包含内容

文件构成取决于要闭环什么:个人数据法、行业要求,还是内部秩序。通常是 10 到 15 份文件。

沟通服务内容

安全政策

顶层文件:保护什么、防范什么、谁来负责。

任命与命令

数据处理负责人、工作小组、授权人员名单。

访问权限规定

谁获得哪些权限、如何开通,以及离职时如何回收。

操作规程

介质、口令、远程访问的使用办法,以及安全事件响应流程。

员工手册

简短易懂,而不是三十页没人看的文档。

台账与表单

介质登记、数据主体请求记录、宣贯签到。这些正是检查时要看的东西。

工作如何开展

关键是写下来的东西必须能执行。与实际工作流程相冲突的文件,第一周就会被违反。

01

流程调研

看看工作到底是怎么运转的:谁开通权限、离职时会发生什么、口令存在哪里。

02

编制

准备文件包,并把措辞确认到公司确实能执行的程度。

03

落地

批准发布、员工签字知悉、开展宣贯。

04

更新

每年复核一次:系统、部门和责任人都会变。

文件与实际脱节,是被下整改通知的首要原因。政策上写着数据保存一年,库里却躺着五年前的申请单。这在形式上就是违规,而且无从辩解。

常见问题

下是能下,但它描述的是别人的流程。检查时问的不是有没有这份文件,而是它怎么执行的:请出示台账、任命文件、知悉签字。通用文件包正是在这一步崩掉的。

百人以内的公司通常 10 到 15 份。把文件堆多了反而有害:文件越多,其中某一份与其他相互矛盾或根本没执行的概率就越高。

政策和任命文件由负责人签署。操作规程可由安全负责人批准。员工需签字知悉,这些签字页要留存,因为检查时会索取。

为您准备文件包

告诉我们要闭环什么:个人数据法、客户方要求还是内部秩序。我们会给出文件清单和工期。