信息安全管理办法-1

有限公司信息安全管理办法总则一、目的：为了保护区域的整体利益和长远利益不受侵害，需要加强对公司内部信息的保密管理，使公司所拥有的信息在经营活动中充分利用，为公司带来最大的效益，使公司长期、稳定、高效地发展，适应激烈的市场竞争，特制定本管理办法。二、适用范围：本管理办法适用于北京青燕祥云科技有限公司各部门所有员工。三、职责：由于信息贯穿在公司建设及经营活动的全过程和各个环节，所以信息安全的管理，除了领导重视而且需全员参与，各个部门人员都要严格遵守公司信息管理办法规定的内容。总经办负责：各部门工作流程检查及公司各部门文件资料备档管理技术部负责：各部门网络信息资料安全保密稽查人事部负责：落实各部门违规操作的处罚工作四、信息分类：信息包括但不局限于以下内容1、公司所有内部系统账号密码安全（如：企业邮箱、ERP、NC……等）。2、公司员工内部沟通QQ群、微信群、钉钉群。3、公司文件（包括所有电子版文件和纸质版文件。如：内部公文、会议资料、产品图纸、设计方案、合同、管理诀窍、客户名单、供货商信息、产销策略、招投标中的标底及标书内容……一切有关于公司利益的文件）。五、管理要求：(一）公司内部系统账号密码管理要求：（1）公司所有内部系统的个人账号密码不得随意给他人，如出现问题由账号本人负责。（2）员工离职时，人事部应该第一时间发起账号注销流程或通知离职员工所有部门的行政管理人员发起账号注销流程，拒绝出现离职员工还存在能使用公司内部系统账号密码权限。（3）各部门员工邮箱由行政部统一分配，不允许使用私人邮箱，行政部应做好相应账户及密码记录。（4）公司各部门沟通以邮件形式，应注意邮件发送需完整，写明主旨、邮件内容、并按要求修改为统一签名。（二）公司员工内部沟通QQ群、微信群、钉钉群管理要求：（1）未经群管理人员同意不得随意邀请人进入沟通平台，如需要邀请必需经群管理人员同意。（2）进入QQ群、微信群、钉钉群的员工必需更改群名称，群名称格式为：部门-姓名（如:人事行政部-张三）。（3）员工接到群内消息应第一时间做出回复，保证信息传达准确及时有反馈。（4）员工离职时，人事部应该第一时间通知群管理人员将离职员工移出群。（三）公司文件安全管理规范要求：（1）员工必须具有保密意识，做到不该问的绝对不问，不该说的绝对不说，不该看的绝对不看。（2）严禁在公共场合、公用电话及网络公众平台上交谈、传递保密事项，不准在私人交往中泄露公司秘密。（3）员工发现公司秘密已经泄露或可能泄露时，应立即采取补救措施并及时报告部门第一负责人，部门第一负责人应立即作出相应处理。（4）各部门在开会过程中，如未经会议组织人员同意，不得随意拍照、摄像，包括相机、摄像机、手机等相关设备，一经发现，严厉惩罚当事人。（5）公司文件不得随意给无关人员查阅、复制或借出，特别是具有保密性的文件。（6）对草稿、初稿或过期文件不能随意乱丢，如无保留价值应及时销毁，必须同定稿一样对待，按保密原则和要求管理。（7）具有保密性的文件，各部门需要指定人员做好保密工作，不能随意堆放及存放。六、保密范围和密级确定1、公司秘密是关系公司权利和利益，依照特定程序确定，在一定时间内只限一定范围的人员知悉的事项，包括但不限于技术秘密和其他商业机密。技术秘密是指不为公众知悉、能为企业带来经济利益、具有实用性并且企业采取保密措施的非专利技术和技术信息。技术秘密包括但不限于：技术方案、产品设计、制造方法、技术指标、计算机软件、数据库、研究开发记录、技术报告、检测报告、实验数据、试验结果、图纸、样品、样机、模型、模具、操作手册、技术文档、相关的函电，等等。其他商业秘密，包括但不限于：客户名单、行销计划、采购资料、定价政策、财务资料、进货渠道等等。以及下列秘密事项：（1）公司重大决策中的秘密事项。（2）公司尚未付诸实施的经营战略、经营方向、经营规划、经营项目及经营决策。（3）公司内部掌握的合同、协议、意见书及可行性报告、主要会议记录。（4）公司财务预决算报告及各类财务报表、统计报表。（5）公司所掌握的尚未进入市场或尚未公开的各类信息。（6）公司技术开发数据、资料、软件、程序代码等信息。（7）公司职员人事档案，工资性、劳务性收人及资料。（8）其他经公司确定应当保密的事项。一般性决定、决议、通告、通知、行政管理资料等内部文件不属于保密范围。2、公司秘密的密级分为“绝密”、“机密”、“秘密”三级。绝密是最重要的公司秘密，泄露会使公司的权益和利益遭受特别严重的损害；机密是重要的公司秘密，泄露会使公司权益和利益遭受到严重的损害；秘密是一般的公司秘密，泄露会使公司的权益和利益遭受损害。3、公司秘级的确定：（1）公司经营发展中，直接影响公司权益和利益的重要决策文件、技术资料为绝密级；（2）公司的规划、财务报表、统计资料、重要会议记录、公司经营情况为机密；（3）公司人事档案、合同、协议、职员工资性收人、尚未进人市场或尚未公开的各类信息为秘密级。4、属于公司秘密的文件、资料，应当依据本制度公司秘级规定标明密级，并确定保密期限。保密期限分永久、长期、短期，一般与密级相对应，特殊情况外标明。保密期限届满，自行解密。保密措施。5、属于公司秘密的文件、资料和其他物品的制作、收发、传递、使用、复制、摘抄、保存和销毁，由专人执行；采用电脑技术存取、处理、传递的公司秘密由技术部专人负责保密。6、对于密级文件、资料和其他物品，必须采取以下保密措施：（1）非经总经理或主管副总公司批准，不得复制和摘抄；（2）收发、传递和外出携带，由指定人员担任，并采取必要的安全措施；（3）在设备完善的保险装置中保存。7、属于公司秘密的设备或者产品的研制、生产、运输、使用、保存、维修和销毁，由公司指定专门部门负责执行，并采用相应的保密措施。8、在对外交往与合作中需要提供公司秘密事项的，应当事先经总经理批准。9、具有属于公司秘密内容的会议和其他活动，主办部门应采取下列保密措施：（1）选择具备保密条件的会议场所；（2）根据工作需要，限定参加会议人员的范围，对参加涉及密级事项会议的人员予以指定；（3）依照保密规定使用会议设备和管理会议文件；（4）确定会议内容是否传达及传达范围。10、不准在私人交往和通信中泄露公司秘密，不准在公共场所谈论公司秘密，不准通过其他方式传递公司秘密。11、公司工作人员发现公司秘密已经泄露或者可能泄露时，应当立即采取补救措施并及时报告人事行政部；人事行政部接到报告，应立即作出处理。12、出现下列情况之一者，给予警告，并扣发工资1000元以上5000元以下：（1）泄露公司秘密，尚未造成严重后果或经济损失的；（2）违反本制度规定的秘密内容。第一章数据安全第一条数据是公司最重要的数字资产，为规范数据的管理，保证数据的安全，完善内控制度，特制定本办法，保障公司财产安全不受恶意侵犯。第二条数据管理原则。（1）宽进严出原则，任何数据输出都必须经过严格的控制。（2）少数访问原则，严格控制数据访问接触的人员范围。（3）集中管理原则，全部数据集中存储、集中管理。（4）分散处理原则，避免单一处理人员可以获得大量数据。（5）加密传输原则，所有数据的传输过程都必须加密。（6）物理隔离原则，数据存储的设备进行物理和网络的分离第三条为保证数据的安全，需遵循专人专管原则、程序规范原则、在场监督原则、定期备份原则。第四条专人专管，（1）数据机房钥匙专人保管；（2）新产品研发室钥匙专人保管，研发数据使用范围限定在公司范围内。第五条程序规范。（1）数据从服务器导出时，需签署数据使用申请表，见附件1《数据使用申请表》；（2）数据管理员签署单独的保密协议。见附件2《保密协议》。（3）使用数据严格遵循数据审批流程：第六条在场监督。从医院拷贝数据时需两人在场互为监督，且必须使用公司专用设备拷贝，拷贝数据的个人保管期限不得超过24小时。第七条数据库管理员每天检查一次数据服务器的状态是否正常，每天进行一次数据库增量数据的备份，每周进行一次全量数据备份，数据库管理员每天提交数据备份操作日志，并确认备份有效性。第八条本办法仅对公司管理层、数据管理人员和相关技术人员，不对外公开细节。第二章产品安全第九条产品是公司重要的资产，一款成熟或半成熟的产品都集成了公司研发人员、设计人员、测试人员等无数员工的智力成果，为保障产品的安全，需遵申请方填写使用申请数据管理员确认签字副组长确认签字组长确认签字管理员出库数据管理员发送给副组长副组长检查压缩加密副组长将加密文件发送给目标房最终负责人，并通过电话的方式告知密码副组长将加密文件删除出库单申请保管归档结束循“加密保护”原则。第十条采用权限管理手段，保障代码安全。权限管理员应实时跟踪用户离司或更换部门情况，及时申请删除用户权限，并在相应的用户申请表上写明权限变动情况。更换部门后，用户如需使用，则必须由用户新所属部门发起申请。第十一条用户访问数据库环境由于和互联网连接，存在着极大的不安全隐患，需要进行特殊控制。二者之间采用接口程序进行连接，通过特殊私有协议访问，其他所有端口全部封闭，确保黑客无法进入。第十二条用户访问数据库环境需与公司全部数据的运行环境严格分离。第十三条开发负责人需不定期更换加密狗和加密算法。第三章内容安全第十四条每款产品都会输出相应的文档资料，作为公司一员，有责任对这些资料严加保护，使其不受损坏、毁灭、或被不法人员利用，或未经许可对外传播，这些资料包括但不限于：产品需求说明书、产品研发方案、系统结构设计方案、数据库设计说明、测试报告、使用说明书等各类文档资料。第十五条商业计划书属于公司内部机密，严禁未经许可对外传播，商业计划书需严格控制访问接触的人员范围。第十六条公司在研产品涉及内容包括但不限于：研发方案、设计方案等，需加强安全保护意识，不得损坏、毁灭、或被不法人员利用，或未经许可对外传播。第四章研发安全第十七条室单独隔离；第十八条从事敏感性工作岗位或者保密项目的人员需要单独签署保密协议。第十九条研发环境的访问授权需要填写授权申请单，需告知开发人员关于数据安全保密的协议和可能承担的法律责任，访问授权到期后，数据库管理员通过更改密码取消访问授权。第二十条研发环境可以作为备份环境，给每个影像数据工程师一个存储空间，用于存储数据制作过程中的过程数据，保障个人电脑数据的安全性。第二十一条对外合作厂家必须签署保密协议。第五章知识产权第二十二条知识产权是公司的核心竞争力，公司非常注重知识产品管理，尤其是创新型产品的研发，在未研发成功前需提前申请专利或软件著作权。第二十三条第二十四条第六章其他第二十五条本制度解释权归属公司，并负责组织修订。第二十六条本制度自2017年11月1日起执行。附件1数据使用申请表附件2保密协议附件3相关人员附件1数据使用申请表数据出库申请表申请人申请日期申请理由（由申请人填写）数据要求数据格式申请数量数据评估数据管理员意见签字：日期：副组长意见签字：日期：组长意见签字：日期：附件2保密协议保密协议甲方（企业）：乙方（员工）：鉴于乙方在甲方任职，并将在任职期间获得甲方的各种数据信息，双方当事人就乙方在任职期间及离职以后保守甲方数据资料秘密有关事项，制定下列条款，共同遵守：第一条保密信息公司所有数据、相关程序均是公司的资产或者知识产权。本协议所指保密信息是指合同生效日前后，披露方披露给接收方的任何以及所有以口头或书面，或以其他任何形式披露的数据，包括但不限于程序数据、数据管理办法、数据存储方法、数据库环境、数据运行、数据规格、服务器IP地址、用户密码等。第二条乙方的保密义务1.乙方应本着谨慎、诚实的态度，采取任何必要、合理的措施，维护甲方的数据秘密；2.未经甲方同意，不得以泄露、公布、发布、出版、传授、转让或者其他任何方式使任何第三方（包括按照保密制度的规定不得知悉该项秘密的甲方的其他职员）知悉属于甲方或者虽属于他人但甲方承诺有保密义务的数据秘密，乙方也不得在履行职务之外使用这些秘密信息；3.乙方保证绝不窃取公司数据、私自转移数据到个人设备；4.乙方应严格按照甲方公司数据管理办法执行工作，按照公司规定存储数据、管理数据、使用数据；5.乙方离职之后仍对