公司网络安全管理制度范本(12篇)

公司网络安全管理制度范本(12篇)1.网络安全责任管理制度1.1适用范围本制度适用于公司所有部门、全体员工、外包服务人员及其他接入公司网络的相关主体，覆盖公司全量网络、信息系统、数据资产及终端设备的安全管理全流程。1.2基本原则坚持“谁主管谁负责、谁运行谁负责、谁使用谁负责”的核心原则，实行分级授权、责任到岗的管理模式，确保网络安全工作覆盖业务全链条、人员全层级。1.3组织架构与职责划分1.3.1网络安全领导小组（决策层）：由公司总经理任组长，各分管副总任副组长，各部门负责人为成员，作为公司网络安全最高决策机构，负责审批网络安全战略规划、年度预算、重大安全事项处置方案，统筹协调跨部门安全工作，每季度至少召开1次网络安全专题会议，听取安全工作汇报，决策重大安全问题。1.3.2信息管理部（管理层）：作为网络安全执行管理部门，配备不少于2名专职网络安全管理员（核心岗位需持CISP或同等专业资质证书），负责制定并落地网络安全管理制度、部署安全防护措施、开展日常安全运维、组织安全培训与应急演练、处置网络安全事件，每月向领导小组提交网络安全运行报告。1.3.3各业务部门（执行层）：各部门负责人为本部门网络安全第一责任人，负责落实本部门网络安全管理要求，督促员工遵守安全制度，指定1名兼职网络安全联络员对接信息管理部的日常安全工作。1.3.4全体员工：作为网络安全直接责任人，需严格遵守公司网络安全制度，妥善保管个人账号密码，及时上报发现的安全隐患，不得从事任何危害公司网络安全的行为。2.机房物理安全管理制度2.1适用范围本制度适用于公司核心机房、区域机房及配套供电、消防、监控等设施的全生命周期安全管理。2.2机房环境标准2.2.1核心机房承载核心业务系统、核心网络设备及数据库集群，按照GB/T2887-2011B级标准建设，温度控制在18-27℃，相对湿度控制在40%-70%，温度每小时波动不超过5℃，空气中≥0.5μm的尘粒浓度≤18000粒/升，无腐蚀性气体、无强电磁干扰。2.2.2区域机房承载部门级业务系统、接入层网络设备，温度控制在10-35℃，相对湿度控制在30%-80%，每月至少开展1次环境巡检。2.3出入管理2.3.1核心机房实行双人双锁管理，钥匙分别由2名专职网络安全管理员保管，两人同时在场方可开启机房门。2.3.2内部员工进入核心机房需提前提交书面申请，经信息部负责人审批后，登记出入时间、事由、携带物品，由至少1名机房管理员全程陪同进入，禁止单独停留。2.3.3外来人员（含外包人员、访客）进入核心机房需经信息部负责人及分管副总共同审批，核验身份并登记身份证号、所属单位、联系方式、出入时间，由机房管理员全程陪同，离开时需检查携带物品，防止带出涉密存储介质。2.4设施运维管理2.4.1供电系统：核心机房采用双路市电供电，配置N+1冗余UPS系统，续航时间不低于4小时；配套柴油发电机，启动响应时间不超过30秒，满负荷续航时间不低于72小时；每月进行1次UPS放电测试，每季度进行1次发电机带载启动测试，确保供电可靠性。2.4.2消防系统：核心机房采用七氟丙烷气体灭火系统，严禁使用水或泡沫灭火剂；每季度检测1次烟感、温感探测器，每半年检测1次气体喷洒装置，每年对消防钢瓶进行1次压力检测，确保设备在有效期内。2.4.3监控系统：机房出入口、内部通道、设备机柜区域全覆盖安装高清摄像头，视频分辨率不低于1080P，视频保存时间不少于90天；监控系统独立供电，禁止与办公网络共用链路，防止被恶意篡改。2.5设备管理2.5.1设备上架需提交申请，经信息部审批后由运维人员统一操作，粘贴唯一标识标签，登记设备型号、序列号、配置、部署位置、责任人，建立设备全生命周期台账。2.5.2设备下架报废需提交报废申请，经审批后由信息部负责数据销毁，存储硬盘采用消磁或物理粉碎方式处理，并有2名以上工作人员监销，记录销毁过程并存档，禁止私自变卖或丢弃存储过敏感数据的介质。3.网络边界与架构安全管理制度3.1适用范围本制度适用于公司网络架构规划、边界防护、网络接入及网络设备的安全管理。3.2网络分区要求3.2.1公司网络按照业务属性划分为核心业务区、DMZ区、办公区、运维管理区四个逻辑区域，各区域之间通过下一代防火墙进行强隔离，访问控制策略遵循“默认拒绝、最小权限”原则，仅开放业务必需的端口与协议。3.2.2核心业务区部署核心业务系统、数据库服务器，仅允许运维管理区的指定设备及DMZ区的应用服务器通过指定端口访问，禁止直接与互联网连通。3.2.3DMZ区部署对外提供服务的应用系统（如官网、对外邮箱系统），与互联网、核心业务区之间均通过防火墙设置严格的访问控制规则，禁止外部流量直接穿透至核心区。3.2.4办公区为员工日常办公网络，仅允许通过指定端口访问DMZ区及核心业务区的公开服务，禁止直接访问核心数据库。3.2.5运维管理区部署堡垒机、运维终端，所有核心设备、系统的运维操作必须通过堡垒机进行，全程操作留痕。3.3边界防护要求3.3.1互联网出口部署下一代防火墙、入侵防御系统（IPS）、Web应用防火墙（WAF）、抗DDoS设备、上网行为管理设备，实现流量过滤、攻击检测、行为审计全链路防护。3.3.2核心网络设备采用双机冗余部署，主备切换时间不超过30秒；核心链路采用运营商双线路接入，网络整体可用率不低于99.99%。3.3.3每周检查1次边界防火墙策略，每季度进行1次策略优化，清理冗余、过期策略，确保策略合规、最小化。3.4无线网络管理3.4.1办公无线网络与访客无线网络物理隔离，办公无线采用802.1x身份认证，仅允许公司注册终端接入；访客无线采用Portal认证，由接待部门申请临时账号，有效期最长不超过7天，到期自动失效。3.4.2禁止任何员工私接无线路由器、随身WiFi等设备，一经发现，立即断开其网络接入，通报所属部门，并按奖惩制度处理。3.5IP地址管理3.5.1公司IP地址由信息部统一分配、动态管理，建立IP地址分配台账，记录IP地址对应的设备MAC地址、责任人、使用部门。3.5.2服务器、网络设备采用静态IP地址，需提交申请经审批后分配；办公终端采用动态IP地址，地址池租期不超过24小时，禁止员工私自修改IP地址、MAC地址。4.身份鉴别与账号权限管理制度4.1适用范围本制度适用于公司所有信息系统、网络设备、终端设备的账号、权限及身份鉴别管理。4.2账号分类与管理4.2.1账号分为超级管理员账号、系统管理员账号、普通用户账号、临时账号、测试账号五类，实行分类审批、动态管理。4.2.2超级管理员账号仅用于系统初始化、紧急运维场景，每个核心系统超级管理员账号不超过2个，由信息部负责人指定专人保管，使用必须经过书面审批，全程记录操作日志。4.2.3系统管理员账号用于日常系统运维，每个系统管理员仅拥有所负责系统的管理权限，禁止跨系统授权。4.2.4普通用户账号由员工提交申请，经部门负责人及信息部审批后开通，仅拥有完成本职工作所需的最小权限。4.2.5临时账号用于外包人员、短期项目使用，有效期最长不超过30天，到期自动删除，确需延长的需重新提交申请。4.2.6测试账号仅用于测试环境，禁止在生产环境使用测试账号，测试完成后24小时内完成删除。4.3密码安全要求4.3.1核心系统超级管理员密码长度不少于16位，包含大写字母、小写字母、数字、特殊字符四类字符，更换周期不超过60天，禁止复用最近5次使用过的密码，禁止明文存储密码。4.3.2业务系统管理员、普通用户密码长度不少于12位，包含三类及以上字符，更换周期不超过90天，禁止复用最近3次使用过的密码。4.3.3办公终端登录密码长度不少于8位，包含两类及以上字符，更换周期不超过180天，禁止设置空密码、弱密码（如123456、生日、手机号、姓名拼音等）。4.3.4所有核心系统、VPN、远程访问必须启用多因素认证（MFA），采用“密码+短信验证码”或“密码+动态令牌”方式，禁止仅使用密码进行身份鉴别。4.4权限管理4.4.1权限分配遵循最小权限原则，仅授予用户完成工作必需的最低权限，禁止超额授权。4.4.2权限变更需提交申请，经部门负责人及信息部审批后方可调整，重要系统权限调整需经分管副总审批。4.4.3每季度开展1次全量权限审计，清理冗余权限、僵尸账号、离职员工账号，形成审计报告，对不合理授权在3个工作日内完成整改。4.4.4员工离职时，所在部门需提前1个工作日通知信息部，信息部在员工离职当日24小时内禁用所有账号，7天内完成账号删除及权限回收。4.5账号使用要求4.5.1禁止用户共享、转借个人账号，禁止盗用他人账号登录系统，因共享账号造成的安全事故由账号所有人承担全部责任。4.5.2禁止在浏览器、客户端中保存敏感系统的密码，禁止将密码记录在纸质文档、公共便签、未加密电子文档中。5.数据安全全生命周期管理制度5.1适用范围本制度适用于公司所有数据的采集、存储、传输、使用、共享、销毁全生命周期的安全管理。5.2数据分级分类按照数据重要程度及泄露后的影响，将公司数据分为三级：（1）核心数据：包括客户个人敏感信息、核心技术资料、财务核心数据、商业秘密等，泄露或损坏会对公司造成重大经济损失、声誉损失或法律风险。（2）重要数据：包括运营数据、供应商核心信息、内部管理机密资料等，泄露或损坏会对公司造成一定经济损失或管理影响。（3）一般数据：包括公开宣传资料、内部通用通知、公开规章制度等，泄露或损坏不会对公司造成明显损失。5.3数据采集要求5.3.1数据采集遵循“合法、正当、最小必要”原则，不得过度采集与业务无关的信息，采集个人信息需明确告知采集目的、使用范围，取得信息主体同意，符合《个人信息保护法》相关要求。5.3.2数据采集渠道需经过安全校验，防止恶意数据注入，采集后需进行数据完整性、合法性校验，异常数据及时过滤。5.4数据存储要求5.4.1核心数据必须采用AES-256加密算法进行加密存储，重要数据可采用对称加密或脱敏存储，一般数据可明文存储。5.4.2数据备份实行“异地、多副本”原则，核心数据每日增量备份、每周全量备份，备份数据存储于异地灾备中心，保存周期不少于6个月；重要数据每日增量备份、每两周全量备份，保存周期不少于3个月；一般数据每月全量备份，保存周期不少于1个月。5.4.3每季度进行1次备份数据恢复测试，确保备份数据可用，恢复成功率达到100%。5.5数据传输要求5.5.1核心数据、重要数据传输必须采用SSL/TLS1.2及以上版本加密协议，禁止通过明文协议（如HTTP、FTP）传输敏感数据。5.5.2禁止通过个人邮箱、微信、QQ等公共渠道传输核心数据，确需传输的需通过公司加密邮件或专属文件传输系统，且需经过审批。5.6数据使用要求5.6.1数据访问实行审批制，访问核心数据需经总经理审批，访问重要数据需经部门负责人及信息部审批，访问一般数据需经部门负责人审批。5.6.2开发、测试环境必须使用脱敏数据，禁止使用真实生产数据，敏感字段（如手机号、身份证号、银行卡号、家庭住址）脱敏率需达到100%。5.6.3禁止私自拷贝、导出核心数据，确需拷贝的需经审批，拷贝介质需加密，登记拷贝内容、用途、归还时间，使用后24小时内彻底删除。5.7数据销毁要求5.7.1数据销毁需提交申请，经信息部及分管副总审批后方可执行。5.7.2核心数据存储介质采用物理粉碎或消磁方式销毁，重要数据可采用多次覆写（覆写次数不少于3次）方式销毁，销毁过程需有2名以上工作人员监销，记录销毁时间、介质、数量、执行人，销毁记录保存不少于3年。5.7.3禁止随意丢弃、变卖存储过敏感数据的存储介质，统一由信息部集中销毁。6.办公终端安全管理制度6.1适用范围本制度适用于公司所有办公终端（台式机、笔记本电脑、打印机、扫描仪、一体机等）的安全管理，包含公司配发设备及员工自带办公设备（BYOD）。6.2终端准入管理6.2.1所有接入公司内网的办公终端必须安装企业版杀毒软件、终端检测与响应系统（EDR）、文档加密软件，未经准入校验的终端禁止接入内网，一经发现私接，立即断开网络接入，通报所属部门。6.2.2终端准入校验标准包括：杀毒软件病毒库更新时间不超过7天、系统高危补丁安装率达到100%、未安装违规软件、未感染病毒木马。6.3终端补丁与病毒防护6.3.1终端安全管理系统统一推送操作系统补丁、应用软件补丁，严重级别补丁需在72小时内完成安装，高危级别补丁需在7天内完成安装，禁止私自关闭自动更新功能。6.3.2杀毒软件病毒库每日自动更新，每周进行1次全盘病毒扫描，发现病毒立即隔离处置，无法处置的2小时内上报信息部。6.3.3禁止私自卸载、关闭杀毒软件、EDR、加密软件等安全防护程序，一经发现按奖惩制度处理。6.4软件与硬件管理6.4.1公司统一提供正版办公软件、设计软件、业务系统客户端，禁止私自安装未经信息部审核的软件，禁止安装盗版软件、破解软件，禁止私自安装游戏、娱乐类软件。6.4.2禁止私自拆卸、更换终端硬件，确需维修的需提交申请，由信息部统一处理，维修时需安排专人在场，防止数据泄露。6.5终端使用规范6.5.1办公终端设置开机密码及屏保密码，屏保启动时间不超过5分钟，离开工位时必须手动锁定终端。6.5.2笔记本电脑必须启用全盘加密（BitLocker或FileVault），外出携带需经部门负责人审批，登记设备编号、外出时间、事由；禁止在公共场合处理核心数据，禁止连接公共WiFi访问内部系统，确需访问的必须连接公司VPN。6.5.3禁止在办公终端上存储与工作无关的大量文件，禁止使用办公终端从事违法违规活动。6.6终端报废管理6.6.1终端报废需提交申请，经信息部审核后，由信息部负责清除所有存储数据，硬盘采用消磁或物理粉碎处理，禁止私自变卖、赠送或丢弃报废终端。6.6.2员工离职时，需将公司配发的终端设备归还信息部，由信息部检查并清除数据后方可办理离职手续。7.信息系统运维与漏洞管理制度7.1适用范围本制度适用于公司所有信息系统、网络设备、安全设备的日常运维、漏洞管理及补丁更新。7.2运维操作管理7.2.1运维操作实行审批制，核心系统、核心网络设备的运维操作需经信息部负责人审批，一般系统运维操作需经运维主管审批。7.2.2所有核心设备、系统的运维操作必须通过堡垒机进行，全程操作录屏、日志留存，日志保存时间不少于12个月，禁止绕过堡垒机直接运维。7.2.3运维操作实行双人复核制，重要操作需有2名运维人员在场，一人操作、一人复核，防止误操作。7.2.4禁止在生产环境进行测试、调试操作，确需操作的需在测试环境验证通过后，在业务低峰期（凌晨2:00-4:00）进行，并制定回滚方案，操作前做好全量数据备份。7.3漏洞管理7.3.1每月开展1次全量漏洞扫描，覆盖所有信息系统、网络设备、终端；每季度开展1次渗透测试，由具备资质的安全团队或第三方机构实施。7.3.2漏洞按照CVSS3.1评分标准分为四级：（1）严重漏洞：CVSS评分≥9.0，可直接获取系统控制权、造成核心数据泄露的漏洞。（2）高危漏洞：7.0≤CVSS评分<9.0，可造成严重影响但需一定利用条件的漏洞。（3）中危漏洞：4.0≤CVSS评分<7.0，可造成局部影响或需较高利用条件的漏洞。（4）低危漏洞：CVSS评分<4.0，影响较小的漏洞。7.3.3漏洞修复时限：严重漏洞需在24小时内完成修复，无法立即修复的需采取临时防护措施（如关闭端口、限制访问、部署WAF规则），并在7天内完成彻底修复；高危漏洞需在72小时内完成修复；中危漏洞需在15天内完成修复；低危漏洞需在30天内完成修复。7.3.4漏洞修复后需进行验证，确认漏洞已修复且不影响业务正常运行，形成漏洞修复报告归档。7.4日志管理7.4.1所有系统日志、网络设备日志、安全设备日志统一上传至安全信息与事件管理系统（SIEM），进行集中存储与分析。7.4.2一般系统日志保存时间不少于6个月，核心系统、安全设备日志保存时间不少于12个月，禁止删除、篡改日志。7.4.3每日安排专人值守日志审计系统，实时监测异常行为，发现告警1小时内处置，每日生成安全告警日报。8.网络安全事件应急响应管理制度8.1适用范围本制度适用于公司网络安全事件的监测、上报、处置、恢复及事后复盘工作。8.2事件分级按照事件影响范围、损失程度，将网络安全事件分为四级：（1）特别重大事件（I级）：核心业务系统中断超过4小时；核心数据泄露超过10000条；造成直接经济损失超过100万元；或造成重大声誉影响、涉及违法犯罪的事件。（2）重大事件（II级）：核心业务系统中断2-4小时；核心数据泄露1000-10000条；造成直接经济损失50-100万元；或造成较大声誉影响的事件。（3）较大事件（III级）：核心业务系统中断30分钟-2小时；重要数据泄露100-1000条；造成直接经济损失10-50万元的事件。（4）一般事件（IV级）：核心业务系统中断小于30分钟；一般数据泄露小于100条；造成直接经济损失小于10万元的事件。8.3事件上报8.3.1发现网络安全事件的人员需在10分钟内上报信息部，信息部需在15分钟内完成初步研判，上报网络安全领导小组。8.3.2特别重大、重大事件需在1小时内上报相关监管部门（如有法定要求），不得迟报、瞒报、谎报。8.4应急处置流程8.4.1成立应急小组：根据事件级别成立对应的应急小组，I级事件由总经理任组长，II级事件由分管副总任组长，III、IV级事件由信息部负责人任组长。8.4.2事件研判：应急小组对事件类型、影响范围、严重程度进行研判，制定针对性处置方案。8.4.3隔离处置：立即采取隔离措施，切断攻击传播路径，防止事态扩大；保护好现场，留存相关日志、证据，禁止擅自删除、修改相关数据。8.4.4事件处置：根据处置方案，采取漏洞修复、病毒查杀、权限回收、数据恢复等措施，必要时可联系公安机关、专业安全厂商提供技术支持。8.4.5业务恢复：按照“先核心、后次要”的原则恢复业务系统，恢复后需进行全面安全检测，确认无安全隐患后方可正式上线。8.5事后复盘与改进8.5.1事件处置结束后3个工作日内，应急小组需提交事件调查报告，分析事件原因、处置过程、损失情况，制定整改措施，明确整改责任人及时限。8.5.2每年至少开展2次网络安全应急演练，覆盖勒索病毒攻击、数据泄露、DDoS攻击、系统中断等核心场景，演练后形成演练报告，优化应急预案。8.5.3应急物资储备：定期更新应急工具、备份介质、应急联系方式，确保应急时可随时调用，每季度盘点1次应急物资。9.第三方外包服务安全管理制度9.1适用范围本制度适用于为公司提供软件开发、系统运维、硬件维修、云服务、安全测评等各类外包服务的服务商及人员的安全管理。9.2服务商准入管理9.2.1服务商选择需进行安全资质审核，优先选择具备ISO27001信息安全管理体系认证、网络安全等级保护测评资质、相关行业安全资质的服务商。9.2.2签订服务合同必须包含安全责任条款，明确双方安全责任、保密义务、违约责任，同时签订单独的保密协议，保密期限不少于服务结束后5年。9.2.3涉及核心系统、核心数据的外包项目，需对服务商进行背景调查，确认无不良安全记录，合同中需明确数据安全责任，禁止服务商私自留存、使用公司数据。9.3外包人员管理9.3.1外包人员进入公司办公区域需提交申请，由对接部门审批后办理临时出入证，由对接部门专人陪同，禁止单独进入核心机房、数据中心等敏感区域，确需进入的需经信息部负责人审批，全程陪同。9.3.2外包人员接入公司网络需使用临时账号，权限遵循最小原则，有效期不超过服务期限，到期立即删除，禁止使用公司内部员工账号。9.3.3外包人员自带设备接入公司网络需经过安全检测，安装要求的安全软件，禁止私自接入内网，禁止使用个人设备存储公司敏感数据。9.4外包服务过程管理9.4.1外包运维操作必须通过公司堡垒机进行，全程录屏，日志保存不少于12个月，禁止私自进行核心系统操作，所有操作需经信息部运维人员审批。9.4.2外包人员接触核心数据需经审批，仅允许访问工作必需的最小范围数据，禁止拷贝、导出、泄露公司数据，开发测试需使用脱敏数据。9.4.3对接部门负责对外包人员进行日常管理，监督其遵守公司安全制度，发现违规行为及时制止并上报信息部。9.5服务结束管理9.5.1服务结束后，外包人员需归还所有公司配发的设备、介质、证件，删除所有存储在个人设备中的公司数据，由信息部进行核验。9.5.2信息部在服务结束后24小时内关闭外包人员的所有账号、权限，回收网络接入权限。9.5.3每年对服务商进行1次安全评估，评估内容包括安全管理水平、服务质量、安全事件发生情况，评估不合格的终止合作。10.网络安全培训教育管理制度10.1适用范围本制度适用于公司全体员工、管理层、外包人员的网络安全培训教育管理。10.2培训分类与要求10.2.1新员工入职培训：新员工入职时必须参加网络安全入职培训，内容包括公司网络安全制度、密码安全、钓鱼邮件识别、终端安全、数据安全、应急上报流程，培训后进行闭卷考试，80分以上为合格，不合格者需补考，合格后方可开通系统账号、接入公司网络。10.2.2全员常规培训：全体员工每年至少参加2次网络安全常规培训，累计培训时长不少于8学时，培训内容包括最新安全形势、常见安全风险、安全制度更新等，培训后进行考核，考核成绩纳入个人绩效。10.2.3技术人员专项培训：信息部技术人员每年至少参加4次专业安全技术培训，累计培训时长不少于24学时，内容包括漏洞防护、应急处置、安全运维等；鼓励技术人员考取CISP、CISSP、CEH等网络安全专业证书，公司给予培训费用报销及绩效奖励。10.2.4管理层培训：公司管理层每年至少参加1次网络安全管理培训，累计时长不少于4学时，内容包括网络安全法律法规、安全责任、风险管理等，提升管理层安全意识与管理能力。10.2.5外包人员培训：外包人员进场前必须参加网络安全培训，内容包括公司安全制度、保密要求、操作规范，考试合格后方可进场工作。10.3实战化演练10.3.1每季度开展1次钓鱼邮件模拟演练，模拟真实钓鱼邮件场景，测试员工安全意识，对点击钓鱼链接、输入账号密码的员工进行通报，并组织专项培训，补考合格后方可继续使用系统。10.3.2每年组织2次以上的安全应急演练，组织相关岗位人员参与，提升应急处置协同能力。10.4培训档案管理10.4.1所有培训需建立档案，记录培训时间、地点、内容、讲师、参加人员、考核成绩，档案保存不少于3年。10.4.2信息部每年年底制定下一年度网络安全培训计划，报领导小组审批后执行，培训费用纳入年度安全预算。11.移动办公与远程访问安全管理制度11.1适用范围本制度适用于公司移动办公设备、远程访问行为的安全管理，包括公司配发的移动终端（手机、平板）、员工自带移动设备、远程办公场景。11.2远程访问管理11.2.1远程访问公司内部资源必须使用公司指定的VPN系统，启用多因素认证，禁止使用第三方远程工具（如TeamViewer、向日葵、个人版远程桌面）直接访问内部系统，确需使用的需经信息部负责人审批，且必须通过VPN隧道进行。11.2.2VPN账号仅限本人使用，禁止共享，账号权限遵循最小原则，仅授予远程工作所需的最小权限。11.2.3远程访问结束后及时断开VPN连接，禁止长时间保持连接状态，连续7天未使用的VPN账号自动禁用。11.3移动设备管理11.3.1公司配发的移动设备必须安装移动设备管理系统（MDM），启用设备加密、远程锁定、远程擦除功能，禁止私自越狱、root设备，禁止安装未经官方应用商店审核的应用。11.3.2员工自带移动设备需接入公司网络或访问公司资源的，需提交申请，经信息部审批后安装MDM代理，启用安全防护功能，否则禁止访问公司内部资源。11.3.3移动设备必须设置开机密码，密码长度不少于6位，支持生物识别的需启用生物识别认证，设备闲置超过5分钟自动锁定。11.4移动办公数据安全11.4.1禁止在移动设备上存储核心数据、重要数据，确需访问的通过VPN连接公司业务系统在线访问，禁止私自下载、导出到本地存储。11.4.2移动设备传输公司数据需通过加密渠道，禁止通过微信、QQ、个人邮箱等公共渠道传输敏感数据。11.4.3员工离职时，需删除移动设备上所有公司数据，信息部通过MDM系统远程擦除公司数据，注销移动设备访问权限。11.5移动办公行为规范11.5.1禁止在公共WiFi环境下直接访问公司内部资源，必须连接VPN后方可访问，防止数据被窃取。11.5.2禁止在公共场所（如地铁、咖啡厅、机场）使用移动设备处理核心数据，防止肩窥、窃听。11.5.