信息技术安全管理与合规手册(执行版).docxVIP

信息技术安全管理与合规手册(执行版)

1.适用范围

本手册适用于XX公司（以下简称“公司”）全体人员，包括正式员工、劳务派遣人员、外包服务人员、合作伙伴人员、临时访客等所有接触或接入公司信息资产的主体；覆盖公司所有信息资产，包括但不限于服务器、终端设备、网络设备、存储介质、操作系统、应用软件、业务系统、云服务资源、IoT设备、数据资产、代码资产等全品类信息资产；适用于信息资产的规划、采购、开发、测试、上线、运维、销毁全生命周期管理环节，以及所有涉及信息安全的业务操作、外部合作、监管对接场景。

2.权责划分

2.1信息安全委员会

作为公司信息安全最高决策机构，委员会由总经理、各业务线负责人、信息安全部负责人共同组成，核心权责包括：审批公司信息安全管理制度、年度安全规划与预算，年度安全投入不低于上年度营收的0.5%；每季度至少召开1次安全专项会议，审议重大安全风险、合规进度、事件处置方案；决策安全管理重大事项，协调跨部门安全资源。

2.2信息安全部

作为安全管理执行部门，核心权责包括：制定、落地各项安全管理制度与合规要求；每月开展1次全员安全巡检，每季度开展1次全资产漏洞扫描、内部渗透测试；牵头开展合规评估、监管对接、应急处置工作；对各部门安全执行情况进行考核、问责；每年组织不少于4次全员安全培训。

2.3各部门负责人

为本部门信息安全第一责任人，核心权责包括：落实本部门安全