未公开文件严禁网络转发规定

未公开文件严禁网络转发规定第一章总则第一条为加强信息安全管理，规范未公开文件的处理流程，严防国家秘密、商业秘密及工作敏感信息通过网络泄露，确保信息安全及组织核心利益，依据《中华人民共和国保守国家秘密法》、《中华人民共和国数据安全法》、《中华人民共和国网络安全法》及相关行业监管规定，结合实际情况，制定本规定。第二条本规定所称“未公开文件”，是指涉及国家秘密、商业秘密、工作秘密，或虽不属于密级但在公开前可能影响安全稳定、引起社会不良反应、干扰正常工作秩序，且仅限在特定范围内知悉或传递的各类文件、资料、数据及信息。其载体包括但不限于纸质文件、电子文档、图片、音视频资料、数据库数据等。第三条本规定适用于所有接入内部网络的计算机终端、移动存储设备、移动智能终端设备的使用者，以及所有接触、制作、收发、传递、使用、保管、销毁未公开文件的部门与人员。全体人员必须严格遵守“涉密不上网，上网不涉密”的绝对原则，严禁将未公开文件在互联网或其他公共信息网络中进行转发、发布、传输或存储。第四条信息安全管理遵循“积极防范、突出重点、依法管理、确保安全”的方针，实行安全工作责任制，坚持业务工作与保密工作同部署、同落实、同检查、同考核。各层级负责人对本部门未公开文件的安全管理负直接领导责任，具体经办人员负直接责任。第二章定义与范围界定第五条根据敏感程度与泄露后的危害影响，未公开文件通常分为以下三个管理等级，实施分级管控：（一）核心敏感类。指一旦泄露将严重损害国家安全、公共利益，或对组织生存发展造成毁灭性打击的信息。此类信息严禁以任何形式脱离专用涉密载体或独立封闭的内网环境存储与处理。（二）重要敏感类。指一旦泄露将对组织声誉、经济利益、正常运营造成较大负面影响的信息。此类信息仅限在授权的内网环境或加密的专用办公终端中处理，严禁通过即时通讯工具、公共邮箱等互联网渠道传输。（三）内部工作类。指仅在内部传达、仅供特定人员知悉的工作动态、内部通知、人事任免草案、财务初步数据等。此类信息虽未定密，但属于内部限制公开信息，严禁擅自发布至朋友圈、微博、抖音等公开社交平台。第六条本规定所指“网络转发”行为包括但不限于以下情形：（一）通过互联网电子邮件（如网易、腾讯、Gmail等）发送未公开文件；（二）使用即时通讯工具（如微信、QQ、钉钉、企业微信的外部聊天版块、Telegram等）的点对点传输、群发、文件共享功能传输未公开文件；（三）在互联网论坛、贴吧、博客、微博、微信公众号、短视频平台、知识问答社区等公开或半公开社交平台上发布、摘录、引用未公开文件内容；（四）将未公开文件上传至公有云存储服务（如百度网盘、阿里云盘、GoogleDrive、OneDrive等）或第三方文档协作平台；（五）通过个人智能终端（手机、平板电脑）拍摄、扫描未公开文件屏幕或纸质内容，并通过移动通信网络（4G/5G/Wi-Fi）进行发送；（六）使用互联网远程运维工具、远程控制软件将未公开文件传输至外部网络环境。第三章组织架构与职责第七条成立信息安全保密委员会，作为未公开文件网络转发管控的最高决策机构，负责审定相关管理制度，指导、监督和检查保密工作落实情况，协调解决重大安全事件。第八条信息化管理部门（或信息技术中心）负责技术防护体系的建设与运维，具体职责包括：（一）部署网络边界防护设备，实施内外网物理或逻辑隔离；（二）安装与升级终端安全管理软件、数据防泄漏（DLP）系统、文档加密系统；（三）监控网络流量，及时发现并阻断违规外发行为；（四）定期开展信息安全漏洞扫描与风险评估。第九条安全保密管理部门（或综合办公室）负责日常管理与监督，具体职责包括：（一）组织制定未公开文件管理细则，界定文件密级；（二）开展保密宣传教育和培训，提高全员安全意识；（三）对各部门未公开文件管理情况进行定期或不定期检查；（四）受理违规举报，组织违规事件的调查与处理。第十条各业务部门负责人是本部门未公开文件管理的第一责任人，负责：（一）组织本部门人员学习保密规定，签署保密承诺书；（二）审定本部门产生的文件密级与知悉范围；（三）监督本部门人员正确使用办公设备，及时消除安全隐患。第四章文件全生命周期安全管理第十一条制作与起草环节的安全管控（一）起草未公开文件时，必须在指定的涉密计算机或连接内网的办公终端上进行，严禁在接入互联网的计算机、个人笔记本电脑或家用电脑上处理、编辑未公开内容。（二）对于核心敏感类文件，应使用专用文字处理软件，并开启文档加密保护功能。文件命名应遵循“密级+日期+标题”的规范，便于识别与管理。（三）在起草过程中，如需引用参考资料，必须核实资料的来源合法性，严禁引用来路不明或来源为互联网渠道的敏感数据。第十二条传输与流转环节的安全管控（一）未公开文件在内部流转时，应优先使用组织内部办公自动化系统（OA）、内部邮件系统或加密文件传输通道。（二）严禁通过互联网电子邮件、社交软件进行未公开文件的跨网传输。确因工作需要将内部数据导出至外网（如向监管部门报送非涉密数据）的，必须严格履行审批手续，填写《数据导出审批单》，经部门负责人及保密管理部门批准后，由指定人员使用专用中间机（光闸/网闸）进行单向导出，并详细记录导出内容、时间、操作人及接收方。（三）纸质未公开文件传递应在内部进行，需通过机要渠道或专人专递，不得随意放置在公共区域或通过普通快递邮寄。第十三条存储与保管环节的安全管控（一）未公开电子文件必须存储在内网服务器、加密移动硬盘或受控的终端本地硬盘中，严禁存储在个人网盘、个人手机、私人U盘或互联网云笔记中。（二）核心及重要敏感类文件应采取“三合一”管理措施，即同时备份在本地服务器、异地灾备中心及加密介质中，并定期进行完整性校验。（三）纸质未公开文件必须存放在带锁的保密文件柜或保密室中，严禁随意散落在办公桌面，离开办公座位时应确保文件入柜或屏幕锁定。第十四条使用与阅览环节的安全管控（一）阅览未公开文件应在指定的涉密场所或安全办公区域内进行。未经批准，不得擅自复制、打印、摘抄、拍摄未公开文件。（二）在大型会议、涉密活动现场，应统一保管参会人员的智能通信设备，严禁携带具有拍照、录音功能的设备进入核心涉密区域。（三）确需携带便携式计算机外出处理未公开文件的，必须经过严格审批，并使用符合国家保密标准的便携式保密本，严禁接入互联网或公共Wi-Fi。第十五条销毁与废弃环节的安全管控（一）未公开文件不再具有保存价值时，应按照保密规定进行销毁。纸质文件需送至指定的保密销毁机构使用碎纸机粉碎或通过造纸厂化浆销毁，严禁当作废纸出售。（二）存储过未公开文件的电子介质（如硬盘、U盘、光盘）在报废或转作他用前，必须经过专业的数据清除处理或物理销毁，确保数据无法被恢复。（三）销毁过程应建立台账，由双人监销，签字确认，确保可追溯。第五章网络行为禁区与技术防范第十六条严禁将连接互联网的计算机处理未公开文件，严禁将未公开文件直接拷贝、粘贴到互联网应用中。所有办公计算机应安装杀毒软件、终端安全管理系统，并开启实时监控功能。第十七条严禁使用微信、QQ、钉钉等社交软件的“文件传输助手”、“收藏”、“云文档”等功能存储、传输未公开文件。这些功能均通过互联网服务器中转，存在极高的泄露风险。第十八条严禁在未采取防护措施的情况下，对未公开文件屏幕进行截图、录屏，并通过网络发送。技术部门应在终端部署屏幕水印系统，对屏幕显示内容进行隐性或显性标识（包含操作人ID、时间等信息），一旦发生泄露可通过水印快速追溯源头。第十九条严禁开启远程桌面控制功能（如TeamViewer、向日葵、AnyDesk等）允许外部人员接入内部办公电脑，同时也严禁内部人员使用此类工具从外部控制办公电脑传输文件。第二十条技术防范措施建设要求（一）部署网络审计系统。对所有进出内部网络的邮件、网页访问、文件传输行为进行深度包检测（DPI），重点监测包含敏感关键字（如“机密”、“草案”、“内部数据”等）的流量，一旦发现违规外发行为，立即阻断并报警。（二实施数据防泄漏（DLP）策略。在终端、网络、存储三个维度部署DLP系统，对敏感数据进行指纹识别。当检测到敏感数据试图通过IM、邮件、网盘、USB等渠道流出时，系统应自动拦截、加密或隔离，并上报日志。（三）强化移动存储介质管理。实行“专盘专用、禁止混用”策略。内部U盘仅限在内网使用，严禁插入互联网计算机；互联网计算机产生的U盘接入内网计算机时，必须经过杀毒和格式化检查，或通过专用安全U盘进行中转。（四）应用终端准入控制。只有安装并运行了指定安全客户端、补丁更新至最新版本的计算机才能接入内部网络，严禁未授权设备接入。以下是未公开文件分级管控与违规处罚对照表：文件等级定义描述严禁操作示例泄露后果预估防护重点核心敏感类涉及国家秘密或核心商业机密，一旦泄露将造成毁灭性打击任何形式的互联网传输、拍照、复印；带出保密室极其严重：法律制裁、组织存亡物理隔离、专机专盘、双人双锁重要敏感类重要商业数据、核心技术文档、未公开重大决策通过社交软件发送、上传公有云、私人邮件存储严重：重大经济损失、声誉受损加密存储、DLP阻断、日志审计内部工作类内部通知、人事任免草案、财务报表、会议纪要发朋友圈、发微博、无关人员群发较重：内部管理混乱、舆论被动身份认证、水印溯源、行为规范第六章监督检查与审计第二十一条建立常态化的保密监督检查机制。安全保密管理部门应会同信息技术部门，每季度至少开展一次全面的未公开文件网络转发专项检查。第二十二条检查内容包括但不限于：（一）终端计算机是否违规存储未公开文件；（二）互联网邮件及即时通讯工具记录中是否存在违规传输痕迹；（三）移动存储介质使用记录是否合规；（四）打印、复印记录是否异常；（五）屏幕水印、DLP等安全软件是否正常运行。第二十三条实施安全审计制度。信息技术部门负责保留网络访问、文件操作、数据库访问等日志记录不少于六个月。审计人员应定期分析日志，重点关注大文件上传、非工作时间异常下载、频繁访问敏感目录等可疑行为。第二十四条鼓励全员监督。设立并公布违规泄露举报渠道（如专用电话、邮箱），对举报属实的员工给予奖励，并为举报人严格保密。第七章责任追究与处罚第二十五条对违反本规定，造成未公开文件在网络违规转发但未造成严重后果的，视情节轻重给予以下处理：（一）首次违规且情节轻微者，给予通报批评，责令写出书面检查，并取消当年度评优评先资格；（二）重复违规或情节较重者，给予诫勉谈话、调离涉密岗位、扣发绩效奖金等处理；（三）对于部门管理混乱，多次发生违规事件的，追究部门负责人的领导责任。第二十六条对违反本规定，造成未公开文件泄露，引发泄密事件或产生严重后果的，依据相关法律法规及组织纪律，给予以下处罚：（一）对直接责任人，给予解除劳动合同处理；若涉嫌犯罪的，依法移送司法机关追究刑事责任；（二）对负有领导责任的部门负责人及相关领导，给予行政记大过、降职、免职等处分；（三）造成经济损失的，责令责任人承担相应的赔偿责任。第二十七条违规行为分类及处罚标准表：违规类别具体行为描述处罚等级处理措施一般违规使用微信/QQ传输内部工作类文件；未对屏幕进行保护导致被拍摄轻度通报批评、绩效扣分、重新培训严重违规将重要敏感类文件上传至个人网盘；通过互联网邮箱发送重要数据重度记过、调离关键岗位、停职反省特别严重违规将核心敏感类文件发布至互联网；出售核心机密文件；造成重大泄密事故极重度解除劳动合同、移送司法机关、全额追偿第二十八条在调查处理违规事件时，应坚持“实事求是、依规依纪”的原则，充分听取当事人的陈述和申辩，确保处理决定公正、准确。第八章教育培训与应急响应第二十九条建立全员保密教育培训体系。将未公开文件严禁网络转发规定纳入新员工入职培训的必修课程。未经保密培训并考核合格的新员工，不得安排接触未公开文件。第三十条定期开展保密宣传教育活动。通过内部刊物、宣传栏、门户网站、短视频等载体，普及信息安全知识，剖析典型泄密案例（特别是通过微信、网盘泄密的案例），以此警示全员，筑牢思想防线。第三十一条每年组织至少一次全员保密知识考试或技能竞赛，检验培训效果，提升全员防范技能。考试不合格者必须补考，补考仍不合格者不得继续在涉密岗位工作。第三十二条制定未公开文件泄露应急响应预案。明确应急响应流程、应急处置小组及成员职责。一旦发生未公开文件被违规转发至互联网的事件，应立即启动预案：（一）发现与报告。发现人或系统应在第一时间向安全保密管理部门报告，说明泄露文件的大致内容、泄露渠道、可能扩散范围。（二）紧急阻断。信息技术部门应立即采取措施，切断相关网络访问，封堵漏洞，必要时联系互联网平台（如微信、网盘服务商）启动应急处置机制，删除或下架相关内容，防止进一步扩散。（三）调查评估。迅速成立调查组，查明泄露原因、经过、涉及范围及损失情况，认定事件性质和责任。（四）整改与补救。针对暴露出的管理或技术漏洞，立即制定整改措施，完善相关制度和技术防