进出口企业信息安全责任追究管理规定（AEO认证文件）.docx

文件变更记录版本生效日期变更内容变更人1.02020-5-12. 12021-4-27修改文件结构文件签收记录序号签收日期签收人签字1234567891011进出口企业信息安全责任追究管理规定（AEO认证文件）1.目的为进一步落实公司网络安全和信息安全管理责任，提高系统信息化建设水平，提升全员安全意识，强化责任追究，确保网络安全和信息系统安全、高效、稳定运行，提升业务工作水平，特制定本规定。EqY Li本规定适用于公司（含分公司）全体员工。3.职责与权限3.1 信息安全小组3.1.1 小组成员由公司董事长、研发部成员和各部门（分公司）负责人组成，负责制定公司信息安全管理标准，指导并监督信息安全管理规定在全公司范围内的执行，信息安全小组成员负责讨论信息安全责任事件（人）的处理意见和决定。3.1. 2负责信息安全管理规定的制定。3. 2研发部3.1.1 负责信息安全管理规定的具体实施与监督。3.2. 2管理信息系统云服务器的安全管理，部署云防火墙和web防火墙等安全产品，制定安全策略，公司信息系统账号权限建立与管理，及时注销信息系统无效用户，及时发现并处理信息系统安全问题并及时向信息小组汇报。3. 2. 3对于违反信息安全的行为进行纠正并对行为人进行追究。3.3各部门（分公司）负责人3. 3.1对本部门（分公司）发生的信息安全事件负有直接或者间接领导责任。1.3.2 制定并监督落实本部门（分公司）的岗位职责。1.3.3 对本部门（分公司）员工进行信息安全的日常监督，当发生信息安全事件时，及时向信息安全小组报告信息安全事件的真实情况。3. 4公司全体员工3.1.1 加强对信息安全学习，有接受和参加公司各级单位组织的信息安全方面的教育和培训活动的责任。3.1.2 对公司商务文件、技术和管理策略等资料和文档有进行保密、防止泄密的责任。3.1.3 无论是否属于本岗位职责，对发生的信息安全事件、资产损失和业务风险等事件以及对发现信息系统缺陷、系统漏洞等安全隐患有及时报告的责任。3.1.4 在接受相关安全事件调查过程中，有给予支持配合和详细说明真实情况、如实反映信息生产事件及相关承责人的责任。4.工作程序4.1 信息安全违规行为界定4.1.1 凡具有下列行为之一，均属于违规行为：a）违反国家信息安全有关法律和法规；b）违反公司信息安全管理规定。4. 1.2 一般违规行为:a）员工使用计算机未设置登录密码，或者未按照密码管理规定设定密码，未启用屏幕保护和超时锁屏功能；b）未使用公司统一的企业邮箱处理和发送与工作相关的电子邮件；c）擅自卸载（含格式化）公司规定安装的操作系统；d）计算机外出维修时未拆除硬盘导致与工作有关的信息外泄；更换计算机和硬盘或在报废处理前，未对原硬盘进行信息不可恢复操作处理（如低级格式化等）；e）员工岗位异动后未及时向研发部申请信息系统账号和权限的变更；f）擅自安装与工作无关的软件或者游戏；g）未定期对计算机进行杀毒操作。4. 1.3严重违规行为:a）擅自更改计算机Mac地址或计算机安全策略；b）移动介质损坏后私自丢弃未交研发部处理并造成公司信息外泄；c）干扰他人正常工作行为，包括：发布不真实信息、垃圾信息；散布病毒及木马；未经授权或通过口令猜测和破解等手段使用他人设备、系统、邮箱等；d）擅自在计算机中安装黑客程序、端口扫描或漏洞扫描软件并使用其进行网络扫描或攻击破坏；e）拒绝研发部人员对计算机进行安全性检查和安装公司统一要求的防病毒软件等；f）擅自将本人的计算机口令或者信息系统口令告知公司外的人员导致公司信息泄露，被植入木马程序等；g）故意制作、传播计算机病毒等破坏性程序。4. 2信息安全督查与检查4. 2.1对违规行为的查处采用专项督查、日常检查相结合的方式进行。4.2.2各部门（分公司）每月定期检查本部门（分公司）信息安全项目，信息安全小组每半年组织一次全公司的信息安全项目督查，检查项目包括但不限于以下范围：a）员工计算机及周边设备使用安全；b）公司电子数据及文档存放检查；c）信息系统使用安全检查。4. 3信息安全事件查处与追究信息安全事件实行分级查处、分级追究相结合的策略：4.3.1造成本人计算机无法工作的情况，为轻微事故，追究直接责任人责任；4.3. 2造成公司信息系统无法工作、网络异常,但未造成严重后果的情况，为较大事故，追究部门（分公司）负责人的责任；4.3. 3造成公司信息系统或者网络瘫痪，或信息泄露等严重后果的情况，为重大事件，追究主要领导责任人的责任。4. 4信息安全处罚规定4.1.1 在年度内第一次发生一般违规行为，对当事人给予诫勉谈话或通报批评；年度内同一当事人发生两次一般违规行为，对当事人给予200600元的经济处罚并通报批评；年度内同一当事人发生三次一般违规行为，对当事人给予10001500元的经济处罚，并对当事人所属部门（分公司）予以通报批评。4.1.2 在年度内第一次发生严重违规行为，对当事人给予600800元的经济处罚，并对当事人所属部门（分公司）予以通报批评；年度内同一当事人发生两次严重违规行为，除对当事人给予10001500元的经济处罚，通报批评当事人所属部门（分公司）外，当事人必须重新学习信息安全基本知识并参加信息安全培训；年度内同一当事人发生三次严重违规行为，给予当事人辞退处理；以上严重违规行为若给公司造成严重损失则立即将当事人移交司法部门处理。4 . 5信息安全档案管理本规定相关的信息安全通知、追究记录等由研发部指定专门岗位人员存档保管，保管期限三年。5 .参考文件/关联文件5.1 信息安全管理制度