地質資料數字化管理中存在的信息安全風險及防范措施

白　璐（安徽省地球物理地球化學勘查技術院,合肥　230022）

?

地質資料數字化管理中存在的信息安全風險及防范措施

白璐
（安徽省地球物理地球化學勘查技術院,合肥230022）

摘 要：地質資料是地質工作成果的集中體現，是國家的寶貴財富。隨著信息網絡的快速發展，地質資料數字化管理必然就成為了一個大趨勢，在利用計算機技術方便、高效、快捷工作的同時，要保證地質資料數據的完整性和安全性，信息安全問題就顯得尤為重要。無論是屬于國家涉密種類還是公開的的地質資料，從資料編制的源頭開始，都需要嚴加保管，杜絕安全隱患，防止泄密。從事地質資料數字化管理的單位或企業，應當建立地質資料的整理、保管制度，配置保存、防護、安全等必要設施，學習信息安全知識，配備專業技術人員，保障地質資料數據的完整和安全。

關鍵詞：地質資料；數字化；信息安全；防范措施

0　引言

眾所周知，信息大爆炸時代早已來臨。隨著計算機網絡技術的飛速發展，信息網絡已經成為社會發展的重要保證。隨著全球安全事件的逐年增多，確保網絡信息系統的安全已引起世人的關注，信息安全在各行各業都受到了前所未有的重視。目前在我國地質行業中地質資料的數字化管理技術和網絡信息共享建設仍處于初期階段，整體從業人員的信息安全意識較為淡薄，本文的意旨是在闡述地質資料數字化管理中存在的信息安全風險及防范措施的同時，呼吁廣大地質工作者在現今和以后的工作中提高信息安全防范意識，采取必要的安全手段，保證個人、單位、國家的地質資料數據和財產不受侵害。

1　地質資料數字化管理信息安全風險分析

1.1安全保密管理制度不健全，管理人員信息安全防范意識薄弱

目前地質資料的安全保密管理方面主要依照國土資源部于2008年印發的《涉密地質資料管理細則》實施，文件中詳細規定了國土資源類、測繪類、海洋及其他類的定密原則，并且在對涉密地質資料的標志、入庫、借閱復制等方面也進行了詳細的說明。但這僅僅是對于屬于國家涉密種類的地質資料，而對于可以一般秘密種類的地質資料保密方面國家還沒有出臺相應的政策法規標準，各地質資料編制單位的數字保管中還僅靠涉密計算機保密管理制度，這種重視國家秘密，輕視一般秘密保護的地質資料的現象還比較嚴重。

實際當中由于各單位或企業涉密計算機硬件的配備數量有限、編制地質資料有部分是在野外作業中完成、參與編制地質資料的人員的信息安全防范意識薄弱等原因。雖然在配備涉密計算機的部門和單位已經建立了《涉密計算機保密管理制度》，仍存在涉密地質資料在非涉密計算機上完成的情況，而非涉密計算機在接入互聯網的同時，數據的存儲、處理、傳遞工作在無形當中就增加了安全風險。

1.2非涉密計算機連接外部未知網絡

（1）頻繁更換非涉密計算機的使用地點。由于地質行業的特殊性，有許多地質信息收集、數據處理工作都是在異地、野外、礦山上進行，計算機使用地點經常更換，如果計算機在連接到了外界未知和不安全的無線或有線網絡的情況下，一旦遭受到網絡釣魚或入侵，就可能會存在數據泄密的風險。

（2）在單位或企業內部頻繁使用無線網絡。無線網絡雖然方便了筆記本電腦或移動終端的外部網絡訪問和通信，但在無線路由器上安全選項稍微設置不當，就有可能會引起第三方或不法分子的接入，從而導致連接到無線網絡中的任何一臺計算機都可能引發信息竊取、數據篡改、數據丟失、計算機病毒等現象。

1.3源頭上計算機未采取基本的安全防范措施

（1）安全策略設置不嚴密。在單位或企業內部，接入局域網和互聯網的非涉密計算機上網絡訪問控制權限和內外網的隔離未采取嚴格的安全措施，導致網絡系統存在大量的安全盲點和誤區。

（2）在涉密或非涉密計算機上未設置安全口令。計算機信息系統通過口令驗證用戶身份，區分和控制訪問權限。計算機口令設置如果達不到足夠長度，非常容易被破解。口令一旦被破解，破解者就可以冒充合法用戶進入涉密計算機任意獲取信息。

（3）操作系統的安全漏洞未及時修復。由于目前針對地質行業的數據信息處理軟件大都是在微軟公司開發的Windows操作系統環境下運行的，Windows操作系統雖然操作簡單，但系統漏洞多，穩定性、安全性差，重新啟動、強制關閉、等現象時有發生。基本系統環境的不穩定，加之系統安全漏洞未及時修復，必然會導致一些不法分子利用系統安全漏洞通過網絡進行攻擊或盜竊數據。

（4）未安裝計算機防毒軟件和防火墻設置不當導致計算機感染病毒、蠕蟲或被植入木馬和間諜軟件。病毒是可執行代碼，可破壞計算機系統。蠕蟲比病毒更為普遍，利用受感染系統的文件傳輸功能自動進行傳播，從而導致網絡流量大幅增加直到網絡癱瘓。木馬程序可以捕捉密碼和其它個人信息，使未授權遠程用戶能夠入侵網絡系統。間諜軟件則是惡意病毒代碼，它們可以監控系統性能，并將用戶數據發送給間諜軟件開發者。

1.4接收不安全的外部數據

（1）頻繁接收外部存儲數據。計算機在地質資料的存儲、傳遞過程中使用非涉密移動存儲介質（包括硬盤、移動硬盤、軟盤、U盤、光盤及各種存儲卡）查殺病毒不徹底，接收數據的主機就有可能感染病毒，進而在網絡中進行擴散。

（2）頻繁通過互聯網下載或上傳數據。由于互聯網上很多程序、軟件都存在不安全性，甚至包含病毒、木馬或間諜軟件，在非涉密計算機上編制、整理、傳遞、發送地質資料的同時，有許多信息可能會通過網絡搜索下載或上傳，但如果下載到了未經殺毒軟件檢測安全通過的程序或軟件，計算機的數據保密性和完整性可能會受到侵害。

1.5重要地質數據未及時備份

對經過處理的重要地質資料數據未建立安全備份機制，如果計算機在未備份數據之前出現了感染病毒或系統崩潰的情況，就會出現數據丟失，造成的損失不可估量。

2　地質資料數字化管理中的信息安全防范措施

以上描述到的涉及信息安全風險中的任何一個不經意的細節都可能造成信息泄漏、數據篡改、系統崩潰等不良后果，因此針對有可能會引發信息安全隱患的環節需要做好以下防范措施：

2.1建立并完善相應的地質資料數字化保密管理制度

首先在各單位或企業內部當中應當建立起三項保密管理制度：涉密和非涉密計算機保密管理制度、涉密移動存儲介質保密管理制度、計算機網絡信息保密管理制度。

具體制度內容可以根據《中華人民共和國保守國家秘密法》規定，結合實際，制定相應安全保密制度，各單位和企業與個人簽訂計算機信息網絡安全承諾書，確保信息網絡安全準則規定人人熟知。在實際生產工作中，如出現違反規章制度的人或事，將視情節輕重追究責任。目的是通過強化制度的剛性約束力，形成以制度規范人，以制度約束人，建立和推動信息安全保密工作的長效機制。

2.2強化從業人員的計算機信息安全意識，定期做相關方面的培訓學習

定期對各單位和企業的所有員工開展信息安全、保密教育和計算機維護常識的培訓學習工作，并且通過網站、發文等多種方式加大違規外聯（違反規定接入外部互聯網）宣傳力度，將違規外聯事件的嚴重性、危害性和工作機理貫徹落實到每個崗位，每位員工，每個細節，強化全體員工信息安全意識及水平，確保信息安全教育普及率百分之百，實現全員重視、全員掌握，努力提升信息安全防范水平，確保單位和企業信息網絡安全運行。

2.3運用信息安全技術手段杜絕安全隱患

（1）固定涉密與非涉密計算機的使用地點，盡量不隨意更換使用地點。（2）無論在單位內部或是在野外生產基地都不得使用無線網絡。（3）對接入局域網和互聯網的非涉密計算機上的網絡訪問控制權限和內外網的隔離設置嚴格的安全策略。

（4）設置BIOS開機口令、系統登錄口令、屏幕保護口令。根據有關保密要求，涉密計算機口令設置要根據計算機所處理的涉密信息的密級決定，處理絕密級信息的計算機，口令設置不能少于12個字符，最好采用一次性口令或生理特征鑒別方式；處理機密級信息的，口令長度不得少于10個字符，更換周期不得超過7天；處理秘密級信息的，至少要有8個字符以上的長度，更換周期不得超過30天。設置口令時，要采用大小寫英文字母、數字、特殊字符組合。個人使用的口令，要嚴格保密，不能讓他人知悉。非涉密計算機也要設置復雜的口令。

（5）及時修復操作系統的安全漏洞，確保系統無漏洞安全運行。

（6）安裝防毒軟件和木馬清查工具，每日升級最新病毒庫，并定期對計算機進行病毒查殺（如每天查殺一次），以及時清除病毒和木馬。

（7）安裝防火墻并進行安全設置，封閉不必要的端口。

（8）在使用移動存儲介質之前，必須進行病毒查殺，確保無病毒后再使用。

（9）未經允許不得接入外部互聯網，限制對外部網絡的訪問。

（10）建立有效的數據備份和數據歸檔機制。為保證數據丟失后能重新找回，對重要數據要定期備份，定期復制副本以防止因存儲工具損壞造成的數據丟失。備份工具可采用光盤、硬盤、數據備份一體機等方式，并妥善保管。

（11）使用涉密信息自檢軟件定期對涉密及非涉密計算機進行自檢，發現存在安全問題后及時處理。

參考文獻：

[1]蔣瑞雪.地質資料信息服務產業化中的泄密風險與法律對策[J].情報雜志,2011,30(04):178-180.

[2]姜佳博,韓萌,黃希彧.地質資料安全管理技術研究和實踐[J].數字技術與應用,2014(04):187.

DOI :10.16640/j.cnki.37-1222/t.2016.01.138