安全政策
顶层文件:保护什么、防范什么、谁来负责。
文件构成取决于要闭环什么:个人数据法、行业要求,还是内部秩序。通常是 10 到 15 份文件。
顶层文件:保护什么、防范什么、谁来负责。
数据处理负责人、工作小组、授权人员名单。
谁获得哪些权限、如何开通,以及离职时如何回收。
介质、口令、远程访问的使用办法,以及安全事件响应流程。
简短易懂,而不是三十页没人看的文档。
介质登记、数据主体请求记录、宣贯签到。这些正是检查时要看的东西。
关键是写下来的东西必须能执行。与实际工作流程相冲突的文件,第一周就会被违反。
看看工作到底是怎么运转的:谁开通权限、离职时会发生什么、口令存在哪里。
准备文件包,并把措辞确认到公司确实能执行的程度。
批准发布、员工签字知悉、开展宣贯。
每年复核一次:系统、部门和责任人都会变。
文件与实际脱节,是被下整改通知的首要原因。政策上写着数据保存一年,库里却躺着五年前的申请单。这在形式上就是违规,而且无从辩解。
下是能下,但它描述的是别人的流程。检查时问的不是有没有这份文件,而是它怎么执行的:请出示台账、任命文件、知悉签字。通用文件包正是在这一步崩掉的。
百人以内的公司通常 10 到 15 份。把文件堆多了反而有害:文件越多,其中某一份与其他相互矛盾或根本没执行的概率就越高。
政策和任命文件由负责人签署。操作规程可由安全负责人批准。员工需签字知悉,这些签字页要留存,因为检查时会索取。
告诉我们要闭环什么:个人数据法、客户方要求还是内部秩序。我们会给出文件清单和工期。
申请已受理
我们已经收到。我们会在一个工作日内回复,紧急问题将立即安排值班工程师处理。
未找到该城市,请检查拼写。