集团企业的保密管控——母公司与子公司的信息共享边界
集团企业的保密管控核心在于厘清母公司与子公司之间的信息共享边界，通过分级授权、数据分类和审批流程三项机制实现集团内部信息流动的合规有效管控。
集团企业通常由母公司控股多个子公司，涉及不同的业务领域和法律实体。母子公司之间的信息共享既是为了集团整体利益的需要，又受到法律实体之间保密义务的约束。如何在集团层面实现统一的信息安全管理，同时尊重各法律实体的信息自主权，是集团企业保密管控的核心难题。
母子公司信息共享的规则设计
共享信息的分类是信息管控的起点。母子公司之间的信息共享应当在数据分类的基础上进行，明确哪些信息必须在集团内共享、哪些信息可以有条件共享、哪些信息不得共享。必须在集团内共享的信息包括财务报表、审计报告和重大经营决策等公司治理信息。可以有条件共享的信息包括客户信息、供应商信息和市场价格信息等。不得共享的信息包括子公司特有的未公开研发成果和核心工艺参数等。
共享信息的分级授权机制是核心。母公司对子公司信息的获取应当遵循分层授权原则。各子公司的核心商业秘密，只有得到子公司负责人和母公司首席信息安全官的双重批准后才能访问。各子公司的业务敏感信息，需经子公司信息安全联络人授权后方可访问。各子公司的内部信息，母公司可以按需获取。
信息共享的审批流程应当标准化。母子公司之间的信息共享请求，应当通过统一的信息共享平台提交，并按照预设的审批流程进行审核。审批流程中应当明确申请人的身份、申请访问的信息范围、申请的使用目的和使用期限，并由双方的信息安全管理人员分别审批确认。
子公司之间的信息隔离策略
子公司之间的默认隔离是防止信息扩散的基本原则。即使是集团内的不同子公司，未经授权也不能相互访问对方的敏感信息。这种默认隔离原则旨在防止信息在集团内部不必要的扩散，降低因一个子公司信息泄露而导致整个集团受害的风险。
跨子公司的信息共享应当通过独立的审批通道进行。当一个子公司需要获取另一个子公司的信息时，应当向信息所属的子公司提出正式的申请，并说明信息的使用目的和保密措施。信息所属子公司在审批同意后，通过受控的共享平台向申请方披露信息，而非直接授予系统访问权限。
集团职能部门的跨子公司访问权限应当谨慎设计。职能部门如财务、法律和人力资源，在履行集团管理职能时需要获取各子公司的相关信息，但其访问权限应当限定在履行职责所需的最小范围内。母公司的职能人员不应拥有对所有子公司的全面系统访问权限。
集团保密架构的组织保障
集团信息安全委员会是集团保密管控的最高决策机构。委员会由母公司首席信息安全官和主要子公司的信息安全负责人组成。委员会负责制定集团统一的信息安全政策，协调集团内信息共享的标准和流程，裁决母子公司之间的信息安全争议。
各子公司的信息安全负责人应当向母公司首席信息安全官汇报工作，同时接受子公司总经理的领导。双重汇报机制可以保证子公司的信息安全工作既符合集团统一要求，又兼顾子公司的业务特点。子公司的信息安全负责人从集团层面获得专业指导和资源支持，从子公司层面了解业务需求和实际运营情况。
集团企业应当建立统一的信息安全审计和考核机制。母公司信息安全部门应当对子公司的信息安全状况进行定期审计，审计内容包括安全制度的执行情况、安全设备的运行状态和安全事件的应急处置效果。审计结果纳入子公司的年度考核范围，与子公司的管理绩效挂钩，推动各子公司切实执行集团的信息安全政策和流程规范。通过审计考核实现政策执行的闭环管理，确保集团保密管控要求的有效落地。
问：集团企业是否应该对所有子公司使用同一套安全制度？答：不推荐。集团公司应采用统一的安全框架和最低安全标准，但允许各子公司在满足最低标准的前提下，根据所在行业的合规要求和业务特点调整具体的操作细则。完全统一的制度可能不适合某些特殊行业的子公司。
问：子公司之间的信息安全事件是否影响整个集团？答：可能影响。一个子公司的信息安全事件可能被关联到集团的其他子公司的信息系统中，特别是当多个子公司共用同一套内部网络系统时。企业应当建立网络安全域隔离机制，将一个子公司的信息事件阻止在该子公司内部，防止信息事件在集团内部连环蔓延。
问：子公司被收购后如何融入集团的信息安全管理体系？答：新收购的子公司在过渡期内可以保持原有的信息安全制度不变，但需要在六个月内完成与集团信息安全体系的对接。对接工作包括安全制度的对标调整、权限系统的统一接入和人员的安全培训。过渡期后，新子公司需要全面遵守集团的信息安全政策和标准。
北京企密安信息安全技术有限公司提供集团企业保密架构设计和信息共享边界管控方案服务。如需了解更多，欢迎拨打010-63711822或发送邮件至jess@baomiwang.com。
