1.資訊與資料安全整體策略

Skip to end of metadata

Go to start of metadata

資訊總體安全策略

• 關於敏感資料失效後處理原則與操作方法

• 關於資料安全管理員與資料安全策略執行規章制度

• 關於限制訪問客戶敏感資料與資訊資料的制度。

• 關於可訪問敏感資料賬號或人員的定期review制度

• 關於生產系統與敏感資料系統的訪問控制制度

• 關於資料儲存介質USB, CDR, DVDR, floppy, backup tape等的重用與銷燬制度

• 關於業務持續化與容災相關的制度

2.資訊保安事故管理制度

Skip to end of metadat

Go to start of metadata

1. 安全事故響應制度（資料故障事故過程中，必須包含告知客戶情況與進度的工作環節

2. 定義安全響應小組的工作職責

3.關於資料銷燬的制度

Skip to end of metadata

Go to start of metadata

1. 關於到期客戶資料處理的制度

2. 關於資料銷燬的執行方法

3. 關於包含資料的儲存介質如何處置、處理、清理、銷燬、重用的規定

4. 關於儲存裝置下線、返修、退訂等情況下的處理流程

5. 關於儲存下線前處理儲存介質中遺留敏感資料以及授權等資訊的處理

4.賬號管理制度

Skip to end of metadata

Go to start of metadata

1. 原則上至少每年審計一次賬號訪問控制列表，包括各種應用與網路裝置等

2. 關於賬號許可權管理的分級制度
   

   1. 申請許可權制度

   2. 被許可的許可權

   3. 被授權的許可權

3. 如何操作關於賬號許可權控制列表的定期審計和檢查

賬號授予與回收，普通賬號需要在授予的過程中同時完成賬號有效期的設定，禁止授予長效賬號

5.產品開發與上線流程制度

Skip to end of metadata

Go to start of metadata

1. 目前上線OA的具體描述

6.關於敏感資料不進入測試或演示系統的制度

Skip to end of metadata

Go to start of metadata

1. 資料生成與處理流程規範化

7.關於開發、測試與生產環境的區隔規定

Skip to end of metadata

Go to start of metadata

1. 保證系統的獨立性，控制資料的隔離

8.關於網路裝置與網路環境安全標準

Skip to end of metadata

Go to start of metadata

1. 關於無線網路使用的安全規範

2. Are all router, switches, wireless access points, and firewall configurations secured and conform to documented security standards

3. 6.1. If wireless technology is used, is access to the network limited to authorized devices?

   定期安排關於網路訪問行為與流量的安全檢查規範

9.關於資料中心等訪問的安全規範要求

Skip to end of metadata

Go to start of metadata

1. 日誌跟蹤

2. 定期的訪問日誌review，與review

3. 訪問控制的管理

10.新人入職中關於資料安全相關的培訓

11.關於入侵檢測、漏洞檢測以及相關的安全規定

Skip to end of metadata

Go to start of metadata

1. 內部引入入侵檢測與漏洞檢測的機制，定期形成檢測報告

2. 引入第三方權威檢測機制，定期形成檢測報告並改進

3. 資料安全小組需要定期更新管理關於安全規範的文件，包括常用的軟體需要使用的版本，必須更新的補丁、以及針對在安全檢測中發現的安全漏洞的程式碼編寫規範，並督促在自動的codereview系統中實現自動檢查

12.關於程式碼與敏感資訊的管理規定

Skip to end of metadata

• 
  

• Created and last modified by 興峰 羅 on Mar 08, 2017

Go to start of metadata

原則：

公司銷售的是營銷軟體服務，團隊生產的程式碼正是這些軟體的核心（哪怕再簡單的一行程式碼，也蘊含著同事的努力）。為了保護團隊的工作成果，這裡明確關於程式碼管理原則與敏感資訊管理原則。

關於程式碼的管理規定：

數雲產品的業務程式碼屬於數雲的核心價值，在未備案的情況下，上傳到可公開檢索的平臺（GitHub/oschina，以及各類空間、微博等平臺），屬於洩密行為。

關於敏感資訊的管理規定:

和公司相關的所有敏感資訊，上傳或者外放到公共網際網路平臺（GitHub/oschina，以及各類空間、微博等平臺），屬於洩密行為。

敏感資訊包括：

• 各類使用者名稱、密碼

• 各類主機私網ip

• 各類Token

• Appkey、Appsecret

• 其他類似關鍵敏感資訊

後期安全的管理工作：

公司會定期檢索GITHub OsChina等程式碼管理平臺，同時公司會根據檢索到的程式碼與安全敏感資訊，進行相關改進和處罰。