信息系统退役销毁处置管理规范

信息系统退役销毁处置管理规范一、总则1.1目的与依据信息系统退役不是“关机了事”——存储介质中的业务数据在设备离开机房那一刻起，就从企业资产变成了泄露源头。一块未彻底清除数据的硬盘流入二手市场，可能导致客户信息批量外泄、监管处罚（依据《中华人民共和国数据安全法》《中华人民共和国网络安全法》及GB/T22239-2019《信息安全技术网络安全等级保护基本要求》关于介质清除与销毁的条款）并承担《中华人民共和国个人信息保护法》规定的个人数据处理者责任。本规范的目的，是让每一台退役设备“数据先死、资产后走”，全过程可追溯。1.2适用范围•适用于本公司所有信息系统（生产系统、办公系统、测试系统）的服务器、存储设备、网络设备、安全设备、终端（台式机、笔记本）、备份介质（磁带、移动硬盘、U盘、光盘）的退役、数据清除、销毁与资产处置。•虚拟机、云主机退订及云上数据的清除，参照第4章介质清除要求执行，并须取得云服务商出具的数据删除确认。•租赁设备到期归还、保修换新设备出厂前，同样执行本规范的数据清除流程。1.3术语定义术语定义退役系统或设备正式停止生产运行、不再承担业务职能的状态变更逻辑清除通过软件工具覆写、擦除数据，介质可继续使用物理销毁通过消磁、粉碎、焚烧等方式使介质永久不可读数据清除证书记录清除方式、执行人、验证结果的责任凭证资产处置数据清除完成后对设备硬件的转移、变卖、捐赠或报废1.4角色与职责角色职责关键动作节点IT资产管理员建立退役清单、核对台账、发起审批退役前30个工作日提交《信息系统退役申请表》系统运维负责人确认系统无依赖、备份已完成签署“业务影响确认”栏数据安全负责人审定数据清除方案、验证清除效果清除完成后2个工作日内签发数据清除证书信息安全部保存全过程记录、监督销毁现场记录保存期不少于5年财务部资产核销、残值评估入账处置后10个工作日内完成账务处理采购/行政部门对接回收商、执行招标或比价回收商资质年审二、退役申请与审批2.1退役触发条件满足以下任一条件即可启动退役流程：1.系统被新系统替代，且新系统上线并稳定运行满3个月、旧系统无新增工单；2.系统连续180天无业务访问（以访问日志为准）；3.硬件超出设计寿命（服务器按5年、网络设备按7年估算）且年度维修费超过设备重置成本的50%；4.业务部门书面申请下线。2.2退役前检查清单（缺一不可）•数据归档：业务数据按归档策略迁移至归档存储，归档数据保留期按《数据备份与归档管理制度》执行，涉及个人信息和财务凭证的按法定年限保留（会计凭证类不少于10年，个人信息按业务必需最短期限）。归档完成后抽样校验：随机抽取不少于3个业务对象做完整恢复验证。•依赖确认：逐项排查接口调用方、定时任务、域名解析、证书绑定、防火墙策略、监控告警项，输出《系统依赖排查表》。任一依赖未切断前，只停写不停删。•账号与权限回收：系统账号在停机当日禁用，30天后删除；服务账号对接的密钥、API凭证同步吊销。•许可与合同：梳理软件许可证（决定能否随硬件转移）、维保合同（提前60天书面通知解约，避免自动续费）。2.3审批权限单台设备残值或批次规模审批人残值估算低于5,000元信息安全部负责人残值5,000元至50,000元IT部门负责人+财务部负责人残值高于50,000元或涉及等保三级系统分管副总三、数据清除方案选择（本章是全规范的技术核心，选错方式等于没做）3.1按介质类型与数据级别选择清除方式（三段式决策）介质能否二次利用、数据密级多高，决定用哪种清除方式。优先逻辑清除复用；涉密或介质故障时物理销毁；严禁仅做“删除文件+清空回收站”或“格式化”后即处置——快速格式化只清空文件分配表，数据仍可被普通恢复软件读出。数据级别定义功能正常介质故障/需报废介质一般数据内部公开、内部资料单次覆写（全盘写0或随机数）消磁后物理破坏重要数据业务敏感、客户数据覆写3次以上（DoD5220.22-M或等效算法）消磁+粉碎涉密/核心数据涉密信息、核心算法、大批量个人敏感信息不做逻辑清除，直接消磁+粉碎消磁+粉碎，双人现场见证机械硬盘与磁带：优先消磁（消磁器磁场强度须达到介质矫顽力的2倍以上，普通冰箱磁铁、低强度消磁棒无效），消磁后销毁。固态硬盘（SSD）：严禁依赖消磁——SSD有磨损均衡机制，消磁对闪存颗粒基本无效；必须执行SecureErase（ATA安全擦除）或厂家加密擦除指令，或直接物理粉碎至单颗粒尺寸不大于25mm见方。光盘：物理破碎（弯折断裂不彻底，须剪碎至直径小于50mm的碎片）。U盘与存储卡：同SSD处理。3.2清除操作规程1.清除前将设备移入指定隔离区（带门禁与视频监控，保留录像90天），双人操作（一人执行、一人复核），全程录像。2.逐台核对资产标签与《退役设备清单》编号一致；不一致的设备退回查明原因后方可入区，防止夹带未审批设备。3.按选定方式执行清除，记录工具名称、版本、算法、起止时间（例如使用开源擦除工具时记录校验输出）。4.抽样验证：每批次随机抽取不少于10%（且不少于3块）介质，接入独立验证机（验证机网络隔离）尝试数据恢复扫描；扫描结果中出现任何可识别的原业务数据（文件名、目录结构、数据库页头）即判为清除失败。5.验证失败的介质：重新执行更高强度清除；第二次仍失败的，按故障介质路径物理销毁，并在清单中标注失败原因。3.3清除失败与异常处置•介质无法被识别、有物理坏道导致覆写中断：该介质必须按涉密级别处理（消磁+粉碎），不得因“可能数据不多”降级。•清除过程中设备丢失或离开隔离区：立即报告信息安全部，2小时内启动数据泄露风险评估（评估内容：介质内数据级别、是否加密、外泄路径），涉及个人信息的按《中华人民共和国个人信息保护法》评估是否需向监管报告并通知个人。•全程录像与操作记录归档，作为数据清除证书附件保存不少于5年。四、物理销毁与资产处置4.1销毁方式与执行要求•自行销毁（适用于批量小、具备场地条件）：使用粉碎机（须达到上述颗粒度要求）在监控区域操作，销毁残渣按一般固废处理；含锂电池的设备粉碎前必须先放电至安全电压（单芯低于3.0V）并移除电芯，否则存在粉碎时起火风险——替代方案是先委托有资质的电池回收点拆解电池。•委托销毁（优先用于涉密介质、大批量介质）：选择具备资质的回收销毁商（核查其危险废物经营许可、保密协议签署、销毁过程可监督三项条件，每年复核一次），签订保密协议时明确“销毁过程允许我方人员全程旁站、销毁前介质不得离开监控视线、违约赔偿按介质所载数据泄露后果计算”。•销毁现场必须由数据安全负责人或其书面授权人到场见证，拍摄销毁前后对比照片（含介质序列号特写），双方签署《介质销毁确认单》。•严禁将含数据介质以“废品”名义卖给无资质回收商；严禁维修商“以旧换新”时带走硬盘——替代方案：保修换新时保留旧盘，旧盘自行清除后返还或销毁。4.2硬件残值处置（数据清除完成后方可执行）1.变卖：通过不少于3家回收商比价，成交价低于残值估算20%以上的需说明原因；出售前拆除或格式化BMC/iDRAC/iLO等带独立存储的管理模块（这些模块含独立闪存，存有配置、凭证与日志，常被遗漏）。2.捐赠：仅限已完成清除的功能正常设备，随附数据清除证书副本。3.报废：无法变卖或捐赠的，拆解后按电子废弃物交有资质处理商，索取处置凭证。4.处置完成后10个工作日内，财务部完成资产核销，IT资产管理员更新台账并归档全部单据。五、全流程记录与审计5.1记录要求每个退役批次形成一套档案，包含：退役申请表及审批记录、系统依赖排查表、数据归档验证记录、退役设备清单（含序列号）、清除操作记录、验证记录与录像存档编号、数据清除证书、销毁确认单、处置比价记录、资产核销凭证。档案由信息安全部集中保管，保存期不少于5年。5.2审计与持续改进（PDCA闭环）•计划：每年1月信息安全部制定年度退役处置计划，汇总各系统预计退役清单。•执行：按本规范流程操作，操作记录实时归档。•检查：每年6月、12月各开展一次专项审计，抽样不少于2个已完成批次，核查单据齐全性、录像完整性、已销毁介质台账销号情况；发现台账与实物不符的，3个工作日内启动追溯。•改进：审计发现的问题纳入整改清单，明确责任人与完成时限，下次审计首先复核上次整改项。六、附则1.本规范由信息安全部负责解释与修订，每两年评审一次；国家法律法规更新后60日内完成对标修订。2.违反本规范造成数据泄露的，按公司《信息安全违规处罚办法》追究责任；构成违法的移交司法机关。3.本规范自发布之日起施行。附件1：信息系统退役申请表（样表）字段填写内容系统名称/资产编号退役原因（对照2.1条款）数据归档情况（归档位置/抽样验证日期）依赖排查确认（运维负责人签字）数