信息安全管理制度

信息安全管理制度一、第一章总则信息安全是企业业务连续性与核心利益的底线，而非仅是IT部门的技术支撑工作。一、为规范公司信息资产的管理与保护，防范信息泄露、篡改、破坏与丢失，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及相关行业标准，制定本制度。二、本制度适用于公司全体员工（含正式员工、劳务派遣人员、实习生）、外包人员以及访问公司信息资产的第三方合作伙伴。三、公司信息安全工作遵循“分类分级、最小权限、纵深防御、审计溯源”原则。信息资产按照敏感度与重要程度实施分级防护，系统账号遵循“按需分配、仅授予完成工作所必需的最小权限”原则。二、第二章信息资产分类与分级保护并非所有数据都需要最高级别保护，精准分级是平衡安全成本与业务效率的核心。一、信息资产定义与分类本制度所指信息资产包括：电子数据（数据库、文档、代码、配置文件等）、纸质文件、硬件设备（服务器、终端、网络设备、移动存储介质）、软件系统及账号权限。二、信息资产分级标准根据信息泄露或损坏后对公司业务、财务、声誉造成的影响程度，分为四个密级：•绝密（Level4）：泄露会导致公司核心知识产权丧失、面临重大法律制裁或直接经济损失估算`≥100•机密（Level3）：泄露会导致业务严重中断、经济损失估算`10万元至100`万元的信息。包括：合同正本、薪酬明细、生产配方、系统架构设计文档。•内部（Level2）：仅限公司内部知晓，泄露会导致轻微业务影响或管理混乱的信息。包括：内部通知、会议纪要、组织架构图、员工通讯录。•公开（Level1）：已对外发布或可公开获取的信息。包括：官网内容、公开宣传资料。三、分级管控要求•绝密信息：必须使用AES-256加密存储；传输必须通过专用加密通道（如企业自建SFTP且开启双向证书认证）；访问必须经过部门负责人与信息安全总监“双签”审批，且记录6个月以上的访问日志；严禁存储或传输至非公司配发的终端设备。•机密信息：应当存储在带权限控制的企业网盘或业务系统中；外部传输必须添加打开密码，且密码与文件须通过不同渠道（如邮件发文件、短信发密码）发送。•内部信息：应当存储在公司内部服务器，禁止通过非公司域名的个人邮箱发送。•公开信息：可不受限制处理，但对公开发布的信息应当进行脱敏审查，确保不包含内部敏感词汇。三、第三章人员安全管理与培训人是安全防线中最薄弱的环节，也是最难管控的变量，必须通过制度化流程将安全意识转化为肌肉记忆。一、入职安全管理•新员工入职必须签署《保密协议》与《信息安全责任承诺书》。•IT部门在新员工入职2个工作日内完成账号开通，初始密码必须为包含大小写字母、数字及特殊符号的12位以上随机字符串，且强制要求首次登录修改。二、在职安全培训与考核•信息安全部每季度组织1次全员信息安全培训，内容涵盖钓鱼邮件识别、密码安全、物理安全。•每月随机向全体员工发送模拟钓鱼邮件测试。对点击恶意链接或下载附件的人员，必须在3个工作日内参加安全专项复训并考核；单季度内累计2次误中钓鱼测试者，应当扣除当季绩效。三、离职与调岗安全管理•员工提交离职申请后，HR部门必须在1个工作日内通知IT部门与各业务系统管理员。•离职人员办理交接手续时，IT部门必须核验其名下电子资产（文档、代码库、设备）移交情况。•员工最后一个工作日下班前，IT部门必须完成其所有系统账号的冻结与核心权限的撤销。严禁离职员工保留任何系统活动账号。四、第四章办公与网络终端安全终端是进入企业内网的桥头堡，失控的终端等同于敞开的大门。一、终端设备准入与基线配置•所有接入公司内网的终端（含个人自带设备BYOD）必须安装公司统一部署的终端安全管理软件（EDR）。•EDR软件必须开启实时防护——利用文件系统驱动层拦截磁盘读写请求，比对特征码阻止恶意进程执行；若关闭实时防护，仅靠定期扫描无法拦截无文件攻击，勒索病毒可在数秒内加密全盘文档。•严禁私自卸载、退出EDR软件。替代方案：若终端因硬件故障导致EDR异常退出，必须立即断网，并联系IT服务台（分机8000）重新安装后方可接入网络。二、网络隔离与访问控制•公司网络按业务区域划分为办公网、研发网、生产网（数据中心）。各网络区域间必须部署防火墙，默认拒绝所有跨网段访问（DefaultDeny）。•跨网段数据交换必须通过安全数据摆渡系统（如企业网盘或受控的文件服务器），严禁私接双网卡设备或跨网段网线。三、移动存储介质管理•严禁使用未经登记的U盘、移动硬盘拷贝机密及以上级别信息（绕过边界防护可能导致病毒横向感染与数据外泄）。必须使用公司配发的硬件加密U盘。•加密U盘由IT部门统一采购与初始化，绑定使用者工号。外来人员确需使用U盘传输数据时，必须在接待人员监督下，于指定的隔离终端完成文件查杀与传输。五、第五章数据全生命周期安全管理数据在流动中创造价值，也仅在流动中存在泄露风险，静态封存不等于安全。一、数据采集与生成•采集个人信息（如客户姓名、身份证号、手机号）必须明确告知用途并获取授权。•业务系统产生敏感数据时，生成端必须对字段进行掩码或加密处理。严禁在日志文件中明文打印用户密码、完整身份证号或银行卡号。二、数据存储与备份•绝密与机密数据存储必须采用高可用架构，核心数据库必须实施主从热备。•数据备份策略必须遵循“3-2-1”原则：保留3份数据副本，存储在2种不同介质上，其中1份存放于异地。核心业务数据每日凌晨02:00自动增量备份，每周日03:00全量备份。•备份数据恢复测试：IT运维部每月5日前选取1个非核心系统执行一次数据恢复演练，验证备份可用性，输出《数据恢复验证报告》。三、数据传输与外部共享•跨公网传输机密及以上数据，优先使用公司专用加密传输通道（如IPsecVPN或SFTP）；若不具备VPN条件，则对文件进行PGP加密后通过邮件发送，解密密钥通过电话或即时通讯工具单独告知；严禁使用未加密的个人网盘或即时通讯软件（如微信、QQ）传输业务文件。•向第三方提供数据，必须签署《数据共享安全协议》，并由业务部门提交《数据外发申请单》，经法务与信息安全部联合审批通过后方可导出。导出数据必须记录时间、操作人、数据量级及接收方。四、数据销毁•电子数据销毁：存储绝密数据的硬盘报废前必须通过专业消磁机进行消磁，随后物理粉碎（粉碎颗粒`≤2•纸质文件销毁：机密及以上纸质文件必须放入专用保密碎纸箱，由行政部每周五交由有保密资质的销毁机构处理，严禁直接当作废纸售卖。六、第六章访问控制与账号权限管理权限泛滥是内部越权与外部横向渗透的温床，最小权限原则是不可妥协的底线。一、账号管理原则•严禁多人共用同一账号。所有系统必须具备实名身份认证机制。•特权账号（如root、administrator、数据库DBA）必须纳入特权账号管理系统（PAM）托管，禁止直接将密码分发给人员。•特权操作必须通过PAM系统发起代理连接，系统自动录屏审计。若确需直接登录服务器，需经过双因素认证（MFA）。二、密码与认证策略•所有业务系统密码长度必须`≥10•系统必须强制每90天自动提示用户修改密码，且最近5次使用过的历史密码不得重复使用。•失败登录策略：连续5次输入错误密码，系统必须自动锁定账号30分钟。三、权限开通与回收闭环•权限开通需遵循“申请-审批-执行-审计”闭环流程：1.申请人填写《系统权限申请单》，明确申请权限级别与业务事由。2.部门负责人审核业务必要性。3.信息安全部审批安全合规性。4.IT/系统管理员执行授权并在2小时内回执。5.信息安全部每季度末抽取10%的账号核查权限是否符合审批记录。七、第七章安全应急响应与事件处置安全的本质是假设系统已被攻破，应急响应的目标不是消灭所有攻击，而是将损失控制在业务可承受范围内。一、安全事件分级依据事件对业务的影响范围与数据泄露严重度，分为三级：•一级（重大）：核心生产系统宕机超4小时，或绝密数据泄露，或勒索病毒在内部网络大规模爆发。•二级（严重）：局部业务系统宕机超1小时，或机密数据泄露，或发现内网横向渗透行为。•三级（一般）：单台终端感染病毒未扩散，或外部探测扫描未造成实际渗透。二、响应组织与职责成立安全应急响应小组（SIRT）。由分管IT副总裁担任总指挥（负责重大决策与对外通报）；信息安全总监担任技术组长（负责攻击遏制与技术分析）；IT运维主管担任恢复组长（负责系统重建与业务恢复）；公关部主管担任沟通组长（负责对外声明）。三、应急响应处置流程（PDCA闭环）•计划与准备：每年开展2次桌面推演，更新《应急响应预案》联络库与系统拓扑图。•执行与处置：◦判定与启动：值班安全分析师发现告警后，必须在15分钟内完成初步研判。若判定为二级及以上事件，必须立即上报技术组长，启动SIRT应急流程。◦遏制与根除：■场景A（勒索病毒爆发）：传播途径为员工点击钓鱼邮件附件释放宏病毒->病毒获取本地凭据->横向感染共享文件服务器->核心数据被勒索加密。■处置动作：发现感染终端后，必须立即在接入层交换机Shutdown对应端口或拔除网线将其物理隔离（阻断横向传播途径）。技术组长必须在30分钟内切断被感染网段与其他网段的路由。严禁在被感染终端上插入U盘尝试抢救数据（可能触发加密逻辑导致数据永久损坏）。替代方案：记录感染症状后直接断电关机，交由专业取证人员处理。◦恢复与验证：业务系统恢复前，必须重新部署于干净的操作系统环境，并补齐所有安全补丁。恢复后应当执行完整防病毒扫描，确认无恶意进程后方可对外提供服务。•检查与改进：事件平息后5个工作日内，SIRT必须输出《安全事件复盘报告》，分析入侵根因，提出整改措施，并追踪整改项至闭环。八、第八章违规处罚与责任追究没有明确罚则的制度等同于建议，责任追究是制度落地的最后防线。一、违规行为界定有下列行为之一者，视为严重违反信息安全制度：•未经审批将绝密或机密数据发送至外部个人邮箱或上传至个人网盘。•故意关闭或绕过终端安全软件（EDR）监控。•私搭乱接网络设备（如随身WiFi、路由器）跨越不同安全域。•擅自将公司配发的系统账号与密码交予他人使用。二、处罚标准•首次违反上述任一条款者，应当给予全公司通报批评，扣除当月绩效工资，并强制参加8学时的安全专项培训。•造成实际数据泄露或系统宕机损失者，应当视情节降级降薪或解除劳动合同。•涉嫌违法犯罪者，公司将依法移送公安机关追究刑事责任，绝不姑息。九、附录9.1附录一：信息安全事件应急联络通讯录角色职责姓名职务手机号码企微/钉钉账号总指挥张某某分管IT副总裁138******zhang_mou@company技术组长李某某信息安全总监139******li_mou@company恢复组长王某某IT运维主管137******wang_mou@company沟通组长赵某某公关部主管136******zhao_mou@company值班响应值班安全分析师按当月排班表135******soc_duty@company9.2附录二：终端安全日常检查清单（员工自查版）•[]我的电脑已安装公司统一配发的EDR安全软件，且图标显示为正常运行状