规范管理-信息资产管理办法.doc

三教上人（A+版-Applicable Achives）
1
三教上人（A+版-Applicable Achives）
信息资产管理办法
第一章总则
目的：本管理办法旨在对RR银行（以下简称我行）内部重要的信息资产进行分类分级，以便对信息的分发和流转进行恰当的控制，确保信息资产的保密性、完整性和可用性能够实现。
依据：本管理办法根据《RR银行信息安全管理策略》制订。
范围：本管理办法适用于我行总部及所辖分、支行。
定义
（一）本管理办法所涉及的信息包括各种存储或者存在形式，包括但不限于电子信息、纸质数据文件、语音和图像等。
（二）本管理办法所称信息是指以任何形式存在或传播的对我行具有价值的内容，包括电子信息、纸质数据文件、语音图像等。信息安全关注的是信息的保密性、可用性和完整性。
（三）本管理办法所称信息资产是指任何对我行具有价值的信息的存在形式或者载体，包括计算机硬件、通信设施、IT环境、数据库、软件、文档资料、信息服务和人员等，所有这些资产都需要妥善保护。
第二章组织与管理
我行各部门负责人是本部门信息资产管理的第一责任人，负责组织本管理办法的贯彻落实。
全体员工理解并遵守本管理办法定义的内容。
本管理办法定义以下相关角色，履行相应的信息安全管理、执行和审核职责。
（一）责任人，信息资产的创建者，或者主要用户所在组织、单位或部门的负责人。信息资产责任人对所属信息资产负直接责任。其主要职责包括：
1、理解和各种信息访问活动相关的安全风险；
三教上人（A+版-Applicable Achives）
3
三教上人（A+版-Applicable Achives）
2、根据我行信息密级划分标准来确定所属信息资产的级别；
3、根据我行相关策略确定并检查信息访问权限；
4、针对所属信息资产提出恰当的保护措施。
（二）保管者，受信息资产责任人委托，对信息资产进行日常的管理，维护已经建立的保护措施。资产保管者通常是我行的IT部门或者代表（例如系统管理员）。其主要职责包括：
1、根据相关策略和信息资产责任人的要求，负责信息资产的维护操作和日常管理事务；
2、负责具体设置信息访问权限；
3、负责所管理的信息资产的安全控制；
4、部署恰当的安全机制，进行备份和恢复操作；
5、按照信息资产责任人的要求实施其他控制。
（三）用户，信息资产的使用者，除了我行内部员工，也可能是因为业务需要而访问我行信息的客户或第三方组织。其主要职责包括：
1、向信息资产责任人申请信息访问；
2、按照我行信息安全策略要求正当访问信息，禁止非授权访问；
3、向相关组织报告隐患、故障或者违规事件。
第三章资产管理要求
信息资产分类
信息资产责任人应该指导进行相关资产的调查，资产调查以业务流程为线索，包括各类输入、中间环节和输出信息，所有这些信息资产都为业务流程的运转提供支持。
信息资产可以分为以下几大类。
（一）数据文件，通常包括各种电子档：业务数据、客户数据、配置文件、记录数据（日志、审计记录）、管理文件（策略、流程文件、操作手册等）、商务文件（合同、协议等）。也包括以实物方式存在的资产：各类电子数据的归档、打印件、书面管理文件、业务报表、包含重要商业成果的文件，还有胶片等。