企业信息安全管理规范作业指导书 (含附件模板)

企业信息安全管理规范作业指导书文件编号XX-XX-IS-001版本V1.0编制部门安全管理部生效日期2026年X月X日编制/审核/批准编制：_审核：_批准：__目录1.目的2.适用范围3.引用文件与依据4.术语与定义5.信息安全组织与职责6.信息安全总体方针与目标7.信息资产分类分级管理8.人员安全管理9.物理与环境安全10.网络与通信安全11.系统与应用安全12.数据安全管理13.访问控制与权限管理14.终端与移动设备安全15.信息安全事件管理与应急响应16.业务连续性与灾难恢复17.外包与第三方服务安全管理18.信息安全审计与合规检查19.附则20.附录1目的为规范本企业信息安全管理工作，建立健全网络与信息安全管理体系，防范、抵御和化解信息安全风险，保障企业信息系统、网络、应用与数据的机密性、完整性、可用性（CIA），依据国家有关法律法规和标准要求，特制定本作业指导书。本指导书用于指导企业各层级、各部门、各岗位在日常运营中安全、合规地开展信息化建设与使用活动，实现信息安全的制度化、规范化、流程化和可审计。2适用范围本指导书适用于：•本企业及下属分支机构、控股子公司的全部信息系统、网络设施、应用系统、数据资产及信息安全相关活动；•企业全体员工（含正式员工、试用期员工、实习生、劳务派遣人员、顾问、外包及第三方服务人员，下同）；•接入企业网络或使用企业信息资产的供应商、合作方、客户等外部相关方；•企业在办公、研发、生产、运维、营销、财务等各项业务中涉及信息与数据管理的全部环节。3引用文件与依据本指导书在编制时引用并遵循以下现行有效的法律法规、标准与规范（以最新修订版本为准）：类别文件/标准说明法律《中华人民共和国网络安全法》2017年6月1日施行法律《中华人民共和国数据安全法》2021年9月1日施行法律《中华人民共和国个人信息保护法》2021年11月1日施行法律《中华人民共和国密码法》2020年1月1日施行法规《关键信息基础设施安全保护条例》国务院令第745号法规《网络安全等级保护条例》（根据属地最新要求）网络安全等级保护制度国标GB/T22080—2016《信息技术安全技术信息安全管理体系要求》（等同采标ISO/IEC27001:2013）信息安全管理体系（ISMS）国标GB/T22239—2019《信息安全技术网络安全等级保护基本要求》等保2.0国标GB/T28448—2019《信息安全技术网络安全等级保护测评要求》等保测评国标GB/T25069—2022《信息安全技术术语》术语定义国标GB/T35273—2020《信息安全技术个人信息安全规范》个人信息保护实践国标GB/T20988—2007《信息安全技术信息安全灾难恢复规范》容灾行业所属行业监管机构发布的信息安全与数据管理办法按行业适用说明：涉及安全相关文档与制度编制时，应持续跟踪上述法律法规和标准的更新，不得引用已废止版本。4术语与定义•信息安全：通过采取技术、管理和控制措施，保障信息的机密性、完整性、可用性、真实性、可核查性、可靠性等属性安全。•机密性（Confidentiality）：信息不被未授权者获取、使用。•完整性（Integrity）：信息及系统不被未授权篡改、破坏。•可用性（Availability）：信息及系统在授权主体需要时可及时获取和使用。•信息安全事件：可能危害信息安全属性、造成信息资产损失或业务中断的意外或恶意事件。•信息资产：对企业具有价值、需要保护的信息及其载体，包括数据、软件、硬件、服务、人员、文档等。•重要数据：可能危害国家安全、公共利益或企业重大利益，需重点保护的数据。•个人信息：以电子或其他方式记录的能够单独或结合识别特定自然人身份的各种信息。•最小权限原则：任何账户、程序、设备只拥有完成任务所必需的最小权限。•纵深防御：通过多重、异质的安全防护措施层层设防，提升整体防护能力。5信息安全组织与职责5.1组织架构建立由决策层、管理层、执行层三层组成的信息安全组织体系：信息安全最高决策层（高管/法定代表人）

│

信息安全领导小组（信息安全委员会）

│

信息安全归口管理部门（信息安全/IT安全部门）

│

各部门信息安全员──全体员工

5.2职责分工层级/角色主要职责信息安全领导小组审定信息安全方针目标、重大决策、资源配置，审批安全制度与重大整改信息安全归口部门组织制度落地、风险评估、监测预警、事件处置、应急演练、监督检查与培训各部门负责人本部门信息安全第一责任人，落实部门安全制度与人员管理部门信息安全员本部门信息资产台账、日常检查、安全事件报告与配合处置运维/开发部门落实系统、网络、应用安全基线，执行补丁、备份、监控与上线安全评审全体员工遵守本指导书及相关制度，履行安全义务，及时报告安全风险与事件人力资源部配合人员入职、在职、离岗安全管理及保密协议、培训记录管理6信息安全总体方针与目标6.1总体方针坚持"安全第一、预防为主、综合治理、依法合规、人人有责"的信息安全方针，落实网络安全等级保护制度，实行"谁主管谁负责、谁运营谁负责、谁使用谁负责"的责任制，构建事前预防、事中控制、事后追溯的全过程安全管理体系。6.2总体目标•重大网络安全事件、数据泄露事件零发生；•关键业务系统年度可用性≥99.5%；•信息安全管理制度覆盖率100%，员工年度安全培训覆盖率100%；•重要信息系统网络安全等级保护定级备案率100%；•信息安全事件响应及时率100%，备份数据可恢复性验证覆盖率100%。7信息资产分类分级管理7.1资产识别与台账•信息安全归口部门组织各部门定期（至少每年一次，重大变更时随时增补）开展信息资产盘点，建立并维护信息资产台账。•台账覆盖数据类、软件类、硬件类、服务类、文档类、人员类等全部资产，标识资产编号、归属、责任人、存放位置、重要程度。7.2资产分级按重要程度与影响后果，将信息资产划分为四个级别：级别名称描述示例一级核心/机密泄露或破坏对企业或国家安全、业务造成严重危害核心商业机密、重要客户数据、财务核心数据、密钥二级重要/敏感泄露或破坏造成较大危害或较大影响内部经营数据、员工个人信息、部分项目数据三级一般泄露或破坏造成较小影响一般办公信息、公告信息四级公开可公开的信息对外公开宣传资料7.3分级防护要求不同级别资产执行差异化的标识、存储、传输、访问授权与备份策略：•一级资产：强加密存储与传输、严格最小授权、双人复核、异地灾备、专岗专人、定期审计；•二级资产：加密或访问控制、按需授权、定期备份、审计留痕；•三级资产：基本访问控制与备份；•四级资产：常规管理。8人员安全管理8.1入职管理•员工入职前应由人力资源部进行背景核查（视岗位敏感度确定核查深度）。•新员工报到后1个工作日内签订《保密协议》和《信息安全承诺书》，办理账号开通，并接受信息安全岗前培训与考核，考核合格后方可开通相应系统权限。•账号申请遵循最小权限，须经部门负责人与归口部门审批。8.2在职管理•全员每年至少参加1次信息安全意识培训及考核，重要岗位人员每年至少2次。•岗位变动或职责变化时，及时办理权限的变更/回收。•员工应妥善保管账号、口令、密钥，严禁转借、共享，严禁私自安装未授权软件或设备。8.3离岗（离职/调离）管理•员工离职或调离岗位，人力资源部应提前通知归口部门，在员工离岗当日前完成账号注销/停用、权限回收、门禁回收、设备回收与数据移交。•离岗人员须完成工作交接、保密声明与数据清理确认。•涉密关键岗位离岗后执行脱密期管理（按岗位敏感度确定脱密期限）。8.4保密协议所有接触企业一、二级信息的员工及外部人员均须签订保密协议，明确保密范围、期限、违约责任。9物理与环境安全•机房、配电间、UPS间等关键物理区域实行分区授权与门禁管理，进入须登记，重要操作双人在场。•机房应具备完善的温湿度控制、消防（气体灭火）、防雷防静电、UPS及备用电源、入侵报警与视频监控设施。•服务器、核心网络设备、存储设备应上架固定，标识清晰，禁止无关人员接触。•严禁将办公区关键设备随意带离；涉密纸质资料与介质按级别存放、销毁须登记（采用符合标准的碎纸/消磁/物理销毁方式）。•外来施工/访客进入敏感区域须全程陪同并登记。10网络与通信安全•网络架构遵循安全域划分与纵深防御原则，实行内外网隔离，边界部署防火墙、入侵检测/防御系统（IDS/IPS）。•对外提供服务区域设DMZ（隔离区），业务系统按需开放端口并最小化暴露面。•全网部署统一病毒防护与终端准入控制，所有主机、终端强制安装防病毒软件并保持病毒库更新。•无线网络与有线网络隔离，接入须认证授权；建立VPN远程访问通道并采用强认证。•所有网络设备、服务器采用安全配置基线，关闭无关端口与服务，开启日志审计并集中留存（留存期限不少于6个月）。11系统与应用安全11.1系统安全•服务器操作系统实行安全基线配置（口令策略、账户锁定、补丁更新、日志策略等）。•及时跟踪并安装安全补丁，重要漏洞按风险等级限期修复。•关闭高危风险服务（如未授权远程登录、默认共享等），删除默认账户与默认口令。11.2应用安全•新建业务系统上线前须通过安全测试与评审（含漏洞扫描、渗透测试、安全配置核查），满足要求方可上线。•软件开发遵循安全开发生命周期（SDL/S-SDLC），落实身份认证、输入校验、越权防护、日志审计等通用安全措施。•应用系统禁止明文存储口令和敏感信息，采用符合国家标准要求的加密算法。11.3变更与升级•系统及应用的变更、升级、上线实行变更管理，经评审、测试、审批后实施，变更过程全程留痕，变更后验证可用性。12数据安全管理•数据全生命周期（采集、存储、使用、加工、传输、提供、公开、删除）实行分类分级管理，压实数据安全责任。•存储：一、二级数据加密存储；传输：敏感数据采用安全协议（TLS/加密通道）传输，禁止明文传输关键数据。•备份：重要数据定期备份（按数据等级设频率），执行"本地备份+异地备份/灾备"，并定期进行恢复演练验证可恢复性。•脱敏：涉及个人信息、敏感数据的展示、测试、开发环境，须进行脱敏处理。•导出/外发：涉密数据导出、外发须经审批并登记，使用加密介质或加密通道。•销毁：报废介质与数据按规范彻底销毁并登记，严禁随意丢弃。•个人信息处理遵循《个人信息保护法》，坚持合法、正当、必要、诚信原则，告知并取得合法授权，落实最小化收集与安全保护。13访问控制与权限管理•实行统一身份认证（IAM/SSO），落实最小权限、职责分离、定期复核原则。•账号管理：一人一号，禁止共用账号；账号开通、变更、注销均须走审批流程并留痕。•口令策略：长度与复杂度符合安全基线（如≥8位，含大小写、数字、特殊字符），禁止默认口令、弱口令；重要系统强制定期更换或采用多因素认证。•多因素认证（MFA）：对管理后台、远程接入、关键业务系统强制启用多因素认证。•权限复核：信息安全归口部门每季度对核心系统权限进行一次复核，及时清理无效账户与过期权限。14终端与移动设备安全•办公电脑、移动终端须纳入终端安全管理（准入控制、防病毒、补丁管理、外设管控）。•终端须设置开机口令与屏保锁定，离开工位即锁屏。•禁止在办公终端私自接入U盘等未授权外部设备，确需使用须查杀并登记。•企业移动设备（手机、平板等）安装统一管控（MDM）并启用锁屏、远程擦除能力。•员工使用个人设备（BYOD）接入办公网络须满足企业安全要求，敏感数据在企业管控环境内处理。•严禁在未授权设备上存储、处理一、二级敏感信息。15信息安全事件管理与应急响应15.1事件分级信息安全事件按影响程度分为特别重大、重大、较大、一般四级，对应Ⅰ—Ⅳ级响应。15.2报告与响应流程发现事件→立即报告（信息安全归口部门/值班人员）

→初步研判与隔离处置（防扩散）

→启动相应级别应急响应（成立应急小组）

→应急处置与溯源取证

→恢复与加固（漏洞修补）

→总结经验与复盘

→按需上报（监管/主管部门/个人信息保护相关报告）

•任何员工发现信息安全事件或可疑行为，须立即向归口部门报告，严禁隐瞒、迟报、谎报。•涉及个人信息的泄露，应按《个人信息保护法》等要求依法依规及时通知与报告。15.3应急演练•每年至少组织1次信息安全应急演练（含桌面推演、实操演练），覆盖病毒攻击、数据泄露、系统故障、勒索软件等重点场景，演练后评估改进。15.4应急预案•建立《信息安全事件应急预案》，明确组织、职责、响应流程、处置策略、恢复与上报机制，并定期评审更新。16业务连续性与灾难恢复•关键业务系统开展业务影响分析（BIA），明确RTO/RPO指标（恢复时间目标/恢复点目标）。•重要系统实施本地高可用+异地灾备，满足既定RTO/RPO要求。•定期开展容灾切换与恢复测试（至少每年1次），验证灾备系统可用性与数据一致性。•建立业务连续性计划（BCP/DCP），应对重大灾害与突发情况。17外包与第三方服务安全管理•外包/第三方服务商须满足企业安全准入要求，签署安全保密协议，明确数据与信息安全责任。•供应商接触企业系统、数据须遵循最小权限与审批流程，操作留痕。•涉及代码、运维、数据处理的外包服务，须约定数据归属、保密、退出时的数据删除与交接要求。•定期对关键供应商开展安全评估与监督。18信息安全审计与合规检查•建立信息安全审计制度，对信息系统操作日志、权限变更、账号使用、敏感操作等进行审计监控与留痕，审计日志至少留存6个月（关键系统建议更长）。•每年至少开展1次信息安全内部检查/风险评估，覆盖等级保护符合性、制度执行、技术防护、应急管理等，形成报告并跟踪整改闭环。•接受并配合国家有关部门及行业监管的等级保护测评与安全检查。•对各类信息安全事件和违规行为实行责任追究，按情节给予整改、通报、考核、纪律处分，涉嫌违法犯罪的移送司法机关。19附则•本指导书由信息安全归口管理部门负责解释与修订，自发布之日起施行。•各部门可根据本指导书制定本部门实施细则，但不得与本指导书及相关法律法规冲突。•本指导书应根据法律法规、标准更新及企业实际运行情况，每年至少评审1次，必要时及时修订。•本指导书未尽事宜，依照国家有关法律法规及上级制度执行。20附录附录A信息资产台账表（模板）用途：记录企业全部信息资产，作为分级防护、风险评估与处置的依据。序号资产编号资产名称资产类型<br>(数据/软件/硬件/服务/文档/人员)所属部门责任人存放位置/系统安全级别<br>(一~四级)处置方式<br>(保密期限/销毁)备注123台账每年至少盘点一次；新增、变更、报废资产时应及时更新。责任人应为本资产的安全第一责任人。附录B账号权限申请表（模板）用途：账号的开通、变更、注销申请，遵循最小权限原则。项目内容申请类别□开通□变更□注销申请人员工编号：申请部门申请事项（系统/账号/权限）申请权限说明权限有效期起始：截止：信息安全岗前培训/考核是否完成□是□否部门负责人审批签字/日期：信息安全归口部门审批签字/日期：实施情况（开通/变更/注销时间及操作人）备注附录C信息安全事件报告表（模板）用途：事件发生后立即填写并逐级上报。项目内容报告编号事件名称发现时间年月日时分发现人联系电话：发生部门事件类型□网络攻击□病毒/勒索□数据泄露□系统故障□账号异常□物理安全□其他__事件级别初判□特别重大□重大□较大□一般事件描述（现象、途径、影响范围）已采取处置措施受影响信息资产/业务是否涉及个人信息□是（泄露条数：__）□否上报情况（是否上报监管/主管部门）信息安全归口部门处理意见处理结果与复盘附录D保密协议（模板）以下为协议核心条款框架，签署时请结合企业与岗位实际补充甲方乙方信息及具体范围。《保密协议》甲方（企业）：____乙方（员工/外部人员）：___身份证号/证件号：___一、保密范围：乙方在履职期间接触、知悉、掌握或创造的甲方各类信息，包括但不限于：商业秘密、经营数据、技术资料、源代码、客户信息、个人信息、财务信息、业务策略，以及合同文件、管理文件、内部往来信息等，无论其载体形式（口头、书面、电子、实物）如何。二、保密义务：1.未经甲方书面许可，不得向任何第三方泄露、传播、提供保密信息；2.不得将保密信息用于与本岗位职责无关的目的；3.不得私自复制、下载、外带、上传保密信息至非授权载体或平台；4.妥善保管保密信息载体，发现泄露应立即报告并采取补救措施；5.离岗时应归还全部载体并完成数据清理与交接。三、保密期限：本协议保密义务自签署之日起生效，期限为__年（或在保密信息进入公有领域前持续有效）。四、违约责任：乙方违反本协议，应依情节承担相应责任（整改、赔偿、纪律处分、解除合同等），涉嫌违法犯罪的依法追究法律责任。五、其他：本协议一式_份，双方各执_份，自双方签署后生效。甲方（盖章/签字）：___日期：___乙方（签字）：___日期：___附录E信息安全检查表（模板）用途：用于日常巡查、季度复核及年度检查，逐项核对并