孟謝琦、趙金玲、秦宇 /中國航天系統(tǒng)科學(xué)與工程研究院

軍工單位是指承擔(dān)國防科研生產(chǎn)任務(wù)，從事武器裝備研制和生產(chǎn)經(jīng)營活動的企事業(yè)單位，涉及航空航天、船舶、兵器等重要領(lǐng)域。按照《中華人民共和國保守國家秘密法》規(guī)定，非涉密網(wǎng)絡(luò)存儲、傳輸和處理的信息不得涉及國家秘密。當(dāng)前，軍工單位非涉密網(wǎng)絡(luò)主要有互聯(lián)網(wǎng)、商密網(wǎng)、自組局域網(wǎng)和工控網(wǎng)，承載民品研制等非涉密業(yè)務(wù)，部分非涉密網(wǎng)絡(luò)存在敏感不宜公開的工作信息及商業(yè)秘密信息。

軍工單位在國防領(lǐng)域所處的重要地位使其非涉密網(wǎng)絡(luò)成為境外情報機(jī)構(gòu)和不法分子攻擊的重點目標(biāo)。軍工單位的敏感信息、商業(yè)秘密及重要信息一旦泄露，勢必?fù)p害單位利益，甚至危害國防安全。本文對軍工單位非涉密網(wǎng)絡(luò)建設(shè)情況及主要安全問題進(jìn)行了分析，提出了針對性的管理措施及建議。

一、軍工單位非涉密網(wǎng)絡(luò)建設(shè)情況

為了實現(xiàn)軍工單位非涉密業(yè)務(wù)的快速響應(yīng)、信息集成和資源共享，軍工單位普遍組建了非涉密網(wǎng)絡(luò)。非涉密網(wǎng)絡(luò)主要包括四類：

（1）互聯(lián)網(wǎng)。部分軍工單位通過虛擬專用網(wǎng)（VPN）形式處理非涉密業(yè)務(wù)，或直接在互聯(lián)網(wǎng)開展工作，通常用于移動辦公或跨國協(xié)同辦公。

（2）商密網(wǎng)。部分軍工單位為了發(fā)展民用產(chǎn)業(yè)，便于經(jīng)營管控，提升工作效率，形成了與互聯(lián)網(wǎng)邏輯隔離的商密網(wǎng)，商密網(wǎng)中存儲商業(yè)秘密。

（3）自組局域網(wǎng)。部分軍工單位為了處理不涉及國家秘密但又不便于在互聯(lián)網(wǎng)中公開發(fā)布的敏感信息，組建內(nèi)部局域網(wǎng)，與互聯(lián)網(wǎng)物理隔離。

（4）工控網(wǎng)。涉及智能制造、電子裝聯(lián)、測試試驗等業(yè)務(wù)的軍工單位，將工控設(shè)備、加工生產(chǎn)設(shè)備、測試試驗設(shè)備組成工控網(wǎng)，與互聯(lián)網(wǎng)物理隔離或邏輯隔離。

近年來，針對非涉密網(wǎng)絡(luò)的攻擊手段更加多樣，安全事件頻發(fā)，如新冠肺炎疫情釣魚事件、中國電信數(shù)據(jù)泄露事件、美國輸油管道勒索病毒攻擊事件、SolarWinds 供應(yīng)鏈攻擊事件等。非涉密網(wǎng)絡(luò)中Web 應(yīng)用、操作系統(tǒng)、數(shù)據(jù)庫、工控系統(tǒng)攜帶大量漏洞，能夠被攻擊者快速利用，引發(fā)安全事件。非涉密網(wǎng)絡(luò)軟、硬件設(shè)備的主要安全漏洞如表1所示。

軍工單位普遍對非涉密網(wǎng)絡(luò)的重要性和存在的安全問題及面臨的安全風(fēng)險認(rèn)識不足，因此有必要分析軍工單位非涉密網(wǎng)絡(luò)的主要問題，探索非涉密網(wǎng)絡(luò)管理的相關(guān)措施。

二、軍工單位非涉密網(wǎng)絡(luò)存在的主要問題

1.非涉密網(wǎng)絡(luò)缺乏有效管理

軍工單位非涉密網(wǎng)絡(luò)大部分未明確管理機(jī)構(gòu)和管理職責(zé)，設(shè)備維護(hù)、網(wǎng)絡(luò)運維、監(jiān)督管理等分工不清，未建立可執(zhí)行的管理制度。在日常管理中，非涉密網(wǎng)絡(luò)資產(chǎn)底數(shù)不清、使用情況不明的現(xiàn)象普遍存在；即使建立了管理制度，制度的可操作性和執(zhí)行落實均比較差。

部分軍工單位在規(guī)劃與建設(shè)非涉密網(wǎng)絡(luò)時，未充分考慮網(wǎng)絡(luò)安全防護(hù)需求，重應(yīng)用輕安全、重可用輕防護(hù)，增加了非涉密網(wǎng)絡(luò)的運維、安全管理難度。

2.人員安全防范意識淡薄

軍工單位高度重視涉密網(wǎng)絡(luò)，但對非涉密網(wǎng)絡(luò)的重視程度普遍不夠，用于網(wǎng)絡(luò)管理的資金、人員投入普遍不足。使用人員多為缺少保密教育的非涉密人員，防范意識和防范能力薄弱，用戶使用弱口令登錄系統(tǒng)、隨意插接介質(zhì)、設(shè)備隨意入網(wǎng)、不處理感染木馬病毒的程序等危害非涉密網(wǎng)絡(luò)安全的情況較為普遍，且通過非涉密網(wǎng)絡(luò)違規(guī)處理涉密信息及將敏感信息違規(guī)輸出的情況時有發(fā)生。

3.對待外來威脅缺乏有效手段

軍工制造企業(yè)通常會組建工控網(wǎng)，工控網(wǎng)設(shè)備類型眾多，現(xiàn)有標(biāo)準(zhǔn)的針對性和可操作性不強(qiáng)，缺乏針對工控設(shè)備等特殊設(shè)備的防護(hù)措施，工控網(wǎng)的抗攻擊能力較差。軍工單位的互聯(lián)網(wǎng)及與互聯(lián)網(wǎng)邏輯隔離的商密網(wǎng)更容易受到來自互聯(lián)網(wǎng)的多方攻擊，自組局域網(wǎng)容易受到來自網(wǎng)絡(luò)內(nèi)部和數(shù)據(jù)交互引入的病毒攻擊。面對外來威脅，非涉密網(wǎng)絡(luò)的安全管理不僅僅是安全產(chǎn)品的堆疊，更需要專業(yè)的技術(shù)人員進(jìn)行管理。現(xiàn)階段技術(shù)防護(hù)體系不足、人員能力欠缺，使得非涉密網(wǎng)絡(luò)對外來威脅缺乏行之有效的防護(hù)手段。

4.網(wǎng)絡(luò)安全監(jiān)督管理機(jī)制不健全

軍工單位的互聯(lián)網(wǎng)和商密網(wǎng)由公安部授權(quán)的等級保護(hù)測評機(jī)構(gòu)進(jìn)行風(fēng)險評估，但存儲、處理工作敏感信息的自組局域網(wǎng)和對穩(wěn)定性要求極高的工控網(wǎng)缺乏專業(yè)的評估機(jī)構(gòu)進(jìn)行風(fēng)險識別。軍工單位內(nèi)部開展的非涉密網(wǎng)絡(luò)自查多關(guān)注該網(wǎng)絡(luò)信息是否涉密，對非涉密網(wǎng)絡(luò)自身的安全性缺乏重視，不能切實發(fā)現(xiàn)風(fēng)險隱患。對識別的風(fēng)險應(yīng)對能力不足，導(dǎo)致隱患長期存在。

表1 非涉密網(wǎng)絡(luò)軟、硬件設(shè)備的主要安全漏洞

三、軍工單位非涉密網(wǎng)絡(luò)的管理對策及建議

1.完善頂層設(shè)計，統(tǒng)籌規(guī)劃非涉密網(wǎng)絡(luò)安全防護(hù)建設(shè)

非涉密網(wǎng)絡(luò)在頂層設(shè)計階段，結(jié)合等級保護(hù)、行業(yè)標(biāo)準(zhǔn)等網(wǎng)絡(luò)建設(shè)標(biāo)準(zhǔn)要求，充分調(diào)研各部門業(yè)務(wù)需求，以業(yè)務(wù)活動為主線，將各安全要素滲透進(jìn)業(yè)務(wù)流程中，明確各方責(zé)任，在建設(shè)維護(hù)時設(shè)置專項經(jīng)費，對非涉密網(wǎng)絡(luò)進(jìn)行統(tǒng)一規(guī)劃、設(shè)計、建設(shè)、管理、運維，統(tǒng)籌非涉密網(wǎng)絡(luò)的安全防護(hù)體系建設(shè)和運維人員配備，保證非涉密網(wǎng)絡(luò)具備較高的整體防護(hù)能力。

2.落實主體責(zé)任，建立非涉密網(wǎng)絡(luò)防護(hù)管理機(jī)制

軍工單位對非涉密網(wǎng)絡(luò)實行歸口管理、職責(zé)分擔(dān)、協(xié)作配合的分工體制，制定歸口管理、設(shè)備管理、運維管理、監(jiān)督管理等一系列管理辦法與制度，將非涉密網(wǎng)絡(luò)的相關(guān)要求納入整個管理體系中，形成常態(tài)化管理機(jī)制，制定非涉密網(wǎng)絡(luò)使用及運行維護(hù)的相關(guān)操作規(guī)程，確保各項措施落到實處。

3.加強(qiáng)技術(shù)管控，健全非涉密網(wǎng)絡(luò)防護(hù)技術(shù)體系

軍工單位參照等級保護(hù)要求進(jìn)行非涉密網(wǎng)絡(luò)技術(shù)防護(hù)，識別保護(hù)等級，確定安全基線，設(shè)計安全防護(hù)策略。重點開展以下7個方面工作。

（1）身份認(rèn)證。對非涉密網(wǎng)絡(luò)中的軟硬件設(shè)備、應(yīng)用的本地登錄和遠(yuǎn)程登錄進(jìn)行身份認(rèn)證，必要時采取多因子認(rèn)證方式。

（2）訪問控制。依據(jù)最小授權(quán)原則制定用戶權(quán)限分配策略，將敏感信息接觸范圍限制在最小范圍內(nèi)。

（3）網(wǎng)絡(luò)防護(hù)。部署邊界防護(hù)產(chǎn)品進(jìn)行網(wǎng)絡(luò)邊界防護(hù)，采取入侵防御聯(lián)動措施，自動阻斷和追蹤入侵行為。

（4）主機(jī)防護(hù)。對服務(wù)器、計算機(jī)等硬件設(shè)備進(jìn)行加固，及時更新操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用軟件的安全補(bǔ)丁程序，定期挖掘系統(tǒng)漏洞，并予以修補(bǔ)，防止攻擊者利用漏洞發(fā)起攻擊。

（5）計算機(jī)病毒與惡意代碼防護(hù)。部署防病毒系統(tǒng)，在非涉密網(wǎng)絡(luò)系統(tǒng)關(guān)鍵節(jié)點（如網(wǎng)絡(luò)出入口）部署異構(gòu)防病毒產(chǎn)品，加強(qiáng)病毒與惡意代碼防護(hù)。

（6）安全檢查和審計。在關(guān)鍵操作處如信息輸入輸出端進(jìn)行安全檢查和審計，避免涉密信息、惡意代碼和特定信息流入及敏感信息非授權(quán)流出。

（7）數(shù)據(jù)備份與恢復(fù)。制定備份措施保障關(guān)鍵數(shù)據(jù)的安全，制定恢復(fù)預(yù)案以保障故障情況下重要業(yè)務(wù)的快速恢復(fù)。

4.強(qiáng)化教育引導(dǎo)，提升人員網(wǎng)絡(luò)安全意識和使用規(guī)范

定期對非涉密網(wǎng)絡(luò)使用人員開展網(wǎng)絡(luò)安全行為規(guī)范、風(fēng)險危害等教育培訓(xùn)，引導(dǎo)用戶正確使用非涉密網(wǎng)絡(luò)，讓所有用戶在使用計算機(jī)之初就能夠深刻認(rèn)識到網(wǎng)絡(luò)安全的重要性，進(jìn)而在操作過程中提高防范意識。通過對運維管理人員進(jìn)行專業(yè)技術(shù)培訓(xùn)，切實提升管理人員的安全防范專業(yè)技術(shù)水平，掌握網(wǎng)絡(luò)應(yīng)急事件處理方法。

5.定期風(fēng)險評估，形成以查促改、以改促優(yōu)的正向循環(huán)

軍工單位定期組織開展非涉密網(wǎng)絡(luò)風(fēng)險自評估，按期邀請專業(yè)測評機(jī)構(gòu)進(jìn)行安全評估。建立責(zé)任追究機(jī)制，舉一反三落實整改，形成以查促改、以改促優(yōu)的正向循環(huán)，并定期分析業(yè)務(wù)系統(tǒng)更新和管理因素變化帶來的安全威脅，動態(tài)調(diào)整非涉密網(wǎng)絡(luò)的安全策略，適時補(bǔ)充和完善技術(shù)與管理措施。

軍工單位非涉密網(wǎng)絡(luò)的建設(shè)和使用給非涉密業(yè)務(wù)發(fā)展帶來了便利，但在非涉密網(wǎng)絡(luò)的使用過程中，網(wǎng)絡(luò)安全問題仍然是網(wǎng)絡(luò)管理中無法忽視的問題。本文對軍工單位非涉密網(wǎng)絡(luò)現(xiàn)狀進(jìn)行了闡述，對網(wǎng)絡(luò)管理的主要問題進(jìn)行了分析，并提出了相應(yīng)的管理措施和建議。通過采取相應(yīng)的措施和手段，可以提高軍工單位非涉密網(wǎng)絡(luò)的安全性，對促進(jìn)非涉密網(wǎng)絡(luò)的管理能力起到一定借鑒作用。