保密宣传

  • 您所在的位置:首页 >> 机关工作 >> 保密宣传
  • 信息化环境下安全保密工作探讨

    时间:2013-12-19 19: 04:16信息来源:人防办点击:0

     

    张文涛  孟谢琦  崔中杰

     

    近年来,信息技术的发展在给人类社会带来巨大进步的同时,也在深刻改变着人类的安全观念,并使国家安全面临诸多新的挑战,特别是在网络安全保密方面出现了很多新的隐患。本文从我国网络安全保密现状出发,描述了信息安全保密管理要求的发展过程,结合涉密信息系统测评工作经验,对信息安全保密管理工作中存在的主要问题进行了分析,最后提出了信息安全保密管理未来发展的一些想法。

    一、我国网络安全保密工作的现状

    近年来,我国互联网安全形势不容乐观,根据国家互联网应急中心的统计,2010年国家互联网应急中心共接收10433件非扫描类网络安全事件报告,其中国外非扫描类网络安全事件报告为5070件。在这些安全事件中,信息系统漏洞事件3443件,恶意代码攻击事件2045件,网页挂马事件2233件,网页仿冒事件1565件。总体上看,我国网络安全事件呈持续上升趋势。

    据国家互联网应急中心发布的抽样结果显示,2010年病毒木马感染主机同比2009年大幅上升,其中木马控制服务器IP总数为479626个,较2009年下降了21.3%,木马控制主机IP为10317169个,较2009年大幅增长了274.9%,木马控制服务器总数的降低和受控主机的增加,说明黑客手中的资源更加集中,发动大规模精确攻击行动更加容易。另外,2010年我国有34845个网站被攻击和篡改,虽然同比2009年下降了17.1%,但政府网站被攻击和篡改数量大大增加,同比2009年增加了67.6%,受攻击网站数量为4635个,占总数的13.3%,其中90%的攻击来自境外,美国、日本和韩国占58%。这些数据表明针对我国要害部门的攻击频率日益增高,我国网络安全特别是信息安全保密方面面临严重考验。

    针对信息安全保密严峻情况,近年来国家相关部门组织了多次信息安全保密工作检查,检查中发现涉密计算机和移动存储介质存在各种违规使用、非涉密计算机违规存储处理涉密或敏感信息的情况。通过检查发现个别人员的保密意识淡薄,个别单位的保密管理松懈,涉密信息系统存在泄密隐患,部分单位对互联网安全威胁认识不足。当前我国的信息安全保密存在泄密渠道增多、形式隐蔽、隐患严重等特点。

    二、信息化环境下安全保密管理要求的发展过程

    2003年中办27号文《关于加强信息安全保障工作的意见》中提出了实行信息安全等级保护的要求,对涉及国家秘密的信息系统,要按照党和国家有关保密规定进行保护。2004年中保委7号文《关于加强信息安全保障工作中保密管理的若干意见》中规定,我国的国家秘密分为秘密、机密、绝密三级,因此,涉密信息系统也按照秘密、机密、绝密三级进行分级管理。2005年国保发16号文《涉及国家秘密的信息系统分级保护管理办法》从系统分级、保护要求、系统监管等方面对涉密信息系统的建设和管理提出了明确的要求,2006年发布了BMB17—2006《涉及国家秘密的信息系统分级保护技术要求》,2007年发布了BMB20—2007《涉及国家秘密的信息系统分级保护管理规范》及BMB22—2007《涉及国家秘密的信息系统分级保护测评指南》,2008年发布了BMB23—2008《涉及国家秘密的信息系统分级保护方案设计指南》。BMB17—2006、BMB20—2007、BMB22—2007及BMB23—2008的发布,使得我国涉密信息系统分级保护工作从方案设计、技术要求、管理规范到安全测评,形成了一套完整的标准与规范体系。

    2010年颁布的新保密法第二十三条规定,存储、处理国家秘密的计算机信息系统按照涉密程度实行分级保护。涉密信息系统应当按照国家保密标准配备保密设施、设备。保密设施、设备应当与涉密信息系统同步规划、同步建设、同步运行。涉密信息系统应当按照规定,经检查合格后,方可投入运行。涉密信息系统安全保密要求第一次写进了国家层面的法律中,这一方面说明国家高度重视涉密信息系统的建设和管理,一方面说明我们涉密信息系统安全形势严峻,问题很多,所以将信息安全保密修订进了国家法律。

    三、我国信息安全保密管理中普遍存在的问题

    当前我国的信息安全保密管理中普遍存在三类问题。一是组织机构不健全、职责分工不明确。主要表现为涉密信息系统的责任单位和管理机构不明确,导致该单位信息化规划管理工作缺少归口管理部门。二是专业人才相对匮乏、队伍建设相对滞后。主要表现为实际工作中系统管理人员数量和能力都普遍不足,部分单位只有1~2名系统管理人员,而信息安全保密管理涉及网络、系统、安全产品、数据库等很多方面,需要具有丰富专业知识的人员才能做好相关工作。部分单位的保密管理部门缺少专业的技术人员,不能对信息系统管理工作进行有效地监督检查。三是缺乏长效管理机制,管理水平需要提升。主要表现为部分单位在系统测评或保密检查前临时突击,在系统测评或保密检查后又将安全保密策略恢复到测评或保密检查前的状态,不按照标准和制度要求对系统进行日常管理。

    除以上这些主要问题外,保密意识不到位也是问题之一。部分单位员工不了解高新技术窃密的基本常识,表现出无知者无畏;部分员工明知有关保密要求,但为了工作方便,存在侥幸心理,进行违规操作,导致出现失泄密事件。

    四、信息安全保密管理工作的几点想法

    在信息系统的安全保密管理中,管理人员和管理技术至关重要,因此必须配备足够的、具有丰富专业知识的安全保密管理人才。近年来,国家保密局立足于提高整体涉密信息系统管理人员和监督检查人员的专业水平,和教育系统合作,在南京大学、西北工业大学、哈尔滨工程大学、中山大学、复旦大学等多家大学成立了国家保密学院,培养系统掌握涉密信息系统管理、保密行政、保密法规、保密技术等专业知识的复合型人才。另外,随着信息技术的不断发展,新技术、新产品的开发显得十分重要,如数据隔离交换技术、密级标志技术、安全数据库和安全操作系统等产品。同时,对于新技术在涉密信息系统中的应用要进行研究,如云计算技术、虚拟桌面技术等。最后,要结合实际需求,解决涉密信息系统分级保护工作中遇到的实际问题,如在军工制造企业中数控机床、测试设备、工控设备如何安全地连入涉密信息系统是亟待解决的问题之一。

    面对当前我国的信息安全保密形势,要解决信息化时代在安全保密领域带来的诸多矛盾和问题,必须以科学发展的眼光看待问题,充分吸收当今世界的信息安全保密技术和管理经验,并结合我国信息安全保密工作实际需求来全面推动信息安全保密工作。

    (摘自《保密科学技术》)

    CoryRight©2005-2012东莞市人民防空办公室 版权所有 粤ICP8976883号

    地址:东莞市中心区石竹路菊香苑7座二楼 联系电话:0769-22882377 传真:0769-22882379

    E-Mail:rfb@dg.gov.cn 邮编:523071