ISMS-L2-009-信息分类规范

XXXXXXXX信息安全管理体系文档
XXXXXXXX有限公司信息分类规范
编号：ISMS-L2-009
XXXXXXXX有限公司
二0一六年三月
版本控制信息
第一章总则
第一条为了明确XXXXXXXX有限公司内各类信息资产的分类和标识，方便信息资产的有效管理。

第二章适用范围
第二条本制度适用于XXXXXXXX有限公司所涉及的所有信息资产。

第三条定义
（一）本制度所涉及的信息包括各种存储或者存在形式，包括但不限于电子信息、纸质数据文件、语音和图像等。

（二）本制度所称信息是指以任何形式存在或传播的对XXXXXXXX有限公司具有价值的内容，包括电子信息、纸质数据文件、语音图像等。

信息安全关注的是信息的保密性、可用性和完整性。

（三）本制度所称信息资产是指任何对XXXXXXXX有限公司具有价值的信息的存在形式或者载体，包括计算机硬件、通信设施、IT环境、数据库、软件、文档资料、信息服务和人员等，所有这些资产都需要妥善保护。

第三章职责权限
第三条XXXXXXXX有限公司各部门负责人是本部门信息资产管理的第一责任人，负责本制度的贯彻落实，总裁办是XXXXXXXX有限公司内部各类信息的归口管理部门。

第四条本制度定义以下相关角色，履行相应的信息安全管理、执行和审核职责。

（一）责任人，信息资产的创建者，或者主要用户所在组织、单位或部门的负责人。

信息资产责任人对所属信息资产负直接责任。

其主要职责包括：
1）理解和各种信息访问活动相关的安全风险；
2）根据XXXXXXXX有限公司信息密级划分标准来确定所属信息资产的级别；3）根据XXXXXXXX有限公司相关策略确定并检查信息访问权限；
4）针对所属信息资产提出恰当的保护措施。

（二）保管者，受信息资产责任人委托，对信息资产进行日常的管理，维护已经建立的保护措施。

资产保管者通常是XXXXXXXX有限公司的信息中心及相关部门负责人（例如系统管理员或各部门相关人员）。

其主要职责包括：
1）根据相关策略和信息资产责任人的要求，负责信息资产的维护操作和日常管理事务；
2）负责具体设置信息访问权限；
3）负责所管理的信息资产的安全控制；
4）部署恰当的安全机制，进行备份和恢复操作；
5）按照信息资产责任人的要求实施其他控制。

（三）用户，信息资产的使用者，除了XXXXXXXX有限公司内部员工，也可能是因为业务需要而访问XXXXXXXX有限公司信息的客户或第三方组织。

其主要职责包括：
1）向信息资产责任人申请信息访问；
2）按照XXXXXXXX有限公司信息安全策略要求正当访问信息，禁止非授权访问；3）向相关组织报告隐患、故障或者违规事件。

第四章资产管理要求
第五条信息资产分类
信息资产责任人应该指导进行相关资产的调查，资产调查以业务流程为线索，包括各类输入、中间环节和输出信息，所有这些信息资产都为业务流程的运转提供支持。

信息资产可以分为以下几大类：
（一）数据文件，通常包括各种电子档：业务数据、客户数据、配置文件、记录数据（日志、审计记录）、管理文件（策略、流程文件、操作手册等）、商务文件（合同、协议等）。

也包括以实物方式存在的资产：各类电子数据的归档、打印件、书面管理文件、业务报表、包含重要商业成果的文件，还有胶片等。

（二）软件资产，各种系统软件、应用软件（OA、业务软件等）和工具软件（开发系统、网管软件、安全软件等），包括操作系统、数据库应用程序、网络软件、办公应用系统、业务系统程序、软件开发工具等，这些软件资产负责处理、存储或传输各类信息。

（三）实物资产，与业务相关的IT物理设备，包括计算机（工作站和服务器等）和网络通信设备、磁介质（磁带和磁盘等）、装置、环境等，这些实物资产容纳着软件和数据文件。

（四）人员，承担某项与业务活动相关责任的角色和职位。

例如普通用户、系统管理员、网络管理员、保安、清洁员等，这些人员与各类数据、软件和实物资产的操作直接相关。

（五）服务，安保（例如监控、门禁、保安等），环境服务（例如清洁），基础保障（供水、供热、供电），设备维护，通信服务（例如互联网接入）。

第六条信息资产分级标准
保密性、完整性和可用性是评价资产的三个安全属性。

风险评估中资产的价值不是以资产的经济价值来衡量，而是由资产在这三个安全属性上的达成程度或者其安全属性未达成时所造成的影响程度来决定的。

安全属性达成程度的不同将使资产具有不同的价值，而资产面临的威胁、存在的脆弱性、以及已采用的安全措施都将对资产安全属性的达成程度产生影响。

（一）保密性赋值
根据信息资产在保密性上的不同要求，将其分为五个不同的等级，分别对应资产在保密性上应达成的不同程度或者保密性缺失时对整个组织的影响。

下表提供了一种保密性赋值的参考。

表１信息资产保密赋值表
（二）完整性赋值
根据信息资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上缺失时对整个组织的影响。

下表提供了一种完整性赋值的参考。

表２信息资产完整性赋值表
（三）可用性赋值
根据信息资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上应达成的不同程度。

下表提供了一种可用性赋值的参考。

表３：信息资产可用性赋值表
第五章信息披露管理
第七条对外信息披露管理
（一）责任部门
对外信息披露的责任部门为总裁办，总裁办是公司的对外公告、启事、宣传文稿等工作的对口部门。

（二）对外信息披露的流程
1）信息的报送：各部门根据工作需要对外发布及传送信息时，需提前通知总裁办，并将对外公布信息内容、信息披露的渠道等报送总裁办审批；
2）信息的审批：总裁办对各部门对外公布信息内容和渠道进行审批，审批通过后由总裁办统一执行对外信息发布的工作（附表一）。

重要对外信息的审批则需上报董事长审批，审批通过后由总裁办进行发布工作（附表二）。

注：对于经常性或较为适于职能部门发布的信息，经总裁办审批后，可由相应部门负责对外信息发布，发布信息内容则必须在总裁办留档。

3）发生费用的控制：对于因信息发布披露而产生的费用，各部门在年初时需制订相应的预算，在具体信息对外公布执行中，财务部按照预算进行控制。

对于超出预算或其他特殊情况的费用，则需相应部门上报公司董事长进行审批，审批通过后予以执行。

4）对外披露信息的存档：对外披露的信息由总裁办统一存档、保留。

第六章电子数据的使用和处置
第八条对所有电子数据进行分类/分级，标识未授权人员的访问限制，不同安全级别的数据应存储在不同的区域，按类按级传达，便于信息的安全管理。

第九条不同类型的电子文件按照统一规律存放在个人电脑或服务器中，便于整理和查阅以及工作交接时转移。

第十条所有电子文件保存在电脑或服务器中，并按照《xxxxx公司备份和恢复管理制度》规定的备份频率定期进行备份。

第十一条对于存于服务器上的电子数据的访问，根据服务器提供服务的不同与部门／职务的不同，设置不同的访问权限，避免非授权访问。

第十二条对于内部公开级别的电子信息，其使用要控制在内部，禁止带出。

第十三条对于秘密级别以上的电子文件的处理过程，必须保障数据的完整性、机密性和可用性。

第十四条对于秘密级别以上的电子文件的使用，系统应进行审计。

第十五条对于秘密级别以上的电子文件的传输，必须采取适当的安全措施加以保护，如加密传输、分散传输等。

第十六条在整理电脑中的电子数据时，要小心操作，确认后再进行处理，避免由于误操作将有用的电子数据删除。

第七章纸质文档的使用和处置
第十七条所有的秘密级以上的纸质文件资料要（通过标签或其它方式）标识出资产的保密级别，分类存放，不同安全级别的纸质文件应按类按级传达，便于纸质文件的安全管理。

第十八条对于比较重要的纸质文件（机密级别以上）必须保存在带锁的文件柜或保险柜中，钥匙由专人保管。

第十九条对于纸质文件的保存期限依据实际要求制定和实施。

第二十条对于比较重要的纸质文件的使用过程，必须注意信息的保密，确保信息的完整性和可用性。

第二十一条对于比较重要的纸质文件的传输，必须采取适当的安全措施加以保护，如专人递送、分散传输等。

第八章附则
第二十二条本制度由总裁办负责解释与修订。

第二十三条本制度自发布之日起施行。