安全穩(wěn)定運(yùn)營(yíng)
安全穩(wěn)定運(yùn)營(yíng)是世紀(jì)互聯(lián)的核心價(jià)值目標(biāo)之一，其憑借全面的安全策略與技術(shù)手段，全力保障業(yè)務(wù)連續(xù)性與數(shù)據(jù)安全性。
運(yùn)營(yíng)安全與業(yè)務(wù)連續(xù)性
世紀(jì)互聯(lián)始終秉持為客戶提供高品質(zhì)、可持續(xù)的互聯(lián)網(wǎng)基礎(chǔ)設(shè)施服務(wù)的宗旨，密切關(guān)注并有效應(yīng)對(duì)業(yè)務(wù)運(yùn)營(yíng)中面臨的內(nèi)外部風(fēng)險(xiǎn)，確保業(yè)務(wù)運(yùn)行的安全性、穩(wěn)定性與連續(xù)性。
在安全運(yùn)營(yíng)方面，我們首先將數(shù)據(jù)中心選址建設(shè)在遠(yuǎn)離重大自然地理風(fēng)險(xiǎn)的區(qū)域，以最大程度預(yù)防自然災(zāi)害對(duì)業(yè)務(wù)的影響。數(shù)據(jù)中心的設(shè)計(jì)嚴(yán)格參照《數(shù)據(jù)中心設(shè)計(jì)規(guī)范》（GB 50174-2017）中A級(jí)標(biāo)準(zhǔn)，并且符合網(wǎng)絡(luò)安全等級(jí)保護(hù)三級(jí)標(biāo)準(zhǔn)的物理環(huán)境安全要求。我們實(shí)施了嚴(yán)格的物理訪問(wèn)控制措施，在數(shù)據(jù)中心及辦公區(qū)入口設(shè)置保安、配備智能閘機(jī)等系統(tǒng)，根據(jù)訪問(wèn)授權(quán)嚴(yán)格控制出入權(quán)限。同時(shí)，實(shí)現(xiàn)數(shù)據(jù)中心內(nèi)部及外圍區(qū)域的監(jiān)控設(shè)施全覆蓋，確保安全無(wú)死角。
集團(tuán)建立并有效運(yùn)行業(yè)務(wù)連續(xù)性管理體系。我們制定并持續(xù)評(píng)估《業(yè)務(wù)連續(xù)性管理策略》《業(yè)務(wù)影響分析》和《業(yè)務(wù)連續(xù)性計(jì)劃》，根據(jù)實(shí)際需求進(jìn)行適時(shí)更新，確保策略和程序的控制措施適當(dāng)、充分、有效。我們對(duì)數(shù)據(jù)中心進(jìn)行全面的業(yè)務(wù)影響分析和風(fēng)險(xiǎn)評(píng)估，確保關(guān)鍵業(yè)務(wù)在面臨重大安全事件、災(zāi)難或中斷時(shí)能夠持續(xù)運(yùn)行或在預(yù)期的時(shí)間內(nèi)恢復(fù)至可接受的服務(wù)水平。同時(shí)，各業(yè)務(wù)單位制定符合自身經(jīng)營(yíng)活動(dòng)和風(fēng)險(xiǎn)場(chǎng)景的《應(yīng)急預(yù)案》，定期開(kāi)展應(yīng)急演練，并通過(guò)事后總結(jié)機(jī)制，不斷優(yōu)化應(yīng)急處理流程，保障業(yè)務(wù)連續(xù)性管理能力的持續(xù)提升。目前，我們主營(yíng)業(yè)務(wù)所涉及的多場(chǎng)所已通過(guò)業(yè)務(wù)連續(xù)性管理體系（ISO 22301）認(rèn)證。
網(wǎng)絡(luò)安全與隱私保護(hù)
世紀(jì)互聯(lián)憑借豐富的安全管理經(jīng)驗(yàn)，依托完善的網(wǎng)絡(luò)安全管理體系、嚴(yán)謹(jǐn)?shù)臄?shù)據(jù)保護(hù)制度要求、先進(jìn)的網(wǎng)絡(luò)安全系統(tǒng)與風(fēng)險(xiǎn)管理程序，持續(xù)強(qiáng)化數(shù)據(jù)中心和云服務(wù)平臺(tái)的運(yùn)營(yíng)管理能力，為網(wǎng)絡(luò)安全與隱私保護(hù)提供堅(jiān)實(shí)保障。
·管理架構(gòu)和體系
世紀(jì)互聯(lián)嚴(yán)格遵守運(yùn)營(yíng)所在地網(wǎng)絡(luò)安全與隱私保護(hù)相關(guān)法律法規(guī)，持續(xù)加強(qiáng)管理體系的建設(shè)及落地，通過(guò)《網(wǎng)絡(luò)及信息系統(tǒng)管理規(guī)定》《信息安全管理要求》與《信息安全風(fēng)險(xiǎn)管理程序》等制度，明確各業(yè)務(wù)的網(wǎng)絡(luò)安全管理職責(zé)，為網(wǎng)絡(luò)安全日常實(shí)踐提供規(guī)范化指導(dǎo)依據(jù)。我們制定了適用于全集團(tuán)的《隱私聲明》，闡明了可能收集的信息類型及性質(zhì)、如何使用該等信息、信息的授權(quán)同意、如何保留、儲(chǔ)存和保護(hù)該等信息等內(nèi)容，確?？蛻綦[私安全得到全方位保障。
集團(tuán)建立了完善的信息安全管治架構(gòu)，對(duì)信息安全工作（包括數(shù)據(jù)與隱私保護(hù)）進(jìn)行監(jiān)督和執(zhí)行。董事會(huì)審計(jì)委員會(huì)監(jiān)督集團(tuán)定期報(bào)告中有關(guān)網(wǎng)絡(luò)安全事項(xiàng)的披露情況。集團(tuán)的信息安全計(jì)劃由我們的首席信息安全官（CISO）進(jìn)行監(jiān)督，各業(yè)務(wù)和職能部門之間進(jìn)行協(xié)作，并聽(tīng)取管理層和董事會(huì)的意見(jiàn)。CISO 負(fù)責(zé)制定和執(zhí)行集團(tuán)的信息安全戰(zhàn)略，其主要目標(biāo)是保護(hù)集團(tuán)的信息和技術(shù)資產(chǎn)，包括對(duì)網(wǎng)絡(luò)威脅進(jìn)行監(jiān)控、報(bào)告、管理和補(bǔ)救。
集團(tuán)積極開(kāi)展信息安全與隱私保護(hù)相關(guān)認(rèn)證工作，全面鞏固和提升集團(tuán)信息安全防護(hù)能力。目前，集團(tuán)已獲得了信息技術(shù)服務(wù)管理體系（ISO/IEC 20000）及信息安全管理體系（ISO/IEC 27001）認(rèn)證，覆蓋全部業(yè)務(wù)類型 ；由世紀(jì)互聯(lián)運(yùn)營(yíng)的在線服務(wù)已獲得公有云個(gè)人信息保護(hù)管理體系（ISO/IEC 27018）認(rèn)證。
集團(tuán)依據(jù)安全方針和目標(biāo)，定期組織內(nèi)部審計(jì)，以管理要求符合性審查為核心，同時(shí)覆蓋包括運(yùn)營(yíng)管理、服務(wù)管理、信息安全及業(yè)務(wù)連續(xù)性管理在內(nèi)的多個(gè)管理體系領(lǐng)域。此外，每年由外部專業(yè)機(jī)構(gòu)開(kāi)展第三方安全審計(jì)，旨在對(duì)年度內(nèi)數(shù)據(jù)中心的運(yùn)營(yíng)管理情況給出客觀評(píng)價(jià)，排查并消除運(yùn)營(yíng)安全、數(shù)據(jù)安全隱患，持續(xù)提升經(jīng)營(yíng)管理的規(guī)范性和安全性。針對(duì)互聯(lián)網(wǎng)數(shù)據(jù)中心服務(wù)的安全性和可用性，我們已委托獨(dú)立第三方機(jī)構(gòu)開(kāi)展SOC 2 Type II鑒證審核。世紀(jì)互聯(lián)藍(lán)云已通過(guò)9項(xiàng)中國(guó)信息通信研究院可信云認(rèn)證，并通過(guò)了由獨(dú)立第三方機(jī)構(gòu)開(kāi)展的SOC 1 Type II、SOC 2 Type II、SOC 3鑒證審核。
·措施保障
-
◇網(wǎng)絡(luò)安全
世紀(jì)互聯(lián)主要提供數(shù)據(jù)中心托管服務(wù)，即僅向客戶租賃IT設(shè)備托管空間和互聯(lián)網(wǎng)接入帶寬、鏈路，同時(shí)提供機(jī)房運(yùn)維服務(wù)。服務(wù)器由客戶自行管理，不直接或間接接觸客戶服務(wù)器內(nèi)的數(shù)據(jù)和信息。我們著重加強(qiáng)并提升機(jī)房物理安全防護(hù)，提供客戶IT設(shè)備穩(wěn)定運(yùn)行所依賴的物理環(huán)境，保障客戶IT設(shè)備的物理安全與運(yùn)行安全。
針對(duì)網(wǎng)絡(luò)安全和網(wǎng)絡(luò)邊界防護(hù)方面，我們嚴(yán)格落實(shí)集團(tuán)網(wǎng)絡(luò)安全管理和數(shù)據(jù)保護(hù)相關(guān)制度要求，確保及時(shí)、有效管控風(fēng)險(xiǎn)，保障集團(tuán)網(wǎng)絡(luò)和數(shù)據(jù)資產(chǎn)的安全。
-
◇隱私保護(hù)
我們將數(shù)據(jù)保護(hù)措施嵌入產(chǎn)品和服務(wù)的開(kāi)發(fā)過(guò)程中。我們開(kāi)展隱私影響評(píng)估，通過(guò)部署私有云、數(shù)據(jù)加密、訪問(wèn)控制、備份與恢復(fù)等多方面的措施，為產(chǎn)品和服務(wù)的開(kāi)發(fā)提供一個(gè)高度安全、可控的數(shù)據(jù)存儲(chǔ)和處理環(huán)境。
我們制定適用于所有訪客的《個(gè)人信息采集告知書(shū)》，明確指出集團(tuán)僅收集訪客管理所必需的個(gè)人信息，并承諾對(duì)收集、使用的信息嚴(yán)格保密，不泄露、篡改，不出售或者非法向他人提供；并將在訪客離開(kāi)后主動(dòng)刪除或安全處理相關(guān)信息。對(duì)于涉及例如客戶項(xiàng)目機(jī)密信息、個(gè)人敏感信息等機(jī)密或敏感數(shù)據(jù)，我們執(zhí)行嚴(yán)格的訪問(wèn)控制管理，以增強(qiáng)數(shù)據(jù)訪問(wèn)的安全性。為了防止數(shù)據(jù)外泄，我們?yōu)閱T工辦公電腦設(shè)置了硬盤(pán)加密，安裝了數(shù)據(jù)防泄露軟件；第三方公司駐場(chǎng)必須配備集團(tuán)內(nèi)部筆記本電腦，使用內(nèi)部分配賬號(hào)，其賬戶權(quán)限按最小權(quán)限進(jìn)行分配。我們與具備數(shù)據(jù)銷毀專業(yè)資質(zhì)的機(jī)構(gòu)合作，對(duì)報(bào)廢IT設(shè)備中的存儲(chǔ)介質(zhì)實(shí)施全面消磁、徹底清除及物理破壞，嚴(yán)范信息泄露。
·能力與文化建設(shè)
我們持續(xù)加強(qiáng)對(duì)員工網(wǎng)絡(luò)安全與隱私保護(hù)的意識(shí)和能力，結(jié)合不同崗位所面臨的差異性數(shù)據(jù)安全風(fēng)險(xiǎn)，提供針對(duì)性培訓(xùn)，內(nèi)容涵蓋信息安全法規(guī)、制度、理念及技術(shù)等多個(gè)維度。我們要求所有新入職員工均須完成信息安全專項(xiàng)培訓(xùn)并通過(guò)考核。此外，集團(tuán)進(jìn)一步強(qiáng)化員工對(duì)網(wǎng)絡(luò)釣魚(yú)郵件的防范意識(shí)，定期發(fā)布釣魚(yú)郵件安全預(yù)警，開(kāi)展全員釣魚(yú)郵件安全演練，整體提升集團(tuán)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)識(shí)別與應(yīng)對(duì)能力。截至2024年末，集團(tuán)全體員工網(wǎng)絡(luò)安全受訓(xùn)比例達(dá)100%。
我們建立了內(nèi)部員工舉報(bào)機(jī)制，員工可通過(guò)內(nèi)部通訊軟件、郵件、電話等渠道，將發(fā)現(xiàn)的信息安全事件、漏洞、可疑內(nèi)容上報(bào)至網(wǎng)絡(luò)與信息系統(tǒng)安全工作組，由工作組對(duì)上報(bào)內(nèi)容和來(lái)源進(jìn)行審核和處置。
世紀(jì)互聯(lián)設(shè)立業(yè)務(wù)合規(guī)經(jīng)營(yíng)與信息安全工作獎(jiǎng)勵(lì)基金，旨在表彰和獎(jiǎng)勵(lì)在業(yè)務(wù)合規(guī)經(jīng)營(yíng)與信息安全工作中做出突出貢獻(xiàn)的團(tuán)體和個(gè)人。同時(shí)，對(duì)遲報(bào)、謊報(bào)、瞞報(bào)和漏報(bào)安全事件或者存在其他失職、瀆職行為的有關(guān)責(zé)任人，依據(jù)《網(wǎng)絡(luò)及信息系統(tǒng)安全工作考核與問(wèn)責(zé)管理規(guī)定》給予相應(yīng)的紀(jì)律處分，構(gòu)成犯罪的，依法追究刑事責(zé)任。
負(fù)責(zé)任供應(yīng)鏈
世紀(jì)互聯(lián)始終遵循國(guó)家法律法規(guī)及行業(yè)規(guī)范，按照《采購(gòu)管理規(guī)定》《供應(yīng)商管理細(xì)則》及《采購(gòu)人員行為規(guī)范》等規(guī)章制度，清晰界定采購(gòu)流程中的職責(zé)分配，嚴(yán)格規(guī)范采購(gòu)人員的職業(yè)操守，并緊密監(jiān)督合作供應(yīng)商的產(chǎn)品交付質(zhì)量，確保采購(gòu)管理全鏈條的高質(zhì)量運(yùn)行。
截至2024年末，世紀(jì)互聯(lián)在庫(kù)供應(yīng)商總數(shù)為3,133家。集團(tuán)通過(guò)供應(yīng)商關(guān)系管理（SRM）系統(tǒng)整合，實(shí)現(xiàn)了供應(yīng)商全生命周期的數(shù)字化管理，覆蓋供應(yīng)商尋源、準(zhǔn)入審核、履約管理、協(xié)作溝通等關(guān)鍵環(huán)節(jié)，有效提升了采購(gòu)管理流程的可視化和可追溯性。
集團(tuán)建立了嚴(yán)謹(jǐn)?shù)墓?yīng)商管理流程：
◇在準(zhǔn)入階段，我們通過(guò)科學(xué)的評(píng)價(jià)考核體系，對(duì)潛在供應(yīng)商進(jìn)行客觀公正的評(píng)價(jià)，確保合格供應(yīng)商入圍；開(kāi)展實(shí)地考察，對(duì)供應(yīng)商的生產(chǎn)能力、設(shè)備狀況、質(zhì)量管理流程等進(jìn)行現(xiàn)場(chǎng)評(píng)估，以篩選優(yōu)質(zhì)供應(yīng)商。
◇對(duì)于已有供應(yīng)商，我們進(jìn)行持續(xù)的監(jiān)督和評(píng)估，定期開(kāi)展綜合評(píng)估，涵蓋服務(wù)意識(shí)、產(chǎn)品質(zhì)量、履約能力等多個(gè)方面，確保供應(yīng)商始終符合集團(tuán)的要求。
◇對(duì)于考核不達(dá)標(biāo)的供應(yīng)商，我們根據(jù)其考核問(wèn)題及整改情況，將其分類為整改供應(yīng)商、不合格供應(yīng)商、暫停合作供應(yīng)商及列入黑名單的供應(yīng)商，以便更有針對(duì)性地幫助供應(yīng)商解決問(wèn)題。
我們制定并發(fā)布《供應(yīng)商行為守則》，從商業(yè)道德、環(huán)境保護(hù)、人權(quán)、數(shù)據(jù)安全與隱私保護(hù)等多個(gè)維度對(duì)供應(yīng)商進(jìn)行規(guī)范和約束，要求所有供應(yīng)商簽署并遵守。在確保滿足采購(gòu)需求和合同履行約定的基礎(chǔ)上，我們將ESG風(fēng)險(xiǎn)考量納入供應(yīng)商管理流程中，著重考量其在環(huán)保低碳、網(wǎng)絡(luò)安全與隱私保護(hù)、勞工權(quán)益、職業(yè)健康安全及廉潔誠(chéng)信方面的表現(xiàn)，全力推動(dòng)供應(yīng)商提升可持續(xù)發(fā)展水平。本年度，集團(tuán)針對(duì)重點(diǎn)供應(yīng)商開(kāi)展了涵蓋隱私與數(shù)據(jù)安全、廉潔和商業(yè)道德、環(huán)境保護(hù)等核心內(nèi)容的專項(xiàng)培訓(xùn)與交流，全面提升供應(yīng)商可持續(xù)發(fā)展相關(guān)的認(rèn)知水平及實(shí)踐能力。本年度，未發(fā)現(xiàn)供應(yīng)商在商業(yè)道德、信息安全、員工權(quán)益、環(huán)境保護(hù)等方面存在的不合規(guī)行為。
