数据网络安全管理制度

数据网络安全管理制度

一、目的

为了保障公司网络及数据内部安全、维护办公网络环境，保障公司员工可以合规、合法的使用办公网络，根据《中华人民共和国网络安全法》、《数据安全法》等法律法规的规定，特制定本制度。

二、适用范围

本制度适用于XXXX及所属分公司所有员工。

网络安全管理

（一）管理职责

1.数据库管理员负责公司网络的配置和管理；

2.数据库管理员负责公司安全设备的选型、部署、配置和维护；

3.数据库管理员负责本制度的撰写、修改及最终解释；

4.数据库管理员负责系统备份和网络数据备份。

（二）网络配置

1.集团总部配置X条XXXM宽带线路，一条供技术部使用，一条供公司日常办公使用。

2.部署上网行为管理终端一台，用于管理公司网络流量控制、内容控制、终端控制等管理。

3.公司范围部署无线AP/无线路由器若干，原则上保障各个办公区域满足正常办公使用；（可升级为无线AP/AC，办公室统一账号密码）。

4.公司网络设置内容控制，工作时间限制P2P应用、流媒体应用等与工作无关的应用流程，具体时间以集团上下班时间为依据（如因工作需开启限制，通过OA流程申请开放或豁免）。

5.公司办公电脑、员工手机通过绑定IP-Mac地址方式备注使用人员，个人电脑可申请后绑定Mac备注后使用，非公司注册设备无法进入公司网络。

（三）电脑使用要求

1.公司为每位员工配置个人电脑，遵循谁使用，谁负责的管理原则；

2.公司办公电脑必须设置个人登录密码，因未设置登录密码导致的个人电脑被违规使用的，后果由电脑使用人承担；

3.公司办公电脑必须安装杀毒软件，定期对电脑进行杀毒，及时清理并删除无用的文件和程序；

4.公司办公电脑禁止下载、安装与工作无关的软件；

5.外来的磁盘（U盘，光盘，mp3，数码相机）或对外报送的磁盘以及从外界录入的磁盘，一律要进行电脑病毒检测，在确保没有病毒时方可使用电脑读取。外来的光盘，非经允许，不准在本公司的电脑读取，以防止病毒的入侵；

6.员工私有电脑原则上不允许在公司办公使用，如切实需要使用员工私有电脑办公，须在钉钉中按照审批流程申请，经总经理同意后方可使用。

（四）网络使用要求

1、禁止在工作时间使用公司网络下载与工作无关的文件或软件；

2、禁止在工作时间使用公司网络播放与工作无关的音乐或视频；

3、禁止在工作时间登录与工作无关的网页；

4、禁止在工作时间使用与工作无关的软件；

5、严禁使用公司网络登录非法网站、软件或从事非法行径，一旦发现，立即开除并追究其法律责任。

（五）网络信息及安全

1、数据库管理员必须每月月初对网络信息检查，发现有关泄漏企业机密及不健康信息要及时删除，并记录，随时上报主管领导。

2、要严格执行国家相关法律法规，防止发生窃密、泄密事件。外来人员未经单位主管领导批准同意，任何人不得私自让外来人员使用我公司的网络系统作任何用途。

3、加强对各网络安全的管理、检查、监督，一旦发现问题及时上报公司负责人。公司计算机安全负责人分析并指导有关部门作好善后处理，对造成事故的责任人要依据情节给予必要的经济及行政处理。

4、未经公司负责人批准,连接在公司网络上的所有用户,严禁在同过其它入口上因太网或公司外单位网络.

（六）、网络病毒的防治

1、所有员工电脑必须安装防病毒软件，每周对操作系统进行病毒检查及清理。

2、所有U盘须检查确认无病毒后，方能上机使用。

3、严格控制外来U盘的使用，各部门使用外来U盘须经检验认可，私自使用造成病毒侵害要追究当事人责任。

4、服务器主机配套网络交换机、路由器等连接时均安装防火墙、安全网关、上网行为管理器等以确保网络及连接安全，通过防火墙或安全网关的设置对内外网络访问按照权限进行控制，在配置和访问控制策略更改时，及时导出防火墙或安全网关的配置文件，作好备份并标明改动内容。

5、员工服务器如果发现漏洞要及时修补漏洞或进行系统升级，并及时上报数据库管理员。

6、数据库管理员应根据实际情况和需要采用新技术调整网络结构、系统功能，变更系统参数和使用方法，及时排除系统隐患。

四、数据安全管理

（一）数据和数据管理范围

1、数据范围：一切因公司运营产生的图片、文字、用户信息、代码等数据以及公司正在使用的各类信息系统中所存放的，支持信息系统正常运行并记录运行结果的数据；

2、数据安全范围：公司认定未经授权不可对外发布的数据集合安全，所有员工均有保护公司数据安全的义务。

（二）数据资源的安全保护

网络系统中存贮的各种数据信息，是生产和管理所必须的重要数据，数据资源的破坏将严重影响生产与管理工作的正常运行。数据资源安全保护的主要手段是数据备份，规定如下：

1、各部门的数据要做到实时备份。

2、数据备份时必须登记以备检查，数据备份必须正确、可靠。

3、严格管理网络用户权限及用户名口令管理。

4、纸质数据长期保留，电子数据半年更新，留存一年。

（三）数据安全责任

1、数据库管理员负责制度的制定、修改和最终解释，负责公司各种账户的账号密码管理、权限分配、使用情况监督及汇总；

2、市场运营人员负责管理和使用公众号类账号，负责公司数据安制度的执行；

3、产品经营人员负责管理和使用平台类账号，负责公司数据安制度的执行；

4、技术岗位人员负责管理和使用平台类、公众号类及技术类账号，负责公司数据安制度的执行；

5、管理岗位人员为本部门涉及的所有账户账号密码使用管理和数据安全的第一责任人；

6、其他岗位人员，对于使用过的账户信息情况须及时报备数据库管理员并配合做好数据保密工作。

（四）账户信息

（五）账户管理

1.平台类账户，统一由数据库管理员整体管理，建立密码使用台账，员工使用平台账号密码须登记使用起始时间、使用人及用途，使用完毕后数据库管理员应及时更改密码并记录（如平台为单一使用人或单一部门专事专用，可自行管理账户密码，密码变更及时报备即可）；

2.公众号类账户，管理员账户由数据库管理员保管，日常使用人员分配运营账户（二级账户）并登记；

3.技术类账户，为了保障技术人员的日常使用，不影响日常工作的效率，原则上实行一人一组一用户规则，如一段时期内因工作原因需要频繁登录root账户，可在数据库管理员处报备使用人及使用时间区间，使用完毕后数据库管理员应及时更换密码。

（六）数据安全要求

1.因工作原因接触到公司不可对外发布的数据，公司保密数据的，不得私自下载、留存、交易；

2. 因工作原因需要远程登录服务器数据库，需自行在云平台开启远程端口，使用完毕后，必须及时关闭远程端口；

3.在产品设计、功能设计、三方合作上，规定与设计防止用户信息泄漏的处理逻辑，包括用户信息保密、账号权限管理、下载机制、三方接口传输等基于数据安全的设计，不得私自下载、留存、交易；

4.因程序测试、更新、维护等工作需要接触到公司数据安全信息的，不得下载、留存、交易，因程序漏洞造成的用户信息泄漏，公司将追究相关责任；

5.数据维护工作涉及到数据的迁移、数据的拆分、数据的补全、无效数据的删除等工作时，数据维护人员不得利用工作便利私自下载、留存数据，且必须在技术管理负责人在场的情况下进行数据维护工作；

6.因公司发展需要对外开展的商业合作，在技术对接上以加密接口形式进行合作，在用户主观意愿同意下方可向合作伙伴传输用户信息；以外链形式合作的业务，应出现醒目的提示信息，在用户不知情的情况下，不可向合作方推送用户信息。

（七）安全操作规范

1.数据库须配置自动备份机制，增量备份加全库备份形式，数据库管理员须定期查看备份方案是否正常运行；

2.数据库硬件须根据实际容量配置磁盘阵列，RAID5或RAID10以上；

3.所有数据的使用传输一律通过平台账户权限加密形式，不得使用U盘、手机、平板等物理介质存储，不得用QQ、微信、钉钉等软件的聊天窗口传输。

五、网络事件的应急处理

1、网络突然发生中断，如停电、线路故障、网络通信设备损坏等。应立即联系技术人员进行维修处理。

2、公司内网络服务器及其他服务器被非法入侵，服务器上的数据被非法拷贝、修改、删除，发生泄密事件。应根据实际情况第一时间采取断网等有效措施进行处置，将损害和影响降到最小范围，第一时间上报公司主管领导。随后以书面形式，将安全事件详情、要求整改内容及时汇报领导。

3、出现网络安全事故后，当事人应立即联系数据库管理员，进行紧急处置，确保网络畅通与信息安全，事件处置过程中要及时掌握损失情况，查找和分析事件原因，修复系统漏洞，恢复系统服务，尽可能减少安全事件对正常工作带来的影响。如果涉及人为故意破坏应积极配合公安机关开展调查。

4.追究相关责任。根据实际情况提出口头警告、书面警告、停止使用网络，情节严重和后果影响较大者，提交公司及国家司法机关处理，追究部门负责人和直接责任人的行政或法律责任。

六、离职处理原则

1、自员工提出离职之日起，部门负责人应第一时间回收其电脑的使用权，更改登录密码，如需登录电脑做交接使用，须在工作接收人在场的情况下进行登录及操作。

2、员工离职后，须由工作接收人或直接上级将该员工电脑中的相关资料进行备份、转移处理，电子版资料、纸质资料均不可拷贝复制带离公司。

3、自员工确定离职之日起，人资应通知相关人员，以确保本制度的落实执行。

七、罚则

1、在正常工作时间使用公司电脑、网络从事与工作无关的行为，发现一次，在本月绩效中核减20元并全员通报；

2、使用公司电脑、网络从事非法行径，一旦发现，公司有权解除双方劳动合同并追究其法律责任；

3、其他违规行为，未对公司造成实质损失的，视情节轻重在本月绩效核减50-2022元不等，最终数额由总经理决定，对公司造成损失的，由本人承担相应损失，直至追究其法律责任。