淺談如何做好網絡信息化條件下企業的保密管理工作

[提 要]隨著信息化時代的到來，企業的保密管理工作尤為重要。通過分析保密管理中存在的問題，并制定相關措施，對強化網絡信息化條件下的保密工作具有重要意義。

[關鍵詞]信息化;保密管理;措施

[作者簡介]黃秋萍（1978—），女，核工業二七○研究所保密專干，研究方向為信息化條件下的保密管理。（江西南昌 330200）

隨著計算機技術的普及，信息進行安全保密管理的范圍、對象和方式等都發生了變化，安全保密工作的難度更是逐漸增高，保密工作中存在很多深層次的矛盾以及問題，管理上更加復雜，使保密工作面臨更加嚴峻的挑戰。

一、當前保密管理中存在的問題

（一）保密意識隱患

現階段，有些人認為保密就是單位保密部門的事情，跟自己沒有多大關系;有的人還抱著僥幸心理，認為在單位上網很多年，并沒有被攻擊，采不采取防范都無所謂;有的人覺得沒有必要對計算機進行保密，就算是受到了攻擊，也可以重裝系統。諸如此類的想法都會造成信息的泄露，有的甚至導致違法行為。

（二）上網行為隱患

網絡安全隱患主要體現在上網審批責任制和用戶上網行為技術防護上，上網沒有審批程序和相應的監管等手段，日常管理的職責不明確;用戶上網行為審計與管理系統不健全。

（三）技術防范隱患

很多計算機不設定密碼，這就給有心者可乘之機。有的筆記本電腦里面存儲了涉密信息，卻還在介入互聯網時采用插拔的方式，造成了很嚴重的泄密漏洞;單位的涉密信息設備、涉密載體沒有生命周期設計及管控，使用過程中無法閉環管理。

二、強化網絡信息化條件下保密工作的幾點措施

（一）提高保密意識

管理是以人為本的活動，因此加強對涉密人員的管理是健全完善機構保密管理體系的重要保證。首先，必須加大保密提醒和保密教育的頻率及深度，讓保密防范的理念逐漸深入人心。同時，經常舉辦各種實用的專項保密培訓，切實增強涉密人員的保密防范技能。針對部分人員對保密工作認識缺乏的實際情況，可以指派專人對涉密人員開展一對一的培訓，把強化安全保密教育，提高計算機網絡知識和防御技術作為一項重要內容來抓。按照統一要求，指導各部門做到專機專用，專人管理，對能否上網的信息作出明確規定，強化落實保密審批流程。單位沒有編制的非正式員工，流動性較大，對其進行保密管控應更謹慎和嚴格。嚴格獎懲，筑牢保密警戒防線，建立量化考核和職級晉升相掛鉤的保密工作績效考核制度，對保密工作優秀的部門和個人應給予精神和物質獎勵，對違反保密紀律和規章制度的應處罰或處分，對于因違規操作導致泄密的，要堅決予以紀律處分直至追究刑事責任，筑起一道保密工作“警戒線”。

對于保密管理人員而言，僅具有保密意識還不夠，還需要在幾個方面狠下功夫：第一，基礎知識的掌握。通過認真研讀《新保密法》、《保密法實施條例解讀》等，提高對保密法規的理解水平;第二，精確掌握定密依據，提高事項的定密準確性;第三，保密檢查能力的增強，熟練掌握各類檢查工具，如計算機硬件檢測工具、信息搜索工具等，提高保密檢查的準確性和有效性，及時發現保密工作中存在的問題，及時整改，防止問題擴大化。

單位應加大保密工作督導檢查力度，突出日常管理不定期檢查和重大節假日或重要任務的專項檢查，及時堵塞消除泄密隱患。針對檢查出的隱患和苗頭，要組織相關人員認真查找根源，深究原因，查問責任，增強安全工作的緊迫感和責任感。

（二）上網行為管控

互聯網信息設備主要用于處理來自于外部資源的普通信息。單位互聯網應統一部署上網行為審計與管理系統，對計算機的IP地址與MAC地址進行綁定，同時，上網賬號與用戶實名進行綁定。互聯網的訪問采用“用戶實名+密碼”的方式，通過對用戶上網行為的管理，進一步加強信息安全防護。

（三）加強技術防范

信息化背景下，采集、處理傳輸國家秘密信息的設備由電話機、打字機等傳統設備擴展到各類計算機終端設備及網絡設備，存儲國家秘密信息的載體也由傳統的紙質載體擴展到光、磁、電等介質載體。因此，信息保密的涉及領域有了巨大的拓展。必須制定有效的安全防護策略，確定流程，明確規定程序和具體步驟。

三、建立信息設備安全策略

（一）涉密信息設備的全生命周期管理及操作按照信息安全操作規程相關規定進行管理

首先，涉密計算機使用人需提出申請，審批通過后與涉密機責任人簽訂保密承諾書，由計算機系統管理員負責涉密計算機操作系統的安裝，經保密辦審核后安裝安全保密產品，部署安全策略，制定信息系統軟件白名單。涉密計算機的重要業務數據需要采取數據備份技術，實現對重要數據的備份，以確保數據完整性。

（二）涉密計算機維修

涉密計算機需要維修時，由責任人履行維修審批手續，通過填寫《涉密設備及介質維修審批單》，與維修單位簽訂保密協議，經審批后方可進行維修，維修單位應具有涉密維修相關資質。具體流程圖見圖1：

（1）信息設備需要維修時，需履行維修審批手續，涉密設備維修需經相關部門審核及主管領導審批。信息化管理部門記錄維修情況。

（2）請外單位進行維修，應具備相應的保密資質，維修人員須經審批并簽訂保密承諾書。進入保密要害部門、部位應履行登記手續，由責任人全程旁站陪同，并采取必要的保密措施。

（3）涉密信息設備和涉密存儲設備損壞后不進行維修的，按照涉密信息設備和存儲設備銷毀要求予以銷毀。

（三）涉密計算機報廢

涉密計算機的報廢及清退需要履行審批手續涉密設備清退流程見圖2：

（1）維修報廢中應對存儲過涉密信息的硬件和固件采取有效的管控措施，拆下待報廢的涉密存儲部件由信息化管理部門專人管理，建立臺帳，存放在密碼文件柜或密碼保險柜中。如果待報廢的涉密存儲部件的存放數量超過20塊，則密碼文件柜或密碼保險柜應當存放在保密要害部位中。

（2）維修或報廢設備中的涉密信息由責任人按照本單位信息交換的保密要求進行轉儲，確保轉儲的信息安全可控。

（3）維修報廢過程中的各種登記和記錄應真實完整。

（四）涉密打印輸出設備

對涉密計算機輸出管理辦法采取以下輸出策略：

（1）涉密計算機的打印機信息輸出采用集中打印控制方式;（2）輸出打印機放置于機房，對設備實行專人管理，防止輸出結果被非授權查看和獲取;（3）涉密計算機信息的打印輸出采取審批方式監管，履行審批、登記手續方可打印。

（五）涉密顯示輸出設備

為防止涉密計算機的顯示器、投影儀等顯示輸出設備其輸出內容被非授權獲取，顯示設備不面對門窗擺放。

四、存儲設備安全策略

（一）存儲設備標識

涉密計算機中的硬盤、光盤、U盤等涉密信息存儲設備應按所存儲和處理信息的最高密級標識密級;非密存儲設備根據商網用、互聯網用、工作用等不同用途進行標識，并粘貼標簽。

（二）存儲設備的收發與傳遞

（1）收發涉密信息存儲設備，應嚴格履行清點、登記、編號、簽收等手續;（2）傳遞涉密信息存儲設備，應按有關規定封裝，標明密級、編號和收發件單位名稱，指派專人專車或者通過機要交通、機要通信、機要交換等方法傳遞存儲設備。

（三）存儲設備使用

（1）涉密信息存儲設備不應在非涉密的信息系統內或單機上使用;（2）涉密信息存儲設備在其他信息系統內重新使用或利用前，應進行信息消除處理;（3）攜帶涉密信息存儲設備外出時，須辦理相關審批手續，并按照有關保密規定采取保護措施，使涉密信息存儲設備始終處于攜帶人的有效控制之下;（4）涉密信息存儲設備的復制及制作應在本單位或國家保密行政管理部門批準的單位進行，并標明密級和保密期限，注明發放范圍及制作數量，編排順序號;（5）涉密存儲設備中存儲的涉密文件須“一用一清”，避免知悉范圍擴大。

（四）存儲設備保存

（1）機密級（含）以下涉密移動存儲設備存放在密碼鐵皮柜中;（2）信息化管理部門每年組織對涉密移動存儲設備進行清查、核對;（3）非密存儲設備由各設備責任人負責保管。

（五）存儲設備維修

（1）原則上不對涉密存儲設備進行維修;（2）特殊情況必須維修時，如現場維修，應有相關人員進行全程旁站陪同;需要將涉密信息存儲設備帶離現場維修時，須履行審批手續，應將維修情況記錄備案;（3）存儲設備維修時應簽訂相應的安全保密協議;（4）非密存儲設備確需送外維修的，責任人須徹底清除設備內所有工作數據，并經部門兼職保密工作人員確認后送修。

（六）存儲設備報廢

（1）不再使用或無法使用的涉密硬盤在進行報廢處理時，履行批準、清點和登記等手續后，進行集中統一銷毀;（2）其他涉密信息存儲設備報廢按照有關保密規定辦理批準、清點和登記等手續后，送銷毀點統一銷毀。

綜上所述，國家保密工作直接體現了國家對信息的掌控、國家安全的保障以及綜合管理的體現，只有高度重視保密工作，才能夠使得信息化背景下的保密工作更加專業化和現代化。

[參考文獻]

[1]孫險峰，路明鴿，雷欣.涉密載體全生命周期信息化管控系統設計與實現[J].保密科學技術，2014，（8）.

[2]田星原，鄒欣云，文芳，胡吉舟.信息化背景下的保密管理研究[J].科研，2015，（18）.

[責任編輯：熊文瑾]