信息安全管理制度

信息安全管理制度第一章总则1.1目的为规范公司信息安全管理工作，防范各类信息安全风险，保障信息系统、数据资产及业务运营的连续性、稳定性、保密性，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络安全等级保护条例》等法律法规，结合公司实际业务场景制定本制度。1.2适用范围本制度适用于公司全体员工、外包人员、合作伙伴、外部访客等所有接触公司信息资源的主体，覆盖公司所有信息系统、网络设施、终端设备、数据资产、业务流程的全生命周期安全管理。1.3基本原则1.3.1权责一致原则：谁主管谁负责、谁运维谁负责、谁使用谁负责，各岗位人员对职责范围内的信息安全工作承担直接责任。1.3.2最小权限原则：所有账号、数据、系统权限均按“完成工作所需最小范围”配置，禁止超权限授权、超范围访问。1.3.3全生命周期管控原则：对信息资产从采集、存储、传输、使用、共享到销毁的全流程实施安全管控，无管控盲区。1.3.4合规性原则：所有信息安全管理活动必须符合国家法律法规、行业监管要求及公司内部规范，定期开展合规性校验。1.3.5应急预案优先原则：针对各类可能发生的信息安全事件提前制定分级响应预案，定期开展演练，确保事件发生时响应时间、处置流程符合预设要求。第二章组织与职责2.1信息安全管理委员会公司设立信息安全管理委员会（以下简称“安委会”），作为信息安全最高决策机构，由CEO任主任，CTO、各业务线负责人、法务负责人、人力负责人为成员，核心职责包括：审批公司信息安全战略、管理制度、年度安全投入预算（年度安全投入不低于IT总投入的8%）；决策重大信息安全事件的处置方案，对等级以上安全事件的责任认定及处理结果进行最终审批；每季度召开一次安全专项会议，复盘季度安全态势，部署下一阶段安全工作重点。2.2信息安全部信息安全部为安委会常设执行部门，配置专职安全人员不低于IT团队总人数的10%，核心职责包括：牵头制定、更新各类信息安全规范、操作流程、技术标准，每半年开展一次制度有效性评估，及时修订滞后内容；统筹开展安全技术防护体系建设、日常安全监测、漏洞排查、风险评估工作，每月输出《安全态势报告》提交安委会；组织信息安全培训、应急演练，对各部门安全制度执行情况进行监督、考核；牵头信息安全事件的应急响应、溯源排查、影响评估，督促责任部门落实整改措施。2.3各部门职责部门负责人为本部门信息安全第一责任人，负责在本部门推行落实信息安全制度，指定1名兼职安全联络员对接信息安全部；业务部门负责业务场景下的数据安全管控，确保业务流程设计符合安全规范，对本部门产生、使用的数据安全承担直接责任；IT运维部负责基础设施、网络、系统的日常运维安全，落实安全配置规范，配合信息安全部开展技术防护措施落地；人力资源部负责将信息安全纳入员工入职、在职、离职全流程管理，配合开展安全培训、违规行为的人事处理；法务部负责信息安全相关合规审核，对接监管机构调查，处理安全事件相关的法律纠纷。第三章信息资产分类分级管理3.1资产分类公司信息资产分为以下6类，所有资产必须录入《信息资产台账》，由资产所属部门指定专人负责动态更新，更新频率不低于每月1次：1.基础设施类：服务器、网络设备、存储设备、安全设备、办公终端、会议设备等硬件资产；2.系统类：业务系统、办公系统、运维系统、测试系统、数据库、中间件等软件资产；3.数据类：业务数据、用户数据、财务数据、研发代码、管理文档等数据资产；4.账号类：系统账号、数据库账号、服务器账号、第三方平台账号等权限资产；5.文档类：规章制度、合同协议、项目方案、会议纪要等纸质/电子文档资产；6.人员类：掌握核心敏感信息的技术、业务、管理人员等人力资源类资产。3.2资产分级根据资产遭受破坏后的影响范围和严重程度，将所有资产划分为3个安全等级，实施差异化管控：3.2.1核心级（一级）：一旦泄露、损毁会导致公司重大经济损失、品牌声誉严重受损、触犯法律法规的资产，包括但不限于：用户个人敏感信息（身份证号、银行卡号、生物特征、位置信息、通信内容）、核心业务交易数据、财务核心数据、未公开的融资/并购/战略规划文档、核心系统源代码、生产环境最高权限账号。该类资产访问必须经过部门负责人+信息安全部双人审批，所有访问操作全程留痕、留存审计日志不少于180天。3.2.2重要级（二级）：泄露、损毁会导致公司局部业务受影响、一定范围经济损失的资产，包括但不限于：内部业务运营数据、非核心系统源代码、部门级管理文档、供应商合作信息、普通业务系统操作账号。该类资产访问需经过部门负责人审批，访问日志留存不少于90天。3.2.3一般级（三级）：公开信息、内部通用宣传材料、普通办公文档等对外泄露不会对公司造成损失的资产。该类资产访问按常规工作权限配置，无需额外审批。3.3分级管控要求各部门每季度对本部门资产进行一次梳理，更新资产分级标签，信息安全部每半年开展一次全公司资产盘点，确保账实相符率达到100%。核心级资产必须部署独立的安全防护措施，包括数据加密、访问控制、异常行为监测、异地备份等，禁止核心级资产与公共网络直接连通。第四章网络安全管理4.1网络架构安全4.1.1公司网络采用“区域隔离、分层防护”架构，划分为生产区、办公区、测试区、DMZ区四个逻辑区域，区域之间通过防火墙实现访问控制，默认拒绝所有跨区域访问请求，仅开放业务必需的端口和IP白名单。4.1.2生产区与其他区域实现物理隔离，仅允许指定的运维终端通过专用VPN通道访问，禁止生产区网络直接连通办公网络。核心网络设备采用双机冗余部署，关键链路带宽冗余率不低于50%，确保单设备/单链路故障时网络可用性不低于99.99%。4.1.3网络架构变更必须提前提交变更申请，明确变更范围、时间、回滚方案，经过IT运维部+信息安全部审批后方可实施，变更过程全程录屏，变更完成后24小时内开展安全验证，验证不通过立即回滚。4.2访问控制安全4.2.1所有外部访问公司内部网络必须通过企业级VPN认证，VPN采用“账号+动态口令+终端环境校验”三重认证机制，禁止使用静态密码单独认证。VPN账号仅限本人使用，禁止转借、共享，账号有效期与员工在职周期绑定，离职当天自动注销。4.2.2无线Wi-Fi分为内部办公Wi-Fi和访客Wi-Fi，两者物理隔离。内部办公Wi-Fi采用WPA3加密，接入需要员工账号认证，禁止使用弱密码；访客Wi-Fi仅开放互联网访问权限，禁止访问内部任何系统，访客账号采用单次申请制，有效期最长不超过72小时，到期自动失效。4.2.3禁止员工私自接入随身Wi-Fi、无线路由器、私人移动热点到公司办公网络，禁止在办公网络内使用代理工具、翻墙软件访问境外非法网站，IT运维部每24小时开展一次网络接入扫描，发现私接设备立即阻断网络并通报所属部门。4.3安全监测与防护4.3.1部署全流量安全分析系统、入侵检测系统（IDS）、入侵防御系统（IPS），对网络流量实现7*24小时实时监测，识别异常访问、端口扫描、攻击行为，高危告警响应时间不超过15分钟。4.3.2在网络边界部署抗DDoS设备，防护能力不低于1Tbps，针对常见的SYN洪水、UDP洪水、CC攻击等实现自动清洗，攻击流量超过阈值时自动切换至高防节点，确保业务连续性。4.3.3网络日志留存不少于180天，日志内容包括访问源IP、目的IP、访问时间、访问端口、操作内容、认证结果等字段，禁止任何人篡改、删除网络日志，日志查询必须经过信息安全部审批。第五章终端安全管理5.1办公终端管理5.1.1公司为员工统一配置办公电脑、办公手机，所有终端必须安装统一的终端安全管理（EDR）软件，启用杀毒、防火墙、外设管控、屏幕水印、操作录屏功能，禁止员工私自卸载、关闭EDR软件。5.1.2办公终端必须启用开机密码，密码长度不少于12位，包含大小写字母、数字、特殊字符，每90天强制更换一次，禁止使用近3次使用过的密码。终端设置自动锁屏，锁屏等待时间不超过5分钟，解锁需要输入密码或生物识别信息。5.1.3禁止员工私自重装办公终端系统、修改系统配置，禁止在办公终端上安装与工作无关的软件，尤其是破解类、盗版类、资源下载类软件，IT运维部每月开展一次终端安全巡检，弱密码、未装安全软件、违规软件的检出率必须低于1%。5.2外设与数据传输管理5.2.1办公终端默认禁用USB存储设备、光驱、蓝牙传输功能，确因工作需要使用U盘的，需提交申请，经过部门负责人+信息安全部审批后，由IT运维部开通指定终端的USB权限，所用U盘必须为公司统一采购的加密U盘，禁止使用私人U盘接入办公终端。5.2.2核心级数据禁止通过外部邮箱、微信、QQ等公共通信工具传输，确需对外传输的，必须经过数据所属部门负责人+信息安全部审批，对数据进行加密处理，且仅传输给指定接收方，传输记录留存不少于180天。5.2.3禁止将办公终端带出公司办公区域，确因出差、居家办公需要带出的，需提交申请，经过部门负责人审批，带出期间终端必须全程开启VPN，禁止在公共网络环境下直接访问核心系统和核心数据，返回公司后由IT运维部开展病毒查杀和安全检查。5.3外来终端管理5.3.1外部访客、外包人员、合作伙伴的终端禁止直接接入公司内部办公网络，如需接入的，需由对接部门提交申请，经过信息安全部审批后，接入访客网络，且终端必须经过病毒查杀，安装临时安全管控软件后方可接入。5.3.2外来终端访问内部系统必须通过对接人的终端投屏或者公司提供的临时专用终端，禁止外来终端直接存储、处理公司内部数据，访问结束后立即清除临时终端上的所有缓存数据，注销临时账号。第六章系统与应用安全管理6.1系统生命周期安全6.1.1新系统立项阶段，业务部门必须同步提交安全需求，信息安全部参与需求评审，安全需求不达标、未同步设计安全方案的项目不得立项。6.1.2系统开发阶段，研发团队必须遵循《安全开发规范》，对输入输出做合法性校验，避免SQL注入、XSS跨站、CSRF跨站请求伪造等常见安全漏洞，代码提交前必须经过自动化安全扫描，高危漏洞修复率达到100%后方可进入测试环节。6.1.3系统上线前，必须经过第三方专业机构的安全渗透测试，以及信息安全部的等保合规测评（三级系统必须通过网络安全等级保护2.0三级测评），测评不通过的系统不得上线。上线前必须完成账号权限配置、日志审计功能部署、数据备份策略设置，留存上线安全验收报告。6.1.4系统下线时，由所属部门提交下线申请，明确数据迁移、备份、销毁方案，经过信息安全部审批后实施，下线后必须彻底清除服务器、存储设备上的所有数据，确保数据不可恢复，核心系统下线后数据备份留存不少于3年。6.2账号权限管理6.2.1所有系统账号实行“一人一号”实名制管理，禁止共享账号、通用账号，生产环境禁止设置测试账号、匿名账号。账号创建必须由使用人提交申请，明确权限范围、有效期，经过系统管理员+部门负责人审批后创建，有效期最长不超过1年，到期自动失效，确需延续的需重新提交申请。6.2.2系统管理员、数据库管理员等最高权限账号必须采用双人共管模式，密码由两人分别保管一半，登录时需要双人共同认证，所有最高权限操作必须提前提交运维申请，经过审批后方可执行，操作过程全程录屏，留存审计日志不少于180天。6.2.3每季度开展一次账号权限梳理，清理离职人员账号、过期账号、冗余权限，核心系统权限梳理覆盖率达到100%，权限最小化符合率不低于98%。员工岗位调整、离职时，人力资源部必须第一时间通知IT运维部注销所有系统账号，禁止账号复用。6.3漏洞与补丁管理6.3.1信息安全部每月开展一次全系统漏洞扫描，每季度开展一次渗透测试，高危漏洞必须在24小时内完成修复，中危漏洞72小时内修复，低危漏洞7天内修复，漏洞修复后必须进行验证，确保修复有效，漏洞修复率和验证率均需达到100%。6.3.2系统补丁实行分级测试后部署，通用系统补丁先在测试环境测试72小时，确认无兼容性问题后再分批部署到生产环境，核心系统补丁部署必须提前制定回滚方案，避开业务高峰期操作，部署完成后24小时内监测系统运行状态。6.3.3建立漏洞上报激励机制，鼓励员工、外部白帽子上报公司系统漏洞，经核实有效的漏洞按照高危1-5万元、中危2000-10000元、低危500-2000元的标准给予奖励，严禁任何人利用公司漏洞获取非法利益，违者追究法律责任。第七章数据安全管理7.1数据全生命周期管控7.1.1数据采集：采集数据必须符合“合法、正当、必要”原则，不得采集与业务无关的用户信息，采集个人信息必须明确告知用户采集目的、使用范围、存储周期，获得用户明示同意。核心业务数据采集过程必须做完整性校验，确保采集数据准确、完整，禁止伪造、篡改采集数据。7.1.2数据存储：核心级数据必须采用AES-256及以上强度的加密算法加密存储，加密密钥由专门的密钥管理系统（KMS）保管，密钥与数据分开存储，密钥访问权限仅限指定的安全管理人员。数据备份采用“本地+异地”双备份策略，本地备份每日一次，异地备份每周一次，核心数据备份保留周期不少于6个月，每季度开展一次备份恢复测试，恢复成功率必须达到100%。7.1.3数据传输：核心级数据在内网传输采用TLS1.3及以上协议加密，公网传输必须通过VPN或者加密专用通道，禁止明文传输核心数据。数据传输过程必须做完整性校验，防止数据被篡改、窃取。7.1.4数据使用：数据使用实行“脱敏优先”原则，非生产环境使用核心数据必须进行脱敏处理，脱敏后的数据不得包含可识别个人身份的敏感字段，脱敏规则由信息安全部统一制定。数据使用过程禁止私自复制、下载、导出核心数据，确需导出的必须经过审批，导出的数据添加水印、溯源标识，禁止二次传播。7.1.5数据共享：对外共享数据必须明确数据接收方的安全责任，签订《数据安全保密协议》，明确数据使用范围、保密义务、违约责任，经过法务部+信息安全部审批后方可共享。禁止对外共享未经脱敏的用户个人敏感信息，禁止向境外传输核心数据，确需跨境传输的必须按照国家法律法规要求完成数据出境安全评估。7.1.6数据销毁：超过存储周期、不再使用的数据必须进行彻底销毁，纸质数据采用碎纸机粉碎处理，电子数据采用多次覆写、物理消磁或者物理销毁存储介质的方式处理，确保数据不可恢复。核心数据销毁必须有两名以上见证人在场，留存销毁记录不少于3年，禁止随意丢弃、售卖存储过核心数据的存储介质。7.2个人信息保护7.2.1严格落实《个人信息保护法》要求，指定个人信息保护专员，负责个人信息保护合规管理，每年至少开展一次个人信息保护影响评估，输出评估报告提交监管机构备案。7.2.2用户个人信息的处理活动必须符合用户授权范围，不得超范围使用、加工、传输用户信息，建立用户申诉响应机制，用户提出的查询、更正、删除个人信息、注销账号的申请，必须在7个工作日内响应并处理，不得设置不合理的障碍。7.2.3发生个人信息泄露事件时，必须在72小时内上报监管机构，并及时告知受影响的用户，采取有效措施降低损害，严禁瞒报、迟报个人信息安全事件。第八章物理安全管理8.1机房安全8.1.1核心机房必须达到国家B级以上机房标准，部署7*24小时视频监控、门禁系统、消防系统、温湿度控制系统、UPS不间断电源，监控日志留存不少于90天。机房门禁采用“指纹+密码”双重认证，仅允许授权的运维人员进入，进入机房必须登记，记录进入时间、人员、事由，禁止无关人员进入机房。8.1.2机房内禁止携带私人电子设备、食物、液体、易燃易爆物品，服务器、存储设备等硬件资产移出机房必须提交申请，经过IT运维部负责人审批，出具出门条后方可带出，门卫核对资产编号、审批信息无误后放行。8.1.3运维人员每周对机房环境、设备运行状态进行一次巡检，记录温湿度、电力负载、设备运行参数，发现异常立即处理，确保机房可用性不低于99.95%。8.2办公区域安全8.1.1办公区域按安全等级划分为普通办公区、核心研发区、数据中心区，核心研发区、数据中心区安装独立门禁，仅允许授权人员进入，禁止访客进入。8.1.2员工离开工位时必须锁定终端屏幕，将敏感文件、存储介质放入抽屉上锁，禁止将敏感文件随意摆放在桌面。下班时必须关闭办公设备电源，确认工位无敏感资料遗留后方可离开。8.1.3会议室内禁止私自安装录音、录像设备，涉及核心敏感内容的会议禁止使用公共视频会议软件，会议结束后必须清理白板内容，带走所有会议材料，禁止在会议室内遗留敏感资料。第九章人员安全管理9.1入职管理9.1.1员工入职时必须签订《保密协议》《信息安全承诺书》，明确员工的信息安全责任和义务，核心岗位人员（运维、研发、数据、财务等）必须开展背景调查，调查内容包括过往工作经历、有无信息安全违规记录、有无违法犯罪记录，背景调查不通过的不予录用。9.1.2新员工入职必须参加信息安全培训，培训内容包括公司信息安全制度、岗位安全规范、常见安全风险防范方法，培训后通过安全考试（满分100分，80分合格）后方可开通系统账号、发放办公终端。9.2在职管理9.2.1全体员工每年至少参加2次信息安全专项培训，核心岗位人员每年至少参加4次专项培训，培训内容包括最新安全政策、安全事件案例、新的安全规范等，培训完成后必须通过考核，考核不合格的暂停相关系统权限，补考合格后方可恢复。9.2.2每年至少开展1次钓鱼邮件演练、1次社会工程学攻击演练，演练覆盖率不低于90%，对演练中点击钓鱼链接、泄露敏感信息的员工进行通报批评和二次培训，连续两次演练不合格的给予绩效处罚。9.2.3员工不得在公开场合、社交媒体、公共论坛讨论公司未公开的敏感信息，不得私自接受媒体采访涉及公司业务、技术、数据相关的内容，确需接受采访的必须经过品牌部+法务部审批。9.3离职管理9.3.1员工提交离职申请后，部门负责人必须第一时间通知信息安全部、IT运维部，启动离职安全流程，回收所有办公设备、门禁卡、密钥、加密U盘等资产，注销所有系统账号、VPN账号、邮箱账号，清理员工在公司内部系统中的所有个人权限。9.3.2离职员工必须签订《离职保密承诺书》，明确离职后仍需承担的保密义务，保密期限按照国家法律法规和协议约定执行，核心岗位人员离职必须进行离职安全访谈，确认无未交接的敏感信息、无违规留存公司数据的情况后方可办理离职手续。9.3.3员工离职后6个月内，信息安全部监测是否存在离职员工违规访问公司系统、泄露公司敏感信息的情况，发现异常立即采取法律手段追究责任。第十章应急响应与事件管理10.1事件分级根据事件的影响范围、严重程度，将信息安全事件分为4个等级：特别重大事件（一级）：核心系统瘫痪超过4小时，10万条以上用户个人信息泄露，直接经济损失超过1000万元，或者受到监管机构行政处罚、引发重大舆情的事件；重大事件（二级）：核心系统瘫痪1-4小时，1万-10万条用户个人信息泄露，直接经济损失100万-1000万元的事件；较大事件（三级）：非核心系统瘫痪超过8小时，1000-1万条用户个人信息泄露，直接经济损失10万-100万元的事件；一般事件（四级）：局部网络、终端故障，少量非敏感数据泄露，直接经济损失低于10万元的事件。10.2应急响应10.2.1建立7*24小时应急值班机制，信息安全部设置专职应急响应人员，值班电话保持24小时畅通，发现安全事件或者接到事件举报后，15分钟内完成事件初步研判，确定事件等级，启动相应级别的应急预案。10.2.2应急响应流程包括：事件上报、研判定级、应急处置、溯源分析、整改恢复、报告总结六个环节。一级、二级事件必须在1小时内上报安委会主任，三级事件2小时内上报信息安全部负责人，四级事件4小时内上报信息安全部。10.2.3事件处置过程中，优先保障业务连续性和用户权益，