テロ対策工場検査コンピュータ情報システムセキュリティ管理システム

テロ対策工場検査コンピュータ情報システムセキュリティ管理システム

一般的な

第1条会社のネットワーク管理を強化し、職務責任を明確にし、操作手順を標準化し、ネットワークの正常な動作を維持し、コンピュータ情報システムのセキュリティを確保するために、「中華人民共和国コンピュータ情報システムのセキュリティ保護に関する条例」の関連規定に従って、会社の実際の状況に合わせて特別にこのシステムを策定します。

第2条コンピュータ情報システムとは、コンピュータ及びその関連・支援設備（ネットワークを含む）から構成され、一定の応用目的及び規則に従って情報を収集、処理、保存、伝送、検索等の処理をする人間・コンピュータシステムをいう。

第３条情報センターは、社内のコンピュータ情報システムのセキュリティ管理に責任を持つ。

第1章ネットワーク管理

第 4 条: 会社の規則と規制を遵守し、セキュリティと機密保持システムを厳格に実施し、インターネットを使用して会社のセキュリティを危険にさらしたり、会社の秘密を漏らしたりする活動に従事せず、反動的でわいせつな情報を作成、閲覧、コピー、または配布せず、インターネット上で会社に関連する違法で虚偽の情報を公開せず、インターネット上で会社のプライバシーを一切漏らさない。インターネットを通じたハッキング行為や類似の破壊行為は固く禁止されており、コンピュータウイルスの侵入に対する厳格な管理と予防を実施する必要があります。

第5条セキュリティ設定が行われておらず、ファイアウォールやウイルス対策ソフトが搭載されていない業務用コンピュータは、ネットワークにアクセスできません。すべてのコンピュータ端末ユーザーは、コンピュータシステム、ウイルス対策ソフトウェアなどを定期的にアップグレードおよび更新し、定期的にウイルスチェックを実施する必要があります。テストされていない未知のソフトウェアをダウンロードして使用したり、不明なソースからの電子メールを開いたり、感染したUSBフラッシュドライブやその他のメディアを勝手に使用したりしないでください。

第 6 条では、権限のないユーザーが会社のコンピューターネットワークにアクセスしたり、ネットワーク上のリソースにアクセスしたりすることを禁止し、権限のないユーザーが BT、eMule などの大量の帯域幅を占有するダウンロードツールを使用することを禁止しています。

第7条従業員は、コンピュータウイルスやその他の有害なデータを作成したり、故意に入力したり、拡散したり、違法な手段を使用してコンピュータ情報システム内のデータをコピー、傍受、改ざんしたりしてはならない。

第8条会社の従業員は、スキャン、監視、偽装などのツールを使用してネットワークやサーバーを悪意を持って攻撃したり、他人のネットワークやサーバーシステムに不法に侵入したり、コンピューターやネットワークを使用して他人の正常な作業を妨害したりすることを禁止します。

第9条各コンピュータ端末利用者は、自身のユーザーアカウントとパスワードを安全に保管しなければならない。アカウント番号やパスワードを他人に勝手に開示したり貸与したりすることは固く禁じられています。また、本人確認なしでシステムにログインすることも固く禁じられています。コンピューターのユーザーは、パスワードを定期的に変更し、複雑なパスワードを使用する必要があります。

第10条 IPアドレスはコンピュータネットワークの重要な資源であり、コンピュータ端末利用者は情報センターの計画に従ってこれらの資源を使用し、許可なく変更してはならない。また、一部のシステムサービスはネットワークに影響を与えます。コンピュータ端末のユーザーは、情報センターの指導に従って使用する必要があります。コンピュータネットワークの円滑な運用を確保するため、コンピュータ内のシステムサービスを勝手に開くことは禁止されています。

第2章設備管理

第11条会社の従業員が業務上、どうしてもIT機器や付属品を購入する必要がある場合は、情報センターに申請することができます。ニーズを満たす機器がある場合は割り当てることができます。割り当てられる機器がない場合、または業務ニーズを満たさない機器がある場合は、申請者は「情報機器申請書」に記入するものとします。業務上の必要性により、設備構成に特別な要件がある場合は、申請書にその旨を記載する必要があります。

第12条登録されたIT機器は情報センターで一元管理され、IT機器カードが掲示される。 IT 機器カードは、対応する機器の識別として機能します。各エンドユーザーは、ラベルがきちんと整っており、覆われたり、破られたり、塗りつぶされたりしていないことを確認する義務があります。

第13条 IT機器の安全管理は、「使用者が責任を負う」という原則に基づくものとする（公共機器の責任は部門に委ねられる）。子会社や協力会社が購入する機器は、原則としてその子会社や協力会社の責任となりますが、必要に応じて情報センターがサポートいたします。

第14条偽造品や粗悪品の使用は厳禁。許可なく外部電源スイッチやソケットを接続することは厳禁。許可なく各種設備やその他の補助設備を移動、設置、分解することは厳禁。許可なく他人に修理を依頼することは厳禁。許可なく部門内部のコンピュータ情報システムの配置を調整することは厳禁。

第15条機器のハードウェアやオペレーティングシステムの再インストールなどの問題は、インフォメーションセンターで処理されます。

第16条原則として、最初に購入したIT機器は、規定の耐用年数内は再購入しません。規定の耐用年数に達した後、情報センターは関係部門と協力して検討し、処理します。規定の耐用年数内に、コンピュータ端末使用者が業務上の都合により転勤または退職し、引き続きコンピュータを使用する必要がある場合は、情報センターに変更を申請する必要があります。コンピュータの使用を継続しない場合は、部門長が責任者を監督し、コンピュータと関連機器を適時に情報センターに返却し、情報センターが処分します。

第17条設備が故障して修理できない場合、または修理費用が高すぎる場合、廃棄条件を満たす場合、IT設備端末使用者は申請書を提出し、「IT設備廃棄申請書」に必要事項を記入し、関係部門の管理者が署名して情報センターに提出するものとする。情報センターが設備の耐用年数とメンテナンス状況を評価した後、廃棄された設備は関連部門に引き渡されて処理されます。廃棄された設備が販売できる場合は、回収された資金が会社の財務部門に引き渡され、会計処理されます。同時に、情報センターでは廃棄された機器を登録、保管、保管します。

第3章データ管理

第18条コンピュータ端末使用者のコンピュータ内のデータが企業秘密に関わる場合、コンピュータにパワーオンパスワードを設定するか、ファイルを暗号化する必要があります。企業秘密に関わるデータまたはファイルは、業務上必要な場合を除き、いかなる形式でも転送してはならず、他人に開示してはいけません。元の職場を離れる従業員については、部門管理者がすべての業務資料を収集し、保存する責任を負います。

第19条業務範囲内の重要なデータ（重要度は各部門の管理者が決定する）は、コンピュータ端末利用者により定期的に更新・バックアップされ、部門長に提出され、部門長がその保存責任を負う。各部門のマネージャーは、四半期の開始後 10 日以内に、前四半期の自分の部門の作業データを総務人事部に提出し、磁気メディアまたは CD に収集して一元的に保管するものとします。

第20条コンピュータ端末の利用者は、貴重なデータをシステムディスク（オペレーティングシステムが配置されているハードディスクのパーティション、通常はCドライブ）以外のディスクに保存しなければなりません。コンピュータ情報システムに障害が発生した場合は、速やかに情報センターに連絡し、データセキュリティを保護するための対策を講じる必要があります。

第21条：重要なデータは複製を作成し、別の場所に保管する必要があります。磁気メディアまたはCDに保存されたデータは、磁気メディアの損傷によるデータ損失を防ぐために定期的にチェックおよびコピーする必要があります。耐磁性、耐火性、防湿性、防塵性の対策を講じる必要があります。

第4章運用管理

第22条業務に関連するすべての専門ソフトウェアは、ユーザーの責任となります。業務に関係のない用途でコンピュータを使用すること、保守担当者以外の外部担当者が各種機器を操作すること、情報センター担当者以外が勝手に機器の構成を変更することを固く禁じます。

第 23 条情報センターは、定期的または不定期に従業員のコンピュータアプリケーションスキルに関する重点的なトレーニングを提供し、トレーニングの結果は従業員の業績評価に含められます。情報センターは、一般的なコンピュータ情報システムの障害とトラブルシューティング方法を収集し、会社の従業員が学習して参照できるように本にまとめます。

第24条コンピュータ端末の利用者は、仕事中にコンピュータ情報システムの問題に遭遇した場合、まず自分で対処する方法を学ぶか、マニュアルを参照する必要があります。マニュアルに記載されていない問題やトレーニングで説明されていない問題に遭遇した場合は、情報センター、ソフトウェア開発部門、またはハードウェアサプライヤーに連絡して、できるだけ早く問題を解決する必要があります。

第5章ウェブサイト管理

第25条当社のウェブサイトは情報センターから技術サポートとバックエンド管理が提供され、当社の関連部門は審査済みの書面と電子のウェブサイト構築資料を提供します。

（I）ウェブサイトやウェブページに違法な表現が掲載された場合の緊急措置

1. ウェブサイトおよびウェブページの情報内容は、情報センターのスタッフによって常に厳重に監視されています。

2. ネット上で違法な情報が発見された場合、責任者は直ちに部門長に状況を報告し、緊急の場合は削除などの処理措置を講じ、その後プロセスに従う必要があります。

3. 通知を受け取った場合、ウェブサイト担当者は直ちに違法な情報を消去し、セキュリティ対策を強化し、ウェブサイトページを再び使用できるようにするものとします。

4. ウェブサイトの責任者は、関連する記録やログ、検査記録を適切に保存する必要があります。

（II）ハッカー攻撃を受けた場合の緊急措置

1. Web ページの内容が改ざんされた場合、またはハッカーが社内ネットワークのファイアウォールを介して攻撃していることが発覚した場合は、まず攻撃を受けたサーバーやその他のデバイスをネットワークから切断し、その状況を上司に報告する必要があります。

2. ウェブサイト管理者は、損傷したシステムを直ちに復元し、再構築します。

（III）ウイルス安全緊急対応措置

1. コンピュータがウイルスに感染していることが判明した場合は、直ちにネットワークから隔離する必要があります。

2. データが保存されているコンピューターのハードディスクにデータをバックアップします。

3. ウイルス対策ソフトウェアを有効にして、ネットワーク上の他のマシンからウイルスをスキャンして削除します。

4. ウイルス対策ソフトウェアでウイルスを除去できない場合は、すぐに上司に報告してください。

5. ウェブサイト管理者は、ウイルスを検出および駆除できないことを確認した後、関連する記録を作成し、関連する技術担当者にすぐに連絡して、問題を迅速に調査して解決する必要があります。

6. ウイルスに感染したデバイスがサーバーまたはホストシステムである場合は、上司の同意を得て、サーバーを直ちに切断し、クライアントの担当者にクライアントマシンでウイルス駆除を実行するように通知する必要があります。

（IV）破壊的攻撃を受けたソフトウェアシステムに対する緊急措置

1. OAなどの重要なソフトウェアシステムは、平常時にバックアップする必要があります。ソフトウェアシステムに対応するデータは、複数日分のバックアップを取り、別のマシンに保存する必要があります。

2. ソフトウェアが破損しているか正常に動作していないことが判明した場合は、直ちにインフォメーションセンターのスタッフに報告してください。

3. 情報センターの担当者が直ちにソフトウェアシステムとデータを復元します。

（V）データベースセキュリティ緊急対策

1. 各データベースシステムは、少なくとも 2 つのデータベースバックアップを準備する必要があります。

2. データベースがクラッシュした場合は、すぐに上司に報告し、各部門のユーザーにデータのアップロードとレポートを延期するように通知する必要があります。

3. 情報センターの担当者はホストシステムの保守を行い、解決できない問題が発生した場合は、直ちに上司に報告し、専門技術者に速やかに連絡して問題を処理させます。

4. システムの修復後、必要に応じてデータを復元します。

5. バックアップデータに問題がある場合は、速やかにリーダーに報告し、ソフトウェア開発者に連絡して解決してください。

（VI）設備安全緊急措置

1. コンピュータやサーバーなどの重要な機器が破損した場合は、すぐに情報センターのスタッフに通知する必要があります。

2. インフォメーションセンターのスタッフがすぐに原因を突き止めます。

3. 自力で回復できる場合は、損傷した部品をすぐに交換部品と交換してください。

4. デバイスが自力で復旧できない場合は、すぐに機器の提供者に連絡し、専門の保守担当者に修理を依頼してください。

5. 機器をすぐに修理できない場合は、上司に報告してください。

（VII）主要職員が勤務していないときの緊急措置

1. 主要な役職については、2 人で 1 つの職務を遂行できるように人員の予備を用意する必要があります。

2. 重要な従業員が欠勤した場合、まず上位のリーダーに報告します。

3. 当該業務は、上位者の承認を得た上で、情報センターの他の職員が行うものとする。

第六章罰則

第26条コンピュータ端末の使用者が、業務に関係のないファイルを許可なくダウンロード、インストール、または保存した場合、検証後、ファイルサイズに応じて初回は10元/100M（100メガバイトに切り上げ）の罰金を科し、その後は毎回罰金の倍数を加算する（2回目は20元/100M、3回目は40元/100M、4回目は80元/100Mなど）。利用者がこの犯罪を3回以上（3回を含む）犯した場合、行政処分の対象となります。

第27条次の行為のいずれかを犯した者は、情状の軽重に応じて50元以上500元以下の罰金に処せられる。

（１）コンピュータウイルスその他の有害なデータを作成または故意に入力もしくは拡散する行為

（２）コンピュータ情報システム内のデータを不正に複製、傍受、改ざんする行為等により、コンピュータ情報システムの安全が脅かされること。

（３）ネットワークやサーバーに対して悪意のある攻撃を行い、他人のネットワークやサーバーシステムに侵入し、コンピューターやネットワークを利用して他人の正常な業務を妨害する。

（iv）許可されていないファイルやシステムにアクセスしたり、デバイスの設定を変更したりすること。

（V）申請者が、機器の使用または廃棄後1週間以内に、第2章に規定する書類を情報センターに提出しなかった場合。

（６）許可なく他人とコンピュータまたは関連機器を交換すること。

（VII）許可なく内部部門のコンピュータの配置を調整し、情報センターに報告しなかったこと。

(VIII) 定期的な抜き取り検査、異動、退職時に、コンピュータの構成がコンピュータファイルと一致していない、またはIT機器カードが破れていた、塗りつぶされていた、または隠されていたなどことが判明した場合。

（IX）勤務時間外に会社のコンピュータを使用して業務に関係のない作業を行うこと。

（10）同一の不具合が複数回発生し、その不具合の原因が個人的な理由によるものであると判断される場合

（11）仕事の都合で長時間（5時間以上）オフィスを離れる、または仕事終了後に理由もなくコンピュータをシャットダウンしない。