关于组织部涉密信息系统分级保护 工作问题研究 构建社会主义和谐社会是一项系统工程，要从多方面努 力，但其核心在党。组织部门作为党委负责干部、组织、人 事的职能部门，要着力发挥打牢思想基础，强化核心作用， 凝聚各方力量，加强制度建设的作用，促进和谐社会建设。 要扩大党员和群众对干部选拔任用的知情权、参与权、选择 权和监督权.落实这一要求，对于扩大干部工作中的民主、 建立科学的干部监督管理机制都将起到积极的作用。但是， 落实知情权并不代表要淡化或削弱干部选拔任用中的保密 工作。强化保密观念、严格保密纪律是我们党对组织人事工 作的一贯要求。因此，我们既要防止干部选拨任用中人为的 “神秘化”倾向，也要防止以扩大民主、落实知情权为由淡 化保密工作。实际上，新形势下，做好组织部保密工作同样 具有现实意义。 开展好组织部涉密信息系统分级保护工作，是围绕中 心，服务大局，从组织工作的实际需要出发，始终围绕组织 工作的中心任务来展开，坚持信息化工作服务于党的建设、 服务于组织工作。是加强部机关保密工作，进一步推进机关 保密工作规范化、制度化的重要举措。 公安部、国家保密局、国家密码管理委员会办公室、国 务院信息办下发了《关于信息安全等级保护工作的实施意 见》，明确了信息安全等级保护的重要意义、原则、基本内 容、工作职责分工、要求和实施计划。四部门又下发了《信 息安全等级保护管理办法（试行》，进一步确定职责分工。 其中明确规定：涉及国家秘密的信息系统应当依据国家信息 安全等级保护的基本要求，按照国家保密工作部门涉密信息 系统分级保护的管理规定和技术标准，结合系统实际情况进 行保护。 一、涉密信息系统分级保护工作的基本要求 涉密信息系统分级保护是指涉密信息系统的建设使用 单位根据分级保护管理办法和有关标准，对涉密信息系统分 等级实施保护，各级保密工作部门根据涉密信息系统的保护 等级实施监督管理，确保系统和信息安全。涉密信息系统分 级保护管理原则是规范定密，准确定级；依据标准，同步建 设；突出重点，确保核心；明确责任，加强监督。 涉密信息系统按照处理信息的最高密级确定，由低到高 划分为秘密、机密和绝密三个等级。根据“谁主管、谁负责” 的保密管理原则，涉密信息系统建设使用单位负责本单位涉 密信息系统分级保护的具体实施工作。涉密信息系统分级保 护工作是一项复杂的系统工程，涉及到单位内部的保密、信 息化、业务工作、密码、保卫和人事等部门，各相关部门只 有密切合作、统筹实施，才能保障整个工作的顺利进行。这 就要求涉密信息系统的建设使用单位领导高度重视此项工 作，组建强有力的领导班子，建立起确保措施到位、人员到 位、资金到位的分级保护工作组织保障体系，形成强有力的 工作机制。 加强组织部涉密信息系统的安全保障系统建设是国家 信息安全体系建设的重要部分。随着信息化的不断发展，组 织工作越来越依赖于信息系统，涉密信息系统是否安全关乎 组织保障是否到位。但是在实施过程中也存在一些问题：早 期安全保密措施要求过于单一，没有划分安全保密层次与级 别，实施成本比较高等。目前，随着涉密信息系统分级保护 工作的全面推开，组织信息系统的安全保护工作迈上了一个 新台阶。 二、开展组织部涉密信息系统分级保护工作问题研究 组织部涉密信息系统分级保护工作要遵循科学的管理 方法，合理的流程步骤，按照国家保密局颁布实施的一系列 关于涉密信息系统分级保护的法规与标准，将组织部涉密信 息系统分级工作合理进行，涉密信息系统分级保护工作其中 包括系统定级、方案设计、工程实施、系统测评、系统审批、 日常管理、测评与检查和系统废止八个环节，贯穿于组织部 涉密信息系统的整个生命周期之中，是对涉密信息系统进行 的全过程保密管理。遵循分级保护工作的基本流程，突出重 点环节，强化过程管理，不断完善组织部涉密信息系统分级 工作。 组织部涉密信息系统定级。在开展组织部涉密信息系统 分级保护工作中，系统定级决定了系统方案的设计实施、安 全措施、运营等涉密信息系统建设的各个环节，因此，如何 准确地对涉密信息系统进行定级在组织信息系统实施分级 保护中尤为重要。 组织涉密信息系统定级应遵循“谁建设、谁定级”的原 则，根据其涉密信息系统处理信息的最高密级，可以划分为 秘密级、机密级和绝密级三个等级。在组织信息系统的分级 保护中，涉密信息系统可以根据信息密级，系统重要性和安 全策略划分为不同的室域，针对不同的安全域确定不同的等 级，并进行相应的保护。同时，在同一系统里，还允许划分 不同的安全域，在每个安全域可以分别定级，不同的级别采 取不同的安全措施，更加科学地实施分级保护，在一定程度 上解决了保重点、保核心的问题，也有效避免了因过度保护 而造成应用系统的运行效能降低以及投资浪费等问题 根据我区组织部日常实际工作，最高秘密级确定为机密 级。用机密级与秘密级来为组织部的日常工作定级。其中涉 及机密级别的系统可以包含酝酿中的人事安排方案；未公布 的市委和本部管理干部的任免、调动事项；领导班子和领导 干部花名册；党员、党组织和干部的统计数据、资料；党政 十部档案和十部考察材料、记录；部长办公会、部务会议记 录；涉及机密事项的微机存贮信息及数据。 涉及到秘密级别的系统可以包括领导干部花名册、后备 十部名单和年度考察考核材料；反映领导干部和部机关内部 问题的来信来访及领导同志的批示；向本部备案的十部材 料；组织部的印章、印信、证件；记有秘密内容的笔记本、 电话记录；涉及机密事项的微机存贮信息及数据。 方案设计实施与调整。我区组织部涉密信息系统分级保 护工作还在不断地完善中，对于新建立组织部涉密信息系统 按照分级保护的标准，结合系统的实际应用情况进行方案设 计，在设计完成之后进行方案论证，确定总体方案达到分级 保护技术的要求后再开始实施；在工程建设实施过程中注意 工程监理的要求；建设完成之后进行审批；审批前要由国家 保密局授权的涉密信息系统测评机构进行系统测评，在技术 层面验证是否达到了涉密信息系统分级保护的要求。 对于我区已经开展的组织部信息化建设工作，一部分涉 密信息系统，在设计之初没有相关的国家标准参考，无法验 证涉密信息是否达到了分级保护的要求。因此，对涉密信息 系统进行相应的调整和改造。在改造过程中严格按照国家的 相关标准，结合涉密信息系统的实际情况，逐项进行安全风 险分析，根据安全风险分析的结果，对部分保护要求进行适 当的调整。不降低涉密信息系统整体安全保护强度，确保国 家秘密安全。当保护要求不能满足实际安全需求时，选择采 用部分较高的保护要求；当保护要求明显高于实际安全需求 时，选择采用部分较低的保护要求。对于安全策略的调整以 及改造方案进行论证，综合考虑修改项和其他保护要求之间 的相关性，综合分析。改造方案的实施以及后续测评要按照 国家标准执行，并且要求文档化。 安全运行及维护。对于我区组织部已经运行的组织部涉 密信息系统，分级保护的要点是加强对安全运行及维护的管 理。运行及维护过程的不可控性以及随意性，往往是信息系 统安全运行的重大隐患，通过运行管理和控制、变更管理和 控制、对安全状态进行监控，对发生的安全事件及时响应， 在流程上对系统的运行维护进行规范，从而确保涉密信息系 统正常运行；通过安全检查和持续改进，不断跟踪涉密信息 系统的变化，并依据变化进行调整，确保涉密信息系统满足 相应分级的安全要求，处于良好安全状态。在安全运行及维 护阶段，当局部调整等原因导致安全措施的变化时，如果不 影响系统的安全分级，应从安全运行及维护阶段进入安全实 施阶段，重新调整和实施安全措施；当系统发生重大变更影 响系统的安全分级时，从安全运行及维护阶段进入系统定级 阶段，重新开始一次分级保护实施过程。由于运行维护的规 范化能够大幅度提高系统运行及维护的安全级别，所以在运 行维护中应尽可能地实现流程固化、操作自动化，减少人员 参与蒂来的风险。 我区根据相关要求，保密工作部门需要定期进行保密检 查或系统测评：秘密级和机密级信息系统，每两年至少一次; 绝密级信息系统，每年至少一次。在安全运行及维护中保持 系统安全策略的准确性以及与安全目标的一致性，使安全策 略作为安全运行的驱动力以及重要的制约规则，从而保持整 个涉密信息系统能够按照既定的安全策略进行。 三、组织部涉密信息系统分级的关键技术与管理措施 组织部涉密信息系统分级保护就是要从实际出发，保证 组织信息安全，确保组织信息不被他人利用，综合平衡安全 成本和风险，优化信息安全资源的配置，突出重点，确保国 家秘密的安全。在方案设计和工程实施中，应解决好以下几 个方面的关键技术与管理措施： 一是我区组织部在搭建涉密信息系统时选用硬件保密 设备全部选用国产设备，非安全保密产品同时也充分考虑国 家安全保密需要，优先选择国产设备；在选用国外设备时， 进行了详细调查和论证，不选用国家保密工作部门禁用的设 备或附件，并对选用的国外产品进行安全保密检测。选用的 计算机病毒防护产品都获得公安机关批准，密码产品获得国 家密码管理部门批准，其他安全保密产品均获得国家保密工 作部门批准。 二是物理隔离与违规外联监控。我区组织部采取专机专 用，系统专用原则，做到涉密信息系统不直接或间接联网，