基于項(xiàng)目全生命周期的智慧城市行業(yè)涉密信息安全風(fēng)險(xiǎn)評(píng)價(jià)研究

◆王東 白宇 初寶山 喬夢(mèng)喬

（航天科工智慧產(chǎn)業(yè)發(fā)展有限公司北京 100089）

1 研究背景

黨的十八大以來(lái)，以習(xí)近平同志為核心的黨中央高度重視保密工作，作出了改進(jìn)和加強(qiáng)國(guó)家保密工作的新決策、新部署。習(xí)近平總書(shū)記指出：“當(dāng)前我國(guó)國(guó)家安全內(nèi)涵和外延比歷史上任何時(shí)候都要豐富，時(shí)空領(lǐng)域比歷史上任何時(shí)候都要寬廣，內(nèi)外因素比歷史上任何時(shí)候都要復(fù)雜。”同時(shí)，隨著我國(guó)綜合實(shí)力和國(guó)際地位的顯著提升，我國(guó)也逐漸成為境外間諜組織攻擊的重要目標(biāo)，尤其是“中國(guó)九大泄密事件”，給我國(guó)造成了無(wú)法估量的損失，我國(guó)保密工作依然面臨著極大挑戰(zhàn)。在這種背景下，不僅需要國(guó)家不斷完善保密法律、法規(guī)，更需要企業(yè)建立切實(shí)可行保密管理體系，不斷完善保密風(fēng)險(xiǎn)評(píng)價(jià)機(jī)制，彌補(bǔ)管理漏洞，消除泄密隱患，避免泄密事件發(fā)生。

2 研究意義及思路

本文主要以智慧城市行業(yè)保密風(fēng)險(xiǎn)管理為研究對(duì)象，智慧城市行業(yè)剛剛起步，行業(yè)模式不夠清晰，項(xiàng)目管理不夠成熟，在保密風(fēng)險(xiǎn)管理方面也面臨很大挑戰(zhàn)，主要表現(xiàn)在：

（1）智慧城市項(xiàng)目實(shí)施周期長(zhǎng)，工期可能高達(dá)三年以上。項(xiàng)目實(shí)施過(guò)長(zhǎng)，涉密人員會(huì)產(chǎn)生麻痹心理，造成前緊后松，出現(xiàn)泄密事件。

（2）智慧城市項(xiàng)目管理復(fù)雜，會(huì)產(chǎn)生大量數(shù)據(jù)、報(bào)表、報(bào)告及其他各類(lèi)資料，所有涉密載體都需要從產(chǎn)生、保管、使用、銷(xiāo)毀等各個(gè)環(huán)節(jié)進(jìn)行有效管理，大大增加了保密管理工作量，提升了保密管理難度。

（3）智慧城市項(xiàng)目科技含量高，需要運(yùn)用物聯(lián)網(wǎng)、云計(jì)算、移動(dòng)互聯(lián)網(wǎng)為代表的新一代信息技術(shù)，既需要使用精密硬件設(shè)備，又需要應(yīng)用復(fù)雜信息技術(shù)，并且新設(shè)備、新技術(shù)本身的安全性也有待驗(yàn)證，也在一定程度上增加了保密管理難度。

（4）智慧城市項(xiàng)目參與人員具有多樣性，由于項(xiàng)目實(shí)施過(guò)程中，很可能需要非密人員參與到項(xiàng)目中來(lái)，如何對(duì)人員進(jìn)行有效隔離，限制非密人員接觸涉密信息，也在無(wú)形中增加了人員管理成本與難度。

此外，智慧城市行業(yè)還具智能監(jiān)控、大數(shù)據(jù)共享、信息傳輸便捷性等特點(diǎn)，會(huì)增加涉密信息安全管理難度，如果企業(yè)不能進(jìn)行充分、有效、全面風(fēng)險(xiǎn)評(píng)估，極有可能出現(xiàn)管理漏洞，為泄密事件埋下隱患。

本文針對(duì)智慧城市行業(yè)保密管理中的問(wèn)題，結(jié)合項(xiàng)目管理特點(diǎn)，從項(xiàng)目全生命周期角度進(jìn)行風(fēng)險(xiǎn)評(píng)價(jià)研究，對(duì)項(xiàng)目機(jī)會(huì)階段、項(xiàng)目前期階段、現(xiàn)場(chǎng)實(shí)施階段、項(xiàng)目收尾階段等四個(gè)環(huán)節(jié)，進(jìn)行全面的風(fēng)險(xiǎn)識(shí)別與分析，計(jì)算風(fēng)險(xiǎn)值，確定風(fēng)險(xiǎn)等級(jí)，并提出風(fēng)險(xiǎn)應(yīng)對(duì)措施，切實(shí)提升企業(yè)保密風(fēng)險(xiǎn)管理水平[1]。

3 保密風(fēng)險(xiǎn)識(shí)別與分析

3.1 項(xiàng)目機(jī)會(huì)階段

本階段主要為項(xiàng)目預(yù)立項(xiàng)之前的各類(lèi)活動(dòng)，包括前期市場(chǎng)調(diào)查、客戶(hù)信息完善、市場(chǎng)評(píng)估、以及商機(jī)狀態(tài)定期更新等。因本階段重點(diǎn)為前期開(kāi)拓市場(chǎng)，并未正式實(shí)施涉密項(xiàng)目，最易被保密管理所忽略。

本階段關(guān)注的主要風(fēng)險(xiǎn)點(diǎn)為：安排非密人員洽談涉密項(xiàng)目，導(dǎo)致信息泄密；洽談階段的涉密載體管理不符合要求，導(dǎo)致載體遺失、被盜、損毀或信息泄露；未充分了解對(duì)方單位的保密管理要求和資質(zhì)情況，導(dǎo)致保密管理不到位；未及時(shí)向保密辦公室進(jìn)行初步備案，導(dǎo)致無(wú)法對(duì)項(xiàng)目進(jìn)行有效跟蹤等。

3.2 項(xiàng)目前期階段

本階段主要為預(yù)立項(xiàng)之后，且立項(xiàng)之前，涉及預(yù)立項(xiàng)審批（含預(yù)立項(xiàng)預(yù)算及計(jì)劃編制）、初步設(shè)計(jì)、參加投標(biāo)、合同審批及簽訂等環(huán)節(jié)。

本階段關(guān)注的主要風(fēng)險(xiǎn)點(diǎn)為：投標(biāo)階段產(chǎn)生的文件，未由涉密計(jì)算機(jī)進(jìn)行處理和輸出；外出攜帶投標(biāo)文件，未經(jīng)保密審批和登記；涉密投標(biāo)人員知悉范圍存在失控；未中標(biāo)的投標(biāo)信息文件沒(méi)有進(jìn)行清理和銷(xiāo)毀；涉密合同未經(jīng)保密管理部門(mén)審核；涉密合同知悉范圍未進(jìn)行有效管控；涉密合同簽訂未及時(shí)向保密管理部門(mén)備案等。

3.3 項(xiàng)目實(shí)施階段

本階段為項(xiàng)目執(zhí)行階段，涉及正式立項(xiàng)、物資采購(gòu)、項(xiàng)目分包、工程施工、現(xiàn)場(chǎng)管理等事項(xiàng)。由于此階段，是保密管理工作的重中之重，需要關(guān)注人員管理、設(shè)備管理、場(chǎng)所管理、涉密載體等各方面。

此階段關(guān)注的主要風(fēng)險(xiǎn)點(diǎn)為：項(xiàng)目立項(xiàng)啟動(dòng)時(shí)，未確項(xiàng)目密級(jí)等信息；未確定涉密項(xiàng)目負(fù)責(zé)人和項(xiàng)目組人員構(gòu)成；未對(duì)項(xiàng)目成員進(jìn)行有效分工，明確保密責(zé)任；未對(duì)進(jìn)入現(xiàn)場(chǎng)的人員進(jìn)行保密審查；未對(duì)保密設(shè)備進(jìn)行審查審批；未對(duì)保密人員進(jìn)行進(jìn)場(chǎng)前保密教育，并配合甲方實(shí)施備案登記；涉密業(yè)務(wù)分包，未經(jīng)甲方同意，并確定分包項(xiàng)目密級(jí)；分包單位不具有相應(yīng)保密資質(zhì)；未定期對(duì)現(xiàn)場(chǎng)保密管理執(zhí)行情況進(jìn)行巡查；未定期向保密管理部門(mén)匯報(bào)保密工作開(kāi)展情況；巡查發(fā)現(xiàn)問(wèn)題未及時(shí)整改落實(shí)；現(xiàn)場(chǎng)涉密設(shè)備、載體不符合保密管理要求；涉密設(shè)備、載體未進(jìn)行臺(tái)賬管理、輸入輸出管理、借閱管理等。

3.4 項(xiàng)目收尾階段

本階段主要涉及項(xiàng)目驗(yàn)收、結(jié)項(xiàng)及項(xiàng)目資料移交等工作。須重點(diǎn)關(guān)注驗(yàn)收和資料、設(shè)備移交兩個(gè)環(huán)節(jié)。

此階段關(guān)注的主要風(fēng)險(xiǎn)點(diǎn)為：非密人員參與涉密項(xiàng)目驗(yàn)收；驗(yàn)收會(huì)議不符合會(huì)議管理要求；項(xiàng)目涉密資料移交、登記和保管不規(guī)范；未對(duì)涉密設(shè)備、載體進(jìn)行清點(diǎn)、登記；未經(jīng)授權(quán)審批，進(jìn)行資料移交；涉密資料帶回公司未及時(shí)進(jìn)行報(bào)備登記；未經(jīng)授權(quán)私自銷(xiāo)毀涉密載體等。

此外，在進(jìn)行項(xiàng)目全生命周期風(fēng)險(xiǎn)識(shí)別的基礎(chǔ)上，還要注重涉密載體、涉密人員和涉密信息設(shè)備等自身的全生命周期管理，例如涉密載體制作、收發(fā)與傳遞、使用、復(fù)制、保存、維修、銷(xiāo)毀等全過(guò)程進(jìn)行風(fēng)險(xiǎn)識(shí)別，避免風(fēng)險(xiǎn)遺漏，造成安全管理漏洞。

4 保密風(fēng)險(xiǎn)評(píng)估

風(fēng)險(xiǎn)評(píng)估方法一般分為定性評(píng)估、定量評(píng)估、定性與定量相結(jié)合的綜合評(píng)估三種方法。其中，定性評(píng)估方法主要是依據(jù)個(gè)人認(rèn)知、業(yè)務(wù)經(jīng)驗(yàn)、實(shí)踐案例和政策解讀能力，對(duì)不可量化的系統(tǒng)風(fēng)險(xiǎn)狀況進(jìn)行評(píng)審和比較的評(píng)價(jià)方法。優(yōu)點(diǎn)是簡(jiǎn)單易行，綜合性強(qiáng)，可以綜合考慮較多因素，更加全面、深入；缺點(diǎn)是主觀性強(qiáng)，彈性較大，難以準(zhǔn)確把握，對(duì)個(gè)人綜合能力要求較高。定量評(píng)估方法主要通過(guò)數(shù)據(jù)測(cè)算，建立數(shù)學(xué)模型，通過(guò)計(jì)算分析對(duì)象的各項(xiàng)指標(biāo)及其數(shù)值，進(jìn)行評(píng)估分析的一種方法。優(yōu)點(diǎn)是比較直觀，數(shù)據(jù)客觀，且具有可對(duì)比性；缺點(diǎn)是部分指標(biāo)難以量化，操作起來(lái)往往有一定困難，一般只針對(duì)單一場(chǎng)景環(huán)境進(jìn)行分析，評(píng)估結(jié)果不能泛用只作參考。

本次采用綜合分析方法，以定性和定量相結(jié)合，通過(guò)評(píng)估底層各元素可能受到的危害，來(lái)量化總體風(fēng)險(xiǎn)。主要參考依據(jù)為《信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》（GB/T 20984-2007），涉及資產(chǎn)、威脅、脆弱性三個(gè)基本要素，通過(guò)對(duì)各要素進(jìn)行賦值，并依據(jù)計(jì)算標(biāo)準(zhǔn)，確定風(fēng)險(xiǎn)等級(jí)[2]。

第一步，計(jì)算風(fēng)險(xiǎn)事件的可能性

計(jì)算公式如下：安全事件發(fā)生的可能性=（威脅×脆弱性）的平方根。其中，威脅、脆弱性的賦值標(biāo)準(zhǔn)分別詳見(jiàn)表1、表2。

表1 威脅賦值表

表2 脆弱性嚴(yán)重程度賦值表

第二步，計(jì)算風(fēng)險(xiǎn)事件的損失

計(jì)算公式如下：安全事件的損失=（資產(chǎn)值×脆弱性）的平方根資產(chǎn)值的賦值標(biāo)準(zhǔn)詳見(jiàn)表3。

表3 資產(chǎn)價(jià)值表

第三步，計(jì)算風(fēng)險(xiǎn)值，確定風(fēng)險(xiǎn)等級(jí)

計(jì)算公式如下：安全事件風(fēng)險(xiǎn)值=（安全事件發(fā)生的可能×安全事件的損失）的平方根。風(fēng)險(xiǎn)等級(jí)的劃分標(biāo)準(zhǔn)詳見(jiàn)表4。

表4 風(fēng)險(xiǎn)等級(jí)劃分表

根據(jù)計(jì)算得出的風(fēng)險(xiǎn)值，確定相應(yīng)級(jí)別的風(fēng)險(xiǎn)等級(jí)，并針對(duì)不同風(fēng)險(xiǎn)等級(jí)，確定相應(yīng)風(fēng)險(xiǎn)應(yīng)對(duì)策略。

風(fēng)險(xiǎn)評(píng)估的重點(diǎn)還是分析出項(xiàng)目全過(guò)程的主要面臨的威脅因素，資產(chǎn)構(gòu)成情況以及脆弱性，這基本是以定性分析為主，其中具體數(shù)據(jù)按照定量分析的方法以實(shí)際監(jiān)督檢查過(guò)程獲取的數(shù)據(jù)為依據(jù)，綜合分析后識(shí)別有效風(fēng)險(xiǎn)點(diǎn)，最后再依據(jù)分析結(jié)果制定保密風(fēng)險(xiǎn)對(duì)策。

5 保密風(fēng)險(xiǎn)對(duì)策分析

5.1 建立基于全生命周期的涉密項(xiàng)目管理辦法

一般而言，企業(yè)均已制定本企業(yè)的保密管理制度，但是很多企業(yè)保密管理制度過(guò)于宏觀和籠統(tǒng)，缺乏具體實(shí)施辦法，尤其對(duì)涉密項(xiàng)目管理要求和實(shí)際操作流程不夠深入、具體，可能導(dǎo)致制度難以有效落地。因此，需要結(jié)合智慧城市行業(yè)項(xiàng)目全生命周期特點(diǎn)，在保密管理制度的框架下，建立具體的管理辦法和操作流程，對(duì)項(xiàng)目全過(guò)程中的人員管理、場(chǎng)所管理、設(shè)備管理、信息公開(kāi)、各類(lèi)載體及臺(tái)賬等各方面進(jìn)行全面要求[3]。

5.2 提升員工的項(xiàng)目全過(guò)程保密管理意識(shí)

事實(shí)證明，很多泄密事件都與員工保密意識(shí)不強(qiáng)密切相關(guān)，“心不設(shè)防”就會(huì)“防不勝防”。部分員工認(rèn)為泄密事件離自己很遙遠(yuǎn)，對(duì)保密工作的嚴(yán)峻性、復(fù)雜性和泄密損害性認(rèn)識(shí)不足，理解不夠到位，甚至個(gè)別員工對(duì)保密工作存在抵觸心理，大大降低了保密管理的效果[4]。因此，在項(xiàng)目管理的過(guò)程中需要持續(xù)對(duì)員工的保密意識(shí)進(jìn)行強(qiáng)化，可以通過(guò)法規(guī)宣貫、制度培訓(xùn)、警示教育，以現(xiàn)場(chǎng)講解、視頻宣傳、考試測(cè)驗(yàn)等多種方式不斷提升員工的保密意識(shí)，并將保密意識(shí)深入融合到項(xiàng)目管理全過(guò)程。

5.3 強(qiáng)化項(xiàng)目保密管理的監(jiān)督檢查

通過(guò)對(duì)各類(lèi)泄密案件分析，無(wú)論是涉密設(shè)備、涉密載體的丟失，還是泄密人員和涉密場(chǎng)所管理的失控，都存在保密制度徒有其表、管理流于形式的情況。企業(yè)應(yīng)加強(qiáng)保密管理的監(jiān)督檢查，深入排查涉密項(xiàng)目管理過(guò)程中存在的問(wèn)題和風(fēng)險(xiǎn)隱患，要建立多維度監(jiān)督檢查機(jī)制，如項(xiàng)目現(xiàn)場(chǎng)設(shè)置項(xiàng)目保密管理員，負(fù)責(zé)項(xiàng)目日常保密檢查，保密管理部門(mén)每季度進(jìn)行抽查，保密工作領(lǐng)導(dǎo)小組半年度進(jìn)行全面檢查等。檢查范圍要涵蓋到不同項(xiàng)目生命周期的所有環(huán)節(jié)[5]。對(duì)于發(fā)現(xiàn)的泄密隱患，及時(shí)組織整改，要從隱患事項(xiàng)本身整改，舉一反三整改，源頭整改三個(gè)維度入手，將泄密隱患徹底消除，同時(shí)還要及時(shí)對(duì)整改效果進(jìn)行跟蹤評(píng)價(jià)，確保所有隱患整改到位，形成閉環(huán)。

5.4 建立保密責(zé)任追究機(jī)制

建立企業(yè)內(nèi)部保密責(zé)任追究機(jī)制，依據(jù)“誰(shuí)主管、誰(shuí)負(fù)責(zé)”的工作原則，將保密責(zé)任層層落實(shí)，對(duì)責(zé)任落實(shí)不力、制度執(zhí)行不到位的領(lǐng)導(dǎo)和個(gè)人，必須堅(jiān)持原則，嚴(yán)肅問(wèn)責(zé)，發(fā)現(xiàn)一起，查處一起，依法追究直接責(zé)任人員和領(lǐng)導(dǎo)責(zé)任人員的責(zé)任，不以過(guò)失行為規(guī)避責(zé)任追究，不以批評(píng)教育代替行政處分，對(duì)不宜留在涉密崗位的人員，堅(jiān)決予以調(diào)離，以嚴(yán)肅問(wèn)責(zé)推動(dòng)保密管理各項(xiàng)要求嚴(yán)格落實(shí)[6]。同時(shí)加強(qiáng)案件通報(bào)，加大警示教育力度，要引以為戒、防微杜漸、筑牢思想防線(xiàn)。

6 結(jié)束語(yǔ)

保密工作是一項(xiàng)基礎(chǔ)性、全局性、長(zhǎng)期性工作，作為涉密單位，必須具備全局觀念，以高度的政治責(zé)任感，充分認(rèn)識(shí)新形勢(shì)下保密工作的重要意義，堅(jiān)持黨管保密的根本原則，維護(hù)國(guó)家安全，強(qiáng)化企業(yè)的保密風(fēng)險(xiǎn)評(píng)估能力。保密風(fēng)險(xiǎn)評(píng)估的根本是識(shí)別確實(shí)的保密風(fēng)險(xiǎn)并制定有效的風(fēng)險(xiǎn)對(duì)策措施，綜合性的評(píng)估方法只是工具，此工具既可以識(shí)別風(fēng)險(xiǎn)，也可以對(duì)風(fēng)險(xiǎn)對(duì)策措施進(jìn)行驗(yàn)證，更重要的是系統(tǒng)性的識(shí)別涉密項(xiàng)目全過(guò)程的風(fēng)險(xiǎn)并且驗(yàn)證風(fēng)險(xiǎn)對(duì)策措施確實(shí)有效。同時(shí)，隨著企業(yè)內(nèi)外環(huán)境不斷變化，風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)應(yīng)對(duì)也應(yīng)是一個(gè)動(dòng)態(tài)管理過(guò)程，通過(guò)持續(xù)改進(jìn)，不斷提升企業(yè)保密管理水平。