信息安全管理办法（15篇范文）

第1篇 信息安全管理办法

第一章    总则

第一条 为加强邵阳市农村商业银行（以下简称农商行）信息系统信息安全、硬件设备、安全运行、故障申报、日常检查、网络安全等管理，防范和化解信息系统的运行风险，杜绝各类事故和案件的发生，根据《湖南省农村信用社信息安全管理办法》、《中华人民共和国信息系统安全保护条例》、《金融机构计算机信息系统安全保护工作暂行规定》、《商业银行信息科技风险管理指引》等规定，结合我农商行实际情况，特制定本办法。

第二条 本办法适用所有使用邵阳市农商行网络或信息资源的其他外部机构和个人，包括农商行辖内网点所有员工，包括在编合同制员工、经批准在岗的短期合同制员工。

第三条 信息系统信息安全工作坚持以预防为主、综合治理、人员防范与技术防范相结合和的原则、按照“谁主管谁负责，谁运行谁负责，谁使用谁负责”的原则，逐级落实单位与个人信息安全责任制。

第四条 信息系统系统信息安全管理员，应当保障信息系统及配套设备的安全、运行环境的安全和信息的安全。

第五条 任何个人不得利用信息系统从事危害国家利益和集体利益的活动、不得危害计算机信息系统的安全。

第二章 组织保障

第六条 农商行设立科技信息部，由科技信息部归口管理信息安全工作，并明确其信息安全管理职责。

第七条 根据省联社要求，农商行成立由农商行领导和各职能部门主要负责人组成信息安全工作领导小组，领导小组办公室设农商行科技信息部，负责协调辖内信息安全管理工作，决定辖内信息安全重大事宜。 第八条 农商行科技信息部门设立信息安全岗位，配备专职信息安全管理人员。负责邵阳农商行信息安全管理，建立完善信息安全管理办法，并组织实施；对农商行信息安全管理工作进行指导和检查督促。

第九条 农商行各支行及各职能部门主要负责人为本部门信息安全第一责任人，同时均应指定至少一名部门信息安全员，具体负责本部门的信息安全管理，协同科技信息部开展信息安全管理工作。

第三章    人员管理

农商行工作人员根据不同的岗位或工作范围，履行相应的信息安全保障职责。科技信息部为农商行信息安全保护专职部门，设信息安全管理员、系统维护管理员、技术维护员等岗位负责全辖信息系统安全运行。各部门及支行要设立信息系统安全管理领导小组，设立部门信息安全员。

第一节 信息安全管理人员

第十条 农商行选派政治思想过硬、具有较高计算机水平的人员从事信息安全管理工作。凡是因违反国家法律法规和湖南省农村信用社有关规定受到过处罚或处分的人员，不得从事此项工作。

第十一条 信息安全管理人员应具有从事金融机构计算机工作三年以上经历，具有本科以上学历。

第十二条 信息安全管理人员必须应经过省联社组织的专业培训与审核，培训与审核合格后方可上岗。上岗后，每年至少参加一次信息安全专业培训。 第十三条 农商行信息安全管理人员在如下职责范围内开展本单位信息安全管理工作： （一）组织落实上级信息安全管理规定，制定信息安全管理办法，协调部门计算机安全员工作，监督检查信息安全保障工作。 （二）审核信息化建设项目中的安全方案，组织实施信息安全保障项目建设，维护、管理信息安全专用设施。 （三）检测网络和信息系统的安全运行状况，检查运行操作、备份、机房环境与文档等安全管理情况，发现问题，及时通报和预警，并提出整改意见。统计分析和协调处置信息安全事件。 （四）定期组织信息安全宣传教育活动，开展信息安全检查、评估与培训工作。 第十四条 信息安全管理人员在履行职责时，确因工作需要查询相关涉密信息，须经本部门负责人同意后向本单位保密主管部门提交申请，获得批准后方可查询。 第十五条 信息安全管理人员实行备案管理办法。信息安全管理人员的配备和变更情况应及时报上一级科技信息部备案。

第十六条 信息安全管理人员调离岗位，必须严格办理调离手续，承诺其调离后的保密义务。涉及农村信用社业务核心技术的计算机安全人员调离单位，必须进行离岗审计，并在规定的脱密期后，方可调离。

第二节 部门信息安全员

第十七条 各部门和各级支行应指派素质好、较熟悉计算机知识的人员担任部门信息安全员，并报农商行科技信息部备案。如有变更应做好交接工作，并及时通报科技信息部。 第十八条 部门信息安全员配合农商行信息安全管理人员工作，并参加各项信息安全技能培训。 第十九条 部门信息安全员在如下职责范围内开展工作： （一）负责本部门计算机病毒防治工作，监督检查本部门客户端安全管理情况。 （二）负责提出本部门信息安全保障需求，及时与农商行信息安全管理人员沟通信息安全信息。 （三）负责本部门国际互联网使用和接入安全管理，组织开展本部门信息安全自查，协助科技信息部完成对本部门的信息安全检查工作。

第三节 技术支持人员

第二十条 本办法所称技术支持人员，是指参与邵阳农商行网络、信息系统、机房环境等建设、运行、维护的内部技术支持人员和外包服务人员。 第二十一条 农商行内部技术支持人员在履行网络和信息系统建设和日常运行维护职责过程中，应承担如下安全义务： （一）不得对外泄露或引用工作中触及的任何敏感信息。严格权限访问，未经批准不得擅自改变系统设置或修改系统生成的任何业务数据。 （二）主动检查和监控生产系统安全运行状况，发现安全隐患或故障及时报告本部门主管领导，并及时响应、处置。 （三）严格操作管理、测试管理、应急管理、配置管理、变更管理、档案管理等工作办法，做好数据备份工作。 第二十二条 外部技术支持人员应严格履行外包服务合同（协议）的各项安全承诺。提供技术服务期间，严格遵守湖南省农村信用社相关安全规定与操作规程，关键操作应经授权，并有农商行内部员工在场。不得拷贝或带走任何配置参数信息或业务数据，不得对外泄露或引用任何工作信息。

第四节 业务系统操作人员

第二十三条 本办法所称业务系统操作人员是指直接操作业务系统进行业务处理的业务工作人员。 第二十四条 业务系统操作人员应承担如下安全义务： （一）严格规程操作，防止误操作。定期修改操作密码并妥善保管，按需、适时进行必要的数据备份。 （二）发现业务系统出现异常及时报告科技信息部。 （三）不得在操作终端上安装与业务系统无关的软件和硬件，不得擅自修改业务系统及其运行环境参数设置。 第二十五条 业务系统操作应按照“权限分散、不得交叉任职”原则，严格进行操作角色划分和授权管理。技术支持人员不得兼任业务系统操作人员。

第五节 一般计算机用户

第二十六条 本办法所称一般计算机用户是指使用计算机设备的所有人员。 第二十七条 一般计算机用户应承担如下安全义务： （一）及时更新所用计算机的病毒防治软件和安装补丁程序，自觉接受本部门信息安全员的指导与管理。 （二）不得安装与办公和业务处理无关的其他计算机软件和硬件，不得修改系统和网络配置参数。 （三）未经科技信息部检测和授权，不得将接入湖南省农村信用社内部网络的所用计算机转接入国际互联网；不得将便携式计算机接入湖南省农村信用社内部网络；不得随意将个人计算机带入机房或私自拷贝任何信息。

第六节 信息系统要害岗位人员

第二十八条 本办法所称信息系统要害岗位人员，是指与重要信息系统直接相关的系统管理员、网络管理员、系统开发人员、系统维护员等内部技术支持人员和重要业务操作等岗位人员。

第二十九条 本办法所称重要信息系统是指湖南省农村信用社面向客户的业务处理类、渠道类和涉及客户风险管理等业务的管理类信息系统，以及支撑系统运行的机房和网络等基础设施。

第三十条 要害岗位人员上岗前必须经农商行人事部门进行政治素质审查，技术部门进行业务技能考核，合格者方可上岗。

第三十一条 要害岗位人员上岗必须实行“权限分散、不得交叉覆盖”的原则，按照“必需知道”和“最小授权”原则，严格设定各用户的操作权限。

第三十二条 对要害岗位人员应实行年度强制休假办法和定期考查办法，并进行必要的安全教育和培训。

第三十三条 要害岗位人员调离岗位，必须严格办理调离手续，承诺其调离后的保密义务。涉及信用社业务保密信息的要害岗位人员调离单位，必须进行离岗审计，在规定的脱密期后，方可调离。

第三十四条 要害岗位人员离岗后，必须即刻更换操作密码或注销用户。

第三十五条 系统管理员安全责任

（一）负责系统的运行管理，实施系统安全运行细则；

（二）严格用户权限管理，维护系统安全正常运行；

（三）认真记录系统安全事项，及时向计算机安全人员报告安全事件；

（四）对进行系统操作的其他人员予以安全监督。

第三十六条 系统开发员安全责任

（一）系统开发建设中，应严格执行系统安全策略，保证系统安全功能的准确实现；

（二）系统投产运行前，应完整移交系统源代码和相关涉密资料；

（三）不得对系统设置后门；

（四）对系统核心技术保密。

第三十七条 系统维护员安全责任

（一）负责系统维护，及时解除系统故障，确保系统正常运行；

（二）不得擅自改变系统参数配置；

（三）不得安装与系统无关的其他计算机程序；

（四）维护过程中，发现安全漏洞应及时报告计算机安全人员。

第三十八条 各要害岗位人员必须严格遵守保密法规和有关信息安全管理规定。

第四章 机房环境和设备资产管理

第一节 机房环境安全管理

第三十九条 本办法所称机房是指信息系统等主要设备放置、运行场所以及供配电、通信、空调、消防、监控等配套环境设施。 第四十条 农商行机房的规划、建设、改造、运行、维护由科技信息部负责。 第四十一条 农商行机房应符合国家计算机机房有关标准、监管部门有关要求和省联社有关规定，满足下列基本安全要求：

（一）机房周围100米内不得存在危险建筑物，如加油站、煤气站等。

（二）机房应配备防电磁干扰、防电磁泄漏、防静电、防水、防盗、防鼠害等设施。

（三）机房应安装门禁系统、防雷系统、监视系统、消防系统、报警系统。

（四）机房应设专用的供电系统，配备必要的ups和发电机。

第四十二条 机房建设、改造的方案应报上市网络中心备案。必要时，由市网络中心会同财务、保卫等部门进行审核。 第四十三条 机房建设或改造应选择具有国家建筑装修装饰工程专业承包三级以上资质、两年以上从事计算机机房设计与施工经验的专业化公司。重要机房建设或改造工程应引入监理办法。

第四十四条 计算机机房实行分区管理原则。核心区实行24小时连续监控，生产区实行工作时间连续监控，辅助区实施联动监控。

第四十五条 监控设备的安装应符合安全保密原则，确保监控的安全规范运作，防止监控信息的泄密。

第四十六条 农商行机房应建立机房设施与场地环境集中监控系统，对机房空调、消防、不间断电源（ups）、供配电、门禁系统等重要设施实行全面监控，通过技术和管理手段，确保计算机机房及配套设施安全。 第四十七条 农商行机房投入使用前，应经过当地公安消防部门的消防验收和本单位科技、保卫部门组织的验收，并出具明确结论的验收报告。未经验收或验收不合格的机房均不得投入使用。 第四十八条 农商行建立健全机房管理办法，并指派专人担任机房管理员，落实机房安全责任制。机房管理员应经过相关专业培训，熟知机房各类设备的分布和操作要领，定期巡查机房，发现问题及时报告。

第四十九条 机房管理员负责妥善保管机房建设或改造的所有文档、图纸以及机房运行记录等有关资料，并随时提供调阅。

第五十条 农商行加强出入机房人员管理。禁止未经批准的外部人员进入机房。非机房工作人员进出机房须经主管部门领导批准，并办理登记手续，由专人陪同。

第五十一条 建立机房定期维修保养办法。易受季节、温度等环境因素影响的设备、已逾保修期的设备、近期维修过的设备等应成为保养的重点。

第五十二条 向社会提供公众服务的柜面和核心业务处理环境应严格出入安全管理，应安装门禁、防入侵报警、视频监视录像系统，实行定时录像监控，并适当配置自动监控报警功能。 第五十三条 所有门禁、防入侵报警、视频监视录像系统的信息资料由专人保管，至少保存三个月。

第二节 设备资产管理

第五十四条 农商行科技信息部建立完备的计算机设备登记办法，严格资产管理，明确计算机设备使用者或管理者及其安全责任。 第五十五条 农商行科技信息部根据计算机设备重要程度采取不同的安全保护措施，制定完善的访问控制策略，防止未经授权使用设备或信息。有特殊安全要求的计算机设备应放置在机房的特殊功能区，必要时，单独建立门禁与监控系统，或配备防电磁泄露的屏蔽装置等。

第五章 网络安全管理

第一节 网络规划建设安全管理

第五十六条 省联社信息科技部负责网络和网络安全的统一规划、建设部署、策略配置和网络资源（网络设备、通讯线路、ip地址和域名等）分配。 第五十七条 农商行科技信息部按照省联社信息科技部的统一规划和总体部署，组织实施网络建设、改造工程。农商行局域网的建设与改造方案应报上一级科技信息部审核、备案，投产前应通过本单位组织的安全测试。 第五十八条 农商行的网络建设和改造应符合如下基本安全要求： （一）符合湖南省农村信用社网络安全管理要求，使用内容过滤、身份认证、防火墙、病毒防范、入侵检测、漏洞扫描、数据加密等技术手段，有效降低外部攻击、信息泄漏等风险，保障网络传输与应用安全。 （二）具备必要的网络监测、跟踪和审计等管理功能。 （三）根据信息安全级别，将网络划分为不同的逻辑安全域。针对不同的网络安全域，采取必要和有效的安全控制措施。

第二节 网络运行安全管理

第五十九条 农商行科技信息部建立健全网络安全运行办法，配备网络管理员。网络管理员负责日常监测和检查网络安全运行状况，管理网络资源及其配置信息，建立健全网络运行维护档案，及时发现和解决网络异常情况。

（一）负责网络的运行管理，实施网络安全策略和安全运行细则；

（二）安全配置网络参数，严格控制网络用户访问权限，维护网络安全正常运行；

（三）监控网络关键设备、网络端口、网络物理线路，防范黑客入侵，及时向计算机安全人员报告安全事件；

（四）对操作网络管理功能的其他人员进行安全监督。

第六十条 网络管理员定期参加网络安全技术培训，具备一定的非法入侵、病毒蔓延等网络安全威胁的应对技能，紧急情况下，经本部门主管领导授权后可采取“先断网、后处理”的紧急应对措施。

第六十一条 农商行科技信息部严格网络接入管理。任何设备接入网络前，接入方案、设备的安全性等应经过审核与必要的检测，审核（检测）通过后方可接入并分配相应的网络资源。 第六十二条 农商行科技信息部严格网络变更管理。网络管理员在调整网络重要参数配置和服务端口前，应书面请示本部门主管领导，变更信息应做好记录。实施有可能影响网络正常运行的重大网络变更，应提前通知所有使用部门并安排在节假日进行，同时做好配置参数的备份和应急恢复准备。 第六十三条 农商行严格远程访问控制。确因工作需要进行远程访问的部门和人员应向科技信息部提出书面申请，并采取相应的安全防护措施。 第六十四条 信息安全管理人员经本部门主管领导批准，有权对本单位或辖内网络进行安全检测、扫描和评估。检测、扫描和评估结果属敏感信息，不得向外界提供。未经省联社信息科技部授权，任何外部单位与人员不得检测、扫描湖南省农村信用社内部网络。 第六十五条 农商行应以不影响业务的正常网络传输为原则，合理控制多媒体网络应用规模和范围。未经省联社信息科技部批准，不得在湖南省农村信用社内部网络上提供跨辖区视频点播等严重占用网络资源的多媒体网络应用。

第三节 网间互联安全管理

第六十六条 本办法所称网间互联是指为满足邵阳市农村商业银行与其他外部机构信息交换或信息共享需求实施的机构间网络互联。 第六十七条 网间互联由省联社信息科技部统一规划，按照相关标准组织实施。未经省联社信息科技部核准，任何单位不得自行与外部机构实施网间互联。

第六十八条 经批准与其他业务相关机构进行网络连接，应采用必要的技术隔离保护措施，对联网使用的用户必须采用一人一帐户的访问控制。

第四节 接入国际互联网管理

第六十九条 邵阳市农村商业银行内部网络与国际互联网实行物理隔离。所有接入邵阳市农村商业银行内部网络或存储有敏感工作信息的计算机，不得直接或间接接入国际互联网。 第七十条 计算机接入国际互联网应通过本单位保密主管部门批准，并确保安装有湖南省农村信用社选定的防病毒软件和最新补丁程序。科技信息部凭相关批准证明实施联网，并做好备案。曾接入邵阳市农村商业银行内部网络的计算机需改接入国际互联网前应重新办理以上审批手续，科技信息部确保该计算机已删除敏感工作信息后方可实施接入。 第七十一条 未经科技信息部安全检测，曾接入国际互联网的计算机不得直接接入湖南省农村信用社内部网络。从国际互联网下载的任何信息，未经病毒检测不得在内部网络上使用。 第七十二条 使用国际互联网的所有用户应遵守国家有关法律法规和湖南省农村信用社相关管理规定，不得从事任何违法违规活动。

第六章 信息系统安全管理

第七十三条 本办法所指的信息系统是邵阳市农村商业银行业务处理系统、管理信息系统和日常办公自动化系统等，包括数据库、软件和硬件支撑环境等。

第一节 信息系统规划与立项

第七十四条 信息系统建设项目应在规划与立项阶段同步考虑安全问题，建设方案应满足邵阳市农村商业银行信息安全保障总体规划的相关要求。项目技术方案应包括以下基本安全内容： （一）业务需求部门提出的安全需求。 （二）安全需求分析和实现。 （三）运行平台的安全策略与设计。

第七十五条 信息系统应采取与业务安全等级要求相应的安全机制，在安全防护方面应符合下列基本安全要求：

（一）采取必要的技术手段，建立严密的安全管理控制机制，保证数据信息在处理、存储和传输过程中的完整性和安全性，防止数据信息被非法使用、修改和复制；

（二）提供完整的数据备份和恢复功能，能方便地根据系统和数据的备份介质进行灾难恢复；

（三）具有严格的用户和密码管理，能对不同级别的用户进行有限授权，特别应严格限制和分流特权用户的权限，防止非法用户的侵入和破坏；

（四）重要信息系统应设置审计监控程序，具有身份识别和实体认证功能。能够自动记录操作人员的重要操作，具有防止抵赖机制；

（五）涉密信息系统的安全设计应符合涉密信息保密管理的有关规定。

第七十六条 农商行科技信息部负责对项目技术方案进行安全专项审查并提出审查意见，未通过安全审核的项目不得予以立项。

第二节 信息系统开发与集成

第七十七条 信息系统开发应符合软件工程规范，依据安全需求进行安全设计，保证安全功能的完整、准确实现。

第七十八条 信息系统开发单位应在完成开发任务后将程序源代码及其相关技术文档全部移交邵阳市农村商业银行科技信息部。外部开发单位还应与邵阳市农村商业银行签署相关知识产权保护协议和保密协议，不得将信息系统采用的关键安全技术措施和核心安全功能设计对外公开。 第七十九条 信息系统的开发人员不能兼任信息系统管理员或业务系统操作人员，不得在程序代码中植入后门和恶意代码程序。

第八十条 信息系统开发、测试和程序的修改工作不得在生产环境中进行。 第八十一条 涉密信息系统集成应选择具有国家相关部门颁发的涉密系统集成资质证书的单位或企业，并签订严格的保密协议。

第三节 信息系统上线与运行

第八十二条 农商行信息系统上线运行实行安全审查办法，未通过安全审查的任何新建或改造信息系统不得投产运行。具体要求如下： （一）项目承担单位（部门）应组织制定安全测试方案，进行系统上线前的自测试并形成测试报告，报科技信息部审查。 （二）科技信息部应提出明确的测试方案和测试报告审查意见。必要时，可组织专家评审或实施信息系统漏洞扫描检测。

（三）信息系统建设牵头业务部门应在信息系统投产运行前同步制定相关安全操作规定，报科技信息部备案。

第八十三条 信息系统投入运行前，应向省联社科技部和市网络中心提出安全评估和审批申请，并报送下列材料：

（一）系统的用途、总体结构及软硬件配置等基本情况；

（二）关于系统安全需求、安全策略、安全性指标、安全保护措施以及安全功能设计等情况的说明；

（三）系统安全性测试提纲和测试报告；

（四）信息系统安全评估和审批报告书。

第八十四条 科技信息部应当对报送的书面材料进行初步审查。委托相关权威机构组建由相关业务和技术专家组成的安全评估委员会或安全评估专家组，对信息系统进行安全性测试、认证。

第八十五条 对信息系统的安全评估应当包括以下内容：

（一）系统的安全策略；

（二）系统安全措施；

（三）系统安全功能的实现程度；

（四）系统运行的稳定性、可靠性；

（五）系统运行平台的安全可靠性。

第八十六条 安全评估委员会或安全评估专家组应对测试、认证的信息系统提出安全评估报告，并出具信息系统安全评估和审批报告书。

第八十七条 信息系统运行平台应符合以下安全管理要求：

（一）合理配置操作系统、数据库管理系统所提供的安全审计功能，以达到相应安全等级标准。

（二）屏蔽与应用系统无关的所有网络功能，防止非法用户的侵入。

（三）按照网络管理规范及其业务应用范围设置联网设备的ip地址及网络参数。

（四）及时安装正式发布的系统补丁，修补系统存在的安全漏洞。

第八十八条 农商行科技信息部明确系统管理员（系统维护员），具体负责信息系统的日常运行管理，监测系统运行日志，掌握系统运行状况，并建立重要信息系统运行维护档案，详细记录系统变更及操作过程。重要业务系统的系统设置要求双人在场。

第八十九条 系统管理员不得兼任业务操作人员，不得安装与系统无关的其他计算机程序；维护过程中，发现安全漏洞应及时报告计算机安全人员。

第九十条 系统管理员确需对业务系统进行维护性操作的，应征得业务部门同意并在业务操作人员在场的情况下进行，并详细记录维护内容、人员、时间等信息。

第九十一条 未经业务主管部门领导书面批准，其他任何人不得擅自使用业务操作人员用机，不得擅自设置、分配、使用、修改、删除操作员代码、口令和业务数据，不得擅自改变用户权限。

第四节 业务操作

第九十二条 业务部门负责信息系统业务操作用户和权限设定，科技信息部根据-授权进行相关设定操作。 第九十三条 业务操作人员应严格按照安全操作规程进行业务操作和必要的数据备份，并配合科技信息部保障信息安全。一旦发现信息系统运行异常及时向本部门领导和科技信息部报告。 第九十四条 业务操作人员应设置本人口令密码，并严格保密，防止口令密码泄漏。严禁向其他任何人泄露本人口令密码。 第九十五条 凡是能够执行录入、复核办法的信息系统，业务操作人员不得一人兼录入、复核两职。未经业务部门主管领导批准，不得代岗、兼岗。 第九十六条 业务操作人员离开操作用机时，应按序退出信息系统，回到操作系统初始状态，防止业务数据被复制、修改、删除以及误操作。

第五节 信息系统废止

第九十七条 实行信息系统废止申报、备案办法。使用信息系统的业务部门根据需要向科技信息部提出废止申请，由科技信息部组织进行安全检查后予以废止，同时备案。 第九十八条 对已经废止的信息系统软件和数据备份介质，科技信息部按业务规定在一定期限内妥善保存。超过保存期限后需要销毁的，应在本单位保密主管部门监督下予以不可恢复性销毁。

第七章 客户端安全管理

第九十九条 本办法所称客户端是指邵阳市农村商业银行计算机用户、网络与信息系统所使用的终端设备，包括台式个人计算机（pc）、便携式计算机、柜员终端、自动柜员机（atm）、存折打印机、读卡器、销售终端（pos）和个人数字助理（pda）等。 第一百条 农商行应建立完善的客户端管理办法，记录所有客户端设备信息和软件配置信息，采用桌面终端安全管理软件集中实现桌面终端安全策略。 第一百零一条 客户端应安装和使用正版软件，不得安装和使用盗版软件，不得安装和使用与工作无关的软件。 第一百零二条 客户端应统一安装病毒防治软件，设置用户密码和屏幕保护口令等安全防护措施，确保安装最新的病毒特征码和必要的补丁程序。 第一百零三条 确因工作需要经授权可远程接入内部网络的用户，应严格保存其身份认证介质及口令密码，不得转借其他人使用。

第八章 信息安全专用产品与服务管理

第一节 资质审查与选型购置

第一百零四条 本办法所称信息安全专用产品，是指邵阳市农村商业银行安装使用的专用安全软件、硬件产品。本办法所称信息安全服务，是指邵阳市农村商业银行向社会购买的专业化安全服务。 第一百零五条 省联社信息科技部负责信息安全服务提供商的资质审查和信息安全专用产品的选型，农商行在选型范围内按规定选购。 第一百零六条 农商行购置扫描、检测类信息安全专用产品应报省联社信息科技部批准，省联社信息科技部应进行登记备案。

第二节 使用管理

第一百零七条 农商行科技信息部建立信息安全专用产品登记使用办法，建立信息安全类固定资产使用登记簿并由专人负责管理。扫描、检测类信息安全专用产品仅限于本单位信息安全管理人员使用。 第一百零八条 农商行科技信息部随时检查各类信息安全专用产品使用情况，认真查看相关日志和报表信息并定期汇总分析。如发现重大问题，立即采取控制措施并按规定程序报告。 第一百零九条 各类信息安全专用产品在使用中产生的日志和报表信息属于重要技术资料，应备份存档至少三个月。 第一百一十条 农商行科技信息部及时升级维护信息安全专用产品，凡因超过使用期限的或不能继续使用的信息安全专用产品，按照固定资产报废审批程序处理。 第一百一十一条 防火墙、入侵检测等安全专用产品原则上应在本地配置。如需要进行远程配置，由科技信息部或经科技信息部授权在可信网络内并采取了必要的安全控制措施后进行操作。

第九章 数据、文档与密码管理

第一节 数据安全

第一百一十二条 本办法中所称的数据是指以电子形式存储的邵阳市农村商业银行业务数据、客户信息、系统运行日志、故障维护日志以及其他内部资料。

第一百一十三条  农商行应建立和实施信息分类及保护体系，明确科技信息分类、定密、解密、备份、调用、保管、运输等方面的工作流程和管理要求。 第一百一十四条 农商行业务部门负责提出数据在输入、处理、输出等不同状态下的安全需求，科技信息部负责审核安全需求并提供一定的技术实现手段。

第一百一十五条 农商行应制定数据管理办法和数据处理的流程和审批手续，加强数据的保密管理。 第一百一十六条 农商行业务部门应严格管理业务数据的增加、修改、删除等变更操作，适时进行业务数据有效性检查，按照既定备份策略执行数据备份任务，并定期测试备份数据的有效性和预演数据恢复流程。 第一百一十七条 农商行科技信息部系统管理员(网络管理员)负责定期导出重要信息系统和网络日志文件并明确标识存储内容、时间、密级等信息。日志文件应至少保留一年，妥善保管。 第一百一十八条 农商行业务部门应明确规定备份数据的保存时限和密级，建立备份数据调阅、销毁审批登记办法，并根据数据重要性级别分类采取相应的安全销毁措施。 第一百一十九条 所有数据备份介质应注意防磁、防潮、防尘、防高温、防挤压存放。恢复及使用备份数据时需要提供相关口令密码的，应把口令密码密封后与数据备份介质一并妥善保管。

第一百二十条 农商行应制定客户信息管理办法和流程，严格管理客户信息的采集、处理、存储、传输、分发、备份、恢复、清理和销毁。不得非法买卖、泄露客户个人信息，包括客户基本信息及存贷款与征信等业务信息。禁止通过互联网传输客户资料和交易数据信息。

第二节 技术文档

第一百二十一条 本办法所称技术文档是邵阳市农村商业银行网络、信息系统和机房环境等建设与运行维护过程中形成的各种纸质技术资料，包括文档、电子文档、视频和音频文件等。包括系统与网络设计文档、参数配置文档、软件开发文档及其源程序等。 第一百二十二条 农商行科技信息部负责将技术文档统一归档，严格管理，并实行借阅登记办法。未经科技信息部领导批准，任何人不得将技术文档转借、复制和对外公布。

第三节 存储介质

第一百二十三条 农商行应建立健全磁带、光盘、移动存储介质、已打印文档等存储介质管理流程。已存储信息的存储介质应保存在安全的物理环境中并有明晰的标识，统一编号，并标明信息生成或备份日期、密级及保密期限。重要信息系统备份介质应按规定异地存放。 第一百二十四条 农商行应做好存储介质在物理传输过程中的安全控制，应选择可靠的传递方式和防盗控制措施。重要信息的存取需要授权和记录。 第一百二十五条 农商行应制定移动存储设备（u盘、移动硬盘等）管理办法，加强移动存储设备在生产环境中的管理和使用。禁止内网移动存储设备在外网使用，禁止外网移动存储设备在内网系统中使用。 第一百二十六条 农商行应建立存储介质销毁办法，对载有敏感信息的存储介质应采用焚烧或粉碎等方式进行处置并做好记录。

第四节 口令密码

第一百二十七条 农商行信息系统要害岗位人员均须设置用户口令密码，并独享使用，不得泄露，且至少每三个月更换一次。口令密码的强度应满足不同安全性要求，不得设置过于简单的弱口令密码。 第一百二十八条 敏感信息系统和设备的口令密码设置应在安全的环境下进行，必要时应将口令密码笔录、密封交主管部门保管,并确保记录载体的安全。未经主管部门领导许可，任何人不得擅自拆阅密封的口令密码。拆阅后的口令密码使用后应立即更改并再次密封存放。 第一百二十九条 农商行应根据实际情况在一定时限内妥善保存重要信息系统升级改造前的口令密码。

第五节 密码技术应用管理

第一百三十条 农商行涉密网络和信息系统应严格按照国家密码政策规定，采用相应的加密措施。非涉密网络和信息系统应依据湖南省农村信用社实际需求和统一安全策略，合理选择加密措施。 第一百三十一条 农商行选用的密码产品和加密算法应符合国家相关密码管理政策规定，密码产品自身的物理和逻辑安全性应符合湖南省农村信用社的相关安全要求。 第一百三十二条 农商行应建立严格的密钥管理体制，密钥管理人员必须是本单位在编的正式员工，并逐级进行备案，规范管理密钥产生、存储、分发、使用、废除、归档、销毁等过程。 第一百三十三条 农商行应在安全环境中进行关键密钥的备份工作，并确保密钥副本的物理安全，且须设置遇紧急情况下密钥自动销毁功能。 第一百三十四条 各类密钥应定期更换，对已泄露或怀疑泄露的密钥应及时废除，过期密钥应安全归档或定期销毁。

第十章 第三方访问和外包安全管理

第一节 第三方访问控制

第一百三十五条 本办法所称第三方访问是指邵阳市农村商业银行之外的单位和个人物理访问邵阳市农村商业银行计算机房或者通过网络连接逻辑访问邵阳市农村商业银行数据库和信息系统等活动。 第一百三十六条 农商行保密工作委员会负责涉密信息系统和网络相关的第三方访问授权审批，农商行科技信息部负责非涉密信息系统和网络相关的第三方访问授权审批。未经邵阳市农村商业银行授权的任何第三方访问均视为非法入侵行为。 第一百三十七条 允许被第三方访问的邵阳市农村商业银行信息系统和资源应建立存取控制机制、认证机制，列明所有用户名单及其权限，严格监督第三方访问活动。 第一百三十八条 获得第三方访问授权的所有单位和个人应与湖南省农村信用社签订安全保密协议，不得进行未授权的修改、增加、删除数据操作，不得复制和泄露湖南省农村信用社任何信息。

第二节 外包安全管理

第一百三十九条 本办法所称外包服务是指由邵阳市农村商业银行之外的其他社会厂商为邵阳市农村商业银行信息系统、网络或桌面环境提供全面或部分的开发、维护技术支持、咨询等服务。

第一百四十条 信息科技外包服务应按照《湖南省农村信用社信息科技外包管理暂行办法》签订正式的外包服务协议，协议应明确约定外包服务商的安全义务。

第一百四十一条 经本单位科技信息部领导批准，外包服务提供商可提供上门维护服务并由邵阳市农村商业银行科技人员在场准确记录所有技术配置变更信息。外包服务提供商不得查看、复制涉密信息或将涉密介质带离湖南省农村信用社。 第一百四十二条 计算机设备确需送外单位维修时，科技信息部应彻底清除所存工作信息，必要时应与设备维修厂商签订保密协议。与密码设备配套使用的计算机设备送修前必须请生产设备的科研单位拆除与密码有关的硬件，并彻底清除与密码有关的软件和信息。

第十一章 灾难备份与应急管理

第一节 灾难备份管理

第一百四十三条 灾难备份是指利用技术、管理手段以及相关资源，确保已有业务数据和信息系统在地震、水灾、火灾、战争、恐怖袭击、网络攻击、设备系统故障、人为破坏等无法预料的突发事件（以下称“灾难”）发生后在规定的时间内可以恢复和继续运营的有序管理过程。 第一百四十四条 科技信息部按照“统筹安排、资源共享、平战结合”的原则，负责邵阳市农村商业银行重要信息系统灾难备份的统一规划、实施和管理。 第一百四十五条 农商行相关业务部门负责提出业务系统灾难备份需求，明确可容忍的业务中断时间（恢复时间目标rto）和数据丢失量(恢复点目标rpo)。省联社信息科技部据此确定灾难备份等级和备份方案。 第一百四十六条 农商行应建立健全灾难恢复计划，定期开展灾难恢复培训。在条件许可的情况下，由省联社信息科技部统一部署，重要信息系统至少每年进行一次灾难恢复演练，包括异地备份站点切换演练和本地系统灾难恢复演练。

第二节 应急管理

第一百四十七条 应急预案是针对可能发生的意外事件并可能导致业务差错和停顿，甚至系统混乱、崩溃等灾难而采取的应对策略、措施的有机集合。 第一百四十八条 在信息系统推广应用方案中应同时设计应急备份策略，同步实施备份方案。 第一百四十九条 农商行应制定和不断完善网络、信息系统和机房环境等应急预案。预案的编制工作由科技信息部和相关业务部门共同完成。 第一百五十条 应急预案应包括以下基本内容： （一）总则（目标、原则、适用范围、预案调用关系等）。 （二）应急组织机构。 （三）预警响应机制（报告、评估、预案启动等）。 （四）各类危机处置流程。 （五）应急资源保障。 （六）事后处理流程。 （七）预案管理与维护（生效、演练、维护等）。 第一百五十一条 农商行应定期组织应急预案的演练，并指定专人管理和维护应急预案，根据人员、信息资源等变动情况以及演练情况适时予以更新和完善，确保应急预案的有效性和灾难发生时的可获取性。 第一百五十二条 农商行信息安全工作领导小组统一负责各业务系统的应急协调与指挥，决定重大事宜（决定应急预案的启动、灾难宣告、预警相关单位等）和调动应急资源。 第一百五十三条 农商行应按照湖南省农村信用社信息安全事件报告办法进行信息通报，一般信息安全事件应逐级通报，发生因人为、自然原因造成信息系统瘫痪以及利用计算机实施犯罪等影响和损失较大的信息安全事件（下称“重大信息安全事件”）应直接报省联社信息科技部。

第一百五十四条 重大信息安全事件发生后，农商行相关人员应注意保护事件现场，采取必要的控制措施，调查事件原因，并及时报告本单位主管领导。

第一百五十五条 农商行应在重大信息安全事件发生后的两小时内按规定程序报上一级科技信息部。     第一百五十六条 农商行办公室负责统一向社会发布应急事件公告，其他任何单位或个人不得向社会发布应急事件公告。

第十二章 安全检查评估与培训

第一节 监测检查

第一百五十七条 农商行科技信息部应整合和利用现有网络管理系统、计算机资源监控系统、专用安全监控系统以及相关设备与系统的运行日志等监控资源，加强对网络、重要信息系统和机房环境等设施的安全运行监测。 第一百五十八条 农商行科技信息部应建立运行监测周报、月报或季报办法，报送本单位信息安全工作领导小组和上一级科技信息部，抄送相关业务部门。 第一百五十九条 农商行要及时预警、响应和处置运行监测中发现的问题，发现重大隐患和运行事故应及时协调解决，并报上一级单位相关部门。

第一百六十条 农商行科技信息部应至少每年组织一次本单位或辖内的信息安全专项检查，安全检查方式可以是自查、互查或上级检查多种方式。 第一百六十一条 农商行在开展安全检查前应以安全管理办法为依据制订详细的检查方案和计划，确保检查工作的可操作性和规范性。安全检查完成后应及时形成检查报告，经本单位主管领导批准后将检查整改报告尽快送达被检查单位。要求限期整改的，需要对相关整改情况进行后续跟踪。 第一百六十二条 农商行参加检查的人员对检查中的涉密信息负有保密责任。所有检查报告和资料应作为湖南省农村信用社内部材料妥善保管，不得向外界泄露。 第一百六十三条 农商行应将每次安全检查报告和整改落实情况整理汇总后报上一级科技信息部备案。

第二节 评估审计

第一百六十四条 农商行科技信息部可采用自评估、检查评估和委托评估等方式，每年至少组织一次对本单位或辖内重要信息系统的安全评估。

第一百六十五条 安全评估应在不影响信息系统正常运行的情况下进行。评估开始前，应制定评估方案并进行必要的培训。评估结束后，形成评估报告，提出整改意见报本单位科技信息部主管领导。 第一百六十六条 农商行如聘请第三方机构进行安全评估，报省联社信息科技部批准，并与第三方评估机构签订安全保密协议后方可进行。本单位信息安全管理人员全程参与评估过程并实施监督。 第一百六十七条 农商行妥善保管信息安全评估报告，未经授权不得对外透露评估信息。

第一百六十八条 农商行定期对重要信息系统进行安全等级保护测评。开展等保测评工作应遵循《金融行业信息系统信息安全等级保护测评指南》和《金融行业信息安全等级保护测评服务安全指引》的有关规定，确保测评有效和测评安全。

第一百六十九条 农商行科技信息部在支持与配合内审部门开展信息安全工作审计的同时，应适时开展本单位和辖内的信息系统日常运行管理和信息安全事件全过程的技术审计，发现问题及时报本单位或上一级单位主管领导。 第一百七十条 农商行应做好操作系统、数据库管理系统等审计功能配置管理，并完整保留相关日志记录。

第三节 安全培训

第一百七十一条 农商行应至少每年对信息安全管理人员进行一次专业培训，不断提高信息安全管理人员专业技能和管理水平。

第一百七十二条 农商行应开展全员信息安全教育，对本单位全体正式和非正式员工进行必要的培训，提高全体员工信息安全意识，使全体员工充分了解其职责范围内的信息保护流程及违反规定的后果。

第十三章 奖励与处罚

第一百七十三条 农商行将本单位和辖内信息安全管理工作纳入年度考评，对表现突出的单位和个人应进行通报表彰并给予一定形式的奖励。 第一百七十四条 对于违反本办法，造成重大信息安全事件的单位及个人，要给予通报批评；情节严重的，依据相关法律法规，追究其主管领导、相关部门负责人及直接责任人的责任；构成犯罪的，依法追究刑事责任。

第十四章 附 则

第一百七十五条 之前发布的其他信息安全管理办法有关规定条款如与本办法不一致的，按本办法执行。

第一百七十六条 本办法由邵阳市农村商业银行负责解释。

‍

第一章    总则

第一条 为加强邵阳市农村商业银行（以下简称农商行）信息系统信息安全、硬件设备、安全运行、故障申报、日常检查、网络安全等管理，防范和化解信息系统的运行风险，杜绝各类事故和案件的发生，根据《湖南省农村信用社信息安全管理办法》、《中华人民共和国信息系统安全保护条例》、《金融机构计算机信息系统安全保护工作暂行规定》、《商业银行信息科技风险管理指引》等规定，结合我农商行实际情况，特制定本办法。

第二条 本办法适用所有使用邵阳市农商行网络或信息资源的其他外部机构和个人，包括农商行辖内网点所有员工，包括在编合同制员工、经批准在岗的短期合同制员工。

第三条 信息系统信息安全工作坚持以预防为主、综合治理、人员防范与技术防范相结合和的原则、按照“谁主管谁负责，谁运行谁负责，谁使用谁负责”的原则，逐级落实单位与个人信息安全责任制。

第四条 信息系统系统信息安全管理员，应当保障信息系统及配套设备的安全、运行环境的安全和信息的安全。

第五条 任何个人不得利用信息系统从事危害国家利益和集体利益的活动、不得危害计算机信息系统的安全。

第二章 组织保障

第六条 农商行设立科技信息部，由科技信息部归口管理信息安全工作，并明确其信息安全管理职责。

第七条 根据省联社要求，农商行成立由农商行领导和各职能部门主要负责人组成信息安全工作领导小组，领导小组办公室设农商行科技信息部，负责协调辖内信息安全管理工作，决定辖内信息安全重大事宜。 第八条 农商行科技信息部门设立信息安全岗位，配备专职信息安全管理人员。负责邵阳农商行信息安全管理，建立完善信息安全管理办法，并组织实施；对农商行信息安全管理工作进行指导和检查督促。

第九条 农商行各支行及各职能部门主要负责人为本部门信息安全第一责任人，同时均应指定至少一名部门信息安全员，具体负责本部门的信息安全管理，协同科技信息部开展信息安全管理工作。

第三章    人员管理

农商行工作人员根据不同的岗位或工作范围，履行相应的信息安全保障职责。科技信息部为农商行信息安全保护专职部门，设信息安全管理员、系统维护管理员、技术维护员等岗位负责全辖信息系统安全运行。各部门及支行要设立信息系统安全管理领导小组，设立部门信息安全员。

第一节 信息安全管理人员

第十条 农商行选派政治思想过硬、具有较高计算机水平的人员从事信息安全管理工作。凡是因违反国家法律法规和湖南省农村信用社有关规定受到过处罚或处分的人员，不得从事此项工作。

第十一条 信息安全管理人员应具有从事金融机构计算机工作三年以上经历，具有本科以上学历。

第十二条 信息安全管理人员必须应经过省联社组织的专业培训与审核，培训与审核合格后方可上岗。上岗后，每年至少参加一次信息安全专业培训。 第十三条 农商行信息安全管理人员在如下职责范围内开展本单位信息安全管理工作： （一）组织落实上级信息安全管理规定，制定信息安全管理办法，协调部门计算机安全员工作，监督检查信息安全保障工作。 （二）审核信息化建设项目中的安全方案，组织实施信息安全保障项目建设，维护、管理信息安全专用设施。 （三）检测网络和信息系统的安全运行状况，检查运行操作、备份、机房环境与文档等安全管理情况，发现问题，及时通报和预警，并提出整改意见。统计分析和协调处置信息安全事件。 （四）定期组织信息安全宣传教育活动，开展信息安全检查、评估与培训工作。 第十四条 信息安全管理人员在履行职责时，确因工作需要查询相关涉密信息，须经本部门负责人同意后向本单位保密主管部门提交申请，获得批准后方可查询。 第十五条 信息安全管理人员实行备案管理办法。信息安全管理人员的配备和变更情况应及时报上一级科技信息部备案。

第十六条 信息安全管理人员调离岗位，必须严格办理调离手续，承诺其调离后的保密义务。涉及农村信用社业务核心技术的计算机安全人员调离单位，必须进行离岗审计，并在规定的脱密期后，方可调离。

第二节 部门信息安全员

第十七条 各部门和各级支行应指派素质好、较熟悉计算机知识的人员担任部门信息安全员，并报农商行科技信息部备案。如有变更应做好交接工作，并及时通报科技信息部。 第十八条 部门信息安全员配合农商行信息安全管理人员工作，并参加各项信息安全技能培训。 第十九条 部门信息安全员在如下职责范围内开展工作： （一）负责本部门计算机病毒防治工作，监督检查本部门客户端安全管理情况。 （二）负责提出本部门信息安全保障需求，及时与农商行信息安全管理人员沟通信息安全信息。 （三）负责本部门国际互联网使用和接入安全管理，组织开展本部门信息安全自查，协助科技信息部完成对本部门的信息安全检查工作。

第三节 技术支持人员

第二十条 本办法所称技术支持人员，是指参与邵阳农商行网络、信息系统、机房环境等建设、运行、维护的内部技术支持人员和外包服务人员。 第二十一条 农商行内部技术支持人员在履行网络和信息系统建设和日常运行维护职责过程中，应承担如下安全义务： （一）不得对外泄露或引用工作中触及的任何敏感信息。严格权限访问，未经批准不得擅自改变系统设置或修改系统生成的任何业务数据。 （二）主动检查和监控生产系统安全运行状况，发现安全隐患或故障及时报告本部门主管领导，并及时响应、处置。 （三）严格操作管理、测试管理、应急管理、配置管理、变更管理、档案管理等工作办法，做好数据备份工作。 第二十二条 外部技术支持人员应严格履行外包服务合同（协议）的各项安全承诺。提供技术服务期间，严格遵守湖南省农村信用社相关安全规定与操作规程，关键操作应经授权，并有农商行内部员工在场。不得拷贝或带走任何配置参数信息或业务数据，不得对外泄露或引用任何工作信息。

第四节 业务系统操作人员

第二十三条 本办法所称业务系统操作人员是指直接操作业务系统进行业务处理的业务工作人员。 第二十四条 业务系统操作人员应承担如下安全义务： （一）严格规程操作，防止误操作。定期修改操作密码并妥善保管，按需、适时进行必要的数据备份。 （二）发现业务系统出现异常及时报告科技信息部。 （三）不得在操作终端上安装与业务系统无关的软件和硬件，不得擅自修改业务系统及其运行环境参数设置。 第二十五条 业务系统操作应按照“权限分散、不得交叉任职”原则，严格进行操作角色划分和授权管理。技术支持人员不得兼任业务系统操作人员。

第五节 一般计算机用户

第二十六条 本办法所称一般计算机用户是指使用计算机设备的所有人员。 第二十七条 一般计算机用户应承担如下安全义务： （一）及时更新所用计算机的病毒防治软件和安装补丁程序，自觉接受本部门信息安全员的指导与管理。 （二）不得安装与办公和业务处理无关的其他计算机软件和硬件，不得修改系统和网络配置参数。 （三）未经科技信息部检测和授权，不得将接入湖南省农村信用社内部网络的所用计算机转接入国际互联网；不得将便携式计算机接入湖南省农村信用社内部网络；不得随意将个人计算机带入机房或私自拷贝任何信息。

第六节 信息系统要害岗位人员

第二十八条 本办法所称信息系统要害岗位人员，是指与重要信息系统直接相关的系统管理员、网络管理员、系统开发人员、系统维护员等内部技术支持人员和重要业务操作等岗位人员。

第二十九条 本办法所称重要信息系统是指湖南省农村信用社面向客户的业务处理类、渠道类和涉及客户风险管理等业务的管理类信息系统，以及支撑系统运行的机房和网络等基础设施。

第三十条 要害岗位人员上岗前必须经农商行人事部门进行政治素质审查，技术部门进行业务技能考核，合格者方可上岗。

第三十一条 要害岗位人员上岗必须实行“权限分散、不得交叉覆盖”的原则，按照“必需知道”和“最小授权”原则，严格设定各用户的操作权限。

第三十二条 对要害岗位人员应实行年度强制休假办法和定期考查办法，并进行必要的安全教育和培训。

第三十三条 要害岗位人员调离岗位，必须严格办理调离手续，承诺其调离后的保密义务。涉及信用社业务保密信息的要害岗位人员调离单位，必须进行离岗审计，在规定的脱密期后，方可调离。

第三十四条 要害岗位人员离岗后，必须即刻更换操作密码或注销用户。

第三十五条 系统管理员安全责任

（一）负责系统的运行管理，实施系统安全运行细则；

（二）严格用户权限管理，维护系统安全正常运行；

（三）认真记录系统安全事项，及时向计算机安全人员报告安全事件；

（四）对进行系统操作的其他人员予以安全监督。

第三十六条 系统开发员安全责任

（一）系统开发建设中，应严格执行系统安全策略，保证系统安全功能的准确实现；

（二）系统投产运行前，应完整移交系统源代码和相关涉密资料；

（三）不得对系统设置后门；

（四）对系统核心技术保密。

第三十七条 系统维护员安全责任

（一）负责系统维护，及时解除系统故障，确保系统正常运行；

（二）不得擅自改变系统参数配置；

（三）不得安装与系统无关的其他计算机程序；

（四）维护过程中，发现安全漏洞应及时报告计算机安全人员。

第三十八条 各要害岗位人员必须严格遵守保密法规和有关信息安全管理规定。

第四章 机房环境和设备资产管理

第一节 机房环境安全管理

第三十九条 本办法所称机房是指信息系统等主要设备放置、运行场所以及供配电、通信、空调、消防、监控等配套环境设施。 第四十条 农商行机房的规划、建设、改造、运行、维护由科技信息部负责。 第四十一条 农商行机房应符合国家计算机机房有关标准、监管部门有关要求和省联社有关规定，满足下列基本安全要求：

（一）机房周围100米内不得存在危险建筑物，如加油站、煤气站等。

（二）机房应配备防电磁干扰、防电磁泄漏、防静电、防水、防盗、防鼠害等设施。

（三）机房应安装门禁系统、防雷系统、监视系统、消防系统、报警系统。

（四）机房应设专用的供电系统，配备必要的ups和发电机。

第四十二条 机房建设、改造的方案应报上市网络中心备案。必要时，由市网络中心会同财务、保卫等部门进行审核。 第四十三条 机房建设或改造应选择具有国家建筑装修装饰工程专业承包三级以上资质、两年以上从事计算机机房设计与施工经验的专业化公司。重要机房建设或改造工程应引入监理办法。

第四十四条 计算机机房实行分区管理原则。核心区实行24小时连续监控，生产区实行工作时间连续监控，辅助区实施联动监控。

第四十五条 监控设备的安装应符合安全保密原则，确保监控的安全规范运作，防止监控信息的泄密。

第四十六条 农商行机房应建立机房设施与场地环境集中监控系统，对机房空调、消防、不间断电源（ups）、供配电、门禁系统等重要设施实行全面监控，通过技术和管理手段，确保计算机机房及配套设施安全。 第四十七条 农商行机房投入使用前，应经过当地公安消防部门的消防验收和本单位科技、保卫部门组织的验收，并出具明确结论的验收报告。未经验收或验收不合格的机房均不得投入使用。 第四十八条 农商行建立健全机房管理办法，并指派专人担任机房管理员，落实机房安全责任制。机房管理员应经过相关专业培训，熟知机房各类设备的分布和操作要领，定期巡查机房，发现问题及时报告。

第四十九条 机房管理员负责妥善保管机房建设或改造的所有文档、图纸以及机房运行记录等有关资料，并随时提供调阅。

第五十条 农商行加强出入机房人员管理。禁止未经批准的外部人员进入机房。非机房工作人员进出机房须经主管部门领导批准，并办理登记手续，由专人陪同。

第五十一条 建立机房定期维修保养办法。易受季节、温度等环境因素影响的设备、已逾保修期的设备、近期维修过的设备等应成为保养的重点。

第五十二条 向社会提供公众服务的柜面和核心业务处理环境应严格出入安全管理，应安装门禁、防入侵报警、视频监视录像系统，实行定时录像监控，并适当配置自动监控报警功能。 第五十三条 所有门禁、防入侵报警、视频监视录像系统的信息资料由专人保管，至少保存三个月。

第二节 设备资产管理

第五十四条 农商行科技信息部建立完备的计算机设备登记办法，严格资产管理，明确计算机设备使用者或管理者及其安全责任。 第五十五条 农商行科技信息部根据计算机设备重要程度采取不同的安全保护措施，制定完善的访问控制策略，防止未经授权使用设备或信息。有特殊安全要求的计算机设备应放置在机房的特殊功能区，必要时，单独建立门禁与监控系统，或配备防电磁泄露的屏蔽装置等。

第五章 网络安全管理

第一节 网络规划建设安全管理

第五十六条 省联社信息科技部负责网络和网络安全的统一规划、建设部署、策略配置和网络资源（网络设备、通讯线路、ip地址和域名等）分配。 第五十七条 农商行科技信息部按照省联社信息科技部的统一规划和总体部署，组织实施网络建设、改造工程。农商行局域网的建设与改造方案应报上一级科技信息部审核、备案，投产前应通过本单位组织的安全测试。 第五十八条 农商行的网络建设和改造应符合如下基本安全要求： （一）符合湖南省农村信用社网络安全管理要求，使用内容过滤、身份认证、防火墙、病毒防范、入侵检测、漏洞扫描、数据加密等技术手段，有效降低外部攻击、信息泄漏等风险，保障网络传输与应用安全。 （二）具备必要的网络监测、跟踪和审计等管理功能。 （三）根据信息安全级别，将网络划分为不同的逻辑安全域。针对不同的网络安全域，采取必要和有效的安全控制措施。

第二节 网络运行安全管理

第五十九条 农商行科技信息部建立健全网络安全运行办法，配备网络管理员。网络管理员负责日常监测和检查网络安全运行状况，管理网络资源及其配置信息，建立健全网络运行维护档案，及时发现和解决网络异常情况。

（一）负责网络的运行管理，实施网络安全策略和安全运行细则；

（二）安全配置网络参数，严格控制网络用户访问权限，维护网络安全正常运行；

（三）监控网络关键设备、网络端口、网络物理线路，防范黑客入侵，及时向计算机安全人员报告安全事件；

（四）对操作网络管理功能的其他人员进行安全监督。

第六十条 网络管理员定期参加网络安全技术培训，具备一定的非法入侵、病毒蔓延等网络安全威胁的应对技能，紧急情况下，经本部门主管领导授权后可采取“先断网、后处理”的紧急应对措施。

第六十一条 农商行科技信息部严格网络接入管理。任何设备接入网络前，接入方案、设备的安全性等应经过审核与必要的检测，审核（检测）通过后方可接入并分配相应的网络资源。 第六十二条 农商行科技信息部严格网络变更管理。网络管理员在调整网络重要参数配置和服务端口前，应书面请示本部门主管领导，变更信息应做好记录。实施有可能影响网络正常运行的重大网络变更，应提前通知所有使用部门并安排在节假日进行，同时做好配置参数的备份和应急恢复准备。 第六十三条 农商行严格远程访问控制。确因工作需要进行远程访问的部门和人员应向科技信息部提出书面申请，并采取相应的安全防护措施。 第六十四条 信息安全管理人员经本部门主管领导批准，有权对本单位或辖内网络进行安全检测、扫描和评估。检测、扫描和评估结果属敏感信息，不得向外界提供。未经省联社信息科技部授权，任何外部单位与人员不得检测、扫描湖南省农村信用社内部网络。 第六十五条 农商行应以不影响业务的正常网络传输为原则，合理控制多媒体网络应用规模和范围。未经省联社信息科技部批准，不得在湖南省农村信用社内部网络上提供跨辖区视频点播等严重占用网络资源的多媒体网络应用。

第三节 网间互联安全管理

第六十六条 本办法所称网间互联是指为满足邵阳市农村商业银行与其他外部机构信息交换或信息共享需求实施的机构间网络互联。 第六十七条 网间互联由省联社信息科技部统一规划，按照相关标准组织实施。未经省联社信息科技部核准，任何单位不得自行与外部机构实施网间互联。

第六十八条 经批准与其他业务相关机构进行网络连接，应采用必要的技术隔离保护措施，对联网使用的用户必须采用一人一帐户的访问控制。

第四节 接入国际互联网管理

第六十九条 邵阳市农村商业银行内部网络与国际互联网实行物理隔离。所有接入邵阳市农村商业银行内部网络或存储有敏感工作信息的计算机，不得直接或间接接入国际互联网。 第七十条 计算机接入国际互联网应通过本单位保密主管部门批准，并确保安装有湖南省农村信用社选定的防病毒软件和最新补丁程序。科技信息部凭相关批准证明实施联网，并做好备案。曾接入邵阳市农村商业银行内部网络的计算机需改接入国际互联网前应重新办理以上审批手续，科技信息部确保该计算机已删除敏感工作信息后方可实施接入。 第七十一条 未经科技信息部安全检测，曾接入国际互联网的计算机不得直接接入湖南省农村信用社内部网络。从国际互联网下载的任何信息，未经病毒检测不得在内部网络上使用。 第七十二条 使用国际互联网的所有用户应遵守国家有关法律法规和湖南省农村信用社相关管理规定，不得从事任何违法违规活动。

第六章 信息系统安全管理

第七十三条 本办法所指的信息系统是邵阳市农村商业银行业务处理系统、管理信息系统和日常办公自动化系统等，包括数据库、软件和硬件支撑环境等。

第一节 信息系统规划与立项

第七十四条 信息系统建设项目应在规划与立项阶段同步考虑安全问题，建设方案应满足邵阳市农村商业银行信息安全保障总体规划的相关要求。项目技术方案应包括以下基本安全内容： （一）业务需求部门提出的安全需求。 （二）安全需求分析和实现。 （三）运行平台的安全策略与设计。

第七十五条 信息系统应采取与业务安全等级要求相应的安全机制，在安全防护方面应符合下列基本安全要求：

（一）采取必要的技术手段，建立严密的安全管理控制机制，保证数据信息在处理、存储和传输过程中的完整性和安全性，防止数据信息被非法使用、修改和复制；

（二）提供完整的数据备份和恢复功能，能方便地根据系统和数据的备份介质进行灾难恢复；

（三）具有严格的用户和密码管理，能对不同级别的用户进行有限授权，特别应严格限制和分流特权用户的权限，防止非法用户的侵入和破坏；

（四）重要信息系统应设置审计监控程序，具有身份识别和实体认证功能。能够自动记录操作人员的重要操作，具有防止抵赖机制；

（五）涉密信息系统的安全设计应符合涉密信息保密管理的有关规定。

第七十六条 农商行科技信息部负责对项目技术方案进行安全专项审查并提出审查意见，未通过安全审核的项目不得予以立项。

第二节 信息系统开发与集成

第七十七条 信息系统开发应符合软件工程规范，依据安全需求进行安全设计，保证安全功能的完整、准确实现。

第七十八条 信息系统开发单位应在完成开发任务后将程序源代码及其相关技术文档全部移交邵阳市农村商业银行科技信息部。外部开发单位还应与邵阳市农村商业银行签署相关知识产权保护协议和保密协议，不得将信息系统采用的关键安全技术措施和核心安全功能设计对外公开。 第七十九条 信息系统的开发人员不能兼任信息系统管理员或业务系统操作人员，不得在程序代码中植入后门和恶意代码程序。

第八十条 信息系统开发、测试和程序的修改工作不得在生产环境中进行。 第八十一条 涉密信息系统集成应选择具有国家相关部门颁发的涉密系统集成资质证书的单位或企业，并签订严格的保密协议。

第三节 信息系统上线与运行

第八十二条 农商行信息系统上线运行实行安全审查办法，未通过安全审查的任何新建或改造信息系统不得投产运行。具体要求如下： （一）项目承担单位（部门）应组织制定安全测试方案，进行系统上线前的自测试并形成测试报告，报科技信息部审查。 （二）科技信息部应提出明确的测试方案和测试报告审查意见。必要时，可组织专家评审或实施信息系统漏洞扫描检测。

（三）信息系统建设牵头业务部门应在信息系统投产运行前同步制定相关安全操作规定，报科技信息部备案。

第八十三条 信息系统投入运行前，应向省联社科技部和市网络中心提出安全评估和审批申请，并报送下列材料：

（一）系统的用途、总体结构及软硬件配置等基本情况；

（二）关于系统安全需求、安全策略、安全性指标、安全保护措施以及安全功能设计等情况的说明；

（三）系统安全性测试提纲和测试报告；

（四）信息系统安全评估和审批报告书。

第八十四条 科技信息部应当对报送的书面材料进行初步审查。委托相关权威机构组建由相关业务和技术专家组成的安全评估委员会或安全评估专家组，对信息系统进行安全性测试、认证。

第八十五条 对信息系统的安全评估应当包括以下内容：

（一）系统的安全策略；

（二）系统安全措施；

（三）系统安全功能的实现程度；

（四）系统运行的稳定性、可靠性；

（五）系统运行平台的安全可靠性。

第八十六条 安全评估委员会或安全评估专家组应对测试、认证的信息系统提出安全评估报告，并出具信息系统安全评估和审批报告书。

第八十七条 信息系统运行平台应符合以下安全管理要求：

（一）合理配置操作系统、数据库管理系统所提供的安全审计功能，以达到相应安全等级标准。

（二）屏蔽与应用系统无关的所有网络功能，防止非法用户的侵入。

（三）按照网络管理规范及其业务应用范围设置联网设备的ip地址及网络参数。

（四）及时安装正式发布的系统补丁，修补系统存在的安全漏洞。

第八十八条 农商行科技信息部明确系统管理员（系统维护员），具体负责信息系统的日常运行管理，监测系统运行日志，掌握系统运行状况，并建立重要信息系统运行维护档案，详细记录系统变更及操作过程。重要业务系统的系统设置要求双人在场。

第八十九条 系统管理员不得兼任业务操作人员，不得安装与系统无关的其他计算机程序；维护过程中，发现安全漏洞应及时报告计算机安全人员。

第九十条 系统管理员确需对业务系统进行维护性操作的，应征得业务部门同意并在业务操作人员在场的情况下进行，并详细记录维护内容、人员、时间等信息。

第九十一条 未经业务主管部门领导书面批准，其他任何人不得擅自使用业务操作人员用机，不得擅自设置、分配、使用、修改、删除操作员代码、口令和业务数据，不得擅自改变用户权限。

第四节 业务操作

第九十二条 业务部门负责信息系统业务操作用户和权限设定，科技信息部根据-授权进行相关设定操作。 第九十三条 业务操作人员应严格按照安全操作规程进行业务操作和必要的数据备份，并配合科技信息部保障信息安全。一旦发现信息系统运行异常及时向本部门领导和科技信息部报告。 第九十四条 业务操作人员应设置本人口令密码，并严格保密，防止口令密码泄漏。严禁向其他任何人泄露本人口令密码。 第九十五条 凡是能够执行录入、复核办法的信息系统，业务操作人员不得一人兼录入、复核两职。未经业务部门主管领导批准，不得代岗、兼岗。 第九十六条 业务操作人员离开操作用机时，应按序退出信息系统，回到操作系统初始状态，防止业务数据被复制、修改、删除以及误操作。

第五节 信息系统废止

第九十七条 实行信息系统废止申报、备案办法。使用信息系统的业务部门根据需要向科技信息部提出废止申请，由科技信息部组织进行安全检查后予以废止，同时备案。 第九十八条 对已经废止的信息系统软件和数据备份介质，科技信息部按业务规定在一定期限内妥善保存。超过保存期限后需要销毁的，应在本单位保密主管部门监督下予以不可恢复性销毁。

第七章 客户端安全管理

第九十九条 本办法所称客户端是指邵阳市农村商业银行计算机用户、网络与信息系统所使用的终端设备，包括台式个人计算机（pc）、便携式计算机、柜员终端、自动柜员机（atm）、存折打印机、读卡器、销售终端（pos）和个人数字助理（pda）等。 第一百条 农商行应建立完善的客户端管理办法，记录所有客户端设备信息和软件配置信息，采用桌面终端安全管理软件集中实现桌面终端安全策略。 第一百零一条 客户端应安装和使用正版软件，不得安装和使用盗版软件，不得安装和使用与工作无关的软件。 第一百零二条 客户端应统一安装病毒防治软件，设置用户密码和屏幕保护口令等安全防护措施，确保安装最新的病毒特征码和必要的补丁程序。 第一百零三条 确因工作需要经授权可远程接入内部网络的用户，应严格保存其身份认证介质及口令密码，不得转借其他人使用。

第八章 信息安全专用产品与服务管理

第一节 资质审查与选型购置

第一百零四条 本办法所称信息安全专用产品，是指邵阳市农村商业银行安装使用的专用安全软件、硬件产品。本办法所称信息安全服务，是指邵阳市农村商业银行向社会购买的专业化安全服务。 第一百零五条 省联社信息科技部负责信息安全服务提供商的资质审查和信息安全专用产品的选型，农商行在选型范围内按规定选购。 第一百零六条 农商行购置扫描、检测类信息安全专用产品应报省联社信息科技部批准，省联社信息科技部应进行登记备案。

第二节 使用管理

第一百零七条 农商行科技信息部建立信息安全专用产品登记使用办法，建立信息安全类固定资产使用登记簿并由专人负责管理。扫描、检测类信息安全专用产品仅限于本单位信息安全管理人员使用。 第一百零八条 农商行科技信息部随时检查各类信息安全专用产品使用情况，认真查看相关日志和报表信息并定期汇总分析。如发现重大问题，立即采取控制措施并按规定程序报告。 第一百零九条 各类信息安全专用产品在使用中产生的日志和报表信息属于重要技术资料，应备份存档至少三个月。 第一百一十条 农商行科技信息部及时升级维护信息安全专用产品，凡因超过使用期限的或不能继续使用的信息安全专用产品，按照固定资产报废审批程序处理。 第一百一十一条 防火墙、入侵检测等安全专用产品原则上应在本地配置。如需要进行远程配置，由科技信息部或经科技信息部授权在可信网络内并采取了必要的安全控制措施后进行操作。

第九章 数据、文档与密码管理

第一节 数据安全

第一百一十二条 本办法中所称的数据是指以电子形式存储的邵阳市农村商业银行业务数据、客户信息、系统运行日志、故障维护日志以及其他内部资料。

第一百一十三条 农商行应建立和实施信息分类及保护体系，明确科技信息分类、定密、解密、备份、调用、保管、运输等方面的工作流程和管理要求。 第一百一十四条 农商行业务部门负责提出数据在输入、处理、输出等不同状态下的安全需求，科技信息部负责审核安全需求并提供一定的技术实现手段。

第一百一十五条 农商行应制定数据管理办法和数据处理的流程和审批手续，加强数据的保密管理。 第一百一十六条 农商行业务部门应严格管理业务数据的增加、修改、删除等变更操作，适时进行业务数据有效性检查，按照既定备份策略执行数据备份任务，并定期测试备份数据的有效性和预演数据恢复流程。 第一百一十七条 农商行科技信息部系统管理员(网络管理员)负责定期导出重要信息系统和网络日志文件并明确标识存储内容、时间、密级等信息。日志文件应至少保留一年，妥善保管。 第一百一十八条 农商行业务部门应明确规定备份数据的保存时限和密级，建立备份数据调阅、销毁审批登记办法，并根据数据重要性级别分类采取相应的安全销毁措施。 第一百一十九条 所有数据备份介质应注意防磁、防潮、防尘、防高温、防挤压存放。恢复及使用备份数据时需要提供相关口令密码的，应把口令密码密封后与数据备份介质一并妥善保管。

第一百二十条 农商行应制定客户信息管理办法和流程，严格管理客户信息的采集、处理、存储、传输、分发、备份、恢复、清理和销毁。不得非法买卖、泄露客户个人信息，包括客户基本信息及存贷款与征信等业务信息。禁止通过互联网传输客户资料和交易数据信息。

第二节 技术文档

第一百二十一条 本办法所称技术文档是邵阳市农村商业银行网络、信息系统和机房环境等建设与运行维护过程中形成的各种纸质技术资料，包括文档、电子文档、视频和音频文件等。包括系统与网络设计文档、参数配置文档、软件开发文档及其源程序等。 第一百二十二条 农商行科技信息部负责将技术文档统一归档，严格管理，并实行借阅登记办法。未经科技信息部领导批准，任何人不得将技术文档转借、复制和对外公布。

第三节 存储介质

第一百二十三条 农商行应建立健全磁带、光盘、移动存储介质、已打印文档等存储介质管理流程。已存储信息的存储介质应保存在安全的物理环境中并有明晰的标识，统一编号，并标明信息生成或备份日期、密级及保密期限。重要信息系统备份介质应按规定异地存放。 第一百二十四条 农商行应做好存储介质在物理传输过程中的安全控制，应选择可靠的传递方式和防盗控制措施。重要信息的存取需要授权和记录。 第一百二十五条 农商行应制定移动存储设备（u盘、移动硬盘等）管理办法，加强移动存储设备在生产环境中的管理和使用。禁止内网移动存储设备在外网使用，禁止外网移动存储设备在内网系统中使用。 第一百二十六条 农商行应建立存储介质销毁办法，对载有敏感信息的存储介质应采用焚烧或粉碎等方式进行处置并做好记录。

第四节 口令密码

第一百二十七条 农商行信息系统要害岗位人员均须设置用户口令密码，并独享使用，不得泄露，且至少每三个月更换一次。口令密码的强度应满足不同安全性要求，不得设置过于简单的弱口令密码。 第一百二十八条 敏感信息系统和设备的口令密码设置应在安全的环境下进行，必要时应将口令密码笔录、密封交主管部门保管,并确保记录载体的安全。未经主管部门领导许可，任何人不得擅自拆阅密封的口令密码。拆阅后的口令密码使用后应立即更改并再次密封存放。 第一百二十九条 农商行应根据实际情况在一定时限内妥善保存重要信息系统升级改造前的口令密码。

第五节 密码技术应用管理

第一百三十条 农商行涉密网络和信息系统应严格按照国家密码政策规定，采用相应的加密措施。非涉密网络和信息系统应依据湖南省农村信用社实际需求和统一安全策略，合理选择加密措施。 第一百三十一条 农商行选用的密码产品和加密算法应符合国家相关密码管理政策规定，密码产品自身的物理和逻辑安全性应符合湖南省农村信用社的相关安全要求。 第一百三十二条 农商行应建立严格的密钥管理体制，密钥管理人员必须是本单位在编的正式员工，并逐级进行备案，规范管理密钥产生、存储、分发、使用、废除、归档、销毁等过程。 第一百三十三条 农商行应在安全环境中进行关键密钥的备份工作，并确保密钥副本的物理安全，且须设置遇紧急情况下密钥自动销毁功能。 第一百三十四条 各类密钥应定期更换，对已泄露或怀疑泄露的密钥应及时废除，过期密钥应安全归档或定期销毁。

第十章 第三方访问和外包安全管理

第一节 第三方访问控制

第一百三十五条 本办法所称第三方访问是指邵阳市农村商业银行之外的单位和个人物理访问邵阳市农村商业银行计算机房或者通过网络连接逻辑访问邵阳市农村商业银行数据库和信息系统等活动。 第一百三十六条 农商行保密工作委员会负责涉密信息系统和网络相关的第三方访问授权审批，农商行科技信息部负责非涉密信息系统和网络相关的第三方访问授权审批。未经邵阳市农村商业银行授权的任何第三方访问均视为非法入侵行为。 第一百三十七条 允许被第三方访问的邵阳市农村商业银行信息系统和资源应建立存取控制机制、认证机制，列明所有用户名单及其权限，严格监督第三方访问活动。 第一百三十八条 获得第三方访问授权的所有单位和个人应与湖南省农村信用社签订安全保密协议，不得进行未授权的修改、增加、删除数据操作，不得复制和泄露湖南省农村信用社任何信息。

第二节 外包安全管理

第一百三十九条 本办法所称外包服务是指由邵阳市农村商业银行之外的其他社会厂商为邵阳市农村商业银行信息系统、网络或桌面环境提供全面或部分的开发、维护技术支持、咨询等服务。

第一百四十条 信息科技外包服务应按照《湖南省农村信用社信息科技外包管理暂行办法》签订正式的外包服务协议，协议应明确约定外包服务商的安全义务。

第一百四十一条 经本单位科技信息部领导批准，外包服务提供商可提供上门维护服务并由邵阳市农村商业银行科技人员在场准确记录所有技术配置变更信息。外包服务提供商不得查看、复制涉密信息或将涉密介质带离湖南省农村信用社。 第一百四十二条 计算机设备确需送外单位维修时，科技信息部应彻底清除所存工作信息，必要时应与设备维修厂商签订保密协议。与密码设备配套使用的计算机设备送修前必须请生产设备的科研单位拆除与密码有关的硬件，并彻底清除与密码有关的软件和信息。

第十一章 灾难备份与应急管理

第一节 灾难备份管理

第一百四十三条 灾难备份是指利用技术、管理手段以及相关资源，确保已有业务数据和信息系统在地震、水灾、火灾、战争、恐怖袭击、网络攻击、设备系统故障、人为破坏等无法预料的突发事件（以下称“灾难”）发生后在规定的时间内可以恢复和继续运营的有序管理过程。 第一百四十四条 科技信息部按照“统筹安排、资源共享、平战结合”的原则，负责邵阳市农村商业银行重要信息系统灾难备份的统一规划、实施和管理。 第一百四十五条 农商行相关业务部门负责提出业务系统灾难备份需求，明确可容忍的业务中断时间（恢复时间目标rto）和数据丢失量(恢复点目标rpo)。省联社信息科技部据此确定灾难备份等级和备份方案。 第一百四十六条 农商行应建立健全灾难恢复计划，定期开展灾难恢复培训。在条件许可的情况下，由省联社信息科技部统一部署，重要信息系统至少每年进行一次灾难恢复演练，包括异地备份站点切换演练和本地系统灾难恢复演练。

第二节 应急管理

第一百四十七条 应急预案是针对可能发生的意外事件并可能导致业务差错和停顿，甚至系统混乱、崩溃等灾难而采取的应对策略、措施的有机集合。 第一百四十八条 在信息系统推广应用方案中应同时设计应急备份策略，同步实施备份方案。 第一百四十九条 农商行应制定和不断完善网络、信息系统和机房环境等应急预案。预案的编制工作由科技信息部和相关业务部门共同完成。 第一百五十条 应急预案应包括以下基本内容： （一）总则（目标、原则、适用范围、预案调用关系等）。 （二）应急组织机构。 （三）预警响应机制（报告、评估、预案启动等）。 （四）各类危机处置流程。 （五）应急资源保障。 （六）事后处理流程。 （七）预案管理与维护（生效、演练、维护等）。 第一百五十一条 农商行应定期组织应急预案的演练，并指定专人管理和维护应急预案，根据人员、信息资源等变动情况以及演练情况适时予以更新和完善，确保应急预案的有效性和灾难发生时的可获取性。 第一百五十二条 农商行信息安全工作领导小组统一负责各业务系统的应急协调与指挥，决定重大事宜（决定应急预案的启动、灾难宣告、预警相关单位等）和调动应急资源。 第一百五十三条 农商行应按照湖南省农村信用社信息安全事件报告办法进行信息通报，一般信息安全事件应逐级通报，发生因人为、自然原因造成信息系统瘫痪以及利用计算机实施犯罪等影响和损失较大的信息安全事件（下称“重大信息安全事件”）应直接报省联社信息科技部。

第一百五十四条 重大信息安全事件发生后，农商行相关人员应注意保护事件现场，采取必要的控制措施，调查事件原因，并及时报告本单位主管领导。

第一百五十五条 农商行应在重大信息安全事件发生后的两小时内按规定程序报上一级科技信息部。    第一百五十六条 农商行办公室负责统一向社会发布应急事件公告，其他任何单位或个人不得向社会发布应急事件公告。

第十二章 安全检查评估与培训

第一节 监测检查

第一百五十七条 农商行科技信息部应整合和利用现有网络管理系统、计算机资源监控系统、专用安全监控系统以及相关设备与系统的运行日志等监控资源，加强对网络、重要信息系统和机房环境等设施的安全运行监测。 第一百五十八条 农商行科技信息部应建立运行监测周报、月报或季报办法，报送本单位信息安全工作领导小组和上一级科技信息部，抄送相关业务部门。 第一百五十九条 农商行要及时预警、响应和处置运行监测中发现的问题，发现重大隐患和运行事故应及时协调解决，并报上一级单位相关部门。

第一百六十条 农商行科技信息部应至少每年组织一次本单位或辖内的信息安全专项检查，安全检查方式可以是自查、互查或上级检查多种方式。 第一百六十一条 农商行在开展安全检查前应以安全管理办法为依据制订详细的检查方案和计划，确保检查工作的可操作性和规范性。安全检查完成后应及时形成检查报告，经本单位主管领导批准后将检查整改报告尽快送达被检查单位。要求限期整改的，需要对相关整改情况进行后续跟踪。 第一百六十二条 农商行参加检查的人员对检查中的涉密信息负有保密责任。所有检查报告和资料应作为湖南省农村信用社内部材料妥善保管，不得向外界泄露。 第一百六十三条 农商行应将每次安全检查报告和整改落实情况整理汇总后报上一级科技信息部备案。

第二节 评估审计

第一百六十四条 农商行科技信息部可采用自评估、检查评估和委托评估等方式，每年至少组织一次对本单位或辖内重要信息系统的安全评估。

第一百六十五条 安全评估应在不影响信息系统正常运行的情况下进行。评估开始前，应制定评估方案并进行必要的培训。评估结束后，形成评估报告，提出整改意见报本单位科技信息部主管领导。 第一百六十六条 农商行如聘请第三方机构进行安全评估，报省联社信息科技部批准，并与第三方评估机构签订安全保密协议后方可进行。本单位信息安全管理人员全程参与评估过程并实施监督。 第一百六十七条 农商行妥善保管信息安全评估报告，未经授权不得对外透露评估信息。

第一百六十八条 农商行定期对重要信息系统进行安全等级保护测评。开展等保测评工作应遵循《金融行业信息系统信息安全等级保护测评指南》和《金融行业信息安全等级保护测评服务安全指引》的有关规定，确保测评有效和测评安全。

第一百六十九条 农商行科技信息部在支持与配合内审部门开展信息安全工作审计的同时，应适时开展本单位和辖内的信息系统日常运行管理和信息安全事件全过程的技术审计，发现问题及时报本单位或上一级单位主管领导。 第一百七十条 农商行应做好操作系统、数据库管理系统等审计功能配置管理，并完整保留相关日志记录。

第三节 安全培训

第一百七十一条 农商行应至少每年对信息安全管理人员进行一次专业培训，不断提高信息安全管理人员专业技能和管理水平。

第一百七十二条 农商行应开展全员信息安全教育，对本单位全体正式和非正式员工进行必要的培训，提高全体员工信息安全意识，使全体员工充分了解其职责范围内的信息保护流程及违反规定的后果。

第十三章 奖励与处罚

第一百七十三条 农商行将本单位和辖内信息安全管理工作纳入年度考评，对表现突出的单位和个人应进行通报表彰并给予一定形式的奖励。 第一百七十四条 对于违反本办法，造成重大信息安全事件的单位及个人，要给予通报批评；情节严重的，依据相关法律法规，追究其主管领导、相关部门负责人及直接责任人的责任；构成犯罪的，依法追究刑事责任。

第十四章 附 则

第一百七十五条 之前发布的其他信息安全管理办法有关规定条款如与本办法不一致的，按本办法执行。

第一百七十六条 本办法由邵阳市农村商业银行负责解释。

第2篇 以管理信息系统规范班组的安全管理

飞来峡水利枢纽位于广东省北江干流中游清远市飞来峡管理区境内，以防洪为主，兼有航运、发电、养殖、供水、旅游和改善生态环境等多种效益。由于枢纽生产班组众多，且专业差别较大，班组内技术人员和工人的素质也不尽相同，这就导致了班组安全生产管理工作的难度增大。安全生产管理的职能部门难以及时掌握生产部门各班组有关的情况；班组之间有很多有用的信息难以共享，对整体安全生产管理水平的提高不利；故障和隐患处理等程序费时费力，跟不上社会信息化的步伐。随着电脑应用的普及和管理信息系统技术的日趋成熟，对班组的安全生产管理实行信息化处理显得更为迫切。

1 信息系统的设置

为实现管理信息化，管理局于2001年建立了信息管理系统。系统包括了生产、安全管理、政工、人事、后勤等方面的内容，包含了局日常工作的主要方面。其中安全监察子系统的功能就是实现局安全生产工作的信息化管理。目前安全监察子系统包括了安全工具检查、安全生产活动、安全生产档案、消防安全管理等4个方面：

(1) 安全工具，包含安全帽及绝缘工具的检查；

(2) 安全生产活动包含安全事故预想记录，反事故演习记录，异常情况分析，安全事故，障碍及异常分析；

(3) 安全生产档案，包含安全生产学习档案，安全生产检查档案，安全生产事故处理档案，人身事故情况，安全生产隐患处理档案；

(4) 消防安全管理，包含消防器材记录，消防检查记录，消防演习记录，火灾事故记录，火灾隐患处理档案。

班组安全管理的内容非常广泛，通常包括安全教育培训、安全活动以及现场作业安全管理等。经过系统的试运行表明，系统的模块设置是能满足目前班组的安全管理要求的。

2 信息管理系统的推广应用

信息管理系统建立以后，进入试运行阶段。班组常规安全生产学习活动照常进行，跟以往相比，不同的是将学习检查的情况录入信息管理系统内相应的模块，而不是记在笔记本上。安全监察职能部门定期在网络上进行检查，对于未按时录入或录入不规范的，要及时提醒，对于未开展相关活动的，要限期整改。大量的安全生产信息也通过系统实现共享和相互交流。通过1年多的推广应用，班组安全生产的日常管理工作均实现了信息化。

缺陷及故障处理是保证设备安全运行的一个重要环节，纳入mis系统以后，发现缺陷的部门可以直接进入系统，填写缺陷单，辅以电话通知就可立即将信息传达到维护检修部门，并且可以签收。检修部门处理后，同样可辅以电话，申请运行部门进行验收，运行部门可以在电脑上签字。从上面的过程可以看出，通过信息系统提高了处理缺陷和故障的效率。对于事故、重大的缺陷等紧急情况，则可进行特殊处理，过后及时填写有关记录。

信息管理系统的推广应用中也会遇到一些阻力，需要一个过程来适应。比如工作票的签发，按以往的做法是，以书面的形式，由工作负责人填写工作票，提交工作票签发人签发，然后开展工作。改成从管理信息系统签发以后，程序基本还是一样，工作负责人在电脑上填写，自动传到工作票签发人的电脑上，工作票签发人签发后，自动传到工作许可人的电脑上，再由许可人打印出来交给工作负责人开展工作。这个改动减少了工作负责人的跑动，也方便了存档。但有些工作人员习惯了书面的填写，觉得工作量并不加重很多，开始很不适应，在系统本身不完善的情况下有时会拖延一些时间，甚至有些抵触情绪。对于这种情况，先在试运行期间采取双轨制，在系统经过完善后再强制执行(原来的手工填写作为一种备用)。

采用信息系统规范班组的安全管理工作，提高了安全生产管理工作的效率，规范了各级人员的工作行为，也方便了档案的保存和调用，此外，通过共享信息，达到互相交流的目的，对枢纽运行管理的安全生产工作起到了良好的促进作用。

第3篇 信息安全等级保护管理办法

第一章 总则

第一条

为规范信息安全等级保护管理,提高信息安全保障能力和水平,维护国家安全、社会稳定和公共利益,保障和促进信息化建设,根据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规,制定本办法。

第二条

国家通过制定统一的信息安全等级保护管理规范和技术标准,组织公民、法人和其他组织对信息系统分等级实行安全保护,对等级保护工作的实施进行监督、管理。

第三条

公安机关负责信息安全等级保护工作的监督、检查、指导。国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。涉及其他职能部门管辖范围的事项,由有关职能部门依照国家法律法规的规定进行管理。国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。

第四条

信息系统主管部门应当依照本办法及相关标准规范,督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。

第五条

信息系统的运营、使用单位应当依照本办法及其相关标准规范,履行信息安全等级保护的义务和责任。

第二章 等级划分与保护

第六条

国家信息安全等级保护坚持自主定级、自主保护的原则。信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度,信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。

第七条

信息系统的安全保护等级分为以下五级:

第一级,信息系统受到破坏后,会对公民、法人和其他组织的合法权益造成损害,但不损害国家安全、社会秩序和公共利益。

第二级,信息系统受到破坏后,会对公民、法人和其他组织的合法权益产生严重损害,或者对社会秩序和公共利益造成损害,但不损害国家安全。

第三级,信息系统受到破坏后,会对社会秩序和公共利益造成严重损害,或者对国家安全造成损害。

第四级,信息系统受到破坏后,会对社会秩序和公共利益造成特别严重损害,或者对国家安全造成严重损害。

第五级,信息系统受到破坏后,会对国家安全造成特别严重损害。

第八条

信息系统运营、使用单位依据本办法和相关技术标准对信息系统进行保护,国家有关信息安全监管部门对其信息安全等级保护工作进行监督管理。

第一级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。

第二级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行指导。

第三级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行监督、检查。

第四级信息系统运营、使用单位应当依据国家有关管理规范、技术标准和业务专门需求进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行强制监督、检查。

第五级信息系统运营、使用单位应当依据国家管理规范、技术标准和业务特殊安全需求进行保护。国家指定专门部门对该级信息系统信息安全等级保护工作进行专门监督、检查。

第三章 等级保护的实施与管理

第九条

信息系统运营、使用单位应当按照《信息系统安全等级保护实施指南》具体实施等级保护工作。

第十条

信息系统运营、使用单位应当依据本办法和《信息系统安全等级保护定级指南》确定信息系统的安全保护等级。有主管部门的,应当经主管部门审核批准。

跨省或者全国统一联网运行的信息系统可以由主管部门统一确定安全保护等级。

对拟确定为第四级以上信息系统的,运营、使用单位或者主管部门应当请国家信息安全保护等级专家评审委员会评审。

第十一条

信息系统的安全保护等级确定后,运营、使用单位应当按照国家信息安全等级保护管理规范和技术标准,使用符合国家有关规定,满足信息系统安全保护等级需求的信息技术产品,开展信息系统安全建设或者改建工作。

第十二条

在信息系统建设过程中,运营、使用单位应当按照《计算机信息系统安全保护等级划分准则》(gb17859-1999)、《信息系统安全等级保护基本要求》等技术标准,参照《信息安全技术 信息系统通用安全技术要求》(gb/t20271-2006)、《信息安全技术 网络基础安全技术要求》(gb/t20270-2006)、《信息安全技术 操作系统安全技术要求》(gb/t20272-2006)、《信息安全技术 数据库管理系统安全技术要求》(gb/t20273-2006)、《信息安全技术 服务器技术要求》、《信息安全技术 终端计算机系统安全等级技术要求》(ga/t671-2006)等技术标准同步建设符合该等级要求的信息安全设施。

第十三条

运营、使用单位应当参照《信息安全技术 信息系统安全管理要求》(gb/t20269-2006)、《信息安全技术 信息系统安全工程管理要求》(gb/t20282-2006)、《信息系统安全等级保护基本要求》等管理规范,制定并落实符合本系统安全保护等级要求的安全管理制度。

第十四条

信息系统建设完成后,运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构,依据《信息系统安全等级保护测评要求》等技术标准,定期对信息系统安全等级状况开展等级测评。第三级信息系统应当每年至少进行一次等级测评,第四级信息系统应当每半年至少进行一次等级测评,第五级信息系统应当依据特殊安全需求进行等级测评。

信息系统运营、使用单位及其主管部门应当定期对信息系统安全状况、安全保护制度及措施的落实情况进行自查。第三级信息系统应当每年至少进行一次自查,第四级信息系统应当每半年至少进行一次自查,第五级信息系统应当依据特殊安全需求进行自查。

经测评或者自查,信息系统安全状况未达到安全保护等级要求的,运营、使用单位应当制定方案进行整改。

第十五条

已运营(运行)的第二级以上信息系统,应当在安全保护等级确定后30日内,由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。

新建第二级以上信息系统,应当在投入运行后30日内,由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。

隶属于中央的在京单位,其跨省或者全国统一联网运行并由主管部门统一定级的信息系统,由主管部门向公安部办理备案手续。跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统,应当向当地设区的市级以上公安机关备案。

第十六条

办理信息系统安全保护等级备案手续时,应当填写《信息系统安全等级保护备案表》,第三级以上信息系统应当同时提供以下材料:

(一)系统拓扑结构及说明;

(二)系统安全组织机构和管理制度;

(三)系统安全保护设施设计实施方案或者改建实施方案;

(四)系统使用的信息安全产品清单及其认证、销售许可证明;

(五)测评后符合系统安全保护等级的技术检测评估报告;

(六)信息系统安全保护等级专家评审意见;

(七)主管部门审核批准信息系统安全保护等级的意见。

第十七条

信息系统备案后,公安机关应当对信息系统的备案情况进行审核,对符合等级保护要求的,应当在收到备案材料之日起的10个工作日内颁发信息系统安全等级保护备案证明;发现不符合本办法及有关标准的,应当在收到备案材料之日起的10个工作日内通知备案单位予以纠正;发现定级不准的,应当在收到备案材料之日起的10个工作日内通知备案单位重新审核确定。

运营、使用单位或者主管部门重新确定信息系统等级后,应当按照本办法向公安机关重新备案。

第十八条

受理备案的公安机关应当对第三级、第四级信息系统的运营、使用单位的信息安全等级保护工作情况进行检查。对第三级信息系统每年至少检查一次,对第四级信息系统每半年至少检查一次。对跨省或者全国统一联网运行的信息系统的检查,应当会同其主管部门进行。

对第五级信息系统,应当由国家指定的专门部门进行检查。

公安机关、国家指定的专门部门应当对下列事项进行检查:

(一) 信息系统安全需求是否发生变化,原定保护等级是否准确;

(二) 运营、使用单位安全管理制度、措施的落实情况;

(三) 运营、使用单位及其主管部门对信息系统安全状况的检查情况;

(四) 系统安全等级测评是否符合要求;

(五) 信息安全产品使用是否符合要求;

(六) 信息系统安全整改情况;

(七) 备案材料与运营、使用单位、信息系统的符合情况;

(八) 其他应当进行监督检查的事项。

第十九条

信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导,如实向公安机关、国家指定的专门部门提供下列有关信息安全保护的信息资料及数据文件:

(一) 信息系统备案事项变更情况;

(二) 安全组织、人员的变动情况;

(三) 信息安全管理制度、措施变更情况;

(四) 信息系统运行状况记录;

(五) 运营、使用单位及主管部门定期对信息系统安全状况的检查记录;

(六) 对信息系统开展等级测评的技术测评报告;

(七) 信息安全产品使用的变更情况;

(八) 信息安全事件应急预案,信息安全事件应急处置结果报告;

(九) 信息系统安全建设、整改结果报告。

第二十条

公安机关检查发现信息系统安全保护状况不符合信息安全等级保护有关管理规范和技术标准的,应当向运营、使用单位发出整改通知。运营、使用单位应当根据整改通知要求,按照管理规范和技术标准进行整改。整改完成后,应当将整改报告向公安机关备案。必要时,公安机关可以对整改情况组织检查。

第二十一条

第三级以上信息系统应当选择使用符合以下条件的信息安全产品:

(一)产品研制、生产单位是由中国公民、法人投资或者国家投资或者控股的,在中华人民共和国境内具有独立的法人资格;

(二)产品的核心技术、关键部件具有我国自主知识产权;

(三)产品研制、生产单位及其主要业务、技术人员无犯罪记录;

(四)产品研制、生产单位声明没有故意留有或者设置漏洞、后门、木马等程序和功能;

(五)对国家安全、社会秩序、公共利益不构成危害;

(六)对已列入信息安全产品认证目录的,应当取得国家信息安全产品认证机构颁发的认证证书。

第二十二条

第三级以上信息系统应当选择符合下列条件的等级保护测评机构进行测评:

(一) 在中华人民共和国境内注册成立(港澳台地区除外);

(二) 由中国公民投资、中国法人投资或者国家投资的企事业单位(港澳台地区除外);

(三) 从事相关检测评估工作两年以上,无违法记录;

(四) 工作人员仅限于中国公民;

(五) 法人及主要业务、技术人员无犯罪记录;

(六) 使用的技术装备、设施应当符合本办法对信息安全产品的要求;

(七) 具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安全管理制度;

(八) 对国家安全、社会秩序、公共利益不构成威胁。

第二十三条

从事信息系统安全等级测评的机构,应当履行下列义务:

(一)遵守国家有关法律法规和技术标准,提供安全、客观、公正的检测评估服务,保证测评的质量和效果;

(二)保守在测评活动中知悉的国家秘密、商业秘密和个人隐私,防范测评风险;

(三)对测评人员进行安全保密教育,与其签订安全保密责任书,规定应当履行的安全保密义务和承担的法律责任,并负责检查落实。

第四章 涉密信息系统的分级保护管理

第二十四条

涉密信息系统应当依据国家信息安全等级保护的基本要求,按照国家保密工作部门有关涉密信息系统分级保护的管理规定和技术标准,结合系统实际情况进行保护。

非涉密信息系统不得处理国家秘密信息。

第二十五条

涉密信息系统按照所处理信息的最高密级,由低到高分为秘密、机密、绝密三个等级。

涉密信息系统建设使用单位应当在信息规范定密的基础上,依据涉密信息系统分级保护管理办法和国家保密标准bmb17-2006《涉及国家秘密的计算机信息系统分级保护技术要求》确定系统等级。对于包含多个安全域的涉密信息系统,各安全域可以分别确定保护等级。

保密工作部门和机构应当监督指导涉密信息系统建设使用单位准确、合理地进行系统定级。

第二十六条

涉密信息系统建设使用单位应当将涉密信息系统定级和建设使用情况,及时上报业务主管部门的保密工作机构和负责系统审批的保密工作部门备案,并接受保密部门的监督、检查、指导。

第二十七条

涉密信息系统建设使用单位应当选择具有涉密集成资质的单位承担或者参与涉密信息系统的设计与实施。

涉密信息系统建设使用单位应当依据涉密信息系统分级保护管理规范和技术标准,按照秘密、机密、绝密三级的不同要求,结合系统实际进行方案设计,实施分级保护,其保护水平总体上不低于国家信息安全等级保护第三级、第四级、第五级的水平。

第二十八条

涉密信息系统使用的信息安全保密产品原则上应当选用国产品,并应当通过国家保密局授权的检测机构依据有关国家保密标准进行的检测,通过检测的产品由国家保密局审核发布目录。

第二十九条

涉密信息系统建设使用单位在系统工程实施结束后,应当向保密工作部门提出申请,由国家保密局授权的系统测评机构依据国家保密标准bmb22-2007《涉及国家秘密的计算机信息系统分级保护测评指南》,对涉密信息系统进行安全保密测评。

涉密信息系统建设使用单位在系统投入使用前,应当按照《涉及国家秘密的信息系统审批管理规定》,向设区的市级以上保密工作部门申请进行系统审批,涉密信息系统通过审批后方可投入使用。已投入使用的涉密信息系统,其建设使用单位在按照分级保护要求完成系统整改后,应当向保密工作部门备案。

第三十条

涉密信息系统建设使用单位在申请系统审批或者备案时,应当提交以下材料:

(一)系统设计、实施方案及审查论证意见;

(二)系统承建单位资质证明材料;

(三)系统建设和工程监理情况报告;

(四)系统安全保密检测评估报告;

(五)系统安全保密组织机构和管理制度情况;

(六)其他有关材料。

第三十一条

涉密信息系统发生涉密等级、连接范围、环境设施、主要应用、安全保密管理责任单位变更时,其建设使用单位应当及时向负责审批的保密工作部门报告。保密工作部门应当根据实际情况,决定是否对其重新进行测评和审批。

第三十二条

涉密信息系统建设使用单位应当依据国家保密标准bmb20-2007《涉及国家秘密的信息系统分级保护管理规范》,加强涉密信息系统运行中的保密管理,定期进行风险评估,消除泄密隐患和漏洞。

第三十三条

国家和地方各级保密工作部门依法对各地区、各部门涉密信息系统分级保护工作实施监督管理,并做好以下工作:

(一)指导、监督和检查分级保护工作的开展;

(二)指导涉密信息系统建设使用单位规范信息定密,合理确定系统保护等级;

(三)参与涉密信息系统分级保护方案论证,指导建设使用单位做好保密设施的同步规划设计;

(四)依法对涉密信息系统集成资质单位进行监督管理;

(五)严格进行系统测评和审批工作,监督检查涉密信息系统建设使用单位分级保护管理制度和技术措施的落实情况;

(六)加强涉密信息系统运行中的保密监督检查。对秘密级、机密级信息系统每两年至少进行一次保密检查或者系统测评,对绝密级信息系统每年至少进行一次保密检查或者系统测评;

(七)了解掌握各级各类涉密信息系统的管理使用情况,及时发现和查处各种违规违法行为和泄密事件。

第五章 信息安全等级保护的密码管理

第三十四条

国家密码管理部门对信息安全等级保护的密码实行分类分级管理。根据被保护对象在国家安全、社会稳定、经济建设中的作用和重要程度,被保护对象的安全防护要求和涉密程度,被保护对象被破坏后的危害程度以及密码使用部门的性质等,确定密码的等级保护准则。

信息系统运营、使用单位采用密码进行等级保护的,应当遵照《信息安全等级保护密码管理办法》、《信息安全等级保护商用密码技术要求》等密码管理规定和相关标准。

第三十五条

信息系统安全等级保护中密码的配备、使用和管理等,应当严格执行国家密码管理的有关规定。

第三十六条

信息系统运营、使用单位应当充分运用密码技术对信息系统进行保护。采用密码对涉及国家秘密的信息和信息系统进行保护的,应报经国家密码管理局审批,密码的设计、实施、使用、运行维护和日常管理等,应当按照国家密码管理有关规定和相关标准执行;采用密码对不涉及国家秘密的信息和信息系统进行保护的,须遵守《商用密码管理条例》和密码分类分级保护有关规定与相关标准,其密码的配备使用情况应当向国家密码管理机构备案。

第三十七条

运用密码技术对信息系统进行系统等级保护建设和整改的,必须采用经国家密码管理部门批准使用或者准于销售的密码产品进行安全保护,不得采用国外引进或者擅自研制的密码产品;未经批准不得采用含有加密功能的进口信息技术产品。

第三十八条

信息系统中的密码及密码设备的测评工作由国家密码管理局认可的测评机构承担,其他任何部门、单位和个人不得对密码进行评测和监控。

第三十九条

各级密码管理部门可以定期或者不定期对信息系统等级保护工作中密码配备、使用和管理的情况进行检查和测评,对重要涉密信息系统的密码配备、使用和管理情况每两年至少进行一次检查和测评。在监督检查过程中,发现存在安全隐患或者违反密码管理相关规定或者未达到密码相关标准要求的,应当按照国家密码管理的相关规定进行处置。

第六章 法律责任

第四十条

第三级以上信息系统运营、使用单位违反本办法规定,有下列行为之一的,由公安机关、国家保密工作部门和国家密码工作管理部门按照职责分工责令其限期改正;逾期不改正的,给予警告,并向其上级主管部门通报情况,建议对其直接负责的主管人员和其他直接责任人员予以处理,并及时反馈处理结果:

(一) 未按本办法规定备案、审批的;

(二) 未按本办法规定落实安全管理制度、措施的;

(三) 未按本办法规定开展系统安全状况检查的;

(四) 未按本办法规定开展系统安全技术测评的;

(五) 接到整改通知后,拒不整改的;

(六) 未按本办法规定选择使用信息安全产品和测评机构的;

(七) 未按本办法规定如实提供有关文件和证明材料的;

(八) 违反保密管理规定的;

(九) 违反密码管理规定的;

(十) 违反本办法其他规定的。

违反前款规定,造成严重损害的,由相关部门依照有关法律、法规予以处理。

第四十一条

信息安全监管部门及其工作人员在履行监督管理职责中,玩忽职守、滥用职权、徇私舞弊的,依法给予行政处分;构成犯罪的,依法追究刑事责任。

第七章 附则

第四十二条

已运行信息系统的运营、使用单位自本办法施行之日起180日内确定信息系统的安全保护等级;新建信息系统在设计、规划阶段确定安全保护等级。

第四十三条

本办法所称“以上”包含本数(级)。

第四十四条

本办法自发布之日起施行,《信息安全等级保护管理办法(试行)》(公通字[2006]7号)同时废止。

第4篇 海港工程建设项目信息安全管理对策探析

海港工程就是在港口、码头、堤坝等建造于入海口和江河附近的工程设施，以及一些相关的配套设施，比如装卸设施、进港航道、水上导航设施等。海港工程项目的建设，能够更加良好地利用河、海、江、湖等水体资源。为了提高海港工程的建设质量，增强海港工程的建设管理，一定要采取保证信息安全的措施。本文将从移动存储设备管理、纸质文档资料管理、办公设备和工地设备管理三个方面介绍海港工程当中保证信息安全的具体对策。

信息技术的发展对人类社会的影响是多种多样的，体现在各个行业和各个领域。对于海港工程的建设来说，信息安全是极为重要的。信息安全包括信息的保密性、真实性、完整性、安全性等等。实行信息安全管理，能够防止建设项目和建设单位的机密发生泄漏，提高海港工程的建设效率和建设质量，让企业收获更多的经济效益。对于现代的工程建设来说，各种资料、数据信息的载体已经从纸张向移动存储设备转移。各种病毒、木马程序和间谍软件给信息安全带来严重的威胁。为了保护海港工程中的重要信息，必须要采取针对性的对策和措施。

一、对移动存储设备的管理

(一)限制外接。在海港工程各种数据和资料的传递过程中，需要通过外接设备或者网络接口来进行[1]。在这一过程当中，很容易被黑客攻击，对系统进行入侵，窃取海港工程的重要信息和资料。所以在传输信息和资料时，要严格限制外接设备与网络接口的使用。一方面，要对打印机、刻录机、光驱、软驱等常用的外接设备的使用作出限制，实行集中管理与统一使用。这些设备只能用于海港工程的信息传输，不得用于其他用途，对于用不到的设备要及时封禁。平时要有专门的设备管理人员将设备进行编号，分别进行保管，使用时要提前申请，用完后要及时交还。另一方面，要限制内部人员的行为，不得将外接设备和网络接口用于私人目的，不得私自以打印、刻录的形式窃取工程信息，不得违反外接设备和网络接口的使用规范。

(二)刻录和打印。除了加强对外接设备和网络接口进行管理，防止在数据传输过程中发生资料泄露之外，还要加强对内部网络非法打印、光盘刻录等行为的打击[2]。如果由于工作需要进行光盘刻录行为，必须要向信息管理部门提出申请，经过审批以后方可进行。光盘刻录要到专门部门当中去进行，并且由相关部门全程跟踪光盘的流向，避免用于私人目的。对于打印的安全管理，首先要屏蔽用户主机的打印接口，防止用户私自打印。如果需要打印，要向信息管理中心发送申请，取得许可之后，到打印部门进行打印。在打印的时候，要保证资料从电脑传输到打印机的过程中不会被截取，打印之后的文件不得随意阅读或者拿走。信息管理部门要根据文件的价值划分文件的保密级别，分别制定打印规范条款，实行信息的精细化管理。

(三)存储设备。在海港工程项目的建设过程中，很多施工单位和部门之间都需要通过软盘、磁盘、光盘来传递信息。一旦这些载体丢失、被盗、发生损坏，都容易造成信息泄露事故，给企业造成经济损失，甚至泄露企业和国家机密。废弃的软盘、磁盘、光盘等存储设备仍然具有一些磁力特性，一旦发生永久性的磁化反映，就容易造成内部存储信息的泄露[3]。所以，海港工程的信息管理中心要控制废弃存储设备的流通范围，将不再使用的存储设备交给保密机构进行统一的脱密和销毁，还要做好登记和记录。

二、对纸质文档资料的管理

虽然海港工程的建设已经加大了对移动存储设备的依赖程度，但是仍然需要大量的纸质文档来记录、保存、传输各种机密信息。为了确保海港工程建设的信息安全，要采取必要的措施对纸质文档资料进行管理。首先，要制定纸质文档资料的保密条例，防止文档的非法阅读、非法调用和非法复印。其次，在制作纸质文档和纸质文件的时候，草稿纸、复写纸、计算机表格、演算纸等制作过程中的废弃用具也不能随意丢弃，要严格按照保密条例的规定进行销毁，避免资料泄露。最后，对于文档资料的传阅范围和传阅步骤也要进行严格规定。同时，对于各种公共媒体上的报道，也要进行审核，避免涉密信息被公诸于众。

三、对办公设备和工地设备的管理

(一)办公设备的管理。海港工程的信息管理部门要将办公所用的电脑设备划分为涉密计算机和非涉密计算机。涉密计算机必须要进行登记，按照编号分配人员进行专门管理。而非涉密计算机严禁储存涉密信息。信息安全管理要综合从信息技术、安全管理策略、安全管理措施等多个角度来考虑信息管理体制背后所隐藏的风险。信息管理部门需要通过网络软件监控各个计算机的工作状况，尤其是涉密计算机的工作状况，审核项目内部网络和项目内外网络间的数据传输、信息交流。另外，信息管理软件还要记录各个工作人员和用户的操作情况，在发生风险的时候发出警报信号，在发生非法操作的时候能够留下记录，以便工作人员寻求证据。

(二)工地设备的管理。由于信息技术的发达，信息传输手段变得多样化，所以信息发生泄露的可能性也增大，给信息安全管理带来了难度。对此，海港工程的信息管理部门需要提高警惕，防止落入信息系统、设备、部件当中一些人为设置的陷阱。比如，一些从境外引入的信息产品和施工设备，都可能存在“陷阱”，在使用过程中发生信息泄露。这就需要在施工之前对设备进行严格的技术审查和安全审查，并且为这种“陷阱”制定应急处理方案。另外，在海港工程的建设过程中，要采取必要的措施保护项目内部的通讯。比如对通信信号进行加密，或者是对外部信号进行屏蔽等。

四、结论

海港工程的建设，能够更好地利用我国的水体资源，促进沿海地区的经济发展。我国的工程建设已经出现了信息化的趋势，资料、数据、信息的存储和传输已经开始从纸张形式转变成电子形式。为了保护企业和国家的机密，提高海港工程的建设效率和建设质量，必须加强对海港工程的信息安全管理。对此，要成立专门的信息管理部门，加强对移动存储设备、纸质文档资料、办公设备和工地设备的管理，制定信息安全管理的规章制度和具体措施。

第5篇 信息科技部-安全管理中心-安全运营岗工作职责与职位要求

职位描述：

职责描述：

1、参与优化安全防御体系，研究和实践使用有效技术解决银行业务系统的安全相关问题。

2、跟踪和分析各类安全问题和安全事件，如网站入侵调查，病毒木马，ddos攻击等。

3、跟踪和分析新的安全漏洞和技术，定期对系统、应用、网络进行安全检测和风险评估。

4、编写防御工具和分析工具，对新技术、新方法、新软件进行评估和应用，完成网络和系统安全加固。

5、协助各项信息安全相关工作，确保信息安全管控措施有效执行。

职位要求：

1、全日制本科及以上学历，计算机相关专业优先；

2、相关工作经验3年以上，有银行相关项目及从业经验为佳；

3、责任心强、工作细致、沟通能力强，有良好的团队协作及问题解决能力。

第6篇 信息技术设备物理环境安全管理规定

第一章 总则

第一条 目的:为了适应公司物理与环境安全管理的需要,保障公司生产和办公系统的正常运行,特制定本管理办法。

第二条 依据:本管理办法根据《信息安全管理策略》制订。

第三条 范围:本管理办法适用于公司。

第二章 基本要求

第四条 公司员工应根据公司运营需要对资产进行保护。公司的资产保护要求通过完成以下目标来实现:

(一)确保所有资产的物理和环境保护能得到公司的有效控制。

(二)减少擅自访问或损坏或影响公司控制的资产的风险。

(三)防止公司控制的资产被人擅自删除或移动。

第五条 安全控制措施包括以下各项:

(一)公司的场地(机房、办公室)的信息处理设施周围设置实际安全隔离措施,如门禁系统等。

(二)公司的大楼入口安全防范措施。

(三)防护设备避免发生火、水、极端温度/湿度、灰尘和电产生的危害。

(四)设备维护。

(五)清理资产。

第三章 安全区域

第六条 公司的安全区域包括中心机房和敏感部门办公区域。

第七条 安全区域的划分与管理参见《物理安全区域管理细则》。

第八条 物理安全边界

所有进入公司安全区域的人员都需经过授权,公司员工之外的人员进入公司安全区域必须登记换取不同的授权卡或访客证才能进入(持有效证件,得到被访者允许)。

第九条 安全区域出入控制措施

(一)物理控制措施

1、机房的门禁系统必须启用,任何人都必须刷卡后才可进入机房;

2、出入机房必须登记《机房出入登记表》,记录姓名、出入时间、事由等;

3、一段时间内不会频繁进入的机房应上锁,需要时由运维人员开启进入工作,并确保办公完成后锁好;

4、机房应安装闭路电视监控。在所有安全区域的工作均应接受监督或监控。

(二)合同方及第三方

1、要在主要出入口处填写《来访人员登记表》;

2、在显眼处佩戴公司发出的临时出入卡或访客证。

(三)公司工作人员的控制措施

1、公司工作人员都必须在显眼处佩带胸卡;

2、公司工作人员调离公司时,其实际进入权也同时相应取消;

(四)审查访问

信息部应定期(每三个月)审查访问公司中心机房的人员名单并将进出权过期或作废的人员从名单上划掉。

(五)外部和环境威胁的安全防护

1、机房建设应符合gb 9361中a类安全机房的要求;

2、危险或易燃材料应在离安全区域安全距离以外的地方存放。大批供应品(例如文具等)不应存放于安全区域内;

3、恢复设备和备份介质的存放地点应与主场地有一段安全的距离,以避免影响主场地的灾难产生的破坏;

4、应提供适当的灭火设备,并应放在合适的地点。

第十条 交接区安全

(一)公司应设立交接区,同时:

1、向公司发送货物必须预先通知货物资产所属部门的资产管理员和信息安全管理员;

2、送货公司名称和交货时间应当在接收货物之前由货物资产所属部门的资产管理员和信息安全管理员确认;

3、送货公司在进入安全区域之前要经过物理环境主管部门有关人员的鉴别确认;

4、货物资产所属部门的资产管理员和信息安全管理员应检验货物,以保证没有潜在的危害。

第四章 设备安全

第十一条 设备安置与保护

(一)公司中应考虑以下控制措施:

1、设备应进行适当安置,以尽量减少不必要的对工作区域的访问;

2、应把处理敏感数据的信息处理设施放在适当的限制观测的位置,以减少在其使用期间信息被窥视的风险,还应保护储存设施以防止未授权访问;

3、要求专门保护的部件要予以隔离,以降低所要求的总体保护等级;

4、应采取控制措施以减小潜在的物理威胁的风险,例如偷窃、火灾、爆炸、烟雾、水(或供水故障)、尘埃、振动、化学影响、电源干扰、通信干扰、电磁辐射和故意破坏;

5、应建立在信息处理设施附近进食、喝饮料和抽烟的指南;

6、对于可能对信息处理设施运行状态产生负面影响的环境条件(例如温度和湿度)要予以监视;

7、所有建筑物都应采用避雷保护,所有进入的电源和通信线路都应装配雷电保护过滤器;

8、对于工业环境中的设备,要考虑使用专门的保护方法,例如键盘保护膜;

9、应保护处理敏感信息的设备,以减少由于辐射而导致信息泄露的风险;极其重要设备应部署在不同位置。

第十二条 支持性设施

(一)应有足够的支持性设施(例如电、供水、排污、加热/通风和空调)来支持系统。支持性设施应定期检查并适当的测试以确保他们的功能,减少由于他们的故障或失效带来的风险。应按照设备制造商的说明提供合适的供电。

(二)对支持关键业务操作的设备,推荐使用支持有序关机或连续运行的不间断电源(ups)。电源应急计划要包括ups 故障时要采取的措施。如果电源故障延长,而处理要继续进行,则要考虑备份发电机。应提供足够的燃料供给,以确保在延长的时间内发电机可以进行工作。ups 设备和发电机要定期地检查,以确保它们拥有足够能力,并按照制造商的建议予以测试。另外,如果办公场所很大,则应考虑使用多来源电源或一个单独变电站。

(三)另外,应急电源开关应位于设备房间应急出口附近,以便紧急情况时快速切断电源。万一主电源出现故障时要提供应急照明。

(四)要有稳定足够的供水以支持空调、加湿设备和灭火系统(当使用时),供水系统的故障可能破坏设备或阻止有效的灭火。如果需要还应有告警系统来指示水压的降低。

(五)连接到公共提供商的通信设备应至少有两条不同线路以防止在一条连接路径发生故障时语音服务失效。要有足够的语音服务以满足地方法规对于应急通信的要求。

(六)实现连续供电的选项包括多路供电,以避免供电的单一故障点。

第十三条 电缆安全

(一)敷设到公司内各个区域的电缆线的保护方式如下:

1、进入信息处理设施的电源和通信线路宜在地下,若可能,应提供足够的可替换的保护;

2、网络布缆要免受未授权窃听或损坏,例如,利用电缆管道或使路由避开公众区域;

3、为了防止干扰,电源电缆要与通信电缆分开;

4、使用清晰的可识别的电缆和设备记号,以使处理失误最小化,例如,错误网络电缆的意外配线;

5、使用文件化配线列表减少失误的可能性;

6、对于敏感的或关键的系统,更进一步的控制考虑应包括:

(1)在检查点和终接点处安装铠装电缆管道和上锁的房间或盒子;

(2)使用可替换的路由选择和/或传输介质,以提供适当的安全措施;

(3)使用纤维光缆;

(4)使用电磁防辐射装置保护电缆;

(5)对于电缆连接的未授权装置要主动实施技术清除、物理检查;

(6)控制对配线盘和电缆室的访问;

第十四条 设备维护

(一)应按照供应商推荐的服务时间间隔和规范对设备进行维护。

(二)由供货商维护的设备。各种维护活动要按照合同协议或设备购买时的维护计划进行。

(三)只有已授权的维护人员才可对设备进行修理和服务

(四)原则上应保存所有维护记录

(五)要保证所有可疑的或实际的故障以及所有预防和纠正维护的记录;

(六)设备资产的管理部门和人事部应当向外包维护单位索取维护计划和记录。

(七)设备资产的管理部门和人事部定期审核维护记录和计划。

(八)当对设备安排维护时,应实施适当的控制,要考虑维护是由内部人员执行还是由外部人员执行;当需要时,敏感信息需要从设备中删除或者维护人员应该是足够可靠的;

(九)应遵守由保险策略所施加的所有要求。

第十五条 场外设备的安全

(一)离开办公场所的设备的保护应考虑下列措施:

1、离开建筑物的设备和介质在公共场所不应无人看管。在旅行时便携式计算机要作为手提行李携带,若可能宜伪装起来;

2、制造商的设备保护说明要始终加以遵守,例如,防止暴露于强电磁场内;

3、家庭工作的控制措施应根据风险评估确定,当适合时,要施加合适的控制措施,例如,可上锁的存档柜、清理桌面策略、对计算机的访问控制以及与办公室的安全通信;

4、足够的安全保障掩蔽物宜到位,以保护离开办公场所的设备。安全风险在不同场所可能有显著不同,例如,损坏、盗窃和截取,要考虑确定最合适的控制措施。其它信息用于家庭工作或从正常工作地点运走的信息存储和处理设备包括所有形式的个人计算机、管理设备、移动电话、智能卡、纸张及其他形式的设备。

第十六条 设备的安全处置与重新使用

(一)设备报废处置时,存有敏感信息的存储设备要从物理上加以销毁,或用安全方式对信息加以覆盖,而不能采用常用的标准删除功能来删除。

(二)所有带有诸如硬盘等储存媒介的设备在报废前都要对其检查,以确保其内存储的敏感信息和授权专用软件已被清除或覆盖。存有敏感数据的已损坏的存储设备要对其进行风险评估,以决定是否对其销毁、修理或遗弃。

(三)为保证信息安全,必须在处理介质前擦除有关的敏感信息:

1、用碎纸机销毁所有的敏感纸质记录。废纸可在碎纸后立即处置掉。

2、公司内部不应积累过量纸质记录。所有的纸质记录都必须在处置前销毁。

3、磁带和磁盘必须在处置前实际销毁和核对。

4、数据存储光盘应在处置前实际销毁。

(四)凡敏感性介质的处置都必须填写《信息介质处置申请表》,经部门负责人同意后,方可进行处置。并记录在《信息介质处置记录表》,留待审计时备查。

第十七条 设备的移动

(一)应考虑如下措施:

1、在未经事先授权的情况下,不应让设备、信息或软件离开办公场所;

2、明确识别有权允许资产移动,离开办公场所的雇员、承包方人员和第三方人员;

3、应设置设备移动的时间限制,并在返还时执行符合性检查;

4、若需要并合适,要对设备作出移出记录,当返回时,要作出送回记录。

(二)应执行检测未授权资产移动的抽查,以检测未授权的记录装置、武器等等,防止他们进入办公场所。这样的抽查应按照相关规章制度执行。应让每个人都知道将进行抽查,并且只能在法律法规要求的适当授权下执行检查。

第五章 附则

第十八条 本管理办法由信息部负责解释和修订。

第十九条 本管理办法自发布之日起施行。

第7篇 安全风险信息平台工作管理办法

第一章 总则

第一条 为规范石家庄市轨道交通安全风险监控工作,规范地铁建设参建各方在安全风险监控管理上的工作责任、工作内容及工作流程,加强相关单位和部门在安全风险监控工作中的协同性,提升轨道交通建设安全风险管理的专业化和规范化水平,最大程度规避和减少轨道交通工程建设及周边环境的安全事故的发生,制定本办法。

第二条 本办法根据住建部《城市轨道交通工程质量安全检查指南(试行)》,公司《石家庄市轨道交通工程建设安全风险管理体系》文件的相关规定,结合我市轨道交通工程建设实际制定。

第三条 本办法适用于石家庄市轨道交通工程施工阶段的安全风险监控管理工作。

第四条 相关参建单位应用安全风险监控与信息平台情况考核,分日常管理考核与双月度考核,由安全质量部牵头负责考核。

第五条 安全风险监控工作考核坚持客观、公开、公平、公正的原则,自觉接受纪检监察部门和群众的监督。

第六条 除本办法外,轨道交通工程建设相关单位还应遵守国家和地方有关法律、法规、规范、标准。

第二章考核内容

第七条 投资承建单位

投资承建单位应成立信息化领导小组,总工程师任负责人,并设立专职信息员督促所辖施工标段落实安全风险信息化管理工作。

第八条 标段施工单位

(一)各施工标段项目部安全总监牵头成立风险信息化小组,项目部安全总监和安质部长每天必须登录安全风险监控信息平台,主要任务有:

1.每日17:00前,将自查台账和抽查台账检查的问题、施工监测数据上传平台;

2.巡视闭合阅处:通过安全风险监控信息平台对各单位提出的问题、要求和发布的通知、文件、通报(包含业主公告、各类巡检通报、日常风险巡查推送的问题、轨道公司文件、预消警会议纪要、监控中心周报、预警处置等)进行落实、整改、回复。填写回复内容,并可上传相关附件。要求对所有的通报及整改通知的回复都以扫描件上传至相应内容的回复区域;

3.预警响应处置:及时处理平台发出的本标段预警,在预警处置中,要详细填写处置措施及现场处置照片、视频等。

(二)视频监控系统:提供现场信息化设备放置场地及视频会议室,配备网络设备和网络线路,保证各类信息能全面、及时、准确的上传平台(相关硬件参数见附件一):

1.按施工实际需要和轨道公司要求设置视频监控,施工单位负责采购本标段所需要的设备与硬件等,并负责进行安装、调试、移位、维护和管理工作,确保视频监控正常使用;

2.摄像头数量、位置要求:

车站明挖基坑至少设置2个摄像头,矿山法暗挖工程,要求每个掌子面设置1个摄像头,要清晰看到暗挖掌子面,并确保每掘进15米移动一次,盖挖车站参照矿山法施工要求设置;

附属结构明挖基坑、施工竖井至少安装1个前端监控设备;

施工竖井上各设置1个摄像头,重大风险源处根据评估情况设置;

安全文明施工管理:有出渣土行为的施工现场,渣土车辆进出的大门口在开工前必须安装摄像头,并接入安全风险监控信息系统。此项作为开工核查条件之一。

3.要保持视频监控 24小时正常运行,并确保监控视频的摄像角度和照明亮度,以满足视频监控的需要。不得随意挪动、故意遮挡、污损、用光照射摄像头,不得无故中断、关闭视频(特别是夜晚施工时)和人为破坏设备;

4.提供全天候的应急响应服务,须在监控中心发出平台故障通知后24小时内修复,保证平台正常运转。

(三)盾构监控

1.按照实现盾构实时数据监控要求配备电脑等设备,必要时施工单位需安排盾构厂家技术人员到现场配合数据解译;

2.每日上传出土量,同步注浆量;

(四)工程资料录入:工程开工前,施工单位要及时录入必要的工程资料,资料目录详见附件二。

第九条 第三方监测单位

(一)项目部项目负责人牵头成立风险信息化小组,负责安全风险监控信息平台日常管理工作,并配备专职信息员;

(二)监测数据上传:每日17:00前上传当天监测数据;

(三)及时查看并通过安全风险监控信息平台对建设单位(含监控中心)提出的问题和要求进行落实、整改回复;

(四)每日浏览本标段工点风险情况,同时根据各自工点的安全评估状态,及时做出回复和处理。对数据异常和存在安全隐患的工点,应根据现场实际情况加密监测点增加监测频率,并及时上传监测数据。

第十条 监理单位

(一)安全专监牵头成立风险信息化小组,负责安全风险监控信息平台日常管理工作,并配备专职信息员;

(二)每日将抽查台账检查问题和巡查报告上传安全风险监控信息平台。对有风险、监测数据异常以及重大安全隐患和危险征兆的工点,督促施工单位进行整改和回复,并及时向监控中心反馈;

(三)及时查看并安排相关人员通过信息平台对建设单位及风险监控中心提出的问题、要求和发布的通知、文件、通报(包含业主公告、各类巡检通报、轨道公司文件、预消警会议纪要、监控中心周报、预警处置等)进行落实、整改、回复;

(四)督促施工单位整改安全风险监控信息平台上发布的各类检查通报,并做好复查工作。督促施工单位对安全风险监控信息平台上各项事件进行闭合管理;

(五)预警响应处置:每日登录平台浏览各自工点风险情况,同时根据各自工点的安全评估状态,及时做出回复和处理。工点评估为“有风险”或“预警”状态,按预警流程处理,将处理结果在信息平台回复。

第三章奖惩

第十一条 安全风险监控信息平台使用情况考核按单位性质分为标段施工单位、第三方监测单位、监理单位三个组,各组内不再按线路区分参建单位。安质部组织每两个月对各单位安全风险监控信息平台使用情况进行考核评分,各组分别排名,评分标准见附件三。投资承建单位信息平台使用情况纳入季度考核。

第十二条 通过视频监控和巡视发现施工现场视频不按规定设置、违规挪动、故意遮挡、污损、用光照射镜头、无故中断、关闭视频,以及视频监控平台被人为破坏等问题,且拒绝整改、未按时整改、整改不到位的,每个问题给予10000元的处罚。有渣土车辆进出的施工现场大门口没有安装摄像头并接入监控信息系统的,罚款50万元。

第十三条 对日常巡查推送的问题,拒绝整改、未按时整改、整改不到位、整改但未及时回复的,每个问题给予5000元的处罚。安质部对整改闭合情况进行抽查,发现弄虚作假的,每个问题给予20000元的处罚。

第十四条 对监测数据和巡视报告上传不及时的,每次处罚5000元。

第十五条 对履行《石家庄市轨道交通建设工程安全风险监控管理办法》工作职责不到位的,视情节轻重、整改态度、影响大小,每人次/问题给予5000元的处罚;对不配合或阻挠监控中心工作的单位,每次处罚10000元。

第十六条 对在同一个考核周期内相同、类似问题多次重复发生的,从第三次开始,实施双倍处罚。

第十七条 监控中心每双月月底汇总存在问题情况,安全质量部审核后,填写处罚单,并形成考核处罚通报上传信息平台(处罚单见附件四)。

第十八条 双月考核排名考核结果将通过公司文件形式下发通报,对工作不积极,效率差,不配合工作的单位将约谈该单位主要领导。

第十九条 对各组排名靠前的单位予以奖励,奖励总额为前两个月对被考核各单位处罚金额总和。标段施工单位组前1-5名分别奖励前两个月总处罚金额的20%、16%、12%、8%、8%,合计64%;第三方监测组第1名奖励前两个月总处罚金额的6%;监理单位组前1-3名分别奖励前两个月总处罚金额的12%、10%、8%,合计30%。所有奖励处罚款项一并纳入季度验工计价,在季度验工计价中扣除。

第四章 附则

第二十条 本办法由石家庄市轨道交通有

第8篇 安全生产信息调度中心运行管理办法

根据《澄合煤业公司安全生产信息调度中心运行办法》的通知精神，结合我矿的实际，为加强矿井信息调度工作，充分发挥调度协调职能，保证矿井生产任务的顺利完成，特制定xx煤炭开发有限公司安全生产信息调度中心运行管理办法。

一、调度运行方式：

1、调度范围：矿井所属各单位。

2、调度内容：各系统的安全、生产、销售及重大突发事件。

3、调度的方式：采用调度网络与电话调度，报表传送，定时与不定时相结合的方式进行调度；

4、时间与内容：调度中心实行24小时值班制度。

二、工作职责：

1、负责全矿日常生产的组织和指挥，按班、按日、按月、按旬完成原煤产量、开拓、掘进进尺等各项任务。

2、负责组织或召开生产调度会，班前作业会，生产平衡会，及时解决生产中的一切具体问题，督促检查执行情况，凡是当前生产急需解决的问题，有权对同级业务部门进行统一调度，行使调度职权。

3、认真贯彻安全生产方针，严格按照安全规程，作业规程，操作规程指挥生产，对威胁安全生产的重大问题，有权下达调度命令，并督促有关部门采取迅速解决问题的有效措施，凡是发生重大事故，调度室要组织和指挥抢救工作，并组织尽快恢复生产。与此同时，迅速将事故详细情况通知有关单位，并向有关领导和局调度室汇报。

4、及时掌握全矿生产动态，对生产薄弱环节、采掘工作面接替情况及采掘工作的出勤率等问题，进行专题调度。

5、抓好均衡生产。平时要狠抓夜班生产和月初、季初的生产，安排好矿井计划检修工作，并督促检查计划执行情况。

6、认真做好上情下达、下情上报的工作，对领导指示，及时检查贯彻执行情况，对生产活动及出现的重大问题，如实地向矿有关领导或上级业务部门汇报。

7、及时了解和掌握全矿各采掘工作面的安装、生产准备和日常生产情况。

8、经常深入生产实际调查研究，掌握第一手资料，了解生产变化情况，及时向矿领导或有关部门提出建设性建议，保证生产不间断地进行。

9、建立建全完整的原始记录，按时填写各项图表及排版，及时提供生产调度日报和上月生产活动分析。

10、上级调度通知、调度通报，是传达领导紧急指示、进行紧急工作部署的重要手段，属于紧急公文，并且具有同级正式文件的同等效力，矿属各单位必须严格执行。

11、调度人员有权参加矿生产作业计划的编审工作，有权组织召集或参加有关生产或安全问题的一些会议。

12、根据矿领导指示或生产上紧急需要，有权调度所属有关单位人力、物力以及车辆，各有关单位必须坚决服从和执行调度命令。

13、根据工作需要，调度人员有权了解计划、生产措施和领导指示落实情况，有关单位或人员应如实地提供情况和有关资料。

14、矿调度室经常与采掘队、辅助队、销售、供应等单位加强联系，及时解决存在的问题。

15、加强调度业务学习，掌握计算机信息录入程序，及时准确填报各种生产数据，并按时向有关部传递。

三、调度员岗位职责：

1、负责掌握全矿安全生产动态，对当班生产的重要问题，班队长的汇报情况，以及所发生的各种事故，及时安排处理，同时汇报有关领导，做好记录。

2、对上级领导和上级部门的指示、通知等要认真做好记录，迅速请有关领导传阅，及时向有关单位传达，并了解其执行情况。

3、在矿值班领导主持下，组织开好下一班的班前作业会议，为下班的生产做好准备。

4、要认真贯彻安全生产方针，搞好安全工作，制止违章指挥、违章作业和违反劳动纪律的现象。

5、在发生人身事故时，要严格按照《关于工伤抢救程序的规定》，立即组织抢救工作。

6、做好雨季“三防”的日常工作，并做好相关记录。

7、每班及时向公司调度中心汇报各种数据和信息，并按要求及时输入“生产调度管理系统”。

四、调度会议制度：

1、参加调度会议人员

（1）每日碰头会（早7：00），由矿属各采、掘、机、运、通、辅助单位行政正职、职能科室正职参加。

（2）每日十六点班（15：00）、零点班（23：00）班前调度会，由采掘队、生产辅助队值班干部和该队工长及矿当日值班领导参加。

2、调度会议内容及程序：

（1）碰头会由调度主任主持，班前会议由调度员主持。准时点名，通报上天生产任务完成情况，并做好当天生产计划、工作安排。

（2）会议前必须做好一切准备工作，要讲实效，时间不得超过30分钟。

（3）会议宣传贯彻上级安全生产方针、通报、指示、指令及矿领导指示精神，简要分析通报上班安全生产运行和作业现场进展情况。

（4）与会队干部汇报当班生产作业计划，调度室将依据日作业计划，结合作业现场及相关系统、环节的实际情况，下达其当班生产任务以及一些临时性工作安排，各队要认真组织落实。

（5）凡各区队需下料或上下设备、管子、工字钢、单体支柱，打躲避洞，打绞车基础，铺道，移装岩机等工作时，必须在碰头会或班前会上作计划，凡各单位干零星杂活未向调度室做计划私自安排，造成不良后果，均由该队长负担一切费用，并按照有关文件追究其责任。

（6）每日碰头会，由安检、生产、机电、调度、矿领导针对矿井安全生产过程中存在的问题以及当前阶段性工作任务，提出具体解决办法和安排意见，及时协调各区队和各环节急待解决问题。

3、要求和纪律：

（1）所有按要求参加调度会议的人员，必须准时到会，迟到一次罚款20元，矿会一次罚款50元。确因有事不能参加者，必须事先向矿级领导主管和调度主任请假，否则按旷会论处。

（2）当班调度员必须按时督促碰头会或班前会议所安排的工作任务的完成情况。

（3）开会期间手机必须设为振动或关机状态，响铃一次罚款50元；

（4）各单位对生产中存在的问题及解决方案必须事先沟通，确实需上会时再提出，严禁推诿扯皮。

五、区队干部值班制度：

1、各区队必须在每月1日前，将本队全月干部值班安排表上报调度室，若值班人员有变化时，要及时通知调度室，否则每次罚款50元。

2、区队必须坚持24小时不间断值班制度（在其队部值班），调度室随时查岗，每班不少于一次。

3、若值班人员有事要暂时离开队部时，必须事先向调度室请示，并说明去向，征得同意后，必须安排本队其他人员留守在队部接听电话。

4、若值班干部中途有事要离开矿区时，必须由该队其他干部代替值班，并通知调度室，代替人员到位后，原值班干部方可离开。

5、每发现值班干部脱岗一次，罚款20元；无人值班，罚款50元，并由该值班干部承担因脱岗或空岗所产生的一切不良后果。

6、全矿所有干部及业务主管人员手机必须保持待机状态，发现手机关机，每次处罚200元，并追究责任。

六、跟班干部及工长汇报制度：

1、各采掘队必须由队干部现场跟班，跟班干部对本班的安全生产工作负全责，保证本班生产任务的完成，确保安全工作。

2、跟班干部要坚持每班三次的（向调度室）汇报制度——班初汇报（汇报上班完成情况及遗留问题、当班计划等）、班中汇报（汇报当班工作进展情况）、班末汇报（汇报本班任务完成情况及存在问题）。如有特殊事情，必须及时汇报调度室。

3、当班工长也要坚持每班两次的汇报制度——班初汇报（汇报出勤人数、当班计划等）、班末汇报（汇报本班任务完成情况）。

4、跟班人员和当班工长要按时汇报，迟汇报一次，罚款5元；少汇报一次，罚款10元；不汇报按无跟班或无工长论处，无跟班或无工长者一次罚款50元，罚该队队长100元，并追究有关人员的责任。

5、跟班干部和当班工长必须同本班人员同上同下，发现迟下或早上者，一次罚款30元。

6、跟班人员要认真履行职责，及时向调度室如实汇报情况（例如生产影响和事故等），坚决杜绝虚报瞒报现象的发生，否则，要严格追究当班跟班干部的责任。

七、停工误时管理制度：

1、停工误时是指因设备故障、材料供应、安全质量等原因造成本单位或其它单位生产中断，影响产量进尺和正常生产组织的非人身事故的总称。

各单位需检修的设备必须在前一天提出计划，由调度室主任全面协调后，在当日碰头会上进行安排，但必须规定时间，落实责任人。检修完毕后及时向调度室汇报，调度台做好记录，此期间在规定时间内完成不计本单位误时，否则按误时处理。

所有临时性安排任务归口调度室管理，被安排单位必须无条件立即执行，否则，按照停工误时论处。

2、事故处理程序：

（1）凡发生事故造成生产中断的单位，必须立即汇报矿调度室，跟班干部必须在现场立即组织人员积极抢修、处理，避免事故扩大或误时延长。

（2）各单位的事故处理，必须听从调度室的统一协调指挥，凡不服从者，造成事故扩大或误时延长，按责任划分，予以加倍处罚，并追究部门领导责任。

（3）调度室按事故的影响范围或程度，需调度其它单位人员或物资时，必须无条件服从，积极组织处理，否则按同类事故影响追究责任。

（4）事故单位处理完毕后，跟班干部应立即汇报调度室 ，并对现场工作安排详细说明，调度室做好记录。

3、必须追查处理的事故：

（1）机电事故：造成生产单位停产超过1小时或直接经济损失500元以上的事故。

（2）顶板事故：造成生产中断1小时以上或影响产量100吨以上，进尺1.5米以上的事故。

（3）运输事故：主、副井提升井下运输系统，停运1小时以上，或副提升系统停运2小时，或生产单位停产1小时的事故。

（4）其它事故：造成生产单位或系统影响，影响职工延时1小时以上的事故。

4、事故追查的管理规定：

（1）调度室负责事故追查的组织工作。按事故性质通知分管领导，职能科室、事故单位负责人及事故有关人员按时参加。

（2）对2小时以下的误时，由当日值班人员主持追查；2小时以上的误时由调度主任及有关业务科室参加，生产矿长主持追查。

（3）事故的追查要达到“快、严、细、准”，结果由调度室在追查后4小时内通报全矿。

（4）凡被通知参加追查的人员，必须按时参加，无故不参加者，每次罚款50元。

（5）对事故追查必须尊重客观事实，需查看现场时应及时组织相关人员到现场了解，坚持实事求是的原则。先从管理上查找并分析事故原因，责任必须落实到人，并制定切实可行的防范措施，写出书处理意见，交矿调度室。

5、对事故责任单位及责任者造成经济损失赔偿的规定：

（1）对影响安全生产的误时要进行考核和处理。对造成局部性停工误时的责任单位按1.5元/分钟进行处罚；对造成某一系统或全矿停产误时的对责任单位按3.0元/分钟进行处罚。

（2）事故造成1000元以内经济损失的，由责任者赔偿损失的20%—40%，直接经济损失在1001—5000元者，由责任者赔偿损失的10%—30%，并给予行政警告处分，其余部分由其单位负责赔偿。

（3）对因个人操作不符合规定或擅离职守，而造成设备损坏，由责任者按100%赔偿。

（4）对事故隐瞒不报者，一经查出，每次罚款50元。

（5）事故责任单位及个人罚款、赔偿，经追查小组决定后由调度室月末出据罚单（一式三份，调度、财务、个人各持一份）通知到责任单位及责任者，由财务科执罚。

（6）各单位全月误时超过规定指标，扣干部工资10%。

附：各单位误时控制指标

为了确保我矿实现安全生产年，进一步完善工伤抢救程序，加强各级领导的安全意识和责任心，使工伤人员能够迅速抢救上井并得以及时治疗，结合我矿实际，特制定如下措施：

1、加强各级领导值班制度和采掘区队现场跟班制度值班期间有事必须向调度室请假，说明去向和电话号码，并能在10分钟内找见，如去处用电话无法联系时，必须找本单位其它领导代替值班，否则不得离开值班岗位，严禁脱岗和空岗。

2、井下发生工伤，工伤所在单位必须立即如实向调度室汇报受伤人单位、姓名、受伤部位、受伤地点、伤势情况，调度室通知该单位领导立即停止一切工作，组织现场人员尽力抢救和井上快速运送受伤人员。

3、调度室接到受伤情况汇报后，做好记录，并按以下程序通知：

（1）立即通知运输大巷（电话8040），停止沿途其他工作，将电车开往出事地点接送工伤人员。

（2）通知副井信号工（电话8034），通知副绞车司机（电话），听到信号后，将罐笼放至下部等待工伤人员。

（3）通知调度值班司机魏锋洲（电话：15091431884）。

（4）通知调度主任周志明（电话15929712697）。

（5）通知当天值班领导。

（6）受伤部位在腰部以上者，立即汇报公司调度中心（电话：6791202）。

（7）通知：何成育王掌学种盈仓王建芳

同战仓李建平宋录才

（8）伤势严重时通知：

张存乾韩对民王全堂王万恒同新立

邓晓奇医院负责人刘建军何兵王忠斌

4、伤员上井后，要积极组织医护人员抢救，必要时送局医院抢救，并及时将情况汇报调度室。

5、调度室通知沿线车辆时间必须在5分钟之内通知完，通知有关领导必须在15分钟之内完成。

6、矿医院接到调度室电话后做好抢救准备工作，如工伤危重，立即在15分钟内带抢救箱，去井口等待进行应急处理，并护送工伤到医院。

矿井各部门负责人电话号码

上一页12下一页

第9篇 安全异常信息快速反应管理办法

第一章  总则

第一条  为深刻吸取长虹公司“3.21”煤与瓦斯突出事故教训，规范矿井“安全异常信息”的汇报和处置工作，形成快速反应、运行有序的“安全异常信息”汇报和处置工作机制，实现“安全异常信息”超前预警、超前处置,有效防范事故的发生,保障安全生产，特制定本办法。

第二条 本办法规定的应当汇报和处置的“安全异常信息”主要是指：矿井生产过程中发生的“安全异常信息”，包括机电运输专业、一通三防及防突专业、地测防治水专业、采煤专业、开掘专业等五类信息；外部供电、通讯、供水等方面威胁矿井安全生产的“安全异常信息”;威胁矿井安全生产的极端天气、地震等方面的“安全异常信息”。

第三条  提升理念。“安全异常信息”是事故预兆,是停产撤人的命令，“安全异常信息”不汇报,汇报不处置,或既不汇报又不处置就是事故，按照“四不放过”原则进行追查处理。“安全异常信息”的汇报要及时、准确和完整，处置要安全快速有效。

第四条  调度室及相关业务科室负责“安全异常信息”的收集、撤人、汇报、处置、建档、跟踪、销号七个环节的工作，在调度室建立“安全异常信息”闭合管理台账。调度室负责“安全异常信息”的收集、汇报、处置、建档等工作，业务保安科室负责“安全异常信息”的跟踪落实、整改销号等工作。矿井行政主要负责人是矿井“安全异常信息”汇报和处置工作的第一责任人，分管副职对业务范围内的“安全异常信息”的汇报和处置工作负责。

第五条  完善矿井“安全异常信息”处置技术、机构、队伍、资金、装备方面的保障工作和“安全异常信息”汇报和处置工作的管理和考核，建立“安全异常信息”闭合管理台账。矿井行政主要负责人是本单位“安全异常信息”汇报和处置工作管理和提供有关保障的第一责任人，分管副职对业务范围内的“安全异常信息”汇报及处置工作管理和提供有关保障负责。

第六条  调度室是“安全异常信息”汇报和处置的指挥中心，对所登记的“安全异常信息”要求做到实时调度。各业务保安科室是“安全异常信息”处置的技术指导部门。并负责“安全异常信息”闭合管理台账的建立、管理，跟踪处置，直至安全异常状况消除。

第二章  “安全异常信息”的汇报

第七条  “安全异常信息”要如实汇报，不得迟报、漏报或瞒报。

第八条  “安全异常信息”的汇报内容

（一）机电运输专业（详见附表1）

1.矿井及重要负荷单回路供电。

2.主、副井及乘人系统运行异常。

3.大型固定设备技术测定及探伤等有（存在）重大缺陷。

4.主要通风机故障单机运转。

5.矿井主排水系统故障不能担负正常涌水量。

6.危及安全的其它“安全异常信息”。

（二）一通三防及防突专业（详见附表2）

1.采掘工作面出现明显的煤与瓦斯突出及冲击地压预兆，包括中度以上喷孔、响煤炮或其它明显预兆。

2.钻探期间发现地质构造。

3.瓦斯高值或超限。

4.一氧化碳超标（放炮除外）。

5.监测监控系统异常，包括：（1）井上主要通风机或井下局部通风机监测显示停风；（2）风门开停传感器监测显示敞开；（3）矿井监控系统全部无记录或部分无记录；（4）监控系统相关设备未按规定检测、校验、维护保养导致数据传输不正常的。

6.危及安全的其它“安全异常信息”。

（三）地测防治水专业（详见附表3）

1.矿井涌水量达到预警水量（矿井排水系统联合试运的正常排水量）。

2.暴雨天气，可能发生洪水淹井。

3.探水钻孔阀门损毁，涌水难以控制。

4.采掘工作面有突水征兆。

5.危及安全的其它“安全异常信息”。

（四）采煤专业（详见附表4）

以下情况同时出现2处及以上的，必须上报：

1.工作面掉顶严重，冒落高度超过0.5m、连续长度超过5m。

2.工作面切顶严重，台阶下沉超过0.5m、连续长度超过5m。

3.采面煤壁严重片帮，深度超过1.5m、连续长度超过5m。

4.工作面支架连续5架严重钻底或挤架。

5.工作面两端头老塘侧局部悬顶面积大（面积大于2m×5m）。

6.危及安全的其它“安全异常信息”。

（五）开掘专业（详见附表5）

1.开掘工作面在一个生产班内顶板连续发出响声。

2.顶板离层明显，出现裂缝、顶板掉渣。

3.巷道压力增大片帮严重。

4.支架变形严重甚至断裂。

5.工作面出现地质构造。

6.危及安全的其它“安全异常信息”。

第三章  “安全异常信息”的处置

第九条  矿井“安全异常信息”的处置

（一）当矿井生产过程中发生本办法规定的“安全异常信息”时，现场管理人员（带班领导、跟班干部、班组长）、安检员、瓦检员等，必须第一时间发出停止作业、撤人的命令，指挥现场人员撤到安全地点，同时向矿调度室汇报。

（二）矿调度室值班人员接到生产现场或其它“安全异常信息”的汇报后，须在20分钟内用电话分别向矿井值班领导、分管领导及主要领导、分公司调度室、集团总调度室（电话：0375-2724146）、许平煤业生产技术处（调度）（电话：0375-3579000、3579331）、安监局禹州监察处汇报，同时须按照矿井值班领导的指示，立即通知受到安全威胁的人员撤离危险区域。之后须在30分钟内把“安全异常信息”填写到相应的“安全异常信息”汇报表（详见附表）中，并通过集团oa办公系统发送许平煤业生产技术处（调度）。

（三）由矿井值班领导立即组织调度、安监、业务科室等有关人员赶赴现场收集“安全异常信息”第一手资料，矿井带班领导立即赶赴现场对“安全异常信息”的处置进行指导和指挥，矿井总工程师负责牵头完善相关处置措施，矿井分管副职牵头组织对“安全异常信息”进行处置，业务保安科室负责牵头建立跟踪工作机制，实时督导“安全异常信息”的处置，直至安全异常状况消除。

第四章  考核

第十条

（一）作业现场发现“安全异常信息”后，现场管理人员（带班领导、跟班干部、班组长）、现场安检员、瓦检员等未在第一时间向调度室汇报的，对上述人员罚款500元。

（二）调度室接到“安全异常信息”汇报后，应在20分钟内向矿值班领导、分管领导及主要领导、分公司调度室、集团总调度室、许平煤业生产技术处（调度）、安监局禹州监察处汇报，之后须在30分钟内把“安全异常信息”填写到相应的“安全异常信息”汇报表中，并通过集团oa办公系统发送许平煤业生产技术处（调度），逾时不报的对调度当班值班人员罚款500元。

（三）矿井调度室及业务保安科室未建立“安全异常信息”闭合管理台账的或“安全异常信息”闭合管理台账未及时建档、整改销号的，未及时建档的，对调度室负责人罚款500元，未做到跟踪闭合管理的，对分管业务科室负责人罚款500元。

（四）“安全异常信息”瞒报的对作业现场安全管理人员罚款500元，汇报不处置，对调度室当班值班人员罚款500元，对调度室负责人罚款500元。

（五）“安全异常信息”处置期间因技术、机构、队伍、资金、装备保障不到位造成处置不及时或不能有效处置“安全异常信息”的，对相应单位进行责任追究。

（六）监测监控系统出现高值后监控上传中断，按瓦斯超限事故进行责任追究。

第五章  附则

第十一条  有关注释

中度喷孔：钻进过程中连续喷孔，停钻后持续1-2分钟，喷出颗粒直径3毫米，钻屑明显增多，抛出距离1-2米，工作面里探绝对值增加0.3%以内。

严重喷孔：停钻后连续喷孔超过2分钟，且带出大量钻屑；抛出距离大于2米或伴有煤炮声；工作面里探绝对值增加0.3%以上。（符合上述任一条件，即判断为严重喷孔）。

中度煤炮：声音较大，间歇性明显（时间间隔大于1分钟），有震感，有掉渣、扬尘现象。

严重煤炮：声音巨响、相邻区段多处地点均能听到；响声连续；震感明显；伴有大量扬尘。（符合上述任一条件，即判断为严重煤炮）。

有声预兆：煤层发出劈裂声、闷雷声、机枪声、响煤炮、以及气体穿过含水裂缝时的吱吱声等。声音由远到近，由小到大，有短暂的，有连续的，时间间隔长短不一致。煤壁发生震动和冲击，顶板来压，支架发出折裂声。

无声预兆：工作面顶板压力增大，煤壁被挤压，片帮掉渣，顶板下沿或底板鼓起；煤层层理紊乱、煤暗淡无光泽、煤质变软；瓦斯忽大忽小，煤壁发凉，打钻时有顶钻、卡钻、喷瓦斯等现象。

煤厚发生变化：增厚、变薄、尖灭、变软。

瓦斯高值：正常作业情况下瓦斯增幅50%以上即为瓦斯高值。

瓦斯超限：无论任何条件下瓦斯浓度达到1%即为瓦斯超限。

一氧化碳超标：除矿上建立台帐管理的一氧化碳区域和放炮引起的一氧化碳超标外，其它地点一氧化碳超标都必须立即汇报。

主要通风机停运：无论任何原因导致主要通风机停运都必须立即汇报。

第十二条  本办法自印发之日起执行。

附表：各专业“安全异常信息”汇报表

第10篇 信息系统运行维护安全管理规定

第一章 总则

第一条 为了确保总公司信息系统的安全、稳定和可靠运行,充分发挥信息系统的作用,依据《计算机信息网络国际联网安全保护管理办法 <>》,结合总公司实际,特制定本规定。

第二条 本规定所称的信息系统,是指由网络传输介质、网络设备及服务器、计算机终端所构成的,为正常业务提供应用及服务的硬件、软件的集成系统。

第三条 信息系统安全管理实行统一规划、统一规范、分级管理和分级负责的原则。

第二章 管理机构及职责

第四条 总公司办公室是公司信息系统运行维护和安全管理的主管部门,其安全管理职责是:

(一)负责总公司机关内互联网的运行管理,保证与城建局、各所属单位网络连接的畅通;

(二)负责总公司机关局域网的运行维护管理;

(三)落实安全技术措施,保障总公司信息系统的运行安全和信息安全;

(四)指导、协调所属单位局域网系统的安全运行管理。

第五条 总公司各所属单位信息员负责本单位局域网的运行维护和安全管理,服从总公司办公室的指导和管理。其安全管理职责是:

(一)负责广域网本单位节点、本单位局域网的运行维护和安全管理,保证与总公司网络连接的畅通;

(二)负责本单位人员的信息安全教育和培训,建立健全安全管理制度;

(三)与总公司办公室密切配合,共同做好总公司信息系统的安全运行、管理和维护工作。

第三章 网络接入及ip地址管理

第六条 需要接入总公司网络的所属单位应向总公司办公室提交申请,经审批同意后方可接入。

第七条 总公司机关内部局域网的ip地址由办公室统一规划、管理和分配,ip地址的申请、补充、更换均需办理相关手续。

第八条 申请与使用ip地址,应与登记的联网计算机网卡的以太网地址(mac地址,即硬件地址)捆绑,以保证一个ip地址只对应一个网卡地址。

第九条 入网单位和个人应严格使用由总公司办公室及本单位网络管理员分配的ip地址和指定的网关和掩码。严禁盗用他人ip地址或私自设置ip地址。总公司办公室有权切断私自设置的ip地址入网,以保证总公司内部局域网的正常运行。

第四章 安全运行管理

第十条 总公司机关和各所属单位均应指定专人担任信息系统管理员,负责信息系统的日常运行维护、故障处理及性能调优工作。

第十一条 建立电子设备运行档案,对所发生的故障、处理过程和结果等要做好详细的记录。关键设备应有备品备件,并进行定期的检测和维护,确保随时处于可用状态。

第十二条 系统软件(操作系统和数据库)必须使用正版软件,其选用应充分考虑软件的安全性、可靠性、稳定性,并具备身份验证、访问控制、故障恢复、安全保护、安全审计、分权制约等功能。

第十三条 对会影响到全公司的硬件设备或软件的更改、调试等操作应预先制定具体实施方案,必要时准备好后备配件和应急措施。

第十四条 数据库管理系统和关键网络设备(如服务器、防火墙、交换机等)的口令必须使用强口令,由专人掌管,定期更换。

第十五条 业务信息系统应严格控制操作权限,原则上采用专人专用的用户名及密码登录;对数据库的维护不允许通过外网远程登录进行。

第十六条 接入总公司信息系统的所有服务器和计算机均应采用国家许可的正版防病毒软件并及时更新软件版本,发现问题及时解决。具体措施如下:

(一)所有计算机全部安装和使用网络版防毒软件,未经许可,不得随意禁用或卸载,并设置好定期升级和杀毒的安全策略;

(二)对新购进的、修复的或重新启用的计算机设备,必须预先进行计算机病毒检查后方可安装运行;

(三)杜绝病毒传播的各种途径,光盘和优盘等存储介质及经远程通信传送的程序或数据在使用前应进行病毒检测,如工作需要使用共享目录,必须做好有关防范措施;

(四)在接入internet网时,严格控制下载软件,谨慎接收电子邮件;在接收电子邮件时,不随意打开附件;

(五)当出现计算机病毒传染迹象时,立即拔掉网线,隔离被感染的系统和网络,并进行处理,不应带“毒”继续运行。

第十七条 总公司及所属各单位信息系统如发生严重的网络中断故障,应按规定进行先期处置,同时报总公司办公室。

第六章 数据管理

第十八条 系统管理员应对系统数据(主要包括数据字典、权限设置、存储分配、网络地址、网管参数、硬件配置及其他系统配置参数)实施严格的安全与保密管理,并定期核对,防止系统数据的非法生成、变更、泄漏、丢失与破坏。

第十九条 各单位应定期进行数据备份,保证系统发生故障时能够迅速恢复;业务数据必须设置在线定时自动备份策略,必要时应采用双机备份。

第二十条 各单位重要业务数据必须每年定期、完整、真实、准确地转储到不可更改的介质上,实行集中存储和异地保管,保存期至少2年。备份数据不得更改,应指定专人负责保管和登记。

第二十一条 各单位业务数据不得随意进行数据恢复,因数据丢失或故障确需恢复的,应由系统管理员报本单位信息化工作部门,经批准后方可进行数据恢复操作,并做好记录。

第二十二条 总公司信息系统的数据采集、存储、处理、传递、输出和发布应遵守计算机信息系统相关保密管理规定,以保证公司信息系统无泄密事件发生。

第七章 附则

第二十三条本办法由总公司办公室负责解释。

第二十四篥本办法自印发之日起施行。

第11篇 区二中网络与信息安全管理应急预案

二中网络与信息安全管理应急预案

为确保网络正常使用,充分发挥网络在信息时代的作用,促进教育信息化健康发展,根据国务院《互联网信息服务管理办法》和有关规定,特制订本预案,妥善处理危害网络与信息安全的突发事件,最大限度地遏制突发事件的影响和有害信息的扩散。

一、危害网络与信息安全突发事件的应急响应

1.如在局域网内发现病毒、木马、黑客入侵等

网络管理中心应立即切断局域网与外部的网络连接。如有必要,断开局内各电脑的连接,防止外串和互串。

2.突发事件发生在校园网内或具有外部ip地址的服务器上的,学校应立即切断与外部的网络连接,如有必要,断开校内各节点的连接;突发事件发生在校外租用空间上的,立即与出租商联系,关闭租用空间。

3.如在外部可访问的网站、邮件等服务器上发现有害信息或数据被篡改,要立即切断服务器的网络连接,使得外部不可访问。防止有害信息的扩散。

4.采取相应的措施,彻底清除。如发现有害信息,在保留有关记录后及时删除,(情况严重的)报告市教育局和公安部门。

5.在确保安全问题解决后,方可恢复网络(网站)的使用。

二、保障措施

1.加强领导,健全机构,落实网络与信息安全责任制。建立由主管领导负责的网络与信息安全管理领导小组,并设立安全专管员。明确工作职责,落实安全责任制;bbs、聊天室等交互性栏目要设有防范措施和专人管理。

2.局内网络由网管中心统一管理维护,其他人不得私自拆修设备,擅接终端设备。

3.加强安全教育,增强安全意识,树立网络与信息安全人人有责的观念。安全意识淡薄是造成网络安全事件的主要原因,各校要加强对教师、学生的网络安全教育,增强网络安全意识,将网络安全意识与政治意识、责任意识、保密意识联系起来。特别要指导学生提高他们识别有害信息的能力,引导他们正健康用网。

4.不得关闭或取消防火墙。保管好防火墙系统管理密码。每台电脑安装杀毒软件,并及时更新病毒代码。

第12篇 iso27000信息安全管理体系审核员工作职责与职位要求

职位描述：

工作职责：

1.执行公司安排的审核任务，及时向相关人员反馈审核工作中出现的各种问题，并积极配合解决问题；

2.在审核工作中坚持审核原则，遵守审核员的行为规范和公司的各项规定，注意自己的言行，维护公司利益和形象；

3.及时完成审核资料的准备、与客户在审核前的沟通、督促客户整改不符合项、根据认证决定工作人员的意见修改和完善审核资料等工作；

4.及时完成公司安排的技术文件的编制工作；

5.积极参加公司安排的现场见证工作；

6.在审核中了解客户需求并向相关部门反馈；

7.积极参加公司安排的有关培训工作；

8.提供与审核相关的工作及公司其他各项工作的建议；

9.主动学习，持续提高自身的专业素质和审核技能，为受审核方提供有价值的意见和建议，不断提升审核工作质量。

职位要求：

1.本科及以上学历；

2.具备信息安全、密码学、计算机科学与技术、计算机应用、电子信息科学与技术、电子信息技术应用、人工智能、计算数学与应用数学、自动化、通信、电气等相关的专业学历；

3.已获得信息安全领域专业注册资格；

4.至少2年与信息安全有关的管理、技术研究与开发服务、测评、教学、标准制定等工作；

5.国家管理体系审核员注册准则中规定的各级别审核员应具备的知识、技能和个人素质；

6.尊重和维护公司的形象、声誉和利益；

7.自我激励，自我完善，具有良好的沟通能力及较强的团队协作精神；

8.能满足经常性出差需要。

第13篇 信息系统安全管理规定

系统安全管理规定

文档号CSLJC_COM_STD_ISMS_1202_P_V0.1密级

ISO27001信息安全管理体系文件

系统安全管理规定

ISMS-MP-A.12-01活动

签名

日期

创建

2011-8-24审核

批准II

文档变更历史

作者(或修订人)版本号

日期

修改内容与原因

V0.12011-8-24新建

评审记录

评审方式

版本号

日期

评审意见

文档状态：草稿

目录

1概述11.1目的11.2定义11.3范围11.4原则12角色与职责13安全要求23.1系统安全规划要求23.2系统运行与维护安全要求23.3操作系统安全配置策略53.3.1Windows系统安全配置管理策略53.3.2UNI*系统安全管理策略84附录10概述

1.1目的

为了加强公司各类计算机系统的安全运维管理，特制定本规定。

1.2定义

本程序引用ISO/IEC

17799:2005标准中的术语。

1.3范围

本文档适用于公司建立的信息安全管理体系。

1.4原则

本文档将依据信息技术和信息安全技术的不断发展和信息安全风险与信息安全保护目标的不断变化而进行版本升级。

角色与职责

表2-1系统安全管理规定的角色和职责

序号

角色

职责

信息安全管理委员会

负责对系统安全管理进行指导和检查

系统运维部

负责生产环境系统的维护工作

系统支援及维护部

负责系统安全管理的落地和实施工作

员工遵守公司系统安全管理规定

安全要求

3.1系统安全规划要求

1、系统在投入使用前需要做好前期的规划和设计，除了要满足公司目前业务需要外还要考虑该业务系统将来的应用需求，使系统具有一定的扩充能力。

2、系统服务器操作系统应选用正版软件并且遵守软件规定的最终用户使用协议，禁止使用盗版软件。

3、新规划使用系统应考虑和原来系统的兼容性问题。

4、在新系统安装之前应有详细的实施计划，并严格按照计划来实施。

5、在新系统安装完成，投入使用前，应对所有组件包括设备、服务或应用进行连通性测试、性能测试、安全性测试，并在《系统测试记录》做详细记录，最终形成测试报告。

6、在新系统安装完成，测试通过，投入使用前，应删除测试用户和口令，最小化合法用户的权限，最优化配置，应及时对系统软件、文件和重要数据进行备份。

3.2系统运行与维护安全要求

1、各个系统设备应进行资产登记。

2、系统的帐号、口令应符合《帐号与密码安全管理规定》，并定期对帐号口令实施安全评估。

3、严格限制操作系统管理员权限帐号和普通账号的数量和使用范围。对于系统管理员的帐号要详细登记备案，编制《管理员权限账号记录》，每季度对该记录进行审核，更新帐号记录。

4、操作系统帐号的申请与变更参考《帐号与密码安全管理规定》3.5节“账号权限控制流程”。

5、严格禁止非本系统管理、维护人员直接进入主机设备进行操作，若在特殊情况下（如系统维修、升级等）需要外部人员（主要是指厂家技术工程师、非本系统技术工程师、安全管理员等）进入主机设备进行操作时，必须由维护人员员亲自登录，并对操作全过程进行记录备案。

6、应尽可能减少主机设备的远程管理方式。

7、严禁随意安装、卸载系统组件和驱动程序，如确实需要，应及时评测可能由此带来的影响；如果需要安装补丁程序，参考《病毒与补丁安全管理规定》进行安装。

8、禁止主机系统上开放具有“写”权限的共享目录，如果确实必要，优先考虑建立FTP站点，紧急情况下可临时开放，但要设置强共享口令，并在使用完之后立刻取消共享；应禁止不被系统明确使用的服务、协议和设备的特性，避免使用不安全的服务。

9、应严格并且合理的分配服务安装分区或者目录的权限，如果可能的话，给每项服务安装在独立分区；取消或者修改服务的banner信息；避免让应用服务运行在root或者administrator权限下。

10、应严格控制重要文件的许可权和拥有权，重要的数据应当加密存放在主机上，取消匿名FTP访问，并合理使用信任关系。

11、应对日志功能的启用、日志记录的内容、日志的管理形式、日志的审查分析做出明确的规定；对于重要主机系统，应建立集中的日志管理服务器，实现对重要主机系统日志的统一管理，以利于对主机系统日志的审查分析；应保证各设备的系统日志处于运行状态，并定期对日志做一次全面的分析，对登录的用户、登录时间、所做的配置和操作做检查，在发现有异常的现象时应及时向相关人员报告，日志审核要求详见《安全审计管理规定》。

12、应及时监视、收集主机设备操作系统生产厂商公布的软件以及补丁更新，要求下载补丁程序的站点必须是相应的官方站点，并对更新软件或补丁进行评测，在获得部门领导的批准下，对实际环境实施软件更新或者补丁安装；必须订阅CERT

(计算机紧急响应小组)公告或其他专业安全机构提供的安全漏洞信息的相关资源，应立即提醒信息安全工作组任何可能影响网络正常运行的漏洞；及时评测对漏洞采取的对策，在获得部门领导的批准下，对实际环境实施评测过的对策，并将整个过程记录备案；软件更新或者补丁安装应尽量安排在非业务繁忙时段进行，操作必须由两人以上完成，由一人监督，一人操作，并在升级（或修补）前后做好数据和软件的备份工作，同时将整个过程记录备案；软件更新或者补丁安装后应重新对系统进行安全设置，并进行系统的安全检查。

13、应定期进行安全漏洞扫描和病毒查杀工作，平均频率应不低于每月一次，并在《月度网络安全扫描记录》中详细记录评估扫描结果。重大安全漏洞发布后，应在3个工作日内进行；为了防止网络安全扫描以及病毒查杀对网络性能造成影响，应根据业务的实际情况对扫描时间做出规定，应一般安排在非业务繁忙时段；当发现主机设备上存在病毒、异常开放的服务或者开放的服务存在安全漏洞时应及时上报信息安全工作组，并采取相应措施。

14、应至少每周1次，对所有主机设备进行检查，确保各设备都能正常工作；应通过各种手段监控主机系统的CPU利用率、进程、内存和启动脚本等的使用状况，在发现异常系统进程或者系统进程数量异常变化时，或者CPU利用率，内存占用量等突然异常时，应立即上报信息安全工作组，并同时采取适当控制措施，并记录备案。

15、当主机系统出现以下现象之一时，必须进行安全问题的报告和诊断：

系统中出现异常系统进程或者系统进程数量有异常变化。

系统突然不明原因的性能下降。

系统不明原因的重新启动。

系统崩溃，不能正常启动。

系统中出现异常的系统账号

系统账号口令突然失控。

系统账号权限发生不明变化。

系统出现来源不明的文件。

系统中文件出现不明原因的改动。

系统时钟出现不明原因的改变。

系统日志中出现非正常时间系统登录，或有不明IP地址的系统登录。

发现系统不明原因的在扫描网络上其它主机。

16、应及时报告任何已知的或可疑的信息安全问题、违规行为或紧急安全事件，并在采取适当措施的同时，应向信息安全工作组报告细节；应定期提交安全事件和相关问题的管理报告，以备管理层检查。

17、应根据“知所必需”原则严格限制泄漏安全违规行为、安全事件或安全漏洞。如果必须向任何公司外部方（包括任何合法的权威机构）泄漏这类受限信息，应先咨询公司相关法律部门。

18、系统软件安装之后，应立即进行备份；在后续使用过程中，在系统软件的变更以及配置的修改之前和之后，也应立即进行备份工作；应至少每年1次对重要的主机系统进行灾难影响分析，并进行灾难恢复演习。

19、应至少每年1次对整个网络进行风险评估，每次风险评估时，手工检查的比例应不低于10％，渗透测试的比例应不低于5％；风险评估后应在10个工作日内完成对网络的修补和加固，并进行二次评估。

3.3操作系统安全配置策略

3.13.23.33.3.1Windows系统安全配置管理策略在应用以下安全策略之前应根据业务系统的实际情况进行操作，注意实施操作后对业务的风险。

1、物理安全策略

应设置BIOS口令以增加物理安全。

应禁止远程用户使用光驱和软驱。

2、补丁管理策略

应启动Windows自动更新功能，及时安装Windows补丁（SP、hotfi*）。

对于不能访问Internet的Windows系统，应采用手工打补丁的方式。

3、帐户与口令策略所有帐户均应设置口令。

应将系统管理员账号administrator重命名。

应禁止Guest账号。

应启用“密码必须符合复杂性要求”，设置“密码长度最小值”、“密码最长存留期”、“密码最短存留期”、“密码强制历史”，停用“为域中用户使用可还原的加密来存储”。

应设置“账户锁定时间”，“账户锁定阈值”，“复位账户锁定计数器”来防止远程密码猜测攻击。

在信息安全组批准下，应定期利用口令破解软件进行口令模拟破解测试，在发现脆弱性口令后及时通告并采取强制性的补救修改措施。

4、网络服务策略

应尽可能减少网络服务，关闭不必要的服务。

应通过修改注册表项，调整优化TCP/IP参数，来提高系统抵抗DoS攻击的能力。

应限制使用SNMP服务。如果的确需要，应使用V3版本替代V1、V2版本，并启用MD5校验等功能。

5、文件系统策略

所有分区均应使用NTFS。

尽量使用磁盘配额管理、文件加密（EFS）等功能。

应卸载OS/2和POSI*操作环境子系统。

应将所有常用的管理工具放在%systemroot%外的特殊目录下，并对其进行严格的访问控制，保证只有管理员才具有执行这些工具的权限。

应关闭NTFS生成

8.3文件名格式。

应设置访问控制列表（ACL），对重要的目录、文件进行访问权限的限制。

6、日志策略

应启用系统和文件审核功能，包括应用程序日志、安全日志、系统日志、以及各种服务的日志。

应更改日志存放的目录，并及时监控，特别是安全日志、系统日志。对于重要主机设备，应建立集中的日志管理服务器，实现对重要主机设备日志的统一管理，以利于对主机设备日志的审查分析。

7、安全性增强策略

对于独立服务器应直接检查本地的策略和配置。对于属于域的服务器，应检查域控制器上对计算机的域管理策略。检查内容主要为用户、用户组及其权限管理策略。

应限制对注册表的访问，严禁对注册表的匿名访问，严禁远程访问注册表，并对关键注册表项进行访问控制，以防止它们被攻击者用于启动特洛伊木马等恶意程序。

应定期检查注册表启动项目，避免系统被安装非法的自启动程序。

应隐含最后登陆用户名，避免攻击者猜测系统内的用户信息。

在登录系统时应显示告警信息，防止用户对远程终端服务口令进行自动化的脚本猜测，并删除关机按钮。

应删除Windows主机上所有默认的网络共享。

应关闭对Windows主机的匿名连接。

对于不需要共享服务的主机，应彻底关闭文件和打印机共享服务。

应限制Pcanywhere等远程管理工具的使用，如确实需要，应使用最新版本，完整安装补丁程序并经过评测，获得信息安全工作组的许可；并使用Pcanywhere加密方式进行管理。

应安装防病毒软件，并及时更新软件版本和病毒库。

尽量安装防火墙。

3.3.2UNI*系统安全管理策略

1、补丁管理策略

应及时安装系统最新补丁。

应及时升级服务至最新版本。

2、帐户与口令策略

所有帐户均应设置口令。

去除不需要的帐户、修改默认帐号的shell变量。

除root外，不应存在其他uid=0的帐户。

应设置超时自动注销登陆，减少安全隐患。

应限制可以su为root的组。

应禁止root远程登陆。

在信息安全组批准下，应定期利用口令破解软件进行口令模拟破解测试，在发现脆弱性口令后及时通告并采取强制性的补救修改措施。

3、网络服务策略

应尽可能减少网络服务，关闭不必要的服务。

应启用inetd进站连接日志记录，增强审计功能。

应调整优化TCP/IP参数，来提高系统抵抗DoS攻击的能力。

应调整TCP/IP参数，禁止IP源路由。

应限制使用SNMP服务。如果的确需要，应使用V3版本替代V1、V2版本，并启用MD5校验等功能。

应调整内核参数打开“TCP随机序列号”功能。

4、文件系统策略

尽量使系统root用户初始创建权限(umask)为077。

尽量使用磁盘配额管理功能。

去除适当文件的set-uid和set-gid位。

应限制/etc目录的可写权限。

增强对关键文件的执行权限控制。

为不同的挂载点指派不同的属性。

5、日志策略

应对ssh、su登陆日志进行记录。

除日志服务器外，应禁止syslogd网络监听514端口。

对于重要主机设备，应建立集中的日志管理服务器，实现对重要主机设备日志的统一管理，以利于对主机设备日志的审查分析。

6、安全性增强策略

应保证bashshell保存少量的（或不保存）命令。

应禁止GUI登陆。

应隐藏系统提示信息。

尽量安装第三方安全增强软件。

附录

附录一：相关文件

《信息安全管理体系手册》

《系统测试记录》

《操作系统管理员权限帐号记录》

《操作系统普通权限账号记录》

《操作系统账号开通申请》

《月度网络安全扫描记录》

第14篇 安全信息闭合管理规定

为加强安全信息系统化管理,严格落实安全生产责任制,及时消除现场隐患,特制订安全信息闭合管理规定,望各部门认真执行。

1 信息反馈

公司大检查、隐患排查、公司职能科室专项检查、公司干部日常检查、带班干部检查、现场人员举报反馈的问题,由安环部统一下卡整改。

2 收集处理

2.1安环部应及时处理所有信息,经仔细筛选、归类后填写隐患整改通知单,不得丢失或随意改动每一条信息,并及时通知责任整改部门管理干部落实整改。

2.2整改部门接到通知单后,立即安排组织整改。所有隐患要制定确保安全的临时性防范措施。治理周期较长、存在较大安全威胁的一般安全隐患的防范措施,经厂长办批准后,交安环部备案。重大隐患的防范措施要经生产经理批准后交安环部备案。

2.3对于一时解决不了的隐患,应定出计划,按期解决;对于不停车处理不了的隐患,一般要停车处理;对于非处理不行的隐患,在开车情况下要有安全检修方案,经厂长办批准方可整改。

3 复查验收

3.1由经理层督办的重大安全隐患治理结束后,由生产厂长组织有关部门负责人进行复查验收,出具重大安全隐患治理验收报告,报请总经理审批后,送安环部存档。

3.2对于由部室负责人督办的治理周期较长或存在较大安全威胁的一般安全隐患治理结束后,由相关部室负责人组织有关部门进行验收,合格后出具隐患治理验收报告,经生产厂长签字后,送安环部存档。

3.3对于一些危险性不大、治理周期很短、发现后能够立即整改消除的隐患;直接由责任区域的部门负责人进行复查验收,合格后将验收单报安环部存档。经复查,如隐患未整改或整改不彻底,由责任部门继续处理,直至完成整改。

4 工作考核

4.1各部门对各项检查查出来的问题认真落实整改,如未及时进行整改,且无有效延期整改的,考核责任部门负责人20元/条。

4.2对于隐患整改工作有协助部门的,如整改未完成连带考核协助部门相关责任人50%。

第15篇 人员离岗离职信息安全管理规定

为规范本单位计算机信息安全工作,更好的服务于本单位信息化建设需要,特制定本规定:

第一条为保证本单位的计算机与网络信息安全,适应信息安全等方面的需要,防止计算机网络失密泄密事件发生,特制定本制度;

第二条工作人员离职之后仍对其在任职期间接触、知悉的属于本单位或者虽属于第三方但本单位承诺或负有保密义务的秘密信息,承担如同任职期间一样的保密义务和不擅自使用的义务,直至该秘密信息成为公开信息,而无论离职人员因何种原因离职。

第三条离职人员因职务上的需要所持有或保管的一切记录着本单位秘密信息的文件、资料、图表、笔记、报告、信件、传真、磁带、磁盘、仪器以及其他任何形式的载体,均归本单位所有,而无论这些秘密信息有无商业上的价值。

第四条离职人员应当于离职时,或者于本单位提出请求时,返还全部属于本单位的财物,包括记载着本单位秘密信息的一切载体。若记录着秘密信息的载体是由离职人员自备的,则视为离职人员已同意将这些载体物的所有权转让给本单位,本单位应当在离职人员返还这些载体时,给予离职人员相当于载体本身价值的经济补偿;但秘密信息可以从载体上消除或复制出来时,可以由本单位将秘密信息复制到本单位享有所有权的其他载体上,并把原载体上的秘密信息消除,此种情况下离职人员无须将载体返还,本单位也无须给予离职人员经济补偿。

第五条离职人员离职时,应将工作时使用的电脑、u盘及其他一切存储设备中关于工作相关或与本单位有利益关系的信息、文件等内容交接给本单位相关人员,不得在离职后以任何形式带走相关信息。

***********

年月日