軍工企業非涉密信息交換的分析與實踐

左珍勇， 蒲小平

軍工企業非涉密信息交換的分析與實踐

左珍勇1， 蒲小平2

(1.中國航空無線電電子研究所，上海200000；2.空軍裝備部，北京100843)

為支撐重點型號項目的研制和生產，軍工企業涉密信息系統在日常的運行中會涉及到頻繁的非涉密信息交換。現有軍工企業在遵循國家保密標準的前提下進行的內外部非涉密信息交換，往往因效率低、成本高等因素影響科研與生產的正常開展，如何使操作高效、便捷，同時又能滿足保密要求，成為目前軍工企業涉密信息系統在非涉密信息交換方面面臨的首要問題。本文結合某單位在信息化建設過程中對于非涉密信息交換的實踐，提出了一些解決方案，供同行業參考。

涉密信息系統；信息交換；信息化

0　引言

作為軍工企業日常的網絡辦公環境，涉密信息系統支持著越來越多的科研型號項目的研制與生產。對其日常的運行和管理，國家制定了相應的保密標準，要求涉密信息系統必須與國際互聯網及其他公共信息網實行物理隔離。而軍工企業在日常的業務開展過程中會涉及到頻繁的非涉密信息交換，包含涉密信息系統內部非涉密信息交換和對外非涉密信息交換。同時在涉密信息系統中還存在一定數量的單機，它們同樣需要與涉密局域網和外界進行頻繁的非涉密信息交換。按照保密標準進行涉密信息系統的內外部非涉密信息交換，往往因為效率低、成本高等因素影響軍工企業科研和生產的正常開展。如何使信息交換這一操作高效、便捷，同時又能滿足國家對于該方面的保密要求，成為目前軍工企業涉密信息系統在非涉密信息交換方面面臨的首要問題。本文結合某單位在信息化建設過程中對于非涉密信息交換的實踐，提出了一些解決方案，供有類似業務需求的同行業參考。

1　非涉密信息交換需求分析

軍工企業涉密信息系統涵蓋了幾乎所有科研和生產的業務平臺，在日常的型號研制和生產過程中，科研與生產部門的工作信息需要與大型院所、合作伙伴以及上下級單位進行交流，在交流的過程中需要大量新技術的支撐，支撐的技術中大部分屬于非涉密信息，主要來源于外部輸入。在涉密信息系統內部，按照分級保護的要求[1-3]，涉密信息系統需劃分對應密級的安全域[4]，不同安全域之間存需要信息交換，同時在涉密信息系統內部運行的單機也需要與涉密信息系統進行數據交換。圖1是對涉密信息系統信息交換的分類。

圖1　涉密信息系統信息交換分類

2　非涉密信息交換方案設計

涉密信息系統在信息交換過程中需要配置相關的技術手段，并結合相應的管理流程對整個信息交換過程進行實現。

2.1非涉密信息交換技術配備

涉密信息系統信息交換的位置物理上分為信息導入導出室和數據中心，分別由指定部門負責，面向整個軍工企業提供服務。

一般軍工企業信息導入導出室會設置非涉密中間機，通過配備相應的單機版殺毒軟件和惡意代碼查殺軟件等防護措施，對外部非涉密信息在輸入涉密局域網之前進行病毒和惡意代碼查殺；設置內部輸入窗口機，通過配備只讀光驅、三合一以及網絡版殺毒軟件等技術措施，對經過中間機處理后的非涉密信息進行讀取與輸入；設置內部輸出窗口機，通過配備可刻錄光驅、刻錄一體機、三合一以及網絡版殺毒軟件等技術措施，對涉密局域網內的非涉密信息進行導出；設置一臺互聯網計算機，通過配備刻錄光驅、網絡版殺毒軟件、惡意代碼查殺軟件、條碼掃描工具軟件以及掃描槍等技術措施，對互聯網信息的進行集中導入；設置多功能一體機，通過連接涉密局域網，配置掃描文件存放的網絡路徑，對外部來源的紙質文檔進行掃描與傳遞；設置軍工企業內部刻有密級和公司名稱的光盤和U盤，負責涉密局域網與外部的信息交換過程中信息的存儲；設置安全郵件系統等系統，對非涉密信息進行傳遞。

2.2涉密信息系統與外部的信息交換

2.2.1非涉密信息的輸入

本章節提到的非涉密信息輸入主要指外部單位非涉密信息輸入到涉密局域網，按照相關保密要求，外部單位的信息輸入涉密局域網需要配備相應的技術手段和管理流程，目前各單位對于這一塊業務已逐漸形成統一的標準和做法，本文結合單位的具體實踐對于該做法作簡要的分析和展現。圖2是目前軍工企業非涉密信息輸入到涉密局域網內數據大致的流向示意圖。

圖2　非涉密信息輸入流向示意

對于非涉密信息輸入，輸入介質的來源為光盤或企業內部注冊的非涉密移動存儲介質，介質須有單位標識和密級標識，在輸入過程中通過中間機刻錄一次性光盤擺渡或通過三合一通用USB接口單向導入涉密局域網。對于非涉密信息通過移動硬盤或U盤輸入涉密局域網時，需根據具體情況進行審批，通過后再經相應密級的中間機和窗口機處理輸入涉密局域網。圖3非涉密信息輸入辦理流程。

圖3　非涉密信息入辦理流程

在辦理的過程中主要有以下幾點事項:

(1)用戶在填寫《信息輸入審批》表時，需明確責任人、部門、信息密級等信息，對于信息來源，可設置“企業內部”、“外單位”、“互聯網”等可選字段信息，互聯網僅限集中導入，另外對于輸入信息要有詳細附件清單。

(2)審批流轉中，信息輸入申請應該由用戶所在部門領導審批后再由信息化管理部門審批，審批通過后，流程流轉到信息輸入輸出點。

(3)操作員需對存儲信息的介質進行審核，根據介質的密級標簽確定通過何種密級的中間機進行殺毒。中間機須安裝指定的防病毒軟件和惡意代碼查殺軟件，通過中間機查殺的信息在保證無病毒和惡意代碼后，由操作員在OA對應的審批流程內錄入介質的類型(U盤、光盤)、介質密級、介質編號、錄入時間等字段信息。

(4)在對信息進行傳遞時，操作員根據給定的信息密級和容量選擇傳遞途徑。對于非涉密容量小的信息可以直接通過OA流程進行傳遞，對于大容量非涉密信息可以通過NAS進行傳遞。

2.2.2互聯網信息集中輸入

軍工企業在型號項目研制過程中往往需要從互聯網獲取大量的技術信息以支持科研，一般情況下，軍工企業會在單位內部設置互聯網訪問的公共環境(網吧)，供企業內部用戶訪問互聯網獲取相關技術信息并導入涉密局域網。互聯網信息輸入局域網傳統的做法是通過在網吧設置一臺具備刻錄功能的電腦(其它電腦只開通訪問互聯網的權限)，指定專人負責刻錄工作，用戶需要將互聯網信息輸入局域網時，需要事先填寫相應的申請，審批后再領取專用的光盤，通過網吧專用的刻錄機器下載信息、刻錄，然后再通過非涉密窗口機借助文件共享的形式傳遞給申請人，圖4是一般軍工企業互聯網信息輸入涉密局域網的信息流向示意圖。

圖4　互聯網信息輸入流向示意

傳統互聯網信息輸入涉密局域網的方法不僅在申請和審批環節上需要用戶填寫紙質申請，審批的時候由于相關負責人的辦公位置不同需要逐一送簽，而且每次刻錄的時候還需領取專用的刻錄光盤，造成資源浪費。同時，當互聯網信息輸入涉密局域網的業務量增大時，由于網吧只設一臺專用刻錄電腦，將會造成信息輸入效率的降低。目前各軍工企業互聯網訪問和信息輸入的需求在不斷增加，許多單位已經設置了4～5個或更多數量的網吧，如果再使用傳統互聯網信息導入方法，不僅會增加軍工企業管理成本，而且還會影響科研與生產的效率。如何在滿足保密要求的前提下，提高互聯網信息輸入的便捷性，降低管理成本，成為目前軍工企業在信息交換實踐過程中需要解決的重要問題。本章節結合單位在互聯網信息輸入過程的具體實踐，提出了互聯網集中導入與集中分發的技術實現手段與相關管理流程:

一、技術手段實現:

(1)互聯網信息輸入的流程設計

對于互聯信息的審批流程，須實現用戶提交的申請在審批通過后，信息操作員能夠打印所有的申請流程，打印的字段主要包括“序號”、“申請人中文姓名”、“申請人的域賬號信息”以及與該域賬號信息對應的“二維碼”。

(2)互聯網網吧設計

作為訪問互聯網的公共環境，網吧可以采用桌面虛擬化技術組建，前端供用戶登錄的終端為瘦客戶機，用戶訪問互聯網的行為以及產生的數據全部駐留在后臺服務器上。整個互聯網搭建一套微軟活動目錄服務器，用于管理互聯網所有用戶賬號和計算機賬號，所有的互聯網域賬號和涉密局域網域賬號保持一致。

同時，可利用微軟域控的組策略功能，實現每位用戶在第一次登錄網吧時，會在后臺自動創建一個用戶的網盤，該網盤以用戶的域賬號命名，路徑則可通過組策略推送到每位用戶的桌面，當用戶需將互聯網信息導入涉密局域網時，可將對應的文件暫存在指定的網盤內。

(3)二維碼掃描程序設計

二維碼掃描程序主要設計的功能包括:

1)該程序可以設定源地址和目的地址，源地址可以指定一個網絡路徑，目的地址指定本地硬盤路徑(含存儲介質路徑)。

2)該程序可以讀取本地掃描槍輸入的掃描信息，掃描信息為從涉密局域網互聯網信息輸入流程導出的與涉密局域網用戶賬戶對應的條碼信息。

3)該程序每次讀入一條通過掃描槍輸入的條碼信息后，能把該條碼信息還原為涉密網用戶賬戶(如zhang_san)，并查找與該賬戶相同的源地址中以該賬戶命名的文件夾。

4)如查找到之后執行剪切操作，即把該文件夾從設定的源地址剪切到設定的目的地址。

5)如沒有查找到，返回一個提示信息，告之操作人員源地址中無對應用戶文件夾。

(4)NAS傳遞設計

互聯網信息輸入涉密全部通過NAS傳遞，信息操作員所在部門可單獨在NAS中申請開通一個NAS共享文件夾，用于互聯網信息導入后的集中存放和分發。該共享文件夾的訪問權限可設置為“同名目錄訪問”，即以“zhang_san”命名的文件夾只能被域賬號為“zhang_san”的使用人訪問，其它人無權訪問。NAS的權限通過二級目錄管理員的方式實現，即NAS的安全管理員分配一級目錄訪問權限以及管理賬號給相應的申請人，申請人通過該賬號以及對應的管理程序管理一級目錄后續權限的分配。

二、管理流程實現:

圖5為互聯網信息集中輸入的辦理流程，軍工企業可結合自身情況設置每日集中導入的時間和頻次。整個互聯網信息集中輸入的辦理流程可總結為以下幾點:

(1)在申請導入前，用戶需在網吧將待導入的互聯網信息存放在指定的網絡路徑下，然后再在涉密局域網內填寫相應的互聯網信息輸入審批流程。

(2)審批流轉中，信息輸入申請應該由用戶所在部門領導審批后再由信息化管理部門審批，審批通過后，流程流轉到信息輸入輸出點。

(3)操作員將某個時間段之前所有的審批流程打印輸出，然后在指定的互聯網計算機通過掃描工具逐個掃描審批流程的二維碼信息，將與之對應的文件夾傳遞至企業內部非涉密U盤內，在傳遞至U盤之前需要利用互聯網的殺毒軟件進行病毒查殺。

(4)存放互聯網信息的U盤再在非涉密中間機上進行病毒和惡意代碼查殺，在確認沒有病毒和惡意代碼后可在非涉密窗口機上，通過三合一單向導入裝置的通用USB接口將信息集中導入到NAS指定的路徑下。

圖5　互聯網信息集中輸入辦理流程

2.2.3外部紙質文件掃描輸入

目前軍工企業在與外部的信息交換過程中會收到一部分非涉密紙質文檔，這類信息需要通過掃描的方式輸入涉密局域網。開展掃描業務可由指定的信息輸入輸出點負責，在該位置部署一臺具備聯網功能的掃描儀，掃描儀內配置掃描文件存放的網絡路徑，通過域賬號驗證后指向涉密局域網安全NAS下的某個文件夾。圖5為外部紙質文件通過掃描的方式輸入的信息流向示意圖。

圖6 外部紙質文件掃描輸入信息流向示意

圖7是通過文件掃描的方式將非涉密信息輸入涉密局域網的辦理流程，該流程中用戶需備注掃描的原因以及掃描份數，同時對來源的待掃描件需進行統一標號，在后期掃描完成并進行傳遞時，可根據掃描件的容量大小選擇通過安全郵件系統或NAS進行傳遞。

圖7　非涉密掃描信息輸入辦理流程

2.2.4非涉密信息輸出

軍工企業在科研和生產過程中需要將涉密局域網內的非涉密信息輸出，以便與外單位進行交流。從涉密局域網輸出的非涉密信息可采用刻錄一次性光盤形式輸出，也可通過打印成紙質文件的形式輸出，下圖是非涉密信息輸出流向的示意圖:

圖8　非涉密信息輸出流向示意

對于通過光盤輸出的信息，軍工企業可結合自身情況部署一套光盤刻錄監控與審計系統，對涉密局域網內非涉密信息輸出形成控制和審計。要實現對涉密局域網信息輸出刻錄的監控和審計，部署的系統至少需具備兩個功能:介質管理和刻錄管理。其中介質管理可以通過設置載體名稱、載體類型、載體密級、載體更新時間、使用人、部門、條形碼等字段來進行管理和事后問題追溯。對于刻錄管理，在刻錄申請中可根據需求設置申請人、部門、申請時間、光盤密級、刻錄份數等字段信息，同時還需支持刻錄文件的上傳，最后通過刷卡的方式進行光盤輸出。

圖9為非涉密信息輸出辦理流程，整個辦理流程可總結為以下幾點:

(1)用戶提交申請，在提交過程中明確光盤密級、刻錄份數、輸出信息名稱等字段信息，并將待輸出的文件上傳至服務器。

(2)審批流轉中，信息輸出申請應該由用戶所在部門領導審批后回到申請人確認。

(3)審批流程通過后，申請人在信息輸入輸出點對應的光盤刻錄機上刷卡輸出刻錄任務，并進行光盤刻錄，刻錄成功后，申請人領取光盤，整個流程結束。如果刻錄任務無法正常完成，申請人可自行銷毀非涉密光盤。

對于通過打印輸出的信息，軍工企業可部署一套打印集中管理系統，對通過打印輸出的非涉密文件進行審批和審計，用戶采用刷卡的方式進行輸出。

圖9　非涉密信息輸出辦理流程

2.3非涉密信息內部交換

2.3.1涉密局域網內部信息交換

軍工企業日常業務的開展需要部門內部以及部門間的工作協同，而支撐這種協同工作最主要的一個因素則是信息交換。軍工企業涉密局域網內部非涉密信息交換的途徑比較多，如可通過安全郵件系統、安全NAS以及應用系統等方式進行信息的相互傳遞。圖10為涉密信息系統內部非涉密信息流向示意圖，在涉密信息系統中，用戶通過應用系統進行非涉密信息交換分為上傳和下載兩個部分。

圖10　涉密信息系統內部非涉密信息流向示意

郵件系統作為軍工企業日常辦公中重要的基礎服務，在涉密局域網內扮演著數據傳遞的重要角色，如何通過郵件系統在涉密局域網不同安全域之間傳遞非涉密信息，是目前軍工企業在郵件系統使用過程中需要解決的首要問題。對于軍工企業的郵件系統，結合具體實踐，在密級流向控制方面可以通過判斷終端的IP地址進行。首先企業的網段需細化為機密級網段、秘密級網段以及內部網段，其次郵件系統能夠讀取終端的IP地址信息，然后再根據讀取的IP地址判斷該終端屬于哪一密級網段，最后根據IP地址與網段密級的匹配確定終端能夠讀取何種密級的郵件。圖11是大致的根據網段對郵件密級流向進行控制的示意圖。如果單位的網段不進行密級劃分，郵件系統可通過讀取IT運維管理系統中設備臺帳的相關信息進行郵件的密級流向控制。

圖11　郵件密級流向控制示意

2.3.2涉密局域網與單機信息交換

在涉密局域網內，因科研和辦公的需要，還存在一部分的專用設備和便攜式計算機，它們需要和涉密局域網之間進行信息交互。通常情況下，單機和涉密局域網之間進行非涉密信息交互一般通過窗口機進行，存儲信息的載體一般為企業內部專用非涉密U盤。圖12為涉密局域網與單機之間進行非涉密信息交換的大致示意圖。

圖12　涉密局域網與單機之間非涉密信息交換示意

圖13為單機和涉密局域網之間非涉密信息交互的辦理流程。用戶在申請時需在審批表上注明介質編號、信息名稱等信息，用戶所在部門領導審批后流程流轉至信息輸入輸出點，操作員對介質的類型、介質編號等信息再確認，無誤后在內部窗口機進行病毒查殺，確認沒有病毒后再進行相關傳遞工作。當單機的非涉密信息輸入到涉密局域網時，操作員根據U盤內信息容量大小選擇安全郵件或安全NAS進行信息的傳遞；當涉密局域網內的非涉密信息輸出到涉密單機時，在輸出之前，用戶需在流程審批完成后將對應的非涉密信息通過郵件或NAS傳遞給信息操作員(NAS的權限由信息操作員開通)。

圖13　單機與涉密局域網非涉密數據交換辦理流程

3　結語

本文根據軍工企業科研和生產的特點，結合國家保密相關標準和要求，分析了涉密信息系統信息中非涉密信息交換的相關需求，結合具體實踐給出了一些解決方案，特別是針對互聯網信息集中導入的設計，能夠很好解決軍工企業每日大量互聯網信息零散導入次數多帶來信息交換工作量大的問題，實現了互聯網信息的集中導入和集中分發，提高了信息操作員操作的便捷性與效率，供有類似應用的涉密信息系統使用單位參考。

[1] 郎靜宏，劉昊杰.淺析軍工企業信息系統分級保護制度體系的建設[J].保密科學技術，2015(12):52-54.

[2]李元峰，蔡雅良.淺析涉密信息系統的分級保護[J].信息安全與通信保密，2008(6):78-80.

[3]張俊兵，陸磊，俞優等.等級保護制度下信息安全產品分級測評體系[J].信息安全與通信保密，2014(8):40-43.

[4]翟勝軍.談分級保護網絡中的安全域劃分[J].保密科學技術，2011(10):15-18.

Analysis and Practice of Non-Confidential Information Exchange in Military enterprise

ZUO Zhen-yong1，PU Xiao-ping2
(1.China Aeronautical Radio Electronics Research Institute，Shanghai 200000，China；2.Equipment Department of China PLA Air Force，Beijing 100843，China)

To support the development and production of key project，frequent non-confidential information exchange is involved in routine operation in classified information system of military enterprise.Following the premise of confidentiality standards of the state，low efficiency and high cost of non-confidential information exchange affects the normal conduct of scientific research and production. More military enterprises face the chief problem that how to make efficient，convenient operation，and satisfied the confidentiality standards.In this article，combined with some enterprise in the process of information construction for the practice of non-confidential information exchange，some solutions for reference are proposed.

classified information system；information exchange；informatization

TP319

A

1009-8054(2016)08-0117-06

?2016-03-02

左珍勇(1984—)，男，碩士，工程師，主要研究方向為信息安全與網絡監控。

蒲小平(1983—)，男，碩士，參謀，主要研究方向為空軍航空裝備發展。■