信息安全手册

(完整版)信息安全手册

XXXXXXXX有限公司信息安全管理手册

目录

1目的(5)

2范围(5)

3总体安全目标(5)

4信息安全(5)

5信息安全组织(5)

5.1信息安全组织(5)

5.2信息安全职责(6)

5.3信息安全操作流程(7)

6信息资产分类与控制(8)

6.1信息资产所有人责任(8)

6.1.1信息资产分类(8)

6.1.2信息资产密级(9)

6.2信息资产的标识和处理(9)

7人员的安全管理(10)

7.1聘用条款和保密协议(10)

7.1.1聘用条款中员工的信息安全责任Q0)

7.1.2商业秘密(11)

7.2人员背景审查(12)

7.2.1审查流程(13)

7.2.2员工背景调查表(13)

7.3员工培训(14)

7.3.1培训周期Q4)

7.3.2培训效果检查(14)

7.4人员离职(15)

7.4.1离职人员信息交接流程Q5)

7.5违规处理(15)

7.5.1信息安全违规级别Q5)

7.5.2信息安全违规处理流程(16)

7.5.3违规事件处理流程图(17)

8物理安全策略(17)

8.1场地安全(17)

8.1.1FBI受控区域的划分(18)

8.1.1.1受控区域级别划分(18)

8.1.1.2重要区域及受控区域管理责任划分(18)

8.1.1.3物理隔离(18)

8.1.2出入控制(19)

8.1.3名词解释(19)

8.1.4人员管理(19)

8.1.4.1人员进出管理流程(19)

8.1.4.1.1公司员工(19)

8.1.4.1.2来访人员(20)

8.1.5卡证管理规定(23)

文件密级：内部公开

8.1.5.1卡证分类(23)

8.1.5.2卡证申请(23)

8.1.5.3卡证权限管理(24)

8.2设备安全(24)

8.2.1设备安全规定(24)

822设备进出管理流程(26)

8.2.2.1设备进场(26)

8.2.2.2设备出场(27)

8.2.3BBB办公设备进出管理流程(28)

8.2.3.1设备进场(28)

8.2.3.2设备出场(29)

8.2.4特殊存储设备介质管理规定(30)

8.2.5FBI场地设备加封规定(31)

8.2.6FBI场地设备报修处理流程(31)

9IT安全管理(31)

9.1网络安全管理规定(31)

9.2系统安全管理规定(32)

9.3病毒处理管理流程(32)

9.4权限管理(33)

9.4.1权限管理规定(33)

9.4.2配置管理规定(33)

9.4.3员工权限矩阵图(35)

9.5数据传输规定(36)

9.6业务连续性(36)

9.7FBI机房、实验室管理(37)

9.7.1门禁系统管理规定(37)

9.7.2服务器管理规定(37)

9.7.3网络管理规定(38)

9.7.4监控管理规定(38)

9.7.5其它管理规定(38)

10信息安全事件和风险处理(39)

10.1信息安全事件调查流程(39)

10.1.1信息安全事件的分类(39)

10.1.2信息安全事件的分级(39)

10.1.3安全事件调查流程(40)

10.1.3.1一级安全事件处理流程(40)

10.1.3.2二级安全事件处理流程(41)

10.1.3.3三级安全事件处理流程(42)

10.1.4信息安全事件的统计分析和审计(42)

11检查、监控和审计(43)

11.1检查规定(43)

11.2监控(43)

信息安全是指信息网络的硬件、软件及其系统中的数据受到保护，

不受偶然的或者恶意的原因

而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务

不被中断。

5信息安全组织

5.1信息安全组织

为了响应公司外包业务的离岸政策、适应外包业务发展方向、使

业务能够顺利回迁，建立符合公司及客户要求的信息安全管理体系，

保证业务离岸后的顺利开展，本着尊重知识产权、维护公司、客户的

商业利益、为客户的业务开展提供最安全的保障服务。经公司研

究决定成立信息安全管理组，各地域或

场地可参照成立信息安全小组。

PMO经理信息安全主任

信息安全专员

HR

关键岗位审查员

IT专员

IT安全管理员

行政助理

机要员

行政部

安全岗

行政部

卡政管理员

研发部门

部门执行主任

服务器管理员系统安全管理员

网络管理员

网络安全管理员

桌面支持工程师

PC安全管理员

PDU

项目组安全员

5.2信息安全职责

信息安全主任：根据公司信息安全要求及业务发展需求，对信息

安全相关事务进行支持、决策，确

保外包项目的信息安全，对所承接的BBB外包服务业务的信息安

全负责。

信息安全专员：建立信息安全组织，作为信息安全管理人员负责

建立和维护ISMS（InformationSecurityManagementSystem信

息安全管理体系）负责组织信息安全管理规定、标准和流程的制定、

推行、检查和安全事件调查工作。

机要员：主要负责执行信息安全制度中规定的及信息安全专员的

指令，一个地域只有一个机要

员，通常重要区域的钥匙、密码、门禁卡由其负责保管，所有物

品出入FBI场地必须由机要员进行

确认检查，并做好相关的记录。

安全岗：执行信息安全制度中规定的及信息安全专员的指令，根

据信息安全制度的相关规定，执

行检查、登记出入FBI场地人员及携带的物品，负责维护责任区

域的安全。当有人员及人员携带物品强

行出入FBI场地的时候，安全岗人员必须立即制止。

IT专员：主要负责执行信息安全制度中规定的及信息安全专员的

指令，协助信息安全机要员做好

信息安全方面的技术工作，FBI场地的机房网络、内外邮箱的设置,

设备出场的数据处理，进场设备的存

储、端口的处理，信息安全技术工作方面的改进、优化。

卡证专员：主要执行规范公司员工及外来人员的出入卡证发放和

门禁系统授权管理工作。根据信息

安全制度的相关规定，结合卡证管理流程及权限，对卡证管理实

行员工工卡、临时工卡、来宾卡的识别、

确认、登记、门禁授权、编码、归类、注销等管理流程工作的实

现。

部门执行主任：主要负责本部门下属的各项目组在FBI场地信息

安全管理工作，并任命项目组中的具体信息安全执行负责人，配合信

息安全管理工作组的工作做好日常的信息安全管理及定期信息安全的

检查、监控和审计工作。对部门下属成员的信息安全违规、举报

行为执行信息安全管理工作组规定的奖

励和处罚。

项目组信息安全员：主要负责本项目组内人员及设备的信息安全

管理工作，配合信息安全管理工作

组的工作做好日常的信息安全管理及定期信息安全的检查、监控

和审计工作。对部门下属成员的信息安

全违规、举报行为执行信息安全管理工作组规定的奖励和处罚。

5.3信息安全操作流程

分为：规划、执行、检查、改进四个阶段，每个阶段都有明确的

参与和执行责任人。

分别说明如下：

规划：根据公司信息安全原则和业务发展的需求，信息安全管理

工作组全体成员讨论并制定详细的管

理流程。一般情况下由需求部门向信息安全专员提出需求，并由

信息安全专员召集信息安全管理工作组的

机要员、IT专员及需求申请部门人员进行需求的讨论并给出解决

方案，方案确定后由信息安全管理工作

组主任进行审核、签发。

执行：所有签发的管理方案都必须严格执行起来，一般情况下由

需求部门、个人向信息安全专员提出

申请，按照申请流程中规定进行操作，涉及到由申请者直接上级

和部门领导审批同意，之后交由信息

安全专员进行审核。审核后由机要员、IT专员、卡证专员进行具

体的操作和处理，安全岗执行人员要看到完整的流程审批以后才可以

进行放行和记录。

检查：信息安全管理工作组全体成员定期会对FBI场地内的物理

隔离、门禁权限、办公设备、机房设备、FBI实验室设备、监控记录及

历史存档记录会同业务部门的信息安全执行主任进行检查和审计。并

将结果以报告的形式汇报给信息安全管理工作组主任。对发现信

息安全方面的违规问题由信息安全专员

以书面的形式向分公司进行发文进行通报。

改进：原有管理方案不能继续满足业务发展需求时，由业务部门

向信息安全专员提出申请，信息安

全专员召集信息安全管理工作组的全体成员及需求部门进行管理

方案的改进评审会议。在检查中发现有

信息安全漏洞的，由信息安全专员召集信息安全管理工作组的全

体成员及需求部门进行管理方案的改进

评审。最终由信息安全主任进行审核、签发。

6信息资产分类与控制

为了规范文档的保密制度，明确信息资产所有人责任、信息密级

的划分，信息资产的识别。公司所

有文档，无论是电子件或纸件，必须标有文件密级。文档密级应

出现在文档页眉的醒目位置，页脚应出

现”未经许可，不得扩散"的字样。信息是一种资产，像其它重要

的业务资产一样，对公司具有价值，因此

需要妥善保护。

6.1信息资产管理

6.1.1信息资产分类

数据与文档：数据库和数据文件、系统文件、用户手册、培训材

料、运行与支持程序、业务持续性

计划、应急安排。

书面文件：合同、指南、企业文件、包含重要业务结果的文件。

软件资产：应用软件、系统软件、开发工具和实用程序。

物理资产：计算机、网络设备、磁介质（磁盘与磁带）

6.1.2信息资产密级

秘密：是指一般的公司秘密，一旦泄露会使公司和客户的安全和

利益受到一定的危害和损失。

内部公开：公司各部门、项目组内部员工不受限制查阅的信息，

未经授权不得随意外传。

6.2信息资产的标识和处理

6.2.1落实资产责任：为公司的资产提供适当的保护，为所有信息

财产确定所有人，并且为维护适当

的管理措施而分配责任。可以委派执行这些管理计划的责任。被

提名的资产所有者应当承担保护资产的

责任。

6.2.2控制措施一资产的清单：列出并维持一份与每个信息系统有

关的所有重要资产的清单。在信息

安全体系范围内为资产编制清单是一项重要工作，每项资产都应

该清晰定义，合理估价，在组织中明确

资产所有权关系，进行安全分类，并以文件方式详细记录在案。

6.2.3具体措施包括：公司可根据'I卜务运作流程和信息系统基础架

构识别出信息资产，按照信息资产

所属系统或所在部门列出资产清单，将每项资产的名称、所处位

置、价值、资产负责人等相关信息记录

在资产清单上；根据资产的相对价值大小来确定关键信息资产，

并对其进行风险评估以确定适当的控制

措施；对每一项信息资产，组织的管理者应指定专人负责其使用

和保护，防止资产被盗、丢失与滥用；

定期对信息资产进行清查盘点，确保资产账物相符和完好无损。

6.2.4信息的分类：确保信息资产得到适当程度的保护应当将信息

分类，指出其安全保护的具体要求、优先级和保护程度。不同信息有

不同的敏感性和重要性。有的信息资产可能需要额外保护或者特殊处

理。

应当采用信息分类系统来定义适当的安全保护等级范围，并传达

特殊处理措施的需要。

6.2.5控制措施T言息资产分类原则：信息的分类及相关的保护控

制，应适合于公司运营对于信息分

享或限制的需要，以及这些需要对企业营运所带来的影响。信息

的分类和相关保护措施应当综合考虑到

信息共享和信息限制的业务需要，还要考虑对业务的影响，例如

对信息未经授权的访问或者对信息的破

坏。一般说来，信息分类是一种处理和保护该信息的简捷方法。

信息分类时要注意以下几点：信息的分

类等级要合理、信息的保密期限、谁对信息的分类负责。

6.2.6控制措施一信息的标识与处理：应当制定信息标识及处理的

程序，以符合公司所采用的分类法

贝L为信息标识和处理定义一个符合组织分类标准的处理程序是

非常重要的。这些程序要涵盖实物形式

和电子形式的信息。对于每种分类，应当包含以下信息处理活动

的程序：复制、存储、通过邮局、传真

和电子邮件的信息发送、通过口头语言的信息传递，包括通过移

动电话、语音邮件和录音电话传送的信

文件密级：内部公开

息、销毁。对于那些含有被划定为敏感或者重要信息的应用系统,

其输出应当带有适当的分类标识。该

标识应当反映根据组织规则而建立的分类。需要考虑的项目包括

打印的报告、屏幕显示、存储介质（磁

带、磁盘、CD、卡式盒带）、电子消息和文档传输。

7人员的安全管理

7.1聘用条款和保密协议（公司员工保密协摘录）

7.1.1聘用条款中员工的信息安全责任

7.1.1.1知识产权：

7.1.1.1.1知识产权是指根据法律法规有关规定或根据甲方与第三

方签署的协议由甲方所有、使用、

支配、提供、拥有或者将要拥有的一切智力劳动成果，包括但不

限于专利权、商标

权、著作权、软件、企业名称、企业标记（Logo）,域名、网站、

数据库、经营或开发成

果、商誉、职务技术成果等。

7.1.1.1.2乙方承诺在与甲方的劳动合同关系存续期间及期满后不

对甲方的知识产权进行贬低、歪

曲、破坏或者任何其它损害。在劳动合同有效期内乙方应努力维

护、提高甲方知识产权

的价值。

7.1.1.1.3乙方承诺，未经甲方书面同意，不将第一条所提及的技

术成果、作品、软件、专利等用

作商业目的或者许可他人用于商业目的。

7.1.1.1.4乙方在与甲方的劳动合同存续期间，及在劳动合同关系

终止后二年内，所有主要是利用

在XXXXX的工作时间或利用XXXXX或派驻合作方的物质技术条

件所完成的，一切与甲方业

务、产品、程序与服务有关的技术成果，包括但不限于发现、发

明、思路、概念、过程、

产品、方法和改进或其一部分，不论是否可以或已经受到知识产

权法律保护，不论以何

种形式存在，均为职务技术成果，其所产生的所有权利包括知识

产权归甲方、甲方合作

方单独或共同所有。未经甲方书面许可不得以乙方和/或其它任何J

第三方的名义申请专利或

者版权登记。

7.1.1.1.5乙方在结束与甲方的劳动合同关系一年内，若有继续完

成与在甲方工作期间所担任的课

未经许可，不得扩散

文件密级：内部公开

7.1.1.1.6对于甲方实施、转让、许可他人使用职务技术成果或者

将职务技术成果投入其它商业用

途而引起的收益或者损失，乙方不提出任何权利主张也不承担任

何责任。但由于乙方职

务技术成果固有的缺陷或者乙方在实施该职务技术成果的失误造

成的损害，乙方应承担

责任。

7.1.1.1.7乙方承认所有在与甲方劳动关系存续期间产生或者接触

到的甲方提供的或通过甲方获

取的有关资料及其它信息载体都属于甲方所有，未经甲方书面许

可，不得向任何第三方

提及、出示及传播。

7.1.1.1.8乙方承诺不向他人谈论甲方尚未对外公布的业务和技术

发展动态。乙方承诺不设法获取

非本人工作所需的甲方保密的技术资料、技术文件和客户档案材

料以及非本人工作所需

的甲方内部及对外的商业文件。乙方进一步承诺不利用甲方的客

户及渠道为自己或他人

谋求利益。

7.1.2商业秘密

7.1.2.1符合法律法规有关规定或根据甲方与第三方签署的协议由

甲方所有、使用、支配、提供

的具有商业价值的，非公知的并由甲方采取了保密措施的所有技

术信息和/或经营信息。

7.1.2.2甲方在开发、销售各类计算机软件产品以及为各类软件产

品提供技术支持、信息咨询服

务及培训的过程中，或是接受指派为本协议所面向的派驻合作方

提供外包服务期间,本

方和合作方所独有的机密、专有技术及商业秘密性质的情报均简

称为〃商业秘密〃。

7.1.2.3甲方的商业秘密包括但不限于档案资料、技术资料、市场

销售资料、财务信息资料以及：

7.1.2.4甲方及派驻合作方开发或销售的所有软件，以及与此类软

件有关的文档：包括程序的源

编码、目标码部分、视听部分、人工或机器可读形式程序部分，

还包括图表、流程图、

样图、草图、技术说明、设计图数据教材、有关病毒的报告及客

户资料。

7.1.2.5甲方的业务计划、产品开发计划、财务情况、内部业务规

程和客户名单等信息；以及正

在开发或构思之中的商业思想、业务和技术发展动态、系统安全

机制与实现等方面的信

息、数据以及计算机数据库、资料、源程序、目标程序、计算机

软件等；

7.1.2.6甲方现有的以及正在开发或者构思之中的服务项目的信息

和资料；

7.1.2.7甲方现有的或者正在开发之中的质量管理方法、定价方法、

销售方法等方法；

7.1.2.8甲方应对第三方负有保密责任的所有第三方的机密信息；

7.1.2.9甲方的股东资料、投资背景等以及其它被甲方标明或声明

为秘密的信息。

文件密级：内部公开

7.1.2.10乙方承诺在与甲方的劳动合同关系存续期间以及解除后

二年内，保守甲方商业秘密，未

经甲方书面许可，不向任何第三方以任何明示或者暗示的方式透

露，包括与商业秘密无

关的其它甲方雇员在内。乙方承诺不设法获取非其工作所必需的

任何形式的甲方的商业

秘密，并不得利用与甲方工作关系为自身谋求利益。

7.1.2.11除用于甲方安排或者委托的工作之外，乙方不得将商业

秘密信息用于其它任何目的。在

使用完毕之后,乙方应立即向甲方交还或者按照甲方的要求销毁

商业秘密的载体，包括

但不限于文件、磁盘、光盘、计算机内存等。

7.1.2.12乙方只能在因工作需要必须使用的情况下提供给其它可

靠的员工，并应事先与其签署与

本协议充分相似的保密协议，提供程度仅限于可执行一定的商业

目的。并保证这些员工

应遵守本协议中约定的义务，不在无甲方及派驻合作方许可的前

提下，向第三方（包括

顾问）透漏这些秘密信息，并应约束其接触本保密信息的员工遵

守保密义务。

7.1.2.13如为合作的目的确实需要向第三方披露甲方及派驻合作

方的保密信息，需事先得到甲方

及派驻合作方的书面许可，并与该第三方签订相应的保密协议。

7.1.2.14如果乙方根据法律程序或行政要求必须披露〃商业秘

密“，应事先通知甲方及派驻合作

方，并协助公司采取必要的保护措施，防止或限制保密信息的进

一步扩散。

7.1.2.15乙方应按照甲方要求对商业秘密或其载体进行妥善地保

管、存储、加密、回收、销毁等。

未经甲方许可或非因工作需要，乙方不得将商业秘密信息或其载

体带出甲方住所。

7.1.2.16在与日方的劳动合同关系中止、终止或解除时，乙方应

将所有包含、代表、显示、记录

或者组成商业秘密的原件及拷贝，包括但不限于装置、记录、数

据、笔记、报告、建议

书、名单、信件、规格、图纸、设备、材料、磁盘、光盘等，归

还甲方。

7.1.2.17员工在签署劳动合同以后必须签署保密协议。

7.1217员工职位晋升为PL、PM、SE等关键岗位，业务技能达

到公司及BBB公司认可的三级及

以上级别的，都必须与BBB公司签署保密协议，各方都应切实遵

守保密协议中约定的保

密义务。

7.2人员背景审查

目的：保障三级及以上工作岗位人员所掌握的信息安全。

7.2.1审查流程

7.2.1.1员工再进入三级及以上工作岗位时，由人力资源部和用人

部门共同开展对人员背景的调

查。

7.2.1.2具体调查内容：身份审查、学历审查、工作履历审查、信

用度审查、职业道德审查、职

业背景审查、忠诚度审查。

7.2.1.3审查标准：审查的资料完整性、真实性，审核身份证原件、

毕业证原件、各种技能职称

原件的真实性,是否相互吻合。

7.2.2员工背景调查表

人员背景调查表

基本信息

被调查者姓名性别

身份证号码户口所在地

出生日期年龄

身份验证

被调查者的身份内容真实性说明

身份证号码是（）否（）

年龄是（）否（）

户口所在地是（）否（）

验证来源：

学历验证

被调查者提供信息真实性说明

学校名称是（）否（）

学习时间是（）否（）

所学专业是（）否（）

证明人/机构：职位：

专业资格验证

被调查者的身份内容真实性说明

认证机构是（）否（）

获得认证时间是（）否（）

认证内容是（）否（）

证明人/机构：

工作履历验证

被调查者的身份内容真实性说明

雇主公司名称是（）否（）

雇主公司注册地是（）否（）

雇佣时间是（）否（）

直接上司职务是（）否（）

被调查者是否与贵公司

是（）否（）

有劳动争议

被调查者是否存在信息

是（）否（）

安全违纪违规行为

证明人：职务：调查时间：

7.3员工培训

目的：宣传、普及信息安全制度，增强员工的信息安全意识。

培训对象：新员工、在职员工

培训方式：授课+考核

7.3.1培训周期

7.3.1.1新员工：所有部门新员工在入职当天由人力资源培训部组

织信息安全制度培训，培训签到表

归档。培训结束后在一周之内组织信息安全考试，考试及格线为

23分（25分制）,

并将考试签到表、考试成绩进行归档。

73.1.2在职员工：所有部门在职员工每半年组织一次信息安全培

训，培训签到表归档。培训结束后

在一周之内组织信息安全考试，考试及格线为23分（25分制），

并将考试签到表、

考试成绩进行归档。

7.3.2培训效果检查

7.3.2.1定期以业务部门、项目组为单位进行信息安全知识检查，

对检查结果低于90%的部门、

团队进行再次的全员覆盖培训并组织考试，对培训签到表、考试

签到表、考试成绩归档

并通知部门主管。

73.2.2不定期对FBI场地内的研发人员进行信息安全知识的抽检,

对J由查成绩低于23分（25

分制）的员工组织培训并考试，对培训签到表、考试签到表、考

试成绩归档并通知业务

部门直接领导和部门主管。

7.4人员离职

目的：保证离职人员不带走公司任何信息资产。

7.4.1离职人员信息交接流程

7.4.1.1员工离职前,公司与离职员工签署离职保密承诺。

7.4.1.2员工离职前公司将收回所有的工作资料的纸件、电子件及

员工拥有的相关信息系统和资源

的访问使用权限。

7.4.1.3员工离职前收回员工门禁磁卡及工作证。

7.4.1.4员工在其离职两年内仍要按照进公司时签订的合同，承担

下列保密责任，否则将承担违约

的民事或刑事责任。

7.4.1.5不带走从公司获取的任何资料，包括但不限于记载的纸件

或电子件上的文档、文件、图表、

目录，存储于磁盘、光盘上的软件、程序等。

7.4.1.6离职后两年内不得到与XXX公司或与客户公司有竞争关系

的公司从事与在XXX公司工作

期间工作性质相同或者相似的工作。

7.4.1.7未经XXX公司书面同意，不向任何单位和个人透露或使用

在公司就职期间获得的商业秘

密，包括技术秘密、商务秘密、财务秘密、管理秘密以及其它经

营秘密。

7.5违规处理

目的：建立正式的违规处理流程，对违反信息安全管理规定的员

工进行相应处理。

7.5.1信息安全违规级别

对于触犯国家法律的，公司将移交国家司法机关依法处理。此外，

则根据违规行为的后果、性质以

及违规人的主观意愿，将违规行为分为如下四个等级：

一级：有意盗窃、泄露公司保密信息，或有意违反信息安全管理

规定，性质严重造成重大损失。

二级：有意违反信息安全管理规定，性质严重或造成损失。

三级：无意违反信息安全管理规定，造成公司损失；或者有意违

反信息安全管理规定，但性质不严重且没有造成严重损失。

四级：违反信息安全管理规定，性质较轻，没有造成公司损失。

7.5.2信息安全违规处理流程

任务名称

事故定级

组织信息安全工组会议

执行解决措施

总结报告与预防措施

信息安全违规处理流程V1.0

人物、程序、重点及标准时限相关资料

程序

业务部门发生信息安全事故以后，项目组信息安全员

即时

应在第一时间向信息安全专员进行汇报

信息安全工作组核实情况后，对事故进行定级1个工作日

1、参考国家相关法律信息安全主任对事故级别审核1个工作日

2、公司人事制度BBB信