工作群内部信息保密管理规定

工作群内部信息保密管理规定第一章总则1.1目的与依据为适应数字化办公环境下的信息安全管理需求，规范公司内部各类即时通讯工具工作群（以下简称“工作群”）的使用行为，防止敏感信息、商业秘密及核心数据通过工作群渠道泄露、流失或被违规使用，保障公司信息安全，维护公司合法权益及竞争优势，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国保守国家秘密法》及公司内部《信息安全管理制度》等相关法律法规和规章制度，特制定本规定。1.2适用范围本规定适用于公司全体员工，包括正式员工、实习生、劳务派遣人员、顾问及因业务需要接入公司工作群的外部人员。公司所有基于企业微信、钉钉、飞书、微信、QQ等即时通讯工具建立的工作群，均纳入本管理范畴。1.3管理原则工作群信息保密管理遵循“涉密不上网、上网不涉密”、“谁建群谁负责、谁管理谁负责”、“业务需要最小化”及“全程可追溯”的原则。所有员工在使用工作群进行信息交互时，必须严格遵守保密义务，对因工作原因知悉的内部信息承担保密责任。第二章术语与定义2.1工作群指公司员工为履行工作职责、开展业务协作、进行项目沟通等目的，利用各类即时通讯软件组建的群组。包括但不限于部门群、项目群、临时沟通群、跨部门协作群及包含外部客户的业务群等。2.2内部信息指公司在生产经营、管理活动、技术研发、市场开拓等过程中产生、采集、加工、整理、归档的，不为公众所知悉、能为公司带来经济利益、具有实用性并经公司采取保密措施的技术信息、经营信息和管理信息。（1）技术信息：包括但不限于设计图纸、源代码、算法模型、技术方案、研发数据、配方、工艺流程、技术指标、测试报告等。（2）经营信息：包括但不限于客户名单、营销策略、定价策略、招投标信息、采购渠道、财务数据、利润分析、成本核算、投融资计划等。（3）管理信息：包括但不限于人力资源数据（薪酬、绩效、个人信息）、战略规划、管理层会议决议、未公开的内部通知、制度文件等。2.3敏感操作指在工作群内可能引发信息泄露风险的操作行为，包括但不限于转发消息、截图、录屏、分享文件、邀请外部人员入群、群迁移、解散群等。第三章管理职责3.1信息安全部职责信息安全部是工作群信息保密的归口管理部门，负责制定和修订本管理规定；负责工作群安全策略的技术落地与监督；定期对工作群进行安全审计与风险评估；对违规行为进行技术追踪与取证；组织开展信息安全保密培训。3.2人力资源部职责负责将本规定纳入员工入职培训及年度考核体系；配合信息安全部对违规员工进行行政处罚、解除劳动合同等处理；负责离职员工在工作群中的权限清理监督。3.3部门负责人职责各部门负责人是本部门工作群信息安全的第一责任人。负责审批本部门工作群的建立与解散；指定群管理员；监督本部门员工在工作群内的信息发布行为；定期组织开展本部门群组的自查自纠工作。3.4群管理员职责群管理员由群主或群主指定的专人担任，负责群成员的审核与管理（邀请、移除）；负责群公告的发布与保密提醒；负责设置群聊属性（如开启“禁止外人加入”、“群聊名称规范化”等）；负责监督群内信息交互，发现违规行为及时制止并上报；负责项目结束或群组闲置时的解散操作。第四章工作群全生命周期管理4.1建群审批与命名规范4.1.1建群审批：建立工作群应遵循“按需建立”原则。部门级固定工作群需经部门负责人审批；项目类工作群需经项目负责人审批；涉及敏感数据（如财务、研发、核心人事）的工作群，需向信息安全部报备。严禁私自建立用于传输公司核心机密文件的个人社交群组。4.1.2命名规范：工作群名称应当清晰、规范，能够准确反映群组属性，便于识别与管理。推荐格式为：“公司简称-部门/项目名称-群功能-年份”。例如：“科技股份-研发中心-核心架构组-2024”。严禁使用无意义字符、敏感词汇或过于随意的名称（如“闲聊群”、“快乐一家人”等）。4.2成员管理4.2.1实名制管理：工作群内成员必须使用真实姓名作为群昵称，格式建议为“部门-姓名”。禁止使用匿名、化名或表情符号作为群昵称，确保责任可追溯。4.2.2成员准入：群管理员在邀请成员入群时，必须核实人员身份。内部员工入群需确认其业务相关性；外部人员（如客户、供应商、专家）入群必须经过部门负责人审批，并设置“外部联系人”标签，严格控制其在群内的发言权限和文件查看权限。4.2.3成员移除：员工离职或岗位调整不再需要参与该群组沟通时，群管理员必须在人员离职当日或岗位调整当日将其移出所有相关工作群。人力资源部应在离职流程中增加“工作群退出确认”环节。4.3群组解散与归档4.3.1临时群解散：因临时会议、短期活动建立的工作群，应在任务结束后的24小时内解散。4.3.2项目群归档：项目结束后，项目负责人应决定群组去向。对于需要保留历史记录作为档案的，应移除所有不再相关的人员，仅保留核心管理人员，并将群组设置为“仅管理员发言”或转为“存档状态”；对于无保留价值的，应立即解散。4.3.3长期闲置清理：对于连续30天无消息互动的“僵尸群”，系统管理员或群管理员应进行清理或解散。第五章信息分级与传输规范5.1信息分级标准为便于管理，将可在工作群传输的信息分为四个等级，不同等级对应不同的传输要求。信息等级定义示例传输限制公开级可完全对外公开，无保密要求公司官网介绍、已发布的公关稿、产品手册可在所有工作群及外部群自由传输内部级仅限公司内部员工知悉，禁止外传内部行政通知、非敏感会议纪要、一般通讯录、员工手册仅限纯内部工作群传输，严禁发往有外部人员的群敏感级仅限特定部门或项目组人员知悉未公开的营销计划、客户意向名单、非公开财务报表、测试数据仅限特定授权的内部工作群，禁止群外转发，建议使用“阅后即焚”或加密文档机密级公司核心秘密，泄露将造成重大损失源代码、核心算法、私钥、薪酬数据、并购协议、未公开的重大合同禁止在工作群直接传输。必须通过公司加密安全网盘传输，仅在工作群发送访问链接（需设置权限和有效期）5.2信息发布禁止性条款严禁在工作群内发布、传输、讨论以下内容：（1）违反国家法律法规及公司规章制度的信息。（2）涉及国家秘密的任何信息。（3）标注为“机密”、“绝密”或核心商密的原始文件。（4）未采取加密措施的用户隐私数据、身份证号、银行卡号、详细家庭住址等。（5）含有恶意代码、病毒、钓鱼链接的文件或网址。（6）对公司、客户、合作伙伴进行攻击、诽谤或不实评价的言论。（7）涉及色情、暴力、恐怖等不良内容。（8）未经授权的公司高层私人行程、联系方式。5.3特殊信息交互规范（1）代码传输：严禁直接在工作群内粘贴大段源代码。代码片段如需调试，必须进行脱敏处理，且不得包含核心逻辑、密钥或硬编码的账号密码。（2）密码传输：严禁在工作群中以明文形式发送系统登录密码、数据库密码、服务器root密码等。密码管理应通过公司指定的密码管理工具进行，如需临时告知，应通过电话或分渠道（一半发群，一半私发）等方式，并告知接收方立即修改。（3）截图传输：包含“内部级”及以上信息的系统界面截图，必须进行关键数据打码处理（如客户姓名、金额、具体参数），并在截图中标注“内部资料，严禁外传”水印。第六章文件与数据交互安全6.1文件传输要求（1）优先使用企业云盘：对于超过5MB的文件或正式业务文档，必须上传至公司企业云盘或文档协作平台，在工作群内仅分享文件链接，并设置链接的“阅后即焚”或“有效期”（如有效期7天）。（2）文件格式管控：严禁在工作群传输可执行文件（.exe,.bat,.sh,.vbs等）、压缩包内含可执行文件的文件。如需传输脚本代码，必须将其后缀改为文本格式（如.txt）。（3）文件加密：涉及“敏感级”信息的文档，在发送前必须进行文件加密（设置打开密码），并通过口头或其他安全渠道告知接收方密码，严禁在群内同时发送文件和密码。6.2防泄露机制（1）水印开启：所有涉及业务沟通的工作群，必须强制开启“群消息水印”或“客户端截屏水印”功能。水印内容应包含“员工姓名+时间+内部机密”字样，以便在发生泄露截图时进行溯源。（2）截屏阻断：对于涉及“机密级”项目讨论的高保密群组，应申请开启“禁止截屏、录屏”功能。对于技术条件允许的客户端，违规截屏将触发系统告警并上报至信息安全部。（3）转发限制：严禁将工作群内的消息、文件一键转发至个人微信、外部群或朋友圈。如需转发，必须经信息发布者及部门负责人双重确认。6.3本地存储管理员工应定期清理即时通讯工具的本地缓存文件和文件传输记录。严禁将从工作群接收到的内部文档私自上传至个人网盘（如百度云、GoogleDrive）、家庭电脑或个人移动存储设备中。第七章外部人员与跨群协作管理7.1外部人员入群管理（1）审批流程：因业务需要邀请客户、供应商、专家等外部人员入群时，发起人需填写《外部人员入群审批单》，明确外部人员姓名、单位、职务、入群事由、预计在群时长，经部门负责人及信息安全部审批后方可邀请。（2）隔离措施：包含外部人员的群组，群名称必须包含“外联”字样。群管理员必须设置“外部人员不可查看群成员”、“外部人员不可查看入群前消息”等安全策略。（3）信息管控：在有外部人员的群组中，严禁讨论公司内部人事安排、成本利润、核心技术等敏感话题。发布文件前，必须进行严格的脱敏检查，确保不包含无关的内部数据。7.2跨群转发管理（1）跨部门群协作：当需要将消息从一个部门群转发至另一个部门群时，需评估接收方是否具备该信息的知悉权。如不确定，必须私信询问原发送者。（2）多群发布：使用“多群发送”功能时，必须仔细核对目标群组，严防因操作失误将敏感信息发送至错误的群组（如将内部报价单误发至客户群）。第八章设备与账号安全8.1设备管理（1）终端准入：原则上要求员工仅在公司配发的设备或已安装MDM（移动设备管理）客户端的个人设备上登录工作账号。严禁在网吧、公用电脑或未受控的个人设备上登录账号。（2）设备管控：员工应确保终端设备安装有杀毒软件并及时更新病毒库。设备一旦发生丢失或被盗，应立即向IT部门报告，申请远程擦除工作账号数据，防止本地缓存数据泄露。8.2账号安全（1）账号绑定：工作账号必须绑定员工个人手机号，并开启“手机验证码登录”或“双重身份验证（2FA）”。（2）账号借用：严禁将个人工作账号借给同事、家属或外部人员使用。所有操作行为均被视为账号本人操作，由此产生的后果由账号所有人承担。（3）离线锁定：设置自动锁屏时间，建议设置为5分钟无操作自动锁定，防止设备无人看管时被他人操作。第九章监控、审计与应急处置9.1安全审计（1）日志审计系统：信息安全部通过DLP（数据防泄露）系统对工作群的文件传输、敏感关键词（如“报价单”、“源码”、“密码”）进行7x24小时监控。（2）定期巡检：信息安全部每月随机抽取一定比例的工作群进行合规性检查，重点检查群成员构成、文件传输记录及是否存在违规讨论。9.2异常行为预警系统检测到以下异常行为时，将自动触发告警并发送至信息安全部及部门负责人：（1）短时间内批量下载群文件。（2）非工作时间（如22:00-06:00）大量敏感文件传输。（3）向未授权的外部群或个人转发敏感文档。（4）尝试在禁言群发言或频繁邀请外部人员入群。9.3应急处置流程（1）事件上报：任何员工发现工作群内有疑似泄密行为（如误发文件至外部群），应第一时间通过电话或当面告知群管理员及信息安全部，不得试图在群内通过打字撤回掩盖（可能已被转发）。（2）紧急阻断：信息安全部接到报告后，应立即采取远程撤回消息、冻结相关账号、解散相关群组等技术手段，阻断泄露途径。（3）影响评估：对泄露信息的范围、敏感程度及潜在影响进行评估。（4）补救措施：如涉及客户数据泄露，应及时通知客户并采取补救措施；如涉及核心技术泄露，应评估是否需要申请专利保护或采取法律手段。第十章违规处罚与责任追究10.1违规分级与处罚标准根据违规行为的性质、情节轻重及造成的后果，将违规行为分为三个等级并进行相应处罚。违规等级违规行为描述处罚措施轻微违规1.工作群命名不规范，未及时整改。2.邀请外部人员入群未审批，但未造成信息泄露。3.在群内发布与工作无关的闲聊信息，干扰工作秩序。4.离职未及时退出工作群（非管理员主观故意）。1.口头警告或通报批评。2.责令立即整改。3.绩效考核扣除2-5分。严重违规1.将“内部级”信息转发至外部群或个人微信。2.在工作群内明文传输系统密码。3.违规发送含有恶意代码的文件。4.因管理不善，导致外部人员在群内获取敏感信息。5.故意规避审计监控，使用私人社交群处理公司业务。1.书面警告，全公司通报。2.取消年度评优资格。3.扣发当月部分绩效奖金。4.视情况给予降职、降薪处理。极严重违规1.故意泄露“机密级”信息，给公司造成重大经济损失。2.将核心代码、客户名单等出售或非法提供给竞争对手。3.多次严重违规，屡教不改。4.发现泄密行为故意隐瞒不报，导致事态扩大。1.立即解除劳动合同，予以辞退，且不予支付经济补偿金。2.追究其法律责任（民事赔偿、刑事责任）。3.行业范围内通报（如适用）。10.2连带责任（1）群管理员责任：若群内发生长期违规现象或重大泄密事件，群管理员未尽到监督、管理职责的，将承担连带管理责任，视情节轻重给予通报批评