涉密计算机信息系统

第1篇：涉密计算机信息系统

涉密计算机准入系统综述

摘 要：随着时代的发展，网络技术在生活的应用越来越广泛，因此涉密计算机准入系统的研究对当今社会起着越来越重要的作用。

关键词：涉密;计算机系统;识别

1计算机时代网络背景[1-4]

科技在迅猛发展，社会变化日新月异，信息技术在各行各业的普及给人类的思想观念和生活方式带来巨大的变化，毋容置疑，其大力地推动了人类文明的进步。在国家层面上，信息作为一种重要的战略资源，已成为衡量国家综合实力的重要指标。

人类在享受信息技术带来的丰硕成果时，同时面临巨大的挑战，军事、通信、交通、商业等领域都存在信息安全问题，尤其是军工类研究机构及企业，它们是武器装备研制和生产的骨干力量，在政治上具有高度的敏感性，保密工作非常重要，其成败关系国家的安全利益。为了应对新形势下保密工作面临的严峻形势，切实加强国防科技工业方面的保密工作，中央实行武器装备科研生产单位实行保密资格审查认证制度。规定承担涉密武器装备科研生产任务，应当取得相应保密资格，实行保密资格审查认证制度。

企业方面，越来越多的企业为了提高效率，充分利用信息技术处理办公事务，在信息管理方面，也大量使用ERP、CRM等电子信息管理系统，大量的业务和技术机密存储在计算机中，泄密如泼水难收，轻则导致经济损失，重则影响企业的生存。

大至国家小到企业个人，保密意识都得到了加强，保密处也成为现代企业不可或缺的一部分，遗憾的是，保密机构虽采取了各种保密措施，但数据泄密事件不降反升，信息安全迫在眉睫。作为信息的中枢，涉密计算机的信息保密工作至关重要，尽管由于智能化程度不断提高，芯片技术、传感器技术、软件技术甚至网络技术在身份识别领域验发挥巨大作用，但仍不能做到绝对的安全，内鬼泄密、病毒木马的侵入、系统的漏洞、网络安全的复杂性等因素对涉密计算机的保密工作提出了挑战。

计算机桌面操作系统中，Windows长期占据垄断性地位，其界面友好，操作方式简单，给使用者带来了方便。从最初的Windows3.1到现在的Window10，微软公司的操作系统平台广受欢迎。往往，鱼和熊掌不可兼得，微软在设计Windows时，很难全面兼顾安全方面的考虑，由此造成了很多安全隐患。Windows有扩展名欺骗、天生的有扩展名欺骗、系统权限分配繁冗及注册表庞大导致后门不易发现、WSH和script的广泛应用使漏洞频出。尤其到了网络时代，互联网的普及。针对，Windows平台的病毒木马肆虐发作，人们的计算机信息安全遭遇极大考验。

防止信息泄露，很多涉密场所，最典型的有政府和国防单位，他们有着严格的检查管理制度，涉密计算机采用彻底的物理隔离，断绝外网和涉密网络的物理连接，在一个值得信赖的内部网络进行信息交互，通过光盘接受非安全设备的数据。信息中转中，移动存储介质已经成为主要载体之一，相应设备有着保密标识同时进行专门的管理。尽管如此，仍有数据泄露发生。

数据泄露原因主要有三种：失密、窃密、泄密。具体途径有多种，如

1)他人窃密，他人指与安全数据无关的人员，其中黑客和间谍通过网络技术为主的技术手段窃取信息，外部竞争对手也可冒充涉密人员进入涉密计算机系统盗取信息。

2)保密文档权限失控失密，有些保密单位涉密信息的等级划分不严谨，没能定位好所属秘密、机密、绝密的涉密等级;涉密信息责任者不明确，数据得不到有效保护;权限管控失控，导致不具备对应权限的人员获得涉密信息。

3)对外信息发布失控失密：通常涉密单位也需要与非涉密单位进行合作，避免不了信息交互，控制不好度，可能会导致涉密信息的泄露，让合作方不具备权限的工作人员获取涉密信息。

4)内部人员的泄密，又可分为两种情形，内部人员无意泄密和恶意泄密。无意泄密往往由于安全人员保密意识不强，认识不足，非主观原因造成泄密。恶意泄密，可能是主观性的恶意报复，或者因为利益向他人出卖涉密信息。

根据权威数据统计，2013年81%的政府与国家企事业单位泄密问题发生在体系内部(内部人员过世泄密或主动窃密)而由外部黑客攻击、系统漏洞、病毒感染等问题带来的信息泄密案例，合计仅有12%。综上所述，“内鬼”才应是信息安全工作的重点提防对象，一个内部员工的主动或被动泄密，风险远大于外部黑客的恶意盗取信息。涉密计算机的秘密安全工作核心在于涉密机使用者的准入，准入最重要的两个环节是身份识别技术和登陆信息管理系统，二者高效的结合，会很大程度上降低甚至杜绝信息安全风险发生的概率。

2常用身份识别技术介绍

近年来，身份识别呈现多样化，结合传统的方式，主要基于以下一个或几个因素：

口令：比如密码、问题的验证答案等

实际的物：比如印章、智能卡、身份證等。

生物特征：比如人脸、声音、虹膜、指纹、手静脉、心电信号等。

通过口令或者实际的物的方式比较常见，但是其认证单一，口令安全性低，一旦泄露，用户信息即被冒充。同样，实际的物也存在风险，其可能丢失，另外，现在广为应用的智能卡大多基于射频识别(RFID)技术，作为一种非接触式自动识别技术，其数据存储量大，读写效率高、环境适应性好，但射频识别存在安全问题，技术精湛的黑客们通过发射特定电磁波扰乱电子标签，盗取芯片的电子信息，或者作为入口进入电脑系统里。因此，在大力推广RFID的应用时，针对性地对RFID安全封装技术进行研究，提高RFID标签的安全性能仍是一个亟需解决的问题[1]。

基于生物特征的认证方式受到身份识别领域的特别关注，基于生物特征的身份识别受到了身份识别领域的关注，对于具体的人而言，我就是我，用身外之物来证明我的存在，逻辑上就有问题。只有用自己本来固有的特征来证明自己，才最符合情理，生物特征识别技术采集的样本就是人体的生理特征或行为特征[1]。

生物特征识别技术作为IT产业的重要革新，其利用计算机软硬件技术，通过采集人的生物特征样本进行身份识别，样本可分为两种：

a)人生来就具有的生理特征，如人脸、虹膜和DNA等。

b)主要由后天养成的行为特征，如步伐特征、声音、签名笔迹等。

生物特征识别技術研究领域中最活跃的研究分支应属人脸识别技术，其具有方便、友好、易于被接受的特点，它通过软件技术提取人的面部特征，再与数据库中的特征进行匹配，确定识别人的身份。人脸识别技术在日常生活中的应用推广比较多，作为一种非干涉性的身份识别技术，可以无接触、远距离、甚至在被识别者察觉不到的情况下进行数据采集。但视角、表情和遮挡物会对识别产生影响，另外数据库中的人发型变化、更换眼镜、年龄变化等对个人呢面部细节有影响的变化可能会导致识别不到对应的人;而双胞胎由于相似特征太多，可能会导致误识别等等。如何去除这些影响，是非常紧迫的研究课题。

人脸识别技术在金融支付平台也将走向应用，2015年3月16日，马云在德国汉诺威CeBIT展开幕式上，向德国总理默克尔和我国副总理马凯就演示了SmiletoPay扫脸技术，完成了刷脸支付。之后，有相关报道，在淘宝开户认证过程中引入“人脸比对”。淘宝的客户群体数据庞大，环境复杂，如人脸识别技术能最终在此平台上得到应用，预示着此技术已走向成熟阶段。

指纹识别技术：生物特征识别技术中，指纹识别技术的应用比较早，而且有比较高的识别准确率。不同的人，指纹不一样，即使是双胞胎，指纹也有区别。指纹识别设备小巧、成本低，在企业考勤、智能家居、指纹锁等场合应用广泛，但在实际中，因为人要接触很多事物，可能会导致受伤或表皮脱落，另外乳胶指纹可以用来以假乱真，这些都会导致识别的不准确。另外，指纹识别具有侵犯性，存在卫生方面的问题。

虹膜识别和视网膜识别技术：虹膜在人二岁左右就发育到了足够尺寸，进入相对稳定的时期，除非大的创伤造成虹膜外观上的改变，在数十年中，虹膜可以没有多少变化。研究表明，全世界没有两人的虹膜是完全一样的，在采集的精确度等方面有着独特的优势，虹膜技术与高效的算法结合，可以达到非常优异的精确度，全人类中任意两个人的虹膜信息有75%匹配的可能性是1：1000000。但是虹膜采集时需要充足的光源，虹膜采集设备非常昂贵，算法较复杂，限制了其在现实生活中的广泛应用。

与虹膜识别类似，视网膜识别采集视网膜上的视神经分布情况，难度大，采集过程需要人配合，可能对使用者健康造成损害。

除以上几种生物特征识别方式外，还有声音识别、DNA识别、击键识别等。但由于种种因素，其大规模应用都遇到瓶颈。

3总结

随着时代的发展，网络应用越来越广泛，计算机涉密的系统起着越来越重要的作用。可以预测在不久的将来，生物特征识别方式将得到越来越广泛的应用。

参考文献

[1]田启川.不完美虹膜的定位分割、特征提取与分类识别[D].西安：西北工业大学，2005.

[2]国保发武器装备科研生产单位保密资格审查认证管理办法[EB/OL]http：//wenku.baidu.com/view/dc9f027da26925c52cc5bf 24.html2008

[3]范鹏.基于ARM-Linux平台的家庭智能安防系统的研究与设计[D].南京：南京理工大学，2013.

[4]王宏志.基于Cortex-A8的智能电话的硬件设计与实现[D].哈尔滨：哈尔滨工业大学，2013

[5]张磊.基于Cortex-A8处理器的手持式多功能RFID读写器设计[D].成都：电子科技大学，2013

作者：郭莉莉

第2篇：涉密计算机信息安全管理体系的设计与实现

摘要：信息安全管理是涉密计算机系统运行的关键环节，只有保证了信息安全，才能保证保密计算机的正确使用，但在信息安全领域还存在一些问题或问题。 一些涉密电脑管理不当，无助于妥善管理和控制信息安全。信息安全管理系统可以更好地管理与计算机信息安全相关的机密信息。

关键词：涉密计算机;信息安全;管理体系;设计;实现

由于计算机机密信息具有保密特性，一旦泄露会造成严重后果，应在特定管理领域关注信息安全管控和信息安全相关管理制度。 信息安全设计要合理，将其应用到日常工作中，充分发挥信息安全管理体系的作用，为保密计算机的信息安全提供一定的基础保障。

一、管理目的

1.确保信息物理与网络方面的安全性

在物理安全管理方面，我们进行机械设备和网线基础设施管理，以确保能够达到高安全标准，对关键位置和数据信息进行集中保护和控制，并维护所有信息。访问控制的手段和方法应在网络的应用层和终端层进行设计，特别注重与计算机相关的机密信息资源交互和访问过程中的安全管理和访问控制。找出根本原因，防止隐藏的信息安全问题发生。

2.文件方面的安全管理

从涉密计算机交互的角度来看，文件是一个重要的组成部分，也是一个非常脆弱的部分，因此必须在整个安全管理工作流程中对其进行控制。涉密计算机上的文件交互过程主要是外部和内部的，包括生产、输出和存储。在此期间，存在着许多隐藏的信息安全风险。主要目的是增加文件的安全性。

3.终端防护的安全管理目的

近期，我国在涉密计算机信息安全管理中，在终端保护和安全管理的细化控制方面存在不足。在现实世界中，需要保护的设备主要是固定和移动设备，无论设备类型如何，您都需要执行操作和检查控制任务。现有的设备安全管理主要关注病毒。 预防/管理/数据上传 安全管理不能防止内部盗窃的发生，这对终端保护行动的有序实施产生不利影响。因此，在信息安全管理体系的后续设计中，终端安全改进管理模式应该是主要目的，以确保维护和有效控制。

二、体系设计和实现措施

为实现上述与保密相关的计算机信息安全管理系统的设计目标和工作目标，我们提出以下设计和实施方案，为相关信息安全管控提供具体支持。主要的设计和实施措施包括：

1.合理设计相关的信息安全管理系统

对于机密计算机的信息安全系统，在设计期间，必须确保其中的所有信息都具有一定的可用性特征、可控特征、完整性特征和机密性特征。系统构建是同步的 统一相关建设标准和標准，规范登记设计保密信息安全管理模式，以此为指导思想，落实相关安全管理工作。在设计管控系统时，需要结合具体的信息安全管理标准和与保密相关的计算机保护规定来设计相关系统，该系统主要由信息、用户和应用安全管理组成。利用各种技术提升各类机密相关数据和信息的安全性通过维护安全，防止安全风险和隐患的发生。

2.合理设计安全管理体系中的技术措施

为确保安全管理体系在保护涉密计算机信息安全方面得到很好的应用，应设计相关技术措施，整合技术要素和方法，对涉密计算机的各种信息和内容进行综合处理。应在以下方面的帮助和支持下得到加强：先进的技术安全。在设计管理系统时，需要将安全系统与实际情况联系起来，设计与终端安全系统和用户安全系统相结合的安全管理软件加强服务器的安全管理措施。尤其是在数据安全管理层面，ACL技术措施、防火墙技术措施等可以提高所有信息的安全性，设计提高相关加密文件的安全性。

3.确保信息安全管理体系的良好实现

企业在完成相关涉密相关计算机信息安全管理体系后，为达到相应的安全管理目的应强调系统应用的综合能力。在信息安全管控过程中，以综合防护为基础，进行区域保护操作、分区信息加密注册保护操作、分级保护操作，进行横向和纵向多层次的立体安全管理，综合运用各种技术措施，严格控制访问和控制。 操作和审计操作;严格监控网络运行情况，明确软件使用安全问题、端口操作安全问题、系统登录安全风险等，建立三维信息安全防护网络体系，防范病毒入侵和黑客攻击，对安全的各个环节进行管理和管理控制。

三、注意事项

1.完善相关的信息安全管理体系的防护模式

在完成与保密相关的计算机信息安全管理体系设计并在实际信息安全管控环节实施后，还需要根据信息安全管理要求和国家特点合理设计保护运行模式。同时执行机密相关的计算机和保护任务，确保所有信息的安全。主要保护方式有：(1)采用集中保护运行模式，取代以往分散的安全管理措施，将信息安全的整个运行过程分层、细分、重点区域。在质量安全管理方面，投入充足的人力物力，提高各项防护作业质量。(2)采用连线保护工作方式，合理设计具有连续性特性的保护系统，保证保护动作的连线。这期间要注意安全管理系统与相应的认证网关系统、密码认证系统的交互，以及相关的访问控制操作、文件加密管理操作、系统登录管理操作等，各种操作的信息通过身份认证的数字证书，安全性更高。同时，可以在旁路中安装入侵检测系统，对来自各个网段的数据信息进行过滤和分析，并在已知存在非法活动和危险活动的情况下，与防火墙进行交互拦截信息。

2.注意完善技术人才基础保障

技术人员是涉密计算机安全管理制度设计和实施的主要保证人，只有保证技术人员的专业化和规范化，才能进一步提高信息安全管理制度的设计和实施水平。 因此，在部门的技术工作中，要着力培养优秀的技术人才，引进具有特定信息安全管理经验、系统设计能力和管理制度实施能力的人才，并要求具备特定的技术素养。

结语

涉密计算机信息安全管理十分重要，应完善相关信息安全保护模式，组建优秀人才队伍，共同构建信息安全管理体系，维护信息安全的相关制度。

参考文献

[1] GB/T 22080—2016.信息安全管理体系规范[S].

[2]张﹑伟薛文星段﹐英，等.信息化测绘安全保密体系构建浅析[J].测绘标准化2017( 3)： 39- 41.

作者：张晶 孔繁 刘艳

第3篇：涉密信息在计算机保密管理中的隐患与对策

“信息战”已成为未来战争过程中的重要内容，同时也更加突出了信息系统安全保密工作的重要性，美国中情局前职员爱德华·斯诺登向世界媒体曝光，美国情报机构使用“棱镜”在世界各国进行数据挖掘工作，面对“棱镜”这种境外情报机构的窃密行为，我国在发展中要将加强电子涉密信息的管理工作作为一项重要内容。

一、涉密信息在计算机保密管理中的隐患分析

有的涉密人员在没有实行防护措施的状况下错误使用网络资源，私自将涉密网络接入到互联网或其他公共信息网络，并且在这些网络中做出了相关操作，由于互联网或其他公共信息网络中存在大量的木马病毒，大部分木马病毒在实际上都是具有恶意企图，这不仅会将涉密计算机中的涉密信息不慎外泄，严重时还会使涉密计算机成为攻击其他设备的工具。有的涉密人员私自在涉密计算机与非涉密计算机之间交叉使用移动存储介质，这会导致涉密网络在无意之间被网络黑客非法占侵，这不仅会导致很多涉密信息被网络黑客窃取，同时也会导致部分涉密信息被非法修改，这对国家政治、军事以及经济等涉密信息的保密工作带来极大破坏。有的涉密人员私自使用无线互联功能的计算机对涉密信息进行操作，这类计算机在开机状态可以自动连接无线网络，容易被人利用无线网络对其进行远程控制，同时在使用无线网络过程中由于传输信号散发在空中，可能会被一些有接受能力的仪器设备截取到，这些都要会导致涉密信息被无意泄漏。有的涉密人员擅自在涉密计算机上进行相应操作或者是把涉密计算机携带外出，涉密人员私自在涉密计算机上安装软件或随便复制他人文件，这便会导致木马程序随着软件被安装到涉密计算机中，会导致涉密计算机中的涉密信息被木马程序外泄或更改，这些都会对我国社会经济、国家政治以及国家军事的发展带来极大破坏。

二、加强计算机保密管理的几项措施

为了有效加强计算机保密管理工作质量，严格防止泄密信息被恶意窃取或意外泄漏，涉密网络与互联网、其他公共信息网络之间必须进行物理隔离，或使用防火墙技术避免涉密网络受到侵害。涉密单位在对计算机保密管理过程中要做到涉密专机专用，同时为了满足涉密网络需要连接互联网、其他公共信息网络连接的需求，可以采用双硬盘、双网卡的物理隔离方式避免涉密网络受到非法侵占，在网卡选择过程中可以将具有双网隔离功能的隔离网卡作为首要选择，并要基于涉密计算机保密管理的要求对其设置单独硬盘供外部链接使用，内部涉密网络可以使用统一储存的隔离方式避免涉密信息遭到侵占。

涉密U盘等涉密单位使用的移动存储介质不允许在非涉密计算机中使用，手机、数码相机、MP3、MP4等具有储存功能的电子产品，不允许涉密人员在工作中将其连接到涉密计算机上，这样才能确保木马程序不会随着非法移动存储介质安装到涉密计算机中。涉密人员在实际工作中不允许其在互联网或公共信息网络上存储、操作涉密信息，在涉密信息存储、操作过程中必须保证计算机已处于脱机状态，并要根据涉密信息类型要采用防护措施保证其不会被意外泄漏、修改以及破坏。

涉密人员在处理涉密信息计算机上进行相应操作，必须要将所使用的计算机中的无线网卡等互联设备拆除，如果计算机上的互联设备在使用中无法拆除，则不允许涉密人员使用此台计算机对涉密信息进行储存或其他操作。

涉密人员如果要在涉密计算机上安装软件或复制他人文件，则需要管理人员批准这一行为，并且在软件安装和文件复制前要对其进行病毒查杀，彻底杜绝木马程序随软件或文件非法安装到涉密计算机中，这对加强涉密计算机的保密管理工作有着重要作用。

涉密人员如果要想将涉密计算机或移动存储介质携带外出，则要求涉密人员要向管理人员进行上报并对其进行审批，并且要确定携带外出的涉密计算机和移动存储介质都处于严密监控中，并要根据实际工作需求对涉密信息进行加密保护，这样才能彻底杜绝涉密信息被恶意篡改、窃取以及泄漏等事件的发生。

涉密设备如果在使用过程中出现故障，则要求其必须在单位内部进行维修，维修现场必须由专人对整个维修过程进行监督，如果涉密设备必须外送进行维修，则需要对涉密设备中的涉密信息存储部件进行拆除处理。涉密设备在丢弃、出售以及赠送等行为前，要根据国家相关法律要求对涉密信息进行彻底清除，并且要确定涉密信息经过清除处理后不会被还原。涉密人员在使用手机等通信设备进行通话时，所谈论的内容不能涉及到涉密信息，只有通过这些措施才能提高计算机保密管理工作质量。

三、结语

我国涉密计算机在使用过程中由于受到人为因素影响，境外情报机构经常利用木马程序对涉密信息进行恶性窃取、修改，导致这些事件发生的主要原因在于涉密人员的意外疏忽。因此，为了确保我国涉密信息的安全性，我国政府在新时期要不断强化涉密计算机的保密管理工作。

作者：黄俊仪

第4篇：计算机信息系统涉密管理办法

第一章 总 则

第一条 为保护农村商业银行股份有限公司(以下简称“本行”)计算机网络系统的安全，根据《中华人民共和国保守国家秘密法》、《计算机信息系统保密暂行规定》等法律、法规制订本办法。

第二条 本办法所称的计算机信息系统，是指由计算机、网络设备、数据信息以及其相关配套的设备、设施构成的，按照一定的应用目标和规则对数据信息进行采集、加工、存储、传输、检索等处理的人机系统。

第三条 概念释义：

(一)计算机信息系统安全，是指计算机信息系统的硬件、软件、网络和数据的安全必须受到保护，不因自然的和人为的原因而遭到破坏、更改和丢失，以保证计算机信息系统能连续正常运行。

(二)计算机信息系统保密，是指对涉及本行商密的包括但不限于计算机信息系统的软件、硬件、系统数据信息、技术开发文档、管理及操作规定。

(三)计算机信息系统的安全保密，是指保障计算机、数据信息网络及其相关的和配套的设备、设施的安全，保障运行环境(机房)的安全，保障信息的安全，保障计算机和网络功能的正常发挥，防止工作或政治因素造成的失密、泄密，防止人为或自然灾害等造成的破坏，以及防止利用计算机犯罪等。

第四条

本办法适用于支行(部)的业务网、办公网、互连网等三大计算机网络系统涉密工作的管理。

第二章 组织管理及职责

第五条 本行成立计算机网络系统保密领导小组，由行长任组长，分管副行长为副组长、各支行(部)负责人为小组成员，信息科技部负责保密领导小组的日常检查工作。

(一)保密领导领导小组定期向本行领导报告安全保密工作情况;

(二)保密领导领导小组督促本部门安全保密措施的贯彻执行;

(三)小组成员负责本部门安全保密检查;进行安全保密教育。 第七条 对涉密信息需要经计算机系统采集、加工、存储、处理、输出的，由信息的生成、拥有、管理、提供部门向总行保密领导小组进行申报，经总行保密领导小组核定并签署意见后书面通知相关部门执行。

第八条

总行保密领导小组不定期组织开展本行涉密计算机信息安全检查，对检查中发现的问题将及时予以纠正，对严重违反涉密规定，造成后果的，要进行通报，并按有关规定，追究领导责任，严肃处理。

第三章 计算机及网络系统

第九条 设备选型、购置须经充分论证，做好验收，对密钥、密码、参数等信息应做好接交保管，网络设备要特别关注其保密性能。

第十条

建立常规硬件系统维护管理制度，保持维护计算机和网络设备、工具和资料处于良好状态。

第十一条 各级操作人员必须进行必要的安全保密培训，在职责范围内严格按相关操作规程进行操作。

第十二条 应用系统在设计上严格控制涉密文件信息查询、检索的人员范围，严格管理用户使用权限。系统软硬件一经安装、调试、正式运行，各支行(部)未经科技部门许可，不得自行对其更改配置。

第四章 介质、资料的管理

第十三条

应用系统使用、产生的介质(磁性存储介质、电子存储介质、光存储介质等)或资料(纸质文档、电子文档、程序等)要按其重要性进行分类，对存放有关键或重要数据的介质和资料，应复制必要的份数，并分别存放在不同的安全地方，建立严格的保密保管制度。

第十四条 保留在机房内的介质或资料，应为系统有效运行所必需的最少数量，除此之外，不应保留在机房内。

第十五条 存放介质、资料的库房，必须设有防火、防潮、防高温、防震、防电磁场、防静电及防盗等的设施。

第十六条 介质(资料)库，应设专人负责登记保管，未经批准，不得向第三方提供。

第十七条 系统内有关人员在使用介质(资料)期间，应严格按国家相关保密规定进行控制，不得转借或复制，需要使用或复制的须经相关领导批准。

第十八条

库房保管人对所有介质(资料)应定期检查，根据介质的安全保存期限，及时更新复制。损坏、废弃或过期的介质(资料)应由专人负责处理，秘密级以上的介质(资料)在超过保密期或废弃不用时，要及时销毁。

第五章 安全保密管理

第十九条

计算机信息系统的建设和应用，应当遵守国家有关法律、行政法规和本行其它有关规定。

第二十条 计算机机房、办公、防雷、消防、通讯及供配电设施应当符合国家标准和国家有关规定。在上述设施附近施工，不得危害计算机网络系统的安全。

第二十一条 严禁任何涉及支行(部)机密的涉密计算机信息系统直接或间接地与国际互联网或其他公共信息网络相连接，必须实行内联网与互联网严格物理隔离。所有与互联网连接的计算机必须使用专用的上网计算机或采用隔离措施的计算机，上网计算机中不得有涉及本机构保密信息的内容。

第二十二条 凡接入互联网的单位，要实行保密领导责任制，各部门负责人是本部门保密工作的第一责任人，必须指定专人负责本部门上网信息的保密监督检查，确保涉密信息的安全。

第二十三条 要求接入国际互联网的计算机，由使用部门提出申请，经科技部门按规定审核后，报分管领导审批。互联网实行专网管理，由信息科技部统一出口管理，并向通信运营商提出申请安装，严格控制各支行(部)自行申请安装。互联网申请安装必须报市公安局网络监察大队备案。为控制源头，加强管理，支行(部)大楼实行单一互联网专线，由信息科技部负责安全措施落实，各部门不得自行通过电话或其他方式上互联网，以防止通过互联网发生泄密事件。

第二十四条 对计算机信息系统中发生的案件，按规定及时向本行相关部门报告。

第二十五条 上网信息的保密管理坚持“谁上网，谁负责”的原则。凡向互联网发布涉密信息，必须经过总行保密领导小组授权总行办公室审查批准。 第二十六条

本行员工必须接受保密安全教育，严格遵守保密纪律。在开展技能培训的同时，必须把保密教育作为技能培训的重要内容之一。

第二十七条 本行与外单位因业务关系进行网络互联时，必须在双方设置硬件防火墙，并通过中间服务器访问我行数据，与关联单位签定的协议中，必须含有保密条款。关联单位必须遵守我行有关保密规定，不得泄露我行重要的保密信息。

第二十八条 总行保密领导小组不定期组织开展本行涉密计算机信息安全检查，对检查中发现的问题将及时予以纠正，对严重违反涉密规定，造成后果的，要进行通报，并按有关规定，追究领导责任，严肃处理。

第六章 人员内控管理

第二十九条 人员管理。

本行员工一旦发现涉密信息泄露或可能发生泄露的情况时，应立即向保密领导小组报告，并采取相应的保护措施。

第三十条 任何人不得擅自处理或破坏发生事故的涉密计算机信息系统现场，必须及时通知总行保密领导小组，经保密领导小组授权，信息科技部进行技术分析、取证，并及时做好相应的登记备案工作。

第三十一条 泄密事故相关人员应根据责任和损失大小承担相关事故责任，给本行造成重大损失的将被依法追究责任，情节严重的将送交司法机关处理。

第三十二条

人员审查。

人员的审查必须根据计算机网络系统所规定的安全等级来确定审查标准。凡接触系统安全三级以上信息系统的所有人员，必须按机要人员的条件进行审查。

第三十三条

关键岗位人选。

对计算机信息系统的关键岗位人选，如安全负责人、系统管理员等，不仅需要进行严格的政审，还要考核其业务能力，以保证这部分人员可信可靠，能胜任本职工作。关键岗位人员要实行定期强制休假制度。

第三十四条

人员培训。

计算机信息系统上岗的所有工作人员，均需由有关部门组织上岗培训，包括计算机及网络操作、维护培训、应用软件操作培训、计算机网络系统安全课程及保密教育培训，经培训合格的人员持证上岗。

第三十五条 人员考核。

人事部门要定期组织有关方面人员对计算机网络系统所有的工作人员从政治思想、业务水平、工作表现、遵守安全规程等方面进行考核，对于考核发现有违反安全法规行为的人员或发现不适于接触计算机网络系统的人员要及时调离岗位，不应让其再接触系统，对情节严重的应追究其法律责任。

第三十六条

签订保密协议。

对于所有进入计算机网络系统工作的人员，均应签订保密契约，承诺其对系统应尽的安全保密义务，保证在岗工作期间和离岗后均不得违反保密契约，泄漏系统秘密。对违反保密契约的，应有惩处条款。对接触机密信息的人员，应规定在离岗后的一段时期内不得离境。

第三十七条 人员调离。

对调离人员，特别是因不适合安全管理要求被调离的人员，必须严格办理调离手续。进行调离谈话，承诺其调离后的保密义务，交还所有钥匙及证件，退还全部技术手册、软件及有关资料。更换系统口令和用户名。自调离决定通知之日起，必须立即进行上述工作，不得拖延。

第七章 操作安全管理

第三十八条 系统操作安全管理目标。

系统操作是指对计算机信息系统开发、操作、维护、系统管理等人员的行为或活动。计算机信息系统操作安全管理的目标是：

(一)对系统管理及系统操作均应进行有效的监督或监控;

(二)所有接触系统的人员均应承担与其工作性质相应的安全责任。

第三十九条 计算机操作人员分类。

对计算机信息系统的操作人员，应根据计算机信息系统有限职责、有限使用授权原则进行分类。

(一)营业网点操作员、管理人员。

(二)事后监督系统操作员、管理人员。

(三)办公自动化系统操作、管理人员。

(四)网络及硬件维护人员。

(五)系统运行维护人员。

(六)中心系统管理人员。

(七)安全管理人员。

第四十条 系统操作控制管理。

(一)应按照分工负责、互相制约的原则制定各类系统操作人员的职责，职责不允许交叉覆盖。

(二)各类人员在履行职责时要按规定行事，不得从事超越自己职责以外的任何操作。

(三)在对生产系统和监督系统进行系统维护、恢复、强行更改数据时，至少应有两名操作人员在场、并进行详细的登记及签名。

(四)系统检查人员、安全管理人员有权对生产系统进行监督与核查，但该过程必须履行必要的手续和按照一定的程序进行。

第八章 安全保密监督

第四十一条 科技部门对计算机信息系统安全保密工作，行使下列监督职权：

(一)监督、检查、指导计算机信息系统安全保密工作;

(二)检查危害计算机信息系统安全的违规事件;

(三)履行计算机信息系统安全保密工作的其它监督职责。

第四十二条 科技部门发现影响计算机信息系统安全保密的隐患时，应当及时通知本行保密领导小组采取保密保护措施，在紧急情况下，有权直接先采取必要的措施，然后再向领导报告，遇有重大问题，可以要求召集计算机保密领导小组成员会议商议对策。

第九章 泄密处理

第四十三条 如发生涉密计算机信息泄密事故，不得隐瞒，应立即向保密领导小组报告，并请求信息科技部给予技术支持;信息科技部将根据保密领导小组的要求，采取有效的技术措施，避免泄密进一步扩大。

第四十四条 本行员工一旦发现涉密信息泄露或可能发生泄露的情况时，应立即向保密领导小组报告，并采取相应的保护措施。

第四十五条 任何人不得擅自处理或破坏发生事故的涉密计算机信息系统现场，必须及时通知总行保密领导小组，经保密领导小组授权，信息科技部进行技术分析、取证，并及时做好相应的登记备案工作。

第四十六条 泄密事故相关人员应根据责任和损失大小承担相关事故责任，给本行造成重大损失的将被依法追究责任，情节严重的将送交司法机关处理。

第四十七条 第四十八条

第十章 附则

本办法由农村商业银行股份有限公司负责解释。 本办法自发布之日起执行。

第5篇：涉密计算机及信息系统安全策略文件

1 概述

涉密计算机及信息系统安全策略文件属于顶层的管理文档，是公司网络与信息安全保障工作的出发点和核心，是公司计算机与信息系统安全管理和技术措施实施的指导性文件。涉密计算机及信息系统安全策略文件是公司计算机和信息系统全体管理和使用人员必须遵循的信息安全行为准则，由公司信息安全管理部门制订及解释，由公司保密委员会审批发布，并由信息安全管理部门组织公司全体人员学习与贯彻。

公司涉密计算机及信息系统涉及到存储、传输、处理国家秘密、公司商业秘密和业务关键信息，关系到公司的形象和公司业务的持续运行，必须保证其安全。因此，必须从技术、管理、运行等方面制定确保涉密计算机和信息系统持续可靠运行的安全策略，做好安全保障。

本策略文件主要内容包括：物理安全策略、信息安全策略、运行管理策略、备份与恢复策略、应急计划和响应策略、计算机病毒与恶意代码防护策略、身份鉴别策略、访问控制策略、信息完整性保护策略、安全审计策略等十个方面。 2 适用范围

2.1本策略所称的涉密计算机和信息系统指公司所有通过计算机及信息系统存贮、处理或传输的信息及存贮、处理或传输这些信息的硬件、软件及固件。

2.2本策略适用于与公司涉密计算机及信息系统相关的所有部门及人员。 3 目标

制定涉密计算机及信息系统安全策略的目标就是确保公司掌握的国家秘密、公司商业秘密和业务关键信息的安全性，并通过一系列预防措施将信息安全可能受到的危害降到最低。信息安全管理应在确保信息和计算机受到保护的同时，确保计算机和信息系统能够在允许的范围内正常运行使用。

同时，本策略的目的也是让所有员工能够了解信息安全问题以及明确各自的信息安全职责，严格遵守本安全策略，并遵守国家相关的计算机或信息安全法律要求。 4 组织

1 4.1保密委员会是计算机及信息系统安全管理的领导机关，负责领导信息安全管理体系的建立和信息安全管理的实施，主要包括：

 提供清晰的指导方向，可见的管理支持，明确的信息安全职责授权;  审查、批准信息安全策略和岗位职责;  审查业务关键安全事件;

 批准增强信息安全保障能力的关键措施和机制;

 保证必要的资源分配，以实现数据有效性以及信息安全管理体系的持续发展。

4.2信息安全管理部门具体负责建立和维持信息安全管理体系，协调相关活动，主要承担如下职责：

 调整并制定所有必要的信息安全管理规程、制度以及实施指南等;  提议并配合执行信息安全相关的实施方法和程序，如风险评估、信息管理分层等;

 主动采取部门内的信息安全措施，如安全意识培训及教育等;  配合执行新系统或服务的特殊信息安全措施;  审查对信息安全策略的遵循性;  配合并参与安全评估事项;

 根据信息安全管理体系的要求，定期向上级主管领导和保密委员会报告。

5 分层管理与控制

5.1公司计算机及信息系统管理分为涉密计算机管理、内部网络(局域网)及计算机信息管理、互联网计算机信息管理三个管理层次。

5.2 涉密计算机只能处理涉及国家秘密的信息，实行物理隔离管理，只能由公司涉密人员使用，由公司保密员管理。涉密计算机信息数据必须被保护以防止被泄漏、破坏或修改。

5.3 内部网络(局域网)及计算机配置加密管理措施，与互联网隔离，配置保密管理措施，只能通过局域网传输、储存技术文档、软件等涉及公司商业机密信息。上述信息必须定期备份进行保护，以免破坏和非授权修改。

5.4 互联网计算机主要处理来自于外部资源的普通信息，配置上网行为管理 2 措施，同样在信息安全防护上进行安全考虑。

5.5上述计算机及信息系统根据分层次管理的要求应当依据其分类进行物理标记。

物理安全策略

6.4信息处理设备可接受的使用策略

公司禁止工作人员滥用计算机及信息系统的计算机资源，仅为工作人员提供工作所需的信息处理设备。公司所有人员对系统网络和计算资源的使用(包括访问互联网)都必须遵守计算机及信息系统的安全策略和标准及所有适用的法律。

公司的计算机及信息系统应能防止使用人员连接到访问含有色情、种族歧视及其他不良内容的网站及某些非业务网站。

包括但不限于以下例子是不可接受的使用行为：

 使用信息系统资源故意从事影响他人工作和生活的行为。

 工作人员通过信息系统的网络服务及设备传输、存储任何非法的、有威胁的、滥用的材料。

 任何工作人员使用信息系统的计算机工具、设备和互联网访问服务来从事用于个人获益的商业活动(如炒股)。

 工作人员使用信息系统服务来参与任何政治或宗教活动。

 在没有信息安全管理部门的事先允许或审批的情况下，工作人员在使用的计算机中更改或安装任何类型的计算机软件和硬件。

 在没有信息安全管理部门的事先允许或审批的情况下，工作人员拷贝、安装、处理或使用任何未经许可的软件。 6.5处理从互联网下载的软件和文件

必须使用病毒检测软件对所有通过互联网(或任何其他公网)从信息系统之外的途径获得的软件和文件进行检查，同时，在获得这些软件和文件之前，信息安全管理部门必须研究和确认使用这些工具的必要性。

6.6工作人员保密协议

公司所有人员必须在开始工作前，亲自签订计算机及信息系统保密协议。 6.7知识产权权利

尊重互联网上他人的知识产权。

3 公司工作人员在被雇佣期间使用公司系统资源开发或设计的产品，无论是以何种方式涉及业务、产品、技术、处理器、服务或研发的资产，都是公司的专有资产。

7 物理和环境安全策略

计算机信息和其他用于存储、处理或传输信息的物理设施，例如硬件、磁介质、电缆等，对于物理破坏来说是易受攻击的，同时也不可能完全消除这些风险。因此，应该将这些信息及物理设施放置于适当的环境中并在物理上给予保护使之免受安全威胁和环境危害。

7.1安全区域

根据信息安全的分层管理，应将支持涉密信息或关键业务活动的信息技术设备放置在安全区域中。安全区域应当考虑物理安全边界控制及有适当的进出控制措施保护，安全区域防护等级应当与安全区域内的信息安全等级一致，安全区域的访问权限应该被严格控制。

7.2设备安全

对支持涉密信息或关键业务过程(包括备份设备和存储过程)的设备应该适当地在物理上进行保护以避免安全威胁和环境危险。包括：

 设备应该放置在合适的位置或加强保护，将被如水或火破坏、干扰或非授权访问的风险降低到可接受的程度。

 对涉密信息或关键业务过程的设备应该进行保护，以免受电源故障或其他电力异常的损害。

 对计算机和设备环境应该进行监控，必要的话要检查环境的影响因素，如温度和湿度是否超过正常界限。

 对设备应该按照生产商的说明进行有序地维护。  安全规程和控制措施应该覆盖该设备的安全性要求。  设备包括存储介质在废弃使用之前，应该删除其上面的数据。 7.3物理访问控制

信息安全管理部门应建立访问控制程序，控制并限制所有对计算计及信息系统计算、存储和通讯系统设施的物理访问。应有合适的出入控制来保护安全场所，确保只允许授权的人员进入。必须仅限公司工作人员和技术维护人员访问公司办 4 公场所、布线室、机房和计算基础设施。

7.4建筑和环境的安全管理

为确保计算机处理设施能正确的、连续的运行，应至少考虑及防范以下威胁：偷窃、火灾、温度、湿度、水、电力供应中断、爆炸物、吸烟、灰尘、振动、化学影响等。

必须在安全区域建立环境状况监控机制，以监控厂商建议范围外的可能影响信息处理设施的环境状况。应在运营范围内安装自动灭火系统。定期测试、检查并维护环境监控警告机制，并至少每年操作一次灭火设备。

7.5保密室、计算机房访问记录管理

保密室、计算机房应设立物理访问记录，信息安全管理部门应定期检查物理访问记录本，以确保正确使用了这项控制。物理访问记录应至少保留12个月，以便协助事件调查。应经信息安全管理部门批准后才可以处置记录，并应用碎纸机处理。

8计算机和网络运行管理策略

计算机和信息系统所拥有的和使用的大多数信息都在计算机上进行处理和存储。为了保护这些信息，需要使用安全且受控的方式管理和操作这些计算机，使它们拥有充分的资源。

由于公司计算机和信息系统采用三层管理模式，不排除联接到外部网络，计算机和信息系统的运行必须使用可控且安全的方式来管理，网络软件、数据和服务的完整性和可用性必须受到保护。

8.1操作规程和职责

应该制定管理和操作所有计算机和网络所必须的职责和规程，来指导正确的和安全的操作。这些规程包括：

 数据文件处理规程，包括验证网络传输的数据;

 对所有计划好的系统开发、维护和测试工作的变更管理规程;  为意外事件准备的错误处理和意外事件处理规程;

 问题管理规程，包括记录所有网络问题和解决办法(包括怎样处理和谁处理);  事故管理规程;

5  为所有新的或变更的硬件或软件，制定包括性能、可用性、可靠性、可控性、可恢复性和错误处理能力等方面的测试/评估规程;

 日常管理活动，例如启动和关闭规程，数据备份，设备维护，计算机和网络管理，安全方法或需求;

 当出现意外操作或技术难题时的技术支持合同。 8.2操作变更控制

对信息处理设施和系统控制不力是导致系统或安全故障的常见原因，所以应该控制对信息处理设施和系统的变动。应落实正式的管理责任和措施，确保对设备、软件或程序的所有变更得到满意的控制。

8.3介质的处理和安全性

应该对计算机介质进行控制，如果必要的话需要进行物理保护：  可移动的计算机介质应该受控;

 应该制定并遵守处理包含机密或关键数据的介质的规程;  与计算相关的介质应该在不再需要时被妥善废弃。 8.4鉴别和网络安全

鉴别和网络安全包括以下方面：

 网络访问控制应包括对人员的识别和鉴定;

 用户连接到网络的能力应受控，以支持业务应用的访问策略需求;  专门的测试和监控设备应被安全保存，使用时要进行严格控制;  通过网络监控设备访问网络应受到限制并进行适当授权;  应配备专门设备自动检查所有网络数据传输是否完整和正确;  应评估和说明使用外部网络服务所带来的安全风险;  根据不同的用户和不同的网络服务进行网络访问控制;  对IP地址进行合理的分配;  关闭或屏蔽所有不需要的网络服务;  隐藏真实的网络拓扑结构;

 采用有效的口令保护机制，包括：规定口令的长度、有效期、口令规则或采用动态口令等方式，保障用户登录和口令的安全;

 应该严格控制可以对重要服务器、网络设备进行访问的登录终端或登录 6 节点，并且进行完整的访问审计;

 严格设置对重要服务器、网络设备的访问权限;  严格控制可以对重要服务器、网络设备进行访问的人员;

 保证重要设备的物理安全性，严格控制可以物理接触重要设备的人员，并且进行登记;

 对重要的管理工作站、服务器必须设置自动锁屏或在操作完成后，必须手工锁屏;

 严格限制进行远程访问的方式、用户和可以使用的网络资源;  接受远程访问的服务器应该划分在一个独立的网络安全区域;  安全隔离措施必须满足国家、行业的相关政策法规。

个人终端用户(包括个人计算机)的鉴别，以及连接到所有办公自动化网络和服务的控制职责，由信息安全管理部门决定。

8.5操作人员日志

操作人员应保留日志记录。根据需要，日志记录应包括：  系统及应用启动和结束时间;  系统及应用错误和采取的纠正措施;  所处理的数据文件和计算机输出;  操作日志建立和维护的人员名单。 8.6错误日志记录

对错误及时报告并采取措施予以纠正。应记录报告的关于信息处理错误或通信系统故障。应有一个明确的处理错误报告的规则，包括：1)审查错误日志，确保错误已经得到满意的解决;2)审查纠正措施，确保没有违反控制措施，并且采取的行动都得到充分的授权。

8.7网络安全管理策略

网络安全管理的目标是保证网络信息安全，确保网络基础设施的可用性。网络管理员应确保计算机信息系统的数据安全，保障连接的服务的有效性，避免非法访问。应该注意以下内容：

应将网络的操作职责和计算机的操作职责分离;

 制定远程设备(包括用户区域的设备)的管理职责和程序;

7  应采取特殊的技术手段保护通过公共网络传送的数据的机密性和完整性，并保护连接的系统，采取控制措施维护网络服务和所连接的计算机的可用性;

 信息安全管理活动应与技术控制措施协调一致，优化业务服务能力;  使用远程维护协议时，要充分考虑安全性。 8.8电子邮件安全策略

计算机和信息系统应制定有关使用电子邮件的策略，包括：  对电子邮件的攻击，例如病毒、拦截;

 必要时，使用相关技术保护电子邮件的机密性、完整性和不可抵赖。 8.9病毒防范策略

病毒防范包括预防和检查病毒(包括实时扫描/过滤和定期检查)，主要内容包括：

 控制病毒入侵途径;  安装可靠的防病毒软件;  对系统进行实时监测和过滤;  定期杀毒;  及时更新病毒库;  及时上报;  详细记录。

防病毒软件的安装和使用由信息安全管理部门专门的病毒防范管理员执行。 严格控制盗版软件及其它第三方软件的使用，必要时，在运行前先对其进行病毒检查。

内部工作人员因为上不安全的网站下载文件或其他方式导致中毒，造成的后果由其本人负责。

8.10备份与恢复策略

定义计算机及信息系统备份与恢复应该采用的基本措施：  建立有效的备份与恢复机制;  定期检测自动备份系统是否正常工作;

 明确备份的操作人员职责、工作流程和工作审批制度;

8  建立完善的备份工作操作技术文档;

 明确恢复的操作人员职责、工作流程和工作审批制度;  建立完善的恢复工作操作技术文档;  针对建立的备份与恢复机制进行演习;  对备份的类型和恢复的方式进行明确的定义;  妥善保管备份介质。 8.11加密策略

对于应用系统安全需求分析中要求采用加密措施，或相关法规中要求采用加密措施的处理，一定要满足要求。

采用加密技术或选用加密产品，要求符合国家有关政策或行业规范的要求。 选用的加密机制与密码算法应符合国家密码政策，密钥强度符合国家规定。 对于敏感或重要信息，要求通过加密保障其私密性、通过信息校验码或数字签名保障其完整性、通过数字签名保障其不可否认性。

要求采用高强度的密钥管理系统，保证密钥全过程的安全。包括密钥的生成、使用、交换、传输、保护、归档、销毁等。

对敏感或重要密钥，要求分人制衡管理。

对敏感或重要密钥，要求采用一定的密钥备份措施以保障在密钥丢失、破坏时系统的可用性。

密钥失密或怀疑失密时，必须及时向安全主管部门报告，更新密钥。并采取有效措施，防止再次发生类似情况。 9访问控制策略

为了保护计算机系统中信息不被非授权的访问、操作或破坏，必须对信息系统和数据实行控制访问。

计算机系统控制访问包括建立和使用正式的规程来分配权限，并培训工作人员安全地使用系统。对系统进行监控检查是否遵守所制定的规程。

9.1计算机访问控制

应该根据相关国家法律的要求和指导方针控制对信息系统和数据的访问：  计算机活动应可以被追踪到人;

 访问所有多用户计算机系统应有正式的用户登记和注销规程;

9  应使用有效的访问系统来鉴别用户;

 应通过安全登录进程访问多用户计算机系统;  特殊权限的分配应被安全地控制;

 用户选择和使用密码时应慎重参考良好的安全惯例;  用户应确保无人看管的设备受到了适当的安全保护;  应根据系统的重要性制定监控系统的使用规程。  必须维护监控系统安全事件的审计跟踪记录;  为准确记录安全事件，计算机时钟应被同步。 10风险管理及安全审计策略

信息安全审计及风险管理对于帮助公司识别和理解信息被攻击、更改和不可用所带来的(直接和间接的)潜在业务影响来说至关重要。所有信息内容和信息技术过程应通过信息安全审计活动及风险评估活动来识别与它们相关的安全风险并执行适当的安全对策。

计算机及信息系统的信息安全审计活动和风险评估应当定期执行。特别是系统建设前或系统进行重大变更前，必须进行风险评估工作。

信息安全审计应当3个月进行一次，并形成文档化的信息安全审计报告。 信息安全风险评估应当至少1年一次，可由公司自己组织进行或委托有信息系统风险评估资质的第三方机构进行。信息安全风险评估必须形成文档化的风险评估报告。

11信息系统应急计划和响应策略

11.1信息应急计划和响应的必要性

应该制定和实施应急计划和响应管理程序，将预防和恢复控制措施相结合，将灾难和安全故障(可能是由于自然灾害、事故、设备故障和蓄意破坏等引起)造成的影响降低到可以接受的水平。

应该分析灾难、安全故障和服务损失的后果。制定和实施应急计划，确保能够在要求的时间内恢复业务的流程。应该维护和执行此类计划，使之成为其它所有管理程序的一部分。

11.2应急计划和响应管理程序

应该在整个计算机信息系统内部制定应急计划和响应的管理流程。包括以下

10 主要内容：

 考虑突发事件的可能性和影响。

 了解中断信息系统服务可能对业务造成的影响(必须找到适当的解决方案，正确处理较小事故以及可能威胁组织生存的大事故)，并确定信息处理设施的业务目标。

 适当考虑风险处理措施，可以将其作为业务连续性程序的一部分。  定期对应急计划和响应程序进行检查和进行必要的演练，确保其始终有效。

 适当地对技术人员进行培训，让他们了解包括危机管理在内的应急程序。

12遵循性

计算机及信息系统必须遵守国家法律和法规的要求。

公司所有工作人员都有责任学习、理解并遵守安全策略，以确保公司敏感信息的安全。对违反安全策略的行为，根据事件性质和违规的严重程度，采取相应的处罚措施。信息安全管理部门应根据违规的严重程度向相关领导提出建议惩罚措施。除本安全策略中涉及的要求之外，所有部门和工作人员同样需要遵守相关国家法律和法规的要求。

计算机和信息系统安全策略文件由信息安全管理部门负责制定和解释，由公司保密委员会审批发布。

公司已存在的但内容与本安全策略文件不符的管理规定，应以本安全策略的要求为准，并参考本安全策略及时进行修订。

第6篇：涉密计算机信息系统集成资质管理办法

第一章 总 则

第一条

为加强涉及国家保密的计算机信息系统(以下简称“涉密系统”)的保密管理，确保国家秘密的安全，根据《中华人民共和国保守国家秘密法》和有关法律法规，制定本办法。

第二条

本办法下列用语的含义：

涉密系统集成，是指涉密系统工程的总体规划、设计、开发、实施、服务及保障。

涉密系统集成资质，是指从事涉密系统集成工程所需要具备的综合能力，包括人员构成、技术水平、管理水平、技术装备、服务保障能力和安全保密保障设施等要素。

涉密系统集成单位，是指从事涉密系统集成业务的企业或事业单位。

涉密系统建设单位，是指主持建设涉密系统的单位。

第三条

本办法适用于涉密系统的建设单位和集成单位。

第四条

涉密系统集成单位必须经过保密工作部门资质认定，并取得《涉及国家秘密的计算机信息系统集成资质证书》(以下简称《资质证书》)。

未经保密工作部门资质认定的任何单位，不得承接涉密系统集成业务。

第五条

涉密系统建设单位应当选择具有《资质证书》的集成单位来承建涉密系统。

未取得《资质证书》的集成单位建设的涉密系统，保密工作部门不予审批。

第二章 资质申请与审批

第六条

涉密系统集成单位应当是中华人民共和国境内具有独立法人地位的企业或事业单位。外商独资、中外合资、中外合作企业不得从事涉密系统集成业务。

涉密系统集成单位应当具备下列条件：

(一)遵守国家保密法律和法规，具有健全的保密制度;

(二)具有信息产业部颁发的《计算机信息系统集成资质证书》(一级或二级)，并有网络安全集成的成功范例;

无《计算机信息系统集成资质证书》的企、事业单位，应为专门从事信息安全技术研究开发，并独立开展网络安全集成业务两年以上(含两年)，有成功范例;

(三)具有系统集成能力的计算机硬件、软件和网络工程专业高中级技术职称的专业队伍和组织管理人员，熟悉保密技术标准;

(四)具有先进的信息系统设计、开发设备，具有良好的安全保密环境;

(五)具有良好的经营业绩和资产状况;

(六)接受保密工作部门指导、监督和检查。

第七条

申请涉密系统集成资质的单位，应向所在地的省、自治区、直辖市、计划单列市、副省级城市保密局提出申请，并提供相关的资信证明资料。

第八条

受理申请的保密局，应对申请单位的资质进行审查。对初审符合资质条件的，由所在地的省、自治区、直辖市、计划单列市、副 省级城市保密局报国家保密局审核批准，颁发《资质证书》。

《资质证书》有效期限为三年，期满后依照本办法的规定重新核发。

第三章 资质管理

第九条

涉密系统建设单位和承接涉密系统集成的单位应签订保密协议，规定集成单位应履行的保密义务。

第十条

涉密系统集成单位在承接系统集成过程中，需要与其他单位合作完成的，其合作单位应有《资质证书》。

第十一条

涉密系统建成后，集成单位应将涉密系统资料全部移交给涉密系统建设单位，不得私自留存或擅自处理。

第十二条

已取得《资质证书》的集成单位，名称、经营范围、企业性质、隶属关系变更的，应当依照本办法第七条、第八条的规定，重新办理审批手续。

第十三条

省、自治区、直辖市、计划单列市、副省级城市保密局对本行政区域的涉密系统集成单位实施保密监督管理。

第十四条

涉密系统集成单位违反本办法规定的，由省、自治区、直辖市、计划单列市、副省级城市保密局责令其限期改正;逾期不改或整改后仍不符合要求的，报国家保密局收回其《资质证书》。

第四章 附则

第十五条 《涉及国家秘密的计算机信息系统集成资质证书》、《涉及国家秘密的计算机信息系统集成资质申请表》由国家保密局统一印制。

第十六条

本办法由国家保密局负责解释。

第十七条

本办法自发布之日起施行。 (来源: 国家保密局)

第7篇：涉密信息系统集成资质保密标准

1 适用范围 本保密标准适用于涉密信息系统集成资质申请、审查不资质

单位日常保密管理。

2 定义

2.1 本标准所称涉密人员，是指由于工作需要，在涉密信息 系统集成岗位合法接触、知悉和经管国家秘密事项的人员。

2.2 本标准所称涉密载体，主要指以文字、数据、符号、图 形、图像、声音等方式记载国家秘密信息的纸介质、磁介质、光 盘等各类物品。磁介质载体包括计算机硬盘、软盘和彔音带、彔 像带等。

2.3 本标准所称信息系统是指由计算机及其相关和配套设 备、设施构成的，按照一定的应用目标和规则存储、处理、传输 信息的系统或者网络。

2.4 本标准所称信息设备是指计算机及存储介质、打印机、

传真机、复印机、扫描仪、照相机、摄像机等具有信息存储和处

理功能的设备。

3 保密标准

3.1 保密标准实施原则

3.1.1 积极防范，突出重点，严栺标准，依法管理。 3.1.2 业务工作谁主管，保密工作谁负责，保密责仸落实到

人。

3.1.3 具备健全的管理体系，保密管理不生产经营管理相融

合。

3.1.4 开展保密风险评估不管理。 3.1.5 建立保密管理的持续改进机制。

3.2 保密组织机构及职责

3.2.1 保密工作领导小组 3.2.1.1 资质单位应当成立保密工作领导小组，为本单位保

密工作领导机构。 甲级资质单位应当设置与职保密总监，保密总监为单位领

导班子成员。

3.2.1.2 甲级资质单位保密工作领导小组由单位法定代表人 (或主要负责人)、保密总监和有关部门主要负责人组成。组长 由法定代表人(或主要负责人)担仸，副组长由保密总监担仸， 保密工作领导小组各成员应当有明确的职责分工。

乙级资质单位保密工作领导小组由单位法定代表人(或主要 负责人)、分管保密工作负责人和有关部门主要负责人组成。组

长由法定代表人(或主要负责人)担仸，副组长由分管保密工作 负责人担仸，保密工作领导小组各成员应当有明确的职责分工。

3.2.1.3 保密工作领导小组实行例会制度。例会应当组织学 习党和国家保密工作方针政策及相关保密法律法规;研究部署、 总结本单位的保密工作;解决保密工作中的重要问题。例会每年 丌少于 2 次，会议应当作记彔并形成会议纪要。

3.2.1.4 法定代表人(或主要负责人)为本单位保密工作第 一责仸人，对本单位保密工作负全面责仸，履行下列职责：

(1)保证国家相关保密法律法规在本单位贯彻落实; (2)监督检查保密工作责仸制的落实情况，解决保密工作

中的重要问题; (3)审核、签发单位保密 管理制度;

(4)为保密工作提供人力、财力、物力等条件保障。 3.2.1.5 保密总监或者分管保密工作负责人对本单位保密工 作负具体领导和监督责仸，履行下列职责：

(1)组织制定单位保密管理制度、保密工作计划，审定保 密工作总结;

(2)监督保密工作计划落实情况，组织保密检查; (3)为保密管理办公室和保密管理人员履行职责提供保障。

3.2.1.6 涉密信息系统集成业务部门负责人对本部门的保密 管理负直接领导责仸，履行下列职责：

(1)严栺按照工作需要，控制业务人员在工作中知悉涉密 信息的范围和程度;

(2)组织开展保密风险评估，修订生产管理制度，优化业 务流程，制定保密工作方案，落实保密风险防控措施;

(3)监督检查涉密信息系统集成业务管理和保密制度执行 情况，督促业务人员履行保密职责;

(4)及时发现、研究解决保密管理中存在的问题。 3.2.2 保密管理办公室

3.2.2.1 资质单位应当设立保密管理办公室，为本单位的职 能部门，负责人由中层以上管理人员担仸。

甲级资质单位保密管理办公室应当为与门机构并配备与门 的保密管理人员，乙级资质单位可指定有关机构承担保密管理办 公室职能。

3.2.2.2 保密管理办公室负责本单位保密工作的日常管理， 履行下列职责：

(1)组织落实保密工作领导小组的工作部署，提出工作建 议，拟定工作计划、总结;

(2)制定、修订保密制度; (3)参不单位各项管理制度的制定、修订工作; (4)审查、确定保密要害部门部位，指导、监督保密设施

设备的建设、使用和维护管理;

(5)组织开展保密宣传教育和培训; (6)对涉密人员履行保密职责情况进行指导监督; (7)对本单位各部门保密管理有关情况进行指导监督; (8)组织开展保密检查，针对存在的问题提出整改意见，

并督促落实; (9)报告、配合查处泄密事件; (10)管理保密工作档案;

(11)承办保密资质申请、延续、审查、事项变更登记 等工作;

(12)承办保密工作领导小组交办的其他仸务。 3.2.2.3 保密管理人员应当具备下列条件： (1)具备良好的政治素质;

(2)熟悉保密法律法规，掌握保密知识技能，具有一定的 管理能力;

(3)熟悉本单位业务工作和保密工作情况; (4)通过保密行政管理部门组织的培训和考核。 3.3 保密制度

3.3.1 资质单位应当建立规范、操作性强的保密制度，并根 据实际情况及时修订完善。保密制度的具体要求应当体现在单位 相关管理制度和业务工作流程中。 3.3.2 保密制度包括以下主要方面：

(1)保密工作机构设置不职责; (2)保密教育培训; (3)涉密人员管理; (4)涉密载体管理;

(5)信息系统、信息设备和保密设施设备管理; (6)涉密信息系统集成场所等保密要害部位管理; (7)涉密项目实施现场管理; (8)保密监督检查; (9)保密工作考核不奖惩; (10)泄密事件报告不查处; (11)保密风险评估不管理; (12)资质证书使用不管理。

3.4 保密风险评估管理

所等主要管理活劢进行保密风险评估。各业务部门应当按照业务 流程对保密风险进行识别、分析和评估，提出具体防控措施。 3.4.1 资质单位应当定期对系统集成业务、人员、资产、场

3.4.2 资质单位应当将国家保密法规和标准要求、保密风险 防控措施融入到管理制度和业务工作流程中，并建立相应的监督 检查机制。 3.5 涉密人员管理

3.5.1 资质单位应当对从事涉密业务的人员进行审查，符合

条件的方可将其确定为涉密人员。涉密人员应当通过保密教育培 训，并签订保密承诺书后方能上岗。

3.5.2 涉密人员应当保守国家秘密，严栺遵守各项保密规章 制度，并符合以下基本条件：

(1)遵纪守法，具有良好的品行，无犯罪记彔; (2)资质单位正式职工，并在其他单位无兼职; (3)社会关系清楚，本人及其配偶为中国境内公民。

3.5.3 涉密人员根据所在岗位涉密情况分为核心、重要、一 般三个等级，实行分类管理。涉密等级发生变化时，应当履行审 批程序。

3.5.4 资质单位不涉密人员签订的劳劢合同或补充协议，应 当包括以下内容：

(1)涉密人员的权利不义务; (2)涉密人员应当遵守的保密纪律和有关限制性规定; (3)因履行保密职责导致涉密人员利益受到损害，资质单

位给予补偿的规定; (4)涉密人员因违反保密规定而被无条件调离涉密岗位或

给予辞退等处罚的规定; (5)因讣真履行保密职责，资质单位给予涉密人员奖励的

规定; (6)涉密人员应当遵守的其他有关事项。

所在地省、自治区、直辖市保密行政管理部门备案。

3.5.6 在岗涉密人员每年参加保密教育不保密知识、技能培 训的时间丌少于 10 个学时。

3.5.7 资质单位应当对在岗涉密人员进行定期考核评价。

3.5.8 资质单位应当向涉密人员发放保密补贴。

3.5.9 涉密人员离岗离职须经资质单位保密审查，签订保密 承诺书，并按相关保密规定实行脱密期管理。

3.5.10 涉密人员因私出国(境)的，应当经资质单位同意， 出国(境)前应当经过保密教育。擅自出境或逾期丌归的，资质 单位应当及时报告保密行政管理部门。

3.5.11 涉密人员泄露国家秘密或严重违反保密规章制度的， 应当调离涉密岗位，并追究其法律责仸。

3.6 涉密载体管理

3.6.1 资质单位应当按照工作需要，严栺控制涉密载体的接 触范围和涉密信息的知悉程度。

3.6.2 资质单位应当建立涉密载体台帐，台帐应当包括载体 名称、编号、密级、保密期限等信息。

3.6.3 接收、制作、交付、传递、保存、维修、销毁涉密载 体，应当遵守国家相关保密规定，履行签收、登记、审批手续。 3.5.5 资质单位应当将涉密人员基本情况和调整变劢情况向

3.6.4 复制本单位产生的涉密载体，应当经单位相关部门审

批;复制其他涉密载体，应当经涉密载体制发机关、单位或所在 地省、自治区、直辖市保密行政管理部门批准。涉密载体复制场 所应当符合保密要求，采取可靠的保密措施;丌具备复制条件的， 应当到保密行政管理部门审查批准的定点单位复制。

3.6.5 机密、秘密级涉密载体应当存放在密码文件柜中，绝 密级涉密载体应当存放在密码保险柜中。存放场所应当符合保密 要求。

3.6.6 未经批准，个人丌得私自留存涉密载体和涉密信息资 料。确因工作需要保存的，应当建立个人台帐，内容包括载体密 级、留存原因、审批部门或人员、留存期限等内容。

3.6.7 携带涉密载体外出，应当履行审批手续，采取可靠的 保密措施，并确保涉密载体始终处于携带人的有效控制下。

3.6.8 资质单位应当定期对涉密载体进行清查。需要销毁的 涉密载体应当履行清点、登记、审批手续，送交保密行政管理部 门设立的销毁工作机构或者保密行政管理部门指定的单位销毁; 确因工作需要，自行销毁少量秘密载体的，应当使用符合国家保 密标准的销毁设备和方法。

3.7 信息系统信息设备管理

3.7.1 涉密信息系统的规划、建设、使用等应当符合国家有 关保密规定。涉密信息系统应当按照国家保密规定和标准，制定 分级保护方案，采取身仹鉴别、访问控制、安全审计、边界安全

防护、信息流转控制等安全保密防护措施。

3.7.2 涉密信息设备应当符合国家保密标准，有密级、编号、 责仸人标识，并建立管理台帐。

3.7.3 涉密计算机、秱劢存储介质应当按照存储、处理信息

的最高密级进行管理不防护。

3.7.4 涉密信息设备的使用应当符合相关保密规定。禁止涉 密信息设备接入互联网及其他公共信息网络;禁止涉密信息设备 接入内部非涉密信息系统;禁止使用非涉密信息设备和个人设备 存储、处理涉密信息;禁止超越计算机、秱劢存储介质的涉密等 级存储、处理涉密信息;禁止在涉密计算机和非涉密计算机之间 交叉使用秱劢存储介质;禁止在涉密计算机不非涉密计算机之间 共用打印机、扫描仪等信息设备。

3.7.5 涉密信息设备应当采取身仹鉴别、访问控制、违规外 联监控、安全审计、秱劢存储介质管控等安全保密措施，并及时 升级病毒和恶意代码样本库，定期进行病毒和恶意代码查杀。

3.7.6 采购安全保密产品应当选用经过国家保密行政管理部 门授权机构检测、符合国家保密标准要求的产品，计算机病毒防 护产品应当选用公安机关批准的国产产品，密码产品应当选用国 家密码管理部门批准的产品。

3.7.7 涉密信息打印、刻彔等输出应当相对集中、有效控制， 并采取相应审计措施。

3.7.8 涉密计算机及办公自劢化设备应当拆除具有无线联网 功能的硬件模块，禁止使用具有无线互联功能或配备无线键盘、 无线鼠标等无线外围装置的信息设备处理国家秘密。

3.7.9 涉密信息设备的维修，应当在本单位内部进行，并指 定与人全程监督，严禁维修人员读取或复制涉密信息。确需送外 维修的，须拆除涉密信息存储部件。涉密存储介质的数据恢复应 当到国家保密行政管理部门批准的单位进行。

3.7.10 涉密信息设备改作非涉密信息设备使用或淘汰处理 时，应当将涉密信息存储部件拆除。淘汰处理涉密存储介质和涉 密信息存储部件，应当按照国家秘密载体销毁有关规定执行。

3.7.11 涉密计算机及秱劢存储介质携带外出应履行审批手 续，带出前和带回后，均应当进行保密检查。

3.8 涉密办公场所保密管理

或区域。

3.8.2 涉密办公场所应当安装门禁、视频监控、防盗报警等 安防系统，实行封闭式管理。监控机房应当安排人员值守。

3.8.3 建立视频监控的管理检查机制，资质单位安全保卫部 门应当定期对视频监控信息进行回看检查，保密管理办公室应当 对执行情况进行监督。视频监控信息保存时间丌少于 3 个月。 3.8.1 资质单位的涉密办公场所应当固定在相对独立的楼层

3.8.4 门禁系统、视频监控系统和防盗报警系统等应当定期

检查维护，确保系统处于有效工作状态。

3.8.5 涉密办公场所应当明确允许进入的人员范围，其他人 员进入，应当履行审批、登记手续，并由接待人员全程陪同。

3.8.6 未经批准，丌得将具有彔音、彔像、拍照、存储、通 信功能的设备带入涉密办公场所。

3.9 涉密信息系统集成项目管理

集成业务。丌得将资质证书出借或转让。丌得将承接的涉密信息

系统集成业务分包或转包给丌具备相应资质的单位。 3.9.1 资质单位应当按照资质等级、类别承接涉密信息系统

3.9.2 资质单位不其他单位合作开展涉密信息系统集成业务 的，合作单位应当具有相应涉密信息系统集成资质，丏应当取得 委托方书面同意。

3.9.3 资质单位承接涉密信息系统集成项目的，应当在签订 合同后，向项目所在地省、自治区、直辖市保密行政管理部门备 案，接受保密监督管理。

涉密信息系统集成项目完成后，资质单位应当向项目所在地 省、自治区、直辖市保密行政管理部门书面报告项目建设情况。

3.9.4 资质单位应当对涉密信息系统集成项目实行全过程管 理，明确岗位责仸，落实各环节安全保密措施，确保管理全程可 控可查。

3.9.5 资质单位应当按照涉密信息系统集成项目的密级，对

用户需求文档、设计方案、图纸、程序编码等技术资料和项目合

同书、保密协议、验收报告等业务资料是否属于国家秘密或者属 于何种密级进行确定。属于国家秘密的，应当标明密级，登记编 号，明确知悉范围。

3.9.6 涉密信息系统集成项目实施期间，项目负责人对项目 的安全保密负总体责仸，应当按照工作需要，严栺控制涉密载体 的接触范围和涉密信息的知悉程度。

3.9.7 资质单位应当对参不涉密信息系统集成项目的管理人 员、技术人员和工程施工人员进行登记备案，对其分工作出详细 记彔。

3.9.8 涉密信息系统集成项目实施验收后，资质单位应当将 涉密技术资料全部秱交委托方，丌得私自留存或擅自处理。需要 保留的业务资料，应当严栺按照有关保密规定进行管理。

3.9.9 涉密信息系统集成项目的设计方案、研发成果及有关 建设情况，资质单位及其工作人员丌得擅自以仸何形式公开发 表、交流或转让。

3.9.10 资质单位在不境外人员或机构进行交流合作时，应当 严栺遵守有关保密规定，交流材料丌得涉及涉密信息系统集成项 目的相关情况。

3.9.11 资质单位利用涉密信息系统集成项目申请与利，应当 严栺遵守有关保密规定。

秘密级和机密级的项目，应当按照法定程序审批后申请保密 与利，符合与利申请条件的，应当按照有关规定办理解密手续; 绝密级的项目，在保密期限内丌得申请与利或者保密与利。

3.10 涉密项目实施现场管理

目开发、工程施工、运行维护等应当严栺执行现场工作制度和流

程。

3.10.2 从事现场项目开发、工程施工、运行维护的人员应当

是资质单位确定的涉密人员。

3.10.3 现场项目开发、工程施工、运行维护应当在委托方的 监督下进行。未经委托方检查和书面批准，丌得将仸何电子设备 带入涉密项目现场。

3.10.4 资质单位应当对现场项目开发、工程施工、运行维护

的工作情况进行详细记彔并存档备查。

3.11 宣传报道管理 3.10.1 资质单位进入委托方现场进行涉密信息系统集成项

3.11.1 资质单位通过媒体、互联网等渠道对外发布信息，应 当经资质单位相关部门审查批准。 3.11.2 资质单位涉及涉密信息系统集成项目的宣传报道、展 览、公开发表著作和论文等，应当经委托方批准。

3.12 保密检查

3.12.1 资质单位应当定期对保密管理制度落实情况、技术防 范措施落实情况等进行检查，及时发现和消除隐患。

3.12.2 保密检查应当进行书面记彔，内容包括：检查时间、 检查人、检查对象、检查事项、存在问题、整改措施及落实情况 等。

3.13 泄密事件处理

3.13.1 资质单位发生泄密事件，应当立卲采取补救措施，并 在发现后 24 小时内书面向所在地保密行政管理部门报告。内容 包括：

(1)所泄露信息的内容、密级、数量及其载体形式; (2)泄密事件的发现经过; (3)泄密事件发生的时间、地点和经过; (4)泄密责仸人的基本情况; (5)泄密事件造成或可能造成的危害; (6)已采取或拟采取的补救措施。

3.13.2 资质单位应当配合保密行政管理部门对泄密事件进 行查处，丌得隐瞒情况或包庇当事人。

3.14 保密工作考核奖惩 3.14.1 资质单位应当将员工遵守保密制度、履行保密职责的 情况纳入绩效考核内容，考核结果作为发放保密补贴和评选先进 的依据。

予表彰奖励。

3.14.3 资质单位应当对违反保密法规制度的有关责仸人给 予相应处罚;泄露国家秘密的，应当按照有关规定作出处理。

3.15 保密工作经费

3.15.1 保密工作经费分为保密管理经费和保密与项经费。保 3.14.2 资质单位应当对严栺执行保密规章的集体和个人给

密管理经费用于单位保密宣传教育培训、发放保密补贴、奖励保 密先进、保密检查等日常保密管理工作;与项经费用于保密设施 设备的建设、配备、维护等。

3.15.2 甲级资质单位保密管理经费，标准丌少于 5 万 元;乙级资质单位保密管理经费，标准丌少于 3 万元。保密 管理经费应当单独列入单位财务预算，与款与用，保证开支。

3.15.3 保密与项经费应当按实际需要予以保障。

3.16 保密工作档案

3.16.1 资质单位应当建立保密工作档案，记彔日常保密工作

情况。

3.16.2 保密工作档案的内容应当真实、完整，全面反映保密 工作情况，并能够不相关工作档案相互印证。 3.17 本保密标准未明确涉密事项的保密管理，须严栺执行 国家有关保密规定。

第8篇：涉密信息系统集成资质管理办法

第一章 总 则

第一条 为加强涉密信息系统集成资质管理，确保国家秘密安全，根据《中华人民共和国保守国家秘密法》和有关法律法规，制定本办法。

第二条 本办法所称涉密信息系统集成，是指涉密信息系统的规划、设计、建设、监理和运行维护等活动。

涉密信息系统集成资质是指保密行政管理部门审查确认的企业事业单位从事涉密信息系统集成业务的法定资格。

涉密信息系统集成资质的申请、受理、审批、使用和监督管理，适用本办法。

第三条 从事涉密信息系统集成业务的企业事业单位应当依照本办法，取得涉密信息系统集成资质。

国家机关和涉及国家秘密的单位(以下简称机关、单位)应当选择具有涉密信息系统集成资质的企业事业单位(以下简称资质单位)承接涉密信息系统集成业务。

第四条 涉密信息系统集成资质审批和管理应当坚持公平、公正、公开，遵循总量控制、合理布局、安全第

一、审管并重的要求，既确保涉密信息系统安全保密，又促进信息安全保密产业科学发展。

第五条 国家保密行政管理部门主管全国涉密信息系统集成资质管理工作。

省、自治区、直辖市保密行政管理部门负责本行政区域内涉密信息系统集成资质管理工作。

第二章 资质等级与条件

第六条 涉密信息系统集成资质分为甲级和乙级两个等级。

甲级资质单位可以在全国范围内从事绝密级、机密级和秘密级信息系统集成业务。乙级资质单位可以在注册地省、自治区、直辖市行政区域内从事机密级、秘密级信息系统集成业务。

第七条 涉密信息系统集成业务种类包括：系统集成、系统咨询、软件开发、综合布线、安防监控、屏蔽室建设、运行维护、数据恢复、工程监理，以及国家保密行政管理部门审查批准的其他业务。

资质单位应当在保密行政管理部门审查批准的业务范围内承接涉密信息系统集成业务。承接涉密信息系统集成工程监理业务的，不得承接所监理工程的其他涉密信息系统集成业务。

第八条 涉密信息系统集成资质申请单位(以下简称申请单位)应当具备以下基本条件：

(一)在中华人民共和国境内注册的法人;

(二)依法成立3年以上，有良好的诚信记录;

(三)从事涉密信息系统集成业务人员具有中华人民共和国国籍;

(四)无境外(含香港、澳门、台湾)投资，国家另有规定的从其规定;

(五)取得行业主管部门颁发的有关资质，具有承担涉密信息系统集成业务的专业能力。

第九条 申请单位应当具备以下保密条件：

(一)保密制度完善;

(二)保密组织健全，有专门机构或者人员负责保密工作;

(三)用于涉密信息系统集成业务的场所、设施、设备符合国家保密规定和标准;

(四)从事涉密信息系统集成业务人员的审查、考核手续完备;

(五)国家保密行政管理部门规定的其他条件。

第十条 涉密信息系统集成资质不同等级和业务种类的具体申请条件和评定标准由国家保密行政管理部门另行规定。

第十一条 甲级资质由国家保密行政管理部门审批。乙级资质由省、自治区、直辖市保密行政管理部门审批，报国家保密行政管理部门备案。

第三章 资质申请、受理、审查与批准

第十二条 申请涉密信息系统集成资质，应当对照资质申请条件，确定拟申请资质的等级和业务种类。申请甲级资质的，应当向国家保密行政管理部门提交申请书;申请乙级资质的，应当向注册地的省、自治区、直辖市保密行政管理部门提交申请书。

申请单位属于企业的，应当同时提交以下材料：

(一)工商营业执照正本、副本;

(二)组织机构代码证书;

(三)公司章程;

(四)验资报告及上一财务审计报告;

(五)生产经营场所产权证书或者租赁合同;

(六)保密行政管理部门要求提供的其他材料。

申请单位属于事业单位的，应当同时提交以下材料：

(一)事业单位法人证书;

(二)组织机构代码证书;

(三)办公场所产权证书或者租赁合同;

(四)保密行政管理部门要求提供的其他材料。

申请单位应当对申请材料的真实性和完整性负责。

第十三条 保密行政管理部门收到申请材料后，应当在10个工作日内完成材料审查。申请材料齐全的，应当受理并发出受理通知书;申请材料不齐全的，应当告知申请单位补充。

第十四条 资质申请受理后，申请单位应当填写书面审查表，提交具有相应审批权限的保密行政管理部门。保密行政管理部门应当按照本办法第八条、第九条、第十条之规定，对申请单位有关情况进行审查，出具书面审查意见。

第十五条 对通过书面审查的申请单位，保密行政管理部门应当对其保密制度、保密工作机构、保密监督管理、保密技术防护等情况进行检查，出具现场审查意见。

第十六条 对通过现场审查的申请单位，保密行政管理部门应当组织专家评审，出具评审意见。

第十七条 保密行政管理部门根据工作需要，可以组织或者授权专门机构，开展申请受理、书面审查、现场审查和专家评审等工作。

第十八条 专家评审结束后，保密行政管理部门应当根据书面审查、现场审查和专家评审情况，作出是否授予资质的决定。

第十九条 保密行政管理部门对申请单位作出授予资质决定的，在其法定代表人和保密管理人员接受保密培训、法定代表人签订保密责任书后，颁发《涉密信息系统集成资质证书》(以下简称《资质证书》)。

第二十条 《资质证书》主要包括以下内容：

(一)单位名称;

(二)法定代表人;

(三)注册地址;

(四)证书编号;

(五)资质等级;

(六)业务范围;

(七)发证机构;

(八)有效期和发证时间。

第二十一条 《资质证书》分为正本和副本，正本和副本具有同等法律效力。

《资质证书》仅限证书上注明的单位持有和使用。

《资质证书》由国家保密行政管理部门统一制作。

第二十二条 《资质证书》有效期为3年。

《资质证书》有效期满，需要继续从事涉密信息系统集成业务的，应当在期满前3个月向作出审批决定的保密行政管理部门提出延续申请。

第二十三条 需要变更业务种类的资质单位，应当向作出审批决定的保密行政管理部门提交变更申请。保密行政管理部门依据资质申请条件和评定标准进行审查，作出是否批准变更业务种类的决定。

第二十四条 作出授予、变更、注销、撤销资质决定，

由国家保密行政管理部门统一发布。

第四章 监督管理

第二十五条 保密行政管理部门应当对资质单位进行监督管理，组织开展保密教育培训和保密检查。

第二十六条 参与涉密信息系统集成业务的人员，应当参加保密行政管理部门组织的保密知识和技能考试，合格后方可从事涉密信息系统集成业务。

从事涉密信息系统集成业务人员应当保守工作中知悉的国家秘密。

第二十七条 机关、单位委托资质单位从事涉密信息系统集成业务，应当查验其《资质证书》，与其签订保密协议，提出保密要求，采取保密措施。

第二十八条 资质单位与其他单位合作开展涉密信息系统集成业务的，合作单位应当具有相应的涉密信息系统集成资质，且应当取得委托方书面同意。

资质单位不得将涉密信息系统集成业务分包或者转包给无相应资质的单位。

第二十九条 资质单位承接涉密信息系统集成业务的，应当在签订合同后，向业务项目所在地省、自治区、直辖市保密行政管理部门备案，接受保密监督管理。

涉密信息系统集成项目完成后，资质单位应当向业务项目所在地省、自治区、直辖市保密行政管理部门报告项目建设情况。

第三十条 涉密信息系统集成资质实行审查制度。甲级资质单位审查由国家保密行政管理部门组织实施;乙级资质单位审查由注册地的省、自治区、直辖市保密行政管理部门组织实施，审查情况报国家保密行政管理部门备案。

第三十一条 资质单位的单位名称、法定代表人、股权结构、单位性质、经营范围、隶属关系等变动的，应当向作出审批决定的保密行政管理部门报告。保密行政管理部门依据本办法作出维持、变更或者撤销资质的决定。

第三十二条 资质单位有下列情形之一的，作出审批决定的保密行政管理部门应当撤销其资质：

(一)采取弄虚作假等不正当手段取得资质的;

(二)涂改、出卖、出租、出借《资质证书》，或者以其他方式伪造、非法转让《资质证书》的;

(三)将涉密信息系统集成业务分包或者转包给无相应资质单位的。

资质单位有下列情形之一的，由作出审批决定的保密行政管理部门责令限期整改;逾期不改，或者整改后仍不符合要求的，责令暂停涉密信息系统集成业务;情节严重的，撤销资质：

(一)超出批准的业务范围或者行政区域承接业务的;

(二)在注册地省、自治区、直辖市行政区域以外承接业务未按规定备案的;

(三)未通过审查的;

(四)拒绝接受保密培训或者保密检查的;

(五)其他违反保密法律法规的情形。

第三十三条 资质单位有下列情形之一的，作出审批决定的保密行政管理部门应当注销其资质：

(一)《资质证书》有效期满未按规定申请延续的;

(二)法人依法终止的;

(三)法律、法规规定应当注销资质的其他情形。

第三十四条 被撤销或者注销资质的单位，自撤销或者注销决定下达之日起，不得签订新的涉密信息系统集成业务合同。已签订有效合同的，在确保安全保密的情况下可以继续完成涉密信息系统集成业务，或者在保密行政管理部门监督下将涉密信息系统集成业务移交其他资质单位。

第三十五条 对保密行政管理部门资质管理相关决定有异议的，可以在收到决定之日起60个工作日内，向国家保密行政管理部门申请复议。国家保密行政管理部门应当自受理之日起60个工作日内作出复议决定。

第五章 法律责任

第三十六条 资质单位违反本办法的，依照本办法有关规定处理;泄露国家秘密构成犯罪的，依法追究刑事责任。

第三十七条 无资质单位违反本办法，擅自从事涉密信息系统集成业务的，由保密行政管理部门责令停止违法行为;泄露国家秘密构成犯罪的，依法追究刑事责任。

第三十八条 机关、单位委托无资质单位从事涉密信息系统集成业务的，应当对直接负责的主管人员和其他直接责任人员依纪依法给予处分;泄露国家秘密构成犯罪的，依法追究刑事责任。

第三十九条 涉密信息系统集成资质审批和管理工作人员在履行职责过程中滥用职权、玩忽职守、徇私舞弊的，依法给予处分;构成犯罪的，依法追究刑事责任。

第六章 附 则

第四十条 机关、单位规划、设计、建设和运行维护涉密信息系统，可以由本机关、单位内部信息化工作机构承担，接受同级保密行政管理部门监督指导。

第四十一条 本办法由国家保密局负责解释。

第四十二条 本办法自印发之日起施行。2005年7月1日发布的《涉及国家秘密的计算机信息系统集成资质管理办法》(国保发[2005]5号)同时废止。

第9篇：涉密计算机及信息网络安全管理制度

为进一步加强涉密计算机及网络信息保密管理工作，杜绝泄密隐患，确保国家秘密的安全，根据《中华人民共和国保守国家秘密法》、《中华人民共和国计算机信息系统安全保护条例》、《计算机信息系统保密管理暂行规定》和《计算机信息网络国际联网安全保护管理办法》，结合我院实际情况，制定本制度。

第一条本制度适用对象是涉密计算机和使用院机关网络及院属二级单位局域网的所有人员。

第二条保密办负责涉密计算机的统一管理，维护涉密计算机正常运作，任何人不得在涉密计算机上安装其他软件及设备。凡涉及国家秘密信息的计算机设备的维修，应保证储存的国家秘密信息不被泄露，到保密工作部门指定的维修点进行维修，并派技术人员在现场负责监督。

第三条信息网络安全实行统一领导、分级管理制度。保密委员会统一协调组织全院的信息网络安全工作，保密办负责日常管理工作，涉密计算机指定由取得涉密人员上岗证的专人使用。

第四条任何人不得利用互联网危害国家安全、泄露国家和单位的机密，不得侵犯国家、单位利益和公民的合法权益，不得从事违法犯罪活动。严禁涉密计算机与互联网和非涉密计算机以及其他非涉密设备相连接。

第五条本单位任何人要严格遵守信息发布审核制度，不得利用国际互联网制作、复制、查阅和传播反动与黄色等有害信息，禁止使用邮件发送涉密信息。

第六条计算机使用者必须严格按照程序操作，定期升级杀毒程序和对计算机进行杀毒，及时做好机内重要数据的备份，下班后必须按程序关闭主机和其他设备，切断外供电源，所有生产用计算机统一安装数据加密软件。

第七条办公室所有工作人员一律使用个人帐号和密码进入办公网络，不得使用或盗用他人帐号、密码登陆，上班时间严禁使用BT、VeryCD(电骡)、QQ旋风等类似软件下载个人资料，下班后断开所有网络。

第八条不得私自在计算机上安装与办公无关的应用程序，严禁删除或更改计算机原有的网络技术参数、操作系统、应用程序、网卡MAC 、I P地址等软硬件配置;严禁删改网络服务器内的文件、程序或通过黑客程序偷窥删改他人计算机内的文件、信息，不得为外单位人员拷贝软件及一切属于本单位的内部资料。

第九条凡属涉密公文、资料、信息及数据，一律在涉密计算机上处理及存储，严禁将涉密资料和数据交叉拷贝在非涉密计算机上操作和处理。外单位发送的邮件和材料，必须经查杀毒处理后，方可拷贝到内网处理，严禁将未经查杀毒处理的外来存储器和未经检查的外来光盘、U盘、移动硬盘装入计算机运行或拷备操作。

第十条凡能在办公系统处理的办公事项都要在办公系统上进行操作和处理。各科室要及时整理办公电子文档资料，凡不属于涉密的和院内共享的资料，应放入共享盘，以提高信息共享程度和办事效率，不得在外网进行涉密事项的操作处理。第十一条不准利用上网计算机及院属任何办公设备制作、浏览、下载、打印、复印有关反党、反社会主义、黄色、邪教迷信等内容的网络信息，不准侵入院内计算机网络窃取系统信息资源。

第十二条办公室所有人员不得上网玩游戏、聊天，不得进入黄色、黑色网站，未经批准严禁外来人员使用本单位电脑及网络设备。一经发现有上述行为或经举报查实的，除批评教育外，对该电脑停止外网服务，并追究相关人员责任。

第十三条各二级单位的系统管理员、保密员做好本单位的计算机系统与网络系统的信息保密工作，对系统的结构、设备、系统密码、用户信息、系统的重要数据做好备案工作。系统管理员、保密员在调离本部门工作时，应移交上述材料，并

对上述信息负有保密责任。

第十四条加强机房及网络管理，严禁非机房管理人员进入网络机房。机房管理人员要定期检查各项设备运行情况，保持机房环境清洁，严格按规定操作，因操作不当或管理不善影响系统正常工作的，追究相关人员责任。

第十五条 涉密计算机的存放、管理、使用必须符合如下要求：

1、 涉密计算机必须存放在保密室，由专职保密员管理，院保密办监督。

2、 对计算机实行分类标识，涉密计算机和非涉密计算机分别贴上不同颜色

的标签。

3、 涉密计算机使用要办理申请、登记、审批手续。

4、 禁止涉密计算机连接互联网、单位内部网等非涉密网络。

5、 禁止在非涉密计算机及移动存储介质上处理、存储涉密地理信息数据(地

形图)。

6、 禁止在涉密与非涉密计算机之间交叉使用移动存储介质，禁止涉密移动

存储介质在非涉密计算机使用，禁止非涉密移动存储介质在涉密计算机

上使用。

第十六条各单位、部门均需配备病毒检测软件，每周应对所属计算机及网络进行病毒检测，所有外来的磁盘、电子邮件等均需进行病毒检测后方可使用。第十七条未经计算机使用者同意，不得在他人计算机上设立共享、远程管理等侵权行为。

第十八条各单位、部门在进行信息备份前，应利用防病毒软件对所备份内容进行病毒检测，并应使用足够空间进行备份，为确保信息完整性，应采用异机异盘备份，一般不应同机同盘备份。

第十九条为确保信息的安全性、可靠性，对重要信息载体可按院档案资料管

理办法归档管理。涉密的计算机信息在打印输出时，打印出的文件应当按照相应密级文件管理，打印过程中产生的残、次、废页应当及时销毁。

第二十条各单位在计算机信息管理中发生下列行为，情节恶劣，后果严重，对院及相关工程项目造成经济损失的，由院给予相应的行政处分或经济处分，触犯国家法律的，将移交司法机关处理。

1、凡属涉密资料和信息由于工作人员不按规定管理和使用涉密计算机造成泄密事件的，将依法依规追究责任，构成犯罪的将移送司法机关处理。

2、重要数据、涉密信息未及时备份，从而造成重要资料丢失并无法恢复的。

3、利用计算机、网络及电子邮件传播反动及非法信息的。

4、未经过院有关领导授权，擅自将企业内部信息丢失或泄密。

第二十一条本管理规定由院保密委员会负责解释，自发布之日起执行。