操作指引

1、涉密载体的管理

1.　涉密文件资料
1.1　应有密级、保护期限等标识，实行登记管理、归档存放。
1.2　按权限使用，查阅、借阅、续借应履行登记手续。
1.3　复制（复印、打印、扫描、摘抄等）、跨区域转移、向第三方披露或提供第三人使用前应履行审批和登记手续，复印件或复制件与原件的密级、保密期限相同。
1.4　新闻发布、论文发表、专利申请等信息发布和公开前，由商业秘密保护专门机构对信息进行审核。
2.　涉密电子信息
2.1　存储
2.1.1　涉密数据应存储于企业授权的存储设备和应用系统或云存储空间。核心秘密、重要秘密等级的数据应采用加密方式存储，并定期备份后妥善保存。
2.1.2　涉密电子信息物理载体的采购、维护应进行归档登记，并选用安全稳定、运转正常的电脑、手机、硬盘等存储介质。存储介质送外维修前应经商业秘密保护部门审批，并使用专业工具擦除介质中的数据。
2.1.3　涉密电子信息存储系统应定期进行安全检查，发现系统漏洞及时修补。宜安装防恶意代码软件，并及时更新软件版本和恶意代码库。
2.1.4　涉密电子信息使用云储存时，企业应严格考察其保密性、安全性、稳定性，并对使用权限、网络服务配置要求、专用设备要求、使用记录监察要求等事项与平台运营商作出明确约定。
2.2　权限
2.2.1　应对设备、数据库和各类应用系统及其账户实行权限管理，按岗位职责或特定工作事项按“最小够用”原则设定权限：
a)    合理分配不同层级账户的功能和审批权限；
b)    合理分配项目中不同账户的功能和使用期限；
c)    合理设定不同账户的访问、操作、查看等权限及其使用期限；
d)    合理设定不同账户的互联网使用权限等。
2.2.2　权限到期、人员转岗、项目或事项变更时应重新授权。
2.2.3　人员离职时应回收相应权限。
2.3　口令
2.3.1　各类设备、数据库和应用系统应设账户和密码，不应使用默认密码或保存密码自动登陆。
2.3.2　根据企业的业务类型，采取适当的账户、密码管理方式，如：
a)    限制使用简单密码；
b)    必要时不定期更改密码；
c)    输错密码一定次数锁定账户。
2.3.3　宜对所有涉密账号和密码实行统一登记、备案、发放和变更管理。
2.4　流转
2.4.1　收发涉密数据应使用唯一出入口，对涉密数据流入流出进行审批。
2.4.2　必要时，应使内部局域网与互联网隔离，涉密数据网络传递应通过内部局域网或加密互联网通道完成。
2.4.3　通过邮件发送涉密数据时，应加密和签名，可限定文档打开次数、打开时限和编辑权限等。
2.4.4　对外发送涉密数据应经过审批，并采取加密措施，数据发送与密钥发送不宜采用同一通道。
2.4.5　应与客户、合作单位等涉密数据接收单位或个人签订保密协议。
2.4.6　应对涉密数据拷贝采取限制措施，经审核批准后方可拷贝，妥善保存拷贝记录。

建议单位用户应按上述建议对单位的涉密载体进行管理，并对相关的管理措施和员工的接触进行拍照、录像并上传到本平台存证。

2、涉密区域的管理

2.1涉密重点区域应予明确划定标示，包括但不限于：
a)    研发设计、信息管理、财务、人力资源部门核心区域；
b)    实验室、重要生产工作场所；
c)    控制中心、服务器机房等；
d)    涉密档案、涉密载体存放地点；
e)    未公开的样品存放地点；
f)     模具、专用夹具、重要零部件等的存放区；
g)    重要原材料、重要半成品等涉密物资存放区等。
2.2　涉密重点区域实行进出登记和保密告知，应采取以下保护措施：
a)    涉密区域进入需经过授权，设有门禁隔离设施，宜采用指纹、脸部、瞳孔等技术手段验证身份；
b)    进出口处应安装视频监控设施和报警装置；
c)    限制使用具有录音、摄像、拍照、信息存储等功能的设备；
d)    必要时采取网络隔离阻断等。
2.3　涉密区域应限制非相关人员进入，确因工作需要进入的应履行审批手续并全程监督。
2.4　来访人员访问涉密区域应经审批，履行进出登记，佩戴临时证件。来访人员进入涉密区域，受访部门可设定参观路线，安排人员陪同，限制来访人员使用具有录音、摄像、拍照、信息存储等功能的设备。

建议单位用户应按上述建议对单位的涉密区域进行管理，并对相关的管理措施进行拍照、录像并上传到本平台存证。