外部人员访问信息安全管理规定.docVIP

PAGE 4 XXXX 外部人员访问安全管理规定 (试行) 总则 为有效防范外部人员访问带来的安全风险，加强和规范外来人员的安全管理，保证资源的安全，制定本规定。 本规定适用于XXXX。 定义 本规定所述的外部人员包括软件开发商、产品供应商、系统集成商、设备维护商、服务提供商以及外单位借调人员和挂职人员等外来人员，外部人员分为临时外部人员和非临时外部人员。 临时外部人员指因业务洽谈、技术交流、提供短期和不频繁的技术支持服务而临时来访的外部人员。 非临时外部人员指因从事合作开发、参与项目工程、提供技术支持、顾问服务及外单位借调人员和挂职人员等外来人员，是必须在XXXX长期办公的外部人员。 外部人员访问安全管理 外部人员的访问方式包括现场访问和远程网络访问。 接待人是指XXXX受访部门派出的，负责接待外部人员的接口人。 临时外部人员访问重要资源所在物理区域（如机房、重要服务器或设备等），需获准后方可进入。 接待人必须全程陪同临时外部人员，告知有关安全管理规定，不应透露与外部工作无关的事项，不得任其自行走动和未经允许使用XXXX的计算机设备。 非临时外部人员，由接待部门提出申请。 原则上禁止外部人员携带的电脑接入XXXX网络，如因工作需要（如软件开发测试）接入网络，必须向XXXX申请，并使用XXXX的设备或经过XXXX检查认可的设备。 第三方人员如有需要访问时，需要依照如下几个阶段进行： 访问申请阶段，接待人根据第三方人员实际需要提出某时间段内访问网络、主机等相关的申请； 审批申请阶段，接待人所属部门管理者审批申请。审批后备案； 注销访问阶段，第三方人员访问结束，接待人终止访问申请，并备案； 原则上不允许外部人员进行远程网络访问。如确因维护需要远程访问，必须上报审批后方可进行。 外部人员开发测试环境只能连接开发网，且必需采用防火墙进行有效隔离，严禁接入生产网。确需在线测试的项目，应上报分管领导批准，采取必要的防护措施，选择适当的时间进行。 外部人员对服务器的所有操作，都必需说明该操作可能引起的安全风险，并由接待人确认后才能操作。接待人必须对外部人员的操作进行全程监控。 必须定期评估外部人员带来的安全风险，至少每年评估一次。必须防范外部人员带来的以下安全风险： 外部人员的物理访问带来的设备、资料盗窃； 外部人员的误操作导致各种软硬件故障； 外部人员的资料、外传导致泄密； 外部人员对计算机系统的滥用和越权访问； 外部人员给计算机系统、软件留下后门； 外部人员对计算机系统的恶意攻击。 第三方安全要求 非临时外部人员必须签署安全必威体育官网网址协议后才能进场工作。禁止外部人员试图了解和查阅与工作无关的资料以及访问与工作无关的系统，外部人员如因业务需要查阅XXXX的资料或访问系统，必须获得相关负责人批准，并确认已与XXXX签署有效的必威体育官网网址协议。 未经批准，禁止外部人员在XXXX计算机上使用移动存储介质。 附则 本规定的解释权归XXXX。 本规定自发布之日起生效。