信息安全组织管理制度

69.

69.

2.引用文件）1下列文件中的条款通过本规定的引用而成为本规定的条款凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励各部门研究是否可使用这些文件的最新版本凡是不注日期的引用文件，其最新版本适用于本标准）2GB/T22080-2016/ISO/IEC27001:2013信息技术-安全技术-信息安全管理体系要求）3GB/T22081-2016/ISO/IEC27002:2013信息技术-安全技术-信息安全管理实施细则3职责和权限•）1信息安全工作小组内部沟通职责维持内部的信息沟通；向公司内部人员传达与信息安全有关的法规资料及•政策；接收内部人员对信息安全管理体系的意见并采取相应行动）2信息安全工作小组成员收集员工对信息安全方面的意见，并向信息安全工作小组组长反映；协助宣传及教育员工，使员工熟悉有关信息安全方面的知识）3部门负责人确保部门内容信息能及时有效沟通对于公司内、外部所反馈的信息安全方面的意见、建议进行审查，不断的改进、完善信息安全管理体系4・内部组织及沟通）1信息安全工作小组组织各个部门通过公告、内部网络、宣传物品、活动、通告、会议及培训把有关信息安全方面的政策及其它事项传达予各员I;）2员工对公司信息安全管理体系有任何意见可向其部门主管或其所在部门信息安全员建议、投诉；部门主管或信息安全员将员工的意见分类后向信息安全工作小组反映并填写《信息安全管理体系意见表》，信息安全工作小组联同各部门按此表格进行跟进并进行有关调查；）3信息安全工作小组负责收集和汇总《监管机构及特定利益团体联系表》的信息）4信息安全管理体系的管理评审结果应由信息安全工作小组向各部门负责人员讲解及监察其执行情况；）5信息安全工作小组联同各部门建立及维护信息安全管理体系的文件控制制度；）6每月召开安全例会，传达公司安全精神和公司内部信息安全相关工作；）7员工有关于信息安全管理体系方面的建议和问题可以通过email直接发邮件给

5.与监管机构联系为及时了解政府相关监管机构新出台的管理政策及法规，并且依照相关管理政策，公司应该遵守的通报规定，公司应与有关监管机构或相关政府机构定期进行联系沟通，及时掌握监管机构或政府部门发布的相关信息，按照其相关规定调整公司的经营方针、政策对可能引发的公司信息安全事件有所预期，在发生相关信息安全事件时可以及时取得相关机构的协助公司对客户、员工、供应商等利益相关方，需要定义与监管机构沟通的方式、周期及接口部门

6.与特定利益集团联系为及时了解行业相关非营利机构新公布的信息，公司应保持与特定相关方、其他安全专家组和专业协会的适当联系，增进最佳实践的知识，掌握最新相关安全信息；获取以前的有关攻击和脆弱性的预警、公告和补丁；获得信息安全专家的建议；共享和交换关于新的技术、产品、威胁或脆弱性的信息；当处置信息安全事件时，提供适当的联络点

7.项目管理中的信息安全作为项目的一部份，信息安全需整合到组织的项目管理方法中，以确保识别并强调了信息安全风险所有项目，无论其特征是什么，例如软件开发过程、IT、设施管理和其他支持过程等方面的项目，均需要使用以下的信息安全控制措施进行管理）1重点项目启动前对人员和技术进行风险评估及合同评估；）2根据客户要求签订保密协议；）3信息安全目的被纳入项目目的；）4信息安全作为所采用的项目管理方法各个阶段的一部分；）5在所有项目中需定期评审信息安全问题

8.笔记本电脑使用规定）1笔记本电脑设备必须有严格的口令访问控制措施，口令设置需满足公司安全策略要求）2对无人看守的笔记本电脑设备必须实施物理保护，必须放在带锁的办公室、抽屉或文件柜里）3笔记本电脑设备丢失或被窃后应及时报告给部门经理和行政部）4凡带出公司使用而遗失、被偷盗等均由个人负全责赔偿）5除自然损坏外，凡人为损坏（如撞坏、跌坏、电源插错烧坏等）由本人负责修好，费用由个人承担）6笔记本电脑中除工作所需的软件外，不导入其他与工作无关的软件）7离开公司办公环境的设备和媒体在公共场所不能无人看管，出差员工如需携带便携式计算机，需要提前向直属领导/行政部提出申请在旅行时便携式计算机要作为手提行李携带不得托运，若可能宜伪装起来重要数据需加密保存

9.远程访问管理

9.

1.远程接入的用户认证）1凡是接入公司的远程用户的访问必须通过VPN并经过认证方可接入）2认证用户必须使用8位以上复杂密码）3任何远程接入用户不得将自己的用户名、密码提供给任何人，包括同事,家人）4所有远程接入用户的客户端或个人电脑必须安装防病毒软件并且病毒库升级到最新

9.

2.远程接入的审计）1远程接入用户的操作必须要经过接入设备的审计应记录相关日志，对用户行为监控

10.实施策略）1信息安全工作小组负责内部信息沟通的有效渠道建设；）2员工有关于信息安全管理系统方面的建议和问题可以通过email直接发邮件给）3员工对信息安全管理体系有任何意见填写《信息安全管理体系意见表》）4信息安全工作小组负责收集和汇总《监管机构及特定利益团体联系表》的信息1L相关记录编号记录名称保管场所保存期限保存形式备注1信息安全管理体系意见表总裁办3年电子/纸质2监管机构及特定利益团体联系表总裁办3年电子/纸质本制度相关修改及解释权属于信息安全组织文档编号（由总裁办填写）F4-B-总裁办-006-V

1.1密级内部公开文档发布级别公司级文档发布及实行范围全员制度试行日期（可选）制度执行日期2016/07/01文档起早人王江签字日期:2016/07/01文档修订人王江签字日期2016/11/04修订说明备注增加与监管机构联系和与特定利益集团联系内容文档负责人陈俊祥签字日期:2016/07/01文档审批信息安全领导者代表陈俊祥签字日期:2016/07/01文档审批人吴益民签字日期2016/07/01。