第一條 建立文件化(huà)的(de)安全管理(lǐ)制度，安全管理(lǐ)制度文件應包括：
1. 安全崗位管理(lǐ)制度；
2. 系統操作權限管理(lǐ)；
3. 安全培訓制度；
4. 用(yòng)戶管理(lǐ)制度；
5. 新服務、新功能安全評估；
6. 用(yòng)戶投訴舉報處理(lǐ)；
7. 信息發布審核、合法資質查驗和(hé)公共信息巡查；
8. 個(gè)人(rén)電子信息安全保護；
9. 安全事件的(de)監測、報告和(hé)應急處置制度；
10. 現行法律、法規、規章(zhāng)、标準和(hé)行政審批文件。
第二條 安全管理(lǐ)制度應經過管理(lǐ)層批準，并向所有員(yuán)工宣貫。
第三條 法律責任
1. 互聯網交互式服務提供者應是一個(gè)能夠承擔法律責任的(de)組織或個(gè)人(rén)。
2. 互聯網交互式服務提供者從事的(de)信息服務有行政許可(kě)的(de)應取得(de)相應許可(kě)。
第四條 人(rén)員(yuán)安全管理(lǐ)
1) 安全崗位管理(lǐ)制度
建立安全崗位管理(lǐ)制度，明(míng)确主辦人(rén)、主要負責人(rén)、安全責任人(rén)的(de)職責：崗位管理(lǐ)制度應包括保密管理(lǐ)；
2) 關鍵崗位人(rén)員(yuán)
1) 關鍵崗位人(rén)員(yuán)任用(yòng)之前的(de)背景核查應按照(zhào)相關法律、法規、道德規範和(hé)對(duì)應的(de)業務要求來(lái)執行，包括：
a、個(gè)人(rén)身份核查；
b、個(gè)人(rén)履曆的(de)核查；
c、學曆、學位、專業資質證明(míng)；
d、從事關鍵崗位所必須的(de)能力。
2) 應與關鍵崗位人(rén)員(yuán)簽訂保密協議(yì)。
3) 安全培訓
建立安全培訓制度，定期對(duì)所有工作人(rén)員(yuán)進行信息安全培訓，提高(gāo)全員(yuán)的(de)信息安全意識，包括：
1) 上崗前的(de)培訓；
2) 安全制度及其修訂後的(de)培訓；
3) 法律、法規的(de)發展保持同步的(de)繼續培訓；
4) 人(rén)員(yuán)離崗。應嚴格規範人(rén)員(yuán)離崗過程。
a、及時(shí)終止離崗員(yuán)工的(de)所有訪問權限；
b、關鍵崗位人(rén)員(yuán)須承諾調離後的(de)保密義務後方可(kě)離開；
c、配合公安機關工作的(de)人(rén)員(yuán)變動應通(tōng)報公安機關。
第五條 訪問控制管理(lǐ)
1. 訪問管理(lǐ)制度
建立包括物(wù)理(lǐ)的(de)和(hé)邏輯的(de)系統訪問權限管理(lǐ)制度。
2. 權限分(fēn)配
按以下(xià)原則根據人(rén)員(yuán)職責分(fēn)配不同的(de)訪問權限：
1) 角色分(fēn)離，如訪問請求、訪問授權、訪問管理(lǐ)；
2) 未經明(míng)确允許，則一律禁止。
3. 特殊權限限制和(hé)控制特殊訪問權限的(de)分(fēn)配和(hé)使用(yòng)。
1) 标識出每個(gè)系統或程序的(de)特殊權限；
2) 按照(zhào)按需使用(yòng)六“一事一議(yì)”的(de)原則分(fēn)配特殊權限；
3) 記錄特殊權限的(de)授權與使用(yòng)過程；
4) 特殊訪問權限的(de)分(fēn)配需要管理(lǐ)層的(de)批準。
注：特殊權限是系統超級用(yòng)戶、數據庫管理(lǐ)等系統管理(lǐ)權限。
4. 權限的(de)檢查
定期對(duì)訪問權限進行檢查，對(duì)特殊訪問權限的(de)授權情況應在更頻(pín)繁的(de)時(shí)間間隔内進行檢查，如發現不恰當的(de)權限設置，應及時(shí)予以調整。
第六條 網絡與主機系統的(de)安全
1. 網絡與主機系統的(de)安全
應維護使用(yòng)的(de)網絡與主機系統的(de)安全，包括：
1) 公司實施計算(suàn)機病毒等惡意代碼的(de)預防．、檢測和(hé)系統被破壞後的(de)恢複措施；
2) 實施7*24h網絡入侵行爲的(de)預防、檢測與響應措施；
3) 對(duì)重要文件的(de)完整性進行檢測，并具備文件完整性受到破壞後的(de)恢複措施；
4) 對(duì)系統的(de)脆弱性進行評估，并采取适當的(de)措施處理(lǐ)相關的(de)風險。注：系統脆弱性評估包括采用(yòng)安全掃描、滲透測試等多(duō)種方式。
2. 備份
1) 應建立備份策略，有足夠的(de)備份設施，确保必要的(de)信息和(hé)軟件在災難或介質故障時(shí)可(kě)以恢複；
2) 網絡基礎服務（登錄、消息發布等）應具備容災能力；
3. 安全審計
1) 應記錄用(yòng)戶活動、異常情況、故障和(hé)安全事件的(de)日志；
2) 審計日志内容應包括：
用(yòng)戶注冊相關信息，包括：
a、用(yòng)戶唯一标識；
b、用(yòng)戶名稱及修改記錄；
c、身份信息，如姓名、證件類型、證件号碼等；
d、注冊時(shí)間、IP地址及端口号；
e、電子郵箱地址和(hé)于機号碼；
f、用(yòng)戶備注信息；
g、用(yòng)戶其他(tā)信息。
群組、頻(pín)道相關信息，包括：
a、創建時(shí)間、創建人(rén)、創建人(rén)IP地址及端口号；
b、删除時(shí)間、删除人(rén)、删除人(rén)IP地址及端口号；
c、群組組織結構：
d、4，群組成員(yuán)列表。
用(yòng)戶登錄信息，包括：
a、用(yòng)戶唯一标識；
b、登錄時(shí)間；
c、退出時(shí)間；
IP地址及端口号。
用(yòng)戶信息發布日志，包括：
a、用(yòng)戶唯一标識；
b、信息标識；
c、信息發布時(shí)間；
d、甲地址及端口号；
e、信息标題或摘要，包括圖片摘要；
用(yòng)戶行爲，包括：
a、進出群組或頻(pín)道；
b、修改、删除所發信息；
c、上傳、下(xià)載文件。
3) 應确保審計日志内容的(de)可(kě)溯源性，即可(kě)追溯到真實的(de)用(yòng)戶ID、網絡地址和(hé)協議(yì)。電子郵件、短信息、網絡電話(huà)、即時(shí)消息、網絡聊天等網絡消息服務提供者應能防範僞造、
隐匿發送者真實标記的(de)消息的(de)措施；涉及地址轉換技術的(de)服務，如移動上網、網絡代理(lǐ)、内容分(fēn)發等應審計轉換前後的(de)地址與端口信息；涉及短網址服務的(de)，應審計原始URL與短URL之間的(de)映射關系。
4) 應保護審計日志，保證無法單獨中斷審計進程，防止删除、修改或覆蓋審計日志。
5) 應能夠根據公安機關要求留存具備指定信息訪問日志的(de)留存功能。
審計日志保存周期
a、應永久保留用(yòng)戶注冊信息、好友列表及曆史變更記錄，永久記錄聊天室（頻(pín)道、群組）注冊信息、成員(yuán)列表以及曆史變更記錄；
b、系統維護日志信息保存12個(gè)月(yuè)以上；
c、應留存用(yòng)戶日志信息12個(gè)月(yuè)以上；
d、對(duì)用(yòng)戶發布的(de)信息内容保存6個(gè)月(yuè)以上；
e、己下(xià)線的(de)系統的(de)日志保存周期也(yě)應符合以上規定。
第七條 應用(yòng)安全
1. 用(yòng)戶管理(lǐ)
1) 向用(yòng)戶宣傳法律法規，應在用(yòng)戶注冊時(shí)．與用(yòng)戶簽訂服務協議(yì)，告知相關權利義務及需承擔的(de)法律責任；
2) 建立用(yòng)戶管理(lǐ)制度，包括：
a、用(yòng)戶實名登記真實身份信息，并對(duì)用(yòng)戶真實身份信息進行有效核驗，有校核驗方法可(kě)追溯到用(yòng)戶登記的(de)真實身份，如：1）身份證與姓名實名驗證服務：2）有效的(de)銀行卡：3）合法、有效的(de)數字證書(shū)：4）己确認真實身份的(de)網絡服務的(de)注冊用(yòng)戶：5）經電信運營商接入實名認證的(de)用(yòng)戶。（如某網站采用(yòng)己經實名認證的(de)第三方賬号登陸，可(kě)認爲該網站的(de)用(yòng)戶已經進行有效核驗；
b、應對(duì)用(yòng)戶注冊的(de)賬号、頭像和(hé)備注等信息進行審核，禁止使用(yòng)違反法律法規和(hé)社會道德的(de)内容；
c、建立用(yòng)戶黑(hēi)名單制度，對(duì)網站自行發現以及公安機關通(tōng)報的(de)多(duō)次、大(dà)量發送傳播違法有害信息的(de)用(yòng)戶應納入黑(hēi)名單管理(lǐ)。
3) 當用(yòng)戶利用(yòng)互聯網從事的(de)服務需要行政許可(kě)時(shí)，應查驗其合法資質，查驗可(kě)以通(tōng)過以下(xià)方法進行：
a、核對(duì)行政許可(kě)文件；
b、通(tōng)過行政許可(kě)主管部門的(de)公開信息；
c、通(tōng)過行政許可(kě)主管部門的(de)驗證電話(huà)、驗證平台。
2. 違法有害信息防範和(hé)處置
1) 公司采取管理(lǐ)與技術措施，及時(shí)發現和(hé)停止違法有害信息發布；
2) 公司采用(yòng)人(rén)工或自動化(huà)方式，對(duì)發布的(de)信息逐條審核，采取技術措施過濾違法有害信息，包括且不限于：
a、基于關鍵詞的(de)文字信息屏蔽過濾；
b、基于樣本數據特征值的(de)文件屏蔽過濾；
c、基于URL的(de)屏蔽過濾。
3) 應采取技術措施對(duì)違法有害信息的(de)來(lái)源實施控制，防止繼續傳播。
注：違法有害信息來(lái)源控制技術措施包括但不限于：封禁特定帳号、禁止新建帳号、禁止分(fēn)享、禁止留言及回複、控制特定發布來(lái)源、控制特定地區(qū)或指定甲帳号登陸、禁止客戶端推送、切斷與第三方應用(yòng)的(de)互聯互通(tōng)等。
4) 公司建立7 * 24h信息巡查制度，及時(shí)發現并處置違法有害信息；
5) 建立涉嫌違法犯罪線索、異常情況報告、安全提示和(hé)案件調查配合制度，包括：
a、對(duì)發現的(de)違法有害信息，立即停止發布傳輸，保留相關證據（包括用(yòng)戶注冊信息、用(yòng)戶登錄信息、用(yòng)戶發布信息等記錄），并向屬地公安機關報告；
b、對(duì)于煽動非法聚集，策劃恐怖活動、揚言實施個(gè)人(rén)極端暴力行爲等重要情況或重大(dà)緊急事件立即向屬地公安機關報告，同時(shí)配合公安機關做(zuò)好調查取證工作。
6) 與公安機關建立7 * 24h違法有害信息快(kuài)速處置工作機制，有明(míng)确URL的(de)單條違法有害信息和(hé)特定文本、圖片、視頻(pín)、鏈接等信息的(de)源頭及分(fēn)享中的(de)任何一個(gè)環節應能再5min 之内删除，相關的(de)屏蔽過濾措施應在10min内生效。
3. 破壞性程序防範
1) 實施破壞性程序的(de)發現和(hé)停止發布措施、并保留發現的(de)破壞性程序的(de)相關證據；
2) 對(duì)軟件下(xià)載服務提供者（包括應用(yòng)軟件商店(diàn)），檢查用(yòng)戶發布的(de)軟件是否是計算(suàn)機病毒等惡意代碼。
第八條 個(gè)人(rén)電子信息保護
1. 制定明(míng)确、清楚的(de)個(gè)人(rén)電子信息處置規則，并且在顯著位置予以公示。在用(yòng)戶注冊時(shí)，在與用(yòng)戶簽訂服務協議(yì)中明(míng)示收集與使用(yòng)個(gè)人(rén)電子信息的(de)目的(de)、範圍與方式；
2. 僅收集爲實現正當商業目的(de)和(hé)提供網絡服務所必需的(de)個(gè)人(rén)信息；收集個(gè)人(rén)電子信息時(shí)，取得(de)用(yòng)戶的(de)明(míng)确授權同意：公司在将個(gè)人(rén)電子信息交給第三方處理(lǐ)時(shí)，處理(lǐ)方符合本制度标準的(de)要求，并取得(de)用(yòng)戶明(míng)确授權同意；法律、行政法規另有規定的(de)，遵從其規定；
3. 公司在修改個(gè)人(rén)電子信息處理(lǐ)時(shí)，應告知用(yòng)戶，并取得(de)其同意；
4. 技術措施
公司建立覆蓋個(gè)人(rén)電子信息處理(lǐ)的(de)各個(gè)環節的(de)安全保護制度和(hé)技術措施，防止個(gè)人(rén)電子信息洩露、損毀、丢失，包括：
a、采用(yòng)加密方式保存用(yòng)戶密碼等重要信息；
b、審計内部員(yuán)工對(duì)涉及個(gè)人(rén)電子信息的(de)所有操作，并對(duì)審計進行分(fēn)析，預防内部員(yuán)工故意洩露；
c、審計個(gè)人(rén)電子信息上載、存儲或傳輸，作爲信息洩露，毀損，丢失的(de)查詢依據；
d、建立程序來(lái)控制對(duì)涉及個(gè)人(rén)電子信息的(de)系統和(hé)服務的(de)訪問權的(de)分(fēn)配。這(zhè)些程序涵蓋用(yòng)戶訪問生存周期内的(de)各個(gè)階段，從新用(yòng)戶初始注冊到不再需要訪問信息系統和(hé)服務的(de)用(yòng)戶的(de)最終撤銷；
e、公司系統的(de)安全保障技術措施覆蓋個(gè)人(rén)電子信息處理(lǐ)的(de)各個(gè)環節，防止網絡違法犯罪活動竊取信息，降低個(gè)人(rén)電子信息洩露的(de)風險。
5. 個(gè)人(rén)信息洩露事件的(de)處理(lǐ)
當發現個(gè)人(rén)電子信息洩露時(shí)間後，應：立即采取補救措施，防止信息繼續洩露，并在0~24小時(shí)内告知用(yòng)戶，根據用(yòng)戶初始注冊信息重新激活賬戶，避免造成更大(dà)的(de)損失立即告屬地公安機關
第九條 安全事件管理(lǐ)
1. 安全時(shí)間管理(lǐ)制度
1) 建立安全事件的(de)監測、報告和(hé)應急處置制度，确保快(kuài)速有效和(hé)有序地響應安全事件；
2) 安全事件包括違法有害信息、危害計算(suàn)機信息系統安全的(de)異常情況及突發公共事件。
2. 應急預案
制定安全事件應急處置預案，向屬地公安機關寶貝，并定期開展應急演練。
3. 突發公共事件處理(lǐ)
突發公共事件分(fēn)爲四級Ⅰ級（特别重大(dà)）、I l級（重大(dà)）、Ill級（較大(dà)）、IV級（一般），互聯網交互式服務提供者應建立相應處置機制，當突發公共事件發生後，投入相應的(de)人(rén)力與技術措施開展處置工作：
1) Ⅰ級；應投入安全管理(lǐ)等部門80％甚至全部人(rén)力開展處置工作；
2) Ⅱ級：應投入安全管理(lǐ)等部門50％．80％的(de)人(rén)力開展處置工作；
3) Ⅲ級：應投入安全管理(lǐ)等部門30％．50％的(de)人(rén)力開展處置工作；
4) Ⅳ級：應投入安全管理(lǐ)等部門30％的(de)人(rén)力開展處置工作。
4. 技術接口
公司網站所設技術接口爲公安機關提供的(de)符合國家及公共安全行業标準的(de)技術接口，能确保實時(shí)，有效地提供相關證據。