1 适用范围

本规范适用于涉密计算机、通信和办公自动化设备定点维修维护资格申请、审查与资格单位日常保密管理。

2 定义

    2.1本规范所称涉密人员，是指由于工作需要，在涉密计算机、通信和办公自动化设备定点维修维护岗位合法接触、知悉和经管国家秘密事项的人员。

    2.2本规范所称涉密载体，主要指以文字、数据、符号、图形、图像、声音等方式记载国家秘密信息的纸介质、磁介质、光盘等各类物品。磁介质载体包括计算机硬盘、软盘和录音带、录像带等。

    2.3本规范所称信息系统是指由计算机及其相关配套设备、设施构成的，按照一定的应用目标和规则存储、处理、传输信息的系统或者网络。

    2.4本规范所称信息设备是指计算机及存储介质、打印机、传真机、复印机、扫描仪、照相机、摄像机等具有信息存储和处理功能的设备。

   3 保密规范

    3.1保密规范实施原则

    3.1.1积极防范，突出重点，严格标准，依法管理。

    3.1.2业务工作谁主管，保密工作谁负责，保密责任落实到人。

    3.1.3具备健全的管理体系，保密管理与生产经营管理相融合。

 3.1.4开展保密风险评估与管理。

 3.1.5建立保密管理的持续改进机制。

    3.2保密组织机构及职责

3.2.1保密工作领导小组

3.2.1.1资格单位应当成立保密工作领导小组，为本单位保密工作领导机构。

3.2.1.2资格单位保密工作领导小组由单位法定代表人（或主要负责人）、分管保密工作负责人和有关部门主要负责人组成。组长由法定代表人（或主要负责人）担任，副组长由分管保密工作负责人担任，保密工作领导小组各成员应当有明确的职责分工。

    3.2.1.3保密工作领导小组实行例会制度。例会应当组织学习党和国家、所在地区保密工作方针政策及相关保密法律法规；研究部署、总结本单位的保密工作；解决保密工作中的重要问题。例会每年不少于2次，会议应当作记录并形成会议纪要。

    3.2.1.4法定代表人（或主要负责人）为本单位保密工作第一责任人，对本单位保密工作负全面责任，履行下列职责：

（1）保证国家相关保密法律法规在本单位贯彻落实；

（2）监督检查保密工作责任制的落实情况，解决保密工作中的重要问题；

（3）审核、签发单位保密管理制度；

（4）为保密工作提供人力、财力、物力等条件保障。

    3.2.1.5分管保密工作负责人对本单位保密工作负具体领导和监督责任，履行下列职责：

（1）组织制定单位保密管理制度、保密工作计划，审定保密工作总结；

（2）监督保密工作计划落实情况，组织保密检查；

（3）为保密管理办公室和保密管理人员履行职责提供保障。

    3.2.1.6涉密设备定点维修维护部门负责人对本部门的保密管理负直接领导责任，履行下列职责：

（1）组织开展保密风险评估，修订维修维护管理制度，优化业务流程，制定保密工作方案，落实保密风险防控措施；

（2）监督检查涉密设备定点维修维护业务管理和保密制度执行情况，督促业务人员履行保密职责；

（3）及时发现、研究解决保密管理中存在的问题。

    3.2.2保密管理办公室

3.2.2.1资格单位应当设立保密管理办公室，为本单位的职能部门，负责人由中层以上管理人员担任。保密管理办公室既可为专门机构，也可指定有关机构承担相关职能。

    3.2.2.2保密管理办公室负责本单位保密工作的日常管理，履行下列职责：

（1）组织落实保密工作领导小组的工作部署，提出工作建议，拟定工作计划、总结；

（2）制定、修订保密制度；

（3）参与单位相关管理制度的制定、修订工作；

（4）审查、确定保密要害部门部位，指导、监督保密设施设备的建设、使用和维护管理；

（5）组织开展保密宣传教育和培训；

（6）对涉密人员履行保密职责情况进行指导监督；

（7）对本单位各部门保密管理有关情况进行指导监督；

（8）组织开展保密检查，针对存在的问题提出整改意见，并督促落实；

（9）报告、配合查处泄密事件；

（10）管理保密工作档案；

（11）承办保密资格申请、延续、事项变更登记等工作；

（12）承办保密工作领导小组交办的其他任务。

 3.2.2.3保密管理人员应当具备下列条件：

（1）具备良好的政治素质；

（2）熟悉保密法律法规，掌握保密知识技能，具有一定的管理能力；

（3）熟悉本单位业务工作和保密工作情况；

（4）通过保密行政管理部门组织的培训和考核。

    3.3保密制度

    3.3.1资格单位应当建立规范、操作性强的保密制度，并根据实际情况及时修订完善。保密制度的具体要求应当体现在单位相关管理制度和业务工作流程中。

    3.3.2保密制度包括以下主要方面：

（1）保密工作机构设置与职责；

（2）涉密维修维护工作管理；

（3）涉密人员管理；

（4）涉密维修场所管理；

（5）涉密载体管理；

（6）保密教育培训；

（7）信息系统、信息设备和保密设施设备管理；

（8）保密监督检查；

（9）保密工作考核与奖惩；

（10）泄密事件报告与查处；

（11）保密风险评估与管理；

（12）资格证书使用与管理。

 3.4保密风险评估与管理

    3.4.1资格单位应当定期对定点维修维护业务、人员、资产、场所等主要管理活动进行保密风险评估。各业务部门应当按照业务流程对保密风险进行识别、分析和评估，提出具体防控措施。

    3.4.2资格单位应当将国家保密法规和标准要求、保密风险防控措施融入到管理制度和业务工作流程中，并建立相应的监督检查机制。

    3.5涉密人员管理

    3.5.1资格单位应当对从事涉密业务的人员进行审查，符合条件的方可将其确定为涉密人员。涉密人员应当通过保密教育培训，并签订保密承诺书后方能上岗。

    3.5.2涉密人员应当保守国家秘密，严格遵守各项保密规章制度，并符合以下基本条件：

    （1）遵纪守法，具有良好品行，无违法犯罪记录；

（2）签订劳动合同满一年以上；

（3）资格单位正式职工，并在其他单位无兼职；

　　（4）社会关系清楚，本人及其配偶、子女具有中国国籍。

    3.5.3涉密人员根据所在岗位涉密情况分为核心、重要、一般三个等级，实行分类管理。涉密等级发生变化时，应当履行审批程序。

    3.5.4资格单位与涉密人员签订的劳动合同或补充协议，应当包括以下内容：

（1）涉密人员的权利与义务；

（2）涉密人员应当遵守的保密纪律和有关限制性规定；

（3）因履行保密职责导致涉密人员利益受到损害，资格单位给予补偿的规定；

（4）涉密人员因违反保密规定而被无条件调离涉密岗位或给予辞退等处罚的规定；

（5）因认真履行保密职责，资格单位给予涉密人员奖励的规定；

（6）涉密人员应当遵守的其他有关事项。

    3.5.5资格单位应当将涉密人员基本情况和调整变动情况向所在地保密行政管理部门备案。

    3.5.6在岗涉密人员每年参加保密教育与保密知识、技能培训的时间不少于8个学时。

    3.5.7资格单位应当对在岗涉密人员进行定期考核评价。

    3.5.8资格单位应当向涉密人员发放保密补贴。

    3.5.9涉密人员离岗离职须经资格单位保密审查，签订保密承诺书，并按相关保密规定实行脱密期管理。

    3.5.10涉密人员因私出国（境）的，应当经资格单位同意，出国（境）前应当经过保密教育。擅自出境或逾期不归的，资格单位应当及时报告保密行政管理部门。

    3.5.11涉密人员泄露国家秘密或严重违反保密规章制度的，应当调离涉密岗位，并追究其法律责任。

    3.6涉密载体管理

    3.6.1资格单位应当按照工作需要，严格控制涉密载体的接触范围和涉密信息的知悉程度。

    3.6.2资格单位应当建立涉密载体台帐，台帐应当包括载体名称、编号、密级、保密期限等信息。

    3.6.3接收、制作、交付、传递、保存、维修、销毁涉密载体，应当遵守国家相关保密规定，履行签收、登记、审批手续。

    3.6.4复制本单位产生的涉密载体，应当经单位相关部门审批；复制其他涉密载体，应当经涉密载体制发机关、单位或所在地省、自治区、直辖市保密行政管理部门批准。涉密载体复制场所应当符合保密要求，采取可靠的保密措施；不具备复制条件的，应当到保密行政管理部门审查批准的定点单位复制。

    3.6.5机密、秘密级涉密载体应当存放在密码文件柜中，绝密级涉密载体应当存放在密码保险柜中。存放场所应当符合保密要求。

    3.6.6未经批准，个人不得私自留存涉密载体和涉密信息资料。确因工作需要保存的，应当建立个人台帐，内容包括载体密级、留存原因、审批部门或人员、留存期限等内容。

    3.6.7携带涉密载体外出，应当履行审批手续，采取可靠的保密措施，并确保涉密载体始终处于携带人的有效控制下。

    3.6.8资格单位应当定期对涉密载体进行清查。需要销毁的涉密载体应当履行清点、登记、审批手续，送交保密行政管理部门设立的销毁工作机构或者保密行政管理部门指定的单位销毁；确因工作需要，自行销毁少量秘密载体的，应当使用符合国家保密标准的销毁设备和方法。

    3.7信息系统与信息设备管理

    3.7.1涉密信息系统的规划、建设、使用等应当符合国家有关保密规定。涉密信息系统应当按照国家保密规定和标准，制定分级保护方案，采取身份鉴别、访问控制、安全审计、边界安全防护、信息流转控制等安全保密防护措施。

    3.7.2用于维修维护涉密设备的信息设备应当符合国家保密标准，有密级、编号、责任人标识，并建立管理台帐。

    3.7.3涉密计算机、移动存储介质应当按照存储、处理信息的最高密级进行管理与防护。

    3.7.4涉密信息设备的使用应当符合相关保密规定。禁止涉密信息设备接入互联网及其他公共信息网络；禁止涉密信息设备接入内部非涉密信息系统；禁止使用非涉密信息设备和个人设备存储、处理涉密信息；禁止超越计算机、移动存储介质的涉密等级存储、处理涉密信息；禁止在涉密计算机和非涉密计算机之间交叉使用移动存储介质；禁止在涉密计算机与非涉密计算机之间共用打印机、扫描仪等信息设备。

    3.7.5涉密信息设备应当采取身份鉴别、访问控制、违规外联监控、安全审计、移动存储介质管控等安全保密措施，并及时升级病毒和恶意代码样本库，定期进行病毒和恶意代码查杀。

    3.7.6采购安全保密产品应当选用经过国家保密行政管理部门授权机构检测、符合国家保密标准要求的产品，计算机病毒防护产品应当选用公安机关批准的国产产品，密码产品应当选用国家密码管理部门批准的产品。

    3.7.7涉密信息打印、刻录等输出应当相对集中、有效控制，并采取相应审计措施。

    3.7.8涉密计算机及办公自动化设备应当拆除具有无线联网功能的硬件模块，禁止使用具有无线互联功能或配备无线键盘、无线鼠标等无线外围装置的信息设备处理国家秘密。

    3.7.9涉密信息设备的维修，应当在本单位内部进行，并指定专人全程监督，严禁维修人员读取或复制涉密信息。确需送外维修的，须拆除涉密信息存储部件。涉密存储介质的数据恢复应当到国家保密行政管理部门批准的单位进行。

    3.7.10涉密信息设备改作非涉密信息设备使用或淘汰处理时，应当将涉密信息存储部件拆除。淘汰处理涉密存储介质和涉密信息存储部件，应当按照国家秘密载体销毁有关规定执行。

    3.7.11涉密计算机及移动存储介质携带外出应履行审批手续，带出前和带回后，均应当进行保密检查。

    3.8涉密维修间保密管理

3.8.1涉密维修间应当按保密要害部位管理，有专用、独立、固定并可实施封闭、隔离的空间，面积不小于10㎡。安装门禁、视频监控、防盗报警等安防系统。

3.8.2涉密维修间所在建筑物内部安全，间隔坚固、牢靠。

    3.8.3建立视频监控的管理检查机制，资格单位安全保卫部门应当定期对视频监控信息进行回看检查，保密管理办公室应当对执行情况进行监督。视频监控信息保存时间不少于3个月。

    3.8.4门禁系统、视频监控系统和防盗报警系统等应当定期检查维护，确保系统处于有效工作状态。

3.8.5应建立涉密人员和涉密设备进出涉密维修间的审核制度，完善登记手续，并由接待人员全程陪同。

3.8.6涉密维修间有供专门存放涉密载体的保密安全设施、设备。

3.8.7未经批准，不得将具有录音、录像、拍照、存储、通信功能的设备带入涉密维修间。

    3.9涉密设备定点维修维护业务管理

3.9.1资格单位应当按照资格类别承接涉密设备定点维修维护业务。不得将资格证书出借或转让。严禁涉密维修维护业务挂靠、转包和擅自分包。因专项技术需要单项分包的，其分包合作单位应具有相应涉密设备定点维修维护资格，特殊情形应报所在地保密行政管理部门审定。合作过程应有详细保密方案。

3.9.2涉密设备定点维修维护业务需要技术外援的，必须报告所在地保密行政管理部门批准。技术外援项目应严格按审定的方案实施，应当进行技术检测和现场监督，必要时进行现场录像。

    3.9.3资格单位应当对涉密设备定点维修维护业务实行全过程管理，明确岗位责任和工作规范，落实各环节安全保密措施，确保管理全程可控可查。

    3.9.4资格单位涉密维修维护人员应当按照已确认的个人涉密等级维修维护涉密设备，低密级的涉密维修维护人员不得维修维护高密级的涉密设备。

    3.9.5送修的涉密设备应在涉密维修间内完成维修，按照涉密设备密级严格保管；资格单位涉密维修维护人员离开现场时，应将涉密设备放置于密码保险柜中。禁止无关人员介入涉密设备维修维护过程。

3.9.6严禁资格单位涉密维修维护人员读取和复制用户的涉密信息，因维修维护需要用户提供的涉密技术参数或资料，应按其密级妥善保管；当维修维护完毕，应在用户监督下，检查和彻底消除专用工具、仪器、设备等所携带的涉密信息。

3.9.7涉密设备定点维修维护业务应当建立管理台帐，记载内容包括委托服务证明、合同编号、定点维修/维护服务单资料、定点维修/维护委托协议书等。台帐保存时间不少于3年。

 3.10保密检查

    3.10.1资格单位应当定期对保密管理制度落实情况、技术防范措施落实情况等进行检查，及时发现和消除隐患。

    3.10.2保密检查应当进行书面记录，内容包括：检查时间、检查人、检查对象、检查事项、存在问题、整改措施及落实情况等。

    3.11保密工作考核与奖惩

    3.11.1资格单位应当将员工遵守保密制度、履行保密职责的情况纳入绩效考核内容，考核结果作为发放保密补贴和评选先进的依据。

    3.11.2资格单位应当对严格执行保密规章的集体和个人给予表彰奖励。

    3.11.3资格单位应当对违反保密法规、制度的有关责任人给予相应处罚；泄露国家秘密的，应当按照有关规定作出处理。

3.12保密工作经费

3.12.1保密工作经费分为保密管理经费和保密专项经费。保密管理经费用于单位保密宣传教育培训、发放保密补贴、奖励保密先进、保密检查等日常保密管理工作；专项经费用于保密设施设备的建设、配备、维护等。

    3.12.2资格单位保密管理经费，年度标准不少于3万元。保密管理经费应当单独列入单位年度财务预算，专款专用，保证开支。

    3.12.3保密专项经费应当按实际需要予以保障。

    3.13保密工作档案

    3.13.1资格单位应当建立保密工作档案，记录日常保密工作情况。

3.13.2保密工作档案的内容应当真实、完整，全面反映保密工作情况，并能够与相关工作档案相互印证。

    3.14本保密规范未明确涉密事项的保密管理，须严格执行国家有关保密规定。