当前位置：文档库 › 员工信息安全规范通用版

员工信息安全规范通用版

管理制度编号：YTO-FS-PD448

员工信息安全规范通用版

In Order T o Standardize The Management Of Daily Behavior, The Activities And T asks Are Controlled By The Determined Terms, So As T o Achieve The Effect Of Safe Production And Reduce Hidden Dangers.

标准/ 权威/ 规范/ 实用

Authoritative And Practical Standards

员工信息安全规范通用版

使用提示：本管理制度文件可用于工作中为规范日常行为与作业运行过程的管理，通过对确定的条款对活动和任务实施控制,使活动和任务在受控状态，从而达到安全生产和减少隐患的效果。文件下载后可定制修改，请根据实际需要进行调整和使用。

1、适用范围

本标准规定了公司员工必须遵循的个人计算机和其他方面的安全要求，规定了员工保护公司涉密信息的责任，并列出了大量可能遇到的情况下的安全要求。

本标准适用于公司所有员工，包括子公司的员工，以及其他经授权使用公司内部资源的人员。

2、计算机安全要求

1）计算机信息登记与使用维护：

每台由公司购买的计算机的领用、使用人变更、配置变更、报废等环节必须经过IT部的登记，严禁私自变更使用人和增减配置；

每位员工有责任保护公司的计算机资源和设备，以及包含的信息。

每位员工必须把自己的计算机名字设置成固定的格式，一律采用AD域名_所属地区编号组成；

例如某台计算机名为SSSS_100201，SSSS为地区AD 域名，100为地区编号，201代表该地区第201个账户。

2）必须在所有个人计算机上激活下列安全控制：

所有计算机（包括便携电脑与台式机）必须设有系统密码；系统密码应当符合一定程度的复杂性要求，并不定期更换密码；存储在个人计算机中的包含有公司涉密信息的文件，需要加密存放。

3）当员工离开办公室或工作区域时：

必须立即锁定计算机或者激活带密码保护的屏幕保护程序；

如果办公室或者工作区域能上锁，最后一个离开的员工请锁上办公室或工作区域；

妥善保管所有包含公司涉密内容的文件，如锁进文件柜。

4）防范计算机病毒和其他有害代码：

每位员工由公司配备的计算机上都必须安装和运行公司授权使用的防病毒软件；

员工必须开启防病毒软件实时扫描保护功能，至少每周进行一次全硬盘扫描，在网络条件许可的情况下每天进行一次病毒库文件的更新；

如果员工发现未能处理的病毒，应立即断开局域网连接，以免病毒在局域网内部交叉感染，并及时向公司IT部门汇报。

5）软件的使用：

员工不得私自在计算机上安装公司禁止的软件，公司禁止安装的软件包括但不限于：BT等P2P软件、Sniffer 等流量监控软件及黑客软件、P2P终结者、网络执法官之类的网络管理软件；

工作用计算机禁止安装盗版杀毒软件和盗版防火墙软件；

公司员工的机器上必须安装并开启功能的软件有：金山企业版防病毒软件、Office2010、360浏览器、IE8.0升级包、Winrar、固网打印服务；

如果由于使用未经公司授权的且没有许可的软件造成公司损失，员工需要承担全部责任。

6）文件的共享：

员工在使用文件共享时，必须将其设置为受限共享；

禁止使用基于互联网的P2P软件和共享服务，如：BT、eMule等；

不得在计算机上配置匿名FTP、TFTP、HTTP，或其他无需验证的服务；

例如：员工不得在公司的计算机上私自架设匿名FTP；

未经IT部门许可，不得在使用ERP系统的计算机上使用U盘或移动硬盘。如因业务需要，必须要访问其他人的硬盘。当定义共享权限时，员工必须设定用户权限、设定

访问密码，并及时取消所定义的共享。

7）邮件的发送与接收：

禁止使用公司的计算机散布、回复、转发连锁邮件、恶作剧邮件；

禁止将涉及公司秘密的内部邮件转发到互联网上。

8）公司涉密信息的保护：

公司涉密信息包括但不限于公司数据库中的秘密信息，与公司目前或未来产品、服务或研究有关的公司技术或科技信息，业务或营销计算、营销收益或其他财务资料、人事资料，以及软件等技术信息、经营信息等；

公司的员工会接触到公司的涉密信息。员工禁止在未经公司授权的情况下泄漏这些信息，并且必须遵守公司为保护此信息而制定的各项标准和流程；

每个员工只能接触使用与本岗位工作相关的涉密信息，禁止从非正常途径获取公司或部门的涉密信息；禁止非授权复制涉密信息；

对公司文档的保管、存档、发送、删除、销毁、复制等必须遵守公司相关的文档保密管理规定；

禁止使用提供翻译服务的互联网站来翻译公司的涉密信息；

公司涉密信息尽量避免通过互联网传送，但由于工作需要，需要通过电子邮件等方式发送公司涉密信息时，可

以采用Winrar加密压缩的方式把涉密内容作为附件发送，然后通过其他渠道告知对方加密密码。

9）公司信箱的帐户及密码

所有的密码必须符合如下条件：

至少8个字符长，并且包含英文、数字及特殊字符；

禁止把用户名用作密码或其一部分；

旧密码中任何三个连续的字符尽量不要连续出现在新密码中；

公司要求员工至少每30天更换一次密码。

10）内部网络使用规则

禁止在网络上伪装为他人身份；

不得私自安装网络管理软件，监控网络流量或者妨碍他人使用网络资源；

不得对公司网络或服务器以及网络中他人电脑运行安全扫描程序或者恶意攻击；

未经IT部允许，不得增加网络设备到公司的网络中，严禁私自购买路由器、交换机接入公司网络等行为；

宿舍区电脑大部分属于员工私人计算机，禁止将公司数据及其他涉及到公司机密的电子文件传入私人计算机中；

该位置可输入公司/组织对应的名字地址

The Name Of The Organization Can Be Entered In This Location

企业信息安全管理办法

信息安全管理办法第一章总则第一条为加强公司信息安全管理，推进信息安全体系建设，保障信息系统安全稳定运行，根据国家有关法律、法规和《公司信息化工作管理规定》，制定本办法。第二条本办法所指的信息安全管理，是指计算机网络及信息系统（以下简称信息系统）的硬件、软件、数据及环境受到有效保护，信息系统的连续、稳定、安全运行得到可靠保障。第三条公司信息安全管理坚持“谁主管谁负责、谁运行谁负责”的基本原则，各信息系统的主管部门、运营和使用单位各自履行相关的信息系统安全建设和管理的义务与责任。第四条信息安全管理，包括管理组织与职责、信息安全目标与工作原则、信息安全工作基本要求、信息安全监控、信息安全风险评估、信息安全培训、信息安全检查与考核。第五条本办法适用于公司总部、各企事业单位及其全体员工。第二章信息安全管理组织与职责第六条公司信息化工作领导小组是信息安全工作的最高决策机构，负责信息安全政策、制度和体系建设规划的审批，部署并协调信息安全体系建设，领导信息系统等级保护工作。第七条公司建立和健全由总部、企事业单位以及信息技术支持单位三方面组成，协调一致、密切配合的信息安全组织和责任体系。各级信息安全组织均要明确主管领导，确定相关责任，设置相应岗位，配备必要人员。第八条信息管理部是公司信息安全的归口管理部门，负责落实信息化工作领导小组的决策，实施公司信息安全建设与管理，确保重要信息系统的有效保护和安全运行。具体职责包括：组织制定和实施公司信息安全政策标准、管理制度和体系建设规划，组织实施信息安全项目和培训，组织信息安全工作的监督和检查。第九条公司保密部门负责信息安全工作中有关保密工作的监督、检查和指导。

员工使用网络及信息资源行为规范

员工使用网络及信息资源行为规范第一章总则1. 网络及信息资源是公司业务的战略支撑，为保证公司各信息系统健康、稳定运行，特制定本规定； 2. 本规定适用于安徽用友软件有限公司员工、因工作需要使用以上资源的客户、合作伙伴（视同用友员工）； 3. 用友集团信息技术部统一负责公司网络安全的维护、管理和监督工作； 4. 信息技术部有权利终止危害信息系统安全行为。第二章网络安全管理规范1. 不得擅自更改计算机网络设置，杜绝一切影响网络正常运行的行为发生；2. 数据中心服务器需按数据中心管理员分配的配置进行设置，不得擅自更改设置；3. 接入公司网络的计算机必须安装公司杀毒软件工具并及时更新防病毒库；因未安装防病毒引发病毒扩散影响10人以上不能正常网络办公的，将对责任人及其上级主管给予公司范围内通报批评，并视情节轻重处以最低200元经济处罚； 4. 未经允许或授权不得进行大规模群组（50人以上）邮件发送； 5. 未经允许严禁启用客户端DHCP、WINS、DNS、AD、代理服务及其他WINDOWS基础服务；6. 未经允许严禁私接网络设备，改变网络拓扑结构；7. 未经允许严禁开设FTP、邮件服务、BT共享等网络服务；8. 未经允许严禁在办公网从事测试、试验等活动；9. 严禁利用上班时间进行迅雷、BT 下载、对外互联网访问等非工作活动；10. 严禁利用公司邮件传播暴力、色情、迷信及发送连锁传播邮件；11. 严禁利用公司IT平台散播造谣、诽谤、恶意攻击信息；12. 严禁安装未授

权软件；13. 严禁在公司网络内进行各种嗅探、扫描活动；14. 严禁在公司网络内使用黑客工具对他人进行攻击、入侵，一经发现将追究责任人的法律责任；第三章物理安全管理规范1. 应爱护服务器、客户端（PC、笔记本等终端设备）及与之相关的网络连接设备（包括网卡、网线、交换机等），按规定操作，不得对其实施人为损坏；2. 严禁私自拆卸网络安全盒及计算机安全背板； 3. 严禁私自拆卸公司电子设备； 4. 严禁擅自移动、变更服务器位置及相关信息；第四章信息安全管理规范1. 网络共享应设置访问权限，因员工共享不当造成信息泄漏的，将对相关责任人及其上级主管给予集团范围内通报批评，并视情节轻重处以最低200元以上，触犯法律的，将移交司法机关处理；外来人员使用公司网络资源的，需严格遵守本规范所有条款，并在公司正式员工陪同下，2. 向管理员申请检查及备案；不得利用公司网络传播色情、反动、暴力、迷信等信息；3. 不得在上班时间利用公司网络从事与工作无关的活动； 4. 5. 不得利用公司网络共享游戏软件、影视歌曲、电子小说等非工作文件； 6. 不得利用公司网络诽谤、攻击、骚扰他人； 7. 不得散播对公司及他人不利言论； 8. 严禁在上班时间使用BT、迅雷、电驴等占用大带宽的P2P软件进行网络下载； 9. 严禁以拷贝、刻录、网络等各种方式泄漏、盗取公司机密及信息资产；第五章口令管理规范 1. 个人客户端必须设置加有口令的屏幕保护，离开工位应及时锁定计算机；2. 服务器管理员帐号、应用

信息安全管理制度..

信息工作管理制度第一章总则第一条为了加强信息管理，规范信息安全操作行为，提高信息安全保障能力和水平，维护信息安全，促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等规定，以《环境信息网络管理维护规范》（环保部制定）等标准为基本管理操作准则，制订本管理制度。第二条本制度适用范围为信息与监控中心，其他单位可参照执行。第二章岗位管理第三条业务信息工作人员（包括监控与信息中心技术人员及机关业务系统管理人员）、机房运维人员（包括外包机构人员），应遵循《环境信息网络管理维护规范》等规定。第四条机房运维人员根据运维合同规定由机房管理部门对其实行管理。第五条信息工作人员岗位设置为系统管理员、业务管理员、网络管理员、安全管理员、安全审计员。人员岗位及职责（一）系统管理员系统管理员是从事服务器及存储设备运行管理的人

员，业务上应具备熟练掌握操作系统、熟练操作服务器和存储设备的能力。 1、负责指定的服务器、存储等设备的资料登记、软件保管及设备报修。 2、配合完成指定的业务软件运行环境的建立，正式运行后的服务器系统软硬件操作的监管，执行中心的备份策略。 3、在所负责的的服务器、存储设备发生硬件故障时,及时组织有关人员恢复系统的运行,针对系统事故找到系统事故原因。 4、负责指定的服务器操作系统的管理口令修改。 5、负责制定、执行服务器及存储设备故障应急预案。（二）业务管理员（业务联系人）业务管理员是部署在应用服务器上的操作系统及业务系统运行管理的人员，业务上应具备业务系统安装及基本调试操作的能力（业务软件厂家负责培训），业务系统及部署操作系统故障分析的能力，预防系统风险的能力。 1、负责维护业务系统的运行及业务系统的安装环境。 2、负责制定、执行业务系统及其数据的备份计划。 3、负责业务数据的数据备份及数据恢复。 4、负责制定执行本业务系统的故障应急预案。（三）网络管理员

企业信息安全保密管理办法

企业信息安全保密管理办法 1.目的作用企业内部的“信息流”与企业的“人流”、“物流”、“资金流”，均为支持企业生存与发展的最基本条件。可见信息与人、财、物都是企业的财富，但信息又是一种无形的资产，客观上使人们利用过程中带来安全管理上的困难。为了保护公司的利益不受侵害，需要加强对信息的保密管理，使公司所拥有的信息在经营活动中充分利用，为公司带来最大的效益，特制定本制度。 2.管理职责由于企业的信息贯穿在企业经营活动的全过程和各个环节，所以信息的保密管理，除了领导重视而且需全员参与，各个职能部门人员都要严格遵守公司信息保密制度，公司督察部具体负责对各部门执行情况的检查和考核。 3.公司文件资料的形成过程保密规定拟稿过程拟稿是文件、资料保密工作的开始，对有保密要求的文件、资料，在拟稿过程应按以下规定办理：初稿形成后，要根据文稿内容确定密级和保密期限，在编文号时应具体标明。草稿纸及废纸不得乱丢，如无保留价值应及时销毁。文件、资料形成前的讨论稿、征求意见稿、审议稿等，必须同定稿一样对待，按保密原则和要求管理。印制过程秘密文件、资料，应由公司机要打字员打印，并应注意以下几点：要严格按照主管领导审定的份数印制，不得擅自多印多留。要严格控制印制工程中的接触人员。打印过程形成的底稿、清样、废页要妥善处理，即使监销。复制过程复制过程是按照规定的阅读范围扩大文件、资料发行数量，要求如下：复制秘密文件、资料要建立严格的审批、登记制度。复制件与正本文件、资料同等密级对待和管理。严禁复制国家各种秘密文稿和国家领导人的内部讲话。

绝密文件、资料、未经原发文机关批准不得自行复制。 4.公司文件资料传递、阅办过程保密规定收发过程收进文件时要核对收件单位或收件人，检查信件封口是否被开启。收文启封后，要清点份数，按不同类别和密级，分别进行编号、登记、加盖收文章。发文时要按照文件、资料的类别和文号及顺序号登记清楚去向，并填写好发文通知单，封面要编号并加盖密级章。收发文件、资料都要建立登记制度和严格实行签收手续。递送过程企业内部建有文件、资料交换站的，可通过交换站进行，一律直送直取。递送外地文件、资料，要通过机要交通或派专人递送。凡携带秘密文件、资料外出，一般要有两人以上同行，必须装在可靠的文件包或箱内，做到文件不离人。递送的秘密文件、资料，一律要包装密封，并标明密级。阅办过程呈送领导人批示的文件、资料、应进行登记。领导人批示后，要及时退还或由经管文件部门当日收回。领导人之间不得横向传批文件、不得把文件直接交承办单位（人）。凡需有关部门（人）承办的文件、资料，一律由文件经管部门办理。绝密文件、资料，一般不传阅，应在特别设立的阅文室内阅读。秘密文件、资料，不得长时间在个人手中保留，更不能带回家或公共场所。要控制文件、资料阅读范围，无关人员不能看文件、资料。 5.公司文件资料归档、保管过程中的保密规定归档过程秘密文件、资料在归档时，要在卷宗的扉页标明原定密级，并以文件资料中最高密级为准。不宜于保留不属于企业留存的“三密”文件、资料，要及时清理上交或登记销毁，防止失散。有密级的档案，要按保密文件、资料管理办法进行管理。保密过程

信息安全管理规定

信息安全管理规定 1目的在遵循集团《计算机信息安全管理制度》原则基础上，为确保公司网络平台、信息系统的正常运行及信息系统中的信息数据安全，防止泄密，针对公司实际情况，制定本管理规定。 2范围本办法适用于公司全体员工。 3术语定义 3.1 计算机信息：是指存储在计算机相关设备上的应用系统（软件）、数据、文档、图纸等含有一定意义的计算机信息资料。 3.2 内部网络：是指园区网络及通过专线与园区互联的其他园区、驻外机构网络（以下简称内网）。 3.3 外部网络：是指互联网或除互联网和公司内网之外的第三方专网（以下简称外网）。 3.4 VPN：虚拟专用网络（Virtual Private Network，简称VPN），是指在公共网络上建立专用网络的技术，属于远程访问技术，就是利用公网链路架设的虚拟私有网络。 4职责 4.1信息化管理部门：公司信息化管理部门，负责计算机信息安全日常工作，事业部接入级网络交换设备的管理工作，及时向总部信息化管理部门、督察部门报告重大计算机信息安全隐患和计算机信息安全事件。 4.2 计算机用户：负责本人领用的办公计算机的日常保养、正常操作及安全管理，负责所接触计算机信息的保密性、可用性和完整性；及时向信息化管理部门报告计算机信息安全隐患和计算机信息安全事件。涉密信息的起草人必须按公司《保密制度》相关规定提出信息密级的定级申请。 5内容与要求 5.1 账号和密码安全管理 5.1.1 信息系统用户账号须严格按照业务信息系统要求进行设置，原则上不得设置成共用账号，以确保使用人与账号的唯一性。 5.1.2 员工申请信息系统账号权限时，所在部门的负责人应严格审核，控制授予满足其工作需要的最小权限；员工岗位或工作内容发生变化后应及时提出申请权限变更，应用系统管理员应及时变更异动员工的权限，冻结离职员工的账号。 5.1.3计算机用户应妥善保管好自己的系统账号密码或身份认证设备，如发现遗失或被盗，应立即向信息化管理部门报告，信息化管理部门应及时处理，确保账号使用的合法性。

十八、信息安全管理制度

十八、信息安全管理制度一、计算机安全管理 1、医院计算机操作人员必须按照计算机正确的使用方法操作计算机系统。严禁暴力使用计算机或蓄意破坏计算机软硬件。 2、未经许可，不得擅自拆装计算机硬件系统，若须拆装，则通知信息科技术人员进行。 3、计算机的软件安装和卸载工作必须由信息科技术人员进行。 4、计算机的使用必须由其合法授权者使用，未经授权不得使用。 5、医院计算机仅限于医院内部工作使用，原则上不许接入互联网。因工作需要接入互联网的，需书面向医务科提出申请，经签字批准后交信息科负责接入。接入互联网的计算机必须安装正版的反病毒软件。并保证反病毒软件实时升级。 6、医院任何科室如发现或怀疑有计算机病毒侵入，应立即断开网络，同时通知信息科技术人员负责处理。信息科应采取措施清除，并向主管院领导报告备案。 7、医院计算机内不得安装游戏、即时通讯等与工作无关的软件，尽量不在院内计算机上使用来历不明的移动存储工具。

二、网络使用人员行为规范 1、不得在医院网络中制作、复制、查阅和传播国家法律、法规所禁止的信息。 2、不得在医院网络中进行国家相关法律法规所禁止的活动。 3、未经允许，不得擅自修改计算机中与网络有关的设置。 4、未经允许，不得私自添加、删除与医院网络有关的软件。 5、未经允许，不得进入医院网络或者使用医院网络资源。 6、未经允许，不得对医院网络功能进行删除、修改或者增加。 7、未经允许，不得对医院网络中存储、处理或者传输的数据和应用程序进行删除、修改或者增加。 8、不得故意制作、传播计算机病毒等破坏性程序。 9、不得进行其他危害医院网络安全及正常运行的活动。三、网络硬件的管理网络硬件包括服务器、路由器、交换机、通信线路、不间断供电设备、机柜、配线架、信息点模块等提供网络服务的设施及设备。 1、各职能部门、各科室应妥善保管安置在本部门的网络设备、设施及通信。 2、不得破坏网络设备、设施及通信线路。由于事故原因造

信息安全管理制度

信息安全管理制度为加强公司各信息系统管理，保证信息系统安全，根据《中华人民共和国保守国家秘密法》和国家保密局《计算机信息系统保密管理暂行规定》、国家保密局《计算机信息系统国际联网保密管理规定》，及上级信息管理部门的相关规定和要求，结合公司实际，制定本制度。本制度包括网络安全管理、信息系统安全保密制度、信息安全风险应急预案网络安全管理制度第一条公司网络的安全管理，应当保障网络系统设备和配套设施的安全，保障信息的安全，保障运行环境的安全。第二条任何单位和个人不得从事下列危害公司网络安全的活动： 1、任何单位或者个人利用公司网络从事危害公司计算机网络及信息系统的安全。 2、对于公司网络主结点设备、光缆、网线布线设施，以任何理由破坏、挪用、改动。 3、未经允许，对信息网络功能进行删除、修改或增加。 4、未经允许，对计算机信息网络中的共享文件和存储、处理或传输的数据和应用程序进行删除、修改或增加。

5、故意制作、传播计算机病毒等破坏性程序。 6、利用公司网络，访问带有“黄、赌、毒”、反动言论内容的网站。 7、向其它非本单位用户透露公司网络登录用户名和密码。 8、其他危害信息网络安全的行为。第三条各单位信息管理部门负责本单位网络的安全和信息安全工作，对本单位单位所属计算机网络的运行进行巡检，发现问题及时上报信息中心。第四条连入公司网络的用户必须在其本机上安装防病毒软件，一经发现个人计算机由感染病毒等原因影响到整体网络安全，信息中心将立即停止该用户使用公司网络，待其计算机系统安全之后方予开通。第五条严禁利用公司网络私自对外提供互联网络接入服务，一经发现立即停止该用户的使用权。第六条对网络病毒或其他原因影响整体网络安全的子网，信息中心对其提供指导，必要时可以中断其与骨干网的连接，待子网恢复正常后再恢复连接。

公司信息安全管理办法-XX公司

公司信息安全管理办法一、目的为了保护区域的整体利益和长远利益不受侵害，需要加强对公司内部信息的保密管理，使公司所拥有的信息在经营活动中充分利用，为公司带来最大的效益，使公司长期、稳定、高效地发展，适应激烈的市场竞争，特制定本管理办法。二、适用范围本管理办法适用于公司所有员工。三、职责由于区域的信息贯穿在区域建设及经营活动的全过程和各个环节，所以信息安全的管理，除了领导重视而且需全员参与，各个项目/部门人员都要严格遵守公司信息管理办法规定的内容。四、信息分类区域信息包括但不局限于以下内容 1.公司所有内部系统账号密码安全（如： ERP、NC……等）。 2.公司员工内部沟通QQ群、微信群。 3.公司文件（包括所有电子版文件和纸质版文件。如：内部公文、会议资料、设计图纸、设计方案、合同、管理诀窍、客户名单、货源情报、产销策略、招投标中的标底及标书内容……一切有关于公司利益的文件）。五、管理要求公司内部系统账号密码管理要求： 1.公司所有内部系统的个人账号密码不得随意给他人，如出现问题由账号本人负责。 2.员工离职时，人事部应该第一时间发起账号注销流程或通知离职员工所有项目/部门的行政管理人员发起账号注销流程，拒绝出现离职员工还存在能使用公

司内部系统账号密码权限。公司员工内部沟通QQ群、微信群管理要求： 1.未经群管理人员同意不得随意邀请人进入沟通平台，如需要邀请必需经群管理人员同意。 2.进入QQ群、微信群的员工必需更改群名称，群名称格式为：项目/部门-姓名（如:设计部-张某某）。 3.员工离职时，人事部应该第一时间通知群管理人员将离职员工移出群。公司文件安全管理规范要求： 1.员工必须具有保密意识，做到不该问的绝对不问，不该说的绝对不说，不该看的绝对不看。 2.严禁在公共场合、公用电话及网络公众平台上交谈、传递保密事项，不准在私人交往中泄露公司秘密。 3.员工发现公司秘密已经泄露或可能泄露时，应立即采取补救措施并及时报告区域项目/部门第一负责人，区域项目/部门第一负责人应立即作出相应处理。 4.区域或区域各项目/部门在开会过程中，如未经会议组织人员同意，不得随意拍照、摄像，包括相机、摄像机、手机等相关设备，一经发现，严厉惩罚当事人。 5.公司文件不得随意给无关人员查阅、复制或借出，特别是具有保密性的文件。 6.对草稿、初稿或过期文件不能随意乱丢，如无保留价值应及时销毁，必须同定稿一样对待，按保密原则和要求管理。 7.具有保密性的文件，区域各项目/部门需要指定人员做好保密工作，不能随意堆放及存放。 XX公司

员工信息安全规范

编号：SM-ZD-46667 员工信息安全规范 Through the process agreement to achieve a unified action policy for different people, so as to coordinate action, reduce blindness, and make the work orderly. 编制：____________________ 审核：____________________ 批准：____________________ 本文档下载后可任意修改

员工信息安全规范简介：该制度资料适用于公司或组织通过程序化、标准化的流程约定，达成上下级或不同的人员之间形成统一的行动方针，从而协调行动，增强主动性，减少盲目性，使工作有条不紊地进行。文档可直接下载或修改，使用时请详细阅读内容。 1、适用范围本标准规定了公司员工必须遵循的个人计算机和其他方面的安全要求，规定了员工保护公司涉密信息的责任，并列出了大量可能遇到的情况下的安全要求。本标准适用于公司所有员工，包括子公司的员工，以及其他经授权使用公司内部资源的人员。 2、计算机安全要求 1）计算机信息登记与使用维护：每台由公司购买的计算机的领用、使用人变更、配置变更、报废等环节必须经过IT部的登记，严禁私自变更使用人和增减配置；每位员工有责任保护公司的计算机资源和设备，以及包含的信息。每位员工必须把自己的计算机名字设置成固定的格式，一律采用AD域名_所属地区编号组成；

例如某台计算机名为SSSS_100201，SSSS为地区AD 域名，100为地区编号，201代表该地区第201个账户。 2）必须在所有个人计算机上激活下列安全控制：所有计算机（包括便携电脑与台式机）必须设有系统密码；系统密码应当符合一定程度的复杂性要求，并不定期更换密码；存储在个人计算机中的包含有公司涉密信息的文件，需要加密存放。 3）当员工离开办公室或工作区域时：必须立即锁定计算机或者激活带密码保护的屏幕保护程序；如果办公室或者工作区域能上锁，最后一个离开的员工请锁上办公室或工作区域；妥善保管所有包含公司涉密内容的文件，如锁进文件柜。 4）防范计算机病毒和其他有害代码：每位员工由公司配备的计算机上都必须安装和运行公司授权使用的防病毒软件；员工必须开启防病毒软件实时扫描保护功能，至少每周进行一次全硬盘扫描，在网络条件许可的情况下每天进行一

XX银行员工信息安全行为规范

X X银行员工信息安全行为规范标准化文件发布号：（9312-EUATWW-MWUB-WUNN-INNUL-DQQTY-

XX银行科技开发部员工信息安全行为规范第一章总则第一条为提高总行科技开发部员工(包括行内员工、在我行工作的外部员工)的信息安全意识，规范员工的行为，指导员工合理、安全地使用信息资产，防止有意或无意的破坏信息安全行为的发生，保护我行信息资产安全，制定本规范。第二条员工应主动了解本我行信息安全管理相关规定，积极参与我行组织的信息安全培训，提升信息安全意识和技能，并严格遵守我行信息安全要求。第二章资产管理声明第三条禁止利用我行资产（包括我行配发的计算机、手机等个人终端设备）处理个人事务，以避免我行在信息安全管理中触及个人隐私。第四条员工利用我行的资产所产生、处理和存储的一切信息，其所有权归我行拥有。第五条我行出于对运营管理、安全管理和司法调查取证等需要，保留在任何时候对我行任意资产进行监控、复制、披露、使用和删除的权利。第三章工作环境安全要求第六条进入我行工作区域时，应规范佩戴我行认可的身份识别证件或按照我行相关管理规定登记并获得许可后方可进入。

第七条应遵守安全区域访问规定，进出非授权区域时，需按照我行相关规定经相关责任人批准。第八条员工应安全保管身份识别证件，丢失后及时向发证部门报告，禁止将身份识别证件借与他人使用；调离我行时，应主动交还我行配发的身份识别证件。第九条我行内调动或更换工作区域时应主动申请门禁权限变更。第十条若发现任何可疑人员进入我行或进行非授权活动，要立即制止，并报告相关部门。第十一条启用门禁的区域进出时要防止人员尾随，进出后应及时关闭。第四章用户账号安全第十二条任何账号仅限申请账号时批准的所有者在授权范围内使用，严禁使用账号访问未授权的资源，账号所有者承担使用该账号所产生的一切责任和后果。第十三条账号正式启用前，必须为账号添加密码或修改缺省密码，密码应具有足够的安全强度；对于重要核心系统的密码，应加强密码复杂度和密码长度。第十四条具有足够强度密码设置要求如下： (一)口令最小长度：8位 (二)口令字符组成复杂度：口令由数字、大小写字母及特殊字符，

信息安全管理制度

北京XXXXXXXXXXXXX 信息安全管理制度制定部门：技术部与行政部制定人：XXX 制定时间：2016.4.21

1.安全管理制度要求总则为了切实有效的保证公司信息安全,提高信息系统为公司生产经营的服务力,特制定交互式信息安全管理制度,设定管理部门及专业管理人员对公司整体信息安全行管理,以确保网络与信息安全。 1.1.1建立文件化的安全管理制度,安全管理制度文件应包括: a安全岗位管理制度 b系统操作权限管理; c安全培训制度; d用户管理制度 e新服务、新功能安全评估 f用户投诉举报处理; g信息发布审核、合法资质查验和公共信息巡查; h个人电子信息安全保护;安全事件的监测、报告和和应急处置制度;现行法律、法规、规章、标准和行政审批文件。 1.1.2安全管理制度应经过管理层批准,并向所有员工宣贯 2.机构要求 2.1法律责任 2.1.1互联网交互式服务提供者应是一个能够承担法律责任的组织或个人。 2.1.2互联网交互式服务提供者从事的信息服务有行政许可的应取得相应许可。 3.人员安全管理 3.1安全岗位管理制度建立安全岗位管理制度,明确主办人、主要负责人、安全责任人的职责:岗位管理制度应包括保密管理。 3.2关键岗位人员 3.2.1关键岗位人员任用之前的背景核查应按照相关法律、法规、道德规范和对应的业务要求来执行,包括: 1.个人身份核查 2.个人履历的核查 3.学历、学位、专业资质证明 4.从事关键岗位所必须的能力 3.2.2应与关键岗位人员签订保密协议。安全培训建立安全培训制度,定期对所有工作人员进行信息安全培训,提高全员是 1上岗前的培训 2.安全制度及其修订后的培训 3.法律、法规的发展保持同步的继绩培训。应严格规范人员离岗过程: a及时终止离岗员工的所有访间权限; b关键岗位人员须承诺调离后的保密义务后方可离开; c配合公安机关工作的人员变动应通报公安机关。 3.4人员离岗应严格规范人员离岗过程 a及时终止离岗员工的所有访间权限; b关键岗位人员须承诺调离后的保密义务后方可离开;

公司信息安全管理制度

**企业信息安全管理制度第一条总则通过加强公司计算机系统、办公网络、服务器系统的管理,保证网络系统安全运行，保证公司机密文件的信息安全，保障服务器、数据库的安全运行。加强计算机办公人员的安全意识和团队合作精神，把各部门相关工作做好。第二条范围 1、计算机网络系统由计算机硬件设备、软件及客户机的网络系统配置组成。 2、软件包括：服务器操作系统、数据库及应用软件、有关专业的网络应用软件等。 3、客户机的网络系统配置包括客户机在网络上的名称，IP地址分配，用户登陆名称、用户密码、及Internet的配置等。 4、系统软件是指：操作系统（如WINDOWS XP、WINDOWS7等）软件。 5、平台软件是指：鼎捷ERP、办公用软件（如OFFICE 2003）等平台软件。 6、专业软件是指：设计工作中使用的绘图软件（如Photoshop等）。第三条职责 1、信息中心部门为网络安全运行的管理部门，负责公司计算机网络系统、计算机系统、数据库系统的日常维护和管理。 2、负责系统软件的调研、采购、安装、升级、保管工作。 3、网络管理人员负责计算机网络系统、办公自动化系统、平台系统的安全运行；服务器安全运行和数据备份；Internet对外接口安全以及计算机系统防病毒管理；各种软件的用户密码及权限管理协助各部门进行数据备份和数据归档。 4、网络管理人员执行公司保密制度，严守公司商业机密。 5、员工执行计算机安全管理制度，遵守公司保密制度。 6、系统管理员的密码必须由网络管理部门相关人员掌握。第三条管理办法 I、公司电脑使用管理制度 1、从事计算机网络信息活动时，必须遵守《计算机信息网络国际联网安全保护管理办法》的规定，应遵守国家法律、法规，加强信息安全教育。

XX银行员工信息安全行为规范

XX银行科技开发部员工信息安全行为规范V1.0 第一章总则第一条为提高总行科技开发部员工(包括行内员工、在我行工作的外部员工)的信息安全意识，规范员工的行为，指导员工合理、安全地使用信息资产，防止有意或无意的破坏信息安全行为的发生，保护我行信息资产安全，制定本规范。第二条员工应主动了解本我行信息安全管理相关规定，积极参与我行组织的信息安全培训，提升信息安全意识和技能，并严格遵守我行信息安全要求。第二章资产管理声明第三条禁止利用我行资产（包括我行配发的计算机、手机等个人终端设备）处理个人事务，以避免我行在信息安全管理中触及个人隐私。第四条员工利用我行的资产所产生、处理和存储的一切信息，其所有权归我行拥有。第五条我行出于对运营管理、安全管理和司法调查取证等需要，保留在任何时候对我行任意资产进行监控、复制、披露、使用和删除的权利。第三章工作环境安全要求第六条进入我行工作区域时，应规范佩戴我行认可的身份识别证件或按照我行相关管理规定登记并获得许可后方可进入。

企业信息安全管理条例

信息安全管理条例第一章信息安全概述 1.1、公司信息安全管理体系信息是一个组织的血液，它的存在方式各异。可以是打印，手写，也可以是电子，演示和口述的。当今商业竞争日趋激烈，来源于不同渠道的威胁，威胁到信息的安全性。这些威胁可能来自内部，外部，意外的，还可能是恶意的。随着信息存储、发送新技术的广泛使用，信息安全面临的威胁也越来越严重了。信息安全不是有一个终端防火墙，或者找一个24小时提供信息安全服务的公司就可以达到的，它需要全面的综合管理。信息安全管理体系的引入，可以协调各个方面的信息管理，使信息管理更为有效。信息安全管理体系是系统地对组织敏感信息进行管理，涉及到人，程序和信息科技系统。改善信息安全水平的主要手段有： 1)安全方针：为信息安全提供管理指导和支持； 2)安全组织：在公司内管理信息安全； 3)资产分类与管理：对公司的信息资产采取适当的保护措施； 4)人员安全：减少人为错误、偷窃、欺诈或滥用信息及处理设施的风险； 5)实体和环境安全：防止对商业场所及信息未授权的访问、损坏及干扰；

6)通讯与运作管理：确保信息处理设施正确和安全运行； 7)访问控制：妥善管理对信息的访问权限； 8)系统的获得、开发和维护：确保将安全纳入信息系统的整个生命周期； 9)安全事件管理：确保安全事件发生后有正确的处理流程与报告方式； 10)商业活动连续性管理：防止商业活动的中断，并保护关键的业务过程免受重大故障或灾害的影响； 11)符合法律：避免违反任何刑法和民法、法律法规或者合同义务以及任何安全要求。 1.2、信息安全建设的原则 1)领导重视，全员参与； 2)信息安全不仅仅是IT部门的工作，它需要公司全体员工的共同参与； 3)技术不是绝对的； 4)信息安全管理遵循“七分管理，三分技术”的管理原则； 5)信息安全事件符合“二、八”原则； 6)20%的安全事件来自外部网络攻击，80%的安全事件发生在公司内部； 7)管理原则:管理为主，技术为辅，内外兼防，发现漏洞，消除隐患，确保安全。

企业信息安全管理制度(试行)

XX公司信息安全管理制度（试行）第一章总则第一条为保证信息系统安全可靠稳定运行，降低或阻止人为或自然因素从物理层面对公司信息系统的保密性、完整性、可用性带来的安全威胁，结合公司实际，特制定本制度。第二条本制度适用于XX公司以及所属单位的信息系统安全管理。第二章职责第三条相关部门、单位职责：一、信息中心（一）负责组织和协调XX公司的信息系统安全管理工作；（二）负责建立XX公司信息系统网络成员单位间的网络访问规则；对公司本部信息系统网络终端的网络准入进行管理；（三）负责对XX公司统一的两个互联网出口进行管理，配置防火墙等信息安全设备；会同保密处对公司本部互联网上网行为进行管理；（四）对XX公司统一建设的信息系统制定专项运维管理办法，明确信息系统安全管理要求，界定两级单位信息安全管理责任；（五）负责XX公司网络边界、网络拓扑等全局性的信息安全管理。二、人力资源部（一）负责人力资源安全相关管理工作。（二）负责将信息安全策略培训纳入年度职工培训计划，并组织实施。三、各部门（一）负责本部门信息安全管理工作。（二）配合和协助业务主管部门完善相关制度建设，落实日常管理工作。四、所属各单位（一）负责组织和协调本单位信息安全管理工作。（二）对本单位建设的信息系统制定专项运维管理办法，明确信息系统安全管理要求，报XX公司信息中心备案。

第三章信息安全策略的基本要求第四条信息系统安全管理应遵循以下八个原则：一、主要领导人负责原则；二、规范定级原则；三、依法行政原则；四、以人为本原则；五、注重效费比原则；六、全面防范、突出重点原则；七、系统、动态原则；八、特殊安全管理原则。第五条公司保密委应根据业务需求和相关法律法规，组织制定公司信息安全策略，经主管领导审批发布后，对员工及相关方进行传达和培训。第六条制定信息安全策略时应充分考虑信息系统安全策略的“七定”要求，即定方案、定岗、定位、定员、定目标、定制度、定工作流程。第七条信息安全策略主要包括以下内容：一、信息网络与信息系统必须在建设过程中进行安全风险评估，并根据评估结果制定安全策略；二、对已投入运行且已建立安全体系的系统定期进行漏洞扫描，以便及时发现系统的安全漏洞; 三、对安全体系的各种日志(如入侵检测日志等)审计结果进行研究，以便及时发现系统的安全漏洞; 四、定期分析信息系统的安全风险及漏洞、分析当前黑客非常入侵的特点，及时调整安全策略；五、制定人力资源、物理环境、访问控制、操作、备份、系统获取及维护、业务连续性等方面的安全策略，并实施。第八条公司保密委每年应组织对信息安全策略的适应性、充分性和有效性进行评审，必要时组织修订；当公司的组织架构、生产经营模式等发生重大变化时也应进行评审和修订。第九条根据“谁主管、谁负责”的原则，公司建立信息安全分级责任制，各层级落实信息系统安全责任。第四章人力资源安全管理第十条信息系统相关岗位设置应满足以下要求：一、安全管理岗与其它任何岗位不得兼岗、混岗、代岗。二、系统管理岗、网络管理岗与应用管理岗不得兼岗、混岗。三、安全管理岗、系统管理岗、网络管理岗、应用管理岗、设备管

员工信息安全管理规定练习题

1.在公司办公区域内，如发现未佩戴胸卡或可疑人员进入，公司员工有责任和权利要求其出示胸牌或有效授权证明，如确认其是非授权进入，需立即向公司（）或（）汇报。 1.部门负责人 2.公司保安 3.人力资源部 4.公司行政部和部门信息专员 2.在信息系统使用规定中,明文规定员工不得使用（）的软件 1.未经公司授权 2.已被授权 3.开源 4.试用版 3.公司禁止使用工作计算机扫描网络、进行网络嗅探，什么情况除外？ 1.为了个人电脑安全,搜查同事电脑是否感染病毒 2.该工作属于工作职责范围 3.帮助同事 4.个人具备网管工作能力 4.计算机系统的安全保护是指保障计算机及其相关、配套的设备、设施(含网络)的安全，运行环境的安全，保障信息的安全，保障计算机功能的正常发挥，以( ) 1.保证计算机信息系统各项配套设施的正常运作 2.维护计算机信息系统的安全运行 3.降低计算机损耗，保持正常运营 4.保证环境对信息系统的破坏降到最低 5.操作系统TCP/IP配置为( )，非特殊要求不得私自设立IP地址 1.IT管理部指定 2.个人设定 3.自动获取 4.192.168.0.X 6.网上信息发布,以下哪些行为违反公司信息安全管理规定: 1.在个人博客上发布项目信息 2.在公开论坛上私自代表公司发布信息 3.使用私人笔记本电脑在公司上网参与网络赌博 4.以上说法都不对

7.仅有（）的员工可以使用公司办公设备 1.经过授权 2.未经过授权 3.所有员工 4.行政部员工 8.操作系统计算机名必须与工作计算机资产标签上的编号保持一致。如因（），需要向IT管理部说明，获得IT管理部同意后方可使用特殊计算机名。 1.个人域帐户名 2.特殊要求不能保持一致 3.考勤打卡号 4.个人邮箱帐号 9.对于远程连接和远程访问控制必须为访问控制的账户设定密码，口令长度应遵循以下哪些规则？ 1.口令的长度应不低于4位 2.口令的长度应不低于6位 3.口令应由大小写字母,数字或特殊字符组成 4.口令中只能包含数字 10.员工日常办公信息处理的设备包括( )等 1.复印机 2.传真机 3.碎纸机 4.打印机 11.在员工工作计算机管理规定中,明文规定禁止将机密信息保留在( ) 1.共用存储介质 2.公用电脑上 3.个人工作用电脑上 4.申请并批准使用的移动存储介质 12.《员工信息安全管理规定》适用的范围是:( ) 1.公司的计算机设备安全 2.员工个人财产和人身安全 3.公司内所有员工，和在公司安全区域内工作的外协人员和客户的计算机信息系统及信息数据 4.客户的计算机和设备

员工行为规范

员工行为规范 1.目的为营造规范有序的办公环境，塑造员工良好的职业素养，提升企业形象，结合公司实际，制定本规范。 2.适用范围本规范适用于公司全体员工。 3.职责综合管理部负责对本规范的执行情况进行监督检查和考核。 4.违规管理 4.1员工违反本规范，公司将按违规程度进行处罚，情节严重的，公司与之解除劳动合同。 4.2出现一级违规，公司将与之解除合同并且无任何补偿，给公司造成经济及其它损失的，公司保留追究经济和法律责任的权力。 4.3出现二级违规，公司将予以降薪或降职，如果365日内累计二次出现，将视为一级违规。 4.4出现三级违规，公司将予以警告或通报批评，如果365日内累计出现二次，将视为二级违规。 5.诚实守信行为规范 5.1遵纪守法是每个公民应尽的义务，公司希望每位员工能够遵守国家的法律法规及公司一切规章制度，并坚决抵制违法违规行为。5.2公司的各项规章制度需要严格遵守，同时公司也会根据企业及社

会的发展变化不断修正完善，员工也可以向直接上级领导或制度制定部门提出合理化建议，但在正式修改前，仍需严格遵守。 5.3请尊重公司赋予的职权，诚信的履行自己的职责，不得利用职务之便作出任何有损公司利益的行为。发现公司利益受到损害，要及时向直接上级汇报，不得拖延或隐瞒。 5.4正确面对工作中出现问题、事故或重大纰漏，及时如实上报公司。 5.5上报公司的各类报告、报表、数据应实事求是，这将影响公司整体经营策略的制订、调整。 5.6公司坚决反对任何形式的贪污、受贿行为。 5.7公司坚决反对任何形式的欺瞒行为。 5.8违规行为界定： 5.8.1触犯了国家的法律法规（一级违规）； 5.8.2徇私舞弊、挪用公款、侵占/侵吞公司财产（一级违规）； 5.8.3盗窃/侵占/挪用/毁坏公司资产（一级违规）； 5.8.4对公司提供给员工的福利，私自克扣并据为己有（一级违规）； 5.8.5滥用职权挥霍浪费公司资产，损公肥私（一级违规）； 5.8.6与经销商/供应商/服务商串通勾结谋取个人私利等行为（一级违规）； 5.8.7利用职务之便，为自己谋取利益（一级违规）； 5.8.8利用职务之便，为他人谋取利益，包括本人的亲属及其他特定关系等（一级违规）； 5.8.9伪造资料或使用其它手段获取工资、费用、谋取其他利益（一

网络与信息安全管理条例

信息安全要从法律、管理和技术三个方面着手第一章信息安全概述第一节信息技术一、信息技术的概念信息技术（Information Technology，缩写IT），是主要用于管理和处理信息所采用的各种技术的总称。它主要是应用计算机科学和通信技术来设计、开发、安装和实施信息系统及应用软件。它也常被称为信息和通信技术（Information and Communications Technology, ICT）。主要包括传感技术、计算机技术和通信技术。有人将计算机与网络技术的特征——数字化、网络化、多媒体化、智能化、虚拟化，当作信息技术的特征。我们认为，信息技术的特征应从如下两方面来理解： 1. 信息技术具有技术的一般特征——技术性。具体表现为：方法的科学性，工具设备的先进性，技能的熟练性，经验的丰富性，作用过程的快捷性，功能的高效性等。 2. 信息技术具有区别于其它技术的特征——信息性。具体表现为：信息技术的服务主体是信息，核心功能是提高信息处理与利用的效率、效益。由信息的秉性决定信息技术还具有普遍性、客观性、相对性、动态性、共享性、可变换性等特性。二、信息技术的发展信息技术推广应用的显著成效，促使世界各国致力于信息化，而信息化的巨大需求又驱使信息技术高速发展。当前信息技术发展的总趋势是以互联网技术的发展和应用为中心，从典型的技术驱动发展模式向技术驱动与应用驱动相结合的模式转变。微电子技术和软件技术是信息技术的核心。三网融合和宽带化是网络技术发展的大方向。互联网的应用开发也是一个持续的热点。三、信息技术的应用信息技术的应用包括计算机硬件和软件，网络和通讯技术，应用软件开发工具等。计算机和互联网普及以来，人们日益普遍地使用计算机来生产、处理、交换和传播各种形式的信息（如书籍、商业文件、报刊、唱片、电影、电视节目、语音、图形、影像等）。第二节信息安全一、信息安全的概念保护信息系统的硬件软件及其相关数据，使之不因偶然或是恶意侵犯而遭受破坏，更改及泄露，保证信息系统能够连续正常可靠的运行。信息安全的任务：（1）可获得性（2）授权与密钥管理（3）身份识别与完整性信息不安全因素物理不安全、网络不安全、系统不安全、管理不安全信息安全的对策与措施对策：系统边界、网络系统、主机措施：（1）发展和使用信息加密技术：文件加密技术、存储介质加密技术、数据库加密方法；（2）采取技术防护措施：审计技术、安全协议、访问控制技术；（3）行政管理措施：加强对计算机的管理、加强对人员的管理二、信息安全基本特性

科技公司信息安全管理制度

信息安全管理制度第一章总则第一条为了建立、健全的信息安全管理制度，按照相关的国家标准，确定信息安全方针和目标，对信息安全风险进行有效管理，确保全体员工理解并遵照信息安全管理制度的相关规定执行，改进信息安全管理制度的有效性，特制定信息安全策略文档。第二条本文档适用于公司信息安全管理活动。第二章信息安全范围第三条信息安全策略涉及的范围包括： 1．单位全体员工。 2．单位所有业务系统。 3．单位现有信息资产，包括与上述业务系统相关的数据、硬件、软件、服务及文档等。 4．单位办公场所和上述信息资产所处的物理位置。第三章信息安全总体目标第一条通过建立健全单位各项信息安全管理制度、加强单位员工的信息安全培训和教育工作，制定适合单位的风险控制措施，有效控制信息系统面临的安全风险，保障信息系统的正常稳定运行。第四章信息安全方针第一条单位主管领导定期组织相关人员召开信息安全会议，对有关的信息安全重大问题做出决策。第二条清晰识别所有资产，实施等级标记，对资产进行分级、分类

管理，并编制和维护所有重要资产的清单。第三条综合使用访问控制、监测、审计和身份鉴别等方法来保证数据、网络、信息资源的安全，并加强对外单位人员访问信息系统的控制．降低系统被非法入侵的风险。第四条启动服务器操作系统、网络设备、安全设备、应用软件的日志功能，定期进行审计并作相应的记录。第五条明确全体员工的信息安全责任，所有员工必须接受信息安全教育培训，提高信息安全意识。针对不同岗位，制定不同等级培训计划，并定期对各个岗位人员进行安全技能及安全认知考核。第六条建立安全事件报告、事故应答和分类机制，确定报告可疑的和发生的信息安全事故的流程，并使所有的员工和相关方都能理解和执行事故处理流程，同时妥善保存安全事件的相关记录与证据。第七条对用户权限和口令进行严格管理，防止对信息系统的非法访问。第八条制定完善的数据备份策略，对重要数据进行备份。数据备份定期进行还原测试，备份介质与原信息所在场所应保持安全距离。第九条与外单位的外包（服务）合同应明确规定合同参与方的安全要求、安全责任和安全规定等相关安全内容，并采取相应措施严格保证对协议安全内容的执行。第十条在开发新业务系统时，应充分考虑相关的安全需求，并严格控制对项目相关文件和源代码等敏感数据的访问。第十一条定期对信息系统进行风险评估，并根据风险评估的结果采取