根据GM/T 0115《信息系统密码应用测评要求》，对于三级信息系统，密钥管理员、密码安全审计员、密码操作员应由本机构的内部员工担任，并必须在任前对其进行背景调查。