煙草行業信息安全風險防控研究

辛志斌

（山西省煙草專賣局（公司），山西 太原 030021）

0 引言

近年來，在國家政策和市場環境的綜合作用下，煙草行業發展呈現出了自動化、智能化、集約化和少人化發展特點，一方面，諸如信息技術、人工智能技術等先進技術手段被廣泛應用于卷煙的生產、銷售和運輸等領域，實現了行業的技術性發展，另一方面，技術的應用降低了行業發展對人力要素的依賴度，諸如制絲生產等環節基本實現無人化作業，行業發展的工藝和流程持續優化升級。當然，技術的發展雖然優化了煙草行業的發展方式方法，但也給行業發展帶來了新的不安全性因素，其中較為突出的就是信息安全風險。行業內企業信息網絡架構的漏洞，以及市場主體薄弱的信息安全風險防控意識，使得行業信息安全風險事件時有發生。基于此，有必要對行業信息安全風險防控進行針對性的研究，以推動行業整體信息安全風險防控能力的提高[1]。

1 煙草行業信息安全風險防控的特點

1.1 參與主體多元化

網絡在煙草生產、銷售、存儲、運輸等環節的廣泛而深入應用，使得與煙草行業發展相關的生產商、銷售商、物流運輸商，以及終端的消費者逐漸形成了鏈條和網絡，并且這些多元化主體的網絡信息和行為軌跡在網絡中均有存儲，這使得信息安全風險防控成為不同主體共同關注的安全問題。在這樣的情況下，多元主體愿意共同參與到行業信息安全風險防控中，以保護自身的信息安全。

1.2 防控手段的綜合性

影響煙草行業信息安全的風險來源比較多，其中既包括人為操作失誤造成的賬號密碼等操作信息泄露，也包括不良網絡主體采用技術手段對網絡信息系統的破壞和系統信息的竊取、篡改。顯然，這種人為因素與技術因素并存的風險格局下，煙草行業的信息安全防控需要采取管理與技術結合的綜合性防控手段，通過加強人的管理和技術的管控來提高行業信息安全防控的整體能力和效果。

2 煙草行業面臨的信息安全風險問題

2.1 行業信息安全風險防控力量分散

在當前的煙草行業發展中，不同行業主體所從事的活動和扮演的角色存在明顯的差異。雖然不同主體之間可能會因為業務活動開展而產生直接性的聯系，但這種聯系均較為分散。例如，雖然同屬于行業主體，但下游的消費者更多地是與中游的經銷商產生信息或者產品的聯系，而并為與上游的卷煙生產商發生直接性的關系。在這種不同節點主體之間缺乏直接聯系的情況下，煙草行業主體之間很難就信息安全風險防控形成統一的認知和行為方式，這就造成煙草行業整體防范和控制信息安全的能力薄弱[2]。

2.2 行業信息安全管理機制不健全

目前，雖然在國家層面形成了以國家煙草專賣局為主體的煙草行業信息管理系統，定期向行業主體和社會披露煙草行業發展相關信息，但地區層面的煙草行業信息管理機制建設卻相對滯后，導致一些行業信息難以在社會范圍內尤其是行業范圍內共享、傳播，這就導致部分行業主體出于獲取信息的需要，采取非法手段竊取或者購買行業信息，導致煙草行業整體的安全管理機制運行遲緩，甚至出現漏洞，造成信息安全風險防控阻力大。

2.3 行業信息安全風險防控缺乏持續性

行業的動態發展，使得煙草行業信息安全防控所處的環境和面臨的要求呈現出持續變化的特點，這就要求煙草行業的信息安全防控活動要保持持續性，根據不同階段的信息安全風險制定和采取相應的防控策略。但是，就目前的信息安全防控行為來說，更多地是以政策制度為導向的被動式風險防控，即政府相關部門下發信息安全風險管理制度或者要求文件后，行業主體才開始按照文件要求進行信息安全風險問題自檢自查和整改，這種被動式的防控缺乏持續性，并且防控的內在動力不足，難以真正達到防控的效果。

3 防控煙草行業信息安全風險的策略

3.1 整合行業整體信息安全風險防控力量

力量的整合，既可以壯大煙草行業防控信息安全風險的實力，也能夠彌補行業內部局部性的信息安全風險防控漏洞，從而提高行業整體的信息安全風險防控能力與效果。針對當前行業主體信息安全風險防控力量分散的問題，要通過行業管理的優化來加以解決。

首先，推動行業發展扁平化。行業發展扁平化，是壓縮行業發展的中的中間環節，使行業上游與行業下游之間實現短距離、高效率的聯通。體現到煙草行業發展之中，就是實現產供銷的一體化，這樣一方面可以減少行業發展信息在不同主體之間的傳遞頻次和流程，減少因為信息傳遞而出現的安全風險，另一方面可以增強行業主體對信息安全風險的管控力度，提高信息安全風險識別和應對的效率。

其次，明確信息安全風險防控標準。造成煙草行業整體信息安全風險防控力量分散的一個重要原因之一就是行業整體缺乏規范化、統一化的信息安全風險防控標準和方案，分散的多元主體不知道如何做好信息安全風險防控。基于此，煙草行業協會要在密切與政府煙草管理部門聯系的同時，推動行業內部的信息安全風險防控標準制定與實施，以統一的標準凝聚行業主體信息安全風險防控的力量。

3.2 健全煙草行業信息管理機制

在當前行業發展不確定性日益增加的情況下，煙草行業主體對行業發展信息的需求度正在不斷上升，這就促使一些主體基于獲取信息的需要而采取一些偏激性的行為，威脅行業信息安全管理秩序。基于此，要通過信息管理機制的健全加以疏導，借助信息的有效流通與共享來化解安全風險的發生。

第一，搭建統一性的行業信息管理平臺。在信息系統廣泛應用的情況下，搭建面向多元主體的煙草行業信息管理平臺，為其提供豐富、多樣的信息內容，是滿足煙草行業發展中的信息需求和消除煙草行業信息安全隱患的有效策略。相關主體尤其是政府性的煙草行業管理主體要基于煙草行業管理的需要，開發統一性的行業信息管理平臺，通過權威的信息管理活動來提高信息安全風險防控的能力和效果，消除信息安全風險發生的誘因[3]。

第二，優化行業信息管理方式。針對行業主體存在的差異性的行業發展信息需求，以及主體在行業發展中所處的位置的差異，為避免不必要的信息傳播可能造成的泄露風險，煙草行業信息管理平臺的運營主體要為行業主體分配擁有不同操作權限的賬號和密碼，用于限制主體信息獲取的范圍，減少不必要的信息獲取與傳播行為，保證信息管理的有序性。同時，運營主體也要通過必要的技術手段，提高信息管理系統和平臺的安全風險報警功能，一旦出現風險行為，立即進行報警處置，避免信息的泄露。

第三，完善行業內部信息加密手段。加密是從技術角度出發強化煙草行業信息儲存、傳輸安全性的重要措施。相關主體在構建行業內部信息安全風險防控方案的同時，要強化信息加密技術的應用，安排專門的技術人員研發信息加密的多樣化手段，構建更為豐富的加密渠道，提升煙草信息平臺的安全性。同時，行業及企業要加強常態化的信息系統優化機制，對信息系統進行持續性的安全技術升級，并對重要數據進行動態加密和備份，以保證信息的安全性。在信息訪問方面，可以通過訪問控制、數字簽名、身份認證等方式，對信息系統的使用情況進行動態監測，以便及時發現和解決系統運行中存在的安全漏洞[4]。對于密碼設置過于簡單的賬號，要提醒和督促相關主體及時更改、完善賬號密碼，提升密保能力。

3.3 打造行業信息安全風險防控閉環

閉環管理，是信息化時代信息安全風險防控的一種常用管理理念和方式，其主張通過構建風險防控閉環來推動風險防控能力的持續性提升，適應不同階段、不同環境下的風險防控要求。考慮到煙草行業信息安全風險防控的持續性和動態性特點，行業內部有必要打造風險防控閉環，切實推動風險防控的持續提升。

首先，搭建信息安全風險技術漏洞識別系統。技術，是信息化背景下煙草行業信息安全風險防控的重要依賴手段。考慮到當前信息安全風險產生的技術性特點，行業主體要結合發展情況和需要，搭建集信息安全風險識別、報警、分析和自處理于一體的信息系統體系，借助技術手段實現信息安全風險防控的智能化、自動化和信息化。

其次，科學評估信息安全風險防控系統。行業主體要對自身搭建的或者所處的信息安全風險防控系統的安全性進行定期的技術性和管理性評估，及時發現和解決行業信息安全風險防控中存在的問題，并以問題為導向，優化原有的信息安全風險防控系統，確保信息安全風險防控的科學性和有效性。同時，對于普遍存在的信息安全風險，要組織多方面的技術專家進行研究探討，從根本上搭建相應的風險防控技術手段[5]。

4 結論

信息安全，是近年來互聯網應用中普遍存在和關注的問題。雖然在相關政策和市場環境的影響下，煙草行業逐步加強了對信息安全風險的重視度，一些企業也采取了相應的管理與技術措施來防控可能出現的信息安全風險，但是，就行業整體的發展而言，仍然存在信息安全風險防控力量薄弱的問題。針對當前行業信息安全風險防控中存在的問題，相關主體要通過整合行業整體信息安全風險防控力量、健全煙草行業信息管理機制、打造行業信息安全風險防控閉環等措施加以應對，以確保行業信息的安全性和穩定性。