电商企业信息系统与数据安全管理制度

PAGE信息系统与数据安全管理制度第一章总则第一条为加强××电子商务有限公司数据库及信息系统的安全管理，规范数据库用户权限、系统维护、网络使用及公司电脑使用行为，保护公司数据资产和客户个人信息安全，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规，结合公司实际，制定本制度。第二条本制度适用于公司商城数据库、网站系统、内部网络及公司配发电脑的使用、维护与安全管理。第三条信息系统与数据安全管理遵循统一领导、分级授权、最小必要、安全保密的原则。IT部负责数据库系统安全管理、网络管理及公司电脑的统一管理；系统管理员负责按审批规定办理具体用户的授权、变更和注销；各业务部门负责本岗位数据的规范使用。第二章数据库权限分级管理第四条根据公司总经理授权，数据库用户权限级别分为普通用户、后台管理用户、数据库管理用户三个基本级别；系统管理员负责按审批规定办理具体用户的授权、变更权限和注销等管理工作。商城应制定数据库用户管理制度和数据库操作规程。第五条普通用户拥有查询、浏览、使用数据库中公开发布的各类数据的权利，不得进行任何录入、修改或删除操作。第六条后台管理用户除拥有普通用户权限外，拥有在权限范围内录入数据和修改权限内数据的权利，不得越权访问或修改权限范围以外的数据。第七条数据库管理用户拥有备份和恢复数据库的权限，应严格按照操作规程进行备份与恢复操作，不得擅自更改数据库结构。第八条系统管理员不直接参与业务数据录入，负责按审批规定办理具体用户的授权、变更权限和注销等管理工作。第九条根据工作需要，经市场总监和IT部相关领导共同批准，用户权限级别可予变更。特殊用户的权限设置应由公司总经理批准。第十条用户密码必须通过复杂性检验，位数不少于6位，并不得以数字开头；密码应定期更改。用户名和密码为个人专用，不得泄露给他人；特殊情况需要他人以自己的用户名和密码进入数据库时，应取得部门负责人同意，并在工作完成后及时修改密码。第十一条所有用户均应遵守公司保密制度，未经许可不得对外提供数据库中相关数据，不得越权使用和修改数据。第三章数据库修改与维护第十二条数据库系统的修改，应在系统管理员征求各业务部门对数据库使用的意见和建议并提出修改方案的基础上，由市场总监提出，经公司总经理签字同意后实施。可根据实际情况由公司组织人员修改（或重新开发），或委托外部机构修改（或重新开发）。第十三条数据库系统的修改，应保证数据的延续性和历史数据的可用性，修改前应做好完整备份，修改后应进行数据核对。第十四条业务人员在使用数据库的过程中，对数据库不完善或不方便使用之处，有信息监督和反馈的义务，应及时向系统管理员或IT部反馈。第四章数据库安全管理第十五条IT部负责数据库系统的安全管理，保证安全管理软件的及时升级，落实防入侵、防病毒、防泄露措施。第十六条数据库应每周至少备份一次。IT部应在保证数据安全和保密的情况下，采取适当方式保存备份文件，保证数据库出现异常时能快速恢复，避免或尽量减少数据丢失。第十七条除系统管理员和经公司总经理批准的人员外，其他人员不得进入存放数据库设备的机房。第五章网络管理规定第十八条公司网络仅限用于工作需要。员工不得在公司内部利用公司网络看影碟、进聊天室进行网络聊天、在线看视频、听音乐、玩游戏、下载、安装、传播网络游戏等。第十九条禁止员工在公司内浏览黄色、反动等非法站点，不得私自下载、安装任何类型的软件。MSN、RTX、企业即时通信工具、客服沟通工具等是为工作需要而开放的，禁止员工作为私人聊天工具使用。第二十条员工因工作需要增加或更新硬件产品、安装新的软件，须向网络管理部（IT部）申请，经批准后由网络管理部统一执行，任何人不得擅自安装。第六章公司电脑管理规定第二十一条公司为员工提供的电脑及其他设备为辅助工作之用，不能用于私人用途。员工应妥善保管和使用公司配发的电脑设备。第二十二条公司电脑应按规定安装防病毒软件并及时升级病毒库，不得关闭或卸载防护软件。发现电脑感染病毒或运行异常，应及时通知IT部处理。第二十三条员工应节约用电，做到人走关机；长时间不用电脑（如午休、开会）时，应随手关闭显示器。下班时应按规定退出系统并关闭电源。第七章客户数据保护与安全事件应急第二十四条公司收集和使用客户订单信息、账户信息等个人信息，应遵守《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》的规定，遵循合法、正当、必要原则。第二十五条客户订单信息、账户信息应加密存储，未经授权不得向任何第三方泄露、出售或者非法向他人提供。员工在业务范围内接触到的客户数据，仅可用于本岗位工作，不得私自复制、截屏、外传。第二十六条发生信息安全事件或数据泄露事件时，发现人应立即向IT部及部门负责人报告，IT部应迅速采取控制措施，保存相关日志和证据，按公司应急预案进行处置；涉及客户个人信息泄露的，应按规定及时告知受影响客户并向有关主管部门报告。第八章附则第二十七条本制度由IT部会同电子商务部负责解释。第二十八条本制度自发布之日起施行。表1数据权限申请表项目内容申请人/部门申请数据库/系统申请权限级别□普通用户□后台管理用户□数据库管理用户申请权限范围申请理由部门负责人意见市场总监意见IT部相关领导意见总经理审批意见（特殊权限）系统管理员办理记录授权/变更/注销日期：××年×月×日附件二数据库维护记录表表2数据库维护记录表维护日期维护类型维护内容操作人员审批人结果××年×月×日□每周备份□系统修改□版本升级□