机关计算机终端及涉密介质管理制度

机关计算机终端及涉密介质管理制度第一章总则第一条目的与依据为加强机关计算机终端及涉密介质的安全管理，确保国家秘密和机关工作秘密的信息安全，依据《中华人民共和国保守国家秘密法》、《中华人民共和国网络安全法》以及相关保密标准，结合机关实际工作情况，特制定本制度。本制度旨在规范计算机终端的使用行为，强化涉密介质的全生命周期管控，防范泄密风险，保障机关信息系统与数据的机密性、完整性和可用性。第二条适用范围本制度适用于机关内部所有部门及其全体工作人员（包括正式编制人员、借调人员、实习人员、合同制人员及外来运维人员等）。所有使用机关计算机终端（含台式机、笔记本电脑、服务器、工作站等）及处理、存储涉密信息的介质（含U盘、移动硬盘、光盘、磁带、存储卡等）的行为，均必须遵守本制度。第三条管理原则计算机终端及涉密介质管理遵循“谁主管、谁负责，谁使用、谁负责”的原则，坚持积极防范、突出重点、依法管理，确保涉密信息系统与互联网及其他公共信息网络实行物理隔离，严禁违规外联和交叉使用。第四条术语定义1.计算机终端：指机关内部用于处理、存储和传输信息的计算机设备，包括涉密计算机终端和非涉密计算机终端（办公计算机）。2.涉密介质：指用于存储、处理国家秘密信息和机关工作秘密信息的移动存储介质，包括涉密U盘、涉密移动硬盘、涉密光盘等。3.非涉密介质：指仅在非涉密计算机终端上使用的移动存储介质。4.中间机：指专门用于在涉密计算机终端与非涉密计算机终端之间进行单向数据交换的专用计算机，必须经过严格的保密技术检测和审批。第二章组织机构与职责第五条保密委员会职责机关保密委员会是计算机终端及涉密介质保密管理的领导机构，负责审定相关管理制度，指导和监督全机关的计算机及涉密介质保密管理工作，查处重大违规违纪泄密事件。第六条信息中心（技术部门）职责1.负责制定和实施计算机终端及涉密介质的技术防护措施，包括安装防病毒软件、主机审计与监控软件、违规外联监控系统等。2.负责涉密计算机终端的采购、配置、维护和报废的技术鉴定工作。3.负责对申请接入涉密网络的终端和介质进行安全检查和审批。4.负责组织计算机终端及涉密介质的安全技术培训和保密检查。5.负责落实物理隔离措施，保障涉密信息系统独立运行。第七条各部门负责人职责1.对本部门使用的计算机终端及涉密介质负有直接领导责任。2.负责组织本部门人员学习保密法规和相关制度，开展日常保密教育。3.负责审批本部门计算机终端及涉密介质的购置、使用、借出和销毁申请。4.定期组织本部门的保密自查，及时发现并纠正违规行为。第八条使用人员职责1.严格遵守保密法规和本制度，对所使用的计算机终端及涉密介质负直接责任。2.按规定申请、领取和使用设备，严禁私自将涉密计算机终端及涉密介质带出办公区域或带回家中。3.负责所使用设备的日常安全防护，设置强口令，及时更新系统补丁，查杀病毒。4.发现计算机终端或涉密介质丢失、被窃或异常情况时，必须立即报告，并采取补救措施。第三章计算机终端管理第九条涉密计算机终端管理1.接入管理：涉密计算机终端必须接入机关内部涉密信息系统，严禁接入互联网或其他公共信息网络。严禁使用无线网卡、无线鼠标、无线键盘等具有无线互联功能的设备。2.标识管理：所有涉密计算机终端必须在机箱的显著位置粘贴统一的“涉密”标签和编号，标明密级（绝密、机密、秘密）。3.口令管理：涉密计算机终端必须启用开机密码、屏幕保护密码和BIOS密码。密码长度不得少于10位，且必须包含大小写字母、数字和特殊符号，并定期更换（每季度至少更换一次）。4.软件管理：涉密计算机终端必须安装经过安全检测的正版操作系统和应用软件。严禁安装游戏、聊天工具等与工作无关的软件，严禁私自安装未经检测的软件。5.外设管理：涉密计算机终端不得安装、使用具有摄像、录音功能的设备（如摄像头、麦克风），确因工作需要安装的，必须经过严格审批并建立物理控制措施（如使用时连接，不用时断开并上锁）。6.便携机管理：涉密便携式计算机（笔记本电脑）必须在机关内部固定场所使用，确需携带外出（仅限机密级以下）的，必须履行严格的审批手续，并拆除无线网卡模块，开启定位追踪功能。第十条非涉密计算机终端管理1.上网管理：非涉密计算机终端主要用于连接互联网处理公开信息，严禁在非涉密计算机上处理、存储、传输涉密信息和敏感工作秘密。2.禁止违规操作：严禁在非涉密计算机终端上使用涉密移动存储介质。严禁将非涉密计算机终端擅自接入涉密网络。3.安全防护：非涉密计算机终端必须安装机关统一配发的防病毒软件、防火墙和终端安全管理软件，并及时更新病毒库和系统补丁。4.数据管理：处理机关内部工作信息的非涉密计算机，应做好数据备份和加密保护措施，防止数据泄露和丢失。第十一条计算机终端使用规范1.开机与登录：用户必须使用本人分配的账号登录计算机终端，严禁共用账号，严禁将账号借给他人使用。2.屏幕保护：离开计算机终端时，必须锁定屏幕或注销，设置屏幕保护启动时间为不超过5分钟，且启用“恢复时显示登录屏幕”。3.数据存储：涉密信息必须在涉密计算机终端的硬盘或涉密介质中存储，严禁存储在个人云盘、互联网邮箱或非涉密计算机中。4.日志审计：所有计算机终端必须开启系统日志、安全日志和应用日志，不得擅自关闭、删除或修改日志文件。信息中心定期采集和分析日志。第四章涉密介质管理第十二条涉密介质采购与登记1.统一采购：涉密介质必须由机关统一采购，优先选用国产自主可控产品，并经过国家保密行政管理部门授权的检测机构检测合格。严禁个人私自购买涉密介质。2.资产登记：新购入的涉密介质必须到保密办进行登记，建立《涉密介质管理台账》，详细记录介质编号、密级、类型、容量、生产厂家、购买日期、责任人、使用状态等信息。3.标识管理：涉密介质必须粘贴统一的密级标签，标签内容应包括密级、编号、责任人等，标签应难以去除，一旦去除即损坏。第十三条涉密介质使用规范1.专盘专用：涉密介质必须在与密级相对应的涉密计算机上使用。高密级介质严禁在低密级计算机上使用，低密级介质严禁在高密级计算机上使用（除非采取符合国家标准的控制措施）。2.禁止交叉使用：涉密介质严禁在非涉密计算机上使用，非涉密介质严禁在涉密计算机上使用。3.外出携带：严禁私自携带涉密介质外出。确因工作需要携带的，必须填写《涉密介质外出携带审批单》，经部门负责人审核、保密办批准后方可带出。携带外出期间必须做到人不离盘，严禁带入无关场所或交无关人员保管。4.复制与传递：复制涉密介质内的信息，必须履行审批手续，并记录复制人、时间、内容及用途。传递涉密介质应通过机要渠道或派专人押送，严禁通过普通邮政、快递等非保密渠道传递。第十四条涉密介质中间机交换管理1.单向导入：将互联网上的数据（非涉密）导入涉密计算机，必须使用专用的中间机（信息交换站）。2.操作流程：a.将非涉密介质插入中间机的外网接口，进行病毒查杀和数据读取。b.将数据写入专用的单向导入设备（如专用光刻机或经过认证的单向导入系统）。c.将数据通过物理单向通道导入涉密网络或使用涉密介质在中间机涉密端读取后，再接入涉密计算机。3.禁止操作：严禁在中间机上直接进行双向数据拷贝，严禁在中间机上处理涉密信息，严禁使用未经认证的U盘进行中转。第十五条涉密介质保管与存放1.个人保管：涉密介质由使用人个人保管，必须存入密码保险柜或具有防盗功能的文件柜中，严禁随意放置在办公桌上或未锁的抽屉内。2.集中保管：下班前或长时间离开办公室时，必须将涉密介质存入保密柜。部门公用的涉密介质，必须指定专人保管并建立借用登记制度。3.部门存放：各部门应配备符合保密标准的保密文件柜，用于集中存放本部门的涉密介质和便携式计算机。第十六条涉密介质维修与销毁1.故障维修：涉密介质出现故障时，应首先停止使用，并报告保密办。由保密办指定专人或送交具有涉密数据恢复资质的定点单位进行维修。维修过程必须在机关内部或具备保密条件的场所进行，维修人员必须签订保密协议。严禁送交无资质的普通维修店维修。2.数据清除：在维修前，必须对介质内的涉密信息进行安全清除或转存。确需保留数据的，必须由专人全程旁站监督维修。3.报废销毁：涉密介质在报废、销毁前，必须进行严格的磁性消除或物理销毁。禁止将涉密介质作为废品出售或随意丢弃。销毁工作由保密办组织，填写《涉密载体销毁记录表》，采用碎纸机粉碎、消磁机消磁或送交指定的涉密载体销毁中心进行销毁，销毁过程必须有两人以上监销。第五章安全防护与审计第十七条病毒与恶意代码防范1.所有计算机终端必须安装机关统一部署的正版防病毒软件，并设置为实时监控模式，开启自动更新病毒库功能（至少每天更新一次）。2.严禁关闭防病毒软件或退出实时监控程序。发现病毒或疑似攻击时，应立即断开网络连接，保护现场，并报告信息中心进行处理。3.严禁打开来历不明的电子邮件附件或下载非官方渠道的软件和文件。第十八条补丁与升级管理1.信息中心负责定期测试和发布操作系统及应用软件的安全补丁。2.涉密计算机终端的补丁更新应通过离线方式（如使用中间机或专用补丁服务器）进行，严禁直接在互联网上下载补丁更新涉密计算机。3.用户应配合信息中心的统一安排，及时安装安全补丁，修补系统漏洞。第十九条审计与日志管理1.机关计算机终端及涉密介质管理系统应具备完善的审计功能，记录用户登录/注销、文件访问、打印、拷贝、移动存储介质插拔、网络连接等关键操作。2.审计记录应包含时间、地点、用户、操作类型、操作对象、结果等要素。3.审计日志必须定期备份，备份介质应妥善保管，保存期限不少于6个月。严禁用户擅自删除、篡改审计日志。第二十条违规外联监控1.涉密计算机终端必须安装违规外联监控软件（硬件“单向隔离卡”或软件客户端）。2.一旦涉密计算机终端尝试连接互联网或违规外网计算机尝试接入涉密网络，监控软件应立即阻断连接、报警并向信息中心发送报警信息。3.信息中心接到报警后，应立即采取措施，切断物理连接，封堵相关端口，并立案调查。第六章监督检查与责任追究第二十一条定期检查1.保密办和各部门应每季度组织一次计算机终端及涉密介质保密自查，重点检查设备台账、日志记录、物理环境、使用行为等。2.机关保密委员会每年至少组织一次全面的保密检查和抽查，必要时采用技术手段进行检测。3.检查结果应形成书面报告，对发现的问题下达整改通知书，限期整改。第二十二条违规行为界定以下行为属于严重违规行为：1.涉密计算机终端接入互联网、无线网络或连接非涉密外设。2.在非涉密计算机上处理、存储、传输涉密信息。3.涉密介质在非涉密计算机上使用，或非涉密介质在涉密计算机上使用。4.将涉密计算机终端、涉密介质接入互联网后重新接入涉密网络未经过安全处理。5.私自复制、打印、摘录涉密信息带出机关。6.涉密介质丢失、被盗隐瞒不报。7.擅自卸载、修改、关闭保密技术防护软件（如杀毒软件、审计软件、违规外联监控软件）。8.涉密计算机使用无线鼠标、无线键盘等无线互联设备。第二十三条奖惩措施1.对于严格遵守保密制度，在计算机终端及涉密介质管理工作中做出显著成绩或有效避免泄密事件的部门和个人，机关给予表彰和奖励。2.对违反本制度规定的，视情节轻重，给予批评教育、责令检查、通报批评等处理。3.对造成泄密事件的，依据《中华人民共和国保守国家秘密法》等相关法律法规，对责任人给予行政处分或党纪处分；构成犯罪的，依法追究刑事责任。4.部门发生严重违规或泄密事件，除追究责任人责任外，还将追究部门负责人的领导责任。第七章附则第二十四条解释权本制度由机关保密委员会办公室负责解释。第二十五条实施时间本制度自发布之日起施行。此前发布的有关机关计算机终端及涉密介质管理的规定与本制度不一致的，以本制度为准。附件：1.《涉密介质管理台账》2.《计算机终端配置安全基线标准》3.《涉密介质外出携带审批单》4.《涉密载体销毁记录表》附件1：计算机终端配置安全基线标准检查项目合规要求检测方法/工具适用范围操作系统必须使用正版软件，版本需在支持生命周期内查看系统属性、许可证信息全部终端补丁更新关键安全补丁必须安装，且更新滞后不超过1个月漏洞扫描工具全部终端防病毒软件必须安装指定版本，病毒库更新日期不超过1天，实时监控开启查看杀毒软件状态、控制台查询全部终端防火墙个人防火墙必须启用，且仅开放必要端口查看防火墙状态、端口扫描全部终端账户策略禁用Guest账户，重命名Administrator账户，启用账户锁定策略查看本地安全策略涉密终端密码策略最小长度10位，复杂度要求（大写、小写、数字、特殊字符），历史记录5次，最长使用期90天查看账户策略涉密终端屏幕保护启用，等待时间不超过5分钟，恢复时显示登录屏幕查看显示设置全部终端共享设置禁止所有默认共享（如C$、Admin$），禁止创建非必要文件共享netshare命令扫描涉密终端无线设备BIOS中禁用无线网卡，操作系统禁用无线服务，禁用蓝牙设备管理器查看涉密终端外部接口除非经过审批，否则禁用USB存储、红外、串口、并口设备管理器、注册表检查涉密终端日志审计审核策略开启（审核登录事件、审核对象访问等），日志大小至少512MB事件查看器涉密终端违规外联监控必须安装违规外联监控客户端，且进程正常运行任务管理器、控制台查询涉密终端文件标识硬盘分区必须格式化为NTFS，重要文件设置访问控制列表查看磁盘属性、文件安全属性涉密终端附件2：涉密介质全生命周期管理流程表阶段关键控制点责任主体详细操作要求记录文档申购需求审核部门负责人确认工作必要性，确定密级采购申请单采购来源合规机关采购中心必须从国家保密局发布的目录内采购，禁止购买国外品牌采购合同入库登记编号保密办建立台账，赋予唯一编号，粘贴密级标签涉密介质台账发放签字领用使用人签署保密承诺书，明确保管责任领用登记表使用专机专用使用人仅限在对应密级的涉密计算机上使用，禁止交叉使用日志传递审批护送部门负责人审批传递路线，必须双人护送或机要通道传递审批单外出审批备案保密办填写携带审批单，记录外出事由、地点、时间携带审批单保管安全存放使用人必须存入密码保险柜，人离盘收日常检查记录维修现场监督信息中心严禁送修，必须现场维修，全程旁站，数据备份维修记录单销毁物理破坏保密办消磁或粉碎，两人以上监销，确认无法恢复销毁记录表注销台账核销保密办更新台账状态，核销资产编号资产处置单附件3：常见违规操作与应急响应指南一、常见违规操作及风险1.违规外联：描述：涉密计算机通过拨号、3G/4G/5G网卡、无线热点等方式连接互联网。风险：极高风险。可能导致远程控制、木马植入、涉密信息被窃取。处置：立即断网，拔除网线/无线设备，报告保密办，对设备进行隔离检查。2.交叉使用移动介质：描述：涉密U盘接入非涉密计算机，或非涉密U盘接入涉密计算机。风险：高风险。极易摆渡木马病毒，导致涉密信息被悄无声息地窃取。处置：立即停止使用该介质，报告保密办，对介质进行病毒查杀和全盘格