客戶資訊安全管理制度

導語：資訊安全主要包括以下五方面的內容，即需保證資訊的保密性、真實性、完整性、未授權拷貝和所寄生系統的安全性。以下是爲大家整理的客戶資訊安全管理制度，希望能夠幫助大家！

客戶資訊安全管理制度（一）

一、計算機設備管理制度

1、計算機的使用部門要保持清潔、安全、良好的計算機設備工作環境，禁止在計算機應用環境中放置易燃、易爆、強腐蝕、強磁性等有害計算機設備安全的物品。

2、非本單位技術人員對我單位的設備、系統等進行維修、維護時，必須由公司相關技術人員現場全程監督。計算機設備送外維修，須經有關部門負責人批准。

3、嚴格遵守計算機設備使用、開機、關機等安全操作規程和正確的使用方法。任何人不允許帶電插拔計算機外部設備接口，計算機出現故障時應及時向IT部門報告，不允許私自處理或找非本單位技術人員進行維修及操作。

二、操作員安全管理制度

（一）操作代碼是進入各類應用系統進行業務操作、分級對數據存取進行控制的代碼。操作代碼分爲系統管理代碼和一般操作代碼。代碼的設定根據不同應用系統的要求及崗位職責而設定；

（二）系統管理操作代碼的設定與管理

1、系統管理操作代碼必須經過經營管理者授權取得；

2、系統管理員負責各項應用系統的環境生成、維護，負責一般操作代碼的生成和維護，負責故障恢復等管理及維護；

3、系統管理員對業務系統進行數據整理、故障恢復等操作，必須有其上級授權；

4、系統管理員不得使用他人操作代碼進行業務操作；

5、系統管理員調離崗位，上級管理員（或相關負責人）應及時註銷其代碼並生成新的系統管理員代碼；

（三）一般操作代碼的設定與管理

1、一般操作碼由系統管理員根據各類應用系統操作要求生成，應按每操作用戶一碼設定。

2、操作員不得使用他人代碼進行業務操作。

3、操作員調離崗位，系統管理員應及時註銷其代碼並生成新的操作員代碼。

三、密碼與權限管理制度

1、密碼設定應具有安全性、保密性，不能使用簡單的代碼和標記。密碼是保護系統和數據安全的控制代碼，也是保護用戶自身權益的控制代碼。密碼分設爲用戶密碼和操作密碼，用戶密碼是登陸系統時所設的密碼，操作密碼是進入各應用系統的操作員密碼。密碼設定不應是名字、生日，重複、順序、規律數字等容易猜測的數字和字元串；

2、密碼應定期修改，間隔時間不得超過一個月，如發現或懷疑密碼遺失或泄漏應立即修改，並在相應登記簿記錄用戶名、修改時間、修改人等內容。

3、服務器、路由器等重要設備的超級用戶密碼由執行機構負責人指定專人（不參與系統開發和維護的人員）設定和管理，並由密碼設定人員將密碼裝入密碼信封，在騎縫處加蓋個人名章或簽字後交給密碼管理人員存檔並登記。如遇特殊情況需要啓用封存的密碼，必須經過相關部門負責人同意，由密碼使用人員向密碼管理人員索取，使用完畢後，須立即更改並封存，同時在“密碼管理登記簿”中登記。

4、系統維護用戶的密碼應至少由兩人共同設定、保管和使用。

5、有關密碼授權工作人員調離崗位，有關部門負責人須指定專人接替並對密碼立即修改或用戶刪除，同時在“密碼管理登記簿”中登記。

四、數據安全管理制度

1、存放備份數據的介質必須具有明確的標識。備份數據必須異地存放，並明確落實異地備份數據的管理職責；

2、注意計算機重要資訊資料和數據存儲介質的存放、運輸安全和保密管理，保證存儲介質的物理安全。

3、任何非應用性業務數據的使用及存放數據的設備或介質的調撥、轉讓、廢棄或銷燬必須嚴格按照程序進行逐級審批，以保證備份數據安全完整。

4、數據恢復前，必須對原環境的數據進行備份，防止有用數據的丟失。數據恢復過程中要嚴格按照數據恢復手冊執行，出現問題時由技術部門進行現場技術支援。數據恢復後，必須進行驗證、確認，確保數據恢復的完整性和可用性。

5、數據清理前必須對數據進行備份，在確認備份正確後方可進行清理操作。歷次清理前的備份數據要根據備份策略進行定期儲存或永久儲存，並確保可以隨時使用。數據清理的實施應避開業務高峯期，避免對聯機業務執行造成影響。

6、需要長期儲存的數據，數據管理部門需與相關部門制定轉存方案，根據轉存方案和查詢使用方法要在介質有效期內進行轉存，防止存儲介質過期失效，透過有效的查詢、使用方法保證數據的完整性和可用性。轉存的數據必須有詳細的文檔記錄。

7、非本單位技術人員對本公司的設備、系統等進行維修、維護時，必須由本公司相關技術人員現場全程監督。計算機設備送外維修，須經設備管理機構負責人批准。送修前，需將設備存儲介質內應用軟件和數據等涉經營管理的資訊備份後刪除，並進行登記。對修復的設備，設備維修人員應對設備進行驗收、病毒檢測和登記。

8、管理部門應對報廢設備中存有的程序、數據資料進行備份後清除，並妥善處理廢棄無用的資料和介質，防止泄密。

9、執行維護部門需指定專人負責計算機病毒的防範工作，建立本單位的計算機病毒防治管理制度，經常進行計算機病毒檢查，發現病毒及時清除。

10、營業用計算機未經有關部門允許不準安裝其它軟件、不準使用來歷不明的載體（包括軟盤、光盤、移動硬盤等）。

五、機房管理制度

1、進入主機房至少應當有兩人在場，並登記“機房出入管理登記簿”，記錄出入機房時間、人員和操作內容。

部門人員進入機房必須經領導許可，其他人員進入機房必須經IT部門領導許可，並有有關人員陪同。值班人員必須如實記錄來訪人員名單、進出機房時間、來訪內容等。非IT部門工作人員原則上不得進入中心對系統進行操作。如遇特殊情況必須操作時，經IT部門負責人批准同意後有關人員監督下進行。對操作內容進行記錄，由操作人和監督人簽字後備查。

3、保持機房整齊清潔，各種機器設備按維護計劃定期進行保養，保持清潔光亮。

4、工作人員進入機房必須更換乾淨的工作服和拖鞋。

5、機房內嚴禁吸菸、吃東西、會客、聊天等。不得進行與業務無關的活動。嚴禁攜帶液體和食品進入機房，嚴禁攜帶與上機無關的物品，特別是易燃、易爆、有腐蝕等危險品進入機房。

6、機房工作人員嚴禁違章操作，嚴禁私自將外來軟件帶入機房使用。

7、嚴禁在通電的情況下拆卸，移動計算機等設備和部件。

8、定期檢查機房消防設備器材。

9、機房內不準隨意丟棄儲蓄介質和有關業務保密數據資料，對廢棄儲蓄介質和業務保密資料要及時銷燬（碎紙），不得作爲普通垃圾處理。嚴禁機房內的設備、儲蓄介質、資料、工具等私自出借或帶出。

10、主機設備主要包括：服務器和業務操作用PC機等。在計算機機房中要保持恆溫、恆溼、電壓穩定，做好靜電防護和防塵等項工作，保證主機系統的平穩執行。服務器等所在的主機要實行嚴格的門禁管理制度，及時發現和排除主機故障，根據業務應用要求及執行操作規範，確保業務系統的正常工作。

11、定期對空調系統執行的各項性能指標（如風量、溫升、溼度、潔淨度、溫度上升率等）進行測試，並做好記錄，透過實際測量各項參數發現問題及時解決，保證機房空調的.正常執行。

12、計算機機房後備電源（UPS）除了電池自動檢測外，每年必須充放電一次到兩次。

客戶資訊安全管理制度（二）

第一章 總 則

第一條 爲加強郵政行業寄遞服務用戶個人資訊安全管理，保護用戶合法權益，維護郵政通信與資訊安全，促進郵政行業健康發展，根據《中華人民共和國郵政法》、《全國人大常委會關於加強網絡資訊保護的規定》、《郵政行業安全監督管理辦法》等法律、行政法規和有關規定，制定本規定。

第二條 在中華人民共和國境內經營和使用寄遞服務涉及用戶個人資訊安全的活動以及相關監督管理工作，適用本規定。

第三條 本規定所稱寄遞服務用戶個人資訊（以下簡稱寄遞用戶資訊），是指用戶在使用寄遞服務過程中的個人資訊，包括寄（收）件人的姓名、地址、身份證件號碼、電話號碼、單位名稱，以及寄遞詳情單號、時間、物品明細等內容。

第四條 寄遞用戶資訊安全監督管理堅持安全第一、預防爲主、綜合治理的方針，保障用戶個人資訊安全。

第五條 國務院郵政管理部門負責全國郵政行業寄遞用戶資訊安全監督管理工作。

省、自治區、直轄市郵政管理機構負責本行政區域內的郵政行業寄遞用戶資訊安全監督管理工作。

按照國務院規定設立的省級以下郵政管理機構負責本轄區的郵政行業寄遞用戶資訊安全監督管理工作。

國務院郵政管理部門和省、自治區、直轄市郵政管理機構以及省級以下郵政管理機構，統稱爲郵政管理部門。

第六條 郵政管理部門應當與有關部門相互配合，健全寄遞用戶資訊安全保障機制，維護寄遞用戶資訊安全。

第七條 郵政企業、快遞企業及其從業人員應當遵守國家有關資訊安全管理的規定及本規定，防止寄遞用戶資訊泄露、丟失。

第二章 一般規定

第八條 郵政企業、快遞企業應當建立健全寄遞用戶資訊安全保障制度和措施，明確企業內部各部門、崗位的安全責任，加強寄遞用戶資訊安全管理和安全責任考覈。

第九條 以加盟方式經營快遞業務企業應當在加盟協議中訂立寄遞用戶資訊安全保障條款，明確被加盟人與加盟人的安全責任。加盟人發生資訊安全事故時，被加盟人應當依法承擔相應安全管理責任。

第十條 郵政企業、快遞企業應當與其從業人員簽訂寄遞用戶資訊保密協議，明確保密義務和違約責任。

第十一條 郵政企業、快遞企業應當組織從業人員進行寄遞用戶資訊安全保護相關知識、技能培訓，加強職業道德教育，不斷提高從業人員的法制觀念和責任意識。

第十二條 郵政企業、快遞企業應當建立寄遞用戶資訊安全投訴處理機制，公佈有效聯繫方式，接受並及時處理有關投訴。

第十三條 郵政企業、快遞企業受網絡購物、電視購物和郵購等經營者委託提供寄遞服務的，在與委託方簽訂協議時，應當訂立寄遞用戶資訊安全保障條款，明確資訊使用範圍和方式、資訊交換安全保護措施、資訊泄露責任劃分等內容。

第十四條 郵政企業、快遞企業委託第三方錄入寄遞用戶資訊的，應當確認其具有資訊安全保障能力，並訂立資訊安全保障條款，明確責任劃分。第三方發生資訊安全事故導致寄遞用戶資訊泄露、丟失的，郵政企業、快遞企業應當依法承擔相應責任。

第十五條 未經法律明確授權或者用戶書面同意，郵政企業、快遞企業及其從業人員不得將其掌握的寄遞用戶資訊提供給任何單位或者個人。

第十六條 公安機關、國家安全機關或者檢察機關的工作人員依照法律規定程序調閱、檢查寄遞詳情單實物及電子資訊檔案，郵政企業、快遞企業應當配合，並對有關情況予以保密。

第十七條 郵政企業、快遞企業應當建立寄遞用戶資訊安全應急處置機制。對於突發的寄遞用戶資訊安全事故，應當立即採取補救措施，按照規定報告郵政管理部門，並配合郵政管理部門和相關部門的調查處理工作，不得遲報、漏報、謊報、瞞報。

第三章 寄遞詳情單實物資訊安全管理

第十八條 郵政企業、快遞企業應當加強寄遞詳情單管理，對空白寄遞詳情單發放情況進行登記，對號段進行全程跟蹤，形成跟蹤記錄。

第十九條 郵政企業、快遞企業應當加強營業場所、處理場所管理，嚴禁無關人員進出郵件（快件）處理、存放場地，嚴禁無關人員接觸、翻閱郵件（快件），防止寄遞詳情單實物資訊（以下簡稱實物資訊）在處理過程中泄露。

第二十條 郵政企業、快遞企業應當優化寄遞處理流程，減少接觸實物資訊的處理環節和操作人員。

第二十一條 郵政企業、快遞企業應當採用有效技術手段，防止實物資訊在寄遞過程中泄露。

第二十二條 郵政企業、快遞企業應當配備符合國家標準的安全監控設備，安排具有專門技術和技能的人員，對收寄、分揀、運輸、投遞等環節的實物資訊處理進行安全監控。

第二十三條 郵政企業、快遞企業應當建立健全寄遞詳情單實物檔案管理制度，實行集中封閉管理，確定集中存放地，及時回收寄遞詳情單妥善保管。設立、變更集中存放地，應當及時報告所在地郵政管理部門。

第二十四條 郵政企業、快遞企業應當對寄遞詳情單實物檔案集中存放地設專人管理，採取必要的安全防護措施，確儲存儲安全。

第二十五條 郵政企業、快遞企業應當建立並嚴格執行寄遞詳情單實物檔案查詢管理制度。內部人員因工作需要查閱檔案時，應當確保檔案完整無損，並做好查閱登記，不得私自攜帶離開存放地。

第二十六條 寄遞詳情單實物檔案應當按照國家相關標準規定的期限儲存。儲存期滿後，由企業進行集中銷燬，做好銷燬記錄，嚴禁丟棄或者販賣。

第二十七條 郵政企業、快遞企業應當對實物資訊安全保障情況進行定期自查，記錄自查情況，及時消除自查中發現的資訊安全隱患。

第四章 寄遞詳情單電子資訊安全管理

第二十八條 郵政企業、快遞企業應當按照國家規定，加強寄遞服務用戶資訊相關資訊系統和網絡設施的安全管理。

第二十九條 郵政企業、快遞企業資訊系統的網絡架構應當符合國家資訊安全管理規定，合理劃分安全區域，實現各安全區域之間有效隔離，並具有防範、監控和阻斷來自內部和外部網絡攻擊破壞的能力。

第三十條 郵政企業、快遞企業應當配備必要的防病毒軟件、硬件，確保資訊系統和網絡具有防範計算機病毒的能力，防止惡意代碼破壞資訊系統和網絡，避免資訊泄露或者被篡改。

第三十一條 郵政企業、快遞企業構建資訊系統和網絡，應當避免使用資訊系統和網絡供應商提供的默認密碼、安全參數，並對透過開放公共網絡傳輸的寄遞用戶資訊採取加密措施，嚴格審查並監控對資訊系統、網絡設備的遠程訪問。

第三十二條 郵政企業、快遞企業在採購計算機軟件、硬件產品或者技術服務時，應當與供應商簽訂保密協議，明確其安全責任，以及在發生資訊安全事件時配合郵政管理部門和相關部門調查的義務。

第三十三條 郵政企業、快遞企業應當建立資訊系統安全內部審計制度，定期開展內部審計，對發現的問題及時整改。

第三十四條 郵政企業、快遞企業應當加強資訊系統及網絡的權限管理，基於權限最小化和權限分離原則，向從業人員分配滿足工作需要的最小操作權限和可訪問的最小資訊範圍。

郵政企業、快遞企業應當加強對資訊系統和數據庫的管理，使網絡管理人員僅具有進行資訊系統、數據庫、網絡執行維護和優化的權限。網絡管理人員的維護操作須經安全管理員授權，並受到安全審計員的監控和審計。

第三十五條 郵政企業、快遞企業應當加強資訊系統密碼管理，使用高安全級別密碼策略，定期更換密碼，禁止將密碼透露給無關人員。

第三十六條 郵政企業、快遞企業應當加強寄遞用戶電子資訊的存儲安全管理，包括：

（一）使用獨立物理區域存儲寄遞用戶資訊，禁止非授權人員進出該區域；

（二）採用加密方式存儲寄遞用戶資訊；

（三）確保安全使用、保管和處置存有寄遞用戶資訊的計算機、移動設備和移動存儲介質。明確管理數據存儲設備、介質的負責人，建立設備、介質使用和借用登記制度，限制設備輸出接口的使用。存儲設備和介質報廢的，應當及時刪除其中的寄遞用戶資訊數據，並銷燬硬件。

第三十七條 郵政企業、快遞企業應當加強寄遞用戶資訊的應用安全管理，對所有批量匯出、複製、銷燬用戶個人資訊的操作進行審查，並採取防泄密措施，同時記錄進行操作的人員、時間、地點和事項，留作資訊安全審計依據。

第三十八條 郵政企業、快遞企業應當加強對離崗人員的資訊安全審計，及時刪除或者禁用離崗人員系統帳戶。

第三十九條 郵政企業、快遞企業應當制定本企業與市場相關主體的資訊系統安全互聯技術規則，對存儲寄遞服務資訊的資訊系統實行接入審查，定期進行安全風險評估。

第五章 監督管理

第四十條 郵政管理部門依法履行下列職責：

（一）制定保障寄遞用戶資訊安全的政策、制度和相關標準，並監督實施；

（二）監督、指導郵政企業、快遞企業落實資訊安全責任制，督促企業加強寄遞用戶資訊安全管理；

（三）對寄遞用戶資訊安全進行監測、預警和應急管理；

（四）監督、指導郵政企業、快遞企業開展寄遞用戶資訊安全宣傳教育和培訓；

（五）依法對郵政企業、快遞企業實施寄遞用戶資訊安全監督檢查；

（六）組織調查或者參與調查寄遞用戶資訊安全事故，依法查處違反寄遞用戶資訊安全管理規定的行爲；

（七）法律、行政法規和規章規定的其他職責。

第四十一條 郵政管理部門應當加強郵政行業寄遞用戶資訊安全管理制度和知識的宣傳，強化郵政企業、快遞企業及其從業人員的資訊安全管理意識，提高用戶對個人資訊安全保護的認識。

第四十二條 郵政管理部門應當加強郵政行業寄遞用戶資訊安全執行的監測預警，建立資訊管理體系，收集、分析與資訊安全有關的各類資訊。

下級郵政管理部門應當及時向上一級郵政管理部門報告郵政行業寄遞用戶資訊安全情況，並根據需要通報工業和資訊化、通信管理、公安、國家安全、商務和工商行政管理等相關部門。

第四十三條 郵政管理部門應當對郵政企業、快遞企業建立和執行寄遞用戶資訊安全管理制度，規範從業人員資訊安全保護行爲，防範資訊安全風險等情況進行檢查。

第四十四條 郵政管理部門發現郵政企業、快遞企業存在違反寄遞用戶資訊安全管理規定，妨害或者可能妨害寄遞用戶資訊安全的，應當依法進行調查處理。違法行爲涉及其他部門管理職權的，郵政管理部門應當會同有關部門對涉案郵政企業、快遞企業進行調查處理。

第四十五條 郵政管理部門應當加強對郵政企業、快遞企業及其從業人員遵守本規定情況的監督檢查。

第四十六條 郵政企業、快遞企業拒不配合寄遞用戶資訊安全監督檢查的，依照《中華人民共和國郵政法》第七十七條的規定予以處罰。

第四十七條 郵政企業、快遞企業及其從業人員因泄露寄遞用戶資訊對用戶造成損失的，應當依法予以賠償。

第四十八條 郵政企業、快遞企業及其從業人員違法提供寄遞用戶資訊，尚未構成犯罪的，依照《中華人民共和國郵政法》第七十六條的規定予以處罰。構成犯罪的，移送司法機關追究刑事責任。

第四十九條 任何單位和個人有權向郵政管理部門舉報違反本規定的行爲。郵政管理部門接到舉報後，應當依法及時處理。

第五十條 郵政管理部門可以在行業內通報郵政企業、快遞企業違反寄遞用戶資訊安全管理規定行爲、資訊安全事件，以及對有關責任人員進行處理的情況。必要時可以向社會公佈上述資訊，但涉及國家祕密、商業祕密和個人隱私的除外。

第五十一條 郵政管理部門及其工作人員對在履行職責過程中知悉的寄遞用戶資訊應當保密，不得泄露、篡改或者損毀，不得出售或者非法向他人提供。

第五十二條 郵政管理部門工作人員在寄遞用戶資訊安全監督管理工作中濫用、玩忽職守，依照《郵政行業安全監督管理辦法》第五十五條的規定予以處理。

第六章 附 則

第五十三條 本規定自發布之日起施行。