信息安全與防護管理制度第一章總則第一條目的和依據(jù)1.1為保護企業(yè)的信息系統(tǒng)和數(shù)據(jù)安全，確保信息資產(chǎn)的機密性、完整性和可用性，訂立本制度。1.2本制度依據(jù)《中華人民共和國網(wǎng)絡安全法》《中華人民共和國保守國家秘密法》等相關法律法規(guī)。第二條適用范圍2.1本制度適用于公司內(nèi)全部員工、承包商以及和公司有合作關系的合作伙伴。第三條定義3.1信息系統(tǒng)：指包含硬件、軟件、網(wǎng)絡設施及其附屬設備在內(nèi)的為存儲、處理、傳輸、接收和顯示企業(yè)信息所構(gòu)成的系統(tǒng)。3.2信息安全：指保護信息資產(chǎn)，防止未經(jīng)授權(quán)的訪問、使用、披露、修改、損毀、丟失、泄漏等危害事件。3.3信息資產(chǎn)：指全部與公司相關的信息、數(shù)據(jù)及其載體。第二章信息安全管理第四條責任和義務4.1公司擔負信息安全管理工作，確保信息安全和安全性能。4.2公司將每位員工的信息安全義務列入其職責范圍，要求員工樂觀參加信息安全保護工作。4.3各部門負責人應確保員工依照信息安全管理要求進行操作，定期進行安全教育培訓。第五條安全策略和風險評估5.1公司將訂立信息安全策略，包含保密策略、完整性策略、可用性策略等，以確保信息資產(chǎn)安全。5.2公司將定期對信息系統(tǒng)進行安全風險評估和漏洞掃描，及時修補安全漏洞。第六條員工行為管理6.1公司將訂立員工使用電子設備和網(wǎng)絡的規(guī)范，包含但不限于電子郵件使用、網(wǎng)上沖浪、軟件安裝等方面的規(guī)定。6.2員工不得泄露公司機密信息，不得利用公司信息系統(tǒng)進行違法犯罪活動。6.3員工須遵守安全性記錄和報告的規(guī)定，如發(fā)現(xiàn)安全事件需立刻上報相關部門。第七條系統(tǒng)訪問掌控7.1公司將依據(jù)員工的工作需要設定訪問權(quán)限，分別予以最高權(quán)限、普通權(quán)限和最低權(quán)限。7.2公司將對員工的訪問權(quán)限進行定期審核，及時禁止無用權(quán)限。7.3員工不得將其訪問權(quán)限泄露給未經(jīng)許可的人員，也不得冒用他人的身份訪問公司信息系統(tǒng)。第八條數(shù)據(jù)備份與恢復8.1公司將訂立數(shù)據(jù)備份策略，并定期對緊要數(shù)據(jù)進行備份。8.2公司將定期測試數(shù)據(jù)恢復本領，確保在發(fā)生數(shù)據(jù)災難時能夠及時恢復正常運營。第九條外部網(wǎng)絡訪問掌控9.1公司將依據(jù)安全評估結(jié)果設定外部網(wǎng)絡訪問掌控措施，包含但不限于防火墻、反病毒軟件等。9.2員工在外部網(wǎng)絡訪問公司信息系統(tǒng)時，必需通過授權(quán)的VPN連接。第三章信息安全事件管理第十條信息安全事件報告和處理10.1員工在發(fā)現(xiàn)或懷疑發(fā)生信息安全事件時，應立刻向信息安全負責人報告。10.2信息安全負責人應依照信息安全事件應急響應計劃，及時進行處理和報告。第十一條信息安全事件調(diào)查和溯源11.1公司將訂立信息安全事件調(diào)查和溯源的規(guī)程，包含調(diào)查權(quán)限的設定、調(diào)查記錄的保管等。11.2公司將指定特地的安全人員進行信息安全事件的調(diào)查和溯源工作。第十二條信息安全事件后果處理12.1公司將對造成信息資產(chǎn)泄露、損壞等不良后果的人員進行追責，并依據(jù)公司規(guī)定予以相應的懲罰。12.2公司將改進和完善信息安全措施，避開仿佛事件再次發(fā)生。第四章監(jiān)督與檢查第十三條監(jiān)督機構(gòu)和職責13.1公司將設立信息安全監(jiān)督機構(gòu)，負責對信息安全管理的監(jiān)督和檢查。13.2信息安全監(jiān)督機構(gòu)的職責包含但不限于審核、檢查、調(diào)查等。第十四條管理制度的評審和修訂14.1公司將定期對信息安全管理制度進行評審，及時修訂并提出改進看法。14.2修訂信息安全管理制度應經(jīng)過信息安全監(jiān)督機構(gòu)的審核和批準。第五章附則第十五條實施時間15.1本制度自發(fā)布之日起實施。第十六條附加條款16.1對于未盡事宜，由