用途：依据可接受使用政策，对信息技术使用中的行为期望和专业标准进行规范与执行。核心原则为清晰的期望造就安全的行为。
主要能力：覆盖系统访问与认证、数据与隐私（GDPR）、软件与应用使用、互联网与网络使用、移动设备与远程工作、沟通与社交媒体等范围。给出 MUST 要求，如按访问控制政策使用强且唯一的密码、业务关键系统启用 MFA、仅用批准的密码管理工具、绝不共享凭据；按分类框架对数据分类、按密码策略加密敏感数据、遵循 GDPR 合规、安全销毁敏感数据；使用有有效商业或开源许可的软件、按漏洞管理 SLA 更新、仅在资产登记中记录的应用。网络方面要求敏感数据使用 HTTPS、远程访问使用 VPN、不通过公共 Wi-Fi 进行未加密业务访问；职业行为方面以业务目的为主、有限个人使用可接受、维护公司声誉、不擅自披露机密。
禁止事项：非法行为（未授权入侵、软件盗版、非法内容、欺诈盗窃）；恶意行为（引入恶意软件、绕过安全、窃取数据、破坏）；违反政策（未加密敏感数据、未批准软件、共享凭据、过度个人使用）；损害声誉（披露机密信息、骚扰歧视、不当内容）。
使用方式：以策略条款和示例场景指导日常操作。示例包括：每日开始使用密码管理器自动填充与 TOTP MFA、验证屏幕锁；工作中按分类打标、用 Signal 进行敏感沟通、用 WireGuard 访问 AWS 控制台；结束时退出所有系统、锁定或加密文档、用交叉切割碎纸机处理敏感废纸。在公共空间远程办公时，仅处理低/中级别数据，高/关键数据只在家庭办公室处理，需使用防窥屏、WireGuard VPN，离开座位立即锁屏。
适用场景：组织内部 IT 使用行为规范、员工安全操作指引、远程与移动办公控制、数据与隐私合规执行。
限制：本资料为政策框架与行为要求，未提供具体工具安装命令或代码实现。所引用策略、技能与框架（如 ISO 27001 A.5.10、NIST CSF PR、CIS Control 16.8）的细节需参照对应源文件。文档版本 1.0，更新于 2026-02-10，许可 Apache-2.0。