114学术研究AcademicResearch涉密信息系统安全保密管理人员的职责要求与权限划分耿伟1，吴肖炎2(1国家保密科学技术研究所，北京100044)(2山东省莱州市高级职业学校数控科，山东莱州271104)【摘要】涉密信息系统的安全保密管理人员包括系统管理员、安全保密管理员和安全审计员。本文分别对国家保密标准中所规定的这三类安全保密管理人员进行研究，分析各自职责。并以涉密信息系统用户账号和授权管理流程为例，说明了安全保密管理人员的权限划分原则。以此促进涉密信息系统建设使用单位对标准要求的理解和落实，同时也为涉密信息系统内业务应用系统和安全保密产品的设计开发提出了相应的功能要求。【关键词】保密；管理；权限【中图分类号】TP309【文献标识码】A【文章编号】1009-8054(2009)07-0114-02ResponsibilitiesandDivisionsofAuthorityforsecurity-and-PrivacyManagementPersonnelofSecret-involvedGENGWei1,WUXiao-yan2(1InstituteofNationalSecurityScienceandTechnology,Beijing100044,China;2DigitalControlDivision,LaizhouSeniorVocationalSchool,ShandongProvinc,LaizhouShandong271104,China)【Abstract】Thesecurityandprivacymanagementpersonnelforsecret-involvedsystemmanagementpersonnel,securityandprivacymanagementpersonnel,andsecurityauditpersonnel.Thispaperdiscussesthesethreesecurityandprivacymanagementpersonnelsstipulatedinthestatesecuritystandard,analyzestheirrespectiveresponsibilities,andtakingtheuseraccountofsecret-involvedinformationsystemandauthorizationmanagementflowasexamples,describestheau-thority-divisionprinciplesforsecurityandprivacymanagementpersonnles,thuspromotingtheunderstandingandimple-mentationofthesecuritystandardbytheconstructinganduserorganizationsofthesecret-involved【Keywords】security;management;authorization0引言国家保密标准BMB20-2007《涉及国家秘密的信息系统分级保护管理规范》(以下简称BMB20-2007)提出：涉密信息系统应配备系统管理员、安全保密管理员和安全审计员3类安全保密管理人员，分别负责系统的运行、安全保密和安全审计工作。BMB20-2007还特别指出系统管理员、安全保密管理员和安全审计员的权限设置应相互独立、相互制约，安全保密管理员与安全审计员不得由一人兼任。但在实际工作过程中，还存在对标准要求把握不准、执行不到位的情况。为了使涉密信息系统建设使用单位更好地理解标准要求，下面就涉密信息系统安全保密管理人员的职责要求与权限划分问题进行初步探讨。收稿日期：2009-06-12作者简介：耿伟，女，1983年生，国家保密科学技术研究所计算机与网络保密技术研究室助理工程师；吴肖炎，女，1975年生，莱州市高级职业学校微机教师，中学一级教师，《IP地址与域名》一课荣获烟台优质课，《C循环程序设计》获莱州市优质课，心理健康课《做最好的自己》获莱州一等奖，《环境与保护》课件获莱州市课件一等奖，2006年9月辅导的微机队获山东省软件设计大赛一等奖，2009年获莱州市“三八红旗手”称号。学术研究AcademicResearch1安全保密管理人员的职责要求BMB20-2007中关于安全保密管理人员的配备要求是根据我国涉密信息系统的实际情况，按照与现有保密管理法规、标准相衔接的原则，充分吸收国际信息安全管理标准的先进思想，提出的具体保密管理要求。系统管理员、安全保密管理员和安全审计员对应系统无故障运行、主动安全防御和监督检查3部分的要求，是保障涉密信息系统可用性、完整性、保密性的重要体现。3类管理员的职责要求分别为：1.1系统管理员系统管理员主要负责系统的日常运行维护工作，其主要职责是确保涉密信息系统处于无故障运行的状态，应由具有一定计算机、网络知识的工作人员担任。系统管理员应能够进行网络、操作系统和业务应用系统的安装和维护工作，进行系统功能、实时性能监控和必要的状态检查；应定期备份数据，能够在系统中断、运行瘫痪的情况下，及时排除相应故障，避免或尽可能降低系统损失；另外，还应对系统的运行情况进行分析，提供合理...