隨著大數(shù)據(jù)、數(shù)據(jù)挖掘、云計算等技術(shù)誕生并得到應用，推動了軍工制造業(yè)的轉(zhuǎn)型和升級，軍工企業(yè)對信息化的依賴日益加強。然而，在當前竊密與反竊密及其尖銳的復雜環(huán)境下，軍工企業(yè)涉密信息、系統(tǒng)安全問題日益突出。

涉密信息系統(tǒng)安全保密管理體系由安全保密管理機構(gòu)、安全保密管理制度、安全保密策略、安全審計、風險評估等要素組成。本文主要從涉密信息系統(tǒng)安全保密管理體

系的要素入手，簡要介紹涉密信息系統(tǒng)安全保密制度、安全保密策略、安全審計及風險評估的概念和內(nèi)容，并綜合分析四者之間相輔相成的關(guān)系。

涉密信息系統(tǒng)安全保密管理制度

安全保密管理制度是開展涉密信息系統(tǒng)建設(shè)、運行維護等安全保密工作的規(guī)范與依據(jù)。軍工企業(yè)依據(jù)國家有關(guān)保密法規(guī)和標準，結(jié)合本單位業(yè)務情況，建立健全本單位的涉密信息系統(tǒng)安全保密管理制度。

涉密信息系統(tǒng)安全保密制度包括安全保密責任制度和相關(guān)安全保密工作制度。一方面明確責任，實行領(lǐng)導責任制，層層落實，使每個工作人員都明確應承擔的責任和義務。另一方面針對涉密信息產(chǎn)生、存儲、處理、傳輸、和銷毀的全過程，從人員管理、物理環(huán)境與設(shè)施管理、設(shè)備與介質(zhì)管理、運行與開發(fā)管理和信息安全保密等方面制定相應的安全保密工作制度，主要涉及人員管理制度、涉密信息系統(tǒng)環(huán)境管理制度、涉密介質(zhì)和涉密設(shè)備管理制度、運行操作管理制度、應急處理制度、災難恢復制度和監(jiān)督檢查制度。

從實際工作情況看，經(jīng)過幾輪的涉密信息系統(tǒng)分級保護測評和軍工保密資格認證現(xiàn)場審查，當前軍工企事業(yè)單位信息安全保密制度體系已比較健全，但仍存在制度的可操作性有待提高的問題，很多軍工單位在制定安全保密制度過程中會參照相關(guān)機構(gòu)制定的標準和規(guī)定要求，在單位的管理制度中經(jīng)常是照搬標準條款，制度名稱也按照國家有關(guān)安全保密要求來命名。表面看來，制度分類清楚、要求明確，但這種制度和工作實際的結(jié)合較差，無法落地生效。主要是因為對國家標準和規(guī)定的技術(shù)要求、管理要求沒有吃透，制度規(guī)定“越界”與不統(tǒng)一。例如對涉密信息系統(tǒng)人員相關(guān)的要求，需要體現(xiàn)在單位的人力資源部門編寫的相關(guān)制度中，而不僅僅由信息化部門將國家標準體現(xiàn)在分級保護管理辦法或涉密計算機與網(wǎng)絡(luò)運行管理辦法中。

涉密信息系統(tǒng)安全保密策略

相關(guān)組織規(guī)定對管理策略的表述為：用來評估與被管客體有關(guān)的可識別的規(guī)范；對總體IT安全策略的描述為：可以為組織內(nèi)的每個層次和每個業(yè)務單位或部門定義目標（要實現(xiàn)什么）、戰(zhàn)略（如何實現(xiàn)目標）和策略（如何實現(xiàn)這些目標的規(guī)則）。

落實到具體的軍工企業(yè)涉密信息系統(tǒng)，安全保密策略是為確保本單位涉密計算機及信息系統(tǒng)安全保密而制定的一系列文檔化文件，是涉密信息系統(tǒng)安全保密防護技術(shù)和管理措施實施的規(guī)范，是涉密信息系統(tǒng)使用人員在使用涉密信息系統(tǒng)時必須遵循的行為準則。

安全保密策略的主要內(nèi)容包括物理安全策略、運行安全策略、信息安全策略四大部分，每一部分又包含相應的子策略。例如，信息安全策略模塊包括運行管理策略、計算機病毒與惡意代碼防護策略、備份與恢復策略、應急響應策略等策略子項。每個策略子項的編寫需要統(tǒng)一格式統(tǒng)一思路，同時要回答清楚三個問題，即策略的實施對象、策略的內(nèi)容、策略的執(zhí)行。

涉密信息系統(tǒng)安全審計

涉密信息系統(tǒng)安全審計是運用各種技術(shù)手段，全面檢測信息系統(tǒng)中的各種會話和事件，記錄并分析各種可疑行為、違規(guī)操作、敏感信息，幫助定位安全事件源頭和追查取證，防范和發(fā)現(xiàn)網(wǎng)絡(luò)違規(guī)活動，為信息系統(tǒng)安全策略制定、風險自評估提供數(shù)據(jù)支撐。

安全審計應保證審計的范圍要能夠覆蓋到每個系統(tǒng)的每個用戶。只有范圍覆蓋的合理且全面，才能保證安全審計的充分性和有效性。一般來講，從審計對象的角度看，審計范圍可分為技術(shù)審計和管理審計：

技術(shù)審計包括對安全保密產(chǎn)品（系統(tǒng)）審計、計算機及網(wǎng)絡(luò)設(shè)備審計、應用系統(tǒng)安全審計、數(shù)據(jù)庫審計。

管理審計包括人員管理審計、物理環(huán)境與設(shè)施管理審計。從審計事件角度來看，主要審計用戶終端、服務器、安全保密設(shè)備的啟動和管理、系統(tǒng)用戶的增加與刪除、用戶權(quán)限的更改、三員（系統(tǒng)管理員、安全保密管理員、安全審計員）和用戶實施的操作、涉密數(shù)據(jù)的輸入輸出、身份鑒別事件、訪問控制事件、用戶違規(guī)行以及其他與系統(tǒng)有關(guān)的事件。

審計方法一般分為使用安全審計分析軟件審計、審計員人工審計以及安全審計軟件和人工審計相結(jié)合的審計。審計分析工作是個復雜的過程，在審計分析時要有敏銳的意識、快速的反映能力，能夠?qū)⒍喾N事件相關(guān)聯(lián)，分析其隱藏的漏洞和威脅。

安全審計報告的編寫絕不僅是審計管理員的工作，需要由系統(tǒng)管理員提供基礎(chǔ)環(huán)境、系統(tǒng)運行、系統(tǒng)變更等管理情況，由安全保密管理員提供系統(tǒng)安全保密相關(guān)的系統(tǒng)變更、安全日志分析，由審計提供對系統(tǒng)管理員和安全保密管理員所有操作的審計結(jié)果，最后由一名安全審計用匯總成涉密信息系統(tǒng)月度審計報告，并定期上報信息化管理部門。

涉密信息信息系統(tǒng)風險評估

涉密信息信息系統(tǒng)安全風險評估是對信息及信息處理設(shè)施的威脅、影響、脆弱性及三者發(fā)生可能性評估，是識別系統(tǒng)安全風險，確定風險出現(xiàn)概率、影響效果、綜合平衡風險和代價的過程。

相關(guān)條例規(guī)定，軍工單位必須定期組織對本單位涉密信息系統(tǒng)、涉密信息設(shè)備和涉密存儲介質(zhì)進行風險自評估工作，識別系統(tǒng)面臨的不斷變化的威脅、脆弱性、風險和隱患，及時采取整改措施。

風險自評估是單位信息化部門在保密工作機構(gòu)指導下，根據(jù)審計報告和日常檢查情況，組織運行維護機構(gòu)利用管理和技術(shù)手段，對涉密信息系統(tǒng)、涉密信息設(shè)備和存儲介質(zhì)進行綜合安全分析和評估。機密級或秘密級信息系統(tǒng)和信息設(shè)備須每年進行一次評估。由國家保密行政管理部門設(shè)立或授權(quán)的保密測評機構(gòu)或委托的測評或者風險評估，其出具的結(jié)論可視為自評估結(jié)論。

軍工單位涉密信息系統(tǒng)運維機構(gòu)根據(jù)風險評估的結(jié)果，形成風險自評估報告，進行隱患漏洞和危害性分析評估，針對隱患漏洞和風險，進行來源和威脅分析，及時修改安全策略，并提出可行的管理和技術(shù)改進措施建議。

制度、策略、審計、評估之間的關(guān)系

軍工單位涉密信息系統(tǒng)的安全是一個動態(tài)的復雜過程，它貫穿于信息系統(tǒng)的整個生命周期。安全保密制度、安全保密策略、安全審計、風險評估正是讓這個動態(tài)的復雜的安全管理體系形成一個閉環(huán)，通過閉環(huán)管理，實現(xiàn)涉密信息系統(tǒng)管理體系的持續(xù)改進。涉密信息系統(tǒng)安全保密管理體系持續(xù)改進模型持續(xù)改進模型如圖1所示。

圖1 安全保密管理體系持續(xù)改進模型圖

通過方案設(shè)計、建設(shè)實施、現(xiàn)場測評和保密認證后，涉密信息系統(tǒng)正式投入運行，在運行過程中，需制定一套權(quán)威的安全保密管理制度和策略來保證系統(tǒng)中的每個人的行為有章可循。通過安全審計，對系統(tǒng)的運行進行監(jiān)視，發(fā)現(xiàn)運行中的各種安全事件，并及時對系統(tǒng)進行修補和補救。通過科學分析涉密信息系統(tǒng)面臨的風險，發(fā)現(xiàn)信息系統(tǒng)系統(tǒng)安全防護存在的問題和薄弱化解，為風險預防、風險規(guī)避、風險控制等方面提供依據(jù)和決策支持。可以說，安全風險評估是涉密信息系統(tǒng)安全保密體系構(gòu)建的終點和起點，通過閉環(huán)管理，實現(xiàn)對涉密信息系統(tǒng)安全威脅與風險的事前預防、事中控制、事后審計，持續(xù)改進安全保密管理體系。安全保密制度、安全保密策略、安全審計和風險評估四者之間的關(guān)系如下：

1.安全保密制度擔任著權(quán)威者的角色，軍工企業(yè)通過安全保密制度來貫徹國家相關(guān)保密法律法規(guī)，并要求涉密信息系統(tǒng)中的每個人都必須按照安全保密制度履行相關(guān)安全保密職責。安全保密制度是安全保密保密體系得以正常運行的關(guān)鍵。

2.安全保密策略擔任著指導員的角色，指導和規(guī)范涉密信息系統(tǒng)各類操作規(guī)程、系統(tǒng)或設(shè)備配置策略，使相關(guān)人員有章可循，知道什么能做，什么不能做以及怎樣做。涉密信息系統(tǒng)管理策略不是一層不變的，當環(huán)境、系統(tǒng)、威脅或風險發(fā)生重大變化時，需要組織實施策略制定與修訂工作，總策略至少每兩年進行一次修訂。

3.安全審計及擔任著巡視員的角色，通過巡查和分析各種日志和記錄，了解系統(tǒng)運行狀態(tài)，及時發(fā)現(xiàn)系統(tǒng)中的安全隱患或安全事件，對系統(tǒng)進行相應的修補或補救。通過安全審計工作，管理人員能夠清楚系統(tǒng)內(nèi)安全策略、管理制度的執(zhí)行情況，為信息系統(tǒng)安全保密策略制定、風險評估提供數(shù)據(jù)支撐。

4.風險評估擔任著評估員的角色，通過信息安全風險評估，可以發(fā)現(xiàn)信息系統(tǒng)安全防護存在的問題和薄弱環(huán)節(jié)，為風險預防、風險規(guī)避、風險控制等方面提供依據(jù)與決策支持，進而采取措施減少、轉(zhuǎn)移、避免風險，將風險控制在可以容忍的范圍內(nèi)。風險評估結(jié)果為安全保密策略調(diào)整和更新指明了方向，是制訂安全策略和實施安全防護措施的依據(jù)。