线上审批流程信息安全规定

线上审批流程信息安全规定第一章总则1.1目的与依据为规范公司线上审批流程的信息安全管理，防范数据泄露、篡改、丢失等安全风险，保障业务连续性和信息资产的完整性、保密性与可用性，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》及相关行业监管要求，结合公司实际业务场景，特制定本规定。本规定旨在构建一套覆盖线上审批全生命周期的安全防护体系，确保每一笔审批业务在流转过程中的合规性与安全性。1.2适用范围本规定适用于公司及各下属分支机构、子公司所有通过线上化系统（包括但不限于OA办公自动化系统、ERP企业资源计划系统、CRM客户关系管理系统、SRM供应商管理系统、财务共享平台及各类定制化业务审批平台）发起、处理、审批、归档各类业务申请的全体员工，包括正式员工、实习生、顾问及第三方外包人员。所有涉及线上审批流程的系统开发、运维、安全管理人员均须严格遵守本规定。1.3基本原则线上审批流程的信息安全管理遵循以下核心原则：（一）最小权限原则：用户仅拥有完成当前审批节点任务所必需的最小数据访问权限和操作权限，严禁赋予与岗位职责无关的超级权限。（二）全程留痕原则：审批流程中的所有操作行为，包括发起、撤回、驳回、转交、通过、查看附件等，必须进行系统日志记录，确保过程可追溯、可审计。（三）数据分类分级原则：根据审批数据的重要性和敏感程度，实施差异化的安全管控策略，对核心商密及个人隐私信息采取加密、脱敏等强保护措施。（四）动态防护原则：定期评估审批流程的安全风险，根据业务变化和技术发展及时调整安全策略，确保防护措施的有效性。第二章组织架构与职责2.1信息安全委员会信息安全委员会是线上审批流程信息安全的最高决策机构，负责审批信息安全管理制度的建设总体方向，定期听取信息安全管理部门关于审批流程安全状况的汇报，决策重大安全事件的处置方案，并保障安全建设所需的预算与资源投入。2.2信息安全管理部门信息安全管理部门（或IT安全部）是本规定的牵头执行与监督部门，其主要职责包括：（一）制定、修订并推广线上审批流程信息安全相关技术标准和管理规范。（二）负责审批系统底层架构的安全防护，包括网络边界防护、服务器安全加固、数据库审计等。（三）定期对审批系统进行漏洞扫描、渗透测试和代码审计，督促业务部门及开发团队修复安全隐患。（四）监控审批系统的运行状态与安全日志，及时发现并处置异常访问、恶意攻击等安全事件。（五）组织开展全员信息安全意识培训，特别是针对审批流程中防钓鱼、防社工攻击的专项培训。2.3业务流程管理部门各业务部门是审批流程的使用方和责任方，负责：（一）根据业务需求提出合理的审批流程设计，确保流程本身符合内控合规要求。（二）梳理本部门审批流中涉及的数据资产，明确数据敏感级别，并配合安全管理部门制定相应的保护措施。（三）管理本部门用户的审批权限，负责权限的申请、初审及定期复核，确保权限分配的合理性。（四）配合进行安全事件的调查与取证工作，落实整改措施。2.4系统运维与开发部门负责审批系统的日常运维、功能迭代与技术实现，具体职责包括：（一）保障系统的高可用性，实施备份与恢复策略，确保审批数据不丢失。（二）在系统开发过程中遵循安全编码规范，落实身份认证、访问控制、输入验证等安全功能。（三）配合安全管理部门落实安全加固措施，及时安装系统补丁和更新第三方组件库。第三章账号与身份认证管理3.1账号全生命周期管理线上审批系统必须实施严格的账号全生命周期管理。员工入职时，由HR部门统一触发账号开通流程，系统根据员工岗位自动分配默认审批权限，员工首次登录必须强制修改密码。员工岗位变动或离职时，HR系统需通过接口自动触发权限变更或账号注销流程。对于长期未使用的僵尸账号（超过90天无登录记录），系统应自动锁定并通知管理员进行清理。严禁共享、借用账号，严禁一人多号（除特殊业务隔离需求外）。3.2强身份认证策略为防止账号被盗用导致的非法审批，线上审批系统必须实施多因素认证（MFA）机制。（一）内部网络环境：建议采用“用户名+强密码+动态令牌/手机验证码”的认证方式。（二）外部网络环境：必须采用“用户名+强密码+动态令牌/生物识别（指纹或人脸）”的双重认证机制。对于涉及资金划拨、合同签署、核心数据导出等高风险操作，系统应在登录认证基础上，要求进行二次交易确认（如短信验证码、UKey验证）。（三）密码策略：密码长度不得少于12位，必须包含大小写字母、数字及特殊符号，且每90天强制更换一次，不得使用前5次使用过的密码。系统应具备密码复杂度检测功能，防止弱口令。3.3会话安全管理系统应实施严格的会话超时控制机制。在无操作状态下，系统会话应在15分钟内自动超时退出，并清除服务器端会话缓存，防止未授权人员利用未关闭的终端进行非法操作。对于通过移动端接入的审批系统，应具备设备绑定功能，支持管理员远程擦除特定设备上的审批数据或注销会话。系统应限制同一账号的最大并发登录数，一般账号不超过2个，管理员账号不超过1个，防止账号被多人同时使用。第四章网络传输与接入安全4.1传输加密要求所有线上审批数据在网络传输过程中必须采用加密通道，严禁明文传输。系统应强制使用HTTPS协议，推荐使用TLS1.2及以上版本，禁用SSLv2/v3及TLS1.0等不安全的加密协议。服务器端应配置强加密套件，优先支持ECDHE密钥交换算法和AES-GCM等强加密算法。对于移动端APP，应实施SSLPinning（证书锁定）技术，防止中间人攻击（MITM）。4.2网络接入控制（一）内网访问：原则上仅允许在公司办公网络环境或通过VPN接入内网后访问核心审批系统。VPN接入需实施双因素认证，并对接入终端进行安全基线检查（如是否安装杀毒软件、是否开启防火墙）。（二）外网访问：对于确需通过互联网直接访问的审批系统，必须部署Web应用防火墙（WAF）和抗DDoS设备，并限制访问来源IP地址范围（如仅允许特定国家/地区或合作伙伴IP）。（三）无线网络安全：严禁在未加密的公共Wi-Fi环境下处理敏感审批业务。公司内部无线网络应采用WPA2-Enterprise或WPA3加密协议，并实施基于用户的接入认证。4.3接口安全管理审批系统与第三方系统（如银行、征信机构、工商局等）进行数据交互时，必须通过API接口进行，并严格实施接口安全控制。（一）身份认证：接口调用方必须提供有效的身份凭证（如APIKey、OAuth2.0Token）。（二）访问控制：限制接口的调用频率（RateLimiting），防止恶意刷接口或拒绝服务攻击。（三）数据校验：对接口输入输出数据进行严格的格式校验和过滤，防止SQL注入、XSS攻击等。（四）报文加密：敏感接口的请求和响应报文体应进行加密或签名处理，确保数据传输过程中的完整性。第五章数据安全与隐私保护5.1数据分类分级根据数据的敏感程度和泄露后对组织造成的影响，将审批流程中的数据分为以下四级，并实施差异化保护：数据级别定义示例数据保护要求绝密级（L4）泄露将给公司造成灾难性损害或严重法律后果核心技术配方、并购重组协议、最高管理层薪资、未公开重大战略禁止明文存储、显示；仅限特定人员访问；操作全程强审计；数据传输端到端加密机密级（L3）泄露将给公司造成重大损害或较大法律风险财务报表、客户清单、员工身份证号、合同文本、薪酬数据加密存储；访问需审批；关键信息脱敏展示；定期备份内部级（L2）仅限公司内部使用，泄露会影响正常运营部门周报、会议纪要、内部通讯录、项目计划访问控制；禁止外发；水印保护公开级（L1）可向外部公开的信息产品手册、公司简介、对外招聘信息基础访问控制；防篡改5.2数据存储与备份审批系统中的绝密级和机密级数据在数据库中必须采用加密存储（如使用AES-256算法）。数据库的访问权限必须严格管控，禁止开发人员直接操作生产环境数据库。系统应建立完善的数据备份机制，包括增量备份和全量备份。备份数据应同样进行加密处理，并存储在物理隔离的介质或异地数据中心。备份数据的恢复权限仅授予特定的高级运维人员，且恢复操作必须经过审批流程授权。5.3敏感信息脱敏在审批流程的前端展示界面、日志记录、测试环境数据以及向非授权人员展示的场景中，必须对敏感信息进行动态脱敏处理。（一）个人隐私信息：身份证号隐藏中间出生日期段，手机号隐藏中间四位，银行卡号隐藏大部分位数。（二）商业秘密：合同金额对非直接相关人显示为“***”或模糊范围。（三）日志脱敏：系统后台日志中禁止记录完整的密码、银行卡号、密钥等敏感信息，仅记录哈希值或掩码。5.4数据防泄露（DLP）在审批流程附件上传、下载、导出等环节，应集成数据防泄露（DLP）技术。（一）内容扫描：系统自动扫描附件内容，识别是否包含敏感关键词或正则表达式匹配的敏感数据。（二）通道管控：禁止通过审批系统直接将机密以上数据转发至私人邮箱、网盘或社交软件。（三）水印技术：对于下载的审批单据和附件，系统应自动添加包含访问者姓名、时间、IP地址的明水印或暗水印，一旦发生泄露可快速溯源。第六章审批流程与权限控制6.1流程设计安全规范业务部门在设计审批流程时，必须遵循职责分离原则，严禁同一人在同一流程中担任互斥的岗位（如发起人与审批人、制单人与审核人）。审批流程必须具备闭环控制，对于被驳回的流程，必须明确修改后的再次提交路径。系统应支持审批加签、转办、代理等特殊操作的审计记录，严禁在流程外进行“线下沟通、线上补签”的违规操作。6.2权限动态分配（RBAC）系统应采用基于角色的访问控制（RBAC）模型，将权限授予角色，将角色授予用户。角色的创建与权限的分配必须由业务部门申请，经安全管理部门审核后由系统管理员配置。系统应定期（至少每季度）导出权限分配清单，交由业务部门负责人进行复核，清理不再需要的冗余权限。对于临时性的高权限需求（如项目期查询权限），必须设置有效期，到期自动回收。6.3电子签名与印章管理具有法律效力的线上审批结果，必须使用合法的第三方电子认证服务机构（CA）颁发的数字证书进行电子签名。电子印章的制作、使用、销毁必须进行严格的审批登记，并纳入印章管理系统统一管控。系统应验证电子签名的有效性，确保审批单据在生成后未被篡改。对于关键审批单据，系统应生成PDF格式的电子文件，并嵌入电子签名和时间戳，以满足存档和审计要求。6.4代理与委托安全员工因出差、请假等原因需要委托他人代为处理审批工作时，必须通过系统发起“审批委托”流程，明确委托范围、受托人及委托起止时间。受托人在代行审批权限时，其操作日志中应明确标识“代理操作”，并记录原委托人信息。委托到期后，系统应自动收回代理权限。严禁员工私下告知账号密码给同事进行代操作。第七章日志审计与监控7.1日志记录范围系统必须全面记录以下日志信息，日志保留时间不得少于6个月，对于涉及资金交易和核心数据的日志保留时间不得少于3年：（一）用户登录日志：登录时间、IP地址、地理位置、设备指纹、登录状态（成功/失败）、失败原因。（二）业务操作日志：操作人、操作时间、操作类型（发起、审批、撤回、查看、导出等）、操作对象（单据编号）、操作前数据、操作后数据。（三）系统管理日志：管理员账号、管理操作（权限变更、流程配置修改、数据字典维护）、操作时间、来源IP。（四）安全事件日志：异常访问告警、权限越权尝试、接口攻击拦截、数据泄露风险。7.2审计分析与预警信息安全管理部门应部署安全信息事件管理系统（SIEM），对审批系统的日志进行集中采集、关联分析和可视化展示。系统应设置多维度监控指标和告警阈值，例如：（一）异常时间操作：非工作时间（如22:00-06:00）的高频审批操作。（二）异常地点登录：短时间内出现跨国跨省跳跃式登录行为。（三）权限滥用：短时间内批量查询或导出大量敏感数据。（四）暴力破解：同一账号连续5次登录失败。一旦触发告警，系统应立即通过邮件、短信或微信通知安全管理人员及业务负责人。7.3定期审计报告内部审计部门或信息安全管理部门应每季度对线上审批流程进行一次专项审计，审计内容包括但不限于：权限合规性检查、流程闭环率检查、敏感数据操作记录检查、高危漏洞修复情况检查。审计报告需提交公司管理层审阅，并对发现的问题下发整改通知书，追踪整改闭环情况。第八章应急响应与故障处置8.1应急预案制定针对审批系统可能面临的各类安全突发事件，如勒索病毒感染、数据库被删、数据大规模泄露、系统遭受DDoS攻击瘫痪等，必须制定详细的应急预案。预案应明确应急响应组织架构、各角色职责、响应流程、沟通机制及恢复策略。应急预案至少每年进行一次演练，根据演练结果更新预案内容。8.2事件分级与响应安全事件分为一般、较大、重大、特别重大四个等级。（一）一般事件：单个系统功能异常，影响局部业务。由运维团队在4小时内恢复。（二）较大事件：系统部分模块不可用，或发生小范围数据泄露。由安全管理部门牵头，在2小时内启动响应，8小时内恢复。（三）重大/特别重大事件：系统全线瘫痪，或发生核心数据大规模泄露。由信息安全委员会启动最高级别响应，实施“止损、隔离、分析、恢复、溯源”五步法，并按照法律法规要求向上级监管部门报告。8.3容灾恢复演练审批系统应具备完善的容灾备份能力。关键业务系统需建立应用级容灾，确保在主数据中心发生灾难时，备中心能在规定时间（RTO）内（如2小时）接管业务，并保证数据丢失量（RPO）尽可能接近零。容灾切换演练应至少每年进行一次，确保备份数据的有效性和恢复流程的可行性。第九章培训与意识教育9.1新员工入职培训所有新入职员工在入职培训期间，必须接受不少于2学时的信息安全意识培训，其中线上审批流程安全规范作为必修内容。培训内容包括：账号密码安全、识别钓鱼邮件、审批操作规范、敏感数据保护要求等。培训结束后需通过考核，考核合格方可开通审批系统账号。9.2定期专项培训公司应每半年组织一次全员信息安全专项培训。针对审批流程中出现的新威胁（如利用审批漏洞进行诈骗）、新政策（如数据出境安全评估）进行宣贯。对于财务、HR、采购等高频接触敏感数据的重点岗位人员，应组织更高级别的安全技能培训，提升