---
name: 定义保密性需求
description: 当涉密CSCI或信息安全系统处理敏感或机密信息时，使用本技能定义其保密性环境、级别、风险及对应安全对策。适用于需满足国家保密法规或军用标准（如GJB438B）的系统开发场景。
---

# 定义保密性需求

## 何时使用
- 系统被认定为涉密CSCI或信息安全系统；
- 系统处理秘密、机密或绝密级别的信息；
- 需要编制符合国家保密法规、军用标准或认证要求（如CC EAL4+）的保密性需求文档。

## 执行步骤
1. **定义保密性运行环境**：明确CSCI必须部署和运行的保密环境（例如机密级网络、隔离区域等）。
2. **确定保密类型与级别**：指定所处理信息的保密级别（如“秘密”、“机密”、“绝密”）及适用范围。
3. **识别保密性风险**：列出CSCI可能面临的保密威胁，包括但不限于未授权访问、数据泄露、中间人攻击等。
4. **规定安全控制措施**：针对识别出的风险，明确必须实施的安全对策，包括：
   - 加密算法及其强度要求；
   - 用户身份鉴别机制（如多因素认证）；
   - 基于角色或属性的访问控制策略；
   - 审计日志记录与监控机制。
5. **引用合规政策**：列出必须遵循的保密性法规与标准（如《中华人民共和国保守国家秘密法》、GJB438B、军用信息安全标准等）。
6. **明确保密责任**：规定CSCI在数据标记、存储、传输和销毁各环节中的保密义务。
7. **指定认证认可准则**：说明系统需通过的保密性认证等级或评估保障级别（如Common Criteria EAL4+）。

> 注意：非涉密系统可省略本流程。