计算机信息安全管理制度.docxVIP

计算机信息安全管理制度

为规范公司计算机信息系统的安全管理，保障信息资产的完整性、保密性和可用性，防范因信息安全事件导致的业务中断、数据泄露或系统损坏，结合公司实际业务场景与技术环境，制定本制度。本制度适用于公司所有使用计算机设备、信息系统及网络资源的部门、员工、外包人员及第三方合作单位（以下统称信息系统使用主体），涵盖办公终端、服务器、网络设备、移动智能设备、存储介质等信息载体，以及业务系统、数据库、文档资料等数字化资产的全生命周期管理。

一、组织架构与职责划分

公司设立信息安全管理委员会（以下简称安委会），作为信息安全决策机构，由公司高层领导、各业务部门负责人及信息安全部负责人组成，主要职责包括：审批信息安全战略规划、重大安全策略及制度修订；审议年度信息安全预算与资源分配方案；决策重大信息安全事件的处置方案；监督信息安全管理体系的运行成效。

信息安全部为安委会常设执行机构，负责信息安全日常管理与技术实施，具体职责包括：制定并维护信息安全管理制度、技术标准与操作规范；组织信息资产识别与风险评估，制定风险控制措施；实施网络安全监测、入侵检测及日志分析，及时发现并处置安全事件；统筹信息系统安全配置基线检查、漏洞修复及补丁管理；组织信息安全培训与考核，推动全员安全意识提升；编制信息安全年度报告，向安委会汇报工作进展。

各业务部门设立兼职信息安全员（由部门负责人指定），负责本部门信息安全管理的具体落实，包括：监督本部门员工遵守信息安全制度；协助信息安全部开展资产核查、风险排查及事件调查；反馈本部门信息安全需求与问题；组织部门内部安全宣贯与案例学习。

二、信息资产分类与分级保护

信息资产实行分类管理，根据资产属性分为硬件资产（计算机、服务器、网络设备等）、软件资产（操作系统、应用系统、数据库等）、数据资产（业务数据、客户信息、技术文档等）及网络资产（IP地址、域名、链路等）。数据资产作为核心保护对象，进一步按敏感程度划分为三级：

一级数据（核心敏感数据）：包含客户个人金融信息（如银行卡号、支付密码）、公司核心技术专利、未公开财务数据、战略决策文件等，泄露或篡改将直接导致重大经济损失、法律责任或商誉损害。一级数据的访问需经部门负责人审批，存储时采用AES-256加密（密钥由信息安全部统一管理），传输需通过SSL/TLS1.3及以上协议加密，禁止通过邮件、即时通讯工具传输。

二级数据（重要敏感数据）：包含客户基础信息（姓名、联系方式）、非核心业务数据（月度销售统计）、内部管理文件（员工绩效考核结果）等，泄露或篡改可能导致较大经济损失或内部管理混乱。二级数据的访问需经部门主管审批，存储时采用AES-128加密或文件级访问控制，传输需通过VPN或专用加密通道，禁止通过公共云盘共享。

三级数据（一般数据）：包含公开宣传资料、行业研究报告（非定制化）、通用操作手册等，泄露或篡改对公司影响较小。三级数据的访问实行部门内开放，存储无需加密但需设置访问权限，传输可通过公司内部邮件系统，但禁止通过互联网公开平台发布。

三、访问控制管理

所有信息系统使用主体需通过身份认证方可访问信息资源。身份认证采用用户名+密码+动态令牌的多因素认证（MFA）机制，其中密码需满足长度≥12位、包含大小写字母+数字+特殊符号的组合要求，每90天强制修改；动态令牌采用硬件令牌（如USBKey）或手机端动态验证码（TOTP算法），令牌丢失需立即向信息安全部报备并注销。

权限分配遵循最小权限原则，根据岗位职责设定最小必要访问权限，禁止授予超范围权限。新员工入职时，由用人部门提交《权限申请单》，经部门负责人审批后，信息安全部在2个工作日内完成权限开通；员工岗位调整或离职时，用人部门需在1个工作日内提交《权限变更/注销单》，信息安全部在2个工作日内完成权限调整或注销。权限每季度由信息安全部联合各部门进行一次审计，重点核查冗余权限、离职员工未注销权限等问题，审计结果形成报告并反馈至安委会。

网络访问实行分域控制，公司网络划分为办公网、生产网、开发测试网三个逻辑区域，区域间通过防火墙进行隔离。办公网仅允许访问内部办公系统及经审批的外部合规网站；生产网仅限运维人员及授权业务人员访问，访问需通过堡垒机进行操作审计；开发测试网与生产网物理隔离，测试数据需使用脱敏后的模拟数据，禁止使用真实业务数据。外部第三方合作单位访问公司内部系统需通过VPN接入，VPN账号实行一事一申请，使用完毕后立即注销。

四、数据安全全生命周期管理

数据采集环节，业务系统需通过统一接口进行数据采集，禁止使用非正式渠道或手动录入方式获取敏感数据。采集个人信息时需明示采集目的、方式及范围，取得用户授权（授权文件留存至少3年）；采集业务数据时需标注数据来源、采集时间及采集人，确保可追溯。

数据存储环节，所有服务器及