信息系统及信息技术管理制度模板

1 AA公司信息系统及信息技术管理制度 编制 编号 版本 发布日期 2

第一章 概述

第一条 AA公司大部分的商业运行依赖于信息资料。为确保用户合理使用信息资源，AA公司制定了此管理制度，保证最大程度地发挥信息资源优势，并将潜在的风险和责任最小化。 第二条 此规范旨在向所有用户和系统管理员阐明如何合适地使用公司信息资源的方法，以最大程度地发挥公司信息资源的优势，并将潜在风险减少到最低程度。 第三条 该管理规范适用于AA公司内所有使用信息资源的系统和用户，而不管其在何处工作。 第四条 《AA公司信息系统及信息技术管理制度》中的规则和义务适用于所有使用AA公司信息资源的用户，不管他们身处何处。任何违犯本管理制度者都将受到相应的制裁，包括：终止雇佣合同、承担民事或刑事责任。 第五条 合理合法、有责任心地、专业化地并有职业道德地使用AA公司的信息资源是每一个用户应尽的职责。

第二章 定义 第六条 “信息资源”将涉及到AA公司内整个计算机网络。具体地说，电脑信息资源包括（但不仅限于）： 1. 主机 2. 文件&打印服务器 3. 应用程序服务器 4. 通信服务器 5. 邮件服务器 6. 传真服务器 7. WEB网络服务器 8. 工作站 9. 单独运行的电脑、手提电脑 10. 软件（应用系统&操作系统） 11. 数据文件 12. IT技术支持及咨询服务 3

以及所有可直接或间接地通过AA公司信息资源登录的内、外部电脑或通讯网络 第七条 “用户”指所有的员工、实习生、外包员工、顾问、临时工及其他经授权使用AA公司信息资源的个人或团体。 第八条 “AA公司”指AA控股有限公司，包括其所有子公司和分支机构。 第九条 “不适当内容”指那些从互联网或其他途径获取或下载的电子邮件，包括那些具有欺骗性的、使人烦恼的、令人尴尬的、色情的、亵渎的、淫秽的、胁迫的、诽谤的和/或含有其他非法的内容。

第三章 AA公司信息系统与信息技术管理制度 第一节 《客户端安全管理规定》 第十条 信息系统操作中禁止行为规定

1. 禁止非法/未经授权登录或企图登录AA公司信息资源； 2. 客户端电脑在公司使用时必须加入AA公司域，用户必须登录进AA公司域使用，因工作需要，要求脱离域使用时，必须首先由部门经理批准，并提出合理理由，到管理信息系统部申报并登记； 3. 客户端只允许安装AA公司授权支持的Windows系列操作系统及工作所需的应用软件，不得安装与工作无关的应用软件。 4. 公司所有B/S架构应用只支持IE系列浏览器； 5. 安装了Windows Server 、Advance Server的客户端不得在本机启用与办公网络域内相冲突的任何服务； 6. 客户端IP地址使用DHCP自动分配，不得私自设定静态IP地址，因工作需要可向管理信息系统部申请，由管理信息系统部进行统一分配； 7. 客户端的命名必须遵守公司规定，不得随意更改； 8. 客户端须安装由管理信息系统部提供的XX软件企业版的客户端软件，接受公司防病毒服务器中心管理，必须保证该病毒防护服务正常运行，不得自行将病毒实时防护停用或删除，因系统故障重装系统后，须重装XX软件企业版客户端软件并安装代理程序以接受公司防病毒服务器中心管理； 9. 工作时间段内，不允许客户端长时间利用公司网络资源进行与工作无关的事项，例如：网络 4

游戏、聊天、浏览金融信息网站等； 10. 禁止随意或故意垄断AA公司信息资源从而限制他人对资源的使用； 11. 禁止工作时间内参加与工作无关的在线聊天室； 12. 禁止花费大量时间在互联网上进行与工作无关的活动； 13. 禁止任何与工作无关或导致网络系统堵塞的行为。

第十一条 信息保密规定 1. 禁止向未经授权许可的人员，无论是AA公司外部或内部人员，泄露贸易信息、私人信息或机密记录、信件，无论此种泄露是否造成一定后果，只要发送者/接受者均知此份数据/信息是私人的、机密的或是商业机密； 2. 储存介质（网络或本地硬盘驱动器）只能被用来存储与工作相关的材料，尽管少量的个人材料在较小限度内也可被接受，但仍然严格禁止储存不适当内容。 3. 公司人员不得携带非公司配置或允许的个人电脑及附属设备如：PC、笔记本电脑、USB设备、移动硬盘、外接刻录机等来公司使用。

第十二条 软件的使用规定 在没有公司管理信息系统部的书面许可下，禁止用户进行以下任一项行为： 1. 复制公司信息资源库中的软件并用于家用电脑；或向任何其他非合法用户的人员提供AA公司信息资源库的软件拷贝； 2. 复制受版权保护的软件和说明书或使用未经授权或未注册的软件； 3. 在公司信息资源中安装任何未经授权/未经注册的软件； 4. 在公司信息资源中安装从因特网或其他在线服务商下载的任何未经授权/未经注册的软件； 5. 对公司资源库中的软件进行反向工程分析，反汇编，反编译。 第二节 《办公电脑使用管理规定》 第十三条 范围：此规定适用于AA公司所有办公用电脑；公司所有使用办公电脑的员工。 第十四条 定义：办公电脑指的是由AA公司出资购买的各类主要用于办公用途的PC、笔记本等电脑，由管理信息系统部统一对其进行管理。 第十五条 由于工作需要，员工可以通过借用审批电子流申请借用电脑。所有借用都最终归于产品线或部门名下，部门负责人负有对其所管辖员工与项目借用电脑的管理和使用监督责任。使用公司的电脑设备访问集团局域网、广域网及互联网时，必须遵守相关约定，具体内容请参见《AA 5

公司互联网使用管理办法》。 第十六条 无论是长期或临时使用办公电脑的员工都有责任和义务爱惜使用公司电脑设备，管理信息系统部对任何人污染、损坏或丢失电脑的行为有追究其使用人责任及给予相应惩罚的权利。 第十七条 对于办公电脑的采购、仓管、领用、借用、维修、维护、回收、盘点、折旧、报废、丢失、处罚等工作环节有明确定义，具体内容请参见《AA公司IT类固定资产管理制度》。 第三节 《密码管理规定》 第十八条 用户有责任安全地保存进入公司资源的密码； 第十九条 用户密码需由数字、字母组成和特殊字符、长度不得低于8位，密码应至少每90天进行更换。如果因系统限制暂时无法在系统中建立密码规则，系统管理部门对密码设置情况每季度进行检查或结合其它强密码认证方式（如动态密码，令牌，数字证书等）以保证密码政策的有效执行。 第二十条 个人密码不能打印、在线储存或告知他人，公司信息资源维护人员或因工作目的需知晓密码的人员除外。 第二十一条 用户对于所有需使用用户身份证和密码的交易负责； 第二十二条 任何人不得使用他人密码登录公司信息资源； 第二十三条 所有用户在工作结束后必须退出内部网络，通宵运行程序除外； 第二十四条 客户端用户口令必须有一定的复杂性，禁止使用弱口令。 第四节 《办公系统安全管理规定》 第二十五条 为保障AA公司办公相关系统的安全稳定运行，为办公网提供服务的系统在系统上线前需要设计系统的安全方案，减少系统受到攻击和篡改的可能性，保护系统的安全运行。 第二十六条 范围：此规定适用于AA公司所有为内部办公提供服务的系统。 第二十七条 系统上线前需要对系统的安全方案进行评估和审批，经部门领导审批后系统才可以上线，系统安全方案要每年定期检查和更新。系统上线后系统管理员要关注系统和应用程序的安全更新，对更新更新进行测试后要及时更新系统和应用程序的安全补丁。 第二十八条 系统通过用户名和密码实现登录认证，除查询用户外不允许建立共享用户名；如因系统原因无法按用户创建用户账号，系统管理员应限制该类账号的使用人数（如3人以下），并建立相关的监控制度（如用户名、登陆时间、操作行为、机房物理监控方式等），以保证系统的操作可以对应到执行操作的人员。 第二十九条 系统中的操作系统、数据库和应用层等的系统管理员等超级用户账号由主管部门负责人审批授权，并保留相应的审批授权记录。系统中的操作系统、数据库和应用层等对第三方使 6

用的账号权限要做严格审核，设置权限和时间的限制，并保留相应的审批授权记录。主管部门负责人或经授权人员对系统超级用户的清单每季度进行复核并签字确认，并由系统管理员对多余或不恰当的账号进行调整。 第三十条 对与财务和电子流等重要系统相关的操作要留存系统日志，包括操作系统层、数据库层和应用层日志。并由安全管理员每月对操作记录或日志进行审核以合理确保所有与财务报表相关的操作均为合法及获授权的。相关日志保存应在1年以上，日志的保存和审核要做好相应的记录。 第三十一条 在职工工作调动或离职时，由离职人员通过纸质及电子工单的形式通知该职工所在部门领导确认后，由系统管理员对其账号进行删除或禁止使用处理，并做好相应的记录。 第三十二条 用户在使用系统中发现的问题或故障，如经系统主管部门申告处理人员确认问题或故障属该系统的，则通过电子邮件发送至系统维护人员。系统维护人员对问题进行分析处理，如问题无法解决，将提交设备厂家（若存在系统中央支持组的，则提交到中央支持组）进行处理，问题的解决情况在电子邮件中追踪。 第三十三条 主管部门对所负责的系统运行情况进行监控，以合理确保系统和数据处理完整性和及时性。 第五节 《电子邮件使用管理规定》 第三十四条 公司向用户提供邮件服务以保证用户有效进行业务往来。所有进出公司的邮件皆归AA公司所有，因而对用户而言，邮件并非是机密或私人的，公司有权在任何时间以任何理由在不通知用户的情况下检查用户邮件。 第三十五条 个人用途电子邮件 AA公司了解在某些情况下用户会因私而使用邮件，但AA公司有权限制用户的此类应用。如果邮件是私人的，用户必须表明此邮件并非以AA公司名义发送的（例如：用个人签名），并且是在不影响公司的前提下进行。 第三十六条 邮件内容禁止事项 禁止以下列出而发送的电子邮件行为（包括个人邮件）： 1. 发送包含不适当内容的邮件（含/不含附件）； 2. 邮件使用空白主题的； 3. 发送与工作无关的连锁信，如金字塔销售计划或广告； 4. 从其他用户邮件地址模仿另一用户发送未经授权的邮件或发送邮件内容易被人认为是具有折磨、胁迫或非法入侵了解他人秘密； 5. 在任何时间发送非紧急的、与工作无关的邮件至大量的用户（无论在公司内部或外部）。