信息资产安全管理规定.pdfVIP

XXX

信息资产安全管理规定

第一章总则

第一条为规范科技发展部信息资产的分类分级管理，维护信息资

产清单、明确信息资产管理责任以及对信息资产进行标识，确保信

息资产得到适当的保护，特制定本规定。

第二条本规定适用于科技发展部职责范围内的所有信息资产以及

信息资产管理的相关活动。

第二章组织与职责

第三条科技发展部风险管理组负责组织各部门对信息资产进行识

别、分类、分级、标识和定期评审，建立并维护科技发展部整体信

息资产清单，监督各部门在信息资产安全管理方面的工作。

第四条各部门安全组负责监督和检查本部门在信息资产安全管理

方面的工作。

第五条各部门负责对职责范围内的信息资产进行识别，建立并维

护本部门的信息资产清单，对信息资产进行分类、分级和标识；部

门负责人作为本部门信息资产的第一责任人，负责对本部门信息资

产的管理提出要求，落实部门内员工对资产的管理要求，每年对照

信息资产清单组织一次对本部门信息资产的核查以及对本部门信息

XXX

XXX

资产管理活动的自查。

第六条部门负责人作为本部门信息资产的第一责任人，负责落实

本部门内信息资产的直接责任人，信息资产的直接责任人负责对信

息资产的生成、传递、使用和销毁进行管理。

第七条全体员工作为各类信息资产的日常使用者，必须遵守本规

定的要求，保护工作中所涉及的一切信息资产。

第三章信息资产分类标准

第八条信息资产按其形式的不同分为五大类：数据资产、实物资

产、软件资产、人员资产和服务资产（资产分类见附件二）。

（一）数据资产：包括电子和实物两种形式的生产数据、配置文件、

记录、管理文件和商务文件以及外来数据和文档等；

（二）实物资产：包括用于支撑IT服务的核心生产设备以及具有辅

助功能的基础环境设施和办公设备等；

（三）软件资产：包括生产和办公所需的操作系统、数据库、中间件、

应用软件和工具软件等；

（四）人员资产：承担特定岗位相关责任的人员；

（五）服务资产：包括支撑生产和办公的基础性服务、网络服务、设

备维保服务、技术支持服务等。

第四章信息资产分级标准

XXX

XXX

第九条根据信息资产在保密性、完整性和可用性（CIA属性）三

个方面所表现出的重要程度，将信息资产的CIA属性分别划分为5

个级别，从高到低依次赋值为5到1；信息资产价值由信息资产的

CIA属性综合计算得到（计算公式详见附件三）。

第十条保密性。人员资产的保密性级别按照人员最高能够访问或

存取的其他信息资产级别来定义；其他信息资产的保密性级别按照

其泄露后对科技发展部的影响程度来定义（保密性分级标准详见附件

四）。

第十一条完整性。人员资产的完整性级别按照人员未正确执行其职

务内容时对科技发展部正常运作的影响程度来定义；其他信息资产

的完整性级别按照信息资产未经授权的修改对科技发展部造成的影

响程度来定义（完整性分级标准详见附件五）。

第十二条可用性。人员资产的可用性级别按照要维持科技发展部正

常运作能够容忍该人员突然缺席的时间长短来定义；其他信息资产

可用性级别按照合法使用者对其可用度的要求高低来定义（可用性分

级标准详见附件六）。

第五章信息资产的保护

第十三条各部门应对信息资产进行规范的命名。

第十四条各部门应对信息资产进行分类、分级、标识和记录，形成

信息资产清单；清单应包括信息资产的类型、名称、位置、CIA属

XXX