大学信息设备和存储设备保密管理办法.docx

XXXX大学信息设备和存储设备保密管理办法第一条为规范和加强学校信息设备和存储设备保密管理工作，确保国家秘密安全，根据中华人民共和国保守国家秘密法武器装备科研生产单位保密资格认定办法（国保发（2016）43号）XXXX大学保密工作管理规定（校党发（20XX）80号），按照军工保密二级资质要求，结合学校实际，制定本办法。第二条本办法中的信息设备和存储设备指日常工作和科研生产活动中配备和使用的各类产品。主要包括：（一）服务器、计算机包括服务器、操作终端、台式计算机、便携式计算机、工作站等。（二）网络设备包括交换机、路由器、网关等。（三）外部设施设备包括打印机、扫描仪、移动光驱、读卡器等。（四）存储介质包括计算机硬盘和固态存储器等。（五）办公自动化设备包括打字机、复印机、传真机、多功能一体机等，及其相关存储附件和耗材。（六）音像设备包括手机、照相机、摄像机、录音机（笔）等，及其相关附件和耗材。（七）安全保密产品包括单向导入、身份鉴别、访问控制工具等。第三条机构设置及职责分工：（一）信息化管理部门负责制定学校信息设备和存储设备保密管理细则、安全保密策略。（二）运行维护机构负责涉密信息设备和存储设备的新增、维修、外携、报废等审批。配备系统管理员，负责制定保密操作规程，指导二级单位开展信息设备和存储设备的日常维护。（三）保密工作机构负责对信息安全保密管理体系文件的合规性进行核实,并监督其落实情况以及对违规事件进行查处。（四）各级使用单位按照学校信息安全保密管理要求，负责本单位信息设备和存储设备的安全保密管理，以及日常运行维护。各级使用单位须指定具有相应资质人员作为涉密计算机安全保密管理员，并履行下列工作职责：1 .落实涉密计算机的安全保密策略要求；2 .负责涉密计算机软、硬件及相关安全保密产品的正确安装和使用；3 .负责配合系统管理员进行涉密计算机用户及其权限的分配、调整、申报并监督使用人正确使用；4 .负责涉密计算机及其外部设备的访问控制、调整、维修及报废申报；5 .负责涉密计算机操作系统、应用软件、病毒防护软件的定期升级；6 .负责或协助开展涉密计算机的日志分析、安全审计及风险评估；7 .负责各类信息设备（含涉密与非密）台账的清查及申报备案。第四条涉密信息设备和涉密存储设备管理基本要求:（一）禁止将涉密信息设备和涉密存储设备接入互联网及其他公共信息网络；（二）禁止在未采取保护措施的情况下，将涉密信息设备和涉密存储设备与互联网及其他公共信息网络之间进行信息交换；（三）禁止未经安全技术处理，将退出使用的涉密信息设备和涉密存储设备赠送、出售、丢弃或者改作其他用途;（四）禁止擅自卸载、修改涉密信息设备和涉密存储设备的安全技术程序、管理程序；（五）禁止擅自访问、下载、存储、传输知悉范围以外的国家秘密；（六）禁止修改、删除涉密计算机保密技术防护专用系统的监控程序报警回联地址；（七）禁止故意隐藏涉密信息设备和涉密存储设备，规避检查;（八）禁止擅自更换涉密计算机硬盘；（九）禁止擅自重装涉密计算机操作系统；第五条非涉密信息设备和非涉密存储设备管理基本要求：（一）禁止使用非涉密信息设备和非涉密存储设备存储、处理、传输国家秘密信息；（二）禁止连接涉密信息设备和涉密存储设备；（三）禁止在未采取保密措施的有线或无线通信中传递国家秘密。第六条涉密信息设备和涉密存储设备实行全生命周期管理，须遵守以下管理要求：（一）涉密信息设备和涉密存储设备的确定。1 .本校涉密信息设备和涉密存储设备的密级划分为秘密级和机密级。2 .涉密信息设备和涉密存储设备需明确责任人，并履行相关审批程序后方可投入涉密使用。3 .涉密信息设备和涉密存储设备禁止使用红外、蓝牙、无线网卡等无线模块。（二）涉密信息设备和涉密存储设备的使用。1 .涉密信息设备和涉密存储设备需建立全生命周期档案，档案应体现设备的所有审批、登记和使用记录。2 .使用单位应建立信息设备台帐，做到信息要素完整、账物相符，并定期上报。3 .应在涉密信息设备和涉密存储设备的显著位置粘贴学校统一的标识，标识包含使用部门、涉密编号、密级、责任人等。4 .涉密信息设备和存储设备中存储的涉密信息须有密级标识，禁止超越涉密等级存储、处理和传输涉密信息，禁止在低密级涉密信息设备上使用高密级存储设备。（三）涉密信息设备和涉密存储设备的变更。1.涉密信息设备和涉密存储设备的责任人、密级、存放地点、外部设备、用途等信息须履行相关审批程序后方可变更。5 .涉密信息设备和涉密存储设备的存储部件禁止降密使用。（四）涉密信息设备和涉密存储设备的维修。1.涉密信息设备和涉密存储设备维修应指定校内涉密计算机安全保密管理员自行维修，需外单位人员维修的，应与维修单位和维修人员签订保密协议，维修应在校内进行。6 .维修涉密信息设备应当履行审批手续、做好维修记录。（五）涉密信息设备和涉密存储设备的报废、销毁。涉密信息设备和存储设备不再使用的，应履行相关审批程序后进行报废，其存储部件应按照涉密载体销毁流程销毁。（六）非涉密人员原则上不能管理和使用涉密信息设备,单位内部非涉密人员在岗位工作中，确需少量接触、存储、处理涉密信息的，经过批准，可以配备、管理或使用秘密级信息设备，但年度内处理秘密级信息不得超过9份，同时须签署保密承诺书；（七）一般涉密人员原则上不能使用机密级涉密信息设备，单位内部一般涉密人员确需少量接触、存储、处理机密级涉密信息的，经过批准可以配备、管理或使用机密级信息设备，并且年度内处理机密级信息不得超过6份，同时须签署保密承诺书；（八）非涉密人员任何情况下均不得配备、管理和使用机密级及以上信息设备。第七条涉密计算机管理要求。（一）涉密计算机原则上专人专用，特殊情况需多人共用的须指定专人管理，控制每个用户的访问权限。（二）涉密计算机存储的各类涉密电子文件资料须按规定标明密级和保密期限。（三）涉密计算机应安装统一的强制管控防护系统，并按要求使用滤波隔离插座，与非涉密设备保持距离。（四）涉密计算机应按要求安装操作系统、应用系统补丁、定期更新病毒库并及时查杀。（五）涉密计算机软件白名单由学校统一制定，安装白名单以外的软件须履行审批程序。（六）涉密计算机应按要求设置三重密码，并按要求定期修改。（七）外来涉密信息导入涉密计算机，原则上只接受外来涉密光盘；外来涉密信息设备能接入三合一特种存储设备使用的，可直接通过三合一装置导入涉密计算机。接收外来涉密信息，应在使用登记册上详细登记外来涉密光盘编号或者三合一特种存储设备的序列号。（八）涉密计算机中信息的输入、输出应相对集中，并按照学校规定的流程进行审批、操作及记录。（九）涉密便携式计算机由运行维护部门统一管理，需明确是否专供外出携带，携带外出时应履行审批程序，带出前须检查；外出期间按照保密管理要求使用；带回时对相关记录进行检查核实；不使用时应当锁在密码文件柜内。（十）涉密计算机应定期（机密级一个月，秘密级三个月）根据审计日志数据和自查情况形成安全审计报告和风险自评估报告，对存在的风险及时采取补救措施。第八条涉密外部设备管理。（一）涉密外部设备按照处理、传输的最高密级确定设备密级；（二）涉密打印机、刻录机等输出设备输出资料应履行登记审批手续；（三）涉密扫描仪等信息输入设备可以通过绑定的计算机进行导入；（四）通过USB端口连接的所有涉密外部设备须登记序列号。第九条涉密办公自动化设备管理。（一）涉密办公自动化设备的存放和使用场所应当安全、相对固定，并指定责任人，按照保密要求进行管理和使用；（二）启用涉密办公自动化设备需履行相关审批程序，使用需逐次登记；第十条涉密存储设备管理。（一）涉密存储设备不使用时应存放在密码文件柜中；（二）禁止在低密级计算机上插接和使用高密级存储介质；禁止在低密级存储介质上存储高密级信息。第十一条本办法保密工作办公室负责解释。第十二条本办法自公布之日起施行，原有关规定同时废止。