軍工行業涉密信息系統綜合管控體系研究與實踐

◎中國空間技術研究院 趙飛 劉闖斌

一、問題提出

隨著信息技術的迅猛發展，計算機和網絡已經應用到社會生活的各個方面。信息化在帶來高效和便利的同時，也給國家各行各業計算機網絡信息安全的保密工作帶來巨大挑戰。由于國際國內形勢復雜多變，信息安全保密問題日益突出，我國信息安全部門積極引進、借鑒了一些國際組織和國家的信息安全技術和軟件產品，經過多年的努力，以軍工單位為代表的涉密單位形成了一套較為完整的安全防護體系。

但隨著技術的發展，信息系統從早期單個計算機應用發展至今，現在已形成大量計算機通過開放式的網絡體系互連、互通、互操作的高速化、智能化、應用綜合化的復雜網絡系統。網絡化應用帶來了安全的復雜性，網絡化信息系統的安全絕不是安全產品能夠解決的問題，一方面，缺乏全局的基礎數據、風險監控和策略配置，難以統一協調、難以對海量數據集中儲存和分析處理、難以實現全局的統一的綜合監控、預警和安全響應處理等；另一方面，隨著保密管理與具體業務的不斷融合，涉密信息系統管理的范圍從網絡、基礎設施、邊界、終端、安全產品等技術層面向響應機制、風險管理、人員管理、預警防范、監督檢查、關聯分析等全方位要求發展，研究如何將保密管理與信息安全相結合起來，充分發揮安全防護系統作用，落實安全保密要求，形成一個高效、可用、全方位的涉密信息系統綜合管控體系，成了涉密信息系統管理研究的熱點問題。

二、現狀分析

軍工行業的保密工作具有“四多兩高”的特點，即：涉密人員多、涉密載體多、要害部門部位多、新增業務導致新情況多，以及涉密程度高、涉密業務管理復雜度高，涉密信息系統管理相關信息分散，不能滿足業務管理需求。在日常的涉密信息系統管理工作中，存在大量涉及人員、設備、載體以及文件等的管理信息，由于沒有集中、統一的管理平臺，數據分散記錄與存儲在各業務系統，大量記錄檔案以紙質為主，信息共享程度較低，無法為相關部門提供及時、完整的信息，不利于工作檔案的收集、不利于數據的積累和再利用、不利于安全事件的快速查詢檢索與追溯；且管理過程中多關注于信息安全的縱向、深度管理，未全面兼顧保密管理的橫向、廣度要求，監督檢查手段落后，數據采集管理信息不全面，數據管理與分析的維度不靈活，經常出現重復工作，效率低下。

因此，迫切需要在現有涉密信息系統安全防護體系的基礎上，構建涉密信息系統綜合管控體系，推動業務融合，實現保密管理聯動，創新管理模式，提升運行管理能力，降低被攻擊風險，提高安全響應速度，使涉密信息系統管理成為一個綜合、動態、互聯、互動的整體。

三、涉密信息系統綜合管控體系架構設計

本文提出的軍工行業涉密信息系統綜合管控體系架構的設計圍繞這四個層面開展，“以三類業務系統為支撐、以一個流程引擎為驅動、以一個統一數據庫為源頭、以一個綜合管控駕駛艙為平臺”，體系架構見圖1所示。

（一）三類業務系統

涉密信息系統的業務管理包括四個方面21項工作，涉及面廣，工作內容復雜，在大部分軍工行業中上述工作也分屬于不同的業務部門管理，分工界面交織，管理復雜度大。橫縱交錯的管理目標，一方面每個業務都必須有各自的管理平臺，支持其業務的高效運轉，才有可能在其基礎上實現綜合管控和分析；另一方面，業務系統之間還需要采用高效的信息交互手段實現系統聯動，最終實現一體化管控。針對涉密信息系統管理，為實現其全業務數據的統一管理，需要依靠三類業務系統的支撐，具體為：

1、涉密信息系統業務管理系統。該系統是整個管控平臺的核心，實現涉密信息系統兩大類核心業務的管控，一類為涉密信息系統自身運轉過程中涉及的日常業務管理（縱向工作），包括終端、服務器、交換機等涉密設備的資源管理；機房、配線間等基礎設施物理環境管理；一類為信息安全保密及安全保密管理涉及的橫向工作，包括網絡運行維護及應用系統運行狀態管理；網絡、應用系統、安全產品的使用配置管理；涉密信息系統綜合預警與關聯分析；涉密信息系統的安全審計、應急響應與風險評估等內容。

2、保密業務管理系統。該系統是整個管控平臺的重要組成部分，涉密信息系統業務大多來自保密管理的要求，在該系統中除實現日常保密管理、監督、檢查、綜合分析等工作的同時，還需實現保密管理要素與涉密信息系統業務管理系統的貫通，實現業務牽引和系統聯動，從而實現高效管理。

3、其他業務管理系統。改造其他業務部門的支撐管理系統，在業務流程中增加信息安全和保密管理的橫向管理要素，實時記錄涉密信息系統管理需要的各類信息，實現涉密人員、涉密載體、涉密設備介質、涉密項目等的生命周期管理。

依托這三類業務系統，實現涉密信息系統全生命周期管理所需所有數據信息的實時采集閉環管理，為運行監控、風險評估、動態預警、關聯分析、故障處理提供基礎。

圖1 涉密信息系統綜合管控體系架構圖

（二）一個流程引擎

工作流引擎是計算機領域提出的一種業務過程計算模型，目前在信息系統建設領域，該技術的應用已經相當廣泛，大部分管理信息系統均采用流程驅動的方式實現業務管理，但傳統企業的業務管理，大多數以本部門的主營業務為牽引，設定的工作流程重縱向業務，無法實現橫向業務的聯動管理，對于信息安全管理與安全保密管理等橫向業務要求還是采用簡單的報表輸出、定期匯總、集中處理等方式處理，實時性差、容易遺漏、錯誤率高，往往等其他部門再處理時發現大量有用信息缺失或不完整，整理數據重復工作量大，造成橫向業務管理所需要的信息采集和管理效能低。

基于上述思想，利用流程驅動實現涉密信息系統業務數據的采集和聯動，本文構建與業務系統松耦合的、相對獨立的、統一的流程引擎，按業務而不是按照部門構建業務流程，各業務系統不再獨自建立工作流引擎，各業務系統僅負責發起業務流程請求，由流程引擎負責調用相應的工作流池，驅動流程，并根據每個流程節點要求自動從各業務系統中提取或回寫相應的業務數據含橫向業務數據，流程引擎示意見圖2所示。

在統一的流程引擎驅動下，針對軍工行業涉密信息系統綜合管控要求，本文提出重構現有企業流程體系，一是在現有業務流程中直接增加信息安全和保密管理處理環節，如：在涉密會議申請流程中增加涉密會議管理方案及檢查環節，在涉密計算機入網流程中增加終端安全防護狀態檢查環節等；二是將部門間的業務協同直接納入流程實現自動驅動，如：將涉密人員的密級變更業務與涉密應用系統權限調整業務聯動，將應用系統的上線應用與防火墻策略調整業務聯動，實現跨部門業務聯動。有效實現業務部門將信息安全與保密管理的要素真正融入到業務系統中，避免兩層皮現象；同時在流程流轉的過程中，涉密信息系統管理所需要的數據會第一時間附著到流程里，實現數據采集，流程結束后同時將數據從流程中抽取出、加工處理后，分別回寫入到各自的業務系統中，有效保證了安全保密數據的第一時間搜集和存儲，減少重復工作，避免各類檢查到來時的臨時統計整理。

圖2 流程引擎示意圖

（三）一個統一數據庫

從數據信息的屬性進行分析，一般情況下，可將企業的各種管理信息分為三類：即靜態信息、動態信息和統計信息。靜態信息主要是隨時間變化相對較小的信息，主要是一些企業的基礎信息，如設備信息、人員信息、應用系統信息、保密要害部門部位等資源類信息；動態信息是指在業務活動中產生的，經常變化的信息，如應用系統變更情況，設備聯網記錄，保密檢查計劃，操作工序等；統計信息是在綜合了靜態信息和動態信息，并經過一些公式運算形成的報表等其他綜合信息。目前涉密信息系統綜合管控所需要的數據信息以上述三種形式散落在各個業務系統的數據庫中，數據大量冗余，數據結構不一致，數據綜合分析困難。為將各業務系統的異構數據庫整合起來，并保證數據的準確性、唯一性，需建立一種松耦合的、統一的數據庫。該數據庫是一種邏輯數據庫，構建在業務系統私有數據庫之上的，將各業務系統產生的動態信息保留在私有數據庫中，將靜態信息存儲到統一的數據庫中，并利用數據訪問中間件實現不同業務系統間動態數據的交互，業務系統對靜態信息的訪問和統計信息的管理使用具體架構圖如圖3所示。

圖3 統一數據庫示意圖

采用統一數據庫方式能夠保證數據的準確性、一致性和完整性，只有準確、完整的數據才能提高使用價值；能夠輕松解決綜合信息分析、流程聯動和輔助決策等功能。在系統的安全穩定性方面，采用統一數據庫能有效的克服原有各業務系統存在標準不統一、數據冗余、信息重復設置等弊端，實現數據的集中控制與管理，使得整體安全性也大大提高。

（四）一個綜合管控駕駛艙

對于復雜的涉密信息系統，基于合理的體系架構，駕駛艙技術的實現并不復雜，難點在于如何建立全面、完整、有效的KPI指標，至于選取哪些指標作為本單位涉密信息系統的關鍵性指標，不同的企業情況是不一樣的，同一企業的不同類型的崗位、部門對于關鍵指標的選擇也是有差別的。本文為軍工行業涉密信息系統綜合管控設計多維度、矩陣式的KPI指標模型，定義為企業級、部門級和一線人員級三級，并根據單位任務特點面向五類人員。面向頂層領導，提供系統整體運行情況，各類綜合、全局統計分析數據，及時掌握本單位涉密信息系統工作情況；面向信息化管理部門，提供物理環境、設備介質使用、終端運行、網絡運行、應用系統運行、安全防護系統運行、數據庫運行、安全審計、應急響應與恢復等具體業務運行情況的統計數據和關聯預警分析；面向保密管理機構，提供規章制度檔案、要害部門部位、保密審查、涉密會議、涉密載體、外事活動、出境管理、保密考核等具體業務運行情況的統計分析；面向各業務部門，提供本部門涉密設備、涉密人員、涉密業務、載體流轉、保密自查、計算機檢查、二級制度檔案等信息安全和保密管理業務開展情況的統計分析；面向專兼職業務管理人員，提供分管業務范圍內發生的各類安全事件報警監控，以便及時發現并處理。

四、涉密信息系統綜合管控架構應用實踐

針對信息安全與安全保密管理中遇到的突出問題，航天五院本部基本搭建完成了基于涉密信息系統綜合管控架構模型，按照“整體規劃、突破重點、循序漸進，穩步推進”的原則，先后啟動了涉密信息系統業務管理系統、保密業務管理系統、業務流程電子化審批引擎、IT自主服務門戶的建設，初步構建了統一的數據庫，并明確了管理目標，即：遵照國家保密標準，以信息數據為基礎、以流程驅動為輔助、以應用集成為核心，建立集信息管理、安全審計、運行監控、風險預警、關聯分析、保密工作、保密管理、保密監管于一體的綜合管控平臺。

平臺經過兩年的建設，已經實現了臺式計算機終端、網絡設備、服務器、移動介質、安全設備、便攜式計算機、應用軟件、辦公自動化設備等20余類設備的資產管理，涉密計算機入網、服務器上線、涉密人員出國審批、宣傳報道等50多項電子表單審批；終端安全防護違規分析、計算機終端自動檢查、關鍵重要系統更改自動提醒等功能；院本部5000多涉密人員管理、載體與設備管理、宣傳報道、涉外管理以及保密檢查等業務的信息化，大幅提升保密監管能力，提高保密管理效率與綜合管理水平。

五、結束語

本文介紹了一種全新的涉密信息系統綜合管控架構，描述了管控架構包含的內容、關聯關系和工作模式，提出綜合管控平臺建設的技術實現方法，并以航天五院本部的實際工程應用，驗證了架構的可行性。

本文提出的這種綜合管控架構是一種通用的體系架構，它不僅適用于航天單位的涉密信息系統管理還適用于其他類似軍工單位涉密信息系統的管理，為涉密信息系統的綜合管理、動態管控提供一種可行、高效的方法。