一、概述
基于国家保密标准BMB20-2007明确规定，涉密信息系统要支持“三员分立” 的管理，3类管理员相互监督、相互制约。本次改造实现以下功能：
增加三个不同的管理员，分别对应不同的管理工作：
系统管理员：负责系统的日常运维维护工作；
安全保密员：负责系统的日常安全保密管理工作，包括用户账号管理以及对安全审计员的监督；
安全审计员：负责对系统管理员、安全保密员的操作系统进行审计跟踪分析和监督检查，以及时发现违规行为，并定期向系统安全保密管理机构汇报相关情况。
增加安全审计控制
各个模块的操作都留有待审计的日志。
审计日志级别有：【信息】【错误】【警告】【重大事件】四大类；
按照普通用户、系统管理员、安全保密员和安全审计员4类不同用户显示不同日志；
审计日志有权限控制，必须赋权才能查看。
审计日志可转为物理文件，并对物理文件存储方式进行控制
后台增加审计日志转为物理文件的配置界面，可配置至少保存1年的数据库日志，能够设置物理文件存储路径；
审计日志可以定时自动导出，也支持手动导出功能；
转存的物理文件为加密存储；
数据库日志空间大小可以设置，如果日志数据存储空间已满，系统能够通过告警方式来通知系统管理员。
二、三员分立管理开启
三员分立管理统一由非标功能【011分权系统】来控制，在【分权管理】设置界面，增加了设置项【启用三员分立管理】。
开启【启用三员分立管理】后。
权限管理中增加三员管理员维护菜单，点击初始化后可生成系统默认的三员管理员；
日志中心增加三员审计日志。
三员管理员维护规则。
系统管理员(sysadmin)可继续新建与系统默认的3个三员管理员同级的三员管理员；
按照“谁创建，谁负责”的原则，由系统管理员(sysadmin)创建的管理员账号，只能由系统管理员维护；
所有三员管理员账号，一旦进行了登录操作(产生了日志)，就不能被删除；
三员管理员一旦被建立，【管理员类型】就不能修改；
原始三员管理员无论系统是否分权，均不能修改【机构权限】。
三、审计日志
后端日志中心有审计日志菜单，可以查看普通员工日志、三员管理员日志和归档日志。
四、归档审计日志
数据库日志可以自动导出为物理文件存储进行存储备份。
在【手动归档】tab页，可以手动归档日志。
已经加密归档的审计日志，可能会存在重新翻查的情况，此时就需要有一个功能能够将归档日志还原到系统中查阅的功能。在归档日志导入中可以导入日志。
