第三方人员安全管理规范

1 概述

1.1 制度目标

为了加强网络安全保障能力，建立健全安全管理体系，提高整体的网络与网络安全水平，保证网络通信畅通和业务系统的正常运营，提高网络服务质量，在安全体系框架下，本制度有效防范第三方人员（非职工）进入带来的安全风险、加强和规范各部门对第三方人员的安全管理、提供第三方人员在活动时所要遵守的行为准则。

1.2 适用范围

本制度适用于XXX单位XXX部门。

2 第三方人员定义及风险

2.1 第三方人员定义

第三方人员包括为XXX单位提供服务的软件开发商、产品供应商、系统集成商、设备维护商和服务提供商等非本单位人员。

第三方人员管理的范畴包括临时第三方人员和长期第三方人员。

临时第三方人员指因业务洽谈、技术交流、业务访问、提供短期和不频繁的技术支持服务而临时来访的第三方人员。

长期第三方人员指因从事参与项目工程、提供技术支持或顾问服务，必须在一定时间内在内部办公的第三方人员。

接待人是指与来访第三方的相关部门派出的，负责接待和管理第三方人员的员工。

2.2 第三方人员带来的风险

第三方人员访问的方式包括现场访问和远程网络访问。

第三方人员带来的安全风险必须定期评估，防范以下安全风险：

  1. 第三方人员物理访问带来的设备、资料盗窃；

  2. 第三方人员误操作导致各种软硬件故障；

  3. 第三方人员将资料、信息外传导致泄密；

  4. 第三方人员对业务系统的滥用和越权访问；

  5. 第三方人员给主机系统、软件留下后门；

  6. 第三方人员对系统的恶意攻击。

3 第三方人员短期访问安全管理

3.1 物理安全

第三方人员现场访问需要遵从物理安全的管理制度，具体物理安全的负责部门是办公室。要求如下：

  1. 第三方人员进出均需登记，遵照物理安全管理制度执行。

  2. 第三方人员如需访问网络运行管理部等重要区域时，应填写《重要区域访问申请单》进行申请。

  3. 工作时间内机房必须有当班、值班人员，对第三方人员进入机房内部一律进行登记。

3.2 网络访问安全

第三方人员现场访问网络原则上不允许。如果必须，需要第三方人员及接待人员遵守如下安全要求：

临时接入办公网络的第三方人员，需要接待人员的同意，一旦发生并经核实其起因是第三方人员引起的安全事件，相关责任由接待人员与第三方人员共同负责。

第三方人员远程访问网络原则上不允许。如果必须，需要第三方人员及接待人员遵守如下安全要求：

  1. 临时远程访问网络的第三方人员，需要接待人员所属部门主管的同意，并在本部门内部进行登记。一旦发生并经核实其起因是第三方人员引起的安全事件，相关责任由接待人员及所属部门主管与第三方人员共同负责。

  2. 临时远程访问网络的第三方人员在访问过程中，接待人员应能够确定其访问的内容；在访问结束后，接待人员应及时关闭或敦促相关技术负责人员关闭临时访问的通路，并在本部门内部记录访问结束时间。

4 第三方人员长期访问安全管理

4.1 物理安全

第三方人员现场访问，需要遵照物理安全的管理制度执行，具体物理安全的负责部门是办公室。要求如下：

  1. 遵守物理安全管理制度，第三方人员应设置指纹，通过指纹进行考勤及出入管理。

  2. 工作时间内机房必须有当班值班人员，对进入机房内部的第三方人员一律进行登记。

  3. 第三方人员均应遵从机房管理人员的管理。

4.2 网络访问安全

第三方人员现场长期访问网络，除第三方人员遵守的安全管理制度及规范之外，第三方人员及接待人员还必须遵守如下安全要求：

  1. 长期访问网络的第三方人员需要签署相关《第三方人员安全保密协议》，承诺遵守安全制度及规范。

  2. 需要办公室相关工作负责人审批确认。在长期访问终止后，接待人通知办公室相关工作人员，工作人员备案并作相应安全评估、检查工作。

  3. 第三方人员在访问网络期间如违反安全管理制度，除根据保密协议及相关安全管理制度进行处罚以外，接待人及所属部门也应承担责任。

第三方人员长期远程访问网络原则上不允许。如果必须，需要第三方人员及接待人员遵守如下安全要求：

  1. 需要签署相关《第三方人员安全保密协议》，承诺遵守安全制度及规范。

  2. 需要办公室相关工作人员审批确认。在长期访问终止后，接待人通知办公室相关工作人员，工作人员备案并作相应安全评估、检查工作。

  3. 第三方人员在访问网络期间如违反安全管理制度，除根据保密协议及相关安全管理制度进行处罚以外，接待人及所属部门也应承担相应责任。

5 附则

本制度由XXX单位XXX部门制定，并负责解释和修订。由网络安全领导小组讨论通过，发布执行。

本制度自发布之日起执行。

6 相关表单

6.1 重要区域访问申请单

重要区域访问申请单

6.2 第三方人员安全保密协议

第三方人员安全保密协议

甲方：XXXX（以下简称“甲方”）

乙方：

鉴于：乙方人员（名单及签名附后）在参与“XXXXXXXX项目”期间，需要对系统进行调研，测试，维护或使用相关系统账号对设备进行调测、服务支持、检查、审计操作，双方就前述事宜中所涉及的保密信息达成以下一致：

  1. 本协议所称“保密信息”是指： 系统账号（系统管理员账号、普通账号）和用以上账号可以获取有关系统、业务、用户的数据和信息、IP 地址、网络拓扑、业务流程、规章制度、资产重要性信息、项目输出等。包括但不限于：任何甲方不欲公开的观点、发现、发明、公式、程序、计划、图表、模型、参数、数据、标准和专有技术秘密，和/或其中的任何知识产权。
  2. 甲方向乙方提供保密信息的行为不构成向乙方授予任何与保密信息相关的专利权、专利申请权、商标权、著作权、商业秘密或其它的知识产权。
  3. 乙方承诺仅为 设备调测、服务支持、调研、测试、项目成果输出等 目的使用保密信息，不为任何其他目的使用保密信息。
  4. 未经甲方的事先书面批准，乙方不得以任何形式或任何方式将保密信息和/或其中的任何部分，披露或透露给任何第三方。乙方有义务妥善保管保密信息，不得复制、泄漏或遗失。乙方亦不得依据保密信息，就任何问题，向任何第三方做出任何建议。
  5. 甲方同意乙方有权向其职员透露或使其接触保密信息和/或其中的任何部分，范围是这些职员应是 乙方对本项目的进度和质量负有直接管理责任的 人员，前提是乙方向职员透露或使其接触保密信息前已经从该职员获得了至少与本协议保密义务一样严格的保密承诺。
  6. 乙方的职员违背保密承诺，未按照本协议的规定使用保密信息或向第三方披露保密信息，或依据该保密信息向第三方做出任何建议，都被视为乙方违反本协议。
  7. 如任何一方违反本协议，违约方应按照《中华人民共和国合同法》的相关规定承担违约责任。
  8. 甲方保留在甲方认为必要的情况下收回所提供的保密信息及其使用权的权利。
  9. 凡因执行本协议所发生的或与本协议有关的一切争议，双方应通过友好协商解决。如果协商不能解决时，申请本地仲裁机构依其仲裁时现行有效的仲裁规则进行。
  10. 本保密协议对甲方和乙方所属/关联公司、机构都具有约束力。
  11. 对于本协议条款的修改，只有经双方授权的代表书面签署后方可生效并对双方具有约束力。
  12. 本协议规定的保密责任的期限为自签订之日起至201X年XX月XX日止。
  13. 乙方人员名单附于协议正文后，乙方有义务对任何相关人员变动告知XXXX并补签协议。乙方人员离开，所承担责任仍然不变。
  14. 本协议壹式 陆 份，甲乙双方各执 叁 份，具有同等法律效力。

甲方：（签章） 乙方：（签章）

授权代表： 授权代表：

年 月 日 年 月 日