XX银行员工信息安全行为规范.docxVIP

XX 银行科技开发部员工信息安全行为规 范 V1.0 第一章 总则 第一条 为提高总行科 技开发部员工 （包括行内员工、在我行工作 的外部员工 ）的信息安全意识，规范员工的 行为，指导员工合理、安全地使用信息资 产，防止有意或无意的破坏信息安全行为 的发生，保护我行信息资产安全，制定本 规范。 第二条 员工应主动了解本我行信息 安全管理相关规定，积极参与我行组织的 信息安全培训，提升信息安全意识和技能， 并严格遵守我行信息安全要求。 第二章 资 产管理声明 第三条 禁止利用我行资产（包 括我行配发的计算机、手机等个人终端设 备）处理个人事务，以避免我行在信息安 全管理中触及个人隐私。 第四条 员工利用 我行的资产所产生、处理和存储的一切信 息，其所有权归我行拥有。 第五条 我行出 于对运营管理、安全管理和司法调查取证 等需要，保留在任何时候对我行任意资产 进行监控、复制、披露、使用和删除的权 利。 第三章 工作环境安全要求 第六条 进 入我行工作区域时，应规范佩戴我行认可 的身份识别证件或按照我行相关管理规定 登记并获得许可后方可进入O 第七条应遵守安全区域访问规定，进出 非授权区域时，需按照我行相关规定经相 关责任人批准。第八条员工应安全保管身 份识别证件，丢失后及时向发证部门报告， 禁止将身份识别证件借与他人使用；调离 我行时，应主动交还我行配发的身份识别 证件。第九条 我行内调动或更换工作区域 时应主动申请门禁权限变更。 第十条 若发 现任何可疑人员进入我行或进行非授权活 动，要立即制止，并报告相关部门。 第十 一条 启用门禁的区域进出时要防止人员尾 随，进出后应及时关闭。 第四章用户 账号安全第十二条任何账号仅限申请账 号时批准的所有者在授权范围内使用，严 禁使用账号访问未授权的资源，账号所有 者承担使用该账号所产生的一切责任和后 果。第十三条账号正式启用前，必须为账 号添加密码或修改缺省密码，密码应具有 足够的安全强度；对于重要核心系统的密 码，应加强密码复杂度和密码长度。 第十 四条 具有足够强度密码设置要求如下： （一 ） 口令最小长度： 8 位 （二 ） 口令字符组成复 杂度：口令由数字、大小写字母及特殊字 符， 且至少包含其中两种字符（动态口令除 外）； （ 三） 口令历史：修改后的口令至少与 前 4 次口令不同； （四 ） 口令最大连续尝试 次数： 10 次；口令错误次数超过最大连续 尝试次数后，应具有限制用户登录的机制。 （五 ） 口令最长有效期限： 180 天，可根据 系统重要性和用户权限采取不同的有效期； 口令使用期限即将达到口令最长有效期限 时，应具有提示用户修改口令的机制。 （六 ） 主机系统、网络设备、安全设备等超级用 户口令最长有效期应为 90 天，其它用户口 令最长有效期应符合本章口令基本要求。 第十五条 应安全保管或者随身携带实物密 钥，如 USBkey 等，禁止随意放置在桌面上。 如发现实物密钥遗失或怀疑密码被窃取， 应立即通知信息技术部门进行处理。 第十 六条 应安全保管密码，如没有可靠的物理 控制措施，不要将密码写在纸上，或记录 于电子文件中；禁止将密码在终端软件 （如 IE 浏览器）上自动保存；禁止公开本 人或他人的密码信息，不得猜测窃取他人 账号密码。 第十七条 工作职责发生变动时， 应主动申请帐号或者实物密钥权限的变更； 当不再需要某系统的访问权限时，应主动 申请注销账号或者权限；对不能关闭的账 号或者实物密钥，应及时移交给本部门指 定责任人；在离职时，应主动移交全部账 号和实物密钥。 第五章 信息设备使用 第十八条 终端计算 机在配发时按照我行规范统一进行命名， 使用人不得擅自修改计算机名。 第十九条 所有终端计算机应安装我行要求的桌面管 理软件、防病毒软件等，员工不得自行删 除或修改。 第二十条 终端计算机应设定统 一的屏幕保护程序，屏幕保护程序等待时 间设在 10 分钟以内。 第二十一条 自己使 用的设备和系统应设置密码保护，如开机 密码、登录密码、屏幕保护密码。 第二十 二条 离开座位时，应锁定或关闭计算机； 应安全保管终端信息设备，周末或者节假 日期间禁止将便携信息设备放在桌面上。 第二十三条原则上不要将我行配发的设备 用于工作以外用途或接入办公以外的环境， 如因工作需要需与外部环境对接，再次接 入办公环境时应先进行病毒的查杀。 第二 十四条未经授权不得使用移动介质，使用 移动介质前，应进行病毒检测，确认安全 后方可使用。 第二十五条 使用公同终端后, 应及时退出登录并关机或锁屏。 第二十六 条未经授权不得将终端设备、移动介质、 实体信息和软件等带离办公区。 第二十七条 未经授权任何人不得私自调 换信息设备，禁止私自拆卸、维修或者更 换计算机硬件。第二十八条设备及存储