|
密级控制程序 （ISO27001-2013） 1、目的 为更好地管理客户（合作方）和本公司在服务、技术、经营等活动中产生的各类信息， 防止因不恰当使用或泄漏,使本公司蒙受经济损失或法律纠纷，特制定本管理规程。 本标准规定了信息密级划分、标注及处理控制目标和控制方式。 2、规范性引用文件 下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其 随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励各部 门研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于 本标准。 《GB/T22080-2008idtISO/IEC27001:2005信息技术-安全技术-信息安全管理体系要求》 《GB/T22081-2008idtISO/IEC27002:2005信息技术-安全技术-信息安全管理实施细则》 3、术语和定义 GB/T22080-2008idtISO/IEC27001:2005《信息技术-安全技术- 信息安全管理体系要求》和GB/T22081-2008idtISO/IEC27002:2005《信息技术-安全技术- 信息安全管理实施细则》规定的术语适用于本标准。 4、职责和权限 4.1XX部 XX部负责信息密级划分、标注及处理控制。 4.2各部门 各部门负责本部门使用或管理的信息密级划分、标注及处理控制。 5、活动描述 5.1密级的分类 信息的密级分为3类：企业秘密事项（秘密）、内部信息事项（受控）和公开事项。 信息分类定义： a)"秘密"：《中华人民共和国保守国家秘密法》中指定的秘密事项；或不可对外公开、若 泄露或被篡改会对本公司的日常经营造成严重损害，或者由于业务上的需要仅限有关人 员知道的事项；介质包括但不限于：纸类、电磁类及其它媒体（纸张、软盘、硬盘、光 盘、磁带、胶片）。 b)"受控"：不可对外公开、若泄露或被篡改会对本公司的日常经营造成损害，或者由于 业务上的需要仅限有关人员知道的事项；或是指为了日常的业务能顺利进行而向公司员 工公开、但不可向公司以外人员随意公开的事项。 c)"公开"：秘密事项以外，仅用来传递信息、昭示承诺或对外宣传所涉及的事项。 6、涉密、受控文件、资料的标识、制发的管理 6.1管理职责 企业秘密管理的最高责任者为公司执行总经理，各部门的管理责任者为本部门经理。全 体员工都负有遵守保密承诺、保守企业秘密的义务。 6.2企业秘密的指令 6.2.1"秘密"按《中华人民共和国保守国家秘密法》的有关规定执行。企业秘密事项由经营 管理机构指定，企业秘密及敏感信息事项由产生该事项的部门经理级以上（含副经理） 人员指定。指定秘密事项时，应参考附录1的示例，并充分考虑该事项的性质及重要程度 等因素。 6.2.2员工对自己编写的信息需判断是否为企业秘密及管理分类（秘密、受控）时，可随 时询问经理级以上领导。后者对前者的请求应及时给予明确的处理。无法判明时，可请 示更高一级领导。 6.2.3编写的文件一旦被指定为秘密、受控文件，则负责人应按本规定的要求对编写中和 编写后的无用稿件进行处置。 6.3秘密、受控文件的表示方法 由编写部门在文件封面标明"秘密"，受控文件，由编写部门在文件封面标明"受控"，颜 色无要求。 注:1)采用电磁等媒体记录的秘密、受控文件，应在其包装盒上明显的位置用标签标明秘 密、受控管理分类，使用的印章方法同上。 2)由XX部负责发行管理的技术关联规程/集中管理规格书等，除特别指定外均属受控文件 。XX部使用的图纸，不便于标明文件类型，其默认为受控文件印刷发行。 6.4送付部门和使用目的、范围的指定 6.4.1发送秘密文件时，制订者应根据文件内容指定接收部门和接收人。 6.4.2为了避免接收人因不清楚使用范围而泄密，可在附件中指明使用目的和使用范围。 若从文件标题和送付部门一览中能使接收者明确使用目的和范围，可省略上述指定。 6.5秘密文件的发放管理 6.5.1各部门在发放秘密文件前，应作好发行台帐登记。台帐的内容应包括：发行年月日 、标题、送付部门及份数、解除/变更年月日、回收/废弃年月日等。该管理台帐同秘密 文件一样保管。 6.5.2公司内发送的秘密文件，尽可能亲自交给接收人，或装入信封并标明"亲展"，封好 后作为公司内文件发送。非收件人不得随便拆阅该文件。 6.5.3发往公司以外的秘密文件，原则上双方应签署含有保密条款的合同并经部门经理以 上的批准后方可提供。特殊情况（无保密条款合同但又必需提供）需事先准备好保密协 议书，经部门经理以上批准并要求对方在接收时签收。 注:1)利用网络传送秘密文件时，应事先与接收人取得联系，并根据实际情况决定是否加 载压缩/解压缩密码。 2)利用FAX传送的秘密文件时，应事先与接收人联系，并以书面或口头的方
|