新保密法详解读--保密管理（二）

2024-12-06 14:08:00

贯彻落实保密法

你我都是保密人

【新法解读】保密管理（二）

第二十九条：国家秘密信息保密管理的禁止性行为

第三十条：涉密信息系统保密管理

第三十一条：信息系统、信息设备保密管理责任和禁止性行为

保密管理（二）

第二十九条：国家秘密信息保密管理的禁止性行为

禁止非法复制、记录、存储国家秘密。

禁止未按照国家保密规定和标准采取有效保密措施，在互联网及其他公共信息网络或者有线和无线通信中传递国家秘密。

禁止在私人交往和通信中涉及国家秘密。

新法解读

关于国家秘密信息保密管理的禁止性行为的规定

第一款“非法复制、记录、存储国家秘密”,主要包括：未经批准，擅自复制、摘抄涉密文件、资料；擅自对涉密谈话、会议和活动等内容进行文字记载或者录音、录像；私自留存、存储国家秘密信息或者国家秘密载体。

第二款规定禁止未按照国家保密规定和标准采取有效保密措施，在互联网及其他公共信息网络或者有线和无线通信中传递国家秘密。未按照国家保密规定和标准采取有效保密措施的情况下，互联网及其他公共信息网络或者其他有线和无线通信手段因无法确保信息传递的安全，不能用来传递国家秘密。

第三款对私人交往和通信涉密作出禁止性规定。在私人交往、通信中涉及国家秘密，会导致国家秘密知悉范围的扩大，造成国家秘密失控，必须严格禁止。

第三十条：涉密信息系统保密管理

存储、处理国家秘密的计算机信息系统(以下简称涉密信息系统)按照涉密程度实行分级保护。

涉密信息系统应当按照国家保密规定和标准规划、建设、运行、维护，并配备保密设施、设备。保密设施、设备应当与涉密信息系统同步规划、同步建设、同步运行。

涉密信息系统应当按照规定，经检查合格后，方可投入使用，并定期开展风险评估。

新法解读

关于涉密信息系统保密管理的规定

第一款确立涉密信息系统分级保护原则。“涉密信息系统”,是指由计算机及其相关和配套设施、设备构成的，按照一定应用目

标和规则生产、存储、处理、传输、使用国家秘密的系统或者网络。相对于公共信息系统，涉密信息系统具有3个方面的特点：一是信息内容不同。二是设施、设备标准不同。三是检测审查要求不同。

“涉密程度”,是指涉密信息系统的密级，是确定系统安全保密防护级别的依据。涉密信息系统按照系统规划设计处理信息的最高密级，分为绝密、机密、秘密3个级别，并按照不同强度的防护要求进行保护。

“分级保护”,是指涉密信息系统的建设使用单位依据分级保护管理办法和国家保密标准，对不同级别的涉密信息系统采取相应的安全保密防护措施，确保既不“过防护”,也不“欠防护”。

第二款规定涉密信息系统全生命周期管理过程和设施、设备配备要求。一是涉密信息系统要加强从规划、建设、运行、维护，到系统废止的全生命周期管理，特别是针对涉密信息系统运行维护委托服务方面，建设使用单位要压实主体责任，遵循权责清晰、规范有序、确保安全原则，加强涉密信息系统运行维护委托管理，确保涉密信息系统运行稳定和安全保密。二是涉密信息系统必须配备符合国家保密规定和标准的设施、设备，并与整个系统同步规划、同步建设、同步运行。在方案设计、工程实施、系统运行等阶段，应当保证保密设施、设备建设与系统建设过程同步，以实现安全保密防护措施与系统应用的有机结合，避免“带病运行”。

第三款规定涉密信息系统投入使用和定期风险评估要求。一是明确了涉密信息系统投入使用要求。根据涉密信息系统分级保护相关规定和标准要求，涉密信息系统投入使用前，必须经过测评和审查。系统建设完成后，应通过国家保密行政管理部门设立或者授权的测评机构的安全保密测评，经具有相应审查权限的保密行政管理部门审查合格后方可投入使用。二是涉密信息系统应当定期开展风险评估。根据涉密信息系统分级保护相关规定和标准要求，涉密信息系统投入使用后，建设使用单位应当定期开展安全保密检查和风险自评估，通过国家保密行政管理部门设立或者授权的测评机构的安全保密风险评估，绝密级信息系统每年至少进行一次，机密级和秘密级信息系统每两年至少进行一次。当涉密信息系统发生重大变化时，建设使用单位应当及时向负责审查该涉密信息系统的保密行政管理部门报告，采取相应的保密措施。

第三十一条：信息系统、信息设备保密管理责任和禁止性行为

机关、单位应当加强对信息系统、信息设备的保密管理，建设保密自监管设施，及时发现并处置安全保密风险隐患。任何组织和个人不得有下列行为：

(一)未按照国家保密规定和标准采取有效保密措施，将涉密信息系统、涉密信息设备接入互联网及其他公共信息网络；

(二)未按照国家保密规定和标准采取有效保密措施，在涉密信息系统、涉密信息设备与互联网及其他公共信息网络之间进行信息交换；

(三)使用非涉密信息系统、非涉密信息设备存储或者处理国家秘密；

(四)擅自卸载、修改涉密信息系统的安全技术程序、管理程序；

(五)将未经安全技术处理的退出使用的涉密信息设备赠送、出售、丢弃或者改作其他用途；

(六)其他违反信息系统、信息设备保密规定的行为。

新法解读

关于信息系统、信息设备保密管理责任和禁止性行为的规定

全面加强信息系统和信息设备保密管理，是确保信息化条件下国家秘密安全的重要保障。机关、单位应当切实履行信息系统、信息设备保密管理职责，确保国家秘密信息安全。“信息设备”,是指计算机及存储介质、打印机、传真机、复印机、扫描仪、照相机、摄像机等具有信息存储、传输和处理功能的设备。“安全技术程序、管理程序”,是指为确保涉密信息系统的运行安全、信息安全而安装在涉密信息系统中，对系统进行安全保密防护的应用程序。安全技术程序主要包括身份鉴别程序、访问控制程序、主机监控程序、防病毒程序等。安全管理程序主要包括权限管理程序、审计管理程序、安全策略管理程序等。“安全技术处理”,是指为保证国家秘密信息安全，对退出使用的涉密信息设备所采取的符合国家保密标准要求的技术处理措施，包括对涉密信息设备进行销毁或者信息消除等。

“建设保密自监管设施，及时发现并处置安全保密风险隐患”,要求机关、单位落实保密自监管主体责任，具体包括：机关、单位应建设保密自监管设施，及时发现和处置信息系统运行和管理中存在的安全保密风险和窃密泄密事件，并向同级保密行政管理部门或上级主管部门报告事件及处置情况。保密行政管理部门应督促和指导本级机关、单位开展保密自监管工作。

针对信息系统和信息设备使用过程中存在的安全保密问题，本条明确列举违反信息系统和信息设备使用保密管理规定的行为。这一规定对有效防范和遏制信息化条件下的窃密泄密事件发生具有重要作用。

第一项，未按照国家保密规定和标准采取有效保密措施的情况下，将涉密信息系统、涉密信息设备接入互联网及其他公共信息网络，将导致国家秘密信息处于不可控状态，直接危害国家秘密安全。

第二项，未按照国家保密规定和标准采取有效保密措施的情况下，在涉密信息系统、涉密信息设备与互联网及其他公共信息网络之间进行信息交换，容易被植入“木马”等窃密程序，导致国家秘密被窃取。

第三项，使用非涉密信息系统、非涉密信息设备存储或者处理国家秘密，将使国家秘密失去有效控制和保护，一旦非涉密信息系统、非涉密信息设备连接互联网，极易造成泄密。

第四项，擅自卸载、修改涉密信息系统的安全技术程序、管理程序，可能造成涉密信息系统技术防护措施部分或全部失效，导致技术防护和管控能力下降或丧失，大大增加泄密风险。

第五项，将未经安全技术处理的退出使用的涉密信息设备赠送、出售、丢弃或者改作其他用途，其中存储的国家秘密信息即使删除仍可通过技术手段恢复，存在严重泄密隐患。因此，涉密信息设备改作非涉密信息设备使用或者淘汰处理时，应当将国家秘密信息存储部件拆除。

通过列举形式明确信息系统和信息设备保密管理的禁止性行为，无法涵盖所有违法行为。因此，第六项规定了任何组织和个人不得有其他违反信息系统和信息设备保密规定的行为。

本期编辑：郭小欢

扫描下方二维码，获取更多信息

成都市保密协会CDCA2019

中华人民共和国密码法

新保密法详解读--保密管理（一）

: 下一篇

理论研究

中华人民共和国密码法

新保密法详解读--保密管理（二）

新保密法详解读--保密管理（一）

新保密法详解读--定密（二）

新保密法详解读--定密（一）

新保密法详解读--国家秘密（四）

成都市保密协会