信息安全管理规范

《信息安全管理规范》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、信息安全管理规范公司版本信息当前版本:最新更新日期:最新更新作者:作者:创建日期:审批人:审批日期:修订历史版本号更新日期修订作者主要修订摘要TableofContents（目录）1.公司信息安全要求51.1信息安全方针51.2信息安全工作准则51.3职责61.4信息资产的分类规定61.5信息资产的分级（保密级别）规定71.6现行保密级别与原有保密级别对照表81.7信息标识与处置中的角色与职责81.8信息资产标注管理规定91.9允许的信息交换方式101.10信息资产处理和保护要求对应表101.11口令使用策略121.12桌面、屏幕清空策略131.13远程工作安全策略141

2、.14移动办公策略141.15介质的申请、使用、挂失、报废要求151.16信息安全事件管理流程171.17电子邮件安全使用规范191.18设备报废信息安全要求201.19用户注册与权限管理策略201.20用户口令管理211.21终端网络接入准则211.22终端使用安全准则221.23出口防火墙的日常管理规定231.24局域网的日常管理规定231.25集线器、交换机、无线AP的日常管理规定231.26网络专线的日常管理规定241.27信息安全惩戒242.信息安全知识252.1什么是信息？252.2什么是信息安全？252.3信息安全的三要素252.4什么是信息安全管理体系？2

3、62.5建立信息安全管理体系的目的272.6信息安全管理的PDCA模式282.7安全管理－风险评估过程282.8信息安全管理体系标准（ISO27001标准家族）292.9信息安全控制目标与控制措施301.公司信息安全要求1.1信息安全方针n拥有信息资产，积累、共享并保护信息资产是我们共同的责任。n管理与技术并重，确保公司信息资产的安全，保障公司持续正常运营。n履行对客户知识产权的保护承诺，保障客户信息资产的安全，满足并超越客户信息安全需求。1.2信息安全工作准则n保护信息的机密性、完整性和可用性，即确保信息仅供给那些获得授权的人员使用、保护信息及信息处理方法的准确性和完整

4、性、确保获得授权的人员能及时可靠地使用信息及信息系统；n公司通过建立有效的信息安全管理体系和必要的技术手段，保障信息资产的安全，降低信息安全风险；n各级信息安全责任者负责所辖区域的信息安全，通过建立相关制度及有效的保护措施，确保公司的信息安全方针得到可靠实施；n全体员工应只访问或使用获得授权的信息系统及其它信息资产，应按要求选择和保护口令；n未经授权，任何人不得对公司信息资产进行复制、利用或用于其它目的；n应及时检测病毒，防止恶意软件的攻击；n公司拥有为保护信息安全而使用监控手段的权力,任何违反信息安全政策的员工都将受到相应处理；n通过建立有效和高效的信息安全管理体系，定

5、期评估信息安全风险，持续改进信息安全管理体系。1.1职责全体员工应保护公司信息资产的安全。每个员工必须认识到信息资产的价值，负责保护好自己生成、管理或可触及的涉及的数据和信息。员工必须遵守《信息标识与处理程序》，了解信息的保密级别。对于不能确定是否为涉密信息的内容，必须征得相关管理部门的确认才可对外披露。员工必须遵守信息安全相关的各项制度和规定，保证的系统、网络、数据仅用于的各项工作相关的用途，不得滥用。1.2信息资产的分类规定公司的信息资产分为电子数据、软件、硬件、实体信息、服务五大类。类别说明电子数据存在信息媒介上的各种数据资料，包括源代码、数据库数据等各种电子化的数

6、据资料、项目文档、管理文档、运行管理规程、计划、报告、用户手册、作业指导书等各种电子化的数据资料。软件包括系统软件、应用软件、共享软件系统软件：操作系统、语言包、工具软件、各种库等；应用软件：外部购买的应用软件，办公软件等；共享软件：各种共享源代码、共享可执行程序等。硬件网络设备：路由器、网关、交换机等计算机设备：大型机、服务器、工作站、台式计算机、移动计算机等存储设备：磁带机、磁盘阵列、工控机等移动存储设备：磁带、光盘、软盘、U盘、移动硬盘等传输线路：光纤、双绞线等基础保障设备：（UPS、变电设备等）、空调、保险柜、文件柜、门禁、消防设施等，如对基础设施使用属于租用形式

7、，请将其识别到服务类别中。安全保障设备：硬件防火墙、入侵检测系统、身份验证等其他电子设备：打印机、复印机、扫描仪、传真机等实体信息纸制的各种文件、合同、传真、会议纪要、财务报表、证书、电报、发展计划以及各类其他材质的证书奖牌等。服务通过各种协议方式固化下来的服务活动、如物业、第三方、供应商、提供检修服务的提供方等。1.1信息资产的分级（保密级别）规定信息资产分为：一般、内部公开、企业秘密、企业机密4个保密级别。保密级别名称说明1一般一般性信息，可以公开的信息、信息处理设备和系统资源。2内部公开非敏感但仅限公司内部使用的信息、信