2024年4月22日发(作者：)

论 坛

2012年第2期

浅谈涉密信息系统“三员”

研 讨

□杨 芸

保密法第二十三条规定，存

储、处理国家秘密的计算机信息

系统（以下简称涉密信息系统）

按照涉密程度实行分级保护。根

据分级保护有关规定和国家保密

标准要求，涉密信息系统应当配

备系统管理员、安全保密管理员

和安全审计员三类安全保密管理

人员（简称为“三员”），分别

负责系统运行、安全保密管理和

安全审计工作。“三员”担负维

护系统安全、稳定、可靠运行的

重要任务，对涉密信息系统和国

家秘密安全具有重要作用。

息系统必须删除超级管理员账

号，将系统管理划分为“配置、

授权、审计”三种相互独立、相

互制约的权限，由系统管理员、

安全保密管理员、安全审计员分

别掌握。以系统新增用户为例，

比如，经批准系统将新增一个用

户名为user的用户，可以访问机密

　　“三员”是相对于超级管理

员而提出的概念，旨在划分涉密

信息系统管理权限，确保对系统

的管理行为受到限制和监督。一

般来说，超级管理员对系统具有

不受限制的完全访问权限，能够

新建、删除各种用户和管理员账

号，对硬盘文件进行各种操作，

随意安装软件程序，任意修改系

统和网络设置。一旦超级管理员

发生违规访问和操作，系统就没

有任何安全可言。因此，涉密信

级以下信息，具体操作是：系统

管理员新建账号“user”；安全保

密管理员为“user”账号授予机密

级以下信息访问权限；安全审计

员查看系统中系统管理员和安全

保密管理员增加“user”账号并授

权的操作记录，对照工作审批单

进行审计，以确定系统管理员、

安全保密管理员的操作是经过授

权和批准的。这样，对系统的一

项配置须由两个管理角色配合才

能生效，第三个管理角色进行监

督和审计，避免了因管理权限过

大而带来的安全保密风险。

　　涉密信息系统中的网络设

备、安全保密设备、服务器和用

户终端、操作系统、数据库、涉

密业务应用系统的管理原则上都

应由系统管理员和安全保密管理

员配合完成，由安全审计员进行

审计。在实际管理过程中，如果

从技术上可实现某项配置两人操

作方可生效，则将该项配置分工

于系统管理员和安全保密管理员

来完成，并由安全审计员对操作

日志进行审计。如果从技术上不

能实现配置操作的分工，例如，

交换机、路由器等通用网络设备

本身没有划分“三员”功能，但

能记录操作日志，则要求由系统

管理员或安全保密管理员完成相

关操作后，由安全审计员对操作

日志进行审计。

　

“三员”的主要职责

“三员”并不是特指三个

人，而是代表涉密信息系统安全

保密管理的三类岗位或角色，对

应不同的职责，由相关人员担

任，以相应权限的管理员账号登

　设立“三员”的必要性

44

2012年第2期

论 坛

录设备或系统来完成各项工作。

具体分工是：系统管理员主要负

责系统的日常运行维护，包括网

络设备、安全保密产品、服务器

和用户终端、操作系统、数据

库、涉密业务应用系统的安装、

配置、升级、维护、运行管理；

网络和系统的用户增加或删除；

网络和系统的数据备份、运行日

志审查和运行情况监控；应急条

件下的安全恢复，等等。安全保

密管理员主要负责系统日常安全

保密管理，包括网络和系统用户

权限的授予与撤销；用户操作行

为的安全审计；安全保密设备管

理；系统安全事件的审计、分

析、处理；应急条件下的安全恢

复，等等。安全审计员主要负责

对系统管理员、安全保密管理员

的操作行为进行审计分析和监督

检查，以及时发现违规行为。

　　此外，“三员”还应承担保

密和信息化部门赋予的其他相关

工作。比如，管理设备台账，组

织设备维修，定期对涉密信息系

统使用人员进行培训，配合开展

涉密信息系统安全保密测评审

批、保密检查等工作。

　

“三员”的配置

根据中央有关文件规定，涉

密信息系统“三员”应当由本单

位内部人员担任。担任涉密信息

系统“三员”的人员，政治上应

当可靠，应熟悉涉密信息系统管

理操作流程，具有较强的责任意

识和风险防控意识。

在实际工作中，网络设备、

安全保密设备、服务器、用户终

端、操作系统、数据库等通用设

备和系统的管理，技术性要求较

高，管理这些设备和系统的系统

管理员、安全保密管理员可由信

息化部门专业技术人员担任。对

于涉密信息系统中运行的一些业

务性比较强的涉密应用系统，如

人事管理系统、财务管理系统

等，对业务要求相对较高，因

此，管理这些业务应用系统的系

统管理员、安全保密管理员可由

相关业务部门的人员担任。此

外，各类设备和系统的安全审计

员可根据工作需要，由保密部门

或其他能够胜任安全审计员工作

的人员担任。需要注意的是，同

一设备或系统的系统管理员和安

全审计员不得由同一人兼任，安

全保密管理员和安全审计员也不

得由同一人兼任。

　

“三员”的培训

　　我国实行涉密信息系统“三

员”持证上岗制度。中央有关文

件规定，系统管理员、安全保密

管理员和安全审计员应当经过保

密行政管理部门组织的培训，持

证上岗。“三员”只有接受专业

知识培训并通过资格考试，取得

国家保密行政管理部门统一颁发

的资格证书后，才能上岗履行职

责。

　　在实际工作中，由于网络设

备、安全保密设备、服务器、用

户终端、操作系统、数据库品牌

和型号的不同、业务应用系统的

不同，安全保密管理策略配置和

操作会存在差别。因此，“三

员”在参加培训的基础上，还应

认真研究掌握所管理的具体设备

或系统的配置和操作，将涉密信

息系统分级保护技术标准和管理

规范各项要求落到实处。

　

“三员”的监督

　　“三员”应在本单位保密和

信息化部门的监督下开展工作，

确保所有的操作都是符合规定或

经过授权的。可以从三个层面对

“三员”工作进行监督。一是内

部监督。机关、单位的保密和信

息化部门定期对“三员”工作情

况进行检查和考核，对“三员”

未能按规定履职的情况及时予以

纠正。二是上级监督。主要针对

机关、单位跨部门或者跨地区的

涉密信息系统，机关、单位应定

期对其远程网络或远程终端的

“三员”工作情况进行检查和考

核，对“三员”未能按规定履职

的情况，及时通知远程网络或远

程终端使用单位予以纠正。三是

保密行政管理部门监督。“三

员”工作情况是保密行政管理部

门依法开展网络保密检查的重要

内容，在履行保密检查职能的过

程中，保密行政管理部门也应定

期对“三员”履职的情况进行检

查。

45