公司数据安全管理办法模板.docx
- 文档编号:103535
- 上传时间:2022-10-03
- 格式:DOCX
- 页数:39
- 大小:38.64KB
公司数据安全管理办法模板.docx
《公司数据安全管理办法模板.docx》由会员分享,可在线阅读,更多相关《公司数据安全管理办法模板.docx(39页珍藏版)》请在冰豆网上搜索。
公司数据安全管理办法
编制
版本
修订记录
版本 修订章节 修订内容概述 修订日期 修订人
目录
第一章总则 4
第二章机构与人员 6
第三章数据安全合规 8
第四章数据分类分级 12
第五章数据全生命周期管理 15
第六章基础安全管理 30
第七章问责与处罚 33
第八章附则 34
附录 34
附录一公司数据安全保护清单 错误!
未定义书签。
附录二公司数据安全自评表 错误!
未定义书签。
附录三《关键系统数据安全责任承诺书》模板 34
附录四安全事件违规行为及对应的违规事件级别 38
第一章总则
第一条目的及依据
为加强公司数据安全管理,构建强有力的数据安全保障体系,维护国家安全、社会公共利益,保护用户合法权益,保障公司数据资产安全及业务健康发展,根据《中华人民共和国网络安全法》,以及国家相关法规及制度要求,参照《信息安全技术个人信息安全规范》等国家标准,制定本办法。
作为本公司各相关部门实施数据安全管理工作的依据。
第二条管控对象
本规范的管控对象为公司运营过程中通过网络收集、存储、传输、处理和产生的各种电子数据(以下简称“数据”)包括公司源数据、客户隐私数据、生产过程数据、测试数据、产品数据以及保证生产经营活动正常运转的支撑数据、业务平台数据、数据分析平台系统、数据业务服务及相关人员组织等。
第三条基本原则
保障公司数据安全,总体来说应遵循以下基本原则:
²主体责任明确原则:
明确责任分工,落实公司业务和平台的数据安全主体责任。
²协同治理原则:
保障数据安全是公司的目标,安全职
责应体现在所有相关部门,对于出现的安全问题,所有相关部门均应履行相应的安全职责并承担相应的责任。
²服务最小化原则:
在向公司内部、平台、第三方合作伙伴共享开放数据时,应仅提供业务开展明确需要的数据属性、标签属性及规模。
²分类分级管控原则:
对公司数据进行分类分级,根据敏感程度不同,采取适当的、与安全风险相适应的管控措施和技术手段,保障数据安全。
²用户知情同意原则:
收集、使用客户信息时,应当遵循合法、正当、必要的原则,公开收集、使用规则,明示收集、使用信息的目的、方式和范围,并经客户信息主体同意。
²安全三同步原则:
在承载数据的相关平台系统的设计、建设和运行过程中,应做到数据安全保护措施的同步规划、同步建设、同步运行。
第四条适用范围
本规范适用范围为公司各部门。
本规范中所述第三方合作伙伴是指除公司外的第三方。
本规范中所述的网络和内网均指生产网环境非办公网环境。
办公网环境数据安全遵照公司的办公数据安全相关管理办法执行。
本规范的解释权属于公司。
第二章机构与人员
第五条网络安全领导小组的职责
公司网络安全领导小组在控股公司网络安全领导小组的统一领导下,负责开展本单位的数据安全管理工作。
网络安全领导小组的主要职责包括:
(一)负责数据安全保护工作的全面统筹指导;
(二)审核和批准数据安全保护相关管理规定;
(三)对数据安全保护工作的支持,提供必要资源(人、
财、物)等;
(四)负责监督数据安全泄密事件的查处;
(五)负责统一对上级单位或部门报告数据安全突发事件情况等工作。
第六条运维中心的职责
运维中心是数据安全归口管理部门,负责整体数据安全的统筹管理,其相关职责如下:
(一)负责数据安全资产清单管理,统一维护公司数据安全资产清单库,牵头各部门开展数据资产的清查及管理工
作;
(二)负责牵头各部门开展数据安全审计、数据安全合规性评估等监督检查工作;
(三)负责督促协调各相关部门建立数据安全技术保障措施。
如督促协调严格落实操作权限管理、日志记录和安全审计、数据加密、数据脱敏、访问控制、数据容灾备份等数据安全保护措施;
(四)负责所运维的涉及数据的系统和平台技术层面的数据安全保障和稽查工作;
(五)负责规范后台运行维护人员、开发测试人员、生产运行支撑人员的角色和职责;
(六)负责系统层面数据安全的日常管理和审核工作;
(七)负责开展数据安全教育培训,培训内容包括但不限于数据安全管理与用户个人信息保护相关法律法规、标准制度、安全责任、知识技能等;
(八)协助数据安全泄密事件的查处;
(九)协助对与公司合作的第三方管理,包括协助开展第三方安全资质审查,综合评估第三方的数据安全保障能力
第七条涉及数据安全的业务部门的职责
(一)明确数据安全主体责任,建立落实数据安全保护的
管理、技术、组织保障措施;
(二)协助数据安全归口管理部门开展数据资产的清查及管理工作;
(三)协助数据安全归口管理部门开展数据安全审计、数据安全合规性评估等监督检查工作;
(四)负责主管的业务系统数据安全相关事件上报和处置,协助数据安全归口管理部门进行数据安全事件的查处。
(五)按照数据安全管控原则,合理设置相关业务人员岗位、角色、权限及职责;
(六)负责落实主管业务的合作伙伴数据安全管理,包括做好合作伙伴背景调查和安全资质审查、综合评估业务合作伙伴的数据安全保障能力、签订数据安全保密协议、明确数据安全违规的处罚措施和违约责任、加强数据操作管理等;
第八条其他相关部门的职责
(一)人力资源部门:
组织员工签订保密承诺书,及时发布人员岗位变动、入离职的信息同步给帐号管理部门,协同组织数据安全教育培训工作,参与对数据泄密人员的查处;
(二)采购、合规管理部门应在采购、合同管理阶段,审核数据安全保护的要求,在合同中纳入数据安全保密条款;
第三章数据安全合规
第九条数据安全“三同步”
为保障公司生产运营中数据安全,落实业务安全“三同步”的要求,应在公司数据生产运营流程的关键环节,采取必要的安全控制措施,实现公司敏感数据可管可控。
(一)数据系统规划设计阶段
在数据系统规划设计阶段应全面梳理数据运营平台及系统安全需求,明确相关资源,对敏感数据泄露、身份认证缺陷等安全风险进行分析、评估,设计整体数据运营平台系统安全保障方案,做好系统安全方案设计和方案评审两个环节的安全控制。
(二)数据系统建设开发阶段
在数据系统建设开发阶段在设备采购、系统开发、测试验收、上线试运行四个环节做好安全控制,落实整体安全保障方案。
(三)数据系统运行维护阶段
在数据运营运行维护阶段应做好数据运营系统和平台的监测、访问控制、账号管理、补丁更新等安全管理工作;落实日常安全监测与保障,建立应急处置机制,保证数据业务的连续运行;建立退出服务机制,确保不符合生产环境的应用系统安全退出服务。
第十条数据泄露应急处理
(一)公司内部部门工作人员发生数据泄漏,应停止账号使用并回收操作权限,报告分管部门领导和数据安全归口管理专员,并保留相关日志记录,配合归口管理专员开展调查和责任追究。
事件严重的要按照相关的管理要求,上报公司网络安全工作办公室进行处置。
(二)第三方人员发生数据泄漏,应立即停止其操作权限,再向泄漏人员追讨数据,并报告分管部门领导和数据安全归口管理专员,根据实际需要采取向第三方厂商通报、追责等处理措施。
事件严重的要按照相关的管理要求,上报公司网络安全工作办公室进行处置。
(三)由于非人员因素,例如,黑客攻击等原因造成的数据泄露,涉及的业务系统应立即采取包括网络封堵、关停服务等措施避免数据的进一步泄露,报告数据安全管理专员和部门领导,保留相关日志记录,配合数据安全管理专员开展问题调查。
问题严重的要按照公司安全管理制度要求,上报公司网络安全办公室或网络安全领导小组进行处置。
第十一条数据资产管理与报送
涉及数据安全的部门应明确各自部门数据安全归口管理人员,配合数据安全归口管理部门开展数据资产的清查和梳理工作,负责各自部门业务或系统的数据安全资产的清查和管理,并对清查和梳理的结果进行记录、管理,按照附录《公司数据安全保护清单》填写,确保资产管理的规范性、统一性。
第十二条数据安全审计
数据安全审计是通过管理和技术两种手段,检查公司的数据安全策略和数据安全风险控制措施的执行情况以及发现安全风险,保障业务连续运转的过程。
安全审计的范围应包括与公司数据安全相关的所有范畴,包括各类数据资产、业务流程、支撑生产经营活动正常运转的各类网络设备操作日志、部门以及人员(管理层、员工、用户、第三方等)等,同时还包括保障正常生产经营活动连续运转的应急响应及恢复机制。
涉及数据安全的部门应根据各自部门的实际情况配合数据安全归口管理部门定期或按监管要求开展数据安全风险评估、数据安全合规性评估等监督检查工作,按照《公司数据安全自评表》至少每年开展一次安全风险自评。
各相关部门负责数据安全审计的人员应对审计情况进行汇总,梳理存在问题,通报结果,对发现的重大安全隐患或违规行为,应向部门管理层汇报。
公司各部门的安全审计活动和后续整改工作应被正式记录并保存。
第四章数据分类分级
为了能够更好的保护数据安全,公司应对敏感数据进行分类分级,从而可以针对不同种类和敏感级别的数据制定差异化的安全控制策略。
各部门要结合各自部门业务的实际情况,梳理各自部门涉及的数据并明确具体数据的分级。
针对较敏感级(含)以上的数据必须分析其存在的风险并制定落实具体的安全管控措施,避免数据泄露、被窃取、篡改和滥用事件发生。
第十三条数据分类详细信息
根据公司数据运营和开放服务的特点,结合有关部门规范的规定和要求,将公司数据运营涉及的敏感数据分为四类。
类别
子类
范围
对应数据
A.用户身份和鉴权信息
A1.用户身份和标识信息
A1-1:
自然人身份标识
客户姓名、证件类型及号码、驾照编号、银行账户、客户实体编号、客户名称、客户负责人\联系人信息等可以精确标识定位具体实体客户的信息
A1-2:
网络
身份标识
联系电话、邮箱地址、网络客户编号、即时通信账号、网络社交用户账号等可以精确标识网络用户或通信用户的信息
A1-3:
用户基本资料
客户职业、工作单位、年龄、性别、籍贯、兴趣爱好等;客户所在省市、所在行业、签约时间及协议到期时间、单位成员个人基本资料等
A1-4:
实体
身份证明
身份证、护照、驾照、营业执照等证件影印件等;指纹、声纹、虹膜等
A1-5:
用户
揭示个人种族、家属信息、居住地址、宗教信仰、基
私密资料
因、个人健康、私人生活等有关的用户私密信息
《征信业管理条例》等法律、行政法规规定禁止公开
的用户其他信息
A2:
用户网络身份鉴权信息
A2-1:
用户密码及关联信息
用户网络身份密码及关联信息
B.用户数据及服务内容信息
B1:
服务内容
和资料数据
B1-1:
服务内容数据
服务内容数据;
互联网服务内容信息:
包括:
移动互联网服务所涉及通话内容、及时通信内容、群内发布内容、数据文件、邮件内容、用户上网访问内容等;用户云存储、IDC等存储或缓存的非公开的私有文字、多媒体等资料数据信息
B1-2:
联系人信息
C.用户服务
相关信息
(D类)企
业运营
管理数据
D1:
企业管理
数据
(D1-1):
企业内部核心管理数据、(D1-2):
企业内部重要管理数据、(D1-3):
企业内部一般管理数据、(D1-4):
市场核心经营类数据、(D1-5):
市场重要经营类数据、(D1-6):
市场一般经营类数据、(D1-7):
企业公开披露信息、(D1-8)企业上报信息
D2:
业务运营
数据
(D2-1):
重要业务运营服务数据、(D2-2):
一般业务运营服务数据、
(D2-3):
公开业务运营服务数据(D2-4):
数字内容业务运营数据
D3:
网络运维
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 公司 数据 安全管理 办法 模板
![提示](https://static.bdocx.com/images/bang_tan.gif)