IT企业信息安全准则

IT企业信息安全准则一、总则

(一)目的：依据《网络安全法》《数据安全法》及《个人信息保护法》等国家法律法规，结合行业数据敏感性及业务连续性需求，针对公司信息系统、网络环境及数据资产面临的泄露、篡改、中断等风险，明确信息安全管控要求，防范操作失误与恶意攻击引发损失，保障业务稳定运行与客户信任。

1、规范员工信息安全行为，降低人为风险；

2、保护公司核心数据资产，维护核心竞争力；

3、满足行业监管要求，避免合规处罚。

(二)适用范围：覆盖公司所有部门及员工，包括正式员工、实习生及外包技术团队，涉及公司网络环境、办公设备、业务系统、第三方平台等。供应商接入公司信息系统需经信息安全部审核，例外场景（如内部系统临时调整）需部门负责人报备。

1、信息技术部负责网络架构与系统安全；

2、各业务部门负责本领域数据安全。

(三)核心原则：坚持最小权限、纵深防御、及时响应、持续改进原则，强化全员安全意识。

1、按需授权，定期审计权限；

2、多重防护，覆盖网络、终端、应用层；

3、事件即时报送，24小时内初步处置。

(四)层级与关联：本制度为专项制度，与《员工手册》《绩效考核办法》关联，冲突时以本制度为准，重大争议由总经理决策。

1、与《员工手册》衔接，违规行为纳入绩效；

2、与《绩效考核办法》挂钩，安全责任明确。

(五)相关概念说明。

1、敏感数据指客户信息、源代码等核心资产；

2、安全事件指系统故障、数据外泄等。

二、组织架构与职责分工

(一)组织架构：设立信息安全委员会，由总经理牵头，信息技术部、业务部负责人及安全员组成，负责重大决策；信息技术部下设安全专员，统筹日常管理。

1、委员会每季度召开例会，审议安全策略；

2、安全专员负责制度落地与技术支持。

(二)决策与职责：总经理负责批准安全预算、重大风险处置方案，信息技术部负责执行。

1、年度预算需提交委员会审批；

2、紧急事件由安全专员上报总经理。

(三)执行与职责：信息技术部负责网络监控、漏洞修复，业务部门负责数据脱敏、操作规范。

1、信息技术部每日检查系统日志；

2、业务部门定期开展数据备份。

(四)监督与职责：安全员通过抽查、培训考核监督执行情况，结果纳入部门绩效。

1、季度抽查覆盖30%员工；

2、考核不合格需重新培训。

(五)协调联动：建立安全事件应急小组，信息技术部牵头，业务部门配合，每日15:00前同步处置进展。

1、跨部门事件由安全专员协调；

2、每周例会通报风险点。

三、网络与系统安全管理

(一)访问控制：员工账号需设置复杂密码，每90天变更，禁止共享；管理员账号需双因素认证。

1、信息技术部统一管理账号，禁止手工开通；

2、离职员工需立即停用账号。

(二)终端安全：办公电脑安装公司统管防病毒软件，每月更新病毒库，禁止私装应用。

1、信息技术部每月抽检终端防护状态；

2、违规设备需立即下线整改。

(三)数据传输与存储：涉密数据传输必须加密，本地存储需加密或定期销毁。

1、邮件附件超1MB需加密；

2、服务器数据每月归档备份。

(四)外部接入管理：供应商接入需签订保密协议，通过虚拟专用网络（VPN）传输数据，接入期间由信息技术部全程监控。

1、接入前提交安全评估报告；

2、项目结束后需清除访问权限。

四、数据安全分类分级

(一)管理目标与核心指标：建立数据分级标准，明确核心数据保护措施，设定年度数据安全事件发生次数为零的目标。

1、敏感数据零泄露；

2、系统漏洞修复率100%。

(二)专业标准与规范：数据分为三级，核心数据（客户名单、财务数据）需加密存储与传输，一般数据（业务记录）需脱敏处理。

1、核心数据访问需三级审批；

2、一般数据传输需匿名化。

(三)管理方法与工具：采用数据分类标签法，结合加密软件、访问日志系统进行管控。

1、标签分为“核心”“内部”“公开”；

2、日志系统每月导出分析。

五、安全事件应急响应

(一)主流程设计：发现安全事件后，第一时间隔离受影响系统，技术组判断风险等级，安全委员会决策处置方案。

1、事件发现后2小时内隔离；

2、风险等级由安全专员评估。

(二)子流程说明：涉及外部通报时，需提前准备简易通报材料，由信息技术部起草，总经理审批。

1、通报内容含事件概述、影响范围、整改措施；

2、媒体沟通由市场部配合。

(三)流程关键控制点：核心数据泄露需双重验证，系统瘫痪需3小时内恢复备份。

1、验证需交叉复核；

2、恢复需经安全测试。

(四)流程优化机制：每月复盘应急演练效果，简化审批环节，增加桌面推演频次。

1、问题点需纳入制度修订；

2、演练结果直接挂钩绩效。

六、供应链信息安全管控

(一)权限设计：供应商仅可访问必要数据接口，权限由信息技术部按需开通，每月审计。

1、接口访问需绑定工号；

2、权限变更需书面记录。

(二)审批权限标准：供应商接入需提交安全承诺书，由信息技术部审核，总经理批准。

1、承诺书含数据保密条款；

2、审批通过后签订协议。

(三)授权与代理：临时授权需明确期限，代理操作需双人确认。

1、期限最长不超过3个月；

2、确认需签字留痕。

(四)异常审批流程：紧急需求需加急通道，但需技术组现场评估。

1、加急申请需附说明；

2、评估不合格需重新申请。

七、安全意识与培训管理

(一)执行要求与标准：新员工入职需培训，每年考核一次，不合格需补训。

1、培训内容含制度要求、案例警示；

2、考核采用线上答题。

(二)监督机制设计：安全员每月抽查操作规范，重点关注数据传输、密码管理。

1、抽查覆盖30%员工；

2、问题点需现场纠正。

(三)检查与审计：每季度联合信息技术部检查制度执行情况，形成简易报告。

1、报告含检查记录、整改建议；

2、结果直接反馈部门负责人。

(四)执行情况报告：每月5日前提交报告，包含培训人次、考核通过率、问题整改率。

1、报告需含改进措施；

2、数据作为年度评优依据。

八、考核与整改管理

(一)绩效考核指标：设定年度信息安全考核指标，权重分配为事件发生次数（40%）、制度执行率（30%）、培训效果（30%），考核对象为各部门负责人及信息技术部人员。

1、事件发生次数为零为满分；

2、制度执行率按检查结果计分。

(二)评估周期与方法：每季度考核一次，采用评分制，信息技术部统计数据，安全员复核。

1、考核结果直接影响部门绩效；

2、数据以系统日志、检查记录为依据。

(三)问题整改机制：一般问题3日内整改，重大问题7日内整改，由安全员跟踪复核，逾期未整改者通报部门负责人。

1、整改需形成书面记录；

2、复核不合格需重新整改。

(四)持续改进流程：每年6月、12月评估制度有效性，收集各部门建议，信息技术部提出修订方案，总经理批准。

1、建议需明确具体问题；

2、修订方案需简化操作。

九、奖惩机制

(一)奖励标准与程序：对主动发现漏洞、提出改进建议者，给予一次性奖金，金额根据风险等级分级，程序为申报、信息技术部审核、总经理批准。

1、一般漏洞奖励500元；

2、重大漏洞奖励2000元。

(二)处罚标准与程序：一般违规罚款100元，较重违规罚款500元，严重违规解除劳动合同，程序为调查、告知、审批、执行，保留书面记录。

1、违规行为需双人确认；

2、罚款直接从工资扣除。

(三)申诉与复议：员工对处罚不服可书面申诉，信息技术部受理，3日内回复，不服可向总经理申请复议，5日内出具结果。

1、申诉需附证据材料；

2、复议结果为最终决定。

十、附则

(一)制度解释权：本制度由信息技术部负责解释。

1、重大问题报总经理决策；

2、解释结果内部公示。

(二)相关索引：

1、《员工手册》；

2、《绩效考核办法》。

(三)修订与废止