第一条 院涉密信息系统必须对信息系统中所有的服务器、用户终端以及应用程序的系统本地登录、远程登录进行用户身份鉴别；
第二条 必须对安全保密设备的本地和远程配置操作等进行用户身份鉴别。
第三条 用户身份标识符由系统管理员统一生成，并确保身份标识在此系统生命周期中的唯一性；
第四条 对系统内身份标识符加强管理、维护，确保身份标识符列表不被非授权地访问、修改和删除；
第五条 用户标识符必须与安全审计相关联，保证系统内安全事件的可核查性。
第六条 口令设置要求。口令设置必须满足如下要求：
1) 秘密级计算机口令长度不少于8位；机密级计算机口令长度不少于10位。
2) 采用组成复杂、不易猜测的口令，必须是大小写英文字母、数字和特殊字符的组合；
3) 定期更换口令，秘密级计算机更换周期不得长于30天；机密级计算机更换周期不得长于7天。
4) 存储口令的文件必须采取秘密措施存储、传输，并保证其安全。
5) USB key与口令相结合的方式进行身份鉴别时，满足以下要求
(1)口令长度设置不少于6位；
(2)选择使用能保证认证信息存储和传输安全的智能卡或USB key。
6) 必要时，采用生物特征（如眼膜、指纹等）等强身份鉴别方式进行身份鉴别。
第七条 重鉴别。用户身份鉴别成功后，当其空闲操作的时间超过规定值（通常为10分种）后，在该用户需要执行其他操作之前，对该用户重新进行身份鉴别。
第八条 鉴别失败。当用户身份鉴别尝试失败次数连续达到5次后，必须采取以下措施：
1) 对于本地登录，必须进行登录锁定，同时形成审计事件并告警；
2) 对于远程登录（如域登录、网络数据库登录等），对该用户标识进行锁定，并且只能由安全保密管理员恢复或重建该账号，同时形成审计事件并告警；
3) 对于应用程序，采用禁止使用该程序或延长一定时间后再运行尝试，同时形成审计事件并告警。
4) 可移动设备的鉴别，必须采取地址绑定（或更强的技术手段）对可移动设备的接入进行鉴别，控制可移动设备的非授权接入。
第二章 访问控制
第九条 院信息系统对涉密信息、重要信息和主体进行分类分级并对主体访问涉密信息和重要信息采用分类分级的强制访问控制策略。
第十条 安全域之间的边界必须划分明确，各安全域之间的所有数据通信都必须安全可控。
第十一条 在不同等级的安全域间通信，禁止高密级信息由高等级安全域流向低等级安全域。
第十二条 按照主体类别、客体类别进行涉密信息和重要信息的访问控制。涉密信息和重要信息的访问控制，主体必须控制到单个用户，客体控制到信息类别。
第十三条 信息输出操作监控。对系统内涉密信息和重要信息的输出（打印、拷贝、屏幕截取等）操作必须采取技术措施进行严格的控制。
第三章 信息密码措施
第十四条 信息系统间进行远程数据传输时，数据必须采取密码措施加以保护；
第十五条 可移动设备的外部使用。在系统外部使用涉密计算机、笔记本电脑、个人数字终端和可移动存储设备时，必须采取身份鉴别和数据密码措施，保证涉密数据不被非授权查看。
第四章 电磁泄漏发射防护
第十六条 院涉密信息系统内的设备必须符合电磁泄漏发射防护的要求，如不符合要求，采用电源隔离防护装置和电磁干扰器等电磁泄漏防护措施。
第十七条 建筑物内的涉密网络系统从综合布线到网络设备都必须采取防电磁泄漏的措施，符合国家信息系统电磁泄漏发射防护的相关技术要求。
第十八条 重点涉密机房必须采取整体电磁屏蔽措施。
第十九条 数据传输线路的电磁泄漏发射防护，选择采取下列之一的防护措施：
1) 采用光缆
2) 采用良好接地的屏蔽电缆，并与其他并行非屏蔽线缆保持15cm或45cm（平行长度大于或等于30m时）以上的隔离距离，当其他线缆也采用良好接地的屏蔽电缆时，最小距离为5cm；
3) 采用非屏蔽电缆，并与其他并行线缆保持1m或3m（平行长度大于或等于30m时）以上的隔离距离。
第二十条 对已建的建筑物内的涉密系统不符合防电磁泄漏要求的必须进行改造，可采取下面等措施给予解决：
1) 购置低辐射设备更换原有的高辐射设备
2) 采用线路干扰器对传输线路的电磁泄漏进行干扰
3) 采用防信息泄漏玻璃装在电子设备显示窗上，进行局部改造
4) 对重点保密机房采用整体屏蔽技术进行改造
5) 采用滤波技术对电磁波进行针对性的滤波，抑制传导方面的泄漏
6) 室内用屏蔽线替换原来非屏蔽线，室外用光缆替换原来的钢缆
7) 采用红黑电源，防止电源辐射泄漏
8) 对不符合接地标准的接地系统按机房要求进行技术改造
第五章 信息完整性校验
第二十一条 院涉密信息系统内传输和存储的涉密信息要进行完整性检测，及时发现涉密信息被篡改、删除、插入等情况，并生成审计日志。
第二十二条 必须对完整性被破坏的信息采取有效的信息补救措施。
第二十三条 涉密信息存储完整性。对存储在信息系统内的涉密数据进行完整性检测。
第六章 系统安全性能检测
第二十四条 技术科作为院信息系统管理职能部门必须做好系统安全性能检测工作。采用合理的技术手段对网络安全运行进行有效的监控，利用各种有效的安全检测软件对系统安全隐患进行检测、安全性分析，发现隐患及时通知相关部门整改。
第二十五条 采用国家相关主管部门批准使用的检测工具对系统进行安全性能检测，检测工具版本必须及时更新。
第二十六条 对系统安全性能检测数据进行详细记录和分析，并对发现的漏洞或脆弱点及时弥补。
第二十七条 技术科定期（每周一次）发布病毒预报信息等各种安全公告，定期检测病毒和安全漏洞，并对网络杀毒软件和补丁分发管理系统进行及时升级。
第二十八条 技术科每日要做好网络检测工作，确保网络的正常运行，发现网络故障积极组织人员分析原因并及时排除。
第二十九条 各联网部门对于通过网络或各种介质传递的软件、数据、信息等必须进行有效的安全检测，以防止病毒木马等潜在的安全问题发生和扩散，对于新发现的病毒、木马等要及时进行查杀。无法查杀的要备份染毒文件、上报行政法务。
第三十条 技术科要定期检查防火墙、防病毒软件等网络安全设备、设施的配置，以防止网络安全设备、设施漏洞对网络及设备安全稳定运行造成影响，并做好相关记录。
第三十一条 技术科每月对网络的连通性和网络流量等性能进行一次详细的检测分析，并做好相关记录，并将检测结果和分析记录整理后提交院保密办。
第三十二条 技术科会同保密办公室对各部门进行网络安全保密检查。可采取多种形式，包括综合检查、定期检查、重点检查和专项检查的形式，加大计算机安全保密管理的检查力度，促进各项安全保密制度的落实。发现问题及时通知相关部门整改。
第七章 安全审计
第三十三条 院涉密信息系统审计范围。根据对系统的脆弱点进行分析，并根据系统运行性能和安全需求确定系统安全审计的范围；确定审计事件范围对安全事件的事后追查提供足够的信息。
1) 安全审计要与身份鉴别、访问控制、数据完整性等安全功能的设计紧密结合，并为下述可审计事件产生审计记录：
2) 服务器、涉密重要客户端、安全保密设备的启动和关闭；
3) 审计功能启动和关闭；
4) 系统内用户增加、删除；
5) 用户权限的更改；
6) 系统管理员、安全保密管理员、安全审计员和一般操作员所实施的操作；
7) 其他与系统安全有关事件或专门定义的可审计事件。
第三十四条 对重要信息系统进行以下事件进行审计：
1) 身份鉴别相关事件；
2) 访问控制相关事件；
3) 涉密数据输入输出操作；
4) 涉密数据的用户操作。
第三十五条 允许用户对特定的审计结果定制不同的响应方式，如违例进程中止、启动相应的安全措施等。
第三十六条 审计记录内容：
1) 审计记录必须提供足够的信息，以确定发生的事件及其来源和结果；
2) 审计记录包括以下内容：事件发生的时间、地点、类型、主体和结果（成功或失败）。
3) 对系统内各独立审计单元产生的审计记录内容进行集中管理。
第三十七条 审计记录存储：
1) 确保充足的审计记录存储空间，防止由于存储空间溢出造成审计记录的丢失；
2) 确保具有存储空间的阈值设置功能，当存储空间将满时能及时报警；
3) 审计系统出现异常时，必须确保存储的审计记录不被破坏；
4) 审计记录确保至少保存6个月。
5) 审计存储空间将满时，应必须采取措施覆盖最早存储的审计数据或自动转存审计数据。
第三十八条 审计记录的查阅。定期（最长1个月）对审计记录进行审查或分析，调查可疑行为及违规操作，采取相应的措施，并及时报告。
1) 对审计记录的统计、查询功能，包括时间范围、主客体身份、行为类型等条件进行查询；
2) 对审计结果采取相应的措施时，及时通知系统管理员；
3) 定期生成审计结果报告。
第三十九条 审计记录的保护。确保涉密信息和审计系统进行授权访问控制，保证审计记录不被篡改、伪造和非授权删除。对审计记录的操作形成记录日志。
第四十条 审计记录时间。审计记录中产生的时间必须由系统范围内唯一确定的时钟产生，以确保审计记录时间上的逻辑性，保证审计分析的正确性。
第八章 边界安全防护
第四十一条 院涉密信息系统中重要服务器和安全保密设备尽可能采用安全操作系统，或者对其操作系统采取安全加强措施。
第四十二条 院涉密信息系统内尽可能选用国家相关主管部门批准使用的安全数据库，或者采用技术措施（如：安全中间件）对数据库在数据存储与访问的保密性、完整性和可用性方面进行安全增强改造。
第四十三条 明确边界。院涉密信息系统根据安全域划分情况，明确需进行安全保密防护的边界。在明确的安全域边界实施有效的安全访问控制策略和机制。
第四十四条 边界访问规则。对于边界系统安全域的数据访问都必须通过各自安全边界完成。
第四十五条 边界防护措施。根据信息安全对抗技术的发展，在系统或安全域边界的关键点采用严格的安全防护机制，如严格的登录/连接控制，高性能的防火墙、防病毒网关、入侵防范、信息过滤、边界完整性检查、采用安全隔离与信息交换系统进行边界防护等。
第四十六条 边界访问控制审计。对进出系统或安全域的时间进行审计，审计记录至少包括时间、地点、类型、主体、客体和结果等情况。对系统内主机的全部边界访问行为进行审计。
第四十七条 入侵监控。采用相应的工具（如入侵检测系统、日志分析软件、网络取证分析工具等）对系统内的安全事件进行监控，检测攻击行为并能及时发现系统内非授权使用情况。
1) 集中管理系统内的所有入侵检测设备；
2) 入侵检测系统要与访问控制或流向控制联动，以便及时隔离或消除攻击；
3) 必须能够及时发现系统的非授权接入行为。
第四十八条 违规外联监控。禁止系统内的用户非授权的外部连接（如私自拨号、违规连接和无线上网等），并对系统内的非授权外联行为采用技术手段进行检查和阻断。
