涉密计算机安全策略文件

涉密计算机安全策略文件一、总则1.1目的与依据为规范涉密计算机的管理与使用，保护国家秘密信息的安全，防止泄密事件发生，根据国家相关保密法律法规及标准，结合本单位实际情况，特制定本策略。本策略旨在建立健全涉密计算机安全防护体系，明确各相关方责任，确保涉密信息在存储、处理和传输过程中的保密性、完整性和可用性。1.2适用范围本策略适用于本单位所有涉密计算机（包括便携式涉密计算机）及其相关的硬件设备、软件系统、存储介质和使用人员。任何单位或个人在本单位范围内使用、管理涉密计算机，均须遵守本策略的规定。1.3基本原则涉密计算机安全管理遵循“谁主管、谁负责”、“谁使用、谁负责”的原则，坚持严格管理、预防为主、技防与人防相结合，确保万无一失。二、组织与职责2.1组织领导单位保密委员会（或相应保密管理机构）是涉密计算机安全管理的领导机构，负责审定安全策略，协调解决重大问题，监督策略的落实。2.2保密管理部门职责单位保密管理部门是涉密计算机安全管理的归口管理部门，负责组织制定和修订本策略及相关细则；组织开展涉密计算机安全检查与监督；组织泄密事件的调查与处理；负责涉密计算机及相关设备的登记、备案与销毁管理；组织涉密人员的保密教育培训。2.3信息技术部门职责信息技术部门负责涉密计算机硬件设备的选型、配置、维护和维修；负责涉密计算机操作系统及应用软件的安装、升级、安全加固和技术支持；负责涉密网络的规划、建设、运行和维护；协助保密管理部门进行技术防范措施的实施与检查。2.4使用部门与人员职责各涉密计算机使用部门负责人对本部门涉密计算机的安全负直接领导责任。涉密计算机使用人员是涉密计算机安全的直接责任人，必须严格遵守本策略及相关操作规程，妥善保管涉密信息，及时报告发现的安全隐患和泄密事件。三、安全管理要求3.1物理安全3.1.1环境要求涉密计算机应放置在符合保密要求的办公场所内，具备必要的防盗、防火、防潮、防尘、防高温、防低温、防电磁泄漏等条件。重要涉密计算机应放置在有专人值守或具备门禁控制的区域。3.1.2电磁泄漏发射防护处理机密级及以上信息的涉密计算机，必须采取符合国家保密标准的电磁泄漏发射防护措施，如安装电磁屏蔽机房或使用经国家保密部门批准的电磁干扰设备、低泄射计算机等。3.1.3物理访问控制非授权人员严禁接触、使用涉密计算机。涉密计算机所在场所应加强人员出入管理，确保无关人员不得随意进入。3.2硬件管理3.2.1设备采购与配置涉密计算机及其相关硬件设备的采购应通过单位指定渠道进行，优先选用国产设备。设备配置应满足工作需要，并符合国家保密规定，严禁选用具有无线互联功能（如Wi-Fi、蓝牙）的硬件模块，已有的应予以拆除或禁用。3.2.2设备标识与登记所有涉密计算机均须粘贴统一的密级标识，并由保密管理部门统一登记、编号，建立台账，详细记录设备型号、配置、购置日期、使用部门、使用人、密级等信息。3.2.3硬件维护与维修涉密计算机硬件出现故障，应由单位信息技术部门专业人员负责维修。确需送外维修的，必须经单位保密管理部门批准，并由专人负责全程监修，确保涉密信息不被泄露。维修过程中产生的废弃存储介质必须按涉密载体进行销毁。3.2.4外部设备管理涉密计算机所使用的打印机、扫描仪、投影仪等外部设备，必须为涉密专用设备，并与涉密计算机进行绑定登记。严禁将非涉密外部设备连接到涉密计算机。涉密外部设备的管理参照涉密计算机管理要求执行。3.2.5存储介质管理涉密存储介质（如硬盘、移动硬盘、U盘、光盘等）应严格按照国家保密规定进行管理，实行专人专用、专机专用，严格履行登记、领用、归还手续。严禁将涉密存储介质接入非涉密计算机或互联网计算机。3.3软件管理3.3.1操作系统与应用软件涉密计算机应安装使用经国家有关部门认证的正版操作系统和应用软件。严禁安装来源不明、未经安全检测的软件。操作系统和应用软件应及时进行安全补丁更新，但更新前须经测试并报信息技术部门批准。3.3.2防病毒与恶意代码防护涉密计算机必须安装经国家保密部门批准的防病毒软件，并及时更新病毒库和扫描引擎。定期进行病毒查杀，发现病毒或恶意代码应立即处理并报告。3.3.3软件安装与卸载涉密计算机上安装或卸载软件，必须经本部门负责人同意并报信息技术部门备案。严禁私自安装、卸载软件，尤其是具有文件共享、远程控制等功能的软件。3.4网络连接管理3.4.1严禁连接互联网涉密计算机严禁直接或间接连接国际互联网以及其他非涉密网络。严禁使用任何形式的无线网卡、调制解调器等设备接入互联网。3.4.2涉密网络接入控制涉密计算机接入单位内部涉密网络，必须符合涉密网络管理规定，经授权并进行严格的身份认证和权限控制。严禁私自更改网络配置信息。3.4.3无线功能禁用涉密计算机严禁启用任何无线通信功能，包括但不限于Wi-Fi、蓝牙、红外、NFC等。对于具有无线功能的模块，应在硬件层面予以拆除或物理禁用。3.5数据安全与保密管理3.5.1数据存储涉密信息应存储在涉密计算机内部硬盘或单位认可的涉密存储介质中。存储的涉密信息应按照其密级采取相应的保密措施，并进行规范的标识。3.5.2数据传输涉密信息的传输必须在符合保密要求的涉密网络内进行。严禁使用非涉密网络、普通电话、短信、互联网即时通讯工具等传输涉密信息。确需外部传输的，应使用符合国家保密标准的加密设备或涉密载体。3.5.3数据备份与恢复涉密计算机中的重要数据应定期进行备份，备份介质应按照同等密级的涉密载体进行管理。备份数据应妥善保管，并定期进行恢复测试，确保备份有效。3.5.4信息销毁涉密计算机及存储介质中存储的涉密信息不再使用时，必须进行彻底销毁，确保信息无法恢复。销毁工作应在保密管理部门监督下，按照国家保密规定的方法和程序进行。3.6人员行为管理3.6.1人员审查与培训涉密计算机使用人员必须经过严格的保密审查，并接受保密教育培训，考核合格后方可上岗。离岗离职时，应办理涉密计算机及相关存储介质的交接手续，并签订保密承诺书。3.6.2操作规范使用人员应严格遵守涉密计算机操作规程，开机登录须设置符合安全要求的口令，并定期更换。工作结束或离开岗位时，必须关闭计算机或锁定屏幕。严禁在涉密计算机上处理、存储与工作无关的信息。3.6.3禁止行为严禁将涉密计算机接入非涉密网络；严禁在涉密计算机上使用非涉密存储介质；严禁在非涉密计算机上处理、存储、打印涉密信息；严禁将涉密计算机及存储介质带出规定的办公区域，确因工作需要带出的，必须严格履行审批手续，并采取严格的保密措施；严禁将个人计算机、手机等电子设备带入涉密计算机工作场所或与涉密计算机混用。3.6.4口令管理涉密计算机操作系统、数据库系统及重要应用软件的访问口令应符合复杂度要求（如长度、字符组合等），并定期更换。严禁将口令告知他人或写在纸上随意放置。四、监督检查与责任追究4.1监督检查保密管理部门应定期或不定期组织对涉密计算机安全管理情况进行监督检查，信息技术部门予以配合。检查结果应及时向单位保密委员会报告，并通报相关部门。对检查中发现的问题，应责令限期整改。4.2事件报告与处理发生涉密计算机失泄密事件或重大安全隐患时，相关部门和人员应立即采取补救措施，并在第一时间向单位保密管理部门和保密委员会报告。单位保密管理部门接到报告后，应立即组织调查处理，并按规定向上级保密管理部门报告。4.3责任追究对严格遵守本策略，在涉密计算机安全管理工作中做出突出贡献的单位和个人，应予以表彰奖励。对违反本策略规定，造成涉密计算机失泄密