信息安全管理规范(30页).doc

1、信息安全管理规范公司版本信息当前版本:最新更新日期:最新更新作者:作者:创建日期:审批人:审批日期:修订历史版本号更新日期修订作者主要修订摘要Table of Contents（目录）1.公司信息安全要求.51.1信息安全方针.51.2信息安全工作准则.51.3职责.61.4信息资产的分类规定.61.5信息资产的分级（保密级别）规定.71.6现行保密级别与原有保密级别对照表.81.7信息标识与处置中的角色与职责.81.8信息资产标注管理规定.91.9允许的信息交换方式.101.10信息资产处理和保护要求对应表.101.11口令使用策略.121.12桌面、屏幕清空策略.131.13远程工作安全策

2、略.141.14移动办公策略.141.15介质的申请、使用、挂失、报废要求.151.16信息安全事件管理流程.171.17电子邮件安全使用规范.191.18设备报废信息安全要求.201.19用户注册与权限管理策略.201.20用户口令管理.211.21终端网络接入准则.211.22终端使用安全准则.211.23出口防火墙的日常管理规定.221.24局域网的日常管理规定.231.25集线器、交换机、无线AP的日常管理规定.231.26网络专线的日常管理规定.241.27信息安全惩戒.242.信息安全知识.252.1什么是信息？.252.2什么是信息安全？.252.3信息安全的三要素.252.4什

3、么是信息安全管理体系？.262.5建立信息安全管理体系的目的.272.6信息安全管理的PDCA模式.282.7安全管理风险评估过程.282.8信息安全管理体系标准（ISO27001 标准家族）.292.9信息安全控制目标与控制措施.301.公司信息安全要求1.1 信息安全方针拥有信息资产，积累、共享并保护信息资产是我们共同的责任。管理与技术并重，确保公司信息资产的安全，保障公司持续正常运营。履行对客户知识产权的保护承诺，保障客户信息资产的安全，满足并超越客户信息安全需求。1.2 信息安全工作准则保护信息的机密性、完整性和可用性，即确保信息仅供给那些获得授权的人员使用、保护信息及信息处理方法的准

4、确性和完整性、确保获得授权的人员能及时可靠地使用信息及信息系统；公司通过建立有效的信息安全管理体系和必要的技术手段，保障信息资产的安全，降低信息安全风险；各级信息安全责任者负责所辖区域的信息安全，通过建立相关制度及有效的保护措施，确保公司的信息安全方针得到可靠实施；全体员工应只访问或使用获得授权的信息系统及其它信息资产，应按要求选择和保护口令；未经授权，任何人不得对公司信息资产进行复制、利用或用于其它目的；应及时检测病毒，防止恶意软件的攻击；公司拥有为保护信息安全而使用监控手段的权力,任何违反信息安全政策的员工都将受到相应处理；通过建立有效和高效的信息安全管理体系，定期评估信息安全风险，持续改

5、进信息安全管理体系。1.3 职责全体员工应保护公司信息资产的安全。每个员工必须认识到信息资产的价值，负责保护好自己生成、管理或可触及的涉及的数据和信息。员工必须遵守信息标识与处理程序，了解信息的保密级别。对于不能确定是否为涉密信息的内容，必须征得相关管理部门的确认才可对外披露。员工必须遵守信息安全相关的各项制度和规定，保证的系统、网络、数据仅用于的各项工作相关的用途，不得滥用。1.4 信息资产的分类规定公司的信息资产分为电子数据、软件、硬件、实体信息、服务五大类。类别说明电子数据存在信息媒介上的各种数据资料，包括源代码、数据库数据等各种电子化的数据资料、项目文档、管理文档、运行管理规程、计划、

6、报告、用户手册、作业指导书等各种电子化的数据资料。软件包括系统软件、应用软件、共享软件系统软件：操作系统、语言包、工具软件、各种库等；应用软件：外部购买的应用软件，办公软件等；共享软件：各种共享源代码、共享可执行程序等。硬件网络设备：路由器、网关、交换机等计算机设备：大型机、服务器、工作站、台式计算机、移动计算机等存储设备：磁带机、磁盘阵列、工控机等移动存储设备：磁带、光盘、软盘、U盘、移动硬盘等传输线路：光纤、双绞线等基础保障设备：（UPS、变电设备等）、空调、保险柜、文件柜、门禁、消防设施等，如对基础设施使用属于租用形式，请将其识别到服务类别中。安全保障设备：硬件防火墙、入侵检测系统、身份验证等其他电子设备：打印机、复印机、扫描仪、传真机等实体信息纸制的各种文件、合同、传真、会议纪要、财务报表、证书、电报、发展计划以及各类其他材质的证书奖牌等。服务通过各种协议方式固化下来的服务活动、如物业、第三方、供应商、提供检修服务的提供方等。1.5 信息资产的分级（保密级别）规定信息资产分为：一般、内部公开、企业秘密、企业机密 4 个保密级别。保密级别名称说明1一般一般性信息，可以公开的信息、