发布时间 : 星期一 文章计算机和信息系统安全保密管理规定更新完毕开始阅读c059e39b102de2bd960588e1
高于涉密信息系统密级的涉密信息。
第十九条 涉密信息系统中产生、存储、处理、传输、归档和输出的文件、数据、图纸等信息及其存储介质应按要求及时定密、标密，并按涉密文件进行管理。电子文件密级标识应与信息主体不可分离，密级标识不得篡改。涉密信息系统中的涉密信息总量每半年进行一次分类统计、汇总，并在保密办备案。
第二十条 涉密信息系统应建立安全保密策略，并采取有效措施，防止涉密信息被非授权访问、篡改，删除和丢失；防止高密级信息流向低密级计算机。涉密信息远程传输必须采取密码保护措施。
第二十一条 向涉密信息系统以外的单位传递涉密信息，一般只提供纸质文件，确需提供涉密电子文档的，按信息交换及中间转换机管理规定执行。
第二十二条 清除涉密计算机、服务器等网络设备、存储介质中的涉密信息时，必须使用符合保密标准、要求的工具或软件。
第二节 用户管理与授权
第二十三条 根据本部门、单位使用涉密信息系统的密级和实际工作需要，确定人员知悉范围，以此作为用户授权的依据。
第二十四条 用户清单管理
（一）科技信息部管理“研究试验堆燃料元件数字化信息系统”和“中核集团涉密广域网”用户清单；财会部管理“财务会计核算网”用户清单；
（二）新增用户时，由用户本人提出书面申请，经本部门、单位审核，科技信息部、保密办审批后，由科技信息部备案并统一建立用户；“财务会计核算网”的用户由财会部统一建立；
（三）删除用户时，由用户本人所在部门、单位书面通知科技信息部，核准后由安全保密管理员即时将用户在涉密信息系统内的所有帐号、权限废止；“财务会计核算网”
4
的删除用户由财会部统一删除用户帐号、权限。
第二十五条 用户标识符管理
（一）用户登录系统时所使用的用户身份标识，由用户本人提出书面申请，经本部门、单位审核，科技信息部、保密办审批后，由系统管理员产生，并确保用户标识在此系统生命周期中的唯一性；
（二）安全保密管理员每月一次检查与用户身份标识相关的日志，发现异常情况，应及时向保密办报告。
第二十六条 用户授权管理
（一）涉密信息系统用户授权应遵循最小授权分配原则，安全保密管理员对所有用户的权限明细文档化；
（二）安全审计员每月审查权限列表，发现异常情况，应及时向保密办报告。
第三节 信息系统互联
第二十七条 涉密信息系统必须与国际互联网和其它公共信息系统实行物理隔离。禁止将涉密计算机和涉密信息系统直接接入公司内部非涉密信息系统，确因工作需要接入时必须采用符合保密标准的信息隔离交换系统进行必要的边界控制措施。
第五章 运行维护管理
第二十八条 涉密信息系统投入运行前，应当经过国家保密工作部门审批，未经审批的涉密信息系统不得处理涉密信息。
第二十九条 涉密信息系统应与用户终端实施IP-MAC，并随人员、岗位等变化及时调整。涉密信息系统的用户终端、服务器等设备设施应进行安全加固，关闭不必要的帐户、服务和端口，并设置规范的口令策略。
涉密设备（导线）与外网、通讯设备（导线）和其他导体的隔离应符合保密要求。
5
第三十条 涉密信息系统与国际互联网、公众信息网络等非涉密信息系统（以下简称外网）的信息交换，按信息交换及中间转换机管理规定执行。
第三十一条 禁止使用非涉密信息系统（包括非涉密单机）存储和处理涉密信息。 第三十二条 建立健全防病毒软件（含木马查杀）升级、打补丁机制，及时升级病毒和恶意代码样本库，进行病毒和恶意代码查杀，及时安装操作系统、数据库和应用系统的补丁程序。防病毒软件应使用经国家主管部门批准的防病毒软件。
第三十三条 未经科技信息部审批，禁止对涉密信息系统格式化或重装操作系统，禁止删除涉密信息系统的移动存储介质及外部设备（包括服务器等网络设备）等日志记录。
第三十四条 涉密应用软件开发及运行维护必须选择具有相关保密资质的单位承担，并与之签订《保密协议书》，协议书必须经保密办审查备案，明确保密要求，防止国家秘密的泄露。
第三十五条 涉密信息系统中的信息输出应当集中管理，有效控制，建立集中打印控制机制。
第三十六条 涉密信息系统用户终端不准安装、运行、使用与工作无关的软件，严禁安装具有无线通讯功能的软件。未经科技信息部审批，用户终端禁止安装或拆卸硬件设备和软件及更改系统设置。用户终端的应用软件安装情况登记备案，每季度进行一次核查。
第三十七条 涉密设备严禁具有无线互联功能，不能安装红外接口、无线网卡、无线鼠标、无线键盘等。
第三十八条 对集中存放涉密信息系统服务器、交换机等涉密设备的场所列入保密要害部位管理，建立出入登记、外来人员审查等管理制度。
第三十九条 涉密信息系统应采取身份鉴别、访问控制和安全审计等技术保护措施。 第四十条 涉密信息系统建立文档化的安全保密策略，并根据环境、系统和威胁变
6
化情况及时调整更新安全保密策略。
第四十一条 涉密信息系统建立文档化的安全保密审计报告，机密级1个月、秘密级3个月进行一次审计日志收集、整理、分析，按要求形成文档化安全审计报告并备案。
第四十二条 涉密信息系统建立文档化的风险评估分析报告，每半年根据系统综合日志进行一次风险评估（自评估或检查评估），形成文档化的风险分析报告，对存在的风险及时采取补救措施。
第四十三条 涉密信息系统建立实时入侵检测系统，做到实时监测系统网络设备、终端和服务器的各种攻击行为。应具有漏洞扫描技术，以提前警告网络系统中系统的弱点所在，防止黑客入侵和内部人员的误用。
第四十四条 涉密信息系统使用国家有关主管部门批准的检测工具对系统进行安全保密性能检测，检测工具版本应及时更新、升级。
第六章 设备与介质管理
第四十五条 计算机和信息系统设备包括：网络设备、服务器、用户终端（台式计算机、便携式计算机、工业控制机等）、扫描仪、打印输出设备及网络安全保密产品等；介质包括：纸介质、存储介质及其它记录载体（如计算机硬盘、光盘、移动硬盘、优盘、软盘和录音带、录像带、数码相机存储卡等）。
第四十六条 接入涉密信息系统的设备和介质称为涉密设备和涉密存储介质，并按统一技术要求和部署方式进行管理。涉密设备和存储介质应与国际互联网和其他公众信息网络实行物理隔离；系统内的设备、介质、设施根据其处理信息的最高密级标明涉密等级和主要用途。
第四十七条 计算机和信息系统中使用的设备、存储介质应遵循“统一购置、统一标识、严格登记、规范管理”的原则，严格执行国家秘密载体保密管理规定。
7