分析涉密系統(tǒng)安全要素

隨著大數(shù)據(jù)、數(shù)據(jù)挖掘、云計(jì)算等技術(shù)誕生并得到應(yīng)用，推動(dòng)了軍工制造業(yè)的轉(zhuǎn)型和升級(jí)，軍工企業(yè)對(duì)信息化的依賴日益加強(qiáng)。然而，在當(dāng)前竊密與反竊密及其尖銳的復(fù)雜環(huán)境下，軍工企業(yè)涉密信息、系統(tǒng)安全問(wèn)題日益突出。

涉密信息系統(tǒng)安全保密管理體系由安全保密管理機(jī)構(gòu)、安全保密管理制度、安全保密策略、安全審計(jì)、風(fēng)險(xiǎn)評(píng)估等要素組成。本文主要從涉密信息系統(tǒng)安全保密管理體

系的要素入手，簡(jiǎn)要介紹涉密信息系統(tǒng)安全保密制度、安全保密策略、安全審計(jì)及風(fēng)險(xiǎn)評(píng)估的概念和內(nèi)容，并綜合分析四者之間相輔相成的關(guān)系。

涉密信息系統(tǒng)安全保密管理制度

安全保密管理制度是開展涉密信息系統(tǒng)建設(shè)、運(yùn)行維護(hù)等安全保密工作的規(guī)范與依據(jù)。軍工企業(yè)依據(jù)國(guó)家有關(guān)保密法規(guī)和標(biāo)準(zhǔn)，結(jié)合本單位業(yè)務(wù)情況，建立健全本單位的涉密信息系統(tǒng)安全保密管理制度。

涉密信息系統(tǒng)安全保密制度包括安全保密責(zé)任制度和相關(guān)安全保密工作制度。一方面明確責(zé)任，實(shí)行領(lǐng)導(dǎo)責(zé)任制，層層落實(shí)，使每個(gè)工作人員都明確應(yīng)承擔(dān)的責(zé)任和義務(wù)。另一方面針對(duì)涉密信息產(chǎn)生、存儲(chǔ)、處理、傳輸、和銷毀的全過(guò)程，從人員管理、物理環(huán)境與設(shè)施管理、設(shè)備與介質(zhì)管理、運(yùn)行與開發(fā)管理和信息安全保密等方面制定相應(yīng)的安全保密工作制度，主要涉及人員管理制度、涉密信息系統(tǒng)環(huán)境管理制度、涉密介質(zhì)和涉密設(shè)備管理制度、運(yùn)行操作管理制度、應(yīng)急處理制度、災(zāi)難恢復(fù)制度和監(jiān)督檢查制度。

從實(shí)際工作情況看，經(jīng)過(guò)幾輪的涉密信息系統(tǒng)分級(jí)保護(hù)測(cè)評(píng)和軍工保密資格認(rèn)證現(xiàn)場(chǎng)審查，當(dāng)前軍工企事業(yè)單位信息安全保密制度體系已比較健全，但仍存在制度的可操作性有待提高的問(wèn)題，很多軍工單位在制定安全保密制度過(guò)程中會(huì)參照相關(guān)機(jī)構(gòu)制定的標(biāo)準(zhǔn)和規(guī)定要求，在單位的管理制度中經(jīng)常是照搬標(biāo)準(zhǔn)條款，制度名稱也按照國(guó)家有關(guān)安全保密要求來(lái)命名。表面看來(lái)，制度分類清楚、要求明確，但這種制度和工作實(shí)際的結(jié)合較差，無(wú)法落地生效。主要是因?yàn)閷?duì)國(guó)家標(biāo)準(zhǔn)和規(guī)定的技術(shù)要求、管理要求沒(méi)有吃透，制度規(guī)定“越界”與不統(tǒng)一。例如對(duì)涉密信息系統(tǒng)人員相關(guān)的要求，需要體現(xiàn)在單位的人力資源部門編寫的相關(guān)制度中，而不僅僅由信息化部門將國(guó)家標(biāo)準(zhǔn)體現(xiàn)在分級(jí)保護(hù)管理辦法或涉密計(jì)算機(jī)與網(wǎng)絡(luò)運(yùn)行管理辦法中。

涉密信息系統(tǒng)安全保密策略

相關(guān)組織規(guī)定對(duì)管理策略的表述為：用來(lái)評(píng)估與被管客體有關(guān)的可識(shí)別的規(guī)范；對(duì)總體IT安全策略的描述為：可以為組織內(nèi)的每個(gè)層次和每個(gè)業(yè)務(wù)單位或部門定義目標(biāo)（要實(shí)現(xiàn)什么）、戰(zhàn)略（如何實(shí)現(xiàn)目標(biāo)）和策略（如何實(shí)現(xiàn)這些目標(biāo)的規(guī)則）。

落實(shí)到具體的軍工企業(yè)涉密信息系統(tǒng)，安全保密策略是為確保本單位涉密計(jì)算機(jī)及信息系統(tǒng)安全保密而制定的一系列文檔化文件，是涉密信息系統(tǒng)安全保密防護(hù)技術(shù)和管理措施實(shí)施的規(guī)范，是涉密信息系統(tǒng)使用人員在使用涉密信息系統(tǒng)時(shí)必須遵循的行為準(zhǔn)則。

安全保密策略的主要內(nèi)容包括物理安全策略、運(yùn)行安全策略、信息安全策略四大部分，每一部分又包含相應(yīng)的子策略。例如，信息安全策略模塊包括運(yùn)行管理策略、計(jì)算機(jī)病毒與惡意代碼防護(hù)策略、備份與恢復(fù)策略、應(yīng)急響應(yīng)策略等策略子項(xiàng)。每個(gè)策略子項(xiàng)的編寫需要統(tǒng)一格式統(tǒng)一思路，同時(shí)要回答清楚三個(gè)問(wèn)題，即策略的實(shí)施對(duì)象、策略的內(nèi)容、策略的執(zhí)行。

涉密信息系統(tǒng)安全審計(jì)

涉密信息系統(tǒng)安全審計(jì)是運(yùn)用各種技術(shù)手段，全面檢測(cè)信息系統(tǒng)中的各種會(huì)話和事件，記錄并分析各種可疑行為、違規(guī)操作、敏感信息，幫助定位安全事件源頭和追查取證，防范和發(fā)現(xiàn)網(wǎng)絡(luò)違規(guī)活動(dòng)，為信息系統(tǒng)安全策略制定、風(fēng)險(xiǎn)自評(píng)估提供數(shù)據(jù)支撐。

安全審計(jì)應(yīng)保證審計(jì)的范圍要能夠覆蓋到每個(gè)系統(tǒng)的每個(gè)用戶。只有范圍覆蓋的合理且全面，才能保證安全審計(jì)的充分性和有效性。一般來(lái)講，從審計(jì)對(duì)象的角度看，審計(jì)范圍可分為技術(shù)審計(jì)和管理審計(jì)：

技術(shù)審計(jì)包括對(duì)安全保密產(chǎn)品（系統(tǒng)）審計(jì)、計(jì)算機(jī)及網(wǎng)絡(luò)設(shè)備審計(jì)、應(yīng)用系統(tǒng)安全審計(jì)、數(shù)據(jù)庫(kù)審計(jì)。

管理審計(jì)包括人員管理審計(jì)、物理環(huán)境與設(shè)施管理審計(jì)。從審計(jì)事件角度來(lái)看，主要審計(jì)用戶終端、服務(wù)器、安全保密設(shè)備的啟動(dòng)和管理、系統(tǒng)用戶的增加與刪除、用戶權(quán)限的更改、三員（系統(tǒng)管理員、安全保密管理員、安全審計(jì)員）和用戶實(shí)施的操作、涉密數(shù)據(jù)的輸入輸出、身份鑒別事件、訪問(wèn)控制事件、用戶違規(guī)行以及其他與系統(tǒng)有關(guān)的事件。

審計(jì)方法一般分為使用安全審計(jì)分析軟件審計(jì)、審計(jì)員人工審計(jì)以及安全審計(jì)軟件和人工審計(jì)相結(jié)合的審計(jì)。審計(jì)分析工作是個(gè)復(fù)雜的過(guò)程，在審計(jì)分析時(shí)要有敏銳的意識(shí)、快速的反映能力，能夠?qū)⒍喾N事件相關(guān)聯(lián)，分析其隱藏的漏洞和威脅。

安全審計(jì)報(bào)告的編寫絕不僅是審計(jì)管理員的工作，需要由系統(tǒng)管理員提供基礎(chǔ)環(huán)境、系統(tǒng)運(yùn)行、系統(tǒng)變更等管理情況，由安全保密管理員提供系統(tǒng)安全保密相關(guān)的系統(tǒng)變更、安全日志分析，由審計(jì)提供對(duì)系統(tǒng)管理員和安全保密管理員所有操作的審計(jì)結(jié)果，最后由一名安全審計(jì)用匯總成涉密信息系統(tǒng)月度審計(jì)報(bào)告，并定期上報(bào)信息化管理部門。

涉密信息信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估

涉密信息信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估是對(duì)信息及信息處理設(shè)施的威脅、影響、脆弱性及三者發(fā)生可能性評(píng)估，是識(shí)別系統(tǒng)安全風(fēng)險(xiǎn)，確定風(fēng)險(xiǎn)出現(xiàn)概率、影響效果、綜合平衡風(fēng)險(xiǎn)和代價(jià)的過(guò)程。

相關(guān)條例規(guī)定，軍工單位必須定期組織對(duì)本單位涉密信息系統(tǒng)、涉密信息設(shè)備和涉密存儲(chǔ)介質(zhì)進(jìn)行風(fēng)險(xiǎn)自評(píng)估工作，識(shí)別系統(tǒng)面臨的不斷變化的威脅、脆弱性、風(fēng)險(xiǎn)和隱患，及時(shí)采取整改措施。

風(fēng)險(xiǎn)自評(píng)估是單位信息化部門在保密工作機(jī)構(gòu)指導(dǎo)下，根據(jù)審計(jì)報(bào)告和日常檢查情況，組織運(yùn)行維護(hù)機(jī)構(gòu)利用管理和技術(shù)手段，對(duì)涉密信息系統(tǒng)、涉密信息設(shè)備和存儲(chǔ)介質(zhì)進(jìn)行綜合安全分析和評(píng)估。機(jī)密級(jí)或秘密級(jí)信息系統(tǒng)和信息設(shè)備須每年進(jìn)行一次評(píng)估。由國(guó)家保密行政管理部門設(shè)立或授權(quán)的保密測(cè)評(píng)機(jī)構(gòu)或委托的測(cè)評(píng)或者風(fēng)險(xiǎn)評(píng)估，其出具的結(jié)論可視為自評(píng)估結(jié)論。

軍工單位涉密信息系統(tǒng)運(yùn)維機(jī)構(gòu)根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果，形成風(fēng)險(xiǎn)自評(píng)估報(bào)告，進(jìn)行隱患漏洞和危害性分析評(píng)估，針對(duì)隱患漏洞和風(fēng)險(xiǎn)，進(jìn)行來(lái)源和威脅分析，及時(shí)修改安全策略，并提出可行的管理和技術(shù)改進(jìn)措施建議。

制度、策略、審計(jì)、評(píng)估之間的關(guān)系

軍工單位涉密信息系統(tǒng)的安全是一個(gè)動(dòng)態(tài)的復(fù)雜過(guò)程，它貫穿于信息系統(tǒng)的整個(gè)生命周期。安全保密制度、安全保密策略、安全審計(jì)、風(fēng)險(xiǎn)評(píng)估正是讓這個(gè)動(dòng)態(tài)的復(fù)雜的安全管理體系形成一個(gè)閉環(huán)，通過(guò)閉環(huán)管理，實(shí)現(xiàn)涉密信息系統(tǒng)管理體系的持續(xù)改進(jìn)。涉密信息系統(tǒng)安全保密管理體系持續(xù)改進(jìn)模型持續(xù)改進(jìn)模型如圖1所示。

圖1 安全保密管理體系持續(xù)改進(jìn)模型圖

通過(guò)方案設(shè)計(jì)、建設(shè)實(shí)施、現(xiàn)場(chǎng)測(cè)評(píng)和保密認(rèn)證后，涉密信息系統(tǒng)正式投入運(yùn)行，在運(yùn)行過(guò)程中，需制定一套權(quán)威的安全保密管理制度和策略來(lái)保證系統(tǒng)中的每個(gè)人的行為有章可循。通過(guò)安全審計(jì)，對(duì)系統(tǒng)的運(yùn)行進(jìn)行監(jiān)視，發(fā)現(xiàn)運(yùn)行中的各種安全事件，并及時(shí)對(duì)系統(tǒng)進(jìn)行修補(bǔ)和補(bǔ)救。通過(guò)科學(xué)分析涉密信息系統(tǒng)面臨的風(fēng)險(xiǎn)，發(fā)現(xiàn)信息系統(tǒng)系統(tǒng)安全防護(hù)存在的問(wèn)題和薄弱化解，為風(fēng)險(xiǎn)預(yù)防、風(fēng)險(xiǎn)規(guī)避、風(fēng)險(xiǎn)控制等方面提供依據(jù)和決策支持?？梢哉f(shuō)，安全風(fēng)險(xiǎn)評(píng)估是涉密信息系統(tǒng)安全保密體系構(gòu)建的終點(diǎn)和起點(diǎn)，通過(guò)閉環(huán)管理，實(shí)現(xiàn)對(duì)涉密信息系統(tǒng)安全威脅與風(fēng)險(xiǎn)的事前預(yù)防、事中控制、事后審計(jì)，持續(xù)改進(jìn)安全保密管理體系。安全保密制度、安全保密策略、安全審計(jì)和風(fēng)險(xiǎn)評(píng)估四者之間的關(guān)系如下：

1.安全保密制度擔(dān)任著權(quán)威者的角色，軍工企業(yè)通過(guò)安全保密制度來(lái)貫徹國(guó)家相關(guān)保密法律法規(guī)，并要求涉密信息系統(tǒng)中的每個(gè)人都必須按照安全保密制度履行相關(guān)安全保密職責(zé)。安全保密制度是安全保密保密體系得以正常運(yùn)行的關(guān)鍵。

2.安全保密策略擔(dān)任著指導(dǎo)員的角色，指導(dǎo)和規(guī)范涉密信息系統(tǒng)各類操作規(guī)程、系統(tǒng)或設(shè)備配置策略，使相關(guān)人員有章可循，知道什么能做，什么不能做以及怎樣做。涉密信息系統(tǒng)管理策略不是一層不變的，當(dāng)環(huán)境、系統(tǒng)、威脅或風(fēng)險(xiǎn)發(fā)生重大變化時(shí)，需要組織實(shí)施策略制定與修訂工作，總策略至少每?jī)赡赀M(jìn)行一次修訂。

3.安全審計(jì)及擔(dān)任著巡視員的角色，通過(guò)巡查和分析各種日志和記錄，了解系統(tǒng)運(yùn)行狀態(tài)，及時(shí)發(fā)現(xiàn)系統(tǒng)中的安全隱患或安全事件，對(duì)系統(tǒng)進(jìn)行相應(yīng)的修補(bǔ)或補(bǔ)救。通過(guò)安全審計(jì)工作，管理人員能夠清楚系統(tǒng)內(nèi)安全策略、管理制度的執(zhí)行情況，為信息系統(tǒng)安全保密策略制定、風(fēng)險(xiǎn)評(píng)估提供數(shù)據(jù)支撐。

4.風(fēng)險(xiǎn)評(píng)估擔(dān)任著評(píng)估員的角色，通過(guò)信息安全風(fēng)險(xiǎn)評(píng)估，可以發(fā)現(xiàn)信息系統(tǒng)安全防護(hù)存在的問(wèn)題和薄弱環(huán)節(jié)，為風(fēng)險(xiǎn)預(yù)防、風(fēng)險(xiǎn)規(guī)避、風(fēng)險(xiǎn)控制等方面提供依據(jù)與決策支持，進(jìn)而采取措施減少、轉(zhuǎn)移、避免風(fēng)險(xiǎn)，將風(fēng)險(xiǎn)控制在可以容忍的范圍內(nèi)。風(fēng)險(xiǎn)評(píng)估結(jié)果為安全保密策略調(diào)整和更新指明了方向，是制訂安全策略和實(shí)施安全防護(hù)措施的依據(jù)。