中央企业商业秘密安全保护技术指引2015版.doc
《中央企业商业秘密安全保护技术指引2015版.doc》由会员分享，可在线阅读，更多相关《中央企业商业秘密安全保护技术指引2015版.doc（24页珍藏版）》请在冰豆网上搜索。
中央企业商业秘密安全保护
技术指引
国资委保密委员会
2015年4月
目录
引言 1
中央企业商业秘密安全保护技术指引 2
1范围 2
2规范性引用文件 2
3术语和定义 2
3.1商业秘密commercialsecret 2
3.2信息系统informationsystem 2
3.3商业秘密信息系统commercialsecretinformationsystem 2
3.4商业秘密终端commercialterminal 3
3.5安全域securitydomain 3
3.6密级标识classificationlabel 3
3.7存储介质storagemedium 3
4商业秘密安全保护概述 3
4.1商业秘密的保护范围 3
4.2指引实施的目标 3
4.3指引实施的原则 3
4.3.1分级分域管理原则 4
4.3.2全生命周期管理原则 4
4.3.3整体规划和分步实施原则 4
4.4商业秘密安全保护的基本要求 4
4.4.1定密与密级标识 4
4.4.2商业秘密数据分类保护 4
4.4.3商业秘密数据分级安全保护 4
4.4.4商业秘密数据分域安全保护 5
4.4.5安全保密产品选择 5
5商业秘密全生命周期数据安全保护 5
5.1商业秘密全生命周期阶段划分 5
5.1.1商业秘密形成阶段 5
5.1.2商业秘密流转与应用阶段 5
5.1.3商业秘密存储阶段 5
5.1.4商业秘密脱密及销毁阶段 6
5.2非结构化商业秘密数据安全保护 6
5.2.1形成阶段数据安全 6
5.2.2流转与应用阶段数据安全 6
5.2.3存储阶段数据安全 8
5.2.4脱密及销毁阶段数据安全 9
5.3结构化商业秘密数据安全保护 9
6商业秘密信息系统安全保护 10
6.1物理安全 10
6.2网络安全 11
6.2.1网络边界安全防护 11
6.2.2网络区域防护 11
6.3服务器与应用安全 12
6.3.1身份鉴别 12
6.3.2权限管理 13
6.3.3安全防护 13
6.3.4安全审计 14
6.3.5资源控制 14
6.3.6备份与恢复 14
6.4终端安全 14
6.4.1终端准入控制 14
6.4.2终端安全管理 15
6.4.3运行安全管理 16
6.5移动存储介质安全 17
6.5.1介质标记 17
6.5.2介质使用 17
6.5.3介质审计 17
6.6打印和刻录安全 17
6.6.1打印控制 17
6.6.2刻录控制 18
7商业秘密安全保护监测与审计 18
7.1商业秘密安全保护监测 18
7.2商业秘密安全保护审计 19
7.2.1审计范围 19
7.2.2安全审计记录内容 19
7.2.3审计记录的存储 19
7.2.4审计记录的查阅 20
7.2.5审计记录的保护 20
8管理保障 20
8.1管理制度 20
8.2职责分工 20
8.3人员管理 21
21
引言
中央企业商业秘密是中央企业的重要无形资产，是企业的核心竞争力所在，因此,加强商业秘密保护是有效维护中央企业自身权益，确保国有资产保值增值的必要前提和重要途径。
2010年3月25日，国务院国有资产监督管理委员会公布施行《中央企业商业秘密保护暂行规定》（以下简称《暂行规定》），明确规定中央企业商业秘密保护的机构、职责和措施，要求企业建立法定代表人负责制。
随着信息化时代的来临，中央企业商业秘密主要存在于信息系统中，因此企业的生产经营极度依赖于信息系统的安全，一旦信息系统内的商业秘密保护不当，导致企业的经营信息、技术信息等商业秘密泄密或被窃取，将给企业生产经营带来重大风险与隐患，因此，为了提高中央企业商业秘密的安全防护水平，须重点保护承载有商业秘密的信息系统安全。
2012年5月14日，国资委公布施行第一版《中央企业商业秘密信息系统安全技术指引》（以下简称《指引》），提出了“突出重点，分步实施”的原则，要求各中央企业对集团层面的承载有商业秘密的信息系统在1-3年内部署完成有关安全保密措施，并结合本单位实际，利用3-5年的时间，在本企业系统内分步部署完成相关安全保密措施。
根据当前信息安全形势的发展及数据安全技术的发展进步，结合第一、二批部分试点单位建设中的经验，对《指引》进行修订形成本指引，修订版在原有基础上，结合商业秘密的形成、流转、存储、脱密以及销毁等阶段，着重强调了商业秘密数据全生命周期安全保护理念，提出了针对不同阶段数据的安全保护标准，突出了商业秘密自身的安全保护，并将《指引》中的技术要求与现有的国家有关标准体系进行了有效衔接。
中央企业在开展信息系统中的商业秘密保护时，应本着“讲求效益、遵循标准、突出重点、便于操作”的建设原则，以“保数据、保核心、保安全”为目标，按照本指引有关内容，切实加强各类信息系统内商业秘密安全保护水平，最终实现“进不来、拿不走、打不开、赖不掉”的商业秘密安全保护目标。
中央企业应根据本指引，结合实际，对承载于各类信息系统中的商业秘密安全防护体系进行建设或完善。
本指引可与国家其他相关标准结合使用。
本指引由国务院国资委保密委员会制定并负责解释。
中央企业商业秘密安全保护技术指引
1 范围
本指引规定了中央企业商业秘密的等级划分准则，对商业秘密全生命周期进行了阶段划分，并对不同阶段中商业秘密的保护提出了具体的安全防护措施。
本指引适用于中央企业商业秘密保护的安全建设和管理，中央企业中所有信息系统中的商业秘密的安全保护须符合本指引。
2 规范性引用文件
·《中央企业商业秘密保护暂行规定》（国资保密﹝2010﹞41号）
·《中央企业商业秘密信息系统安全技术指引》（国资保密〔2012〕003号）
·《信息系统安全等级保护基本要求》GB/T22239—2008
·《信息系统安全等级保护实施指南》GB/T25058—2010
·《涉及国家秘密的信息系统分级保护技术要求》BMB17-2006
3 术语和定义
3.1 商业秘密commercialsecret
是指不为公众所知悉、具有实用性、能为企业带来经济利益，并且需要采取保密措施进行安全保护的经营信息和技术信息。
3.2 信息系统informationsystem
信息系统是由计算机硬件、网络和通讯设备、计算机软件、信息资源、信息用户和规章制度组成的以处理信息流为目的的人机一体化系统。
3.3 商业秘密信息系统commercialsecretinformationsystem
指处理商业秘密的信息系统。
3.4 商业秘密终端commercialterminal
是指处理涉及商业秘密但不涉及国家秘密的计算机终端设备，以下简称终端。
3.5 安全域securitydomain
安全域是由一组具有相同安全保护需求、并相互信任的信息系统组成的逻辑区域。
3.6 密级标识classificationlabel
用于标明商业秘密等级的数字化信息。
3.7 存储介质storagemedium
存储介质是指存储数据的载体,如光盘、DVD、硬盘、U盘、SD卡、纸质等。
4 商业秘密安全保护概述
4.1 商业秘密的保护范围
依据《暂行规定》，商业秘密的保护范围主要包括：
战略规划、管理方法、商业模式、改制上市、并购重组、产权交易、财务信息、投融资决策、产购销策略、资源储备、客户信息、招投标事项等经营信息；设计、程序、产品配方、制作工艺、制作方法、技术诀窍等技术信息。
各中央企业需根据《暂行规定》的要求，并结合企业实际情况，明确本企业商业秘密的具体范围。
具体范围应包括商业秘密事项、密级、保密期限、责任部门等。
中央企业商业秘密的密级，根据信息泄露会使企业利益遭受损害的程度，确定为普通商业秘密、核心商业秘密两级，密级标注统一为“普通商密”、“核心商密”，并根据不同密级实行不同的保护要求。
本指引中未特别说明之处均指对“普通商密”的保护要求，对“普通商密”的保护要求为一般性安全防护等级的技术要求；对“核心商密”的保护要求为高安全防护等级的技术要求，是在“普通商密”保护要求的基础之上进行针对性加强的保护要求。
4.2 指引实施的目标
通过全面实施本技术指引，对中央企业商业秘密保护工作进行规范和指导，促进中央企业加强商业秘密安全技术保护建设，实现中央企业对商业秘密保护能力的动态管理，从而提升中央企业的商业秘密防护水平。
4.3 指引实施的原则
4.3.1 分级分域管理原则
本指引针对普通商密和核心商密两个级别的商业秘密数据采用不同的技术要求。
根据信息系统网络平台和业务功能的不同，应明确划分商业秘密信息系统的安全域，对于存在非商密、普通商密和核心商密的安全域应按照高级别安全域进行标识。
安全域之间应有明确清晰的边界。
4.3.2 全生命周期管理原则
商业秘密数据应从全生命周期角度进行全程全域的安全保护，做到事前防范、事中控制和事后追溯相结合，以有效保护商业秘密全生命周期的安全，避免商业秘密外泄，给企业带来重大损失。
4.3.3 整体规划和分步实施原则
商业秘密的安全保护建设应进行整体规划和顶层设计。
新建信息系统时，应同步规划、同步设计、同步建设相应的商业秘密安全保护措施；已建的信息系统，根据企业的实际情况，可通过分步实施的途径逐步实施。
4.4 商业秘密安全保护的基本要求
4.4.1 定密与密级标识
企业应根据自身商业秘密数据安全管理的实际情况，建立商业秘密定密管理规范和定密流程，确定责任人、审核人、承办人，并授予其相应定密权限，确定单位的定密依据、定密细目等。
信息系统中的商业秘密应根据定密结果设定相应的密级标识，密级标注统一为“核心商密”、“普通商密”。
4.4.2 商业秘密数据分类保护
商业秘密数据分为结构化商密数据和非结构化商密数据两个类别。
非结构化商密数据应综合运用身份鉴别、数据加密、细粒度访问控制以及安全审计等多种技术进行全程全域的安全保护，以确保商业秘密数据全生命周期的安全；结构化商密数据应综合运用身份鉴别、细粒度访问控制以及安全审计等多种技术进行全程全域的安全保护，结构化商密数据在导出时应采用加密等技术确保使用过程中的安全。
4.4.3 商业秘密数据分级安全保护
商业秘密分为普通商密和核心商密两个密级，商业秘密数据的安全保护应根据自身密级遵循相应的安全防护等级进行防护。
即普通商密数据遵循普通商密安全等级进行防护，核心商密数据遵循核心商密安全等级进行防护。
同一信息系统中，存在不同密级的商业秘密数据需要保护时，须遵循核心商密安全防护等级进行防护。
4.4.4 商业秘密数据分域安全保护
商业秘密信息系统应明确划分安全域进行安全防护，安全域的安全防护须遵循域中最高密级的商业秘密数据的安全防护等级进行防护。
不同安全域之间应划分明确的边界，安全域与安全域之间的所有数据通信应安全可控。
对于不同等级的安全域之间的通信，应采取访问控制措施禁止高密级信息由高等级安全域流向低等级安全域。
处理商业秘密数据的安全域应采取适当的隔离或密码保护等措施才能接入国际互联网。
既处理商密数据又处理非商密数据的同一终端，应综合采用加密等多种技术手段确保终端上所承载的商密数据的安全。
4.4.5 安全保密产品选择
商业秘密信息系统中使用的安全保密产品原则上应选用国产产品。
所选用的安全保密产品应通过国家相关主管部门授权的测评机构的检测。
5 商业秘密全生命周期数据安全保护
5.1 商业秘密全生命周期阶段划分
5.1.1 商业秘密形成阶段
商业秘密形成阶段主要分为非结构化商密数据形成阶段和结构化商密数据形成阶段。
结构化商密数据形成阶段为录入商密数据并保存到数据库的阶段；非结构化商密数据形成阶段主要包括文件的起草、定密、审核及签发等。
5.1.2 商业秘密流转与应用阶段
商业秘密流转与应用阶段主要分为结构化商密数据流转与应用阶段与非结构化商密数据流转与应用阶段。
结构化商密数据流转与应用阶段为数据库表单数据的存取和利用；非结构化商密数据流转与应用阶段包括商密数据内部网络应用与外部网络传输阶段。
5.1.3 商业秘密存储阶段
商业秘密存储阶段主要包括终端存储、服务器存储以及非信息系统存储。
5.1.4 商业秘密脱密及销毁阶段
商业秘密脱密及销毁阶段主要包括信息系统中处理商密数据的设备、存储介质以及商密数据本身等进行脱密或销毁。
5.2 非结构化商业秘密数据安全保护
5.2.1 形成阶段数据安全
本阶段主要以密级标识的设定与管理为核心，在商业秘密安全保护过程中，定密是商业秘密保护的首要环节，同时也是为商业秘密在信息系统中的保护提供依据。
a）应采取统一定密、统一变更等措施管理密级标识；
b）应对服务器、应用系统、数据库中的商密数据及载体等设置并管理密级标识；
c）密级标识应与商密数据主体不可分离，其自身不可篡改；
d）密级标识应由权属（单位规范简称或者标识等）、密级、保密期限三部分组成；
e）商业秘密的密级、保密期限变更后，应在原标明位置的附近作出新标志，原标志以明显方式废除；
f）应对终端上创建的商密数据及其使用过程中产生的数据采取加密等技术进行保护；
g）应对商业秘密的知悉范围和访问权限进行细粒度的控制；
h）应对商密数据在形成阶段的操作行为进行安全审计,并形成安全审计统计分析报告；
核心商密保护还应符合：
i）核心商业秘密发生密级变更须经过流程审批并可追溯。
5.2.2 流转与应用阶段数据安全
本阶段主要以商密数据安全管控为核心，通过加强数据管控，为商业秘密在不同流转与应用阶段的安全保护提供强有力的保障。
5.2.2.1 流转过程控制
a）商密数据在非内部网络传输时，应采取商用密码加密等技术措施进行保护，防止传输的信息被窃取；
b）应采取数字签名、时间戳等技术防止参与通信的双方或一方对自己行为以及所做的操作（如文件创建、信息发送、信息接收以及批示）进行部分或全部的否认；
c）运行商业秘密信息系统的网络中，未经授权不得使用带有网络嗅探功能（包括抓包、监听、数据包回放分析等）的工具或设备；
d）应通过黑/白名单等方式管理电子邮件的收发，并对邮件的相关信息进行审计；
e）应通过黑/白名单等方式管理网页访问及FTP、P2P、即时通信等软件的使用；
核心商密保护还应符合：
f）禁止租用第三方服务商提供的网络应用服务传输核心商密数据，包括外部邮件服务、外部基于云计算技术的服务、即时通信服务等；
g）使用无线网络传输包含核心商密数据时，须对传输中的数据采用动态加密技术手段；
h）核心商密数据如需通过内部网络传输时，须采用加密的VPN或其他技术手段，防止数据被截获后被解密或被破解；
i）应能够检测到核心商密数据在传输过程中完整性，并采取必要的恢复措施。
5.2.2.2 应用控制
a）应根据企业自身实际情况对不同类别的商密数据设置相应权限。
如：
财务数据，只允许财务部具有编辑权限；董事长、总经理和相关人员具有阅读权限；其他人员没有阅读或编辑的权限；
b）应对商密数据的应用操作行为进行审计，对违规操作行为进行报警，审计的记录至少保存半年；
c）对商密数据的管理和控制，须以不影响员工正常的编辑阅读、数据处理、数据交换、出差和在外办公为前提，并且不受到网络连通与否状况的影响；
核心商密保护还应符合：
d）在终端上使用核心商密数据时，须在终端屏幕上自动显示水印，水印位置、格式、透明度等可自定义，以防止通过拍照方式泄露商业秘密；
e）应用开发人员原则上不准直接访问核心商密数据，确有需要时须对其进行控制和管理，开发任务完成后应对相关的核心商密数据进行及时回收或转移。
5.2.2.3 外发过程控制
a）应对商业秘密数据的外发行为进行审批、授权等控制；
b）应对商密数据知悉范围和权限进行控制，限制阅读人员、阅读次数以及阅读期限，并且不受网络连通情况的影响；
c）应使用数据加密等安全技术，对外发的商业秘密数据内容进行安全保护；
d）应对商密数据的外发行为进行审计，对违规操作行为进行报警，审计的记录至少保存半年；
核心商密保护还应符合：
e）应对外发核心商密数据的设备进行保密检查；
f）核心商密数据的外发只能在指定地点及设备进行集中操作，对外发商密数据做集中式留档便于审计；
g）核心商密数据必须由两个及以上相关人员审批通过后方可外发，外发后未经相关人员授权禁止脱离安全环境。
5.2.3 存储阶段数据安全
本阶段主要以商密数据保密为核心，通过数据保密等相关技术，确保商业秘密不被泄露或窃取。
5.2.3.1 终端存储保护
a）应采用商用密码加密等技术措施，对终端上的商密数据进行保护，并对加密数据做读写访问控制，避免保留在终端上商密数据被窃取；
b）应启动访问控制措施，保护终端上的商业秘密数据不被非授权访问；
c）存储在终端的商业秘密数据导出时须履行审批，并在系统中可审计；
d）对采用虚拟化技术的终端应进行相关技术防护，防止商业秘密数据泄露；
e）存放有商密数据的终端使用移动存储介质时应进行严格的授权访问控制；
f）对下载到移动终端设备存储区域的商密数据，应采取商用密码加密等技术措施进行安全保护，防止存储的信息被窃取；
核心商密保护还应符合：
g）终端上禁止大量存放核心商密数据，对核心商密数据应实现集中加密存储，实现细粒度的使用权限控制，对使用情况进行统计分析，实现对企图非法访问的主动屏蔽和及时告警；
h）应可实现对存储在移动终端设备上的核心商密数据进行远程销毁。
5.2.3.2 服务器存储保护
a）商密数据在服务器中存储应采取商用密码加密等技术措施进行机密性保护，防止存储的商密数据被窃取；
b）商密数据在存储过程中应采取完整性监测措施，防止存储的信息被篡改、被破坏，并采取必要的恢复措施；
c）对于保存在服务器上的商密数据，应启动访问+++6
d）
e）对于因故障需要到外部机构维修的服务器存储介质，应通过数据擦除工具/设备擦除介质中的数据，并确保被擦除的数据无法通过常规数据恢复工具得到恢复，再送出维修；
f）服务器存储介质的维修、报废和销毁应集中由专人统一处理，并进行登记。
5.2.4 脱密及销毁阶段数据安全
本阶段主要以数据安全脱密及销毁为核心,确保商密数据在超出有效期后得到及时处理。
a）商密数据的脱密须经审批后执行解密，审批过程遵循严格的审批流程和制度约定，通过相关技术对审批行为以及脱密的商密数据进行审计，并对审计记录进行集中管理；
b）商密数据销毁后应该对处理商密数据的载体进行数据擦除、盘体销毁；
c）应对超过使用权限的外发商业秘密数据，执行自动销毁，以防超出知悉范围人员越权查阅商密数据；
核心商密保护还应符合：
d）对处理核心商密的载体应采取物理销毁的方式。
5.3 结构化商业秘密数据安全保护
a）应确保结构化商密数据访问者身份的真实性、合法性；
b）应提供访问控制功能，依据安全策略控制用户对结构化商密数据的访问；
c）应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系；
d）应提供覆盖到每个用户的安全审计功能，对结构化商密数据操作的重要安全事件进行审计，对违规操作行为及时告警；
e）应提供覆盖到每个系统运维人员的安全审计功能，对结构化商密数据维护的重要安全事件进行审计，对违规运维行为及时告警；
f）应用系统与数据库中商业秘密的导出，应采取商用密码加密等技术进行保护，对数据库的直接访问应能防止通过拷贝、截屏、录屏等方式造成的泄密；
核心商密保护还应符合：
g）应能够检测到结构化核心商密数据在存储过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施；
h）应通过商用密码等技术保证结构化商密数据传输过程中的完整性和机密性；
i）应通过商用密码加密等技术保证结构化数据的存储安全；
j）应通过商用密码等技术保证结构化核心商用数据的使用安全；
k）应保证结构化核心商用数据所在的存储空间被释放或重新分配给其他用户前得到完全清除。
6 商业秘密信息系统安全保护
6.1 物理安全
a）应满足GB9361-2011中B类安全机房场地选择要求；
b）应满足GB50174，GB/T2887-2000的要求，并在防火、防水、温湿度、防雷、防静电等方面达到GB9361-2011中B类安全机房建设要求；
c）机房或数据中心的所有出入口，应采取电子门禁系统或者专人值守的方式对进出的人员进行审核和登记，所有对机房进行物理访问的人员须留有审计记录。
应安装视频监控系统对机房的关键通道进行不间断的监控；
d）非授权人员出入机房时须由机房值班人员陪同。
6.2 网络安全
6.2.1 网络边界安全防护
a）应根据安全域划分情况，明确需进行安全保密防护的边界；
b）在明确的安全域边界实施有效的访问控制策略和机制；
c）应根据信息安全对抗技术的发展，在系统或安全域边界的关键点采用严格的安全防护机制，如严格的登录/访问控制、信息过滤、边界完整性检查等；
d）应对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断；
e）应对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断；
核心商密保护还应符合：
f）网络边界处应具备入侵检测能力；
g）应在网络边界处对恶意代码进行检测和清除。
6.2.2 网络区域防护
a）根据业务功能的不同，将处理商业秘密的应用系统划分到一个或多个安全区域，安全区域间需设置访问控制策略；
b）处理商业秘密的安全域与其他安全域之间的边界应划分明确，安全域与安全域之间的所有数据通信都应安全可控：
c）对于不同等级的安全域间通信，应禁止高密级信息由高等级安全域流向低等级安全域；
d）同一网络区域办公计算机应通过统一出口连接外部网络，对办公计算机未经授权外联行为进行监测和处置；
e）应通过网络区域的划分，保证操作商业秘密的业务终端与产生商业秘密的应用服务器之间建立安全的访问路径；
核心商密保护还应符合：
f）重要网络区域应采取技术手段防止地址欺骗。
6.3 服务器与应用安全
6.3.1 身份鉴别
6.3.1.1 身份鉴别策略
a）应制定明确的商密用户的身份鉴别策略；
b）应制定能够确保身份鉴别策略正确实施的规章制度。
6.3.1.2 实体鉴别
a）应对登录涉及处理商密数据的操作系统、数据库系统和应用系统的用户进行身份鉴别；
b）应根据安全策略设置延时处理或超时锁定；
c）应定期对用户账号进行清查，及时禁用或删除混用账号、测试账号、临时账号等无关账号，离职人员的账号要及时禁用；
d）应为系统的不同用户分配不同的用户名，确保用户名具有唯一性；
e）同一用户登录不同处理商密数据的业务系统应采用不同口令，确保口令唯一性；
f）口令账号应启用严格的口令
升级会员 