信息技术小组可供参考的制度.docVIP

IC-1.0-01 上海汽车工业（集团）总公司信息安全管理办法 目的 上海汽车工业（集团）总公司（以下简称：上汽集团）的信息系统涵盖和支持公司各个业务领域的运作，因此信息系统的安全对公司能否持续有效运作并实现其先进经营理念至关重要。上汽集团信息系统安全制度的制定旨在确保通讯网络系统及运行在此基础结构上的操作系统、应用系统和电子数据的安全，实现信息的必威体育官网网址性、完整性和可用性。 此信息系统安全制度作为原则性指导制度，由一系列具体的制度、规定、流程文件支持。 适用范围 本文件适用于上汽集团各部门，集团直接管理企业参照执行。 权限 上汽集团信息安全制度由总裁办公室编制，经总裁办公会议批准通过。 引用文件 无 术语 必威体育官网网址性 --- 信息用户必须有合理的业务需要，才可以获得上汽集团的相关信息。未经授权，上汽集团的信息不可泄露给任何人。 完整性 --- 上汽集团的信息不被非授权修改或破坏。用户所使用的信息是保持一致的。 可用性 --- 合法用户的正常请求能及时、正确、安全地得到服务或回应。 责任 6.1 用户的责任 6.1.1 上汽集团的每个计算机信息用户都肩负着保护信息系统安全的责任。在使用任何计算机和网络资源时，必须严格遵守上汽集团信息系统安全制度和由此产生或衍生的有关信息安全的支持性制度文件，以及上汽集团员工手册中的有关信息安全条例。 6.1.2 用户应出于工作实际需要并本着为公司以最小成本创最大效益的原则，使用上汽集团计算机和网络资源。 6.1.3 用户不得非法或未经授权使用或肆意破坏上汽集团计算机和网络及信息，如传播色情图片、连锁信、计算机游戏、非法软件、个人文件等。 6.1.4 若发现任何与计算机信息安全有关的问题或漏洞，应及时与部门领导、总裁办公室及上汽股份信息系统部（以下统称为信息系统部）系统协调员或安全员联系。 6.1.5 任何违反相关条例和制度的行为，将按情节轻重予以处分。 6.2 部门领导及部门信息协调员的责任 6.2.1 各部门领导及信息协调员应根据员工工作实际需要，授权其登录网络、系统或使用电子数据的权限，并定期审阅和更新权限批准，并及时与信息系统部联系。 6.2.2 各部门对相关电子数据、数据文件、程序、软件、系统及计算机设备对本部门业务运作的重要性及潜在风险进行分级评估和分析，以便与信息系统部共同制定安全措施，作好相应的备份和灾难恢复计划。各部门应与信息系统部一起定期测试和更新灾难恢复计划，以确保在危难情况下，各部门运作能及时恢复。 6.2.3 指导和监督部门所有计算机用户，包括使用上汽集团计算机设备及网络资源的非上汽集团组织或人员(如供应商等)，明确注意事项，严格遵守安全使用条例。 6.3 信息系统部的责任 6.3.1 信息系统部受上汽集团委托，负责整个上汽集团计算机网络及相关IT设备的运行、维护和信息安全工作，并对受控信息系统环境在物理和逻辑上的安全，采取足够、适当的信息安全措施，确保信息系统和网络的必威体育官网网址性、完整性及可用性。 6.3.2 在鉴定部门信息系统权限申请符合权限申请流程及安全性管理要求的基础上，批准、处理和控制各信息系统的权限设置，并归纳和保留所有申请原件，以供各部门定期审阅及公司内部和外部审计需要。 6.3.3 通过与用户部门一起对信息系统对其业务领域产生的影响、风险及优先级别的划分，作出相应备份和灾难恢复计划并严格执行，确保具备用户要求的及时恢复能力。 6.3.4 及时响应用户部门对现有信息系统安全保护提出的疑惑、指出的漏洞及合理的信息系统安全保护要求，作出解决方案并落实具体措施。 6.3.5 提供信息系统安全方面的培训，通过各种形式，不断加强宣传和教育，以增强用户部门和用户对信息系统安全的认识和重视程度。 6.3.6 对内部审计部门、管理层或外部审计单位在正常情况下，提出的合理信息和信息系统安全审查要求，信息系统部应积极作好相应准备和配合工作，检查并确认必要的安全措施已有效地执行。 规定 IT环境的物理安全 IT环境的物理安全保护是保护信息系统安全的重要防线，应与相关部门联系，确保各项安全措施的到位。 建立高度安全区域。信息系统部设立的高度安全区域包括，但不仅限于： 信息处理中心，UPS电源房、PABX机房等。 高度安全区域应配备完好的消防系统，温度/湿度调节系统，报警及闭路电视监控系统。 高度安全区域必须采取严格的进出控制及门警系统，除非有明确的工作需要并经授权，任何人不得出入高度安全区域。 任何来访者或供应商须在相关人员陪同下，才能进入高度安全区域。没有预先批准，不得参观高度安全区域。 必须严格遵守信息系统部制定的《数据处理中心机房管理制度》。 保护计算机，其它相关设备及通讯设施的安全，禁止未经授权，私自动用，转移或破坏他人计算机(PC)、终端、介质、