2026年企业信息安全防护制度.docxVIP

2026年企业信息安全防护制度

为规范企业信息安全管理工作，防范内外部网络攻击、数据泄露、AI内容风险、供应链攻击等各类安全威胁，保障企业核心资产安全与业务连续运营，依据《中华人民共和国网络安全法（2025修订）》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《生成式人工智能服务管理条例》《网络安全等级保护条例（2024版）》《数据出境安全评估办法（2025修订）》等法律法规及监管要求，结合企业业务发展实际，制定本制度。

本制度适用于企业总部、各分公司、子公司、控股企业及所有接入企业信息系统的员工、外包人员、供应商、合作伙伴等相关主体，覆盖企业所有IT资产、云资产、物联网终端、AI算法与大模型资产、数据资产、业务系统的全生命周期安全管理。

企业信息安全防护遵循“主动防御、全域覆盖、最小权限、全程留痕、合规兜底”的基本原则，防护目标为保障信息资产的保密性、完整性、可用性、可控性与可溯源性，年度重大安全事件发生率为0，一般安全事件发生率不超过2起，监管合规检查通过率100%。

第一章组织架构与权责

第一条企业建立三级信息安全管理架构，明确各层级权责边界，确保安全管理责任落实到人。

第二条第一层级为董事会下设的网络与信息安全委员会，由至少1名董事担任委员会主任，成员覆盖信息技术、业务、法务、合规、人力资源、财务等核心部门负责人。委员会每季度至少召开1次信息安全专项会议