第一篇：三級保密資質(zhì)信息系統(tǒng)安全策略文件V2.0

內(nèi)部資料 注意保存

信息設(shè)備與存儲設(shè)備安全策略

目錄

第一條 概述..................................................................................................................2 第二條 適用范圍..........................................................................................................2 第三條 目標(biāo)..................................................................................................................2 第四條 安全原則..........................................................................................................2 第五條 安全方針..........................................................................................................4 第六條 安全組織機構(gòu)..................................................................................................4 第七條 安全管理人員策略..........................................................................................5 第八條 安全保密產(chǎn)品和工具......................................................................................7 第九條 物理和環(huán)境安全策略......................................................................................8 第十條 運行管理策略..................................................................................................9 第十一條 通訊和傳輸安全管理策略..........................................................................9 第十二條 信息設(shè)備安全策略....................................................................................10 第十三條 存儲設(shè)備安全............................................................................................11 第十四條 操作安全策略............................................................................................11 第十五條 訪問控制策略............................................................................................12 第十六條 導(dǎo)入導(dǎo)出策略............................................................................................13 第十七條 備份與恢復(fù)策略........................................................................................13 第十八條 設(shè)備維修策略............................................................................................14 第十九條設(shè)備報廢策略..............................................................................................14 第二十條 風(fēng)險管理及安全審計策略........................................................................14 第二十一條 信息系統(tǒng)應(yīng)急計劃和響應(yīng)策略............................................................15 第二十二條 遵循性....................................................................................................15 第一條 概述

根據(jù)《中華人民共和國保守國家秘密法》、《武器裝備科研生產(chǎn)單位保密資格審查認(rèn)證管理辦法》、《武器裝備科研生產(chǎn)單位三級保密資格標(biāo)準(zhǔn)》等文件精神，結(jié)合本公司實際，特制定本安全策略文件。

信息系統(tǒng)安全策略文件是公司計算機和信息系統(tǒng)全體管理和使用人員必須遵循的信息安全行為準(zhǔn)則，由公司信息安全管理部門制訂及解釋，由公司保密委員會審批發(fā)布，并由信息安全管理部門組織公司全體人員學(xué)習(xí)與貫徹。

公司涉密計算機及信息系統(tǒng)涉及到存儲、傳輸、處理國家秘密、公司商業(yè)秘密和業(yè)務(wù)關(guān)鍵信息，關(guān)系到公司的形象和公司業(yè)務(wù)的持續(xù)運行，必須保證其安全。因此，必須從技術(shù)、管理、運行等方面制定確保涉密計算機和信息系統(tǒng)持續(xù)可靠運行的安全策略，做好安全保障。第二條 適用范圍

2.1本策略所稱的計算機和信息系統(tǒng)指公司所有通過計算機及信息系統(tǒng)存貯、處理或傳輸?shù)男畔⒓按尜A、處理或傳輸這些信息的硬件、軟件及固件。

2.2本策略適用于我單位信息系統(tǒng)資產(chǎn)和信息技術(shù)人員的安全管理，適用于指導(dǎo)我單位信息系統(tǒng)安全策略的制定、安全方案的規(guī)劃和安全建設(shè)的實施，適用于我單位安全管理體系中安全管理措施的選擇。第三條 目標(biāo)

本方針的目的是為本公司信息系統(tǒng)安全管理提供一個總體性架構(gòu)文件，該文件將指導(dǎo)本公司信息系統(tǒng)的安全管理體系建設(shè)。安全管理體系以實現(xiàn)統(tǒng)一的安全策略管理、提高整體的網(wǎng)絡(luò)與信息安全水平、確保安全控制措施落實到位、保障網(wǎng)絡(luò)通信暢通和業(yè)務(wù)系統(tǒng)的正常運營為建設(shè)目的。并通過一系列預(yù)防措施將信息安全可能受到的危害降到最低。信息安全管理應(yīng)在確保信息和計算機受到保護(hù)的同時，確保計算機和信息系統(tǒng)能夠在允許的范圍內(nèi)正常運行使用。

同時，本策略的目的也是讓所有員工能夠了解信息安全問題以及明確各自的信息安全職責(zé)，嚴(yán)格遵守本安全策略，并遵守國家相關(guān)的計算機或信息安全法律要求。

第四條 安全原則

(一)基于安全需求原則 技術(shù)部根據(jù)公司信息系統(tǒng)擔(dān)負(fù)的業(yè)務(wù)功能、積累的信息資產(chǎn)的重要性、可能受到的威脅及面臨的風(fēng)險分析安全需求，按照信息系統(tǒng)等級保護(hù)要求確定相應(yīng)的信息系統(tǒng)安全保護(hù)等級，遵從相應(yīng)等級的規(guī)范要求，從全局上平衡安全投入與效果；

(二)主要領(lǐng)導(dǎo)負(fù)責(zé)原則

主要領(lǐng)導(dǎo)應(yīng)確立統(tǒng)一的信息安全保障宗旨和政策，負(fù)責(zé)指導(dǎo)提高全員安全意識的教育方法、培養(yǎng)優(yōu)秀的安全技術(shù)隊伍、調(diào)動并優(yōu)化資源的配置、協(xié)調(diào)安全管理工作與各部門工作的關(guān)系，并確保其有效落實；

(三)全員參與原則

信息系統(tǒng)涉及的所有相關(guān)人員應(yīng)積極參與信息系統(tǒng)的安全管理，并與相關(guān)方面協(xié)調(diào)，共同保障信息系統(tǒng)的安全；

(四)系統(tǒng)方法原則

按照系統(tǒng)工程的要求，識別和理解信息安全保障相互關(guān)聯(lián)的層面和過程，采用管理和技術(shù)相結(jié)合的方法，保證安全保障工作的高效有序進(jìn)行；

(五)持續(xù)改進(jìn)原則

安全管理是一種動態(tài)反饋過程，貫穿整個安全管理的生存周期，隨著安全需求和系統(tǒng)脆弱性的時空分布變化，威脅程度的提高，系統(tǒng)環(huán)境的變化以及對系統(tǒng)安全認(rèn)識的深化等，應(yīng)及時地將現(xiàn)有的安全策略、風(fēng)險接受程度和保護(hù)措施進(jìn)行復(fù)查、修改、調(diào)整以至提升安全管理等級，維護(hù)和持續(xù)改進(jìn)信息安全管理體系的有效性；

(六)依法管理原則

信息安全管理工作主要體現(xiàn)為管理行為，應(yīng)保證信息系統(tǒng)安全管理主體合法、管理行為合法、管理內(nèi)容合法、管理程序合法。對安全事件的處理，應(yīng)由授權(quán)者適時發(fā)布準(zhǔn)確一致的有關(guān)信息，避免帶來不良的社會影響；

(七)分權(quán)和授權(quán)原則

對特定職能或責(zé)任領(lǐng)域的管理功能實施分離、獨立審計等實行分權(quán)，避免權(quán)力過分集中，帶來隱患，以減少未授權(quán)的修改或濫用系統(tǒng)資源的機會。任何實體（如用戶、管理員、進(jìn)程、應(yīng)用或系統(tǒng)）僅享有該實體需要完成其任務(wù)所必須的最小權(quán)限，不應(yīng)享有任何多余權(quán)限；(八)選用成熟技術(shù)原則

成熟的技術(shù)具有較好的可靠性和穩(wěn)定性，采用新技術(shù)時要重視其成熟度，并應(yīng)首先局部試點然后逐步推廣，以減少或避免可能出現(xiàn)的失誤；

(九)分等級保護(hù)原則

按等級劃分標(biāo)準(zhǔn)確定信息系統(tǒng)的安全保護(hù)等級，實行分等級保護(hù)；對多個子系統(tǒng)構(gòu)成的大型信息系統(tǒng)，確定系統(tǒng)的基本安全保護(hù)等級，并根據(jù)實際安全需求，分別確定各子系統(tǒng)的安全保護(hù)等級，實行多級安全保護(hù)；

(十)管理與技術(shù)并重原則

堅持積極防御和綜合防范相結(jié)合，全面提高信息系統(tǒng)安全防護(hù)能力，立足國情，采用管理科學(xué)性和技術(shù)前瞻性結(jié)合的方法，保障信息系統(tǒng)的安全性達(dá)到所要求的目標(biāo)；

(十一)自主保護(hù)和國家監(jiān)管結(jié)合原則

對信息系統(tǒng)安全實行自主保護(hù)和國家保護(hù)相結(jié)合。組織機構(gòu)要對自己的信息系統(tǒng)安全保護(hù)負(fù)責(zé)，相關(guān)部門有責(zé)任對信息系統(tǒng)的安全進(jìn)行指導(dǎo)、監(jiān)督和檢查，形成自管、自查、自評和國家監(jiān)管相結(jié)合的管理模式，提高信息系統(tǒng)的安全保護(hù)能力和水平，保障國家信息安全。

第八條 在規(guī)劃和建設(shè)信息系統(tǒng)時，信息系統(tǒng)安全防護(hù)措施應(yīng)按照“三同步”原則，與信息系統(tǒng)建設(shè)同步規(guī)劃、同步建設(shè)、同步投入運行。第五條 安全方針

信息系統(tǒng)安全建設(shè)堅持“安全第一、預(yù)防為主，管理和技術(shù)并重，綜合防范”的總體方針，依照總體安全防護(hù)策略，執(zhí)行信息系統(tǒng)安全等級保護(hù)制度，信息網(wǎng)絡(luò)實行涉密電腦與其他電腦物理隔離，公司內(nèi)、外網(wǎng)之間物理隔離的方法。第六條 安全組織機構(gòu)

保密委員會保密辦公室涉密部門4

定密小組6.1公司設(shè)立保密委員會，保密委員會主任由總經(jīng)理擔(dān)任，保密工作實行總經(jīng)理負(fù)責(zé)制，保密委員會由公司相關(guān)領(lǐng)導(dǎo)和部門主管組成，下設(shè)保密辦公室作為保密委員會的常設(shè)工作機構(gòu)，并配備保密員，配備系統(tǒng)管理員、安全保密管理員、安全審計員；設(shè)置定密工作小組，明確定密責(zé)任人，按“業(yè)務(wù)誰主管、保密工作誰負(fù)責(zé)”原則，各部門主管負(fù)責(zé)本部門的保密管理工作。

6.2技術(shù)部是信息系統(tǒng)安全管理的領(lǐng)導(dǎo)機關(guān)，負(fù)責(zé)領(lǐng)導(dǎo)信息安全管理體系的建立和信息安全管理的實施，主要包括：

? 提供清晰的指導(dǎo)方向，可見的管理支持，明確的信息安全職責(zé)授權(quán)； ? 審查、批準(zhǔn)信息安全策略和崗位職責(zé)； ? 審查業(yè)務(wù)關(guān)鍵安全事件；

? 批準(zhǔn)增強信息安全保障能力的關(guān)鍵措施和機制；

? 保證必要的資源分配，以實現(xiàn)數(shù)據(jù)有效性以及信息安全管理體系的持續(xù)發(fā)展。

6.3技術(shù)部具體負(fù)責(zé)建立和維持信息安全管理體系，協(xié)調(diào)相關(guān)活動，主要承擔(dān)如下職責(zé)：

? 調(diào)整并制定所有必要的信息安全管理規(guī)程、制度以及實施指南等； ? 提議并配合執(zhí)行信息安全相關(guān)的實施方法和程序，如風(fēng)險評估、信息管理分層等；

? 主動采取部門內(nèi)的信息安全措施，如安全意識培訓(xùn)及教育等； ? 配合執(zhí)行新系統(tǒng)或服務(wù)的特殊信息安全措施； ? 審查對信息安全策略的遵循性； ? 配合并參與安全評估事項；

? 根據(jù)信息安全管理體系的要求，定期向上級主管領(lǐng)導(dǎo)和保密委員會報告。

第七條 安全管理人員策略

為避免信息遭受人為過失、竊取、欺騙、濫用的風(fēng)險，應(yīng)當(dāng)識別信息系統(tǒng)系統(tǒng)內(nèi)部每項工作的信息安全職責(zé)并補充相關(guān)的程序文件。公司全體人員都應(yīng)該了解計算機及系統(tǒng)的網(wǎng)絡(luò)與信息安全需求，公司必須為全體人員提供足夠的培訓(xùn)以達(dá)到該安全目的，并為他們提供報告安全事件和威脅的渠道。7.1工作定義及資源的安全

工作人員從事或離開崗位時必須進(jìn)行信息安全考慮，相關(guān)的安全事項必須包括在工作描述或合同中。包括：

? 對涉及訪問秘密或關(guān)鍵信息，或者訪問處理這些信息的系統(tǒng)的工作人員應(yīng)進(jìn)行嚴(yán)格審查和挑選；

? 對信息系統(tǒng)具有特殊訪問權(quán)限的工作人員應(yīng)該簽署承諾，保證不會濫用權(quán)限；

? 當(dāng)工作人員離開公司時應(yīng)該移交信息系統(tǒng)的訪問權(quán)限，或工作人員在公司內(nèi)部更換工作崗位時應(yīng)該重新檢查并調(diào)整其訪問權(quán)限。7.2員工培訓(xùn)

公司全體人員應(yīng)了解計算機及信息系統(tǒng)的安全需求，并對如何安全地使用信息及相關(guān)系統(tǒng)和工具、信息安全策略和相關(guān)管理規(guī)定接受培訓(xùn)，熟悉信息安全的實施并加強安全意識。

7.3事件報告

必須建立有效的信息反饋渠道，以便于公司人員一旦發(fā)現(xiàn)安全威脅、事件和故障，能及時向有關(guān)領(lǐng)導(dǎo)報告。

7.4信息處理設(shè)備可接受的使用策略

公司禁止工作人員濫用計算機及信息系統(tǒng)的計算機資源，僅為工作人員提供工作所需的信息處理設(shè)備。公司所有人員對系統(tǒng)網(wǎng)絡(luò)和計算資源的使用（包括訪問互聯(lián)網(wǎng)）都必須遵守計算機及信息系統(tǒng)的安全策略和標(biāo)準(zhǔn)及所有適用的法律。

公司的計算機及信息系統(tǒng)應(yīng)能防止使用人員連接到訪問含有色情、種族歧視及其他不良內(nèi)容的網(wǎng)站及某些非業(yè)務(wù)網(wǎng)站。

包括但不限于以下例子是不可接受的使用行為：

? 使用信息系統(tǒng)資源故意從事影響他人工作和生活的行為。

? 工作人員通過信息系統(tǒng)的網(wǎng)絡(luò)服務(wù)及設(shè)備傳輸、存儲任何非法的、有威脅的、濫用的材料。

? 任何工作人員使用信息系統(tǒng)的計算機工具、設(shè)備和互聯(lián)網(wǎng)訪問服務(wù)來從事用于個人獲益的商業(yè)活動（如炒股）。

? 工作人員使用信息系統(tǒng)服務(wù)來參與任何政治或宗教活動。? 在沒有信息安全管理部門的事先允許或?qū)徟那闆r下，工作人員在使用的計算機中更改或安裝任何類型的計算機軟件和硬件。

? 在沒有信息安全管理部門的事先允許或?qū)徟那闆r下，工作人員拷貝、安裝、處理或使用任何未經(jīng)許可的軟件。7.5處理從互聯(lián)網(wǎng)下載的軟件和文件

必須使用病毒檢測軟件對所有通過互聯(lián)網(wǎng)（或任何其他公網(wǎng)）從信息系統(tǒng)之外的途徑獲得的軟件和文件進(jìn)行檢查，同時，在獲得這些軟件和文件之前，信息安全管理部門必須研究和確認(rèn)使用這些工具的必要性。

7.6工作人員保密協(xié)議

公司所有人員必須在開始工作前，親自簽訂信息系統(tǒng)保密協(xié)議。7.7知識產(chǎn)權(quán)權(quán)利

尊重互聯(lián)網(wǎng)上他人的知識產(chǎn)權(quán)。

公司工作人員在被雇傭期間使用公司系統(tǒng)資源開發(fā)或設(shè)計的產(chǎn)品，無論是以何種方式涉及業(yè)務(wù)、產(chǎn)品、技術(shù)、處理器、服務(wù)或研發(fā)的資產(chǎn)，都是公司的專有資產(chǎn)。

第八條 安全保密產(chǎn)品和工具

8.1安全保密產(chǎn)品

為了構(gòu)建計算機良好的安全保密環(huán)境，每臺涉密機都必須安裝有安全保密產(chǎn)品。通過硬件、軟件倆個方面多角度的保護(hù)涉密機的信息安全。

? 安全保密產(chǎn)品主要包括“三合一”安全系統(tǒng)、主機審計系統(tǒng)、防輻射干擾器等相關(guān)保密產(chǎn)品。

? 提供安全保密產(chǎn)品的單位必須具備相應(yīng)的保密資質(zhì)和相關(guān)產(chǎn)品的檢測證書；

? 任何需求安裝安全保密產(chǎn)品的部門，保密辦都須直接參與，并由保密辦辦理相關(guān)手續(xù)后，即可使用；

? 安全保密產(chǎn)品一旦安裝，未經(jīng)批準(zhǔn)任何人不可私自修改、卸載； ? 按照要求正確使用安全保密產(chǎn)品,如有問題可以隨時詢問計算機安全管理員；

? 凡是安全保密產(chǎn)品涉及到的USB-Key、遙控器、單項導(dǎo)入盒等，相關(guān)負(fù) 責(zé)人使用完畢后應(yīng)盡快放入密碼柜中妥善保管；

8.2安全保密檢查工具

公司配備保密檢查工具。通過保密檢查工具能夠及時的發(fā)現(xiàn)問題。第九條 物理和環(huán)境安全策略

計算機信息和其他用于存儲、處理或傳輸信息的物理設(shè)施，例如硬件、磁介質(zhì)、電纜等，對于物理破壞來說是易受攻擊的，同時也不可能完全消除這些風(fēng)險。因此，應(yīng)該將這些信息及物理設(shè)施放置于適當(dāng)?shù)沫h(huán)境中并在物理上給予保護(hù)使之免受安全威脅和環(huán)境危害。

9.1安全區(qū)域

根據(jù)信息安全的分層管理，應(yīng)將支持涉密信息或關(guān)鍵業(yè)務(wù)活動的信息技術(shù)設(shè)備放置在安全區(qū)域中。安全區(qū)域應(yīng)當(dāng)考慮物理安全邊界控制及有適當(dāng)?shù)倪M(jìn)出控制措施保護(hù)，安全區(qū)域防護(hù)等級應(yīng)當(dāng)與安全區(qū)域內(nèi)的信息安全等級一致，安全區(qū)域的訪問權(quán)限應(yīng)該被嚴(yán)格控制。

辦公區(qū)、生產(chǎn)區(qū)重要部位及通道設(shè)置紅外視頻監(jiān)控系統(tǒng)，出入通道設(shè)置管理員值守。

9.2設(shè)備安全

對支持涉密信息或關(guān)鍵業(yè)務(wù)過程（包括備份設(shè)備和存儲過程）的設(shè)備應(yīng)該適當(dāng)?shù)卦谖锢砩线M(jìn)行保護(hù)以避免安全威脅和環(huán)境危險。包括：

? 應(yīng)該對計算機介質(zhì)進(jìn)行控制，涉密機的USB-Key必須進(jìn)行物理保護(hù)； ? 涉密筆記本待用時，必須存放在密碼柜中；

? 對設(shè)備應(yīng)該進(jìn)行保護(hù)，定期檢查電源插排，防止電力異常而造成損壞等保護(hù)措施；

? 對計算機和設(shè)備環(huán)境應(yīng)該進(jìn)行監(jiān)控，檢查環(huán)境的影響因素，溫度和濕度是否超過正常界限（正常工作室溫：10℃—35℃；相對濕度:35%—80%）； ? 設(shè)備應(yīng)該按照生產(chǎn)商的說明進(jìn)行有序的維護(hù)與保養(yǎng)； 9.3物理訪問控制

信息安全管理部門應(yīng)建立訪問控制程序，控制并限制所有對計算計及信息系統(tǒng)計算、存儲和通訊系統(tǒng)設(shè)施的物理訪問。應(yīng)有合適的出入控制來保護(hù)安全場所，確保只允許授權(quán)的人員進(jìn)入。必須僅限公司工作人員和技術(shù)維護(hù)人員訪問公司辦 公場所、布線室、機房和計算基礎(chǔ)設(shè)施。

9.4建筑和環(huán)境的安全管理

為確保計算機處理設(shè)施能正確的、連續(xù)的運行，應(yīng)至少考慮及防范以下威脅：偷竊、火災(zāi)、溫度、濕度、水、電力供應(yīng)中斷、爆炸物、吸煙、灰塵、振動、化學(xué)影響等。

必須在安全區(qū)域建立環(huán)境狀況監(jiān)控機制，以監(jiān)控廠商建議范圍外的可能影響信息處理設(shè)施的環(huán)境狀況。應(yīng)在運營范圍內(nèi)安裝自動滅火系統(tǒng)。定期測試、檢查并維護(hù)環(huán)境監(jiān)控警告機制，并至少每年操作一次滅火設(shè)備。

9.5保密室、計算機房訪問記錄管理

保密室、計算機房應(yīng)設(shè)立物理訪問記錄，信息安全管理部門應(yīng)定期檢查物理訪問記錄本，以確保正確使用了這項控制。物理訪問記錄應(yīng)至少保留12個月，以便協(xié)助事件調(diào)查。應(yīng)經(jīng)信息安全管理部門批準(zhǔn)后才可以處置記錄，并應(yīng)用碎紙機處理。

第十條 運行管理策略

? 為避免信息遭受人為過失、竊取、欺騙、濫用的風(fēng)險，應(yīng)當(dāng)識別計算機及信息系統(tǒng)內(nèi)部每項工作的信息安全職責(zé)，并補充相關(guān)的程序文件。公司全體相關(guān)人員都應(yīng)該了解計算機及系統(tǒng)的網(wǎng)絡(luò)與信息安全需求。? 信息設(shè)備和存儲介質(zhì)應(yīng)當(dāng)具有標(biāo)識、涉密的應(yīng)當(dāng)標(biāo)明密級，非密的應(yīng)當(dāng)標(biāo)明用途；

? 涉密計算機應(yīng)當(dāng)與內(nèi)部非涉密網(wǎng)絡(luò)和互聯(lián)網(wǎng)計算機實行物理隔離； ? 只有指定的涉密人員才能訪問秘密、關(guān)鍵信息并處理這些信息； ? 禁止使用非涉密的計算機和存儲介質(zhì)存儲和處理涉密信息； ? 未經(jīng)保密辦審批，禁止對計算機系統(tǒng)格式化或重裝系統(tǒng)；

? 涉密人員在使用白名單軟件時可以自行修改安裝，但名單以外的軟件必須事先通過保密辦的審批；

? 當(dāng)涉密人員離開公司時應(yīng)該移交信息系統(tǒng)的訪問權(quán)限，或涉密人員在公司內(nèi)部更換工作崗位時應(yīng)該重新檢查并調(diào)整其訪問權(quán)限

第十一條 通訊和傳輸安全管理策略

計算機和信息系統(tǒng)所擁有的和使用的大多數(shù)信息都在計算機上進(jìn)行處理和 存儲。為了保護(hù)這些信息，需要使用安全且受控的方式管理和操作這些計算機，使它們擁有充分的資源。

11.1公司計算機網(wǎng)絡(luò)結(jié)構(gòu)

公司計算機及信息系統(tǒng)管理分為涉密計算機管理、內(nèi)部網(wǎng)絡(luò)（局域網(wǎng)）及計算機信息管理、互聯(lián)網(wǎng)計算機信息管理三個管理層次。

涉密計算機只能處理涉及國家秘密的信息，實行物理隔離管理，只能由公司涉密人員使用，由公司保密員管理。涉密計算機信息數(shù)據(jù)必須被保護(hù)以防止被泄漏、破壞或修改。

內(nèi)部網(wǎng)絡(luò)（局域網(wǎng)）及計算機配置加密管理措施，與互聯(lián)網(wǎng)隔離，配置保密管理措施，只能通過局域網(wǎng)傳輸、儲存技術(shù)文檔、軟件等涉及公司商業(yè)機密信息。上述信息必須定期備份進(jìn)行保護(hù)，以免破壞和非授權(quán)修改。

互聯(lián)網(wǎng)計算機主要處理來自于外部資源的普通信息，配置上網(wǎng)行為管理措施，同樣在信息安全防護(hù)上進(jìn)行安全考慮。

上述計算機及信息系統(tǒng)根據(jù)分層次管理的要求應(yīng)當(dāng)依據(jù)其分類進(jìn)行物理標(biāo)記。

由于公司計算機和信息系統(tǒng)采用三層管理模式，不排除聯(lián)接到外部網(wǎng)絡(luò)，計算機和信息系統(tǒng)的運行必須使用可控且安全的方式來管理，網(wǎng)絡(luò)軟件、數(shù)據(jù)和服務(wù)的完整性和可用性必須受到保護(hù)。第十二條 信息設(shè)備安全策略

為保護(hù)存儲計算機的數(shù)據(jù)信息的安全性、完整性、可用性，保護(hù)系統(tǒng)中的信息免受惡意的或偶然的篡改、偽造和竊取，有效控制內(nèi)部泄密的途徑，防范來自外部的破壞，制訂以下安全措施。

? 設(shè)置屏幕保護(hù)，要求設(shè)置保護(hù)時間為10分種，恢復(fù)時有密碼保護(hù)； ? 終端計算機禁止安裝多啟動操作系統(tǒng)，只能安裝一個操作系統(tǒng)； ? 及時安裝操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用程序的升級補??；

? 禁用終端危險服務(wù)（包括遠(yuǎn)程注冊表管理、共享服務(wù)、終端服務(wù)等）； ? 拆除便攜式移動計算機中具有無線聯(lián)網(wǎng)功能的硬件模塊； ? 涉密計算機應(yīng)配備電磁泄露發(fā)射防護(hù)裝置；

? 非涉密機向涉密機導(dǎo)入信息時，必須通過涉密中間機轉(zhuǎn)換，然后通過三 合一設(shè)備導(dǎo)入涉密計算機；

? 涉密機之間導(dǎo)入導(dǎo)出信息時，須采用一次性寫入光盤，也可申請使用單項導(dǎo)入設(shè)備；

第十三條 存儲設(shè)備安全

應(yīng)該對存儲介質(zhì)進(jìn)行控制，如果必要的話需要進(jìn)行物理保護(hù)： ? 可移動的計算機介質(zhì)應(yīng)該受控；

? 應(yīng)該制定并遵守處理包含機密或關(guān)鍵數(shù)據(jù)的介質(zhì)的規(guī)程； ? 與計算相關(guān)的介質(zhì)應(yīng)該在不再需要時被妥善處理。第十四條 操作安全策略

14.1操作規(guī)程和職責(zé)

應(yīng)該制定管理和操作所有計算機和網(wǎng)絡(luò)所必須的職責(zé)和規(guī)程，來指導(dǎo)正確的和安全的操作。這些規(guī)程包括：

? 數(shù)據(jù)文件處理規(guī)程，包括驗證網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)；

? 對所有計劃好的系統(tǒng)開發(fā)、維護(hù)和測試工作的變更管理規(guī)程； ? 為意外事件準(zhǔn)備的錯誤處理和意外事件處理規(guī)程；

? 問題管理規(guī)程，包括記錄所有網(wǎng)絡(luò)問題和解決辦法（包括怎樣處理和誰處理）； ? 事故管理規(guī)程；

? 為所有新的或變更的硬件或軟件，制定包括性能、可用性、可靠性、可控性、可恢復(fù)性和錯誤處理能力等方面的測試/評估規(guī)程；

? 日常管理活動，例如啟動和關(guān)閉規(guī)程，數(shù)據(jù)備份，設(shè)備維護(hù)，計算機和網(wǎng)絡(luò)管理，安全方法或需求；

? 當(dāng)出現(xiàn)意外操作或技術(shù)難題時的技術(shù)支持。14.2操作變更控制

對信息處理設(shè)施和系統(tǒng)控制不力是導(dǎo)致系統(tǒng)或安全故障的常見原因，所以應(yīng)該控制對信息處理設(shè)施和系統(tǒng)的變動。應(yīng)落實正式的管理責(zé)任和措施，確保對設(shè)備、軟件或程序的所有變更得到滿意的控制。

14.3操作人員日志

操作人員應(yīng)保留日志記錄。根據(jù)需要，日志記錄應(yīng)包括： ? 系統(tǒng)及應(yīng)用啟動和結(jié)束時間； ? 系統(tǒng)及應(yīng)用錯誤和采取的糾正措施； ? 所處理的數(shù)據(jù)文件和計算機輸出； ? 操作日志建立和維護(hù)的人員名單。14.4錯誤日志記錄

對錯誤及時報告并采取措施予以糾正。應(yīng)記錄報告的關(guān)于信息處理錯誤或通信系統(tǒng)故障。應(yīng)有一個明確的處理錯誤報告的規(guī)則，包括：1）審查錯誤日志，確保錯誤已經(jīng)得到滿意的解決；2）審查糾正措施，確保沒有違反控制措施，并且采取的行動都得到充分的授權(quán)。

14.5病毒防范策略

病毒防范包括預(yù)防和檢查病毒（包括實時掃描/過濾和定期檢查），主要內(nèi)容包括：

? 控制病毒入侵途徑，外來資料必須進(jìn)過安全殺毒后才能使用； ? 安裝可靠的防病毒軟件，公司殺毒軟件使用360殺毒系統(tǒng)；

? 對系統(tǒng)進(jìn)行實時檢測和過濾，執(zhí)行檢測和過濾的過程以自查為主，發(fā)現(xiàn)問題及時向計算機管理員報告；

? 定期殺毒并及時查殺計算機安全管理員應(yīng)及時對發(fā)現(xiàn)的病毒進(jìn)行處理并記錄，查殺不了的及時向有關(guān)部門報告； ? 防病毒軟件的安裝和使用由計算機安全管理員執(zhí)行；

嚴(yán)格控制盜版軟件及其它第三方軟件的使用，必要時，在運行前先對其進(jìn)行病毒檢查。

第十五條 訪問控制策略

為了保護(hù)計算機系統(tǒng)中信息不被非授權(quán)的訪問、操作或破壞，必須對信息系統(tǒng)和數(shù)據(jù)實行控制訪問。

計算機系統(tǒng)控制訪問包括建立和使用正式的規(guī)程來分配權(quán)限，并培訓(xùn)工作人員安全地使用系統(tǒng)。對系統(tǒng)進(jìn)行監(jiān)控檢查是否遵守所制定的規(guī)程。

計算機訪問控制

應(yīng)該根據(jù)相關(guān)國家法律的要求和指導(dǎo)方針控制對信息系統(tǒng)和數(shù)據(jù)的訪問： ? 計算機活動應(yīng)可以被追蹤到人； ? 訪問所有多用戶計算機系統(tǒng)應(yīng)有正式的用戶登記和注銷規(guī)程； ? 應(yīng)使用有效的訪問系統(tǒng)來鑒別用戶； ? 應(yīng)通過安全登錄進(jìn)程訪問多用戶計算機系統(tǒng)； ? 特殊權(quán)限的分配應(yīng)被安全地控制；

? 用戶選擇和使用密碼時應(yīng)慎重參考良好的安全慣例； ? 用戶應(yīng)確保無人看管的設(shè)備受到了適當(dāng)?shù)陌踩Ｗo(hù)； ? 應(yīng)根據(jù)系統(tǒng)的重要性制定監(jiān)控系統(tǒng)的使用規(guī)程。? 必須維護(hù)監(jiān)控系統(tǒng)安全事件的審計跟蹤記錄； ? 為準(zhǔn)確記錄安全事件，計算機時鐘應(yīng)被同步。第十六條 導(dǎo)入導(dǎo)出策略

? 輸入輸出應(yīng)實行“集中管理、有效控制、過程審計”的管理原則； ? 涉密中間機、涉密打印機、涉密一體機、涉密計算機，只可單一方向?qū)牖驅(qū)С觯?/p>

? 掃描輸入時須由部門領(lǐng)導(dǎo)審批，完成后保密辦收回紙介質(zhì)；

? 電子文檔錄入時須經(jīng)部門領(lǐng)導(dǎo)同意，才可將電子信息輸入到固定文件夾內(nèi)；

? 電子輸出時只可采取一次性光盤導(dǎo)出，或者申請單導(dǎo)設(shè)備。寫入光盤時須粘貼條碼，標(biāo)識光盤密級；

? 涉密信息打印時須經(jīng)領(lǐng)導(dǎo)同意，打印完成后做涉密載體登記 第十七條 備份與恢復(fù)策略

定義計算機及信息系統(tǒng)備份與恢復(fù)應(yīng)該采用的基本措施： ? 建立有效的備份與恢復(fù)機制；

? 定期檢測自動備份系統(tǒng)是否正常工作；

? 明確備份的操作人員職責(zé)、工作流程和工作審批制度； ? 建立完善的備份工作操作技術(shù)文檔；

? 明確恢復(fù)的操作人員職責(zé)、工作流程和工作審批制度； ? 建立完善的恢復(fù)工作操作技術(shù)文檔； ? 針對建立的備份與恢復(fù)機制進(jìn)行演習(xí)； ? 對備份的類型和恢復(fù)的方式進(jìn)行明確的定義； ? 妥善保管備份介質(zhì)。第十八條 設(shè)備維修策略

涉密計算機及相關(guān)設(shè)備維修，應(yīng)當(dāng)在本單位內(nèi)部現(xiàn)場進(jìn)行，并指定專人全程監(jiān)督，嚴(yán)禁維修人員讀取和復(fù)制涉密信息；確需送外維修的，應(yīng)當(dāng)拆除涉密信息存儲部件。選擇本系統(tǒng)涉密單位或者保密行政管理部門批準(zhǔn)或授權(quán)的維修機構(gòu),并由信息化管理部門與維修單位簽訂維修合同和保密協(xié)議。特殊設(shè)備維修,由單位制定相應(yīng)制度與措施,履行審批手續(xù),滿足旁站陪同等保密要求。無法拆除硬件和固件的,一般不得送修。第十九條設(shè)備報廢策略

涉密計算機及相關(guān)設(shè)備不再用于處理涉密信息或報廢時，應(yīng)當(dāng)將涉密信息存儲部件拆除或及時銷毀。

計算機、打印機等信息設(shè)備的主板、內(nèi)存、顯卡等不能進(jìn)行信息清除,只能做報廢銷毀處理。銷毀前,應(yīng)當(dāng)將待銷毀設(shè)備與清單一一核對,經(jīng)保密辦公室部門指定的銷毀機構(gòu)進(jìn)行銷毀。單位自行銷毀的,應(yīng)當(dāng)保存銷毀清單和相關(guān)記錄,對涉密信息設(shè)備和涉密存儲設(shè)備的名稱、等級、序列號、經(jīng)辦人、采取的銷毀方法和控制措施,以及銷毀后殘留物的最終去向等情況詳細(xì)記錄并存檔。

涉密硒鼓屬于涉密外部設(shè)施設(shè)備，應(yīng)履行審批手續(xù),逐一登記有關(guān)要素信息，送國家保密行政管理部門指定的銷毀機構(gòu)進(jìn)行銷毀。銷毀證明和清單應(yīng)當(dāng)妥善保存。同時,拆下的報廢硒鼓應(yīng)當(dāng)建立臺賬，粘貼標(biāo)識，集中管理，統(tǒng)按照保密要求進(jìn)行報廢和銷毀處理。

第二十條 風(fēng)險管理及安全審計策略

信息安全審計及風(fēng)險管理對于幫助公司識別和理解信息被攻擊、更改和不可用所帶來的（直接和間接的）潛在業(yè)務(wù)影響來說至關(guān)重要。所有信息內(nèi)容和信息技術(shù)過程應(yīng)通過信息安全審計活動及風(fēng)險評估活動來識別與它們相關(guān)的安全風(fēng)險并執(zhí)行適當(dāng)?shù)陌踩珜Σ摺?/p>

計算機及信息系統(tǒng)的信息安全審計活動和風(fēng)險評估應(yīng)當(dāng)定期執(zhí)行。特別是系統(tǒng)建設(shè)前或系統(tǒng)進(jìn)行重大變更前，必須進(jìn)行風(fēng)險評估工作。

涉密信息設(shè)備每季度審計一次； 內(nèi)部計算機每半年審計一次； 互聯(lián)網(wǎng)計算機每季度審計一次。

安全審計內(nèi)容主要內(nèi)容包括：；策略改動、登錄/注銷、系統(tǒng)事件、詳細(xì)追蹤、賬戶登錄和賬戶管理、文件拷貝、文件打印、U盤操作、網(wǎng)絡(luò)連接、上網(wǎng)、文件操作、安全事件、應(yīng)用程序事件等，并形成文檔化的信息安全審計報告。

信息安全風(fēng)險評估應(yīng)當(dāng)至少1年一次，可由公司自己組織進(jìn)行或委托有信息系統(tǒng)風(fēng)險評估資質(zhì)的第三方機構(gòu)進(jìn)行。信息安全風(fēng)險評估必須形成文檔化的風(fēng)險評估報告。

第二十一條 信息系統(tǒng)應(yīng)急計劃和響應(yīng)策略

21.1信息應(yīng)急計劃和響應(yīng)的必要性

應(yīng)該制定和實施應(yīng)急計劃和響應(yīng)管理程序，將預(yù)防和恢復(fù)控制措施相結(jié)合，將災(zāi)難和安全故障（可能是由于自然災(zāi)害、事故、設(shè)備故障和蓄意破壞等引起）造成的影響降低到可以接受的水平。

應(yīng)該分析災(zāi)難、安全故障和服務(wù)損失的后果。制定和實施應(yīng)急計劃，確保能夠在要求的時間內(nèi)恢復(fù)業(yè)務(wù)的流程。應(yīng)該維護(hù)和執(zhí)行此類計劃，使之成為其它所有管理程序的一部分。

21.2應(yīng)急計劃和響應(yīng)管理程序

應(yīng)該在整個計算機信息系統(tǒng)內(nèi)部制定應(yīng)急計劃和響應(yīng)的管理流程。包括以下主要內(nèi)容：

? 考慮突發(fā)事件的可能性和影響。

? 了解中斷信息系統(tǒng)服務(wù)可能對業(yè)務(wù)造成的影響（必須找到適當(dāng)?shù)慕鉀Q方案，正確處理較小事故以及可能威脅組織生存的大事故），并確定信息處理設(shè)施的業(yè)務(wù)目標(biāo)。

? 適當(dāng)考慮風(fēng)險處理措施，可以將其作為業(yè)務(wù)連續(xù)性程序的一部分。? 定期對應(yīng)急計劃和響應(yīng)程序進(jìn)行檢查和進(jìn)行必要的演練，確保其始終有效。

? 適當(dāng)?shù)貙夹g(shù)人員進(jìn)行培訓(xùn)，讓他們了解包括危機管理在內(nèi)的應(yīng)急程序。

第二十二條 遵循性

計算機及信息系統(tǒng)必須遵守國家法律和法規(guī)的要求。公司所有工作人員都有責(zé)任學(xué)習(xí)、理解并遵守安全策略，以確保公司敏感信息的安全。對違反安全策略的行為，根據(jù)事件性質(zhì)和違規(guī)的嚴(yán)重程度，采取相應(yīng)的處罰措施。信息安全管理部門應(yīng)根據(jù)違規(guī)的嚴(yán)重程度向相關(guān)領(lǐng)導(dǎo)提出建議懲罰措施。除本安全策略中涉及的要求之外，所有部門和工作人員同樣需要遵守相關(guān)國家法律和法規(guī)的要求。

計算機和信息系統(tǒng)安全策略文件由信息安全管理部門負(fù)責(zé)制定和解釋，由公司保密委員會審批發(fā)布。

公司已存在的但內(nèi)容與本安全策略文件不符的管理規(guī)定，應(yīng)以本安全策略的要求為準(zhǔn)，并參考本安全策略及時進(jìn)行修訂。

第二篇：涉密信息系統(tǒng)資質(zhì)保密標(biāo)準(zhǔn)

涉密信息系統(tǒng)集成資質(zhì)保密標(biāo)準(zhǔn) 適用范圍

本保密標(biāo)準(zhǔn)適用于涉密信息系統(tǒng)集成資質(zhì)申請、審查與資質(zhì)單位日常保密管理。定義

2.1 本標(biāo)準(zhǔn)所稱涉密人員，是指由于工作需要，在涉密信息系統(tǒng)集成崗位合法接觸、知悉和經(jīng)管國家秘密事項的人員。

2.2 本標(biāo)準(zhǔn)所稱涉密載體，主要指以文字、數(shù)據(jù)、符號、圖形、圖像、聲音等方式記載國家秘密信息的紙介質(zhì)、磁介質(zhì)、光盤等各類物品。磁介質(zhì)載體包括計算機硬盤、軟盤和錄音帶、錄像帶等。

2.3 本標(biāo)準(zhǔn)所稱信息系統(tǒng)是指由計算機及其相關(guān)和配套設(shè)備、設(shè)施構(gòu)成的，按照一定的應(yīng)用目標(biāo)和規(guī)則存儲、處理、傳輸信息的系統(tǒng)或者網(wǎng)絡(luò)。

2.4 本標(biāo)準(zhǔn)所稱信息設(shè)備是指計算機及存儲介質(zhì)、打印機、傳真機、復(fù)印機、掃描儀、照相機、攝像機等具有信息存儲和處理功能的設(shè)備。

保密標(biāo)準(zhǔn)

3.1 保密標(biāo)準(zhǔn)實施原則

3.1.1 積極防范，突出重點，嚴(yán)格標(biāo)準(zhǔn)，依法管理。3.1.2 業(yè)務(wù)工作誰主管，保密工作誰負(fù)責(zé)，保密責(zé)任落實到人。

3.1.3 具備健全的管理體系，保密管理與生產(chǎn)經(jīng)營管理相融合。

3.1.4 開展保密風(fēng)險評估與管理。3.1.5 建立保密管理的持續(xù)改進(jìn)機制。3.2 保密組織機構(gòu)及職責(zé) 3.2.1 保密工作領(lǐng)導(dǎo)小組

3.2.1.1 資質(zhì)單位應(yīng)當(dāng)成立保密工作領(lǐng)導(dǎo)小組，為本單位保密工作領(lǐng)導(dǎo)機構(gòu)。

甲級資質(zhì)單位應(yīng)當(dāng)設(shè)置專職保密總監(jiān)，保密總監(jiān)為單位領(lǐng)導(dǎo)班子成員。

3.2.1.2 甲級資質(zhì)單位保密工作領(lǐng)導(dǎo)小組由單位法定代表人（或主要負(fù)責(zé)人）、保密總監(jiān)和有關(guān)部門主要負(fù)責(zé)人組成。組長由法定代表人（或主要負(fù)責(zé)人）擔(dān)任，副組長由保密總監(jiān)擔(dān)任，保密工作領(lǐng)導(dǎo)小組各成員應(yīng)當(dāng)有明確的職責(zé)分工。

乙級資質(zhì)單位保密工作領(lǐng)導(dǎo)小組由單位法定代表人（或主要負(fù)責(zé)人）、分管保密工作負(fù)責(zé)人和有關(guān)部門主要負(fù)責(zé)人組成。組長由法定代表人（或主要負(fù)責(zé)人）擔(dān)任，副組長由分管保密工作負(fù)責(zé)人擔(dān)任，保密工作領(lǐng)導(dǎo)小組各成員應(yīng)當(dāng)有明確的職責(zé)分工。

3.2.1.3 保密工作領(lǐng)導(dǎo)小組實行例會制度。例會應(yīng)當(dāng)組織學(xué)習(xí)黨和國家保密工作方針政策及相關(guān)保密法律法規(guī)；研究部署、總結(jié)本單位的保密工作；解決保密工作中的重要問題。例會每年不少于2次，會議應(yīng)當(dāng)作記錄并形成會議紀(jì)要。

3.2.1.4 法定代表人（或主要負(fù)責(zé)人）為本單位保密工作第一責(zé)任人，對本單位保密工作負(fù)全面責(zé)任，履行下列職責(zé)：

（1）保證國家相關(guān)保密法律法規(guī)在本單位貫徹落實；（2）監(jiān)督檢查保密工作責(zé)任制的落實情況，解決保密工作中的重要問題；

（3）審核、簽發(fā)單位保密管理制度；

（4）為保密工作提供人力、財力、物力等條件保障。3.2.1.5 保密總監(jiān)或者分管保密工作負(fù)責(zé)人對本單位保密工作負(fù)具體領(lǐng)導(dǎo)和監(jiān)督責(zé)任，履行下列職責(zé)：

（1）組織制定單位保密管理制度、保密工作計劃，審定保密工作總結(jié)；

（2）監(jiān)督保密工作計劃落實情況，組織保密檢查；（3）為保密管理辦公室和保密管理人員履行職責(zé)提供保障。

3.2.1.6 涉密信息系統(tǒng)集成業(yè)務(wù)部門負(fù)責(zé)人對本部門的保密管理負(fù)直接領(lǐng)導(dǎo)責(zé)任，履行下列職責(zé)：

（1）嚴(yán)格按照工作需要，控制業(yè)務(wù)人員在工作中知悉涉密信息的范圍和程度；

（2）組織開展保密風(fēng)險評估，修訂生產(chǎn)管理制度，優(yōu)化業(yè)務(wù)流程，制定保密工作方案，落實保密風(fēng)險防控措施；

（3）監(jiān)督檢查涉密信息系統(tǒng)集成業(yè)務(wù)管理和保密制度執(zhí)行情況，督促業(yè)務(wù)人員履行保密職責(zé)；

（4）及時發(fā)現(xiàn)、研究解決保密管理中存在的問題。3.2.2 保密管理辦公室

3.2.2.1 資質(zhì)單位應(yīng)當(dāng)設(shè)立保密管理辦公室，為本單位的職能部門，負(fù)責(zé)人由中層以上管理人員擔(dān)任。

甲級資質(zhì)單位保密管理辦公室應(yīng)當(dāng)為專門機構(gòu)并配備專門的保密管理人員，乙級資質(zhì)單位可指定有關(guān)機構(gòu)承擔(dān)保密管理辦公室職能。

3.2.2.2 保密管理辦公室負(fù)責(zé)本單位保密工作的日常管理，履行下列職責(zé)：

（1）組織落實保密工作領(lǐng)導(dǎo)小組的工作部署，提出工作建議，擬定工作計劃、總結(jié)；

（2）制定、修訂保密制度；（3）參與單位各項管理制度的制定、修訂工作；（4）審查、確定保密要害部門部位，指導(dǎo)、監(jiān)督保密設(shè)施設(shè)備的建設(shè)、使用和維護(hù)管理；

（5）組織開展保密宣傳教育和培訓(xùn)；

（6）對涉密人員履行保密職責(zé)情況進(jìn)行指導(dǎo)監(jiān)督；（7）對本單位各部門保密管理有關(guān)情況進(jìn)行指導(dǎo)監(jiān)督；（8）組織開展保密檢查，針對存在的問題提出整改意見，并督促落實；

（9）報告、配合查處泄密事件；（10）管理保密工作檔案；

（11）承辦保密資質(zhì)申請、延續(xù)、審查、事項變更登記等工作；

（12）承辦保密工作領(lǐng)導(dǎo)小組交辦的其他任務(wù)。3.2.2.3 保密管理人員應(yīng)當(dāng)具備下列條件：（1）具備良好的政治素質(zhì)；

（2）熟悉保密法律法規(guī)，掌握保密知識技能，具有一定的管理能力；

（3）熟悉本單位業(yè)務(wù)工作和保密工作情況；（4）通過保密行政管理部門組織的培訓(xùn)和考核。3.3 保密制度

3.3.1 資質(zhì)單位應(yīng)當(dāng)建立規(guī)范、操作性強的保密制度，并根據(jù)實際情況及時修訂完善。保密制度的具體要求應(yīng)當(dāng)體現(xiàn)在單位相關(guān)管理制度和業(yè)務(wù)工作流程中。

3.3.2 保密制度包括以下主要方面：（1）保密工作機構(gòu)設(shè)置與職責(zé)；（2）保密教育培訓(xùn)；（3）涉密人員管理；（4）涉密載體管理；

（5）信息系統(tǒng)、信息設(shè)備和保密設(shè)施設(shè)備管理；（6）涉密信息系統(tǒng)集成場所等保密要害部位管理；（7）涉密項目實施現(xiàn)場管理；（8）保密監(jiān)督檢查；（9）保密工作考核與獎懲；（10）泄密事件報告與查處；（11）保密風(fēng)險評估與管理；（12）資質(zhì)證書使用與管理。3.4 保密風(fēng)險評估與管理

3.4.1 資質(zhì)單位應(yīng)當(dāng)定期對系統(tǒng)集成業(yè)務(wù)、人員、資產(chǎn)、場所等主要管理活動進(jìn)行保密風(fēng)險評估。各業(yè)務(wù)部門應(yīng)當(dāng)按照業(yè)務(wù)流程對保密風(fēng)險進(jìn)行識別、分析和評估，提出具體防控措施。

3.4.2 資質(zhì)單位應(yīng)當(dāng)將國家保密法規(guī)和標(biāo)準(zhǔn)要求、保密風(fēng)險防控措施融入到管理制度和業(yè)務(wù)工作流程中，并建立相應(yīng)的監(jiān)督檢查機制。

3.5 涉密人員管理

3.5.1 資質(zhì)單位應(yīng)當(dāng)對從事涉密業(yè)務(wù)的人員進(jìn)行審查，符合條件的方可將其確定為涉密人員。涉密人員應(yīng)當(dāng)通過保密教育培訓(xùn)，并簽訂保密承諾書后方能上崗。

3.5.2 涉密人員應(yīng)當(dāng)保守國家秘密，嚴(yán)格遵守各項保密規(guī)章制度，并符合以下基本條件：

（1）遵紀(jì)守法，具有良好的品行，無犯罪記錄；（2）資質(zhì)單位正式職工，并在其他單位無兼職；（3）社會關(guān)系清楚，本人及其配偶為中國境內(nèi)公民。3.5.3 涉密人員根據(jù)所在崗位涉密情況分為核心、重要、一般三個等級，實行分類管理。涉密等級發(fā)生變化時，應(yīng)當(dāng)履行審批程序。

3.5.4 資質(zhì)單位與涉密人員簽訂的勞動合同或補充協(xié)議，應(yīng)當(dāng)包括以下內(nèi)容：

（1）涉密人員的權(quán)利與義務(wù)；

（2）涉密人員應(yīng)當(dāng)遵守的保密紀(jì)律和有關(guān)限制性規(guī)定；（3）因履行保密職責(zé)導(dǎo)致涉密人員利益受到損害，資質(zhì)單位給予補償?shù)囊?guī)定；

（4）涉密人員因違反保密規(guī)定而被無條件調(diào)離涉密崗位或給予辭退等處罰的規(guī)定；

（5）因認(rèn)真履行保密職責(zé)，資質(zhì)單位給予涉密人員獎勵的規(guī)定；

（6）涉密人員應(yīng)當(dāng)遵守的其他有關(guān)事項。

3.5.5 資質(zhì)單位應(yīng)當(dāng)將涉密人員基本情況和調(diào)整變動情況向所在地省、自治區(qū)、直轄市保密行政管理部門備案。

3.5.6 在崗涉密人員每年參加保密教育與保密知識、技能培訓(xùn)的時間不少于10個學(xué)時。

3.5.7 資質(zhì)單位應(yīng)當(dāng)對在崗涉密人員進(jìn)行定期考核評價。

3.5.8 資質(zhì)單位應(yīng)當(dāng)向涉密人員發(fā)放保密補貼。3.5.9 涉密人員離崗離職須經(jīng)資質(zhì)單位保密審查，簽訂保密承諾書，并按相關(guān)保密規(guī)定實行脫密期管理。

3.5.10 涉密人員因私出國（境）的，應(yīng)當(dāng)經(jīng)資質(zhì)單位同意，出國（境）前應(yīng)當(dāng)經(jīng)過保密教育。擅自出境或逾期不歸的，資質(zhì)單位應(yīng)當(dāng)及時報告保密行政管理部門。

3.5.11 涉密人員泄露國家秘密或嚴(yán)重違反保密規(guī)章制度的，應(yīng)當(dāng)調(diào)離涉密崗位，并追究其法律責(zé)任。

3.6 涉密載體管理

3.6.1 資質(zhì)單位應(yīng)當(dāng)按照工作需要，嚴(yán)格控制涉密載體的接觸范圍和涉密信息的知悉程度。3.6.2 資質(zhì)單位應(yīng)當(dāng)建立涉密載體臺帳，臺帳應(yīng)當(dāng)包括載體名稱、編號、密級、保密期限等信息。

3.6.3 接收、制作、交付、傳遞、保存、維修、銷毀涉密載體，應(yīng)當(dāng)遵守國家相關(guān)保密規(guī)定，履行簽收、登記、審批手續(xù)。

3.6.4 復(fù)制本單位產(chǎn)生的涉密載體，應(yīng)當(dāng)經(jīng)單位相關(guān)部門審批；復(fù)制其他涉密載體，應(yīng)當(dāng)經(jīng)涉密載體制發(fā)機關(guān)、單位或所在地省、自治區(qū)、直轄市保密行政管理部門批準(zhǔn)。涉密載體復(fù)制場所應(yīng)當(dāng)符合保密要求，采取可靠的保密措施；不具備復(fù)制條件的，應(yīng)當(dāng)?shù)奖Ｃ苄姓芾聿块T審查批準(zhǔn)的定點單位復(fù)制。

3.6.5 機密、秘密級涉密載體應(yīng)當(dāng)存放在密碼文件柜中，絕密級涉密載體應(yīng)當(dāng)存放在密碼保險柜中。存放場所應(yīng)當(dāng)符合保密要求。

3.6.6 未經(jīng)批準(zhǔn)，個人不得私自留存涉密載體和涉密信息資料。確因工作需要保存的，應(yīng)當(dāng)建立個人臺帳，內(nèi)容包括載體密級、留存原因、審批部門或人員、留存期限等內(nèi)容。

3.6.7 攜帶涉密載體外出，應(yīng)當(dāng)履行審批手續(xù)，采取可靠的保密措施，并確保涉密載體始終處于攜帶人的有效控制下。

3.6.8 資質(zhì)單位應(yīng)當(dāng)定期對涉密載體進(jìn)行清查。需要銷毀的涉密載體應(yīng)當(dāng)履行清點、登記、審批手續(xù)，送交保密行政管理部門設(shè)立的銷毀工作機構(gòu)或者保密行政管理部門指定的單位銷毀；確因工作需要，自行銷毀少量秘密載體的，應(yīng)當(dāng)使用符合國家保密標(biāo)準(zhǔn)的銷毀設(shè)備和方法。

3.7 信息系統(tǒng)與信息設(shè)備管理

3.7.1 涉密信息系統(tǒng)的規(guī)劃、建設(shè)、使用等應(yīng)當(dāng)符合國家有關(guān)保密規(guī)定。涉密信息系統(tǒng)應(yīng)當(dāng)按照國家保密規(guī)定和標(biāo)準(zhǔn)，制定分級保護(hù)方案，采取身份鑒別、訪問控制、安全審計、邊界安全防護(hù)、信息流轉(zhuǎn)控制等安全保密防護(hù)措施。

3.7.2 涉密信息設(shè)備應(yīng)當(dāng)符合國家保密標(biāo)準(zhǔn)，有密級、編號、責(zé)任人標(biāo)識，并建立管理臺帳。

3.7.3 涉密計算機、移動存儲介質(zhì)應(yīng)當(dāng)按照存儲、處理信息的最高密級進(jìn)行管理與防護(hù)。

3.7.4 涉密信息設(shè)備的使用應(yīng)當(dāng)符合相關(guān)保密規(guī)定。禁止涉密信息設(shè)備接入互聯(lián)網(wǎng)及其他公共信息網(wǎng)絡(luò)；禁止涉密信息設(shè)備接入內(nèi)部非涉密信息系統(tǒng)；禁止使用非涉密信息設(shè)備和個人設(shè)備存儲、處理涉密信息；禁止超越計算機、移動存儲介質(zhì)的涉密等級存儲、處理涉密信息；禁止在涉密計算機和非涉密計算機之間交叉使用移動存儲介質(zhì)；禁止在涉密計算機與非涉密計算機之間共用打印機、掃描儀等信息設(shè)備。3.7.5 涉密信息設(shè)備應(yīng)當(dāng)采取身份鑒別、訪問控制、違規(guī)外聯(lián)監(jiān)控、安全審計、移動存儲介質(zhì)管控等安全保密措施，并及時升級病毒和惡意代碼樣本庫，定期進(jìn)行病毒和惡意代碼查殺。

3.7.6 采購安全保密產(chǎn)品應(yīng)當(dāng)選用經(jīng)過國家保密行政管理部門授權(quán)機構(gòu)檢測、符合國家保密標(biāo)準(zhǔn)要求的產(chǎn)品，計算機病毒防護(hù)產(chǎn)品應(yīng)當(dāng)選用公安機關(guān)批準(zhǔn)的國產(chǎn)產(chǎn)品，密碼產(chǎn)品應(yīng)當(dāng)選用國家密碼管理部門批準(zhǔn)的產(chǎn)品。

3.7.7 涉密信息打印、刻錄等輸出應(yīng)當(dāng)相對集中、有效控制，并采取相應(yīng)審計措施。

3.7.8 涉密計算機及辦公自動化設(shè)備應(yīng)當(dāng)拆除具有無線聯(lián)網(wǎng)功能的硬件模塊，禁止使用具有無線互聯(lián)功能或配備無線鍵盤、無線鼠標(biāo)等無線外圍裝置的信息設(shè)備處理國家秘密。

3.7.9 涉密信息設(shè)備的維修，應(yīng)當(dāng)在本單位內(nèi)部進(jìn)行，并指定專人全程監(jiān)督，嚴(yán)禁維修人員讀取或復(fù)制涉密信息。確需送外維修的，須拆除涉密信息存儲部件。涉密存儲介質(zhì)的數(shù)據(jù)恢復(fù)應(yīng)當(dāng)?shù)絿冶Ｃ苄姓芾聿块T批準(zhǔn)的單位進(jìn)行。

3.7.10 涉密信息設(shè)備改作非涉密信息設(shè)備使用或淘汰處理時，應(yīng)當(dāng)將涉密信息存儲部件拆除。淘汰處理涉密存儲介質(zhì)和涉密信息存儲部件，應(yīng)當(dāng)按照國家秘密載體銷毀有關(guān)規(guī)定執(zhí)行。

3.7.11 涉密計算機及移動存儲介質(zhì)攜帶外出應(yīng)履行審批手續(xù)，帶出前和帶回后，均應(yīng)當(dāng)進(jìn)行保密檢查。

3.8 涉密辦公場所保密管理

3.8.1 資質(zhì)單位的涉密辦公場所應(yīng)當(dāng)固定在相對獨立的樓層或區(qū)域。

3.8.2 涉密辦公場所應(yīng)當(dāng)安裝門禁、視頻監(jiān)控、防盜報警等安防系統(tǒng)，實行封閉式管理。監(jiān)控機房應(yīng)當(dāng)安排人員值守。

3.8.3 建立視頻監(jiān)控的管理檢查機制，資質(zhì)單位安全保衛(wèi)部門應(yīng)當(dāng)定期對視頻監(jiān)控信息進(jìn)行回看檢查，保密管理辦公室應(yīng)當(dāng)對執(zhí)行情況進(jìn)行監(jiān)督。視頻監(jiān)控信息保存時間不少于3個月。

3.8.4 門禁系統(tǒng)、視頻監(jiān)控系統(tǒng)和防盜報警系統(tǒng)等應(yīng)當(dāng)定期檢查維護(hù)，確保系統(tǒng)處于有效工作狀態(tài)。

3.8.5 涉密辦公場所應(yīng)當(dāng)明確允許進(jìn)入的人員范圍，其他人員進(jìn)入，應(yīng)當(dāng)履行審批、登記手續(xù)，并由接待人員全程陪同。

3.8.6 未經(jīng)批準(zhǔn)，不得將具有錄音、錄像、拍照、存儲、通信功能的設(shè)備帶入涉密辦公場所。

3.9 涉密信息系統(tǒng)集成項目管理 3.9.1 資質(zhì)單位應(yīng)當(dāng)按照資質(zhì)等級、類別承接涉密信息系統(tǒng)集成業(yè)務(wù)。不得將資質(zhì)證書出借或轉(zhuǎn)讓。不得將承接的涉密信息系統(tǒng)集成業(yè)務(wù)分包或轉(zhuǎn)包給不具備相應(yīng)資質(zhì)的單位。

3.9.2 資質(zhì)單位與其他單位合作開展涉密信息系統(tǒng)集成業(yè)務(wù)的，合作單位應(yīng)當(dāng)具有相應(yīng)涉密信息系統(tǒng)集成資質(zhì)，且應(yīng)當(dāng)取得委托方書面同意。

3.9.3 資質(zhì)單位承接涉密信息系統(tǒng)集成項目的，應(yīng)當(dāng)在簽訂合同后，向項目所在地省、自治區(qū)、直轄市保密行政管理部門備案，接受保密監(jiān)督管理。

涉密信息系統(tǒng)集成項目完成后，資質(zhì)單位應(yīng)當(dāng)向項目所在地省、自治區(qū)、直轄市保密行政管理部門書面報告項目建設(shè)情況。

3.9.4 資質(zhì)單位應(yīng)當(dāng)對涉密信息系統(tǒng)集成項目實行全過程管理，明確崗位責(zé)任，落實各環(huán)節(jié)安全保密措施，確保管理全程可控可查。

3.9.5 資質(zhì)單位應(yīng)當(dāng)按照涉密信息系統(tǒng)集成項目的密級，對用戶需求文檔、設(shè)計方案、圖紙、程序編碼等技術(shù)資料和項目合同書、保密協(xié)議、驗收報告等業(yè)務(wù)資料是否屬于國家秘密或者屬于何種密級進(jìn)行確定。屬于國家秘密的，應(yīng)當(dāng)標(biāo)明密級，登記編號，明確知悉范圍。3.9.6 涉密信息系統(tǒng)集成項目實施期間，項目負(fù)責(zé)人對項目的安全保密負(fù)總體責(zé)任，應(yīng)當(dāng)按照工作需要，嚴(yán)格控制涉密載體的接觸范圍和涉密信息的知悉程度。

3.9.7 資質(zhì)單位應(yīng)當(dāng)對參與涉密信息系統(tǒng)集成項目的管理人員、技術(shù)人員和工程施工人員進(jìn)行登記備案，對其分工作出詳細(xì)記錄。

3.9.8 涉密信息系統(tǒng)集成項目實施驗收后，資質(zhì)單位應(yīng)當(dāng)將涉密技術(shù)資料全部移交委托方，不得私自留存或擅自處理。需要保留的業(yè)務(wù)資料，應(yīng)當(dāng)嚴(yán)格按照有關(guān)保密規(guī)定進(jìn)行管理。

3.9.9 涉密信息系統(tǒng)集成項目的設(shè)計方案、研發(fā)成果及有關(guān)建設(shè)情況，資質(zhì)單位及其工作人員不得擅自以任何形式公開發(fā)表、交流或轉(zhuǎn)讓。

3.9.10 資質(zhì)單位在與境外人員或機構(gòu)進(jìn)行交流合作時，應(yīng)當(dāng)嚴(yán)格遵守有關(guān)保密規(guī)定，交流材料不得涉及涉密信息系統(tǒng)集成項目的相關(guān)情況。

3.9.11 資質(zhì)單位利用涉密信息系統(tǒng)集成項目申請專利，應(yīng)當(dāng)嚴(yán)格遵守有關(guān)保密規(guī)定。

秘密級和機密級的項目，應(yīng)當(dāng)按照法定程序?qū)徟笊暾埍Ｃ軐＠蠈＠暾垪l件的，應(yīng)當(dāng)按照有關(guān)規(guī)定辦理解密手續(xù)；絕密級的項目，在保密期限內(nèi)不得申請專利或者保密專利。

3.10 涉密項目實施現(xiàn)場管理

3.10.1 資質(zhì)單位進(jìn)入委托方現(xiàn)場進(jìn)行涉密信息系統(tǒng)集成項目開發(fā)、工程施工、運行維護(hù)等應(yīng)當(dāng)嚴(yán)格執(zhí)行現(xiàn)場工作制度和流程。

3.10.2 從事現(xiàn)場項目開發(fā)、工程施工、運行維護(hù)的人員應(yīng)當(dāng)是資質(zhì)單位確定的涉密人員。

3.10.3 現(xiàn)場項目開發(fā)、工程施工、運行維護(hù)應(yīng)當(dāng)在委托方的監(jiān)督下進(jìn)行。未經(jīng)委托方檢查和書面批準(zhǔn)，不得將任何電子設(shè)備帶入涉密項目現(xiàn)場。

3.10.4 資質(zhì)單位應(yīng)當(dāng)對現(xiàn)場項目開發(fā)、工程施工、運行維護(hù)的工作情況進(jìn)行詳細(xì)記錄并存檔備查。

3.11 宣傳報道管理

3.11.1 資質(zhì)單位通過媒體、互聯(lián)網(wǎng)等渠道對外發(fā)布信息，應(yīng)當(dāng)經(jīng)資質(zhì)單位相關(guān)部門審查批準(zhǔn)。

3.11.2 資質(zhì)單位涉及涉密信息系統(tǒng)集成項目的宣傳報道、展覽、公開發(fā)表著作和論文等，應(yīng)當(dāng)經(jīng)委托方批準(zhǔn)。

3.12 保密檢查

3.12.1 資質(zhì)單位應(yīng)當(dāng)定期對保密管理制度落實情況、技術(shù)防范措施落實情況等進(jìn)行檢查，及時發(fā)現(xiàn)和消除隱患。

3.12.2 保密檢查應(yīng)當(dāng)進(jìn)行書面記錄，內(nèi)容包括：檢查時間、檢查人、檢查對象、檢查事項、存在問題、整改措施及落實情況等。

3.13 泄密事件處理

3.13.1 資質(zhì)單位發(fā)生泄密事件，應(yīng)當(dāng)立即采取補救措施，并在發(fā)現(xiàn)后24小時內(nèi)書面向所在地保密行政管理部門報告。內(nèi)容包括：

（1）所泄露信息的內(nèi)容、密級、數(shù)量及其載體形式；（2）泄密事件的發(fā)現(xiàn)經(jīng)過；

（3）泄密事件發(fā)生的時間、地點和經(jīng)過；

（4）泄密責(zé)任人的基本情況；

（5）泄密事件造成或可能造成的危害；（6）已采取或擬采取的補救措施。

3.13.2 資質(zhì)單位應(yīng)當(dāng)配合保密行政管理部門對泄密事件進(jìn)行查處，不得隱瞞情況或包庇當(dāng)事人。

3.14 保密工作考核與獎懲

3.14.1 資質(zhì)單位應(yīng)當(dāng)將員工遵守保密制度、履行保密職責(zé)的情況納入績效考核內(nèi)容，考核結(jié)果作為發(fā)放保密補貼和評選先進(jìn)的依據(jù)。

3.14.2 資質(zhì)單位應(yīng)當(dāng)對嚴(yán)格執(zhí)行保密規(guī)章的集體和個人給予表彰獎勵。

3.14.3 資質(zhì)單位應(yīng)當(dāng)對違反保密法規(guī)制度的有關(guān)責(zé)任人給予相應(yīng)處罰；泄露國家秘密的，應(yīng)當(dāng)按照有關(guān)規(guī)定作出處理。

3.15 保密工作經(jīng)費

3.15.1 保密工作經(jīng)費分為保密管理經(jīng)費和保密專項經(jīng)費。保密管理經(jīng)費用于單位保密宣傳教育培訓(xùn)、發(fā)放保密補貼、獎勵保密先進(jìn)、保密檢查等日常保密管理工作；專項經(jīng)費用于保密設(shè)施設(shè)備的建設(shè)、配備、維護(hù)等。

3.15.2 甲級資質(zhì)單位保密管理經(jīng)費，標(biāo)準(zhǔn)不少于5萬元；乙級資質(zhì)單位保密管理經(jīng)費，標(biāo)準(zhǔn)不少于3萬元。保密管理經(jīng)費應(yīng)當(dāng)單獨列入單位財務(wù)預(yù)算，專款專用，保證開支。

3.15.3 保密專項經(jīng)費應(yīng)當(dāng)按實際需要予以保障。3.16 保密工作檔案

3.16.1 資質(zhì)單位應(yīng)當(dāng)建立保密工作檔案，記錄日常保密工作情況。

3.16.2保密工作檔案的內(nèi)容應(yīng)當(dāng)真實、完整，全面反映保密工作情況，并能夠與相關(guān)工作檔案相互印證。

3.17 本保密標(biāo)準(zhǔn)未明確涉密事項的保密管理，須嚴(yán)格執(zhí)行國家有關(guān)保密規(guī)定。

第三篇：三級保密資質(zhì)歸口管理制度

保密歸口管理制度

為切實推動建立健全公司保密管理體系建設(shè)，落實“業(yè)務(wù)工作誰主管，保密工作誰負(fù)責(zé)”的原則，根據(jù)《軍工保密資格認(rèn)定工作指導(dǎo)手冊》（2017年版）規(guī)定，結(jié)合本公司實際，特制定本制度。

一、技術(shù)部負(fù)責(zé)公司定密工作

技術(shù)部根據(jù)任務(wù)或者項目原始秘級和有關(guān)保密范圍，制定本公司《國家秘密事項范圍細(xì)目》，經(jīng)單位法定定密責(zé)任人審批后生效。技術(shù)部根據(jù)《國家秘密事項范圍細(xì)目》提出擬定密級、保密期限和知悉范圍的建議，經(jīng)審批后生效。

二、人力資源負(fù)責(zé)公司涉密人員的管理

人力資源負(fù)責(zé)涉密人員審查、考核、績效評定、獎懲、出入境管理、離崗離職脫密管理、保密補貼發(fā)放等工作。

三、人力資源負(fù)責(zé)公司保密教育培訓(xùn)

人力資源負(fù)責(zé)擬定保密培訓(xùn)計劃，負(fù)責(zé)保密法規(guī)知識的宣傳、教育、培訓(xùn)工作。

四、綜合辦公室負(fù)責(zé)公司涉密載體的管理。

綜合辦公室負(fù)責(zé)公司涉密載體收發(fā)、傳遞、借閱、使用、銷毀和保管工作。

五、生產(chǎn)部負(fù)責(zé)公司密品管理

生產(chǎn)部應(yīng)當(dāng)明確密品的密級、建立臺賬。對密品的運輸、銷毀過程負(fù)責(zé)。

六、保密公室負(fù)責(zé)公司保密要害部門部位的管理

保密辦公室對保密要害部位部門采取出入口控制、入侵報警、視頻監(jiān)控等技防措施。

七、技術(shù)部負(fù)責(zé)公司信息設(shè)備和存儲設(shè)備的管理和運行維護(hù)工作

技術(shù)部對公司信息設(shè)備、存儲設(shè)備實施全生命周期管理，并按照要求對設(shè)備進(jìn)行標(biāo)識。對其運行過程進(jìn)行維護(hù)。

八、市場部負(fù)責(zé)公司新聞宣傳的管理

市場部對宣傳報道、展覽、知識產(chǎn)權(quán)、論文等內(nèi)容進(jìn)行審批，對于含有涉密信息的資料要經(jīng)過甲方單位審批。

九、綜合辦公室負(fù)責(zé)公司涉密會議的管理工作

綜合辦公室在舉辦涉密會議時，需要在具備安全保密條件的場所舉行，做好涉密會議檢查工作，對參會人員、涉密載體的發(fā)放、清退、保管、銷毀等指定專人負(fù)責(zé)。

十、技術(shù)部負(fù)責(zé)公司的外場試驗

在進(jìn)行外場試驗時，要制定保密方案，并指定保密責(zé)任人。

十一、綜合辦公室負(fù)責(zé)協(xié)助配套管理

綜合辦公室應(yīng)選擇具有相應(yīng)保密資格的單位進(jìn)行合作，要與協(xié)作單位人員簽訂合同保密條款或簽訂保密責(zé)任書。

十二、綜合辦公室負(fù)責(zé)涉外管理

綜合辦公室進(jìn)行對外交流、合作、談判等工作時應(yīng)該制定保密方案；接待境外人員來訪時，要明確身份、明確活動區(qū)域。

十三、公司的保密檢查工作由保密辦公室、人力資源、各相關(guān)部門負(fù)責(zé)，其中具體檢查工作安排參考保密監(jiān)督檢查制度。

第四篇：涉密計算機及信息系統(tǒng)安全策略

涉密計算機及信息系統(tǒng)安全策略文件 概述

涉密計算機及信息系統(tǒng)安全策略文件屬于頂層的管理文檔，是公司網(wǎng)絡(luò)與信息安全保障工作的出發(fā)點和核心，是公司計算機與信息系統(tǒng)安全管理和技術(shù)措施實施的指導(dǎo)性文件。涉密計算機及信息系統(tǒng)安全策略文件是公司計算機和信息系統(tǒng)全體管理和使用人員必須遵循的信息安全行為準(zhǔn)則，由公司信息安全管理部門制訂及解釋，由公司保密委員會審批發(fā)布，并由信息安全管理部門組織公司全體人員學(xué)習(xí)與貫徹。

公司涉密計算機及信息系統(tǒng)涉及到存儲、傳輸、處理國家秘密、公司商業(yè)秘密和業(yè)務(wù)關(guān)鍵信息，關(guān)系到公司的形象和公司業(yè)務(wù)的持續(xù)運行，必須保證其安全。因此，必須從技術(shù)、管理、運行等方面制定確保涉密計算機和信息系統(tǒng)持續(xù)可靠運行的安全策略，做好安全保障。

本策略文件主要內(nèi)容包括：物理安全策略、信息安全策略、運行管理策略、備份與恢復(fù)策略、應(yīng)急計劃和響應(yīng)策略、計算機病毒與惡意代碼防護(hù)策略、身份鑒別策略、訪問控制策略、信息完整性保護(hù)策略、安全審計策略等十個方面。2 適用范圍

2.1本策略所稱的涉密計算機和信息系統(tǒng)指公司所有通過計算機及信息系統(tǒng)存貯、處理或傳輸?shù)男畔⒓按尜A、處理或傳輸這些信息的硬件、軟件及固件。

2.2本策略適用于與公司涉密計算機及信息系統(tǒng)相關(guān)的所有部門及人員。3 目標(biāo)

制定涉密計算機及信息系統(tǒng)安全策略的目標(biāo)就是確保公司掌握的國家秘密、公司商業(yè)秘密和業(yè)務(wù)關(guān)鍵信息的安全性，并通過一系列預(yù)防措施將信息安全可能受到的危害降到最低。信息安全管理應(yīng)在確保信息和計算機受到保護(hù)的同時，確保計算機和信息系統(tǒng)能夠在允許的范圍內(nèi)正常運行使用。

同時，本策略的目的也是讓所有員工能夠了解信息安全問題以及明確各自的信息安全職責(zé)，嚴(yán)格遵守本安全策略，并遵守國家相關(guān)的計算機或信息安全法律要求。4 組織 4.1保密委員會是計算機及信息系統(tǒng)安全管理的領(lǐng)導(dǎo)機關(guān)，負(fù)責(zé)領(lǐng)導(dǎo)信息安全管理體系的建立和信息安全管理的實施，主要包括：

? 提供清晰的指導(dǎo)方向，可見的管理支持，明確的信息安全職責(zé)授權(quán)； ? 審查、批準(zhǔn)信息安全策略和崗位職責(zé)； ? 審查業(yè)務(wù)關(guān)鍵安全事件；

? 批準(zhǔn)增強信息安全保障能力的關(guān)鍵措施和機制；

? 保證必要的資源分配，以實現(xiàn)數(shù)據(jù)有效性以及信息安全管理體系的持續(xù)發(fā)展。

4.2信息安全管理部門具體負(fù)責(zé)建立和維持信息安全管理體系，協(xié)調(diào)相關(guān)活動，主要承擔(dān)如下職責(zé)：

? 調(diào)整并制定所有必要的信息安全管理規(guī)程、制度以及實施指南等； ? 提議并配合執(zhí)行信息安全相關(guān)的實施方法和程序，如風(fēng)險評估、信息管理分層等；

? 主動采取部門內(nèi)的信息安全措施，如安全意識培訓(xùn)及教育等； ? 配合執(zhí)行新系統(tǒng)或服務(wù)的特殊信息安全措施； ? 審查對信息安全策略的遵循性； ? 配合并參與安全評估事項；

? 根據(jù)信息安全管理體系的要求，定期向上級主管領(lǐng)導(dǎo)和保密委員會報告。分層管理與控制

5.1公司計算機及信息系統(tǒng)管理分為涉密計算機管理、內(nèi)部網(wǎng)絡(luò)（局域網(wǎng)）及計算機信息管理、互聯(lián)網(wǎng)計算機信息管理三個管理層次。

5.2 涉密計算機只能處理涉及國家秘密的信息，實行物理隔離管理，只能由公司涉密人員使用，由公司保密員管理。涉密計算機信息數(shù)據(jù)必須被保護(hù)以防止被泄漏、破壞或修改。

5.3 內(nèi)部網(wǎng)絡(luò)（局域網(wǎng)）及計算機配置加密管理措施，與互聯(lián)網(wǎng)隔離，配置保密管理措施，只能通過局域網(wǎng)傳輸、儲存技術(shù)文檔、軟件等涉及公司商業(yè)機密信息。上述信息必須定期備份進(jìn)行保護(hù)，以免破壞和非授權(quán)修改。

5.4 互聯(lián)網(wǎng)計算機主要處理來自于外部資源的普通信息，配置上網(wǎng)行為管理 2 措施，同樣在信息安全防護(hù)上進(jìn)行安全考慮。

5.5上述計算機及信息系統(tǒng)根據(jù)分層次管理的要求應(yīng)當(dāng)依據(jù)其分類進(jìn)行物理標(biāo)記。

物理安全策略

6.4信息處理設(shè)備可接受的使用策略

公司禁止工作人員濫用計算機及信息系統(tǒng)的計算機資源，僅為工作人員提供工作所需的信息處理設(shè)備。公司所有人員對系統(tǒng)網(wǎng)絡(luò)和計算資源的使用（包括訪問互聯(lián)網(wǎng)）都必須遵守計算機及信息系統(tǒng)的安全策略和標(biāo)準(zhǔn)及所有適用的法律。

公司的計算機及信息系統(tǒng)應(yīng)能防止使用人員連接到訪問含有色情、種族歧視及其他不良內(nèi)容的網(wǎng)站及某些非業(yè)務(wù)網(wǎng)站。

包括但不限于以下例子是不可接受的使用行為：

? 使用信息系統(tǒng)資源故意從事影響他人工作和生活的行為。

? 工作人員通過信息系統(tǒng)的網(wǎng)絡(luò)服務(wù)及設(shè)備傳輸、存儲任何非法的、有威脅的、濫用的材料。

? 任何工作人員使用信息系統(tǒng)的計算機工具、設(shè)備和互聯(lián)網(wǎng)訪問服務(wù)來從事用于個人獲益的商業(yè)活動（如炒股）。

? 工作人員使用信息系統(tǒng)服務(wù)來參與任何政治或宗教活動。

? 在沒有信息安全管理部門的事先允許或?qū)徟那闆r下，工作人員在使用的計算機中更改或安裝任何類型的計算機軟件和硬件。

? 在沒有信息安全管理部門的事先允許或?qū)徟那闆r下，工作人員拷貝、安裝、處理或使用任何未經(jīng)許可的軟件。6.5處理從互聯(lián)網(wǎng)下載的軟件和文件

必須使用病毒檢測軟件對所有通過互聯(lián)網(wǎng)（或任何其他公網(wǎng)）從信息系統(tǒng)之外的途徑獲得的軟件和文件進(jìn)行檢查，同時，在獲得這些軟件和文件之前，信息安全管理部門必須研究和確認(rèn)使用這些工具的必要性。

6.6工作人員保密協(xié)議

公司所有人員必須在開始工作前，親自簽訂計算機及信息系統(tǒng)保密協(xié)議。6.7知識產(chǎn)權(quán)權(quán)利

尊重互聯(lián)網(wǎng)上他人的知識產(chǎn)權(quán)。

公司工作人員在被雇傭期間使用公司系統(tǒng)資源開發(fā)或設(shè)計的產(chǎn)品，無論是以何種方式涉及業(yè)務(wù)、產(chǎn)品、技術(shù)、處理器、服務(wù)或研發(fā)的資產(chǎn)，都是公司的專有資產(chǎn)。物理和環(huán)境安全策略

計算機信息和其他用于存儲、處理或傳輸信息的物理設(shè)施，例如硬件、磁介質(zhì)、電纜等，對于物理破壞來說是易受攻擊的，同時也不可能完全消除這些風(fēng)險。因此，應(yīng)該將這些信息及物理設(shè)施放置于適當(dāng)?shù)沫h(huán)境中并在物理上給予保護(hù)使之免受安全威脅和環(huán)境危害。

7.1安全區(qū)域

根據(jù)信息安全的分層管理，應(yīng)將支持涉密信息或關(guān)鍵業(yè)務(wù)活動的信息技術(shù)設(shè)備放置在安全區(qū)域中。安全區(qū)域應(yīng)當(dāng)考慮物理安全邊界控制及有適當(dāng)?shù)倪M(jìn)出控制措施保護(hù)，安全區(qū)域防護(hù)等級應(yīng)當(dāng)與安全區(qū)域內(nèi)的信息安全等級一致，安全區(qū)域的訪問權(quán)限應(yīng)該被嚴(yán)格控制。

7.2設(shè)備安全

對支持涉密信息或關(guān)鍵業(yè)務(wù)過程（包括備份設(shè)備和存儲過程）的設(shè)備應(yīng)該適當(dāng)?shù)卦谖锢砩线M(jìn)行保護(hù)以避免安全威脅和環(huán)境危險。包括：

? 設(shè)備應(yīng)該放置在合適的位置或加強保護(hù)，將被如水或火破壞、干擾或非授權(quán)訪問的風(fēng)險降低到可接受的程度。

? 對涉密信息或關(guān)鍵業(yè)務(wù)過程的設(shè)備應(yīng)該進(jìn)行保護(hù)，以免受電源故障或其他電力異常的損害。

? 對計算機和設(shè)備環(huán)境應(yīng)該進(jìn)行監(jiān)控，必要的話要檢查環(huán)境的影響因素，如溫度和濕度是否超過正常界限。

? 對設(shè)備應(yīng)該按照生產(chǎn)商的說明進(jìn)行有序地維護(hù)。? 安全規(guī)程和控制措施應(yīng)該覆蓋該設(shè)備的安全性要求。? 設(shè)備包括存儲介質(zhì)在廢棄使用之前，應(yīng)該刪除其上面的數(shù)據(jù)。7.3物理訪問控制

信息安全管理部門應(yīng)建立訪問控制程序，控制并限制所有對計算計及信息系統(tǒng)計算、存儲和通訊系統(tǒng)設(shè)施的物理訪問。應(yīng)有合適的出入控制來保護(hù)安全場所，確保只允許授權(quán)的人員進(jìn)入。必須僅限公司工作人員和技術(shù)維護(hù)人員訪問公司辦 4 公場所、布線室、機房和計算基礎(chǔ)設(shè)施。

7.4建筑和環(huán)境的安全管理

為確保計算機處理設(shè)施能正確的、連續(xù)的運行，應(yīng)至少考慮及防范以下威脅：偷竊、火災(zāi)、溫度、濕度、水、電力供應(yīng)中斷、爆炸物、吸煙、灰塵、振動、化學(xué)影響等。

必須在安全區(qū)域建立環(huán)境狀況監(jiān)控機制，以監(jiān)控廠商建議范圍外的可能影響信息處理設(shè)施的環(huán)境狀況。應(yīng)在運營范圍內(nèi)安裝自動滅火系統(tǒng)。定期測試、檢查并維護(hù)環(huán)境監(jiān)控警告機制，并至少每年操作一次滅火設(shè)備。

7.5保密室、計算機房訪問記錄管理

保密室、計算機房應(yīng)設(shè)立物理訪問記錄，信息安全管理部門應(yīng)定期檢查物理訪問記錄本，以確保正確使用了這項控制。物理訪問記錄應(yīng)至少保留12個月，以便協(xié)助事件調(diào)查。應(yīng)經(jīng)信息安全管理部門批準(zhǔn)后才可以處置記錄，并應(yīng)用碎紙機處理。

8計算機和網(wǎng)絡(luò)運行管理策略

計算機和信息系統(tǒng)所擁有的和使用的大多數(shù)信息都在計算機上進(jìn)行處理和存儲。為了保護(hù)這些信息，需要使用安全且受控的方式管理和操作這些計算機，使它們擁有充分的資源。

由于公司計算機和信息系統(tǒng)采用三層管理模式，不排除聯(lián)接到外部網(wǎng)絡(luò)，計算機和信息系統(tǒng)的運行必須使用可控且安全的方式來管理，網(wǎng)絡(luò)軟件、數(shù)據(jù)和服務(wù)的完整性和可用性必須受到保護(hù)。

8.1操作規(guī)程和職責(zé)

應(yīng)該制定管理和操作所有計算機和網(wǎng)絡(luò)所必須的職責(zé)和規(guī)程，來指導(dǎo)正確的和安全的操作。這些規(guī)程包括：

? 數(shù)據(jù)文件處理規(guī)程，包括驗證網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)；

? 對所有計劃好的系統(tǒng)開發(fā)、維護(hù)和測試工作的變更管理規(guī)程； ? 為意外事件準(zhǔn)備的錯誤處理和意外事件處理規(guī)程；

? 問題管理規(guī)程，包括記錄所有網(wǎng)絡(luò)問題和解決辦法（包括怎樣處理和誰處理）； ? 事故管理規(guī)程； ? 為所有新的或變更的硬件或軟件，制定包括性能、可用性、可靠性、可控性、可恢復(fù)性和錯誤處理能力等方面的測試/評估規(guī)程；

? 日常管理活動，例如啟動和關(guān)閉規(guī)程，數(shù)據(jù)備份，設(shè)備維護(hù)，計算機和網(wǎng)絡(luò)管理，安全方法或需求；

? 當(dāng)出現(xiàn)意外操作或技術(shù)難題時的技術(shù)支持合同。8.2操作變更控制

對信息處理設(shè)施和系統(tǒng)控制不力是導(dǎo)致系統(tǒng)或安全故障的常見原因，所以應(yīng)該控制對信息處理設(shè)施和系統(tǒng)的變動。應(yīng)落實正式的管理責(zé)任和措施，確保對設(shè)備、軟件或程序的所有變更得到滿意的控制。

8.3介質(zhì)的處理和安全性

應(yīng)該對計算機介質(zhì)進(jìn)行控制，如果必要的話需要進(jìn)行物理保護(hù)： ? 可移動的計算機介質(zhì)應(yīng)該受控；

? 應(yīng)該制定并遵守處理包含機密或關(guān)鍵數(shù)據(jù)的介質(zhì)的規(guī)程； ? 與計算相關(guān)的介質(zhì)應(yīng)該在不再需要時被妥善廢棄。8.4鑒別和網(wǎng)絡(luò)安全

鑒別和網(wǎng)絡(luò)安全包括以下方面：

? 網(wǎng)絡(luò)訪問控制應(yīng)包括對人員的識別和鑒定；

? 用戶連接到網(wǎng)絡(luò)的能力應(yīng)受控，以支持業(yè)務(wù)應(yīng)用的訪問策略需求； ? 專門的測試和監(jiān)控設(shè)備應(yīng)被安全保存，使用時要進(jìn)行嚴(yán)格控制； ? 通過網(wǎng)絡(luò)監(jiān)控設(shè)備訪問網(wǎng)絡(luò)應(yīng)受到限制并進(jìn)行適當(dāng)授權(quán)； ? 應(yīng)配備專門設(shè)備自動檢查所有網(wǎng)絡(luò)數(shù)據(jù)傳輸是否完整和正確； ? 應(yīng)評估和說明使用外部網(wǎng)絡(luò)服務(wù)所帶來的安全風(fēng)險； ? 根據(jù)不同的用戶和不同的網(wǎng)絡(luò)服務(wù)進(jìn)行網(wǎng)絡(luò)訪問控制； ? 對IP地址進(jìn)行合理的分配； ? 關(guān)閉或屏蔽所有不需要的網(wǎng)絡(luò)服務(wù)； ? 隱藏真實的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)；

? 采用有效的口令保護(hù)機制，包括：規(guī)定口令的長度、有效期、口令規(guī)則或采用動態(tài)口令等方式，保障用戶登錄和口令的安全；

? 應(yīng)該嚴(yán)格控制可以對重要服務(wù)器、網(wǎng)絡(luò)設(shè)備進(jìn)行訪問的登錄終端或登錄 6 節(jié)點，并且進(jìn)行完整的訪問審計；

? 嚴(yán)格設(shè)置對重要服務(wù)器、網(wǎng)絡(luò)設(shè)備的訪問權(quán)限； ? 嚴(yán)格控制可以對重要服務(wù)器、網(wǎng)絡(luò)設(shè)備進(jìn)行訪問的人員；

? 保證重要設(shè)備的物理安全性，嚴(yán)格控制可以物理接觸重要設(shè)備的人員，并且進(jìn)行登記；

? 對重要的管理工作站、服務(wù)器必須設(shè)置自動鎖屏或在操作完成后，必須手工鎖屏；

? 嚴(yán)格限制進(jìn)行遠(yuǎn)程訪問的方式、用戶和可以使用的網(wǎng)絡(luò)資源； ? 接受遠(yuǎn)程訪問的服務(wù)器應(yīng)該劃分在一個獨立的網(wǎng)絡(luò)安全區(qū)域； ? 安全隔離措施必須滿足國家、行業(yè)的相關(guān)政策法規(guī)。

個人終端用戶（包括個人計算機）的鑒別，以及連接到所有辦公自動化網(wǎng)絡(luò)和服務(wù)的控制職責(zé)，由信息安全管理部門決定。

8.5操作人員日志

操作人員應(yīng)保留日志記錄。根據(jù)需要，日志記錄應(yīng)包括： ? 系統(tǒng)及應(yīng)用啟動和結(jié)束時間； ? 系統(tǒng)及應(yīng)用錯誤和采取的糾正措施； ? 所處理的數(shù)據(jù)文件和計算機輸出； ? 操作日志建立和維護(hù)的人員名單。8.6錯誤日志記錄

對錯誤及時報告并采取措施予以糾正。應(yīng)記錄報告的關(guān)于信息處理錯誤或通信系統(tǒng)故障。應(yīng)有一個明確的處理錯誤報告的規(guī)則，包括：1）審查錯誤日志，確保錯誤已經(jīng)得到滿意的解決；2）審查糾正措施，確保沒有違反控制措施，并且采取的行動都得到充分的授權(quán)。

8.7網(wǎng)絡(luò)安全管理策略

網(wǎng)絡(luò)安全管理的目標(biāo)是保證網(wǎng)絡(luò)信息安全，確保網(wǎng)絡(luò)基礎(chǔ)設(shè)施的可用性。網(wǎng)絡(luò)管理員應(yīng)確保計算機信息系統(tǒng)的數(shù)據(jù)安全，保障連接的服務(wù)的有效性，避免非法訪問。應(yīng)該注意以下內(nèi)容：

應(yīng)將網(wǎng)絡(luò)的操作職責(zé)和計算機的操作職責(zé)分離；

? 制定遠(yuǎn)程設(shè)備（包括用戶區(qū)域的設(shè)備）的管理職責(zé)和程序；

? 應(yīng)采取特殊的技術(shù)手段保護(hù)通過公共網(wǎng)絡(luò)傳送的數(shù)據(jù)的機密性和完整性，并保護(hù)連接的系統(tǒng)，采取控制措施維護(hù)網(wǎng)絡(luò)服務(wù)和所連接的計算機的可用性；

? 信息安全管理活動應(yīng)與技術(shù)控制措施協(xié)調(diào)一致，優(yōu)化業(yè)務(wù)服務(wù)能力； ? 使用遠(yuǎn)程維護(hù)協(xié)議時，要充分考慮安全性。8.8電子郵件安全策略

計算機和信息系統(tǒng)應(yīng)制定有關(guān)使用電子郵件的策略，包括： ? 對電子郵件的攻擊，例如病毒、攔截；

? 必要時，使用相關(guān)技術(shù)保護(hù)電子郵件的機密性、完整性和不可抵賴。8.9病毒防范策略

病毒防范包括預(yù)防和檢查病毒（包括實時掃描/過濾和定期檢查），主要內(nèi)容包括：

? 控制病毒入侵途徑； ? 安裝可靠的防病毒軟件； ? 對系統(tǒng)進(jìn)行實時監(jiān)測和過濾； ? 定期殺毒； ? 及時更新病毒庫； ? 及時上報； ? 詳細(xì)記錄。

防病毒軟件的安裝和使用由信息安全管理部門專門的病毒防范管理員執(zhí)行。嚴(yán)格控制盜版軟件及其它第三方軟件的使用，必要時，在運行前先對其進(jìn)行病毒檢查。

內(nèi)部工作人員因為上不安全的網(wǎng)站下載文件或其他方式導(dǎo)致中毒，造成的后果由其本人負(fù)責(zé)。

8.10備份與恢復(fù)策略

定義計算機及信息系統(tǒng)備份與恢復(fù)應(yīng)該采用的基本措施： ? 建立有效的備份與恢復(fù)機制； ? 定期檢測自動備份系統(tǒng)是否正常工作；

? 明確備份的操作人員職責(zé)、工作流程和工作審批制度；

? 建立完善的備份工作操作技術(shù)文檔；

? 明確恢復(fù)的操作人員職責(zé)、工作流程和工作審批制度； ? 建立完善的恢復(fù)工作操作技術(shù)文檔； ? 針對建立的備份與恢復(fù)機制進(jìn)行演習(xí)； ? 對備份的類型和恢復(fù)的方式進(jìn)行明確的定義； ? 妥善保管備份介質(zhì)。8.11加密策略

對于應(yīng)用系統(tǒng)安全需求分析中要求采用加密措施，或相關(guān)法規(guī)中要求采用加密措施的處理，一定要滿足要求。

采用加密技術(shù)或選用加密產(chǎn)品，要求符合國家有關(guān)政策或行業(yè)規(guī)范的要求。選用的加密機制與密碼算法應(yīng)符合國家密碼政策，密鑰強度符合國家規(guī)定。對于敏感或重要信息，要求通過加密保障其私密性、通過信息校驗碼或數(shù)字簽名保障其完整性、通過數(shù)字簽名保障其不可否認(rèn)性。

要求采用高強度的密鑰管理系統(tǒng)，保證密鑰全過程的安全。包括密鑰的生成、使用、交換、傳輸、保護(hù)、歸檔、銷毀等。

對敏感或重要密鑰，要求分人制衡管理。

對敏感或重要密鑰，要求采用一定的密鑰備份措施以保障在密鑰丟失、破壞時系統(tǒng)的可用性。

密鑰失密或懷疑失密時，必須及時向安全主管部門報告，更新密鑰。并采取有效措施，防止再次發(fā)生類似情況。9訪問控制策略

為了保護(hù)計算機系統(tǒng)中信息不被非授權(quán)的訪問、操作或破壞，必須對信息系統(tǒng)和數(shù)據(jù)實行控制訪問。

計算機系統(tǒng)控制訪問包括建立和使用正式的規(guī)程來分配權(quán)限，并培訓(xùn)工作人員安全地使用系統(tǒng)。對系統(tǒng)進(jìn)行監(jiān)控檢查是否遵守所制定的規(guī)程。

9.1計算機訪問控制

應(yīng)該根據(jù)相關(guān)國家法律的要求和指導(dǎo)方針控制對信息系統(tǒng)和數(shù)據(jù)的訪問： ? 計算機活動應(yīng)可以被追蹤到人；

? 訪問所有多用戶計算機系統(tǒng)應(yīng)有正式的用戶登記和注銷規(guī)程； ? 應(yīng)使用有效的訪問系統(tǒng)來鑒別用戶；

? 應(yīng)通過安全登錄進(jìn)程訪問多用戶計算機系統(tǒng)； ? 特殊權(quán)限的分配應(yīng)被安全地控制；

? 用戶選擇和使用密碼時應(yīng)慎重參考良好的安全慣例； ? 用戶應(yīng)確保無人看管的設(shè)備受到了適當(dāng)?shù)陌踩Ｗo(hù)； ? 應(yīng)根據(jù)系統(tǒng)的重要性制定監(jiān)控系統(tǒng)的使用規(guī)程。? 必須維護(hù)監(jiān)控系統(tǒng)安全事件的審計跟蹤記錄； ? 為準(zhǔn)確記錄安全事件，計算機時鐘應(yīng)被同步。10風(fēng)險管理及安全審計策略

信息安全審計及風(fēng)險管理對于幫助公司識別和理解信息被攻擊、更改和不可用所帶來的（直接和間接的）潛在業(yè)務(wù)影響來說至關(guān)重要。所有信息內(nèi)容和信息技術(shù)過程應(yīng)通過信息安全審計活動及風(fēng)險評估活動來識別與它們相關(guān)的安全風(fēng)險并執(zhí)行適當(dāng)?shù)陌踩珜Σ摺?/p>

計算機及信息系統(tǒng)的信息安全審計活動和風(fēng)險評估應(yīng)當(dāng)定期執(zhí)行。特別是系統(tǒng)建設(shè)前或系統(tǒng)進(jìn)行重大變更前，必須進(jìn)行風(fēng)險評估工作。

信息安全審計應(yīng)當(dāng)3個月進(jìn)行一次，并形成文檔化的信息安全審計報告。信息安全風(fēng)險評估應(yīng)當(dāng)至少1年一次，可由公司自己組織進(jìn)行或委托有信息系統(tǒng)風(fēng)險評估資質(zhì)的第三方機構(gòu)進(jìn)行。信息安全風(fēng)險評估必須形成文檔化的風(fēng)險評估報告。

11信息系統(tǒng)應(yīng)急計劃和響應(yīng)策略

11.1信息應(yīng)急計劃和響應(yīng)的必要性

應(yīng)該制定和實施應(yīng)急計劃和響應(yīng)管理程序，將預(yù)防和恢復(fù)控制措施相結(jié)合，將災(zāi)難和安全故障（可能是由于自然災(zāi)害、事故、設(shè)備故障和蓄意破壞等引起）造成的影響降低到可以接受的水平。

應(yīng)該分析災(zāi)難、安全故障和服務(wù)損失的后果。制定和實施應(yīng)急計劃，確保能夠在要求的時間內(nèi)恢復(fù)業(yè)務(wù)的流程。應(yīng)該維護(hù)和執(zhí)行此類計劃，使之成為其它所有管理程序的一部分。

11.2應(yīng)急計劃和響應(yīng)管理程序

應(yīng)該在整個計算機信息系統(tǒng)內(nèi)部制定應(yīng)急計劃和響應(yīng)的管理流程。包括以下 主要內(nèi)容：

? 考慮突發(fā)事件的可能性和影響。

? 了解中斷信息系統(tǒng)服務(wù)可能對業(yè)務(wù)造成的影響（必須找到適當(dāng)?shù)慕鉀Q方案，正確處理較小事故以及可能威脅組織生存的大事故），并確定信息處理設(shè)施的業(yè)務(wù)目標(biāo)。

? 適當(dāng)考慮風(fēng)險處理措施，可以將其作為業(yè)務(wù)連續(xù)性程序的一部分。? 定期對應(yīng)急計劃和響應(yīng)程序進(jìn)行檢查和進(jìn)行必要的演練，確保其始終有效。

? 適當(dāng)?shù)貙夹g(shù)人員進(jìn)行培訓(xùn)，讓他們了解包括危機管理在內(nèi)的應(yīng)急程序。

12遵循性

計算機及信息系統(tǒng)必須遵守國家法律和法規(guī)的要求。

公司所有工作人員都有責(zé)任學(xué)習(xí)、理解并遵守安全策略，以確保公司敏感信息的安全。對違反安全策略的行為，根據(jù)事件性質(zhì)和違規(guī)的嚴(yán)重程度，采取相應(yīng)的處罰措施。信息安全管理部門應(yīng)根據(jù)違規(guī)的嚴(yán)重程度向相關(guān)領(lǐng)導(dǎo)提出建議懲罰措施。除本安全策略中涉及的要求之外，所有部門和工作人員同樣需要遵守相關(guān)國家法律和法規(guī)的要求。

計算機和信息系統(tǒng)安全策略文件由信息安全管理部門負(fù)責(zé)制定和解釋，由公司保密委員會審批發(fā)布。

公司已存在的但內(nèi)容與本安全策略文件不符的管理規(guī)定，應(yīng)以本安全策略的要求為準(zhǔn)，并參考本安全策略及時進(jìn)行修訂。

第五篇：淺談醫(yī)院信息系統(tǒng)的安全策略（本站推薦）

淺談醫(yī)院信息系統(tǒng)的安全策略

今年4月發(fā)布的新醫(yī)改方案，明確提出要建立實用共享的醫(yī)藥衛(wèi)生信息系統(tǒng)，大力推進(jìn)醫(yī)藥衛(wèi)生信息化建設(shè)，要以醫(yī)院管理和電子病歷為重點，推進(jìn)醫(yī)院信息化建設(shè)。醫(yī)院信息系統(tǒng)將承載著越來越多的管理和醫(yī)療業(yè)務(wù)，成為推動醫(yī)院發(fā)展的內(nèi)在驅(qū)動力。因此，醫(yī)院信息系統(tǒng)的安全問題也日益突出和重要。

醫(yī)院信息系統(tǒng)安全策略是為了保證系統(tǒng)正常運行而制定的一系列規(guī)定和技術(shù)措施的總合，也是系統(tǒng)使用和管理人員必須遵守的規(guī)則。醫(yī)院信息系統(tǒng)是一個高科技、高風(fēng)險、實時性要求很高的系統(tǒng)，防止故障發(fā)生或減少故障發(fā)生后的恢復(fù)時間，是一項重要工作。醫(yī)院信息系統(tǒng)面臨的安全挑戰(zhàn)

1.1 行業(yè)應(yīng)用的要求

醫(yī)院信息系統(tǒng)承載這越來越多的管理和醫(yī)療業(yè)務(wù)，要求7×24小時不間斷運行。醫(yī)院正常運行對信息系統(tǒng)的高度依賴要求醫(yī)院信息系統(tǒng)必須具有夠高度的穩(wěn)定性和安全性。

1.2 區(qū)域醫(yī)療和系統(tǒng)整合的壓力

隨著信息化的發(fā)展，信息技術(shù)在各個領(lǐng)域的廣泛應(yīng)用，醫(yī)院信息系統(tǒng)面臨著要與區(qū)域醫(yī)療信息平臺、遠(yuǎn)程醫(yī)療系統(tǒng)、醫(yī)（社）保系統(tǒng)、新農(nóng)合系統(tǒng)等眾多外部系統(tǒng)的信息共享和數(shù)據(jù)交換，完全物理隔離的醫(yī)院信息系統(tǒng)已經(jīng)不適應(yīng)當(dāng)前形勢下醫(yī)療信息化的發(fā)展。與外部系統(tǒng)的對接，將不可避免的帶來病毒、外部攻擊和信息泄露等安全性挑戰(zhàn)。

1.3 信息泄露的壓力

醫(yī)院信息系統(tǒng)涉及大量醫(yī)院經(jīng)營和患者醫(yī)療等私密信息，信息的泄露和傳播將會給醫(yī)院、社會和患者帶來安全風(fēng)險。醫(yī)院信息系統(tǒng)的安全技術(shù)

2.1 醫(yī)院局域網(wǎng)絡(luò)安全

2.1.1 網(wǎng)絡(luò)布線安全

網(wǎng)絡(luò)布線是整個網(wǎng)絡(luò)系統(tǒng)中最基礎(chǔ)的部分，一是要采用結(jié)構(gòu)化布線，根據(jù)布線的物理特性和電氣特性，達(dá)到抗干擾、防雷擊、強弱電分開等要求。二是架構(gòu)

雙鏈路冗余結(jié)構(gòu)網(wǎng)絡(luò)系統(tǒng)，采用核心層、匯聚層和接入層三層結(jié)構(gòu)搭建；利用光纖資源，在核心節(jié)點間、核心和匯聚層、匯聚層與接入層之間采用千兆光路互連；每個匯聚節(jié)點與核心節(jié)點之間通過兩對光纖連接，實現(xiàn)系統(tǒng)在物理層面的穩(wěn)定和可靠性。匯聚層各交換機與核心交換機的鏈路實現(xiàn)雙鏈路（冗余鏈路），實現(xiàn)完美冗余備份和鏈路的負(fù)載均衡。核心交換設(shè)備要求中心結(jié)點的網(wǎng)絡(luò)必須具備高可靠性、高性能，在不同層次上保證冗余性，2.1.2 中心機房安全

中心機房是醫(yī)院信息系統(tǒng)設(shè)備運行的核心，要有專業(yè)的裝修公司施工，主要包括機房物理環(huán)境、恒溫恒濕、防水防鼠、電氣安全等。如防靜電、防雷電感應(yīng)、過壓保護(hù)、抗電磁干擾、滿足消防的要求，以及無人值守自動報警系統(tǒng)等。

2.1.3 網(wǎng)絡(luò)安全

網(wǎng)絡(luò)設(shè)備安全主要是消除單點故障和設(shè)備使用安全，一是網(wǎng)絡(luò)設(shè)備的安全，比如設(shè)備間的物理環(huán)境，UPS供電、防雷等；二是核心網(wǎng)絡(luò)設(shè)備的冗余備份，例如核心交換機用主備冗余設(shè)計，一主一備；門診接入層交換機的互為冗余等；三是網(wǎng)絡(luò)邊界安全，包括劃分VLAN、部署硬件防火墻、入侵監(jiān)測和網(wǎng)絡(luò)安全審計等。如果醫(yī)院信息系統(tǒng)連接外部網(wǎng)絡(luò)，部署硬件防火墻是防止外部攻擊的有效措施。硬件防火墻是一種部署在內(nèi)外網(wǎng)邊界上的訪問控制設(shè)備,用來防止未經(jīng)授權(quán)的通信進(jìn)出被保護(hù)的內(nèi)部網(wǎng)絡(luò),通過邊界控制強化內(nèi)部網(wǎng)絡(luò)的安全策略。通過使用硬件防火墻來防止Internet上的不安全因素蔓延到醫(yī)院內(nèi)部的網(wǎng)絡(luò)。入侵檢測和網(wǎng)絡(luò)安全審計能夠?qū)W(wǎng)絡(luò)進(jìn)行動態(tài)實時監(jiān)控，可通過尋找入侵和違規(guī)行為記錄網(wǎng)絡(luò)上發(fā)生的一切，為用戶提供取證手段。它不但能夠監(jiān)視記錄和控制來自外部的入侵，還可監(jiān)視內(nèi)部人員的違規(guī)操作及破壞行為，是評判一個系統(tǒng)是否真正安全的重要尺度。服務(wù)器安全

服務(wù)器是醫(yī)院信息系統(tǒng)運行的核心，在醫(yī)院信息系統(tǒng)中，有數(shù)據(jù)庫服務(wù)器、應(yīng)用服務(wù)器等。

3.1 為了保證服務(wù)器的不間斷運行，核心服務(wù)器一般采用雙擊熱備設(shè)計。例如利用WINDOWS群集平臺，采用Microsoft群集服務(wù)(MSCS)來實現(xiàn)主機間的高可用性服務(wù)，通過合理規(guī)劃和配置Microsoft MSCS軟件，任何一臺主機的宕機可以被

其它主機迅速接管，保證業(yè)務(wù)的持續(xù)運行。

3.2加強服務(wù)器管理，建立服務(wù)器檔案。歸檔保存有關(guān)服務(wù)器的隨機資料、操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用程序安裝盤、補丁盤等資料，詳細(xì)記錄服務(wù)器的硬件類型、啟用時間、軟硬件配置(機器名、域名、IP地址、添加的服務(wù)、數(shù)據(jù)庫配置等)相關(guān)參數(shù)。建立服務(wù)器日志，每日做服務(wù)器設(shè)備安全檢查記錄、服務(wù)器啟停記錄、錯誤日志檢查記錄、服務(wù)器性能監(jiān)視記錄等。數(shù)據(jù)庫安全

數(shù)據(jù)庫是醫(yī)院信息系統(tǒng)數(shù)據(jù)存儲的核心，數(shù)據(jù)不僅是各個應(yīng)用系統(tǒng)的基礎(chǔ)元素，也是醫(yī)院的重要資源和財富。數(shù)據(jù)的安全是醫(yī)院信息系統(tǒng)最重要的安全內(nèi)容。所有我們必須建立完善數(shù)據(jù)的備份容災(zāi)體系，保證數(shù)據(jù)的萬無一失。

4.1.1 數(shù)據(jù)庫備份策略

建立完善的數(shù)據(jù)庫備份體系，包括實時備份、異地備份和數(shù)據(jù)恢復(fù)等。根據(jù)不同的數(shù)據(jù)庫系統(tǒng)，定期進(jìn)行數(shù)據(jù)備份,既可保留以往數(shù)據(jù)便于查找,保證服務(wù)器硬盤空間充足；又可在原始數(shù)據(jù)丟失或遭到破壞時,利用備份數(shù)據(jù)將原始數(shù)據(jù)恢復(fù),盡快使系統(tǒng)正常工作,確保數(shù)據(jù)更加安全。重點部門要建立獨立的備份數(shù)據(jù)庫，比如門診系統(tǒng)，在應(yīng)急情況下可以門診子系統(tǒng)的局部運行。

4.1.2 數(shù)據(jù)庫存儲安全

采用穩(wěn)定可靠的數(shù)據(jù)存儲策略。在數(shù)據(jù)存儲設(shè)備的應(yīng)用上，選用穩(wěn)定性和可靠性更高的磁盤整列或SAN存儲系統(tǒng)。如果單純采用服務(wù)器內(nèi)置的硬盤存儲，則要選擇支持RAID技術(shù)的服務(wù)器，應(yīng)用RAID5或者RAID0＋RAID5等存儲安全策略。

4.1.3 數(shù)據(jù)庫操作安全

數(shù)據(jù)庫的安全不僅要保證數(shù)據(jù)正常的存儲和應(yīng)用，還要防止對數(shù)據(jù)庫的破獲和攻擊。首先在數(shù)據(jù)庫管理上，要清理和規(guī)范各類數(shù)據(jù)庫特權(quán)用戶，建立完善的權(quán)限分配管理，比如Oracle的sys、system用戶等。其次是應(yīng)用數(shù)據(jù)安全審計的各類軟硬件產(chǎn)品，實現(xiàn)對數(shù)據(jù)庫的查詢、新增、刪除、修改、授權(quán)等各種操作行的動態(tài)監(jiān)控，防止合法用戶的誤操作和外部攻擊。防病毒和防攻擊

對于醫(yī)院信息系統(tǒng)來說，無論是物理隔離的局域網(wǎng)，還是建有外部連接的開放網(wǎng)絡(luò)，網(wǎng)絡(luò)版的殺毒軟件是必不可少的。即使是物理隔離的局域網(wǎng)，也不可避

免與外部數(shù)據(jù)的交換。采用網(wǎng)絡(luò)版的殺毒軟件，進(jìn)行網(wǎng)絡(luò)內(nèi)遠(yuǎn)程管理、智能升級、自動分發(fā)、遠(yuǎn)程報警等防病毒措施，可以高效便捷的應(yīng)對病毒的入侵。6 工作站安全

6.1 工作站桌面系統(tǒng)管理

各類工作站是醫(yī)院信息系統(tǒng)的應(yīng)用窗口，工作站桌面系統(tǒng)的有效管理，可以有效防止操作人員的誤操作和非法訪問。

一、在工作站上安裝“還原精靈（Deep Freeze）”該軟件在管理員設(shè)置后，在下次重啟前，用戶在C盤留下的任何信息都將不被保存，以保證系統(tǒng)的安全。

二、利用桌面管理軟件，限制工作站的使用范圍和應(yīng)用程序。

三、利用遠(yuǎn)程管理工具，通過事先安裝的遠(yuǎn)程控制管理軟件（如Radmin、Pcmain、PcAnywhere等），進(jìn)行示范性操作，可提高工作效率，減輕奔波之苦。

6.2 建立備用工作站

對使用頻繁或者故障率較高的工作站，比如門診掛號收費工作站、藥房工作站等，要建立備用機。工程師在接聽故障申報后，初步判斷故障原因和恢復(fù)時間，如果時間較長，影響業(yè)務(wù)正常開展和秩序穩(wěn)定，應(yīng)立即更換工作站。

建立備用工作站，一定要保證備用設(shè)備的軟硬件配置完好，保證即插即用。要對備用設(shè)備定期檢查和測試。

6.3 工作站的安全巡檢和定期維護(hù)

6.3.1對工作站進(jìn)行定期巡檢。各類工作站使用人員缺乏專業(yè)知識，對電腦、打印機的正確使用缺乏了解，例如非法關(guān)機、直接拔插電源、不注意打印機的清潔衛(wèi)生等。工作站使用的細(xì)節(jié)決定工作站的使用壽命和運行穩(wěn)定性，因此對工作站的定期安全巡檢和維護(hù)保養(yǎng)十分必要。

6.3.2建立工作站“健康檔案”。記錄工作站臺號、網(wǎng)絡(luò)配置、操作系統(tǒng)、應(yīng)用軟件的安裝情況，以及每次的維修操作記錄，建立工作站的“健康檔案”。管理員在接聽工作站故障申報時，首先查看設(shè)備檔案，了解設(shè)備維修情況，對準(zhǔn)確判斷故障原因和故障排除提供參考。同時建立“健康檔案”,還可對全院設(shè)備使用、設(shè)備型號選擇和設(shè)備維護(hù)進(jìn)行監(jiān)督和評價。醫(yī)院信息系統(tǒng)的安全管理

“三分技術(shù)、七分管理”，醫(yī)院信息系統(tǒng)的安全，光有安全設(shè)備和技術(shù)是遠(yuǎn)

遠(yuǎn)不夠的，必須有完善的管理制度和風(fēng)險防范意識，制定切實可行的應(yīng)急預(yù)案，將醫(yī)院信息系統(tǒng)的安全風(fēng)險降至最低。

7.1 安全意識

醫(yī)院信息系統(tǒng)安全策略的制定和落實需要一定的人力、物力和財力,需要自上而下的貫徹落實,因此要建立全員的安全意識。首先，作為醫(yī)院信息系統(tǒng)的管理部門，信息科要有強烈的安全意識，不斷通過業(yè)務(wù)學(xué)習(xí)，提高安全風(fēng)險防范和應(yīng)對的能力。其次，要讓醫(yī)院各級領(lǐng)導(dǎo)要充分重視信息系統(tǒng)的安全，醫(yī)院的信息主管或者信息科長要經(jīng)常對領(lǐng)導(dǎo)進(jìn)行灌輸，增強領(lǐng)導(dǎo)對信息系統(tǒng)的了解和對系統(tǒng)安全的認(rèn)識。另外，要通過全員培訓(xùn)，增強系統(tǒng)操作人員的安全意識。

7.2 安全組織

由于醫(yī)院信息系統(tǒng)設(shè)計到醫(yī)院的各個管理部門和業(yè)務(wù)部門，必須建立安全組織，統(tǒng)一領(lǐng)導(dǎo)和協(xié)調(diào)醫(yī)院信息系統(tǒng)的安全管理工作。在信息化建設(shè)的規(guī)劃設(shè)計階段,就應(yīng)成立一個以主管領(lǐng)導(dǎo)、信息部門負(fù)責(zé)人、網(wǎng)絡(luò)管理員、科室安全管理員等人員組成的安全管理組織機構(gòu),用于保障信息化設(shè)備及系統(tǒng)的安全。主管領(lǐng)導(dǎo)和信息部門負(fù)責(zé)人負(fù)責(zé)安全體系的建設(shè)、實施以及科室間的協(xié)調(diào)工作,網(wǎng)絡(luò)管理員負(fù)責(zé)安全策略的制定和技術(shù)實施,科室安全管理員負(fù)責(zé)安全措施的具體實施。

7.3 安全管理制度

安全策略的執(zhí)行要制度化,以便于實施和管理,這需要建立信息化設(shè)備及系統(tǒng)在使用、運行、管理及維護(hù)過程中的相關(guān)管理制度,并嚴(yán)格的實施與執(zhí)行。比如各個業(yè)務(wù)系統(tǒng)的操作規(guī)范、數(shù)據(jù)庫管理員工作規(guī)范、網(wǎng)絡(luò)設(shè)備管理制度、醫(yī)院信息系統(tǒng)應(yīng)急預(yù)案等。

7.4 應(yīng)急預(yù)案

在醫(yī)院信息系統(tǒng)的運行過程中,不可避免的會出現(xiàn)各類故障，制定醫(yī)院信息系統(tǒng)應(yīng)急預(yù)案的目的是為了確保系統(tǒng)安全運行，保障醫(yī)院正常的醫(yī)療服務(wù)和就醫(yī)秩序，提高系統(tǒng)應(yīng)對突發(fā)事件的能力，將中斷時間、故障損失和社會影響降到最低程度。制定應(yīng)急預(yù)案，要注意一下幾點：

7.4.1組織保證。成立以院長為組長的應(yīng)急方案領(lǐng)導(dǎo)小組，負(fù)責(zé)全院應(yīng)急工作的組織協(xié)調(diào)。醫(yī)院信息系統(tǒng)幾乎涉及全院所有管理和業(yè)務(wù)部門，單純信息科或者幾個管理部門是無法組織和協(xié)調(diào)的，必須有院領(lǐng)導(dǎo)統(tǒng)一指揮協(xié)調(diào)。

7.4.2 制定應(yīng)急預(yù)案分級管理。根據(jù)故障的類別、故障的范圍和影響程度，將故障分級，針對不同的故障制定相應(yīng)的應(yīng)急預(yù)案。例如醫(yī)院網(wǎng)絡(luò)設(shè)備、服務(wù)器、醫(yī)保通信線路、應(yīng)用軟件、供電、病毒防范、業(yè)務(wù)應(yīng)用和工作站等應(yīng)急方案等。

7.4.3 嚴(yán)格掌握啟動應(yīng)急預(yù)案的條件。應(yīng)急狀態(tài)下的業(yè)務(wù)處理方式與正常時有很大差別，需要做許多準(zhǔn)備工作，啟動應(yīng)急預(yù)案需要調(diào)動大量的人力物力，給醫(yī)院正常工作很大挑戰(zhàn)，因此要嚴(yán)格掌握啟動應(yīng)急預(yù)案的條件，避免盲目啟動。

7.4.4 定期演練。制定應(yīng)急預(yù)案后，還要定期組織演練，以保證預(yù)案的切實可行，提高處理安全故障的應(yīng)急能力。

7.5 安全培訓(xùn)

安全培訓(xùn)分為信息科內(nèi)部的專業(yè)人員安全技術(shù)培訓(xùn)和全院系統(tǒng)使用人員的操作安全培訓(xùn)。信息科內(nèi)部培訓(xùn)主要是針對各類安全技術(shù)、安全策略和風(fēng)險防范；系統(tǒng)使用人員的操作培訓(xùn)，要由技術(shù)精湛的技術(shù)人員負(fù)責(zé)，定期開展，保證全員覆蓋，主要正對各類計算機設(shè)備的安全使用和日常維護(hù)保養(yǎng)。結(jié)束語

醫(yī)院信息系統(tǒng)是一個不間斷運行的系統(tǒng)，隨著醫(yī)院業(yè)務(wù)對其依賴性越來越強，風(fēng)險也隨之提高，一旦發(fā)生故障，將會給醫(yī)療服務(wù)和醫(yī)療秩序帶來很大影響。為此，必須在技術(shù)上、管理上、思想上對系統(tǒng)的實時性、安全性予以高度重視。醫(yī)院信息系統(tǒng)安全策略正是因此應(yīng)運而生，也必將隨計算機技術(shù)和醫(yī)院信息系統(tǒng)的發(fā)展不斷成熟完善。