- 相关推荐
计算机和信息系统安全保密管理规定
计算机和信息系统安全保密管理规定1
第一节总则
第一条为保护公司计算机信息资源的安全，并规范公司计算机及网络 硬件的采购、安装（建设）、维护、管理等环节的管理要求，根据《中华人民共和国保守国家秘密法》，《中华人民共和国计算机信息网络国际互联网管理暂行规定》和《中国公用计算机互联网国际联网管理办法》，特制定本规定。
第二条 本规定适用于公司内部所有单位所使用的计算机系统。
第二节计算机的涉密管理规定
第三条 公司内部计算机信息系统的安全保密工作由信息技术部负责具体实施。公司各下属单位、部门主要领导主管本单位、本部门的计算机信息系统的安全保密工作。
第四条存放过秘密信息的计算机及相应介质未在彻底格式化前不能降低密级使用。
第五条存储有秘密信息的计算机及相应存储装置在维修时，应采取措施保
证所存储的秘密信息不被泄露。
第六条企业内部规划和建设任何计算机信息系统，应当同步规划落实相应
的信息资源安全保密措施。
第七条对涉及企业经营、管理、技术和人事秘密的数据库以及计算机应用系统，必须采取技术安全保密措施，并且不得与外部连通。
第三节计算机及网络硬件管理
第八条所有计算机及网络硬件的采购和建设实施，须在总体规划目标指导下进行。
第九条进入总体规划的计算机及网络硬件在采购和建设实施时，需提前预算。作为预算的申请依据，信息技术部每年第四季度在公司开始下一年度的预算工作前，发布次年各类主要计算机设备的采购计划价。
第十条总部部门或事业部在申请预算（或追加预算）时若涉及计算机购买计划，须提交《计算机设备预算追加及采购审批表》，并履行相应的审核手续。
第十一条信息技术部负责编制公司网络中心及主干网络硬件采购计划和预算，报公司批准后执行。总部各部门获批准的计算机预算，由信息技术部监管使用。
第十二条各事业部每年底将下年度的计算机及网络硬件采购计划和预算报信息技术部审核。信息技术部有权纠正事业部硬件采购计划或硬件预算中不合理的需求。
第十三条每年度预算定稿之后，运营管理部负责将总部部门及各事业部获准采购计算机的数字通报信息技术部，信息技术部负责监管各单位的采购行为。
第十四条信息技术部在每季度的第一周发布本季度的计算机硬件采购选型指导，供全公司统一执行。
第十五条对公司总部及各事业部需求量较大的计算机设备，信息技术部会同运营管理部通过招标谈判在计算机供货商中选定战略合作伙伴，使公司总部及各事业部能够以统一的优惠价格采购到所需的计算机产品。
第十六条公司总部的硬件采购工作，委托装载机事业部代为实施。装载机事业部接受委托时须对申请部门提交的《计算机设备预算追加及采购审批表》确认后，方可采购。
第十七条各事业部计算机维修配件的采购，由各事业部根据不同计算机的具体情况相应处理。
第十八条在硬件采购合同执行的过程中，如遇到特殊情况需要更改采购技术型号的，必须经过信息技术部复审同意。
第十九条公司总部的计算机，由信息技术部负责硬件安装、维修、服务和管理。各事业部的计算机，由事业部备案的硬件岗位人员负责软硬件安装、维修、服务和管理。
第二十条公司总部各部门和各事业部每年底要将本单位的计算机设备状况、配置变动、责任人变动等情况填表报信息技术部。
第二十一条岗位上的计算机超过使用年限之后，如果因为主要部件的故障频率高并无法修复的，经过所在资产管理实体的资产管理人员及硬件专业人员审核同意后，可以申
第四节网络的接入管理
第二十二条信息技术部是管理企业网络接入的责任部门。信息技术部的网络管理员是整个柳工网络的总管理员，对全网安全总负责，并牵头与各子域网络管理员组建企业网络管理委员会，共同维护企业的网络安全以及信息安全。
第二十三条为保障企业网络的安全，所有连接到企业内部网的'计算机必须经过信息技术部的企业网络管理员注册登记。每台联网的计算机都必须确定责任人，对该机的遵纪使用及安全状况负责。不得私自在内部网上接入未经网管注册的计算机，否则视同窃取企业机密，一旦发现，按照有关规定进行处理。
第二十四条为保证网络信息资源安全，严格便携机的管理，在柳工网内使用便携机的特殊用户必须登记备案，并接受网络安全措施、信息安全培训和病毒防护管理。
第二十五条为防止信息流失和计算机病毒，要严格控制内部网与外部的直接I/O 通道，所有联网的计算机都要拆除软驱、光驱、刻录设备及其他移动存储设备。需要保留的，必须经过企业信息工作主管领导的特别批准，向信息技术部的网络管理员登记注册。
第二十六条未经信息技术部批准和备案，私自在企业网络的计算机上安装各种通讯和存储设备（如MODEM、软驱、光驱等）、私自往厂区内带入未经注册登记的便携机和存储设备等行为，均视同窃取企业机密，一经发现，须没收上交企业保密委员会，按照有关规定进行处理。
第二十七条合作单位人员因业务交流需要带入计算机及有关设备的，不得接入企业网络，由接待部门领导负责相应的信息安全责任。要进行数据交换的，按本规定有关条文处理。
第二十八条
通过MODEM等各种方式连入企业内部网的远程访问用户也要柳工内部控制制度接受企业网络总管理员的管理，否则将不允许连接到企业内部网。
第二十九条企业网络是工作网络，禁止任何利用企业网络以及企业集成信息平台进行有损企业安定团结局面的行为，违犯者将被追究纪律甚至法律的责任。
第三十条企业的网络和计算机都属于企业生产、工作的重要设备，任何破坏企业网络和计算机的行为都视同破坏企业生产、工作的严重行为，需要追究纪律和法律的责任。
第五节数据及信息安全的管理
第三十一条
数据及信息的安全包括数据的物理安全以及信息保密。企业各计算机信息系统都要建立相应的安全管理制度，信息技术部对企业的全局数据库信息资源安全负责，各应用系统、单位部门的主要负责人对本应用系统、单位部门的计算机信息资源安全负责。
第三十二条各应用系统、主要单位部门及各域都必须建立相应的数据备
份与灾难恢复制度和策略，并切实执行。
第三十三条
确有特殊需求经批准在企业网的某些计算机上保留有光驱和软驱的部门，其部门领导和系统管理员必须对该I/O 通道的安全负责，各类数据的拷出必须有相关领导的审批以及文字性记录备案。
第三十四条除网络管理员及其授权人员外，其余人员无权擅自在网络上传播、扩散来自企业网络以外的其它软件和电子文档。
第三十五条
计算机信息系统联网应当采取系统访问控制、数据保护和系统安全防火
计算机和信息系统安全保密管理规定2
第一章 总则
第一条 为加强公司计算机和信息系统（包括涉密信息系统和非涉密信息系统）
安全保密管理，确保国家秘密及商业秘密的安全，根据国家有关保密法规标准和中核集团公司有关规定，制定本规定。
第二条 本规定所称涉密信息系统是指由计算机及其相关的配套设备、设施构成的，按照一定的应用目标和规定存储、处理、传输涉密信息的系统或网络，包括机房、网络设备、软件、网络线路、用户终端等内容。
第三条 涉密信息系统的建设和应用要本着“预防为主、分级负责、科学管理、保障安全”的方针，坚持“谁主管、谁负责，谁使用、谁负责”和“控制源头、归口管理、加强检查、落实制度”的原则，确保涉密信息系统和国家秘密信息安全。
第四条 涉密信息系统安全保密防护必须严格按照国家保密标准、规定和集团公司文件要求进行设计、实施、测评审查与审批和验收；未通过国家审批的涉密信息系统，不得投入使用。
第五条 本规定适用于公司所有计算机和信息系统安全保密管理工作。
第二章 管理机构与职责
第六条 公司法人代表是涉密信息系统安全保密第一责任人，确保涉密信息系统安全保密措施的落实，提供人力、物力、财力等条件保障，督促检查领导责任制落实。
第七条 公司保密委员会是涉密信息系统安全保密管理决策机构，其主要职责：
（一）建立健全安全保密管理制度和防范措施，并监督检查落实情况；
（二）协调处理有关涉密信息系统安全保密管理的重大问题，对重大失泄密事件进行查处。
第八条 成立公司涉密信息系统安全保密领导小组，保密办、科技信息部（信息化）、党政办公室（密码）、财会部、人力资源部、武装保卫部和相关业务部门、单位为成员单位，在公司党政和保密委员会领导下，组织协调公司涉密信息系统安全保密管理工作。
第九条 保密办主要职责：
（一）拟定涉密信息系统安全保密管理制度，并组织落实各项保密防范措施；
（二）对系统用户和安全保密管理人员进行资格审查和安全保密教育培训，审查涉密信息系统用户的职责和权限，并备案；
（三）组织对涉密信息系统进行安全保密监督检查和风险评估，提出涉密信息系统安全运行的保密要求；
（四）会同科技信息部对涉密信息系统中介质、设备、设施的授权使用的审查，建立涉密信息系统安全评估制度，每年对涉密信息系统安全措施进行一次评审；
（五）对涉密信息系统设计、施工和集成单位进行资质审查，对进入涉密信息系统的安全保密产品进行准入审查和规范管理，对涉密信息系统进行安全保密性能检测； 第二十条 涉密信息系统应建立安全保密策略，并采取有效措施，防止涉密信息被非授权访问、篡改，删除和丢失；防止高密级信息流向低密级计算机。涉密信息远程传输必须采取密码保护措施。
第二十一条 向涉密信息系统以外的单位传递涉密信息，一般只提供纸质文件，确需提供涉密电子文档的，按信息交换及中间转换机管理规定执行。
第二十二条 清除涉密计算机、服务器等网络设备、存储介质中的涉密信息时，必须使用符合保密标准、要求的工具或软件。
第二节 用户管理与授权
第二十三条 根据本部门、单位使用涉密信息系统的密级和实际工作需要，确定人员知悉范围，以此作为用户授权的依据。
第二十四条 用户清单管理
（一）科技信息部管理“研究试验堆燃料元件数字化信息系统”和“中核集团涉密广域网”用户清单；财会部管理“财务会计核算网”用户清单；
（二）新增用户时，由用户本人提出书面申请，经本部门、单位审核，科技信息部、保密办审批后，由科技信息部备案并统一建立用户；“财务会计核算网”的用户由财会部统一建立；
（三）删除用户时，由用户本人所在部门、单位书面通知科技信息部，核准后由安全保密管理员即时将用户在涉密信息系统内的所有帐号、权限废止；“财务会计核算网”密办审核，公司分管领导审批。开通、审批坚持“工作必须”的原则。
第六十四条 国际互联网计算机实行专人负责、专机上网管理，严禁存储、处理、传递涉密信息和内部敏感信息。接入互联网的计算机须建立使用登记制度。
第六十五条 上网信息实行“谁上网谁负责”的保密管理原则，信息上网必须经过严格审查和批准，坚决做到“涉密不上网，上网不涉密”。对上网信息进行扩充或更新，应重新进行保密审查。
第六十六条 任何部门、单位和个人不得在电子邮件、电子公告系统、聊天室、网络新闻组、博客等上发布、谈论、传递、转发或抄送国家秘密信息。
第六十七条 从国际互联网或其它公众信息网下载程序和软件工具等转入涉密系统，经科技信息部审批后，按照信息交换及中间转换机管理规定执行。
第九章 便携式计算机管理
第六十八条 便携式计算机（包括涉密便携式计算机和非涉密便携式计算机）实行 “谁拥有，谁使用，谁负责”的保密管理原则，使用者须与公司签定保密承诺书。
第六十九条 涉密便携式计算机根据工作需要确定密级，粘贴密级标识，按照涉密设备进行管理，保密办备案后方可使用。
第七十条 便携式计算机应具备防病毒、防非法外联和身份认证（设置开机密码口令）等安全保密防护措施。
第七十一条 禁止使用涉密便携式计算机上国际互联网和非涉密网络；严禁涉密便携式计算机与涉密信息系统互联。
第七十二条 涉密便携式计算机不得处理绝密级信息。未经保密办审批，严禁在涉密便携式计算机中存储涉密信息。处理、存储涉密信息应在涉密移动存储介质上进行，并与涉密便携式计算机分离保管。
第七十三条 禁止使用私有便携式计算机处理办公信息；严禁非涉密便携式计算机存储、处理涉密信息；严禁将涉密存储介质接入非涉密便携式计算机使用。
第七十四条 公司配备专供外出携带的涉密便携式计算机和涉密存储介质，按照 “集中管理、审批借用”的原则进行管理，建立使用登记制度。外出携带的涉密便携式计算机须经保密办检查后方可带出公司，返回时须进行技术检查。
第七十五条 因工作需要外单位携带便携式计算机进入公司办公区域，需办理保密审批手续。
第十章 应急响应管理
第七十六条 为有效预防和处置涉密信息系统安全突发事件，及时控制和消除涉密信息系统安全突发事件的危害和影响，保障涉密信息系统的安全稳定运行，科技信息部和财会部应分别制定相应应急响应预案，经公司涉密信息系统安全保密领导小组审批后实施。
第七十七条 应急响应预案用于涉密信息系统安全突发事件。突发事件分为系统运行安全事件和泄密事件，根据事件引发原因分为灾害类、故障类或攻击类三种情况。
（一）灾害事件：根据实际情况，在保障人身安全前提下，保障数据安全和设备安
（二）故障或攻击事件：判断故障或攻击的来源与性质，关闭影响安全与稳定的网络设备和服务器设备，断开信息系统与攻击来源的网络物理连接，跟踪并锁定攻击来源的IP地址或其它网络用户信息，修复被破坏的信息，恢复信息系统。按照事件发生的性质分别采用以下方案：
1、病毒传播：及时寻找并断开传播源，判断病毒的类型、性质、可能的危害范围。为避免产生更大的损失，保护计算机，必要时可关闭相应的端口，寻找并公布病毒攻击信息，以及杀毒、防御方法；
2、外部入侵：判断入侵的来源，评价入侵可能或已经造成的危害。对入侵未遂、未造成损害的，且评价威胁很小的外部入侵，定位入侵的IP地址，及时关闭入侵的端口，限制入侵的IP地址的.访问。对于已经造成危害的，应立即采用断开网络连接的方法，避免造成更大损失和带来的影响；
3、内部入侵：查清入侵来源，如IP地址、所在区域、所处办公室等信息，同时断开对应的交换机端口，针对入侵方法调整或更新入侵检测设备。对于无法制止的多点入侵和造成损害的，应及时关闭被入侵的服务器或相应设备；
4、网络故障：判断故障发生点和故障原因，能够迅速解决的尽快排除故障，并优先保证主要应用系统的运转；
5、其它未列出的不确定因素造成的事件，结合具体的情况，做出相应的处理。不能处理的及时咨询，上报公司信息安全领导小组。
第七十八条 按照信息安全突发事件的性质、影响范围和造成的损失，将涉密信息系统安全突发事件分为特别重大事件（I级）、重大事件（II级）、较大事件（III级）和一般事件（IV级）四个等级。
（一）一般事件由科技信息部（或财会部）依据应急响应预案进行处置；
（二）较大事件由科技信息部（或财会部）、保密办依据应急响应预案进行处置，及时向公司信息安全领导小组报告并提请协调处置；
（三）重大事件启动应急响应预案，对突发事件进行处置，及时向公司党政报告并提请协调处置；
（四）特别重大事件由公司报请中核集团公司对信息安全突发事件进行处置。
第七十九条 发生突发事件（如涉密数据被窃取或信息系统瘫痪等）应按如下应急响应的基本步骤、基本处理办法和流程进行处理：
（一）上报科技信息部和保密办；
（二）关闭系统以防止造成数据损失；
（三）切断网络，隔离事件区域；
（四）查阅审计记录寻找事件源头；
（五）评估系统受损程度；
（六）对引起事件漏洞进行整改；
（七）对系统重新进行风险评估；
（八）由保密办根据风险评估结果并书面确认安全后，系统方能重新运行；
（九）对事件类型、响应、影响范围、补救措施和最终结果进行详细的记录；
（十）依照法规制度对责任人进行处理。
第八十条 科技信息部、财会部应会同保密办每年组织一次应急响应预案演练，检验应急响应预案各环节之间的通信、协调、指挥等是否快速、高效，并对其效果进行评估，以使用户明确自己的角色和责任。应急响应相关知识、技术、技能应纳入信息安全保密培训内容，并记录备案。
第十一章 人员管理
第八十一条 各部门、单位每年应组织开展不少于1次的全员信息安全保密知识技能教育与培训，并记录备案。
第八十二条 涉密人员离岗、离职，应及时调整或取消其访问授权，并将其保管的涉密设备、存储介质全部清退并办理移交手续。
第八十三条 承担涉密信息系统日常管理工作的系统管理员、安全保密管理员、安全审计管理员应按重要涉密人员管理。
第十二章 督查与奖惩
第八十四条 公司每年应对涉密信息系统安全保密状况、安全保密制度和措施的落实情况进行一次自查，并接受国家和上级单位的指导和监督。涉密信息系统每两年接受一次上级部门开展的安全保密测评或保密检查，检查结果存档备查。
第八十五条 检查涉密计算机和信息系统的保密检查工具和涉密信息系统所使用的安全保密、漏洞检查（取证）软件等，应覆盖保密检查的项目，并通过国家保密局的检测。安全保密检查工具应及时升级或更新，确保检查时使用最新版本。
第八十六条 各部门、单位应将员工遵守涉密计算机及信息系统安全保密管理制度的情况，纳入保密自查、考核的重要内容。对违反本规定造成失泄密的当事人及有关责任人，按公司保密责任考核及奖惩规定执行。
第十三章 附 则
第八十七条 本规定由保密办负责解释与修订。
第八十八条 本规定自发布之日起实施。原《计算机磁（光）介质保密管理规定）[制度编号：（厂1908号）]、《涉密计算机信息系统保密管理规定》［制度编号：（20xx）厂1911号］、《涉密计算机采购、维修、变更、报废保密管理规定》［制度编号：（20xx）厂1925号］、《国际互联网信息发布保密管理规定》［制度编号：（20xx）厂1926号］、《涉密信息系统信息保密管理规定》［制度通告：（20xx）0934号］、《涉密信息系统安全保密管理规定》［制度通告：（20xx）0935号］同时废止。
计算机和信息系统安全保密管理规定3
各部门：
为了认真贯彻落实ＸＸ保密委《关于传发<全市ＸＸ
组织开展互联网涉密及敏感信息检查清除活动实施方
案>的通知》精神和要求，进一步加强公司各部门网络及计算机信息安全的保密管理，防止网上泄密事件发生，确保公司网络及计算机工作安全可靠，结合公司实际情况，现就进一步加强计算机信息系统安全和保密管理工作有关事宜规定如下：
一、计算机操作人员必须遵守国家有关法律，任何人不得利用计算机从事违法活动。
二、按照“谁主管、谁负责”和“谁使用、谁负责”的原则，开展自查。
1。明确内网使用人责任，签订《职工信息安全保密责任书》，认真落实各项安全保密管理规章制度，积极参加各类安全保密学习和活
动，知道“一机两用”违规行为的类型，不违反相关的制度规定。
2。严禁在互联网上发布公司涉密文件、资料、信息、数据。未经主管领导批准，不得向外提供公司信息和资料，坚持做到“谁上网、谁负责”，“上网不涉密、涉密不上网”。
三、严禁公司内网计算机终端上操作事项。
1、内网计算机终端上违规处理、存储的.国家秘密信息；
2、内网移动存储介质中违规存储的国家秘密信息；
3、内网服务器上违规处理、存储的国家秘密信息；
4、内网网站上违规发布的国家秘密信息。
四、严禁公司互联网网计算机终端上操作事项。
1、互联网计算机终端上违规处理、存储的国家秘密和警务工作秘密信息；
2、互联网移动存储介质中违规存储的国家秘密和警务工作秘密信息；
3、互联网服务器上违规处理、存储的国家秘密和警务工作秘密信息；
4、互联网上开设的网站中违规发布的国家秘密和警务工作秘密信息；
5、互联网社会网站上开通的微博、电子邮箱等信息发布和传输平台中违规发布、存储的国家秘密和警务工作秘密信息。
五、专用于存储公司财务、工程设计方案、安保方案应急预案等资料和内部文件的计算机要由专人使用，并设置密码，禁止网络上的其它计算机访问，禁止访问互联网及其它外部网络系统。
六、做好计算机网络病毒防治工作。每台计算机要由专人负责，定期升级计算机杀毒软件，进行查杀病毒，在使用3 / 3软盘、U盘和移动硬盘等存储、拷贝文件之前，要先查杀病毒。严禁在计算机有毒未杀的情况下发电子邮件和拷贝文件到公司的其它计算机上。
七、严格按照操作程序使用计算机，认真做好计算机防盗工作。公司员工要爱护计算机。下班及节假日，务必将电源开关关闭，彻底切断计算机电源，关好门窗，做好防火、防盗工作。
八、严格工作纪律。禁止浏览和下载不健康的网上信息，禁止从网上下载与工作无关的软件。二〇一二年五月三日