涉密工程项目保密管理方案

涉密工程项目保密管理方案涉密工程项目保密管理覆盖项目立项、实施、验收、运维、报废全生命周期，需遵循统一领导、分级负责、全程管控、精准施策的基本原则，以国家秘密安全为核心目标，明确各方责任主体，细化各环节管控措施，确保项目实施全过程无泄密风险。一、保密管理责任体系（一）层级责任划分建立“建设单位牵头、参建单位各负其责、保密管理部门监督”的三级责任体系，明确各主体保密职责边界。1.建设单位主体责任：建设单位是项目保密管理第一责任主体，需牵头成立项目保密管理小组，组长由建设单位分管项目的副职领导担任，成员涵盖项目管理、保密、财务、运维等部门专职人员，以及承建、监理单位的项目负责人和保密专员。密级为机密级及以上的项目需配备1名以上专职保密管理员，秘密级项目可由具备保密管理资质的人员兼任。保密管理小组负责项目全周期保密工作的统筹部署、制度制定、监督检查、应急处置，每季度至少召开1次保密工作专题会议，研究解决保密风险隐患。2.承建单位直接责任：承建单位对项目实施过程中的保密工作负直接责任，需设置专门的项目保密管理岗位，配备与项目密级匹配的保密管理人员，制定本单位项目保密实施细则，落实各项保密管控措施，定期向建设单位保密管理小组汇报保密工作开展情况。3.监理单位监督责任：监理单位需将保密管理纳入工程监理范畴，配备专职保密监理人员，对承建单位的保密措施落实情况进行日常监督，对涉密施工环节、涉密载体流转、涉密人员行为进行旁站监理，发现违规行为立即制止并报告建设单位。4.岗位人员个体责任：项目负责人是项目保密工作第一责任人，对项目保密工作负总责；保密管理员对日常保密管理工作负直接责任；所有涉密人员需签订保密承诺书，严格遵守各项保密规定，对自身接触的涉密信息安全负责。（二）责任考核机制将保密工作纳入项目绩效考核体系，保密考核权重不低于项目总考核权重的15%。建设单位每月对参建单位保密工作落实情况进行评分，评分结果与项目进度款拨付直接挂钩，月度保密考核不合格的，扣减当月进度款的5%-10%；连续2个月考核不合格的，暂停项目实施，直至整改到位。二、项目前期准备阶段保密管理（一）立项与定密管理1.立项保密审查：项目建议书、可行性研究报告中必须单独设置保密专篇，内容包括项目密级初步判定、核心涉密内容清单、保密风险点分析、拟采取的保密措施、保密经费预算等。其中保密经费预算占项目总预算比例不得低于以下标准：绝密级项目不低于3%，机密级项目不低于2%，秘密级项目不低于1%，且需单独列支、专款专用，不得挪作他用。立项审批部门需对保密专篇进行专项审查，审查不合格的不予立项。2.定密流程规范：项目正式立项后10个工作日内，由建设单位定密责任人牵头成立不少于3人的密级评审组，评审组成员需具备对应密级的定密权限，熟悉项目业务内容及保密管理要求。评审组对照国家秘密及其密级具体范围的相关规定，对项目整体密级、各分项内容密级、知悉人员范围、保密期限进行逐一研判，形成书面定密意见书，由定密责任人签字确认后，报同级保密行政管理部门备案。项目密级或知悉范围发生变更的，需在5个工作日内重新履行定密评审程序，及时告知所有知悉人员，并更新所有涉密载体的密级标识。（二）招投标与合同管理1.招投标保密管控：涉密工程项目招投标需在保密行政管理部门的监督指导下开展，招标公告不得发布在互联网公开平台，需通过内部涉密渠道定向通知具备对应保密资质的单位。投标单位需提供有效期内的涉密资质证书、类似项目保密管理经验证明、涉密人员配置情况材料，由建设单位保密管理小组进行资格预审，预审不合格的不得参与投标。投标文件需由投标单位密封并加盖保密专用章，在指定涉密场所递交，递交过程全程登记。开标、评标需在符合保密要求的封闭场所进行，所有参与人员需关闭通讯工具并统一存放，评标专家从涉密项目专家库中随机抽取，抽取过程全程录音录像，评标结果需在内部涉密渠道公示，公示期不少于3个工作日。2.合同保密条款：项目合同中必须包含专门的保密条款，或单独签订保密协议，明确以下内容：保密范围（涵盖项目所有涉密文件、图纸、数据、技术成果等）、保密期限（自合同签订之日起至涉密信息解密之日止）、双方保密义务、涉密人员管理要求、保密违约责任、泄密赔偿标准。其中违约责任需明确：泄露秘密级信息的，赔付金额不低于合同总额的5%；泄露机密级信息的，赔付金额不低于合同总额的15%；泄露绝密级信息的，赔付金额不低于合同总额的30%，同时保留追究相关人员法律责任的权利。（三）人员入场前管理所有参与项目的人员（含建设、承建、监理、外协、测评等单位人员）均需履行保密审查程序，审查合格后方可入场。1.保密审查：审查内容包括政治面貌、过往保密记录、社会关系、近5年出国（境）情况、违法犯罪记录等。核心涉密人员还需进行背景审查，由建设单位人事、保密部门联合开展，必要时协调公安、国家安全部门配合。2.岗前培训与考核：审查合格人员需参加岗前保密培训，培训时长按密级划分：核心涉密人员不少于24学时，重要涉密人员不少于16学时，一般涉密人员不少于8学时。培训内容包括保密法律法规、项目保密管理制度、涉密操作规范、泄密应急处置流程等。培训结束后进行闭卷考试，满分100分，80分以上为合格，考核不合格的需补考，补考仍不合格的不得参与项目工作。3.保密承诺：所有入场人员需签订《涉密人员保密承诺书》，明确保密义务、违约责任，承诺书存入个人保密档案，长期留存。三、项目实施阶段保密管理（一）现场物理环境管控涉密施工区域实行分区管控，按照涉密程度划分为核心涉密区、重要涉密区、一般涉密区，各区域设置明显的密级标识牌，采取差异化的准入管控措施。1.物理隔离要求：涉密施工区域需设置封闭式实体围挡，核心涉密区围挡高度不低于2.5米，重要涉密区不低于2.2米，一般涉密区不低于2米，围挡顶部安装防攀爬设施。核心涉密区需单独设置物理隔断，与其他区域完全隔离。2.准入管控：核心涉密区实行“双人双验”准入制度，人员进入需同时通过人脸识别+涉密门禁卡双重验证，且需持有经项目保密管理小组审批的《核心涉密区入场审批单》，每次进入时长不超过4小时，超出时长需重新审批，进入时需登记人员姓名、单位、进入时间、事由、离开时间；重要涉密区实行门禁卡+动态密码验证，动态密码由保密管理员每日更新；一般涉密区实行涉密门禁卡准入，人员信息由保密管理员统一录入、统一注销。所有区域出入口均配备电子设备检测门及手持金属探测仪，安排专人24小时值守，对进入人员进行逐一检查，严禁携带手机、智能穿戴设备、普通移动存储介质、录音录像设备等非涉密电子设备进入，个人物品统一存放在区域外的专用储物柜，储物柜实行一人一锁，钥匙由使用人自行保管。3.视频监控：涉密区域实现视频监控全覆盖，无死角、无盲区，监控分辨率不低于1080P，帧率不低于25帧/秒。核心涉密区监控存储时长不少于180天，重要涉密区、一般涉密区存储时长不少于90天。监控系统由保密管理员专人管理，调取监控需经保密管理小组组长审批，严禁私自拷贝、传播监控录像。（二）涉密载体全生命周期管理涉密载体包括纸质载体（涉密文件、图纸、报告、台账等）、磁介质（涉密硬盘、U盘、磁带等）、光介质（涉密光盘、蓝光碟等）、涉密设备（涉密计算机、服务器、打印机等），实行“统一采购、统一登记、统一编号、统一标识、统一销毁”的全生命周期管理。1.采购与登记：涉密载体需由建设单位统一采购，优先选用国产设备，且需符合国家保密标准。所有涉密载体需建立管理台账，登记载体编号、密级、名称、规格、数量、采购日期、使用人、存放地点等信息，台账实行动态更新，确保账物相符。2.制作与收发：涉密载体的制作需在涉密场所内的涉密设备上进行，制作完成后标明密级、保密期限、知悉范围、编号，制作过程中产生的废页、次品需当场使用符合保密标准的碎纸机粉碎，不得带出涉密场所。涉密载体的收发需履行登记手续，由专人负责，核对载体编号、数量、密级，收发双方签字确认。3.使用与保管：涉密载体需存放在符合国家保密标准的密码文件柜中，由专人保管，密码文件柜钥匙或密码由保管人单独掌握，不得转交他人。借阅涉密载体需填写《涉密载体借阅审批单》，经保密管理员审批同意后方可借阅，借阅期限最长不超过3个工作日，到期需及时归还，确需延长的需重新办理审批手续。涉密载体仅限在涉密场所内使用，严禁带出涉密区域，确需带出的需经保密管理小组组长审批，由两名以上涉密人员专人携带，采取必要的保密防护措施。4.传递与运输：涉密载体的传递需通过机要通信渠道，或由两名以上涉密人员专人送递，严禁通过普通快递、邮政、互联网（含微信、QQ、邮箱等）传递涉密信息。跨区域运输涉密载体的，需使用带有保密防护功能的运输工具，安排两名以上涉密人员押运，中途不得停留，运输前需告知目的地建设单位保密部门，核对无误后办理交接手续。5.销毁与清退：涉密载体销毁需统一交建设单位保密管理部门，送保密行政管理部门指定的销毁机构进行销毁，严禁私自销毁、丢弃或作为废品出售。销毁时需有两名以上工作人员在场监销，核对销毁载体的数量、编号，确认无误后签字确认，销毁记录留存不少于10年。项目阶段性工作完成后，承建单位需及时清退所有涉密载体，要么交回建设单位，要么统一销毁，不得私自留存。（三）涉密信息系统管控项目涉及的涉密网络、涉密计算机、涉密应用系统需严格遵循“物理隔离、分级保护、最小权限、全程审计”的原则进行管理。1.物理隔离要求：涉密网络与互联网、非涉密办公网需完全物理断开，不得有任何形式的连接，包括有线、无线、蓝牙等。涉密场所内不得设置无线接入点，不得使用无线鼠标、无线键盘等无线外设。2.终端管理：涉密计算机实行“一机一人”负责制，安装符合国家保密标准的终端保密管理系统，具备行为审计、外设管控、病毒查杀、屏幕水印、数据加密功能。使用人需设置开机密码及屏保密码，密码长度不少于12位，包含数字、字母、特殊字符，每90天更换一次，严禁将密码告知他人。涉密计算机严禁接入互联网及其他非涉密网络，严禁使用非涉密移动存储介质，严禁安装与工作无关的软件，严禁处理超出自身知悉范围的涉密信息。涉密计算机的维修、维护需在涉密场所内进行，由具备保密资质的人员操作，确需送外维修的，需拆除硬盘等存储部件，维修过程由专人全程监督，维修完成后需进行保密检测，合格后方可继续使用。3.系统权限管理：涉密信息系统实行“三员分立”制度，分别设置系统管理员、安全保密管理员、安全审计管理员，三者权限相互独立、相互制约，不得兼任。账号权限实行最小权限原则，根据岗位需求分配对应权限，不得超权限配置。账号口令实行分级管理，系统管理员口令长度不少于16位，每30天更换一次；普通用户口令长度不少于12位，每90天更换一次。4.数据备份与检测：涉密数据需定期备份，核心涉密数据每周备份一次，重要涉密数据每两周备份一次，一般涉密数据每月备份一次，备份数据需加密存储，异地存放，至少保留3份副本。涉密系统每月至少进行一次病毒查杀、漏洞扫描，每季度进行一次安全保密测评，每年由具备资质的第三方机构进行一次全面检测，检测不合格的需立即整改。（四）外协外包保密管理1.外协单位资质审查：承建单位确需将部分非核心涉密工作外协外包的，需提前向建设单位保密管理小组提交申请，说明外协内容、外协单位资质、人员配置情况，经审批同意后方可实施。外协单位必须具备与项目密级匹配的保密资质，且无不良保密记录。2.外协人员管控：外协人员入场需履行与正式涉密人员相同的审查、培训、承诺程序，发放临时涉密门禁卡，仅限在指定的一般涉密区工作，不得进入核心、重要涉密区，不得接触核心涉密内容。外协人员工作时需有承建单位正式涉密人员全程陪同，严禁单独留在涉密场所。3.外协成果管理：外协单位完成的工作成果需统一交付给承建单位保密管理员，经保密审查合格后方可接入项目涉密系统，严禁外协人员私自传输、留存项目涉密信息。外协工作结束后，外协单位需清退所有涉密载体，销毁所有涉密数据，提交《外协保密工作确认书》，经建设单位核查无误后方可办理结算手续。（五）日常保密管控1.每日巡查：项目保密专员每日对涉密区域至少巡查2次，重点检查涉密载体存放是否规范、涉密计算机是否锁屏、人员是否存在违规操作、出入口管控是否到位等，填写《每日保密巡查记录表》，发现问题立即整改，重大问题第一时间报告保密管理小组。2.月度检查：建设单位保密管理小组每月组织一次全面保密检查，检查内容包括保密制度执行情况、涉密人员管理情况、涉密载体台账、涉密系统安全情况、监控运行情况等，形成月度检查报告，通报检查结果，下达整改通知书，明确整改责任人、整改期限，整改完成后进行复查。3.季度培训：每季度组织一次涉密人员保密教育培训，培训时长计入年度培训总时长，核心涉密人员每年累计培训不少于40学时，重要涉密人员不少于30学时，一般涉密人员不少于15学时。培训内容包括最新保密法律法规、典型泄密案例、保密操作技能、应急处置流程等，培训结束后进行考核，考核不合格的暂停上岗，补考合格后方可重新上岗。四、项目验收交付阶段保密管理（一）保密专项验收项目总体验收前，需先完成保密专项验收，由建设单位保密管理小组牵头，邀请同级保密行政管理部门工作人员及2-3名保密技术专家组成验收组。验收内容包括：项目保密管理制度体系建设及执行情况、涉密人员审查及培训档案、涉密载体全生命周期管理台账、涉密信息系统安全保密测评报告、物理环境保密防护检测报告、应急处置预案及演练记录、脱密期管理安排等。验收组通过查阅资料、现场核查、人员访谈、技术检测等方式开展验收，形成《保密专项验收意见书》，验收合格的方可开展项目总体验收；验收不合格的，下达整改通知书，明确整改要求及期限，整改完成后重新组织验收，整改期间暂停项目所有交付工作。（二）验收过程管控项目验收会议需在符合保密要求的涉密场所召开，参会人员需严格遵守保密规定，不得携带非涉密电子设备入场，会议资料统一发放、统一编号，会后统一回收，严禁私自复印、带走涉密验收资料。外聘验收专家仅限现场查阅涉密资料，不得拍摄、摘抄，不得将涉密资料带离验收会场。验收过程全程录音录像，录像资料存入项目保密档案，保存期限不少于项目结束后10年。（三）交付与归档1.交付管理：项目交付时，参建单位需将所有涉密载体（含纸质文件、图纸、电子数据、涉密设备等）逐件清点，编制《涉密载体交付清单》，明确载体编号、密级、数量、规格，双方交接人签字确认，加盖单位保密专用章。交付的涉密载体需直接存入建设单位保密室，由保密管理员统一保管，严禁私自存放。涉密信息系统交付时，需同步移交系统拓扑图、账号权限清单、操作手册、安全测评报告等资料，办理系统管理员权限交接手续，交接完成后立即修改所有管理员账号密码。2.档案归档：项目所有涉密档案需按照国家秘密档案管理要求整理，密级统一按项目最高密级标注，归档到建设单位涉密档案库，实行专人管理、双人双锁。查阅涉密档案需填写《涉密档案查阅审批单》，经保密管理小组组长审批同意后方可查阅，仅限在档案室内查阅，严禁带出、复印、摘抄，确需复印的需经审批，复印的档案按原密级管理。电子档案需加密存储在涉密档案服务器中，定期备份，异地存放，严禁接入非涉密网络。五、项目运维与报废阶段保密管理（一）运维阶段管控1.运维人员管理：涉密系统运维人员需具备对应密级的涉密人员资格，签订运维保密协议，实行持证上岗。运维操作需提前提交《运维工单》，明确运维内容、时间、人员，经建设单位项目负责人和保密管理员双重审批同意后方可实施，操作过程需有两名以上工作人员在场，全程记录操作内容，运维日志留存不少于2年。严禁运维人员私自更改系统配置、拷贝系统数据、泄露系统信息。2.日常运维管控：涉密系统的补丁更新、病毒库升级需从保密行政管理部门认可的专用补丁库下载，先在测试环境测试通过后，再部署到生产环境，严禁直接从互联网下载补丁。运维过程中产生的涉密数据需及时存入涉密系统，严禁私自存储在个人设备中。每季度对运维情况进行一次审计，发现违规操作立即处理。（二）报废阶段管控1.涉密载体报废：项目报废时，所有涉密载体（含纸质文件、涉密设备、存储介质等）需统一清理、登记，经保密管理小组审核后，送保密行政管理部门指定的销毁机构销毁。其中涉密存储介质需先进行消磁或物理粉碎处理，确保数据无法恢复，严禁将涉密设备作为废品出售或捐赠。销毁过程由两名以上工作人员监销，销毁记录存入项目保密档案，长期留存。2.脱密期管理：项目结束后，所有参与项目的涉密人员需按规定执行脱密期管理，脱密期自脱离涉密岗位之日起计算：核心涉密人员脱密期为2-3年，重要涉密人员为1-2年，一般涉密人员为6个月-1年，具体时长由保密管理小组根据人员接触涉密信息的密级、时长、范围确定。脱密期内，涉密人员需遵守以下规定：不得擅自出国（境），确需出国（境）的需经原单位保密管理部门审批，且回国后需及时报告；不得在境外企业、境外组织驻华机构、外商投资企业工作；不得为境外组织、人员提供咨询、服务；不得泄露知悉的国家秘密。原单位保密管理部门需每季度对脱密期人员进行一次回访，了解其工作变动、从业情况，更新脱密期管理台账，脱密期满后，经审核无违规行为的，办理解除脱密期手续。3.档案解密：项目保密期限届满后，由建设单位定密责任人牵头开展解密审查，符合解密条件的，按程序办理解密手续，报同级保密行政管理部门备案。解密后的档案可按非涉密档案管理，未经解密的涉密档案需继续按原密级管理。六、监督检查与责任追究（一）监督检查机制建立“日常巡查、月度检查、季度抽查、年度考核”的四级监督检查体系，建设单位保密部门每年对项目保密工作进行一次全面考核，考核结果纳入单位年度绩效考核。同级保密行政管理部门可根据需要对项目进行随机抽查，发现问题责令限期整改。（二）责任追究1.个人责任：对违反保密管理规定的个人，按情节轻重追责：（1）一般违规行为（未按规定锁闭涉密设备、带非涉密电子设备进入涉密区域未造成后果等），给予口头警告，扣发当月10%-20%绩效工资，责令作出书面检查；（2）较重违规行为（私自复制涉密内容、未经批准携带涉密载体离开涉密区域、在非涉密设备上处理涉密信息未造成泄密等），给予通报批评，调离涉密岗位，扣发当季度30%-50%绩效工资，取消当年评优评先资格；（3）严重违规行为（泄露国家秘密、隐瞒泄密事件、拒不配合保密调查等），依法给予党纪政务处分，构成犯罪的，移送司法机关追究刑事责任。2.单位责任：对违反保密规定的参建单位，按以下方式追责：（1）首次违规且未造成后果的，责令限期整改