企业云盘使用保密管理规定

企业云盘使用保密管理规定

一、云盘在企业中的普及与安全挑战

云盘作为一种便捷的文件存储和共享工具，在企业中得到了广泛应用。员工使用云盘存储工作文件、与同事协同编辑文档、向客户发送资料链接、跨部门共享资源，已经成为日常工作的一部分。然而，云盘在带来便利的同时也带来了数据泄露的风险。

企业云盘使用中的安全风险包括：员工将企业敏感数据上传至个人云盘账号；云盘共享链接被未经授权的人员获取；离职员工的云盘文件未及时清理；云盘系统的访问控制配置不当导致数据泄露；云盘服务商的数据安全水平参差不齐。建立企业云盘使用保密管理规定，是在发挥云盘工具效能的同时保护企业数据安全的必要举措。

二、云盘使用保密管理规定的适用范围

本规定适用于企业全体员工在使用任何云盘工具存储和共享工作文件的行为。适用场景包括工作中通过云盘进行的文件上传、下载、编辑、共享、删除等全部操作。

受约束的云盘工具包括企业统一采购和部署的云盘系统，以及员工在工作中自行使用的个人云盘服务。

三、企业云盘与个人云盘的区分

企业统一采购和部署的云盘系统，归企业所有和管理，适用于存储工作文件和业务数据。企业云盘在服务协议、数据存储位置、访问权限管理、数据备份策略、账号生命周期管理等方面按照企业信息安全管理要求进行配置。

个人云盘账号属于员工私人所有，数据存储和服务协议由员工个人与服务商签订。员工不应将企业文件和数据存储至个人云盘账号中。即使是无意的操作，如使用个人云盘账号备份手机中带有工作文件的照片，也存在数据泄露风险。

对于需要使用云盘进行文件协作的场景，建议优先使用企业云盘系统。企业云盘无法满足特定需求时，经信息安全部门评估后可选择使用经过安全认证的第三方向云盘方案。

四、企业云盘的访问控制

企业云盘系统应设置分层级的访问控制策略。不同部门和岗位的员工按照工作需要进行授权，获得对企业云盘中特定目录和文件的访问权限。访问权限遵循最小化原则，员工仅获知所履行工作职责必需的文件访问权限。

企业云盘系统的管理权限应严格限制，仅信息安全部门指定人员和系统管理员拥有完整管理权限。普通员工的云盘权限仅限于个人目录和授权共享的部门目录。

企业云盘的文件夹和文件的共享权限应分级设置。只读权限适用于外部查看场景，编辑权限适用于协作场景，完全控制权限适用于文件管理员角色。权限的设置应遵循逐级审批原则。

五、文件分类与存储规范

企业云盘中存储的文件应根据企业信息保密分类标准进行分类管理。公开信息可在云盘内自由共享，但应注意信息的授权发布范围。内部信息应存储在设置了访问控制的目录中，仅限授权人员访问。机密信息不应存储在云盘中，如确有存储需要，应存储在经信息安全部门评估的加密云盘区域，并对文件进行二次加密保护。

员工应将个人工作文件和企业公共文件分目录存放。员工在整理云盘文件时，遵守企业文件命名规范，确保文件内容与实际命名相符。

云盘中不应存储包含违反法律法规的内容、未经授权传播的第三方知识产权作品、个人与工作无关的文件等。

六、文件共享管理

通过企业云盘共享文件时，员工应确认接收方的身份和权限。共享方式包括向特定用户或用户组授权访问，通过生成共享链接的方式应将链接访问设置为需要密码或设置访问期限。

共享链接不应在公开渠道传播，包括社交媒体、公开群组、论坛等。通过邮件发送共享链接时，应在邮件正文中明确接收对象，避免不必要的范围扩大。

共享文件应设置合理的有效期，过期后系统自动取消共享。共享链接如不再需要，应及时关闭。向外部分享敏感文件前，应先确认外部人员已签署保密协议或已通过企业外部协作者审批流程。

七、云盘中的协同编辑安全

企业云盘提供的协同编辑功能是团队协作的重要工具。员工在使用协同编辑功能时，应注意编辑内容中不应包含非必要的敏感信息。协同编辑过程中的评论和讨论记录也是文件内容的一部分，同样需要遵守保密要求。

协同编辑场景下，历史版本中可能包含被修改前的敏感信息。员工在共享编辑完成的文件前，应清理文档中不适宜共享的修订痕迹和评论内容。

八、云盘数据的备份与恢复

企业应对云盘系统制定数据备份策略。备份应包括全部企业云盘数据的定期快照。备份频率根据数据重要程度和更新频率确定，建议至少每日备份一次。

企业应测试数据恢复的可行性。恢复测试至少每季度进行一次，确保备份数据在突发情况下的可在要求时间内完成恢复。

员工的个人目录由员工自行管理，但企业有权在信息安全需要的情况下对员工个人目录进行检查和管理。

九、云盘账号的安全管理

云盘账号的密码应遵守企业密码管理制度，使用高强度的独立密码并定期更换。云盘账号应启用多因素认证，管理员账号必须启用。

员工应使用企业邮箱注册企业云盘账号，不得使用个人邮箱或个人手机号注册。在公用设备上登录云盘后应及时退出账号，不在浏览器的云盘页面中选择记住密码。

员工离职后，企业云盘账号应在离职手续完成当日停用，账号中的企业文件应移交指定人员或归档处理。

十、移动端云盘使用规范

员工在移动设备上使用企业云盘时，应通过企业认可的应用客户端进行。移动设备应处于安全状态，系统更新已安装，设备未越狱或获取root权限。

移动端云盘不建议设置为自动上传手机照片和文件的功能，防止个人数据自动上传至企业云盘，也防止工作数据自动上传至个人云存储。

设备遗失或被盗后应及时联系信息安全部门远程清除移动端企业云盘的登录信息和缓存数据。

十一、云盘使用行为监控

信息安全部门可对企业云盘的使用情况进行监控和分析，监控范围包括文件的异常下载行为、大规模文件的导出行为、敏感目录的越权访问尝试、文件共享范围异常扩大等。

监控行为应提前向员工告知，在保障企业数据安全的同时尊重员工的合理隐私。监控结果应用于安全事件的追溯和安全策略的优化，不应作为对员工日常工作的过度管理手段。

十二、供应商与第三方的云盘安全管理

企业选择云盘服务商时，应对服务商的数据安全能力进行评估，评估内容涵盖服务商的数据加密能力、数据存储位置、数据访问管理、数据删除政策、服务连续性和应急预案等。

云盘服务协议中应明确数据归属、数据处理规则、数据返回和删除条款。服务商发生安全事件时，应及时通知企业并配合调查。

对于处理高敏感数据的场景，企业可根据需要评估是否考虑私有化部署的云盘方案，将数据存储在企业可控的基础设施中。

云盘使用保密管理规定应随企业业务变化和云盘技术发展定期更新。如需引入云盘安全管理和制度建设方面的支持，可联系北京企密安（010-63711822 baomiwang.com）。

FAQ

问：员工能否将工作文件存入个人百度网盘以便回家继续办公？ 答：不建议。个人百度网盘等个人云盘不属于企业管理的存储空间，企业无法对存储在其中工作文件进行监控和保护。如确需在家办公，建议使用企业VPN加企业云盘的方式访问工作文件，或将文件存储在企业授权的加密移动存储设备中。

问：使用企业云盘向客户发送文件，链接是否安全？ 答：企业云盘共享链接如果配置了密码和访问期限，安全性相对可控。但需要注意以下事项：通过电话或线下方式将链接密码告知客户，而不是和链接一起发送；设置合理的链接有效期，过期后自动取消共享；确认共享内容不涉及超出客户知悉范围的敏感信息。对于涉及机密信息的文件，建议不使用云盘链接方式，改用企业加密邮件或安全文件传输渠道。

北京企密安 010-63711822 baomiwang.com