xx公司第三方人员安全管理办法.pdfVIP

xx公司第三方人员安全管理办法

(总8页)

-本页仅作为预览文档封面，使用时请删除本页-

xx公司

第三方人员安全管理办法

文件编号XAZD-008文件版本

编制时间20xx年01月01日生效时间20xx年01月01日

编制人xxx审批人xxx

发布范围全公司密级内部

修订记录

日期修订人修订内容审批人

3

第一章总则

第一条策略目标：为了加强公司信息安全保障能力，

建立健全公司的安全管理体系，提高整体的信息安全水

平，保证公司业务正常运营，提高服务质量，在公司安全

体系框架下，本策略有效防范第三方人员（非公司人员）

进入公司带来的安全风险；加强和规范公司各部门对第三

方人员的安全管理；提供第三方人员在公司活动所要遵守

的行为准则。

第二章适用范围

第二条本制度适用于本公司，并在全公司范围内给予

执行，由基础架构部对该项工作的落实和执行进行监督，

并对本体系及职责的有效性进行持续改进。

第三章第三方人员定义及风险

4

第三条第三方人员定义

1）第三方人员包括为公司提供服务的软件开发商、产品供

应商、系统集成商、设备维护商和服务提供商等非本公司

人员。

2）第三方人员管理的范畴包括临时第三方人员和长期第三

方人员。

3）临时第三方人员指因业务洽谈、技术交流、提供短期和

不频繁的技术支持服务而临时来访的第三方人员。

4）长期第三方人员指因从事合作开发、参与项目工程、提

供技术支持或顾问服务，必须在一定时间内在公司内部办

公的第三方人员。

5）接待人是指公司与来访第三方的相关部门派出的，负责

接待和管理第三方人员的公司人员。

第四条第三方人员带来的风险

1）第三方人员访问公司的方式包括现场访问和远程网络访

问。

2）第三方人员带来的安全风险必须定期评估，防范以下安

全风险：

第三方人员物理访问带来的设备、资料盗窃；

第三方人员误操作导致各种软硬件故障；

第三方人员的资料、信息外传导致泄密；

5

第三方人员对业务系统的滥用和越权访问；

第三方人员给主机系统、软件留下后门；

第三方人员对系统的恶意攻击。

第四章第三方人员短期访问安全管理

第五条物理安全

1）第三方人员现场访问需要遵从公司物理安全的管理制

度，具体物理安全的负责部门是行政部。要求如下：

第三方人员进出公司均需登记，遵照公司物理安全管理制

度执行。

工作时间内机房必须有当班、值班人员，对第三方人员进

入机房内部一律进行登记。

重要机房实行安全保卫管理，对第三方人员进入机房需要

运维负责人的同意，同时在本部门内部进行登记。

第六条网络访问安全

1）第三方人员现场访问公司网络原则上不允许。如果必

须，需要第三方人员及接待人员遵守如下安全要求：

临时接入公司办公网络的第三方人员，需要公司接待人员

的同意，一旦发生并经核实其起因是第三方人员引起的安

全事件，相关责任由公司接待人员负责。

临时接入公司生产网络的第三方人员，需要公司运维负责

6

人的同意，同时在本部门内部进行登记。一旦发生并经核

实其起因是第三方人员引起的安全事件，相关责任由公司