信息保密风险排查检查表

信息保密风险排查检查表一、排查目的与适用范围本排查机制旨在通过结构化、高频次的合规巡检，主动识别并阻断企业核心商业机密、客户数据及内部敏感信息在流转与存储环节的泄露路径。适用对象为公司全体正式员工、外包人员及驻场访客；排查责任主体为各部门信息安全管理员（兼职）及集团信息安全部。排查频次为全量普查每季度1次，核心涉密部门（如研发、财务、法务）每月抽查1次。二、排查执行要求排查工作必须遵循“不打扰业务、不遗漏盲区、不隐瞒隐患”的原则，排查人员需在排查前签署《保密承诺书》，排查过程产生的记录必须存档备查。发现隐患时，排查人员必须现场拍照取证，并填写《隐患整改通知单》交由责任部门负责人签字确认，严禁口头通报了事。三、物理与环境安全排查物理边界是防止未授权人员直接接触涉密载体的第一道防线，其核心在于切断物理信息的非法外流通道。•涉密区域门禁系统：必须检查门禁刷卡记录是否与安保中心人员出入台账一致。异常如“尾随进门”或“无卡开门”必须调取监控核实。严禁将门禁卡借予他人（一旦借出导致非授权人员进入涉密区，将对借卡人及持卡人同时进行行政处罚并取消涉密资格）。•纸质涉密资料管理：必须检查员工桌面是否严格执行“清桌行动”。下班后桌面严禁留存任何标注“内部”“机密”的文件。文件必须存入带有双人双锁保密柜中。若保密柜钥匙遗失，应当立即报告安全部并更换锁芯，严禁使用备用钥匙长期替代。•涉密打印与复印管控：必须检查打印机旁是否设有“保密筐”与“废纸篓”。涉密文件打印后必须在10分钟内取走。严禁将未取走的涉密打印件直接扔进废纸篓，必须使用微米级交叉切纸碎纸机（粉碎效果2m四、网络与信息系统排查网络与系统排查聚焦于数字资产的访问控制与边界防护，重点验证权限分配的最小化原则及终端外设的管控状态。•账号与权限管理：必须抽查系统账号是否与实际在职人员一一对应。离职人员账号必须在离职手续办结后2小时内冻结，48小时内注销。严禁多人共用同一系统账号，若因业务系统限制确需共用，必须经信息安全部审批，并绑定固定IP地址以追溯操作源头。•移动存储介质管控：必须检查员工办公电脑的USB接口策略。涉密电脑严禁接入未经加密认证的U盘或移动硬盘。若确需跨网段传输数据，优先使用经加密处理的内部安全U盘（自动加密存储区）；若无安全U盘，必须通过信息安全部专用数据摆渡机进行杀毒与内容审计后传输；严禁使用个人U盘直接拷贝。•终端防泄密策略：必须核查所有办公电脑是否强制开启屏幕保护，并设定锁屏时间为“无操作5分钟自动锁定”。员工离开工位必须按Win+L锁屏。严禁在屏幕便签或桌面文档中明文记录系统密码。五、人员与保密管理排查人为因素是信息泄密链条中最脆弱且最难控制的环节，必须通过制度约束与行为审计实现闭环管理。•保密协议与培训：必须核查新员工入职档案中《保密协议》及《竞业限制协议》的签署率是否达到100%。入职30天内必须完成《信息安全红线》线上培训并通过考试（80分及格），否则应当冻结其内网准入权限。•离职保密审查：离职人员交接单必须由所在部门负责人、IT部门、信息安全部三方会签。IT部门必须清收其名下的所有公司资产（笔记本电脑、门禁卡、授权令牌），并清理其个人云盘或邮箱中的公司资料。•访客与外包管理：外部访客进入涉密区域必须由内部接待人员全程陪同。访客必须佩戴访客牌，且严禁携带带有摄像/存储功能的设备进入核心研发区（手机需存入门口屏蔽柜）。六、数据全生命周期排查数据在产生、传输、存储至销毁的各个阶段面临不同的威胁模型，必须采取分层防御与加密隔离策略。•数据存储加密：核心数据库中的客户个人信息、财务核心数据必须采用国密算法（如SM4）或AES-256进行落盘加密。必须检查加密密钥的轮换周期，密钥必须每90天轮换一次，严禁使用同一套密钥长期加密静态数据。•数据传输通道：内部系统跨公网传输数据必须使用HTTPS（TLS1.2及以上）或部署VPN隧道。文件外部传输优先使用公司企业网盘（自带水印与权限控制）；若需通过邮件发送敏感附件，必须使用加密压缩包，且密码必须通过其他通讯渠道（如短信）单独发送。•废弃设备与数据销毁：报废硬盘必须进行物理粉碎（穿透硬盘盘片），并录像留存。严禁将存有敏感数据的硬盘直接格式化后作为废品变卖。销毁记录必须由执行人、监督人双签字归档保存至少3年。七、隐患整改与跟踪闭环风险排查的价值在于隐患的彻底消除，必须建立定级、整改、复测的PDCA闭环机制，杜绝隐患“查而不改”。•重大风险（如涉密网直连互联网、核心源码上传至个人公共云盘）：必须立即切断网络连接或封禁账号，2小时内启动溯源调查。责任部门必须在24小时内完成整改并提交分析报告，由信息安全部现场验收。•高风险（如弱口令、未锁屏、未及时销毁涉密文件）：必须下发《限期整改单》，责任部门须在3个工作日内完成整改。逾期未整改的，信息安全部可直接冻结相关账号权限。•一般风险（如培训未完成、台账登记不全）：责任部门须在10个工作日内完成整改，并在下月排查中作为必查项进行复核。八、附件：信息保密风险排查记录表本表供排查人员现场打印填写，填写完毕后交由信息安全部归档，保存期3年。|序号|排查维度|具体检查项|判定标准|隐患描述及证据|责任人|整改期限|复测结果|

|-|-|-|-|-|-|-|-|

|1|物理安全|涉密区门禁记录核对|记录与台账一致，无尾随|||||

|2|物理安全|桌面清桌行动执行情况|下班后无涉密文件留存|||||

|3|物理安全|保密柜双人双锁配置|钥匙由两人分别保管|||||

|4|网络系统|离职人员账号注销情况|离职48小时内账号已注销|||||

|5|网络系统|USB接口及外设管控策略|涉密机禁用未认证U盘|||||

|6|网络系统|终端屏幕自动锁屏时间|设定为5分钟无操作锁定|||||

|7|人员管理|新员工保密协议签署率|档案签署率100%|||||

|8|人员管理|访客进入核心区手机管控|手机