2026年企业信息安全保护制度.docxVIP

2026年企业信息安全保护制度

第一条本制度适用于境内注册、主营业务覆盖生产制造、互联网服务、金融科技、商贸流通、公共服务等领域的规模以上企业及下属全资、控股子公司，员工规模100人以下的小微企业可参照本制度核心条款简化执行。本制度所指信息安全包含网络基础设施安全、数据资产安全、业务系统安全、终端使用安全、供应链安全五大核心范畴，2026年新增生成式AI使用安全、信创环境适配安全两类专项管控范畴，覆盖企业生产经营全流程的信息采集、传输、存储、处理、销毁全生命周期，适配远程办公常态化、云服务普及、工业互联网融合、生成式AI规模化应用等2026年企业运营典型场景。

第二条企业信息安全实行主体责任制，企业董事会为信息安全第一责任主体，董事长为第一责任人，对企业信息安全工作负总责。员工规模超过500人、年数据处理量超过10PB、纳入关键信息基础设施运营者名录的企业，必须设立专职首席信息安全官（CISO）岗位，CISO直接向CEO汇报，不得兼任其他非安全类核心管理职务，安全团队配置不低于企业总人数的1.5%，其中数据安全、AI安全、工业互联网安全专项岗位占比不低于安全团队总人数的40%。各业务部门负责人为本部门信息安全第一责任人，每个业务部门需配置1-2名兼职安全联络人，每月25日前向安全团队报送本部门安全风险台账，台账内容包括本月新上线系统清单、数据处理场景变更、员工违规操作记录等。法