企业等级保护与保密管理

企业等级保护与保密管理

网络安全等级保护制度是国家网络安全领域的基本制度，而保密管理则专注于国家秘密和商业秘密的保护。两者在管理范围、技术要求和监管模式上存在明显的差异，但也有着内在的关联性和互补性。北京企密安深入分析企业等级保护与保密管理的关系，为企业构建协同的安全管理体系提供参考。

一、等级保护与保密管理的制度背景

等级保护制度根据信息系统在国家安全、经济建设、社会生活中的重要程度，以及信息系统遭到破坏后对国家安全、社会秩序、公共利益、公民权益的危害程度，将信息系统划分为五个安全保护等级，每个等级对应不同的安全保护要求。等级保护是普适性的网络安全管理制度，覆盖所有行业和所有类型的信息系统。

保密管理则以国家秘密和商业秘密为保护对象，对涉密信息系统的建设和运行有专门的安全保密要求。涉密信息系统在等级保护的基础上，还需要满足国家保密标准规定的特殊安全要求。北京企密安提醒企业，不能将等级保护与保密管理视为二选一的关系，两者应当并行推进、相互补充。

二、等级保护在保密管理中的基础作用

等级保护为保密管理提供了基础的安全保障框架。涉密信息系统的安全建设需要首先满足相应等级的等级保护要求。等级保护中的安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理等通用要求，同样适用于涉密信息系统的安全管理。

等级保护中的技术防护要求，包括身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、密码技术应用等，构成了涉密信息系统安全防护的基础层。涉密信息系统在这些基础防护能力之上，还需要增设符合国家保密标准的专用防护措施。北京企密安在服务过程中发现，那些等级保护基础比较扎实的企业，在后续的保密技术防护建设中往往更容易达标。

三、保密管理对等级保护的补充

保密管理在等级保护的框架之外，增加了针对国家秘密和商业秘密保护的专门要求。例如保密管理要求涉密信息系统应当与公共网络实行物理隔离或逻辑隔离，涉密信息应当使用经国家密码管理部门批准的密码产品进行加密保护，涉密计算机应当安装违规外联监控软件，涉密办公设备应当满足防电磁泄漏发射要求等。

这些专项要求超出了常规等级保护的技术标准，是针对涉密信息特性的特殊安全措施。北京企密安建议企业在进行涉密信息系统建设时，以等级保护要求为基础框架，叠加保密管理专项要求，构建分层递进的安全防护体系。

四、等级保护定级与涉密系统定密的关系

等级保护的信息系统定级与保密管理的涉密信息定密是两个不同的概念，需要企业准确理解和区分。等级保护定级是对信息系统安全保护等级的评定，主要依据是信息系统遭到破坏后的危害程度。保密管理定密是对涉密信息秘密等级的确定，主要依据是国家秘密的范围和密级规定。

在涉密信息系统的管理实践中，涉密信息系统的安全保护等级应当不低于其处理涉密信息的密级所对应的等级要求。例如处理机密级涉密信息的信息系统，其安全保护等级应当达到相应级别要求。北京企密安建议企业在信息系统规划和建设阶段，同步进行等级保护定级和涉密信息定密工作，确保安全防护能力与信息密级要求相匹配。

五、等级保护测评与保密检查的协同

等级保护要求企业定期开展等级保护测评，测评内容包括安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理等十个方面。而保密管理要求企业接受主管部门的保密监督检查和年度自查。

两种检查测评的内容存在一定重叠，企业可以统筹安排。在等级保护测评准备阶段，同步准备保密检查需要的技术检测材料；在保密自查开展时，可以参考等级保护测评的方法和工具。北京企密安建议企业建立统一的检查整改台账，对两种检查测评中发现的问题一并跟踪整改，提高问题发现和整改效率。

六、企业常见误区

在等级保护和保密管理的实践中，企业常见的误区包括：认为通过了等级保护测评就不需要再进行保密管理专项建设；认为涉密系统只需要满足保密标准就足够了，不需要进行等级保护定级和测评；将等级保护和保密管理完全割裂开，分别由不同的部门独立负责，缺乏沟通协调。

上述误区都可能导致安全防护的盲区或重复建设。北京企密安建议企业建立统一的信息安全管理架构，在整体管理框架中协调等级保护与保密管理的关系，实现两种管理体系的有机融合。企业应当明确等级保护主管部门和保密管理主管部门的职责分工和协作机制。

七、融合发展路径

推动等级保护与保密管理的融合发展，可以从以下几个方面入手。在政策层面，充分利用等级保护制度的普适性框架，在此基础上叠加保密管理的专项要求。在技术层面，按照安全分区、纵深防御的原则，对涉密信息系统实行分级分域安全防护，在等级保护的技术基础层上构建保密安全增强层。在管理层面，建立等级保护与保密管理的联动工作机制，定期召开联席会议，共享安全威胁情报和管理经验。在人才层面，培养既懂等级保护又懂保密管理的复合型安全人才。

北京企密安认为，等级保护与保密管理的融合发展是企业应对网络安全威胁的有效途径。企业在构建整体安全防护体系时，应当将两种管理体系纳入统一框架，充分发挥各自优势，形成协同保护合力。

FAQ

问：涉密信息系统是否需要做等级保护定级和测评？ 答：需要。涉密信息系统同样需要按照等级保护制度的要求进行定级和测评，这是国家网络安全制度的普遍要求。涉密信息系统的等级保护测评应当由具备涉密信息系统测评资质的机构承担。企业在涉密信息系统建设之前就应当完成等级保护定级工作，确保系统设计符合相应等级的安全保护要求。北京企密安可协助企业进行涉密信息系统的等级保护定级和测评辅导。

问：等级保护测评和保密检查发现的问题存在冲突如何处理？ 答：等级保护测评和保密检查的侧重点不同，发现的问题可能存在差异。企业应当分别对待两类问题，确保同时满足两类要求。如果出现两种要求存在技术矛盾的情况，应当在确保不违反保密管理要求的前提下，与等级保护测评机构和保密检查部门进行沟通，寻求合规的技术解决方案。北京企密安可提供技术方案的合规性评估服务。

北京企密安 010-63711822 baomiwang.com