信息资产安全管理规定Word文档格式.docx
- 文档编号:21639868
- 上传时间:2023-01-31
- 格式:DOCX
- 页数:13
- 大小:24.19KB
信息资产安全管理规定Word文档格式.docx
《信息资产安全管理规定Word文档格式.docx》由会员分享,可在线阅读,更多相关《信息资产安全管理规定Word文档格式.docx(13页珍藏版)》请在冰豆网上搜索。
第四章信息资产分级标准
第九条根据信息资产在保密性、完整性和可用性(CIA属性)三个方面所表现出的重要程度,将信息资产的CIA属性分别划分为5个级别,从高到低依次赋值为5到1;
信息资产价值由信息资产的CIA属性综合计算得到(计算公式详见附件三)。
第十条保密性。
人员资产的保密性级别按照人员最高能够访问或存取的其他信息资产级别来定义;
其他信息资产的保密性级别按照其泄露后对科技发展部的影响程度来定义(保密性分级标准详见附件四)。
第十一条完整性。
人员资产的完整性级别按照人员未正确执行其职务内容时对科技发展部正常运作的影响程度来定义;
其他信息资产的完整性级别按照信息资产XX的修改对科技发展部造成的影响程度来定义(完整性分级标准详见附件五)。
第十二条可用性。
人员资产的可用性级别按照要维持科技发展部正常运作能够容忍该人员突然缺席的时间长短来定义;
其他信息资产可用性级别按照合法使用者对其可用度的要求高低来定义(可用性分级标准详见附件六)。
第五章信息资产的保护
第十三条各部门应对信息资产进行规范的命名。
第十四条各部门应对信息资产进行分类、分级、标识和记录,形成信息资产清单;
清单应包括信息资产的类型、名称、位置、CIA属性、责任人等基本信息;
信息资产清单应每年进行一次审核和更新。
第十五条各部门应根据信息资产的保密性级别对信息资产进行必要的标识(标识规则详见附件七)。
第十六条全体员工必须遵守科技发展部信息资产的安全管理策略,基于信息资产在保密性、完整性和可用性的不同要求,采取必要的管理和技术手段,对信息资产进行保护(保护策略详见附件七)。
第十七条全体员工应在适当的区域内进行数据资产的流转(流转区域控制策略详见附件八)。
第十八条员工一旦发现违反信息资产保护策略以及数据和文档流转区域控制策略的情况,必须立即通知本部门负责人及科技发展部,提醒采取补救措施。
第十九条科技发展部风险管理组应每年组织各部门进行一次信息资产的评审,根据业务变化对信息资产的CIA属性进行调整,确保其保持最新;
当CIA属性发生变化后,必须按照新的属性值对信息资产进行管理和保护。
第六章附则
第二十条本规定由科技发展部制定、修订和解释。
第二十一条本规定自发布之日起生效。
附件一:
修订记录
日期(年月日)
版本
描述
作者
审批人
审批日期
20161011
1.0
发布稿
詹学文
乌传欣
20161021
附件二:
信息资产分类表
分类
举例
数据资产
包括电子和实物两种形式的生产数据、配置文件、记录、管理文件和商务文件以及外来数据和文档。
记录:
日志、审计记录等;
管理文件:
制度、流程、操作手册等;
商务文件:
合同、协议等。
实物资产
包括用于支撑IT服务的核心生产设备以及具有辅助功能的基础环境设施和办公设备等。
计算机设备:
大型机、小型机、服务器等;
通信设备:
路由器、交换机、防火墙等;
存储介质:
带库、磁带、磁盘、光盘、U盘等;
基础环境设施:
供电系统、空调系统、门禁系统、消防系统等;
办公设备:
打印机、扫描仪等。
软件资产
包括生产和办公所需的操作系统、数据库、中间件、应用软件和工具软件等,这些软件资产用于处理、存储和传输各类信息数据。
操作系统:
AIX、各类Linux、Windows等;
数据库:
DB2、SQL等;
中间件:
CICS等;
应用软件:
生产应用、办公应用;
工具软件:
网管软件、系统管理软件等。
人员资产
包括承担某项工作及相关责任的岗位,这些人员资产与其他信息资产的操作直接相关。
系统管理员、网络管理员、运维用户、操作用户、审计检查人员、管理人员等。
服务资产
包括支撑生产和办公的基础服务、网络服务、日常技术支持服务、设备维保服务和软硬件系统平台运维服务等。
基础服务:
物业、保洁、安保等;
网络服务:
有线接入、无线接入等;
日常技术支持服务:
办公用计算机操作系统、应用软件安装维护;
设备维保服务:
办公设备、机房环境设备维护;
软硬件系统运维服务:
生产设备、生产用计算机操作系统、应用软件运维。
附件三:
信息资产计算公式
附件四:
保密性分级标准表
级别
秘密级别
人员资产定义
其他信息资产定义
5
内部Ⅰ级
可以访问或存取全部信息资产的人员
科技发展部核心秘密,泄露会使生产运行遭受特别严重的损害
4
内部Ⅱ级
最高可以访问或存取保密级别低于4的其他信息资产的人员
科技发展部重要秘密,泄露会使生产运行遭受严重的损害
3
内部Ⅲ级
最高可以访问或存取保密级别低于3的其他信息资产的人员
科技发展部一般秘密,泄露会使生产运行遭受损害
2
内部公开
最高可以访问或存取保密级别低于2的其他信息资产的人员
科技发展部内部信息,泄露会使科技发展部的生产运行和日常办公受到影响
1
公开
可以访问或存取保密级别为1的其他信息资产的人员
可对科技发展部相关方公开的信息,公用的信息处理设备和资源等
附件五:
完整性分级标准表
如果该人员未正确执行其职务内容,将造成科技发展部正常运作的效率大幅度降低或停顿
完整性价值非常关键,XX的修改会对科技发展部造成重大的或无法接受的影响,对业务冲击重大,并可能造成严重的生产运行中断,难以弥补
如果该人员未正确执行其职务内容,将造成所在部门正常运作的效率明显降低
完整性价值较高,XX的修改会对科技发展部造成重大影响,对生产运行冲击严重,较难弥补
如果该人员未正确执行其职务内容,将造成相关工作正常运作的效率小幅度降低或停顿
完整性价值中等,XX的修改会对科技发展部造成影响,对生产运行冲击明显,但可以弥补
如果该人员未正确执行其职务内容,将会对相关工作正常运作造成轻微影响
完整性价值较低,XX的修改会对科技发展部造成轻微影响,对生产运行冲击轻微,容易弥补
如果该人员未正确执行其职务内容,基本不会对相关工作正常运作造成影响
完整性价值非常低,XX的修改对科技发展部的影响可以忽略,对生产运行的冲击可以忽略
附件六:
可用性分级标准表
等级
如果要维持科技发展部正常运作,可以容忍该人员突然缺席不得超过1个工作日
可用性价值非常高,合法使用者对其的可用度在必要使用时间内达到99.9%以上,或对其的使用不允许中断
如果要维持科技发展部正常运作,可以容忍该人员突然缺席不得超过3个工作日
可用性价值较高,合法使用者对其的可用度在必要使用时间内达到90%以上,或允许中断使用时间小于10分钟
如果要维持科技发展部正常运作,可以容忍该人员突然缺席不得超过3个工作日,但不能超过5个工作日
可用性价值中等,合法使用者对其的可用度在在必要使用时间内达到70%以上,或允许中断使用时间小于30分钟
如果要维持科技发展部正常运作,可以容忍该人员突然缺席超过5个工作日
可用性价值较低,合法使用者对其的可用度在必要使用时间内达到25%以上,或允许中断使用时间小于60分钟
如果该人员突然缺席,基本不会对科技发展部生产运行造成影响
可用性价值可以忽略,合法使用者对其的可用度在必要使用时间内允许低于25%
附件七:
信息资产保护策略表
标注
文件资料类,在封面或首页的右上角标明密级和保密期限;
非文件资料类,在载体的包装或明显处标明密级和保密期限
可标注,无标注的文件缺省为内部使用
非商密文件经所属部门负责人批准后,可以标识为“公开”
授权
需要得到科技发展部有权审批人批准
需要得到资产直接责任人同意
无特别要求
访问
只能被得到授权的极少数人员访问,保密协议中对此有明确规定,调阅使用应有记录
只能被得到授权的少数人员访问,保密协议中对此有明确规定,调阅使用应有记录
只能被得到授权的人员访问,保密协议中对此有明确规定,调阅使用应有记录
可以被科技发展部员工或哈尔滨银行相关人员访问,外部相关人员可以在签署保密协议的前提下访问
可以被哈尔滨银行员工或外部相关人员访问
存储
电子文件应加密存储,或在不加密的状态下存储在访问受控的环境中;
纸质文件应锁在带锁的柜子中;
其他资产应放置于风险受控的环境内
电子文件应妥善保管,可以加密存储;
纸质文件不应放在可以随意获取的地方
应恰当保管,避免被无关人员访问,避免丢失
复制
可以在得到授权的情况下复制,复制件视同原件管理,保留复制记录
经授权后可以复制,复制件视同原件管理
无限制
打印
可以在得到授权的情况下打印,打印件视同原件管理,保留打印记录
经授权后可以打印,打印件视同原件妥善管理
邮件
可以在得到授权的情况下使用内部邮件系统发送,文件必须加密并保留发送记录
经授权后可以通过内部邮件系统发送
无限制,可以使用外部邮件系统发送
传真
禁止传真
经授权后可以传真
邮递
必须通过机要渠道寄发,保留寄发记录
必须使用挂号件寄发,保留寄发记录
经授权后可以由指定机构邮递
内部分发
在生成分发过程中应严格管理,核定份数,统一编号,登记分发
经授权后可以在内部分发
对外分发
经授权后分发,需签署保密协议(不包括有权机构)并保留分发记录
经授权可以对外分发,需签署保密协议
销毁
由指定部门负责集中销毁;
所有销毁结果需检查确认,保留销毁记录
文件和数据资产由信息资产使用人负责销毁;
其他资产由指定部门负责集中销毁
记录
保留信息资产的全部处理记录
附件八:
数据流转区域控制表
流转区域
保密性
外部环境
互联网络
×
√
外部邮件系统
笔记本计算机(个人使用)
一般介质(个人使用)
办公环境
办公网络
内部邮件系统
台式计算机/办公服务器
文档服务器
涉密介质(专人管理)
生产环境
生产网络
生产服务器
生产操作终端
生产介质(专人管理)
注1:
部署在办公环境的特殊生产设备可以在办公网络上传输必要的生产数据(内部Ⅰ级)
注2:
文档需加密
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 信息 资产 安全管理 规定
![提示](https://static.bdocx.com/images/bang_tan.gif)