人员保密与持续安全教育制度

一、接触客户资料前先完成准备

公司员工、实习人员和外包协作者在获得项目访问权限前，应确认身份、工作范围和保密义务，签署适用的劳动、服务或保密约定，并完成相应培训。项目负责人负责检查，不能以人员短期参与为由省略。

需要了解的保密内容包括客户业务、源码、合同、数据、账号和未公开项目信息。不得擅自转存到私人邮箱、网盘、社交群或公开仓库；未经客户授权，也不得将客户名称、系统截图或成果作为公开案例。

确需背景核查的，应有合法依据，与岗位风险相关，不额外收集无关个人信息。

二、什么时候组织培训

安全负责人制定年度安排，项目负责人确保相关人员参加。培训不只阅读文件，还应结合实际操作或案例检查是否理解。

以上是公司应执行的安排。实际完成情况，以真实的参加、考核和补训记录为准，不能把培训计划或学习材料当成已经完成的证明。

三、不同岗位应学会什么

所有人员都应会保护密码和验证码、识别可疑链接、核对收件人、正确分享资料、锁屏和报告设备丢失。发现误发文件或疑似泄露时，应立即报告并协助止损，不能自行删掉记录来掩盖问题。

研发人员应会检查服务器端权限、不同客户数据隔离、上传和恶意输入风险、密钥保护、第三方软件许可及安全测试。例如，能够说明为什么只隐藏页面按钮不能阻止越权。

运维人员应掌握受控登录、补丁、操作日志、备份恢复、生产变更和证据保护，并能实际演示撤销权限和在隔离环境恢复数据。

项目和商务人员应能向客户讲清数据用途、AI及供应商安排、服务范围和通知方式。管理人员应掌握责任分工、风险批准、资源安排及安全事件报告，不能把供应商认证宣传为公司自身认证。

四、AI使用专项要求

人员只能使用公司批准的AI工具和账号。发送资料前，确认客户是否授权、哪些内容允许发送、服务商是否满足保密和数据使用要求。生产密码、验证码和访问密钥禁止输入AI；未授权的客户源码、原始日志及保密资料不得外发。

付费账号、API调用或去掉姓名，都不自动等于满足要求。例如，去掉姓名的合同仍可能含有客户未公开的交易内容，不能因此直接上传。

AI输出、网页或附件中的指令都需要判断。涉及删除、外发、生产发布或资金操作时，必须由有权人员确认。生成代码、政策解释和重要结论应人工复核；面向公众的新功能，还要检查适用的标识和上线手续。

五、怎样考核和补训

安全负责人为培训安排相符的测验或实操，公司默认100分制、80分合格。泄露凭据、绕过登录保护、跨客户访问和隐瞒事件等关键错误，必须纠正并复测，即使总分达到80分也不能直接通过。

缺席或未通过的人员，原则上在10个工作日内完成补训。补训合格前不得新增相关高风险权限；已有权限由项目负责人判断是否限制或安排陪同操作。

不允许代签、代答，也不允许编造过去日期的签到和成绩。内部讲义和题库可供组织培训使用，但不能预填参加人员或考试结果。

六、记录什么，怎样判断有效

每次记录实际日期、形式、时长、讲师、教材版本、应到与实到人员、测试题或操作任务、结果及补训完成情况。安全负责人限制记录访问；需要向客户证明时，按授权提供必要的脱敏材料。

每季度至少抽查一次实际行为，例如日志是否误存密钥、离岗账号是否撤销、AI发送资料是否在批准范围内。出现重复问题，要调整操作控制和培训内容，并明确改进负责人，不能只增加签到次数。

七、离岗与违规处理

人员离岗或任务结束时，项目负责人清点账号、密钥、设备、代码和资料。运维人员及时撤销权限，必要时更换其知悉的共享密钥，记录实际完成时间和检查人。

违规处理应依据事实、影响和适用规则。对及时报告失误的人员，应先控制损失并调查原因，避免让人员因担心追责而隐瞒。公司负责人至少每年检查培训覆盖、补训、关键错误和实际行为，落实改进安排。

本制度参考GB/T 22239—2019人员安全管理要求及个人信息保护合规审计要求。