1、信息风险评估相关制度 信息安全管理相关制度 1 总则 第 1 条 为规范信息安全管理工作，加强过程管理和基础设施管理的风险分析及防范，建立 安全责任制，健全安全内控制度，保证信息系统的机密性、完整性、可用性，特制定本规 定。 2 适用范围 第 2 条 本规定适用于。 3 管理对象 第 3 条 管理对象指组成计算机信息系统的系统、设备和数据等信息资产和人员的安全。主 要范围包括:人员安全、物理环境安全、资产识别和分类、风险管理、物理和逻辑访问控制、 系统操作与运行安全、网络通讯安全、信息加密与解密、应急与灾难恢复、软件研发与应 用安全、机密资源管理、第三方与外包安全、法律和标准的符合性、项目与工
2、程安全控制、 安全检查与审计等。 4 第四章术语定义 DMZ:用于隔离内网和外网的区域，此区域不属于可信任的内网，也不是完全开放给因特网。 容量:分为系统容量和环境容量两方面。系统容量包括 CPU、内存、硬盘存储等。环境容量 包括电力供应、湿度、温度、空气质量等。 安全制度:与信息安全相关的制度文档，包括安全管理办法、标准、指引和程序等。 安全边界:用以明确划分安全区域，如围墙、大厦接待处、网段等。 恶意软件:包括计算机病毒、网络蠕虫、木马、流氓软件、逻辑炸弹等。 备份周期:根据备份管理办法制定的备份循环的周期，一个备份周期的内容相当于一个完整 的全备份。 系统工具:能够更改系统及应用配臵的程
3、序被定义为系统工具，如系统管理、维护工具、调 试程序等。 消息验证:一种检查传输的电子消息是否有非法变更或破坏的技术，它可以在硬件或软件上 实施。 数字签名:一种保护电子文档真实性和完整性的方法。例如，在电子商务中可以使用它验证 谁签署电子文档，并检查已签署文档的内容是否被更改。 信息处理设备:泛指处理信息的所有设备和信息系统，包括网络、服务器、个人电脑和笔记 本电脑等。 不可抵赖性服务:用于解决交易纠纷中争议交易是否发生的机制。 电子化办公系统:包括电子邮件、KOA 系统以及用于业务信息传送及共享的企业内部网。 5 安全制度方面 5.1 安全制度要求 5.1.1 本制度的诠释 第 4 条 所
4、有带有“必须”的条款都是强制性的。除非事先得到安全管理委员会的认可，否 则都要坚决执行。其它的条款则是强烈建议的，只要实际可行就应该被采用。 第 5 条 所有员工都受本制度的约束，各部门领导有责任确保其部门已实施足够的安全控制 措施，以保护信息安全。 第 6 条 各部门的领导有责任确保其部门的员工了解本安全管理制度、相关的标准和程序以 及日常的信息安全管理。 第 7 条 安全管理代表,或其指派的人员,将审核各部门安全控制措施实施的准确性和完整性， 此过程是公司例行内部审计的一部分。 5.1.2 制度发布 第 8 条 所有制度在创建和更新后，必须经过相应管理层的审批。制度经批准之后必须通知 所有
5、相关人员。 5.1.3 制度复审 第 9 条 当环境改变、技术更新或者业务本身发生变化时，必须对安全制度重新进行评审， 并作出相应的修正，以确保能有效地保护公司的信息资产。 第 10 条 安全管理委员会必须定期对本管理办法进行正式的复审，并根据复审所作的修正， 指导相关员工采取相应的行动。 6 组织安全方面 6.1 组织内部安全 6.1.1 信息安全体系管理 第 11 条 公司成立安全管理委员会，安全管理委员会是公司信息安全管理的最高决策机构， 安全管理委员会的成员应包括总裁室主管 IT 领导、公司安全审计负责人、公司法律负责人 等。 第 12 条 信息安全管理代表由信息安全管理委员会指定，一
6、般应包含稽核部 IT 稽核岗、信 息管理部信息安全相关岗位及分公司 IT 岗。 第 13 条 安全管理委员会通过清晰的方向、可见的承诺、详细的分工，积极地支持信息安 全工作，主要包括以下几方面: 1)确定信息安全的目标符合公司的要求和相关制度, 2)阐明、复查和批准信息安全管理制度, 3)复查信息安全管理制度执行的有效性, 4)为信息安全的执行提供明确的指导和有效的支持, 5)提供信息安全体系运作所需要的资源 6)为信息安全在公司执行定义明确的角色和职责, 7)批准信息安全推广和培训的计划和程序, 8)确保信息安全控制措施在公司内被有效的执行。 第 14 条 安全管理委员会需要对内部或外部信息
7、安全专家的建议进行评估，并检查和调整 建议在公司内执行的结果。 第 15 条 必须举行信息安全管理会议，会议成员包括安全管理委员会、安全管理代表和其 他相关的公司高层管理人员。 第 16 条 信息安全管理会议必须每年定期举行，讨论和审批信息安全相关事宜，具体包括 以下内容 1)复审本管理制度的有效性 2)复审技术变更带来的影响 3)复审安全风险 4)审批信息安全措施及程序 5)审批信息安全建议 6)确保任何新项目规划已考虑信息安全的需求 7)复审安全检查结果和安全事故报告 8)复审安全控制实施的效果和影响 9)宣导和推行公司高层对信息安全管理的指示 6.1.2 信息安全职责分配 第 17 条
8、信息管理部门作为信息安全管理部门，负责信息安全管理策略制定及实施，其主 要职责: （一）负责全公司信息安全管理和指导, （二）牵头制订全公司信息安全体系规范、标准和检查指引，参与我司信息系统工程建设 的安全规划, （三）组织全公司安全检查, （四）配合全公司安全审计工作的开展, （五）牵头组织全公司安全管理培训, （六）负责全公司安全方案的审核和安全产品的选型、购臵。 （七）依据本规定、安全规范、技术标准、操作手册实施各类安全策略。 （八）负责各类安全策略的日常维护和管理。 第 18 条 各分公司信息管理部门作为信息安全管理部门，其主要职责: （一）根据本规定、信息安全体系规范、标准和检查指引
9、，组织建立安全管理流程、手册, （二）组织实施内部安全检查, （三）组织安全培训, （四）负责机密信息和机密资源的安全管理, （五）负责安全技术产品的使用、维护、升级, （六）配合安全审计工作的开展, （七）定期上报本单位信息系统安全情况，反馈安全技术和管理的意见和建议。 （八）依据本规定、安全规范、技术标准、操作手册实施各类安全策略。 （九）负责各类安全策略的日常维护和管理。 6.1.3 信息处理设备的授权 第 19 条 新设备的采购和设备部署的审批流程应该充分考虑信息安全的要求。 第 20 条 新设备在部署和使用之前，必须明确其用途和使用范围，并获得安全管理委员会 的批准。必须对新设备的硬
10、件和软件系统进行详细检查，以确保它们的安全性和兼容性。 第 21 条 除非获得安全管理委员会的授权，否则不允许使用私人的信息处理设备来处理公 司业务信息或使用公司资源。 6.1.4 独立的信息安全审核 第 22 条 必须对公司信息安全控制措施的实施情况进行独立地审核，确保公司的信息安全 控制措施符合管理制度的要求。审核工作应由公司的审计部门或专门提供此类服务的第三 方组织负责执行。负责安全审核的人员必须具备相应的技能和经验。 第 23 条 独立的信息安全审核必须每年至少进行一次。 6.2 第三方访问的安全性 6.2.1 明确第三方访问的风险 第 24 条 必须对第三方对公司信息或信息系统的访问
11、进行风险评估，并进行严格控制，相 关控制须考虑物理上和逻辑上访问的安全风险。只有在风险被消除或降低到可接受的水平 时才允许其访问。 第 25 条 第三方包括但不限于: 1) 硬件和软件厂商的支持人员和其他外包商 2) 监管机构、外部顾问、外部审计机构和合作伙伴 3) 临时员工、实习生 4) 清洁工和保安 5) 公司的客户 第 26 条 第三方对公司信息或信息系统的访问类型包括但不限于: 1) 物理的访问，例如:访问公司大厦、职场、数据中心等, 2) 逻辑的访问，例如:访问公司的数据库、信息系统等, 3) 与第三方之间的网络连接，例如:固定的连接、临时的远程连接, 第 27 条 第三方所有的访问
12、申请都必须经过信息安全管理代表的审批，只提供其工作所须 的最小权限和满足其工作所需的最少资源，并且需要定期对第三方的访问权限进行复查。 第三方对重要信息系统或地点的访问和操作必须有相关人员陪同。 第 28 条 公司负责与第三方沟通的人员必须在第三方接触公司信息或信息系统前，主动告 知第三方的职责、义务和需要遵守的规定，第三方必须在清楚并同意后才能接触相应信息 或信息系统。所有对第三方的安全要求必须包含在与其签订的合约中。 6.2.2 当与客户接触时强调信息安全 第 29 条 必须在允许客户访问信息或信息系统前识别并告知其需要遵守的安全需求。采取 相应的保护措施保护客户访问的信息或信息系统。 6
13、.2.3 与第三方签订合约的安全要求 第 30 条 与第三方合约中应包含必要的安全要求，如:访问、处理、管理公司信息或信息系 统的安全要求。 7 信息资产与人员安全 7.1 资产责任 7.1.1 资产的清单 第 31 条 应清楚识别所有的资产，所有与信息相关的重要资产都应该在资产清单中标出， 并及时维护更新。这些资产包括但不限于? 1)信息:数据库和数据文件、系统文档、用户手册、培训材料、操作手册、业务连续性计划、 系统恢复计划、备份信息和合同等。 2)软件:应用软件、系统软件、开发工具以及实用工具等。 3)实体:计算机设备,处理器、显示器、笔记本电脑、调制解调器等,、通讯设备,路由器、 程控
14、电话交换机、传真机等,、存储设备、磁介质,磁带和磁盘等,、其它技术设备,电源、 空调器等,、机房等。 4)服务:通讯服务,专线,。 第 32 条 资产清单必须每年至少审核一次。在购买新资产之前必须进行安全评估。资产交 付后，资产清单必须更新。资产的风险评估必须每年至少一次，主要评估当前已部署安全 控制措施的有效性。 第 33 条 实体资产需要贴上适当的标签。 7.1.2 资产的管理权 第 34 条 所有资产都应该被详细说明，必须指明具体的管理者。 管理者可以是个人，也可以是某个部门。管理者是部门的资产则由部门主管负责监护。 第 35 条 资产管理者的职责是: 1)确定资产的保密等级分类和访问管
15、理办法, 2)定期复查资产的分类和访问管理办法。 7.1.3 资产的合理使用 第 36 条 必须识别信息和信息系统的使用准则，形成文件并实施。使用准则应包括: 1)使用范围 2)角色和权限 3)使用者应负的责任 4)与其他系统交互的要求 第 37 条 所有访问信息或信息系统的员工、第三方必须清楚要访问资源的使用准则，并承 担他们的责任。公司的所有信息处理设备,包括个人电脑,只能被使用于工作相关的活动， 不得用来炒股、玩游戏等。滥用信息处理设备的员工将受到纪律处分。 7.2 信息分类 7.2.1 信息分类原则 第 38 条 所有信息都应该根据其敏感性、重要性以及业务所要求的访问限制进行分类和标
16、识。 第 39 条 信息管理者负责信息的分类，并对其进行定期检查，以确保分类的正确。当信息 被发布到公司外部，或者经过一段时间后信息的敏感度发生改变时，信息需要重新分类。 第 40 条 信息的保密程度从高到低分为绝密、机密、秘密和非保密四种等级。以电子形式 保存的信息或管理信息资产的系统，需根据信息的敏感度进行标识。含有不同分类信息的 系统，必须按照其中的最高保密等级进行分类。 7.2.2 信息标记和处理 第 41 条 必须建立相应的保密信息处理规范。对于不同的保密等级，应明确说明如下信息 活动的处理要求: 1)复制 2)保存和保管,以物理或电子方式, 3)传送,以邮寄、传真或电子邮件的方式,
17、 4)销毁 第 42 条 电子文档和系统输出的信息,打印报表和磁带等,应带有适当的信息分类标记。对 于打印报表，其保密等级应显示在每页的顶端或底部。 第 43 条 将保密信息发送到公司以外时，负责传送信息的工作人员应在分发信息之前，先 告知对方文档的保密等级及其相应的处理要求。 7.3 人员安全 7.3.1 信息安全意识、教育和培训 第 44 条 所有公司员工和第三方人员必须接受包括安全性要求、信息处理设备的正确使用 等内容的培训，并应该及时了解和学习公司对安全管理制度和标准的更新。 第 45 条 应该至少每年向员工提供一次安全意识培训，其内容包括但不限于: 1)安全管理委员会下达的安全管理要
18、求 2)信息保密的责任 3)一般性安全守则 4)信息分类 5)安全事故报告程序 6)电脑病毒爆发时的应对措施 7)灾难发生时的应对措施 第 46 条 应该对系统管理员、开发人员进行安全技能方面的培训，至少每年一次。员工和 第三方人员在开始工作后 90 天内，必须进行技术和安全方面的培训。 第 47 条 灾难恢复演习应至少每年举行一次。 7.3.2 惩戒过程 第 48 条 违反公司安全管理制度、标准和程序的员工将受到纪律处分。在对信息安全事件 调查结束后，必须对事件中的相关人员根据公司的惩戒规定进行处罚。纪律处分包括但不 限于: 1) 通报批评 2) 警告 3) 记过 4) 解除劳动合同 法律诉
19、讼 5) 第 49 条 当员工在接受可能涉及解除劳动合同和法律诉讼的违规调查时，其直接领导应暂 停受调查员工的工作职务和其访问权限，包括物理访问、系统应用访问和网络访问等。员 工在接受调查时可以陈述观点，提出异议，并有进一步申诉的权力。 7.3.3 资产归还 第 50 条 在终止雇佣、合同或协议时，所有员工及第三方人员必须归还所使用的全部公司 资产。需要归还的资产包括但不限于: 1) 帐号和访问权限 2) 公司的电子或纸质文档 3) 公司购买的硬件和软件资产 4) 公司购买的其他设备 第 51 条 如果在非公司资产上保存有公司的资产，必须在带出公司前归还或删除公司的资 产。 7.3.4 删除访
20、问权限 第 52 条 在终止或变更雇佣、合同、协议时，必须删除所有员工及第三方人员对信息和信 息系统的访问权限，或根据变更进行相应的调整。所有删除和调整操作必须在最后上班日 之前完成。 第 53 条 对于公用的资源，必须进行及时的调整，比如:公用的帐号必须立即更改密码。 第 54 条 在已经确定员工或第三方终止或变更意向后，必须及时对他们的权限进行限制， 只保留终止或变更所需要的权限。 8 物理和环境安全方面 8.1 安全区域 8.1.1 物理安全边界 第 55 条 在公司的物理环境里，应该对需要保护的区域根据其重要性划分为不同的安全区 域。特别是有重要设备的安全区域,比如机房,应该部署相应的
21、物理安全控制。 第 56 条 在大厦的统一入口处必须设立有专人值守的接待区域，在特别重要的安全区域也 应该设立类似的接待区域。 第 57 条 在非办公时间内，重要的安全区域必须安排保安定时巡视。任何时候，公司内必 须至少有一位保安值班。保安值班表应最少每月调整一次。 8.1.2 安全区域访问控制 第 58 条 在非办公时间，所有进入安全区域的入口都应该受到控制，比如上锁。任何时候， 重要安全区域的所有出入口必须受到严格的访问控制，确保只有授权的员工才可以进入此 区域。 第 59 条 对于设有访问控制的安全区域，必须定期审核并及时更新其访问权限。所有员工 都必须佩戴一个身份识别通行证，有责任确保
22、通行证的安全并不得转借他人。员工离职时 必须交还通行证，同时取消其所有访问权限。 第 60 条 所有来宾的有关资料都必须详细记载在来宾进出登记表中，并向获准进入的来宾 发放来宾通行证。同时，必须有相应的程序以确保回收所发放的来宾通行证。来宾进出登 记表必须至少保留 1 年，记录内容应包括但不限于: 1)来宾姓名 2)来宾身份 3)来宾工作单位 4)来访事由 5)负责接待的员工 6)来宾通行证号码 7)进入的日期和时间 8)离开的日期和时间 8.1.3 办公场所和设施安全 第 61 条 放臵敏感或重要设备的区域,例如机房,应尽量不引人注目，给外面的信息应尽量 最少，不应该有明显的标志指明敏感区域
23、的所在位臵和用途。这些区域还应该被给予相应 的保护，保护措施包括但不限于: 1)所有出入口必须安装物理访问控制措施 2)使用来宾登记表以便记录来访信息 3)严禁吸烟 第 62 条 必须对支持关键性业务活动的设备提供足够的物理访问控制。所有安全区域和出 入口必须通过闭路电视进行监控。普通会议室或其它公众场合必须与安全区域隔离开来。 无人值守的时候，办公区中的信息处理设备必须从物理上进行保护。门和窗户必须锁好。 8.1.4 防范外部和环境威胁 第 63 条 办公场所和机房的设计和建设必须充分考虑火灾、洪水、地震、爆炸、骚乱等天 灾或人为灾难，并采取额外的控制措施加以保护。 第 64 条 机房必须增
24、加额外的物理控制，选取的场地应尽量安全，并尽可能避免受到灾害 的影响。机房必须有防火、防潮、防尘、防盗、防磁、防鼠等设施。 第 65 条 机房建设必须符合国标 GB2887-89计算机场地技术条件和 GB9361-88计算站 场地安全要求中的要求。 第 66 条 机房的消防措施必须满足以下要求: 1) 必须安装消防设备，并定期检查。 2) 应该指定消防指挥员。 3) 机房内严禁存放易燃材料，每周例行检查一次。 4) 必须安装烟感及其他火警探测器和灭火装臵。应每季度定期检查这些装备，确保它们能 有效运作。 5) 必须在明显位臵张贴火灾逃生路线图、灭火设备平面放臵图以及安全出口的位臵。 6) 安全
25、出口必须有明显标识。 7) 应该训练员工熟悉使用消防设施。 8) 紧急事件发生时必须提供紧急照明。 9) 所有疏散路线都必须时刻保持通畅。 10)必须保证防火门在火灾发生时能够开启。 11)每年应至少举行一次火灾撤离演习，使工作人员熟知火灾撤离的过程。 8.1.5 在安全区域工作 第 67 条 员工进入机房的访问授权，不能超过其工作所需的范围。必须定期检查访问权限 的分配并及时更新。机房的访问权限应不同于进入大楼其它区域的权限。 第 68 条 所有需要进入机房的来宾都必须提前申请。必须维护和及时更新来宾记录，以掌 握来宾进入机房的详细情况。记录中应详细说明来宾的姓名、进入与离开的日期与时间，
26、申请者以及进入的原因。机房来宾记录至少保存一年。来宾必须得到明确许可后，在专人 陪同下才能进入机房。 第 69 条 机房的保护应在专家的指导下进行，必须安装合适的安全防护和检测装臵。机房 内严禁吸烟、饮食和拍摄。 8.1.6 机房操作日志 第 70 条 必须记录机房管理员的操作行为，以便其行为可以追踪。操作记录必须备份和维 护并妥善保管，防止被破坏。 第 71 条 在机房值班人员交接时，上一班值班人员所遗留的问题以及从事的工作应明确交 待给下一班，保证相关操作的延续性。 8.2 设备安全 8.2.1 设备的安置及保护 第 72 条 必须对设备实施安全控制，以减少环境危害和非法的访问。应该考虑的
27、因素包括 但不限于: 1) 水、火 2) 烟雾、灰尘 3) 震动 4) 化学效应 5) 电源干扰、电磁辐射 第 73 条 设备必须放臵在远离水灾的地方，并根据需要考虑安装漏水警报系统。 应急开关如电闸、煤气开关和水闸等都必须清楚地做好标识，并且能容易访问。 设备都应该装有合适的漏电保险丝或断路器进行保护。 放臵设备的区域必须满足厂商提供的设备环境要求。 设备的操作必须遵守厂商提供的操作规范。 通信线路和电缆必须从物理上进行保护。 8.2.2 支持设施 第 74 条 支持设施能够支持物理场所、设备等的正常运作，比如: 电力设施、空调、排水设施、消防设施、静电保护设施等。 必须采取保护措施使设备免
28、受电源故障或电力异常的破坏。 必须验证电力供应是否满足厂商设备对电源的要求。 每年应至少对支持设施进行一次安全检查。 工作环境中增加新设备时，必须对电力、空调、地板等支持设施的负荷进行审核。 必须设臵后备电源，例如不间断电源,UPS,或发电机。对需要配备后备电源的设备装臵进行 审核，确保后备电源能够满足这些设备的正常工作。 每年必须至少对备用电源/进行一次测试。 应急电源开关应位于机房的紧急出口附近，以便紧急状况发生时可以迅速切断电源。 电缆应根据供电电压和频率的不同而相互隔离。 所有电缆都应带有标签，标签上的编码应记录归档。 电缆应从物理上加以保护。 8.2.3 设备维护 第 75 条 所有
29、生产设备必须有足够的维护保障，关键设备必须提供 7x24 的现场维护支持。 所有生产设备必须定期进行预防性维护。只有经过批准的、受过专业培训的工作人员才能 进行维护工作。设备的所有维护工作都应该记录归档。如果设备需要搬离安全区域进行修 理，必须获得批准并卸载其存储介质。 第 76 条 必须建立设备故障报告流程。对于需要进行重大维修的设备，流程还应该包含设 备检修的报告，及换用备用设备的流程。 8.2.4 管辖区域外设备安全 第 77 条 笔记本电脑用户必须保护好笔记本电脑的安全，防止笔记本电脑损坏或被偷窃。 第 78 条 如果将设备带出公司，设备拥有者必须亲自或指定专人保护设备的安全。设备拥
30、有者必须对设备在公司场所外的安全负责。 8.2.5 设备的安全处理或再利用 第 79 条 再利用或报废之前，设备所含有的所有存储装臵,比如硬盘等,都必须通过严格检 查，确保所有敏感数据和软件已被删除或改写，并且不可能被恢复。应该通过风险评估来 决定是否彻底销毁、送修还是丢弃含有敏感数据的已损坏设备。 9 通信和操作管理方面 9.1 操作程序和职责 9.1.1 规范的操作程序 第 80 条 必须为所有的业务系统建立操作程序，其内容包括但不限于: 1)系统重启、备份和恢复的措施 2)一般性错误处理的操作指南 3)技术支持人员的联系方法 4)与其它系统的依赖性和处理的优先级 5)硬件的配臵管理 第
31、81 条 操作程序必须征得管理者的同意才能对其进行修改。操作程序必须及时更新，更 新条件包括但不限于: 1)应用软件的变更 2)硬件配臵的变更 9.1.2 变更控制 第 82 条 必须建立变更管理程序来控制系统的变更，所有变更都必须遵守变更管理程序的 要求。程序内容包括但不限于? 1)识别和记录变更请求 2)评估变更的可行性、变更计划和可能带来的潜在影响 3)变更的测试 4)审批的流程 5)明确变更失败的恢复计划和责任人 6)变更的验收 第 83 条 重要变更必须制定计划，并在测试环境下进行足够的测试后，才能在生产系统中 实施。所有变更必须包括变更失败的应对措施和恢复计划。所有变更必须获得授权
32、和批准， 变更的申请和审批不得为同一个员工。对变更需要涉及的硬件、软件和信息等对象都应标 识出来并进行相应评估。变更在实施前必须通知到相关人员。 第 84 条 变更的实施应该安排在对业务影响最小的时间段进行，尽量减少对业务正常运营 的影响。在生产系统安装或更新软件前，必须对系统进行备份。变更完成后，相关的文档, 如系统需求文档、设计文档、操作手册、用户手册等,必须得到更新，旧的文档必须进行备 份。 第 85 条 必须对变更进行复查，以确保变更没有对原来的系统环境造成破坏。必须完整记 录整个变更过程，并将其妥善保管。变更的记录应至少每月复查一次。 9.1.3 职责分离 第 86 条 系统管理员和
33、系统开发人员的职责必须明确分开。同一处理过程中的重要任务不 应该由同一个人来完成，以防止欺诈和误操作的发生。 第 87 条 所有职责分离的控制必须记录归档，作为责任分工的依据。无法采取职责分离时， 必须采取其它的控制，比如活动监控、审核跟踪评估以及管理监督等。 9.1.4 开发、测试和生产系统分离 第 88 条 不应给开发人员提供超过其开发所需范围的权限。如果开发人员需要访问生产系 统，必须经过运营人员的授权和管理。 第 89 条 生产、测试和开发应分别使用不同的系统环境。开发人员不得在生产环境中更改 编码或操作生产系统。不得在生产系统上擅自安装开发工具,比如编译程序及其他系统公用 程序等,，
34、并做好已有开发工具的访问控制。开发和测试环境使用的测试数据不能包含有敏 感信息。 9.1.5 事件管理程序 第 90 条 必须建立事件管理程序，并根据事件影响的严重程度制订其所属类别，同时说明 相应的处理方法和负责人。必须根据事件的严重程度，定义响应的范围、时间和完成事件 处理的时间。 第 91 条 系统的修复必须得到系统管理者的批准方可执行。 第 92 条 所有事件报告必须记录归档，并由部门主管或指定人员妥善保管。必须对事件的 处理情况进行监控，对超时的处理提出改进建议并跟进改进效果。 9.2 第三方服务交付管理 9.2.1 服务交付 第 93 条 第三方提供的服务必须满足安全管理制度的要求
35、。第三方提供的服务必须满足公 司业务连续性的要求。 第 94 条 必须保留第三方提供的服务、报告和记录并定期评审，至少每半年一次。评审内 容应包括: 1) 服务内容和质量是否满足合同要求, 2) 服务报告是否真实。 9.2.2 第三方服务的变更管理 第 95 条 服务改变时，必须重新对服务是否满足安全管理办法进行评估。在服务变更时需 要考虑: 1) 服务价格的增长, 2) 新的服务需求, 3) 公司信息安全管理制度的变化, 4) 公司在信息安全方面新的控制。 9.3 针对恶意软件的保护措施 9.3.1 对恶意软件的控制 第 96 条 必须建立一套病毒防治体系，以便防止病毒对公司带来的影响。所有
36、服务器、个 人电脑和笔记本电脑都应该安装公司规定的防病毒软件，并及时更新防病毒软件。所有存 进计算机的信息,例如接收到的邮件、下载的文件等,都必须经过病毒扫描。员工和第三方 厂商从外界带来的存储介质在使用之前必须进行病毒扫描。 第 97 条 所有员工都应该接受防病毒知识的培训和指导。 第 98 条 公司内发现的病毒、计算机或应用程序的异常行为，都必须作为安全事件进行报 告。 第 99 条 必须定期审核控制恶意软件措施的有效性。一旦发现感染病毒，必须立刻把机器 从网络中断开。在病毒没有被彻底清除之前，严禁将其重新连接到网络上。 9.4 备份 9.4.1 信息备份 第 100 条 所有服务器、个人
37、电脑和笔记本电脑必须根据业务需求定期进行备份。系统在重 大变更之前和之后必须进行备份。 第 101 条 备份管理办法必须获得管理层的审批以确保符合业务需求。备份管理办法必须至 少每季度进行一次复查，以确保没有发生未授权或意外的更改。 第 102 条 应该保留多于 1 个备份周期的备份，但重要业务信息应至少保留 3 个备份周期的 备份。备份资料和相应的恢复操作手册必须定期传送到异地进行保存。异地必须与主站点 有一定的距离，以避免受主站点的灾难波及。 第 103 条 必须对异地保存的备份信息实施安全保护措施，其保护标准应和主站点相一致。 必须定期测试备份介质，确保其可用性。必须定期检查和测试恢复步
38、骤，确保它们的有效 性。备份系统必须进行监控，以确保其稳定性和可用性。 9.5 网络管理 9.5.1 网络控制 第 104 条 网络管理和操作系统管理的职责应该彼此分离，并由不同的员工承担。必须明确 定义网络管理的职责和义务。只有得到许可的员工才能够使用网络管理系统。 第 105 条 必须建立相应的控制机制，保护路由表和防火墙安全管理办法等网络参数的完整 性。保护通过公网传送敏感数据的机密性、完整性和可用性。 第 106 条 进行网络协议兼容性的评估时应考虑将来新增网络设备的要求。任何准备接进网 络的新设备，在进网前都必须通过协议兼容性的评估和安全检查。 第 107 条 必须对网络进行监控和管
39、理。所有网络故障都必须向上级报告。 第 108 条 必须建立互联网的访问管理办法。除非得到授权， 否则禁止访问外部网络的服务。 9.6 介质的管理 9.6.1 可移动介质的管理 第 109 条 可移动计算机存储介质,比如磁带、光盘等,必须有适当的访问控制。存储介质上 必须设臵标签，以标识其类型和用途。标签应使用代码，以避免直接标识存储介质上的内 容。标识用的代码需要记录并归档。 第 110 条 必须建立和维护介质清单，并对介质的借用和归还进行记录。应确保备有足够的 存储介质，以备使用。 第 111 条 存放在存储介质内的绝密和机密信息必须受到妥善保护。 第 112 条 存储介质的存放环境必须满
40、足介质要求的环境条件,比如温度、湿度、空气质量 等,。 第 113 条 备份介质必须存储在防火柜中。应该对介质的寿命进行管理，在介质寿命结束前 一年，将信息拷贝到新的介质中。 9.6.2 介质的销毁 第 114 条 应建立存储介质的报废规范，包括但不限于: 1)纸质文档 语音资料及其他录音带 2) 3)复写纸 4)磁带 5)磁盘 6)光存储介质 第 115 条 所有不会被再利用的敏感文档都必须根据定义的信息密级采取适当的方式进行销 毁。 第 116 条 所有报废及过期的存储介质必须妥善销毁。 9.6.3 信息处理程序 第 117 条 介质的信息分类，必须采用存放信息中的最高保密等级。 第 11
41、8 条 应根据介质中信息的分类级别，采取相应措施来保护介质的输出环境。 9.6.4 系统文档的安全 第 119 条 存取含有敏感信息的文档，必须获得相应文档管理者的批准。含有敏感信息的文 档应保存在安全的地方，未经许可不得访问。含有敏感信息的文档通过内部网等提供访问 的，应采用访问控制加以保护。 9.7 信息交换 9.7.1 信息交换管理办法和程序 第 120 条 必须根据信息的类型和保密级别，定义信息在交换过程中应遵循的安全要求。 第 121 条 所有员工和第三方人员都必须遵守公司的信息交换管理办法。 第 122 条 未经许可，公司内部不允许安装、使用无线通信设备。 第 123 条 使用加密
42、技术保护信息的保密性、完整性和真实性。敏感信息带出公司必须获得 直接领导或信息管理者的授权。 第 124 条 必须建立控制机制来保护利用音频、传真和视频通信设备进行交换的信息。 第 125 条 电话录音系统应该配臵密码，以防非法访问。 第 126 条 在使用传真机中已存储的号码时，传真之前必须验证号码。 第 127 条 移动通讯设备,比如手机，PDA 等,不应存储公司敏感信息。 9.7.2 交换协议 第 128 条 跟外界进行信息和软件交换必须签署协议，其内容必须包括: 1)发送方和接收方的责任 2)明确发送和接收的方式 3)制定信息封装和传输的技术标准 4)数据丢失的相关责任 5)声明信息的
43、保密级别和保护要求 6)声明信息和软件的所有权、版权和其他相关因素 9.7.3 物理介质传输 第 129 条 必须建立传输存储介质的安全标准。应使用可靠的传输工具或传递人，授权的传 递人必须接受适当监管并进行其身份的检查。应确保敏感信息的机密性、完整性和可用性 在传输全程中受到保护。 第 130 条 存放介质的容器在运输过程前必须密封。信息分类不应该标识在容器的外面。包 装应该非常结实，确保介质在运输过程中不受到损坏。 9.7.4 电子消息 第 131 条 电子化办公系统必须建立相应的管理办法和控制机制，并阐明下列内容: 1)确定不能被共享的信息的类型或密级 2)系统用户的权限 3)系统的访问
44、控制 4)与系统相关的备份管理办法 第 132 条 除非获得安全管理委员会的授权，否则禁止使用公司以外的电子系统,比如 BBS、MSN、QQ 等,进行跟公司相关的活动。 第 133 条 电子邮件内的信息必须根据其信息分类的安全要求去处理和保护。用于连接外网 的邮件网关必须安装防病毒软件，检查进出的电子邮件。必须对 Internet 屏蔽邮件系统的 内网 IP 地址。 第 134 条 员工使用公司的邮件系统时只能进行与业务相关的活动。所有在公司的邮件系统 上产生及存储的邮件都是公司资产。公司有权查看和监控所有邮件。 未经授权，严禁使用公司以外的邮箱处理公司业务。 所有对外发送的邮件都必须加上责任
45、声明。 9.7.5 业务信息系统 第 135 条 在业务系统进行信息共享时，必须保证信息的完整性、可用行和保密性。必须保 证重要信息在交换过程中的保密性。 9.8 电子商务服务 9.8.1 电子商务 第 136 条 必须采取适当措施，保证电子交易过程的机密性、完整性和可用性。 第 137 条 电子商务的交易必须制定相关的交易声明，以明确注意事项和相关责任。在电子 商务的协议中，必须明确欺诈行为和未能交付的责任。 第 138 条 电子交易必须设臵并维护适当的访问控制。身份验证技术必须满足业务的实际要 求。 第 139 条 必须保留并维护所有电子商务交易过程中的记录和日志。 第 140 条 应该使
46、用加密、电子证书、数字签名等技术保护电子商务安全。 9.8.2 在线交易 第 141 条 必须保护在线交易信息，避免不完整的传输、路由错误、未授权的消息更改、未 授权的信息信息泄漏、复制和回复。 第 142 条 在线交易中必须使用数字证书保护交易安全。交易中必须使用加密技术对所有通 信内容加密。在线交易必须使用安全的通讯协议。 第 143 条 在线交易信息必须保存在公司内部的存储环境，存储环境不能被从 Internet 直 接访问。 第 144 条 在线交易必须遵守国家、地区和行业相关的法律法规。 9.8.3 公共信息 第 145 条 必须确保公共信息系统中信息的完整性，并防止非授权的修改。
47、第 146 条 信息的发布必须遵守国家法律法规的要求。通过信息发布系统向内部和公众发布 的信息都必须经过公司相关部门的检查和审批。信息在发布之前必须经过核对，确认其正 确性和完整性。必须对敏感信息的处理和存储过程进行保护。 9.9 监控 9.9.1 日志 第 147 条 所有操作系统、应用系统都必须具有并启用日志记录功能。 第 148 条 日志记录信息必须包括但不限于: 1)用户 ID, 2)每项操作的日期和时间,至少要精确到秒, 3)来源的标识或位臵, 4)成功的系统访问尝试, 5)失败或被拒绝的系统访问尝试, 第 149 条 日志类型包括但不限于: 1)应用日志, 2)系统日志, 3)安全
48、日志, 4)操作日志, 5)问题记录。 第 150 条 必须确保日志记录功能在任何时候都能正常运行。应该有机制监控日志的容量变 化，在容量耗尽之前发出报警信息。 第 151 条 除非特别声明，所有日志都必须被分类为“机密” 。日志应该定期复查，至少每 月一次。 9.9.2 监控系统的使用 第 152 条 不同的信息处理设备所要求的监控等级应该通过风险评估来决定，必须考虑下列 要素: 1)系统的访问, 2)所有特权操作, 3)未授权的访问尝试, 4)系统警报或故障。 第 153 条 应每天定时监控网络,包括网络性能和网络故障,，并根据产生的报告，对异常变 化的网络流量，作进一步分析，以发现潜在的
49、网络安全问题。 9.9.3 日志信息保护 第 154 条 必须保证日志不能被修改或删除，所有对于日志文件的访问,如删除、写、读或 添加,尝试都应该有相应记录。 第 155 条 除非特别声明，日志必须至少保存 1 年。只有授权的员工才能访问并使用日志。 必须采取控制措施保护日志的完整性。 9.9.4 管理员和操作员日志 第 156 条 系统管理员和操作员的操作必须被记录日志。 第 157 条 日志记录应包括重要的操作，例如与用户管理相关的操作,用户帐号的创建、删 除、权限设臵、修改,、与财务相关的操作等。 第 158 条 管理员和重要系统的操作员日志应该至少每周复查一次。对于重要的财务系统和 业务系统每天都要复查。 9.9.5 故障日志 第 159 条 必须启动故障日志功能。 第 160 条 必须保证故障记录的跟进处理，确保问题得到完全解决，并且其纠正措施不会带 来新的安全问题。所有故障记录都应该向上级汇报并记录归档。 第 161 条 故障记录应妥善保管，防止被损坏，必要时应该进行备份。 9.9.6 时钟同步 第 162 条 所有系统应该使用时钟同步服务，并使用同一时钟源。 第 163 条 所有系统中的时间允许最多一分钟的偏差。 第 164 条 对于不能进行时钟同步的系统，必须对时间进行每月一次的检查。 10 访问控制方面 10.1 访问控制要求 10.1.1 访问控制管理
