淺析軍工企業“互聯網+”建設存在問題

朱小衛，范 軍

（中國航發貴州黎陽航空動力有限公司，貴陽 550014）

0 引言

隨著我國信息技術的不斷創新和改革，“互聯網＋”被廣泛應用在各個領域中，推動了各個行業的快速發展。但是對軍工企業來說這是一個新事物，“互聯網＋”給軍工企業帶來的不僅是發展的機遇，也是挑戰。因此，互聯網時代，軍工企業需要結合互聯網時代的特征、互聯網的優勢以及軍工企業自身安全保密管理要求的實際情況，將多方面的因素進行有機結合，通過一定的措施和手段，來實現軍工企業“互聯網＋”的建設應用，促進軍工企業高質量、高效率、高效益發展，加快推動軍工企業在新時代背景下轉型升級。

1 軍工企業“互聯網＋”建設的必要性

在新形勢下，世界發展日新月異，軍工企業承擔著打造“國之重器”的使命和責任，是我國軍事科技力量重要的組成部分，是國家戰略的安全基石，展現了我國綜合實力、肩負著國防建設、經濟建設的雙重使命，代表著制造業的最頂端［1］。在“互聯網＋”時代背景下，企業管理能力的提高離不開信息技術的幫助，“互聯網＋”建設的應用是提高辦公效率的有效途徑，軍工企業與“互聯網＋”概念相結合是社會發展的潮流，也是企業發展的必然趨勢［2］。

2 軍工企業“互聯網＋”建設存在的問題

2.1 互聯網辦公存在保密安全隱患

從軍工企業的特點來看，業務中涉及諸多國家機密、商業機密和敏感事項，而軍工企業的工作性質，讓保密工作在軍工企業發展中成為不可或缺的重要組成部分。因此，軍工企業的信息化系統建設必須按照國家保密要求進行部署，而軍工企業“互聯網＋”建設在互聯網辦公方面主要存在以下安全保密隱患：①員工個人使用手機、平板等移動終端進行互聯網辦公，無法進行有效管控，存在處理、傳輸敏感信息的安全隱患；②員工在互聯網填報個人信息，存在泄露個人身份、具體工作部門、工作地址及其他軍工敏感信息的風險；③軍工企業員工集中在互聯網辦公，容易引相關人員關注；④互聯網所面臨的信息安全更復雜，容易遭受木馬病毒與釣魚鏈接的攻擊。

2.2 互聯網辦公缺少管理制度的規范

對于軍工企業來說，因互聯網的開放性、共享性，互聯網辦公一直是沒有人愿意觸碰的領域，除了必要的信息發布管理制度，互聯網辦公未建立相應的管理制度，缺少對賬號登錄、設備管控、用戶行為審計、平臺運維等管理的規范。

2.3 “互聯網＋”建設資金投入較大

目前軍工企業網絡環境均采用局域網的方式部署，與互聯網物理隔離，缺少“互聯網＋”建設所需的資源。建設“互聯網＋”應用需要重新部署互聯網網絡、服務器環境、互聯網平臺、配置信息安全的信息化技術人員以及互聯網應用需要取得相應保證書，需要定期進行等保測評，需要大量的資金投入。

2.4 場景轉換，缺乏互聯網信息安全運維資源

當前，軍工企業信息化主要以內部局域網建設為主，應對的信息安全形勢相當簡單，導致企業缺乏信息安全人才，信息安全檢測技術落后，信息攻防水平不高，信息化技術人員難以勝任互聯網復雜的信息安全運維工作。

3 軍工企業“互聯網＋”建設基本原則

信息化時代，“互聯網＋”已經是一項使用廣泛、技術成熟的通用技術，但是“互聯網＋”對軍工企業來說，還是新興的事物，必須在滿足業務需求的同時，滿足安全保密管理要求，確保不能觸及“保密紅線”，因此推廣“互聯網＋”建設需要遵循以下原則：①統籌規劃，分步實施；②大膽設想，小心求證；③充分論證，落實防護措施；④落實保密與業務的互動機制。

4 軍工企業“互聯網＋”建設實施方法

綜合上文梳理的存在問題和基本原則，軍工企業“互聯網＋”建設主要從以下三個步驟實施。

4.1 識別風險，做好防護

首先，制定管理制度并落實管理措施，規范互聯網辦公用戶行為。①制度必須明確，各層級管理人員必須“履部門管理職責、權限分配職責，落實監管、審查職責”；②明確互聯網設備管理要求，必須“專人專管”；③明確外來人員管理要求，禁止加入企業所屬的互聯網應用架構中；④明確互聯網應用，運行環境的等保資質要求，必須經過等保測評（最好具備3 級以上等保資質）；⑤明確互聯網應用的信息發布、外發，嚴格履行審批流程；⑥明確員工使用互聯網辦公，必須經過審批并簽訂保密承諾書；⑦嚴禁手機等便攜式設備帶入保密要害部門及涉密會議和活動；⑧禁止在涉密場所部署具備視頻通話、拍照、上網等功能的互聯網終端設備，并做到專人專管；⑨涉密辦公場所和使用涉密信息設備的場所，禁止便攜電子設備使用人臉識別驗證。

其次，通過信息化技術手段采用技術措施，約束員工自主輸入信息的能力。通過管理制度約束員工行為，仍無法完全保證互聯網辦公的保密安全，因此必須通過技術手段做好風險防范。①堅持信息填報最小化原則，簡化系統信息字段，僅使用業務管理所需的必填信息；②填報信息不允許同時出現部門名稱、職務、具體工作地點等信息；③敏感信息使用編碼替代，包括公司名稱、部門名稱以及其他敏感信息；④盡量避免“人臉識別、指紋”等生物特征驗證方式，避免涉密人員生物信息泄露；⑤禁用GPS 功能，避免個人行動軌跡泄露；⑥減少人為的信息填報，必須填報的信息通過系統預置，采用選擇、勾選的方式；⑦必須人為填報信息時，增加保密提醒功能或者特殊字段限制功能。

再次，通過培訓教育提高員工安全保密意識，保護信息安全。互聯網是非常復雜的一種虛擬環境，軍工企業的員工須有較強的安全保密意識，而保密意識的形成和強化需要長期的訓練。一方面，通過保密形勢教育、保密知識教育以及泄密事件案例宣傳等，讓全體員工了解并掌握保密注意事項；另一方面，謹記堅持“涉密不上網，上網不涉密”的原則。

最后，加強保密檢查，做好信息安全風險評估工作。加強保密檢查工作是把控信息流動的最后一道監管程序。由于軍工企業信息涉及內容較為復雜，在互聯網辦公必須嚴格遵守工作流程，時刻繃緊信息保密這根弦，形成敏銳的保密意識和良好的保密習慣。定期對互聯網應用進行排查，可將安全隱患盡可能排除，確保信息安全。

4.2 梳理業務，做好規劃

軍工企業因其特殊性，不可能將所有辦公業務納入互聯網辦公，因此軍工企業要實施“互聯網＋”建設，必須提前做好業務梳理，然后根據梳理情況做好互聯網辦公平臺的業務規劃，并制定實施計劃。

4.3 選定平臺，啟動實施

一方面，互聯網辦公更便捷，大大提高了軍工企業的生產效率；另一方面互聯網具有開放性，易被攻擊、易泄露，給軍工企業的信息安全帶來威脅［3］。但是維護互聯網信息安全所需的資源較多，因此建議通過租賃互聯網平臺的方式實現“互聯網＋”的建設，減少企業在網絡環境、互聯網服務器、信息安全人才以及其他方面后期的持續投入，通過社會資源的共享，企業只管產品的使用并支付租賃費。目前市場上有大量成熟的互聯網辦公平臺，如釘釘、企業微信等，但是互聯網應用的選擇必須嚴格控制，需要具有一定的資質以及簽訂相關協議。

①互聯網應用、運行環境必須經過等保測評，供應商需簽訂保密協議，嚴禁私自將企業數據提供給第三方；②企業的相關信息必須采用加密技術保護，防止供應商、其他人員查看；③必須通過技術手段保障互聯網應用的網絡安全，最大限度地保障業務數據的安全運轉，通過V P N、防火墻、專有A P N等方式保障互聯網應用的網絡安全，防止互聯網應用被非法入侵、篡改；④采取有效的技術防護措施對用戶進行身份認證，保證用戶的賬號信息不會輕易地被他人竊取，從而防止用戶身份被非法冒用；⑤互聯網應用應基于SSL／TLS 協議對所有的數據進行加密傳輸，通過這種私有安全通信協議，實現通信鏈路加密、簽名，防止竊聽、篡改，以確保數據信息的傳輸安全；⑥要求在數據生命周期各階段，如數據產生、數據存儲、數據使用、數據傳輸、數據共享、數據銷毀等都采取必要的安全控制措施，確保用戶數據的機密性、完整性、可靠性；⑦要求提供可靠的應急響應方案，實現安全事件發現、處置、溯源、復盤等閉環管理并持續運營，確保業務系統安全穩定運行。

5 結語

在互聯網環境下，軍工企業“互聯網＋”建設是必然趨勢。目前因安全保密管理問題，大部分軍工企業不愿接觸互聯網環境，但是社會的發展必然會逼迫企業進入互聯網環境中，因此企業要發現問題、解決問題才能更好地跟上時代的發展。