华为信息安全宣传PPT课件

心竞争优势的信息资产。
由需求方主管说了算。
wk.baidu.com
包括但不限于：算法、架构、方案、特 秘密级不应加密。内部公开级不允许
性、需求、规划等。其载体包含但不限
RMS加密。
于：源代码、原理图、文档、会议纪要 在Hi3MS发布或存放的文档不允许加
等。
密。
关键信息资产占信息资产总量的5%左右。
关键资产需要加密，例外情况需备案。
.
6
权限管理：权限分类与定义
定义
基本权限—能够满足本岗位工作所需的必要权限，该权限在员工到岗后自动授权 例外权限—基本权限不能满足工作需要，须经流程申请获得的权限 系统权限—信息资产存储系统的系统管理、应用平台管理、应用管理（数据管理）等 权限，须经流程申请并经审批后授权并纳入机要管理 机要权限—机要岗位所特有的权限，包括信息资产及重要数据系统的权限设、数据管 理、数据出口管理、数据传递等权限
级（含以上）主管
（含以上）主管
信息生成方二级 （含以上）主管
秘密
信息生成方三级 （含以上）主管
信息需求方部门直接 （含以上）主管
信息需求方或员 工本部门直接 （含以上）主管
信息生成方或员 工本部门三级 （含以上）主管
内部公开 同上
不需要审批
不需要审批
同上
备注：
1、信息责任人可以授权相关组织或人员履行具体职责，但管理责任不因委托关系而转移。
信息资产识别与定级
资产密级
绝密
机密
秘密
内部 公开
关键资产
非关键资产
基于与战略竞争对手拉开并保持差距的
市场竞争策略，在市场竞争态势中使我
司处于优势地位，且对未来业务和产品 关键资产以外的信息资产，包括秘密和
发展有重大影响的，或战略竞争对手特
内部公开两个密级。
别关注，获取后将严重影响我司产品核 跨产品/跨部门的非关键信息资产申请
针对以安全与效率平衡、 涉及分散关键信息资产的 项目或产品的部门
一般的产品、技术、平台的 预研、规划、设计、开发、 测试环境
绿区（低）
针对以共享为主、效率优 先，不涉及关键信息资产 的部门
.
合作、外包、对外演示、 对外测试、移动办公环境
2
网络环境安全分区隔离与管控
红区完全独立 黄区业务上云 用户和实验室迁入绿区，仅少量继续保留在黄区 用户跨区访问必须经数传跳转
.
1
华为研发安全环境分区：红区、黄区、绿区
信息资产
环境
部门
业务
关键信
红区（高）
息资产 大量集中
针对以安全保护为主的、 涉及大量/集中关键信息 资产的关键项目或产品 的部门
竞争激烈领域的主力产品， 关键技术、主力平台，识 别为关键项目的预研、规 划、审计、开发、测试等 业务
非关键 信息资
产
黄区（中）
2、经信息安全部同意，各部门可以制定和发布审批细则，进一步明确信息密级所对应的审批级别。
.
4
信息资产跨区域传输的安全通道
.
5
信息资产的清除
包含保密信息的存储介质/设备，在进行数据清除时，要求如下：
删除数据
属于存储介质/设备使用人或用途发生改变时。
低级格式化
属于资产归属转出或外借设备归还时。 如：便携机资产转个人、归还借用供应商的存储设备
.
3
信息资产的获取与共享
只要业务需求是合理的，任何人无权拒绝提供信息或擅自提高主管审批级别；对于阻碍信息共享 的行为，可以进行投诉。内部信息交流或对公司外提供信息时，应遵循以下审批原则：
密级
确定密级
获取信息
内部信息交流 共享信息
对外提供信息
信息生成方二级 绝密/机密
（含以上）主管
信息生成方和需求方二 信息生成方二级
.
7
权限管理：授权与行权
授权
基本使用/审批权 数据库导入
例外使用/审批权 例外权限申请 数据管理权 例外权限申请 数据传递权 例外权限申请
监督权/问责权 例外权限申请
行权（审批）
申请 使用人
需求使用确认
需求方二级 审批人
需求合理性 确认
生成方二级 审批人
审批 生成方研发部
长
确认 首席机要员
权限监 督
.
12
研发关键信息资产的识别流程（非IPD类）
.
13
技术断裂点的设计
概念
➢ “技术断裂点”可以形象的理解为“技术屏障”，是防止竞争对手追赶的“护城 河”，是与竞争对手“形成差距、拉开差距、保持差距”的技术措施，技术断裂 点可以避免竞争对手快速跟进，做出同样的产品。
目的
➢ 防止战略竞争对手获取（如排他协议、自研与合作结合、多供应商合作等）； ➢ 防止战略竞争对手Copy（如带自有专利、自研ASIC等）； ➢ 防止战略竞争对手绕行（如有基本专利、技术买断等）
.
14
物理销毁或消磁 属于资产报废或涉及绝密/机密信息的数据清除。
纸件销毁
包含保密信息的纸件在废弃时（如：复印效果差、打印未完成），可使用碎 纸机销毁，不应随意丢弃
委托外部公司对包含保密信息的存储截止进行数据恢复时，应经过主管批准，并选择公司指定的 供应商。当涉及绝密/机密信息的数据恢复时，必须经过信息生成方责任人批准。
权限分 离
监督/问责 信管办
.
冒泡 检测
行权（数传）
提取关键资产 数据管理员
传递关键资产 数传员
“虎符”制
8
例外权限：信息资产查阅与获取流程冒泡问责机制
.
9
信息资产管理平台-iRight
.
10
信息资产管理平台-iRight（续）
.
11
研发关键信息资产的识别流程（IPD类）
1、流程支撑 关键信息资产的识别、评审、加密活动均有IT流程支撑（iRight权限平台） 2、例行识别 在TR2前识别关键信息资产并完成定密，制定信息安全策略 3、例行刷新 在TR5对关键信息资产清单重新审视 4、例行解密 在进入后生命周期阶段对关键资产降密进行评审