国有企业保密管理办法

国有企业保密管理办法一、第一章总则1.1第一条目的与依据为规范公司及其所属分、子公司（以下统称「公司」）商业秘密与工作秘密管理，防止泄密事件造成经济损失与竞争优势丧失，依据《中华人民共和国保守国家秘密法》《中华人民共和国反不正当竞争法》《中央企业商业秘密保护暂行规定》等有关规定，结合公司实际，制定本办法。1.2第二条适用范围•本办法适用于公司总部各部门、全资及控股子公司、分公司全体在册员工（含正式员工、劳务派遣人员、实习人员）。•承包商、供应商、外部顾问、实习单位等第三方人员因业务接触公司秘密信息的，参照本办法执行，并以保密协议约束。•本办法所称「秘密信息」包括商业秘密和工作秘密两类；涉国家秘密事项另按国家有关法规单独管理，不在本办法范围内。1.3第三条秘密信息定义与分级级别定义示例泄露后果量级核心秘密泄露将造成重大经济损失或根本性竞争损害的信息未公布的重大并购方案、核心配方/核心算法源代码、尚未披露的重大投资决策、定价底线单项损失估算超500万元或影响公司年度经营目标达成重要秘密泄露将造成较大损失或一定竞争不利的信息客户名单及合同条款、财务报表（未公开部分）、招投标标底、组织架构调整预案单项损失估算50万~500万元一般秘密泄露将造成轻微不利影响的信息内部管理制度、一般经营数据、会议纪要、日常采购价格单项损失估算低于50万元定级原则：拿不准等级的，按就高原则暂定一级，报保密办公室（以下简称「保密办」）裁定，裁定结果3个工作日内书面反馈；秘密等级每两年复核一次，已公开或失去保密价值的信息由原定密部门及时降级或解密并登记。二、第二章组织机构与职责2.1第四条保密工作领导小组•组长：公司总经理；副组长：分管安全的副总经理、总法律顾问；成员：保密办主任、人力资源部负责人、信息技术部负责人、法务部负责人。•职责：每季度召开1次保密工作会议，审议年度保密工作计划、泄密事件处置报告与重大定密争议，会议纪要24小时内下发，决议事项由保密办跟踪并在下次会议前核实销项。•领导小组每年12月组织一次保密工作年度评审，形成书面报告报董事会。2.2第五条保密办公室（常设机构）保密办设在法务部，编制不少于2人，职责包括：1.组织年度保密培训（每人每年不少于4学时，新员工入职15个工作日内完成首次培训并签署保密承诺书）。2.管理涉密载体台账、涉密人员名册、保密协议档案，台账每月末更新一次。3.组织每半年一次的保密检查（覆盖范围、检查表见附件2），检查发现问题下发整改通知，整改期不超过15个工作日，逾期未整改报领导小组。4.受理泄密线索举报，核实并启动处置程序（见第十六条）。2.3第六条各部门与个人职责•部门负责人是本部门保密第一责任人，负责本部门定密申请、涉密载体日常管理、人员离岗保密提醒。•涉密岗位员工必须签署《保密承诺书》（附件1），核心秘密岗位员工承诺书须约定离职后竞业限制与脱密期条款；未签署承诺书的人员不得接触相应级别秘密信息。•信息技术部负责技术防护措施的建设与运维（见第四章），并每季度向保密办提交日志审计报告。三、第三章秘密信息全生命周期管理3.1第七条产生与定密•涉密文件在起草时即由起草人提出定密建议，部门负责人审批定级；核心秘密文件须报保密办复核后方可印发。•涉密文件首页必须标注密级、编号、份数、保密期限（如「核心秘密003号，限3年」），无标注文件视为非密，但起草人不得以「不标注」方式规避管理责任。3.2第八条印制、复制与分发•核心、重要秘密文件由保密办指定专人使用专用打印机打印，全程双人在场；严禁在公共打印区、传真机打印或复印涉密文件（公共设备硬盘残留数据可被恢复提取，这是最常见的被动泄密途径之一）。确需临时打印的，打印后立即取走，废弃稿当场用碎纸机（颗粒度不大于4mm×30mm）销毁。•复制涉密文件必须经原定密部门负责人书面批准，复制件与原件同等管理，复制数量计入台账。•分发采用签收制：核心秘密文件按编号登记发放至具体人，收文人当日签回分发清单；重要秘密文件按部门登记发放。3.3第九条储存与传递•纸质涉密文件存放于密码文件柜，核心秘密文件存放在独立保密室，钥匙由双人分持。•电子涉密文档必须存储于公司加密文档系统（透明加密，员工终端无解密权限），严禁保存在个人网盘、私人邮箱、微信个人收藏、个人U盘中——个人通道不受公司日志监控，一旦泄露无法追溯源头，也难以固定证据。•涉密信息的物理传递使用双人押送或加密文件袋加密封条；电子传输优先使用公司内网加密邮件系统；若不具备内网条件，使用公司统一部署的加密压缩包（密码与压缩包分通道发送），严禁使用个人即时通讯工具明文传输重要及以上秘密信息。3.4第十条使用、借阅与销毁•借阅核心秘密文件须填写《涉密文件借阅审批单》，部门负责人与保密办双签，借阅期限不超过5个工作日，到期未还由保密办24小时内催收。•会议室使用后，涉密白板内容当场擦除，散落纸页带走；重要会议材料会后按发放数回收核对，缺页当场查明去向。•销毁涉密载体实行「双人监销」：纸质载体碎纸机销毁并填写《销毁登记表》（附件3），电子载体须做安全擦除（覆写不少于3次）或物理拆解硬盘，严禁将存有涉密数据的硬盘直接作为普通废弃电子物处理——整盘数据即使删除后仍可通过工具恢复。3.5第十一条对外交流与信息披露•对外提供秘密信息（含向股东、合作方、监管报送以外的场合）须履行审批：一般秘密由部门负责人审批，重要秘密由分管副总审批，核心秘密由总经理审批，审批记录留存5年。•向第三方披露前必须签署保密协议，协议中明确保密期限（原则上不少于3年）、违约金标准与争议解决方式；法务部提供标准协议模板。•参加展会、行业会议、发表论文、接受媒体采访前，涉密内容须提前5个工作日送保密办审查。四、第四章技术防护措施4.1第十二条终端与网络防护公司技术防护采用「优先内网隔离；不具备隔离条件时加密管控；严禁涉密终端直连公网」的分层策略：1.处理核心秘密信息的终端实行物理隔离，不接入互联网，USB接口通过策略禁用，仅允许刻录白名单加密光盘交换数据。2.处理重要、一般秘密信息的终端部署透明加密系统、终端准入（防私自接入）与操作审计软件，屏幕水印显示工号，打印行为强制弹窗登记。3.外发文件审批：通过加密系统外发重要及以上秘密文件，须经部门负责人线上审批，系统自动留存外发记录（时间、接收方、文件哈希值），日志保存不少于3年。4.无线网络与访客网络与办公内网逻辑隔离；严禁在涉密办公区安装来历不明的软件或使用未经信息技术部登记的智能设备（含智能音箱、带摄像头的投屏器——其音频视频数据流向不受公司控制，等同于在办公区开了一个不受管理的对外通道）。4.2第十三条邮件、办公自动化与移动办公•涉密邮件必须使用公司邮箱，系统对含敏感关键词（标底、报价底线、并购等，词库由保密办每半年更新）的邮件自动预警，触发预警的邮件由保密办在2个工作日内核查。•远程办公使用公司统一VPN与虚拟桌面（VDI），涉密操作仅在虚拟桌面内进行，本地终端不留存数据；严禁在共享Wi-Fi（咖啡馆、机场等）环境下以明文方式访问涉密系统。4.3第十四条物理环境防护•涉密办公区、研发区、机房实行门禁分级授权，授权名单由保密办每季度核对一次；访客进入须登记并全程陪同，陪同人为该访客的保密责任人。•机房、档案室安装视频监控，录像保存不少于90天。五、第五章涉密人员管理5.1第十五条入职、在职与离岗管理•入职：核心秘密岗位拟聘人员入职前进行背景核查（工作经历核实、有无与前雇主竞业限制冲突）；入职15个工作日内完成保密培训并签署承诺书，培训考核不合格者暂缓接触涉密业务，补考仍不合格的调整岗位。•在职：涉密人员每年参加不少于4学时保密培训；重要及以上秘密岗位人员因私出国（境）须提前10个工作日向保密办报备；发现涉密人员有异常泄密风险行为（如频繁大量下载涉密文档、离职前批量外发文件），保密办会同信息技术部在24小时内核查其操作日志。•离岗离职：离职流程中人力资源部须完成——收回全部涉密载体与门禁权限（离职当日办结）、注销系统账号（离职当日办结）、进行离岗保密谈话并签署《离职保密确认书》、核心岗位人员启动脱密期（6~12个月，由领导小组按涉密程度确定，脱密期内调离涉密岗位）。未完成上述四项，人力资源部不得办理离职手续。六、第六章泄密事件处置6.1第十六条分级响应泄密事件按危害程度分三级响应，任何员工发现泄密或疑似泄密，须在发现后2小时内向保密办报告，保密办接报后1小时内初步判定级别并启动响应。级别判定标准启动权限处置原则Ⅲ级（一般）一般秘密泄露，影响限于公司内部或个别客户保密办主任24小时内查明泄露范围，管控信息扩散，通报责任部门整改Ⅱ级（较大）重要秘密泄露，或已在公司外部传播保密工作领导小组副组长12小时内成立处置小组，评估损失，评估是否须向被泄密方或合作方通报，向领导小组书面报告Ⅰ级（重大）核心秘密泄露，或涉密内容已进入公开渠道、已造成可估算的重大损失领导小组组长立即启动：技术阻断（冻结相关账号、切断外发通道）、证据固定（对相关终端镜像取证）、法律行动（向侵权方发送律师函、向公安机关报案或提起诉讼，48小时内由法务部提出方案）报告纪律：任何部门与个人不得瞒报、迟报泄密事件；瞒报一经查实，对责任部门负责人按公司《员工奖惩管理办法》给予记过及以上处分，并扣发当年绩效奖金的30%~100%。6.2第十七条事后处理与改进•每起Ⅱ级及以上事件在处置结束后10个工作日内形成《泄密事件调查报告》，内容包括泄露途径、责任认定、损失评估、改进措施及完成时限；改进措施由保密办跟踪销项。•责任人处理：故意泄密的，解除劳动合同并依法追偿损失；过失泄密的，视情节给予警告至降职处分；构成犯罪的，移送司法机关。•同类问题一年内重复发生的，追究部门负责人的管理责任。七、第七章检查、考核与奖惩7.1第十八条保密检查•保密办每半年开展一次全面检查，覆盖制度执行、载体管理、技术措施、培训落实四个维度，使用统一检查表（附件2）逐项打分，满分100分，85分以下为不合格。•不合格部门限期15个工作日整改，整改复查仍不合格的，部门负责人在领导小组会议上作说明。7.2第十九条考核与奖惩•保密工作纳入部门年度绩效考核，权重不低于3%；发生Ⅱ级及以上泄密事件的部门，当年保密考核项记零分。•对成功堵截泄密风险（如发现可疑窃密行为、及时报告漏洞）的员工，经领导小组审议给予500~10000元一次性奖励；对举报泄密线索查证属实的，给予同等标准奖励并保密举报人身份。八、第八章附则8.1第二十条解释与生效•本办法由保密工作领导小组负责解释。•本办法自公司总经理办公会审议通过并发布之日起施行，原《保密工作规定》同时废止。各子公司可依据本办法制定实施细则，报公司保密办备案后施行。附件附件1：《保密承诺书》核心条款清单签署人须逐条确认：1.已知悉公司秘密分级标准及本人涉密岗位职责；2.在职期间不私自复制、外传、留存涉密信息；3.离职时交回全部涉密载体并接受脱密期安排；4.离职后保密义务持续存在，保密期限按所接触信息的最高保密期限执行；5.违约承担赔偿及法律责任。附件2：保密检查表（示例，实际使用时按部门类型裁剪）序号检查项分值检查方法合格判据1涉密文件台账与实物一致15抽查10份编号文件逐份核对台账与实物100%对应2涉密终端加密与外设管控开启15信息技术部后台抽查10台终端全部在线受控，无禁用记录3外发文件审批记录完整15抽取近3个月外发记录20条每条均有线上审批人4涉密区域门禁授权名单与在岗人员一致10对照人力资源部名册无离岗未销权人员5会议室白板、桌面遗留物检查10现场巡查无涉密内容遗留6员工年度培训学时达标15系统导出学时记录达标率100%7废弃涉密载体销毁登记完整10核对销毁登记表与碎纸机使用记录双人签字齐全8离职人员四项手续办结情况10抽查近6个月离职人员档案无未办结离职手续附件3：《涉密载