企業(yè)信息安全(保密)培訓(xùn)的幾點(diǎn)思考

　　[摘要]據(jù)美國媒體報(bào)道，名列《財(cái)富》全球1000強(qiáng)的大公司，平均每年發(fā)生2.45次的商業(yè)間諜事件，損失總數(shù)高達(dá)450億美元。全面開辰保密工作保護(hù)商業(yè)秘密安全，應(yīng)成為企業(yè)的首要工作。
　　[關(guān)鍵詞]信息安全；保密意識；保密制度；保密培訓(xùn)
　　[中圖分類號]G35 [文獻(xiàn)標(biāo)識碼]A [文章編號]1005-6432(2010)35-0117-02
　　
　　2009年8月12日上海市檢察機(jī)關(guān)以涉嫌侵犯商業(yè)秘密罪、非國家工作人員受賄罪，對澳大利亞力拓公司上海辦事處胡士泰等4人作出批捕決定，力拓商業(yè)諜案這一真實(shí)版《潛伏》的內(nèi)幕被揭開。在胡士泰的個(gè)人電腦里，國安人員發(fā)現(xiàn)了數(shù)十家與力拓簽有長協(xié)合同的中國鋼鐵企業(yè)資料，涉及企業(yè)詳細(xì)的采購計(jì)劃、原料庫存的周轉(zhuǎn)天數(shù)、煉鋼配比、生產(chǎn)安排、進(jìn)口礦的平均成本、毛利率、生鐵的單位消耗等數(shù)據(jù)，還有一些大型鋼企每月的鋼鐵產(chǎn)量和銷售情況，甚至還有中方鐵礦石談判組的內(nèi)部會議紀(jì)要。業(yè)內(nèi)人士稱，以上信息可以推算出中方對鐵礦石的需求量和依存度，在談判過程中，力拓可以依據(jù)這些信息來掌控價(jià)格的降幅。僅僅一兩個(gè)百分點(diǎn)的價(jià)格變化，事關(guān)企業(yè)數(shù)十億乃至上百億的盈虧。在情報(bào)界，間諜機(jī)構(gòu)往往可以從一國鋼鐵生產(chǎn)與消耗數(shù)據(jù)，推算出該國的國民經(jīng)濟(jì)建設(shè)情況，甚至軍艦、飛機(jī)等大型武器系統(tǒng)的生產(chǎn)情況。
　　從所有泄密事件的分析來看，當(dāng)前企業(yè)保密工作中普遍存在三個(gè)方面的泄密隱患：相關(guān)工作人員信息保密意識淡薄，企業(yè)缺乏健全的保密管理體制，欠缺專業(yè)的保密安全技術(shù)投入和對員工的培訓(xùn)。為此，對于企業(yè)信息安全(保密)工作的開展，筆者建議應(yīng)從以下幾個(gè)方面著手。
　　
　　1　樹立企業(yè)保密意識
　　
　　企業(yè)的保密工作開展已經(jīng)迫在眉睫。保密工作首要任務(wù)是增強(qiáng)企業(yè)員工的信息安全(保密).意識。首先要以《保密法》為主要內(nèi)容對員工進(jìn)行宣傳教育，增強(qiáng)保密觀念，提高員工保密意識、責(zé)任意識。
　　
　　2　企業(yè)保密制度不可忽視
　　
　　日本的許多公司設(shè)有反情報(bào)機(jī)構(gòu)，更有著嚴(yán)格的保密制度。比如在接待外賓參觀時(shí)，企業(yè)有規(guī)定的路線和項(xiàng)目，不得擅自更改，陪同人員也設(shè)置為2名，互相監(jiān)督，防止泄密。日本液晶顯示技術(shù)的骨干企業(yè)夏普公司已經(jīng)將2008年秋天投產(chǎn)的天理和三重工廠作為秘密工廠不但禁止外部人員進(jìn)入，即使本廠內(nèi)部人員，只要不是負(fù)責(zé)這段工序的，未經(jīng)許可也禁止進(jìn)入生產(chǎn)現(xiàn)場。而且，只要能夠讓外人了解到制造工序的技術(shù)，一概不申請專利，實(shí)施徹底的保密主義。
　　根據(jù)《中華人民共和國反不正當(dāng)競爭法》的規(guī)定，法律對商業(yè)秘密予以司法保護(hù)的重要前提是權(quán)利人必須對自己的商業(yè)秘密采取主動、全面和有效的保密工作，具體界定出商業(yè)秘密的范圍、等級、權(quán)屬和禁止性義務(wù)，并應(yīng)以規(guī)范的合同方式約定雙方的權(quán)利和保密義務(wù)。事實(shí)上，為防止競爭對手竊取自身核心機(jī)密，大企業(yè)都有更完善的防御措施。全球多數(shù)知名公司都制定了嚴(yán)格的有關(guān)職業(yè)道德和商業(yè)行為的規(guī)章制度。
　　因此，企業(yè)首先要根據(jù)自身業(yè)務(wù)建立安全(保密)制度并不斷完善相應(yīng)的規(guī)章，做到制度管人、以制度約束人，確保每一個(gè)環(huán)節(jié)不出紕漏。如《公司知識產(chǎn)權(quán)與保密規(guī)定》、《關(guān)于公司員工退、離(辭)職有關(guān)題目的規(guī)定》、《公司計(jì)算機(jī)使用及電子郵箱、網(wǎng)絡(luò)治理規(guī)定》、《關(guān)于公司局域網(wǎng)的治理辦法》、《研究報(bào)告四級質(zhì)量控制體系治理規(guī)定》等。要使企業(yè)的保密工作做到“有制度可依，有制度必行，執(zhí)行必嚴(yán)，違反必究”。
　　
　　3　加強(qiáng)保密隊(duì)伍建設(shè)
　　
　　企業(yè)保密隊(duì)伍建設(shè)要以領(lǐng)導(dǎo)干部和涉密人員為重點(diǎn)，積極開展面向企業(yè)各層面的保密教育，不斷提高全體員工的保密素質(zhì)。
　　第一，開展領(lǐng)導(dǎo)干部保密教育。為做好信息安全治理工作，加強(qiáng)對信息安全、保密工作的治理，企業(yè)首先要對企業(yè)主要部門如財(cái)務(wù)部、人力資源部、項(xiàng)目部、客戶服務(wù)部、辦公室等涉密職能部門的領(lǐng)導(dǎo)(特別是新上任的領(lǐng)導(dǎo)干部)進(jìn)行保密法律知識的宣傳教育，切實(shí)強(qiáng)化領(lǐng)導(dǎo)保密責(zé)任。因?yàn)槠髽I(yè)領(lǐng)導(dǎo)者無意間泄露公司機(jī)密對企業(yè)造成的傷害也是不可估量的，畢竟他們所掌握的信息比普通雇員要多許多。
　　第二，開展涉密人員保密教育。根據(jù)不同部門、不同層次、不同對象、不同崗位的特點(diǎn)和要求，對企業(yè)涉密人員進(jìn)行保密形勢教育、保密法制教育、保密制度教育。
　　第三，開展全員保密宣傳教育。企業(yè)可采取多媒體、網(wǎng)絡(luò)、掛圖、知識問答等多種形式，廣泛開展經(jīng)常性的保密宣傳教育活動，以增強(qiáng)保密意識，共筑安全防線，促進(jìn)企業(yè)持續(xù)和諧發(fā)展。
　　
　　4　推進(jìn)員工保密培訓(xùn)
　　
　　　企業(yè)中的員工，按照保密管理可以分為三類：剛進(jìn)入公司的新員工、在崗的老員工和即將離崗員工。企業(yè)要針對不同類型的員工開展有效地保密培訓(xùn)。
　　第一，新員工進(jìn)職培訓(xùn)。首先，新員工的篩選，要考慮是否符合職位的信息安全需要，要仔細(xì)驗(yàn)證新員工提供的證明材料及文憑是否真實(shí)。其次，與新員工簽署的勞動合同中要明確信息安全責(zé)任，使新員工從一開始就了解組織對信息安全的要求，這樣容易在員工心目中形成較深的印象。再次，對新員工進(jìn)行崗前教育與培訓(xùn)，使員工在較短的時(shí)間內(nèi)熟悉組織的信息安全政策與程序。
　　第二，在職老員工培訓(xùn)。“安全工作是一個(gè)長抓不懈的工作”，因此，對于在職的老員工也要有相應(yīng)的措施。首先，對要接觸到敏感與機(jī)密信息的員工，要與之簽署保密協(xié)議，要讓員工知道敏感與機(jī)密信息對組織的重要性，以及違反保密協(xié)議要承擔(dān)的責(zé)任。其次，公司要定期組織企業(yè)信息安全培訓(xùn)，加強(qiáng)公司員工的企業(yè)安全意識，增強(qiáng)員工的企業(yè)責(zé)任心。最后要完善溝通渠道，鼓勵(lì)員工把對組織的不滿通過正常途徑及時(shí)地表達(dá)出來，并做妥善處理，把危險(xiǎn)的動機(jī)(對組織心懷不滿的員工，他們常常是信息安全事件的策劃者與發(fā)起者。員工的報(bào)復(fù)性行為會對組織的信息安全造成極大的損害)消滅在萌芽中。
　　第三，給離職員工進(jìn)行培訓(xùn)。離職員工離職的原因有很多，不同的離職原因?qū)τ诠镜陌踩[患程度不同，對于離職者的管理更要全面、更要加強(qiáng)力度。進(jìn)一步細(xì)化員工離職的交接程序，進(jìn)一步嚴(yán)格勞動合同的治理。
　　首先，是工作的交接。工作的交接過程要在部門經(jīng)理或主管監(jiān)督下執(zhí)行，交接內(nèi)容要形成書面報(bào)告雙方簽字認(rèn)可，內(nèi)容涵蓋員工工作說明書中的所有工作以及涉及公司網(wǎng)絡(luò)安全的賬號與密碼等。其次，對于接觸敏感與機(jī)密信息的員工，按原來簽訂的保密協(xié)議進(jìn)行約束，涉密人員和高級管理人員應(yīng)簽訂一定期限的同業(yè)禁入?yún)f(xié)議，規(guī)定離職后幾年內(nèi)不得從事與原單位相應(yīng)的工作等。最后，員工離職后要及時(shí)通知(書面或者電子)各分公司及公司的客戶，聲明某某同志自哪天離職，自即日起該同志的任何行為與本公司無關(guān)等字樣。
　　
　　5　學(xué)習(xí)借鑒先進(jìn)經(jīng)驗(yàn)
　　
　　微軟、西門子等公司從硬件設(shè)備上防止員工拷貝公司資料，他們大部分的員工電腦是不能安裝軟驅(qū)和移動硬盤接口的，這在跨國公司內(nèi)是非常普遍的做法。IBM公司規(guī)定每個(gè)員工只有三次查閱同一文檔的機(jī)會，并且這三次查看的時(shí)間、地點(diǎn)、原因都會被嚴(yán)格的記錄下來。保密不僅僅是蘋果公司的溝通戰(zhàn)略，而且已融入到公司文化中。從事保密項(xiàng)目的員工必須多次刷卡，通過多道安全門，最后輸入一串密碼才能進(jìn)入工作區(qū)。工作場所通常安裝有監(jiān)視攝像頭，部分從事產(chǎn)品測試的員工在工作時(shí)必須用黑斗篷蓋住產(chǎn)品，揭開斗篷時(shí)要開啟紅色警告燈，提醒所有人必須格外謹(jǐn)慎。其他企業(yè)不妨多向大企業(yè)學(xué)習(xí)其先進(jìn)的保密工作經(jīng)