分析涉密系統安全要素

隨著大數據、數據挖掘、云計算等技術誕生并得到應用，推動了軍工制造業的轉型和升級，軍工企業對信息化的依賴日益加強。然而，在當前竊密與反竊密及其尖銳的復雜環境下，軍工企業涉密信息、系統安全問題日益突出。

涉密信息系統安全保密管理體系由安全保密管理機構、安全保密管理制度、安全保密策略、安全審計、風險評估等要素組成。本文主要從涉密信息系統安全保密管理體

系的要素入手，簡要介紹涉密信息系統安全保密制度、安全保密策略、安全審計及風險評估的概念和內容，并綜合分析四者之間相輔相成的關系。

涉密信息系統安全保密管理制度

安全保密管理制度是開展涉密信息系統建設、運行維護等安全保密工作的規范與依據。軍工企業依據國家有關保密法規和標準，結合本單位業務情況，建立健全本單位的涉密信息系統安全保密管理制度。

涉密信息系統安全保密制度包括安全保密責任制度和相關安全保密工作制度。一方面明確責任，實行領導責任制，層層落實，使每個工作人員都明確應承擔的責任和義務。另一方面針對涉密信息產生、存儲、處理、傳輸、和銷毀的全過程，從人員管理、物理環境與設施管理、設備與介質管理、運行與開發管理和信息安全保密等方面制定相應的安全保密工作制度，主要涉及人員管理制度、涉密信息系統環境管理制度、涉密介質和涉密設備管理制度、運行操作管理制度、應急處理制度、災難恢復制度和監督檢查制度。

從實際工作情況看，經過幾輪的涉密信息系統分級保護測評和軍工保密資格認證現場審查，當前軍工企事業單位信息安全保密制度體系已比較健全，但仍存在制度的可操作性有待提高的問題，很多軍工單位在制定安全保密制度過程中會參照相關機構制定的標準和規定要求，在單位的管理制度中經常是照搬標準條款，制度名稱也按照國家有關安全保密要求來命名。表面看來，制度分類清楚、要求明確，但這種制度和工作實際的結合較差，無法落地生效。主要是因為對國家標準和規定的技術要求、管理要求沒有吃透，制度規定“越界”與不統一。例如對涉密信息系統人員相關的要求，需要體現在單位的人力資源部門編寫的相關制度中，而不僅僅由信息化部門將國家標準體現在分級保護管理辦法或涉密計算機與網絡運行管理辦法中。

涉密信息系統安全保密策略

相關組織規定對管理策略的表述為：用來評估與被管客體有關的可識別的規范；對總體IT安全策略的描述為：可以為組織內的每個層次和每個業務單位或部門定義目標（要實現什么）、戰略（如何實現目標）和策略（如何實現這些目標的規則）。

落實到具體的軍工企業涉密信息系統，安全保密策略是為確保本單位涉密計算機及信息系統安全保密而制定的一系列文檔化文件，是涉密信息系統安全保密防護技術和管理措施實施的規范，是涉密信息系統使用人員在使用涉密信息系統時必須遵循的行為準則。

安全保密策略的主要內容包括物理安全策略、運行安全策略、信息安全策略四大部分，每一部分又包含相應的子策略。例如，信息安全策略模塊包括運行管理策略、計算機病毒與惡意代碼防護策略、備份與恢復策略、應急響應策略等策略子項。每個策略子項的編寫需要統一格式統一思路，同時要回答清楚三個問題，即策略的實施對象、策略的內容、策略的執行。

涉密信息系統安全審計

涉密信息系統安全審計是運用各種技術手段，全面檢測信息系統中的各種會話和事件，記錄并分析各種可疑行為、違規操作、敏感信息，幫助定位安全事件源頭和追查取證，防范和發現網絡違規活動，為信息系統安全策略制定、風險自評估提供數據支撐。

安全審計應保證審計的范圍要能夠覆蓋到每個系統的每個用戶。只有范圍覆蓋的合理且全面，才能保證安全審計的充分性和有效性。一般來講，從審計對象的角度看，審計范圍可分為技術審計和管理審計：

技術審計包括對安全保密產品（系統）審計、計算機及網絡設備審計、應用系統安全審計、數據庫審計。

管理審計包括人員管理審計、物理環境與設施管理審計。從審計事件角度來看，主要審計用戶終端、服務器、安全保密設備的啟動和管理、系統用戶的增加與刪除、用戶權限的更改、三員（系統管理員、安全保密管理員、安全審計員）和用戶實施的操作、涉密數據的輸入輸出、身份鑒別事件、訪問控制事件、用戶違規行以及其他與系統有關的事件。

審計方法一般分為使用安全審計分析軟件審計、審計員人工審計以及安全審計軟件和人工審計相結合的審計。審計分析工作是個復雜的過程，在審計分析時要有敏銳的意識、快速的反映能力，能夠將多種事件相關聯，分析其隱藏的漏洞和威脅。

安全審計報告的編寫絕不僅是審計管理員的工作，需要由系統管理員提供基礎環境、系統運行、系統變更等管理情況，由安全保密管理員提供系統安全保密相關的系統變更、安全日志分析，由審計提供對系統管理員和安全保密管理員所有操作的審計結果，最后由一名安全審計用匯總成涉密信息系統月度審計報告，并定期上報信息化管理部門。

涉密信息信息系統風險評估

涉密信息信息系統安全風險評估是對信息及信息處理設施的威脅、影響、脆弱性及三者發生可能性評估，是識別系統安全風險，確定風險出現概率、影響效果、綜合平衡風險和代價的過程。

相關條例規定，軍工單位必須定期組織對本單位涉密信息系統、涉密信息設備和涉密存儲介質進行風險自評估工作，識別系統面臨的不斷變化的威脅、脆弱性、風險和隱患，及時采取整改措施。

風險自評估是單位信息化部門在保密工作機構指導下，根據審計報告和日常檢查情況，組織運行維護機構利用管理和技術手段，對涉密信息系統、涉密信息設備和存儲介質進行綜合安全分析和評估。機密級或秘密級信息系統和信息設備須每年進行一次評估。由國家保密行政管理部門設立或授權的保密測評機構或委托的測評或者風險評估，其出具的結論可視為自評估結論。

軍工單位涉密信息系統運維機構根據風險評估的結果，形成風險自評估報告，進行隱患漏洞和危害性分析評估，針對隱患漏洞和風險，進行來源和威脅分析，及時修改安全策略，并提出可行的管理和技術改進措施建議。

制度、策略、審計、評估之間的關系

軍工單位涉密信息系統的安全是一個動態的復雜過程，它貫穿于信息系統的整個生命周期。安全保密制度、安全保密策略、安全審計、風險評估正是讓這個動態的復雜的安全管理體系形成一個閉環，通過閉環管理，實現涉密信息系統管理體系的持續改進。涉密信息系統安全保密管理體系持續改進模型持續改進模型如圖1所示。

圖1 安全保密管理體系持續改進模型圖

通過方案設計、建設實施、現場測評和保密認證后，涉密信息系統正式投入運行，在運行過程中，需制定一套權威的安全保密管理制度和策略來保證系統中的每個人的行為有章可循。通過安全審計，對系統的運行進行監視，發現運行中的各種安全事件，并及時對系統進行修補和補救。通過科學分析涉密信息系統面臨的風險，發現信息系統系統安全防護存在的問題和薄弱化解，為風險預防、風險規避、風險控制等方面提供依據和決策支持。可以說，安全風險評估是涉密信息系統安全保密體系構建的終點和起點，通過閉環管理，實現對涉密信息系統安全威脅與風險的事前預防、事中控制、事后審計，持續改進安全保密管理體系。安全保密制度、安全保密策略、安全審計和風險評估四者之間的關系如下：

1.安全保密制度擔任著權威者的角色，軍工企業通過安全保密制度來貫徹國家相關保密法律法規，并要求涉密信息系統中的每個人都必須按照安全保密制度履行相關安全保密職責。安全保密制度是安全保密保密體系得以正常運行的關鍵。

2.安全保密策略擔任著指導員的角色，指導和規范涉密信息系統各類操作規程、系統或設備配置策略，使相關人員有章可循，知道什么能做，什么不能做以及怎樣做。涉密信息系統管理策略不是一層不變的，當環境、系統、威脅或風險發生重大變化時，需要組織實施策略制定與修訂工作，總策略至少每兩年進行一次修訂。

3.安全審計及擔任著巡視員的角色，通過巡查和分析各種日志和記錄，了解系統運行狀態，及時發現系統中的安全隱患或安全事件，對系統進行相應的修補或補救。通過安全審計工作，管理人員能夠清楚系統內安全策略、管理制度的執行情況，為信息系統安全保密策略制定、風險評估提供數據支撐。

4.風險評估擔任著評估員的角色，通過信息安全風險評估，可以發現信息系統安全防護存在的問題和薄弱環節，為風險預防、風險規避、風險控制等方面提供依據與決策支持，進而采取措施減少、轉移、避免風險，將風險控制在可以容忍的范圍內。風險評估結果為安全保密策略調整和更新指明了方向，是制訂安全策略和實施安全防護措施的依據。