第一章　總則

1 目的數據是集團重要的資產。為保證信息的安全性、可靠性、完整性和有效性，集團制定和采取相應管理制度, 進行對信息的保護，以避免其遭受外來的威脅和損害，防止未經授權地修改、泄漏和破壞。并為加強信息系統用戶賬號和權限的規范化管理,確保各信息系統安全、有序、穩定運行，防范應用風險。2 使用范圍本制度適用于集團內所有員工，所有員工應明確本制度, 支持本制度, 并強制遵守。3 職責本制度將作為員工遵守情況及復查的基本原則。違反本制度者經查實將由集團管理部門進行處理, 可視其輕重處以紀律處分或解職。信息管理部負責指導及協調本制度的實施，根據集團實際業務發展狀況，信息管理部將在獲得集團領導同意后酌情修正本制度，以使其符合集團的實際情況。信息管理部負責本制度的解釋及修正。 第二章 數據安全管理規定（一）保密制度 1 使用范圍 適用于集團在生產、研發、行政管理中形成的文件（如：合同、圖紙、技術報告、企業標準、管理制度、圖片、程序、數模、人事檔案、財務報告等）及模型、樣機、樣件等。2 保密要求 2.1?新員工進入集團后，由人力資源部組織進行《保密制度》學習培訓，并簽訂《知識產權及保密協議》。?2.2 員工由于項目工作需要，必須將數據攜帶外出、復印、打印或者經由電子郵件、傳真發送，必須由其主管項目經理批準，并登記備案。??2.3?集團電腦配置實行一機一人，每臺電腦必須設置個人密碼，任何人不得將個人密碼告訴他人，否則后果自負。3 獎懲 因疏忽或無意泄漏集團數據者,由集團根據情節進行處罰。 （二） 集團計算機網絡管理辦法 1．職責/職能 1.1?綜合管理部是計算機系統主管部門，統—管理集團的計算機網絡。?1.2?數據操作員負責集團對外及外來光盤、磁盤、電子郵件等電子文件傳遞的管理工作。?1.3?網站管理員負責集團內、外網站服務器的維護管理工作。 2．內部安全防范管理 2.1?集團內各類計算機系統用戶，嚴禁運行未經檢驗和來歷不明的軟件，嚴禁在各自的計算機內安裝與各自業務無關的軟件，嚴禁安裝運行各種游戲軟件，嚴禁將計算機系統口令和個人密碼告訴無關人員，未經許可嚴禁將計算機交由外部門人員操作。?2.2?集團各計算機用戶應確保各自計算機內的數據資料的安全。未經許可，任何人嚴禁擅自拷貝集團數據。綜合管理部切實做好數據的備份工作。 3．防范計算機病毒 3.1?集團內各計算機用戶應當專人、專管、專用。?3.2?集團預防計算機病毒選用的硬件、軟件必須是正版產品。??? ?3.3?對計算機安全運行操作的具體要求：

3.3.1 謹慎地處理、使用共享軟件。

3.3.2 新安裝系統要進行檢驗。

3.3.3 外來電腦未經許可不得聯入集團網絡。

3.3.4 對軟盤、U盤、移動硬盤、光盤實行管理，在使用外來軟盤、U盤、移動硬盤、光盤時，應首先檢測其安全性。

3.3.5 決不執行不知來源的程序。

3.3.6 系統中的數據要定期進行備份。

3.3.7 禁止在工作場所安裝計算機游戲，玩計算機游戲。

3.3.8 計算機系統管理員定期檢查清除計算機游戲。

3.3.9 密切注意自用計算機的配置參數(如引導扇區、中斷向量表、應用程序長度、執行時間)和運行情況，發現異常，及時報告系統管理員，做出判斷和處理。

3.4 確保殺毒軟件病毒特征碼的及時更新：由于病毒不斷發展變化，要求計算機系統管理員密切注意所用殺毒軟件病毒特征碼的更新情況，做到及時更新。?3.5 防范病毒制度化：對各計算機系統，尤其是服務器定期掃描殺毒。?3.6 對新購計算機進行病毒檢查，對新購軟件系統進行病毒檢查，計算機不得外借。??3.7 互聯網防毒的安全措施：?3.7.1不得進入各“黑客”站點訪問，不允許在局域網及Internet上使用“黑客”軟件，以防不明病毒。?3.7.2不得打開不明Email，不得通過Email下載軟件，如發生不明情況應及時向研究院知識工程及信息技術部報告。?3.7.3嚴格限制遠程訪問者的權限及認證，以防不明攻擊及感染病毒，特別限制匿名登陸。 4．電子文件傳遞管理 4.1 對外拷貝軟盤、U盤、移動硬盤、光盤需經相關部門領導批準方可執行。?4.2 外來以軟盤、光盤為載體的文件進入集團計算機系統前，需如實登記，并進行病毒掃描后方可進入。?4.3 在集團內部，網上電子文件允許下載，但文件下載后一律視為非受控文件，文件使用者有責任關注此文件的最新版本，以保持此電子文件的現行有效性。?4.4 集團內部禁止擅自使用各類盜版軟件，個人如私自傳入盜版軟件并使用，由此造成的與知識產權相關的后果將由使用者本人負全責。（三）數據流出管理控制程序規定 1 范圍 適用于全集團電子文檔數據的管理和備份歸檔的數據。 2 職能/職責 2.1 數據流出的申請人負責填寫和完成審批。?2.2 集團負責審批的人員負責審批各類需流通數據，并負責必要的授權。?2.3 綜合管理部數據管理員負責確認數據的真實性，對符合要求的數據予以執行操作。?2.3.1負責及時組織安排數據的備份及歸檔。?2.3.2負責對各數據予以查毒處理。?2.3.3負責完成已審批數據的中轉、刻錄、備份等。 3．流程 3.1 數據流通?3.1.1 流出集團數據

3.1.1.1 申請人填寫審批表。

3.1.1.2知識工程及信息技術部操作員負責按表格審批內容執行操作。

3.1.2數據流入、中轉

3.1.2.1經服務器中轉內部的數據，由數據流通員必須見到簽字后方可給予流通。

3.1.2.2對需要導入資料或軟件的員工，應自覺注意有關知識產權方面的問題，并不得將與工作無關及私人用途的數據導入集團網絡。

3.2 數據流通審批對于需要發出的數據，項目經理在簽字前，應檢查該數據是否為需要的數據，有無多余數據，是否遺漏數據，即檢查數據的正確性。?3.3 備份及歸檔?資料管理室負責備份數據的歸檔和保存，提供歷史數據的查找和利用。 第三章 權限管理規范1 范圍適用于公司開發和管理的各應用信息系統，包括OA協同辦公系統、ERP管理軟件、財務軟件、企業郵箱及網站系統等。2 術語和定義用戶：被授權使用或負責維護應用信息系統的人員。用戶賬號：在應用信息系統中設置與保存、用于授予用戶合法登陸和使用應用信息系統等權限的用戶信息，包括用戶名、密碼以及用戶真實姓名、單位、聯系方式等基本信息內容。權限：允許用戶操作應用信息系統中某功能點或功能點集合的權力范圍。角色：應用信息系統中用于描述用戶權限特征的權限類別名稱。3 用戶管理3.1用戶分類3.1.1系統管理員系統管理員主要負責應用信息系統中的系統參數配置，用戶賬號開通與維護管理、設定角色與權限關系，維護行政區劃和組織機構代碼等數據字典，系統日志管理以及數據管理等系統運行維護工作。3.1.2普通用戶指由系統管理員在應用信息系統中創建并授權的非系統管理員類用戶，擁有在被授權范圍內登陸和使用應用信息系統的權限。3.2 用戶角色與權限關系 應用信息系統中對用戶操作權限的控制是通過建立一套角色與權限對應關系，對用戶賬號授予某個角色或多個角色的組合來實現的，一個角色對應一定的權限（即應用信息系統中允許操作某功能點或功能點集合的權力），一個用戶賬號可通過被授予多個角色而獲得多種操作權限。

為實現用戶管理規范化和方便系統維護，公司各應用信息系統應遵循統一的角色與權限設置規范，在不同的應用信息系統中設置的角色名稱及對應的權限特征，應遵循權限設置規范基本要求。

由于不同的應用信息系統在具體的功能點設計和搭配使用上各不相同，因此對角色的設置以及同樣的角色在不同應用信息系統中所匹配的具體權限范圍可能存在差異，所以每個應用信息系統應分別制定適用于本系統的權限設置規范。

3.3 用戶賬號實名制注冊管理為保證應用信息系統的運行安全和對用戶提供跟蹤服務，各應用信息系統用戶賬號的申請注冊實行“實名制”管理方式，即在用戶賬號申請注冊時必須向信息系統管理部門提供用戶真實姓名、隸屬單位與部門、聯系方式等真實信息。4.用戶賬號申請與審批4.1 賬號申請任何一個用戶賬號的申請與開通均須經過集團統一制定的賬號申請與審批備案管理流程，且一個用戶在同一個應用信息系統中只能注冊和被授予一個用戶賬號。集團各應用信息系統的用戶賬號及角色權限的申請開通、注銷和密碼初始化等賬號管理工作均使用集團統一制定的《用戶賬號申請單》辦理。《用戶賬號申請單》包括三部分填寫內容：（1）申請人情況；（2）賬號申請情況；（3）受理單位意見。其中（1）申請人情況和（2）賬號申請情況兩部分由申請人填寫；（3）受理部門意見由受理部門填寫。用戶權限的申請應嚴格參照各應用信息系統制定的《應用信息系統角色與權限關系對照表》中對不同級別和類型用戶的角色權限配置要求執行，不得越級或超范圍申請。4.2 賬號審批和開通各應用信息系統的賬號申請一般由該部門的負責人審批，審批同意后提交該系統的系統管理員負責開通賬號。對有特別安全等級保護要求的應用信息系統以及各應用信息系統中的系統管理員，還需通過受理部門的主管領導審批。原則上應用信息系統主管部門應在收到《用戶賬號申請單》后才能進行審批和開通賬號。特殊情況下，經部門負責人和受理部門主管領導書面同意后，可采取事后審查的方式，先開通賬號，但自賬號開通日起超過1個月仍未收到《用戶賬號申請單》的，系統管理員有權對該賬號采取暫時停用措施。5.安全管理5.1 賬號安全凡需要使用應用信息系統的用戶，每人均須按照“實名制”方式申請一個僅限本人使用的用戶賬號。不同用戶的用戶賬號彼此之間不得隨意借用，因某用戶賬號的操作而造成應用信息系統中數據信息或任何系統功能等方面的改變或后果，均由擁有該用戶賬號的用戶負責。如果某用戶因工作調動或其它原因而不允許繼續使用某應用信息系統時,其隸屬的原工作單位應督促和確保該用戶離職前及時申請注銷相關用戶賬號；不論原用戶是否知曉或同意，均禁止將其原賬號轉交其他人員繼續使用。5.2 密碼安全設置用戶密碼是用戶登陸應用信息系統時身份合法性認證的重要手段，用戶密碼的設置應盡量復雜化，不易被他人推測，密碼長度一般不少于6位，并做到定期更換新密碼。密碼遺忘時可向系統管理員申請密碼初始化修復。若發現賬號密碼泄露,用戶須立即報告系統管理員及時采取停用賬號措施，并在報告后的24小時內向該信息系統主管部門提交書面報告，說明詳細情況，以便系統主管部門協助核查系統內數據和系統運行情況，采取有效補救措施將危害程度降至最低。

第四章　附則

本制度自頒發之日起執行。

本制度由信息管理部負責修訂、培訓、實施及檢查。