涉密项目流程

项目整体流程

系统定级—→方案设计—→项目预评测—→项目招投标(报财政局项目采购立项、跟财政局协商招标方式、确定招标机构、编制招标文件、招标) —→工程实施—→系统测评—→系统审批—→日常管理—→测试与检查—→系统废止。

关键环节是：项目招投标过程：一般流程是报财政局进行采购项目立项、跟财政局协商招标方式、确定招标机构、编制招标文件、招标，重点控制项目招标的细节要求，特别是招标文件中的设备参数要求及评标办法的确定，这两部分是项目成功的关键，在这个环节每有一个变化我们都要及时沟通。

1.1 分级保护整体工作流程

系统定级—→方案设计—→工程实施—→系统测评—→系统审批—→日常管理—→测试与检查—→系统废止。

1.2 实施过程概述

下面对整个过程做简单的概述。

1.2.1 系统定级

依据《保密法》密级范围的规定，本单位、各部门组织开展对所属信息系统摸底调查工作。按照涉密信息系统所处理信息的最高密级，由低到高划分为秘密、机密和绝密三个等级。

识别信息系统

调查信息系统所在单位的组织管理结构、管理策略、部门设置和部门在业务运行中的作用、岗位职责、系统管理、使用、运维的责任部门确定业务流、数据流。

明确系统定级

依据业务流所产生信息明确最高密级。 确定系统保护级别

根据本单位信息的最高密级，依据BMB-17确定系统的保护等级。并整理定级资料上报保密部门审批

1.2.2 方案设计

选择建设方

选择具备国家涉密资质的建设方设计信息系统安全保障体系。 系统风险评估

在体系规划前根据方案设计要素制定详细调研、评估实施计划，识别用户系统存在的脆弱性、风险。

确定保护要求

根据可识别风险结合客户实际需求，确定最终保护要求。 规划设计方案

结合风险评估数据和客户保护需求，并依据分级保护方案设计指南（BMB-23）规划设计信息系统安全保障体系。

设计方案论证

上报信息系统安全保障体系详细设计方案到保密部门，并组织评审专家做一次论证。

1.2.3 工程实施

制定保密制度

项目实施前根据工程具体情况制定涉密管理制度，严格对人员、设备、计划实行保密控制。

选择项目监理

项目实施前选择具有单项监理资质的单位对工程保密、质量、进度、成本进行控制。

选择产品集成

项目实施中产品集成方应具有涉密资质，所有选购的安全产品应符合保密要求。

1.2.4 系统测评

提交保密测评申请

工程实施结束后向保密部门提出系统测评申请，由国家保密部门授权的系统测评机构组织对涉密信息系统进行安全性测评，为一次测评为系统最终审批提供依据。

提交系统测评资料

根据国家保密部门授权的系统测评机构要求提供所有测评必要的资料。

1.2.5 系统审批

提交运行前审批申请

涉密信息系统在上线运行前需要向保密部门提出系统运行审批申请，并组织最终审批结论专家做论证。

提交系统审批资料

根据国家保密部门所属审批单位范围向授权的系统测评机构要求提供所有审批必要的资料。

1.2.6 日常管理

制定安全保密管理制度

涉密信息系统上线运行后，根据分级保护管理规范制定管理策略、组建管理机构，设置专职保密管理人员并监督制定的执行。

定期风险自查

涉密信息系统上线运行后，根据使用单位具体情况进行定期或不定期风险自评估工作，及时对系统运行、技术、管理新出现的安全威胁制定安全策略与补充措施，并严格管理评估数据。

动态调整安全防护技术

涉密信息系统上线运行后，根据使用单位系统更新情况与风险自评估数据及时发现存在的风险，并动态调整安全策略适时补充完善技术、管理的措施。

1.2.7 测评与检查

涉密信息系统保密测评与检查

涉密信息系统上线运行后，根据国家保密部门要求秘密、机密级信息系统每两年进行一次安全保密检查，绝密级信息系统每一年进行一次安全保密检查。

信息系统环境或应用发生重大改变时，重新上报设计方案进行论证，并重新保密测评，检测系统的安全保密措施的有效性和环境变化的适应性，发现隐患及时采取相应的补充保护措施。

1.2.8 系统废止

提交系统废止备案申请

涉密信息系统不再使用时，使用单位向保密工作部门提交系统废止申请备案。

退密处理设备、产品

依据保密规定对涉密设备、产品妥善退密处理。 销毁涉密介质

对报废处理的涉密介质采用保密局统一规定使用的销毁软件工具，确保泄密事件不发生。

1.3 分级保护各相关方的职责划分

分级保护实施工程所涉及的主管部门与协作单位

说明：★代表主要协调单位、部门，√代表辅助协调单位、部门。

1.4 用户分级保护的实施要求

1.5 主管部门的管理手段

1.6 分级保护对厂商和产品的资质管理