信息资产管理办法.doc

信息资产管理办法

第一章 总 则
第一条 目的：本管理办法旨在对XX银行（以下简称我行）内部重要的信息资产进行分类分级，以便对信息的分发和流转进行恰当的控制，确保信息资产的保密性、完整性和可用性能够实现。
第二条 依据：本管理办法根据《XX银行信息安全管理策略》制订。
第三条 范围：本管理办法适用于我行总部及所辖分、支行。
第四条 定义
（一）本管理办法所涉及的信息包括各种存储或者存在形式，包括但不限于电子信息、纸质数据文件、语音和图像等。
（二）本管理办法所称信息是指以任何形式存在或传播的对我行具有价值的内容，包括电子信息、纸质数据文件、语音图像等。信息安全关注的是信息的保密性、可用性和完整性。
（三）本管理办法所称信息资产是指任何对我行具有价值的信息的存在形式或者载体，包括计算机硬件、通信设施、IT环境、数据库、软件、文档资料、信息服务和人员等，所有这些资产都需要妥善保护。
第二章 组织与管理
第五条 我行各部门负责人是本部门信息资产管理的第一责任人，负责组织本管理办法的贯彻落实。
第六条 全体员工理解并遵守本管理办法定义的内容。
第七条 本管理办法定义以下相关角色，履行相应的信息安全管理、执行和审核职责。
（一）责任人，信息资产的创建者，或者主要用户所在组织、单位或部门的负责人。信息资产责任人对所属信息资产负直接责任。其主要职责包括：
1、理解和各种信息访问活动相关的安全风险；
2、根据我行信息密级划分标准来确定所属信息资产的级别；
3、根据我行相关策略确定并检查信息访问权限；
4、针对所属信息资产提出恰当的保护措施。
（二）保管者，受信息资产责任人委托，对信息资产进行日常的管理，维护已经建立的保护措施。资产保管者通常是我行的IT部门或者代表（例如系统管理员）。其主要职责包括：
1、根据相关策略和信息资产责任人的要求，负责信息资产的维护操作和日常管理事务；
2、负责具体设置信息访问权限；
3、负责所管理的信息资产的安全控制；
4、部署恰当的安全机制，进行备份和恢复操作；
5、按照信息资产责任人的要求实施其他控制。
（三）用户，信息资产的使用者，除了我行内部员工，也可能是因为业务需要而访问我行信息的客户或第三方组织。 其主要职责包括：
1、向信息资产责任人申请信息访问；
2、按照我行信息安全策略要求正当访问信息，禁止非授权访问；
3、向相关组织报告隐患、故障或者违规事件。

第三章 资产管理要求
第八条 信息资产分类
信息资产责任人应该指导进行相关资产的调查，资产调查以业务流程为线索，包括各类输入、中间环节和输出信息，所有这些信息资产都为业务流程的运转提供支持。
信息资产可以分为以下几大类。
（一）数据文件，通常包括各种电子档：业务数据、客户数据、配置文件、记录数据（日志、审计记录）、管理文件（策略、流程文件、操作手册等）、商务文件（合同、协议等）。也包括以实物方式存在的资产：各类电子数据的归档、打印件、书面管理文件、业务报表、包含重要商业成果的文件，还有胶片等。
（二）软件资产，各种系统软件、应用软件（OA、业务软件等）和工具软件（开发系统、网管软件、安全软件等），包括操作系统、数据库应用程序、网络软件、办公应用系统、业务系统程序、软件开发工具等，这些软件资产负责处理、存储或传输各类信息。
（三）实物资产，与业务相关的IT物理设备，包括计算机（工作站和服务器等）和网络通信设备、磁介质（磁带和磁盘等）、装置、环境等，这些实物资产容纳着软件和数据文件。
（四）人员，承担某项与业务活动相关责任的角色和职位。例如普通用户、系统管理员、网络管理员、保安、清洁员等，这些人员与各类数据、软件和实物资产的操作直接相关。
（五）服务，安保（例如监控、门禁、保安等），环境服务（例如清洁），基础保障（供水、供热、供电），设备维护，通信服务（例如互联网接入）。
第九条 信息资产分级标准
保密性、完整性和可用性是评价资产的三个安全属性。风险评估中资产的价值不是以资产的经济价值来衡量，而是由资产在这三个安全属性上的达成程度或者其安全属性未达成时所造成的影响程度来决定的。安全属性达成程度的不同将使资产具有不同的价值，而资产面临的威胁、存在的脆弱性、以及已采用的安全措施都将对资产安全属性的达成程度产生影响。
（一）保密性赋值
根据资产在保密性上的不同要求，将其分为五个不同的等级，分别对应资产在保密性上应达成的不同程度或者保密性缺失时对整个组织的影响。下表提供了一种保密性赋值的参考。
表 1.1 资产保密性赋值表
赋值
标识
定义
5
很高
包含组织最重要的秘密，关系未来发展的前途命运，对组织根本利益有着决定性的影响，如果泄露会造成灾难性的损害
4
高
包含组织的重要秘密，其泄露会使组织的安全和利益遭受严重损害
3
中等
组织的一般性秘密，其泄露会使组织的安全和利益受到损害
2
低
仅能在组织内部或在组织某一部门内部公开的信息，向外扩散有可能对组织的利益造成轻微损害
1
很低
可对社会公开的信息，公用的信息处理设备和系统资源等
（二）完整性赋值
根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上缺失时对整个组织的影响。下表提供了一种完整性赋值的参考。
表 1.2 资产完整性赋值表
赋值
标识
定义
5
很高
完整性价值非常关键，未经授权的修改或破坏会对组织造成重大的或无法接受的影响，对业务冲击重大，并可能造成严重的业务中断，难以弥补
4
高
完整性价值较高，未经授权的修改或破坏会对组织造成重大影响，对业务冲击严重，较难弥补
3
中等
完整性价值中等，未经授权的修改或破坏会对组织造成影响，对业务冲击明显，但可以弥补
2
低
完整性价值较低，未经授权的修改或破坏会对组织造成轻微影响，对业务冲击轻微，容易弥补
1
很低
完整性价值非常低，未经授权的修改或破坏对组织造成的影响可以忽略，对业务冲击可以忽略
（三）可用性赋值
根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上应达成的不同程度。下表提供了一种可用性赋值的参考。
表 1.3 资产可用性赋值表
赋值
标识
定义
5
很高
可用性价值非常高，合法使用者对信息及信息系统的可用度达到年度99.9%以上，或系统不允许中断
4
高
可用性价值较高，合法使用者对信息及信息系统的可用度达到每天90%以上，或系统允许中断时间小于10min
3
中等
可用性价值中等，合法使用者对信息及信息系统的可用度在正常工作时间达到70%以上，或系统允许中断时间小于30min
2
低
可用性价值较低，合法使用者对信息及信息系统的可用度在正常工作时间达到25%以上，或系统允许中断时间小于60min
1
很低
可用性价值可以忽略，合法使用者对信息及信息系统的可用度在正常工作时间低于25%
（四）资产重要性等级
资产重要性等级（资产价值）应依据资产在保密性、完整性和可用性上的赋值等级，由以下公式计算得出：
。
通常，根据最终赋值将资产划分为五级，级别越高表示资产越重要，也可以根据组织的实际情况确定资产识别中的赋值依据和等级。下表中的资产等级划分表明了不同等级的重要性的综合描述。
表 1.4 资产等级及含义描述
等级
标识
描述
5
很高
非常重要，其安全属性破坏后可能对组织造成非常严重的损失
4
高
重要，其安全属性破坏后可能对组织造成比较严重的损失
3
中等
比较重要，其安全属性破坏后可能对组织造成中等程度的损失
2
低
不太重要，其安全属性破坏后可能对组织造成较低的损失
1
很低
不重要，其安全属性破坏后对组织造成导很小的损失，甚至忽略不计
第十条 信息资产登记
各部门根据业务流程列出信息资产清单并将每项资产的名称，资产编号，所处位置，资产价值，资产负责人等相关信息记录在《信息资产登记表》。
第四章 附 则
第十一条 本办法由科技信息部负责解释与修订。
本办法自发布之日起施行。物业安保培训方案
为规范保安工作，使保安工作系统化/规范化,最终使保安具备满足工作需要的知识和技能，特制定本教学教材大纲。
一、课程设置及内容全部课程分为专业理论知识和技能训练两大科目。
其中专业理论知识内容包括：保安理论知识、消防业务知识、职业道德、法律常识、保安礼仪、救护知识。作技能训练内容包括：岗位操作指引、勤务技能、消防技能、军事技能。
二．培训的及要求培训目的
1）保安人员培训应以保安理论知识、消防知识、法律常识教学为主，在教学过程中，应要求学员全面熟知保安理论知识及消防专业知识，在工作中的操作与运用，并基本掌握现场保护及处理知识2）职业道德课程的教学应根据不同的岗位元而予以不同的内容，使保安在各自不同的工作岗位上都能养成具有本职业特点的良好职业道德和行为规范）法律常识教学是理论课的主要内容之一，要求所有保安都应熟知国家有关法律、法规，成为懂法、知法、守法的公民，运用法律这一有力武器与违法犯罪分子作斗争。工作入口门卫守护，定点守卫及区域巡逻为主要内容，在日常管理和发生突发事件时能够运用所学的技能保护公司财产以及自身安全。
2、培训要求
1）保安理论培训
通过培训使保安熟知保安工作性质、地位、任务、及工作职责权限，同时全面掌握保安专业知识以及在具体工作中应注意的事项及一般情况处置的原则和方法。
2）消防知识及消防器材的使用
通过培训使保安熟知掌握消防工作的方针任务和意义，熟知各种防火的措施和消防器材设施的操作及使用方法，做到防患于未燃，保护公司财产和员工生命财产的安全。
3) 法律常识及职业道德教育
通过法律常识及职业道德教育，使保安树立法律意识和良好的职业道德观念，能够运用法律知识正确处理工作中发生的各种问题；增强保安人员爱岗敬业、无私奉献更好的为公司服务的精神。
4) 工作技能培训

其中专业理论知识内容包括：保安理论知识、消防业务知识、职业道德、法律常识、保安礼仪、救护知识。作技能训练内容包括：岗位操作指引、勤务技能、消防技能、军事技能。
二．培训的及要求培训目的
安全生产目标责任书
为了进一步落实安全生产责任制，做到“责、权、利”相结合，根据我公司2015年度安全生产目标的内容，现与财务部签订如下安全生产目标：
一、目标值：
1、全年人身死亡事故为零，重伤事故为零，轻伤人数为零。
2、现金安全保管，不发生盗窃事故。
3、每月足额提取安全生产费用，保障安全生产投入资金的到位。
4、安全培训合格率为100%。
二、本单位安全工作上必须做到以下内容：
1、对本单位的安全生产负直接领导责任，必须模范遵守公司的各项安全管理制度，不发布与公司安全管理制度相抵触的指令，严格履行本人的安全职责，确保安全责任制在本单位全面落实，并全力支持安全工作。
2、保证公司各项安全管理制度和管理办法在本单位内全面实施，并自觉接受公司安全部门的监督和管理。
3、在确保安全的前提下组织生产，始终把安全工作放在首位，当“安全与交货期、质量”发生矛盾时，坚持安全第一的原则。
4、参加生产碰头会时，首先汇报本单位的安全生产情况和安全问题落实情况；在安排本单位生产任务时，必须安排安全工作内容，并写入记录。
5、在公司及政府的安全检查中杜绝各类违章现象。
6、组织本部门积极参加安全检查，做到有检查、有整改，记录全。
7、以身作则，不违章指挥、不违章操作。对发现的各类违章现象负有查禁的责任，同时要予以查处。
8、虚心接受员工提出的问题，杜绝不接受或盲目指挥；
9、发生事故，应立即报告主管领导，按照“四不放过”的原则召开事故分析会，提出整改措施和对责任者的处理意见，并填写事故登记表，严禁隐瞒不报或降低对责任者的处罚标准。
10、必须按规定对单位员工进行培训和新员工上岗教育；
11、严格执行公司安全生产十六项禁令，保证本单位所有人员不违章作业。
三、 安全奖惩：
1、对于全年实现安全目标的按照公司生产现场管理规定和工作说明书进行考核奖励；对于未实现安全目标的按照公司规定进行处罚。
2、每月接受主管领导指派人员对安全生产责任状的落
第十二条