据备份：建立完善的数据备份机制，每日进行增量备份，每周进行全量备份。备份数据同样需加密存储，并定期进行恢复演练。第十四条数据访问与使用1.权限隔离：数据库访问权限必须严格控制。开发人员、测试人员不得拥有生产环境数据的直接访问权限，必须通过脱敏后的镜像数据进行工作。2.审批留痕：管理人员导出考勤数据、查看异常打卡记录等操作，必须在系统内留痕，记录操作人、操作时间、操作原因、涉及数据范围。3.第三方共享：严禁将员工打卡数据出售或非法提供给第三方。如因法律合规或审计需要向第三方提供数据，必须进行法律评估并签署保密协议。第五章系统架构与网络安全第十五条应用安全防护系统在代码开发、编译发布阶段需遵循安全开发生命周期（SDL）规范。1.代码审计：上线前必须通过静态代码扫描（SAST）和动态渗透测试，不得存在高危漏洞（如SQL注入、XSS跨站脚本、远程代码执行RCE等）。2.组件安全：严禁使用存在已知漏洞的第三方组件或库。定期更新依赖包，修复CVE漏洞。3.接口防护：系统接口需实施防重放攻击（Timestamp+Nonce）、防爬虫策略（频率限制、IP限流）。针对批量查询接口，需严格校验调用方权限。第十六条服务器与网络安全1.网络隔离：打卡系统服务器应部署在公司内部网络或DMZ区，通过防火墙隔离。数据库服务器严禁直接暴露在公网。2.入侵检测：部署Web应用防火墙（WAF）和入侵检测系统（IDS/IPS），实时监控并阻断恶意攻击流量。3.系统加固：服务器操作系统需进行最小化安装，关闭不必要的服务和端口。定期进行系统补丁更新和漏洞扫描。第十七条开源软件与供应链安全引入第三方开源组件或SDK时，必须进行安全评估。1.合规审查：审查开源协议的合规性，避免传染商业代码。2.漏洞扫描：使用SCA工具扫描开源组件漏洞，确保无高危安全隐患。3.来源可信：仅从官方可信渠道下载依赖库，防止供应链投毒。第六章日志审计与监控告警第十八条日志记录规范系统必须记录全量的业务日志和安全日志，日志内容应包含但不限于：1.用户行为日志：登录、登出、打卡、修改个人信息、导出数据等操作。2.系统运行日志：服务启动、停止、错误堆栈、资源占用情况。3.安全审计日志：权限变更、封禁解封、异常登录拦截、反作弊触发记录。4.日志格式：日志应采用统一的JSON格式，包含时间、主机、级别、模块、详细信息等字段。第十九条日志留存与保护1.留存周期：所有系统日志需保留至少6个月，涉及重大安全事件的日志需保留至少3年。2.防篡改：日志服务器需独立部署，或者使用日志防篡改系统（如WORM存储），防止攻击者入侵后擦除痕迹。3.完整性校验：定期对日志文件进行完整性校验，发现缺失或异常及时报警。第二十条监控与告警机制建立7x24小时的系统运行监控体系。1.可用性监控：监控系统响应时间、成功率、CPU/内存/磁盘使用率。设定阈值（如响应时间>2秒、成功率<99.9%），触发告警。2.业务监控：监控打卡成功率、异常打卡比例（如异地打卡占比）、新增用户数。3.安全告警：针对暴力破解、撞库攻击、异常批量导出、高频接口调用等安全事件，需通过短信、邮件、钉钉/企微机器人实时通知安全运维团队。第七章应急响应与故障恢复第二十一条应急响应预案针对可能发生的安全事件和系统故障，制定分级应急响应预案。1.事件分级：特别重大事件（I级）：核心数据泄露（如百万级员工信息泄露）、系统被勒索病毒加密、核心服务瘫痪超过4小时。重大事件（II级）：非核心数据泄露、系统被黑客攻击导致服务中断超过1小时、大规模打卡失败。一般事件（III级）：个别账号异常、局部功能故障、非核心服务异常。2.响应流程：发现事件->初步研判->上报汇报->启动预案->应急处置（隔离、加固、恢复）->总结改进。第二十二条数据恢复演练为确保备份的有效性，每季度至少进行一次数据恢复演练。1.演练内容：模拟数据库误删或数据损坏场景，利用备份文件恢复数据，并校验数据的完整性和一致性。2.演练记录：演练过程需详细记录，发现恢复流程中的问题并及时优化恢复脚本和文档。第二十三条容灾备份对于关键业务模块，需建设应用级容灾方案。1.同城双活/异地容灾：根据业务重要性，逐步实现同城双活或异地主从容灾，确保在发生火灾、地震等物理灾难时，系统能快速切换。2.RTO/RPO指标：明确恢复时间目标（RTO）和数据恢复点目标（RPO）。建议核心考勤系统RTO≤1小时，RPO≤15分钟。第八章用户行为规范与责任第二十四条员工使用规范全体员工在使用线上打卡签到系统时，必须遵守以下行为规范：1.账号保管：员工个人账号仅限本人使用，严禁转借、转让、出租给他人使用。因账号保管不善导致的考勤异常或安全事故，由账号归属人承担主要责任。2.诚实打卡：严禁使用任何作弊软件、模拟器、虚拟定位工具进行虚假打卡。严禁代人打卡或委托他人代打卡。3.软件更新：员工应保持客户端应用为最新版本，以便及时获得安全补丁和功能更新。4.漏洞举报：发现系统安全漏洞或异常情况，有义务及时向公司IT部门反馈，严禁利用漏洞进行攻击、牟利或传播。第二十五条违规处罚机制对于违反本规定的行为，公司将视情节严重程度给予相应处罚：1.轻微违规：如因疏忽导致账号锁定、未及时更新软件等，给予口头警告或内部通报批评。2.一般违规：如使用虚拟定位打卡、代人打卡等，依据《员工手册》给予记过、取消当月绩效奖金等处罚。3.严重违规：如批量盗取数据、恶意攻击系统、倒卖员工信息等，将立即解除劳动合同，并保留追究法律责任的权利。第九章附则第二十六条制度培训与宣贯IT部门与人力资源部门应定期组织线上打卡签到系统安全培训，确保新员工入职时完成安全意识教育，老员工每年接受至少一次安全合规培训。第二十七条制度审查与修订本规定每年至少审查一次。当国家法律法规发生变化、系统架构发生重大变更或发生重大安全事故后，应及时启动修订程序。第二十八条解释权本规定由公司信息技术部负责解释。第二十九条实施本规定自发布之日起正式实施。原相关规定与本规定不一致的，以本规定为准。附录A：密码复杂度技术参数表参数项技术要求强制性最小长度1