科研院所信息安全策略設計實踐

伴隨著信息技術的便捷和效率，也帶來了信息安全的風險和隱患，從公開的失泄密報道中可以看出，大部分失泄密事件都與網絡和信息化相關。科研院所本身就是一個信息安全失泄密事件的多發地帶，又加上“兩化融合”、“軍民融合”的深入推進，科研院所業務觸角伸向了民品產業和生產領域，信息系統也從單一的涉密信息系統擴展到非密信息系統、互聯網辦公、工業控制網絡等多重系統并存的復雜狀態，信息安全策略也必然從單一的涉密信息系統安全策略擴展到全方面的信息安全防護。

科研院所信息安全特點

廣義上的信息安全涉及物理安全、網絡安全、數據安全、信息內容安全、信息網絡基礎設施安全及公共國家信息安全等多個方面，安全威脅來自于自然災害、意外事故、人為錯誤、黑客行為、內部泄密、外部泄密、信息丟失等多方面。在設計科研院所的信息安全體系時，除了考慮以上的安全威脅外，還必須根據行業的特殊性，關注以下幾個特點。

國家秘密的信息安全強制性。國家秘密是科研院所信息安全防護的最基本特點。保密法中明確定義了“存儲、處理國家秘密的計算機信息系統（以下簡稱涉密信息系統）按照涉密程度實行分級保護”指出了信息安全的強制性要求。

物理隔離的信息系統交換。涉密信息系統物理隔離要求，必然會產生不同信息系統之間信息交換需求。不同信息系統的安全防護等級與能力不一，外部病毒和木馬程序有可能通過信息交換進入涉密網，形成風險漏洞，破壞物理隔離。

涉密人員在非密網絡中無意識失泄密?？蒲性核藛T涉密人員較多，部分涉密人員既從事涉密研發，也從事民品研制。雖然工作的網絡進行了物理隔離，但由于人員是同一人，較容易在非密網絡上帶入涉密思維或是涉密研發成果，造成無意識的失泄密事件。因此，科研院所的非密網絡也是重點防護對象。

工控信息安全隱憂。從事軍民品生產業務的單位，生產加工設備一般不會專門區分軍用加工和民用加工。工控信息系統的安全防護手段和方法都較薄弱，如果與涉密信息系統相連，很容易成為“安全短板”，造成失泄密風險。

外場試驗環境安全。科研工作與試驗息息相關，由于涉密網絡物理隔離的特點，外部試驗時計算機無法進行網絡連接，研究人員計算機的數據交換通過物理介質完成，隨著介質的頻繁交換，一方面數據版本的有效性控制難度加大，另一方面丟失的風險也會呈數量級上升。

科研院所信息安全策略設計依據

1.信息安全設計依據

我國在制度層面規定了不同的信息系統保護要求。其中涉密信息系統主要依據《中華人民共和國保守國家秘密法》及《武器裝備科研生產單位保密資格認定辦法》、《涉及國家秘密的信息系統分級保護管理辦法》及技術要求和管理規范進行安全策略設計。非密信息系統和互聯網辦公主要依據《信息安全等級保護管理辦法》及《計算機信息系統安全保護等級劃分準則》進行安全策略設計。工業控制系統主要依據《工業控制系統信息安全防護指南》進行安全策略設計。

2.信息安全評價標準

信息安全是全球性的概念，在設計信息安全體系和策略時可以參考國際信息安全評價標準，如美國的信息安全評價標準TCSEC、國際通用信息安全評價標準（CC）、我國信息安全評價標準GB/T18336-2001，其中我國信息安全評價標準等同于CC。

表1 安全策略防護對象列表

3.信息安全策略設計準則

全面性原則：信息安全的問題遵循“木桶原理”，短板就是最危險的安全邊界。在信息安全策略設計時必須全方位地考慮企業或組織面臨的全部威脅，根據全部威脅設計預防和解決方案。

最小化原則：網絡系統提供的服務越多，安全漏洞和威脅也就越多。因此，應當關閉信息安全策略中沒有規定的網絡服務，以最小限度原則配置滿足安全策略定義的用戶權限。

均衡性原則：由于軟件漏洞、協議漏洞、管理漏洞和網絡威脅不可能被徹底消除，夸大信息安全漏洞和威脅會浪費投資、降低信息系統易用性；但忽視信息安全有可能造成組織損失，甚至威脅國家安全。信息安全策略需要在安全需求、易用性、效能和安全成本之間保持相對平衡，均衡的信息安全策略是成本約束和充分發揮網絡及信息系統效能的關鍵。

時效性原則：由于影響信息安全的因素隨時間變化，導致信息安全問題具有顯著和時效性。例如信息系統用戶增加、信任關系發生變化、網絡規模擴大、新安全漏洞和攻擊方法不斷暴露都是影響信息安全的重要因素，安全策略必須有確定的維護與更新機制。

信息安全策略設計與實例

1.安全策略分類

科研院所信息安全策略根據防護對象不同，可分為涉密信息系統安全策略、國際互聯網安全策略、工業控制設備和系統安全策略、涉密單機安全策略、輸入輸出安全策略等。每一類安全策略對應的防護對象見表1。

除了以上安全策略外，根據信息系統特點，也可以增加非密信息系統、通訊、辦公自動化設備和聲像設備等不同對象的安全策略。

2.安全策略體系及內容層級

科研院所信息安全策略按體系分可分三層：頂層為信息安全總體策略，針對安全問題提出對策和總體解決方案；制度規范層為信息安全制度、信息安全操作規程和安全產品配置策略，其中管理制度保障安全策略提出的對策和解決方案能夠正確執行，操作規程和安全產品配置策略是安全策略在信息系統和設備上具體實現的操作步驟，屬于更細致的業務指導；操作層由不同的記錄表單組成，通過記錄表單來體現痕跡管理。這幾個部分既相互獨立又相互關聯，缺一不可。

科研院所信息安全策略按內容分可為兩類：管理策略和技術防護策略，管理策略重點闡述本單位的安全保密目標、方針、組織機構、人員、文件體系、系統過程管理等內容；技術防護策略圍繞不同信息系統特點進行分類，可依據分級保護要求或等級保護要求統一格式，表2是涉密信息系統的安全策略內容，其他信息系統也可參考使用。

表2 涉密信息系統安全策略內容

表3 安全策略體系設計示例

3.安全策略體系設計實例

本章就運行安全的“病毒與惡意代碼查殺”防護內容的策略設計進行示例，表3說明了信息系統安全策略不同層級闡述內容的不同點。

總體策略是需要面向全體員工的，必須簡潔明了。內容不宜太專業，闡述不能太長，以說明要點為主。

規章制度應明確信息系統和設備的管理、使用、維護，以及保障安全策略相關的各項規定和要求。應在總體策略的基礎上加以擴充說明，使全體員工明確誰做，誰監督，做什么，違反后果等關鍵內容。

操作規程明確實施安全策略的資源、設備、工具和人員，確定安全配置管理權限的劃分和變更流程，明確實施安全策略時應當履行的規定程序和具體步驟。

安全產品配置策略是提供給專業信息系統安全管理和運維人員使用，明確安全產品的配置和操作，明確實施安全產品策略時應當履行的規定程序和具體步驟。安全產品配置策略樣表設計可參考操作規程設計樣表。

記錄表單是體現使用人員的痕跡的，在設計時重點要考慮操作人、時間、操作內容、審批人、操作依據等要素，可根據不同業務場景設計。

結論

三分技術，七分管理，安全問題很大程度上是對面臨的威脅和風險認識不足，缺乏明確的安全方針、完整的信息安全管理制度和嚴格的落實執行造成的。本文初步總結了工作實踐中的體會，提出了全方位的安全策略設計方法，分享了具體的操作實例，以期有益于讀者。