GB∕T22081-2024《网络安全技术-信息安全控制》之52：“7物理控制-7.7清理桌面和屏幕”专业深度解读和应用指导材料（雷泽佳编制-2025A0）

GB∕T22081-2024《网络安全技术——信息安全控制》之52：“7物理控制-7.2清理桌面和屏幕”专业深度解读和应用指导材料GB∕T22081-2024《网络安全技术——信息安全控制》之52：“7物理控制-7.7清理桌面和屏幕”专业深度解读和应用指导材料（雷泽佳编制-2025A0）GB∕T22081-2024《网络安全技术——信息安全控制》 GB∕T22081-2024《网络安全技术——信息安全控制》7物理控制7.7清理桌面和屏幕7.7.1属性表清理桌面和屏幕属性表见表53。表53：清理桌面和屏幕属性表网络空间安全概念运行能力7物理控制7.7清理桌面和屏幕7.7.1属性表清理桌面和屏幕见表53。 “表53：清理桌面和屏幕”属性表解析属性维度属性值属性涵义解读属性应用说明与实施要点控制类型#预防(1)通用涵义：预防性控制是指通过事前设定的规则、流程和技术手段，降低信息安全事件发生的可能性，是信息安全防护体系中最基础、最核心的控制类型；

(2)特定涵义：预防性控制体现为通过管理规范、设备策略、物理防护等手段，预先识别并消除因桌面未清理、屏幕未锁定等行为导致的信息泄露、未授权访问等风险；例如，设定自动锁屏策略、制定物理文件归档规范、部署终端监控工具等，均属于典型的预防控制措施。1)制定《桌面与屏幕清理管理规范》，明确锁屏时间（如≤5分钟）、敏感文件的存放要求（如上锁柜子）、打印输出处理流程等；

2)部署终端安全管理平台，自动检测并提醒未锁屏设备，对违反策略行为进行告警或记录审计日志；

3)开展“安全离岗行为”培训，强化员工在短暂离开工作区域时主动锁屏、整理桌面的意识和规范操作；

4)对关键岗位人员实施强制锁屏策略与桌面清理检查机制，确保高敏感环境的持续安全。信息安全属性#保密性(1)通用涵义：保密性是信息安全三大基本属性之一（保密性、完整性、可用性），是指确保信息仅对授权人员可访问，防止未经授权的泄露或披露；

(2)特定涵义：保密性特别强调对物理介质（如纸质文件、电子屏幕）的保护，防止因未锁定屏幕、未收起纸质材料等行为造成的信息泄露，尤其在开放办公环境、共享空间、会议演示等场景中尤为重要。1)建立敏感文件分类管理制度，依据信息等级设定上锁或销毁要求；

2)所有终端设备必须配置自动锁屏功能，且锁屏密码应符合复杂性要求；

3)在会议室、开放办公区等场所，禁止在屏幕上显示敏感信息，必要时应关闭弹窗或通知；

4)实施打印输出的身份验证机制（如刷卡打印），确保文件仅授权人员可取，避免被他人拾取造成泄密。网络空间安全概念#防护(1)通用涵义：防护是网络空间安全的核心概念之一，指通过技术、管理、物理等多维度控制措施，构建多层次、主动的防御体系，以抵御各类安全威胁；

(2)特定涵义：防护体现为对物理办公环境和数字终端设备的综合保护，防止因物理访问失控、屏幕暴露、桌面未清理等行为导致的未授权访问或信息泄露，是纵深防御体系中的基础环节。1)实施办公区域访问控制，限制非授权人员进入敏感区域；

2)部署视频监控系统，对重点区域进行录像审计，提升物理防护能力；

3)结合零信任架构，对终端访问权限进行动态评估与控制，确保未锁定设备无法被访问；

4)定期进行物理环境与桌面状态的抽查审计，识别并整改防护漏洞。运行能力#物理安全(1)通用涵义：运行能力中的“物理安全”是指保障信息系统物理资产（如服务器、终端、介质、设施）不被破坏、丢失或未授权访问的能力，是信息安全运行体系中的关键支撑能力；

(2)特定涵义：物理安全强调终端设备、存储介质、纸质材料等在办公环境中的安全状态管理；例如，设备未锁定、文件未收起、介质随意放置等行为可能造成物理访问风险，需通过物理防护手段进行控制和管理。1)所有终端设备应配备物理锁具，并固定在办公桌或机柜中，防止被盗或被非法使用；

2)敏感纸质文件应存放在带锁文件柜中，废弃文件需通过碎纸机处理，避免信息泄露；

3)员工离职或调岗时，应进行桌面清理与介质回收检查，确保无敏感信息遗留；

4)设立办公环境安全检查机制，定期开展物理安全专项巡检，发现并纠正不安全行为。安全领域#防护(1)通用涵义：安全领域中的“防护”是指信息安全管理体系中所有用于防御潜在威胁、防止安全事件发生的控制措施和策略的总和，涵盖技术、管理、物理等多个层面；

(2)特定涵义：防护体现为通过物理访问控制、终端设备管理、环境安全检查等手段，实现对信息资产的持续保护；特别在员工离岗、办公环境开放等场景下，防止因未锁屏、未整理桌面而造成的信息泄露或未授权访问。1)分层防护体系建设：从物理环境（如门禁、监控）到终端设备（如锁屏、加密），构建多层级防护体系，确保信息不被未授权访问；

2)动态策略调整机制：根据组织业务变化与风险等级，动态调整锁屏策略、文件管理要求等防护措施；

3)安全事件应急响应机制：建立桌面安全管理应急机制，如发现设备遗失、文件泄露等情况，能快速响应与处置，防止事态扩大；

4)教育与文化建设：定期开展桌面安全意识培训，将“清理桌面、锁定屏幕”纳入员工日常行为规范，形成良好的安全文化氛围。GB∕T22081-2024《网络安全技术——信息安全控制》 GB∕T22081-2024《网络安全技术——信息安全控制》7.7.2控制宜定义并适当地执行纸质和可移动存储媒体的桌面清理规则和信息处理设施的屏幕清理规则。7.7.2控制“7.7.2控制”解读和应用说明表“7.7.2（清理桌面和屏幕）控制”解读和应用说明表内容维度“7.7.2（清理桌面和屏幕）控制”解读和应用说明本条款核心控制目标和意图本条款旨在通过建立并执行系统化的桌面与屏幕清理规则，从物理层面对纸质文件、可移动存储媒体及信息处理设施屏幕进行规范管理，核心目标是预防因信息暴露导致的未授权访问、泄露或滥用，构建物理环境下的信息安全基础防线，确保信息在办公场景中的保密性与可控性。本条款实施的核心价值1)降低物理层面信息泄露风险：通过明确清理规则，减少敏感信息在桌面、屏幕等易暴露区域的留存时间，避免未经授权人员接触；2)强化全员安全意识：将清理行为纳入日常操作规范，推动形成“最小暴露”的安全文化；3)支撑合规性要求：满足GB/T22081-2024中物理控制的基础要求，为信息安全管理体系（ISMS）合规性审计提供依据；4)补充技术控制短板：与逻辑访问控制（如加密、权限管理）形成协同，覆盖物理与数字环境的安全盲区。本条款深度解读与内涵解析“宜定义并适当地执行纸质和可移动存储媒体的桌面清理规则和信息处理设施的屏幕清理规则。”

1)“宜定义并适当地执行”：“宜定义”强调组织需结合自身业务场景（如开放办公区、保密会议室）、信息敏感等级（如公开信息、商业秘密）制定差异化规则，避免形式化。例如，涉密部门需制定强制清理制度，普通办公区可采用弹性规范；“适当地执行”要求规则落地时兼顾安全性与工作效率，如通过自动化工具（终端管理平台）降低人工执行负担，同时建立监督机制（如定期抽查）确保有效性。

2)“纸质和可移动存储媒体的桌面清理规则”：纸质媒体涵盖各类打印文件、手写记录等，规则应明确“使用后即时收纳”（如放入带锁文件柜）、“废弃时安全销毁”（如碎纸处理）、“临时存放限制”（如禁止在开放桌面过夜）；可移动存储媒体（U盘、移动硬盘等）需规定“使用后立即收回”“标识敏感等级”“专人保管”，防止因遗忘、误放导致的介质丢失或信息泄露。

3)“信息处理设施的屏幕清理规则”：信息处理设施包括计算机、笔记本、平板等终端设备，规则需覆盖“主动锁屏”（离开工位时手动锁定）、“自动锁屏配置”（如≤5分钟无操作自动锁屏，密码复杂度符合要求）、“屏幕内容控制”（会议室投影结束后清除敏感信息、关闭消息弹窗）等场景，防止他人在非授权状态下获取屏幕信息。本条款实施要点与组织应用建议1)制度设计：制定《桌面与屏幕清理管理规范》，明确不同区域（如办公位、会议室、打印区）、不同介质（纸质、电子）的清理标准、责任部门及奖惩机制；

2)技术支撑：部署终端安全管理平台，自动检测未锁屏设备并发出提醒，记录违规行为作为审计依据；为打印机配置身份验证功能（如刷卡打印），避免输出文件被误取；

3)人员管理：开展专项培训，通过案例（如因未锁屏导致的信息泄露事件）强化员工“离岗即清理”意识；对关键岗位（如财务、研发）实施强制锁屏策略与定期桌面检查；

4)场景细化：会议室需规定“会后白板擦除”“投影设备重启清除缓存”；开放办公区禁止在屏幕显示敏感信息；员工离职或调岗时，需专项检查桌面与存储介质，确保无敏感信息遗留；

5)持续改进：定期收集清理过程中的问题（如锁屏功能与业务系统冲突），动态调整规则；将清理合规性纳入安全绩效考核，形成闭环管理。“7.7.2控制”条款与GB/T22080-2025相关条款的逻辑关联关系；“7.7.2控制”与GB/T22080相关条款的逻辑关联关系分析表关联GB/T22080条款及主题事项逻辑关联关系分析关联性质7.5.3成文信息的控制（成文信息的存储与保护）清理桌面规则需作为成文信息（如安全规程）进行控制，确保其在需要时可获取并受保护（如避免保密性损失），符合7.5.3a-b要求；同时，敏感纸质文件的带锁存放、废弃文件碎纸处理等具体规则也需通过成文信息明确，符合存储与保护的细化要求。实施依据7.3意识（人员安全意识）员工需通过安全意识培训（7.3b）理解清理桌面规则的重要性及其对信息安全的贡献（如防止信息泄露），尤其需强化“离岗即锁屏”“敏感文件即时收纳”等场景化操作意识，确保规则有效执行。支持保障8.1运行策划和控制（过程执行与变更管理）清理桌面规则作为“运行过程”需按8.1要求策划、控制并保留成文信息；规则变更时需遵循变更控制流程（8.1第二段），且需结合不同场景（如开放办公区、会议室）制定差异化执行标准，确保安全性与工作效率平衡。执行框架8.2.1访问控制策略（物理与逻辑访问控制）桌面清理中的敏感文件上锁存放、终端设备物理锁具固定等措施，是物理访问控制策略的具体体现，与逻辑访问控制（如自动锁屏密码）协同形成访问控制体系，符合“限制未授权访问”的核心目标。策略协同9.1监视、测量、分析和评价（控制措施有效性验证）清理规则的执行情况需作为“信息安全控制”（9.1a）被监视和测量，通过终端管理平台日志审查、现场抽查（如桌面状态检查、锁屏功能测试）等方式验证其有效性（9.1b），确保符合物理安全要求。效果验证“7.7.2控制”与GB∕T22081-2024其他条款逻辑关联关系。“7.7.2控制”与GB∕T22081-2024其他条款逻辑关联关系分析表关联GB∕T22081条款及主题事项逻辑关联关系分析关联性质5.1信息安全策略（制定和传达特定主题策略，包括信息安全方针）7.7.2要求组织制定清理桌面和屏幕的特定主题策略，并将其传达给所有相关方。这直接依赖于5.1中的信息安全策略框架，后者为所有控制（包括物理控制）提供高层指导和批准机制。5.1的策略定义确保7.7.2的规则与组织整体信息安全方针一致，并明确责任。依赖：7.7.2的实施需要5.1的策略支持。5.9信息及其他相关资产的清单（识别和登记资产，分配所有权）7.7.2涉及敏感或关键商业信息（如纸质文件、可移动媒体）的保护，需基于资产清单（5.9）识别哪些资产需重点清理。5.9的资产登记和分级帮助确定清理优先级（如高敏感资产必须上锁），资产拥有者职责（5.9.4.3）确保清理责任落实到人。互补：5.9提供资产基础数据，7.7.2据此执行具体保护措施。5.10信息及其他相关资产的可接受使用（定义资产使用规则和处理规程）7.7.2的清理规则是5.10可接受使用规程的具体体现。例如，5.10要求信息分级处理（5.12）和临时副本保护，7.7.2的指南（a、e、g）直接操作化这些要求（如锁敏感信息、清除白板）。两者共同确保信息生存周期内的一致保护。扩展：7.7.2将5.10的使用规则细化为日常清理操作。5.11资产归还（任用变更或终止时归还资产）7.7.2中“组织在腾空设施时宜有适当的规程，包括在离开前进行最后的清理”与5.11资产归还直接关联。资产归还时，清理桌面和屏幕是确保资产（如设备、文件）无残留敏感信息的必要步骤，避免信息随资产转移而泄露。衔接：7.7.2的设施清理是5.11资产归还过程的重要环节。5.12信息分级（基于保密性、完整性、可用性对信息分级）7.7.2的清理措施（如锁定敏感信息、安全处置文件）需依据信息分级（5.12）确定保护级别。5.12的分级方案（如保密级别）直接指导7.7.2中哪些信息需更严格清理（例如高分级信息必须物理上锁）。依赖：7.7.2的清理强度依赖5.12的分级结果。5.13信息标记（制定并实施信息标记规程）7.7.2要求清除显示设备上的敏感信息（如白板），而5.13的信息标记（如物理标记、元数据）帮助快速识别需清理的分级信息。标记规程（5.13.4）确保清理时正确处理标记信息，避免未授权访问。互补：5.13的标记便于7.7.2的清理目标识别和执行。6.3信息安全意识、教育和培训（提供安全意识和培训，确保人员履行责任）7.7.2要求将清理规则传达给所有相关方，这直接通过6.3的意识培训实现。6.3的培训内容（如报告安全事态）涵盖清理规程，确保用户理解桌面/屏幕清理的重要性（如无人时锁设备），并支持7.7.2的有效执行。支持：6.3的人员教育是7.7.2规则落地的关键保障。7.1物理安全边界（定义安全边界，保护资产区域）7.7.2是7.1物理安全边界的延伸操作。7.1的边界设计（如安全区域）为桌面清理提供环境基础；清理规则（如锁文件柜）强化边界内资产的即时保护，防止未授权访问（如外部入侵者利用未清理桌面）。扩展：7.7.2在7.1的边界内实施精细化物理控制。7.2物理入口（控制入口点，授权物理访问）7.7.2的清理措施（如设备保护）与7.2的入口控制互补。7.2限制谁可进入区域，减少未授权人员接触桌面的风险；而7.7.2确保即使授权人员进入，未使用信息也不暴露（如屏幕锁定）。两者共同防御物理访问威胁。互补：7.2控制“谁可进入”，7.7.2控制“进入后信息暴露”。7.3办公室、房间和设施的安全保护（设计办公室和设施物理安全）7.7.2是7.3的具体实践。7.3要求设施配置防止保密信息外泄（如隔音），7.7.2的清理规则（如清除白板、弹窗配置）直接操作化此要求，确保办公室内信息在非使用状态时不泄露。实施：7.7.2将7.3的安全设计转化为日常行为规范。7.4物理安全监视（持续监视场所，检测未授权访问）7.7.2的清理失败（如未锁敏感文件）可能被7.4的监视（如闭路电视）检测到。7.4提供事后审计能力，支持7.7.2的合规性验证（如通过录像检查清理执行情况），并威慑违规行为。监控：7.4监视为7.7.2提供执行监督和证据收集。7.6在安全区域工作（实施安全区域内工作措施）7.7.2是7.6的核心组成部分。7.6要求在安全区域工作时保护资产（如避免无人监督），7.7.2的清理规则（a、c、g）具体规定如何实现（如锁信息、清屏幕）。两者共同确保区域内的实时信息安全。整合：7.7.2的清理是7.6工作措施的关键内容。7.8设备安置和保护（安全安置和保护设备）7.7.2中“在不使用或无人看管时，通过钥匙锁或其他安全手段保护用户终端设备”是7.8设备保护的具体措施。7.8要求设备安置减少未授权访问风险，7.7.2的屏幕清理和设备锁定直接响应这一要求，形成设备全场景保护。细化：7.7.2是7.8设备保护在使用间隙的具体操作。7.9组织场所外的资产安全（保护外部场所资产）7.7.2适用于外部场所（如远程工作），与7.9直接接口。7.9要求设备在公共场所防窥视（如谨慎使用设备），7.7.2的屏幕清理（c、f）和物理保护（b）是其延伸（如使用防窥屏膜、锁设备）。扩展：7.7.2将清理规则应用到7.9的外部环境。7.10存储媒体（管理存储媒体生存周期）7.7.2涉及可移动媒体的清理（e）与7.10直接重叠。7.10的媒体处理规程（如安全存放、处置）被7.7.2引用，确保桌面上的媒体（如USB）按分级安全处置。两者共同覆盖媒体从使用到处置的全过程。互补：7.10提供媒体处置标准，7.7.2执行桌面媒体清理。7.14设备的安全处置或重复使用（处置或重用设备前清理敏感数据）7.7.2中清理桌面和屏幕的敏感信息（如纸质文件、电子数据）是7.14设备安全处置的前置步骤。设备处置前，需通过7.7.2的清理确保表面信息已清除，避免在搬运或处置过程中泄露。前置：7.7.2的清理为7.14设备安全处置提供基础。8.1用户终端设备（保护终端设备信息）7.7.2的屏幕清理（c、f）与8.1技术控制直接交互。8.1要求配置设备安全（如自动退出登录），7.7.2操作化此要求（如启用屏幕锁）；8.1.4.3（BYOD）的隔离措施支持7.7.2的清理一致性。整合：7.7.2的屏幕清理是8.1设备保护的行为层面实现。8.5安全鉴别（实施安全的鉴别技术和规程）7.7.4中“使用具有鉴别功能的打印机，确保发起者唯一取走输出”依赖8.5的安全鉴别技术。8.5确保打印机输出仅授权人可取，减少因打印文件未及时清理导致的信息暴露，与7.7.2形成闭环控制。支持：8.5的鉴别技术强化7.7.2中打印输出的清理效果。8.10信息删除（安全删除信息）7.7.2的敏感信息清除（如白板、屏幕）需采用8.10的安全删除方法。8.10提供技术规程（如覆写），确保清理后信息不可恢复（如电子屏幕数据），而7.7.2是其在物理/界面层的应用。依赖：7.7.2的清理效果依赖8.10的删除技术保障。GB∕T22081-2024《网络安全技术——信息安全控制》 GB∕T22081-2024《网络安全技术——信息安全控制》7.7.3目的减少在正常工作时间内外，办公桌、屏幕和其他可访问地点上的信息发现未经授权的访问、丢失和损坏的风险。7.7.3目的“7.7.3（清理桌面和屏幕）目的”解读说明表内容维度“7.7.3（清理桌面和屏幕）目的”解读说明表总述：本条款的核心意图与定位本条款核心意图是在工作时间内外，通过规范员工对办公桌、屏幕及其他信息可见区域的管理，降低信息被未经授权访问、丢失或损坏的风险；该条款属于第7章“物理控制”下的关键子项，是物理安全防护体系的基础环节，旨在通过强化物理空间中信息暴露的管控，建立“最小暴露”的安全环境，支撑组织信息安全整体防线。本条款实施的核心价值和预期结果本条款的核心价值在于：通过制度化、规范化的桌面与屏幕清空机制，防止敏感信息在非受控环境中被不当暴露，从而有效降低因信息泄露、窃取或误操作导致的数据安全事件风险；预期结果包括但不限于：

1)显著减少因员工疏忽或外部人员不当接触导致的信息泄露事件；

2)增强员工对信息保密责任的认知与执行力；

3)提升组织对敏感信息的物理控制能力；

4)为后续信息安全审计、合规检查提供明确的管理依据；

5)与访问控制（如7.2物理入口）、设备保护（如7.8设备安置）等条款形成协同，覆盖物理安全全场景。本条款的本意与未来演进趋势1)本条款旨在回应当前信息泄露事件中因“视觉暴露”引发的安全问题，尤其是在远程办公、共享办公、开放式办公等新型工作模式下，信息暴露风险显著上升；

2)未来，随着智能办公设备（如大屏会议系统、电子白板、智能工牌）的普及，信息可视化控制的范围将进一步扩展，条款内容也可能随之更新，以涵盖更多技术场景和使用环境；

3)通过此条款可推动组织从“人防+技防”双角度出发，将物理环境信息管控融入日常运营，形成常态化安全文化，建立更全面的信息安全防护体系；本条款深度解读与内涵解析“减少在正常工作时间内外，办公桌、屏幕和其他可访问地点上的信息发现未经授权的访问、丢失和损坏的风险。”

-“正常工作时间内外”：强调控制措施应全天候适用，不仅限于员工在岗期间，也包括员工短暂离开、下班后、节假日等信息暴露可能增大的时段，体现“持续防护”的核心思想；

-“办公桌、屏幕和其他可访问地点”：不仅指传统办公区域，还涵盖会议室、休息区、接待区、打印区等可能存在信息暴露风险的公共或半公共空间，包括临时存放信息的储物柜、车辆等场所；“屏幕”涵盖计算机、手机、平板、会议投影等所有电子显示设备；

-“信息发现”：包括纸质文档、电子文档、屏幕显示内容、便签、手写笔记等任何形式的信息载体，特别包含U盘、移动硬盘等可移动存储介质；

-“未经授权的访问”：强调信息的保密性控制，防止未经授权的人员（包括内部员工、外部访客、服务人员等）接触敏感或机密信息，符合“最小权限”原则；

-“丢失和损坏”：涵盖信息的完整性与可用性控制，防止因信息丢失导致业务中断或数据不可用；同时包括信息载体（如文件、设备）的物理损坏风险，覆盖信息全生命周期的物理安全。

综上，该条款旨在通过控制信息在物理可见环境中的暴露程度，实现对信息保密性、完整性与可用性的多维度保护。GB∕T22081-2024《网络安全技术——信息安全控制》 GB∕T22081-2024《网络安全技术——信息安全控制》7.7.4指南组织宜制定清理桌面和屏幕的特定主题策略，并将其传达给所有相关方。宜考虑以下指南：a)当敏感或关键的商业信息(例如，纸质或电子存储媒体上的信息)不需要使用时，尤其是办公室没人时，把这些信息锁起来，最好是放在保险箱、储藏柜或其他形式的安全家具中：b)在不使用或无人看管时，通过钥匙锁或其他安全手段保护用户终端设备；c)在无人看管时，让用户终端设备退出登录或使用由用户鉴别机制控制的屏幕和键盘锁定机制进行保护。所有计算机和系统都宜配置超时或自动退出登录功能;d)让发起者立即取走打印机或多功能设备的输出，使用具有鉴别功能的打印机，这样发起者将是唯一能得到打印输出的人，而且只有当其站在打印机旁边时才能取走它;e)安全地存放包含敏感信息的文件和可移动存储媒体，并在不再需要时，使用安全处置机制将其丢弃；f)建立和传达屏幕弹窗配置的规则和指南(例如，如有可能，在演示、屏幕共享或公共场所时，关闭新邮件和新消息弹窗);g)当不再需要时，清除白板和其他类型显示设备上的敏感或关键信息。组织在腾空设施时宜有适当的规程，包括在离开前进行最后的清理，以确保没有留下组织的资产(例如，文件落在抽屉或家具后面)。7.7.4指南本指南条款核心涵义解析（理解要点解读）；“7.7.4（清理桌面和屏幕)指南”条款核心涵义解析（理解要点解读）说明表7.7.4子条款原文子条款核心涵义解析（理解要点详细解读）7.7.4指南旨在要求组织制定关于清理桌面和屏幕的特定主题策略并传达给所有相关方，通过对敏感信息、终端设备、打印输出、存储媒体、屏幕弹窗、临时显示设备及设施腾空等场景的规范，实现物理环境中信息的安全管控a)当敏感或关键的商业信息(例如，纸质或电子存储媒体上的信息)不需要使用时，尤其是办公室没人时，把这些信息锁起来，最好是放在保险箱、储藏柜或其他形式的安全家具中：办公环境中敏感信息的物理隔离与防护要求：本条款明确针对“敏感或关键的商业信息”（涵盖纸质文件、电子存储媒体等载体）在非使用状态下的安全控制。核心涵义在于强调信息在“不需要使用时”（包括临时闲置、午休、下班等所有非活跃场景），特别是“办公室没人时”的物理防护责任，要求通过“锁起来”的方式实现隔离，优先选择保险箱、储藏柜等安全家具，从物理层面切断未经授权访问的路径。标准编制者意图通过此条款建立“信息非使用即受控”的原则，确保敏感信息在任何脱离使用者直接管控的状态下均处于安全保护中。b)在不使用或无人看管时，通过钥匙锁或其他安全手段保护用户终端设备；用户终端设备的物理安全防护要求：本条款聚焦用户终端设备（如计算机、笔记本、平板、智能手机等）在“不使用”或“无人看管”状态下的安全保护。核心涵义是将终端设备本身视为信息安全的载体，要求采用“钥匙锁”（如设备锁、机柜锁）或“其他安全手段”（如防盗支架、安全绳、防拆报警装置等）进行物理防护，防止设备被盗、被非法接触或挪用。标准编制者期望通过此条款明确终端设备的保管责任，将设备物理安全纳入整体信息安全防护体系，避免因设备失控导致的信息泄露风险。c)在无人看管时，让用户终端设备退出登录或使用由用户鉴别机制控制的屏幕和键盘锁定机制进行保护。所有计算机和系统都宜配置超时或自动退出登录功能；终端设备的访问控制与自动防护机制要求：本条款强调终端设备在“无人看管时”的逻辑访问控制，要求通过“退出登录”或“屏幕和键盘锁定机制”（由密码、生物识别等用户鉴别机制控制）实现保护。核心涵义在于明确技术层面的自动防护要求，即“所有计算机和系统”均需配置“超时或自动退出登录功能”，确保设备在闲置达到设定时间后自动进入受保护状态，从技术上阻断未授权操作。标准编制者意在通过此条款建立“人离设备即保护”的自动化机制，减少人为疏忽导致的安全漏洞。d)让发起者立即取走打印机或多功能设备的输出，使用具有鉴别功能的打印机，这样发起者将是唯一能得到打印输出的人，而且只有当其站在打印机旁边时才能取走它；打印输出的全流程安全管控要求：本条款针对打印输出环节的信息安全，核心涵义包括两方面：一是要求打印发起者“立即取走”输出文件，避免文件在打印机旁滞留被他人获取；二是通过“具有鉴别功能的打印机”（如支持刷卡、输入PIN码等身份验证的设备）确保打印输出的“唯一性”和“即时性”，即只有发起者在现场验证身份后才能取走文件。标准编制者意图通过此条款消除打印环节的信息暴露风险，建立“谁发起、谁领取、谁负责”的追溯机制。e)安全地存放包含敏感信息的文件和可移动存储媒体，并在不再需要时，使用安全处置机制将其丢弃；敏感信息载体的全生命周期安全管理要求：本条款覆盖包含敏感信息的“文件”（纸质）和“可移动存储媒体”（如U盘、移动硬盘等）的存储与销毁环节。核心涵义在于强调“安全存放”（如带锁文件柜、加密存储）与“安全处置”（如碎纸机销毁纸质文件、数据擦除或物理销毁电子介质）的全生命周期管控，确保敏感信息在存储阶段不泄露、在不再需要时无法被恢复。标准编制者期望通过此条款建立信息载体从使用到终结的闭环安全管理，避免因存储不当或处置随意导致的信息泄露。f)建立和传达屏幕弹窗配置的规则和指南(例如，如有可能，在演示、屏幕共享或公共场所时，关闭新邮件和新消息弹窗);屏幕弹窗的情境化安全控制要求：本条款聚焦屏幕弹窗可能导致的信息泄露风险，核心涵义是要求组织“建立和传达”明确的弹窗配置规则，特别是在“演示、屏幕共享或公共场所”等信息易暴露的场景中，需关闭新邮件、新消息等可能包含敏感内容的弹窗。标准编制者意图通过此条款引导组织根据使用场景动态调整终端显示设置，避免非预期的信息展示，体现“情境适配”的安全管理理念，确保信息展示符合最小必要原则。g)当不再需要时，清除白板和其他类型显示设备上的敏感或关键信息。临时显示设备的信息即时清除要求：本条款针对“白板”及“其他类型显示设备”（如电子白板、投影幕布、电子看板等）上的敏感或关键信息，核心涵义在于强调“不再需要时”的即时清除责任，确保这些临时展示载体在使用完毕后不遗留敏感信息。标准编制者期望通过此条款建立“使用即清理”的习惯，避免因临时信息未及时清除被未经授权人员查看、记录（如拍照）导致的泄露风险，突出对临时性信息载体的动态管控。组织在腾空设施时宜有适当的规程，包括在离开前进行最后的清理，以确保没有留下组织的资产(例如，文件落在抽屉或家具后面)。设施腾空时的资产与信息清场要求：本条款针对组织腾空设施（如搬迁、退租、装修等场景）的特殊环节，核心涵义是要求建立“适当的规程”，明确“离开前最后的清理”责任，确保不遗留任何“组织的资产”（包括纸质文件、电子介质、存储设备等所有可能承载信息的资产），例如防止文件遗落在抽屉、家具后面等隐蔽位置。标准编制者意图通过此条款覆盖物理空间变更时的信息安全盲区，避免因设施交接导致的资产流失或信息泄露，体现全场景、全周期的安全管控思路。实施本指南条款应开展的核心活动要求；实施“7.7.4（清理桌面和屏幕)指南”条款应开展的核心活动要求说明表7.7.4子条款主题事项具体对应所需开展的核心活动核心活动具体实施要点及要求说明开展核心活动时需特别注意事项a)敏感信息锁闭保护-制定敏感信息锁闭管理制度；

-配置安全存储设施（如保险柜、带锁文件柜）；

-明确锁闭时间要求（如下班后、会议期间、办公室没人时等）；

-对敏感纸质和电子介质进行分类存储；

-对员工进行锁闭操作培训。-按照信息分类标准划分需锁闭内容；

-安全设施应具备物理安全性与防盗认证；

-对无人值守时的锁闭要求进行定期审计；

-对锁具权限进行控制与记录；

-建立锁闭操作检查机制。-避免锁闭后钥匙随意放置；

-定期检查锁闭设施有效性；

-电子介质锁闭应与数据加密结合使用。b)用户终端设备防护-制定终端设备安全使用规范；

-配置带锁键盘、设备锁孔及锁具；

-实施设备使用登记与责任人制度；

-培训员工识别非授权移动风险；

-对设备使用进行定期安全巡检。-终端设备宜加装物理锁或使用带锁机柜；

-设备应设置使用人责任标识；

-无人看管时必须上锁；

-便携设备应设置防盗链或锁具；

-设备移动前应进行安全检查与登记。-避免设备锁具失效或老化；

-注意非办公时间设备监管；

-定期更新设备锁具配置。c)终端退出登录与自动锁定-部署统一终端安全策略；

-配置操作系统自动锁定机制；

-设置登录超时阈值（如≤5分钟）；

-安装终端屏幕锁定工具；

-对员工进行锁定操作培训。-所有终端设备必须启用自动退出登录功能；

-锁定机制应支持用户身份鉴别（如密码、指纹）；

-系统应记录锁定/解锁日志；

-对自动锁定功能进行定期测试；

-在共享设备上强化锁定策略。-避免设置过长的超时时间；

-确保锁定机制不可被绕过；

-注意锁定策略与组织安全策略兼容。d)打印输出安全控制-部署安全打印系统；

-配置打印输出验证机制；

-建立打印输出即时取回制度；

-对打印设备进行权限管理；

-对员工进行打印操作培训。-所有打印任务需经用户身份验证后方可输出；

-打印完成应立即取走，避免信息泄露；

-打印设备应设置于受控区域；

-对未取走打印材料进行定期清理；

-打印任务应支持撤销与日志审计。-避免多人共享打印输出；

-防止未验证打印输出被他人获取；

-定期审查打印日志与异常行为。e)安全存储与处置敏感信息-制定敏感文件与介质管理规范；

-配置安全存储区域（如带锁柜、保密室）；

-实施介质使用与销毁登记制度；

-采用专业销毁设备（如碎纸机、介质粉碎机）；

-对员工进行存储与销毁操作培训。-所有敏感文件与介质应集中管理并加锁保存；

-废弃介质不得随意丢弃，必须进行不可恢复销毁；

-销毁过程需有监督并记录；

-存储区域应设置访问控制措施；

-对移动介质进行使用审批与登记。-避免介质销毁不彻底；

-不得将敏感介质带离办公区域；

-注意销毁过程中的环境合规性。f)屏幕弹窗配置管理-制定屏幕弹窗控制策略；

-配置统一终端弹窗控制策略；

-对演示与共享场景进行弹窗屏蔽设置；

-启用系统级弹窗抑制机制；

-对员工进行弹窗设置培训。-屏幕弹窗应在公共场合、演示或远程共享时自动关闭；

-弹窗策略应与用户角色权限挂钩；

-弹窗内容不得泄露敏感信息；

-弹窗配置应在所有系统中统一部署；

-定期审核弹窗策略执行情况。-避免因弹窗暴露邮件内容或系统通知；

-注意策略兼容性与用户体验平衡；

-定期更新弹窗策略以应对新风险。g)白板与显示设备信息清除-制定白板使用与清理规范；

-配置显示设备自动关闭机制；

-建立使用记录与责任人制度；

-对员工进行显示设备使用与清理培训；

-设置使用结束后的自动清除提醒。-白板等显示设备（含电子白板、投影幕布等）使用后应立即清除敏感信息；

-显示设备应在无人看管时自动关闭；

-敏感信息不得长期显示在未控制区域；

-对会议结束后设备状态进行检查；

-使用数字白板时应启用自动擦除功能。-避免遗忘擦除敏感信息；

-注意数字白板缓存数据的清除；

-防止信息在未授权区域暴露。h)设施腾空前的最后清理-制定设施腾空前安全检查流程；

-编制设施腾空检查清单；

-开展设施腾空前资产清查；

-对员工进行腾空操作培训；

-记录腾空过程与确认签字。-所有文件、设备、介质在设施腾空前应彻底清查；

-不得遗漏抽屉、家具后面等隐蔽死角；

-所有信息资产应登记并归还或处置；

-对腾空过程进行监督与确认；

-腾空前应关闭并断电所有设备。-避免遗漏敏感介质或设备；

-注意腾空后环境的物理安全；

-建议腾空后进行安全审计。“清理桌面和屏幕”实施指南工作流程“清理桌面和屏幕”实施工作流程表一级流程二级流程三级流程流程活动实施和控制要点描述流程输出与所需成文信息敏感信息物理保护文件与介质管理敏感信息锁存机制-制定敏感信息分类标准，明确需锁存的纸质与电子文件、可移动存储媒体范围；

-设定锁存条件，如非使用时段、无人值守期间，尤其是办公室没人时等；

-明确锁存容器类型（保险箱、储藏柜或其他形式的安全家具）与存放位置；

-建立锁存责任制度，指定责任人管理锁具与钥匙，避免钥匙随意放置；

-定期检查锁存执行情况，确保物理安全性与防盗认证；-敏感信息锁存管理制度；

-文件与介质分类清单；

-锁存设施清单及责任人分配表；

-锁闭操作检查记录；设备安全控制终端设备防护设备锁定机制-配置用户终端设备的钥匙锁或其他安全手段（如防盗支架、安全绳）；

-规定设备在不使用或无人看管时必须锁定的场景与时机；

-明确授权人员使用设备解锁流程，对锁具权限进行控制与记录；

-设备借用、归还时的锁定状态检查机制，移动前进行安全检查与登记；

-建立设备失窃或遗失的应急响应流程，实施设备使用登记与责任人制度；-设备使用与锁定操作手册；

-终端资产登记与管理台账（含设备锁具配置信息）；

-设备锁定状态检查记录；

-设备移动安全审批表；用户会话管理终端访问控制自动登出与屏锁机制-设置用户终端设备在闲置状态下的自动登出时间阈值（如≤5分钟）；

-启用带用户鉴别机制（如密码、指纹）的屏幕锁定功能，确保仅授权用户可恢复会话；

-对所有计算机和系统配置超时自动登出功能；

-培训员工正确使用屏锁与登出功能，强化“离岗即锁定”意识；

-定期审计自动登出与屏锁机制的有效性，确保不可被绕过；-会话管理策略（含超时阈值设定）；

-系统自动登出配置文档；

-屏幕锁定使用培训材料；

-锁定机制有效性测试报告；打印输出管理输出安全控制输出保护与身份验证-部署具备身份验证功能的打印系统（如刷卡、PIN码登录打印），确保发起者唯一取走输出；

-设置打印任务在用户身份验证后才释放输出，仅当发起者站在打印机旁边时才能取走；

-要求打印发起者在输出后立即取走文件，避免滞留；

-在打印区域设置监控或专人值守，对未取走打印材料进行定期清理；

-建立打印输出未取走的处理流程及异常行为审查机制；-打印输出安全控制制度；

-打印系统身份验证配置说明；

-打印任务日志与监控记录；

-未取走打印材料处置记录；信息销毁与设备清理敏感信息处置安全销毁与清理机制-制定包含敏感信息的文件与存储介质的销毁标准与流程；

-明确销毁方式（如碎纸机销毁纸质文件、数据擦除软件处理电子介质、物理摧毁存储设备）；

-规定销毁责任人与监督机制，确保销毁过程可追溯；

-对白板、电子屏等展示设备，当不再需要时立即清除敏感或关键信息，包括数字白板缓存数据；

-建立销毁记录与监督报告制度，避免介质销毁不彻底；-敏感信息销毁制度；

-销毁方式与工具清单；

-销毁执行记录表（含监督人签字）；

-白板及显示设备清理检查记录；屏幕内容管理信息展示控制屏幕弹窗与内容显示管理-制定屏幕弹窗配置规则，限制敏感信息在非必要场合的显示；

-在演示、屏幕共享或公共场所等场景中，关闭新邮件、消息提醒等可能泄露敏感信息的弹窗；

-设置不同岗位用户的弹窗显示权限与内容范围，与用户角色权限挂钩；

-实施屏幕锁定与自动关闭机制，防止未经授权的信息泄露；

-定期评估弹窗配置策略的有效性，兼顾策略兼容性与用户体验；-屏幕显示管理策略（含弹窗控制规则）；

-弹窗配置操作指南；

-屏幕内容管理审核报告；

-弹窗策略更新记录；设施清空管理清理与资产回收设施腾空与资产清理-制定员工离职、调岗、组织腾空设施（如搬迁、退租）

时的桌面与设备清理规程；

-明确清理范围（文件、介质、设备、抽屉、家具后面等隐蔽位置）；

-建立资产回收与归还流程，确保无组织资产遗留在原位置，包括敏感介质或设备；

-设置清理完成确认机制（如主管检查、电子确认），腾空前关闭并断电所有设备；

-定期开展集中清理与安全审计，腾空后建议进行安全审计；-设施腾空与资产清理制度；

-离职/调岗/设施腾空资产回收清单；

-清理完成确认记录表（含签字确认）；

-腾空后安全审计报告；本指南条款实施的证实方式；“清理桌面和屏幕”实施活动的证实方式清单（审核检查单）核心主题活动事项实施的证实方式证实方式如何实施的要点详细说明所需证据材料名称制定并传达清理桌面和屏幕的特定主题策略成文信息评审、人员访谈-审查是否制定清理桌面和屏幕的特定主题策略，内容是否覆盖敏感信息存储、设备保护、屏幕锁定等全场景；

-确认策略是否明确不同场景（如开放办公区、保密会议室）的差异化要求；

-访谈不同岗位人员（含员工、承包商）是否知晓策略内容及自身职责；

-检查策略传达记录是否完整（如培训、公告、合同条款引用）。-清理桌面和屏幕的特定主题策略文档；

-策略传达记录（培训签到表、邮件回执、公告截图）；

-岗位说明书中涉及清理责任的条款敏感或关键商业信息的锁闭存储管理成文信息评审、现场观察、人员访谈-审查敏感信息分级标准及对应的锁存要求；

-现场检查办公室无人时，敏感纸质文件是否锁入保险箱/带锁文件柜，电子存储介质是否锁存；

-访谈敏感岗位人员（如财务、研发）是否执行“非使用即锁闭”原则；

-检查安全存储设施（保险箱、文件柜）的权限管理记录。-信息分级清单及敏感信息目录；

-安全存储设施（保险箱、文件柜）使用登记台账；

-敏感信息存取记录；

-无人办公区域敏感信息存放检查记录表用户终端设备的物理与逻辑保护成文信息评审、现场观察、技术工具验证-审查终端设备保护规程，是否明确物理锁具（钥匙锁、防盗支架）及逻辑锁定（自动锁屏、退出登录）要求；

-现场观察无人看管的终端设备（计算机、笔记本、平板）是否物理上锁或处于锁定状态；

-技术工具检测自动锁屏配置（如≤5分钟超时）及密码复杂度是否符合要求；

-检查终端设备物理锁具的维护与更换记录。-终端设备安全保护规程；

-终端自动锁屏配置截图及日志；

-物理锁具（钥匙锁、防盗支架）安装与使用记录；

-终端设备巡检记录（含锁定状态检查）打印输出的安全控制成文信息评审、现场观察、技术工具验证-审查打印输出管理规程，是否要求使用带鉴别功能的打印机（刷卡、PIN码）；

-现场验证打印输出是否需发起者身份验证后释放，且仅在现场时可获取；

-检查打印任务日志，确认未及时取走的输出是否按规定处理（如自动删除）；

-访谈员工是否执行“打印后立即取走”要求。-打印输出安全管理规程；

-打印机身份验证配置记录；

-打印任务日志（含取件人、时间）；

-未取走打印材料处置记录敏感信息载体的安全存储与处置成文信息评审、现场观察、技术工具验证-审查敏感文件及可移动存储媒体的存储与处置规程；

-现场检查敏感载体是否存放在带锁区域，可移动介质是否标识敏感等级；

-检查废弃敏感文件的碎纸记录、电子介质的销毁证明（如数据擦除报告、物理粉碎记录）；

-技术工具验证废弃电子介质数据是否不可恢复。-敏感载体存储与处置规程；

-可移动存储介质台账（含敏感等级标识）；

-碎纸机使用记录、电子介质销毁证明；

-数据擦除工具操作日志屏幕弹窗与显示设备信息控制成文信息评审、现场观察、技术工具验证-审查屏幕弹窗配置规则，是否明确演示、屏幕共享等场景的弹窗关闭要求；

-现场检查会议室、开放区的终端弹窗设置，是否关闭新邮件/消息弹窗；

-检查白板、电子白板、投影幕布等显示设备使用后是否清除敏感信息；

-技术工具验证数字白板缓存数据是否彻底清除。-屏幕弹窗配置管理规则；

-演示/共享场景弹窗设置截图；

-白板及显示设备清理记录（含电子白板缓存清除日志）；

-会议室使用后检查记录表设施腾空时的最终清理成文信息评审、现场观察、人员访谈-审查设施腾空清理规程，是否明确清理范围（含抽屉、家具后等隐蔽位置）；

-现场检查腾空后的设施，确认无遗留文件、介质等组织资产；

-访谈负责腾空的人员是否知晓清理要求及流程；

-检查清理完成后的确认记录（如主管签字、拍照存档）。-设施腾空安全清理规程；

-资产清查与回收清单；

-清理完成确认记录表（含签字）；

-腾空后环境检查照片本指南条款（大中型组织）最佳实践要点提示；“清理桌面和屏幕”指南条款最佳实践要点提示清单7.6.4子项主题/活动事项最佳实践示例概述具体操作要点及说明a)锁定敏感信息敏感纸质与电子介质安全存放中国工商银行在办公区域实施“双锁控制”制度，对所有含敏感信息的纸质文件和USB设备实行分级存放与权限管理。-对存有客户数据、财务报表、战略规划等敏感信息的纸质文档，统一使用带锁文件柜或保险柜存放；

-所有电子存储介质（U盘、移动硬盘、笔记本）在非使用状态下必须放入带生物识别门禁的专用存储柜；

-办公室无人时，须执行“清桌制度”，确保无裸露文件或设备；

-实施定期安全巡检，记录存储设备状态与责任人变动情况。b)保护用户终端设备终端设备物理安全控制国家电网公司采用“终端锁定+物理锁+门禁联动”三重机制，确保无人看管时终端设备不被盗用。-所有办公电脑在离开座位超过5分钟时，必须启用带指纹识别的屏幕锁；

-笔记本电脑配备物理防盗锁，与办公桌联动锁定机制；

-在共享办公区域部署带读卡器的终端机位，仅授权员工可解锁使用；

-定期更换物理锁具密钥，防止串用或复制。c)自动退出登录终端自动锁定机制华为集团在企业终端管理平台中配置统一策略，所有终端默认设置10分钟无操作自动锁屏。-统一部署终端管理系统（EDM），设定自动锁屏时间不超过10分钟；

-锁屏后必须通过人脸识别或双因素认证方可解锁；

-在公共会议室、开放办公区设备中设置更严格的自动退出机制（如5分钟）；

-对未达标设备进行自动告警并推送整改通知。d)控制打印输出打印过程安全管理中国移动部署基于身份认证的“拉式打印”系统，确保打印输出由发起人现场领取。-所有打印任务必须通过员工身份认证后方可提交，打印内容暂存于服务器；

-员工需在指定时间内前往打印机并通过刷卡或扫码确认身份后打印输出；

-超过15分钟未领取的打印任务自动清除，防止信息泄露；

-系统日志记录打印人、时间及设备信息，便于审计追溯。e)安全处置敏感信息文件与介质销毁管理腾讯在信息安全销毁环节引入“数据粉碎+物理销毁+第三方审计”流程