第二条客户信息安全管理涵盖客户信息的收集、传输、存储、使用、共享、销毁等各个环节。
客户信息的载体包括电子和纸质两种形式。
第三条本规定是集团公司进行客户信息安全管理工作的基本依据。
第四条本规定适用于集团公司及所属各单位（以下简称：各单位）。
中国移动员工有权制止任何可能危害客户信息安全的行为，并向公司举报。
第七条各单位对客户信息的管理应遵循如下原则：（一）主体责任明确原则——按照“谁主管谁负责、谁运营谁负责、谁使用谁负责、谁接入谁负责”的原则，明确责任分工，各单位应对其持有的客户信息承担安全责任，无论这些信息通过何种途径获得。
（二）用户知情同意原则——收集、使用个人信息时，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。
（三）分类分级管控原则——对信息进行分类分级，根据敏感程度不同，采取适当的、与信息安全风险相适应的管理措施和技术手段，保障信息安全。
（五）最少够用原则——在向内部单位、平台、第三方共享开放信息时，在满足管理要求的前提下仅提供业务开展明确需要的信息属性、标签属性及规模。
（六）质量保证原则——在处理客户信息的过程中，应基于管理与技术手段确保客户信息的准确性、真实性、时效性、可用性，不得篡改、损毁。
（八）可追溯原则——对于客户信息操作的日志应完整准确记录，确保所有操作可追溯到具体的操作人和操作依据，杜绝擅自篡改、删除记录等违规行为。
第三章组织与职责第八条客户信息安全管理采取归口管理的方式，各单位应明确客户信息安全归口管理部门。
第九条各单位应定期组织客户信息安全评估和审核，对发现的隐患及时整改。
第十条各单位应当建立用户投诉处理机制，公布有效的联系方式，接受与客户信息保护有关的投诉，并自接到投诉之日起十五日内答复投诉人。
第十二条集团公司各部门应负责各自主管的业务系统的客户信息安全保护，明确各业务系统的客户信息安全责任人，按照本规定落实业务系统的安全管理要求。
第十三条客户信息安全归口管理部门的职责：（一）负责客户信息安全的全面管理；（二）组织制定统一的客户信息安全保护管理规定和实施细则；（三）组织制定客户信息安全保护管理的制度、策略；（四）组织研究客户信息安全保护的技术手段；（五）负责收集、汇总客户信息泄密事件；（六）定期组织客户信息安全管理专项审核；（七）牵头组织进行客户信息泄密事件的查处；（八）负责客户信息安全事件的对外解释口径。
第十五条运维支撑部门的职责:（一）负责所运维的涉及客户信息的系统和平台技术层面的客户信息安全保障和稽查工作；（二）负责所主管系统的客户信息安全保护,建立落实管理制度和实施细则；（三）负责规范后台运行维护人员、开发测试人员、生产运行支撑人员的角色和职责；（四）监督本部门业务支撑人员落实“五条禁令”；（五）做好对第三方的管理，包括组织签订保密协议，加强操作管理等；（六）负责规范所属系统和平台客户信息安全技术标准和访问流程；（七）协助主管部门查处客户信息泄密事件。
第四章客户信息的内容及等级划分第一节客户信息的内容第十七条客户信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定用户身份或者反映特定用户活动情况的各种信息。
客户信息的详细内容见附录一。
第十八条用户身份和鉴权信息包括但不限于：用户自然人身份及标识信息、用户虚拟身份、用户鉴权信息等。
第十九条用户数据及服务内容信息包括但不限于：用户的服务内容信息、联系人信息、用户私有数据资料、私密社交内容等。
第二节客户信息等级划分第二十一条客户信息等级分类按照客户信息的敏感程度划分为极敏感级、敏感级、较敏感级和低敏感级四类，具体划分方法请参见附录二。
第二十二条各单位应根据上述客户信息等级分类，按照分类分级管控原则，进一步确定本单位数据的涉敏场景及相应的涉敏人员范围。
第三节存储及处理客户信息的系统第二十三条存储和处理客户信息的系统包括支撑系统、业务平台、通信系统等3大类。
第二十四条存储和处理客户信息的支撑系统包括但不限于：业务支撑系统（BOSS）、经营分析系统、CRM、网管系统（性能管理系统等）、不良信息治理系统、上网日志留存系统、统一DPI系统等。
第二十五条存储和处理客户信息的业务平台包括但不限于：云平台、大数据平台、短信中心、彩信中心(MMSC)、短信网关、彩信互通网关、企信通、LBS、彩铃平台、和包、MISC(DSMP)、ADC、ADC位置类系统、ADC业务平台、和飞信、和通讯录等。
第二十六条存储和处理客户信息的通信系统包括但不限于：MSC、HSS/HLR、WAP网关、端局、关口局等。
第二十七条各单位自建或合作运营的涉及客户信息的其他系统。
第五章岗位角色与权限第二十八条帐号的权限分配应当遵循“权限明确、职责分离、最小特权”的原则。
第二十九条各单位应对使用涉及客户信息的业务系统的岗位角色进行定期梳理，对权限相近的岗位角色进行合并，并对岗位角色的权限进行规范。
不同的岗位角色拥有不同的权限。
第一节业务部门岗位角色与权限第三十条业务部门是指各单位市场经营部、数据业务部门、政企业务部门等使用客户信息的部门。
第三十二条业务部门的岗位角色主要包括：涉及各单位市场部、数据业务部门、政企业务部门等部门的产品研发、市场政策与策划、业务运营、运营系统支撑、服务营销等5大类角色，具体岗位角色见附录三。
（一）角色1：产品研发1.岗位举例：产品研发、产品经理、行业经理等细项岗位；2.岗位说明：该类岗位角色主要指各省（区、市）业务部门具体负责产品研发、推广的岗位。
3.权限要求（1）可以查看对应产品所涉及的客户信息；（2）仅具有查询权限，不应授予增加、删除、修改、批量导入与导出、批量开通与取消、批量下载等针对客户信息的操作的权限。
（二）角色2：市场政策与策划1.岗位举例：市场运营分析、服务营销策划、渠道管理、传播管理等细项岗位；2.岗位说明：该类岗位角色主要指各省业务部门具体负责后台分析、营销及其他管理工作的岗位。
3.权限要求该角色人员只可查询系统中的统计数据，不应授予查询、操作客户信息的权限，如因客户关怀、二次营销等工作确需接触客户信息，请按照“数据提取”的相应规定进行；（三）角色3：业务管理1.岗位举例：业务管理、服务质量管理、合作管理、业务运营管理、业务运营支撑等细项岗位；2.岗位说明：该类岗位角色主要指各省业务部门负责业务运营、支撑、服务质量等细项业务处理的岗位；3.权限要求（1）根据具体岗位的不同，考虑具体工作的需要，可以查看相应权限所涉及的客户信息；（2）仅具有查询权限，不应授予增加、删除、修改、批量导入与导出、批量开通与取消、批量下载等针对客户信息的操作权限。
（四）角色4：运营系统支撑1.岗位举例：业务系统管理、系统运营支撑等细项岗位；2.岗位说明：该类岗位角色主要指各省业务部门负责系统管理及支撑的岗位。
3.权限要求（1）该角色人员负责部门系统帐号、口令的管理，配合业支部门进行相应系统的开发、运营和维护，可以查看相应权限所涉及的客户信息；（2）仅具有查询权限，不应授予增加、删除、修改、批量导入与导出、批量开通与取消、批量下载等针对客户信息的操作权限。
（五）角色5：服务营销1.岗位举例：客户服务营销、渠道服务营销、营业厅服务营销、电子渠道服务营销等细项岗位；2.岗位说明：该类岗位角色主要是指各省业务部门的各项渠道中直接服务于客户的一线岗位。
第二节运维支撑部门岗位角色与权限第三十四条运维支撑部门是指业务支撑系统部（业务支撑中心）、网络部（网管中心）等运维管理涉及客户信息系统的部门。
第三十六条运维支撑部门的岗位角色主要包括运行维护、开发测试、生产运营3大类角色。
（一）角色1：运行维护1.岗位举例：主机管理员、网络管理员、数据库管理员、应用管理员、配置管理、服务监控、安全管理。
2.岗位说明：该类岗位主要包括各省公司负责涉及客户信息的系统的维护管理和服务监控的人员。
（二）角色2：开发测试1.岗位举例：架构管理、系统设计、应用开发、应用测试、项目建设管理等；2.岗位说明：该类岗位主要包括各省公司负责涉及客户信息的系统的设计、研发、测试以及项目建设管理人员。
3.权限要求（1）开发测试人员原则上不能接触生产系统数据；（2）开发测试人员仅具有测试系统的操作权限，开发测试系统需要涉及到客户敏感数据信息的内容，原则上使用过期数据或是模糊化处理之后的数据。
模糊化的方法见附录四。
名单库应至少包含人员姓名、所属部门、岗位角色、涉敏权限、帐号列表等。
第三十八条各单位应严格控制涉敏人员的范围，禁止对厂家、合作单位等非本单位人员分配涉敏权限帐号。
第四十条各单位应组织对全量系统、全量客户信息数据进行梳理，确定涉敏系统及涉敏信息，并进行动态维护。
第四十一条各单位应依据职责不相容原则，对于已分配前台操作帐号的人员，不得再分配具有日志管理权限的后台帐号。
第四十二条内部人员帐号管理:（一）各系统的帐号（包括业务帐号和运维帐号，下同）应该由该系统的主管部门管理，主管部门需明确岗位角色和权限的匹配规则，提供岗位角色和权限对应的矩阵列表,确保帐号设置与岗位职责相容。
应按照权限最小化原则合理设置岗位角色，对拥有涉敏权限的岗位角色应严格管控。
第四十三条第三方帐号管理（一）禁止第三方人员掌握系统管理员权限，禁止为第三方人员分配具备创建系统帐号或者其他超出工作范围权限的高权限帐号。
（三）应参照内部人员帐号管理要求，定期对全量第三方帐号进行严格审核。
第七章客户信息全生命周期管理第一节客户信息的收集第四十四条各单位收集客户信息时，应具备合法、正当的目的，并清晰、准确地予以描述。
第四十五条各单位应根据已确定的目的，确定收集最少的客户信息，以及存放地域、存储期限、收集频率等处理规则。
第四十六条各单位应当在经营或者服务场所、网站等公布客户信息收集、使用规则，明确告知用户收集、使用信息的目的、方式和范围，留存信息的期限，查询、更正、删除信息及注销账户的渠道以及拒绝提供信息的后果等事项。
第四十七条在用户通过营业厅或线上渠道登记使用服务时,应在取得用户同意后方可收集客户信息，法律法规另有规定的除外。
第四十八条针对违反双方约定收集、使用其个人信息的，或收集、存储其个人信息有错误的，用户可提出删除或更正要求，各单位应采取措施予以满足。
第二节客户信息的传输第五十条各单位应根据业务流程、职责界面等情况，合理划分安全域，并在安全边界上配置相应的访问控制策略及部署安全措施。
针对面向互联网域、外部接入域传输等存在潜在安全风险的环境，应对敏感信息的传输进行加密保护，并根据数据敏感级别采用相应的加密手段。
第五十一条各单位应强化传输接口安全管控，实施系统间接口的设备鉴权、并通过MAC地址、IP地址或端口号绑定等方式限制违规设备接入，实施数据流程控制、关键操作日志管理机制。
第五十二条敏感信息传输至其它系统前，应依据“谁使用谁负责”的原则明确双方安全责任，同时，应保障在传输过程中的安全保密。
第五十三条采用密钥加密时，各单位应对密钥的生成、分发、验证、更新、存储、备份、有效期、销毁进行管理，严格实施密钥存储介质管理，确保密钥的安全。
同时，应采用公认安全的、标准化公开的加密算法和安全协议。
第三节客户信息的存储第五十四条各单位应制定管理规定对存放客户信息的电子文件或纸介质进行有效管理，规定其保存、传输、销毁等流程，明确存有客户信息的物理介质（磁阵、硬盘和磁带等）的维护、更换、升级和报废等操作要求，防止客户信息泄漏。
第五十五条各单位应加强对存储客户信息的物理区域（如机房、维护处室／中心）的管理，采用相应的访问权限分配策略及门禁卡等控制手段，同时对进出的人员、目的、操作进行详细记录，外来人员进入该区域应由本公司对口的维护人员全程陪同。
第五十六条对于要离开系统的物理介质，必须采用有效的手段由专人彻底删除客户信息后，才可离开其所在的安全区域。
如果要将存有客户信息的介质交给第三方，必须得到主管领导的审批。
第五十七条各单位应采取有效的技术、管理手段加强对涉及客户信息的系统使用移动存储介质的管控。