1、涉密信息系統安全現狀
近年來，我國大力推進信息化建設工作，各企事業單位都建立了涉密計算機信息系統，并且各自的業務工作對信息系統依賴程度越來越高，但在中央保密委員會對中央和國家機關所屬的單位保密檢查中發現，涉密計算機違規使用和移動存儲介質交叉使用造成我國多起網絡泄密事件。調查顯示超過85%的信息安全威脅事件來自內部，核心數據80%的丟失源于內部人員的操作不當，部分終端用戶的安全觀念薄弱，甚至對安全措施置若罔聞，對信息安全違規違法行為缺乏必要的認識和自我管理。
與之同時，隨著信息技術的發展與進步，各種新的安全漏洞和安全隱患不斷涌現，木馬、病毒的滲透活動也不斷升級，用戶的被動防御遠遠應對不了發展變化的新型攻擊，常規的殺毒軟件加上邊界防護(防火墻、IDS等)的方式也已經很難適應新的信息安全防護要求，這無疑加劇了涉密計算機信息系統安全管理的難度[1]，信息系統的安全需求與保密管理技術防范能力不足之間的矛盾日益突出。
2、涉密信息系統管理難點分析
針對涉密信息系統的安全現狀，國家加大了網絡保密管理力度，推進涉密信息系統分級保護強制風險評估規定，極大保障了保密技術防范和檢查手段的落實。但由于各企事業單位網絡結構復雜、安全產品之間不能很好地兼容聯動、終端用戶使用水平參差不齊等原因，導致了網絡安全防護系統效果未能達到理想狀態[2]。涉密信息系統管理還存在以下幾個方面的問題：
(1)涉密計算機終端違規操作及外接設備
傳統的終端防護安全方案側重于阻止外部入侵，而缺乏完善的計算機入網監管手段，惡意用戶對網絡系統進行越權操作，新增及外接設備未經過安全檢查和處理違規接入內部網絡，從而導致病毒傳播、黑客入侵等不安全因素的產生。
(2)移動存儲介質交叉使用
在物理隔離的涉密信息系統與其他信息網絡之間使用移動存儲介質進行信息交互，由于介質讀寫信息的雙向性，介質的交叉使用極易造成病毒、木馬在涉密網內的傳播，甚至大面積感染，導致泄密事件的發生。如果使用光盤進行信息交互，不僅造成光盤的大量浪費，而且由于信息交互過程繁瑣、復雜，影響工作效率；此外大容量數據傳輸缺乏有效傳輸機制，也會導致數據傳輸存在安全隱患。
(3)安全產品之間的兼容聯動效果不佳
構建安全、穩定、可管理的涉密信息系統保密管理體系，必須從物理安全、運行安全、信息安全保密和安全保密管理等各個方面進行安全保密建設，然而目前許多安全產品的防護力度只局限于信息系統的某一方面，不能根據用戶的安全需求合理地進行系統功能剪裁，且多種安全產品之間不能很好的兼容聯動，導致事故發生后很難做到及時有效處理，管理員工作量大大增加，安全產品的整體功效不能最大程度地發揮[3]。
綜上所述，針對目前所存在的安全隱患，除了在行政上制定相應的制度以及在管理上提高人員的安全意識外，還需構建一套依靠技術手段、防護力度覆蓋全面、網絡部署靈活、安全措施整體兼容聯動的安全保障方案，從而確保涉密信息系統安全可靠、管理便捷。
3、保密管理體系構建原則
根據國家關于涉密信息系統建設的管理規定，構建涉密信息系統安全保密防護技術體系框架，應遵從以下設計原則：
(1)法規遵從：應嚴格執行國家法律法規、相關主管部門的要求。
(2)適當保護：根據系統的風險情況和實際應用狀況，按照國家政策要求設計防護體系，不盲目提升防護等級。
(3)物理隔離：涉密信息系統必須與互聯網及其他公共信息網絡實行物理隔離。
(4)分域分級：涉密信息系統應根據信息密級、使用單位等劃分不同的安全域并確定等級，按照相應等級的保護要求進行防護。
(5)最小授權：涉密信息系統內用戶的權限應配置為確保其完成工作所必須的最小權限，網絡中賬號設置、服務器配置、主機間信任關系配置等應為網絡正常運行所需的最小限度。
(6)分權管理：使不同用戶的權限相互獨立、相互制約，避免出現權限過大的用戶或賬號。
(7)流向控制：禁止高密級信息由高等級涉密信息系統或安全域流向低等級涉密信息系統或安全域。
(8)技管并重：涉密信息系統分級保護應采取技術和管理相結合的、整體的安全保密措施。
(9)兼容聯動、便于維護：系統應具有良好的兼容聯動性、可擴展性和可維護性，部署便利、使用簡便、維護集中，并可以實現服務和應用的靈活擴展。
4、涉密信息系統保密管理技術體系優化
4.1 物理安全
涉密單位通常會在涉密信息系統工作區的出入口部署視頻監控系統、入侵探測及報警系統；加強設備在采購、使用、外出攜帶、維修和報廢過程中的控制。除了這些常規方法，在采購階段一定要把控好自主可控原則，服務器、存儲設備及網絡設備盡量選擇國產設備，應用系統盡量選擇具有涉密信息系統軟件單項開發資質的廠家，安全產品必須通過國家主管部門指定的測評機構的檢測并具有自我保護能力。在技術措施上，凡是接入涉密信息系統的設備必須提交申請，由信息化管理部門根據審批情況執行IP-MAC綁定和端口綁定，并加強個人主機的本地安全配置和管理，如關閉多余服務和端口，加強口令保護等安全防護。此外接入涉密信息系統的計算機只有安裝了主機監控審計軟件才被認為是授權設備，對于無法安裝審計軟件的設備，如安全保密設備和交換機等，必須經過信息化管理部門的授權，才可以訪問網絡資源。
同時，在涉密計算機終端上安裝“涉密計算機及移動存儲介質保密管理系統”(簡稱“三合一”)，計算機終端一旦接入國際互聯網，其違規行為就會被記錄下來，同時會阻斷其違規外聯行為；“三合一”系統同時可以實現對計算機終端的光驅、軟驅以及通用移動存儲介質的控制，通過對涉密專用U盤進行注冊，并設置口令保護，限定其只能在某一涉密區域使用；如果沒有授權以及沒有合法口令，將不能對其非授權查閱、復制或獲取，從而阻止涉密信息被非授權查閱、復制或獲取。
4.2 運行安全
首先要做好關鍵業務的備份與恢復，做好系統恢復預案，網絡核心層采用雙機熱備方式，匯聚層節點及接入層采用冷備方式；對于安裝程序和軟件等系統數據和基礎數據，直接通過復制的方式進行備份；數據庫配置為定期自動遠程備份，關鍵數據由備份軟件自動備份數據；其它的數據可使用FTP方式備份到磁帶機掛接的服務器上，使用BE軟件備份，在系統出錯的時候能夠及時恢復數據。
其次，在涉密信息系統中部署主機審計監控與補丁分發系統，該系統會不斷發出探測信息，一旦發現非授權設備，控制中心會發送指令阻止其使用網絡資源，并產生相應的審計信息。管理員可通過該系統對所有的涉密計算機進行統一控制管理，同時將主機監控與審計系統和“三合一”系統聯動，確保不該進來的進不來、不該出去的出不去，對聯網計算機提供集中防護，確保系統安全。此外，在涉密信息系統中部署網絡版殺毒軟件和漏洞掃描產品，對所有具有IP地址的設備進行木馬程序查殺和漏洞檢測，及時消除系統中可能存在的風險。
4.3 信息安全保密
要實現涉密信息系統中信息的安全保密和高效利用，必須充分考慮產品防護的兼容聯動性。對于系統內的可信任用戶的訪問控制采用先隔離再放開的思路，禁止非授權用戶獲取任何系統資源，控制授權用戶訪問指定的系統服務。
首先，通過交換機端口、IP地址和MAC地址綁定，統一身份認證網關和主機監控審計系統的聯動，阻止非授權用戶接入；通過交換機的VLAN設置，使應用服務器域之外的其他所有安全域以及VLAN之間完全邏輯隔離，通過統一身份認證網關和應用服務域邊界的防火墻設置，控制授權用戶只允許訪問授權服務器域中指定IP地址的指定端口。由于所有安全域只能通過防火墻控制與應用服務域進行通信，將防火墻接入的核心交換機端口進行鏡像，映射到入侵檢測系統所接入的端口，這樣入侵檢測系統可以對進出應用服務域的所有數據進行安全檢測[4]。網絡安全漏洞掃描系統也接入核心交換機，定期對系統內所有具備網絡通訊功能的設備進行漏洞檢測。通過網絡入侵檢測系統、漏洞掃描系統與防火墻進行聯動，可以及時隔離或消除攻擊事件源，降低涉密信息系統被攻擊的風險。
建立保密管理信息化平臺，對保密管理體系全方位管控，對打印進行集中管理，審計和監控打印內容，光盤刻錄實施審計和監控，部署日志管理系統統一收集日志定期審計。在應用系統管理中采用三權分立的管理模型，系統管理員應將用戶權限文檔化，備案應用系統賬戶表，按照最小權限分配原則提供基于安全標簽的細粒度強制訪問控制，通過與統一身份認證網關聯動，實現強制訪問控制和密級流向控制，防止信息屬主的蓄意泄密行為和低安全級別人員對高安全級別信息的訪問，彌補了傳統自主訪問控制機制的不足。同時，綜合采取電磁屏蔽機柜、線路傳導干擾器、紅黑隔離插座等屏蔽干擾措施，對重要信息設備、顯示輸出信息、傳輸線路進行防護。
針對信息交互與移動存儲介質管理，通過“三合一”、統一身份認證網關和主機監控審計系統的聯動，可以實現高效的信息交互、安全的移動存儲介質使用管理、快速的違規外聯監控與阻斷，采用具有國家保密局認證資質的導入導出系統實現大容量數據傳輸集中導入導出。同時，使用管理KEY與管理軟件相結合的方式，使單臺涉密計算機的擴展與管理也變得更加的方便、安全。
4.4 實施效果
涉密信息系統構建的目標是在保證物理安全和運行安全的基礎上，確保涉密信息在生產、處理、存儲、傳遞等環節中具有保密性、完整性、可用性和便捷性，網絡拓撲圖如圖1所示，最終可達到以下效果：
圖 1 涉密信息系統網絡拓撲圖
(1)涉密計算機違規外聯監控
系統建設完成后，所有涉密計算機將安裝涉密計算機違規外聯監控系統的終端程序，涉密計算機一旦違規連接國際互聯網，系統就會向監控中心發送報警信息并及時阻斷涉密計算機違規外聯行為，并向報警中心發出報警信息。
(2)涉密計算機接口及外接設備管理
涉密計算機的接口及外接設備將得到有效的控制。系統通過設備過濾驅動，對標準的設備類型以及用戶自定義的設備進行控制(控制策略包括放行、禁用)，有效的對設備及接口進行管理。
(3)阻斷涉密介質的交叉使用
對于涉密信息系統中使用的涉密移動存儲介質進行注冊管理，注冊的涉密介質只能在安裝三合一客戶端的涉密計算機上使用，而普通介質卻無法在安裝“三合一”客戶端的涉密計算機上使用，只能通過多功能信息導入設備將信息單向導入涉密計算機，從而杜絕移動存儲介質的交叉使用，阻斷病毒、木馬程序竊取涉密信息的傳播路徑。
(4)安全產品之間良好的兼容聯動
充分考慮產品防護的兼容聯動性，將部署在核心交換機上的網絡入侵檢測系統和漏洞掃描系統，與訪問控制或流向控制系統聯動，及時隔離或消除攻擊事件源；將身份認證網關、主機監控審計與補丁分發系統、“三合一”聯動，統一對終端計算機的身份鑒別、訪問控制、補丁分發、信息交互等安全策略進行有效控制。管理員可通過查看日志管理系統對涉密計算機進行定期審計和故障的快速診斷、排除。
5、結語
本文充分考慮了現有涉密信息系統管理的重點和難點，結合涉密信息系統管理的最新發展成果，遵循網絡防護和端點防護并重的理念，設計了一種高效合理的信息安全技術體系架構，重點強化了安全產品之間良好的兼容聯動，克服單一安全產品無法實現的功能，實現了預期的安全目標，對涉密信息系統技防措施的配備具有一定的實踐指導意義。
核心關注：拓步ERP系統平臺是覆蓋了眾多的業務領域、行業應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業務領域的管理，全面涵蓋了企業關注ERP管理系統的核心領域，是眾多中小企業信息化建設首選的ERP管理軟件信賴品牌。
轉載請注明出處：拓步ERP資訊網http://www.lukmueng.com/
本文標題：探討涉密信息系統日常保密管理難點
相關文章
