保密工作管理规范

保密工作管理规范第一章总则第一条为保守国家秘密及本单位商业秘密，维护单位的合法权益和核心竞争力，保障各项工作的顺利进行，依据《中华人民共和国保守国家秘密法》及相关法律法规，结合本单位实际情况，制定本管理规范。本规范旨在确立保密工作的基本原则、组织架构、管理流程及责任追究机制，确保保密工作有章可循、有据可依。第二条本规范适用于本单位全体员工，包括正式员工、合同制员工、实习人员、返聘人员，以及为本单位提供服务的顾问、咨询人员、外包服务人员等。所有接触或可能接触涉密信息的人员，均必须遵守本规范。第三条保密工作实行“积极防范、突出重点、依法管理、既确保国家秘密又便利各项工作”的方针。坚持“业务工作开展到哪里，保密工作就延伸到哪里”的原则，将保密工作融入业务管理的全过程。第四条保密工作实行“谁主管、谁负责”和“涉密管理、业务归口”的管理体制。各部门负责人是本部门保密工作的第一责任人，对本部门的保密负总责。第二章保密组织机构与职责第五条单位设立保密委员会（以下简称“保密委”），作为保密工作的领导机构。保密委由单位高层领导、关键部门负责人组成，主任由单位主要领导担任。保密委的主要职责包括：（一）贯彻执行党和国家有关保密工作的方针、政策和法律法规；（二）审定单位保密工作规章制度和长远规划；（三）研究解决保密工作中的重大问题；（四）组织查处重大泄密事件；（五）定期听取保密工作汇报，部署年度保密工作。第六条保密委员会下设保密办公室（以下简称“保密办”），作为保密工作的日常办事机构，负责处理全单位保密管理的具体事务。保密办的主要职责包括：（一）组织制定、修订保密管理制度和实施细则；（二）组织开展保密宣传教育和培训工作；（三）指导、监督、检查各部门保密工作的落实情况；（四）负责涉密载体的统一管理；（五）组织确定和调整涉密事项、涉密人员及涉密部位；（六）协助查处泄密事件。第七条各业务部门应设立兼职保密员，负责本部门的日常保密工作。兼职保密员在业务上接受保密办的指导，其主要职责包括：（一）督促本部门人员执行保密规章制度；（二）负责本部门涉密文件的登记、传阅、清退和销毁工作；（三）定期检查本部门保密防范措施的落实情况；（四）发现泄密隐患及时报告并采取补救措施。第三章涉密信息分类与定密管理第八条本单位秘密分为国家秘密和商业秘密两大类。国家秘密是指关系国家的安全和利益，依照法定程序确定，在一定时间内只限一定范围的人员知悉的事项；商业秘密是指不为公众所知悉、能为单位带来经济利益、具有实用性并经单位采取保密措施的技术信息和经营信息。第九条按照秘密事项一旦泄露对单位安全和利益造成的损害程度，将商业秘密划分为“核心商密”、“普通商密”和“内部公开”三个等级。国家秘密的划分严格遵照国家相关标准执行。第十条涉密信息的定密应当遵循“及时、准确、最小化”的原则。各业务部门在产生涉密信息时，应当依据《涉密事项范围清单》及时拟定密级和保密期限，报保密办审核，由单位主管领导批准。对于无法准确判定的，应当先按高密级进行管理，待明确后及时调整。第十一条涉密信息的保密期限除另有规定外，具体标准如下：（一）核心商密：保密期限不超过二十年；（二）普通商密：保密期限不超过十年；（三）内部公开：保密期限不超过五年。第十二条涉密事项的密级、保密期限和知悉范围应当根据情况变化及时变更。解密应当由原定密部门或其上级机关提出解密建议，报保密办审核批准。解密后，应当及时在相关载体上做出解密标志，告知知悉范围内的人员。第十三条涉密信息应当做出明显标志。国家秘密标志为“绝密”、“机密”、“秘密”；商业秘密标志为“核心商密★XX年”、“普通商密★XX年”、“内部公开”。书面形式的涉密载体，应在封面或首页的左上角标注；电子形式的涉密载体，应在文件名或文档属性的适当位置标注。第四章涉密人员管理第十四条实行涉密人员分类管理制度。根据接触涉密信息的程度，将涉密人员分为核心涉密人员、重要涉密人员和一般涉密人员。核心涉密人员是指接触核心商密的人员；重要涉密人员是指接触普通商密较多的人员；一般涉密人员是指偶尔接触普通商密或内部公开信息的人员。第十五条涉密人员的审查与管理。（一）任用审查：拟任用涉密人员时，人事部门应会同保密办对其进行资格审查。审查内容包括政治素质、工作表现、家庭社会关系、个人品行等。凡不符合涉密条件的人员，不得安排在涉密岗位工作。（二）岗前培训：涉密人员上岗前必须接受保密教育培训，考核合格后方可上岗。培训内容包括保密法律法规、单位保密制度、保密技术防范知识等。（三）在岗管理：建立涉密人员管理档案，记录涉密人员的岗位变动、教育培训、因私出国（境）等情况。涉密人员因私出国（境）须经保密办审批，核心涉密人员原则上严格控制因私出国（境）。（四）离岗管理：涉密人员调离涉密岗位或辞职、辞退、退休时，必须实行脱密期管理。核心涉密人员脱密期为三年，重要涉密人员脱密期为两年，一般涉密人员脱密期为一年。在脱密期内，就业、出国（境）等行为受到一定限制。第十六条涉密人员必须签订保密承诺书，明确其保密义务和法律责任。保密承诺书是人事档案的重要组成部分。第十七条实行涉密人员权益保障与奖励制度。对在保密工作中做出显著成绩的人员，单位给予表彰和奖励；对长期从事涉密工作的人员，在津贴补助、职务晋升等方面给予适当倾斜。第五章涉密载体管理第十八条涉密载体是指以文字、数据、符号、图形、图像、声音等方式记载涉密信息的纸介质、光介质、电磁介质等各类物品。第十九条纸介质涉密载体管理。（一）制作：纸介质涉密载体的制作应在符合保密要求的场所进行，使用专门的涉密计算机或涉密打印机打印。制作过程中产生的废页、废件应及时销毁，不得作为废纸出售。（二）收发与传递：收发涉密载体应当履行清点、登记、编号、签收等手续。传递涉密载体应当通过机要渠道、指派专车或两人以上护送，不得通过普通邮政、快递等无保密保障渠道传递。（三）使用：阅读和使用涉密载体应在符合保密要求的办公场所进行，不得擅自复制、摘录、摘抄。确需复制的，须经主管领导批准，复制件视同原件管理。（四）携带：原则上禁止携带涉密载体外出。确因工作需要携带的，须经主管领导批准，并采取严格的保护措施。禁止携带绝密级载体外出。（五）保存：涉密载体应存放在有防盗功能的密码文件柜中，并由专人保管。个人不得私自保存涉密载体。工作人员下班前，应将涉密载体存入保密设备，不得随意放置在办公桌面。（六）销毁：涉密载体销毁应履行登记、审批手续，送至指定的涉密载体销毁中心或使用符合标准的碎纸机进行销毁。禁止将涉密载体当作废品出售或丢弃。第二十条光介质和电磁介质涉密载体（如涉密U盘、移动硬盘、光盘、笔记本电脑等）管理。（一）采购与领用：涉密信息设备必须采购国产通过相关保密认证的产品。建立涉密载体台账，实行统一编号、专人专用、严格登记。（二）使用规范：严禁将涉密U盘、移动硬盘等移动存储介质接入非涉密计算机（互联网计算机）。严禁将非涉密移动存储介质接入涉密计算机。涉密笔记本电脑严禁连接互联网。（三）外出携带：携带涉密笔记本电脑外出，须经审批，并开启BIOS密码、操作系统密码及全盘加密。（四）维修：涉密载体发生故障需维修时，应在本单位内部或指定具有保密资质的维修点进行。维修前需拆除涉密部件或进行数据清除处理，并由专人全程旁站监督。（五）销毁：涉密磁介质、光介质销毁前，应采用物理销毁（如消磁机消磁、粉碎机粉碎）或符合保密标准的信息清除工具进行逻辑销毁，确保信息无法被还原。第二十一条涉密载体台账管理。保密办及各部门应建立详细的涉密载体管理台账，实时记录载体的产生、流转、使用、保管、销毁等全过程信息，确保账物相符、流向清晰。第六章涉密场所与设备管理第二十二条涉密场所是指产生、处理、存储、传输涉密信息的专用场所。涉密场所的选址、建设应符合国家保密标准。第二十三条涉密场所物理安全防护。（一）涉密场所应实行封闭式管理，安装防盗门窗，配备铁皮文件柜。（二）核心涉密区域应安装门禁系统、视频监控系统，实行出入控制。未经批准，任何人员不得擅自进入涉密场所。（三）涉密场所内禁止使用具有无线通信功能的手机、对讲机等设备，或配备手机存放柜，进入前将手机存入柜中。（四）涉密场所内禁止使用具有录音、录像、拍照功能的设备，确需使用的，须经审批并登记。第二十四条涉密办公自动化设备管理。（一）涉密计算机应与国际互联网及其他公共信息网络实行物理隔离。严禁使用无线上网卡等无线设备。（二）涉密计算机应安装主机审计与监控软件、防病毒软件（经过保密认证），并及时更新病毒库和补丁程序。（三）涉密计算机应设置强口令（长度不少于10位，包含大写字母、小写字母、数字、特殊字符中的三种以上），并定期更换。启用屏幕保护密码，时间设置在5分钟以内。（四）涉密计算机的USB接口应采用技术手段进行封闭管理，确需使用USB设备的，必须经过注册认证并实行单向导入控制。第二十五条非涉密计算机管理。（一）非涉密计算机严禁处理、存储、传输涉密信息。（二）非涉密计算机应安装防病毒软件和防火墙，及时更新系统补丁。（三）禁止在非涉密计算机上谈论、记录、处理涉密事项。第二十六条便携式计算机管理。（一）单位实行便携式计算机统一编号、统一标识管理。明确区分涉密便携机和非涉密便携机。（二）非涉密便携机严禁存储涉密信息。（三）涉密便携机严禁安装无线网卡，严禁开启蓝牙、红外等无线通信功能。第二十七条复印机、打印机等办公自动化设备管理。（一）涉密复印机、打印机应连接涉密计算机使用，不得连接互联网。（二）涉密复印机、打印机应设置计数功能，定期核查复印、打印数量。（三）涉密复印机、打印机维修时，应清除硬盘内存储的涉密信息，并专人旁站。第七章信息网络保密管理第二十八条涉密信息网络的建设必须符合涉密信息系统的保密标准，并经过保密测评和审批后方可投入使用。严禁在未通过保密测评的网络上处理涉密信息。第二十九条涉密信息网络实行分级保护管理。应根据涉密信息的密级，确定相应的安全保密策略，部署身份鉴别、访问控制、安全审计、边界防护等安全保密设施。第三十条涉密信息网络与互联网及其他公共信息网络之间必须实行物理隔离。严禁违规接入。严禁擅自搭建无线局域网。第三十一条涉密信息网络用户管理。（一）实行实名制管理，严格用户权限分配。坚持“最小权限”原则，用户只能访问其职责范围内的涉密信息。（二）严禁私自转借账号、混用账号。（三）用户离岗离职时，应立即注销其网络访问权限。第三十二条涉密信息网络数据传输管理。（一）严禁在涉密信息网络中传输非涉密信息，防止形成信息垃圾。（二）从互联网向涉密网络导入数据，必须通过中间机（如安全隔离计算机）进行，中间机应连接单向导入设备，并经过严格的病毒查杀和格式检查。（三）从涉密网络向互联网导出数据，必须经过严格的审批和脱密处理。第三十三条互联网使用保密管理。（一）严禁通过互联网邮箱、即时通讯工具（如微信、QQ）、论坛、博客等发布、传递涉密信息。（二）严禁将涉密计算机接入互联网。（三）严禁在互联网网站、社交媒体上谈论、发布涉密内容。（四）使用互联网办公时，应遵守单位网络安全管理规定，不随意打开不明链接，不下载来源不明的软件。第八章对外交流与宣传保密管理第三十四条对外提供资料保密管理。各单位对外提供文件、资料、图纸等，必须经过保密审查。涉及涉密信息的，应当进行脱密处理，并经主管领导批准。对外提供涉密载体，必须签订保密协议。第三十五条涉外活动保密管理。（一）接待境外人员参观、考察、访问，应制定保密方案，明确划定开放区域和非开放区域。（二）在涉外活动中，不得随身携带涉密载体，不得在境外人员面前谈论涉密事项。（三）接受境外机构、个人采访或投稿，必须经过保密审查。第三十六条宣传报道保密管理。各类宣传报道、新闻发布、广告策划、产品展览等，必须经过保密办进行保密审查。不得公开报道属于国家秘密或商业秘密的内容。第三十七条会议保密管理。（一）召开涉密会议，应选择具有保密条件的场所。（二）涉密会议应具备安全保密措施，如使用手机干扰器，放置手机存放柜。（三）参会人员应严格控制，无关人员不得入内。（四）涉密会议文件应标明密级，编号分发，会后及时清退。严禁擅自复印、带出会场。（五）会议记录应按涉密文件管理。第九章保密监督检查第三十八条保密监督检查是保密管理的重要环节。保密办应定期或不定期组织保密检查，各部门应每月进行自查。第三十九条检查内容主要包括：（一）保密责任制落实情况；（二）保密制度建设和执行情况；（三）涉密人员管理情况；（四）涉密载体管理情况；（五）涉密场所和设备保密管理情况；（六）计算机网络保密管理情况；（七）对外宣传和涉外活动保密管理情况。第四十条检查方式包括定期检查、专项检查、突击检查和技术检查。技术检查是指利用专业技术手段对计算机、网络进行漏洞扫描、渗透测试等。第四十一条检查记录与整改。每次检查应做好详细记录，形成检查报告。对检查中发现的泄密隐患，应下达《保密整改通知书》，限期整改。整改完成后，整改部门应提交整改报告，由保密办进行复查。第四十二条保密办应建立保密违规行为台账，记录违规人员、违规事实、处理结果等，作为考核依据。第十章泄密事件报告与查处第四十三条泄密事件报告。发生或发现泄密事件时，当事人或发现人应立即停止泄密行为，并向本部门负责人和保密办报告。接到报告后，保密办应在24小时内向上级保密管理部门报告。报告内容包括：被泄密事项的主要内容、密级、数量、泄密时间、地点、渠道、主要责任人、已采取的补救措施等。第四十四条泄密事件补救。在报告泄密事件的同时，应立即采取补救措施，包括：（一）切断泄密渠道（如断开网络连接、收回流失载体）；（二）通知可能知悉范围的人员停止扩散；（三）追回流失的涉密载体；（四）对无法追回的涉密信息，评估影响范围，采取技术手段（如更改密码、部署补丁）降低损失。第四十五条泄密事件调查。保密办应组织相关部门对泄密事件进行调查，查明泄密原因、经过、造成的损失以及责任人。调查应客观、公正、全面。第四十六条泄密事件处理。根据调查结果，依据本规范及相关法律法规，对责任人进行处理。涉嫌犯罪的，移送司法机关依法追究刑事责任。第四十七条泄密事件总结。泄密事件查处后，应总结教训，举一反三，完善制度，堵塞漏洞，并通报全单位，起到警示教育作用。第十一章责任追究与奖惩第四十八条对违反本规范，但尚未造成泄密后果的行为，视为保密违规。视情节轻重，给予批评教育、责令检查、通报批评、调离涉密岗位等处理。第四十九条对违反本规范，造成泄密事件的责任人，视情节轻重和造成的损失，给予行政处分、经济处罚、解除劳动合同等处理；构成犯罪的，依法追究刑事责任。第五十条保密违规与泄密行为的界定。（一）违规：指违反保密规章制度，但未导致涉密信息被不应知悉者获取的行为。如：涉密载体未按规定存放、涉密计算机违规连接互联网（未造成信息外泄）等。（二）泄密：指违反保密规章制度，导致涉密信息被不应知悉者获取的行为。如：将涉密文件通过互联网邮件发送、丢失涉密U盘且无法找回等。第五十一条奖励。对在保密工作中做出突出贡献或有效制止泄密行为的集体和个人，单位给予表彰和物质奖励。（一）在危急情况下，保护涉密载体安全，避免重大损失的；（二）及时发现并消除重大泄密隐患，避免泄密事件发生的；（三）在泄密事件发生后，及时采取补救措施，有效减轻损失或挽回影响的；（四）长期从事保密工作，严守国家秘密，事迹突出的；（五）研制、开发保密技术设备，取得显著成果的。第十二章附则第五十二条本规范所涉及的术语定义：（一）涉密载体：记录有涉密信息的载体。（二）涉密计算机：用于处理、存储、传输涉密信息的计算机。（三）互联网：国际公共信息网络。第五十三条本规范未尽事宜，按照国家有关法律法规执行。第五十四条本规范由单位保密委员会负责解释。第五十五条本规范自发布之日起施行。原有的相关保密管理规定与本规范不一致的，以本规范为准。第五十六条涉密信息分类与标识标准表密级术语标识形式保密期限知悉范围控制泄露后果核心商密核心商业秘密核心商密★XX年不超过20年核心管理层及特定关键岗位人员对单位造成毁灭性打击或重大经济损失普通商密普通商业秘密普通商密★XX年不超过10年部门负责人及相关项目组成员对单位造成较大经济损失或削弱竞争优势内部公开内部限制信息内部公开★XX年不超过5年单位内部员工对单位造成一般性负面影响或工作被动第五十七条涉密人员审查与审批流程表环节责任部门主要内容输出文档备注申请业务部门提交拟任用人员名单及岗位《涉密人员资格审查表》岗位变动需重新评估初审人事部门审核政治背景、社会关系、个人品行审查意见复审保密办审核岗位涉密等级、必要性《涉