【文章內(nèi)容簡介】 涉密信息系統(tǒng)建設(shè)使用單位急需解決的問題，迫切需要新的管理思路與辦法。二、涉密信息系統(tǒng)保密管理與技術(shù)的關(guān)系在網(wǎng)絡(luò)環(huán)境下，國家秘密的存儲、處理和流轉(zhuǎn)方式發(fā)生了根本性變化，涉密電子文件易復(fù)制、易傳播的特點(diǎn)，使得泄密渠道增多，一旦發(fā)生泄密情況，則擴(kuò)散速度快，涉及范圍廣，且不易被發(fā)覺，危害特別大。面對信息化條件下保密工作新形勢，傳統(tǒng)的紙質(zhì)涉密文件的保密管理措施已經(jīng)不能完全適應(yīng)新形勢下保密工作發(fā)展的要求，涉密信息系統(tǒng)的保密管理亟需提升技術(shù)支撐能力。在當(dāng)前的形勢下，可以說技術(shù)與管理是涉密信息系統(tǒng)安全保障的兩個(gè)支撐要素，二者相輔相成，缺一不可：即使非常嚴(yán)密的管理，沒有技術(shù)手段支撐，也保證不了安全；無論多么先進(jìn)保密技術(shù)，沒有管理措施保障，也不能發(fā)揮應(yīng)有的作用。但在具備了一定技術(shù)手段的前提下，管理則成為決定因素。因此，各涉密單位應(yīng)當(dāng)根據(jù)涉密信息系統(tǒng)自身的特點(diǎn)，制定出具有針對性和可操作性的管理措施，并嚴(yán)格執(zhí)行。三、涉密信息系統(tǒng)保密管理的現(xiàn)狀與問題隨著我國綜合國力不斷增強(qiáng)和國際戰(zhàn)略地位顯著提高，我國已成為各種情報(bào)竊密的重點(diǎn)目標(biāo)，境內(nèi)外敵對勢力和國外情報(bào)機(jī)構(gòu)加緊對我實(shí)施全方位的信息監(jiān)測和情報(bào)戰(zhàn)略，竊密活動十分猖獗，各級黨政軍機(jī)關(guān)、國防軍工科研生產(chǎn)單位作為國家秘密的主要生成區(qū)、密集區(qū)，更是成為敵對勢力竊密的重點(diǎn)對象。但目前我國涉密信息系統(tǒng)建設(shè)使用單位保密管理水平比較低，與形勢的發(fā)展很不適應(yīng)，急需進(jìn)一步加強(qiáng)。就拿航宇公司為例，該公司先后建立的涉密應(yīng)用系統(tǒng)有：OA系統(tǒng)，CAPP系統(tǒng)，ERP系統(tǒng)，檔案管理系統(tǒng)，PDM系統(tǒng)等，這些系統(tǒng)在建設(shè)、規(guī)劃和保密管理中存在的問題主要表現(xiàn)在以下幾個(gè)方面：(一)涉密信息系統(tǒng)定密的隨意性、不準(zhǔn)確問題目前該公司很多涉密信息系統(tǒng)定密比較隨意，不準(zhǔn)確，界定不清楚，甚至很多涉密人員都不清楚自己管理的應(yīng)用系統(tǒng)的密級別。究其原因主要是沒有嚴(yán)格確定定密責(zé)任，缺乏專業(yè)定密人員，定密依據(jù)不夠明確和細(xì)化，定密程序不規(guī)范等。(二)涉密信息系統(tǒng)安全保密工作 “重技術(shù)、輕管理”的現(xiàn)象比較突出目前公司很多涉密信息系統(tǒng)的安全保密方案只注重安全保密技術(shù)建設(shè)，過于依賴技術(shù)來實(shí)現(xiàn)保密要求，而忽略保密管理的重要性。由于缺乏有針對性的保密管理措施進(jìn)行有機(jī)整合，所有的安全保密措施只是產(chǎn)品的簡單堆砌，使得整個(gè)安全保密方案先天性不足。眾所周知，如果沒有強(qiáng)有力的管理來支持，再好的技術(shù)防范措施都會大打折扣，再好的技術(shù)防范產(chǎn)品也將成為擺設(shè)，因此涉密信息系統(tǒng)安全保密工作的重點(diǎn)還是在于管理。（三）涉密信息系統(tǒng)建設(shè)生命周期“重建設(shè)、輕監(jiān)管”通常情況下，我們將信息系統(tǒng)建設(shè)生命周期（SDLC）劃分為五個(gè)階段：規(guī)劃需求階段、設(shè)計(jì)開發(fā)階段、實(shí)施階段、運(yùn)行維護(hù)階段、廢棄階段。也就是說，系統(tǒng)是不斷變化的，安全保密工作也應(yīng)隨之發(fā)生變化，各個(gè)階段安全保密要求不同，每個(gè)階段都應(yīng)制定相應(yīng)的保密制度，并落實(shí)執(zhí)行、監(jiān)管。由于公司很多應(yīng)用項(xiàng)目都是和第三方公司合作，而這些公司可能存在著對系統(tǒng)建設(shè)生命周期各階段的保密標(biāo)準(zhǔn)的具體要求把握不準(zhǔn)的情況，使得工程實(shí)施各階段沒有嚴(yán)格執(zhí)行保密要求或者與安全保密建設(shè)不同步情況時(shí)有發(fā)生，而這一塊我們又缺乏最起碼的監(jiān)管手段，從而給系統(tǒng)增加了安全隱患。舉個(gè)例子，在涉密信息系統(tǒng)經(jīng)過保密審批投入運(yùn)行后，由于一般都是由系統(tǒng)建設(shè)使用單位的信息化部門在負(fù)責(zé)日常的運(yùn)行維護(hù)。但信息化部門并不清楚保密方面的要求，而保密部門又屬于行政部門，不熟悉系統(tǒng)業(yè)務(wù)應(yīng)用情況，只能制定一些原則性管理規(guī)章制度，無法對系統(tǒng)進(jìn)行有效的保密監(jiān)管，不能及時(shí)發(fā)現(xiàn)系統(tǒng)的違規(guī)行為和泄密隱患。（四)涉密信息系統(tǒng)安全保密工作 “重制度、輕執(zhí)行”的現(xiàn)象比較突出航宇公司在涉密信息系統(tǒng)安全保密工作上制定了大量的制度、規(guī)范，并且有專門的保密網(wǎng)站進(jìn)行宣貫，但由于保密工作的長期性和繁瑣性不可避免地對日常工作造成影響，而我們某些員工認(rèn)為保密工作對其日常工作造成居多不便，從而產(chǎn)生抵觸情緒，進(jìn)而對保密制度進(jìn)行抵制，或者“打折處理，表面執(zhí)行”，造成安全保密制度真正落實(shí)執(zhí)行的少，讓很多制度流于形式，流于紙面。另外，我們制定保密制度還存在一個(gè)錯誤觀念，就是：制定保密制度是為了應(yīng)付保密檢查，至于落實(shí)不落實(shí)，執(zhí)行不執(zhí)行沒有多大關(guān)系。所以，要堅(jiān)決克服為了制定制度而制定制度的錯誤觀念。制定制度不是目的，通過制定安全保密制度，并堅(jiān)決落實(shí)執(zhí)行來加強(qiáng)軍工單位保密管理，保證國家秘密安全才是制定制度的根本目的。四、涉密信息系統(tǒng)安全保密管理原則（一）基于安全需求、適度安全的原則：由于信息泄露、濫用、非法訪問或非法修改而造成的危險(xiǎn)和損害相適應(yīng)的安全。沒有絕對安全的信息系統(tǒng)(網(wǎng)絡(luò))，任何安全措施都是有限度的。關(guān)鍵在于“實(shí)事求是”、“因地制宜”地去確定安全措施的“度”，即根據(jù)信息系統(tǒng)因缺乏安全性造成損害后果的嚴(yán)重程度和實(shí)際需求來決定采取什么樣的安全措施。組織機(jī)構(gòu)應(yīng)根據(jù)其信息系統(tǒng)擔(dān)負(fù)的使命，積累的信息資產(chǎn)的重要性，可能受到的威脅及面臨的風(fēng)險(xiǎn)分析安全需求，按照信息系統(tǒng)等級保護(hù)要求確定相應(yīng)的信息系統(tǒng)安全保護(hù)等級，遵從相應(yīng)等級的規(guī)范要求，從全局上恰當(dāng)?shù)仄胶獍踩度肱c效果；（二）最小化授權(quán)以及分權(quán)和授權(quán)相結(jié)合原則：涉密信息系統(tǒng)的建設(shè)規(guī)模要最小化，非工作所必需的單位和崗位，不得建設(shè)可登陸涉密信息系統(tǒng)的終端；其次，涉密信息系統(tǒng)中涉密信息的訪問權(quán)限要最小化，非工作必需知悉的人員，不得具有關(guān)涉密信息的訪問權(quán)限。分權(quán)和授權(quán)原則是指對特定職能或責(zé)任領(lǐng)域的管理功能實(shí)施分離、獨(dú)立審計(jì)等實(shí)行分權(quán)，避免權(quán)力過分集中所帶來的隱患，以減小未授權(quán)的修改或?yàn)E用系統(tǒng)資源的機(jī)會。任何實(shí)體（如用戶、管理員、進(jìn)程、應(yīng)用或系統(tǒng)）僅享有該實(shí)體需要完成其任務(wù)所必須的權(quán)限，不應(yīng)享有任何多余權(quán)限；（三）同步建設(shè)、嚴(yán)格把關(guān)的原則：涉密信息系統(tǒng)的建設(shè)必須要與安全保密設(shè)施的建設(shè)同步規(guī)劃、同步實(shí)施、同步發(fā)展。要對涉密信息系統(tǒng)建設(shè)的全過程(各個(gè)環(huán)節(jié))進(jìn)行保密審查、審批、把關(guān)。要防止并糾正“先建設(shè)，后防護(hù)，重使用，輕安全”的傾向，建立健全涉密信息系統(tǒng)使用審批制度。不經(jīng)過保密部門的審批和論證，信息系統(tǒng)不得處理國家秘密信息。（四）注重管理的原則：涉密信息系統(tǒng)的安全保密三分靠技術(shù)，七分靠管理。加強(qiáng)管理可以彌補(bǔ)技術(shù)上的不足；而放棄管理則再好的技術(shù)也不安全。采用管理與技術(shù)相結(jié)合，管理科學(xué)性和技術(shù)前瞻性結(jié)合的方法，保障信息系統(tǒng)的安全性達(dá)到所要求的目標(biāo)。信息安全管理工作主要體現(xiàn)為管理行為，應(yīng)保證信息系統(tǒng)安全管理主體合法、管理行為合法、管理內(nèi)容合法、管理程序合法。對安全事件的處理，應(yīng)由授權(quán)者適時(shí)發(fā)布準(zhǔn)確一致的有關(guān)信息，避免帶來不良的影響；（五）主要領(lǐng)導(dǎo)負(fù)責(zé)、全員參與原則：主要領(lǐng)導(dǎo)應(yīng)確立其組織統(tǒng)一的信息安全保障的宗旨和政策，負(fù)責(zé)提高員工的安全意識，組織有效安全保障隊(duì)伍，調(diào)動并優(yōu)化配置必要的資源，協(xié)調(diào)安全管理工作與各部門工作的關(guān)系，并確保其落實(shí)、有效；信息系統(tǒng)所有相關(guān)人員應(yīng)普遍參與信息系統(tǒng)的安全管理，并與相關(guān)方面協(xié)同、協(xié)調(diào)，共同保障信息系統(tǒng)安全；（六）系統(tǒng)方法、持續(xù)改進(jìn)原則：按照系統(tǒng)工程的要求，識別和理解信息安全保障相互關(guān)聯(lián)的層面和過程，采用管理和技術(shù)結(jié)合的方法，提高實(shí)現(xiàn)安全保障的目標(biāo)的有效性和效率；安全管理是一種動態(tài)反饋過程，貫穿整個(gè)安全管理的生存周期，隨著安全需求和系統(tǒng)脆弱性的時(shí)空分布變化，威脅程度的提高，系統(tǒng)環(huán)境的變化以及對系統(tǒng)安全認(rèn)識的深化等，應(yīng)及時(shí)地將現(xiàn)有的安全策略、風(fēng)險(xiǎn)接受程度和保護(hù)措施進(jìn)行復(fù)查、修改、調(diào)整以至提升安全管理等級，維護(hù)和持續(xù)改進(jìn)信息安全管理體系的有效性；（七）分級保護(hù)原則：涉密信息系統(tǒng)等級劃分需按照國家關(guān)于涉密計(jì)算機(jī)信息系統(tǒng)等級劃分指南，結(jié)合本單位實(shí)際情況進(jìn)行涉密信息系統(tǒng)定級。按等級劃分標(biāo)準(zhǔn)確定信息系統(tǒng)的安全保護(hù)等級，實(shí)行分級保護(hù)；對多個(gè)子系統(tǒng)構(gòu)成的大型信息系統(tǒng)，確定系統(tǒng)的基本安全保護(hù)等級，并根據(jù)實(shí)際安全需求，分別確定各子系統(tǒng)的安全保護(hù)等級，實(shí)行多級安全保護(hù)；五、涉密信息系統(tǒng)保密管理的思路與方法我國的涉密信息系統(tǒng)實(shí)行分級保護(hù)管理制度，即根據(jù)涉密程度，對涉密信息系統(tǒng)按照秘密級、機(jī)密級、絕密級進(jìn)行分等級實(shí)施保護(hù)。目前，國家保密局已經(jīng)制定發(fā)布了國家保密標(biāo)準(zhǔn)BMBl72006《涉及國家秘密的信息系統(tǒng)分級保護(hù)技術(shù)要求》和BMB202007《涉及國家秘密的信息系統(tǒng)分級保護(hù)管理規(guī)范》，從技術(shù)和管理兩個(gè)方面，詳細(xì)規(guī)定了涉密信息系統(tǒng)建設(shè)、使用和管理的保密要求。涉密信息系統(tǒng)分級保護(hù)是國家信息安全等級保護(hù)的重要部分，其核心思想是“從實(shí)際出發(fā)，綜合平衡安全成本和風(fēng)險(xiǎn)，優(yōu)化信息安全資源的配置，確保重點(diǎn)。”因此，涉密信息系統(tǒng)應(yīng)該遵循國家保密標(biāo)準(zhǔn)規(guī)范，在分級保護(hù)的框架下，按照“規(guī)范定密，準(zhǔn)確定級；分域分級，科學(xué)防護(hù)；風(fēng)險(xiǎn)評估，動態(tài)調(diào)整；技管并重，全面保障”的基本思路進(jìn)行保密管理，具體方法為：(一)涉密信息系統(tǒng)應(yīng)該嚴(yán)格按照以系統(tǒng)分域定級、方案設(shè)計(jì)、工程實(shí)施、系統(tǒng)測評為中心環(huán)節(jié)的操作流程，積極組織開展涉密信息系統(tǒng)建設(shè)工作1．涉密信息系統(tǒng)建設(shè)使用單位應(yīng)按照信息密級、行政級別、業(yè)務(wù)類別、系統(tǒng)重要性和安全策略等因素劃分安全域，并根據(jù)各安全域所處理信息的最高密級確定等級。2．涉密信息系統(tǒng)建設(shè)使用單位應(yīng)選擇具有涉密信息系統(tǒng)集成資質(zhì)單位進(jìn)行承建，結(jié)合國家保密標(biāo)準(zhǔn)BMBl7—2006《涉及國家秘密的信息系統(tǒng)分級保護(hù)技術(shù)要求》和BMB202007《涉及國家秘密的信息系統(tǒng)分級保護(hù)管理規(guī)范》等相關(guān)標(biāo)準(zhǔn)，在風(fēng)險(xiǎn)評估的基礎(chǔ)上，從技術(shù)和管理兩個(gè)方面進(jìn)行綜合設(shè)計(jì)。保密工作部門應(yīng)當(dāng)參與方案審查論證，在系統(tǒng)總體安全保密性方面加強(qiáng)指導(dǎo)，嚴(yán)格把關(guān)。3．涉密信息系統(tǒng)建設(shè)使用單位應(yīng)按照BMBl82006《涉及國家秘密的信息系統(tǒng)工程監(jiān)理規(guī)范》進(jìn)行工程監(jiān)理。在進(jìn)行工程監(jiān)理時(shí)，應(yīng)選擇具有涉密工程監(jiān)理單項(xiàng)資質(zhì)的單位或組織自身力量加強(qiáng)監(jiān)督檢查。4．涉密信息系統(tǒng)在投入使用前，經(jīng)過保密工作部門授權(quán)測評機(jī)構(gòu)的安全保密測評和保密工作部門審批。涉密信息系統(tǒng)建設(shè)使用單位應(yīng)按照測評機(jī)構(gòu)的要求，提交測評所需的必要資料，并配合系統(tǒng)測評工作。(二)涉密信息系統(tǒng)建設(shè)使用單位應(yīng)該整合保密部門、信息化建設(shè)部門和其他相關(guān)部門力量，密切合作，各負(fù)其責(zé)，形成合力共同加強(qiáng)系統(tǒng)的保密管理工作1．在系統(tǒng)定級方面，保密部門發(fā)揮準(zhǔn)確掌握國家保密政策的優(yōu)勢，與信息化部門、業(yè)務(wù)工作部門一