信息安全监控与安全事件报告管理制度

第一节总则

第一条为规范信息安全监控与安全事件报告管理工作，特制定本制度。第二条本制度中信息系统包括操作系统、数据库系统、应用系统、服务器、存储设备、交换机、防火墙、入侵检测系统等系统和设备。第三条本制度所称的信息安全事件，是指由于自然灾害、人为失误或破坏、黑客入侵与病毒攻击等原因，出现骨干网络阻塞、业务中

断、系统破坏、数据破坏、公司网页被篡改、信息失窃或泄密等

严重影响到公司网络与信息系统正常运行，从而对网络传输、业

务运行、公司形象等方面造成不良影响，以及造成一定程度直接

和/或间接经济损失的事件的情况。

第四条根据信息安全事件对业务的影响程度及资产损失程度，把安全事件分为一般、严重和重大三个级别，具体参见（附件一）。

第五条本制度适用于中国铝业股份有限公司总部和各分子公司（含郑州研究院）（以下简称“公司”）。

第二节信息安全监控

第六条总部信息部负责建立信息安全监控和安全事件报告的管理体系，各分子公司信息部负责所辖范围内的信息安全监控和安全事件报

告工作。

第七条信息系统管理员根据《信息安全监控操作指引》（附件二），对非授权或可疑操作进行监控，重点关注涉及信息系统安全的操作记

录，包括用户登录记录、帐号权限修改记录、信息系统的配置更

改记录、报警信息、失败登陆尝试记录等，填写监控记录表，如

有异常情况立即向信息安全管理员报告。

第八条信息系统管理员在监控过程中如发现异常情况，根据《问题处理管理制度》及时报告和处理，并针对已发现的可疑操作，评估系

统的安全性，修补系统中可能存在的安全隐患。

第九条信息安全管理员每月对监控记录表进行审阅，总结分析信息安全情况，填写《信息安全月度报告》（附件四），提交上级主管审

阅。

第三节信息安全日志管理

第十条公司信息部统一设置日志服务器，信息系统管理员根据《系统配置与基础架构管理制度》中基准配置的要求，开启信息系统的日

志功能并记录用户对信息系统的操作。

第十一条公司信息部制定详细的信息系统安全日志备份计划（包括机房门禁系统），信息系统管理员按计划进行备份和保存，信息系统日志

必须保存半年。

第十二条只有被授权人员才有阅读日志的权限。为确保日志的完整性及真实性，在保留期内任何人不得删除或更改日志。

第四节信息安全事件报告

第十三条公司信息部负责信息安全工作,必须设立信息安全管理岗位,信息安全管理员负责信息安全监控和信息安全事件报告工作。

第十四条信息安全事件报告的具体流程参见《信息安全事件报告流程》（附件三）。

第十五条信息安全事件处理中的问题处理请参见《问题处理管理制度》。

第十六条总部信息部负责组织对相关安全事件进行分析和研究，并将结果通报各分子公司信息部。

第五节附则

第十七条本制度由公司总部信息部负责解释和修订。

第十八条本制度自发布之日起开始执行。

附件一信息安全事件分类与分级

一、信息安全事件主要可以分为以下几大类：

?自然灾害：洪灾、火灾、地震等自然灾害。

?拒绝服务：DoS是Denial of Service的简称，即拒绝服务，造成DoS的攻击行为被称为DoS攻击，其目的是使计算机或网络无法提供正常的

服务。

?恶意代码：病毒、蠕虫、木马等会给计算机带来不良影响的代码。

?未授权访问：某人在没有得到允许的情况下，获得对网络、系统、应用、数据，以及其它信息资源的访问权限。

?不当应用：违反安全策略的行为，包括公司和部门制定的制度、流程、标准和规范。

?上述几种安全事件的结合。

二、结合公司的实际情况，将信息安全事件做如下分级：

?一般安全事件

由于非法攻击、病毒入侵等安全原因造成业务系统的主机、网络、数据

库和数据等IT资产受到损害，由于已经采取了安全预防措施（例如备份

设备等），没有影响业务系统的正常运行，并能够通过部门信息安全管理

员协调进行处理，在短期内发现并解决的安全问题，称为一般安全事

件。

例如：个别系统和设备由于病毒造成设备无法正常工作，但是没有影响

业务系统和网络流量等安全事件。

?严重安全事件

由于非法攻击、病毒入侵或后门等安全原因造成业务系统的主机、网

络、数据库和数据等重要IT资产受到损害，可能对业务系统造成影响的

安全问题称为严重安全事件。

一般安全事件没有在规定时间内进行解决，同时可能对业务系统造成影

响，会从一般安全事件上升到严重安全事件。

例如：重要业务系统的重要服务器存在后门，可能对业务系统正常运行

造成影响或数据被修改等安全事件。如爆发蠕虫，造成系统运行缓慢。?重大安全事件

由于非法攻击、病毒入侵或后门等安全原因造成业务系统的主机、网络、数据库和数据等重要IT资产受到损害，并且已经对业务系统造成一定范围的影响，有可能产生业务中断的安全问题称为重大安全事件。

严重安全事件没有在规定时间内进行解决，同时对业务系统造成影响，会从严重安全事件上升到重大安全事件。

例如：由于蠕虫病毒大面积爆发，造成网络堵塞，已经对业务系统产生影响的安全事件，重要业务系统的数据或应用环境被破坏造成业务中断。

附件二信息安全监控操作指引

1、日操作

1.1 网络安全操作

?防火墙日志检查

描述通过对防火墙的告警日志进行分析，发现设备异常情况

使用方法开启防火墙的设备的日志功能，查看防火墙的设备告警日志，从而获得防火墙的异常情况。

?防火墙策略日志

描述通过对防火墙的日志进行分析，发现异常流量和设备异常情况

使用方法开启防火墙关键策略的日志功能，查看防火墙关键策略的通过与拒绝数据包记录，从而获得防火墙设备本身的异常情况和网络中的异常流量。

注意事项只应对防火墙的关键策略开启日志功能，而不应该对所有的策略开启日志功能。

描述通过对VPN的日志进行分析，发现异常流量和设备异常情况使用方法开启VPN关键策略的日志功能，查看VPN日志。

?防病毒告警检查

描述通过对防病毒的告警日志进行分析，发现异常情况使用方法查看防病毒的告警日志，从而获得网内的病毒情况。

1.2系统安全操作

?检查主机的帐号最近登陆情况、当前在线用户

查看方式检查帐号登录日志

检查系统当前登录的帐号

?主机日志检查

描述检查主机系统的日志信息，主要对登录的用户、用户登录时间、用户退出时间进行检查，以发现可疑的用户操作行为。

1.3 数据库和中间件维护操作

?数据库日志检查

描述启动数据库的日志审计功能，查看登录失败用户及登录时间，分析异常的情况。

1.4 应用系统安全

?安全日志检查

检查是否有未经授权的访问，是否有失败的登陆尝试，是否有被拒绝的交易。

2、月操作

2.1网络安全操作

?配置文件备份

描述备份网络设备的配置文件

使用方法将配置文件输出到屏幕，并将输出的配置复制到文本文件进行保存。

注意事项1)保存配置文件，建议其文件名包含保存的日期、设备名

称或IP、保存人员。

2)配置文件建议加密进行保存，并对该文件的访问进行控

制。

?防火墙配置文件备份

描述备份安全设备的配置文件

使用方法通过Web、管理端或命令行对配置进行备份。

注意事项1)保存配置文件，建议其文件名包含保存的日期、设备名

称或IP、保存人员。

2)配置文件建议加密进行保存，并对该文件的访问进行控

制。

?VPN配置安全性检查

检查VPN配置是否严谨，VPN配置应该对拨入用户设置严谨的访问目标，目标地址必须指定到具体的地址。

?VPN配置文件备份

描述备份设备的配置文件

使用方法通过Web、管理端对配置进行备份。

3、季度操作

3.1网络安全操作

?防火墙策略安全性检查

检查防火墙策略配置是否严谨，防火墙策略必须根据业务访问需要设置最严谨的访问控制策略，根据具体情况将目标地址具体到地址或端口。

3.2 应用系统安全

?软件操作权限检查

检查应用系统的软件操作员的帐号和权限分配是否合理

中国铝业信息技术管理制度

附件三信息安全事件报告流程

各分子公司信息部信息安全管理员

信息安全事件发生部门

信息安全事件报告流程

开始

发现信息安全事件

信息安全事件报告

信息安全事件评估

是否一般信息安全事件？

是否严重信息安全事件？

是

否报告本级公司信息部经理

向本级公司主管IT 副总经理和总公司信息部进行每月报

告

信息安全事件月度报告

否是三天后书面报告

报告本级公司主管IT 副总经理

报告总部信息部

报告本级公司主管IT 副总经理

报告本级公司信息部经理报告总部信息部报告公司CEO 确定为重大信息安全事件

结束

重大信息安全事件报告

中国铝业信息技术管理制度

流程描述：

一、发现信息安全事件后，应立即向本级公司信息部信息安全管理员报告；

二、信息安全管理员接到报告后，首先根据《信息安全事件分类与分级》（见附件

一）的定义对信息安全事件进行评估，确定信息安全事件的级别；

三、对于一般信息安全事件，先在本级公司信息部内处理，处理完成后以《信息安

全月度报告》（附件四）的形式向本级公司主管IT副总经理和总部信息部报告；

四、对于严重信息安全事件，必须立即向本级公司信息部经理、主管IT副总经理

和总部信息部报告，处理完成后以《信息安全月度报告》的形式向本级公司主管IT副总经理和总部信息部报告；

五、对于重大信息安全事件，必须立即向本级公司信息部经理、主管IT副总经理

和总部信息部报告，并在《信息安全月度报告》中进行总结。由总部信息部向CEO报告，并在事件发生后三日内另行报送《重大信息安全事件报告》（见附件五）。

附件四信息安全月度报告（XX年X月）

单位名称信息安全管理员

本月安全事件

情况简述

重大安全事件的发

可采用后附文档方式现和处理过程

本月安全工作遇到

的主要问题和处理

情况

应采取的安全措施

和建议

联系电话：填报日期：安全负责人签字

附件五重大信息安全事件报告

事件发生时间：年月日时分

单位名称报告人

联系电话通讯地址

传真电子邮件

发生重大信息安

全事件的信息系

统基本信息

重大信息安全事

件的描述及最后

判定的事故原因

重大信息安全事

件的影响描述

对重大信息安全事件的事后影响

状况事件后果□业务中断□系统破坏□数据破坏□其他

影响范围□单台主机□台主机□整个信息系统□整个局域网

重大信息安全事

件的主要处理过

程与结果（必要

时可附文字、图

片等材料）

（可增页）

针对此类事件应

采取的保障网络

与信息系统安全

的措施和建议

（可增页）

信息安全管理制度19215

信息安全管理制度目录 1.安全管理制度要求 1.1总则：为了切实有效的保证公司信息安全，提高信息系统为公司生产经营的服务能力，特制定交互式信息安全管理制度，设定管理部门及专业管理人员对公司整体信息安全进行管理，以确保网络与信息安全。 1.1.1建立文件化的安全管理制度，安全管理制度文件应包括： a)安全岗位管理制度； b)系统操作权限管理； c)安全培训制度； d)用户管理制度； e)新服务、新功能安全评估； f)用户投诉举报处理； g)信息发布审核、合法资质查验和公共信息巡查； h)个人电子信息安全保护； i)安全事件的监测、报告和应急处置制度； j)现行法律、法规、规章、标准和行政审批文件。 1.1.2安全管理制度应经过管理层批准，并向所有员工宣贯 2.机构要求 2.1 法律责任 2.1.1互联网交互式服务提供者应是一个能够承担法律责任的组织或个人。 2.1.2互联网交互式服务提供者从事的信息服务有行政许可的应取得相应许可。 3.人员安全管理 3.1 安全岗位管理制度建立安全岗位管理制度，明确主办人、主要负责人、安全责任人的职责：岗位管理制度应包括保密管理。 3.2 关键岗位人员 3.2.1关键岗位人员任用之前的背景核查应按照相关法律、法规、道德规范和对应的业务要求来执行，包括： 1.个人身份核查： 2.个人履历的核查： 3.学历、学位、专业资质证明： 4.从事关键岗位所必须的能力 3.2.2 应与关键岗位人员签订保密协议。 3.3 安全培训建立安全培训制度，定期对所有工作人员进行信息安全培训，提高全员的信息安全意识，包括： 1.上岗前的培训； 2.安全制度及其修订后的培训； 3.法律、法规的发展保持同步的继续培训。应严格规范人员离岗过程： a)及时终止离岗员工的所有访问权限； b)关键岗位人员须承诺调离后的保密义务后方可离开； c)配合公安机关工作的人员变动应通报公安机关。

企业信息安全管理制度(试行)

XX公司信息安全管理制度（试行）第一章第二章第三章总则第一条为保证信息系统安全可靠稳定运行，降低或阻止人为或自然因素从物理层面对公司信息系统的保密性、完整性、可用性带来的安全威胁，结合公司实际，特制定本制度。第二条本制度适用于XX公司以及所属单位的信息系统安全管理。第四章职责第三条相关部门、单位职责：一、信息中心（一）负责组织和协调XX公司的信息系统安全管理工作；（二）负责建立XX公司信息系统网络成员单位间的网络访问规则；对公司本部信息系统网络终端的网络准入进行管理；（三）负责对XX公司统一的两个互联网出口进行管理，配置防火墙等信息安全设备；会同保密处对公司本部互联网上网行为进行管理；（四）对XX公司统一建设的信息系统制定专项运维管理办法，明确信息系统安全管理要求，界定两级单位信息安全管理责任；（五）负责XX公司网络边界、网络拓扑等全局性的信息安全管理。二、人力资源部

（一）负责人力资源安全相关管理工作。（二）负责将信息安全策略培训纳入年度职工培训计划，并组织实施。三、各部门（一）负责本部门信息安全管理工作。（二）配合和协助业务主管部门完善相关制度建设，落实日常管理工作。四、所属各单位（一）负责组织和协调本单位信息安全管理工作。（二）对本单位建设的信息系统制定专项运维管理办法，明确信息系统安全管理要求，报XX公司信息中心备案。第五章信息安全策略的基本要求第四条信息系统安全管理应遵循以下八个原则：一、主要领导人负责原则；二、规范定级原则；三、依法行政原则；四、以人为本原则；五、注重效费比原则；六、全面防范、突出重点原则；七、系统、动态原则；八、特殊安全管理原则。第五条公司保密委应根据业务需求和相关法律法规，组织制定公司信息安全策略，经主管领导审批发布后，对员工及相关方进行传达和培训。第六条制定信息安全策略时应充分考虑信息系统安全策略的“七定”要求，即定方案、定岗、定位、定员、定目标、定制度、定工作流程。第七条信息安全策略主要包括以下内容：一、信息网络与信息系统必须在建设过程中进行安全风险评估，并根据评估结果制定安全策略；二、对已投入运行且已建立安全体系的系统定期进行漏洞

信息安全管理制度..

信息工作管理制度第一章总则第一条为了加强信息管理，规范信息安全操作行为，提高信息安全保障能力和水平，维护信息安全，促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等规定，以《环境信息网络管理维护规范》（环保部制定）等标准为基本管理操作准则，制订本管理制度。第二条本制度适用范围为信息与监控中心，其他单位可参照执行。第二章岗位管理第三条业务信息工作人员（包括监控与信息中心技术人员及机关业务系统管理人员）、机房运维人员（包括外包机构人员），应遵循《环境信息网络管理维护规范》等规定。第四条机房运维人员根据运维合同规定由机房管理部门对其实行管理。第五条信息工作人员岗位设置为系统管理员、业务管理员、网络管理员、安全管理员、安全审计员。人员岗位及职责（一）系统管理员系统管理员是从事服务器及存储设备运行管理的人

员，业务上应具备熟练掌握操作系统、熟练操作服务器和存储设备的能力。 1、负责指定的服务器、存储等设备的资料登记、软件保管及设备报修。 2、配合完成指定的业务软件运行环境的建立，正式运行后的服务器系统软硬件操作的监管，执行中心的备份策略。 3、在所负责的的服务器、存储设备发生硬件故障时,及时组织有关人员恢复系统的运行,针对系统事故找到系统事故原因。 4、负责指定的服务器操作系统的管理口令修改。 5、负责制定、执行服务器及存储设备故障应急预案。（二）业务管理员（业务联系人）业务管理员是部署在应用服务器上的操作系统及业务系统运行管理的人员，业务上应具备业务系统安装及基本调试操作的能力（业务软件厂家负责培训），业务系统及部署操作系统故障分析的能力，预防系统风险的能力。 1、负责维护业务系统的运行及业务系统的安装环境。 2、负责制定、执行业务系统及其数据的备份计划。 3、负责业务数据的数据备份及数据恢复。 4、负责制定执行本业务系统的故障应急预案。（三）网络管理员

信息安全事故管理办法

信息安全事故管理办法第一章总则第一条目的：为加强公司信息系统安全事故的管理，提高信息系统安全事故管理的制度化、规范化水平，及时掌握全行网络和信息系统安全状况，为协调组织相关力量进行信息系统安全事故的应急响应处理奠定基础，降低信息安全事故带来的损失和影响，保障全行网络和信息系统安全稳定运行，特订定本管理办法。第二条依据：本管理办法根据《公司信息安全管理策略》制订。第三条范围：本办法适用于全公司信息系统。第四条定义：信息安全事故是指对任何信息技术资源合法使用、操作造成威胁的事件，或对信息技术资源具有潜在危险的任何一种情况。第五条总部DXC负责信息安全事故的接报、汇总、通报和处置工作。DXC 安全科负责人为信息安全事故协调员，并指定代理信息安全事故协调员。第二章信息安全事故的范围第六条公司信息安全事故包括，但不限于： (一)系统感染计算机病毒。 (二)公司网络遭遇外部入侵或攻击。 (三)内部人员利用公司网络进行破坏。 (四)信息系统敏感数据泄露或失窃。 (五)公司数据处理设备失窃。

第七条符合以下条件之一的信息安全事故必须报告： (一)导致计算机信息系统中断或运行不正常超过4小时。 (二)造成直接经济损失超过100万元。 (三)严重威胁公司资金、信誉安全。 (四)因计算机安全事故造成公司不能正常运营，且影响范围超过一个县级行政区域。第三章信息安全事故的监控和处理第八条安全事故管理分为安全事故监控和安全事故处理。安全事故监控完成对安全事故迹象的检测和分析，发现和报告安全事故的存在。安全事故处理是对被发现的安全事故的响应处理过程，包括四个主要阶段：控制、证据收集、根除与恢复以及事后分析。第九条安全事故监控包括信息安全事故监测、预测和预警，应按照“早发现、早报告、早处置”的原则，加强对各类信息安全事故和可能引发信息安全事故的有关信息的收集、分析判断和持续监测。第十条员工发现公司发生信息安全事故后，需向信息安全事故协调员报告，确认故障情况，确认故障处理时间，准确定性故障级别，如果不能联系上信息安全事故协调员，则向代理信息安全事故协调员报告。第十一条生产运行环境出现的安全事故按照《信息系统应急预案》执行。第十二条信息安全事故协调员接到报告后，需立即采取措施控制事态，如断开受病毒感染的系统的网络连接，及时通知DXC安全科和用户部门负责人，协调控制事件的影响。保留相关的防火墙、路由器、入侵检测系统、操作和应

信息安全管理制度 (2)

信息安全管理制度为加强公司各信息系统管理，保证信息系统安全，根据《中华人民共和国保守国家秘密法》和国家保密局《计算机信息系统保密管理暂行规定》、国家保密局《计算机信息系统国际联网保密管理规定》，及上级信息管理部门的相关规定和要求，结合公司实际，制定本制度。本制度包括网络安全管理、信息系统安全保密制度、信息安全风险应急预案网络安全管理制度第一条公司网络的安全管理，应当保障网络系统设备和配套设施的安全，保障信息的安全，保障运行环境的安全。第二条任何单位和个人不得从事下列危害公司网络安全的活动： 1、任何单位或者个人利用公司网络从事危害公司计算机网络及信息系统的安全。 2、对于公司网络主结点设备、光缆、网线布线设施，以任何理由破坏、挪用、改动。 3、未经允许，对信息网络功能进行删除、修改或增加。 4、未经允许，对计算机信息网络中的共享文件和存储、处理或传输的数据和应用程序进行删除、修改或增加。 5、故意制作、传播计算机病毒等破坏性程序。

6、利用公司网络，访问带有“黄、赌、毒”、反动言论内容的网站。 7、向其它非本单位用户透露公司网络登录用户名和密码。 8、其他危害信息网络安全的行为。第三条各单位信息管理部门负责本单位网络的安全和信息安全工作，对本单位单位所属计算机网络的运行进行巡检，发现问题及时上报信息中心。第四条连入公司网络的用户必须在其本机上安装防病毒软件，一经发现个人计算机由感染病毒等原因影响到整体网络安全，信息中心将立即停止该用户使用公司网络，待其计算机系统安全之后方予开通。第五条严禁利用公司网络私自对外提供互联网络接入服务，一经发现立即停止该用户的使用权。第六条对网络病毒或其他原因影响整体网络安全的子网，信息中心对其提供指导，必要时可以中断其与骨干网的连接，待子网恢复正常后再恢复连接。

公司信息安全管理制度(修订版)

信息安全管理制度一、总则为了加强公司内所有信息安全的管理，让大家充分运用计算机来提高工作效率，特制定本制度。二、计算机管理要求 1.IT管理员负责公司内所有计算机的管理，各部门应将计算机负责人名单报给 IT管理员，IT管理员（填写《计算机IP地址分配表》）进行备案管理。如有变更，应在变更计算机负责人一周内向IT管理员申请备案。 2.公司内所有的计算机应由各部门指定专人使用，每台计算机的使用人员均定为计算机的负责人，如果其他人要求上机（不包括IT管理员），应取得计算机负责人的同意，严禁让外来人员使用工作计算机，出现问题所带来的一切责任应由计算机负责人承担。 3.计算机设备未经IT管理员批准同意，任何人不得随意拆卸更换；如果计算机出现故障，计算机负责人应及时向IT管理员报告，IT管理员查明故障原因，提出整改措施，如属个人原因，对计算机负责人做出处罚。 4.日常保养内容： A．计算机表面保持清洁 B．应经常对计算机硬盘进行整理，保持硬盘整洁性、完整性； C．下班不用时，应关闭主机电源。 5．计算机IP地址和密码由IT管理员指定发给各部门，不能擅自更换。计算机系统专用资料（软件盘、系统盘、驱动盘）应由专人进行保管，不得随意带出公司或个人存放。 6.禁止将公司配发的计算机非工作原因私自带走或转借给他人，造成丢失或损坏的要做相应赔偿，禁止计算机使用人员对硬盘格式化操作。

7.计算机的内部调用： A. IT管理员根据需要负责计算机在公司内的调用，并按要求组织计算机的迁移或调换。 B. 计算机在公司内调用，IT管理员应做好调用记录，《调用记录单》经副总经理签字认可后交IT管理员存档。 8.计算机报废： A. 计算机报废，由使用部门提出，IT管理员根据计算机的使用、升级情况，组织鉴定，同意报废处理的，报部门经理批准后按《固定资产管理规定》到财务部办理报废手续。 B. 报废的计算机残件由IT管理员回收，组织人员一次性处理。 C. 计算机报废的条件：1）主要部件严重损坏，无升级和维修价值；2）修理或改装费用超过或接近同等效能价值的设备。三、环境管理 1.计算机的使用环境应做到防尘、防潮、防干扰及安全接地。 2.应尽量保持计算机周围环境的整洁，不要将影响使用或清洁的用品放在计算机周围。 3.服务器机房内应做到干净、整洁、物品摆放整齐；非主管维护人员不得擅自进入。四、软件管理和防护 1.职责： A. IT管理员负责软件的开发购买保管、安装、维护、删除及管理。 B. 计算机负责人负责软件的使用及日常维护。 2.使用管理： A. 计算机系统软件：要求IT管理员统一配装正版Windows专业版，办公常用办

企业信息安全管理办法

信息安全管理办法第一章总则第一条为加强公司信息安全管理，推进信息安全体系建设，保障信息系统安全稳定运行，根据国家有关法律、法规和《公司信息化工作管理规定》，制定本办法。第二条本办法所指的信息安全管理，是指计算机网络及信息系统（以下简称信息系统）的硬件、软件、数据及环境受到有效保护，信息系统的连续、稳定、安全运行得到可靠保障。第三条公司信息安全管理坚持“谁主管谁负责、谁运行谁负责”的基本原则，各信息系统的主管部门、运营和使用单位各自履行相关的信息系统安全建设和管理的义务与责任。第四条信息安全管理，包括管理组织与职责、信息安全目标与工作原则、信息安全工作基本要求、信息安全监控、信息安全风险评估、信息安全培训、信息安全检查与考核。第五条本办法适用于公司总部、各企事业单位及其全体员工。第二章信息安全管理组织与职责第六条公司信息化工作领导小组是信息安全工作的最高决策机构，负责信息安全政策、制度和体系建设规划的审批，部署并协调信息安全体系建设，领导信息系统等级保护工作。第七条公司建立和健全由总部、企事业单位以及信息技术支持单位三方面组成，协调一致、密切配合的信息安全组织和责任体系。各级信息安全组织均要明确主管领导，确定相关责任，设置相应岗位，配备必要人员。第八条信息管理部是公司信息安全的归口管理部门，负责落实信息化工作领导小组的决策，实施公司信息安全建设与管理，确保重要信息系统的有效保护和安全运行。具体职责包括：组织制定和实施公司信息安全政策标准、管理制度和体系建设规划，组织实施信息安全项目和培训，组织信息安全工作的监督和检查。第九条公司保密部门负责信息安全工作中有关保密工作的监督、检查和指导。

信息安全管理办法

备必要人员。第八条信息管理部是公司信息安全的归口管理部门，负责落实信息化工作领导小组的决策，实施公司信息安全建设与管理，确保重要信息系统的有效保护和安全运行。具体职责包括：组织制定和实施公司信息安全政策标准、管理制度和体系建设规划，组织实施信息安全项目和培训，组织信息安全工作的监督和检查。第九条公司保密部门负责信息安全工作中有关保密工作的监督、检查和指导。第十条企事业单位信息部门负责本单位信息安全的管理，具体职责包括：在本单位宣传和贯彻执行信息安全政策与标准，确保本单位信息系统的安全运行，实施本单位信息安全项目和培训，追踪和查处本单位信息安全违规行为，组织本单位信息安全工作检查，完成公司部署的信息安全工作。第十一条技术支持单位在信息管理部的领导下，承担所负责的信息系统和所在区域的信息安全管理任务，主要包括：在所维护系统和本区域内宣传和贯彻信息安全政策与标准，确保所负责信息系统的安全运行。第十二条各级信息管理部门设立信息安全管理和技术岗位，包括信息安全、应用系统、数据库、操作系统、网络负责人和管理员，重要岗位可设置两个员工互为备份。第十三条信息安全岗位的设立应遵循职责分离的要求，包括：制度监督者与执行者分离，信息系统授权者与操作者分离，应用系统管理

公司IT信息安全管理制度.doc

公司IT信息安全管理制度4 富世康公司IT信息安全管理制度第一条总则通过加强公司计算机系统、办公网络、服务器系统的管理，保证网络系统安全运行，保证公司机密文件的安全，保障服务器、数据库的安全运行。加强计算机使用人员的安全意识，确保计算机系统正常运转。第二条范围 1、计算机网络系统由计算机硬件设备、软件及客户机的网络系统配置组成。 2、软件包括：服务器操作系统、SQL数据库、金蝶财务软件、浩龙餐饮管理软件、思迅商业管理软件、今目标办公自动化系统、微励系统及其它办公软件。 3、客户机的网络系统配置包括客户机在网络上的名称，IP 地址分配，用户登陆名称、用户密码、及Internet的配置等。 4、系统软件是指：操作系统（如WINDOWS XP、SERVER2008、WINDOWS7等）软件。第三条职责 1、信息部为网络安全运行的管理部门，负责公司计算机网络系统、计算机系统、数据库系统的日常维护和管理。 2、负责系统软件的调研、采购定型、安装、升级、保管工作。

3、网络管理人员负责计算机网络系统、办公自动化系统、平台系统的安全运行；服务器安全运行和数据备份；Internet对外接口安全以及计算机系统防病毒管理；各种软件的用户密码及权限管理协助各部门进行数据备份和数据归档。 4、网络管理人员执行公司保密制度，严守公司商业机密。 5、员工执行计算机安全管理制度，遵守公司保密制度。 6、系统管理员的密码必须由网络管理部门相关人员掌握。第三条管理办法 I、公司计算机使用管理制度 1、从事计算机网络信息活动时，必须遵守《计算机信息网络国际联网安全保护管理办法》的规定，应遵守国家法律、法规，加强信息安全教育。 2、计算机等硬件设备由公司统一配置并定位，任何部门和个人不得允许私自挪用调换、外借和移动电脑。 3、电脑硬件及其配件添置应列出清单报审计部，在征得公司领导同意后，由信息部负责进行添置。 4、电脑操作应按规定的程序进行。（1）电脑的开、关机应按按正常程序操作，因非法操作而使电脑不能正常使用的，修理费用由该部门负责；

信息安全监控规范---含表格及流程

信息安全监控规范 1.0目的为了预防和遏制公司内各业务系统由于用户权限滥用或管理不善所导致网络信息安全事件的发生，保证及时处理由此引起的各类信息安全事件，减轻和消除突发事件造成的经济损失和社会影响，确保公司网络通畅、各生产和业务系统正常运行，特制定本管规范。 2.0适用范围本规范适用于东风通信维护东风裕隆机房、办公厂区网络及办公运行。 2.1安全监控范围 2.1.1设备安全日志其中包括网络中防火干墙、入侵检测系统（IDS）、DDOS检测系统、鉴权系统、主机系统日志、路由器、交换机等 2.1.2应用系统操作日志包括数据库操作、应用系统操作日志、设备操作日志 2.1.3网站内容安全监控监控人员需要进行发布的网站内容监控和审计，实时监控网站出现非法、敏感类信息以及网站可访问性。 3.0安全监控和监控事件总体要求 3.1 监控要求安全监控包括了解系统面临的威胁以及这些威胁出现的方式，有些事件可能在发生安全事故时要求进行进一步调查。系统日志通常包括大量的信息，多数与安全监控无关。为了识别用于安全监控目的的重要事件，应该考虑对日志进行过滤，重点关注安全性事件。应定期将日志进行备份以保证事后分析和监控时使用。分配安全监控责任时，应该考虑把监控人员和被监控者的角

色分离开来。要注意日志记录工具的安全。因为该工具如果随意使用，就可能在安全问题上产生错觉，应制定控制措施防止日志工具的非法更改和操作问题。 3.2 监控职责 3.2.1、网络运行管理部门 1）、统管整个网络运行情况，以保障网络的正常运行为第一重任。 2）、指挥调度各专业维护人员及时处理全网故障，同时调集各专业维护人员确认故障原因，尤其对安全事件重点关注。 3）、要对相关事件进行认真分析并及时上报信息安全管理小组，涉及到重大安全事件的并要上报到公安机关等。 3.2.2、监控值班人员值班人员负责7X24小时实时监控本专业网络运行情况，对异常事件进行分析及时上报，并协助相关人员派发故障工单，协助维护部门处理故障，并做好配合工作。及时跟踪工单完成情况，对处理完安全事件后进行安全事件记录并上报相关部门。 3.2.3、维护部门监控人员所发现的安全事件以工单为据进行第一时间的处理，并返回处理情况。 4.0 故障处理流程安全事故发现及处理流程：

系统运维管理-信息安全事件管理办法.doc

系统运维管理-信息安全事件管理办法1 系统运维管理信息安全事件管理办法 XXX室目录编写说明(3) 第一章总则(4) 第二章信息安全事件定义(4) 第三章组织职责(6) 第四章安全要求(6) 第五章附则(7) 编写说明为贯彻“积极预防、及时发现、快速反应、确保恢复”的方针和要求，加强XXX室的安全建设和管理，有效控制风险，特制定本策略。《信息安全事件管理办法》主要用于加强单位信息安全事件的管理，规范安全事件的响应和操作流程。第一章总则

第一条策略目标：加强单位信息安全事件的管理，规范信息安全事件的响应和操作流程。第二条适用范围：本策略适用于单位TCP/IP 网络、以及所承载的业务系统。第三条使用人员及角色职责：本策略适用于单位安全管理员、各部门安全管理员、各系统管理员。第四条策略相关性：本策略与《信息安全事件处理流程》同时使用，与安全检查及监控等管理办法相关。第二章信息安全事件定义第五条公司信息安全事件是指针对TCP/IP 网络中，由于硬件、软件、数据因非法攻击或病毒入侵等安全原因而遭到破坏、更改、泄漏（可能）造成系统不能正常运行，影响正常的业务发展，称为信息安全事件。第六条信息安全事件主要可以分为以下几大类： (一)拒绝服务：DoS 是Denial of Service 的简称，即拒绝服务，造成DoS 的攻击行为被称为DoS 攻击，其目的是使计算机或网络无法提供正常的服务。 (二)恶意代码：病毒、蠕虫、木马等会给计算机带来不良影响

的代码。 (三)未授权访问：某人在没有得到允许的情况下，获得对网络、系统、应用、数据以及其它信息资源的访问权限。 (四)不当应用：违反安全策略的行为，包括公司和部门制定的流程、制度、标准和规范。 (五)上述几种安全事件的结合。第七条依据安全事件对业务可能造成的影响或已经造成影响的严重程度，并结合资产的重要程度把安全事件分为一般、严重和重大三个级别。 (一)由于非法攻击、病毒入侵等安全原因造成业务系统的主机、网络、数据库和数据等IT 资产受到损害，由于已经采取了安全预防措施（例如备份设备等），没有影响业务系统的正常运行，并能够通过部门安全管理员进行协调处理，在短期内发现并解决的安全问题，称为一般安全事件。 (二)由于非法攻击、病毒入侵或后门等安全原因造成业务系统

级等保,安全管理制度,信息安全管理体系文件控制管理规定

* 主办部门：系统运维部执笔人：审核人： XXXXX 信息安全管理体系文件控制管理规定 XXX-XXX-XX-02001 2014年3月17日

[本文件中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属XXXXX所有，受到有关产权及版权法保护。任何个人、机构未经XXXXX的书面授权许可，不得以任何方式复制或引用本文件的任何片断。] 文件版本信息文件版本信息说明记录本文件提交时当前有效的版本控制信息，当前版本文件有效期将在新版本文档生效时自动结束。文件版本小于时，表示该版本文件为草案，仅可作为参照资料之目的。阅送范围内部发送部门：综合部、系统运维部、技术开发部

目录第一章总则.................................. 错误!未定义书签。第二章细则.................................. 错误!未定义书签。第三章附则.................................. 错误!未定义书签。附件：........................................ 错误!未定义书签。

第一章总则第一条为规范XXXXX信息安全管理体系文件的审批、发布、分发、更改、保管和作废等活动，根据《金融行业信息系统信息安全等级保护实施指引》（JR/T 0071—2012），结合XXXXX 实际，制定本规定。第二条本规定适用于XXXXX信息安全管理体系文件控制过程和活动。第三条信息安全管理体系文件是确保XXXXX信息系统正常运转形成的文书，用于阐述需保护的资产、风险管理的方法、控制目标及方式和所需的保护程度。第四条网络与信息安全工作领导小组办公室负责组织XXXXX信息安全管理体系各级文件的编写、审核和归档；负责组织体系各级文件的宣传推广。第二章细则第五条体系文件的类别信息安全管理体系文件可分为以下四级：（一）一级文件：管理策略；（二）二级文件：管理规定；（三）三级文件：管理规范、实施细则、操作手册等；（四）四级文件：运行记录、表单、工单、记录模板等。第六条体系文件的编写

信息安全管理办法

银行信息安全管理办法第一章总则第一条为加强*** （下称“本行”）信息安全管理，防范信息技术风险，保障本行计算机网络与信息系统安全和稳定运行，根据《中华人民共和国计算机信息系统安全保护条例》、《金融机构计算机信息系统安全保护工作暂行规定》等，特制定本办法。第二条本办法所称信息安全管理，是指在本行信息化项目立项、建设、运行、维护及废止等过程中保障信息及其相关系统、环境、网络和操作安全的一系列管理活动。第三条本行信息安全工作实行统一领导和分级管理，由分管领导负责。按照“谁主管谁负责，谁运行谁负责，谁使用谁负责”的原则，逐级落实部门与个人信息安全责任。第四条本办法适用于本行。所有使用本行网络或信息资源的其他外部机构和个人均应遵守本办法。第二章组织保障第五条常设由本行领导、各部室负责人及信息安全员组成的信息安全领导小组，负责本行信息安全管理工作，决策信息安全重大事宜。第六条各部室、各分支机构应指定至少一名信息安全员，

配合信息安全领导小组开展信息安全管理工作，具体负责信息安全领导小组颁布的相关管理制度及要求在本部室的落实。。第七条本行应建立与信息安全监管机构的联系，及时报告各类信息安全事件并获取专业支持。第八条本行应建立与外部信息安全专业机构、专家的联系，及时跟踪行业趋势，学习各类先进的标准和评估方法。第三章人员管理第九条本行所有工作人员根据不同的岗位或工作范围，履行相应的信息安全保障职责。第一节信息安全管理人员第十条本办法所指信息安全管理人员包括本行信息安全领导小组和信息安全工作小组成员。第十一条应选派政治思想过硬、具有较高计算机水平的人员从事信息安全管理工作。凡是因违反国家法律法规和本行有关规定受到过处罚或处分的人员，不得从事此项工作。第十二条信息安全管理人员定期参加信息安全相关培训。第十三条安全工作小组在如下职责范围内开展信息安全管理工作：（一）组织落实上级信息安全管理规定，制定信息安全管理制度，协调信息安全领导小组成员工作，监督检查信息安全管理工作。（二）审核信息化建设项目中的安全方案，组织实施信息安

证券期货业信息安全事件报告与调查处理办法(最新版)

( 安全管理 ) 单位：_________________________ 姓名：_________________________ 日期：_________________________ 精品文档 / Word文档 / 文字可改证券期货业信息安全事件报告与调查处理办法(最新版) Safety management is an important part of production management. Safety and production are in the implementation process

证券期货业信息安全事件报告与调查处理办法(最新版) 第一章总则第一条为了规范证券期货业信息安全事件的报告和调查处理，减少信息安全事件的发生，根据《证券法》、《证券投资基金法》、《证券公司监督管理条例》、《期货交易管理条例》、《证券期货业信息安全保障管理办法》等法律、行政法规和规章，制定本办法。第二条证券期货业信息安全事件是指证券期货业信息系统运行异常或者数据损毁、泄露，对投资者合法权益造成损害或者对证券期货市场造成不良影响的事件。第三条证券期货业信息安全保障责任主体发生信息安全事件后，应当按本办法规定进行报告和调查处理。前款所称责任主体，包括承担证券期货市场公共职能的机构、

承担证券期货行业信息技术公共基础设施运营的机构等证券期货市场核心机构及其下属机构（以下简称核心机构），证券公司、期货公司、基金管理公司、证券期货服务机构等证券期货经营机构（以下简称经营机构）。第四条核心机构、经营机构发生信息安全事件后，应当及时、准确、完整报告，不得迟报、漏报、谎报或者瞒报。第五条信息安全事件调查处理应当坚持实事求是、尊重科学、客观公正、及时稳妥的原则。第六条发生信息安全事件的核心机构和经营机构应当对事件进行内部调查，追究责任，采取整改措施。第七条中国证监会及其派出机构依据本办法规定对核心机构、经营机构的信息安全事件进行调查处理。第八条信息安全事件相关的核心机构、经营机构、软硬件产品或者技术服务供应商应当配合中国证监会及其派出机构和发生事件的机构对事件进行调查和处理。第二章事件分级

企业信息安全管理制度(试行)

XX公司信息安全管理制度（试行）第一章总则第一条为保证信息系统安全可靠稳定运行，降低或阻止人为或自然因素从物理层面对公司信息系统的保密性、完整性、可用性带来的安全威胁，结合公司实际，特制定本制度。第二条本制度适用于XX公司以及所属单位的信息系统安全管理。第二章职责第三条相关部门、单位职责：一、信息中心（一）负责组织和协调XX公司的信息系统安全管理工作；（二）负责建立XX公司信息系统网络成员单位间的网络访问规则；对公司本部信息系统网络终端的网络准入进行管理；（三）负责对XX公司统一的两个互联网出口进行管理，配置防火墙等信息安全设备；会同保密处对公司本部互联网上网行为进行管理；（四）对XX公司统一建设的信息系统制定专项运维管理办法，明确信息系统安全管理要求，界定两级单位信息安全管理责任；（五）负责XX公司网络边界、网络拓扑等全局性的信息安全管理。二、人力资源部（一）负责人力资源安全相关管理工作。（二）负责将信息安全策略培训纳入年度职工培训计划，并组织实施。三、各部门（一）负责本部门信息安全管理工作。

（二）配合和协助业务主管部门完善相关制度建设，落实日常管理工作。四、所属各单位（一）负责组织和协调本单位信息安全管理工作。（二）对本单位建设的信息系统制定专项运维管理办法，明确信息系统安全管理要求，报XX公司信息中心备案。第三章信息安全策略的基本要求第四条信息系统安全管理应遵循以下八个原则：一、主要领导人负责原则；二、规范定级原则；三、依法行政原则；四、以人为本原则；五、注重效费比原则；六、全面防范、突出重点原则；七、系统、动态原则；八、特殊安全管理原则。第五条公司保密委应根据业务需求和相关法律法规，组织制定公司信息安全策略，经主管领导审批发布后，对员工及相关方进行传达和培训。第六条制定信息安全策略时应充分考虑信息系统安全策略的“七定”要求，即定方案、定岗、定位、定员、定目标、定制度、定工作流程。第七条信息安全策略主要包括以下内容：一、信息网络与信息系统必须在建设过程中进行安全风险评估，并根据评估结果制定安全策略；二、对已投入运行且已建立安全体系的系统定期进行漏洞扫描，以便及时发现系统的安全漏洞; 三、对安全体系的各种日志(如入侵检测日志等)审计结果进行研究，以便及时发现系统的安全漏洞; 四、定期分析信息系统的安全风险及漏洞、分析当前黑客非常入侵的特点，及时调整安全策略；五、制定人力资源、物理环境、访问控制、操作、备份、系统获取及维护、业务连续性等方面的安全策略，并实施。第八条公司保密委每年应组织对信息安全策略的适应性、充分性和有效性进行评审，必要时组织修订；当公司的组织架构、生产经营模式等发生重大变化时也应进行评审和修订。

企业信息安全管理规定

精心整理信息安全管理办法第一章总则第一条为加强公司信息安全管理，推进信息安全体系建设，保障信息系统安全稳定运行，根据国家有关法律、法规和《公司信息化工作管理

第二章信息安全管理组织与职责第六条公司信息化工作领导小组是信息安全工作的最高决策机构，负责信息安全政策、制度和体系建设规划的审批，部署并协调信息安全体系建设，领导信息系统等级保护工作。员。包括：在本单位宣传和贯彻执行信息安全政策与标准，确保本单位信息系统的安全运行，实施本单位信息安全项目和培训，追踪和查处本单位信息安全违规行为，组织本单位信息安全工作检查，完成公司部署的信息安全工作。

第十一条技术支持单位在信息管理部的领导下，承担所负责的信息系统和所在区域的信息安全管理任务，主要包括：在所维护系统和本区域内宣传和贯彻信息安全政策与标准，确保所负责信息系统的安全运行。第十二条各级信息管理部门设立信息安全管理和技术岗位，包括信息安全、应用系统、数据库、操作系统、网络负责人和管理员，重要岗位制度技完整性、真实性、可用性、保密性和可控性，保障信息化建设和应用，支撑公司业务持续、稳定、健康发展。第十六条信息安全体系建设必须坚持以下原则：坚持统一。信息安全体系必须统一规划、统一标准、统一设计、统一

投资、统一建设、统一管理。保障应用。保障网络和信息系统，特别是全局网络和重要业务信息系统不间断稳定运行及其信息的安全，实现以应用促安全，以安全保应用。符合法规。信息安全体系要满足法律法规要求，包括国家对信息系统等级保护、企业内部控制要求，积极采用法律法规允许的、成熟的先进技第十八条建立全面的信息安全管理体系：制定并实施统一的信息安全策略、管理制度和技术标准。实行信息系统资产管理责任制，保护信息系统，特别是核心信息系统的设备、软件、数据和技术文档的安全。

重大事件期间网络与信息安全管理规定

**集团有限公司重大事件期间网络与信息安全管理规定（试行）第一章总则第一条为切实做好**集团有限公司网络与信息安全防护工作，建立有效的安全防护体系，进一步提高预防和控制网络与信息安全突发事件的能力和水平，减轻或消除突发事件的危害和影响，确保重大事件期间网络与信息安全，制定本管理规定。第二条本规定所指的重大事件是指需要保供电的国家、省政府层面的重大活动，如重大会议、重大体育赛事等。第三条集团公司重大事件期间网络与信息安全管理要坚持以加强领导，落实信息安全责任地；高度重视，强化安全防范措施；周密部署，加强各相关方协作为原则，以确保重大事件期间不出现因网络与信息安全问题造成不良的社会影响，确保重大事件期间不出现因网络与信息安全问题造成的安全生产事故为目标。第四条集团公司重大事件期间网络与信息安全管理工作范围包括：集团广域网、各局域网、电力二次系统、重要信息系统以及信息安全。各单位的网络与信息安全专项工作组应在集团公司网络与信息安全应急工作小组的指导下，负责本单位网络与信息安全防范和整改工作。

第五条重大事件期间在时间上分为三个阶段，分别是准备阶段、实施阶段和总结阶段。时间划分为重大事件起始日期前两个月为准备阶段；从重大事件起始日期至结束日期为实施阶段；从重大事件结束日期后半个月为总结阶段。各阶段网络与信息安全的管理工作内容有所侧重。第六条本规定适用于集团公司总部和系统各单位。第七条集团公司重大事件期间网络与信息安全管理工作由集团公司信息中心归口管理。第二章准备阶段管理第八条组织开展网络与信息安全查检工作，网络与信息安全采取自查和现场抽查相结合的方式，先开展各单位内部的网络与信息安全自查，在各单位自查的基础上，由集团公司组织相关人员对部分单位进行现场专项检查。第九条网络与信息安全检查内容至少应包括管理制度建设、网络边界完整性检查和访问控制、电力二次系统安全分区、电力二次系统网络接口及防护、电力二次系统通用防护措施、安全审计、已采取的防范网络攻击技术措施、重要网站网页自动恢复措施、网络设备防护、系统运行日志留存及数据备份措施等。具体的检查内容见附件1《网络与信息安全检查表》。第十条对于检查发现的安全陷患，各单位应制定整改

网络信息安全管理制度

网络信息安全管理制度大全一、电脑设备管理 (2) 二、软件管理 (4) 三、数据安全管理 (6) 四、网络信息安全管理 (7) 五、病毒防护管理 (8) 六、下载管理 (8) 七、机房管理 (8) 八、备份及恢复 (11)

一、电脑设备管理 1、计算机基础设备管理 2、各部门对该部门的每台计算机应指定保管人，共享计算机则由部门指定人员保管，保管人对计算机软、硬件有使用、保管责任。 3、公司计算机只有网络管理员进行维护时有权拆封，其它员工不得私自拆开封。 4、计算机设备不使用时，应关掉设备的电源。人员暂离岗时，应锁定计算机。 5、计算机为公司生产设备，不得私用，转让借出；除笔记本电脑外，其它设备严禁无故带出办公生产工作场所。 6、按正确方法清洁和保养设备上的污垢，保证设备正常使用。 7、计算机设备老化、性能落后或故障严重，不能应用于实际工作的，应报信息技术部处理。 8、计算机设备出现故障或异常情况（包括气味、冒烟与过热）时，应当立即关闭电源开关，拔掉电源插头，并及时通知计算机管理人员检查或维修。 9、公司计算机及周边设备，计算机操作系统和所装软件均为公司财产，计算机使用者不得随意损坏或卸载。 10、公司电脑的IP地址由网络管理员统一规划分配，员工不得擅自更改其IP 地址，更不得恶意占用他人的地址。计算机保管人对计算机软硬负保管之责，使用者如有使用不当，造成毁损或遗失，应负赔偿责任。

11、保管人和使用人应对计算机操作系统和所安装软件口令严格保密，并至少每 180天更改一次密码，密码应满足复杂性原则，长度应不低于8位，并由大写字母、小写字母、数字和标点符号中至少3类混合组成；对于因为软件自身原因无法达到要求的，应按照软件允3许的最高密码安全策略处理。 12、重要资料、电子文档、重要数据等不得放在桌面、我的文档和系统盘（一般为C盘）以免系统崩溃导致数据丢失。与工作相关的重要文件及数据保存两份以上的备份，以防丢失。公司设立文件服务器，重要文件应及时上传备份，各部门专用软件和数据由计算机保管人定期备份上传，需要信息技术部负责备份的应填写《数据备份申请表》，数据中心信息系统数据应按《备份管理》备份。 13、正确开机和关机。开机时，先开外设（显示器、打印机等），再开主机；关机时，应先退出应用程序和操作系统，再关主机和外设，避免非正常关机。 14、公司邮箱帐号必须由本帐号职员使用，未经公司网络管理员允许不得将帐号让与他人使用，如造成公司损失或名誉影响，公司将追究其个人责任，并保留法律追究途径。 15、未经允许，员工不得在网上下载软件、音乐、电影或者电视剧等，不得使用 BT、电驴、POCO等严重占用带宽的P2P下载软件。员工在上网时，除非工作需要，不允许使用QQ、MSN等聊天软件。员工不得利用公司电脑及网络资源玩游戏,浏览与工作无关的网站。若发现信息技术部可暂停其Internet使用权限，并报相关领导处理。不得随意安装工作不需要的软件。公司拥有的授权软件软件须报公司副总审批通过后由信息技术部或授权相关部门执行。 16、计算机出现重大故障，如硬盘损坏，计算机保管人应立即向部门负责人和信息技术部报告，并填写《设备故障登记表》。 17、员工离职时，人力资源应及时通知信息技术部取消其所有的IT资源使用权限，回收其电脑并保留一个星期，若一个星期之内人事部没有招到新员工顶替，电脑将备份数据后入库。 18、如需要私人计算机连接到公司网络，需信息技术部授权并进行登记。 19、不得随意安装软件，软件安装按照《软件管理》实施。 20、所有计算机设备必须统一安装防病毒软件，未经信息技术部同意，不得私自在计算机中安装非公司统一规定的任何防病毒软件及个人防火墙。所有计算机必须及时升级操作系统补丁和防病毒软件。 21、任何人不得在公司的局域网上制造传播任何计算机病毒，不得故意引入病毒。

公司信息安全管理制度

**企业信息安全管理制度第一条总则通过加强公司计算机系统、办公网络、服务器系统的管理,保证网络系统安全运行，保证公司机密文件的信息安全，保障服务器、数据库的安全运行。加强计算机办公人员的安全意识和团队合作精神，把各部门相关工作做好。第二条范围 1、计算机网络系统由计算机硬件设备、软件及客户机的网络系统配置组成。 2、软件包括：服务器操作系统、数据库及应用软件、有关专业的网络应用软件等。 3、客户机的网络系统配置包括客户机在网络上的名称，IP地址分配，用户登陆名称、用户密码、及Internet的配置等。 4、系统软件是指：操作系统（如WINDOWS XP、WINDOWS7等）软件。 5、平台软件是指：鼎捷ERP、办公用软件（如OFFICE 2003）等平台软件。 6、专业软件是指：设计工作中使用的绘图软件（如Photoshop等）。第三条职责 1、信息中心部门为网络安全运行的管理部门，负责公司计算机网络系统、计算机系统、数据库系统的日常维护和管理。 2、负责系统软件的调研、采购、安装、升级、保管工作。 3、网络管理人员负责计算机网络系统、办公自动化系统、平台系统的安全运行；服务器安全运行和数据备份；Internet对外接口安全以及计算机系统防病毒管理；各种软件的用户密码及权限管理协助各部门进行数据备份和数据归档。 4、网络管理人员执行公司保密制度，严守公司商业机密。 5、员工执行计算机安全管理制度，遵守公司保密制度。 6、系统管理员的密码必须由网络管理部门相关人员掌握。第三条管理办法 I、公司电脑使用管理制度 1、从事计算机网络信息活动时，必须遵守《计算机信息网络国际联网安全保护管理办法》的规定，应遵守国家法律、法规，加强信息安全教育。