对加强分院涉密计算机及移动存储介质管理的思考由刀豆文库小编整理，希望给你工作、学习、生活带来方便，猜你可能喜欢“涉密移动存储介质”。
对燕山分院涉密计算机及移动存储介质的风险分析和管理 一．前言
近年来，随着信息技术的飞速发展，网络及计算机的应用也更为广泛。北京北化院燕山分院做为中石化直属院，对信息保密的要求更为科学和规范。伴随信息系统网络化发展和高新技术设备的应用，作为网络系统重要组成部分的涉密计算机（包括台式机和笔记本电脑）（以下简称计算机）以及移动存储介质（移动硬盘及U盘等外接存储介质）的安全保密问题突现出来，成为当前保密管理中的重点和难点。因此，加强涉密计算机和移动存储介质的风险分析和管理已成为有效保障涉密信息系统安全的重要基础。
二、国内外相关管理和技术现状
1、制定了一系列重要的保密管理法律法规和技术标准。对于涉密计算机和移动存储介质等高新技术设备的保密管理和使用安全问题，我国历来都非常重视，从1998年起到2006年先后下发了多个关于计算机信息系统和秘密载体的保密管理规定，中保委的2005年和2006年工作要点也提到要加强对涉密计算机、移动存储介质的管理，并要求抓紧开发和推广具有自主知识产权的、技术含量高的保密技术产品，国家保密局也制定了《涉及国家秘密的信息系统终端安全与文件保护产品技术要求》等相关保密技术标准。燕山分院也在2005年下发了《燕化研究院网络信息保密管理办法》及《燕化研究院国家秘密电子文件管理办法》两个制度文件。
从国外的情况看，据对40多个国家的调查统计，已制定信息安全专门法律的国家占40%，修订原有法律的占60%。美国商务部下属国家标准和技术研究所也制定了新的计算机安全准则《对联邦信息设备的推荐安全控制》准则共1200多条，涉及计算机等信息设备的管理、操作和技术检查，意在保障美国非国防用途信息设备的安全、完整和有效。准则涵盖涉及信息安全的17个领域，重点放在风险评估、对突发和意外事故的管理、对计算机等信息设备的访问控制和对使用 者的鉴别认证等。
2、计算机安全保密技术得到迅速发展和广泛应用。针对计算机和移动存储介质容易丢失、数据信息容易被非授权获取等特点，国内外相关设备厂商采用安全芯片、防盗报警、指纹识别、智能卡识别、数据加密等安全技术，相继推出了各类安全技术和加密移动存储介质，如具有芯片级文件保护和指纹识别系统的联想昭阳系列和IBM T系列对数据提供了有效的安全防护，华旗资讯具有硬件加密和指纹加密功能的移动存储介质。此外，国内的安全厂商也开发出一些针对计算机防护和移动存储介质鉴别的安全产品，如基于UKey的终端安全与文件保护系统、可信介质管理系统等。
燕山分院始终高度重视信息安全基础建设，取得了很大进步，但应当指出的是，目前在分院的信息保密工作方面还存在不少薄弱环节和问题。在管理方面，虽然制定了相关的规章制度，但都有比较宽泛，针对性不强，不够具体，可执行性弱。这些规章有的还停留在制度、条例的层面，没有上升为法制、法规的高度。从专业技术管理的角度虽做了些工作，但缺乏顶层设计和统一的技术标准，统一管理力度不够、政出多门，没能实现综合性的管理和协调，没能实现以人为中心，以管理为桥梁，以技术为支持的管理体系。从技术方面来看，主要技术、关键技术受制于人、缺乏具有自主知识产权的信息安全技术和产品。
三、涉密计算机和移动存储介质的风险隐患
目前，对于燕山分院办公网及涉密信息系统存在的诸多安全隐患中，相当一部分来自于网络终端。随着网络信息技术的发展和办公自动化设备的更新换代，计算机及笔记本已成为科研人员办公的基本工具，并作为网络终端或涉密单机来使用，但这又给设备安全和数据安全带来了新问题。移动存储介质因其通用性强、存储量大、体积小、易携带等特点而得到广泛使用，但这也造成数据拷贝不受限、违规交叉使用等新情况。下面从日常使用和管理的角度对计算机和移动存储介质进行风险分析，主要存在以下安全隐患：
（一）设备丢失
1、借用审批手续不全，设备随意外出无登记。公用的笔记本电脑借用审批登记监管不严，存在设备借用不审批、外出不登记和设备长期借用不按期归还、不定期复检的现象。
2、设备外出防护薄弱，侥幸心理大意易丢失。个别涉密人员在携带笔记本电脑或移动存储介质外出时存在侥幸心理，将设备放在宾馆自己外出或让不认识的人代为看管，也有的将设备放在自己防护范围之外。
3、设备备案登记不详，归还技术检查不详细。对涉密台式机、笔记本电脑、移动硬盘、U盘、光盘等没有进行编号和详细的登记。无法做到设备唯一性标识，以至于设备丢失和恶意替换也无法检查和发现。
（二）违规使用
1、管理制度不严谨，责任落实不到位。许多部门没有针对台式机、笔记本电脑和移动存储介质制定专门的管理制度，或制定的规章不具体、可操作性差，以至于日常管理中无章可循或管理松懈。
2、严重违规高密低用，数据安全无保障。由于不同密级的信息系统防护技术要求不同，一些涉密人员没有意识到涉密笔记本电脑和移动存储介质接入低密级、非涉密系统或国际互联网中，会产生数据泄密隐患。
3、低密高用传播病毒，轮渡木马暗窃密。个别人员在涉密系统中使用未经授权的私人存储介质，这些介质往往没有严格的管理和防护，容易感染病毒或木马程序。
4、意识淡薄非法外联，系统后门开通道。在保密技术检查时，发现一些部门的涉密计算机和移动存储介质存有违规外联接入互联网的情况，这当中有的是为升级病毒库短时间临时接入，有的是长时间既上网又处理涉密文件，也有的是在联接互联网的计算机上用移动存储介质打印涉密文件，这些都会直接造成国家秘密的失窃。
5、设备台账分布不清，设备变更和技改新购设备也没有及时登 记。一些部门配备或私人拥有笔记本电脑的人员白天在单位用这台设备处理涉密文件或连接内网，晚上又把这台设备带回家上互联网，这都会造成泄密、传播病毒等隐患，而且设备的管理松懈也会增加设备丢失的风险。
6、忽视过程管理，设备的报废环节管理失控。涉密计算机、涉密介质出现故障时，如果随意选择维修、报废和销毁等处理方式，会造成存储介质涉密信息的泄露。在物理结构上，存储设备主要由控制电路和存储介质组成。如果控制电路损坏，采取一定的数据恢复措施，也可以读出其中未损坏部分的数据。
（三）数据被盗
1、设备防护薄弱，数据输入输出不受控。个别部门的笔记本电脑没有设置必要的安全策略或未安装终端防护软件。有的接入内网的笔记本不安装准入安全软件，输入输出接口不受控制，成为网络中一个不受控制的终端，对整个网络造成安全隐患。
2、设备交叉使用，残留数据容易被恢复。有个别部门忽视设备归还后的技术检查和技术处理，设备在二次交叉借用时通过数据恢复即可获取残留涉密数据，造成涉密信息扩大知悉范围。
3、数据明文保存，文件信息读取不受限。笔记本电脑和移动存储介质带出工作区使用时，设备的数据直接明文保存，如果设备丢失或被不法分子控制，非法持有者可轻而易举的获取涉密文件会造成重大损失。
4、开放多余服务，网络入侵遭被动泄密。单位在选购涉密计算机时没有要求禁用带有无线通信功能的设备，也没有要求使用时应禁用无线网卡、蓝牙等无线通信接口，以及禁止连接手机等智能通信设备的规定，也给黑客入侵提供了通道。
5、断网时使用涉密移动存储设备。“在互联网计算机上使用涉密移动存储介质会造成泄密，而在断开互联网的计算机上使用涉密移动存储介质就不会泄密了“，这是一个错误的认识。目前已发现多种木马，当移动存储设备插入USB接口时，能自动将其中的数据复制到计 算机中，待计算机再次连接互联网时，再将数据发出。
（四）意外损坏
数据备份未按时，意外损坏无法再恢复。存储介质有时会遭遇到诸如坠落、挤压、碰撞、溅水等意外损坏，这些情况有的可以通过数据恢复技术对介质上存储的数据进行恢复，但有的则要面临数据丢失的现实。
四、加强管理和技术防范的对策和建议
这些由于使用计算机和移动存储介质而引起的安全问题给分院信息化保密工作带来了很大困扰，这些问题随着信息化建设的深入也会越发突出和严重。那么，就如何建立有效的管理机制和手段，结合本人工作实践和相关调研，做一些浅显分析和建议。
（一）保密法规标准方面
1、规范制度统一流程，提高设备管理的科学性。开展法规体系、管理体制、科研与产品等专题研究，根据台式机、笔记本电脑和移动存储介质的特点和隐患，进行深入的调研，抓紧研究制定严谨规范的保密管理制度和标准统一的工作流程；研究制定科学的防护要求和技术标准，以保证在人员管理、设备管理、检查监督等环节有章可循，有法可依。做为科研项目的保密资格审查认证，随着分级保护技术标准的实施，应对认证标准进行相应的更改，保留和增加对涉密单机的检查内容，避免个别部门利用现行标准存在的缺陷，将本应采取网络管理的系统改为单机管理来规避审查，做到上网不保密，保密不上网。
2、加强保密标准研究，提高保密技术水平。针对涉密计算机和移动存储介质保密技术防护手段相对落后，安全防护类产品研发相对滞后、品种单一的现状，今后应不断加强保密技术和保密技术标准的研究，多应用并自主开发一些具有自主知识产权、科技含量高、实用有效的保密技术产品，多研究制定一些严谨规范、针对性和操作性强的计算机安全标准，并以国家标准的形式发布，用来指导涉密单位的保密技术管理，帮助用户管理使用计算机，提高系统安全性。
（二）安全保密管理方面
1、加强法规技术培训，提高防范意识和技能。网络的安全包含人的安全、硬件设备的安全、及应用系统的安全，网络终端及单机运行的涉密单机和移动存储介质的安全不仅仅只是机器的安全，更重要的是人员的安全意识和正确的操作规范，因此，要把对人和设备的管理作为两个重要环节来抓。定期开展保密技术防范技能及保密法律法规的培训非常必要。各部门应遵照国家的法规制定切实可行的保密管理制度和作用性强的技术操作规范，用于规范日常的工作。
2、重视过程管理，逐步建立“户籍式”管理工作模式，提高涉密设备资产安全。根据对设备运行周期进行闭环管理的要求，对设备采取“户籍式”管理，即对每一个设备建立一套档案，记录设备的购置、发放、使用、变更、报废、销毁等环节内容。在设备登记时应遵循唯一标识原则，如计算机应登记硬盘序列号和网卡MAC地址，U盘应记录设备ID号和人工编号等。对于设备和应用软件的安装、故障的维修、例行的检查都应有时间和责任人记录，这样有助于在出现问题后进行责任认定和追究，并要限制设备使用人员随意更改系统配置、安装应用软件等行为。涉密计算机、移动存储介质等涉密设备的维修应严格管理、详细记录，现场维修时，应由有关人员全程陪同；外出维修时，应拆除所有存储过涉密信息的硬件和固件；存储过涉密信息的硬件和固件应到具有相应资质的维修点进行维修。
3、推荐名录统一购置，严把设备入门关。对于涉密计算机设备的配置，应事先确定采购名录，对拟作为涉密设备的产品应进行严格的安全保密性测试，并对供应商进行必要的安全审查和评估，以确保设备的安全可靠。对于产品技术上有缺陷、服务跟不上的企业要及时进行通报，不允许其产品进入涉密领域。
4、加大执法检查监督力度，堵塞失泄密漏洞。科学构建安全监控体系，要以人为中心，以管理为桥梁，以技术为支持，各种信息安全设备为运行平台，实现对相关涉密人员及设备的全时段、全方位监管和实时响应。
（三）保密技术防范方面
1、对归还设备加大技术检查力度。设备归还时应先进行保密技术检查，再对涉密数据进行有效清除。可用Windows自带的工具和命令删除文件或格式化分区（最好是低级格式化），同时确保删除Windows操作系统和办公系统所产生的一些临时文件。防止设备因二次交叉借用，产生的泄密隐患。
2、严禁使用私有介质，有力控制移动介质。在涉密信息系统中应禁止使用私有移动存储介质、MP
3、数码相机、智能手机等可存储设备，而且要对移动存储介质进行有效的技术鉴别，防止高密低用和非授权使用。结合网络准入系统对移动存储设备（包括U盘、移动硬盘）制订准入策略，未授权的移动存储设备不可使用。对于未联网的计算机，需要用移动存储设备进行数据交换时，应采取必要的数据加密和身份认证措施。此外，在从互联网向涉密网或涉密单机拷贝文件时，应先通过中间机对下载文件进行病毒、木马程序等恶意代码的查杀，再用内部介质转移到涉密网中，禁止接入互联网的存储介质在涉密网中使用。
3、推广终端防护系统，提升计算机安全性。针对笔记本电脑和涉密台式机不好管理的问题，采取必要技术防范措施，通过安装经过终端安全与文件防护系统和非法外联监控系统以提高设备的安全性。终端安全与文件防护具有安全登录、身份认证、数据加密、文件防护等功能，可有效加强台式、便携式等涉密计算机的登录安全，保护涉密、敏感文件。
4、设备外出加强技术防护，日常使用严防违规。笔记本电脑外出存放和携带可使用防盗锁和超距报警器；移动存储介质应随身携带，杜绝随意放置；对于采用硬件密钥身份认证的设备，应分开保管和携带。涉密台式机的外出应按照涉密笔记本电脑相关规定进行管理，在涉密台式机外出和归还时也应进行必要的保密技术检查。对于需要外出的涉密台式机应安装硬盘加密卡，以提高设备的安全防护水平。在日常使用时应提高保密意识、严守保密法律，做到“不违规外 联、不违规使用、不违规输出”。避免在公共场所和其他无保护环境中使用笔记本电脑，如必须使用时应该十分谨慎，并采用一定的保护措施，避免这些设备存储和处理的信息遭到非法访问或泄密，还要注意防范被未经授权人员窥视的风险。
总之，对燕山分院涉密计算机及移动存储介质的风险分析和管理工作是一个漫长和严肃的工作，如何应对并制订相关制度进行科学防范是保证涉密信息安全的重要手段。
