信息技术有限公司信息安全管理制度

适配人群IT终端用户，网络安全管理员，系统运维人员使用场景网络接入管理，病毒防控操作，账号密码安全
制度目标管住电脑和网络不乱来，防病毒、防泄密、防黑客，让系统稳稳当当跑起来。
职责分工it安全管理小组管全局，定规则、查问题；各部门管自己人；员工管好自己的账号密码和电脑。
核心条款不乱连网，不传病毒，不碰别人数据，不乱改ip，不下载不明软件，不外泄文件。
执行要求电脑要装杀毒软件才准联网，密码得复杂还得常换，重要文件必须备份两份，离开座位锁屏，发现异常马上报it小组。

xx信息技术有限公司

信息安全管理制度

总则

为加强xx信息技术有限公司信息安全管理，明确岗位职责，规范操作流程，维护网络正常运行，确保计算机信息系统的安全，现根据《中华人民共和国计算机信息系统安全保护条例》等有关规定，结合公司实际，特制订本制度。

第一条计算机信息系统是指由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

第二条xx信息技术有限公司设立信息系统安全管理小组，专门负责本公司范围内的计算机信息系统安全管理工作。

第一章网络管理

第三条遵守国家有关法律、法规，严格执行安全保密制度，不得利用网络从事危害国家安全、泄露国家秘密等违法犯罪活动，不得制作、浏览、复制、传播反动及色情信息，不得在网络上发布反动、非法和虚假的消息，不得在网络上漫骂攻击他人，不得在网上泄露他人隐私。严禁通过网络进行任何黑客活动和性质类似的破坏活动，严格控制和防范计算机病毒的侵入。

第四条各工作计算机未进行安全配置、未装防火墙或杀毒软件的，不得入网。各计算机终端用户应定期对计算机系统、杀毒软件等进行升级和更新，并定期进行病毒清查，不要下载和使用未经测试和来历不明的软件、不要打开来历不明的电子邮件、以及不要随意使用带毒u盘等介质。

第五条禁止未授权用户接入公司计算机网络及访问网络中的资源，禁

2 / 4

止未授权用户使用bt、电驴等占用大量带宽的下载工具。

第六条任何员工不得制造或者故意输入、传播计算机病毒和其他有害数据，不得利用非法手段复制、截收、篡改计算机信息系统中的数据。

第七条公司员工禁止利用扫描、监听、伪装等工具对网络和服务器进行恶意攻击，禁止非法侵入他人网络和服务器系统，禁止利用计算机和网络干扰他人正常工作的行为。

第八条计算机各终端用户应保管好自己的用户帐号和密码。严禁随意向他人泄露、借用自己的帐号和密码；严禁不以真实身份登录系统。计算机使用者更应定期更改密码、使用复杂密码。

第九条ip地址为计算机网络的重要资源，计算机各终端用户应在it 安全管理小组的规划下使用这些资源，不得擅自更改。另外，某些系统服务对网络产生影响，计算机各终端用户应在it安全管理小组的指导下使用，禁止随意开启计算机中的系统服务，保证计算机网络畅通运行。

第二章设备管理

第十条it设备安全管理实行“谁使用谁负责”的原则（公用设备责任落实到部门）。

第十一条严禁使用假冒伪劣产品；严禁擅自外接电源开关和插座；严禁擅自移动和装拆各类设备及其他辅助设备；严禁擅自请人维修；严禁擅自调整部门内部计算机信息系统的安排。

第三章数据管理

第十二条计算机终端用户计算机内的资料涉及公司秘密的，应该为计算机设定开机密码或将文件加密；凡涉及公司机密的数据或文件，非工作需要不得以任何形式转移，更不得透露给他人。离开原工作岗位的员工由所在部门经理负责将其所有工作资料收回并保存。

第十三条工作范围内的重要数据由计算机终端用户定期更新、备份。

3 / 4

第十四条计算机终端用户务必将有价值的数据存放在除系统盘(操作系统所在的硬盘分区，一般是c盘)外的盘上。计算机信息系统发生故障，应及时与信息系统安全管理小组联系并采取保护数据安全的措施。

第十五条终端用户未做好备份前不得删除任何硬盘数据。对重要的数据应准备双份，存放在不同的地点；对采用磁性介质或光盘保存的数据，要定期进行检查，定期进行复制，防止由于磁性介质损坏，而使数据丢失；做好防磁、防火、防潮和防尘工作。

第四章操作管理

第十六条凡涉及业务的专业软件由使用人员自行负责。严禁利用计算机做与工作无关的事情；严禁除维修人员以外的外部人员操作各类设备。

第十七条计算机终端用户因主观操作不当对设备造成破坏两次以上或蓄意对设备造成破坏的，视情节严重，给予行政处罚。

第七章附则

第十八条本制度下列用语的含义：

设备：指为完成工作而购买的笔记本电脑、台式电脑、打印机、复印机、传真机、扫描仪等it设备。

有害数据:指与计算机信息系统相关的，含有危害计算机信息系统安全运行的程序，或者对国家和社会公共安全构成危害或潜在威胁的数据。

合法用户：经it安全管理小组授权使用本公司网络资源的本公司员工，其余均为非法用户。

第十九条本制度自发布之日起实施。

4 / 4

信息技术有限公司信息安全管理制度：信息技术有限公司介质安全

适配人群IT运维人员，信息安全专员，设备管理员使用场景数据备份，设备维修，介质报废
制度目标防止数据泄露，保护公司信息不被乱用或丢掉，让存储设备用得更安心。
职责分工技术部负责写制度和改制度。大家自己管好手里的u盘硬盘，按要求存好用好。
核心条款u盘硬盘要编号登记，涉密的贴密级标签，不能在非密电脑上插，外网u盘不能进内网，插之前先杀毒。
执行要求马上开始执行，谁用谁登记谁负责。部门定期查登记本和实物，抽查使用情况，发现乱用就提醒改正。

____信息技术有限公司

介质安全

管理制度

介质安全管理制度

一总则

公司技术部为了保证公司信息系统的介质安全的使用，特制定安全事件应急处置管理制度。

二介质的定义

所有涉密和非涉密的数据存储介质，包括服务器/台式电脑/笔记本电脑的硬盘、移动硬盘、u盘、用于备份数据的磁带、cd/dvd碟片等。

三具体制度

第一条本制度适用于____信息技术有限公司所有员工。

第二条____信息技术有限公司技术部主要负责介质安全管理制度的制定和修订。

第三条参照制造商使用说明书正确使用数据存储介质避免暴露于强电磁场内、过热或过冷的环境。

第四条数据存储介质的存放需根据存载信息数据的类型和保密要求采取不同的保管方式。

第五条加强移动存储介质管理，其中对内网移动存储介质和涉密移动存储介质的管理要按照业务特点和保密要求进行严格的防2 / 3护。

第六条所有的移动存储介质都必须进行登记造册和编号管理，可以随时确认移动存储介质的存放位置和责任人等信息。

第七条所有的涉密移动存储介质必须进行清晰的密级标识，禁止在非涉密计算机上使用，其维修或销毁必须按相关保密规定执行。

第八条在外网计算机上使用的移动存储介质禁止在内网和涉密网中使用，杜绝发生移动存储介质交叉使用混用的现象。

第九条从移动存储介质存取文件之前必须使用防病毒软件进行扫描。

第十条禁止使用移动存储介质复制侵犯知识产权的软件。

第十一条禁止使用移动存储介质保存色情、政治敏感等非法资料。

第十二条必须对保存有敏感信息的移动存储介质进行加密处理。

第十三条

保护。

第十四条备份的数据存储介质必须存放于安全存储区域，不可将数据存储介质放置于桌面等暴露地方。

第十五条电脑送修时将存储信息的硬盘或其他可移动存储介质取出，避免信息泄密。

在修理硬盘或其他电脑所使用的移动介质时，如涉及到敏感信息则必须有专人陪同修理。

第十六条硬盘或其他移动介质报废时，必须进行物理破坏处理防止信息泄密。

3. / 3

信息技术有限公司信息安全管理制度：信息技术有限公司网络安全

适配人群IT运维人员，系统管理员，终端使用者使用场景网络运维，软件安装，数据备份
制度目标让网络更稳，电脑不中毒，资料不丢，大家干活顺手些。
职责分工技术部管网络运行、维修、买设备、优化。各部门自己备份数据，员工管好自己电脑。
核心条款上班不玩游戏，不装无关软件，不乱拷文件。重要文件存d/e/f盘，电脑要设密码，不许用别人电脑。
执行要求每天按流程开关机，每周五统一升级杀毒软件。出问题马上报技术部。账号密码必须8位以上，2个月换一次，不能外泄。

xx信息技术有限公司

网络安全管理制度

网络配置方面

一．网络配置

充分整合公司网络信息资源，提高工作效率。

二．职责

公司网络隶属于技术部门，主要负责日常网络的正常运行，维护，维修，网络设备采购，网络优化等工作。

三．软件配置及使用规则

1．工作时间严禁玩游戏，观看与工作无关信息，网页。

2．严禁私自下载，安装与工作无关软件。

3．严禁私自将与工作无关文件，信息以光盘，移动硬盘，u盘及其它任何形式拷贝至硬盘及在局域网上传播。

4．为文件资料安全起见，勿将重要文件保存在活动分区如：c盘，我的文档：请将本人重要文件存放在硬盘的其他非活动分区（如：d，e，f）。（保存前用杀毒软件检查无病毒警告后再操作）。

5．各部门应定期将计算机系统和相关数据进行备份。

6．计算机须设置密码，避免别人的不合理侵入。

7．未经许可，不允许使用他人电脑。

8．每天上下班，按正常程序开关主机，显示器，电源等。

9．每周五公司计算机统一升级杀毒软件，公司现用360免费杀毒软

2 / 4

件。

10．当发现公司网络，以及计算机出现异常情况，须及时通知相关的网络人员。

四．计算机维修

1．计算机出现问题，需要维修，要上报领导并获得批准。

2．计算机须采购配件，安公司采购管理制度流程执行。

五．违规操作

1．违规操作者，没有造成经济损失的，当事人须接受公司警告，多次违规者，公司给予响应的处罚。

2．违规操作者，造成经济损失的，当事人须按公司规定给予赔偿。六．附则

本制度有不妥之处会在运行中修改，解释权归公司所有。

账号管理方面

一．帐号管理

为更好，更有效的保障公司信息系统的安全。

二．系统规则

1．对于办公使用的pc机，笔记本电脑，由使用者按本规定自行设置和管理该设备的帐号和密码。

2．对于网络设备，服务器和信息系统的管理口令设置至少8位，口令必须从字符，数字，特殊符号中至少选择两种进行组合设置。安全人员对账号和口令以及变更情况进行加密的登记和保存，获得账号和口令的工作人员不得散发和与他人共享。

3 / 4

3．对于网络或系统用户的个人账号和口令，管理人员必须按照本制度设置初始口令，用户须在开始使用时更改口令并保管，不得散发和与他人共享。

4．普通口令更换不得长于2个月；

5．口令必须保存好，保证存放载体的物理安全。

6．本规定在实行过程中有修改后，本规定自行终止，并按照新规定实行。

4 / 4

信息技术有限公司信息安全管理制度：信息技术有限公司人员安全教育与培训

适配人群行政人事专员，部门技术骨干，业务线负责人使用场景新员工入职，部门技术共享，外部专家授课
制度目标让员工更懂工作，更快适应岗位，多学本领，理解公司文化，发挥潜力，团结同事，传播公司精神。
职责分工行政人事部定制度改制度，做计划找老师管钱存资料查效果。各部门自己定部门计划，编课程内容，配合上课和反馈。
核心条款新员工必须集中培训，学公司情况、制度、安全和岗位技能。老员工可参加内部讲座或外部课，自愿但要公平安排。
执行要求培训按岗位需要加个人兴趣来排。每人有权利也有义务参加。人事部全程盯进度、记档案、查效果。各部门得配合提供资料和反馈。

xx信息技术有限公司

人员安全教育与培训管理制度

第一章总则

第一条目的：为配合公司的发展目标，提升人力绩效，提升员工素质，增强员工对本职工作的能力与对企业文化的了解，并有计划

地充实其知识技能，发挥其潜在能力，建立良好的人际关系，进

而发扬本公司的企业精神，特制定《培训管理制度》（以下简称本

制度），作为公司进行人员培训实施与管理的依据。

第二条适用范围：凡本公司所有员工的各项培训计划、实施、督导、考评以及改善建议等，均依本制度办理。

第三条权责划分

1、行政人事部权责

1）制定、修改全公司培训制度；

2）拟定、呈报公司培训计划；

3）收集整理各种培训信息并及时发布；

4）联系、组织或协助完成全公司各项培训课程的实施；

5）检查、评估培训的实施情况；

6）管理、控制培训费用；

7）负责对各项培训进行记录和相关资料存档；

8）追踪考查培训效果；

2 / 7

2 、各部门权责

1）制定部门培训计划；

2）制定部门专业课程的培训大纲；

3）收集并提供相关专业培训信息；

4）配合部门培训的实施和效果反馈、交流的工作；

第二章培训管理

第四条培训安排应根据员工岗位职责，并结合个人兴趣，在自觉自愿的基础上尽量做到合理公平。

第五条凡本公司员工，均有接受相关培训的权利与义务。

第六条公司培训规划、制度的订立与修改，所有培训费用的预算、审查与汇总呈报，以及培训记录的登记与资料存档等相关培训事宜，以行政人事部为主要权责单位，各相关部门负有提出改善意见、建议和配合执行的权利与义务。

第七条公司的培训实施、效果反馈及评价考核等工作以行政人事部为主要权责单位，并对公司的培训执行情况负督导呈报的责任。

各部门应给予必要的协助。

第三章培训体系

第八条新员工入职培训

1）培训对象：所有新进人员。

3 / 7

2）培训目的：协助新进人员尽快适应新的工作环境，顺利进入工作状况。

3）培训形式：公司集中培训。

4）培训内容：涉及公司简介（包括公司发展史及发展前景、企业文化、公司组织架构、各部门分布及部门职能等）、公司制度介绍、安全意识教育、岗位技能培训和相关安全技术培训等。

第九条内部培训

1）培训对象：全体员工

2）培训目的：依靠公司内部技术力量，最大效度的利用公司内部资源，加强内部的沟通与交流，在公司内形成互帮互助的学习氛围，并丰富员工的业余学习生活。

3）培训形式：在公司内部以讲座、研讨会、交流会的形式进行。

4）培训内容：涉及技术类、管理类的多个方面，及员工感兴趣的业余知识、信息等。

第十条外部培训

1）培训对象：根据培训内容不同，确定不同的培训对象

2）培训目的：依靠外部专家力量，提升从业人员在本职工作上所应具备的专业知识、行业发展动态、技能技巧，以增进各项工作的完成质量，提高工作效率。

3）培训形式：参加外部公开课、交流研讨会，或请外部讲师在公司内部授课。

4）培训内容：涉及专业技术知识、企业战略性、发展性等内容等。

第四章培训计划的拟订

4 / 7

信息技术有限公司信息安全管理制度：信息技术外包服务安全

适配人群信息中心主任，外包服务经理，系统运维工程师使用场景IT外包服务，系统运维管理，医疗数据安全
制度目标让医院电脑系统更稳当
职责分工分管领导管总，信息中心主抓，专人盯安全，外包方签保密协议
核心条款安全第一，先预防，签合同要写清保密，设备得检查，访问重要区域要控制
执行要求信息中心天天查，每月评系统安全，出大事马上重评，不达标就停合作，服务要按合同来

第一节 总则

1、为加强医院信息技术外包服务的安全管理，保证医院信息系统运行环境的稳定，特制定本制度。

2、本制度所称信息技术外包服务，是指医院以签订合同的方式，委托承担信息技术服务且非本医院所属的专业机构提供的信息技术服务，主要包括信息技术咨询服务、运行维护服务、技术培训及其它相关信息化建设服务等。

3、安全管理是以安全为目的，进行有关安全工作的方针、决策、计划、组织、指挥、协调、控制等职能，合理有效地使用人力、财力、物力、时间和信息，为达到预定的安全防范而进行的各种活动的总和，称为安全管理。

4、外包服务安全管理遵循关于安全的所有商业准则及适当的外部法律、法规。

第二节 外包服务范围

5、外包服务包括信息技术咨询服务、运行维护服务、技术培训等。

6、咨询服务:

6.1根据医院的信息化建设总体部署，协助医院制定切实可行的技术实施方案。

6.2 对医院现有的信息技术基础架构、设备运行状态和应用情况进行诊断和评估，提出合理化的解决方案。

6.3 根据医院的实际情况提出备份方案和应急方案。

6.4 其它信息技术咨询服务。

7、运行维护服务:

7.1 软硬件设备安装、升级服务。

7.2硬件设备的维修和保养。

7.3 根据医院业务变化，提供应用系统功能性的需求解决方案及执行服务。

7.4系统定期巡检和整体性能评估。

7.5 日常业务数据问题的处理服务。

7.6 其它运行维护服务。

8、技术培训:根据医院的实际情况，提供相关的技术培训。

第三节 外包服务安全管理

9、外包服务安全管理应按照“安全第一、预防为主”的原则，采取科学有效的安全管理措施，应用确保信息安全的技术手段，建立权责明确、覆盖信息化全过程的岗位责任制，对信息化全过程实行严格监督和管理，确保信息安全。

10、 成立由分管领导同志信息化外包管理组织，明确信息化管理的部门、人员及其职责。

11、建立信息建设安全保密制度，与外包服务方签订安全保密协议或合同，明确符合安全管理及其它相关制度的要求。并对服务人员进行安全保密教育。

12、制定信息化加工过程管理、信息化成果验收与交接、存储介质管理等操作规程或规章制度。

13、外包服务方的人员素质、技术与管理水平能够满足拟承担项目的要求，进行相应的安全资质管理。

14、信息中心配备专人负责安全保密工作，负责日常信息安全监督、检查、指导工作。对服务方提供的服务进行安全性监督与评估，采取安全措施对访问实施控制，出现问题应遵照合同规定及时处理和报告，确保其提供的服务符合医院的内部控制要求。

15、对外包服务的业务应用系统运行的安全状况应定期进行评估，当出现重大安全问题或隐患时应进行重新评估，提出改进意见，直至停止外包服务。

16、使用外包服务方设备的，对其进行必要的安全检查。

17、在重要安全区域，对外部服务方的每次访问进行风险控制;必要时应外部服务方的访问进行限制。

第四节 附则

18、本制度由信息中心负责解释。

19、本制度自发布之日起生效执行。