投资与资产管理公司信息安全管理办法.docx

投资与资产管理公司信息安全管理办法

一、总则

1.目的

为加强本投资与资产管理公司信息资产的安全管理，保障公司业务运营的连续性、稳定性，保护客户及公司的敏感信息不被泄露、篡改或滥用，特制定本办法。

2.适用范围

本办法适用于公司内部所有部门、员工，以及涉及公司信息处理、存储、传输等相关活动的第三方合作机构、外包服务提供商等。

3.原则

信息安全管理遵循合法性、必威体育官网网址性、完整性、可用性、可控性的原则，通过建立完善的制度、技术防护体系以及人员管理机制，全方位保障公司信息安全。

二、管理机构与职责

1.信息安全管理委员会

设立信息安全管理委员会，作为公司信息安全管理的最高决策机构。其主要职责包括：

制定公司信息安全战略和总体方针政策；

审批重大信息安全项目及预算；

协调解决跨部门的信息安全问题；

监督和评估公司信息安全管理工作的整体成效。

2.信息安全管理部门

设置专门的信息安全管理部门，负责公司日常信息安全管理工作，具体职责如下：

拟定信息安全管理制度、流程及操作规范，并推动落实；

组织开展信息安全风险评估与审计工作，及时发现并处置安全隐患；

负责公司信息安全技术防护体系的建设、维护与升级，包括网络安全、系统安全、数据加密等方面；

组织信息安全培训与教育活动，提升员工信息安全意识和技能；

对第三方合作机构的信息安全状况进行审查、监督，并签订相关必威体育官网网址协议等。

3.其他部门职责

各业务部门及职能部门需履行如下信息安全相关职责：

遵守公司信息安全管理制度，在日常工作中妥善处理、保管本部门涉及的各类信息资产；

配合信息安全管理部门开展信息安全检查、风险评估等工作，及时反馈发现的问题并落实整改措施；

对本部门员工进行信息安全教育，确保员工知晓并遵守信息安全要求。

三、人员信息安全管理

1.人员录用与离职

在人员录用环节，对应聘人员进行背景调查，尤其是涉及关键信息岗位的人员，重点考察其诚信及信息安全方面的过往记录。

新员工入职时，需签署必威体育官网网址协议、信息安全承诺书等文件，明确其在信息安全方面的责任与义务，并接受公司统一的信息安全教育培训。

员工离职时，需按照规定流程办理离职手续，交还所持有公司的信息资产（如办公设备、存储介质等），信息安全管理部门需对其使用过的系统账号等进行及时注销或权限变更，确保离职人员无法再访问公司敏感信息。

2.日常行为规范

员工应妥善保管个人工作账号及密码，不得随意共享或透露给他人，定期更新密码并采用高强度密码设置规则。

严禁在非公司授权的设备上处理公司业务信息，禁止使用未经许可的移动存储设备、外部网络等接入公司信息系统。

员工不得私自安装未经公司批准的软件、插件，避免因软件漏洞带来信息安全风险。

在对外交流、业务合作过程中，严格遵守公司信息必威体育官网网址规定，未经授权不得透露公司的商业机密、客户信息等敏感内容。

四、信息资产分类与管理

1.信息资产分类标准

依据信息资产的重要性、敏感性、价值以及对公司业务影响程度等因素，将公司信息资产划分为以下几类：

核心机密信息：如公司核心投资策略、未公开的重大项目信息、客户的高度敏感财务信息等，此类信息一旦泄露会对公司造成极其严重的损失。

重要敏感信息：包括客户基本资料、投资组合详情、内部财务报表等，泄露可能会对公司声誉、业务开展产生重大负面影响。

一般业务信息：日常办公文档、一般性业务流程资料等，对公司运营有一定作用，但影响相对较小。

2.信息资产登记与盘点

各部门需定期对本部门所涉及的信息资产进行登记，明确资产的名称、类型、存储位置、使用人员、所属业务系统等关键信息，并上报信息安全管理部门汇总。信息安全管理部门定期组织开展信息资产盘点工作，确保信息资产台账的准确性与完整性。

3.信息资产保护措施

对于核心机密信息和重要敏感信息，应采用高强度的加密技术进行存储和传输，严格限制访问权限，仅授权特定岗位、经过背景审查且有业务需要的人员进行访问，并进行详细的访问记录审计。

一般业务信息也应采取必要的防护措施，如设置合理的访问控制策略、定期备份等，防止信息丢失、损坏或被非法获取。

五、信息系统安全管理

1.系统建设与采购

在信息系统的规划、建设阶段，需充分考虑信息安全需求，遵循安全设计原则，确保系统具备必要的安全防护功能。信息安全管理部门应参与系统建设项目的全过程，对安全方案进行审核与把关。

在采购第三方信息系统、软件及服务时，要求供应商提供相应的信息安全保障措施说明，并在合同中明确信息安全责任条款，确保采购的产品和服务符合公司信息安全要求。

2.日常运维与监控

建立健全信息系统日常运维管理制度，安排专业运维人员负责系统的运行维护、故障排除、性能优化等工作。

部署信息系统监控工具，实时监测系统的运行状态、网络流量、用户访问等情况，及时发现并处置异常事件，如网络攻击、系统故障等