載體全過程管理中的風險研究

何 歡 / 中國電子科技集團公司第十研究所

載體全過程管理中的風險研究

何 歡 / 中國電子科技集團公司第十研究所

隨著載體使用傳播需求的不斷擴大，其安全問題也隨之顯現。為提高管理者對載體使用傳遞過程中相關保密安全問題的認識，本文在介紹載體從產生至銷毀全過程可能存在的一些風險問題、安全技術及防護策略。

載體全過程；風險；措施

引言

目前最常用于涉密單位的載體類型為紙質、光盤、U盤、硬盤等，為使載體從輸出至閉環過程中更加安全可控，通過系統管控實現載體制作、載體流轉、載體外發、載體留存、載體修復、載體歸檔、載體回收銷毀的全過程閉環管理。進而做到載體賬目清晰，操作全程監控、數據實時追溯，然而在載體的全過程中的各階段仍存在著風險點，針對載體的每個階段的風險點進行輔助分析預警，使載體管理的過程中風險最小化。

一、載體全生命周期管理分層概述

在系統中實現載體全過程管理分為四層，分別為業務應用層、臺賬數據層、分析統計層、業務監管層。

應用層為載體的各項業務應用，從載體的制作到閉環狀態的所有業務應用操作，此層的對象為用戶及（功能）操作管理員，用戶提交操作經流程審批完成后管理員進行閉環操作。數據層為載體在產生至閉環過程中業務流程完結后產生的臺賬，每一個業務均有對應的操作記錄臺賬，記錄關鍵臺賬信息，將數據進行匯總呈現，并以報表形式展示。統計層是整合了載體不同維度的信息數據統計，可分人員三級權限、計數維度、時間維度、應用維度進行統計，以表格、柱狀圖、折線圖等方式展示載體相關各項指標，為單位管理層人員全盤掌握載體使用情況，提供分析解析工具。監管層為管理者進行載體監管的依據，系統中數據提取分析之后形成報表。

二、載體全生命周期管理風險點

經本人調研大多數載體管理系統的運行架構都大致相同，就我單位現載體管理情況，進行此次的載體管理風險點分析。

（一）載體應用管理風險

1.載體在產生過程需要關注的是產生密級的確定性及制作過程的嚴密性。

風險問題：在沒有電子文檔定密流程輔助下，電子文檔在輸出為載體時的密級確定性存在很大隱患，極大可能出現了“高密低出”的情況，而這種情況源于標密不準確、脫密不完全及使用過程失誤等。

防護措施：此類情況可通過電子文檔定密軟件輔助精確定密、加強載體制作過程審批及加強載體輸出審計等方法處理；確保制作過程的嚴密性，必須載體制作審批手續齊全，制作過程臺賬狀態信息完善及時準確。

2.載體在流動過程是在全過程中存在較高風險的環節，載體的流動時狀態更新的及時性很重要，用于追溯載體的去向及所屬人。

風險問題：載體流動分為內部移交及外送，內部移交是載體的所屬人發生變更，為減少載體在借用過程中的不可控因素，以載體狀態及所屬人為準，及時變更載體所屬人可控制內部流轉風險。

防護措施：載體的外送在實際應用中又會有有多種情況，為載體外送、載體外出使用、載體機要外送等。不同類型的使用方式，對應不同的管控措施。載體外送是將單位內產生的載體通過審批手續后移交予本單位外單位及人員，載體所屬人則變更成本單位外人員，責任人單位也變成外接收單位，在這種流轉的過程中的要求載體的出入單位的手續及接收單位及接收人的交接手續必須完整有效。外出使用的載體同樣需要出所手續，因不進行交付則沒有交接手續，涉密載體外送過程中在攜帶人從攜帶載體出單位到使用完成回到單位這過程中，控制載體的知悉范圍及避免載體遺失為此階段的風險點，在此過程中載體的管理尤為重要，要求攜帶人對涉密載體做好嚴密的保密管理工作，目前采用封裝式的的管理方法來降低涉密載體知悉范圍及泄密幾率。

3.載體歸檔過程中是否做到的完整性及一致性。

風險問題：基于載體管理系統與檔案管理系統的系統集成及信息的讀取，檔案管理員需謹慎核對將要進行歸檔的文件，要素項如文件名、編號、密級、份數、頁數、所屬人等信息，檔案管理員接收文件時應當確保歸檔文件要素準確無誤，避免歸檔后文件要素缺失。

防護措施：在載體管理過程中“頁”管理的感念被逐漸模糊，為融入實際工作并保持文件完整性及去向、狀態統一性，載體插換頁管理是精細到文件“頁”的管理，只針對于紙質載體文件。工作中經常出現多份文件間互相交換頁或者追加頁的情況，插換頁功能是必不可少的一項管理功能。

4.載體的回收與銷毀中過程是否安全保密。

風險問題：大多數載體已直接銷毀的方式完成載體管理全過程，少數單位先對載體進行定點回收再集中運往銷毀中心銷毀。兩種方式各有利弊，直接銷毀的方式風險點在于載體銷毀不完全存在再次收集使用的風險幾率，定點回收再集中在銷毀風險點在于因是完整載體集中存放，必須保證其部門部位管理嚴謹，加大了管理難度，并且在運往銷毀中心的過程中載體的保密安全仍不完全可控。

防護措施：相對比來說，使用機密級銷毀設備對載體進行精細銷毀再以碎屑的形態運輸銷毀中心目前為最佳的方式。

（二）載體數據統計及監管管理風險

系統中所有業務數據均由業務流程中產生，對多個業務數據提供分類，形成對應的操作臺賬數據表，用于相關數據的多入口多維度追溯查詢。不同業務臺賬中關注的要素點不同，不同維度對數據進行分析對比。

風險評估基于數據要點，同時需要充分考慮要點相關的各類屬性，找出數據關注點，對關注點進行頻數分布比較統計分析，并以圖表方式展現。

風險的計算可通過定量及定性計算，根據定義公式來判定出風險值，并對風險值的分布狀況，為每個等級設定風險值范圍，并對所有風險計算結果進行分級處理，每個等級代表了相應風險的嚴重程度。

載體全生命周期查詢用于數據的歷史追溯，可查看載體的歷史發生事件及狀態轉換，確保文件的狀態準確性。

作業審計管理是載體管理必不可少的一環節，面對龐大的作業數量怎樣有效的進行審計，并查找出問題目標，可以通過“現象”看到“本質”，現象就是所謂的問題數據群，在所有數據中篩選出具有特殊屬性的數據群集，在群集中抽樣審計，看到“本質”問題所在，從而提升審計效率。

三、結語

在涉密載體管理實際工作中，載體輸出、流轉、存放、銷毀過程遇到過各種特殊問題，而管理者需要“對癥下藥”，針對重點難點問題制定特色管理策略及方法。通過對涉密載體的日常管理，積累經驗總結出有效的管理措施。