网络安全承诺书

网络安全承诺书一、承诺签署说明本承诺书由本单位（以下简称“甲方”）信息网络安全管理部门起草，由接入甲方信息系统的全体人员（以下简称“承诺人”）逐一签署。签署本承诺书是获得系统账号权限的前置条件：未签署者，账号管理员不得开通任何系统访问权限；已签署者在承诺期内发生违规行为的，按本承诺书第九条追究责任。承诺书一式两份，甲方网络安全管理岗存档一份，承诺人自留一份。存档期限为承诺人离职（或权限收回）后不少于3年，以满足《中华人民共和国网络安全法》第二十一条关于网络日志留存不少于六个月及安全事件追溯的要求。签署方式：纸质签署与电子签署均可。采用电子签署的，须使用甲方指定的具备防篡改能力的办公系统完成，电子签名与手写签名具有同等效力。二、承诺依据与适用范围本承诺书依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络安全等级保护基本要求》（GB/T22239，以现行有效版本为准）以及甲方《信息安全管理制度》《账号与权限管理办法》制定。适用范围覆盖承诺人在履职期间的全部网络与信息安全行为，包括但不限于：1.使用甲方配发的办公计算机、移动终端、移动存储介质的行为；2.访问甲方业务系统、办公系统、数据库、服务器及云平台的行为；3.处理、传输、存储甲方业务数据和涉及个人信息的数据的行为；4.在外部网络（含个人社交账号、自媒体平台）发布与工作相关内容的行为；5.承诺人离职后仍涉及甲方数据与商业秘密的行为。承诺期自签署之日起，至承诺人权限全部收回且完成离职数据清退手续之日止；其中关于保密与数据保护的义务，不因离职而终止。三、账号与身份安全承诺账号是信息系统访问的第一道控制点，账号失守意味着权限体系整体失守，因此本条各项要求均为底线要求。承诺人承诺：1.专号专用：仅使用本人实名注册的账号操作甲方系统，严禁出借、出租、共享账号给任何他人（包括同事和上级）使用——账号共享会使操作日志失去追溯价值，一旦发生数据泄露或违规操作，将无法定位责任人，且按等保要求属于审计失效。2.密码强度：系统登录密码长度不少于12位，包含大写字母、小写字母、数字、特殊字符中至少三类；同一密码不得在两个及以上系统中重复使用。密码每90天更换一次；系统强制到期提示后3个工作日内完成更换。3.多因素认证：接入管理类系统、涉及个人信息的业务系统时，必须启用短信验证码或动态令牌等第二因素；不得以“麻烦”为由申请关闭。4.异常上报：发现账号被异常登录提示、密码被篡改、收到可疑的“密码重置”链接时，须在发现后30分钟内电话报告甲方网络安全管理岗（值班电话：0XX-XXXXXXXX），并立即修改密码；不得先行尝试自行排查而延误上报。5.离岗锁定：离开工位超过15分钟，必须锁屏（Windows系统按Win+L）；下班离开办公区前关闭计算机或启用开机密码。锁屏的目的是防止他人在承诺人不在场时冒用已登录会话——已登录状态绕过了全部密码与认证控制，是内部数据泄露最常见路径之一。四、终端与设备安全承诺终端是数据接触的最前端，也是恶意代码入侵的首要入口。承诺人承诺：1.终端管控：办公终端必须安装甲方统一部署的终端安全管理软件（含防病毒、补丁管理、准入控制），不得私自卸载、停用或退出其进程；发现安全软件告警的，应当保留告警截图并在当日报送网络安全管理岗。2.软件安装：优先使用甲方软件商店或IT部门统一分发的软件；确需安装未纳管软件的，须提前通过工单系统向IT部门申请，经安全评估通过后方可安装；严禁自行下载安装破解版、绿色版软件及来历不明的压缩包程序——此类程序是勒索软件与挖矿木马的主要载体，一旦植入办公网可横向扩散，导致整网业务中断。3.移动介质：涉密或敏感数据仅可存储于甲方配发并登记编号的加密U盘；个人U盘、移动硬盘严禁接入办公终端（外来介质是病毒“摆渡”进入内网的典型途径）；确需使用外来介质的，先在接入安全检查机上完成病毒查杀并登记。4.设备遗失：办公笔记本电脑、加密U盘遗失或被盗的，必须在发现后1小时内电话报告网络安全管理岗，由甲方远程锁定或吊销该设备访问凭证；24小时内补交书面情况说明。5.私接网络：严禁在办公区私自架设无线路由器、随身Wi-Fi或网线桥接设备——私设热点会绕过网络边界防护，为外部攻击者提供进入内网的通道；确有无线需求的，使用甲方部署的办公Wi-Fi。五、数据与个人信息保护承诺数据是本单位最核心的资产，数据泄露的后果通常不可逆。承诺人承诺：1.最小必要：仅访问与本人岗位职责相关的数据，不利用职务便利查询、下载与工作无关的个人信息（包括但不限于客户身份证号、手机号、住址、交易记录）；批量导出数据（单次超过500条记录）必须提前经数据责任部门负责人审批。2.传输加密：通过邮件、即时通讯工具传输含个人信息的文件时，必须对文件加密（加密压缩包密码通过另一渠道单独告知接收方）；严禁将客户名单、系统截图、数据库导出文件直接粘贴到个人微信、QQ等非受控渠道。3.存储规范：业务数据优先存储于甲方指定的服务器目录或受控云盘；本地桌面、下载文件夹仅作临时缓存，临时文件在用毕后24小时内删除并清空回收站。4.外部发布：严禁在任何外部平台发布、转载涉及甲方未公开经营数据、客户信息、系统架构的内容；发布与工作相关的对外内容前，经部门负责人审核。5.离职清退：离职或转岗时，必须在权限收回前完成以下动作：删除本地存储的全部业务数据、归还全部登记的存储介质、配合完成数据交接清单签署；甲方留存清退记录备查。六、安全事件报告承诺安全事件的损失规模主要取决于发现和响应速度，因此“快速报告”优先于“自行处理”。承诺人承诺：1.遇到下列任一情形，必须在发现后30分钟内电话报告网络安全管理岗，不得隐瞒、不得拖延、不得私自处置后补报：◦计算机出现勒索提示、文件被批量加密或改名；◦收到仿冒领导、客户的钓鱼邮件且已点击链接或输入过密码；◦发现系统页面被篡改、出现不明账号或权限异常变更；◦误将敏感数据发送给错误接收方；◦终端运行异常缓慢、出现不明外联流量提示。2.报告时说明：发现时间、涉及设备或系统、已做的操作、影响初步判断。3.在安全人员到场处置前，不得关闭计算机电源（内存中的取证数据会随断电丢失）、不得继续在同一网络段操作其他设备；可将网线拔出阻断网络连接（保留电源）。4.配合甲方在事件处置后3个工作日内完成书面情况说明，如实描述操作过程；严禁隐瞒自身违规操作情节——隐瞒将按第九条从重处理。5.甲方将依据《国家网络安全事件报告管理办法》及行业主管部门要求履行对外报告义务，承诺人负有如实提供事实经过的配合义务。七、安全操作行为规范承诺承诺人承诺在日常操作中执行以下规范：1.钓鱼识别：对任何要求输入密码、验证码的邮件和网页链接，先核对发件域名与网址真实地址；无法辨认的，将邮件作为附件转发网络安全管理岗核实，不得先行点击。2.补丁与升级：收到系统补丁推送通知后5个工作日内完成安装；逾期未安装且累计2次的，IT部门有权冻结该终端的外网访问直至补齐。3.远程办公：远程接入甲方内网必须使用甲方统一提供的VPN客户端与账号，不得使用来路不明的“加速器”“代理”软件接入；在公共场所办公时使用手机热点而非公共Wi-Fi。4.打印与纸质件：含个人信息的纸质材料打印后当场取走，废弃件用碎纸机销毁，严禁整页丢入普通垃圾桶或回收纸箱。5.外部人员管理：访客、外包人员进入办公区使用网络的，由承诺人作为接待责任人，不得将内部账号临时提供给对方使用；外包人员操作需求通过临时审批的访客账号实现。八、培训与配合义务承诺1.承诺人必须每年度完成不少于1次网络安全培训并通过考核（考核80分为合格），未通过者限期补考，连续2次未通过的暂停系统权限直至通过。2.必须参加甲方组织的钓鱼邮件演练；演练中点击可疑链接的，按教育为主原则处理，但须在24小时内完成针对性学习，同一自然年内被钓鱼演练命中3次及以上的，纳入绩效考核扣减项。3.配合甲方或监管部门开展的安全检查、渗透测试、应急演练，如实提供所需信息与操作记录。九、甲方配套义务网络安全是双向责任。甲方承诺向承诺人提供：1.完整的制度文本、操作手册与培训资源，新员工入职后5个工作日内完成首次安全培训；2.7×24小时安全值班电话与工单渠道，对承诺人报告的安全事件在30分钟内响应；3.明确的权限申请与回收流程，权限审批不超过2个工作日；4.对主动报告自身失误（如误发邮件、误点钓鱼链接）的承诺人，以教育整改为主，不因主动报告本身给予处分。十、违约责任1.承诺人违反本承诺书第二至六条任一底线条款（标注“必须”“严禁”的条款）的，视情节轻重给予以下处理：◦轻微（未造成实际影响，如忘锁屏、密码强度不足）：首次口头警告并限期整改，3日内复核。◦一般（造成一定风险，如点击钓鱼链接、私接热点、违规使用个人U盘）：书面警告，暂停相关系统权限1~4周，纳入当期绩效。◦严重（造成数据泄露、系统被入侵或故意隐瞒违规事实）：撤销相关权限，移交纪检、人事或司法机关处理；涉嫌违反《中华人民共和国网络安全法》《中华人民共和国刑法》相关条款的，依法承担行政或刑事责任。2.因承诺人过错给甲方造成直接经济损失的，甲方依法保留追偿权利。3.责任认定由甲方网络安全管理岗会同人事部门调查，听取承诺人陈述申辩后作出，认定记录存档不少于3年。十一、承诺生效1.本承诺书自承诺人签署之日起生效，有效期覆盖承诺期全程。2.甲方对本承诺书所依据的制度进行修订的，通过办公系统公告告知承诺人，公告后10个工作日视为送达，无需重新签署；涉及重大义务变化的，重新组织签署。3.承诺人确认已阅读并理解上述全部条款，如有疑问已在签署前向网络安全管理岗咨询确认。附件一：承诺人登记表（样表）项目填写内容姓名张某某工号XXXX所属部门XXX部岗位XXX岗申请开通的系统权限OA系统/业务系统（逐项列明）联系电话138******承诺书培训完成日期年月日承诺人签名（本人手写或电子签名）签署日期年月日部门负责人确认（签名）网络安全管理岗存档编号AQCN-年份-序号附件二：应急报告通讯录（样表）报告事项联系渠道响应要求安全事件值班电话（7×24小时）0XX-XXXXXXXX30分钟内响应网络安全管理岗（工作日）0XX-XXXXXXXX30分钟内响应安全事件工单系统办公系统“安全事件”入口工作时间2小时内受理设备遗失紧急锁定值班电话+短信报设备编号1小时内完成远程锁定涉个人信息泄露事项数据保护负责人0XX-XXXXXXXX30分钟内响应附件三：日常安全自查清单（员工每月自检）序号