自建数字档案馆系统申请国家保密认证全流程实操指南
一、前期准备材料
提前整理以下所有材料，缺项会直接驳回申请，按清单逐一准备：
- 单位涉密业务范围说明，明确数字档案馆存储涉密信息的等级（秘密/机密/绝密），加盖单位公章
- 完整的系统拓扑图、所有硬件资产清单，包含服务器、终端、存储、网络设备的型号、摆放位置、责任人
- 系统开发文档、功能测试报告、用户权限分配表、定密管理规则文档
- 三名专职三员（系统管理员、安全保密管理员、安全审计员）的身份证、保密培训证书复印件
二、系统核心合规改造实操
保密认证对系统有强制合规要求，按以下步骤改造，可一次性符合要求：
1. 身份鉴别改造
强制要求一人一户、双因素认证、禁止共享账户，实操步骤：
- 在系统用户表新增
涉密等级、责任人姓名、工号、身份证号、绑定MAC字段，所有账户绑定到具体个人 - 引入双因素认证能力，Java项目可直接复制以下依赖使用：
绑定每个用户的身份验证器，登录必须输入密码+动态验证码，禁止跳过验证环节。
2. 三员分立权限配置
三员分立是保密认证的核心必查项，三个角色权限必须完全隔离，不能交叉：
- 系统管理员：仅负责系统硬件运维、版本升级，不能查看涉密内容，不能修改审计日志
- 安全保密管理员：仅负责权限审批、涉密信息定密、人员权限变更，不能修改系统配置
- 安全审计员：仅负责查看审计日志、审计违规操作，不能修改任何系统配置和业务内容
操作要求：删除系统默认超级管理员账户，禁止存在权限高于三员的账户，所有操作都必须对应到三个角色中的一个。
3. 安全审计配置
要求所有操作留痕，日志保存不少于6个月，且不能被篡改删除，实操配置（以Java项目logback日志组件为例）：
```日志存储在独立的第三方审计服务器，不与业务存储共用，防止被业务管理员篡改。
4. 存储加密与边界防护
涉密数据必须加密存储，涉密网络必须与互联网隔离，实操：
- 存储加密（Linux系统LUKS加密，直接执行以下命令替换分区即可）：
- 边界防护：拔掉涉密服务器所有外网网线，实现物理隔离，交换机配置ACL仅允许指定涉密终端MAC接入，华为交换机配置示例：
三、认证申请全流程实操
- 提交申请：向属地省级保密局提交准备好的材料，属地保密局联系方式查询地址：
http://www.bsj.gov.cn/bsj/xxgk/bsjg/ - 预约测评：申请初审通过后，在国家保密局授权测评机构名单中选择机构预约，名单查询地址：
http://www.bsj.gov.cn/bsfw/pxjgd/ - 整改复测：测评机构出具测评问题清单，按要求15个工作日内完成整改，申请复测
- 审批拿证：复测通过后，由省级保密局上报国家保密局审批，审批通过后10个工作日内发放认证证书
四、现场审核必过要点
- 所有涉密设备必须粘贴统一格式的涉密标识，标注设备密级、责任人，缺一不可
- 所有接触涉密信息的工作人员必须签署纸质版保密承诺书，归档留存可随时调阅
- 现场审核时三名三员必须全部在场，能清晰说清自身权限范围，不能混淆角色权限
- 提前准备好任意三个月的审计日志，确保能随时调阅查询，日志不能有缺失
按照以上步骤操作，即可顺利通过保密认证，拿证后每半年需要提交一次保密自查报告，系统改造升级必须提前向属地保密局报备即可。
相关文章
