保密法第二十三条规定，存储、处理国家秘密的计算机信息系统〔以下简称涉密信息系统)按照涉密程度实行分级保护。
根据分级保护有关规定和国家保密标准要求，涉密信息系统应当配备系统管理员、安全保密管理员和安全审计员三类安全保密管理人员(简称为“三员”)，分别负责系统运行、安全保密管理和安全审计工作。
“三员”担负维护系统安全、稳定、可靠运行的重要任务，对涉密信息系统和国家秘密安全具有重要作用。
设立“三员”的必要性
“三员”是相对于超级管理员而提出的概念，旨在划分涉密信息系统管理权限，确保对系统的管理行为受到限制和监督。
一般来说,超级管理员对系统具有不受限制的完全访问权限,能够新建、删除各种用户和管理员账号，对硬盘文件进行各种操作，随意安装软件程序，任意修改系统和网络设置。
一旦超级管理员发生违规访问和操作，系统就没有任何安全可言。因此，涉密信息系统必须删除超级管理员账号，将系统管理划分为“配置、授权、审计”三种相互独立、相互制约的权限，由系统管理员、安全保密管理员、安全审计员分别掌握。
以系统新增用户为例，比如，经批准系统将新增一个用户名为“user”的用户，可以访问机密级以下信息,具体操作是:系统管理员新建账号“user”:安全保密管理员为“user”账号授予机密级以下信息访问权限:安全审计员查看系统中系统管理员和安全保密管理员增加“user”账号并授权的操作记录，对照工作审批单进行审计,以确定系统管理员、安全保密管理员的操作是经过授权和批准的。这样，对系统的一项配置须由两个管理角色配合才能生效，第三个管理角色进行监督和审计，避免了因管理权限过大而带来的安全保密风险。
涉密信息系统中的网络设备、安全保密设备、服务器和用户终端、操作系统、数据库、涉密业务应用系统的管理原则上都应由系统管理员和安全保密管理员配合完成，由安全审计员进行审计。在实际管理过程中，如果从技术上可实现某项配置两人操作方可生效，则将该项配置分工于系统管理员和安全保密管理员来完成，并由安全审计员对操作日志进行审计。
如果从技术上不能实现配置操作的分工，例如，交换机、路由器等通用网络设备本身没有划分“三员”功能，但能记录操作日志，则要求由系统管理员或安全保密管理员完成相关操作后，由安全审计员对操作日志进行审计。
