涉密信息系統保密管理探討

涉密信息系統安全保密管理探討摘要：本文通過分析信息化條件下涉密信息系統保密管理與技術的關系，結合目前涉密信息系統保密管理的現狀與問題，根據涉密信息分級保護標準規范要求，從宏觀層面初步探討提出了當前形勢下涉密信息系統保密管理的原則、基本思路與方法，并提出了相應的建議。關鍵詞：涉密信息系統分級保護信息系統建設生命周期一、引言涉密計算機信息系統（以下簡稱涉密信息系統）是指涉及國家秘密和黨政機關工作秘密的計算機信息系統，主要包括黨政軍領導機關用于處理涉密信息的單機和用于內部辦公自動化或涉密信息交換的信息系統；也包括企事業單位涉及國家秘密的信息系統。當前，隨著我國黨政軍領導機關和國防科研軍工單位信息化進程的全面加快，保密管理的對象、領域、方式和環境發生了深刻變化，在知密范圍、涉密行為以及涉密人員的界定和管控等方面，出現了許多新的問題，傳統的保密管理措施已經不能適應新形勢下保密工作發展的要求，由于涉密單位的業務特殊性，如何對涉密信息系統進行科學有效的保密管理，已經成為涉密信息系統建設使用單位急需解決的問題，迫切需要新的管理思路與辦法。二、涉密信息系統保密管理與技術的關系在網絡環境下，國家秘密的存儲、處理和流轉方式發生了根本性變化，涉密電子文件易復制、易傳播的特點，使得泄密渠道增多，一旦發生泄密情況，則擴散速度快，涉及范圍廣，且不易被發覺，危害特別大。面對信息化條件下保密工作新形勢，傳統的紙質涉密文件的保密管理措施已經不能完全適應新形勢下保密工作發展的要求，涉密信息系統的保密管理亟需提升技術支撐能力。在當前的形勢下，可以說技術與管理是涉密信息系統安全保障的兩個支撐要素，二者相輔相成，缺一不可：即使非常嚴密的管理，沒有技術手段支撐，也保證不了安全；無論多么先進保密技術，沒有管理措施保障，也不能發揮應有的作用。但在具備了一定技術手段的前提下，管理則成為決定因素。因此，各涉密單位應當根據涉密信息系統自身的特點，制定出具有針對性和可操作性的管理措施，并嚴格執行。三、涉密信息系統保密管理的現狀與問題隨著我國綜合國力不斷增強和國際戰略地位顯著提高，我國已成為各種情報竊密的重點目標，境內外敵對勢力和國外情報機構加緊對我實施全方位的信息監測和情報戰略，竊密活動十分猖獗，各級黨政軍機關、國防軍工科研生產單位作為國家秘密的主要生成區、密集區，更是成為敵對勢力竊密的重點對象。但目前我國涉密信息系統建設使用單位保密管理水平比較低，與形勢的發展很不適應，急需進一步加強。就拿航宇公司為例，該公司先后建立的涉密應用系統有：OA系統，CAPP系統，ERP系統，檔案管理系統，PDM系統等，這些系統在建設、規劃和保密管理中存在的問題主要表現在以下幾個方面：(一)涉密信息系統定密的隨意性、不準確問題目前該公司很多涉密信息系統定密比較隨意，不準確，界定不清楚，甚至很多涉密人員都不清楚自己管理的應用系統的密級別。究其原因主要是沒有嚴格確定定密責任，缺乏專業定密人員，定密依據不夠明確和細化，定密程序不規范等。(二)涉密信息系統安全保密工作“重技術、輕管理”的現象比較突出目前公司很多涉密信息系統的安全保密方案只注重安全保密技術建設，過于依賴技術來實現保密要求，而忽略保密管理的重要性。由于缺乏有針對性的保密管理措施進行有機整合，所有的安全保密措施只是產品的簡單堆砌，使得整個安全保密方案先天性不足。眾所周知，如果沒有強有力的管理來支持，再好的技術防范措施都會大打折扣，再好的技術防范產品也將成為擺設，因此涉密信息系統安全保密工作的重點還是在于管理。（三）涉密信息系統建設生命周期“重建設、輕監管”通常情況下，我們將信息系統建設生命周期（SDLC）劃分為五個階段：規劃需求階段、設計開發階段、實施階段、運行維護階段、廢棄階段。也就是說，系統是不斷變化的，安全保密工作也應隨之發生變化，各個階段安全保密要求不同，每個階段都應制定相應的保密制度，并落實執行、監管。由于公司很多應用項目都是和第三方公司合作，而這些公司可能存在著對系統建設生命周期各階段的保密標準的具體要求把握不準的情況，使得工程實施各階段沒有嚴格執行保密要求或者與安全保密建設不同步情況時有發生，而這一塊我們又缺乏最起碼的監管手段，從而給系統增加了安全隱患。舉個例子，在涉密信息系統經過保密審批投入運行后，由于一般都是由系統建設使用單位的信息化部門在負責日常的運行維護。但信息使用和管理的保密要求。涉密信息系統分級保護是國家信息安全等級保護的重要部分，其核心思想是“從實際出發，綜合平衡安全成本和風險，優化信息安全資源的配置，確保重點。”因此，涉密信息系統應該遵循國家保密標準規范，在分級保護的框架下，按照“規范定密，準確定級；分域分級，科學防護；風險評估，動態調整；技管并重，全面保障”的基本思路進行保密管理，具體方法為：(一)涉密信息系統應該嚴格按照以系統分域定級、方案設計、工程實施、系統測評為中心環節的操作流程，積極組織開展涉密信息系統建設工作1．涉密信息系統建設使用單位應按照信息密級、行政級別、業務類別、系統重要性和安全策略等因素劃分安全域，并根據各安全域所處理信息的最高密級確定等級。2．涉密信息系統建設使用單位應選擇具有涉密信息系統集成資質單位進行承建，結合國家保密標準BMBl7—2006《涉及國家秘密的信息系統分級保護技術要求》和BMB20--2007《涉及國家秘密的信息系統分級保護管理規范》等相關標準，在風險評估的基礎上，從技術和管理兩個方面進行綜合設計。保密工作部門應當參與方案審查論證，在系統總體安全保密性方面加強指導，嚴格把關。3．涉密信息系統建設使用單位應按照BMBl8--2006《涉及國家秘密的信息系統工程監理規范》進行工程監理。在進行工程監理時，應選擇具有涉密工程監理單項資質的單位或組織自身力量加強監督檢查。4．涉密信息系統在投入使用前，經過保密工作部門授權測評機構的安全保密測評和保密工作部門審批。涉密信息系統建設使用單位應按照測評機構的要求，提交測評所需的必要資料，并配合系統測評工作。(二)涉密信息系統建設使用單位應該整合保密部門、信息化建設部門和其他相關部門力量，密切合作，各負其責，形成合力共同加強系統的保密管理工作1．在系統定級方面，保密部門發揮準確掌握國家保密政策的優勢，與信息化部門、業務工作部門一起研究確定系統和安全域所處理信息的最高密級，從而確定保護等級。2．在方案設計方面，信息化部門利用熟悉技術的特點，按照分級保護技術要求和管理規范，組織開展分級保護方案的設計工作。保密部門應對總體方案進行監督、檢查和指導，組織專家進行評審論證。3．在工程實施方面，信息化部門應具體承擔組織實施工作，并定期與保密部門對安全保密措施落實情況和工程進展情況監督、檢查。4．在系統工程施工結束后，保密部門負責組織系統測評和系統審批工作，信息化部門密切配合。5．在系統投入運行后，保密、信息化、密碼、業務工作、保衛和人事等有關部門應按照“分工合作、各司其責”的原則，在滿足基本管理要求的基礎上，主要從人員管理、物理環境與設施管理、設備與介質管理、運行與開發管理和信息安全保密管理五個方面抓好系統應用中的日常管理，積極開展風險評估和保密監督檢查，并做好系統廢止階段的善后工作。六、涉密信息系統安全保密建議（一）要樹立起有效控制的思想。保密的實質是什么？筆者認為保密的實質就是控制，要做到國家秘密在任何時候、任何情況下都受控。而做好控制的最有效方法就是盡一切可能縮小知悉范圍，做到知悉必須以工作需要為原則。為檢驗控制的效果，則要做好全程登記工作，將所有知悉國家秘密的人和情況記錄在案，做到可查、可追溯。（二）要建立起一個高效的保密機制。保密工作機制就是將保密工作各相關要素組合在一起，通過各要素之間的相互聯系、相互制約、相互作用，使其向既定的保密工作目標自行運轉。比如保密資格認證制度就是一個好的機制。它將軍工單位承擔武器裝備科研生產任務與保密緊密聯系起來，與單位生存發展緊密聯系起來，通過開展達標活動，使保密工作按照相關標準的要求自行運轉。在單位內部，將各項保密要求制定成保密檢查標準，通過定期檢查，量化打分，發現和改進企業保密管理的薄弱環節，同時將每位涉密人員平時的保密工作情況納入年度綜合考評，與其晉級、晉職、獎懲等緊密聯系起來，激勵每一位涉密人員自覺地做好保密工作。建立這樣一個能夠自行運轉的系統，將從根本上解決做好保密工作的動力問題，由過去的讓我做變成我要做，促使軍工單位保密工作發生質的變化。（三）要抓好保密工作三大體系建設保密工作三大體系是指：保密組織管理體系，保密法規制度體系，保密技術防護體系。保密是一項管理工作，是需要有職能部門和專職人員開展的工作，且必須有經費的保障，建立保密組織管理體系是做好保密工作的基本條件和基本保障。保密法規制度是做好保密工作的重要基礎和前提。保密法規制度體系的建立要做到各類涉密事項和任何涉密活動都有制度進行約束和控制。保密技術防護體系是做好保密工作的重要手段和措施。要將涉密區域和要害部門部位通過技術手段全面控制起來。安裝必要的電視監控系統、門禁系統、區域紅外報警系統等。（四）要重視安全保密的管理工作隨著信息安全技術的發展，信息安全產品正在向智能、整合和管理方向發展，未來的涉密信息系統安全保密技術防范方案將會越來越完善。同時我們也應該注意到，如果沒有強有力的管理來支持，再好的技術防范措施都會大打折扣，再好的技術防范產品也將成為擺設，因此涉密信息系統安全保密工作的重點還是在于管理，需要制定切實可行的規章制度，定期進行涉密信息系統的安全保密檢查，發現問題及時整改，并嚴肅處理違規的責任人，從而不斷強化員工的安全保密意識，使員工能夠自覺遵守企業安