浅谈如何做好网络信息化条件下企业的保密管理工作

    [提 要]随着信息化时代的到来，企业的保密管理工作尤为重要。通过分析保密管理中存在的问题，并制定相关措施，对强化网络信息化条件下的保密工作具有重要意义。

    [关键词]信息化;保密管理;措施

    [作者简介]黄秋萍（1978—），女，核工业二七○研究所保密专干，研究方向为信息化条件下的保密管理。（江西南昌 330200）

    随着计算机技术的普及，信息进行安全保密管理的范围、对象和方式等都发生了变化，安全保密工作的难度更是逐渐增高，保密工作中存在很多深层次的矛盾以及问题，管理上更加复杂，使保密工作面临更加严峻的挑战。

    一、当前保密管理中存在的问题

    （一）保密意识隐患

     现阶段，有些人认为保密就是单位保密部门的事情，跟自己没有多大关系;有的人还抱着侥幸心理，认为在单位上网很多年，并没有被攻击，采不采取防范都无所谓;有的人觉得没有必要对计算机进行保密，就算是受到了攻击，也可以重装系统。诸如此类的想法都会造成信息的泄露，有的甚至导致违法行为。

    （二）上网行为隐患

    网络安全隐患主要体现在上网审批责任制和用户上网行为技术防护上，上网没有审批程序和相应的监管等手段，日常管理的职责不明确;用户上网行为审计与管理系统不健全。

     （三）技术防范隐患

    很多计算机不设定密码，这就给有心者可乘之机。有的笔记本电脑里面存储了涉密信息，却还在介入互联网时采用插拔的方式，造成了很严重的泄密漏洞;单位的涉密信息设备、涉密载体没有生命周期设计及管控，使用过程中无法闭环管理。

    二、强化网络信息化条件下保密工作的几点措施

    （一）提高保密意识

    管理是以人为本的活动，因此加强对涉密人员的管理是健全完善机构保密管理体系的重要保证。首先，必须加大保密提醒和保密教育的频率及深度，让保密防范的理念逐渐深入人心。同时，经常举办各种实用的专项保密培训，切实增强涉密人员的保密防范技能。针对部分人员对保密工作认识缺乏的实际情况，可以指派专人对涉密人员开展一对一的培训，把强化安全保密教育，提高计算机网络知识和防御技术作为一项重要内容来抓。按照统一要求，指导各部门做到专机专用，专人管理，对能否上网的信息作出明确规定，强化落实保密审批流程。单位没有编制的非正式员工，流动性较大，对其进行保密管控应更谨慎和严格。严格奖惩，筑牢保密警戒防线，建立量化考核和职级晋升相挂钩的保密工作绩效考核制度，对保密工作优秀的部门和个人应给予精神和物质奖励，对违反保密纪律和规章制度的应处罚或处分，对于因违规操作导致泄密的，要坚决予以纪律处分直至追究刑事责任，筑起一道保密工作“警戒线”。

     对于保密管理人员而言，仅具有保密意识还不够，还需要在几个方面狠下功夫：第一，基础知识的掌握。通过认真研读《新保密法》、《保密法实施条例解读》等，提高对保密法规的理解水平;第二，精确掌握定密依据，提高事项的定密准确性;第三，保密检查能力的增强，熟练掌握各类检查工具，如计算机硬件检测工具、信息搜索工具等，提高保密检查的准确性和有效性，及时发现保密工作中存在的问题，及时整改，防止问题扩大化。

     单位应加大保密工作督导检查力度，突出日常管理不定期检查和重大节假日或重要任务的专项检查，及时堵塞消除泄密隐患。针对检查出的隐患和苗头，要组织相关人员认真查找根源，深究原因，查问责任，增强安全工作的紧迫感和责任感。

     （二）上网行为管控

    互联网信息设备主要用于处理来自于外部资源的普通信息。单位互联网应统一部署上网行为审计与管理系统，对计算機的IP地址与MAC地址进行绑定，同时，上网账号与用户实名进行绑定。互联网的访问采用“用户实名+密码”的方式，通过对用户上网行为的管理，进一步加强信息安全防护。

    （三）加强技术防范

    信息化背景下，采集、处理传输国家秘密信息的设备由电话机、打字机等传统设备扩展到各类计算机终端设备及网络设备，存储国家秘密信息的载体也由传统的纸质载体扩展到光、磁、电等介质载体。因此，信息保密的涉及领域有了巨大的拓展。必须制定有效的安全防护策略，确定流程，明确规定程序和具体步骤。

    三、建立信息设备安全策略

    （一）涉密信息设备的全生命周期管理及操作按照信息安全操作规程相关规定进行管理

     首先，涉密计算机使用人需提出申请，审批通过后与涉密机责任人签订保密承诺书，由计算机系统管理员负责涉密计算机操作系统的安装，经保密办审核后安装安全保密产品，部署安全策略，制定信息系统软件白名单。涉密计算机的重要业务数据需要采取数据备份技术，实现对重要数据的备份，以确保数据完整性。

    （二）涉密计算机维修

    涉密计算机需要维修时，由责任人履行维修审批手续，通过填写《涉密设备及介质维修审批单》，与维修单位签订保密协议，经审批后方可进行维修，维修单位应具有涉密维修相关资质。具体流程图见图1：

     （1）信息设备需要维修时，需履行维修审批手续，涉密设备维修需经相关部门审核及主管领导审批。信息化管理部门记录维修情况。

    （2）请外单位进行维修，应具备相应的保密资质，维修人员须经审批并签订保密承诺书。进入保密要害部门、部位应履行登记手续，由责任人全程旁站陪同，并采取必要的保密措施。

    （3）涉密信息设备和涉密存储设备损坏后不进行维修的，按照涉密信息设备和存储设备销毁要求予以销毁。

    （三）涉密计算机报废

    涉密计算机的报废及清退需要履行审批手续涉密设备清退流程见图2：

    （1）维修报废中应对存储过涉密信息的硬件和固件采取有效的管控措施，拆下待报废的涉密存储部件由信息化管理部门专人管理，建立台帐，存放在密码文件柜或密码保险柜中。如果待报废的涉密存储部件的存放数量超过20块，则密码文件柜或密码保险柜应当存放在保密要害部位中。

    （2）维修或报废设备中的涉密信息由责任人按照本单位信息交换的保密要求进行转储，确保转储的信息安全可控。

     （3）维修报废过程中的各种登记和记录应真实完整。

    （四）涉密打印输出设备

    对涉密计算机输出管理办法采取以下输出策略：

    （1）涉密计算机的打印机信息输出采用集中打印控制方式;（2）输出打印机放置于机房，对设备实行专人管理，防止输出结果被非授权查看和获取;（3）涉密计算机信息的打印输出采取审批方式监管，履行审批、登记手续方可打印。

    （五）涉密显示输出设备

    为防止涉密计算机的显示器、投影仪等显示输出设备其输出内容被非授权获取，显示设备不面对门窗摆放。

    四、存储设备安全策略

    （一）存储设备标识

    涉密计算机中的硬盘、光盘、U盘等涉密信息存储设备应按所存储和处理信息的最高密级标识密级;非密存储设备根据商网用、互联网用、工作用等不同用途进行标识，并粘贴标签。

    （二）存储设备的收发与传递

    （1）收发涉密信息存储设备，应严格履行清点、登记、编号、签收等手续;（2）传递涉密信息存储设备，应按有关规定封装，标明密级、编号和收发件单位名称，指派专人专车或者通过机要交通、机要通信、机要交换等方法传递存储设备。

    （三）存储设备使用

    （1）涉密信息存储设备不应在非涉密的信息系统内或单机上使用;（2）涉密信息存储设备在其他信息系统内重新使用或利用前，应进行信息消除处理;（3）携带涉密信息存储设备外出时，须办理相关审批手续，并按照有关保密规定采取保护措施，使涉密信息存储设备始终处于携带人的有效控制之下;（4）涉密信息存储设备的复制及制作应在本单位或国家保密行政管理部门批准的单位进行，并标明密级和保密期限，注明发放范围及制作数量，编排顺序号;（5）涉密存储设备中存储的涉密文件须“一用一清”，避免知悉范围扩大。

    （四）存储设备保存

    （1）机密级（含）以下涉密移动存储设备存放在密码铁皮柜中;（2）信息化管理部门每年组织对涉密移动存储设备进行清查、核对;（3）非密存储设备由各设备责任人负责保管。

    （五）存储设备维修

    （1）原则上不对涉密存储设备进行维修;（2）特殊情况必须维修时，如现场维修，应有相关人员进行全程旁站陪同;需要将涉密信息存储设备带离现场维修时，须履行审批手续，应将维修情况记录备案;（3）存储设备维修时应签订相应的安全保密协议;（4）非密存储设备确需送外维修的，责任人须彻底清除设备内所有工作数据，并经部门兼职保密工作人员确认后送修。

    （六）存储设备报废

    （1）不再使用或無法使用的涉密硬盘在进行报废处理时，履行批准、清点和登记等手续后，进行集中统一销毁;（2）其他涉密信息存储设备报废按照有关保密规定办理批准、清点和登记等手续后，送销毁点统一销毁。

     综上所述，国家保密工作直接体现了国家对信息的掌控、国家安全的保障以及综合管理的体现，只有高度重视保密工作，才能够使得信息化背景下的保密工作更加专业化和现代化。

    [参考文献]

     [1]孙险峰，路明鸽，雷欣.涉密载体全生命周期信息化管控系统设计与实现[J].保密科学技术，2014，（8）.

     [2]田星原，邹欣云，文芳，胡吉舟.信息化背景下的保密管理研究[J].科研，2015，（18）.

    [责任编辑：熊文瑾]