保密工作管理制度

保密工作管理制度第一章总则第一条为规范公司保密管理工作，维护公司核心利益、商业安全及市场竞争优势，根据《中华人民共和国保守国家秘密法》《中华人民共和国反不正当竞争法》《中华人民共和国数据安全法》等法律法规及行业监管要求，结合公司实际经营情况，制定本制度。第二条本制度适用于公司全体在职员工、劳务派遣人员、外包服务人员、实习人员，以及因业务合作、项目协作、来访考察等需接触公司保密信息的外部单位人员。所有涉及公司保密信息的活动，均须严格遵守本制度规定。第三条公司保密工作遵循“统一领导、分级负责、归口管理、全程管控、权责对等、违规追责”的原则，实现保密责任全覆盖、涉密信息全流程管控，确保保密信息不泄露、不被违规使用。第四条公司所有员工均负有保护保密信息的义务，对职责范围内接触的保密信息承担直接保密责任，不得擅自向无关方披露、传播或使用保密信息。第二章保密工作组织与职责第五条公司设立保密工作领导小组，作为保密工作的最高决策机构，由公司总经理任组长，各分管副总经理任副组长，各部门负责人为小组成员，主要职责包括：1.贯彻落实国家及行业保密管理相关法律法规、政策要求，审批公司保密管理制度、工作规划及年度工作计划；2.统筹公司保密管理体系建设，明确各层级、各部门保密责任边界，协调解决保密工作中的重大问题；3.审批公司保密信息范围、密级划分标准及调整方案，审批核心涉密信息的对外披露、解密等重大事项；4.组织开展保密工作监督检查、重大失泄密事件调查及处置，审批保密工作奖惩方案。第六条保密工作领导小组下设保密办公室，作为日常执行机构，设在行政人事部，配备2名专职保密管理人员，各业务部门指定1名兼职保密联络员，主要职责包括：1.起草、修订公司保密管理制度及操作流程，组织开展保密宣传、培训及考核工作；2.牵头开展保密信息的定密、变更、解密审核工作，建立公司保密信息台账，定期更新涉密信息清单；3.对涉密文件制作、收发、传递、存储、销毁等全流程进行监督管理，负责涉密载体的统一归口管理；4.对信息系统、办公设备、外部合作场景的保密措施落实情况进行日常检查，每季度组织一次全公司保密风险排查；5.受理失泄密事件报告，牵头开展事件调查、损失评估及处置工作，按要求向保密工作领导小组及监管部门上报事件情况。第七条各部门负责人为本部门保密工作第一责任人，主要职责包括：1.组织本部门员工学习、执行公司保密管理制度，落实本部门涉密岗位、涉密人员的日常管理；2.梳理本部门产生及接触的保密信息，配合保密办公室完成定密、台账更新等工作；3.监督本部门员工涉密信息使用、涉密载体管理情况，及时发现并纠正违规行为；4.若本部门发生失泄密风险或事件，第一时间向保密办公室报告，并配合开展调查处置。第八条涉密岗位根据接触保密信息的密级及范围，分为核心涉密岗位、重要涉密岗位、一般涉密岗位：1.核心涉密岗位：指可接触公司绝密级信息的岗位，包括公司核心管理层、技术研发核心负责人、战略规划核心人员、财务核心负责人等，占公司总岗位比例不超过5%；2.重要涉密岗位：指可接触公司机密级信息的岗位，包括各部门业务骨干、项目核心成员、产品研发人员、市场运营核心人员等，占公司总岗位比例不超过15%；3.一般涉密岗位：指可接触公司秘密级信息的岗位，包括行政、人事、财务等普通职能岗位，以及业务部门基层执行人员等，占公司总岗位比例不超过30%。第九条涉密人员上岗前须通过保密办公室组织的保密培训及考核，考核合格后签订《保密承诺书》，明确保密义务、责任及违约责任；涉密人员离岗、离职前，须完成涉密载体全部清退，签订《离岗离职保密承诺书》，并执行脱密期管理：核心涉密人员脱密期为12个月，重要涉密人员脱密期为6个月，一般涉密人员脱密期为3个月；脱密期内不得在与公司有竞争关系的单位任职，不得违规披露公司保密信息。第三章保密信息范围与密级划分第十条公司保密信息包括公司运营过程中产生的、不属于国家秘密但对公司具有商业价值、且公司已采取保密措施的所有内部信息，以及公司因业务合作受托管理的合作方保密信息、涉及国家秘密的监管信息，具体范围包括：1.技术信息：核心算法、产品源代码、未公开的产品功能设计方案、技术研发数据、测试报告、专利申请未公开材料、技术壁垒相关核心资料等；2.经营信息：未公开的战略规划、投融资计划、并购重组方案、财务预决算报告、核心财务数据、招投标标底及报价方案、客户名单及核心客户需求、供应商合作核心条款、未公开的业务合作协议、市场推广核心策略、业绩考核及薪酬激励核心方案等；3.管理信息：未公开的人事调整计划、核心人员薪酬信息、内部审计报告、违规违纪调查未公开材料、公司重大风险处置预案等；4.监管及合作信息：监管部门下发的涉密监管文件、合作方明确要求保密的商业信息、涉密项目的相关资料等。第十一条公司保密信息根据泄露后对公司利益造成的损害程度，从高到低划分为绝密级、机密级、秘密级三个等级：1.绝密级：是公司最重要的核心保密信息，泄露后会导致公司核心竞争力丧失、遭受重大经济损失（直接经济损失1000万元以上）、面临重大法律风险或严重影响公司长期发展的信息，包括但不限于核心技术算法、源代码、未公开的重大并购重组方案、年度财务核心数据、招投标标底等；2.机密级：是公司重要的保密信息，泄露后会导致公司竞争优势下降、遭受较大经济损失（直接经济损失100万元以上1000万元以下）、部分业务开展受阻的信息，包括但不限于产品研发阶段性成果、未公开的季度财务数据、核心客户名单及合作细节、供应商核心报价、业务拓展核心策略等；3.秘密级：是公司一般保密信息，泄露后会导致公司遭受一定经济损失（直接经济损失10万元以上100万元以下）、内部管理秩序受影响的信息，包括但不限于内部管理流程文件、普通人事信息、常规业务合作协议未公开条款、内部会议纪要等。第十二条定密工作遵循“谁产生、谁定密、谁负责”的原则，具体流程为：1.信息产生部门在信息形成后3个工作日内，对照保密信息范围及密级划分标准提出初步定密意见，填写《定密审批表》，明确信息密级、保密期限、知悉范围；2.部门负责人对初步定密意见进行审核，审核通过后提交保密办公室复核；3.保密办公室在2个工作日内完成复核，对定密不准确的内容提出调整意见，复核通过后报保密工作领导小组审批，绝密级信息须由总经理签字确认，机密级及以下信息由分管保密工作的副总经理签字确认；4.定密完成后，由信息产生部门在涉密载体上标注明显密级标识，绝密级标识为“★绝密保密期限X年”，机密级为“★机密保密期限X年”，秘密级为“★秘密保密期限X年”，未标注密级的内部敏感信息按秘密级管理。第十三条保密期限根据信息的时效性确定，绝密级信息保密期限一般不超过10年，机密级不超过5年，秘密级不超过2年；保密期限届满自动解密，若需延长保密期限，由信息产生部门在期限届满前1个月重新履行定密审批流程。若相关信息已公开、或已无保密价值，由信息产生部门提出解密申请，经保密办公室审核、保密工作领导小组审批后予以解密，解密后可按普通信息管理。第十四条每年12月由保密办公室牵头，各部门配合对公司现有保密信息开展一次密级梳理及调整工作，更新《公司保密信息清单》，经保密工作领导小组审批后下发至各部门执行。第四章涉密载体全流程管理第十五条涉密载体包括以文字、数据、符号、图形、音视频等形式存储保密信息的纸质载体、电子载体及物理介质，具体包括纸质文件、U盘、硬盘、光盘、存储芯片、服务器、涉密样品等。第十六条涉密载体制作管理：1.涉密载体制作须由涉密人员完成，制作前须明确载体密级、知悉范围，制作过程中产生的草稿、废页、废件等须第一时间按涉密载体销毁要求处理，不得随意丢弃；2.纸质涉密载体制作完成后，须由保密办公室统一加盖密级标识、编制唯一编号，登记《涉密纸质载体台账》，明确载体名称、密级、保密期限、制作部门、制作人、发放范围；3.电子涉密载体制作完成后，须存储在公司统一配备的涉密存储介质中，禁止存储在个人设备、非涉密办公设备及公共云存储空间，电子涉密载体须加密存储，加密密钥由保密办公室统一管理，绝密级电子载体须采用AES-256级以上加密算法。第十七条涉密载体收发及传递管理：1.收发涉密载体须履行登记、签字手续，收件人须核对载体密级、编号、内容是否与登记信息一致，确认无误后签字接收；2.公司内部传递涉密载体须通过内部涉密办公系统或专人送达，绝密级载体传递须由2名及以上核心涉密人员共同负责，传递过程中不得携带涉密载体进入公共场所，不得委托无关人员捎带；3.外部传递涉密载体须经保密办公室审批，绝密级及机密级载体原则上不得带出公司，确因工作需要带出的，须填写《涉密载体外出审批表》，经部门负责人审核、保密办公室批准、分管副总经理签字同意后方可带出，外出期间须随身携带、专人保管，返回公司后第一时间向保密办公室交回；4.禁止通过普通快递、微信、QQ、个人邮箱等非涉密渠道传递任何级别涉密载体，传递秘密级电子载体须通过公司加密邮箱，传递机密级及以上电子载体须使用加密专用传输通道。第十八条涉密载体使用及存储管理：1.涉密载体仅限在知悉范围内使用，不得擅自扩大知悉范围，确需扩大的，须经原定密审批部门同意，报保密办公室备案；2.纸质涉密载体使用后须存放在带锁的保密柜中，绝密级载体须存放在公司核心保密室的保险柜中，由2名保密管理人员共同管理，开门钥匙及密码分别由2人保管，出入保密室须登记，禁止无关人员进入；3.电子涉密载体须存储在涉密办公设备或涉密存储介质中，涉密设备及存储介质须粘贴明显涉密标识，禁止接入互联网及其他非涉密网络，禁止在涉密设备上使用非涉密存储介质、安装与工作无关的软件；4.员工不得擅自复制、摘抄涉密载体内容，确因工作需要复制的，须填写《涉密载体复制审批表》，秘密级复制由部门负责人审批，机密级复制由保密办公室审批，绝密级禁止复制，复制后的涉密载体按原密级管理，须登记编号、明确使用人。第十九条涉密载体销毁管理：1.涉密载体无保存价值时，由使用部门提出销毁申请，填写《涉密载体销毁审批表》，经部门负责人审核、保密办公室审批后统一销毁，任何部门及个人不得擅自销毁涉密载体；2.纸质涉密载体销毁须采用碎纸机粉碎（碎纸粒度不超过1mm×2mm）或送至保密行政管理部门指定的销毁机构销毁，2人及以上现场监销，确保载体内容完全无法还原；3.电子涉密载体销毁须采用消磁、物理粉碎或专业数据擦除工具（擦除次数不低于7次）的方式，确保存储数据完全删除，不得通过格式化、普通删除等方式处理电子涉密载体；4.销毁完成后，保密办公室须更新《涉密载体台账》，记录销毁时间、载体名称、编号、监销人等信息，相关销毁记录保存期限不低于5年。第二十条涉密载体不得擅自对外提供，确因业务合作、项目申报等需要向外部单位提供的，须履行审批流程：提供秘密级信息由部门负责人审核、保密办公室审批；提供机密级信息由分管副总经理审批；提供绝密级信息须由总经理审批。对外提供前须与接收方签订《保密协议》，明确对方保密责任、保密期限及违约责任，提供的涉密载体须标注密级，要求对方不得擅自复制、转发。第五章信息系统及办公设备保密管理第二十一条公司信息系统按涉密等级分为核心涉密系统、一般涉密系统、非涉密系统：核心涉密系统存储处理绝密级及机密级信息，包括代码仓库、核心财务系统、研发项目管理系统等；一般涉密系统存储处理秘密级信息，包括内部OA系统、客户管理系统、普通业务系统等；非涉密系统用于处理公开信息。第二十二条信息系统保密管理要求：1.涉密系统须与互联网物理隔离，禁止接入任何公共网络，系统须设置身份认证、访问控制、操作日志审计功能，用户账号实行一人一号，权限按“最小必要”原则分配，核心涉密系统访问权限仅限核心涉密人员；2.涉密系统操作日志须保存6个月以上，保密办公室每季度对操作日志进行审计，排查异常访问、违规下载、批量导出等风险行为，发现异常及时溯源处置；3.禁止在非涉密系统中存储、处理、传输任何涉密信息，禁止将涉密系统中的数据擅自下载、导出到非涉密设备；4.信息系统运维人员不得擅自访问、复制、泄露系统中的涉密信息，运维操作须提前申请，经审批后在2人监督下开展，运维操作全程留痕。第二十三条办公设备保密管理要求：1.涉密计算机、涉密打印机、涉密复印机等办公设备须由公司统一采购、统一登记、粘贴涉密标识，由专人管理，禁止私自更换硬件、安装软件；2.涉密打印机、复印机不得连接互联网，打印、复印涉密载体须履行审批手续，打印、复印产生的废页须及时销毁，打印完成后须及时取走涉密载体，不得遗留在设备上；3.禁止使用个人手机、相机、录音笔等设备拍摄、录制涉密文件、涉密会议内容及涉密产品样品，确因工作需要拍摄的，须经保密办公室审批，拍摄的内容按对应密级管理，不得存储在个人设备中；4.办公区域公共区域、会议室须安装视频监控，监控记录保存期限不低于3个月，核心保密室、研发核心区域入口须安装门禁系统，门禁权限仅限相关涉密人员，人员出入记录保存期限不低于1年。第二十四条网络安全保密管理要求：1.公司网络边界须部署防火墙、入侵检测、数据防泄漏（DLP）系统，对网络传输内容进行监测，拦截涉密信息违规外发行为；2.员工不得使用公司网络访问非法网站、下载不明来源文件，不得在公司网络中使用VPN工具绕过网络管控；3.信息技术部门每月开展一次网络安全漏洞排查，及时修复系统漏洞，防止黑客攻击导致涉密信息泄露；4.发生网络安全事件导致涉密信息泄露的，信息技术部门须第一时间切断网络连接，保留现场证据，同时上报保密办公室，配合开展调查处置。第六章重点场景保密管理第二十五条涉密会议管理：1.举办涉密会议须提前确定会议密级，根据密级选择符合保密要求的会议场所，绝密级会议须在公司内部保密会议室举办，禁止使用涉外酒店、开放式公共场所举办涉密会议；2.参会人员仅限涉密范围内人员，参会前须签到，工作人员须核查参会人员身份，禁止无关人员进入会场；3.涉密会议开始前须提醒参会人员将手机关机并放入统一保管的保密柜中，禁止携带录音、录像设备进入会场，确需录音录像的，须经会议主办部门负责人批准，由专人负责，录制内容按涉密载体管理；4.涉密会议发放的纸质材料须编号、登记，参会人员签字领取，会议结束后统一收回，不得带出会场；会议内容不得擅自对外传播，参会人员须严格遵守会议保密要求。第二十六条对外合作及接待管理：1.与外部单位开展合作前，须对合作方的保密能力进行评估，根据合作内容签订相应的保密协议，明确保密范围、保密责任及违约责任；2.外部单位人员来访考察、参观前，接待部门须明确来访人员是否涉及涉密区域访问，确需进入一般涉密区域的，须经部门负责人审批，进入核心涉密区域的，须经保密办公室审批，来访人员须佩戴访客标识，由接待人员全程陪同，禁止接触与访问内容无关的涉密信息；3.对外发布宣传材料、新闻稿件、公开演讲内容前，须经部门负责人审核、保密办公室进行保密审查，确认无涉密内容后方可发布，禁止擅自对外披露未公开的公司信息；4.员工接受外部采访、参加行业公开会议前，须提交拟发表的内容材料，经保密审查通过后方可参加，发言过程中不得涉及公司涉密信息。第二十七条员工日常行为保密要求：1.员工不得在私人交往、朋友圈、微博、抖音等公共社交平台谈论、发布公司涉密信息，不得在公共场所谈论公司涉密业务；2.员工离职时须清退所有涉密载体、注销内部系统账号，不得擅自保留公司任何涉密信息，脱密期内须履行保密义务，公司会定期对离职涉密人员的保密义务履行情况进行回访；3.员工发现涉密信息泄露风险、或发现他人违规披露涉密信息的，须第一时间向保密办公室报告，不得隐瞒或擅自处理；4.禁止员工私自从事与公司有竞争关系的兼职业务，不得利用公司涉密信息为个人或第三方谋取利益。第七章保密检查与应急处置第二十八条保密办公室每月开展一次日常保密检查，每季度组织一次全公司专项保密检查，检查内容包括：1.各部门保密管理制度落实情况，涉密人员管理、培训情况；2.涉密载体制作、收发、存储、销毁等流程执行情况，台账是否完整、管理是否规范；3.信息系统、办公设备保密措施落实情况，是否存在涉密设备联网、涉密信息存储在非涉密设备等违规行为；4.重点场景保密管理落实情况，涉密会议、对外合作等场景是否按要求执行保密流程。第二十九条检查发现的一般违规问题，保密办公室向相关部门下发《保密整改通知书》，明确整改要求及整改期限，部门须在规定期限内完成整改并提交整改报告，保密办公室对整改结果进行复核。检查发现存在重大失泄密风险的，须立即采取管控措施，防止风险扩大。第三十条公司建立失泄密事件应急处置机制，发生失泄密事件后，按以下流程处置：1.事件上报：发现人第一时间向保密办公室报告，说明事件发生时间、涉及涉密信息密级、泄露范围、可能造成的影响等情况，保密办公室在1小时内上报保密工作领导小组；2.应急响应：保密办公室牵头成立应急处置小组，第一时间采取措施控制泄露范围，包括切断传播渠道、追回泄露的涉密载体、对相关涉密系统进行权限管控等；3.调查评估：应急处置小组对事件原因、泄露范围、造成的损失及影响进行调查评估，形成事件调查报告，明确事件责任人、泄露原因、损失程度；4.处置整改：根据调查结果，对相关责任人进行追责，针对事件暴露出的管理漏洞制定整改方案，完成整改，若事件涉及违法违规的，及时向公安机关、保密行政管理部门报案，配合开展调查；5.事后复盘：事件处置完成