技术保密管理制度

技术保密管理制度第一章总则1.1立法依据本制度依据《中华人民共和国保守国家秘密法》《中华人民共和国网络安全法》《中华人民共和国反不正当竞争法》《中华人民共和国数据安全法》《中央企业商业秘密保护暂行规定》以及ISO/IEC27001:2022、NISTSP800-53修订5、GB/T35273-2020《信息安全技术个人信息安全规范》制定，适用于××科技股份有限公司（以下简称“公司”）及其境内外全资、控股、参股子公司、分支机构、临时项目组。1.2术语定义a.技术秘密：指未公开、能为公司带来竞争优势、具有实用性并经公司采取保密措施的技术信息，包括但不限于源代码、算法、模型、参数、配方、工艺、图纸、试验数据、技术诀窍、负面实验结果、FPGA比特流、固件、SDK、API接口文档、测试用例、漏洞库、威胁情报。b.载体：指承载技术秘密的物理或电子介质，包括纸质文件、光盘、U盘、SSD、机械硬盘、磁带、云盘、代码仓库、容器镜像、备份、日志、邮件、即时通讯记录、语音、视频、脑图、白板照片。c.涉密等级：绝密（TopSecret）、机密（Confidential）、秘密（Secret）、内部（Internal）、公开（Public）五级，前三级统称“技术秘密”。d.最小权限原则：员工仅被授予完成指定任务所需的最小数据访问权和最小功能操作权，且权限随任务结束自动回收。e.零信任：默认不信任任何主体（人、设备、服务、网络），每次访问均需动态身份鉴别、持续风险度量、细粒度授权。1.3适用范围本制度覆盖公司全部研发、测试、运维、数据标注、生产、供应链、销售、售后、投资、并购、尽调、外协、实习、顾问、劳务派遣、远程办公、居家办公场景。任何个人或组织一旦接触公司技术秘密，即受本制度约束，无论其劳动关系、地域、时区、网络环境。第二章组织与职责2.1技术保密委员会（TCC）主任由CTO兼任，成员包括法务总监、信息安全总监、人力资源总监、供应链总监、财务总监、审计总监、各研发中心总经理。TCC为公司技术保密最高决策机构，职责：a.审批技术秘密分级标准、年度保密预算、重大失泄密事件处理决定；b.审议对外技术合作、开源捐赠、专利开放许可、标准组织提案的保密风险评估报告；c.对违反本制度人员作出记过、降职、解除劳动合同、追偿损失、移送司法机关等决定。2.2技术保密办公室（TSO）设在信息安全部，设专职保密工程师、保密审计师、保密运营师共8人，职责：a.日常保密制度起草、解释、宣贯、考试、演练；b.维护技术秘密资产清单、涉密人员清单、权限清单、日志审计平台；c.组织保密技术监测（DLP、CASB、EDR、SIEM、UEBA）、泄密溯源、取证、威胁狩猎；d.每季度向TCC提交《技术保密风险白皮书》。2.3各部门第一负责人为本部门技术保密第一责任人，签订《保密责任状》，年度绩效20%与保密KPI挂钩。KPI包括：a.本部门技术秘密100%定级、100%打标、100%入仓；b.本部门涉密人员100%签署《保密与竞业限制协议》、100%通过年度保密考试（≥90分）；c.本部门全年零失泄密事件；若发生，则一票否决绩效奖金。2.4项目级保密责任人（ProjectSecurityOfficer,PSO）每个涉密项目立项时由项目经理提名、TSO审核后任命，职责：a.制定《项目保密方案》并随立项材料一并评审；b.维护项目《涉密资产台账》《涉密人员台账》《权限矩阵》；c.每周向TSO推送项目保密周报，包括代码仓库异常拉取、夜间下载、非工作时间VPN登录、打印、刻录、外发邮件告警。第三章技术秘密分级与生命周期管理3.1分级标准a.绝密：泄露会使公司市值蒸发≥5%或造成单一客户≥1亿元损失；如核心推荐算法全量参数、7nm工艺PDK、未发布芯片RTL。b.机密：泄露会使公司核心产品丧失竞争力；如模型训练脚本、自动化测试平台源码、关键性能基准数据。c.秘密：泄露会使公司增加≥500万元成本；如SDK接口文档、Beta版固件、客户定制化脚本。3.2生命周期阶段创建→定级→打标→存储→使用→传输→共享→脱密→销毁，每阶段必须执行对应控制点，详见附录A《技术秘密控制矩阵》。3.3自动打标工具公司统一开发TagBot，集成在VSCode、JetBrains、Eclipse插件市场，本地离线推理，支持C/C++、Python、Verilog、Golang、Java、Rust、Matlab共7种语言。触发规则：a.文件路径含关键词“algorithm”“model”“core”“ip”“rtl”“gds”；b.文件内容匹配正则“(api[_-]?key|private[_-]?key|password|token|secret|salt|IV|aes|rsa|ecc|ed25519)”；c.文件大小>50MB且为二进制；d.文件被.gitignore排除但仍被强制添加。命中任一规则即自动在文件头部插入水印注释“//CONFIDENTIAL©××科技UUID+时间戳+作者+校验和”，同时Git提交被拦截，必须选择涉密等级后方可push。第四章涉密人员管理4.1入职a.背调：由第三方机构对过去10年工作经历、竞业限制纠纷、软件著作权归属、专利发明人纠纷、犯罪记录进行核查；b.签署三份法律文件：《劳动合同》《保密与竞业限制协议》《知识产权归属协议》；c.账号开通：创建AD域账号、企业微信、VPN、GitLab、Jira、Confluence、OSS、内部KMS，全部默认零权限，须PSO或部门负责人发起工单后方可赋权；d.设备发放：统一配备加密笔记本（TPM2.0+BitLocker256-bitXTS-AES）、安全U盘（国密SM4硬件加密）、安全手机（MDM强制启用工作配置文件，禁用USB调试、root、越狱）。4.2在职a.年度保密再教育：不少于4学时线上直播+2学时VR失泄密场景演练；b.双人日常抽查：TSO每月随机抽5%涉密人员，现场检查是否私自安装Shadowsocks、TeamViewer、向日葵、百度网盘、迅雷；c.异常行为画像：UEBA对“连续3天凌晨2-5点下载≥100MB”“单日打印≥200页”“邮件外发含.p12、.pem、.key、.ovpn附件”自动产生高优先级工单，PSO需在2小时内完成初步调查并提交报告。4.3离职a.离职流程系统与门禁、VPN、GitLab、OSS、KMS、打印、刻录、邮箱、企业微信、Jira、Confluence、MDM、物理钥匙12个系统API对接，HR在系统中点击“离职”即触发自动冻结；b.离职面谈由法务、PSO、直属上级三方共同进行，现场宣读《离职保密提醒告知书》，全程双录像（正面+侧面），录像保存10年；c.离职审计：TSO使用Splunk导出该员工过去180天全部日志，运行离职审计脚本，输出《离职人员数据访问轨迹报告》，若发现异常外发，立即保全证据并报案；d.竞业限制补偿：对签订竞业限制人员，按离职前12个月平均月薪50%每月发放，公司有权要求提供新单位劳动合同、社保记录、个税APP截图，拒提供或提供虚假材料视为违约，违约金=已领取补偿金×3。第五章载体与物理环境安全5.1研发区a.物理隔离：独立楼层，防火门+防尾随速通门，双向刷卡+人脸比对，陌生人识别率≥99.8%，门内安装180°广角摄像头，录像保存≥180天；b.电磁屏蔽：核心算法实验室建设30dB屏蔽网房，禁止带入手机、智能手表、蓝牙耳机、RFID卡；c.打印/刻录：统一使用安普锐MFD，刷卡输出，默认不保留硬盘，涉密文档自动添加矢量水印（用户名+时间+打印机序列号），打印日志实时推送SIEM；d.纸质台账：使用防篡改水印纸（微缩文字“××科技”+UV荧光纤维），领用、归还、销毁全程扫码，销毁采用碎纸+制浆+染色，全程录像。5.2数据中心a.机房等级：TierIII+，双路市电+2NUPS+柴油发电机N+1，7×24专人值守；b.机柜级门禁：每U位电子锁，运维工单系统与电子锁联动，未授权开箱即声光报警；c.硬盘加密：所有服务器BIOS设置HDDPassword，Linux统一采用LUKS2+Argon2id，Windows采用BitLocker+TPM+PIN；d.退役硬盘：使用degauss9000消磁机消磁后，再进入碎盘机，碎块边长≤6mm，碎屑按重金属固废处理。第六章访问控制与密码管理6.1账号生命周期创建→授权→变更→冻结→注销，全流程工单化，工单必须二级审批：申请人直属上级+PSO或TSO。6.2多因素认证a.公司统一身份认证平台（基于Keycloak+OIDC）支持FIDO2指纹、YubiKey5NFC、国密USBKey、手机TOTP、短信、钉钉OTP；b.绝密级系统强制要求三因素：USBKey+指纹+PIN，且USBKey与员工工牌RFID绑定，拔Key自动锁屏；c.机密级系统强制双因素：USBKey或YubiKey+指纹；d.秘密级系统强制双因素：手机TOTP+密码。6.3密码策略a.长度≥16位，必须含大小写字母、数字、特殊字符，不得连续3位相同字符；b.禁止与过去12次密码重复；c.禁止包含用户名、工号、公司英文名、出生年份、手机号段；d.密码哈希算法使用Argon2id，内存64MB，迭代3次，并行度4，盐长度256bit；e.密码库采用HashiCorpVault企业版，集群5节点，数据自动快照到异地容灾机房，快照加密使用AES-256-GCM，密钥托管在HSM。第七章网络安全与加密7.1网络分区a.绝密区：独立VRF，物理光纤直达，防火墙策略默认deny-all，白名单端口仅22/443，且源地址限定堡垒机；b.机密区：与办公区采用MPLSL3VPN隔离，VPN采用IKEv2+AES-256-GCM-16+SHA-384+DHGroup21，证书采用国密SM2双证；c.秘密区：与办公区采用VLAN+ACL隔离，出口部署IPS+沙箱；d.办公区：启用NAC，终端必须安装EDR且合规评分≥90方可入网。7.2传输加密a.代码仓库：GitLab强制开启sslverify=true，仅接受TLS1.3，加密套件TLS_AES_256_GCM_SHA384；b.邮件：涉密邮件强制使用S/MIME，证书由内部CA签发，密钥长度RSA-4096；c.即时通讯：企业微信会话存档开启“密聊”模式，消息AES-256-CBC加密，密钥每日轮换；d.远程桌面：仅允许RDPoverTLS+CredSSP+NLA，禁用任何明文3389。7.3数据加密a.数据库：MySQL8.0开启keyring_okv插件，表空间AES-256-CTR加密，密钥托管在ThalesCipherTrustManager；b.对象存储：OSS开启服务端加密（SSE-KMS），Bucket策略禁止public-read；c.大数据平台：Hive表采用Ranger+KMS列级加密，敏感字段（如算法参数）使用Format-PreservingEncryption(FF1)；d.备份：VeritasNetBackup写入LTO-9磁带，硬件压缩+软件加密AES-256，密钥分两段：K1由KMIP服务器生成，K2由纸质信封封存存入银行保险箱，恢复时需双段密钥同时存在。第八章研发过程保密8.1代码管理a.仓库命名规范：org/level-project-module，如algo/ts-recommendation-rank；b.分支策略：main分支保护，MR必须经2名Committer代码审查+1名保密审查（由PSO担任），CI通过后方可合并；c.代码扫描：集成SonarQube+自研SecretScanner，对硬编码密钥、Token、AWSSecretKey、私钥自动阻断；d.代码水印：编译阶段自动注入git-commit-hash+user+timestamp，逆向可溯源。8.2模型与数据a.训练数据：原始数据存入绝密区HDFS，权限700，目录命名禁止含中文；b.脱敏：使用自研DataMask，支持差分隐私ε≤1，K-匿名K≥5，L-多样性L≥3；c.模型导出：保存为ONNX加密格式，密钥使用RSA-4096公钥加密后嵌入License文件，运行时需要在线激活；d.模型水印：对抗样本水印，嵌入字符串“××科技”+UUID，经20类攻击（裁剪、压缩、重训练、量化）后仍可提取，误码率≤5%。8.3测试与持续集成a.测试环境：采用容器级隔离，命名空间级Seccomp、AppArmor、SELinux三选一强制启用；b.测试数据：使用合成数据，禁止复制生产库；c.日志脱敏：logstash过滤器自动替换身份证号、手机号、密钥、邮箱为“**”；c.日志脱敏：logstash过滤器自动替换身份证号、手机号、密钥、邮箱为“**”；d.制品库：Harbor开启镜像签名（cosign+Notaryv2），未签名镜像禁止部署。第九章外包与第三方合作9.1尽调a.合作方须填写《技术保密自评表》，涵盖组织架构、认证资质（ISO27001、SOC2TypeII、等保三级）、过去3年失泄密事件；b.TSO进行远程安全评估：漏洞扫描、钓鱼演练、社工库比对，评分≥85分方可进入候选名单；c.对核心算法类外包，必须现场考察，查看其开发环境是否物理隔离、是否使用盗版软件、是否多人共用账号。9.2合同a.必须签署《技术保密协议》（NDA），条款包括：保密范围、保密义务、所有权归属、竞业限制、违约金（不低于合同金额50%）、争议解决（约定××仲裁委员会）、适用法律（中华人民共和国法律）；b.对境外主体，增加出口管制合规条款：合作方承诺遵守EAR、ITAR、欧盟双用途法规；c.源代码托管：使用公司自研GitFence，合作方仅获得受限镜像，禁止fork、clone--mirror、bundle；d.水印：合作方交付成果必须嵌入隐形水印，公司可一键溯源。9.3过程监督a.派驻保密监理：公司指派1名PSO常驻外包现场，拥有代码审查、日志查看、权限回收、USB封贴、硬盘镜像权力；b.每周保密例会：外包方项目经理、保密监理、TSO三方复盘上周告警；c.交付验收：必须通过“保密符合性测试”：代码扫描0高危、0硬编码密钥、0高危漏洞、水印可提取、文档无缺失。第十章日志、审计与监控10.1日志分类a.身份日志：AD、VPN、GitLab、Jira、Confluence、OSS、KMS、堡垒机；b.网络日志：防火墙、IPS、DNS、DHCP、NAC、无线控制器；c.终端日志：EDR、USB插拔、文件外发、打印、刻录、截屏、录屏；d.应用日志：数据库审计、APIGateway、微服务trace、K8saudit。10.2留存期限a.绝密级：20年；b.机密级：10年；c.秘密级：5年；d.内部级：1年；e.公开级：6个月。10.3审计脚本TSO每周运行自动审计脚本AuditBot，输出TOP10风险：a.同一账号24h内在3个不同城市登录；b.下载≥1GB后5分钟内VPN断开；c.使用curl/wget访问pastebin、github、gist；d.邮箱外发.zip、.rar、.7z且加密；e.虚拟机快照导出到外部存储。脚本自动创建Jira工单，指派给PSO，限期3个工作日闭环。第十一章事件响应与应急预案11.1分级响应a.P0绝密泄露：10分钟内电话通知CTO、法务、公关，30分钟内成立“战时指挥部”，1小时内完成攻击面隔离，24小时内发布声明；b.P1机密泄露：30分钟内通知TSO，2小时内完成漏洞修复，72小时内提交调查报告；c.P2秘密泄露：1小时内通知部门负责人，1天内完成整改。11.2演练a.每季度开展“红鹰”实战演练：外部红队+内部蓝队，演练场景包括：Git越权、VPN爆破、外包人员植入木马、笔记本丢失、邮件钓鱼；b.演练报告必须包含：攻击路径、泄露数据量、检测时间（MTTD）、响应时间（MTTR）、改进措施；c.对演练中重复出现2次以上的缺陷，责任部门年度绩效扣5%。11.3取证a.使用EnCase、FTK、Autopsy进行磁盘镜像，镜像写入WORM存储，哈希SHA-256双份比对；b.内存dump使用LiME、MagnetRAMCapture，冻结内存前通过kexec热插拔避免关机掉电；c.网络流量取证：使用Zeek全流量解析，PCAP存入冷存储，保留180天；d.证据链：严格按照《公安机关办理刑事案件电子数据取证规则》执行，确保证据司法有效。第十二章奖惩与法律责任12.1奖励a.主动发现重大漏洞并第一时间报告，经TCC认定，奖励1-10万元；b.举报失泄密线索经查属实，按避免损失金额1%-5%给予奖励，最高50万元；c.年度“保密之星”评选10人，颁发奖杯+现金1万元+海外培训名额。12.2惩罚a.轻微违规：如未及时锁屏、U盘未归还，扣当月绩效10%；b.一般违规：如私建VPN、绕过代码审查，记大过一次，扣全年绩效30%，两年内不得晋升；c.严重违规：如擅自复制绝密代码到个人GitHub，立即解除劳动合同，追偿损失，违约金=上一年度税前收入×3，并列入行业黑名单；d.违法犯罪：移送公安机关，依法追求刑事责任，公司配合提供完整证据链。第十三章培训与宣贯13.1新员工入职第1周内完成4学时线上保密课程+1学时机考，未通过（<90分）不得开通VPN。13.2在职员工每年4学时直播+2学时VR演练，未通过扣年度绩效5%。13.3外包人员入场前必须通过保密考试并签署NDA，离场前再考一次，成绩归档。13.4管理层CTO、研发中心总经理、供应链总监每年必须参加“保密领导力”工作坊，模拟危机公关、媒体采访、投资者问询。第十四章检查与持续改进14.1内部审计审计部每年组织一次全面保密审计，覆盖100%涉密部门，采用访谈、技术扫描、现场勘查、日志回溯四种手段，出具《保密审计报告》，评分<80分的部门限期30天整改。14.2外部审计每3年聘请具备国家保密局甲级资质的第三方机构进行保密测评，测评报告作为ISO27001、SOC2年审输