涉密信息系統

涉密信息系統主要指用於處理涉密信息的計算機設備或者用於實現內部辦公自動化的涉密信息交換網絡體系。通常情況下涉密信息系統是指有着一定安全保密需要和要求的計算機系統，按照國家強制性標準和規定，達到一定安全等級的計算機系統被稱之為涉密信息系統。 ^[2] 

簡而言之，一個計算機信息系統是否具備涉密屬性，能夠稱之為涉密信息系統，主要是看這個計算機系統裏面的信息是不是涉及到國家秘密，涉密信息的數量多與少不論，只要存儲或者處理、傳輸了涉密信息，那麼這個信息系統就應確定為涉密信息系統。從這個概念出發，可以看出並不是所有涉密信息系統都是較高安全等級的計算機信息系統，也不是所有安全等級的計算機信息系統都是涉密信息系統。隨着商業競爭的越發激烈，目前，一些企業為保障其商業信息安全，採取了非常多的安全保密措施，引進了信息安全保密技術和設備，這些企業信息安全管理的等級非常高，但這些企業內部的信息系統，並不是涉密信息系統。通常的涉密信息系統都是黨政機關內部使用的計算機系統，只要計算機系統當中運行或者存儲、處理、傳輸了國家秘密信息，那麼這個系統就是涉密信息系統，不論其信息等級高低，只要涉密，都應被稱之為涉密信息系統，進而能夠實現更為規範的管理，實現安全可控。 ^[2] 

涉密信息系統與公共信息系統的區別，主要體現在四個方面： ^[1] 

一是信息內容不同。涉密信息系統存儲、處理和傳輸的信息涉及國家秘密和其他敏感信息，應嚴格控制知悉範圍；公共信息系統存儲、處理和傳輸的信息不能涉及國家秘密。 ^[1] 

二是設施、設備標準不同。涉密信息系統的安全保密設施、設備，必須符合國家保密標準；公共信息系統的安全保密設施、設備也應符合一定技術標準要求，但並不要求執行國家保密標準。 ^[1] 

三是檢測審批要求不同。涉密信息系統必須滿足安全保密要求，符合國家保密標準，投入使用前必須經安全保密檢測評估和審查批准；公共信息系統投入使用前也需要進行相關檢測，但檢測的目的和要求不同。 ^[1] 

四是使用權限不同。涉密信息系統要嚴格控制使用權限；公共信息系統則是開放性的，只要具備一定訪問條件就可以使用。 ^[1] 

1、黑客攻擊

黑客攻擊是涉密計算機局域網安全的重大威脅因素之一，雖然對黑客的抵禦隨着計算機網絡技術的發展不斷升級，但層出不窮的惡意破壞，信息盜取仍然普遍存在。尤其是針對涉密網絡的特種木馬更是層出不窮，它們會造成系統數據丟失、惡意篡改、偽造，利用病毒對軟件、存儲介質進行破壞，信息截獲等等。 ^[3] 

2、病毒侵害

涉密計算機局域網方便了網內用户的資源共享和信息傳播，但同時也給了計算機病毒潛入和大量傳播的機會，計算機病毒一般是由兩種情況引起，一是黑客或網內用户的惡意攻擊感染，二是自我的疏忽大意導致計算機病毒感染，無論感染途徑是什麼，它的危害結果都是十分嚴重的。大量病毒不斷複製，導致網絡堵塞，終端計算機癱瘓，甚至發生失泄密事件，後果十分嚴重。常見的病毒有蠕蟲病毒，木馬病毒，在未來還會出現一系列的新型病毒，能否防患未然就需要現在把好計算機局域網安全性技術的重要一關。 ^[3] 

3、管理漏洞

科學、嚴格的管理是涉密計算機網絡安全性設計的關鍵因素之一，人們對其的嚴格管理意識都不強，這就導致了不同程度的軟、硬件損傷，配置不合理，操作系統混亂，認證安全漏洞等等，一系列的不當管理使計算機局域網安全出現嚴重隱患。因此強化網絡管理意識，合理進行設施配置從能有效填補安全漏洞，防範內外網絡攻擊。 ^[3] 

4、網絡使用人員問題

涉密網絡使用人員在使用過程中，不可避免地會有誤操作，這就使得涉密計算機網絡存在大量的失泄密隱患，所以不斷地通過系統設計和實施，逐步減少因使用過程中產生的隱患。 ^[3] 

5、邊界防護隱患

涉密局域網絡的各個邊界是風險的存在，可能導致非法接入和不可控因素的發生，因此在設計網絡時，物理和虛擬安全都必須充分考慮。 ^[3] 

涉密信息系統安全保密策略是為確保涉密計算機及信息系統安全保密而制定的一系列文檔化文件，是涉密信息系統安全保密防護技術和管理措施實施的規範，是涉密信息系統使用人員在使用涉密信息系統時必須遵循的行為準則。 ^[4] 

安全保密策略的主要內容包括安全保密管理機構設置、物理安全策略、運行安全策略、信息安全策略、備份與恢復策略、病毒和惡意代碼防護策略、應急計劃與響應。在策略制定時，對每個策略模塊按照不同的實施對象再細分為若干個子策略，這樣涉密信息系統的策略就基本完善了。例如，信息安全策略模塊包括身份鑑別、邊界防護、訪問控制、應用系統與數據庫安全、信息交換安全等策略子項。每個策略子項的編寫應統一格式統一思路，同時要回答清楚三個問題，即策略的實施對象、策略的內容、策略的執行。最後在安全策略制定時應兼顧結構上的系統性、內容上的可理解性、技術上的可實現性、管理上的可執行性。 ^[4] 

涉密信息系統安全審計是運用各種技術手段，全面檢測信息系統中的各種會話和事件，記錄並分析各種可疑行為、違規操作，幫助定位安全事件源頭和追查取證，防範和發現網絡違規活動。 ^[4] 

目前我國沒有比較完善的、權威的、有規範性的安全審計法規和指南，現在的審計工作都是依照各自經驗開展，審計對象、審計方法、審計分析角度各有不同。 ^[4] 

一般來説，審計對象可按兩種方式劃分：（1）按審計主體劃分：主要對對系統管理員、安全保密管理員、安全審計員及其他相關人員；（2）按審計客體劃分：主要對涉密網絡設備、服務器、用户終端、應用系統、安全保密產品、數據庫、安全保密管理實施情況。 ^[4] 

審計方法一般有使用安全審計分析軟件、審計員人工審計以及安全審計軟件和人工審計相結合的審計方法。審計分析工作是個複雜的過程，在審計分析時要有敏鋭的意識、快速的反映能力，能夠將多種事件相關聯，分析其隱藏的漏洞和威脅。 ^[4] 

涉密信息系統風險評估預見性的對信息系統各生命週期進行評估計算，瞭解信息系統目前與未來的風險所在，評估這些風險可能帶來的安全威脅與影響程度。沒有準確及時的風險評估，就無法對系統的信息安全狀況做出準確的判斷。 ^[4] 

涉密信息系統風險評估主要圍繞着四要素展開：信息資產、威脅、脆弱性和風險分析。其中信息資產是對企業、機構具有價值的信息或資源，是安全策略保護的對象。威脅是對企業、機構及其資產構成潛在破壞的可能性因素或者事件。脆弱性是被評估資產本身存在的弱點，它可以被威脅利用、引起資產的損害，是風險評估中重要的內容。風險分析是對風險的認識制定相應的策略、做出有力的抵禦、降低風險。為實現對風險的控制與管理，可以對風險值進行等級化處理，可將風險劃分為五級，等級越高，風險越高。 ^[4] 

通常情況下對涉密信息系統施以保護都是按照分級原則進行分級實施的。涉密系統的安全管理級別分為絕密級、機密級、秘密級，有效分級後，才能更進一步實施分級保護，提升管理效能，提升安全標準。 ^[5] 

1、秘密級

信息系統當中包含有秘密級的國家秘密，其總體的防護水平不應該低於國家信息安全等級保護三級的要求，信息系統應該達到分級保護的技術標準。 ^[5] 

2、機密級

信息系統當中包含有機密級國家秘密，其防護水平不應低於國家信息安全等級保護四級要求，同時，還需要符合分級保護的保密技術要求。 ^[5] 

3、絕密級

信息系統當中包含有絕密級國家秘密，其防護水平應不低於國家信息安全等級保護五級要求，需符合分級保護的保密技術要求。同時，絕密級涉密信息系統應該被建設並應用到封閉的場地建築之內，不能與外網連接。 ^[5] 

涉密信息系統“三員”是指系統管理員、安全保密管理員和安全審計員。系統管理員主要負責系統的日常運行維護工作；安全保密管理員主要負責系統的日常安全保密管理工作，包括用户賬號管理以及安全保密設備和系統所產生日誌的審查分析；安全審計員主要負責對系統管理員、安全保密管理員的操作行為進行審計、跟蹤、分析和監督檢查，以及時發現違規行為，並定期向安全保密管理機構彙報相關情況。“三員”權限設置應相互獨立，相互制約，相互之間不得兼任或者替代。 ^[6] 

涉密信息系統“三員”應具備信息安全保密知識和業務技能，認真履行崗位職責，積極完成與職責相關的工作，按照有關保密標準的要求建立健全工作記錄和日誌文檔，並妥善保存；“三員”應掌握常見安全產品的適用方法和技術手段，熟悉數據庫、操作系統、網絡設備和應用系統的安全知識和技術防護措施；“三員”應當定期接受管理和業務方面的集中培訓，熟練掌握國家保密法規和標準要求，不斷提高技術技能和管理水平。 ^[6] 

1、根據實際工作需要足額配備“三員”

“三員”應當設置獨立的工作權限，實現相互監督、相互制約，相互之間不得兼任或者替代；單位“三員”應該設立A、B角，互為備份；單位應該按照最大化原則配備“三員”以滿足日常運維工作；無涉密信息系統僅使用涉密計算機的單位，應當配備安全保密管理員。 ^[6] 

2、紮實做好“三員”上崗前及上崗後的技能培訓

“三員”上崗前需要參加有關部門組織的培訓，具備上崗能力後方可上崗；“三員”上崗後要定期參加安全保密管理和專業技能方面的培訓，熟練掌握國家信息安全保密法規和標準要求，不斷提高技術技能和管理水平。 ^[6] 

3、從技術和管理上做好對“三員”的監督工作

在系統運行維護過程中，如果可以從技術上實現配置變更兩人操作方可生效，則將該項配置的變更職責分屬於兩人；如果從技術上不能實現，則通過管理手段實現：要求一人完成配置變更，其操作日誌由另一人負責審計。還可以通過部署堡壘主機等技術手段加強對“三員”的監督。 ^[6] 

4、相關管理員也應該納入“三員”管理範疇

網絡管理員、數據庫管理員、應用系統管理員不是“三員”，不在單位的正式“三員”名單中，但是應當納入“三員”的管理範疇。以涉密應用系統為例，可以參照“三員”模式分別設立系統管理員、安全保密管理員、安全審計員。系統管理員註冊用户賬號、註冊角色名稱；安全保密管理員為用户和角色賦權並使賬號生效，審計用户操作；安全審計員審計系統管理員和安全保密管理員的操作。 ^[6] 

（1）適度安全的原則：由於信息泄露、溢用、非法訪問或非法修改而造成的危險和損害相適應的安全。沒有絕對安全的信息系統（網絡），任何安全措施都是有限度的。關鍵在於“實事求是”、“因地制宜”地去確定安全措施的“度”，即根據信息系統因缺乏安全性造成損害後果的嚴重程度來決定採取什麼樣的安全措施。 ^[7] 

（2）按最高密級防護的原則：涉密信息系統處理多種密級的信息時，應當按照最高密級採取防護措施。 ^[7] 

（3）最小化授權的原則：涉密信息系統的建設規模要最小化，非工作所必需的單位和崗位，不得建設政務內網和設有內網終端；其次，涉密信息系統中涉密信息的訪問權限要最小化，非工作必需知悉的人員，不得具有關涉密信息的訪問權限。 ^[7] 

（4）同步建設、嚴格把關的原則：涉密信息系統的建設必須要與安全保密設施的建設同步規劃、同步實施、同步發展。要對涉密信息系統建設的全過程（各個環節）進行保密審查、審批、把關。要防止並糾正“先建設，後防護，重使用，輕安全”的傾向，建立健全涉密信息系統使用審批制度。不經過保密部門的審批和論證，信息系統不得處理國家秘密信息。 ^[7] 

（5）內、外網物理隔離的原則。即“涉及國家秘密的通信、辦公自動化和計算機信息系統不得直接或間接與國際互聯網或其他公共信息網絡相連接，必須實行物理隔離。 ^[7] 

（6）安全保密措施與信息密級一致的原則。涉密信息系統應當採取安全保密措施，並保證所採取措施的力度與所處理信息的秘密等級相一致。 ^[7] 

（7）資格認證的原則。涉密信息系統安全保密全面解決方案的設計、系統集成及系統維修工作，應委託經過國家保密部門批准授予資質證書的單位承擔。涉密系統不得采用未經國家主管部門鑑定、認可的保密技術設備，更不準使用國外進口的各類安全防範產品包括軟件。 ^[7] 

（8）以人為本、注重管理的原則：涉密信息系統的安全保密三分靠技術，七分靠管理。加強管理可以彌補技術上的不足；而放棄管理則再好的技術也不安全。 ^[7] 

1、規劃和建設計算機信息系統，應當同步規劃落實相應的保密設施。 ^[8] 

2、計算機信息系統的研製、安裝和使用，必須符合保密要求。 ^[8] 

3、計算機信息系統應當採取有效的保密措施，配置合格的保密專用設備，防泄密、防竊密。所採取的保密措施應與所處理信息的密級要求相一致。 ^[8] 

4、計算機信息系統聯網應當採取系統訪問控制、數據保護和系統安全保密監控管理等技術措施。 ^[8] 

5、計算機信息系統的訪問應當按照權限控制，不得進行越權操作。未採取技術安全保密措施的數據庫不得聯網。 ^[8] 

涉密信息系統的建設應當選擇具有“涉密信息系統集成資質”的單位承擔或者參與涉密信息系統的設計與實施。 ^[9] 

涉密信息系統使用的信息安全產品原則上應當選用國產產品，並應當通過國家保密局授權的檢測機構依據有關國家保密標準進行的檢測，通過檢測的產品由國家保密局審核發佈目錄。 ^[9] 

涉密信息系統建設使用單位在系統工程實施結束後，應當向保密工作部門提出申請，由國家保密局授權的系統測評機構，依據國家保密標準BMB22-2007《涉及國家秘密的計算機信息系統分級保護測評指南》，對建成的涉密信息系統進行安全保密測評。 ^[9] 

涉密信息系統建設使用單位在系統投入使用前，應當按照《涉及國家秘密的信息系統審批管理規定》，向設區的市級以上保密工作部門申請進行系統審批，涉密信息系統通過審批後方可投入使用。已投入使用的涉密信息系統，其建設使用單位在按照分級保護要求完成系統整改後，應當向保密工作部門備案。 ^[9]