中央企業(yè)網(wǎng)絡(luò)安全與保密研究

◆張琦

（國能信息技術(shù)有限公司 北京 100000）

網(wǎng)絡(luò)安全的三個基本屬性是保密性、完整性和可用性；保密工作的三大管理重點是定密管理、網(wǎng)絡(luò)保密管理和涉密人員管理，因此網(wǎng)絡(luò)安全和保密工作二者相輔相成、密不可分。加強(qiáng)中央企業(yè)信息化建設(shè)，堅持以創(chuàng)新驅(qū)動帶動生產(chǎn)力，是“十四五”重要戰(zhàn)略規(guī)劃時期所必須做出的改革創(chuàng)新舉措。只有積極地應(yīng)用推廣新型信息技術(shù)，中央企業(yè)才能進(jìn)一步實現(xiàn)工業(yè)信息化、生產(chǎn)信息化和管理信息化發(fā)展格局，而開發(fā)利用好信息資源，也正是中央企業(yè)形成自己的核心競爭力，在主業(yè)上做大做強(qiáng)所必需的物質(zhì)基礎(chǔ)。但新型信息技術(shù)的應(yīng)用，帶給中央企業(yè)的除了生產(chǎn)與管理技術(shù)的變革以外，也對中央企業(yè)的安全保密工作提出了更高難度的挑戰(zhàn)，因此只有應(yīng)用網(wǎng)絡(luò)安全技術(shù)，加強(qiáng)網(wǎng)絡(luò)保密管理水平，提高中央企業(yè)信息化集中管控能力，才能進(jìn)一步促進(jìn)中央企業(yè)實現(xiàn)增值保值的長效運(yùn)營目標(biāo)。

1 網(wǎng)絡(luò)安全與保密工作的重要性

中央企業(yè)是由國家黨政組織獨資控股的國有企業(yè)，通常在某個或多個行業(yè)內(nèi)占據(jù)主要支配地位，在該行業(yè)內(nèi)能夠起到引領(lǐng)經(jīng)濟(jì)、帶動經(jīng)濟(jì)、規(guī)范市場定價的作用，是國民經(jīng)濟(jì)體系中不容分割的重要經(jīng)濟(jì)支柱。而中央企業(yè)由于運(yùn)營規(guī)模遠(yuǎn)大于常規(guī)民營企業(yè)與地方企業(yè)，所以它在資產(chǎn)管理、財務(wù)管理、人力資源調(diào)度、業(yè)務(wù)受理與風(fēng)險管理上，所涉及的信息交互內(nèi)容往往更加復(fù)雜多樣，因此中央企業(yè)近年來在戰(zhàn)略計劃部署中，都會將信息管理系統(tǒng)建設(shè)和數(shù)字化轉(zhuǎn)型放在重要位置。這樣做的目的是通過信息技術(shù)高效率的處理與共享機(jī)制，提高企業(yè)的決策與執(zhí)行效率，進(jìn)一步規(guī)范管理體制流程，從而支撐中央企業(yè)長期穩(wěn)定發(fā)展。

中央企業(yè)的正常運(yùn)作，離不開對各類信息和數(shù)據(jù)的保密，例如企業(yè)的核心生產(chǎn)技術(shù)、知識產(chǎn)權(quán)、重要的生產(chǎn)工藝配方、科研數(shù)據(jù)、設(shè)計圖紙、方案文件以及客戶資料、財務(wù)數(shù)據(jù)等生產(chǎn)信息和經(jīng)營信息，關(guān)系著企業(yè)的核心競爭力，反映了企業(yè)的經(jīng)營發(fā)展?fàn)顩r。一旦中央企業(yè)在信息化管理過程中因網(wǎng)絡(luò)安全與保密工作不到位，引起信息丟失或擴(kuò)散，將會直接影響企業(yè)行業(yè)優(yōu)勢，導(dǎo)致戰(zhàn)略決策和經(jīng)營生產(chǎn)的困難。例如關(guān)鍵生產(chǎn)技術(shù)的信息泄漏，會導(dǎo)致企業(yè)在專業(yè)技術(shù)領(lǐng)域或業(yè)務(wù)市場中失去競爭優(yōu)勢；客戶資料失竊會引發(fā)社會層面的公關(guān)問題，給企業(yè)聲譽(yù)帶來嚴(yán)重?fù)p失；企業(yè)戰(zhàn)略計劃方案的泄漏，將會給他人帶來可乘之機(jī)，使競爭企業(yè)可以提前謀劃，搶占市場，我方企業(yè)可能會失去行業(yè)和市場的優(yōu)勢地位。無論是哪一種失泄密事件的出現(xiàn)，最終都會對企業(yè)的生產(chǎn)經(jīng)營和長期發(fā)展產(chǎn)生難以估量的影響；由于中央企業(yè)特殊的市場地位，甚至?xí)斐蓢H影響和社會輿情。所以中央企業(yè)在信息化轉(zhuǎn)型模式下，應(yīng)當(dāng)從以往失泄密事件中得到警醒，在前車之鑒中吸取經(jīng)驗教訓(xùn)，走出以往傳統(tǒng)管理模式的局限誤區(qū)，將信息網(wǎng)絡(luò)安全工作與保密管理工作提上日程，進(jìn)一步保障中央企業(yè)的信息安全[1]。唯有這樣，中央企業(yè)才能夠在新型信息技術(shù)的支撐下，在新時代經(jīng)濟(jì)時期長久發(fā)展與生存。

2 中央企業(yè)安全管理與保密工作的隱患因素與薄弱問題

2.1 網(wǎng)絡(luò)安全隱患

2.1.1 網(wǎng)絡(luò)業(yè)務(wù)復(fù)雜，互聯(lián)網(wǎng)暴露面大

為響應(yīng)國家網(wǎng)絡(luò)強(qiáng)國的號召，中央企業(yè)已將內(nèi)部專線與移動5G、IPv6 等技術(shù)相結(jié)合作為企業(yè)網(wǎng)絡(luò)建設(shè)的重要方向，這使得內(nèi)部網(wǎng)絡(luò)可以獲得更快的速度、更好的擴(kuò)展性和更強(qiáng)安全性。但在方便業(yè)務(wù)系統(tǒng)聯(lián)通的同時，也方便了系統(tǒng)入侵、病毒傳播、數(shù)據(jù)竊取。近年來，通過互聯(lián)網(wǎng)攻擊入侵企業(yè)服務(wù)器進(jìn)行“挖礦”的事件層出不窮，對企業(yè)的信譽(yù)造成了嚴(yán)重?fù)p害；勒索病毒改變了傳統(tǒng)病毒破壞數(shù)據(jù)、阻塞網(wǎng)絡(luò)、損壞硬件的方式，通過對重要數(shù)據(jù)進(jìn)行高強(qiáng)度加密，讓受害企業(yè)只能交錢就范，買回數(shù)據(jù)，且病毒一旦在內(nèi)部網(wǎng)絡(luò)傳播，對前期發(fā)現(xiàn)、中期清除和后期溯源工作都帶來了極大的挑戰(zhàn)；互聯(lián)網(wǎng)網(wǎng)站、企業(yè)信息系統(tǒng)數(shù)據(jù)庫拖庫事件頻發(fā)，造成企業(yè)和人員信息泄漏的同時，也為不法人員的進(jìn)一步網(wǎng)絡(luò)攻擊提供了便利。以上的網(wǎng)絡(luò)攻擊多數(shù)都是通過互聯(lián)網(wǎng)進(jìn)行，但互聯(lián)網(wǎng)的使用已經(jīng)深入到了企業(yè)日常生產(chǎn)經(jīng)營的各個方面。企業(yè)為了自身宣傳和便于日常工作，建立了互聯(lián)網(wǎng)門戶、采購交易等網(wǎng)站和移動辦公、差旅管理等移動應(yīng)用；由于行業(yè)監(jiān)管、信息公開和業(yè)務(wù)發(fā)展的需要，中央企業(yè)的部分信息系統(tǒng)需要與主管部門和地方政府的互聯(lián)網(wǎng)政務(wù)平臺連接；企業(yè)員工需要與外部人員進(jìn)行日常的工作交流和信息傳遞，及時通訊工具、互聯(lián)網(wǎng)郵箱、網(wǎng)盤的使用不可或缺[2]。

中央企業(yè)的信息系統(tǒng)使用在這個問題上，存在兩種極端情況：一是消極保安全，直接采用“一刀切”的管理模式，直接以物理隔斷的方式將企業(yè)內(nèi)部網(wǎng)絡(luò)與公網(wǎng)對接，雖然可以避免由于網(wǎng)絡(luò)連通導(dǎo)致的信息失竊和網(wǎng)絡(luò)攻擊，但長此以往由于企業(yè)內(nèi)部網(wǎng)絡(luò)環(huán)境始終處于與外界隔離狀態(tài)，沒有基本的信息交互，就會出現(xiàn)“信息孤島”效應(yīng)，嚴(yán)重阻礙了企業(yè)信息化水平發(fā)展，也對人員辦公造成不便，降低了工作效率；二是未采取任何隔離防護(hù)措施，直接將內(nèi)網(wǎng)與互聯(lián)網(wǎng)連接，使各類信息系統(tǒng)和辦公計算機(jī)暴露在互聯(lián)網(wǎng)上，用于商業(yè)秘密和企業(yè)敏感信息的信息系統(tǒng)和處理終端未加以區(qū)分，移動存儲介質(zhì)的管理比較隨意，使用人員的登記不規(guī)范，存在較大失泄密風(fēng)險。

2.1.2 信息系統(tǒng)建設(shè)業(yè)務(wù)面廣，人員管理困難

中央企業(yè)擔(dān)負(fù)著強(qiáng)化主責(zé)主業(yè)，發(fā)揮國民經(jīng)濟(jì)“穩(wěn)定器”和“壓艙石”的作用，而多數(shù)中央企業(yè)并非專業(yè)的網(wǎng)絡(luò)技術(shù)公司，所以多數(shù)內(nèi)部管理人員和業(yè)務(wù)人員缺乏基礎(chǔ)的網(wǎng)絡(luò)安全技術(shù)知識，信息系統(tǒng)使用過程中將電子文件隨意的保存，通過不安全的設(shè)備和網(wǎng)絡(luò)進(jìn)行處理傳遞，存在較大的失泄密風(fēng)險，極易造成企業(yè)敏感信息擴(kuò)散。

從人員編制和用人成本的考慮，多數(shù)中央企業(yè)在系統(tǒng)開發(fā)和網(wǎng)絡(luò)運(yùn)維工作的用工制度多樣，存在著大量的勞務(wù)派遣、項目外委、廠商駐場的開發(fā)和運(yùn)維人員，這類技術(shù)人員普遍年輕有活力，但政治敏銳性不強(qiáng)、人員流動性大、缺乏管理約束，工作中網(wǎng)絡(luò)安全技術(shù)欠缺，保密知識和保密常識不足，容易因麻痹大意導(dǎo)致網(wǎng)絡(luò)安全事件或失泄密事件，成為了網(wǎng)絡(luò)安全保密工作的短板[3]。

2.1.3 信息化和數(shù)字化成果多樣，供應(yīng)鏈攻擊難以防范

隨著中央企業(yè)數(shù)字化事業(yè)的多年發(fā)展，主營業(yè)務(wù)與信息系統(tǒng)深度融合，云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)應(yīng)用多種多樣，形成了繁多復(fù)雜的信息系統(tǒng)集群。各信息系統(tǒng)集群是由不同子系統(tǒng)通過多次迭代開發(fā)完成，其中使用了大量的外部軟硬件產(chǎn)品，這些軟硬件產(chǎn)品不但品類繁多，而且來源復(fù)雜。目前開源軟件和免費(fèi)軟件成為漏洞攻擊的重點，尤其是通用性強(qiáng)的中間件產(chǎn)品更是發(fā)現(xiàn)問題的重災(zāi)區(qū)。相應(yīng)的，payload（有效載荷）迅速在網(wǎng)上擴(kuò)散，極大降低了漏洞的利用門檻，使一些初級“黑客”可以輕易的利用，隨之而來的就是由于初級“黑客”知識的欠缺，造成對系統(tǒng)的破壞不可控。雖然軟件社區(qū)和安全廠商會快速跟進(jìn)漏洞的驗證和修復(fù)，發(fā)布poc（概念驗證）和安全補(bǔ)丁，但也極大加重了運(yùn)維人員的負(fù)擔(dān)。

近年來國產(chǎn)軟件硬件屢屢取得突破，但其中大量產(chǎn)品都應(yīng)用了國外產(chǎn)品或使用了開源技術(shù)，這就對產(chǎn)品的安全可靠性提出挑戰(zhàn)，例如國外的產(chǎn)品是否存在設(shè)計缺陷和漏洞，是否存在后門，如評估終止產(chǎn)品供應(yīng)或中斷服務(wù)將對整個信息系統(tǒng)產(chǎn)生何用影響；開源的產(chǎn)品是否安全，后續(xù)的升級和服務(wù)如何保障等等。即使是完全國內(nèi)自主開發(fā)的產(chǎn)品也同樣存在自身的安全問題，如安全漏洞能否被及時發(fā)現(xiàn)，廠商能否第一時間提供安全補(bǔ)丁進(jìn)行修復(fù)，安全威脅能否及時得到解決等。

3 加強(qiáng)中央企業(yè)網(wǎng)絡(luò)安全與保密的對策措施

3.1 提高政治意識，強(qiáng)化信息化頂層設(shè)計布局

中央企業(yè)要首先明確政治站位，要從國家發(fā)展的角度統(tǒng)籌發(fā)展和安全，堅持總體國家安全觀，牢固樹立“沒有網(wǎng)絡(luò)安全就沒有國家安全，沒有信息化就沒有現(xiàn)代化”“保密就是保黨的長期執(zhí)政地位、保國家安全、保人民幸福、保民族復(fù)興”的意識，要兼顧數(shù)字化事業(yè)發(fā)展和安全保密，不能盲目追求速度和便利而不顧安全保密，也不能因噎廢食將數(shù)字化轉(zhuǎn)型停滯不前。

中央企業(yè)的數(shù)字信息化轉(zhuǎn)型，要遵循《“十四五”國家信息化規(guī)劃》，強(qiáng)化中央企業(yè)信息化轉(zhuǎn)型的頂層設(shè)計，將網(wǎng)絡(luò)安全防護(hù)能力作為一項基本建設(shè)要求，促進(jìn)中央企業(yè)自有業(yè)務(wù)與信息化系統(tǒng)應(yīng)用的深度結(jié)合，通過人防、物防、技防多位一體地開展系統(tǒng)化、工程化的網(wǎng)絡(luò)安全與保密工作。

3.2 建設(shè)內(nèi)緊外松的信息網(wǎng)絡(luò)，提高網(wǎng)絡(luò)安全防范能力

對于中央企業(yè)來說，通過內(nèi)外網(wǎng)對接實現(xiàn)信息傳輸，是多數(shù)核心業(yè)務(wù)不可避免的內(nèi)容，在網(wǎng)絡(luò)設(shè)計中應(yīng)遵循《中央企業(yè)商業(yè)秘密安全保護(hù)技術(shù)指引》，設(shè)計出符合自身業(yè)務(wù)實際的網(wǎng)絡(luò)，制定高效、便捷、安全、可靠的網(wǎng)絡(luò)隔離方案?？刹扇∫韵麓胧阂皇峭ㄟ^網(wǎng)閘等隔離設(shè)備實現(xiàn)數(shù)據(jù)的可控交換和網(wǎng)絡(luò)協(xié)議的斷開，在有效縮小企業(yè)內(nèi)部系統(tǒng)在互聯(lián)網(wǎng)的暴露的同時，保證內(nèi)外網(wǎng)的相互獨立運(yùn)轉(zhuǎn)和數(shù)據(jù)的高效聯(lián)通，避免因內(nèi)外網(wǎng)隔離造成的工作不便。二是加強(qiáng)辦公電腦和移動存儲介質(zhì)的管控，避免優(yōu)盤、移動硬盤的數(shù)據(jù)擺渡行為，避免“病”從“口”入。三是堅持信息系統(tǒng)建設(shè)與網(wǎng)絡(luò)安全的同步規(guī)劃、同步建設(shè)、同步使用，在系統(tǒng)建設(shè)之初除了考慮到系統(tǒng)自身的安全性以外，還要考慮系統(tǒng)的安全功能，如文件和屏幕的水?。に。?、電子簽章、打印審計等。四是加強(qiáng)移動應(yīng)用和移動終端的管控，結(jié)合移動應(yīng)用的使用場景，在數(shù)據(jù)擦除、遠(yuǎn)程管理等方面提出更高的安全防護(hù)要求。五是精細(xì)化網(wǎng)絡(luò)日常管理，適當(dāng)收攏互聯(lián)網(wǎng)出口，細(xì)化網(wǎng)絡(luò)訪問控制策略，規(guī)范信息系統(tǒng)授權(quán)，使網(wǎng)絡(luò)安全的日常管理切實有效開展。六是在企業(yè)內(nèi)部定期展開網(wǎng)絡(luò)安全攻防演練，動態(tài)評估企業(yè)網(wǎng)絡(luò)安全防護(hù)工作水平，對查找發(fā)現(xiàn)的問題及時分析處理，并形成長效處置機(jī)制[4]。

3.3 以安全保密為推手，加強(qiáng)人員和供應(yīng)鏈管理

中央企業(yè)的保密工作相較于網(wǎng)絡(luò)安全起步早，有著十分豐富的管理經(jīng)驗和能力積累，各類管理制度完善，保守國家秘密是每個公民應(yīng)盡義務(wù)的觀念更是深入人心。在中央企業(yè)的信息網(wǎng)絡(luò)、信息系統(tǒng)、信息設(shè)備均可以按照所承載數(shù)據(jù)的涉密情況進(jìn)行分級分類，制定不同的管理策略和保障等級，選擇合適的軟件廠商、選用安全可靠的硬件設(shè)備，配備適當(dāng)?shù)倪\(yùn)維保障人員，從而實現(xiàn)對信息系統(tǒng)的重點、動態(tài)、適度防護(hù)。加強(qiáng)對中央企業(yè)員工的保密教育培訓(xùn)，提高全員保密意識，掌握保密知識和技能，知曉工作中的保密紅線和底線，約束日常工作中的行為。加大網(wǎng)絡(luò)安全和保密工作的獎懲力度，對有突出貢獻(xiàn)的人員進(jìn)行獎勵，對過失行為人和相關(guān)部門負(fù)責(zé)人進(jìn)行嚴(yán)肅處理，遵守國家法律法規(guī)，維護(hù)企業(yè)內(nèi)部的保密工作紀(jì)律，最大程度避免失泄密事件的發(fā)生。

專業(yè)的人做專用的工作。中央企業(yè)可適當(dāng)引入背景可靠、技術(shù)過硬的第三方安全廠商作為技術(shù)支持，構(gòu)建由內(nèi)而外、由易到難的技術(shù)支撐團(tuán)隊，及時有效的獲得安全咨詢和行業(yè)動態(tài)，始終保持敏銳的態(tài)勢感知能力。

3.4 各類管理部門齊抓共管形成合力，賦能數(shù)字化業(yè)務(wù)安全發(fā)展

我國信息化發(fā)展正處于內(nèi)外部環(huán)境的深刻變化中，新一輪的科技革命和產(chǎn)業(yè)變革為中央企業(yè)的網(wǎng)絡(luò)安全和保密工作的發(fā)展提出了新的挑戰(zhàn)。在中央企業(yè)的內(nèi)部管理中，網(wǎng)絡(luò)安全和保密管理分屬不同管理部門，面對數(shù)字化轉(zhuǎn)型和信息化發(fā)展面臨的挑戰(zhàn)，各部門應(yīng)在業(yè)務(wù)模型設(shè)計、數(shù)據(jù)分類、人員管理、設(shè)備管理、數(shù)據(jù)回收、監(jiān)督檢查等方面的相互配合，強(qiáng)化優(yōu)勢，彌補(bǔ)短板，形成合力，在中央企業(yè)內(nèi)部形成無死角的網(wǎng)絡(luò)安全防御機(jī)制。利用齊抓共管的網(wǎng)絡(luò)安全和保密管理模式，建設(shè)可靠高效的信息系統(tǒng)，賦能數(shù)字化業(yè)務(wù)安全發(fā)展，提高中央企業(yè)的核心競爭力。

綜上所述，隨著中央企業(yè)信息化業(yè)務(wù)的發(fā)展，系統(tǒng)的應(yīng)用情景中存在著互聯(lián)網(wǎng)暴露面大、技術(shù)人員管理困難、供應(yīng)鏈管控不足三類安全風(fēng)險隱患，因此需要企業(yè)站在統(tǒng)籌規(guī)劃的角度上分析網(wǎng)絡(luò)安全形勢，認(rèn)清網(wǎng)絡(luò)安全與保密管理工作對于信息化轉(zhuǎn)型期企業(yè)發(fā)展的重要意義。在網(wǎng)絡(luò)安全和保密工作相互借鑒的基礎(chǔ)上，通過網(wǎng)絡(luò)安全的技術(shù)規(guī)范提高信息系統(tǒng)的技術(shù)防護(hù)能力，借鑒保密管理積累的經(jīng)驗加強(qiáng)制度建設(shè)和人員管控，綜合人防、物防、技防手段，配齊安全防護(hù)保障、優(yōu)化安全防護(hù)策略，全面提高中央企業(yè)的網(wǎng)絡(luò)安全與保密工作的質(zhì)量，賦能產(chǎn)業(yè)數(shù)字化轉(zhuǎn)型和企業(yè)安全穩(wěn)定發(fā)展。