中國重汽（香港）有限公司

信息安全政策

一、目的

為強(qiáng)化中國重汽集團(tuán)信息安全管理體系，明確全員信息安全責(zé)任，保護(hù)數(shù)據(jù)完整性，防范信息安全威脅，確保集團(tuán)信息資產(chǎn)（含商業(yè)數(shù)據(jù)、保密信息、知識產(chǎn)權(quán)及IT資源）的安全可控，支撐集團(tuán)業(yè)務(wù)穩(wěn)定運(yùn)營與合規(guī)發(fā)展，特制定本政策。

二、適用范圍

本政策適用于中國重汽集團(tuán)全體員工，以及所有與集團(tuán)進(jìn)行業(yè)務(wù)往來的“商業(yè)伙伴”（包括但不限于客戶、供應(yīng)商、代理商、經(jīng)銷商、服務(wù)商、第三方中介機(jī)構(gòu)等）。

三、核心承諾與要求

3.1 持續(xù)改進(jìn)信息安全體系

中國重汽集團(tuán)承諾通過定期評估、風(fēng)險(xiǎn)監(jiān)測與技術(shù)升級，持續(xù)優(yōu)化信息安全管理體系，確保其與集團(tuán)業(yè)務(wù)發(fā)展、法規(guī)要求及技術(shù)環(huán)境變化相適應(yīng)，有效應(yīng)對新型信息安全挑戰(zhàn)。

3.2 確保數(shù)據(jù)的完整性與保護(hù)

集團(tuán)嚴(yán)格保護(hù)所有業(yè)務(wù)數(shù)據(jù)（含財(cái)務(wù)、客戶、研發(fā)、運(yùn)營等數(shù)據(jù)）的完整性，通過加密存儲、訪問控制、備份恢復(fù)等技術(shù)與管理措施，防止數(shù)據(jù)篡改、丟失或損壞，確保數(shù)據(jù)在全生命周期內(nèi)的準(zhǔn)確性、可用性與安全性。

3.3 監(jiān)控并應(yīng)對信息安全威脅

中國重汽集團(tuán)建立覆蓋網(wǎng)絡(luò)、系統(tǒng)、終端及人員行為的信息安全監(jiān)控機(jī)制，實(shí)時(shí)識別潛在威脅（如網(wǎng)絡(luò)攻擊、數(shù)據(jù)泄露、惡意軟件等）；通過應(yīng)急預(yù)案、事件響應(yīng)流程及定期演練，快速處置安全事件，降低風(fēng)險(xiǎn)影響，保障業(yè)務(wù)連續(xù)性。

3.4 明確全體員工的信息安全責(zé)任

集團(tuán)全體員工（含管理人員）是信息安全的第一責(zé)任人，須嚴(yán)格遵守集團(tuán)信息安全政策與操作規(guī)范，主動識別并報(bào)告安全隱患，禁止任何違規(guī)操作（如泄露保密信息、使用弱密碼、連接未授權(quán)設(shè)備等）；管理層須以身作則，推動信息安全文化落地，確保責(zé)任落實(shí)到崗到人。

3.5 對第三方（如供應(yīng)商）建立信息安全要求

中國重汽集團(tuán)要求所有第三方合作伙伴（含供應(yīng)商、服務(wù)商等）在合作期間遵守同等信息安全標(biāo)準(zhǔn)，通過合同條款明確其數(shù)據(jù)保護(hù)義務(wù)、訪問權(quán)限限制及違規(guī)責(zé)任；合作前開展信息安全能力評估，合作中定期監(jiān)督，確保第三方處理集團(tuán)信息時(shí)符合集團(tuán)安全要求，防范供應(yīng)鏈安全風(fēng)險(xiǎn)。

3.6 信息安全監(jiān)督管理責(zé)任

中國重汽集團(tuán)設(shè)立由董事長負(fù)責(zé)的網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組，作為集團(tuán)信息安全監(jiān)督管理的最高決策機(jī)構(gòu)，全面負(fù)責(zé)信息安全工作的戰(zhàn)略規(guī)劃、重大事項(xiàng)決策及監(jiān)督執(zhí)行。

四、配套管理要求

4.1 員工行為規(guī)范

集團(tuán)全體員工須嚴(yán)格保護(hù)保密信息（如客戶數(shù)據(jù)、研發(fā)資料等），禁止外傳、私自留存或未授權(quán)使用，離開工位時(shí)及時(shí)鎖屏；使用集團(tuán)IT設(shè)備須設(shè)置高強(qiáng)度密碼并定期更新，公共網(wǎng)絡(luò)處理敏感信息時(shí)啟用加密通信；發(fā)現(xiàn)可疑郵件、系統(tǒng)漏洞等異常情況，須立即向信息安全部或直屬經(jīng)理報(bào)告。

4.2 監(jiān)督與改進(jìn)機(jī)制

集團(tuán)定期開展信息安全審計(jì)與事件復(fù)盤，通過漏洞排查與根因分析持續(xù)優(yōu)化防護(hù)措施；同步落實(shí)年度全員信息安全培訓(xùn)及關(guān)鍵崗位專項(xiàng)教育，全面提升員工風(fēng)險(xiǎn)識別與合規(guī)意識。