信息安全策略Word格式文档下载.docx
- 文档编号:18389364
- 上传时间:2022-12-15
- 格式:DOCX
- 页数:23
- 大小:35.62KB
信息安全策略Word格式文档下载.docx
《信息安全策略Word格式文档下载.docx》由会员分享,可在线阅读,更多相关《信息安全策略Word格式文档下载.docx(23页珍藏版)》请在冰豆网上搜索。
项目
极秘
秘
管理注意
机密分类的表示以及告知
必须
必要
不要
向公司外地址发送电子邮件
禁止
可以
向公司内地址发送电子邮件
必须取得责任者的许可
不需许可
可拆卸存储设备的保管
加锁处
不引人注目处
可拆卸存储设备的带出
带出公司外需取得许可
数据的保存场所
原则上,服务器
无制约
数据的复制
必须取得许可,至少初次复制时
数据的浏览与删除
管理者离开座位时的注销、以及屏保的使用
最好能够做到
4-3.监查
有关信息管理的遵守情况,管理责任者本着责任,有可能在没有预告的情况下进行监查。
5.计算机的管理
5-1.导入
6)在管理责任者批准的基础上,由IT担当统一导入。
禁止IT担当擅自导入计算机、外部设备、软件等。
7)必须选择能够运行****的防病毒软件等安全对策系统的机种。
8)对于服务器、计算机,从防止机密泄漏的观点出发,原则上选择能够提供上门保修服务的机种、厂家。
9)关于导入服务器、计算机软件,IT担当应该管理认证数、实际安装数、并必须妥善保管证书、介质等。
5-2.修理
计算机系统发生故障时,在管理责任者批准的基础上,由IT担当统一进行修理。
2)原则上,不要把设备送到外部公司,而是外部公司来我公司进行修理。
尤其对于是硬盘等存储介质,必须采取不让外部公司带走的对策。
3)有必要带出外部进行修理的时候,或硬盘等存储介质的修理必须在外部实施的情况下,必须选择可以信赖的公司,并且在缔结机密保守合同的基础上实施。
5-3.废弃
10)计算机系统要在管理责任者批准的基础上,由IT担当废弃。
11)在废弃硬盘等存储介质时,必须在事前删除所有与信息资产相关的信息。
这时,只用通常的文件删除是不充分的,必须确实执行下面任何一项措施:
使用专用软件处理、对存储介质表面进行物理性的破坏、按照已有的机密保守合同委托给专门的公司。
6.计算机系统使用的相关事项
6-1.一般
12)计算机系统必须且只能使用于****的业务活动中。
并且,使用计算机系统的目的是提高工作效率。
禁止将计算机系统用于个人目的、****以外的业务活动。
13)对于保管于计算机系统中的信息,管理责任者以及IT担当必须妥善制定访问权限,确保信息泄漏、损失的预防措施。
并且,相关人员必须为自己权限范围内不发生信息泄漏、损失而尽力。
不能访问超越权限的信息。
14)禁止安装业务上不使用的软件。
即使是业务必需也禁止复制没有许可证的软件。
15)未经IT担当的许可,禁止擅自更改计算机系统配置。
16)对于保存于计算机系统内的数据,使用计算机系统的人员负有妥善做好备份的责任。
****主干系统数据备份的类别,频度,方法如下
系统类别
数据类别
频度
备份媒体
CIM
SOAP(设计系统・CAS)
数据
1次/日
磁带
RPICS
ACCPAC
6-2.安全对策
17)在管理责任者批准的基础上,IT担当有必要对相关人员做出适当的安全对策指示,并监视其贯彻。
18)对计算机、服务器要设定适当的口令后使用。
特别是管理属于极秘、秘的信息的相关人员,在离开座位时,必须注销或者使用锁画面・键盘等的保护功能。
19)必须在计算机、服务器中导入防病毒软件,并必须使得版本、扫描引擎、病毒定义文件等始终处于最新状态。
并且,有必要将病毒对策软件设定为经常使用,且有必要在每次输入输出邮件、文件时进行检测。
若检测出已感染病毒或病毒征兆,有关人员必须立即断开该设备的网线,并向IT担当汇报。
20)MS-Windows的WindowsUpdate等操作系统以及应用系统的安全对策必须以适当的频度、方法进行实施。
尤其是WindowsUpdate,使用计算机系统的人员最好能够做到每周一次手动更新。
5)为防止遗失•被盗时信息泄漏,必须对带出公司外的笔记本电脑硬盘实施加密。
6-3.用户认证
21)斟酌重要性与可实现性的难易度,使用口令或者高安全型口令进行用户认证。
当前****没有实施高安全型口令用户认证。
※高安全性口令是指,口令与一次性口令、令牌、生物认证、随机表等所组成的口令。
使用时,有必要制定相关使用规定。
22)取得计算机系统的口令的相关人员必须注意以下几点,为做到信息不泄漏给他人,必须认真负责管理。
∙不得将口令出借给他人。
也不得由多个相关人员共用一个口令。
∙不得使用他人容易推测出的口令。
长度要在8字符以上,除拉丁字母与数字的组合外,最好要含有至少一个文字的#、&
等记号。
∙不得将密码记录在除了本人随身携带并妥善保管的记事本类以外的地方。
∙在进行输入作业时,必须注意不得被他人看到。
∙必须定期变更口令。
6-4.笔记本电脑等的带出
23)在将笔记本电脑等计算机带出到外部时,必须将带出机种,理由,使用者填写在“携带便携式计算机审批表”(IS-09),并取得管理担当者和管理责任者的签字或印章。
管理担当者对带出到外部后的计算机必须定期对以下项目进行确认。
⏹是否安装正规的杀毒软件,其病毒特征码及引擎是否更新为最新的版本。
⏹是否擅自安装未经许可的软件。
⏹为了防止丢失,被盗时信息泄露,是否安装硬盘数据加密软件。
24)用户必须十分注意避免发生遗失、失窃、破损等。
如果发生了遗失、失窃、破损等,应立即向管理责任者汇报。
25)在外部,因为感染计算机病毒等的危险会增加,所以用户有必要保持更高的安全意识。
具体为,必须提高口令变更、病毒对策、WindowsUpdate等的实施频度等。
7.网络
7-1.一般
1)在管理责任者批准的基础上,IT担当必须妥善管理好本公司的网络。
有必要掌握各个用户的IP地址的使用情况。
对于DHCP服务器,对设备要能够确定其使用者,并且将此设备的MAC地址与对应的IP地址绑定,否则就禁止使用。
2)在本公司的网络是通过WAN(WideAreaNetwok)与上位网络连接的情况下,必须遵守上位网络的使用规则。
由于****是通过DDN专线与****网络连接,因此必须要遵守****信息安全策略。
3)不得利用网络进行公司业务以外的活动。
26)必须妥善使用以防信息泄漏的发生。
特别是对于极秘、秘级别的信息,必须注意管理。
27)无论任何理由严禁通过黑客、偷窃、偷听等违法行为获得信息。
28)没有管理责任者的许可,不得将私人所有电脑等外部设备连接到网络。
29)处理银行业务必要的专用线和作为故障时的代替通信手段等,经管理责任者批准过其用途并采取妥善方法的情况以外,不得使用拨号上网等方法连接外部网络。
30)原则上,不得使用无线LAN。
31)不得实施使用通道软件等弱化网络安全的行为。
包括SoftEther、Skype、Winny等软件
32)不得实施流式播放等使网络高负荷的通信。
33)除发生故障,不得实施网络上的分组监视。
34)对于Windows的磁盘共享,必须在管理责任者许可的范围内妥善使用。
不得进行磁盘驱动器的全体共享(C:
\等)。
35)已感染病毒的文件等会对其他设备产生不好影响的,不得发出。
36)在公司内外的网络上,不得实施下列行为。
∙侵害著作权的行为:
对于书籍、杂志、报纸、他人的主页上的文章、照片、画像、数据等他人创作的作品,不得擅自使用。
∙商标侵权行为:
把为实现识别商品或者服务的目的而使用的商标当作自己的所有物一样使用。
∙侵害肖像权的行为:
未经本人许可刊登当事人的脸部或者姿容等的照片。
∙侵害隐私权的行为:
未经当事人同意公开个人信息(姓名、住址、电话号码等)。
∙等同于损坏名誉、侮辱的行为:
公开会使得其他公司的社会评价低下的内容。
∙公开猥亵的文书或图像,或者进行此类内容的链接。
7-2.电子邮件
37)在管理责任者批准的基础上,IT担当必须妥善管理电子邮件的用户。
38)除业务活动以外的目的,不得使用电子邮件。
39)必须适当设定口令。
不得设定邮件软件记忆口令。
并且,不得使用他人的用户名。
40)在邮送机密信息时,必须按照其等级妥善处理。
41)在对收到的邮件进行回信、转送时,必须妥善判断其记载内容中有无机密信息。
42)无论公司内外,必须遵守发送邮件的规则。
43)附加文件的上限为5MB,超过此上限的文件不得寄送。
44)对于送信者不明等可疑邮件、附件文件,不要做任何操作,必须删除。
45)在管理责任者批准的基础上,IT担当有可能不做任何通知就进行接送邮件的检查,相关人员需了解。
7-3.WEB系统
1)在管理责任者批准的基础上,IT担当必须妥善管理WEB系统的用户。
2)除业务活动以外的目的不得利用公司内外的WEB系统。
3)必须妥善设定口令。
在浏览器上,不得设定其记忆口令。
4)必须利用适当的Proxy系统。
5)不得访问不能信赖的WEB网点或者广告条。
6)对于公司内外的WEB网点,不得进行攻击等不正当的访问或者为了不正当的目的而访问。
7)不得下载业务上不需要的文件等。
即使是业务上必需的文件,也不得直接在浏览器上执行,必须在下载进行病毒检验以后才能使用。
8)原则上禁止使用公司外的WEB邮件系统(免费邮件)。
9)根据管理责任者提出申请,总经理批准的基础上,管理担当者有可能在不做任何通知的情况下进行访问内容的监测,相关人员需了解。
8.外部委托
8-1.选择
将业务委托给外部公司时,需选择能够信赖的公司。
8-2.合同
缔结合同时,在合同里需增加以下有关****信息安全的合同条款。
1)遵守****信息安全策略。
2)保守机密的相关事项。
∙未经部门长或者该部门长授权者的批准,不得将所获信息向第三者公开。
3)信息管理的相关事项
∙应明确外部公司的信息管理者。
∙妥善管理信息以防丢失、泄漏、篡改等。
∙在利用电子媒体交货时,需确认没有病毒。
4)有关罚则的事项
∙违反合同条款时,根据被害情况有可能采取损害赔偿等行动。
9.各公司系统的相关事项
9-1.主干系统
①RPICS(****信息系统部开发)
经****信息系统部推荐的具有接单出货管理、资材购买验收、商品在库管理、库存评价计算等功能软件(SIS开发)
②SOAP(****信息系统部开发)
RPICS系统不具有,****特有的光缆设计、费用(报价)计算、光缆制造指示、产量标签制作、工程进展管理、等主要功能的系统
③CIM(****信息系统部开发)
对从****光通信事业部供给的预置棒开始、经过火研、线引、着色、调检的光纤制造,检查工程的产量和履历进行管理的系统。
该系统与管理设备的FA系统,保管,支出光纤的自动仓库系统配合工作。
④ACCPAC(****信息系统部推荐的市场销售软件)
具有总账管理,应收,应付,固定资产管理功能的软件。
9-2.文件服务器
①设置共享文件夹的服务器
保存全公司,及工作组的共享信息服务器
2电子邮件服务器
运行****内部与外部之间电子邮件往来的电子邮件系统的服务器
③开发服务器
保存****自主开发软件的服务器。
9-3.****系统的运用
●服务器只能由管理担当者(行政部IT担当者)操作。
管理担当者以外的人员禁止操作服务器。
●终端PC应设置登录ID和登录密码,用户应保管好各自的ID和密码,除非业务需要,不得透露给包括管理担当者在内的其他人。
●文件要作网络共享时,须由管理担当者作相应的权限设置,只有经授权的人员才能存取文件。
●为了有效利用服务器资源,每登录用户在服务器上的磁盘配额原则上为400MB以下/人。
10.帐户管理
10-1.登录
各系统的帐户登录是指,使用规定的“系统权限申请表”(IS-06),取得所属部门长的批准后,向IT担当进行申请。
IT担当确认申请书的内容,在管理责任者批准的基础上,做成帐户。
10-2.删除
所属部门长对于因人事调动、退休等需删除的帐户,IT担当在管理责任者同意的基础上,删除该帐户。
10-3.变更
帐户的登录内容发生变更的时候,应使用规定的“维护/改善业务申请书”(IS-05),取得所属部门长的批准后,向IT担当进行申请。
IT担当应确认申请书的内容,在管理责任者批准的基础上,修改帐户的登录内容。
■11.含有机密信息媒体的管理
■11-1.定义
含有机密信息媒体(以下为机密媒体)定义是指因工作需要暂时拷贝了机密信息的光盘、软盘、磁带、移动硬盘及U盘等。
■11-2.登记
使用机密媒体的部门须作成“涉密存储介质登记表”。
因工作需要,向媒体拷贝机密信息时,必须将机密信息内容,使用者,机密媒体使用负责人明确地填写在“涉密存储介质登记表”(IS-10)。
根据机密信息的区分,在机密媒体上标明密级。
“涉密存储介质登记表”的复印件向须提交给管理责任者。
■11-3.删除
使用完毕的机密媒体,使用负责人必须使用市场销售的专用删除软件将机密信息数据完全删除掉。
机密信息从机密媒体上删除后,将其在“涉密存储介质登记表”(IS-10)登记的记录删除,并向管理责任者提交其复印件。
■11-4.使用
只允许在具有防火墙的网络,安防病毒软件等实施了安全策略的电脑,服务器上使用机密媒体。
原则上禁止在未实施安全策略的电脑上安装,借给他人,带出公司外。
不使用机密媒体时,必须将其存放在带锁的抽屉,柜子。
顾客访问,公司外商洽等因工作需而必须带出公司外的情况下,在部长批准的基础上,带出时填写“涉密存储介质外出携带登记表”(IS-11),归还时,在部长确认后,将登记事项删除。
频繁带出公司外的机密媒体上的机密信息须设置阅览密码,机密信息加密等安全策略。
12.其他
12-1.遵守法律
除本规定的规则以外,相关人员必须遵守与中华人民共和国相关的法律,与****就业规则,BR。
121-2.汇报义务
当发生违反本规定的事态,实施了违反行为,或者查知到他人的违反行为时,必须通过部门长向管理责任者或者IT担当汇报。
12-3.罚则事项
对于本规定的规定内容,当相关人员违反时,根据其重大性,有可能冻结帐户,或者予以惩戒处分。
12-4.损害赔偿
关于本规定中规定的内容,因为故意或者重大过失,相关人员对****造成巨大损失的,有可能被索取损害赔偿。
13相关文件、表格
IS-05维护/改善业务申请书
IS-06系统权限申请表
IS-09携带便携式计算机审批表
IS-10涉密存储介质登记表
IS-11涉密存储介质外出携带登记表
14版本记录
版次
制定/修订日期
内容
制定
审查
初版
2007.04.06
新制定
温源
****
A版
2008.6.13
追加相关文件、表格
以降、運用を円滑にするために、日本文を追記する。
****セキュリテイポリシ
コンピュータシステム管理規定は、****(深セン)有限公司(以降****)の情報資産を、故意や偶然という区別に関係なく、情報システムの利用における事故(改竄、破壊、漏洩等)を防止するためのルールを規定するものである。
****情報資産を利用する者は、情報セキュリティの重要性を認知し、本規定を遵守しなければならない。
2.対象範囲
2-1.情報資産の定義
46)「情報資産」とは、情報システムおよび情報システムで取り扱う情報と定義する。
47)「情報システム」とは、コンピュータおよびネットワークと定義する。
48)「コンピュータ」とは、ハードウェアおよびソフトウェア(OSおよびアプリケーションソフト)で構成する汎用電子計算機、サーバ、パソコン、および周辺機器並びに記憶装置(磁気ディスク等)と定義する。
49)「ネットワーク」とは、コンピュータを相互に接続するための通信網および通信装置(ハードウェアおよびソフトウェア)と定義する。
50)「情報システムで取り扱う情報」とは、ネットワークを流れる電子データ、コンピュータ内に電子的に記録されたソフトウェア以外の電子データ、および取り外し可能な記憶媒体(コンパクトディスク等)に電子的に記録された電子データと定義する。
2-2.適用対象者
本ポリシーは、****に所属する全役員、従業員、また管理者の許可、適正な監視のもと、****の情報資産に携わる全ての人員に対し適用される。
2-3.適用対象機器
本規定は、****の所有する全ての情報システム機器に対し適用される。
また、管理者の許可、適正な監視のもと、****で使用される外部機器(従業員の私物コンピュータ、業者が持ち込むコンピュータ等)も対象となる。
3-1.管理責任者
本規定の制定、改正、運用、維持に関しては、****総経理により任命される管理責任者(行政部部長)の責任において遂行される。
管理責任者は、定期的な教育等を通じて、本規定を適用者に周知徹底し、正しく遂行されていることを常に監視する責任がある。
本ポリシーの遂行に関しては、管理責任者のもと、管理担当者として行政部IT担当者が実施する。
管理担当者は、本ポリシーの正しい遂行を推進する責任がある。
4.情報管理
4-1.機密情報の定義
情報は、内容の重要性に合わせて、適切に取り扱われなければならない。
本ポリシーでは、機密性のレベルを以下のように分類する。
4)「極秘」:
法律により適切な保護管理義務を課せられているもの等、管理責任者または各部門長が極めて重要性が高いと判断するもの(例;
人事個人情報等)。
5)「秘」:
営業上、技術上、経営上の機密データで、当該データの漏洩時の影響が軽視できない。
該当性は管理責任者または各部門長が判断するもの(例;
設計情報・原価情報・損益情報等)。
6)「取扱注意」:
極秘、秘以外のもの。
4-2.機密情報の取り扱い
機密情報は、以下の規定に従って取り扱わなければならない。
項 目
極 秘
取り扱い注意
機密区分の表示及び周知
必須
社外アドレスへの電子メール送信
可能
社内アドレスへの電子メール送信
責任者の許可必要
許可不要
取り外し可能な記憶媒体への保管
施錠された場所
人目につかない
場所。
取り外し可能な記憶媒体の
持ち出し
社外は許可必要
データの保存場所
原則、サーバ
制約なし
データの複製
許可必要。
一次複製まで。
データの閲覧及び削除
取扱者離席時のログオフ、または、スクリーンセーバーの使用
望ましい
4-3.監査
情報管理の遵守状況については、管理責任者の責任のもと、予告なく監査される場合がある。
5.コンピュータの管理
5-1.導入
51)管理責任者の承認のもと、管理担当者が統括して導入する。
管理担当者が無断で、パソコン、周辺機器、ソフトウェア等を導入することは禁止する。
52)****で使用しているウイルス対策ソフト等、セキュリティ対策システムが正常に動作する機種を選定しなければならない。
53)サーバ、パソコンの場合、機密漏洩防止の観点から、原則として、オンサイト保守サービスを提供している機種・業者を選定する。
54)サーバ、パソコンに導入するソフトウェアについては、管理担当者が、ライセンス数、実際インストール数を管理し、また証書、メディア等を適切に保管しなければならない。
55)コンピュータシステムが故障した際は、管理責任者の承認のもと、管理担当者が統括して修理を行う。
56)原則として、外部業者に機器を送付するのではなく、外部業者が来社の上で修理する。
特にハードディスク等の記憶媒体について、業者が持ち帰らないような対策を講じなければならない。
57)外部に持ち出しての修理が必要な場合、若しくは、ハードディスク等の記憶媒体の修理を外部にて実施する必要がある場合は、信頼できる業者を選定し、さらに機密保持契約を締結した上で、実施しなければならない。
5-3.廃棄
58)コンピュータシステムは、管理責任者の承認のもと、管理担当者が廃棄する。
59)ハードディスク等の記憶媒体を廃棄する際は、情報資産に関わる情報を、事前に全て削除しなければならない。
この時、通常のファイル削除だけでは不十分であり、専用ソフトウェアを使用する、記憶媒体の表面を物理的に破壊する、然るべき機密保持契約の上で専門業者に委託する、のいずれかにより確実に実施しなければならない。
6.コンピュータ使用に関する事項
60)コンピュータシステムは、****のビジネ
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 信息 安全策略
![提示](https://static.bdocx.com/images/bang_tan.gif)