投资与资产管理公司信息安全管理办法.docxVIP

投资与资产管理公司信息安全管理办法

第一章总则

第一条为加强投资与资产管理公司（以下简称“公司”）的信息安全管理，确保公司信息系统的稳定运行和信息资产的安全，根据国家相关法律法规和行业标准，结合公司实际情况，制定本办法。

第二条本办法适用于公司及所属各部门、分支机构和全体员工。

第三条信息安全管理的目标是保护公司信息资产的机密性、完整性和可用性，防范信息安全风险，保障公司业务的持续稳定运行。

第二章组织与职责

第四条公司成立信息安全领导小组，负责公司信息安全工作的领导和决策。领导小组由公司领导、相关部门负责人组成。

第五条信息安全领导小组下设信息安全管理办公室，负责公司信息安全管理的日常工作。信息安全管理办公室设在信息技术部，办公室主任由信息技术部负责人担任。

第六条各部门、分支机构负责人为本部门、分支机构信息安全第一责任人，负责本部门、分支机构的信息安全管理工作。

第七条全体员工应遵守公司信息安全管理制度，保护公司信息资产安全，对自己的信息安全行为负责。

第三章信息安全策略

第八条公司制定信息安全策略，明确信息安全管理的目标、原则和要求。信息安全策略应定期进行评审和修订。

第九条信息安全策略应包括但不限于以下内容：

（一）信息安全方针和目标；

（二）信息资产分类与管理；

（三）人员安全管理；

（四）物理与环境安全管理；

（五）通信与操作管理；

（六）访问控制管理；

（七）信息系统开发与维护安全管理；

（八）业务连续性管理；

（九）合规性管理。

第四章信息资产分类与管理

第十条公司对信息资产进行分类，明确各类信息资产的重要程度和保护要求。信息资产分为机密信息、重要信息和一般信息三类。

第十一条公司建立信息资产清单，对信息资产进行登记和管理。信息资产清单应包括资产名称、资产类别、资产所有者、资产责任人、资产重要程度等信息。

第十二条公司对信息资产采取相应的安全保护措施，确保信息资产的机密性、完整性和可用性。安全保护措施包括但不限于访问控制、加密、备份等。

第五章人员安全管理

第十三条公司对员工进行信息安全培训，提高员工的信息安全意识和技能。信息安全培训应包括新员工入职培训和定期培训。

第十四条公司与员工签订必威体育官网网址协议，明确员工的信息安全责任和义务。必威体育官网网址协议应包括必威体育官网网址范围、必威体育官网网址期限、违约责任等内容。

第十五条公司对员工的信息安全行为进行监督和管理，对违反信息安全管理制度的员工进行处罚。

第六章物理与环境安全管理

第十六条公司对信息系统的物理环境进行安全管理，确保信息系统的设备和设施安全。物理环境安全管理包括但不限于机房安全、设备安全、环境安全等。

第十七条公司制定机房管理制度，对机房的出入、设备管理、环境监控等进行规范。机房应具备防火、防水、防雷、防静电等安全设施。

第十八条公司对信息系统的设备和设施进行定期维护和保养，确保设备和设施的正常运行。设备和设施的维护和保养应包括硬件维护、软件维护、数据备份等。

第七章通信与操作管理

第十九条公司对信息系统的通信进行安全管理，确保通信的机密性、完整性和可用性。通信安全管理包括但不限于网络安全、邮件安全、即时通讯安全等。

第二十条公司制定信息系统操作管理制度，对信息系统的操作流程、操作权限、操作记录等进行规范。信息系统操作应严格按照操作规程进行，不得擅自更改操作流程和操作权限。

第二十一条公司对信息系统的运行进行监控和管理，及时发现和处理信息系统的故障和安全事件。信息系统运行监控应包括性能监控、安全监控、日志监控等。

第八章访问控制管理

第二十二条公司对信息系统的访问进行控制管理，确保只有授权人员才能访问信息系统。访问控制管理包括但不限于用户身份认证、访问权限控制、访问日志记录等。

第二十三条公司建立用户身份认证体系，对用户的身份进行认证。用户身份认证应采用多种认证方式，如密码认证、数字证书认证、生物特征认证等。

第二十四条公司对用户的访问权限进行控制，根据用户的工作职责和业务需求分配相应的访问权限。用户的访问权限应定期进行评审和调整。

第二十五条公司对用户的访问日志进行记录和管理，以便对用户的访问行为进行审计和追溯。访问日志应包括用户身份、访问时间、访问资源、访问结果等信息。

第九章信息系统开发与维护安全管理

第二十六条公司对信息系统的开发进行安全管理，确保信息系统的安全性。信息系统开发安全管理包括但不限于需求分析安全、设计安全、编码安全、测试安全、上线安全等。

第二十七条公司对信息系统的维护进行安全管理，确保信息系统的稳定运行。信息系统维护安全管理包括但不限于漏洞管理、补丁管理、变更管理、应急响应等。

第十章业务连续性管理

第二十八条公司制定业务连续性计划，确保在发生信息安全事件或灾难时，公司业务能够持续运行。业