1、关于下发*电信公司信息安全管理八项制度(试行)的通知 县级分公司、公司各部门： 根据中电信黑2011 793 号黑龙江电信信息安全管理八项制度（试行），制定了*电信公司信息安全管理八项制度(试行)，请认真遵照执行。并将执行过程中出现的新情况，新问题及时反馈至运行维护部。 各相关职能部门要按照本制度规范尽快落实本部门的信息安全工作及责任人。 附件 1：*电信公司业务经营、合作的信息安全评估保障制度 附件 2：*电信公司违法违规信息应急处置流程 附件 3：*电信公司信息安全工作（资金、人员）保障制度 附件 4：*电信公司信息安全管理考核和奖惩制度 附件 5：*电信公司信息安全技术保障制度 附件 6
2、：*电信公司信息安全事件报告制度 附件 7：*电信公司信息安全事件应急处置制度 附件 8：*电信公司信息安全组织机构管理制度 附件 1： *电信公司基础业务经营、合作的 信息安全评估保障制度 一、公司产品内容上线前应当由专人对相关内容的合法合规性进行审核，做到先审后发，产品中未通过审核的相关内容不得上线运营。需要审核的产品内容包括但不仅限于各产品中以公司名义对外发布的以及客户通过公司自营网站对外发布的图片、文字、流媒体等信息内容。 二、公司自营网站、自营业务业务板块或栏目新增、变更，须经各级公司部门负责人同意，报公司分管领导审批。 三、与合作方（含代收费）进行业务合作前，各部门业务运营部门（中
3、心）应当严格审核其电信业务经营许可证或备案许可证、营业执照等经营资质材料，对其身份信息当面核验、留存有效证件复印件并报公司信息安全业务管理部门复核。在签订合作协议时，必须要求合作方签订信息安全承诺书，明确其负责合作涉及业务的信息安全，约定信息安全考核制度和违法违规处罚标准。 四、合作业务涉及合作方需进行 IP 地址和域名备案的，在业务开通前，必须要求合作方出具 IP 地址和域名已经备案的书面证明函件。 五、各部门不得为无经营许可证的单位或个人提供用于经营电信业务的电信资源，不得为未办理备案手续的部门或个人提供网络接入服务。在提供 IDC、互联网接入（含专线、虚拟拨号等）等接入类业务时，接入公司
4、网络的部门或个人（以下简称接入方）开展互联网信息服务的，接入服务业务运营部门（中心）应审查其经营许可证或相关备案手续、主体信息和接入信息，对其身份信息当面核验、留存有效证件复印件并报公司信息安全业务管理部门复核。 六、各部门提供网络接入服务时，应当与接入方签订接入服务协议，在协议中约定信息安全考核制度和违法违规处罚标准，并在协议中明确约定以下事项及相应的违约责任： （一）接入方的网络信息安全责任与义务。 （二）接入方不得向其他从事网站接入服务的增值电信业务经营者转租所获得的网络接入等电信资源。 （三）接入方不得为未经许可或未备案的网站提供接入或代收费等服务。公司分配 IP 地址给接入方的，在接
5、入服务业务开通前，应要求对方出具确认已经报备 IP 地址的书面函件，业务部门应当对 IP 地址是否对应进行核查，核查不符的，不得开通接入服务。 七、业务运营部门应安排专人对自营业务、合自营网站及 IDC 和专线等方式接入的网站内容等进行日常监测。发现违法有害信息和低俗信息，应立即保存有关记录，对相关内容和业务进行移除或屏蔽，并报信息安全业务管理部门和信息安全工作办公室，属于合作业务的，立即下线，情节严重的，应停止合作。信息明显属于中华人民共和国电信条例第五十七条所列内容或明显违反国家相关规定的，应当同时向省公司信息安全工作办公室办公室、省通信管理局报告。 八、对合作方和接入方违反国家信息安全管
6、理规定的行为的处理决定由本部门信息安全业务管理部门负责人审核后作出，并向公司信息安全主管部门备案。信息安全主管部门对处理决定有异议的，可对处理决定作出变更，并通知信息安全业务主管部门组织实施。 九、IDC 接入商、IDC 自有客户、专线接入经营性网站、WAP网站合作 SP 等客户的经营资质、信息安全承诺书签订情况、合同名称，并以清单形式列表存档备案。 附件 2： *电信公司违法违规信息网站应急处置流程 一、市公司成立信息安全牵头部门，信息安全负责人和联络人保持小时通讯畅通。 二、接收到省公司停止网站接入的处置指令后，立即进行处置，处置完毕时间为接到管局通知的小时内。接到省通信管理局停止域名解析
7、的处置指令后，在分钟内停止公司域名服务器对该域名的解析指向。 三、违法违规信息网站应急处置流程 附件 3： *电信公司信息安全工作（资金、人员）保障制度 一、市分公司各相关部门应设置信息安全专职联系人，负责本部门内部信息安全的管理、协调和对口联络工作，并报市公司信息安全工作领导小组备案。 二、信息安全联系人应保持相对稳定，人员发生变更的，应当做好交接工作，并在变动后的 2 个工作日内报市公司信息安全工作领导小组备案。 三、从事信息安全工作的人员应政治过硬、遵纪守法、恪尽职守；具备较强的政治敏感性、工作责任感和保密意识；应熟练掌握国家相关法律法规和政策以及业务知识，具备较强的问题分析、处理和学习
8、能力。 四、信息安全工作人员应保持 24 小时通信畅通。 五、公司用于日常信息安全管理、技术保障措施建设、人员教育等的配套资金投入应当根据公司规模、网络覆盖、业务范围及用户数量在公司年度预算中相应编制，保证信息安全管理和技术保障手段建设顺利开展。 附件 4： *电信公司信息安全管理考核和奖惩制度 一、总则 为切实有效落实公司各项信息安全管理制度，加强重大信息安全事的协调组织及相关事件的应急响应处理能力，结合公司实际，制定本考核制度。 二、适用范围 本考核制度适用于*电信公司市公司各部门、下属各区县公司。 三、细则 （一）总体要求：公司信息安全主管部门应当采取定期检查或者抽查方式对各部门信息安全
9、工作开展、落实情况进行指导和监督。 （二）考核管理：公司负责信息安全工作人员的绩效考核应当与信息安全考评结果挂钩。对于信息安全工作综合考评结果不达标的部门，将由信息安全工作领导小组提出考核意见，并按照公司相关考核机制实施处理。 （三）对信息安全管理工作不力、执行不到位，导致信息安全事件的，或发生信息安全事件后迟报、瞒报或谎报的，应当根据事件影响程度，追究相关部门领导责任并可对相关责任人员处以警告、记过、记大过直至解除劳动合同。 （四）各部门对主动采取有效措施预防并降低信息安全风险，及时发现并消除重大信息安全隐患，在违规问题及突发事件处置过程中表现突出的下级部门与个人，应予以表彰奖励。 附件 5
10、： *电信公司信息安全技术保障制度 一、各部门要加强本部门信息内容安全技术研究，实施对归口管理的业务、平台等的信息安全评估，发现安全隐患，及时整改。 二、各部门要以技术手段为支撑，健全信息内容安全管理和公共信息服务内容日常核查手段，按要求使用相关信息内容安全系统。 三、要提升日常监测系统的能力，增强对新业务形态、网络突发流量、接入轨迹、协议类型等的数据监测功能，建立分级预警机制。 四、建立并完善本部门部门事前预防、事中管控、事后追溯的网络信息安全技术保障体系，做到及时发现、快速响应和处置。 附件 6： *电信公司信息安全事件报告制度 一、总则 为规范和加强*电信公司重大信息安全事件的信息报告管
11、理工作，及时了解掌握和评估分析重大信息安全事件有关情况，协调组织相关力量进行事件的应急响应处理，从而降低重大信息安全事件带来的损失和影响，根据有关法律、法规的规定，结合本公司实际情况，制定本制度。 二、适用范围 本制度适用于*电信公司各职能部门及区县公司的网络与信息系统信息安全事件的报告。 三、细则 本制度所称的信息安全事件是指由于自然灾害、设备软硬件故障、人为失误或破坏等原因严重影响到本公司网络与信息系统的正常运行，出现业务中断、系统破坏、数据破坏或信息失窃密或泄密等，从而在公司名誉、稳定或公众利益等方面造成不良影响以及造成一定程度直接和间接经济损失的事件。 四、根据工业和信息化部的规定，实
12、施信息安全事件等级制度，按照事件严重性和紧急程度及对社会影响的大小，分为以下三级： （一）特大信息安全事件：指涉及国家安全和稳定，造成恶劣影响和严重后果，或被中央有关部门通报，社会反响强烈的信息安全事件。 （二）重大信息安全事件：指涉及国家安全和社会稳定、造成较大社会影响和较严重后果，或被省级有关部门通报的信息安全事件。 （三）一般信息安全事件：指被大量用户集中投诉等可能对公司造成一定负面影响的信息安全事件。 五、信息安全事件的处理原则统一领导、归口负责、综合协调、快速处理。 六、发生信息安全事件处理具体要求 （一） 发生特大信息安全事件，当事部门应当在事件发生后5分钟内将有关情况上报本公司信
13、息安全领导小组，在10分钟内屏蔽信息源，保留事件的相关材料，并向省公司信息安全领导小组报告。如属重大事项，并需按照公司的重大事项上报制度的规定进行上报。当事部门应当在事件发生后12小时内向省公司信息安全领导小组提交简要书面报告，在相关事件处理结束后2日内提交专题书面报告。 （二） 发生重大信息安全事件，当事部门应当在事件发生后15分钟内将有关情况上报本公司信息安全领导小组，在30分钟内屏蔽信息源，保留事件的相关材料，并向省公司信息安全领导小组报告。如属重大事项，并需按照公司的重大事项上报制度的规定进行上报。当事单位应当在事件发生后12小时内向省公司信息安全领导小组提交简要书面报告，在相关事件处
14、理结束后2日内提交专题书面报告。 （三）发生一般信息安全事件，当事部门应当在30分钟内屏蔽信息源，保留事件的相关材料，并在事件发生后1小时内将有关情况报告公司信息安全领导小组。当事单位应在事件发生后2小时内向省公司信息安全领导小组报告，24小时内作出简要书面报告，相关事件处理结束后2日内作出专题书面报告。 （四）对于被媒体曝光或存在媒体曝光风险的信息安全事件，公司的信息安全主管部门应向公司的综合部进行事件通报，由省公司综合部负责组织对信息安全事件的新闻发布及媒体应对。各部门及个人应当严格执行公司新闻宣传纪律和保密规定，不得擅自对外发布信息安全事件的相关信息。 附件 7： *电信公司信息安全事件
15、应急处置制度 为建立健全应急处置和信息通报制度，快速反映，及时应对处理信息安全事件，特制订本制度。 一、 应急处置原则 （一）全面监控 指定专人全面搜索监控网络中含有淫秽色情等有害信息内容的栏目、论坛、页面、图片、视频、文字等，并监控关键网络设施，防止不法分子利用网络传播有害信息，做到及早发现苗头、动态，提前做好应急处置工作。指定专人全面监控电视、广播、报纸及互联网等各类媒体的舆论动态，发现问题及时向主管领导和省公司综合办公室报告。 （二）快速反应 发生紧急突发事件时，各相关部门可在迅速上报的同时，及时采取有针对性的应急处理措施，防止事态进一步扩展蔓延。（三）全程记录 各部门在发现相关问题时，
16、要及时、全面地做好情况记录，追查根源。 二、应急处置措施 信息安全工作办公室负责对自营业务中出现的有害信息进行删除，对有害信息源头加以跟踪分析，并将不良信息网站情况及时反馈给省公司信息安全联系人；落实加强相关网站和系统的安全保护，做好证据留存和处置记录，按既定流程及时上报。并应迅速查明有害信息来源，落实有效技术手段，切断其传播渠道；在取证后立即清除有害信息，必要时关闭有关网站、网络，进行全面清理，并尽快恢复网络的正常秩序。 二、应急处置工作流程 （一）一旦发现有害信息，应立即报告主管领导和市公司信息安全工作办公室联系人，留存有关记录，市公司信息安全领导小组同时报送省公司信息安全主管部门。 （二
17、）对于属于自营业务的，应立即删除有害信息，并追究相关人员责任；对于属于非自营业务的，由省公司技术部门处理。 （三）以邮件或短信方式接收到需要封堵的网站 IP 地址（段）之后，市公司 IP城域网维护部门应立即封堵，紧急情况下可电话口述 IP 地址（段）。 （四）在完成封堵配置后，将相关情况以邮件或短信方式反馈上报公司信息安全联系人，紧急情况下同时电话反馈进展。（五）各部门在完成有害信息处理后，将有害信息处理单（见附件）加盖公章后反馈至省公司信息安全工作办公室 （六）对于重大问题，市公司信息安全工作办公室将组织相关部门人员立即赶赴现场，对突发事件进行应急处理。 三、事件应急处理时限 第 I 类为特
18、急，要求在 10 分钟内处理完成并将结果反馈省公司； 第 II 类为紧急，要求在 1 个小时内处理完成并将结果反馈省公司； 第 III 类为急，根据省公司要求时限处理。省公司在通知处理突发事件时，将向各市公司明确事件级别。 四、应急处置突发事件的报送和报道制度 市公司新闻发言人牵头负责突发事件处理的对外宣传口径，并积极参与突发事件处理工作。对于突发事件，必须在事件发生 4 小时内向本部门领导和市公司信息安全工作领导小组汇报，提供事件经过、原因及背景情况，提出经本单位新闻发言人、主管领导确认的处理原则和对外宣传口径，并由市公司及时省公司安全工作领导小组。积极开展突发事件公关工作，取得各方的理解和
19、支持，正确引导社会舆论，减少负面影响，平息事态。 五、应急处置保密要求 （一）确保应急事件处理系统以及应急处理信息数据存放于安全的网络环境中，做好备份工作。 （二）各种服务文档资料的存放要确保安全可靠，防止非相关人员接触、获取。 （三）工作小组成员之间的信息交流必须确保安全，防止因中间环节的疏漏造成信息泄密。 （四）必须确保所提供各种信息的准确性。 附表： 有害信息处理单 分公司 有害信息发现时间 有害信息切断时间 有害信息内容简述 有害信息 URL 有害信息发布源 处理措施 处理结果 删除 封堵 其他： 联系人： 联系电话： 单位公章： 附件 8： *电信公司信息安全组织机构保障制度 一、市
20、公司设立信息安全领导小组，市公司信息安全工作办公室设于公司运行维护部。 二、市公司安全领导小组组长由公司总经理担任，副组长由公司领导班子成员担任，小组成员由公司相关部门领导组成。各单位信息安全工作办公室主任由公司信息安全主管部门领导担任，成员由信息安全主管部门、信息安全业务管理部门、业务运营部门、信息安全技术管理及支撑部门的相关人员组成。 四、信息安全领导小组负责贯彻国家相关法律法规，确定信息安全工作总体目标、总体方针和总体安全策略，规划信息安全规章制度，部署信息安全管理的各项措施，组织落实信息安全各项要求。信息安全工作办公室负责日常具体工作。 五、分管信息安全工作的成员为本部门信息安全责任人
21、，对本部门信息安全工作负直接领导责任。信息安全工作人员和其他员工应执行国家法律法规和企业信息安全各项规章制度，对本岗位的信息安全工作负责。 六、公司运行维护部信息安全主管部门，负责管理具体的信息安全工作，其职责主要包括： （一）负责贯彻落实上级下达的信息安全工作要求，拟订信息安全工作总体目标、总体方针和总体安全策略； （二）负责组织信息安全规章制度、工作流程、预案的拟订和落实； （三）负责审核信息安全业务主管部门提出的信息安全内容关键字； （四）负责与省公司信息安全领导小组交换黑名单； （五）负责信息安全管理工作的指导、协调、监督、检查和考核工作，并定期进行通报； （六）负责组织各类信息安全事件响应、监控、处置等工作； （七）负责信息安全相关教育、培训工作； （八）负责应急预案的定期培训、演练等； （九）负责配合政府部门上级单位开展信息安全检查工作。
