★★
（1）網(wǎng)絡(luò)終端安全：防病毒（網(wǎng)絡(luò)病毒、郵件病毒）、非法入侵、共享資源控制；
（2）內(nèi)部局域網(wǎng)（LAN）安全：內(nèi)部訪問控制（包括接入控制）、網(wǎng)絡(luò)阻塞（網(wǎng)絡(luò)風(fēng)暴）、病毒檢測；
（3）外網(wǎng)（Internet）安全：非法入侵、病毒檢測、流量控制、外網(wǎng)訪問控制。
（1）硬件系統(tǒng)級安全：門禁控制、機(jī)房設(shè)備監(jiān)控（視頻）、防火監(jiān)控、電源監(jiān)控（后備電源）、設(shè)備運(yùn)行監(jiān)控；
（2）操作系統(tǒng)級安全：系統(tǒng)登錄安全、系統(tǒng)資源安全、存儲安全、服務(wù)安全等；
（3）應(yīng)用系統(tǒng)級安全：登錄控制、操作權(quán)限控制。
（1）本地數(shù)據(jù)安全：本地文件安全、本地程序安全；
（2）服務(wù)器數(shù)據(jù)安全：數(shù)據(jù)庫安全、服務(wù)器文件安全、服務(wù)器應(yīng)用系統(tǒng)、服務(wù)程序安全。詳情
第一條、為加強(qiáng)公司信息安全管理，推進(jìn)信息安全體系建設(shè)，保障信息系統(tǒng)安全穩(wěn)定運(yùn)行，根據(jù)國家有關(guān)法律、法規(guī)和《公司信息化工作管理規(guī)定》，制定本辦法。
第二條、本辦法所指的信息安全管理，是指計算機(jī)網(wǎng)絡(luò)及信息系統(tǒng)（以下簡稱信息系統(tǒng)）的硬件、軟件、數(shù)據(jù)及環(huán)境受到有效保護(hù)，信息系統(tǒng)的連續(xù)、穩(wěn)定、安全運(yùn)行得到可靠保障。
第三條、公司信息安全管理堅持“誰主管誰負(fù)責(zé)、誰運(yùn)行誰負(fù)責(zé)”的基本原則，各信息系統(tǒng)的主管部門、運(yùn)營和使用單位各自履行相關(guān)的信息系統(tǒng)安全建設(shè)和管理的義務(wù)與責(zé)任。第四條信息安全管理，包括管理組織與職責(zé)、信息安全目標(biāo)與工作原則、信息安全工作基本要求、信息安全監(jiān)控、信息安全風(fēng)險評估、信息安全培訓(xùn)、信息安全檢查與考核。
第四條、公司信息化工作領(lǐng)導(dǎo)小組是信息安全工作的最高決策機(jī)構(gòu)，負(fù)責(zé)信息安全政策、制度和體系建設(shè)規(guī)劃的審批，部署并協(xié)調(diào)信息安全體系建設(shè)，領(lǐng)導(dǎo)信息系統(tǒng)等級保護(hù)工作。
第五條、公司建立和健全由總部、企事業(yè)單位以及信息技術(shù)支持單位三方面組成，協(xié)調(diào)一致、密切配合的信息安全組織和責(zé)任體系。各級信息安全組織均要明確主管領(lǐng)導(dǎo)，確定相關(guān)責(zé)任，設(shè)置相應(yīng)崗位，配備必要人員。
第六條、信息管理部是公司信息安全的歸口管理部門，負(fù)責(zé)落實信息化工作領(lǐng)導(dǎo)小組的決策，實施公司信息安全建設(shè)與管理，確保重要信息系統(tǒng)的有效保護(hù)和安全運(yùn)行。具體職責(zé)包括：組織制定和實施公司信息安全政策標(biāo)準(zhǔn)、管理制度和體系建設(shè)規(guī)劃，組織實施信息安全項目和培訓(xùn)，組織信息安全工作的監(jiān)督和檢查。
第七條、公司保密部門負(fù)責(zé)信息安全工作中有關(guān)保密工作的監(jiān)督、檢查和指導(dǎo)。
第八條、企事業(yè)單位信息部門負(fù)責(zé)本單位信息安全的管理，具體職責(zé)包括：在本單位宣傳和貫徹執(zhí)行信息安全政策與標(biāo)準(zhǔn)，確保本單位信息系統(tǒng)的安全運(yùn)行，實施本單位信息安全項目和培訓(xùn)，追蹤和查處本單位信息安全違規(guī)行為，組織本單位信息安全工作檢查，完成公司部署的信息安全工作。
第九條、技術(shù)支持單位在信息管理部的領(lǐng)導(dǎo)下，承擔(dān)所負(fù)責(zé)的信息系統(tǒng)和所在區(qū)域的信息安全管理任務(wù)，主要包括：在所維護(hù)系統(tǒng)和本區(qū)域內(nèi)宣傳和貫徹信息安全政策與標(biāo)準(zhǔn)，確保所負(fù)責(zé)信息系統(tǒng)的安全運(yùn)行。
第十條、各級信息管理部門設(shè)立信息安全管理和技術(shù)崗位，包括信息安全、應(yīng)用系統(tǒng)、數(shù)據(jù)庫、操作系統(tǒng)、網(wǎng)絡(luò)負(fù)責(zé)人和管理員，重要崗位可設(shè)置兩個員工互為備份。詳情
1、信息泄露：信息被泄露或透露給某個非授權(quán)的實體；
2、破壞信息的完整性：數(shù)據(jù)被非授權(quán)地進(jìn)行增刪、修改或破壞而受到損失；
3、非法使用(非授權(quán)訪問)：某一資源被某個非授權(quán)的人，或以非授權(quán) 的方式使用；
4、計算機(jī)病毒：一種在計算機(jī)系統(tǒng)運(yùn)行過程中能夠?qū)崿F(xiàn)傳染和侵害功能的程序。
1、安裝防火墻：防火墻在某種意義上可以說是一種訪問控制產(chǎn)品。它在內(nèi)部網(wǎng)絡(luò)與不安全的外部網(wǎng)絡(luò)之間設(shè)置障礙，阻止外界對內(nèi)部資源的非法訪問，防止內(nèi)部對外部的不安全訪問。主要技術(shù)有：包過濾技術(shù)，應(yīng)用網(wǎng)關(guān)技術(shù)，代理服務(wù)技術(shù)。防火墻能夠較為有效地防止黑客利用不安全的服務(wù)對內(nèi)部網(wǎng)絡(luò)的攻擊，并且能夠?qū)崿F(xiàn)數(shù)據(jù)流的監(jiān)控、過濾、記錄和報告功能，較好地隔斷內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的連接。但它其本身可能存在安全問題，也可能會是一個潛在的瓶頸。
2、網(wǎng)絡(luò)安全隔離：網(wǎng)絡(luò)隔離有兩種方式，一種是采用隔離卡來實現(xiàn)的，一種是采用網(wǎng)絡(luò)安全隔離網(wǎng)閘實現(xiàn)的。隔離卡主要用于對單臺機(jī)器的隔離，網(wǎng)閘主要用于對于整個網(wǎng)絡(luò)的隔離。這兩者的區(qū)別可參見參考資料。網(wǎng)絡(luò)安全隔離與防火墻的區(qū)別可參看參考資料。
3、安全路由器：由于WAN連接需要專用的路由器設(shè)備，因而可通過路由器來控制網(wǎng)絡(luò)傳輸。通常采用訪問控制列表技術(shù)來控制網(wǎng)絡(luò)信息流。
4、虛擬專用網(wǎng)(VPN)：虛擬專用網(wǎng)（VPN）是在公共數(shù)據(jù)網(wǎng)絡(luò)上，通過采用數(shù)據(jù)加密技術(shù)和訪問控制技術(shù)，實現(xiàn)兩個或多個可信內(nèi)部網(wǎng)之間的互聯(lián)。VPN的構(gòu)筑通常都要求采用具有加密功能的路由器或防火墻，以實現(xiàn)數(shù)據(jù)在公共信道上的可信傳遞。詳情
應(yīng)用最新安全補(bǔ)丁的重要性，網(wǎng)編認(rèn)為再怎么強(qiáng)調(diào)都不為過。攻擊者總在嘗試通過最方便的路線闖進(jìn)公司，這條康莊大道往往就是未打補(bǔ)丁的系統(tǒng)。至于雇員，確保部署持續(xù)的用戶培訓(xùn)項目，保證強(qiáng)口令策略得到實現(xiàn)，并要求多因子身份驗證。
防止網(wǎng)絡(luò)攻擊并擊退攻擊者的最佳機(jī)會，存在于有效安全控制措施在網(wǎng)絡(luò)、終端和云上能協(xié)同執(zhí)行，就像同一平臺的不同部分一樣。這意味著安全團(tuán)隊不用管理和編配單獨(dú)的策略、實現(xiàn)、可見性及威脅情報。每個元素都能利用其它元素的成果，比如說，終端上發(fā)現(xiàn)的威脅，網(wǎng)絡(luò)上和云端都能自動阻止，不用人工干預(yù)。
如果所有位置上都有一致的預(yù)防措施，攻擊者就無法在防護(hù)較弱的地方獲得初始立足點(diǎn)，無法據(jù)此邁向公司中其他地方。無論是遠(yuǎn)程用戶或系統(tǒng)，核心數(shù)據(jù)中心或邊界，云服務(wù)或基于SaaS的應(yīng)用，你都必須確保環(huán)境中沒有安全空白?？梢钥紤]將邊界延伸至遠(yuǎn)程用戶及網(wǎng)絡(luò)，就好像他們是在你的核心網(wǎng)絡(luò)上一樣。
分隔是必須，微分隔正在快速到來。沒誰，或者沒有什么東西，需要跟全部人/物溝通。無論是什么，無論在哪里，都不能對任何實體有默認(rèn)信任。通過建立區(qū)隔網(wǎng)絡(luò)不同部分的“零信任”界限，公司企業(yè)可以保護(hù)數(shù)據(jù)不受未授權(quán)App或用戶訪問，減少脆弱系統(tǒng)的暴露面，防止惡意軟件在整個網(wǎng)絡(luò)上巡游。詳情
技術(shù)信息
主要包括：技術(shù)設(shè)計、技術(shù)樣品、質(zhì)量控制、應(yīng)用試驗、工藝流程、工業(yè)配方、化學(xué)配方、制作工藝、制作方法、計算機(jī)程序等。作為技術(shù)信息的商業(yè)秘密，也被稱作技術(shù)秘密、專有技術(shù)、非專利技術(shù)等，在國際貿(mào)易中往往被稱為Know-How。
經(jīng)營信息
主要包括：發(fā)展規(guī)劃、競爭方案、管理訣竅、客戶名單、貨源、產(chǎn)銷策略、財務(wù)狀況、投融資計劃、標(biāo)書標(biāo)底、談判方案等。
商業(yè)秘密包括生產(chǎn)領(lǐng)域的秘密和商業(yè)領(lǐng)域的秘密。從商業(yè)企業(yè)角度來看，商業(yè)秘密范圍的理解似乎更廣一些，同時也更為具體明確些，主要涵括如下諸方面的內(nèi)容：
產(chǎn)品
它是指由公司自己開發(fā)的，并具有商業(yè)價值的產(chǎn)品，在未獲得專利之前，便可以稱得上是一項商業(yè)秘密。即便產(chǎn)品本身不是商業(yè)秘密，組成產(chǎn)品的成分及組成的方式等也可能成為商業(yè)秘密。
配方
工業(yè)配方是商業(yè)秘密中的一種常見形式。很多食品的配方及其化學(xué)合成，化妝品的確切成分及各種含量度的比例都是很有價值的商業(yè)秘密。如“可口可樂”飲料配方作為一項商業(yè)秘密聞名于世。詳情
1、企業(yè)對商業(yè)秘密的認(rèn)識不到位
部分企業(yè)對商業(yè)秘密的范圍、構(gòu)成要件認(rèn)知不夠。關(guān)于商業(yè)秘密的范圍及構(gòu)成要件在前幾期文章中有專門說明，這里就不再贅述了。
2、缺少對員工關(guān)于商業(yè)秘密的系統(tǒng)培訓(xùn)
當(dāng)前，大多數(shù)企業(yè)保護(hù)商業(yè)秘密的主要措施是在規(guī)章制度中要求員工應(yīng)當(dāng)保護(hù)公司商業(yè)秘密禁止外泄。但在爭議發(fā)生后，企業(yè)難以舉證說明員工已經(jīng)知悉企業(yè)的規(guī)章制度，導(dǎo)致權(quán)益難以得到救濟(jì)。另外，部分員工對商業(yè)秘密意識淡薄，對本企業(yè)的商業(yè)秘密及保護(hù)措施了解甚少、關(guān)注不夠，常常出現(xiàn)泄漏秘密而不知的情況。
3、跳槽人員帶走商業(yè)秘密
小編告訴你，企業(yè)員工跳槽是企業(yè)商業(yè)秘密被侵犯最常見的誘因之一。更有甚者在跳槽之后，利用原單位的商業(yè)秘密為聘用單位提供服務(wù)，與原單位成為競爭對手，造成原單位的經(jīng)濟(jì)損失。
4、事后救濟(jì)難以實現(xiàn)
企業(yè)在經(jīng)營管理中想要杜絕商業(yè)秘密泄露的難度很大，一旦商業(yè)秘密被侵害，主要依靠兩種救濟(jì)方式：行政救濟(jì)和司法救濟(jì)，但是總的來看企業(yè)想要得到救濟(jì)必須要投入大量的財力、人力，同時還要考慮追究侵權(quán)人的法律責(zé)任以及賠償能力，因此很難真正得到圓滿的救濟(jì)。上述種種情況給企業(yè)管理者以警示：商業(yè)秘密保護(hù)的重要性，不但要求我們需要提高商業(yè)秘密的保護(hù)意識，而且要將商業(yè)秘密作為重要的知識產(chǎn)權(quán)、無形資產(chǎn)來保護(hù)。
1、加強(qiáng)企業(yè)對商業(yè)秘密的保護(hù)意識
企業(yè)高層領(lǐng)導(dǎo)及HR首先要意識到保護(hù)商業(yè)秘密的必要性，視其為企業(yè)的“殺手锏”，認(rèn)真剖析國內(nèi)外企業(yè)管理商業(yè)秘密的成功經(jīng)驗和被竊取秘密造成巨大經(jīng)濟(jì)損失的案例，總結(jié)經(jīng)驗教訓(xùn)，形成符合自身特點(diǎn)的保護(hù)管理模式；其次重視對員工的保密教育，組織保守企業(yè)商業(yè)秘密的專項學(xué)習(xí)培訓(xùn)，反復(fù)強(qiáng)調(diào)、宣傳保密的重要性，同時向員工發(fā)放適宜公開的《保密手冊》，減少人員流動所帶來的泄密風(fēng)險。
2、建立企業(yè)商業(yè)秘密保護(hù)機(jī)構(gòu)
企業(yè)商業(yè)秘密的認(rèn)定與保護(hù)工作本身有著較高的法律性和技術(shù)性的特點(diǎn)，需要有專門的機(jī)構(gòu)和人員開展這項工作，故，有條件的企業(yè)可以設(shè)立商業(yè)秘密保護(hù)機(jī)構(gòu)，配備專業(yè)的保密人員。
3、建立嚴(yán)格的保密規(guī)章和管理制度
企業(yè)應(yīng)根據(jù)自身的實際情況建立嚴(yán)格的保密規(guī)章制度，并且做好公示，確保員工能明確知曉保密信息的存在，以及違反保密制度的所承擔(dān)的法律責(zé)任。同時，盡量縮小人員的涉密范圍，引入相互牽制制度，對部分重大核心秘密進(jìn)行分解，使每一涉密員工只能接觸到秘密的一部分。不但如此，還可以做一些物理性防范措施，例如將載有商業(yè)秘密的文件和檔案加蓋保密章，施行專人、專庫、專柜制度，規(guī)范涉密文件的借閱手續(xù)。對涉密的生產(chǎn)設(shè)備和生產(chǎn)過程安排在特定區(qū)域內(nèi)進(jìn)行，對設(shè)備的保密部分用箱體封閉，同時標(biāo)注“保密”標(biāo)識。詳情
你是否知道你掌握的重要數(shù)據(jù)呢？經(jīng)過調(diào)查得知，70%的新老員工都不知道自己企業(yè)存有哪些數(shù)據(jù)，或是自己平時工作流轉(zhuǎn)操作了哪些企業(yè)的數(shù)據(jù)。告訴員工企業(yè)最為重要的業(yè)務(wù)和事項都有哪些，數(shù)據(jù)很重要，仔細(xì)排查數(shù)據(jù)機(jī)密等級更重要，進(jìn)而可對數(shù)據(jù)進(jìn)行等級標(biāo)注然后再實施防護(hù)措施。
應(yīng)當(dāng)怎樣對待信息資產(chǎn)呢？企業(yè)需要讓員工與管理層的觀念保持一致，因為大多數(shù)員工與他們的企業(yè)在觀點(diǎn)上會存在差異。例如一項在倫敦進(jìn)行的研究，其中44%的受訪者會有隨身攜帶客戶或知識產(chǎn)權(quán)數(shù)據(jù)的習(xí)慣，即使他們不在工作當(dāng)中。企業(yè)應(yīng)當(dāng)提醒員工，若發(fā)現(xiàn)企業(yè)的敏感數(shù)據(jù)出現(xiàn)在你工作的新公司，你們將被就追究法律責(zé)任。
企業(yè)對員工進(jìn)行上網(wǎng)行為監(jiān)控是一項有效的防范舉措，但是在上網(wǎng)辦公監(jiān)管產(chǎn)品應(yīng)用于企業(yè)之前總會收到員工的排斥。事實上，企業(yè)要適時引導(dǎo)，提醒員工如何做是最妥善的辦法，加強(qiáng)安全意識，對于因某些活動而被記錄的員工，要頻繁且委婉地進(jìn)行警醒，這也是一個防止事故發(fā)生的很好的方式。要讓員工意識到上網(wǎng)辦公監(jiān)管不是針對某個人的舉措，是基于大多數(shù)人利益的考慮，覆巢無完卵的道理大家都懂的！詳情
