信息安全管理规范培训资料

信息安全管理规范公司版本信息修订历史Table of Contents（目录）1. 公司信息安全要求 (5)1.1信息安全方针 (5)1.2信息安全工作准则 (5)1.3职责 (6)1.4信息资产的分类规定 (6)1.5信息资产的分级（保密级别）规定 (7)1.6现行保密级别与原有保密级别对照表 (7)1.7信息标识与处置中的角色与职责 (8)1.8信息资产标注管理规定 (9)1.9允许的信息交换方式 (10)1.10信息资产处理和保护要求对应表 (10)1.11口令使用策略 (12)1.12桌面、屏幕清空策略 (13)1.13远程工作安全策略 (13)1.14移动办公策略 (14)1.15介质的申请、使用、挂失、报废要求 (14)1.16信息安全事件管理流程 (16)1.17电子邮件安全使用规范 (18)1.18设备报废信息安全要求 (19)1.19用户注册与权限管理策略 (19)1.20用户口令管理 (19)1.21终端网络接入准则 (20)1.22终端使用安全准则 (20)1.23出口防火墙的日常管理规定 (21)1.24局域网的日常管理规定 (21)1.25集线器、交换机、无线AP的日常管理规定 (21)1.26网络专线的日常管理规定 (22)1.27信息安全惩戒 (22)2. 信息安全知识 (23)2.1什么是信息？ (23)2.2什么是信息安全？ (23)2.3信息安全的三要素 (23)2.4什么是信息安全管理体系？ (24)2.5建立信息安全管理体系的目的 (24)2.6信息安全管理的PDCA模式 (26)2.7安全管理－风险评估过程 (26)2.8信息安全管理体系标准（ISO27001标准家族） (27)2.9信息安全控制目标与控制措施 (28)1. 公司信息安全要求1.1 信息安全方针⏹拥有信息资产，积累、共享并保护信息资产是我们共同的责任。

⏹管理与技术并重，确保公司信息资产的安全，保障公司持续正常运营。

⏹履行对客户知识产权的保护承诺，保障客户信息资产的安全，满足并超越客户信息安全需求。

1.2 信息安全工作准则⏹保护信息的机密性、完整性和可用性，即确保信息仅供给那些获得授权的人员使用、保护信息及信息处理方法的准确性和完整性、确保获得授权的人员能及时可靠地使用信息及信息系统；⏹公司通过建立有效的信息安全管理体系和必要的技术手段，保障信息资产的安全，降低信息安全风险；⏹各级信息安全责任者负责所辖区域的信息安全，通过建立相关制度及有效的保护措施，确保公司的信息安全方针得到可靠实施；⏹全体员工应只访问或使用获得授权的信息系统及其它信息资产，应按要求选择和保护口令；⏹未经授权，任何人不得对公司信息资产进行复制、利用或用于其它目的；⏹应及时检测病毒，防止恶意软件的攻击；⏹公司拥有为保护信息安全而使用监控手段的权力,任何违反信息安全政策的员工都将受到相应处理；⏹通过建立有效和高效的信息安全管理体系，定期评估信息安全风险，持续改进信息安全管理体系。

1.3 职责全体员工应保护公司信息资产的安全。

每个员工必须认识到信息资产的价值，负责保护好自己生成、管理或可触及的涉及的数据和信息。

员工必须遵守《信息标识与处理程序》，了解信息的保密级别。

对于不能确定是否为涉密信息的内容，必须征得相关管理部门的确认才可对外披露。

员工必须遵守信息安全相关的各项制度和规定，保证的系统、网络、数据仅用于的各项工作相关的用途，不得滥用。

1.4 信息资产的分类规定公司的信息资产分为电子数据、软件、硬件、实体信息、服务五大类。

1.5 信息资产的分级（保密级别）规定信息资产分为：一般、内部公开、企业秘密、企业机密4个保密级别。

1.6 现行保密级别与原有保密级别对照表保密级别与公司原有的保密级别的对照表如下：1.7 信息标识与处置中的角色与职责1.8 信息资产标注管理规定（1）公司所属的各类信息资产，无论其存在形式是电子、纸质还是磁盘等，都应在显著位置标注其保密级别。

（2）一般电子或纸质文档应在该文档页眉的右上角或页脚上标注其保密级别或在文件封面打上保密章，磁盘等介质应在其表面非数据区予以标注其保密级别。

（3）如果某存储介质中包含各个级别的信息，作为整体考虑，该存储介质的保密级别标注应以最高为准。

（4）如果没有明显的保密级别标注，该信息资产以“一般”级别看待。

（5）对于对外公开的信息，需要得到相关责任人的核准，并由对外信息发布部门统一处理。

（6）如需在信息资产上表述保密声明，可采用以下两种表述方式：表述方式一：“保密声明：公司资产，注意保密。

”表述方式二：“保密声明：本文档受国家相关法律和公司制度保护，不得擅自复制或扩散。

”1.9 允许的信息交换方式公司允许的信息交换方式有：邮件、视频、电话、网站内容发布、文件共享、传真、光盘、磁盘、磁带和纸张。

1.10 信息资产处理和保护要求对应表1.11 口令使用策略全体员工在挑选和使用口令时，应：（1）保证口令的机密。

（2）除非能安全保存，避免将口令记录在纸上。

（3）只要有迹象表明系统或口令可能遭到破坏，应立即更改口令。

（4）选用高质量的口令，最少要有6个字符，另外：A．口令应由字母加数字组成；B．口令不应采用如姓名、电话号码、生日等容易猜出或破解的信息。

（5）每三个月更改或根据访问次数更改口令（特别是特权用户），避免再次使用或循环使用旧口令。

（6）首次登录时，应立即更改临时口令。

（7）不得共享个人用户口令。

1.12 桌面、屏幕清空策略为了降低在正常工作时间以外对信息进行未经授权访问所带来的风险、损失和损害，员工应：（1）在闲置或工作时间之外将纸张或计算机存储介质储存在合适的柜子或其它形式的安全设备中。

（2）当办公室无人时将关键业务信息放置到安全地点（比如防火的保险箱或柜子中）。

（3）在无人使用时，将个人计算机、计算机终端和打印机、复印机设为锁定状态。

（4）为个人计算机、计算机终端设定密码，同时设定屏保时间（<=15分钟）。

（5）在打印保密级别为企业机密、企业秘密的信息后，应立刻从打印机中清除相关痕迹，并有效保护打印出来的信息内容。

1.13 远程工作安全策略必须保护好远程工作场所防止盗窃设备和信息、未经授权公开信息、对公司内部系统进行远程非法访问或滥用设备等行为。

员工应：（1）保障物理安全。

（2）对家人和客人使用设备进行限制。

如果必须要使用，应在旁边进行监督和控制，确保关键业务信息的安全。

（3）远程工作活动结束时，权限以及设备及时收回。

（4）网络远程登录终端的拨号密码即VPN帐号仅限本人使用，不允许他人使用。

（5）进入公司或客户的信息系统工作完毕后，必须立即退出系统。

1.14 移动办公策略使用移动办公设备（如笔记本电脑）时，员工尤其应该注意保证业务信息不受损坏、非法访问或泄密：（1）移动办公设备需要带出公司工作场所时，应进行登记。

（2）在公共场所使用移动办公设备时，必须注意防范被未经授权的人员窥视。

（3）应实时更新用于防范恶意软件的程序。

（4）应对信息进行方便快捷的备份。

（5）备份的信息应该予以适当的保护以防信息被盗或丢失。

（6）使用移动办公设备通过公共网对公司商务信息进行远程访问时必须进行身份识别和VPN访问控制。

（7）防止移动办公设备被盗。

（8）防止保密级别为企业秘密级以上的信息所在的移动办公设备无人看管。

1.15 介质的申请、使用、挂失、报废要求（1）介质的申请：（2）介质的使用：A．如安装了设备，所有工作中使用的USB存储介质都应在中进行注册。

B．如果确认介质中的内容不再需要，应立即将其以可靠方式清除。

C．如果数据需要保存，则使用人应该保存在有良好安全措施的个人计算机和服务器上，而不应该放在计算机活动介质中。

D．所有的备份介质都应存放在安全可靠的地方，并符合生产厂家说明书的安全要求。

（3）介质的挂失：（4）介质的报废：1.16 信息安全事件管理流程（1）发现A．公司全体员工都有责任和义务将已发现的或可疑的事件、故障和薄弱点及时报告给相关部门或人员。

B．任何企图阻拦、干扰、报复事件报告者的行为都被视为违反公司策略。

（2）报告A．对于部门范围内的信息安全事件，当事人可直接向部门负责人报告，并按照本部门规范进行处理。

事件处理者需填写附录中的《信息安全事件报告处理记录单》，每月将相关记录上交过程管理部。

B．除部门内可以自行处理的信息安全事件外，其余信息安全事件必须统一上报给客服记录。

（3）响应A．客服对信息安全事件做出最初响应，将技术方面的信息安全事件交给系统服务部组织处理，将管理方面的信息安全事件交给过程管理部组织相关部门进行处理。

B．需要做进一步调查的信息安全事件，当其影响范围涉及整个公司或影响程度严重妨碍了公司的正常运营时，报告给信息安全管理委员会。

C．事件响应及处理者在处理安全事件时应考虑以下优先次序：⏹保护人员的生命与安全⏹保护敏感的设备和资料⏹保护重要的数据资源⏹防止系统被损坏⏹将公司遭受的损失降至最小D．如果发生违法事件，事件相关涉及部门要采集并保存有效证据，上交过程管理部报告给公司最高管理者决策，由法务部向外部法律机构报告。

必要时，法务部可以寻求外部专家的支持。

（4）评价/调查安全事件或故障发生之后，事件处理者要对事件或故障的类型、严重程度、发生的原因、性质、产生的损失、责任人进行调查确认，形成事件或故障评价资料。

（5）惩戒A．要根据事件的严重程度、造成的损失、产生的原因对违规者进行教育或者处罚。

B．惩戒手段可包括通报批评、行政警告、经济处罚、调离岗位、依据合同给予辞退，对于触犯刑律者可交司法机关处理。

C．具体处罚标准参见《信息安全管理职责程序》。

（6）公告A．事件的调查结果要反馈给当事部门领导。

B．当事部门可组织相关的人员进行学习和培训。

1.17 电子邮件安全使用规范（1）公司电子邮件系统禁止用于创建与分发任何含有破坏性、歧视性的信息，包括对种族、性别、残疾人、年龄、职业、性取向、宗教信仰、政治信念、国籍等方面的攻击性语言。

公司的员工如果接收到任何含有此类信息的邮件，应立即向主管领导进行汇报。

（2）禁止使用公司帐号发送连锁信。

禁止使用公司电子邮件帐号发送病毒或恶意代码警告邮件。

这些规则也适用于当公司员工接收到这类电子邮件并进行转发的情况。

（3）使用的邮件软件客户端要及时升级，减少由于软件的漏洞而受到外部攻击，避免因此而导致的邮件丢失和系统中毒。

（4）邮件必须有标题，尽量以文本方式浏览邮件。

（5）陌生人的邮件附件尽量不要打开，禁止撰写、发送、转发各种垃圾邮件，禁止在未经授权的情况下利用他人的计算机系统发送互联网电子邮件。

（6）禁止使用工作邮箱从事任何非法活动及其与工作无关的邮件。

（7）为了保证邮件安全禁止使用自动转发功能。