关于印发《军工涉密业务咨询服务安全保密监督管理办法（试行）》的通知 科工安密〔2011〕356号

第一章　总　则
第一条 为了加强军工涉密业务咨询服务安全保密监督管理，确保国防科技工业国家秘密安全，维护国家安全和利益，根据《中华人民共和国保守国家秘密法》和国防科工局“三定”规定，制定本办法。
第二条 本办法所称军工涉密业务咨询服务是指，法人单位或者其他组织受军工企事业单位及民口配套单位（简称军工单位）委托，对军工涉密业务提供咨询、审计、法律、评估、评价、招标等服务。
第三条 国防科工局负责全国军工涉密业务咨询服务的安全(safe)保密监督管理。
省级国防科技工业管理部门负责本行政区域内军工涉密业务咨询服务的安全保密监督管理。
第四条 军工单位应当委托符合本办法规定条件的法人单位或者其他组织从事军工涉密业务咨询服务。
第五条 从事军工涉密业务咨询服务的法人单位或者其他组织（以下简称咨询服务单位），应当具备相应的安全保密条件，并严格遵守国家保密法律法规。
第二章　安全保密条件
第六条 咨询服务单位应当具备以下条件(tiáo jiàn)：
（一）基本条件。
1.中华人民共和国境内登记注册的法人单位或者其他组织；
2.无外商（含港澳台）投资；
3.有固定的办公场所，经营业绩良好；
4.法律、法规规定的其他要求。
（二）组织条件(tiáo jiàn)。
1.成立保密委员会或保密工作领导小组；
2.法定代表人或主要领导担任保密委员会主任或保密工作领导小组组长；
3.相关部门负责人为单位保密委员会或保密工作领导小组成员；
4.保密委员会或保密工作(job)领导小组有明确工作分工；
5.保密委员会或保密工作(job)领导小组实行例会制度，每年至少召开2次以上会议研究部署安全(safe)保密工作。ISO27001认证标准是为了与其他管理标准，比如ISO9000和ISO14001等相互兼容而设计的，这一标准中的编号系统和文件管理需求的设计初衷，就是为了提供良好的兼容性，使得组织可以建立起这样一套管理体系：能够在最大程度上融入这个组织正在使用的其他任何管理体系。
（三）机构条件。
1.涉密人员100人(含)以上的，要有专门独立机构管理安全保密工作，编制2-3人；
2.涉密人员50人(含)以上,100人以下的，要明确一个部门管理安全保密工作，设1名专职安全保密管理人员；
3.涉密人员50人以下的，要明确一个部门管理安全保密工作(job)，配1名兼职安全保密管理人员。
（四）制度条件。
1.基本制度，主要包括：保密教育、涉密人员管理、涉密专家管理、涉密载体管理、涉密场所管理、涉密会议管理、涉密计算机和信息系统(system)管理、通信和办公自动化设备管理、保密监督检查等内容；
2.承担绝密级、机密级项目咨询服务的，应当制定专项保密管理制度。
（五）人员（包括外聘专家）条件。
1.具有中华人民共和国国籍，无其他国家或地区的永久或长期居留权，在中华人民共和国境内居住，与境外人员无婚姻关系；
2.具有良好的政治素质和品行；
3.掌握安全保密基本知识和技能；
4.参加安全保密教育培训，年度累计不少于15学时;
5.法律、法规规定的其他要求。
（六）场所条件。
1.具有专门处理涉密事项和存储涉密载体的场所；
2.涉密场所应当门窗坚固，建立电子门禁、视频监控、入侵报警等技术防范（解释:防备、戒备)系统(system)。
（七）设备保障(assure)条件。
1.配备专门用于处理国家秘密信息的计算（calculate ）机（便携式计算机）、存储介质和办公自动化设备；
2.配备专门存放涉密载体的保密柜；
3.有绝密级载体的，应当配备密码保险柜(特点:安全、使用方便)；
4.配备必要的保密技术检查工具；
5.日常保密工作(job)经费（funds)有保障并列入年度预算。
第七条 军工单位选择咨询服务单位，应当对其安全(safe)保密条件进行审查，符合条件的，方可委托军工涉密业务咨询服务。
第八条 咨询服务单位应当向所在地省级国防科技工业管理部门提出安全(safe)保密条件备案申请，经审查符合条件的，报国防科工局列入《军工涉密业务咨询服务单位备案名录》。
第三章　安全保密管理措施（指针对问题的解决办法)
第九条 军工单位委托涉密业务应当与咨询服务单位签订委托协议和安全保密协议，明确安全保密要求。
第十条 对咨询服务单位的安全保密管理措施：
（一）涉密人员管理。
从事军工涉密业务咨询服务的人员（包括外聘专家）应当按照有关规定进行安全保密审查，与单位签订安全保密责任书，明确安全保密责任和义务。离开涉密业务咨询服务岗位，应当清退涉密载体，实行脱密期管理。
（二）涉密载体管理。
涉密载体应当按照有关规定标明密级和保密期限，建立台账，集中统一管理；制作、收发、传递、使用、复制、保存、维修和销毁涉密载体（含纸介质、磁介质等），应当严格按照国家保密管理规定，履行签收、登记、审批等手续；对接触或知悉绝密级国家秘密的人员应当作出文字记载。
（三）项目管理。
绝密级或机密级军工项目，应当明确一名领导负责保密管理工作，并严格控制知悉范围。
（四）涉密计算机管理。
涉密计算（calculate ）机及其移动存储介质应当集中管理，并建立台账；涉密计算机和信息系统应当与国际互联网和其它公共信息网物理隔离；涉密计算机不得安装任何无线通信设备;涉密信息系统投入使用(use)前必须经过国家保密部门系统测评和审批；非涉密计算机和信息系统不得存储和处理涉密信息；涉密信息远程传输应当按照国家保密部门要求采取密码保护措施；涉密计算机和信息系统内使用的移动存储介质应当采取绑定或有效的技术控制措施，信息导入和导出应当符合国家有关保密要求；存储、处理国家秘密的计算机和信息系统应当按照有关法律法规及标准进行技术防护。ISO27001认证标准是为了与其他管理标准，比如ISO9000和ISO14001等相互兼容而设计的，这一标准中的编号系统和文件管理需求的设计初衷，就是为了提供良好的兼容性，使得组织可以建立起这样一套管理体系：能够在最大程度上融入这个组织正在使用的其他任何管理体系。
（五）涉密通信和办公自动化设备(shèbèi)管理。
涉密办公自动化设备(shèbèi)不得连接互联网或其它公共信息网；不得使用具有无线互联功能的办公自动化设备处理涉密信息；不得使用普通通信设备传递（transmission)涉密信息；不得使用普通电话(手机)谈论涉密事项；不得在涉密场所使用无绳电话。
（六）外协管理。
外协涉密业务应当选择符合本办法规定的单位，并与对方签订安全保密协议。
第四章　监督检查
第十一条　国防科技工业管理部门应当定期对军工单位和咨询服务单位的安全(safe)保密工作情况进行监督检查，指导督促安全保密管理措施落实。
第十二条　军工单位应当按照本办法和安全保密协议的规定，督促咨询服务单位做好安全保密工作(job)。
第十三条　咨询(consultation)服务单位应当按照本办法的规定，自觉做好军工涉密业务的安全(safe)保密工作，并于每年12月底前向所在地省级国防科技工业管理部门报送安全保密年度自查报告。
第十四条　咨询服务单位有下列情形之一的，应当自发生变化之日起10个工作日内向所在地省级国防科技工业管理部门报告，省级国防科技工业管理部门收到报告之日起10个工作日内向国防科工局报告，国防科工局视情做出相应处理：
（一）单位法定代表人或主要负责人、注册地址、资本构成发生重大变化的；
（二）不再继续从事军工涉密业务咨询服务的；
（三）被收购重组的；
（四）不符合安全保密条件的。
第五章　责任追究
第十五条 军工单位违反本办法，委托不符合安全保密条件的咨询服务单位从事军工涉密业务咨询服务的，国防科工局将在系统内通报批评，并建议追究相关人员的责任。
第十六条　咨询服务单位违反国家保密法律(law)法规和本办法规定，泄露国家秘密的，国防科工局将视情节轻重建议有关部门进行责任追究。
第十七条　咨询服务单位在申请备案过程中，隐瞒重要情况或提供虚假材料的，1年内不予受理备案申请。
第十八条　咨询服务单位有下列情形之一的，国防科工局将其撤出备案：
（一）以欺骗、贿赂等不正当手段通过条件审查的；
（二）存在重大泄密隐患，经警告逾期（即超过规定的期限)不改的；
（三）严重违反保密规定，发生泄密事件的；
（四）有非法获取、持有国家秘密行为以及其他严重违法行为的。
被撤出备案的，自撤出之日起1年内不再予以备案。同时，军工单位应当解除委托咨询服务协议。
第十九条　国防科技工业管理部门安全(safe)保密监督管理人员有渎职、失职情形的，依照有关法律法规，严肃处理。
第六章　附则
第二十条　本办法自2011年10月1日起施行。ISO27001认证标准是为了与其他管理标准，比如ISO9000和ISO14001等相互兼容而设计的，这一标准中的编号系统和文件管理需求的设计初衷，就是为了提供良好的兼容性，使得组织可以建立起这样一套管理体系：能够在最大程度上融入这个组织正在使用的其他任何管理体系。