第一篇：計(jì)算機(jī)和信息系統(tǒng)安全保密審計(jì)報(bào)告

計(jì)算機(jī)和信息系統(tǒng)安全保密審計(jì)報(bào)告

根據(jù)市國(guó)家保密局要求，公司領(lǐng)導(dǎo)非常重視計(jì)算機(jī)信息系統(tǒng)安全保密工作，在公司內(nèi)部系統(tǒng)內(nèi)開(kāi)展自查，認(rèn)真對(duì)待，不走過(guò)場(chǎng)，確保檢查不漏一機(jī)一人。雖然在檢查中沒(méi)有發(fā)現(xiàn)違反安全保密規(guī)定的情況，但是，仍然要求計(jì)算機(jī)使用管理人員不能放松警惕，要時(shí)刻注意自己所使用和管理的計(jì)算機(jī)符合計(jì)算機(jī)信息系統(tǒng)安全保密工作的規(guī)定，做到專(zhuān)機(jī)專(zhuān)用，專(zhuān)人負(fù)責(zé)，專(zhuān)人管理，確保涉密計(jì)算機(jī)不上網(wǎng)，網(wǎng)上信息發(fā)布嚴(yán)格審查，涉密資料專(zhuān)門(mén)存儲(chǔ)，不交叉使用涉密存儲(chǔ)設(shè)備，嚴(yán)格落實(shí)計(jì)算機(jī)信息系統(tǒng)安全保密制度。通過(guò)檢查，進(jìn)一步提高了全公司各部門(mén)員工對(duì)計(jì)算機(jī)信息系統(tǒng)安全保密工作的認(rèn)識(shí)，增強(qiáng)了責(zé)任感和使命感?，F(xiàn)將自查情況匯報(bào)如下：

一、加大保密宣傳教育，增強(qiáng)保密觀念。始終把安全保密宣傳教育作為一件大事來(lái)抓，經(jīng)常性地組織全體職工認(rèn)真學(xué)習(xí)各級(jí)有關(guān)加強(qiáng)安全保密的規(guī)定和保密常識(shí)，如看計(jì)算機(jī)泄密錄像等，通過(guò)學(xué)習(xí)全公司各部門(mén)員工安全憂患意識(shí)明顯增強(qiáng)，執(zhí)行安全保密規(guī)定的自覺(jué)性和能力明顯提高。

二、明確界定涉密計(jì)算機(jī)和非涉密計(jì)算機(jī)。涉密計(jì)算機(jī)應(yīng)有相應(yīng)標(biāo)識(shí)，設(shè)置開(kāi)機(jī)、屏?？诹?，定期更換口令，存放環(huán)境要安全可靠。涉密移動(dòng)硬盤(pán)、軟盤(pán)、光盤(pán)、U盤(pán)等移動(dòng)存儲(chǔ)介質(zhì)加強(qiáng)管理，涉密移動(dòng)存儲(chǔ)介質(zhì)也應(yīng)有標(biāo)識(shí)，不得在非涉密計(jì)算機(jī)中使用，嚴(yán)防泄密。非涉密計(jì)算

機(jī)、非涉密存儲(chǔ)介質(zhì)不得以任何理由處理涉密信息，非涉密存儲(chǔ)介質(zhì)不得在涉密計(jì)算機(jī)中使用涉密信息。涉密信息和數(shù)據(jù)必須按照保密規(guī)定進(jìn)行采集、存儲(chǔ)、處理、傳遞、使用和銷(xiāo)毀。計(jì)算機(jī)信息系統(tǒng)存儲(chǔ)、處理、傳遞、輸出的涉密信息要有相應(yīng)的密級(jí)標(biāo)識(shí)，密級(jí)標(biāo)識(shí)不能與正文分離。涉密信息不得在與國(guó)際網(wǎng)絡(luò)聯(lián)接的計(jì)算機(jī)信息系統(tǒng)中存儲(chǔ)、處理、傳遞。

三、加強(qiáng)筆記本電腦的使用管理。筆記本電腦主要在公司內(nèi)部用于學(xué)習(xí)計(jì)算機(jī)新軟件、軟件調(diào)試，不處理涉密數(shù)據(jù)或文件。

四、計(jì)算機(jī)的使用人員要定期對(duì)電腦進(jìn)行安全檢查，及時(shí)升級(jí)殺毒軟件，定時(shí)查殺病毒。對(duì)外來(lái)計(jì)算機(jī)介質(zhì)必須堅(jiān)持先交計(jì)算機(jī)管理人員查殺病毒再上中轉(zhuǎn)機(jī)使用的原則。

五、對(duì)需要維修的涉密計(jì)算機(jī)，各部門(mén)必須事先將計(jì)算機(jī)內(nèi)的涉密信息進(jìn)行清除；如需調(diào)換計(jì)算機(jī)硬盤(pán)，清除涉密信息后方可允許維修人員將硬盤(pán)帶走。對(duì)報(bào)廢的涉密計(jì)算機(jī)必須徹底清除計(jì)算機(jī)內(nèi)的信息，方可處理。

六、小結(jié)

安全審計(jì)作為一門(mén)新的信息安全技術(shù)，能夠?qū)φ麄€(gè)計(jì)算機(jī)信息系統(tǒng)進(jìn)行監(jiān)控，如實(shí)記錄系統(tǒng)內(nèi)發(fā)生的任何事件，一個(gè)完善的安全審計(jì)系統(tǒng)可以根據(jù)一定的安全策略記錄和分析歷史操作事件及數(shù)據(jù)，有效的記錄

攻擊事件的發(fā)生，提供有效改進(jìn)系統(tǒng)性能和的安全性能的依據(jù)。本文從安全審計(jì)的概念、在涉密信息系統(tǒng)中需要審計(jì)的內(nèi)容、安全審計(jì)的關(guān)鍵技術(shù)及安全審計(jì)系統(tǒng)應(yīng)該注意的問(wèn)題等幾個(gè)方面討論了安全審計(jì)在涉密信息系統(tǒng)中的應(yīng)用。安全審計(jì)系統(tǒng)應(yīng)該全面地對(duì)整個(gè)涉密信息系統(tǒng)中的網(wǎng)絡(luò)、主機(jī)、應(yīng)用程序、數(shù)據(jù)庫(kù)及安全設(shè)備等進(jìn)行審計(jì)，同時(shí)支持分布式跨網(wǎng)段審計(jì)，集中統(tǒng)一管理，可對(duì)審計(jì)數(shù)據(jù)進(jìn)行綜合的統(tǒng)計(jì)與分析，從而可以更有效的防御外部的入侵和內(nèi)部的非法違規(guī)操作，最終起到保護(hù)機(jī)密信息和資源的作用。

計(jì)算機(jī)技術(shù)管理部

2011.8.17

第二篇：計(jì)算機(jī)信息系統(tǒng)安全和保密管理制度

計(jì)算機(jī)信息系統(tǒng)安全和保密管理制度

為進(jìn)一步加強(qiáng)我局計(jì)算機(jī)信息系統(tǒng)安全和保密管理，保障計(jì)算機(jī)信息系統(tǒng)和數(shù)據(jù)的安全，特制定本制度。

第一條 嚴(yán)格落實(shí)計(jì)算機(jī)信息系統(tǒng)安全和保密管理工作責(zé)任制，各部門(mén)負(fù)責(zé)人為信息安全系統(tǒng)第一責(zé)任人。按照“誰(shuí)主管誰(shuí)負(fù)責(zé)、誰(shuí)運(yùn)行誰(shuí)負(fù)責(zé)、誰(shuí)公開(kāi)誰(shuí)負(fù)責(zé)”的原則，各處室在其職責(zé)范圍內(nèi)，負(fù)責(zé)本單位計(jì)算機(jī)信息系統(tǒng)安全和保密管理。

第二條 辦公室是全局計(jì)算機(jī)信息系統(tǒng)安全和保密管理的職能部門(mén)，信息中心具體負(fù)責(zé)技術(shù)保障工作。

第三條 局域網(wǎng)分為內(nèi)網(wǎng)、外網(wǎng)。內(nèi)網(wǎng)運(yùn)行各類(lèi)辦公軟件，專(zhuān)用于公文的處理和交換，屬涉密網(wǎng)；外網(wǎng)專(zhuān)用于各處室和個(gè)人瀏覽國(guó)際互聯(lián)網(wǎng)，屬非涉密網(wǎng)。上內(nèi)網(wǎng)的計(jì)算機(jī)不得再上外網(wǎng)，涉及國(guó)家秘密的信息應(yīng)當(dāng)在制定的涉密信息系統(tǒng)中處理。

第四條 購(gòu)置計(jì)算機(jī)及相關(guān)設(shè)備須按照保密局指定的有關(guān)參數(shù)指標(biāo)，信息中心將新購(gòu)置的計(jì)算機(jī)及相關(guān)設(shè)備的有關(guān)信息參數(shù)登記備案后，經(jīng)辦公室驗(yàn)收后，方可提供上網(wǎng)IP地接入機(jī)關(guān)局域網(wǎng)。

第五條 計(jì)算機(jī)的使用管理應(yīng)符合下列要求：

(一)嚴(yán)禁同一計(jì)算機(jī)既上互聯(lián)網(wǎng)又處理涉密信息；

(二)信息中心要建立完整的辦公計(jì)算機(jī)及網(wǎng)絡(luò)設(shè)備技術(shù)檔案，定期對(duì)計(jì)算機(jī)及軟件安裝情況進(jìn)行檢查和登記備案；

(三)設(shè)置開(kāi)機(jī)口令，長(zhǎng)度不得少于8個(gè)字符，并定期更換，防止口令被盜；

(四)安裝正版防病毒等安全防護(hù)軟件，并及時(shí)進(jìn)行升級(jí)，及時(shí)更新操作系統(tǒng)補(bǔ)丁程序；

(五)未經(jīng)信息中心認(rèn)可，機(jī)關(guān)內(nèi)所有辦公計(jì)算機(jī)不得修改上網(wǎng)IP地址、網(wǎng)關(guān)、DNS服務(wù)器、子網(wǎng)掩碼等設(shè)置；

(六)嚴(yán)禁使用含有無(wú)線網(wǎng)卡、無(wú)線鼠標(biāo)、無(wú)線鍵盤(pán)等具有無(wú)線互聯(lián)功能的設(shè)備處理涉密信息；

(七)嚴(yán)禁將辦公計(jì)算機(jī)帶到與工作無(wú)關(guān)的場(chǎng)所；確因工作需要需攜帶有涉密信息的手提電腦外出的，必須確保涉密信息安全。

第六條 涉密移動(dòng)存儲(chǔ)設(shè)備的使用管理應(yīng)符合下列要求：

(一)分別由各處室兼職保密員負(fù)責(zé)登記，做到專(zhuān)人專(zhuān)用專(zhuān)管，并將登記情況報(bào)綜合處備案；

(二)嚴(yán)禁涉密移動(dòng)存儲(chǔ)設(shè)備在內(nèi)、外網(wǎng)之間交叉使用；

(三)移動(dòng)存儲(chǔ)設(shè)備在接入本部門(mén)計(jì)算機(jī)信息系統(tǒng)之前，應(yīng)查殺病毒、木馬等惡意代碼；

(四)鼓勵(lì)采用密碼技術(shù)等對(duì)移動(dòng)存儲(chǔ)設(shè)備中的信息進(jìn)行保護(hù)；

(五)嚴(yán)禁將涉密存儲(chǔ)設(shè)備帶到與工作無(wú)關(guān)的場(chǎng)所。

第七條 數(shù)據(jù)復(fù)制操作管理應(yīng)符合下列要求：

(一)將互聯(lián)網(wǎng)上的信息復(fù)制到內(nèi)網(wǎng)時(shí)，應(yīng)采取嚴(yán)格的技術(shù)防護(hù)措施，查殺病毒、木馬等惡意代碼，嚴(yán)防病毒等傳播；

(二)使用移動(dòng)存儲(chǔ)設(shè)備從內(nèi)網(wǎng)向外網(wǎng)復(fù)制數(shù)據(jù)時(shí)，應(yīng)當(dāng)采取嚴(yán)格的保密措施，防止泄密；

(三)復(fù)制和傳遞密級(jí)電子文檔，應(yīng)當(dāng)嚴(yán)格按照復(fù)制和傳遞同等密級(jí)紙質(zhì)文件的有關(guān)規(guī)定辦理。不得利用電子郵件傳遞、轉(zhuǎn)發(fā)或抄送涉密信息；

(四)各處室因工作需要向外網(wǎng)公開(kāi)內(nèi)部信息資料時(shí)，必須由該處室負(fù)責(zé)人審核同意，交由信息中心統(tǒng)一發(fā)布。

第八條 辦公計(jì)算機(jī)及相關(guān)設(shè)備由信息中心負(fù)責(zé)維護(hù)，按保密要求實(shí)行定點(diǎn)維修。需外

請(qǐng)維修的，要派專(zhuān)人全程監(jiān)督；需外送維修的，應(yīng)由信息中心拆除信息存儲(chǔ)部件，以防止存儲(chǔ)資料泄密。

第九條 辦公計(jì)算機(jī)及相關(guān)設(shè)備報(bào)廢時(shí)，應(yīng)由信息中心拆除存儲(chǔ)部件，然后交辦公室核定，由信息中心按有關(guān)要求統(tǒng)一銷(xiāo)毀，同時(shí)作好備案登記。嚴(yán)禁各單位自行處理報(bào)廢計(jì)算機(jī)。

第十條 辦公室和信息中心要加強(qiáng)機(jī)關(guān)計(jì)算機(jī)信息系統(tǒng)安全和保密管理情況的監(jiān)督，定期進(jìn)行檢查，提高泄密隱患發(fā)現(xiàn)能力和泄密事件應(yīng)急處置能力。其它各處室要密切配合，共同做好計(jì)算機(jī)信息系統(tǒng)安全和保密工作。

第十一條 機(jī)關(guān)工作人員離崗離職，有關(guān)處室應(yīng)即時(shí)取消其計(jì)算機(jī)涉密信息系統(tǒng)訪問(wèn)授權(quán)，收回計(jì)算機(jī)、移動(dòng)存儲(chǔ)設(shè)備等相關(guān)物品。

第十二條 各處室和個(gè)人應(yīng)當(dāng)接受并配合保密監(jiān)督檢查，協(xié)助核查有關(guān)泄密行為。對(duì)違反本規(guī)定的有關(guān)人員應(yīng)給予批評(píng)教育，并責(zé)令限期整改；造成泄密事件的，由有關(guān)部門(mén)根據(jù)國(guó)家相關(guān)保密法律法規(guī)進(jìn)行查處，并追究相關(guān)責(zé)任人的責(zé)任。

第十三條 各處室要根據(jù)本規(guī)定，確保涉密信息安全。

第三篇：計(jì)算機(jī)信息系統(tǒng)安全和保密管理制度

計(jì)算機(jī)信息系統(tǒng)安全和保密管理制度

為加強(qiáng)開(kāi)發(fā)區(qū)計(jì)算機(jī)信息系統(tǒng)安全和保密管理，保障計(jì)算機(jī)信息系統(tǒng)的安全，特制定本管理制度。

第一條 嚴(yán)格落實(shí)計(jì)算機(jī)信息系統(tǒng)安全和保密管理工作責(zé)任制。按照“誰(shuí)主管誰(shuí)負(fù)責(zé)、誰(shuí)運(yùn)行誰(shuí)負(fù)責(zé)、誰(shuí)公開(kāi)誰(shuí)負(fù)責(zé)”的原則，各科室在其職責(zé)范圍內(nèi)，負(fù)責(zé)本單位計(jì)算機(jī)信息系統(tǒng)的安全和保密管理。

第二條 辦公室是全局計(jì)算機(jī)信息系統(tǒng)安全和保密管理的職能部門(mén)。辦公室負(fù)責(zé)具體管理和技術(shù)保障工作。

第三條 計(jì)算機(jī)信息系統(tǒng)應(yīng)當(dāng)按照國(guó)家保密法標(biāo)準(zhǔn)和國(guó)家信息安全等級(jí)保護(hù)的要求實(shí)行分類(lèi)分級(jí)管理，并與保密設(shè)施同步規(guī)劃、同步建設(shè)。

第四條 局域網(wǎng)分為內(nèi)網(wǎng)、外網(wǎng)。內(nèi)網(wǎng)運(yùn)行各類(lèi)辦公軟件，專(zhuān)用于公文的處理和交換，屬涉密網(wǎng)；外網(wǎng)專(zhuān)用于各部門(mén)和個(gè)人瀏覽國(guó)際互聯(lián)網(wǎng)，屬非涉密網(wǎng)。上內(nèi)網(wǎng)的計(jì)算機(jī)不得再上外網(wǎng)，涉及國(guó)家秘密的信息應(yīng)當(dāng)在指定的涉密信息系統(tǒng)中處理。

第五條 購(gòu)置計(jì)算機(jī)及相關(guān)設(shè)備須按保密局指定的有關(guān)參數(shù)指標(biāo)由機(jī)關(guān)事務(wù)中心統(tǒng)一購(gòu)置，并對(duì)新購(gòu)置的計(jì)算機(jī)及相關(guān)設(shè)備進(jìn)行保密技術(shù)處理。辦公室將新購(gòu)置的計(jì)算機(jī)及相關(guān)設(shè)備的有關(guān)信息參數(shù)登記備案后統(tǒng)一發(fā)放。經(jīng)辦公室驗(yàn)收的計(jì)算機(jī)，方可提供上網(wǎng)IP地址，接入機(jī)關(guān)局域網(wǎng)。

第六條 計(jì)算機(jī)的使用管理應(yīng)符合下列要求：

（一）嚴(yán)禁同一計(jì)算機(jī)既上互聯(lián)網(wǎng)又處理涉密信息；

（二）各科室要建立完整的辦公計(jì)算機(jī)及網(wǎng)絡(luò)設(shè)備技術(shù)檔案，定期對(duì)計(jì)算機(jī)及軟件安裝情況進(jìn)行檢查和登記備案；

（三）設(shè)置開(kāi)機(jī)口令，長(zhǎng)度不得少于8個(gè)字符，并定期更換，防止口令被盜；

（四）安裝正版防病毒等安全防護(hù)軟件，并及時(shí)進(jìn)行升級(jí)，及時(shí)更新操作系統(tǒng)補(bǔ)丁程序；

（五）未經(jīng)辦公室認(rèn)可，機(jī)關(guān)內(nèi)所有辦公計(jì)算機(jī)不得修改上網(wǎng)IP地址、網(wǎng)關(guān)、DNS服務(wù)器、子網(wǎng)掩碼等設(shè)置；

（六）嚴(yán)禁使用含有無(wú)線網(wǎng)卡、無(wú)線鼠標(biāo)、無(wú)線鍵盤(pán)等具有無(wú)線互聯(lián)功能的設(shè)備處理涉密信息；

（七）嚴(yán)禁將辦公計(jì)算機(jī)帶到與工作無(wú)關(guān)的場(chǎng)所；確因工作需要需攜帶有涉密信息的手提電腦外出的，必須確保涉密信息安全。

第七條 涉密移動(dòng)存儲(chǔ)設(shè)備的使用管理應(yīng)符合下列要求：

（一）分別由各科室兼職保密員負(fù)責(zé)登記，做到專(zhuān)人專(zhuān)用專(zhuān)管，并將登記情況報(bào)信息中心備案；

（二）嚴(yán)禁涉密移動(dòng)存儲(chǔ)設(shè)備在內(nèi)、外網(wǎng)之間交叉使用；

（三）移動(dòng)存儲(chǔ)設(shè)備在接入本部門(mén)計(jì)算機(jī)信息系統(tǒng)之前，應(yīng)查殺病毒、木馬等惡意代碼；

（四）鼓勵(lì)采用密碼技術(shù)等對(duì)移動(dòng)存儲(chǔ)設(shè)備中的信息進(jìn)行保護(hù)；

（五）嚴(yán)禁將涉密存儲(chǔ)設(shè)備帶到與工作無(wú)關(guān)的場(chǎng)所。

第八條 數(shù)據(jù)復(fù)制操作管理應(yīng)符合下列要求：

（一）將互聯(lián)網(wǎng)上的信息復(fù)制到內(nèi)網(wǎng)時(shí)，應(yīng)采取嚴(yán)格的技術(shù)防護(hù)措施，查殺病毒、木馬等惡意代碼，嚴(yán)防病毒等傳播；

（二）使用移動(dòng)存儲(chǔ)設(shè)備從內(nèi)網(wǎng)向外網(wǎng)復(fù)制數(shù)據(jù)時(shí)，應(yīng)當(dāng)采取嚴(yán)格的保密措施，防止泄密；

（三）復(fù)制和傳遞密級(jí)電子文檔，應(yīng)當(dāng)嚴(yán)格按照復(fù)制和傳遞同等密級(jí)紙質(zhì)文件的有關(guān)規(guī)定辦理。不得利用電子郵件傳遞、轉(zhuǎn)發(fā)或抄送涉密信息；

（四）各科室因工作需要向外網(wǎng)公開(kāi)內(nèi)部信息資料時(shí)，必須由該科室負(fù)責(zé)人審核同意，交由辦公室統(tǒng)一發(fā)布。

第九條 辦公計(jì)算機(jī)及相關(guān)設(shè)備由機(jī)關(guān)事務(wù)中心負(fù)責(zé)維護(hù)，按保密要求實(shí)行定點(diǎn)維修。需外請(qǐng)維修的，要派專(zhuān)人全程監(jiān)督；需外送維修的，應(yīng)由辦公室拆除信息存儲(chǔ)部件，以防止存儲(chǔ)資料泄密。

第十條 辦公計(jì)算機(jī)及相關(guān)設(shè)備在變更用途時(shí)，必須進(jìn)行嚴(yán)格的消磁技術(shù)處理。

第十一條 辦公計(jì)算機(jī)及相關(guān)設(shè)備報(bào)廢時(shí)，應(yīng)由信息中心拆除存儲(chǔ)部件，然后交辦公室核定，由機(jī)關(guān)事務(wù)中心按有關(guān)要求統(tǒng)一銷(xiāo)毀，同時(shí)作好備案登記。嚴(yán)禁各科室自行處理報(bào)廢計(jì)算機(jī)。

第十二條 加強(qiáng)對(duì)兼職保密員的管理，積極參加國(guó)家保密工作部門(mén)組織的崗位職能培訓(xùn)。定期內(nèi)辦公室組織開(kāi)展經(jīng)常性的保密教育培訓(xùn)，提高機(jī)關(guān)工作人員的計(jì)算機(jī)信息安全保密意識(shí)與技能。

第十三條 辦公室要加強(qiáng)機(jī)關(guān)計(jì)算機(jī)信息系統(tǒng)安全和保密管理情況的監(jiān)督，定期進(jìn)行檢查，提高泄密隱患發(fā)現(xiàn)能力和泄密事件應(yīng)急處置能力。其它各科室要密切配合，共同做好計(jì)算機(jī)信息系統(tǒng)安全和保密工作。

第十四條 機(jī)關(guān)工作人員離崗離職，有關(guān)科室應(yīng)即時(shí)取消其計(jì)算機(jī)涉密信息系統(tǒng)訪問(wèn)授權(quán)，收回計(jì)算機(jī)、移動(dòng)存儲(chǔ)設(shè)備等相關(guān)物品。

第十五條 各科室和個(gè)人應(yīng)當(dāng)接受并配合機(jī)關(guān)保密工作領(lǐng)導(dǎo)小組組織的保密監(jiān)督檢查，協(xié)助核查有關(guān)泄密行為。對(duì)違反本規(guī)定的有關(guān)人員應(yīng)給予批評(píng)教育，并責(zé)令限期整改；造成泄密事件的，由有關(guān)部門(mén)根據(jù)國(guó)家相關(guān)保密法律法規(guī)進(jìn)行查處，并追究相關(guān)責(zé)任人的責(zé)任。

第十六條 各科室要根據(jù)本規(guī)定，確保涉密信息安全。

第四篇：計(jì)算機(jī)信息安全保密審計(jì)報(bào)告

計(jì)算機(jī)和信息系統(tǒng)安全保密審計(jì)報(bào)告

根據(jù)省保密局要求，公司領(lǐng)導(dǎo)非常重視計(jì)算機(jī)信息系統(tǒng)安全保密工作，在公司內(nèi)部系統(tǒng)內(nèi)開(kāi)展自查，認(rèn)真對(duì)待，不走過(guò)場(chǎng)，確保檢查不漏一機(jī)一人。雖然在檢查中沒(méi)有發(fā)現(xiàn)違反安全保密規(guī)定的情況，但是，仍然要求計(jì)算機(jī)使用管理人員不能放松警惕，要時(shí)刻注意自己所使用和管理的計(jì)算機(jī)符合計(jì)算機(jī)信息系統(tǒng)安全保密工作規(guī)定，做到專(zhuān)機(jī)專(zhuān)用，專(zhuān)人負(fù)責(zé)，專(zhuān)人管理，確保涉密計(jì)算機(jī)不上網(wǎng)，網(wǎng)上發(fā)布信息嚴(yán)格審查，涉密資料專(zhuān)門(mén)存儲(chǔ)，不交換使用涉密存儲(chǔ)設(shè)備，嚴(yán)格落實(shí)計(jì)算機(jī)信息系統(tǒng)安全保密制度。通過(guò)檢查，進(jìn)一步提高了全公司各個(gè)部門(mén)員工對(duì)計(jì)算機(jī)信息系統(tǒng)安全保密工作的認(rèn)識(shí)，增強(qiáng)了責(zé)任感和使命感?，F(xiàn)將自查情況匯報(bào)如下：

一、加大保密宣傳教育，增強(qiáng)保密觀念。始終把安全保密宣傳教育作為一件大事來(lái)抓，經(jīng)常性地組織全體職工認(rèn)真學(xué)習(xí)各級(jí)有關(guān)加強(qiáng)安全保密的規(guī)定和保密常識(shí)，如看計(jì)算機(jī)泄密錄像等，通過(guò)學(xué)習(xí)全公司各部門(mén)員工安全憂患意識(shí)明顯增強(qiáng)，執(zhí)行安全保密規(guī)定的自覺(jué)性和能力明顯提高。

二、明顯界定涉密計(jì)算機(jī)和非涉密計(jì)算機(jī)。涉密計(jì)算機(jī)應(yīng)有相應(yīng)的標(biāo)識(shí)，設(shè)置開(kāi)機(jī)、屏保口令，定期更換口令，存放環(huán)境要安全可靠。涉密移動(dòng)硬盤(pán)、軟盤(pán)、光盤(pán)、U盤(pán)等移動(dòng)存儲(chǔ)介質(zhì)加強(qiáng)管理，涉密移動(dòng)存儲(chǔ)介質(zhì)也應(yīng)有標(biāo)識(shí)，不得在非涉密計(jì)算機(jī)中使用，嚴(yán)防泄密。非涉密計(jì)算機(jī)、非涉密存儲(chǔ)介質(zhì)不得以任何理由處理涉密信息，非涉密存儲(chǔ)介質(zhì)不得在涉密計(jì)算機(jī)中使用涉密信息。涉密信息和數(shù)據(jù)必須按照保密規(guī)定進(jìn)行采集、存儲(chǔ)、處理、傳遞、使用和銷(xiāo)毀。計(jì)算機(jī)信息系統(tǒng)存儲(chǔ)、處理、傳遞、輸出的涉密信息要有相應(yīng)的密級(jí)標(biāo)識(shí)，密級(jí)標(biāo)識(shí)不能與正文分離。涉密信息不得在與國(guó)際網(wǎng)絡(luò)連接的計(jì)算機(jī)信息系統(tǒng)中存儲(chǔ)、處理、傳遞。

三、加強(qiáng)筆記本電腦的使用管理。筆記本電腦主要在公司內(nèi)部用于學(xué)習(xí)計(jì)算機(jī)新軟件、軟件調(diào)試，不得處理涉密數(shù)據(jù)或文件。

四、計(jì)算機(jī)的使用人員要定期對(duì)電腦進(jìn)行安全檢查，及時(shí)升級(jí)病毒軟件，定時(shí)查殺病毒。對(duì)外來(lái)計(jì)算機(jī)介質(zhì)必須堅(jiān)持先交計(jì)算機(jī)管理人員查殺病毒再上中轉(zhuǎn)機(jī)使用的原則。

五、對(duì)需要維修的涉密計(jì)算機(jī)，各部門(mén)必須事先將計(jì)算機(jī)內(nèi)的涉密信息進(jìn)行清除；如需調(diào)換計(jì)算機(jī)硬盤(pán)，清楚涉密信息后方可允許維修人員將硬盤(pán)帶走。對(duì)報(bào)廢的涉密計(jì)算機(jī)必須徹底清除計(jì)算機(jī)內(nèi)的信息，方可處理。

六、小結(jié)

安全審計(jì)作為一門(mén)新的信息安全技術(shù)，能夠?qū)φ麄€(gè)計(jì)算機(jī)信息系統(tǒng)進(jìn)行監(jiān)控，如實(shí)記錄系統(tǒng)內(nèi)發(fā)生的任何事件，一個(gè)完善的安全審計(jì)系統(tǒng)可以根據(jù)一定的安全策略記錄和分析歷史操作事件及數(shù)據(jù)，有效的記錄攻擊事件的發(fā)生，提供有效改進(jìn)系統(tǒng)性能和安全性能的依據(jù)。本文從安全審計(jì)的概念、在涉密信息系統(tǒng)中需要審計(jì)的內(nèi)容、安全審計(jì)的關(guān)鍵技術(shù)及安全審計(jì)系統(tǒng)應(yīng)該注意的問(wèn)題等幾個(gè)方面討論了安全審計(jì)在涉密信息系統(tǒng)中的應(yīng)用。安全審計(jì)系統(tǒng)應(yīng)該全面地對(duì)整個(gè)涉密信息系統(tǒng)中的網(wǎng)絡(luò)、主機(jī)、應(yīng)用程序、數(shù)據(jù)庫(kù)及安全設(shè)備等進(jìn)行審計(jì)，同時(shí)支持分布式跨網(wǎng)段審計(jì)，集中統(tǒng)一管理，可對(duì)審計(jì)數(shù)據(jù)進(jìn)行綜合的統(tǒng)計(jì)與分析，從而可以更有效的防御外部的入侵和內(nèi)部的非法違規(guī)操作，最終起到保護(hù)機(jī)密信息和資源的作用。

計(jì)算機(jī)管理小組 2012.4.25

計(jì)算機(jī)信息安全保密審計(jì)報(bào)告

有限公司

第五篇：計(jì)算機(jī)和信息系統(tǒng)安全保密管理規(guī)定

信息系統(tǒng)安全保密管理制度

第一章

總

則

第一條

為加強(qiáng)公司信息化系統(tǒng)（包括涉密信息系統(tǒng)和非涉密信息系統(tǒng)）安全保密管理，確保國(guó)家秘密及公司商業(yè)秘密的安全，根據(jù)國(guó)家有關(guān)保密法規(guī)標(biāo)準(zhǔn)和中國(guó)華電集團(tuán)公司有關(guān)規(guī)定，特制定本規(guī)定。

第二條

本規(guī)定所稱(chēng)涉密信息系統(tǒng)是指由計(jì)算機(jī)及其相關(guān)的配套設(shè)備、設(shè)施構(gòu)成的，按照一定的應(yīng)用目標(biāo)和規(guī)定存儲(chǔ)、處理、傳輸涉密信息的系統(tǒng)或網(wǎng)絡(luò)，包括機(jī)房、網(wǎng)絡(luò)設(shè)備、軟件、網(wǎng)絡(luò)線路、用戶終端、存儲(chǔ)介質(zhì)等內(nèi)容。

第三條

涉密信息系統(tǒng)的建設(shè)和應(yīng)用要本著“預(yù)防為主、分級(jí)負(fù)責(zé)、科學(xué)管理、保障安全”的方針，堅(jiān)持“誰(shuí)主管、誰(shuí)負(fù)責(zé)，誰(shuí)使用、誰(shuí)負(fù)責(zé)”和“控制源頭、歸口管理、加強(qiáng)檢查、落實(shí)制度”的原則，確保涉密信息系統(tǒng)和國(guó)家秘密信息安全。

第四條

涉密信息系統(tǒng)安全保密防護(hù)必須嚴(yán)格按照國(guó)家保密標(biāo)準(zhǔn)、規(guī)定和集團(tuán)公司文件要求進(jìn)行設(shè)計(jì)、實(shí)施、測(cè)評(píng)審查與審批和驗(yàn)收；未通過(guò)國(guó)家審批的涉密信息系統(tǒng)，不得投入使用。

第五條

本規(guī)定適用于公司所有信息系統(tǒng)安全保密管理工作。

第二章

組織機(jī)構(gòu)與職責(zé)

第六條

公司成立信息系統(tǒng)安全保密組織機(jī)構(gòu)，人員結(jié)構(gòu)與信息化領(lǐng)導(dǎo)小組和辦公室成員相同，信息化領(lǐng)導(dǎo)小組成員即為信息系統(tǒng)安全保密領(lǐng)導(dǎo)小組成員，信息化辦公室成員即為信息系統(tǒng)安全保密辦公室成員。

1、信息系統(tǒng)安全保密領(lǐng)導(dǎo)小組 組

長(zhǎng)：

副組長(zhǎng)： 組員：

2、信息系統(tǒng)安全保密辦公室 主

任： 副主任： 成員：

第七條 信息系統(tǒng)安全保密領(lǐng)導(dǎo)小組主要職責(zé)

公司信息系統(tǒng)安全保密領(lǐng)導(dǎo)小組是涉密信息系統(tǒng)安全保密管理決策機(jī)構(gòu)，其主要職責(zé)：

（一）建立健全信息系統(tǒng)安全保密管理制度，并監(jiān)督檢查落實(shí)情況；

（二）協(xié)調(diào)處理有關(guān)涉密信息系統(tǒng)安全保密管理的重大問(wèn)題，對(duì)重大失泄密事件進(jìn)行查處。

第八條

信息系統(tǒng)安全保密辦公室（簡(jiǎn)稱(chēng)保密辦）主要職責(zé)：

（一）擬定信息系統(tǒng)安全保密管理制度，并組織落實(shí)各項(xiàng)保密防范措施；

（二）對(duì)系統(tǒng)用戶和安全保密管理人員進(jìn)行資格審查和安全保密教育培訓(xùn)，審查涉密信息系統(tǒng)用戶的職責(zé)和權(quán)限，并備案；

（三）組織對(duì)涉密信息系統(tǒng)進(jìn)行安全保密監(jiān)督檢查和風(fēng)險(xiǎn)評(píng)估，提出涉密信息系統(tǒng)安全運(yùn)行的保密要求；

（四）會(huì)同信息中心對(duì)涉密信息系統(tǒng)中介質(zhì)、設(shè)備、設(shè)施的授權(quán)使用的審查，建立涉密信息系統(tǒng)安全評(píng)估制度，每年對(duì)涉密信息系統(tǒng)安全措施進(jìn)行一次評(píng)審；

（五）對(duì)涉密信息系統(tǒng)設(shè)計(jì)、施工和集成單位進(jìn)行資質(zhì)審查，對(duì)進(jìn)入涉密信息系統(tǒng)的安全保密產(chǎn)品進(jìn)行準(zhǔn)入審查和規(guī)范管理，對(duì)涉密信息系統(tǒng)進(jìn)行安全保密性能檢測(cè)；

（六）對(duì)涉密信息系統(tǒng)中各應(yīng)用系統(tǒng)進(jìn)行定密、變更密級(jí)和解密工作進(jìn)行審核；

（七）組織查處涉密信息系統(tǒng)失泄密事件。

第十條

辦公室（信息中心）主要職責(zé)是：

（一）組織、實(shí)施涉密信息系統(tǒng)的規(guī)劃、設(shè)計(jì)、建設(shè)，制定安全保密防護(hù)方案；

（二）落實(shí)涉密信息系統(tǒng)安全保密策略、運(yùn)行安全控制、安全驗(yàn)證等安全技術(shù)措施；每半年對(duì)涉密信息系統(tǒng)進(jìn)行風(fēng)險(xiǎn)評(píng)估，提出整改措施，經(jīng)涉密信息系統(tǒng)安全保密領(lǐng)導(dǎo)小組批準(zhǔn)后組織實(shí)施，確保安全技術(shù)措施有效、可靠；

（三）落實(shí)涉密信息系統(tǒng)中各應(yīng)用系統(tǒng)進(jìn)行用戶權(quán)限設(shè)置及介質(zhì)、設(shè)備、設(shè)施的授權(quán)使用、保管以及維護(hù)等安全保密管理措施；

（四）配備涉密信息系統(tǒng)管理員、安全保密管理員和安全審計(jì)員，并制定相應(yīng)的職責(zé)；“三員”角色不得兼任，權(quán)限設(shè)置相互獨(dú)立、相互制約；“三員”應(yīng)通過(guò)安全保密培訓(xùn)持證上崗；

（五）落實(shí)計(jì)算機(jī)機(jī)房、配線間等重要部位的安全保密防范措施及網(wǎng)絡(luò)的安全管理，負(fù)責(zé)日常業(yè)務(wù)數(shù)據(jù)及其他重要數(shù)據(jù)的備份管理；

（六）配合保密辦對(duì)涉密信息系統(tǒng)進(jìn)行安全檢查，對(duì)存在的隱患進(jìn)行及時(shí)整改；

（七）制定應(yīng)急預(yù)案并組織演練，落實(shí)應(yīng)急措施，處理信息安全突發(fā)事件。

（八）按照國(guó)家密碼管理的相關(guān)要求，落實(shí)涉密信息系統(tǒng)中普密設(shè)備的管理措施。第十二條

相關(guān)業(yè)務(wù)部門(mén)、班組主要職責(zé)：

涉密信息系統(tǒng)的使用部門(mén)、班組要嚴(yán)格遵守保密管理規(guī)定，教育員工提高安全保密意識(shí)，落實(shí)涉密信息系統(tǒng)各項(xiàng)安全防范措施；準(zhǔn)確確定應(yīng)用系統(tǒng)密級(jí)，制定并落實(shí)相應(yīng)的二級(jí)保密管理制度。

第十三條

涉密信息系統(tǒng)配備系統(tǒng)管理員、安全保密管理員、安全審計(jì)員，其職責(zé)是：

（一）系統(tǒng)管理員負(fù)責(zé)系統(tǒng)中軟硬件設(shè)備的運(yùn)行、管理與維護(hù)工作，確保信息系統(tǒng)的安全、穩(wěn)定、連續(xù)運(yùn)行。系統(tǒng)管理員包括網(wǎng)絡(luò)管理員、數(shù)據(jù)庫(kù)管理員、應(yīng)用系統(tǒng)管理 2 員。

（二）安全保密管理員負(fù)責(zé)安全技術(shù)設(shè)備、策略實(shí)施和管理工作，包括用戶帳號(hào)管理以及安全保密設(shè)備和系統(tǒng)所產(chǎn)生日志的審查分析。

（三）安全審計(jì)員負(fù)責(zé)安全審計(jì)設(shè)備安裝調(diào)試，對(duì)各種系統(tǒng)操作行為進(jìn)行安全審計(jì)跟蹤分析和監(jiān)督檢查，以及時(shí)發(fā)現(xiàn)違規(guī)行為，并每月向涉密信息系統(tǒng)安全保密領(lǐng)導(dǎo)小組辦公室匯報(bào)一次情況。

第三章

系統(tǒng)建設(shè)管理

第十四條

規(guī)劃和建設(shè)涉密信息系統(tǒng)時(shí)，按照涉密信息系統(tǒng)分級(jí)保護(hù)標(biāo)準(zhǔn)的規(guī)定，同步規(guī)劃和落實(shí)安全保密措施，系統(tǒng)建設(shè)與安全保密措施同計(jì)劃、同預(yù)算、同建設(shè)、同驗(yàn)收。

第十五條

涉密信息系統(tǒng)規(guī)劃和建設(shè)的安全保密方案，應(yīng)由具有“涉及國(guó)家秘密的計(jì)算機(jī)信息系統(tǒng)集成資質(zhì)”的機(jī)構(gòu)編制或自行編制，安全保密方案必須經(jīng)上級(jí)保密主管部門(mén)審批后方可實(shí)施。

第十六條

涉密信息系統(tǒng)規(guī)劃和建設(shè)實(shí)施時(shí)，應(yīng)由具有“涉及國(guó)家秘密的計(jì)算機(jī)信息系統(tǒng)集成資質(zhì)”的機(jī)構(gòu)實(shí)施或自行實(shí)施，并與實(shí)施方簽署保密協(xié)議，項(xiàng)目竣工后必須由保密辦和科技信息部共同組織驗(yàn)收。

第十七條

對(duì)涉密信息系統(tǒng)要采取與密級(jí)相適應(yīng)的保密措施，配備通過(guò)國(guó)家保密主管部門(mén)指定的測(cè)評(píng)機(jī)構(gòu)檢測(cè)的安全保密產(chǎn)品。涉密信息系統(tǒng)使用的軟件產(chǎn)品必須是正版軟件。

第四章

信息管理

第一節(jié)

信息分類(lèi)與控制

第十八條

涉密信息系統(tǒng)的密級(jí)，按系統(tǒng)中所處理信息的最高密級(jí)設(shè)定，嚴(yán)禁處理 3 高于涉密信息系統(tǒng)密級(jí)的涉密信息。

第十九條

涉密信息系統(tǒng)中產(chǎn)生、存儲(chǔ)、處理、傳輸、歸檔和輸出的文件、數(shù)據(jù)、圖紙等信息及其存儲(chǔ)介質(zhì)應(yīng)按要求及時(shí)定密、標(biāo)密，并按涉密文件進(jìn)行管理。電子文件密級(jí)標(biāo)識(shí)應(yīng)與信息主體不可分離，密級(jí)標(biāo)識(shí)不得篡改。涉密信息系統(tǒng)中的涉密信息總量每半年進(jìn)行一次分類(lèi)統(tǒng)計(jì)、匯總，并在保密辦備案。

第二十條

涉密信息系統(tǒng)應(yīng)建立安全保密策略，并采取有效措施，防止涉密信息被非授權(quán)訪問(wèn)、篡改，刪除和丟失；防止高密級(jí)信息流向低密級(jí)計(jì)算機(jī)。涉密信息遠(yuǎn)程傳輸必須采取密碼保護(hù)措施。

第二十一條

向涉密信息系統(tǒng)以外的單位傳遞涉密信息，一般只提供紙質(zhì)文件，確需提供涉密電子文檔的，按信息交換及中間轉(zhuǎn)換機(jī)管理規(guī)定執(zhí)行。

第二十二條

清除涉密計(jì)算機(jī)、服務(wù)器等網(wǎng)絡(luò)設(shè)備、存儲(chǔ)介質(zhì)中的涉密信息時(shí)，必須使用符合保密標(biāo)準(zhǔn)、要求的工具或軟件。

第二節(jié)

用戶管理與授權(quán)

第二十三條

根據(jù)本部門(mén)、單位使用涉密信息系統(tǒng)的密級(jí)和實(shí)際工作需要，確定人員知悉范圍，以此作為用戶授權(quán)的依據(jù)。

第二十四條

用戶清單管理

（一）科技信息部管理“研究試驗(yàn)堆燃料元件數(shù)字化信息系統(tǒng)”和“中核集團(tuán)涉密廣域網(wǎng)”用戶清單；財(cái)會(huì)部管理“財(cái)務(wù)會(huì)計(jì)核算網(wǎng)”用戶清單；

（二）新增用戶時(shí)，由用戶本人提出書(shū)面申請(qǐng)，經(jīng)本部門(mén)、單位審核，科技信息部、保密辦審批后，由科技信息部備案并統(tǒng)一建立用戶；“財(cái)務(wù)會(huì)計(jì)核算網(wǎng)”的用戶由財(cái)會(huì)部統(tǒng)一建立；

（三）刪除用戶時(shí)，由用戶本人所在部門(mén)、單位書(shū)面通知科技信息部，核準(zhǔn)后由安全保密管理員即時(shí)將用戶在涉密信息系統(tǒng)內(nèi)的所有帳號(hào)、權(quán)限廢止；“財(cái)務(wù)會(huì)計(jì)核算網(wǎng)” 4 的刪除用戶由財(cái)會(huì)部統(tǒng)一刪除用戶帳號(hào)、權(quán)限。

第二十五條

用戶標(biāo)識(shí)符管理

（一）用戶登錄系統(tǒng)時(shí)所使用的用戶身份標(biāo)識(shí)，由用戶本人提出書(shū)面申請(qǐng)，經(jīng)本部門(mén)、單位審核，科技信息部、保密辦審批后，由系統(tǒng)管理員產(chǎn)生，并確保用戶標(biāo)識(shí)在此系統(tǒng)生命周期中的唯一性；

（二）安全保密管理員每月一次檢查與用戶身份標(biāo)識(shí)相關(guān)的日志，發(fā)現(xiàn)異常情況，應(yīng)及時(shí)向保密辦報(bào)告。

第二十六條 用戶授權(quán)管理

（一）涉密信息系統(tǒng)用戶授權(quán)應(yīng)遵循最小授權(quán)分配原則，安全保密管理員對(duì)所有用戶的權(quán)限明細(xì)文檔化；

（二）安全審計(jì)員每月審查權(quán)限列表，發(fā)現(xiàn)異常情況，應(yīng)及時(shí)向保密辦報(bào)告。

第三節(jié)

信息系統(tǒng)互聯(lián)

第二十七條 涉密信息系統(tǒng)必須與國(guó)際互聯(lián)網(wǎng)和其它公共信息系統(tǒng)實(shí)行物理隔離。禁止將涉密計(jì)算機(jī)和涉密信息系統(tǒng)直接接入公司內(nèi)部非涉密信息系統(tǒng)，確因工作需要接入時(shí)必須采用符合保密標(biāo)準(zhǔn)的信息隔離交換系統(tǒng)進(jìn)行必要的邊界控制措施。

第五章

運(yùn)行維護(hù)管理

第二十八條 涉密信息系統(tǒng)投入運(yùn)行前，應(yīng)當(dāng)經(jīng)過(guò)國(guó)家保密工作部門(mén)審批，未經(jīng)審批的涉密信息系統(tǒng)不得處理涉密信息。

第二十九條

涉密信息系統(tǒng)應(yīng)與用戶終端實(shí)施IP-MAC，并隨人員、崗位等變化及時(shí)調(diào)整。涉密信息系統(tǒng)的用戶終端、服務(wù)器等設(shè)備設(shè)施應(yīng)進(jìn)行安全加固，關(guān)閉不必要的帳戶、服務(wù)和端口，并設(shè)置規(guī)范的口令策略。

涉密設(shè)備（導(dǎo)線）與外網(wǎng)、通訊設(shè)備（導(dǎo)線）和其他導(dǎo)體的隔離應(yīng)符合保密要求。

第三十條

涉密信息系統(tǒng)與國(guó)際互聯(lián)網(wǎng)、公眾信息網(wǎng)絡(luò)等非涉密信息系統(tǒng)（以下簡(jiǎn)稱(chēng)外網(wǎng)）的信息交換，按信息交換及中間轉(zhuǎn)換機(jī)管理規(guī)定執(zhí)行。

第三十一條

禁止使用非涉密信息系統(tǒng)（包括非涉密單機(jī)）存儲(chǔ)和處理涉密信息。第三十二條

建立健全防病毒軟件（含木馬查殺）升級(jí)、打補(bǔ)丁機(jī)制，及時(shí)升級(jí)病毒和惡意代碼樣本庫(kù)，進(jìn)行病毒和惡意代碼查殺，及時(shí)安裝操作系統(tǒng)、數(shù)據(jù)庫(kù)和應(yīng)用系統(tǒng)的補(bǔ)丁程序。防病毒軟件應(yīng)使用經(jīng)國(guó)家主管部門(mén)批準(zhǔn)的防病毒軟件。

第三十三條

未經(jīng)科技信息部審批，禁止對(duì)涉密信息系統(tǒng)格式化或重裝操作系統(tǒng)，禁止刪除涉密信息系統(tǒng)的移動(dòng)存儲(chǔ)介質(zhì)及外部設(shè)備（包括服務(wù)器等網(wǎng)絡(luò)設(shè)備）等日志記錄。

第三十四條

涉密應(yīng)用軟件開(kāi)發(fā)及運(yùn)行維護(hù)必須選擇具有相關(guān)保密資質(zhì)的單位承擔(dān)，并與之簽訂《保密協(xié)議書(shū)》，協(xié)議書(shū)必須經(jīng)保密辦審查備案，明確保密要求，防止國(guó)家秘密的泄露。

第三十五條

涉密信息系統(tǒng)中的信息輸出應(yīng)當(dāng)集中管理，有效控制，建立集中打印控制機(jī)制。

第三十六條

涉密信息系統(tǒng)用戶終端不準(zhǔn)安裝、運(yùn)行、使用與工作無(wú)關(guān)的軟件，嚴(yán)禁安裝具有無(wú)線通訊功能的軟件。未經(jīng)科技信息部審批，用戶終端禁止安裝或拆卸硬件設(shè)備和軟件及更改系統(tǒng)設(shè)置。用戶終端的應(yīng)用軟件安裝情況登記備案，每季度進(jìn)行一次核查。

第三十七條

涉密設(shè)備嚴(yán)禁具有無(wú)線互聯(lián)功能，不能安裝紅外接口、無(wú)線網(wǎng)卡、無(wú)線鼠標(biāo)、無(wú)線鍵盤(pán)等。

第三十八條

對(duì)集中存放涉密信息系統(tǒng)服務(wù)器、交換機(jī)等涉密設(shè)備的場(chǎng)所列入保密要害部位管理，建立出入登記、外來(lái)人員審查等管理制度。

第三十九條

涉密信息系統(tǒng)應(yīng)采取身份鑒別、訪問(wèn)控制和安全審計(jì)等技術(shù)保護(hù)措施。第四十條

涉密信息系統(tǒng)建立文檔化的安全保密策略，并根據(jù)環(huán)境、系統(tǒng)和威脅變 6 化情況及時(shí)調(diào)整更新安全保密策略。

第四十一條

涉密信息系統(tǒng)建立文檔化的安全保密審計(jì)報(bào)告，機(jī)密級(jí)1個(gè)月、秘密級(jí)3個(gè)月進(jìn)行一次審計(jì)日志收集、整理、分析，按要求形成文檔化安全審計(jì)報(bào)告并備案。

第四十二條

涉密信息系統(tǒng)建立文檔化的風(fēng)險(xiǎn)評(píng)估分析報(bào)告，每半年根據(jù)系統(tǒng)綜合日志進(jìn)行一次風(fēng)險(xiǎn)評(píng)估（自評(píng)估或檢查評(píng)估），形成文檔化的風(fēng)險(xiǎn)分析報(bào)告，對(duì)存在的風(fēng)險(xiǎn)及時(shí)采取補(bǔ)救措施。

第四十三條

涉密信息系統(tǒng)建立實(shí)時(shí)入侵檢測(cè)系統(tǒng)，做到實(shí)時(shí)監(jiān)測(cè)系統(tǒng)網(wǎng)絡(luò)設(shè)備、終端和服務(wù)器的各種攻擊行為。應(yīng)具有漏洞掃描技術(shù)，以提前警告網(wǎng)絡(luò)系統(tǒng)中系統(tǒng)的弱點(diǎn)所在，防止黑客入侵和內(nèi)部人員的誤用。

第四十四條

涉密信息系統(tǒng)使用國(guó)家有關(guān)主管部門(mén)批準(zhǔn)的檢測(cè)工具對(duì)系統(tǒng)進(jìn)行安全保密性能檢測(cè)，檢測(cè)工具版本應(yīng)及時(shí)更新、升級(jí)。

第六章

設(shè)備與介質(zhì)管理

第四十五條

計(jì)算機(jī)和信息系統(tǒng)設(shè)備包括：網(wǎng)絡(luò)設(shè)備、服務(wù)器、用戶終端（臺(tái)式計(jì)算機(jī)、便攜式計(jì)算機(jī)、工業(yè)控制機(jī)等）、掃描儀、打印輸出設(shè)備及網(wǎng)絡(luò)安全保密產(chǎn)品等；介質(zhì)包括：紙介質(zhì)、存儲(chǔ)介質(zhì)及其它記錄載體（如計(jì)算機(jī)硬盤(pán)、光盤(pán)、移動(dòng)硬盤(pán)、優(yōu)盤(pán)、軟盤(pán)和錄音帶、錄像帶、數(shù)碼相機(jī)存儲(chǔ)卡等）。

第四十六條

接入涉密信息系統(tǒng)的設(shè)備和介質(zhì)稱(chēng)為涉密設(shè)備和涉密存儲(chǔ)介質(zhì)，并按統(tǒng)一技術(shù)要求和部署方式進(jìn)行管理。涉密設(shè)備和存儲(chǔ)介質(zhì)應(yīng)與國(guó)際互聯(lián)網(wǎng)和其他公眾信息網(wǎng)絡(luò)實(shí)行物理隔離；系統(tǒng)內(nèi)的設(shè)備、介質(zhì)、設(shè)施根據(jù)其處理信息的最高密級(jí)標(biāo)明涉密等級(jí)和主要用途。

第四十七條 計(jì)算機(jī)和信息系統(tǒng)中使用的設(shè)備、存儲(chǔ)介質(zhì)應(yīng)遵循“統(tǒng)一購(gòu)置、統(tǒng)一標(biāo)識(shí)、嚴(yán)格登記、規(guī)范管理”的原則，嚴(yán)格執(zhí)行國(guó)家秘密載體保密管理規(guī)定。

第四十八條 各部門(mén)、單位指定專(zhuān)人負(fù)責(zé)涉密設(shè)備和介質(zhì)的日常管理工作，建立存儲(chǔ)介質(zhì)登記備案、定期核查與信息清理制度。保密辦對(duì)涉密設(shè)備的采購(gòu)、使用、維修、變更、報(bào)廢負(fù)有指導(dǎo)、監(jiān)督、檢查的職責(zé)，對(duì)存儲(chǔ)介質(zhì)歸口管理。

第一節(jié)

設(shè)備管理

第四十九條 采購(gòu)管理

（一）涉密設(shè)備選用國(guó)產(chǎn)設(shè)備，涉密系統(tǒng)集成與系統(tǒng)服務(wù)、安全產(chǎn)品的采購(gòu)，不得進(jìn)行公開(kāi)招標(biāo)，須在具有資質(zhì)的單位和經(jīng)國(guó)家主管部門(mén)批準(zhǔn)范圍內(nèi)選擇，且供方應(yīng)具有完備的資質(zhì)證明和良好的信譽(yù)，以及長(zhǎng)期供貨和代維護(hù)能力；

（二）采購(gòu)部門(mén)不得向供應(yīng)方透露涉密設(shè)備的最終用戶；

（三）采購(gòu)的計(jì)算機(jī)，統(tǒng)一不配備光驅(qū)、軟驅(qū)、視頻設(shè)備及具有無(wú)線互聯(lián)功能的無(wú)線鍵盤(pán)、無(wú)線鼠標(biāo)、紅外接口、無(wú)線網(wǎng)卡等。確因工作需要配備的，經(jīng)保密辦審批后配發(fā)；

（四）科技信息部做好資產(chǎn)清單和臺(tái)帳管理，涉密設(shè)備需在保密辦備案并粘貼密級(jí)標(biāo)識(shí)后投入使用。臺(tái)帳注明涉密設(shè)備使用人、安全責(zé)任人、安全分類(lèi)以及資產(chǎn)所在的位置，并且每半年對(duì)涉密設(shè)備清查核對(duì)一次。

第五十條

使用管理

（一）各部門(mén)、單位建立涉密設(shè)備、打印機(jī)等準(zhǔn)入審批、使用登記、銷(xiāo)毀等備案制度。

（二）涉密設(shè)備的電磁泄露發(fā)射應(yīng)符合國(guó)家有關(guān)保密標(biāo)準(zhǔn)，并采取相應(yīng)防護(hù)措施。涉密設(shè)備和傳輸線路應(yīng)符合紅黑隔離要求，并采取電源濾波防護(hù)措施。

（三）用戶終端登錄識(shí)別技術(shù)應(yīng)采用以下二種方式之一：

1、數(shù)字證書(shū)機(jī)制采用USBKey與PIN口令相結(jié)合的方式進(jìn)行身份鑒別，口令長(zhǎng)度設(shè)置不少于十位。USBKey按機(jī)密級(jí)密件管理，應(yīng)及時(shí)修改初始的PIN碼，并將USBKey 8 妥善保管。

2、密碼口令。機(jī)密級(jí)密碼口令長(zhǎng)度不得少于十個(gè)字符，每周至少更換一次；秘密級(jí)密碼口令長(zhǎng)度不得少于八個(gè)字符，每月至少更換一次；口令采用大小寫(xiě)英文字母、數(shù)字和特殊字符等兩者以上的組合。

（四）在其他信息系統(tǒng)使用過(guò)的設(shè)備以及新增設(shè)備接入涉密計(jì)算機(jī)和信息系統(tǒng)之前，應(yīng)進(jìn)行病毒（含木馬）及惡意代碼的檢測(cè)、查殺。

第五十一條 維修管理

（一）涉密設(shè)備維修時(shí)，應(yīng)向科技信息部提出申請(qǐng)，科技信息部對(duì)維修的涉密設(shè)備檢查診斷后，作出公司內(nèi)維修或外出維修的判斷，并通知部門(mén)、單位；

（二）涉密設(shè)備維修原則上來(lái)公司現(xiàn)場(chǎng)維修，維修時(shí)應(yīng)有專(zhuān)人現(xiàn)場(chǎng)監(jiān)管；

（三）涉密設(shè)備外出維修時(shí)，對(duì)涉密設(shè)備預(yù)先采取保密措施，拆除存儲(chǔ)部件，并有專(zhuān)人在場(chǎng)監(jiān)控維修全過(guò)程；外出維修的涉密設(shè)備，原則上不能在外存放，當(dāng)日未維修完畢的應(yīng)帶回公司存放，次日再送出去維修；涉密設(shè)備維修時(shí)應(yīng)與維修單位簽訂保密協(xié)議；

（四）涉密設(shè)備確需恢復(fù)存儲(chǔ)的數(shù)據(jù)、信息時(shí)，應(yīng)經(jīng)保密辦審批后在具有涉密數(shù)據(jù)恢復(fù)資質(zhì)的單位進(jìn)行；

（五）維修時(shí)更換下的硬盤(pán)、存儲(chǔ)卡，必須將舊件按涉密載體進(jìn)行管理，禁止將舊件抵價(jià)維修或隨意拋棄；

（六）維修的涉密設(shè)備應(yīng)做好維修情況記錄，存檔備查。第五十二條 變更管理

（一）涉密設(shè)備變更用途時(shí)，應(yīng)事先提出變更申請(qǐng)并清除其存儲(chǔ)的涉密信息，經(jīng)保密辦審核批準(zhǔn)后辦理變更。變更程序是：

1、公司內(nèi)部門(mén)、單位之間調(diào)配涉密設(shè)備，由科技信息部提出變更調(diào)配計(jì)劃并作技術(shù)支持，接收單位辦理變更手續(xù)并到保密辦變更涉密設(shè)備臺(tái)帳；

2、部門(mén)、單位內(nèi)部調(diào)整變更涉密設(shè)備，由部門(mén)、單位領(lǐng)導(dǎo)批準(zhǔn)，并通知保密辦變更涉密計(jì)算機(jī)臺(tái)帳；

3、調(diào)配變更后的涉密設(shè)備要及時(shí)確定密級(jí)，并粘貼密級(jí)標(biāo)識(shí)。

（二）涉密設(shè)備變更密級(jí)，遵循如下保密規(guī)定：

1、絕密級(jí)設(shè)備不得進(jìn)行變更；

2、不變更使用人及使用部門(mén)、單位，升密時(shí)存儲(chǔ)介質(zhì)（包括硬盤(pán)、儲(chǔ)存卡）可不更換，降密或脫密時(shí)必須更換存儲(chǔ)介質(zhì)；

3、變更使用人或使用部門(mén)、單位，升密、降密必須更換存儲(chǔ)介質(zhì)；

4、存儲(chǔ)介質(zhì)的更換由科技信息部辦理，新存儲(chǔ)介質(zhì)到保密辦領(lǐng)取，更換下的舊存儲(chǔ)介質(zhì)交保密辦；

5、非涉密設(shè)備變更為涉密設(shè)備，需對(duì)存儲(chǔ)介質(zhì)進(jìn)行格式化，重新安裝操作系統(tǒng)，并拆除視頻設(shè)備和無(wú)線互聯(lián)功能模塊。

第五十三條 報(bào)廢管理

（一）對(duì)批準(zhǔn)報(bào)廢的信息設(shè)備拆除存儲(chǔ)介質(zhì)并交保密辦集中統(tǒng)一銷(xiāo)毀或再利用；

（二）淘汰或報(bào)廢的涉密設(shè)備，不得用于公益捐贈(zèng)，或流入舊貨市場(chǎng)。

第二節(jié)

介質(zhì)管理

第五十四條

購(gòu)置和發(fā)放

（一）申請(qǐng)部門(mén)、單位根據(jù)需要向保密辦提出所需存儲(chǔ)介質(zhì)種類(lèi)、數(shù)量的申請(qǐng)；

（二）保密辦對(duì)申請(qǐng)進(jìn)行審核后報(bào)主管領(lǐng)導(dǎo)審批，并按批準(zhǔn)的種類(lèi)、數(shù)量集中采購(gòu)；

（三）保密辦按存儲(chǔ)介質(zhì)種類(lèi)和密級(jí)統(tǒng)一編號(hào)、登記、粘貼標(biāo)識(shí)后發(fā)放存儲(chǔ)介質(zhì)；

（四）各部門(mén)、單位由專(zhuān)人管理存儲(chǔ)介質(zhì)，建立臺(tái)帳，定期核查。第五十五條 使用和維護(hù)

（一）涉密存儲(chǔ)介質(zhì)應(yīng)根據(jù)所存儲(chǔ)信息的最高密級(jí)劃定密級(jí)，并在明顯位置粘貼密 10 級(jí)標(biāo)識(shí)，禁止使用無(wú)標(biāo)識(shí)的存儲(chǔ)介質(zhì)。涉密存儲(chǔ)介質(zhì)嚴(yán)禁在聯(lián)接互聯(lián)網(wǎng)的計(jì)算機(jī)和非涉密計(jì)算機(jī)上使用；

（二）在涉密信息系統(tǒng)內(nèi)使用的涉密存儲(chǔ)介質(zhì)采取綁定或有效的技術(shù)接入控制措施，使涉密存儲(chǔ)介質(zhì)只能在授權(quán)的涉密計(jì)算機(jī)上使用。未采用綁定技術(shù)的涉密計(jì)算機(jī)，須采取關(guān)閉和監(jiān)控?cái)?shù)據(jù)端口（USB口）的物理防護(hù)措施進(jìn)行控制；

（三）嚴(yán)格控制其它存儲(chǔ)介質(zhì)的使用，對(duì)光盤(pán)、軟盤(pán)等移動(dòng)存儲(chǔ)介質(zhì)應(yīng)采用關(guān)閉數(shù)據(jù)接口或禁止驅(qū)動(dòng)設(shè)備使用等方式加以控制；

（四）禁止在低密級(jí)計(jì)算機(jī)上使用高密級(jí)存儲(chǔ)介質(zhì)，禁止在低密級(jí)存儲(chǔ)介質(zhì)上存儲(chǔ)高密級(jí)信息；

（五）高密級(jí)存儲(chǔ)介質(zhì)用于存儲(chǔ)低密級(jí)信息時(shí)，應(yīng)當(dāng)按照存儲(chǔ)介質(zhì)原標(biāo)識(shí)的高密級(jí)進(jìn)行管理；

（六）存放涉密存儲(chǔ)介質(zhì)的場(chǎng)所、部位和設(shè)備應(yīng)符合安全保密要求，集中統(tǒng)一管理；

（七）禁止外來(lái)的存儲(chǔ)介質(zhì)接入涉密信息系統(tǒng)，如需導(dǎo)入信息，應(yīng)采取安全準(zhǔn)入許可制度，經(jīng)部門(mén)、單位領(lǐng)導(dǎo)審批后，按信息交換及中間轉(zhuǎn)換機(jī)管理規(guī)定執(zhí)行；

（八）存儲(chǔ)過(guò)絕密級(jí)信息的介質(zhì)不能降低密級(jí)使用；

（九）嚴(yán)禁將個(gè)人具有存儲(chǔ)功能的存儲(chǔ)介質(zhì)和電子設(shè)備（mp3、mp4、優(yōu)盤(pán)、手機(jī)、掌上電腦等）帶入公司；嚴(yán)禁將涉密存儲(chǔ)介質(zhì)帶出工作場(chǎng)所，確需攜帶外出，經(jīng)本部門(mén)、單位領(lǐng)導(dǎo)審批且備案后方可出廠，隨身攜帶，嚴(yán)防被盜或丟失；

（十）經(jīng)保密辦批準(zhǔn)，允許與涉密信息系統(tǒng)相連的數(shù)碼設(shè)備（如相機(jī)、錄音筆）等，應(yīng)按涉密載體管理；

（十一）涉密存儲(chǔ)介質(zhì)的維修和維護(hù)由科技信息部統(tǒng)一負(fù)責(zé)，外送維修須經(jīng)主管領(lǐng)導(dǎo)審批同意，并送指定維修點(diǎn)維修；

（十二）發(fā)現(xiàn)存儲(chǔ)介質(zhì)丟失，應(yīng)立即報(bào)告本部門(mén)、單位和保密辦，并及時(shí)組織查處。

第五十六條 保管和銷(xiāo)毀

（一）涉密存儲(chǔ)介質(zhì)必須由本部門(mén)、單位集中統(tǒng)一保管并在有安全保障的保密柜中保存；

（二）對(duì)重要的存儲(chǔ)介質(zhì)，應(yīng)定期進(jìn)行循環(huán)復(fù)制備份；

（三）存儲(chǔ)介質(zhì)的報(bào)廢、銷(xiāo)毀，由應(yīng)編制銷(xiāo)毀清單，由本部門(mén)、單位主要領(lǐng)導(dǎo)簽字后，統(tǒng)一交保密辦鑒定并做消磁或粉碎處理。

第七章

信息交換及中間轉(zhuǎn)換機(jī)管理

第五十七條

涉密計(jì)算機(jī)和信息系統(tǒng)與其他計(jì)算機(jī)和信息系統(tǒng)的信息交換必須經(jīng)過(guò)中間轉(zhuǎn)換機(jī)。

中間轉(zhuǎn)換機(jī)是指與任何計(jì)算機(jī)和信息系統(tǒng)實(shí)現(xiàn)物理隔離、獨(dú)立運(yùn)行的專(zhuān)用計(jì)算機(jī)，專(zhuān)門(mén)用于涉密計(jì)算機(jī)和涉密信息系統(tǒng)與其它計(jì)算機(jī)和信息系統(tǒng)之間的信息交換。中間轉(zhuǎn)換機(jī)分為非涉密中間轉(zhuǎn)換機(jī)和涉密中間轉(zhuǎn)換機(jī)，中間轉(zhuǎn)換機(jī)上應(yīng)安裝符合國(guó)家保密要求的計(jì)算機(jī)病毒和惡意代碼防護(hù)產(chǎn)品。

非涉密中間轉(zhuǎn)換機(jī)用于從國(guó)際互聯(lián)網(wǎng)、公眾信息網(wǎng)絡(luò)和非涉密信息系統(tǒng)到涉密計(jì)算機(jī)和涉密信息系統(tǒng)進(jìn)行外部非涉密信息的載入，包括計(jì)算機(jī)病毒和惡意代碼樣本庫(kù)、補(bǔ)丁程序、應(yīng)用程序和其它相關(guān)信息等。

涉密中間轉(zhuǎn)換機(jī)用于從公司外部的涉密計(jì)算機(jī)和涉密信息系統(tǒng)（涉密移動(dòng)存儲(chǔ)介質(zhì)）到公司內(nèi)部涉密計(jì)算機(jī)和涉密信息系統(tǒng)的信息交換。涉密中間轉(zhuǎn)換機(jī)的密級(jí)應(yīng)根據(jù)轉(zhuǎn)換信息的最高密級(jí)確定。

涉密網(wǎng)絡(luò)中間轉(zhuǎn)換機(jī)是指單位接入涉密信息系統(tǒng)的管理員專(zhuān)用于信息交換的涉密計(jì)算機(jī)。

專(zhuān)用涉密傳遞盤(pán)是指經(jīng)技術(shù)綁定后的公司各單位內(nèi)部及各部門(mén)、單位之間用于涉密 12 信息系統(tǒng)與涉密單機(jī)、涉密單機(jī)之間信息傳遞的優(yōu)盤(pán)。

第五十八條

中間轉(zhuǎn)換機(jī)的配置、使用與日常管理

（一）涉密信息系統(tǒng)使用部門(mén)、單位需配置涉密網(wǎng)絡(luò)中間轉(zhuǎn)換機(jī)、非涉密中間轉(zhuǎn)換機(jī)和專(zhuān)用涉密傳遞盤(pán)；

（二）黨政辦設(shè)置1臺(tái)涉密中間轉(zhuǎn)換機(jī)（全公司共用），用于公司外部涉密存儲(chǔ)介質(zhì)上載涉密信息到公司涉密信息系統(tǒng)（或涉密單機(jī)）；

（三）中間轉(zhuǎn)換機(jī)、專(zhuān)用涉密傳遞盤(pán)由各部門(mén)、單位中間轉(zhuǎn)換機(jī)管理員負(fù)責(zé)管理和使用；

（四）中間轉(zhuǎn)換機(jī)上應(yīng)用軟件由科技信息部統(tǒng)一安裝，各單位不得安裝、使用除統(tǒng)一安裝軟件以外的任何軟件；

（五）防病毒軟件升級(jí)工作由中間轉(zhuǎn)換機(jī)管理員負(fù)責(zé)完成，必須保證每周對(duì)中間轉(zhuǎn)換機(jī)防病毒軟件升級(jí)1次，升級(jí)包到科技信息部統(tǒng)一制作、拷貝，并做好升級(jí)記錄；

（六）中間轉(zhuǎn)換機(jī)應(yīng)專(zhuān)機(jī)專(zhuān)用，專(zhuān)人管理，不能用于其它工作。中間轉(zhuǎn)換機(jī)管理員做好工作記錄（包括信息名稱(chēng)、密級(jí)、來(lái)源、用途、時(shí)間、人員等）。

第五十九條

從國(guó)際互聯(lián)網(wǎng)、公眾信息網(wǎng)和非涉密信息系統(tǒng)（含非涉密計(jì)算機(jī)）上載信息到涉密計(jì)算機(jī)和涉密信息系統(tǒng)操作步驟：

（一）填寫(xiě)審批單，經(jīng)部門(mén)、單位領(lǐng)導(dǎo)批準(zhǔn)后方可進(jìn)行上載信息；

（二）將信息上載到非涉密中間機(jī)；

（三）拔除上載信息存儲(chǔ)介質(zhì)；

（四）在非涉密中間轉(zhuǎn)換機(jī)中對(duì)上載信息進(jìn)行計(jì)算機(jī)病毒、惡意代碼、間諜軟件、木馬程序的查殺；

（五）將上載信息刻錄到只讀光盤(pán)；

（六）將存有上載信息的光盤(pán)放入涉密計(jì)算機(jī)或涉密網(wǎng)絡(luò)中間轉(zhuǎn)換機(jī)中，上載到涉 13 密計(jì)算機(jī)和涉密信息系統(tǒng)中；

（七）記錄上載過(guò)程，光盤(pán)應(yīng)存檔備案，存儲(chǔ)介質(zhì)格式化處理。

第六十條

公司內(nèi)部單臺(tái)涉密計(jì)算機(jī)之間、單臺(tái)涉密計(jì)算機(jī)與涉密信息系統(tǒng)之間的信息交換，使用綁定措施的涉密存儲(chǔ)介質(zhì)進(jìn)行交換或刻錄到只讀光盤(pán)；記錄上載過(guò)程，光盤(pán)應(yīng)存檔備案。

第六十一條

從公司外部涉密存儲(chǔ)介上載涉密信息到涉密計(jì)算機(jī)和涉密信息系統(tǒng)操作步驟：

（一）填寫(xiě)審批單，經(jīng)部門(mén)、單位領(lǐng)導(dǎo)批準(zhǔn)后方可進(jìn)行上載信息；

（二）將信息上載到涉密中間轉(zhuǎn)換機(jī)；

（三）拔除外部涉密存儲(chǔ)介質(zhì)；

（四）在涉密中間轉(zhuǎn)換機(jī)中對(duì)上載信息進(jìn)行計(jì)算機(jī)病毒、惡意代碼、間諜軟件、木馬程序的查殺；

（五）將需要上載的涉密信息刻錄到只讀光盤(pán)或拷貝到專(zhuān)用涉密傳遞盤(pán)；

（六）將存有上載信息的涉密光盤(pán)或介質(zhì)放入涉密計(jì)算機(jī)或涉密網(wǎng)絡(luò)中間轉(zhuǎn)換機(jī)中，上載到涉密計(jì)算機(jī)和涉密信息系統(tǒng)中；

（七）記錄上載過(guò)程，光盤(pán)應(yīng)存檔備案，專(zhuān)用涉密傳遞盤(pán)交還中間轉(zhuǎn)換機(jī)管理人員，并及時(shí)進(jìn)行信息清除或格式化處理。

第六十二條

涉密計(jì)算機(jī)和涉密信息系統(tǒng)中的非涉密信息對(duì)外交換一般應(yīng)當(dāng)采用打印輸出紙質(zhì)文件方式進(jìn)行，確需電子信息時(shí)在涉密計(jì)算機(jī)和涉密網(wǎng)絡(luò)中間機(jī)將上載信息刻錄到只讀光盤(pán)，并記錄上載過(guò)程，光盤(pán)存檔備案。

第八章

國(guó)際互聯(lián)網(wǎng)計(jì)算機(jī)管理

第六十三條 接入國(guó)際互聯(lián)網(wǎng)的計(jì)算機(jī)，開(kāi)通前須由接入部門(mén)、單位提出申請(qǐng)，保 14 密辦審核，公司分管領(lǐng)導(dǎo)審批。開(kāi)通、審批堅(jiān)持“工作必須”的原則。

第六十四條 國(guó)際互聯(lián)網(wǎng)計(jì)算機(jī)實(shí)行專(zhuān)人負(fù)責(zé)、專(zhuān)機(jī)上網(wǎng)管理，嚴(yán)禁存儲(chǔ)、處理、傳遞涉密信息和內(nèi)部敏感信息。接入互聯(lián)網(wǎng)的計(jì)算機(jī)須建立使用登記制度。

第六十五條 上網(wǎng)信息實(shí)行“誰(shuí)上網(wǎng)誰(shuí)負(fù)責(zé)”的保密管理原則，信息上網(wǎng)必須經(jīng)過(guò)嚴(yán)格審查和批準(zhǔn)，堅(jiān)決做到“涉密不上網(wǎng)，上網(wǎng)不涉密”。對(duì)上網(wǎng)信息進(jìn)行擴(kuò)充或更新，應(yīng)重新進(jìn)行保密審查。

第六十六條 任何部門(mén)、單位和個(gè)人不得在電子郵件、電子公告系統(tǒng)、聊天室、網(wǎng)絡(luò)新聞組、博客等上發(fā)布、談?wù)?、傳遞、轉(zhuǎn)發(fā)或抄送國(guó)家秘密信息。

第六十七條 從國(guó)際互聯(lián)網(wǎng)或其它公眾信息網(wǎng)下載程序和軟件工具等轉(zhuǎn)入涉密系統(tǒng)，經(jīng)科技信息部審批后，按照信息交換及中間轉(zhuǎn)換機(jī)管理規(guī)定執(zhí)行。

第九章

便攜式計(jì)算機(jī)管理

第六十八條

便攜式計(jì)算機(jī)（包括涉密便攜式計(jì)算機(jī)和非涉密便攜式計(jì)算機(jī)）實(shí)行“誰(shuí)擁有，誰(shuí)使用，誰(shuí)負(fù)責(zé)”的保密管理原則，使用者須與公司簽定保密承諾書(shū)。

第六十九條 涉密便攜式計(jì)算機(jī)根據(jù)工作需要確定密級(jí)，粘貼密級(jí)標(biāo)識(shí)，按照涉密設(shè)備進(jìn)行管理，保密辦備案后方可使用。

第七十條

便攜式計(jì)算機(jī)應(yīng)具備防病毒、防非法外聯(lián)和身份認(rèn)證（設(shè)置開(kāi)機(jī)密碼口令）等安全保密防護(hù)措施。

第七十一條

禁止使用涉密便攜式計(jì)算機(jī)上國(guó)際互聯(lián)網(wǎng)和非涉密網(wǎng)絡(luò)；嚴(yán)禁涉密便攜式計(jì)算機(jī)與涉密信息系統(tǒng)互聯(lián)。

第七十二條

涉密便攜式計(jì)算機(jī)不得處理絕密級(jí)信息。未經(jīng)保密辦審批，嚴(yán)禁在涉密便攜式計(jì)算機(jī)中存儲(chǔ)涉密信息。處理、存儲(chǔ)涉密信息應(yīng)在涉密移動(dòng)存儲(chǔ)介質(zhì)上進(jìn)行，并與涉密便攜式計(jì)算機(jī)分離保管。

第七十三條

禁止使用私有便攜式計(jì)算機(jī)處理辦公信息；嚴(yán)禁非涉密便攜式計(jì)算機(jī)存儲(chǔ)、處理涉密信息；嚴(yán)禁將涉密存儲(chǔ)介質(zhì)接入非涉密便攜式計(jì)算機(jī)使用。

第七十四條 公司配備專(zhuān)供外出攜帶的涉密便攜式計(jì)算機(jī)和涉密存儲(chǔ)介質(zhì)，按照“集中管理、審批借用”的原則進(jìn)行管理，建立使用登記制度。外出攜帶的涉密便攜式計(jì)算機(jī)須經(jīng)保密辦檢查后方可帶出公司，返回時(shí)須進(jìn)行技術(shù)檢查。

第七十五條

因工作需要外單位攜帶便攜式計(jì)算機(jī)進(jìn)入公司辦公區(qū)域，需辦理保密審批手續(xù)。

第十章

應(yīng)急響應(yīng)管理

第七十六條 為有效預(yù)防和處置涉密信息系統(tǒng)安全突發(fā)事件，及時(shí)控制和消除涉密信息系統(tǒng)安全突發(fā)事件的危害和影響，保障涉密信息系統(tǒng)的安全穩(wěn)定運(yùn)行，科技信息部和財(cái)會(huì)部應(yīng)分別制定相應(yīng)應(yīng)急響應(yīng)預(yù)案，經(jīng)公司涉密信息系統(tǒng)安全保密領(lǐng)導(dǎo)小組審批后實(shí)施。

第七十七條 應(yīng)急響應(yīng)預(yù)案用于涉密信息系統(tǒng)安全突發(fā)事件。突發(fā)事件分為系統(tǒng)運(yùn)行安全事件和泄密事件，根據(jù)事件引發(fā)原因分為災(zāi)害類(lèi)、故障類(lèi)或攻擊類(lèi)三種情況。

（一）災(zāi)害事件：根據(jù)實(shí)際情況，在保障人身安全前提下，保障數(shù)據(jù)安全和設(shè)備安全。

（二）故障或攻擊事件：判斷故障或攻擊的來(lái)源與性質(zhì)，關(guān)閉影響安全與穩(wěn)定的網(wǎng)絡(luò)設(shè)備和服務(wù)器設(shè)備，斷開(kāi)信息系統(tǒng)與攻擊來(lái)源的網(wǎng)絡(luò)物理連接，跟蹤并鎖定攻擊來(lái)源的IP地址或其它網(wǎng)絡(luò)用戶信息，修復(fù)被破壞的信息，恢復(fù)信息系統(tǒng)。按照事件發(fā)生的性質(zhì)分別采用以下方案：

1、病毒傳播：及時(shí)尋找并斷開(kāi)傳播源，判斷病毒的類(lèi)型、性質(zhì)、可能的危害范圍。為避免產(chǎn)生更大的損失，保護(hù)計(jì)算機(jī)，必要時(shí)可關(guān)閉相應(yīng)的端口，尋找并公布病毒攻擊 16 信息，以及殺毒、防御方法；

2、外部入侵：判斷入侵的來(lái)源，評(píng)價(jià)入侵可能或已經(jīng)造成的危害。對(duì)入侵未遂、未造成損害的，且評(píng)價(jià)威脅很小的外部入侵，定位入侵的IP地址，及時(shí)關(guān)閉入侵的端口，限制入侵的IP地址的訪問(wèn)。對(duì)于已經(jīng)造成危害的，應(yīng)立即采用斷開(kāi)網(wǎng)絡(luò)連接的方法，避免造成更大損失和帶來(lái)的影響；

3、內(nèi)部入侵：查清入侵來(lái)源，如IP地址、所在區(qū)域、所處辦公室等信息，同時(shí)斷開(kāi)對(duì)應(yīng)的交換機(jī)端口，針對(duì)入侵方法調(diào)整或更新入侵檢測(cè)設(shè)備。對(duì)于無(wú)法制止的多點(diǎn)入侵和造成損害的，應(yīng)及時(shí)關(guān)閉被入侵的服務(wù)器或相應(yīng)設(shè)備；

4、網(wǎng)絡(luò)故障：判斷故障發(fā)生點(diǎn)和故障原因，能夠迅速解決的盡快排除故障，并優(yōu)先保證主要應(yīng)用系統(tǒng)的運(yùn)轉(zhuǎn)；

5、其它未列出的不確定因素造成的事件，結(jié)合具體的情況，做出相應(yīng)的處理。不能處理的及時(shí)咨詢，上報(bào)公司信息安全領(lǐng)導(dǎo)小組。

第七十八條 按照信息安全突發(fā)事件的性質(zhì)、影響范圍和造成的損失，將涉密信息系統(tǒng)安全突發(fā)事件分為特別重大事件（I級(jí)）、重大事件（II級(jí)）、較大事件（III級(jí)）和一般事件（IV級(jí)）四個(gè)等級(jí)。

（一）一般事件由科技信息部（或財(cái)會(huì)部）依據(jù)應(yīng)急響應(yīng)預(yù)案進(jìn)行處置；

（二）較大事件由科技信息部（或財(cái)會(huì)部）、保密辦依據(jù)應(yīng)急響應(yīng)預(yù)案進(jìn)行處置，及時(shí)向公司信息安全領(lǐng)導(dǎo)小組報(bào)告并提請(qǐng)協(xié)調(diào)處置；

（三）重大事件啟動(dòng)應(yīng)急響應(yīng)預(yù)案，對(duì)突發(fā)事件進(jìn)行處置，及時(shí)向公司黨政報(bào)告并提請(qǐng)協(xié)調(diào)處置；

（四）特別重大事件由公司報(bào)請(qǐng)中核集團(tuán)公司對(duì)信息安全突發(fā)事件進(jìn)行處置。第七十九條 發(fā)生突發(fā)事件（如涉密數(shù)據(jù)被竊取或信息系統(tǒng)癱瘓等）應(yīng)按如下應(yīng)急響應(yīng)的基本步驟、基本處理辦法和流程進(jìn)行處理：

（一）上報(bào)科技信息部和保密辦；

（二）關(guān)閉系統(tǒng)以防止造成數(shù)據(jù)損失；

（三）切斷網(wǎng)絡(luò)，隔離事件區(qū)域；

（四）查閱審計(jì)記錄尋找事件源頭；

（五）評(píng)估系統(tǒng)受損程度；

（六）對(duì)引起事件漏洞進(jìn)行整改；

（七）對(duì)系統(tǒng)重新進(jìn)行風(fēng)險(xiǎn)評(píng)估；

（八）由保密辦根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果并書(shū)面確認(rèn)安全后，系統(tǒng)方能重新運(yùn)行；

（九）對(duì)事件類(lèi)型、響應(yīng)、影響范圍、補(bǔ)救措施和最終結(jié)果進(jìn)行詳細(xì)的記錄；

（十）依照法規(guī)制度對(duì)責(zé)任人進(jìn)行處理。

第八十條 科技信息部、財(cái)會(huì)部應(yīng)會(huì)同保密辦每年組織一次應(yīng)急響應(yīng)預(yù)案演練，檢驗(yàn)應(yīng)急響應(yīng)預(yù)案各環(huán)節(jié)之間的通信、協(xié)調(diào)、指揮等是否快速、高效，并對(duì)其效果進(jìn)行評(píng)估，以使用戶明確自己的角色和責(zé)任。應(yīng)急響應(yīng)相關(guān)知識(shí)、技術(shù)、技能應(yīng)納入信息安全保密培訓(xùn)內(nèi)容，并記錄備案。

第十一章

人員管理

第八十一條

各部門(mén)、單位每年應(yīng)組織開(kāi)展不少于1次的全員信息安全保密知識(shí)技能教育與培訓(xùn)，并記錄備案。

第八十二條

涉密人員離崗、離職，應(yīng)及時(shí)調(diào)整或取消其訪問(wèn)授權(quán)，并將其保管的涉密設(shè)備、存儲(chǔ)介質(zhì)全部清退并辦理移交手續(xù)。

第八十三條

承擔(dān)涉密信息系統(tǒng)日常管理工作的系統(tǒng)管理員、安全保密管理員、安全審計(jì)管理員應(yīng)按重要涉密人員管理。

第十二章

督查與獎(jiǎng)懲

第八十四條 公司每年應(yīng)對(duì)涉密信息系統(tǒng)安全保密狀況、安全保密制度和措施的落實(shí)情況進(jìn)行一次自查，并接受?chē)?guó)家和上級(jí)單位的指導(dǎo)和監(jiān)督。涉密信息系統(tǒng)每?jī)赡杲邮芤淮紊霞?jí)部門(mén)開(kāi)展的安全保密測(cè)評(píng)或保密檢查，檢查結(jié)果存檔備查。

第八十五條 檢查涉密計(jì)算機(jī)和信息系統(tǒng)的保密檢查工具和涉密信息系統(tǒng)所使用的安全保密、漏洞檢查（取證）軟件等，應(yīng)覆蓋保密檢查的項(xiàng)目，并通過(guò)國(guó)家保密局的檢測(cè)。安全保密檢查工具應(yīng)及時(shí)升級(jí)或更新，確保檢查時(shí)使用最新版本。

第八十六條 各部門(mén)、單位應(yīng)將員工遵守涉密計(jì)算機(jī)及信息系統(tǒng)安全保密管理制度的情況，納入保密自查、考核的重要內(nèi)容。對(duì)違反本規(guī)定造成失泄密的當(dāng)事人及有關(guān)責(zé)任人，按公司保密責(zé)任考核及獎(jiǎng)懲規(guī)定執(zhí)行。

第十三章

附

則

第八十七條 本規(guī)定由保密辦負(fù)責(zé)解釋與修訂。

第八十八條 本規(guī)定自發(fā)布之日起實(shí)施。原《計(jì)算機(jī)磁（光）介質(zhì)保密管理規(guī)定）[制度編號(hào)：（廠1908號(hào)）]、《涉密計(jì)算機(jī)信息系統(tǒng)保密管理規(guī)定》［制度編號(hào):（2006）廠1911號(hào)］、《涉密計(jì)算機(jī)采購(gòu)、維修、變更、報(bào)廢保密管理規(guī)定》［制度編號(hào):（2007）廠1925號(hào)］、《國(guó)際互聯(lián)網(wǎng)信息發(fā)布保密管理規(guī)定》［制度編號(hào):（2007）廠1926號(hào)］、《涉密信息系統(tǒng)信息保密管理規(guī)定》［制度通告:（2008）0934號(hào)］、《涉密信息系統(tǒng)安全保密管理規(guī)定》［制度通告:（2008）0935號(hào)］同時(shí)廢止。