关于企业涉密信息系统安全防范措施的思考_涉密信息系统安全保密

关于企业涉密信息系统安全防范措施的思考由刀豆文库小编整理，希望给你工作、学习、生活带来方便，猜你可能喜欢“涉密信息系统安全保密”。

关于企业涉密信息系统安全防范措施的思考

0 引言

我国涉密信息系统和国际互联网是物理隔离的，因此受到外来攻击的可能性不大，主要的威胁是来自内部。但彻底防止内部人员的主动泄密从技术上讲是不可能的，内部知情人员可以不通过任何计算机就可以把所知的秘密透露出去，因此涉密信息系统安全保密的技术防范工作主要是防止无意、意外的泄密，并严格控制知密的范围，尽量降低泄密事件对国家和企业的危害和影响程度。从上述角度来看，涉密信息系统目前安全保密实际需要解决的问题主要包括:(1)便携电脑和移动存储介质的意外丢失不可避免而且客易发生。(2)访问撞制管理不严可能导致员工看到了不该看到的涉密资料。(3)计算机输入输出控制不严会大大增加泄密的风险。(4)审计手段的缺乏难以及时发现员工的违规行为。

我们需要重点解决企业实际存在的这些问题，确保做到有的放矢。下面从便携电脑、移动存储介质、信息共享、网络安全、桌面安全、安全审计等方面的技术防范角度，来分析企业涉密信息系统安全保密技术防范措施。便携电脑的技术防范

便携电脑的丢失难以避免且容易发生，因此企业必须做好便携电脑的技术防范工作，以减少因无法避免的丢失而带来的风险。便携电脑的技术防范措施主要包括:安装强身份认证系统，例如指纹或USBKey等，以确保盗窃者无法打开计算机;采用加密软件加密涉密文件，使盗窃者无法打开涉密文件;规定便携电脑上不能够存储涉密文件，涉密文件存储在移动存储介质上，存储介质和便携电脑分开存放。

目前国内主要采取第三条技术防范措施，要求便携电脑上不得存储涉密文件，这种措施实施起来有一定的难度，需要定期检查便携电脑中是否存有涉密文件或曾经存储过涉密文件，一旦发现就需要用永久性删除软件彻底删除涉密文件以及记录，特别是用户已经删除了涉密文件但留有记录，需要对整个逻辑分区进行未用空间的彻底清除，费时又费力。

这里建议还要联合采用第一条和第二条技术措施。目前国内的单机版主机监控审计软件大都能实现这两种功能，一方面可以通过USBKey实现便携电脑的强身份认证，另一方面如果确实需要将涉密文件存放在便携电脑中，那就要求将涉密文件存放在加密文件夹中，由主机监控审计软件实现涉密文件的自动加密，涉密文件使用完后应及时删除。但国内这些加密软件都不能实现对整个硬盘的加密，如果用户将涉密文件存放在加密文件夹之外，涉密文件就不能实现自动加密。

目前市场上已经出现了全加密硬盘，例如希捷的全加密硬盘，可以从硬盘内部加密全部的存储数据，甚至是临时文件。这种硬盘即使丢失，盗贼即使可以登录系统，也无法访问硬盘。此外还有全硬盘加密软件，例如PGP公司和Pointset移动技术公司都提供这种类型的软件，微软Vista用可信赖平台模块(TPM)的内置式安全芯片作为自己的BitLocker驱动器加密的一部分，也可以实现全硬盘的加密。以上的加密措施可以较好地保证涉密文件的安全，但国内保密管理部门目前还没有对任何商用的加密产品提供过安全保密认证，也就是说，企业丢失加密的涉密文件还是要负责任的。2 移动存储介质的技术防范

移动存储介质和便携电脑一样，丢失难以避免，因此企业也必须实施好移动存储介质的技术防范措施。移动存储介质的技术防范措施主要是加密，使盗窃者无法打开移动存储介质中的涉密文件。

目前国内部分主机监控审计产品都能实现移动存储介质的加密存储。强制要求在使用前必须进行存储介质的认证，没有通过认证的移动存储介质在涉密信息系统中只能读，不能写，只有通过认证的移动存储介质才能进行正常读写，而且自动实现移动存储介质中文件的加密。携带认证的存储介质出差时，必须输入正确的密码才能够打开加密的文件，因此能较好地保证移动存储介质中涉密文件的安全。

虽然国内在USB接口的移动存储介质强制加密上具有较好的解决方案，但对于光盘(CD/DVD)的强制加密却没有较好的解决方案。这里建议企业可以从行政上强制规定，禁止使用光盘来存储涉密信息，以防止涉密信息的丢失。3 信息共享的技术防范

Windows系统工作组模式下的文件共享难以满足企业的文件共享要求，容易出现每台计算机都设有文件共享服务，混乱而且难以控制，甚至有些共享文件夹没有设密码保护或密码长度不符合安全保密的要求，这样会导致涉密文件的知密范围得不到很好的控制。需要采用Windows系统的域管理模式、配置域控服务器，为每个用户设置一个唯一的域帐号;配置专门的文件共享服务器，创建企业级、部门级和工作组级共享文件夹，并设置好用户访问共享文件夹的权限;通过脚本将企业级、部门级和工作组级共享文件夹映射成用户计算机上的网络驱动器，以方便用户访问共享文件夹。同时，从技术上或行政上禁止用户用本地计算机随意进行文件共享，只能通过专门的文件服务器进行网络共享，这样就建立好了企业的文件共享平台。通过企业的文件共享平台，可以较好地规范企业的文件共享行为，将知密范围控制在专业组、部门或项目组内。文件共享只能对文件设置访问权限，不能对更细级别的访问权限进行控制，而基于数据库的管理信息系统能够进行记录级甚至数据项级的访问权限控制，能够更好地控制知密范围，例如办公自动化软件和企业资源规划软件;基于产品数据管理软件的文档管理系统可以根据文档的技术状态动态地进行文档权限的控制，例如定义文档设计状态、校对状态、审核状态、发放状态以及工程变更状态的不同访问权限，因此也能够较好地控制文档的知密范围。同时，这些系统可以和Windows系统的活动目录实现集成，实现统一的系统登录和认证，确保一次登录，四处通行。因此，做好企业的信息化建设工作，不仅可以提高企业的工作效率和管理水平，还可以提高涉密信息系统安全保密的水平。4 网络安全的技术防范

国内涉密信息系统要求和互联网实现完全的物理隔离，因此国内涉密信息系统受到外来攻击的可能性比较小，网络安全主要是控制用户网络访问的范围，并预防员工从内部发起网络攻击。目前国内网络安全产品在技术上比较成熟，而且品种也比较多。这里建议企业按部门或工作组来进行子网的划分，并禁止各子网相互访问来控制网络的访问范围;配置公共服务器子网，将企业公共的服务器放人公共服务器子网，例如邮件服务器、即时通讯服务器、主页服务器、办公自动化服务器、数据库服务器、企业资源规划服务器和产品数据管理服务器等，并允许其他子网的计算机访问公共服务器子网的服务器，从而实现企业内部跨部门或工作组的信息共享和交换通过网络交换机的配置来控制其他子网计算机只能访Iral各公共服务器指定的网络服务端口，从而较好地保护公共服务器的安全在企业核心网络交换机上配置人侵侦测系统，来侦测跨部门或工作组的网络攻击行为;通过MAC地址和网络端口绑定Windows活动目录和网络交换机Radius认证的集成来防止非法的网络接人。桌面安全的技术防范

桌面计算机输入输出控制是企业涉密信息系统安全保密工作技术防范的关键，桌面计算机输人输出控制不严会大大增加安全保密的风险，导致企业涉密信息系统安全保密技术防范措施千疮百孔，因此企业必须切实控制好桌面计算机的输人输出。目前国内控制桌面计算机输人输出行为的成功案例是统一集中的输人输出方案，可按建筑物或部门设置统一集中的输人输出机房，并配置专人负责管理;规定所有的打印输出必须到指定的输人输出机房进标每台计算机上都安装网络版的主机监控审计软件客户端[2][3)，并在主机监控审计软件服务器配置主机监控和审计策略，禁用用户的各类输入输出端口，例如禁止使用USB端口的移动存储介质、调制解调器、各类光驱、红外端口、SCSI端口和打印端口等，只允许输人输出机房的计算机能够使用输人输出端口。但由于国内的主机监控审计软件容易被突破，因此桌面安全做得较好的企业会联合采用物理措施封堵计算机的输人输出端口，例如更换专门的安全保密机箱并将机箱上锁。或用粘胶、封条等方式封堵计算机的输人输出端口。同时为了防止病毒的人侵，避免用户随意安装软件和操作系统，确保整个涉密信息系统的安全，桌面安全做得较好的企业也会拆除计算机的只读光驱。

如果手工进行所有桌面计算机的安全配置和漏洞封堵，将大大增加系统管理员的工作量，而且也难以做到位。因此，这里建议采用软件自动配置的方式来完成桌面计算机的安全配置和漏洞封堵，可采用Windows活动目录组策略的配置来控制所有域内计算机的安全配置，例如域帐户密码的长度和复杂性要求、锁屏策略等;采用Windows的软件分发服务来自动实现系统补丁的分发，可定期从国际互联网上下载系统补丁包，由软件分发服务器来实现系统补丁的分发。目前国内个别先进的主机监控审计软件也能够实现桌面计算机安全配置和漏洞封堵的自动化。安全审计

目前企业涉密信息系统一般都运行了很多应用系统和信息安全产品，这些系统和产品的审计日志保存了用户实际操作的记录，例如邮件系统，即时通讯系统，办公自动化系统，企业资源规划系统，产品数据管理系统，防火墙系统，入侵侦测系统，防病毒系统，主机监控审计系统，活动目录系统，软件分发管理系统，IT资产管理系统以及所有计算机操作系统的审计日志。对这些系统的日志定期进行审计和分析，能够在事后有效发现用户的违规操作或非法入侵行为，这将会对企业内部的违规操作和入侵行为起到强有力的震慑作用，并可以对整个涉密信息系统运行的情况，做到心中有数。例如利用邮件系统和即时通讯系统的日志金额以大仙违规的涉密文件传输行为；利用防火墙和入侵侦测系统的日志可以发现网络内部的攻击行为；利用主机监控审计系统的日志可以发现违规的输入输出记录；利用IT资产管理系统的日志可以发现涉密信息系统内是否接入口调制解调器，记录系统内奢靡硬盘的增加和淘汰情况，确保所有淘汰的硬盘都能够及时进行销毁。

涉密等级较高的企业可以实施综合审计系统，对各种应用系统和信息安全产品的日志记录进行异地的集中存储，备份分析和管理一方面确保审计数据的安全，防止入侵者破坏审计日志，另一方面可以进行综合的审计日志分析，从而能够准确的跟踪，发现违规操作和入侵行为。结语

随着信息安全技术的发展，信息安全产品正在向智能、整合和管理方向发展，未来的涉密信息系统安全保密技术防范方案将会越来越完善。同时我们也应该注意到，如果没有强有力的管理来支持，再好的技术防范措施都会大打折扣，再好的技术防范产品也将成为摆设，因此涉密信息系统安全保密工作的重点还是在于管理，需要制定切实可行的规章制度，定期进行涉密信息系统的安全保密检查，发现问题及时整改，并严肃处理违规的责任人，从而不断强化员工的安全保密意识，使员工能够自觉遵守企业安全保密的规章制度。