企业集团网络与信息安全保密总体方案及策略

第一篇：企业集团网络与信息安全保密总体方案及策略

企业集团网络与信息安全保密总体方案及策略

对大型企业集团网络与信息安全现状及安全隐患进行分析，提出了总体解决方案以及企业集团的管理对策，加强安全保密技术措施，构建系统的安全保密防范体系。主要内容包括：网络安全准入、移动介质注册管理、电子文件加密保护、内部网页授权管理、国际互联网应用管控、操作El志和邮件归档审计等。企业集团实施网络与信息安全保密技术和管理策略将取得明显的信息安全及保密效果。

1、大型企业集团的网络与信息安全保密工作现状与分析

1.1大型企业集团网络与信息系统安全保密工作现状

经过对国内大型企业集团的了解和分析得知，国内大型企业集团的网络和信息化部有一些共性。大型企业集团一般拥有自己国内或国际的广域网，一般集团总部和各分部/分企业集团都有单独的互联网出口。集团和自已的上下游的合作伙伴会通过专线或互联网交换信息(见图1)。企业集团这种网络架构存在互联网出口多、安全性低，信息孤岛、OA等应用需要整合等典型问题。同时企业和合作伙伴的联网安伞也需要考虑。集团信息安全系统主要是由防火墙、入侵监测和病毒防范等组成，这种方法造成安全投入不断增加、维护与管理更加复杂、信息系统的使用效率大大降低、对内部没有防范，对新的攻击入侵毫无防御能力(如冲击波、振荡波)等一系列问舾。目前企业集团急需一套完整的符合国家信息安全保障工作要求的安全保密方案。

1.2大型企业集团信息网络的安全隐患

1.2.1互联网的安全使用问题

由于互联网使用的广泛性、接入手段的多样性(modem拨号、以太网卡、无线网卡、蓝牙、红外等等)、应用的复杂性以及攻击行为的隐蔽性(蠕虫，病毒、木马、僵尸等等)，近年来我国已发生多起严重的网上失、窃密案件。威胁互联网安全的因素包括“黑客”的入侵，计算机病毒，数据“窃听”和拦截等方面。

企业集团内同样存在因广泛使用互联网而可能发生的核心企业秘密外泄的严重风险。因此，必须采用有效的技术手段，加强监督管理，规范互联网的使用，以达到保护国家秘密和集团企业核心秘密的目的。

1.2.2终端安全问题

随着企业信息网的对外开放，终端数量的日渐庞大，使企业信息网正在承受来自互联网的各种信息安全威胁，如网络蠕虫、安全攻击，垃圾邮件等。企业网终端没有统一的管理，病毒库不能得到严格升级，每台终端上的操作系统安全漏洞补丁不能得到及时更新，这些威胁都会严再影响企业内部网络的安全使用，并进一步威胁企业的健康发展。

在现有网络架构下，只要接入集团的一台终端感染网络病毒，就可能导致往有数千台终端的网络内爆发蠕虫病毒，网络中会充斥大量的无用数据包，占用几乎全部的网络设备资源和带宽，导致真正的应用数据包无法被传输，甚至出现交换机由于CPU利用率过高而近似死机的现象。因此，必须对集团网络从交换机终端即网络边缘开始进行安全控制。

1.2.3 Web应用系统分级授权控制问题

企业集团一般授权系统比较单一，需要建立分级授权系统对应用系统进行保护，主要包括：(1)边界权限控制：各企业集团内部上页属于内部办公平台，必须受限访问。(2)重要模块控制：各企业集团内部主页有企业秘密信息模块，也有公开信息模块。企业秘密信息模块包括OA系统、竞争情报、工作报告、会议纪要、科技成果、管珲课题研究等内容。应加强对企业秘密信息模块的保密管理，依据工作分工、分级授权进行访问控制和管理。

1.2.4文件保护问题

由于企业集团内部网络监控的缺位，目前存在以下内部泄密途径：(1)内部人员将资料通过移动存储介质从电脑中拷出带走；(2)内部人员通过互联网将资料通过电子邮件发送给外部人员；(3)将文件打印后带出。(4)将办公用便携式电脑直接带回家中，(5)电脑易手后，硬盘上的资料没有处理；(6)随意将文件设成共享，导致非相关人员获取资料；(7)移动存储介质设备共用，导致非相关人员获取资料；(8)将私人便携式电脑带到企业集团，接入局域网，窃取资料；(9)开启同事电脑，浏览、复制同事电脑里的资料。此外，还有很多其他途径可以被别有用心的内部人员利用以窃取资料。

1.2.5移动存储介质和设备管理问题

越来越多的敏感信息、秘密数据和档案资料被存贮在移动存储介质里，给企业信息资源管理带来相当人的安全隐患。企业集团移动存储介质使用管理中存在的问题主要包括：非法拷贝敏感信息和涉密信息到移动存储介质中；企业外部移动仔储介质未经授权在内部使用；企业内部移动存储介质及信息资源被带出，在外部非授权使用；存贮征媒体中的秘密信息在联网或人工交换时被泄露或被窃取；处理废旧移动存储介质时，末做信息清理；存有秘密信息的介质不经处理或任无人监督的情况下被带出修理；存有秘密信息的存储介质失窃；秘密信息和非秘密信息放在同一介质上。另外公私混用，存在一定安全隐患。

1.2.6涉密文件的等级保护问题

如果将涉密文件以明文方式存储在涉密存储介质中，一旦涉密存储介质(硬盘、移动硬盘、U盘、笔记本电脑)意外遗失或者被盗，或者存储在上面的涉密信息被恶意通过网络发送出去，则可能造成涉密信息的泄漏。必须采用一定的技术于段，根据涉密文件的级别，以不同等级自动进行加密，使涉密存储介质中存储的文件为密文，即便涉密存储介质被盗或意外遗失，或者被恶意外泄，也不至于造成直接泄密的重大损失。

1.2.7邮件加密及归档审计

企业集团一般用户自主邮件恢复功能只能恢复30天之内的数据。且有一定的限制，无法查询和监督更长时期内的历史邮件。

据调查显示，目前全球范围内正式实行邮件归档系统的企业并不多，在我国企业中真正实施邮件归档的企业更是少之又少。与国外企业对邮件归档的认识不同的是，对于国内的企业负责人来说，也许他们更关心的是企业中的机密文件是否会被不轨员工利用电子邮件外泄。因此，必须采用一定的技术手段，实现邮件加密传输以及对邮件进行归档审计。利用邮件系统归档功能，可以根据企业集团工作需要查询和监督用户利用企业集团的邮件平台收发的电子邮件，尤其是公务邮件，对知识产权的保护具钉现实意义。

1.2.8 网络涉密传输

对于涉及氽业集团或国家秘密的数据传输，传输通道必须加密，以保证特殊条件下信息不被轻易窃取。

2、网络与信息安全保密建设总体方案

2.1总体目标

大型企业集团网络与信息安伞保密工作的总体目标可以定义为：针对集团网络及信息安全保密需要，构建系统的安全保密技术和防护策略及其措施，通过制度管理和技术防范，双管齐下，规范员工行为，以达到网络和信息资产安全的总体目标。最终达到“外人进不来，进来之后看不到，看到了拿不走，拿走了用不了，操作了可追溯”的效果。

2.2总体要求

对于网络与信息保密工作而言，管理方法和技术手段同等重要，缺一不可。只重视管理流程，缺乏足够的技术手段，信息安全保密工作就只能取决于执行者自身的政治觉悟。对于觉悟不高者而言，容易流于形式，只审视技术手段。不加强管理，信息安伞保密工作就容易受到轻视，技术手段反而成为绊脚石，安全保密工作无法有效开展。安全，特别是信息安全是一个系统工程，在这个系统工程中，体现着“三分技术，七分管理”。

2.3管理改进

大型企业集团应建立网络与信息安全保密组织，制定相关的管理制度，大力宣传信息保密工作的重要性。最大程度地保护企业的各种秘密信息。具体工作任务包括：(1)根据企业集团信息保密工作的具体要求建立适合本企业集团或部门的电子信息保密规定，建立可操作的工作制度。(2)对本企业集团有涉密信息的部门划分级别，对用户的电脑进行严格的安全配置，例如禁止使用USB盘、只能登录特定的电脯等；(3)用户不明确信息是否涉密时，由保密工作部门进行甄别；(4)为信息技术管理部门提供有关信息保密管理、技术改进、提升与完善的具体建议；(5)对本企业的员工进行信息保密培训与教育；(6)对涉密信息的交流与传递进行监督；(7)协助安全部门对违反保密规定的信息泄漏事件进行调查、取证。(8)与审计部门配合，定期或不定期对本企业集团的信息保密工作进行审计；(9)定期或不定期向企业高层与集团信息保密工作组报告本企业集团的信息保密工作情况。

2.4总体方案

2.4.1建立网络分区分级管理

目前，企业集团的整个信息网络是一个整体，没有内、外网之分以及保密专网，网络结构存在安全隐患。

为了提高信息安全性，根据信息的密级，结合工作的需要，对信息网络进行分区分级管理。从长远看，企业集团网络应该分为困密网、专用网、外网、办公内网四个安全区，如图2所示。对于安全区内的系统根据审要性进行分级管理。

2.4.2建立网络安全准入系统

在企业集团范围内建立终端安全防护和全面的网络准入控制系统，实现如下目标：

(1)网络准入控制。工作站必须符合定义的安全策略(例如安装了指定的防病毒软件、更新了病毒特征代码、安装了最新的微软补丁等)才能够接入网络，实现自动修复以及用户和设备的认证，保证网络上所有终端都是健康的。

(2)应用程序控制。只有指定版本的软件才能够访问网络资源，禁止用户私自安装的软件或木马程序、蠕虫访问网络。

(3)基于用户/组的访问控制策略。可以对不同的成员企业集团、部门、承包商、项目组、第三方接人人员采用不同的网络访问控制策略，构建集中管理的分布式防火墙体系。

2.4.3实施Web应用分级授权控制系统

随着企业集团业务的发腰和集团各部门之间信息交流的增多，因估息系统建没周期较长、系统众多，技术架构趋于复杂，需要一套灵活的、易于管理的Web应用授权控制系统。

新的Web授权系统作为企业集团内部Web应用统一的授权服务平台，为企业门户任应用层面提供信息浏览的安伞保障，满足企业在业务需求不断发展的过程中产生的信息安全方面的需要。同时，该系统也可以作为一项独立的安全服务，为以后的集团门户系统提供强有力的支撑。

2.4.4建立企业电子文件保护平台

建立企业集团范围的电子文件保护平台，解决如下问题：

(1)按需对涉密电子文件进行加密。

(2)单一或组合授予用户阅读，打印、复制、编辑等权限。

(3)对于脱离受控环境的电子文件，可以限制其只能在特定的计算机上使用；或设置其可读取的次数和有效期限。

(4)与各类信息系统进行集成。使得这些信息系统具备电子文件保护能力，并且不会改变系统的原有流程。

(5)无论使用U盘、移动硬盘、还是通过Email发附件的方式，在受控环境之外不能有效使用经保护的涉密电子文件。

(6)关注电子文件本身，而不是层出不穷的各类电子设备和文件载体。

2.4.5移动存储设备的使用管理

移动存储设备应分密级使用，并必须保证密级文件的安全。

移动存储设备应根据所保存的涉密内容。分级别进行登记和管理；采取技术手段，禁止未经许可的U盘在涉密计算机上进行使用，保证经过许可的U盘在涉密计算机上能正常使用，保证存储涉密文件的U盘丢失后不造成内容泄密。

2.4.6涉密文件安全等级保护

(1)所有文件只能任内部才能使用。即使被恶意通过互联网发出去，或者通过U盘拷贝出去，文件不能被正常读取。

(2)对文件征内部的流转进行等级划分。密级文件只能在具备相应或更高密级的计算机上才能被读取。

(3)文件以密文的方式在内部流转，即使在流转过程中被窃取，也不会造成重大泄密。

(4)对加密文件进行解密时，必须得到明确的授权。

(5)文件的整个流转过程具备完整的审计日志。

2.4.7实现邮件加密及归档审计

建立公开密钥基础设施(PKI)证书系统，要求部门经理以上用户采用PKI/CA(CA证书)邮件加密与数字签名的方式增加邮件系统访问的安全性。建立归档机制，自动、实时地对现有邮件系统中的邮件进行分类存储。终端用户删除邮件不会造成系统中数据的丢失。管理员可以根据需要随时根据各种条件进行检索。

2.4.8网络涉密传输

采用内置国家密码管理局认证硬件加密卡的网络加密机(VPN)进行数据传输通道的加密。即采用密码技术在公用网络中开辟出专用的隧道，形成专用网络，主要用于解决公共网络中数据传输的安全问题，保证内部网中的重要数据能够安全地借助公共网络进行交换。

3、网络与信息安全保密技术基本实施策略

根据大型企业集团网络与信息安伞保密总体方案，从六个方面加强安全保密技术措施，构建系统的安全保密防范体系。主要内容包括：网络安全准入、移动介质注册管理、电子文件加密保护、内部网页授权管理、国际互联网应用管控、操作日志和邮件归档审计等。

3.1网络安全准入

策略内容：对终端电脑实行注册管理，接入企业集团网络时需进行设备和账号双重认证控制。首先，通过系统后台验证终端电脑是否已在企业集团注册，是否符合安全标准(安装准入客户端和指定病毒防火墙)，验证合格后方允许接入系统；其次，用户输入账号、密码，经身份验证后方可访问内部信息资源。非注册终端设备或非授权账号不能接入内部办公网络，非安全终端设备(染毒)访问内部办公网络资源时受限。

解决问题：网络入口控制。防范非法接入网络；降低网络被病毒感染和攻击的概率。

3.2移动介质注册管理

策略内容：对移动存储介质(U盘、移动硬盘等)的使用进行注册管理。已注册移动存储介质在企业集团内网、工作电脑上可正常使用和交换数据；在外网或外部设备中，只有将移动存储介质设置为商旅模式并输入密码后方可使用；非注册移动仔储介质中的电子数据可拷贝至企业集团内网、工作电脑上，企业集团内网、工作电脑上的电子数据不能拷贝到非注册移动存储介质上；因工作需要向企业集团以外的电脑中拷贝电子数据时，经保密审查后，统一由企业集团或部门机要员将移动存储介质设置为商旅模式并进行解密；对注册移动存储介质中资料的所有更改、转移、交换、解密等行为，进行后台记录，作为审计依据。

解决问题：防范电子文件通过移动介质拷贝泄密，防范移动介质遗失造成失、泄密。

3.3 Web网页授权管理

策略内容：对企业集团内部主页进行三级授权管理。第一级为整个丰页的访问授权；第二级为主页内栏目或业务系统的访问授权，第三级为应用程序授权。各级授权管理分别由网页、栏目、业务系统的用户应用管理员负责。

解决问题：按授权范围查阅、利用网络信息资源，在安全范围内进行成果交流。

3.4电子文件加密保护

策略内容：禁止在企业集团网络上存储、处理、传输涉及国家秘密的电子文件、信息，对涉及企业秘密的电子文件、信息进行加密保护。丰委包括以下三个方面：

(1)对网页中需要保护的附件电子文件进行加密，根据需要对附件的查阅、修订、复制、下载、打印等权限进行控制。

(2)对部门或个人的最终成果类电子文件提供网络存储、备份管理审问，提供基于加密和授权保护的共享利用手段，进行成果管理和共享。设置个人文件夹备份保管个人成果文件，设置部门成果文件夹存储保管部门成果文件，设置部门共享文件夹任加密授权保护的前提下对成果文件进行共享。

(3)使用加密技术对重要或涉及企业秘密的电子文件进行加密管理，设置查阅、修订、复制、下载、打印等权限，按授权利用文件成果。

解决问题：进行成果管理，提供基于加密和授权保护的共享。防范非授权或无关人员接触涉密或敏感电于文件；防范二次传输泄密(授权人二次传送给无关人员或集团以外人员造成泄密)；防范移动电脑遗失造成的数据丢失或泄密。

3.5国际互联网应用管控

策略内容：实施互联网出口认证和流量管理系统，加强互联网系统监控和管理。禁止进行联机游戏、基金炒股、P2P下载、BBS交流以及QQ、MSN等即时通讯网络操作；禁止使用超文本传输协议(http)以外的应用；禁止一个账号在多台机器上同时登录互联网；按国家相关规定对访问互联网的行为进行后台监控，必要时对后台监控日志进行审计；禁止访问非工作相关网站或不良信息网站。对违反互联网使用管理规定的用户，收回其权限并在企业集团内部通告。

解决问题：依法安全使用互联网，提高网络安全性。监督防范擅自向外网(如BBS、博客等)张贴涉密文件资料而造成泄密。

3.6电子邮件管理

策略内容：与集团外部进行工作邮件往来时必须使用企业集团外部邮件系统，禁止使用邮件系统传送国家秘密文件信息；使用邮件系统传送企业秘密文件信息时，应使用电于文件保护系统或企业集团配发的USB Key CA证书对邮件进行加密；企业集团对员工的邮件收发行为进行监控、记录并归档，作为审计依据。

解决问题：防范通过非企业集团邮箱发送工作邮件可能造成的泄密，提供监控和追溯审查手段，加强邮件安全保密管理。

3.7监控审计

策略内容：完整记录用户访问互联网、收发邮件、电子文件拷贝、电脑操作以及信息系统管理员操作等所有信息传递活动日志，可对重点部门、部位或个人的电脑操作进行监控；根据需要对各种信息进行监控审计。审计工作由审计郜人员组织执行。

解决问题：提供监控审计手段，便于稽核追踪管理。区分管理权(用户)、操作杈(管理员)、审计权(审计人员)。

4、结束语

大型企业集团实施上述网络与信息安全保密技术和管理策略将取得明显的效果。比如，限制非法或不安全登录网络，提高了计算机信息系统的安全性；对计算机及移动存储介质进行注册管理，对涉密电子文件采取加密措施，实现了对电子文件的有效保密管控；安装应用国际互联网监控管理系统，确保安全、合法、规范地使用互联网，加强了信息保密管理；制定计算机网络与信息安全保密管理规定，提高了规范化管理水平；此外，通过该项日的建设与实施，深入推动了保密宣传教育工作，提高了员工的保密意识，对深入开展网路与信息安全保密工作具有重要的现实意义。

随着上述方案在大璎企业集团的逐步伞面推广实施，集团的网络与信息安伞保密技术防范能力将显著得到加强，安令保密管理水平必将迈上新台阶。

第二篇：网络信息安全和保密责任制

网络信息安全和保密责任制

为加强企业信息安全，维护企业合法权益，明确员工对企业所负的信息安全与保密责任，根据国家相关法规、制度要求，特制定本责任制：

一、监控中心负责对相关系统所涉及资料重点档案的各种存储载体、收集、登记、存档等管理工作。

二、加强计算机系统的保密安全管理，对涉密与非保密计算机予以明确区分，涉密机必须完全与局域网脱离连接，并禁止上因特网以防泄密，做到上网信息不涉密，涉密信息不上网。

三、信息收集、整理和加工应分别由专人负责，互相监督，不得编造或篡改信息，各部门或个人所提供信息应在显著位置标明信息保密等级。

四、为保护知识产权和防止信息泄密，任何部门和个人不得私自向他人提供互联网发布的信息。

如确需要时，由各部门报分管副矿批准后，同时报监控中心记录备案后方可。

五、存储于计算机设备及媒体中的信息，低于保密等级及无关人员不得私自调阅。

六、接触机密信息的有关人员，应严格执行保密制度，未经领导批准，不得向低于保密等级无关人员传播。

七、存储过秘密信息的计算机媒体委外维修应保证所存储的信息不被泄露，同时报监控中心备案。

记载有机密信息的报废磁介质和纸张，必须进行销毁。

八、对外来参观人员，不经领导批准，任何部门和个人均不得通过屏幕显示和打印方式输出机密信息，更不得进行磁介质拷贝。

九、任何部门和个人发现计算机信息系统泄密后，应及时采取补救措施，并按有关规定及时向上级报告。

十、发现信息泄密、利用单位机密信息进行违法犯罪、发布有害信息等违法犯罪行为，任何部门和个人均有义务及时向监控中心及有关部门进行汇报，并协助有关部门或管理人员对上述人或事进行调查、取证、处理，向调查人员如实提供所需证据。

部门负责人： 责任人：

二○一一年一月

第三篇：网络信息安全保密管理制度

计算机网络信息安全保密管理制度

一、为保障随州金戈马网络科技有限公司（以下简称公司）内的计算机信息系统安全，防止计算机网络失密泄密事件发生，根据《中华人民共和国计算机信息系统安全保护条例》及有关法律法规，结合本公司实际制定本公司的安全保密制度。

二、为防止病毒造成严重后果，对外来光盘、软件要严格管理，原则上不允许外来光盘、软件在公司内局域网计算机上使用。确因工作需要使用的，事先必须进行防（杀）毒处理，证实无病毒感染后，方可使用。

三、严格限制接入网络的计算机设定为网络共享或网络共享文件，确因工作需要，要在做好安全防范措施的前提下设置，确保信息安全保密。

四、为防止黑客攻击和网络病毒的侵袭，接入网络的计算机一律安装杀毒软件，及时更新系统补丁和定时对杀毒软件进行升级，并安装必要的局域网ARP拦截防火墙。

五、本公司酝酿或规划重大事项的材料，在保密期间，将有关涉密材料保存到非上网计算机上。

六、各科室禁止将涉密办公计算机擅自联接国际互联网。

七、保密级别在秘密以下的材料可通过电子信箱、QQ传递和报送，严禁保密级别在秘密以上(含秘密)的材料通过电子信箱、QQ传递和报送。

一、岗位管理制度：

（一）计算机上网安全保密管理规定

1、未经批准涉密计算机一律不许上互联网，如有特殊需求，必须事先提出申请报主管领导批准后方可实施，并安装物理隔离卡，在相关工作完成后撤掉网络。

2、要坚持“谁上网，谁负责”的原则，各科室科长负责严格审查上网机器资格工作，并报主管领导批准。

3、国际互联网必须与涉密计算机系统实行物理隔离。

4、在与国际互联网相连的信息设备上不得存储、处理和传输任何涉密信息。

5、加强对上网人员的保密意识教育，提高上网人员保密观念，增强防范意识，自觉执行保密规定。

（二）涉密存储介质保密管理规定

1、涉密存储介质是指存储了涉密信息的硬盘、光盘、软盘、移动硬盘及U盘等。

2、有涉密存储介质的科室需妥善保管，且需填写“涉密存储介质登记表”。

3、存有涉密信息的存储介质不得接入或安装在非涉密计算机或低密级的计算机上，不得转借他人，不得带出工作区，下班后存放在本单位指定的柜中。

4、各科室负责管理其使用的各类涉密存储介质，应当根据有关规定确定密级及保密期限，并视同纸制文件，按相应密级的文件进行分密级管理，严格借阅、使用、保管及销毁制度。借阅、复制、传递和清退等必须严格履行手续，不能降低密级使用。

5、涉密存储介质的维修应保证信息不被泄露，需外送维修的要经主管领导批准，维修时要有涉密科室科长在场。

6、不再使用的涉密存储介质应由使用者提出报告，由单位领导批准后，交主管领导监督专人负责定点销毁。

二、人员管理制度及操作规程:(一)计算机维修维护管理规定

1、涉密计算机系统进行维护检修时，须保证所存储的涉密信息不被泄露，对涉密信息应采取涉密信息转存、删除、异地转移存储媒体等安全保密措施。无法采取上述措施时，涉密科室科长必须在维修现场，对维修人员、维修对象、维修内容、维修前后状况进行监督并做详细记录。

2、各涉密科室应将本科室设备的故障现象、故障原因、扩充情况记录在设备的维修档案记录本上。

3、凡需外送修理的涉密设备，必须经主管领导批准，并将涉密信息进行不可恢复性删除处理后方可实施。

4、高密级设备调换到低密级单位使用，要进行降密处理，并做好相应的设备转移和降密记录。

5、由办公室指定专人负责各涉密科室计算机软件的安装和设备的维护维修工作，严禁使用者私自安装计算机软件和擅自拆卸计算机设备。

6、涉密计算机的报废交主管领导监督专人负责定点销毁。

（二）用户密码安全保密管理规定

1、用户密码管理的范围是指本公司所有涉密计算机所使用的密码。

2、机密级涉密计算机的密码管理由涉密科室负责人负责，秘密级涉密计算机的密码管理由使用人负责。

3、用户密码使用规定。

（1）密码必须由数字、字符和特殊字符组成；

（2）秘密级计算机设置的密码长度不能少于8个字符，密码更换周期不得多于30天；

（3）机密级计算机设置的密码长度不得少于10个字符，密码更换周期不得超过7天；

4、密码的保存。

（1）秘密级计算机设置的用户密码由使用人自行保存，严禁将自用密码转告他人；若工作需要必须转告，应请示主管领导认可。

（2）机密级计算机设置的用户密码须登记造册，并将密码本存放于保密柜内，由科室主任、科长管理。

（三）涉密电子文件保密管理规定

1、涉密电子文件是指在计算机系统中生成、存储、处理的机密、秘密和内部的文件、图纸、程序、数据、声像资料等。

2、电子文件的密级按其所属项目的最高密级界定，其生成者应按密级界定要求标定其密级，并将文件存储在相应的目录下。

3、各用户需在本人的计算机系统中创建“机密级文件”、“秘密级文件”、“内部文件”三个目录，将系统中的电子文件分别存储在相应的目录中。

4、电子文件要有密级标识，电子文件的密级标识不能与文件的正文分离，一般标注于正文前面。

5、电子文件必须定期、完整、真实、准确地存储到不可更改的介质上，并集中保存，然后从计算机上彻底删除。

6、各涉密科室自用信息资料要定期做好备份，备份介

质必须标明备份日期、备份内容以及相应密级，严格控制知悉此备份的人数，做好登记后进保密柜保存。

7、各科室要对备份电子文件进行规范的登记管理。备份可采用磁盘、光盘、移动硬盘、U盘等存储介质。

8、涉密文件和资料的备份应严加控制。未经许可严禁私自复制、转储和借阅。对存储涉密信息的磁介质应当根据有关规定确定密级及保密期限，并视同纸制文件，分密级管理，严格借阅、使用、保管及销毁制度。

9、备份文件和资料保管地点应有防火、防热、防潮、防尘、防磁、防盗设施，并进行异地备份。

（四）涉密计算机系统病毒防治管理规定

1、涉密计算机必须安装经过国家安全保密部门许可的查、杀病毒软件。

2、每周升级和查、杀计算机病毒软件的病毒样本。确保病毒样本始终处于最新版本。

3、绝对禁止涉密计算机在线升级防病毒软件病毒库，同时对离线升级包的来源进行登记。

4、每周对涉密计算机病毒进行一次查杀检查。

5、涉密计算机应限制信息入口，如软盘、光盘、U盘、移动硬盘等的使用。

6、对必须使用的外来介质（磁盘、光盘，U盘、移动硬盘等），必须先进行计算机病毒的查、杀处理，然后才可使用。

7、对于因未经许可而擅自使用外来介质导致严重后果的，要严格追究相关人员的责任。

（五）上网发布信息保密规定

1、上网信息的保密管理坚持“谁发布谁负责”的原则。凡向国际联网或本单位的网站提供或发布信息，必须经过保密审查批准，报主管领导审批。提供信息的单位应当按照一定的工作程序，健全信息保密审批制度。

2、凡以提供网上信息服务为目的而采集的信息，除在其它新闻媒体上已公开发表的，组织者在上网发布前，应当征得提供信息单位的同意。凡对网上信息进行扩充或更新，应当认真执行信息保密审核制度。

3、涉密人员在其它场所上国际互联网时，要提高保密意识，不得在聊天室、电子公告系统、网络新闻上发布、谈论和传播国家秘密信息。

4、使用电子函件进行网上信息交流，应当遵守国家保密规定，不得利用电子函件传递、转发或抄送国家秘密信息。

随州金戈马网络科技有限公司

2012年10月12日

第四篇：网络和信息安全保密责任书

网络和信息安全保密责任书

为坚决杜绝计算机违规事件发生，进一步做好网络安全工作，为信息化建设工作提供强有力的网络安全保障，为提高网络和应用系统使用人员的安全保密意识，增强责任感，确保网络和信息安全保密，根据“谁使用、谁负责”的管理责任制，结合实际，制定了《网络和信息安全保密责任书》，并要求所有使用计算机的干警签订。

一、办公专网与国际互联网完全物理隔离，不使用任何其他网络设备造成“一机两用”。

二、原则上办公用的电脑不得安装软驱、光驱和开放USB接口，因工作需要必须安装软驱、光驱和开放USB接口，的计算机。不得使用外来和自用的移动存储设备。外来的软盘、光盘和移动存储设备必须由计算机信息安全管理组查杀病毒和登记后，转入办公专网才能使用。全面防止移动存储设备使用中“公私不分”。

三、计算机安全日常防范

1、管理好本人使用的计算机，不准外来和无关人员使用和乱动计算机。

2、任何人不得随意安装软件，如有需要安装与工作相关的软件。应由计算机信息安全管理组指定人员协助安装。

3、计算机均应设置开机热启动、网络登陆及屏幕保护密码，暂时离开电脑要确保正在编辑的文件已关闭或正在使用的应用系统已退出且屏幕保护已启动。

4、重要文件要设置开启密码。

5、电脑系统或文件设置的密码或口令其长度不得少于8个字符；应采用组成复杂、不易猜测的口令，一般应是：大小写英文字母、数字、特殊字符中两者以上的组合；口令更换周期不得长于一个月。

6、每个用户必须妥善管理自己的密码、口令，要定期更换并不得随意泄露。

四、本责任书一式三份，自签订之日起生效，计算机信息安全管理组与责任人各执一份。

管理机构：计算机信息安全管理组 责任人签名：

负 责 人：

联系电话 ：

签订日期 ：

年 月 日 签订日期 ：

年 月 日

第五篇：信息与网络管理中心信息安全保密管理办法

信息与网络管理中心信息安全保密管理办法

为加强信息化建设安全保密工作，维护集团安全和利益，结合信息化建设工作实际，特制定本管理办法。

一、信息安全与保密

1、建立信息系统安全等级保护制度，建立人员权限控制表，进行信息分级管理，不同级别的人员只能查看相应级别的数据；

2、发布任何信息必须经过合法的工作程序或主管领导的审批；

3、记录敏感数据的操作日志，并长期保存；

4、对数据中心的运行拓扑结构、服务器软硬件信息，包括操作系统和应用软件的配置等信息应分级管理并严格保密；

5、在开发、运行、维护过程中，每位成员要有保密意识，不该看的不看，不该说的不说；

6、禁止在自己管理的计算机（工作用机、服务器）上开设与工作无关的服务；

7、禁止在个人用机（笔记本电脑、台式 PC 机）上存放敏感数据；

8、系统管理员、数据库管理员、信息系统开发人员及相关人员不得对外宣扬本职工作所从事的具体内容；

9、所有上互联网的人员必须遵守国家有关法律法规的规定

10、如发生信息安全与保密事故，当事人立即向信息中心主任汇报，相关信息不得向无关人员透露。

二、数据安全

1、对存放敏感数据的运行服务器须严格管理。系统账号必须登记并定期检查；

2、严格控制对运行数据库和试运行库的直接访问。原则上只有运行服务室数据库管理人员、技术支持人员可以直接访问，其他人员访问数据库必须得到相关领导批准并备案；

3、建立数据备份制度，对数据进行定期备份，包括数据容灾备份；备份的数据应注意保密，不得随意存放；

4、运行数据库不得用于系统的开发调试；

5、测试数据库和开发数据库中不得存放敏感数据；

6、所有管理员（数据库系统、应用系统）应严格管理自己的帐号和密码，并定期更换密码；

7、管理员登录系统应采用加密方式；

8、不得利用邮件、移动存储介质、笔记本电脑等将数据中心的涉密资源带出办公室。

三、网络和服务器安全

1、设立信息系统安全保密责任人，加强对信息安全工作的组织落实；

2、设立信息安全管理员岗位，并制定相应的岗位职责；

3、建立数据中心网络信息安全防范体系，保证服务器特别是关键服务器的安全；

4、凡用于对外提供服务的服务器必须保留至两年的日志。

四、数据中心机房安全

1、对存放服务器的数据中心机房建立机房管理制度和严密的保安措施，无关人员严禁入内，相关人员进出机房必须有相应登记；

2、对信息备份的介质要专人保管，定期检查，防止丢失或受损；

3、加强机房日常管理，制定数据中心机房值班制度；

4、对于进出数据中心机房的设备必须经过严格的审批和登记手续。

五、办公环境安全

1、对于新装的计算机必须严格按照规范进行；

2、每位成员在其办公用机安装操作系统后，必须安装补丁程序、防病毒软件并进行安全检查。每位成员负责自己使用的办公用机的安全，及时更新补丁，升级相关软件及病毒库；

3、所有成员都有责任和义务保管好所使用的网络设施和计算机设备，非管理人员禁止随意更改设备配置，确保设备的正常稳定运行；

4、禁止未授权的其他人员接入中心的计算机网络以及访问网络中的资源；

5、IP 地址为计算机网络的重要资源，使用者应在管理员的规划下使用这些资源，不能擅自更改。某些系统服务对网络产生影响，使用者应在安全管理员的指导下使用，禁止随意开启计算机中的系统服务，保证计算机网络畅通运行；

6、计算机使用者应保管好分配给自己的用户账号和密码。禁止随意向他人泄露、借用自己的账号和密码，严禁不以真实身份登录系统。计算机使用者应定期更改密码、使用复杂密码。不得猜测他人的密码，不得使用黑客程序进行密码破解，不得窃取系统管理员的密码；

7、上网时必须将杀毒软件的实时监测功能打开；

8、接到可疑邮件时不要随意打开，以免感染病毒；

9、禁止利用扫描、监听、伪装等工具对网络和服务器进行恶意攻击，禁止非法侵入他人网络和服务器系统，禁止利用计算机和网络干扰他人正常上课和工作的行为。