开展涉密信息系统分级保护工作应注意的几个问题.doc

开展涉密信息系统分级保护工作应注意的几个问题
一、引言
　　2003年9月，中央办公厅、国务院办公厅转发的《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发〔2003〕27号）提出了“实行信息安全等级保护”的要求，并指出“对涉及国家秘密的信息系统，要按照党和国家有关保密规定进行保护”。中共中央保密委员会《关于加强信息安全保障工作中保密管理的若干意见》（中保委发〔2004〕7号）提出要建立涉密信息系统分级保护制度。自2005年起，国家保密局组织制定并颁布实施了一系列关于涉密信息系统分级保护的法规与标准，并于2006年9月至2007年3月，组织中央组织部、中央联络部和航天科技集团进行了分级保护试点工作。20047年9月7日，国家保密局召开了全国涉密信息系统分级保护工作会议，推广了试点工作经验，部署了分级保护工作。自此，涉密信息系统分级保护工作已进入了全面推进阶段。
　　二、领导重视，建立机制
　　我国的国家秘密分为秘密、机密、绝密三级，涉密信息系统也按照秘密、机密、绝密三级进行分级管理。根据“谁主管、谁负责”的保密管理原则，涉密信息系统建设使用单位应负责本单位涉密信息系统分级保护的具体实施工作。涉密信息系统分级保护工作是一项复杂的系统工程，涉及到单位内部的保密、信息化、业务工作、密码、保卫和人事等部门，各相关部门只有密切合作、统筹实施，才能保障整个工作的顺利进行。这就要求涉密信息系统的建设使用单位领导高度重视此项工作，组建强有力的领导班子，建立起确保措施到位、人员到位、资金到位的分级保护工作组织保障体系，形成强有力的工作机制。
　　⑴在系统定级方面，保密管理部门要发挥准确掌握国家保密政策的优势，与信息化建设部门、业务工作部门一起研究确定系统和安全域所处理信息的最高密级，从而确定保护等级。
　　⑵在方案设计方面，信息化建设部门要充分利用熟悉技术的特点，按照分级保护技术要求和管理规范，组织设计符合保密要求的分级保护方案。保密管理部门应对总体方案进行监督、检查和指导，组织专家进行评审论证。
　　⑶在工程实施方面，信息化建设部门应具体承担组织实施工作，并与保密管理部门定期检查工作进展情况，对于发现的问题及时协调处理，确保各项安全保护措施落到实处。
　　⑷在系统工程施工结束后，保密管理部门应负责组织系统测评和系统审批工作。
　　⑸在系统投入运行后，保密、信息化、业务工作、密码、保卫和人事等有关部门应按照“分工合作、各司其责”的原则，积极配合完成各方面的日常安全保密管理工作。
　　三、把握方法，遵循流程
　　涉密信息系统分级保护工作包括系统定级、方案设计、工程实施、系统测评、系统审批、日常管理、测评与检查和系统废止八个环节，贯穿于涉密信息系统的整个生命周期之中，是对涉密信息系统进行的全过程保密管理。因此，涉密信息系统建设使用单位应该按照“规范定密，准确定级；依照标准，同步建设；突出重点，确保核心；明确责任，加强监督”的原则，遵循分级保护工作的基本流程，突出重点环节，强化过程管理。
　　1.系统定级
　　涉密信息系统按照所处理信息的最高密级，由低到高划分为秘密、机密、绝密三个等级。因此，在确定涉密信息系统内信息的最高密级后，就可具体确定涉密信息系统安全等级。对于新建系统，涉密信息系统建设使用单位应根据实际工作需要，通过下位系统所要处理信息的最高密级来确定系统等级；对于已建系统，应对照定密范围，对系统中处理的信息进行密级核定，并补充采取相应的保护措施。
　　2.方案设计
　　涉密信息系统建设使用单位在各级保密工作部门的指导与监督下，选拔具有相应涉密资质的承建单位承担或参与涉密信息系统的系统集成、软件开发、综合布线、系统服务、系统咨询、风险评估、屏蔽室建设、工程监理和保密安防监控的方案设计与实施工作。涉密信息系统建设使用单位在工程实施前，应对系统设计方案进行审查论证，保密工作部门应当参与方案审查论，在系统总体安全保密性方面加强指导，严格把关。
　　3.工程实施
　　在工程实施阶段，主要抓好保密管理和工程监理工作。涉密信息系统建设使用单位应根据工程的具体情况划定保密范围，制定相应的保密措施和保密控制流程，严格控制接触涉密信息的人员范围。同时还应选择具有涉密工程监理单项资质的单位或组织自身力量在安全保密控制、质量控制、进度控制、成本控制、合同管理和文档管理六个方面加强监督检查。
　　4.测评阶段
　　涉密信息系统投入运行必须先测评后审批涉密信息系统建设使用单位在系统工程实施结束后，应当向保密工作部门提出申请，按照国家保密工作部门授权的系统测评机构的要求，提交测评所需的必要资料。由测评机构对涉密信息系统进行安全保密测评，全面验证所采取的安全保密措施能否满足安全保密需求和分级保护的要求，为涉密信息系统审批提供依据。
　　5.系统审批
　　国家对涉密信息系统的投入运行实行行政审批制度。国家保密工作部门负责审批中央和国家机关各部 委及其所属单位、国防武器装备科研生产一级保密资格单位的涉密信息系统；省（自治区、直辖市）保密工作部门负责审批省直机关各部门及其所属单位、国防武器装备科研生产二、三级保密资格单位的涉密信息系统；市（地）级保密工作部门负责审批市（地）、县直机关及其所属的涉密信息系统。
　　保密工作部门在系统测评的基础上对系统进行审批，对符合要求的涉密信息系统批准其投入使用。对不符合要求的，保密工作部门提出整改意见，由使用单位对系统进行整改后另行报批。未经保密工作部门审批，擅自将涉密信息系统投入使用的，必须立即停止存储、处理和传输国家秘密信息，并追究部门领导和相关责任人的责任；造成泄密的，依法追究法律责任。
　　6.日常管理
　　随着涉密信息系统的开通运行，系统的规模、具体业务范围以及用户都可能发生变化，这些变化和运行过程出现的安全事件都可能使过去相对安全的系统不再安全。涉密信息系统的管理者和使用者，应结合系统实际制定明确的安全保密管理策略，成立由单位主管领导任责任人，包括保密、信息化、业务工作、密码、保卫和人事等有关部门人员组成的安全保密管理机构，使用先进的安全保密管理技术，从人员管理、物理环境与设施管理、设备与介质管理、运行与开发管理和信息保密管理五个方面进行日常安全保密管理。
　　7.测评与检查
　　系统经审批投入运行后，应加强风险评估管理。秘密级、机密级信息系统，每两年至少进行一次保密检查或系统测评；绝密级信息系统每年至少进行一次保密检查或系统测评。安全保密测评和保密技术检查过程中形成的有关数据、刻录和评估报告，应定密并按照相应级文件进行管理。
　　8.系统废止
　　涉密信息系统不再使用时，涉密信息系统建设使用单位应向保密工作部门备案，并按照有关保密规定妥善处理涉及国家秘密信息的设备、产品介质和文档资料。对需要报废的涉密设备和介质，应进行信息消除和载体销毁处理，所采取的技术、设备和措施应符合相关标准和规定，防止泄密事件的发生。
　　四、了解政策，掌握标准
　　涉密信息系统分级保护是指涉密信息系统的建设使用单位根据分级保护管理办法和有关标准，对涉密信息系统分等级实施保护。因此，涉密信息系统建设使用单位必须充分了解分级保护工作方面的政策要求并熟练掌握和运用涉密信息系统分级保护的标准。
　　1.涉密信息系统分级保护是国家信息安全等级保护的重要部分
涉密信息系统根据涉密程度，按照秘密级、级、绝密级进行分级保护；非涉密信息系统根据重要程度按照自主保护级（第一级）、指导保护级（第二级）、监督保护级（第三级）、强制保护级（第四级）、专控保护级（第五级）进行等级保护。秘密级、机密级、绝密级信息系统的整体防护水平不低于非涉密信息系统的第三、四、五级的要求。凡是用于处理、传输和存储国家秘密的信息系统（网络）都应按照分级保护的要求进行建设、使用和管理。
　　2.国家保密局是涉密信息系统分级保护工作的主管部门
　　国家保密工作部门负责全国涉密信息系统分级保护工作的指导、监督和检查；地方各级保密工作部门负责本行政区域涉密信息系统分级保护工作的指导、监督和检查。中央和国家机关各部门在其职权范围内，主管或指导本部门和本系统涉密信息系统的分级保护工作；涉密信息系统的建设使用单位则负责本单位涉密信息系统分级保护的具体实施工作。
　　3.国家保密法规与标准是组织开展分级保护工作的具体依据
　　涉密信息系统建设使用单位应依据《涉及国家秘密的信息系统分级保护管理办法》（国保发〔2005〕16号）确定系统等级，结合本单位业务需求和涉密信息制定安全保密需求，依据国家保密标准BMB17-2006《涉及国家秘密的信息系统分级保护技术要求》和BMB20-2007《涉及国家秘密的信息系统分级保护管理规范》，设计系统安全保密方案。在工程实施过程中，应按照BMB18-2006《涉及国家秘密的信息系统工程监理规范》的要求进行工程监理。工程实施结束后,涉密信息系统
　　建设使用单位应当向保密工作部门提出申请，由国家保密局的涉密信息系统测评机构依据国家保密标准BMB22-2007《涉及国家秘密的计算机信息系统分级保护测评指南》，对涉密信息系统进行安全保密测评。在系统投入使用前，涉密信息系统 建设使用单位应当按照《涉及国家秘密的信息系统审批管理规定》,向市(地)级以上保密工作部门申请进行系统审批,涉密信息系统通过审批后方可投入使用。已投入使用的涉密信息系统,其建设使用单位在按照分级保护要求完成系统整改后,应当向保密工作部门备案。
　　五、合理分域,准确定级
　　涉密信息系统分级保护是以系统所处理信息的最高密级来确定安全等级的,在合理划分安全域边界安全可控的情况下,各安全域可根据涉密高定级单独定级,实施“分域分级防护”的策略,从而降低系统建设成本和管理风险。
　　⑴对于涉密程度层次分明、地域纵横分布睥我国党政部门的“电子政务广域网涉密信息系统”，可根据行政级别、信息密级和系统重要性划分不同的安全域。首先可根据行政级别将业务体系内的“电子政务广域网涉密信息系统”划分为中央、省、市（地）和县四个安全域，然后再根据各个安全域的所处理信息的最高密级单独确定保护等级和防护措施，例如按照机密级增强（中央）、机密级（省）、秘密级（市、地）和工作秘密级（县）“四层三级”的架构进行分域分级防护。
　　⑵对于使用范围集中的局域网涉密信息系统，可根据业务部门和信息密级划分不同的安全域。为了实现涉密信息系统的最小化，控制国家秘密的知晓范围，降低失泄密的风险，对于局域网涉密信息系统可根据业务部门和信息密级的不同划分安全域。首先通过使用VLAN、防火墙等技术划分不同的安全域，对不同部门的业务进行分割；然后，在同一部门内可再根据信息密级，将处理、存储不同密级信息的服务器和用户终端划分到不同的安全域。例如，可将一个机密级局域网划分为若干个机密级和秘密级安全域，进行分级分域管理，实现多边安全控制，保障系统的总体安全。
　　⑶对整体涉密程度高、使用范围广且应用特殊的“军工单位涉密信息系统”，可根据行政管理结构和信息密级划分不同的安全域。我国的国防武器装备科研生产军工部门基本实行集团总部、院和厂所三级独立法人负责制。因此可首先根据这种行政管理结构模式对整个系统进行安全域划分，然后再根据各个安全域的所处理信息的最高密级单独确定保护等级和防护措施。对于机密级的安全域，应采用机密级增强保护要求进行防护。
　　在对涉密信息系统进行分域分级防护的情况，还应考虑安全域边界防护问题，并建立“集中控制、分级负责”的安全保密监控平台，实现全网统一的安全保密管理与监控。
　　六、把握关键，确保安全
　　涉密信息系统分级保护就是要从实际出发，综合平衡安全成本和风险，优化信息安全资源的配置，突出重点，确保国家秘密的安全。在方案设计和工程实施中，应解决好以下几个方面的关键技术与管理措施：
　　1.安全保密产品选择
　　非涉密信息系统中使用的安全保密产品应选用国产设备，非安全保密产品应充分考虑国家安全保密需要，优先选择国产设备；在选用国外设备时，应进行详细调查和论证，不得选用国家保密工作部门禁用的设备或附件，必要时，应对选用的国外产品进行安全保密检测。
选用的计算机病毒防护产品应获得公安机关批准，密码产品应获得国家密码管理部门批准，其他安全保密产品均应获得国家保密工作部门批准。
　　2.物理隔离与违规外联监控
　　涉密信息系统不得直接或间接联网，应与互联网等其他公共通信系统实行物理隔离。同时还应禁止系统内用户非授权的外部连接（如违规拨号、违规连接和违规无线上网等），并对系统内的非授权外联行为采取技术手段进行检查的阻断。
　　3.安全域边界防护与控制
　　涉密信息系统安全域之间的边界应划分明确，安全域与安全域之间的所有数据通信都应安全可控；对于不同等级的安全域间通信，应实施有效的访问控制策略和机制，禁止高密级信息由高等级安全域流向低等级安全域。
　　4.身份鉴别与访问控制
　　应对涉密信息系统中所有的服务器、用户终端、安全保密设备和涉密业务应用系统的本地登录和远程登录采取用户身份鉴别措施，并根据应根据涉密信息的密级和实际业务工作的对系统内涉密信息和重要信息的访问采用强制访问控制措施。
　　5.密级标识与密码保护措施
　　涉密信息系统中产生、存储、处理、传输、归档和输出的信息及其存储介质应有相应的密级标识。电子文件密级标识应与信息主体不可分离，密级标识不得篡改。涉密信息系统之间的信息远程传输以及绝密级信息系统的信息传输与存储应采取密码保护措施。
　　6.电磁泄漏发射防护
　　电磁泄漏发射是指信息设备的信息以杂散（寄生）电磁能量的方式通过导线或空间向外扩散。任何处于工作状态的电子信息设备，如：计算机、打印机、传真机。电话机等，都存在不同程度的电磁泄漏发射。涉密信息系统内的信息设备在不满足BMB2-1998《使用现场的信息设备电磁泄漏发射检查测试方法和安全判据》时，应采用低泄射设备、电磁屏蔽室、电磁屏蔽机柜和电磁干扰器等措施进行防护。
　　7.系统安全保密管理
　　质朴与管理作为涉密信息系统安全保障的两个支撑要素，二者相辅相成，缺一不可：即使非常严密的管理，没有技术手段支撑，也保证不了安全；无论多么先进的保密技术，没有管理措施保障，也不能发挥应有的作用。但在具备了一定技术手段的前提下，管理则决定因素。因此，涉密信息系统建设使用单位建立应按照“技管并重”的要求，健全安全保密管理机构，配备专职保密管理人员，根据涉密信息系统自身的特点，制定出具有针对性和可操作性的管理措施，并严格执行。