网络安全（电子信息与通信系统）政策

政策声明

1. 我们的电子通信系统和设备旨在促进ComponentSource集团内部的有效沟通和工作实践，对业务成功至关重要。网络犯罪和数据窃取可能损害我们的声誉和业务发展，并使财务信息、敏感商业文件、员工数据和客户信息等数据失去保护。本政策规定这些系统的用户必须遵守的标准、我们监控系统使用情况的条件，以及违反这些标准时将采取的措施。
2. 我们期望所有电子和计算机设施均得到有效、专业的使用，并鼓励所有员工培养为此所需的技能。这些设施由公司自费提供，用于自身业务目的，以帮助员工有效履行职责。每位员工都有责任确保该技术用于正当业务目的，且使用方式不会以任何形式损害公司或其员工。
3. 本政策适用于工作期间（包括远程工作）使用公司技术的情况，也适用于在工作场所以外使用公司技术，例如从家中远程连接、出差时使用公司笔记本电脑，以及使用智能手机或个人数字助理（PDA）。本政策文件应与《纪律规则》和《纪律程序》一并阅读。如对本政策的适用有任何疑问，请联系首席技术官或财务总监。
4. 滥用互联网或电子邮件可能使您和公司承担法律或财务责任。例如，您可能无意中订立合同、违反版权或许可协议、因诽谤或骚扰承担责任，或将病毒引入系统。本政策旨在保护您和公司免于承担此类责任。请仔细阅读，并确保使用互联网或电子邮件时遵守本政策的条款。
5. 当您以与ComponentSource有关联的身份使用电子邮件或互联网处理私人事务时，本政策同样适用。我们可能不时修改本政策，以适应技术、法律和最佳实践的变化。
6. 首席技术官负责监督和实施本政策。如对政策内容有疑问或有其他意见，请联系首席技术官。
7. 本政策不构成任何员工劳动合同的一部分，并且可能随时修订。

本政策适用于哪些人？

1. 本政策涵盖各级工作人员，包括高级经理、管理人员、董事、员工、顾问、承包商、实习人员、居家工作者、兼职和固定期限员工、临时工及派遣员工（本政策统称为“员工”）。
2. 有权访问我们电子通信系统和设备的第三方也必须遵守本政策。

本政策的范围和目的

1. 本政策旨在保护ComponentSource的数据和基础设施，概述管理网络安全措施的规程和指南，明确公司及个人使用的规则，以及违规所导致的纪律处分。
2. 本政策主要涉及计算机设备（直接或通过远程访问）、电子邮件、互联网（包括过度的私人搜索和社交媒体使用，但经授权的ComponentSource公关活动除外）、电话、智能手机、U盘、个人数字助理（PDA）和语音邮件的使用与滥用；同时也适用于传真机、复印机、扫描仪、闭路电视监控系统（CCTV）以及电子钥匙扣和门禁卡的使用。
3. 所有员工均应始终遵守本政策，以保护我们的电子通信系统和设备免遭未经授权的访问和损害。违反本政策可能按照《纪律程序》处理；严重违规可被视为严重不当行为，并导致即时解雇。

本政策的实施责任人

1. ComponentSource董事会（以下简称“董事会”）对本政策的有效运行负总体责任，但已将日常运行的责任委托给首席技术官。首席技术官还负责监督和审查本政策的运行，并提出修改建议，以尽量降低业务风险。
2. IT部门将在维护核心系统这一首要职责允许的情况下，处理本政策各项规定下的许可或协助请求，并可能规定设备或程序的标准，以确保安全性和兼容性。
3. 所有经理均有具体责任在本政策的范围内行事，确保所有员工理解预期的行为标准，并在行为不符合要求时采取行动。
4. 所有员工都对本政策的成功实施负有责任，应花时间阅读和理解本政策。如发现滥用我们的电子通信系统或设备，应向首席技术官或财务总监报告。有关政策内容或适用的问题应提交首席技术官。

设备安全和密码

1. 员工对分配给自己或由自己使用的设备的安全负责，不得允许任何人以不符合本政策的方式使用设备。
2. 获准访问电子邮件系统或互联网的员工须对其终端的安全负责。离开无人看管的终端或离开办公室时，应锁定终端或注销，以防未经授权的用户在其不在场时访问系统。
3. 未经事先咨询IT部门，不得移动或擅自改动台式电脑以及电话或计算机设备的线缆。
4. 每位用户的密码必须独一无二，并须定期更改以确保保密。密码必须保密，不得告知他人。良好做法是选用至少8个字符的密码，包含大小写字母、数字及（最好还包含）符号。应记住密码而不将其写下；如必须记录，应对记录文件保密，并在不再需要时销毁。为避免疑义，无论因何原因终止雇佣关系，您都必须向首席技术官或财务总监提供密码详情，并归还所有设备、电子钥匙扣或门禁卡。
5. 如获配笔记本电脑或智能手机，必须始终妥善保管，旅行时尤其如此。必须使用密码保护这些设备中存储的数据，以便在丢失或被盗时保护机密数据。在ComponentSource场所以外使用设备时，还应注意公共交通乘客等第三方可能看到文件，并采取一切必要措施避免这种情况。

系统和数据安全

1. 不得删除、破坏或修改可能损害我们的业务或使业务面临风险的现有系统、程序、信息或数据。
2. 未经首席技术官授权，不得从外部来源下载或安装软件，包括软件程序、即时通信程序、屏幕保护程序、照片、视频片段和音乐文件。传入的文件和数据须先经IT部门病毒检查，方可下载。也不得从网络访问网络电台、音视频流媒体、即时通信和网络邮箱（如Hotmail、WhatsApp或Yahoo）、社交网站（如Facebook、Instagram、YouTube或Twitter）或类似服务。
3. 机密数据包括但不限于：
   • 未公开的财务信息
   • 客户、供应商、合作伙伴和股东信息
   • 员工信息
   • 客户名单、销售线索及相关数据
   • 密码
   • 合同
   • 法律和业务记录

   无论在内部还是向外部接收方传输数据，都会带来额外的安全风险。因此，员工必须：

   1. 不得向未经授权的员工或外部人员传输机密信息；
   2. 仅通过ComponentSource网络传输机密数据；
   3. 确保已取得数据传输所需的全部授权；
   4. 核实公司外部的接收方已采取适当的安全措施；
   5. 遵守ComponentSource《数据保护政策》；
   6. 如发现实际或疑似隐私泄露、黑客攻击企图、恶意软件和／或诈骗，立即通知首席技术官。
4. 未经IT部门事先批准，不得将任何装置或设备连接到我们的系统，包括U盘、MP3播放器或类似设备、PDA或电话。USB端口、红外连接端口及任何其他端口的使用也在此列。同样，未经首席技术官事先批准，员工不得尝试从他人拥有的设备访问ComponentSource系统和账户，也不得将自己的公司设备借给他人。
5. 我们会对所有经过系统的电子邮件进行病毒检查。打开来自未知外部来源或因任何原因显得可疑的邮件（例如文件名以.exe或.ran结尾）时，员工必须谨慎。收到疑似病毒时，应立即通知IT部门。为有效使用系统并遵守本政策，我们保留阻止访问邮件附件的权利，也保留不发送任何邮件的权利。
6. 除非获得特别授权，不得尝试访问网络的受限区域或受密码保护的信息。
7. 7. 使用笔记本电脑或具备Wi-Fi功能设备的员工在办公室外使用设备时须特别警惕，并采取IT部门不时要求的防范措施，以避免带入病毒或危及系统安全。系统包含属于本公司业务机密的信息和／或受数据保护法律约束的信息。必须依照我们的《数据保护政策》，极其谨慎地处理此类信息。

电子邮件礼仪和内容

1. 电子邮件是重要的业务工具，但也是一种非正式的通信方式，应审慎而有纪律地使用。应始终考虑电子邮件是否适合某项特定沟通；通过电子邮件发送的信函应像书信或传真一样专业。必须始终附上我们的标准免责声明。含有合同条款或其修改内容、或与争议有关的往来邮件（无论收发）的纸质副本，应保存在相应档案中。
2. 电子邮件与任何其他通信形式一样，应始终体现最高的专业标准。内容应简明扼要，在主题栏填写恰当的标题，并在发送前仔细检查拼写和语法。点击发送按钮前还应再次核对收件人。误发邮件不仅令人尴尬，还可能导致公司机密信息意外披露。
3. 应确保每个工作日至少查收一次邮件，出差时通过远程访问保持联系；离开办公室超过一天时，应设置外出自动回复。应尽量在一个工作日内回复标记为“高优先级”的邮件。
4. 不得发送辱骂性、淫秽、歧视性、种族主义、骚扰性、贬损性或诽谤性邮件。如果认为自己受到骚扰或欺凌，或因同事通过电子邮件发送的材料感到被冒犯，应告知直属经理或财务总监。
5. 电子邮件会留下可检索的记录，因此应始终注意邮件内容。应假定邮件可能被其他人阅读，不得包含一旦公开就会冒犯或使任何读者或您自己感到尴尬的内容。
6. 电子邮件与纸质文件一样，可能在法律程序中被披露。错误或不当的陈述可能引发歧视、骚扰、诽谤、违反保密义务或违约索赔。从用户收件箱或存档中删除邮件，并不意味着无法为披露之目的将其恢复。应将所有邮件视为可能从主服务器或通过专用软件恢复。
7. 一般而言，不应：
   • 在工作中发送或转发不愿让第三方阅读的私人邮件；
   • 发送或转发连锁邮件、垃圾邮件、漫画、笑话或流言；
   • 发送无关紧要的消息，或不必要地抄送、转发邮件给并无实际接收需要的人，从而造成系统拥塞；
   • 未经财务总监批准，使用我们的通信系统销售或做广告，或群发有关失物、赞助或慈善募捐的消息；
   • 除非拥有或已经取得适当权限，否则不得通过邮件同意条款、作出合同承诺或声明。在邮件末尾键入的姓名与信件末尾手写的姓名一样，构成签名；
   • 下载或通过邮件发送受版权保护的互联网文字、音乐及其他内容，除非明确知道作品权利人允许这样做；
   • 未经特别授权，从其他员工的计算机、以假名或通过虚拟专用网络（VPN）发送消息；或
   • 使用明知不安全的电子邮件、互联网或任何其他外部通信方式发送高度机密、敏感或个人内容。

   即使标有私人或机密字样，也切勿假定内部或外部消息必然保密。互联网并非安全的通信方式，第三方可能访问或更改已发送或接收的消息。因此，不要在邮件中发送您不愿公开的信息。只有使用内部邮递、亲手交付，或将内容放入受密码保护的在线文档，才能确保内部通信的保密性。

8. 如收到误投的电子邮件，应尽快退还发件人，不得以任何方式保留、复制或披露；但邮件含有上述不当材料时，应向首席技术官报告。

互联网的使用

1. 访问网站时，网站所有者可能使用Cookie、标签或网络信标等工具来识别和监控访客。如果网站属于下文第10.11.2段所述类型，尤其是在访问、下载、存储或转发网站上的不当材料时，此类标记可能使访客和我们陷入尴尬境地。在某些情况下，例如材料具有色情性质，此类行为还可能构成刑事犯罪。下文第10.11段“设备和系统的不当使用”进一步讨论此问题。
2. 因此，不得访问任何可能被视为违法、冒犯、低俗或不道德的网页，或从互联网下载的任何文件（无论是文档、图像还是其他类型）。某些内容即使在英国合法，也可能因足够低俗而落入此禁令。一般而言，如果任何人（无论是否预期会浏览该网页）可能被网页内容冒犯，或如果我们的软件访问该网页或文件的事实一旦公开可能令我们难堪，则浏览该内容即违反本政策。
3. 在任何情况下，即使是在个人时间，也不得使用ComponentSource系统参与任何网络聊天室、在任何网络留言板发帖，或创建博客或Wiki并在其中记录文字或信息。作为例外，可能会特别批准相关员工访问社交媒体并发帖，但仅限与推广ComponentSource及其业务有关的目的。

系统的个人使用

1. 在满足以下条件的前提下，我们允许偶尔使用互联网、电子邮件和电话系统发送私人邮件、浏览互联网及拨打私人电话。个人使用是一项特许，而非权利。不得滥用或过度使用，我们保留随时撤销许可的权利。
2. 要继续进行个人使用，必须满足以下条件：
   1. 使用量必须极少，除紧急情况外，主要应在正常工作时间以外进行（即午休、上午9点之前或下午5点30分之后）；
   2. 私人邮件必须在主题栏标注“personal”；
   3. 使用不得妨碍业务或办公室职责；
   4. 使用不得给我们带来任何额外费用；以及
   5. 使用必须符合我们的政策，包括《平等机会政策》《反骚扰和反欺凌政策》《数据保护政策》和《纪律程序》（参见上文第10.7段“电子邮件礼仪和内容”及第10.8段“互联网的使用”）。
3. 请注意，我们可能监控对系统的个人使用（参见下文第10.9.10段）。如发现违反本政策，可能按照《纪律程序》采取行动。如认为个人使用过度，我们保留限制或阻止访问某些电话号码或网站的权利。
4. 您无权安排将私人信件寄至ComponentSource。我们无法判断特定信件是否涉及公司业务，因此收到的所有信件通常都会被打开。即使信件标有“personal”和／或“private and confidential”，也不例外。
5. 移动电话：如获配移动电话或车载电话，应主要用于业务通话。如果用于私人通话，我们保留要求您偿还通话费用的权利。应妥善保管电话，并始终确保其安全。如果电话被盗，应立即通知直属经理或财务总监。如两者均不在，应采取一切合理措施，让服务提供商停用电话。直属经理要求时或终止雇佣关系时，应立即归还移动电话及其配件。

系统使用情况的监控

1. 我们的系统使我们能够监控电话、电子邮件、语音邮件、互联网和其他通信。出于业务原因以及履行雇主的法律义务，电话和计算机系统等公司系统的使用情况，包括任何个人使用，均可能受到持续监控。监控仅在法律允许或要求的范围内，以及出于业务目的必要且正当的情况下进行。
2. 闭路电视系统每天24小时监控我们建筑物的外部，并记录相关数据。
3. 我们保留出于以下目的检索消息内容或检查互联网搜索记录的权利（此列表并不详尽）：
   • 监控电子邮件系统或互联网的使用是否正当并符合我们的政策；
   • 查找丢失的消息或恢复因计算机故障而丢失的消息；
   • 协助调查不当行为；或
   • 履行任何法律义务。

设备和系统的不当使用

1. 互联网、电话和其他电子系统的访问权限仅用于正当业务目的。附带的个人使用只有在完全遵守我们的规则、政策和程序（包括本政策、《平等机会政策》《反骚扰和反欺凌政策》《数据保护政策》及《纪律程序》）时才被允许。参见上文第9.9段“系统的个人使用”。
2. 滥用或过度使用电话或电子邮件系统，或违反本政策不当使用互联网，将按照《纪律程序》处理。在某些情况下，滥用互联网可能构成刑事犯罪。特别是参与网络赌博或连锁邮件，或创建、浏览、访问、传输或下载下列材料而滥用电子邮件系统或不当使用互联网，均构成严重不当行为（此列表并不详尽）：
   • 色情材料（即具有露骨性描写或引发性兴奋的文字、图片、电影和视频片段）；
   • 冒犯性、淫秽或犯罪材料，或可能使我们或客户难堪的材料；
   • 关于任何个人或组织的虚假诽谤性陈述；
   • 歧视性、冒犯性、贬损性或可能令他人难堪的材料；
   • 您无权访问的有关我们、任何员工或客户的机密信息；
   • 可能使您或我们承担任何刑事或民事责任的其他陈述；或
   • 侵犯版权的材料。
3. 任何此类行为都将受到非常严肃的对待，并很可能导致即时解雇。
4. 如发现滥用的证据，我们可能根据《纪律程序》进行更详细的调查，包括由指定调查人员及参与纪律程序的证人或经理查看监控记录并获悉相关内容。如有必要，相关信息可提交警方用于刑事调查。

本政策的监控和审查

1. 首席技术官与财务总监共同负责定期审查本政策，确保其符合法律要求并反映最佳实践。
2. 财务总监负责确保可能参与本政策下管理或调查工作的人员拥有或接受适当的培训和／或指导，以履行这些职责。
3. 欢迎员工联系首席技术官或财务总监，对本政策提出意见和改进建议。

灾难恢复计划

1. 首席技术官（CTO）负责为公司业务制定、实施和维护适当的灾难恢复计划，即在自然灾害或人为行为、错误引发的灾难后，恢复对公司IT基础设施的访问及其功能，确保重大中断事件发生后，关键业务职能尽快恢复运行。
2. 维护工作需要将数据和IT基础设施适当复制并备份至特定恢复点，以便重新掌控因感染、入侵或任何其他原因而无法运行的系统并恢复其功能。
3. CTO定期开展灾难恢复测试，帮助发现公司灾难恢复计划中的弱点或缺口，并确保现有战略流程能在事故发生时有效恢复关键系统和数据，使公司重新掌控其IT系统。
4. 网络安全已日益成为灾难恢复对威胁处理至关重要的领域。威胁形式包括网络钓鱼、黑客攻击、勒索软件、恶意软件、服务中断或拒绝服务，以及内部人员攻击。ComponentSource已制定《网络攻击响应程序》，作为其灾难恢复计划不可分割的一部分。该程序涉及检测、评估和应对威胁系统及数据机密性、完整性或可用性的网络攻击，旨在确保所有此类事故得到迅速、合法、透明的处理，尽量减少对业务、客户和数据主体的损害。

网络攻击响应程序

1. 本程序适用于有权访问ComponentSource IT系统、网络、云平台或数据（包括个人数据）的所有员工、承包商和第三方。
2. 除了业务和商业影响，网络攻击还可能触发多项适用法律法规下的义务，例如欧盟和英国《通用数据保护条例》（GDPR）、计算机滥用法律、反洗钱法律、加利福尼亚州消费者隐私法（CCPA），以及包括英国扩展条款在内的欧盟—美国数据隐私框架（DPF）。
3. ComponentSource将维持强有力的防御措施，以尽量降低网络攻击风险，包括网络防火墙、入侵检测系统、补丁及漏洞管理计划、多因素身份验证、定期渗透测试以及员工安全意识培训。
4. 及时发现并准确报告潜在网络攻击，对限制损害至关重要。所有员工、承包商或代表公司工作的其他人员，必须警惕系统、网络或用户的异常行为迹象，并立即向CIO报告任何可疑指标。可能的网络攻击迹象包括系统和网络行为异常、系统突然或无故关闭、崩溃或重启、网络流量异常增高（尤其在正常工作时间以外）、未经授权的配置更改或防火墙设置被禁用、文件被锁定或无法访问且出现陌生扩展名，以及日志或系统配置被莫名删除或更改。

   其他迹象可能包括多次登录失败、从意外地理位置登录、创建意外的新账户、未经请求或可疑的电子邮件、网站内容被篡改、客户报告弹出窗口或重定向、数据无故删除，以及持续的性能下降、过热、资源使用量激增或未经授权的设备连接到公司系统。

5. 如员工、承包商或代表公司工作的其他人员怀疑发生网络攻击，必须停止使用公司系统，并且未经CIO明确事先授权和指示，不得自行调查。应保全而不删除任何证据，并尽可能截取屏幕截图。

   
   报告疑似网络攻击时，应明确描述观察到的情况、发生日期和时间、受影响的系统和／或应用程序和／或数据，以及用户最近执行的任何操作（例如下载、打开的电子邮件、访问的网站）。

   如认为事故带来运营或监管风险，还应向DPM报告。

6. 识别到已确认或疑似网络攻击后，响应程序如下：
   1. 按以下标准将事故分为低、中、高或严重：

      等级	说明	典型示例
      低	轻微或局部中断，迅速得到控制，未发生数据泄露	局部恶意软件、单次网络钓鱼企图
      中	可能暴露数据或影响运营的中断，需要进一步分析	凭据泄露、未经授权访问非个人数据
      高	已确认或疑似数据泄露、勒索软件感染或重大运营中断	全系统恶意软件爆发、数据渗入、拒绝服务攻击
      严重	影响关键系统、造成大规模数据丢失或产生国家层面监管影响的重大事故	灾难性服务中断、已确认对个人构成高风险的个人数据泄露

   2. 对于评为“中”或以上的事故，CIO将启动遏制措施，可能包括将受影响系统或设备与网络隔离、撤销已泄露的凭据、封锁已知恶意IP地址或域名、在怀疑发生入侵时禁用远程访问或集成，并确保在遏制阶段不销毁任何证据。
   3. 开展初步调查，确定事件时间线、受影响系统、涉及数据的性质和敏感程度等，并收集证据以及日志、镜像和其他资料的副本，按照事故的唯一参考编号安全保存。
   4. 向包括CFO和CEO在内的适当高层管理人员升级报告。高层管理人员将在必要时征询法律意见，确定是否需要向英国信息专员办公室、执法机关或合同规定的其他对象发出外部通知。如发生个人数据泄露，DPM将评估该事故，并在公司《数据泄露登记册》中记录。如个人数据主体的权利面临高风险，DPM将按照欧盟和英国GDPR的要求，不得无故拖延地通知受影响的数据主体。所有外部报告均须记录参考编号、提交日期和负责人。
   5. 完成遏制和调查后，CIO将管理清除阶段，确保删除所有恶意代码、后门和未经授权的账户。

      
      恢复阶段将通过核实系统完整性和安装补丁、从干净且经过验证的备份恢复、在重新连接网络前进行验证测试以确认系统安全，以及在指定的事故后期间（例如30天）持续监控是否复发，恢复正常运营。

   6. CIO将召集事故后审查会议，评估响应及沟通的有效性，识别程序或技术缺口，商定改进措施及职责分工，并按需更新相关政策和培训。
   7. 有关任何网络攻击或调查的信息均属严格保密，披露仅限获授权人员以及必要时的监管机构和执法机关。未经授权在内部或外部分享事故详情，将作为纪律问题处理。
   8. 下表列出针对各项网络安全事故应按情况建立和维护的记录：

      记录类型	目的／说明	最低保留期限	负责团队／角色	销毁或审查方法
      事故报告和通知	通过《网络攻击报告程序》提交的初始和后续报告，包括内部警报以及向监管机构、保险公司或执法机关发出的外部通知。	结案或最后一次联系后6年。	例如CIO或DPM	保留期满后安全销毁或匿名化；如程序仍在进行则延长。
      事故响应报告和个案档案	网络或数据安全事故的完整文件。	事故发生或结案之日起6年。	例如DPM	保留期满后安全销毁或匿名化；如法律行动仍在进行则继续保留。
      遏制和恢复日志	即时遏制、隔离及恢复措施的记录（如网络分段、凭据重置和补丁安装）。	事故结案后6年。	例如CIO	审查后安全删除；如需分析或后续处理则延长。
      调查和分析笔记	记录攻击途径、范围和影响的取证调查材料、时间线及分析人员笔记。	6年	例如CIO	保留期满后安全销毁或匿名化。
      取证资料和证据镜像	为潜在法律或监管用途保留的磁盘镜像、数据包捕获、恶意软件样本及其他证据资料。	6年或所有事项结束时，以较长者为准。	例如DPM	在证据保管链监督下进行加密擦除，并记录销毁情况。
      事故登记册	记录所有事故、分级、行动、决定及结果的主日志。	永久记录（无限期保留或10年后归档）。	例如DPM	安全归档存储；每5年定期审查。
      对外通信（客户、监管机构、保险公司、执法机关）	与事故有关的正式通知、往来信函及新闻声明。	6年。	例如DPM	保留期满后安全销毁；如程序仍在进行则延长。
      第三方通信和合同	供应商及合作伙伴往来信函、服务级别协议（SLA），以及补救或取证服务商的文件。	事故解决或合同终止后6年。	例如法律顾问	保留期满后安全删除或匿名化。
      事故后审查报告和改进计划	结案后的经验教训文件、审查会议纪要和纠正行动跟踪记录。	6年。	例如DPM	保留期满后安全删除或匿名化；将摘要归档，保留审计轨迹。
      审计和合规报告（安全、技术、治理）	确认控制措施有效性或整改情况的独立或内部审计报告。	报告日期起6年。	例如DPM	保留期满后安全销毁或匿名化。
      系统和网络日志	用于证明系统活动、入侵检测及取证重建的日志。	至少12个月（调查期间延长）。	例如CIO	审查并结案后安全删除或匿名化。
      访问控制和身份验证日志	用于核实责任归属的用户登录、权限更改和访问尝试记录。	12个月。	例如CIO	安全删除或匿名化；如分析需要则延长。
      备份和恢复日志	确认备份成功、完整性及恢复测试的记录。	根据系统重要程度保留6–12个月。	例如CIO	按计划轮换后安全删除或覆盖。
      网络安全培训和意识记录	所有员工和承包商完成培训及意识提升计划的证据。	雇佣期间另加6年。	例如CFO	保留期满后安全销毁；涉及法律或纪律案件则延长。
      纪律处分和员工调查记录（网络安全相关）	针对滥用、疏忽或违反政策行为开展的员工调查。	雇佣期间另加6年。	例如CFO	保留期满后安全销毁或匿名化；如案件仍在进行则延长。
      安全意识测试和网络钓鱼模拟	衡量员工网络安全意识和应对能力的测试结果。	3年。	例如CFO、DPM、CIO	保留期满后安全删除或匿名化。
      模拟结果	事故响应模拟或准备演练的记录。	3年。	例如CIO	保留期满后安全删除；保留摘要作为培训记录。
      保险索赔和往来信函	因网络事故产生的通知、索赔表格和与保险公司的通信。	索赔结案后6年。	例如法律顾问	保留期满后安全销毁；如争议持续则延长。
      财务和制裁核查（SAMLA 2018）	批准付款（例如勒索软件赎金或供应商费用）前完成制裁和反洗钱（AML）核查的证据。	6年。	例如法律顾问	保留期满后安全销毁；保留审计确认记录。
      《2000年反恐法》／《2002年犯罪所得法》报告	根据反恐或犯罪所得法律提交的可疑活动报告或与NCA的通信记录。	提交或结案后6年。	例如法律顾问	安全归档；保留期满并获NCA许可后销毁。
      法律建议和意见	在事故响应期间取得的外部或内部法律建议。	结案后6年。	例如法律顾问	保留期满后安全销毁；以安全访问方式保留受法律特权保护的副本

CSCSP 10/2025